Allmänt

Finlands säkerhetspolitiska miljö har förändrats snabbt och fundamentalt efter att Ryssland invaderade Ukraina. Förändringarna i den säkerhetspolitiska miljön är allt svårare att förutse. I lägesbilden måste också globala, mer långvariga utvecklingstrender beaktas. Enligt förvaltningsutskottet måste säkerhetsfrågorna granskas som en omfattande helhet för att faktorer och fenomen som påverkar Finlands säkerhet samt sambanden mellan dem ska kunna upptäckas så effektivt som möjligt. En klar åtskillnad mellan yttre och inre säkerhet kan inte längre göras. Betydelsen av en gemensam lägesbild, av inhämtande av information och informationsbaserad verksamhet blir allt större, på både strategisk och operativ nivå. Samhällets kristålighet (resiliens), den nationella försvarsförmågan och upprätthållandet av den inre säkerheten blir allt viktigare i det förändrade säkerhetsläget. 

Förvaltningsutskottet har under innevarande valperiod lämnat utlåtande om den utrikes- och säkerhetspolitiska redogörelsen (FvUU 16/2024 rd) och försvarsredogörelsen (FvUU 7/2025 rd). Dessa redogörelser bildar tillsammans med den redogörelse för den inre säkerheten som är under beredning en helhet som skapar riktlinjer för hur Finlands säkerhet ska stärkas. Strategin för den nationella säkerheten, som är under beredning, kompletterar redogörelserna med konkreta åtgärdsförslag och med ett tidsperspektiv innefattande flera valperioder. I januari 2025 uppdaterades statsrådets principbeslut om en säkerhetsstrategi för samhället. I strategin fastställs handlingsmodellen för den övergripande säkerheten, enligt vilken samhällets vitala funktioner tryggas i samarbete mellan myndigheter, näringsliv, organisationer och medborgare. Den övergripande säkerheten utgör grunden för kriståligheten i det finländska samhället. Förvaltningsutskottet ser det som viktigt att alla säkerhetsdokument bygger på en gemensam lägesbild och en gemensam syn på hoten och utvecklingsutsikterna i vår omvärld. 

Hoten i den förändrade säkerhetsmiljön och omvärlden, såsom sabotageverksamhet och hybridpåverkan som kombinerar olika metoder, påverkar samtidigt flera EU-medlemsstater. Sådana åtgärder kan allvarligt störa den inre marknadens funktion och påverka samhällets vitala funktioner och säkerhet. Särskild uppmärksamhet bör fästas vid statliga hot mot kritisk infrastruktur. Utskottet anser att det är nödvändigt att den kritiska infrastrukturen kan tryggas under alla omständigheter. Detta förutsätter ett fungerande samarbete och informationsutbyte mellan myndigheterna samt mellan myndigheterna och den privata sektorn. 

Regeringen föreslår att det stiftas en ny lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft. Genom lagen genomförs det så kallade CER-direktivetEuropaparlamentets och rådets direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft och om upphävande av direktiv 2008/114/EG. (Critical Entities Resilience Directive), som antogs 2022. Dessutom föreslås det att hamninnehavare i hamnar för utrikesfart ska åläggas en skyldighet att genom en säkerhetsutredning av person säkerställa oförvitligheten och tillförlitligheten i fråga om vissa arbetstagargrupper. Utöver den nya lagen föreslås det ändringar i sex lagar. Utskottet tillstyrker lagförslagen, men med de synpunkter och ändringsförslag som framgår nedan. 

Syftet med CER-direktivet är att stärka de kritiska aktörers förmåga att reagera på hot som äventyrar produktionen av tjänster som är viktiga med tanke på samhällets funktionsförmåga. Förvaltningsutskottet har lämnat ett utlåtande om förslaget till CER-direktiv (FvUU 14/2021 rd), där utskottet bland annat bedömer att direktivet höjer den allmänna kristålighetsnivån i Europeiska unionens medlemsländer. Utskottet anser det vara ytterst viktigt att beredskapen samt motståndskraften stärks i EU:s medlemsstater. 

Utskottet noterar att CER-direktivet utgör en del av en större helhet, som också omfattar en ny cybersäkerhetsstrategi och ett cybersäkerhetsdirektivEuropaparlamentets och rådets direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148. (NIS 2-direktivet), som gavs samtidigt som CER-direktivet. Riksdagen har nyligen antagit lagstiftning om genomförandet av cybersäkerhetsdirektivet (KoUB 1/2025 rd — RP 57/2024 rd, FvUU 15/2024 rd). Tidsfristen för det nationella genomförandet av båda direktiven var den 17 oktober 2024. Finlands regering har besvarat kommissionens formella underrättelse om genomförandet av direktiven. 

I CER-direktivet fastställs skyldigheter för medlemsstaterna att vidta åtgärder som syftar till att säkerställa att tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet tillhandahålls på ett obehindrat sätt på den inre marknaden. I direktivet fastställs harmoniserade minimiregler för förfaranden och krav som syftar till att säkerställa tillhandahållandet av samhällsviktiga tjänster, stärka kritiska aktörers motståndskraft och förbättra det gränsöverskridande samarbetet mellan myndigheter. I direktivet fastställs minimimål och medlemsstaterna ges utrymme för egen bedömning av hur de ska genomföra de åtgärder som krävs för att uppnå dessa mål. Nationell lagstiftning som går längre än målen med direktivet är möjlig. 

I Finland har begreppen kritisk infrastruktur eller samhällsviktiga aktörer inte definierats på lagstiftningsnivå. Till samhällets vitala funktioner hör enligt säkerhetsstrategin ledningen av staten, internationell och EU-verksamhet, försvarsförmåga, inre säkerhet, ekonomi, infrastruktur och försörjningsberedskap, befolkningens handlingsförmåga och service samt mental kristålighet. Bestämmelser om beredskap och försörjningsberedskap finns i ett flertal olika lagar. Bestämmelser om beredskapsskyldighet inom branscher som upprätthåller samhällets vitala funktioner finns till exempel inom energisektorn, finansbranschen, hälso- och sjukvården och läkemedelsförsörjningen samt i fråga om digitala tjänster. Lagstiftning om beredskap finns förutom i sektorspecifika bestämmelser också i beredskapslagen (1552/2011), där det bland annat föreskrivs om de behöriga myndigheternas beredskapsskyldighet. 

Den föreslagna regleringen berör flera förvaltningsområden. Den gällande sektorspecifika regleringen kompletteras av en allmän lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft. Åtgärderna enligt den föreslagna lagen, försörjningsberedskapsverksamheten och beredskapen enligt beredskapslagen kompletterar varandra. Förvaltningsutskottet konstaterar att beredskapslagen och försörjningsberedskapslagstiftningen håller på att revideras. Dessutom pågår ett projekt som gäller statsrådets säkerhetsledning. Utskottet framhåller att de nationella åtgärder som CER-regleringen förutsätter bör ordnas så att den bildar en fungerande och logisk helhet tillsammans med EU:s cybersäkerhetsreglering (NIS 2), EU:s reglering om den digitala operativa motståndskraften i finanssektorn (DORA), den nya försörjningsberedskapslagstiftning som är under beredning samt den sektorsspecifika lagstiftningen. 

Förvaltningsutskottet har fått utlåtande av kommunikationsutskottet (KoUU 2/2025 rd), jord- och skogsbruksutskottet (JsUU 2/2025 rd), social- och hälsovårdsutskottet (ShUU 1/2025 rd) och ekonomiutskottet (EkUU 5/2025 rd). Förvaltningsutskottet behandlar i detta betänkande vissa frågor som lyfts fram i utlåtandena och hänvisar i övrigt till dem. 

Lagens tillämpningsområde och avgränsningar av det

CER-direktivets tillämpningsområde omfattar följande elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Av dessa har energi och transport indelats i undersektorer. Kommissionen har antagit en delegerad förordning om komplettering av CER-direktivetKommissionens delegerade förordning (EU) 2023/2450 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.. Genom den delegerade förordningen upprättas en förteckning över de viktigaste tjänsterna. Listan är inte uttömmande. 

Skyldigheterna enligt CER-direktivet gäller inte tillhandahållare av socialvårdstjänster. I den föreslagna lagen har det dock gjorts en nationell utvidgning i fråga om socialvården på grund av den finländska social- och hälsovårdens ömsesidiga beroende och servicestruktur. Av 1 § 4 mom. i lagförslaget framgår att lagen tillämpas inte bara på tjänsteanordnare och tjänsteproducenter inom hälso- och sjukvården enligt 4 § i lagen om tillsynen över social- och hälsovården (741/2023) utan också på tjänsteanordnare och tjänsteproducenter som ordnar eller producerar socialservice. På välfärdsområdena tillämpas lagen i fråga om den social- och hälsovård som de ordnar och producerar, men inte i fråga om räddningsväsendet. Tillämpningsområdet omfattar i Finland anordnare och producenter av offentliga och privata social- och hälsovårdstjänster, det vill säga främst välfärdsområden och privata social- och hälsovårdsföretag. Även social- och hälsovård som ordnas av staten hör i regel till lagens tillämpningsområde. Förvaltningsutskottet anser i likhet med social- och hälsovårdsutskottet att det är motiverat och viktigt att direktivets bestämmelser utvidgas nationellt till att gälla också socialvården. Den nationella utvidgningen gör det bland annat möjligt att utse företag som tillhandahåller privata social- och hälsovårdstjänster till kritiska aktörer. 

Social- och hälsovårdsutskottet påpekar i sitt utlåtande att även Folkpensionsanstalten definieras som tjänsteanordnare i 4 § i lagen om tillsyn över social- och hälsovården. Enligt uppgift är avsikten dock inte att den föreslagna lagen ska tillämpas på Folkpensionsanstalten. Förvaltningsutskottet föreslår att bestämmelserna preciseras i detta avseende. I övrigt är det motiverat att bedöma omfattningen av lagens tillämpningsområde först efter att det har inhämtats tillräcklig erfarenhet av tillämpningen av lagen. 

När det gäller livsmedel tillämpas CER-direktivet endast på livsmedelsföretag som definieras i EU:s livsmedelsförordning och som bedriver logistikverksamhet och grossisthandel samt storskalig industriell produktion och bearbetning. Enligt preliminära bedömningar omfattar tillämpningsområdet för direktivet och den föreslagna lagen inte särskilt många företag inom livsmedelsbranschen. Av definitionen av livsmedelssektorn följer att primärproduktion inte heller omfattas av direktivets tillämpningsområde. Jord- och skogsbruksutskottet anser i sitt utlåtande det motiverat att man vid det nationella genomförandet av CER-direktivet har följt direktivet då man begränsat tillämpningsområdet berörande livsmedelskedjan. Jord- och skogsbruksutskottet anser det vara livsviktigt att man som en del av arbetet för att säkra försörjningsberedskapen i fråga om livsmedel också stöder kontinuiteten i primärproduktionsföretagen till exempel för att i krissituationer trygga distributionen och lagringen av bränsle samt tillgången till el i gårdsbruksenheterna. 

NIS 2-direktivet förutsätter att skyldigheterna enligt direktivet i fråga om riskhantering i samband med cybersäkerhet och rapportering av betydande incidenter också tillämpas på kritiska aktörer som identifieras med stöd av CER-direktivet. I propositionsmotiven sägs det att statsrådet separat bereder en proposition med förslag till sådana tekniska lagstiftningsändringar som behövs för att skyldigheterna enligt cybersäkerhetslagen (124/2025, RSv 15/2025 rd — RP 57/2024 rd) ska kunna tillämpas på kritiska aktörer på det sätt som NIS 2- och CER-direktiven förutsätter. Denna proposition (RP 27/2025 rd) har nyligen lämnats till riksdagen. 

Kommunikationsutskottet fäster i sitt utlåtande förvaltningsutskottets uppmärksamhet vid att lagen om informationshantering inom den offentliga förvaltningen (906/2019) i samband med riksdagsbehandlingen av bestämmelserna om genomförandet av NIS 2-direktivet preciserades på det sätt som grundlagsutskottet (GrUU 62/2024 rd) förutsatt. Lagens 4 a kap. om skyldigheter som gäller cybersäkerhet och tillsynen över att skyldigheterna fullgörs tillämpas därför inte på riksdagens ämbetsverk. Förvaltningsutskottet konstaterar att till exempel riksdagen, riksdagens justitieombudsman och justitiekanslern i statsrådet har ställts utanför lagens tillämpningsområde i 2 § 1 mom. i lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft. Enligt det föreslagna 1 § 2 mom. avses med CER-direktivets kategorier av aktörer inom sektorn offentlig förvaltning de myndigheter som anges i 4 § 1 mom. 1 punkten i lagen om offentlighet i myndigheternas verksamhet (621/1999), det vill säga statliga förvaltningsmyndigheter samt övriga statliga ämbetsverk och inrättningar. Lagens tillämpningsområde omfattar alltså inte till exempel riksdagens ämbetsverk. Regleringen behöver inte preciseras till denna del. 

Utskottet påpekar för tydlighetens skull att den föreslagna lagen inte heller tillämpas på myndighetsverksamhet inom området för försvaret, den nationella säkerheten och den allmänna ordningen och säkerheten, eller på förebyggande av brott, brottsutredning, förande av brott till åtalsprövning eller väckande av åtal. Den föreslagna lagen tillämpas därför inte till exempel på Försvarsmakten, Gränsbevakningsväsendet, polisen, skyddspolisen, åklagarväsendet eller Tullen. 

Den riksomfattande planen och den nationella riskbedömningen

För att stärka kritiska aktörers motståndskraft och uppnå de allmänna målen för verksamheten ska statsrådet enligt förslaget i fortsättningen anta en riksomfattande plan som fungerar som nationell strategi. Statsrådet ska dessutom minst vart fjärde år godkänna en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Den riksomfattande planen och den nationella riskbedömningen ska godkännas första gången senast den 17 januari 2026. 

I den senast utarbetade nationella riskbedömningen 2023 identifierades cirka 20 centrala risker med stor nationell betydelse. Den nuvarande nationella riskbedömningen som baserar sig på EU:s civilskyddsmekanismEuropaparlamentets och rådets beslut nr 1313/2013/EU om en civilskyddsmekanism för unionen. motsvarar inte riskbedömningen enligt CER-direktivet. Riskbedömningen enligt civilskyddsmekanismen och andra relevanta riskbedömningar beaktas dock vid utarbetandet av riskbedömningen enligt den föreslagna lagen. 

Riskbedömningen enligt den föreslagna lagen ska omfatta relevanta risker för naturolyckor, risker orsakade av människan, risker av sektorsövergripande eller gränsöverskridande slag, olyckor och naturkatastrofer, hot mot folkhälsan, hybridhot och en främmande stats verksamhet (statlig påverkan), hot relaterat till terroristbrott, hot relaterade till missbruk av geografisk information samt övriga hot. Utskottet anser det motiverat att riskbedömningen enligt den nya lagen är så heltäckande som möjligt. 

Missbruk av geografisk information har enligt propositionsmotiven identifierats som en relevant risk, eftersom platsbunden information är ett kritiskt element för informationssamhället, och geografisk information också kombineras med annan viktig objektinformation. Jord- och skogsbruksutskottet lyfter i sitt utlåtande fram att redan i samband med behandlingen av redogörelsen om politiken för geografisk information 2018 betonades vikten av att säkerställa innehållet i och tillgången till den geografiska information som behövs i de företag som av säkerhetsmyndigheterna klassificerats som kritiska. Förvaltningsutskottet fäste då uppmärksamhet vid riskerna med missbruk av geografisk information (FvUU 24/2018 rd — SRR 2/2018 rd). 

Utskottet anser att den riksomfattande planen och den nationella riskbedömningen är viktiga dokument, eftersom fastställandet av kritiska aktörer och stödjandet av dem på det sätt som avses i den föreslagna lagen baserar sig på ett riskbaserat synsätt och den nationella riskbedömningen utnyttjas vid fastställandet av kritiska aktörer. En riskbaserad ansats innebär att åtgärderna riktas till de aktörer som har störst betydelse för nödvändiga samhällsfunktioner eller ekonomisk verksamhet. 

Identifiering av kritiska aktörer och de kritiska aktörernas viktigaste skyldigheter

I enlighet med CER-direktivet innehåller lagförslaget en process för identifiering av kritiska aktörer och gemensamma kriterier för identifieringen samt skyldigheter för kritiska aktörer att stärka sin motståndskraft och sin kapacitet att tillhandahålla samhällsviktiga tjänster åtminstone i enlighet med minimikraven i direktivet. Vid identifieringen av kritiska aktörer beaktas bland annat den nämnda riksomfattande planen för kritiska aktörers motståndskraft och den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft samt den gränsöverskridande verksamheten och den europeiska enhetligheten. 

Utskottet påpekar att identifieringen av kritiska aktörer är av central betydelse, eftersom bestämmelserna i lagen ska tillämpas på de aktörer som identifieras som kritiska aktörer genom beslut av det behöriga ministeriet. En privat eller offentlig sammanslutning eller en funktionell del av en sådan kan enligt den föreslagna 10 § för det första definieras som en kritisk aktör, om den tillhandahåller en eller flera tjänster som är viktiga med tanke på samhällets funktionsförmåga. Dessutom förutsätts det att aktören är verksam och att den kritiska infrastruktur som aktören äger, innehar eller använder finns inom finskt territorium. En incident, det vill säga en händelse som avsevärt kan störa eller stör tillhandahållandet av en viktig tjänst, ska ha betydande störande effekter för tillhandahållandet av aktörens en eller flera viktiga tjänster eller tillhandahållandet av andra viktiga tjänster inom sektorer som är beroende av tjänsten. 

Ett ärende som gäller identifiering av en kritisk aktör ska avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör. Beslutet är i kraft högst fyra år. Ministeriet kan återkalla ett beslut, om den kritiska aktören inte längre uppfyller förutsättningarna för beslutet eller om den kritiska aktören har upphört med sin verksamhet. Ministeriets beslut om identifiering av kritiska aktörer ska fattas första gången senast den 17 juli 2026. 

De viktigaste skyldigheterna för en kritisk aktör hänför sig till riskbedömningen, planen för motståndskraft och åtgärderna för att säkerställa motståndskraften. En kritisk aktör ska enligt förslaget göra en riskbedömning vid behov och minst vart fjärde år. När riskbedömningen görs ska hänsyn tas till den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft samt till andra informationskällor som är relevanta med tanke på riskbedömningen. En kritisk aktör ska för att säkerställa sin motståndskraft vidta lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder på grundval av den kritiska aktörens riskbedömning och annan relevant information och utarbeta en plan för att säkerställa motståndskraften mot störningar. Förvaltningsutskottet anser det viktigt att de kritiska aktörerna inte orsakas oskälig administrativ börda av skyldigheterna enligt den föreslagna lagen. Till denna del är det motiverat att en riskbedömning eller plan inte måste göras upp separat, om en sådan redan har gjorts upp för motsvarande ändamål, utan samma dokument kan användas. 

Lagförslaget ålägger en kritisk aktör att utan obefogat dröjsmål lämna in en anmälan till tillsynsmyndigheten och Statsrådets lägescentral om varje incident som medför eller kan medföra en störning i tillhandahållandet av samhällsviktiga tjänster. Utskottet föreslår på det sätt som framgår av detaljmotiveringen att regleringen preciseras så att anmälningsskyldigheten gäller betydande incidenter. 

Behöriga myndigheter

Enligt artikel 9.1 i CER-direktivet ska medlemsstaterna utse eller inrätta en eller flera behöriga myndigheter som ansvarar för den korrekta tillämpningen av direktivet på nationell nivå. Enligt artikel 9.2 i direktivet ska varje medlemsstat utse eller inrätta en gemensam kontaktpunkt för att säkerställa ett gränsöverskridande samarbete med de gemensamma kontaktpunkterna i andra medlemsstater. I förekommande fall ska medlemsstaten utse den gemensamma kontaktpunkten i anslutning till den behöriga myndigheten. Vid behov får en medlemsstat föreskriva att dess gemensamma kontaktpunkt ska ha en sambandsfunktion med kommissionen och säkerställa samarbete med tredjeländer. 

Förvaltningsutskottet konstaterar att det genom den föreslagna lagstiftningen inte inrättas nya myndigheter. Inrikesministeriet ska enligt lagförslaget svara för samordningsuppgiften, det vill säga sköta den allmänna styrningen, uppföljningen, samordningen och utvecklingen av verksamheten enligt den föreslagna lagen. Inrikesministeriet är behörig myndighet enligt artikel 9.1 i CER-direktivet och svarar för att det organ som sköter den nationella kontaktpunktens uppgifter anmäls till kommissionen. 

Andra behöriga myndigheter i den föreslagna lagen är de ministerier som ansvarar för att definiera kritiska aktörer inom sitt ansvarsområde samt de tillsynsmyndigheter som anges i 19 § i CER-lagen. Tillsynsmyndigheterna är de samma som redan nu utövar tillsyn inom sitt ansvarsområde. De skyldigheter som bestämts och föreskrivits för kritiska aktörer övervakas av Energimyndigheten, Närings-, trafik- och miljöcentralen i Södra Savolax, Transport- och kommunikationsverket, Säkerhets- och utvecklingscentret för läkemedelsområdet, Livsmedelsverket, Säkerhets- och kemikalieverket, Tillstånds- och tillsynsverket för social- och hälsovården och regionförvaltningsverken. Sakkunniga har påpekat att ingen myndighet i den föreslagna lagen har ålagts tillsynsuppgifter inom rymdsektorn. Utskottet föreslår att bestämmelserna preciseras till denna del. Utskottet påpekar dessutom i detta sammanhang att riksdagen för närvarande behandlar regeringens proposition med förslag till lagstiftning om en reform av statens regionförvaltning (RP 13/2025 rd), där det föreslås att uppgifterna hos de nuvarande regionförvaltningsverken, Tillstånds- och tillsynsverket för social- och hälsovården och NTM-centralerna överförs till de nya ämbetsverk som ska inrättas. 

Ekonomiutskottet noterar i sitt utlåtande att det i propositionen inte utses någon gemensam kontaktpunkt, utan det föreslås att kontaktpunktens uppgifter enligt direktivet ska fördelas mellan flera aktörer, såsom statsrådets lägescentral, inrikesministeriet och Försörjningsberedskapscentralen. Ekonomiutskottet anser att den valda lösningen är problematisk med tanke på ett noggrant genomförande av direktivet och uppmanar förvaltningsutskottet att i sitt betänkande bedöma om den föreslagna regleringen till denna del motsvarar de krav som ställs på genomförandet av direktivet. Ekonomiutskottet konstaterade i sitt betänkande om redogörelsen om försörjningsberedskap (EkUB 51/2022 rd — SRR 8/2022 rd) att Försörjningsberedskapscentralen, som är den praktiska anordnaren av försörjningsberedskapsfrågor inom sektorn, vore ett naturligt val till en nationell kontaktpunkt enligt CER-direktivet. Också kommunikationsutskottet, jord- och skogsbruksutskottet och social- och hälsovårdsutskottet fäster i sina utlåtanden uppmärksamhet vid Försörjningsberedskapscentralens roll i den föreslagna lagstiftningen. 

Förvaltningsutskottet anser det motiverat att den behöriga myndighetens uppgifter och tillsynsuppgifter decentraliseras till sektormyndigheterna, eftersom de bäst känner till särdragen inom sina egna ansvarsområden. Däremot beklagar utskottet att det av propositionsmotiven inte särskilt tydligt framgår hur den gemensamma kontaktpunktens uppgifter enligt CER-direktivet ska ordnas i Finland och till vilken myndighet uppgifterna ska anvisas. Den gemensamma kontaktpunktens funktioner anvisas i den föreslagna lagen till statsrådets lägescentral, som svarar för förmedlingen av incidentanmälningar till kommissionen och till andra medlemsstater vid gränsöverskridande störningar. Enligt propositionen är jourverksamheten i anslutning till statsrådets beslutsfattande i nuläget koncentrerad till statsrådets lägescentral, och denna uppgift enligt CER-direktivet är lämplig med tanke på lägescentralens nuvarande verksamhetsfält. Störningssituationer och förmedling av information om störningar kan också vara förenade med utrikes- och säkerhetspolitiska aspekter och utrikespolitisk prövning. Förvaltningsutskottet anser att den föreslagna modellen motsvarar direktivets bestämmelser om att utse en gemensam kontaktpunkt i anslutning till den behöriga myndigheten. 

Bestämmelser om Försörjningsberedskapscentralens uppgifter finns i 6 § i lagen om tryggande av försörjningsberedskapen (1390/1992). Försörjningsberedskapscentralens uppgifter gäller främjande, utveckling, tryggande och upprätthållande av försörjningsberedskapen, såsom att utveckla samarbetet mellan den offentliga förvaltningen och näringslivet i frågor som gäller försörjningsberedskapen, säkerställa funktionen hos sådana tekniska system som är livsviktiga med tanke på försörjningsberedskapen, trygga kritisk varu- och tjänsteproduktion och sådan produktion som stöder det militära försvaret samt sköta den obligatoriska upplagringen och skyddsupplagringen. Försörjningsberedskapscentralen sköter också de uppgifter som den nationella behöriga myndigheten enligt en EU-förordningEuropaparlamentets och rådets förordning (EU) 2017/1938 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010). har i anslutning till tryggandet av gasleveranssäkerheten samt vissa uppgifter enligt speciallagstiftningen. 

Av propositionsmotiven framgår att Försörjningsberedskapscentralens rättsliga karaktär för närvarande är något oklar. Till exempel föreskrivs det inte uttryckligen i lagen om tryggande av försörjningsberedskapen om att centralen har ställning som ett sådant ämbetsverk inom statens centralförvaltning som avses i 119 § i grundlagen. Riksdagen godkände 2023 statsrådets redogörelse om försörjningsberedskapen (RSk 86/2022 rd — SRR 8/2022 rd), där de centrala utvecklingsmålen för försörjningsberedskapen anges. I redogörelsen konstateras bland annat att det finns ett behov av att utveckla lagstiftningen om försörjningsberedskapen. En övergripande översyn av lagstiftningen om försörjningsberedskapen ingår också i regeringsprogrammet. Lagstiftningen bedöms som helhet i ett projekt som arbets- och näringsministeriet tillsatt och vars mandatperiod löper ut den 31 december 2025. Syftet med uppdateringen av bestämmelserna är bland annat att närmare fastställa Försörjningsberedskapscentralens uppgifter och att förtydliga Försörjningsberedskapscentralens rättsliga ställning på författningsnivå samt att uppdatera bestämmelserna så att de motsvarar grundlagens och riksdagens grundlagsutskotts senaste utlåtandepraxis. Vidare är helheten förknippad med en omprövning av finansieringen av försörjningsberedskapen. 

Enligt 8 § i lagförslaget ska inrikesministeriet, sektorministerierna och tillsynsmyndigheterna i samarbete med Försörjningsberedskapscentralen på ett övergripande plan främja helheter som hänför sig till kritiska aktörers motståndskraft mot störningar och vidta särskilda åtgärder i detta syfte. Tillsynsmyndigheten ska i samarbete med Försörjningsberedskapscentralen ge kritiska aktörer sådant stöd som avses i artikel 10.1 i CER-direktivet. Detta stöd kan utgöras av utarbetande av vägledningsmaterial och metoder, stöd för övningar för att testa motståndskraften samt rådgivning och utbildning. Ett utlåtande ska också begäras av Försörjningsberedskapscentralen innan beslut fattas om att utse en kritisk aktör. Bestämmelser om Försörjningsberedskapscentralens rätt att få information finns i 16 och 27 § i den föreslagna lagen. Dessa uppgifter är enligt propositionsmotiven uppgifter som stöder Försörjningsberedskapscentralens nuvarande verksamhet och som inte omfattar utövning av offentlig makt. 

Förvaltningsutskottet anser liksom utlåtandeutskotten att det är viktigt att befintliga försörjningsberedskapsstrukturer kan utnyttjas så effektivt som möjligt vid det nationella genomförandet av CER-direktivet. Enligt motiveringarna är utgångspunkterna och principerna i lagförslaget, som grundar sig på CER-direktivet, delvis annorlunda än i det finländska beredskaps- eller försörjningsberedskapssystemet. Lagförslaget bygger dock på utnyttjande av befintliga beredskaps- och försörjningsberedskapsstrukturer. Förvaltningsutskottet instämmer i ekonomiutskottets åsikt om att det inte framgår av propositionen vilka konsekvenser förslaget har för de bestämmelser om försörjningsberedskap eller den verksamhet inom försörjningsberedskapsorganisationen som är under beredning. Utskottet betonar dock med hänvisning till det som sägs ovan att Försörjningsberedskapscentralens ställning och uppgifter granskas i det pågående lagstiftningsprojektet. Förvaltningsutskottet anser att det inte är ändamålsenligt att göra ändringar i Försörjningsberedskapscentralens uppgifter under riksdagsbehandlingen av den nu aktuella propositionen. 

Rätt till information och informationsutbyte

Enligt det föreslagna 16 § 1 mom. ska den som med stöd av CER-lagen fastställts som kritisk aktör utan obefogat dröjsmål lämna in en anmälan till den behöriga tillsynsmyndigheten och Statsrådets lägescentral om varje incident som medför eller kan medföra en störning i tillhandahållandet av samhällsviktiga tjänster. Den första anmälan ska lämnas in inom 24 timmar från det att den kritiska aktören fått kännedom om en incident, om inte något annat följer av ett nödvändigt operativt skäl. En detaljerad rapport ska vid behov lämnas senast inom en månad till det ministerium som sköter samordningsuppgiften, det ministerium som ansvarar för sektorn och den behöriga tillsynsmyndigheten. 

Försörjningsberedskapscentralen har enligt 16 § 4 mom. trots sekretessbestämmelserna rätt att få sådan information om den första anmälan och den detaljerade rapporten som bedöms vara nödvändig för utförande av centralens uppgifter och för stödjande av de ministerier som saken gäller och de behöriga tillsynsmyndigheterna. 

Enligt den föreslagna 27 § har tillsynsmyndigheten trots sekretessbestämmelserna rätt att av myndigheter och aktörer som identifierats som kritiska avgiftsfritt få den information som är nödvändig för skötseln av myndighetens uppgifter och att lämna ut nödvändiga uppgifter till andra tillsynsmyndigheter och tillsynsmyndigheter enligt 26 § i cybersäkerhetslagen samt till inrikesministeriet som är samordnande ministerium samt till det ministerium till vars ansvarsområde det ärende som behandlas hör. Tillsynsmyndigheten har rätt att lämna ut nödvändig information också till Försörjningsberedskapscentralen för utförande av dess uppgifter. Den rätt att få information som avses ovan gäller inte information som behandlas av den CSIRT-enhet som avses i 19 § i cybersäkerhetslagen och som finns vid Transport- och kommunikationsverket. 

Förvaltningsutskottet påpekar att hybridhoten är mångdimensionella med avsikt. Konsekvenserna av och ansvaret för att bekämpa dem berör åtskilliga nationella myndigheter. Utskottet ser det som angeläget att förvaltningsövergripande bereda sig på dessa påverkansförsök på alla nivåer i samhället i enlighet med modellen för den övergripande säkerheten. Ett nära samarbete mellan säkerhetsmyndigheterna och andra aktörer och ett fungerande informationsutbyte är nödvändigt för en effektiv bekämpning av hybridhot. 

När hybridhot realiseras syns de i början i allmänhet inom verksamhetsområdet för den inre säkerheten och i synnerhet inom polisens och Gränsbevakningsväsendets verksamhet i och med att de är första insatsmyndigheter vid oklara hot och händelser så länge de inte kan uppfattas eller identifieras som militära hot. Påverkansåtgärder behandlas åtminstone i initialskedet huvudsakligen som brott eller ordningsstörningar, där de operativa åtgärderna och utredningen huvudsakligen hör till polisens behörighet. Andra myndigheter ger vid behov polisen handräckning, om polisens egna resurser inte räcker till. Denna behörighetsfördelning enligt gällande lagstiftning har på senare tid synts bland annat i fall av skadorna på den marina infrastrukturen i Östersjön. De regionala polisinrättningarna svarar för polisens operativa första insatser inom sina områden 24/7. 

Polisen har som mål att i så stor utsträckning som möjligt förebygga hot bland annat i samarbete med ägarna och innehavarna av kritisk infrastruktur. För att kunna sköta sin egen uppgift behöver polisen utan dröjsmål få information om hot mot kritisk infrastruktur. Sakkunniga har påpekat att bestämmelserna om anmälningsskyldighet och rätt att få information enligt den föreslagna lagen inte främjar polisens rätt att få information utan dröjsmål. Förvaltningsutskottet anser det vara viktigt att polisen har en så omfattande och aktuell lägesbild som möjligt av hoten mot den kritiska infrastrukturen. 

Statsrådets lägescentral, som enligt de föreslagna bestämmelserna ska underrättas om incidenter, har enligt 4 § i lagen om centralen (300/2017) rätt att till exempel till behöriga myndigheter lämna ut sekretessbelagda uppgifter som centralen fått med stöd av den lagen, om de är nödvändiga för det beslutsfattande som säkerhetssituationen kräver eller för att avvärja en omedelbart förestående allvarlig fara som hotar den allmänna säkerheten. Eftersom en incident enligt den föreslagna lagen inte anmäls direkt till den behöriga säkerhetsmyndigheten, kan informationen om incidenterna i vissa fall fördröjas obefogat. Detta försvårar för sin del bildandet av en lägesbild. 

Utskottet konstaterar att målen för den föreslagna lagstiftningen hänför sig särskilt till förbättringen av de kritiska aktörernas kristålighet. De åtgärder som lagen förutsätter är förebyggande för att förhindra händelser och lindra följderna av dem. Utskottet anser det vara viktigt att de kritiska aktörerna anmäler olika incidenter till polisen med låg tröskel. Utskottet föreslår dock inga ändringar i bestämmelserna i detta sammanhang. 

I CER-direktivet förutsätts att medlemsstaterna underlättar frivillig informationsdelning mellan kritiska aktörer i frågor som omfattas av direktivet, i enlighet med unionsrätten och nationell rätt, särskilt i fråga om sekretessbelagd och känslig information, konkurrens och skydd av personuppgifter. Sakkunniga har påpekat att detta mål inte har beaktats i lagförslaget och att eventuella lagstiftningshinder för att utbyta information eller få riksomfattande information som gäller ansvarsområdet inte har behandlats i propositionen. Utskottet konstaterar att behovet av ändringar i bestämmelserna också i detta fall måste bedömas senare. 

Säkerhetsutredningar i hamnar för utrikesfart

I propositionen föreslås ändringar som förbättrar hamnarnas säkerhet i säkerhetsutredningslagen (726/2014, lagförslag 2) och i lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet (485/2004, lagförslag 5). 

Syftet med de föreslagna bestämmelserna är att förhindra att kritiska uppgifter om hamnar används för verksamhet som äventyrar statens säkerhet eller för främjande av organiserad brottslighet. För hamnarna har hybridhot samt hot om spioneri och brottslighet fått större betydelse än tidigare. Hamnarnas centrala betydelse gör att såväl statliga som icke-statliga aktörer, inbegripet organiserade kriminella grupper, kan försöka utnyttja hamnar i olika olagliga och skadliga syften eller störa eller skada hamnarnas verksamhet. Hamnar, liksom andra transportnav, är potentiellt intressanta objekt för terroristiska aktörer på grund av flödet av varor och passagerare. 

På grund av sina passagerar- och logistikdata utgör hamnarna också ett potentiellt intressant mål för spioneri för statliga aktörer och erbjuder en möjlighet att följa eller påverka passagerar-, material- och energiflöden som är livsviktiga för Finland. Hamnarna har också betydelse för landets försvar, och de kan bl.a. användas för att ta emot och tillhandahålla militärt stöd. 

Enligt Europol, EU:s byrå för samarbete inom brottsbekämpning, har den organiserade brottsligheten fått ett större fotfäste i de europeiska hamnarna, vilket har lett till en betydande ökning av narkotikasmugglingen. Enligt Europol använder organiserade kriminella grupper sin insiderposition i synnerhet för att smuggla narkotika i fartygscontainrar. En organiserad kriminell grupp kan främja smuggling bl.a. genom att skaffa tillgång till och rätt att göra ändringar i informationssystem som gäller lasthantering eller passerkontroll och annan övervakning. 

Enligt de föreslagna bestämmelserna ansvarar hamninnehavaren för ansökan om säkerhetsutredningar. En sådan centraliserad modell har valts bland annat av skäl som hänför sig till säkerställandet av informationssäkerheten och effektiviteten i utredningsförfarandet. I samband med att en säkerhetsutredning görs behandlas omfattande uppgifter om föremålet för utredningen och som resultat av utredningen kan den sökande få känsliga personuppgifter eller känsliga uppgifter med avseende på statens säkerhet. Med tanke på integritetsskyddet för den som är föremål för utredningen och på den nationella säkerheten är det ändamålsenligt att uppgifterna i säkerhetsutredningen inte behandlas i större omfattning än vad som är nödvändigt. I Finland finns det cirka 65 hamninnehavare med hamnar i utrikesfart, men betydligt fler hamnoperatörer i hamnarna. Genom att endast hamninnehavare kan ansöka om säkerhetsutredningar minimeras riskerna i samband med hanteringen av känsliga uppgifter. Detta är motiverat också för att säkerställa en jämlik behandling av de personer som utreds. Den föreslagna modellen motsvarar utgångspunkten i den gällande lagen, där hamninnehavaren har det övergripande ansvaret för säkerheten i hamnen. Utskottet anser att den föreslagna modellen är motiverad. 

Med stöd av den gällande lagen om säkerhetsutredningar kan normala säkerhetsutredningar göras i fråga om hamnarnas säkerhetspersonal. Dessutom är det möjligt att göra en begränsad säkerhetsutredning i fråga om den som utses till ett anställningsförhållande eller ett uppdrag eller den som sköter ett anställningsförhållande eller ett uppdrag och som i hamnen får tillträde till utrymmen som är stängda för allmänheten. Utskottet anser att man utifrån den gällande lagstiftningen inte i tillräcklig utsträckning kan sörja för hamnarnas säkerhet i den nuvarande omvärlden. 

Resurser

Bedömningen av de ekonomiska konsekvenserna av den föreslagna lagstiftningen är enligt motiven förenad med osäkerhet, eftersom konsekvenserna beror på vilka aktörer som utifrån den nationella strategin och riskbedömningen definieras som kritiska aktörer. Genomförandet av skyldigheterna kan öka kostnaderna för de aktörer som identifieras som kritiska aktörer. Den lagstiftning som gäller innehåller dock redan liknande skyldigheter eller så har en del aktörer på frivillig redan basis ägnat uppmärksamhet åt sin motståndskraft exempelvis inom försörjningsberedskapsverksamheten. Vid verkställigheten av den föreslagna lagstiftningen bör man se till att de kritiska aktörernas kostnader eller administrativa börda inte ökar i onödan. 

För ministerierna uppkommer kostnader för de nya myndighetsuppgifter som genomförandet av CER-direktivet förutsätter. Tillsynen över skyldigheterna ökar i någon mån tillsynsmyndigheternas uppgifter och resursbehov. Utskottet anser det vara viktigt att tillräckliga resurser anvisas i synnerhet för tillsynen över den nya regleringen.