Perustelut
Laissa kansainvälisistä tietoturvallisuusvelvoitteista
(588/2004) säädetään
viranomaisten tehtävistä ja toimenpiteistä kansainvälisten
tietoturvallisuusvelvoitteiden toteuttamiseksi. Kyseisen lain mukaan
ulkoasiainministeriö toimii kansainvälisten tietoturvallisuusvelvoitteiden toteuttamisessa
Suomen kansallisena turvallisuusviranomaisena (National Security
Authority, NSA). Puolustusministeriö, pääesikunta
ja suojelupoliisi voivat toimia kansainvälisissä tietoturvallisuusvelvoitteissa
tarkoitettuina määrättyinä turvallisuusviranomaisina
(Designated Security Authority, DSA). Esityksessä ehdotetaan
muutoksia eräisiin edellä mainitun lain viranomaisten
tehtäviä ja salassapitoa koskeviin säännöksiin.
Tietoliikenteen ja tietojärjestelmien tietoturvallisuusviranomaisen
tehtävä
Kansainvälisistä tietoturvallisuusvelvoitteista annetussa
laissa ei nykyisellään ole määritelty viranomaista,
jonka tehtävänä olisi arvioida tietojärjestelmien
ja tietoliikennejärjestelyjen turvallisuutta (National
Communications Security Authority, jäljempänä NCSA-viranomainen). Valiokunnan
saaman selvityksen mukaan NCSA-viranomaisen Suomesta puuttumisen
on katsottu haittaavan monella tapaa Suomen osallistumista kansainväliseen
yhteistyöhön.
NCSA-viranomaisen tehtävässä on kysymys mm.
sellaisten kansainvälisten luokiteltua tietoa käsittelevien
tieto- ja tiedonvälitysjärjestelmien arvioinnista,
joita tarvitaan esimerkiksi eri maiden turvallisuusviranomaisten
välisessä sähköisessä tiedonvaihdossa.
Valiokunnan saaman selvityksen mukaan NCSA-viranomaisen puuttuminen
on ollut omiaan vaikeuttamaan mm. suomalaisten tietotekniikka-alan
toimijoiden osallistumista kansainvälisiin tarjouskilpailuihin, koska
näissä tarjouskilpailuissa tarvitaan usein NCSA-viranomaisen
tuotehyväksyntä tai lausunto. Kansallisen NCSA-viranomaisen
antamat lausunnot voivat koskea esimerkiksi vientiin tarjottavien
salausjärjestelmien ja salauslaitteiden turvallisuustasoa.
Esityksessä ehdotetaan, että Viestintävirasto hoitaisi
jatkossa NCSA-viranomaisen tehtäviä. Tästä syystä esitetään
muutettavaksi myös viestintähallinnosta annettua
lakia (625/2001). Käytännössä Viestintävirastossa
aloitti jo vuoden 2010 alussa toimintansa uusi kansallinen tietoturvaviranomainen
NCSA-FI, joka toimii asiantuntijana turvaluokitellun aineiston sähköiseen tiedonsiirtoon
ja käsittelyyn liittyvissä turvallisuusasioissa
ja hoitaa näihin asioihin liittyviä kansainvälisistä tietoturvallisuusvelvoitteista
johtuvia
tehtäviä.
Liikenne- ja viestintävaliokunta katsoo, että NCSA-viranomaisen
tehtävät sopivat luontevasti Viestintävirastolle,
ottaen huomioon viraston nykyinen tehtäväkokonaisuus
ja tietoturvaa koskeva asiantuntemus. Valiokunta pitää Viestintäviraston
uutta tehtävää merkittävänä ja
toteaa, että on välttämättömänä,
että kyseiset tehtävät vahvistetaan lailla
esityksen mukaisesti.
Resurssien tarve
Valtion talousarviossa vuodelle 2010 on varattu Viestintävirastolle
määräraha NCSA-viranomaisen tehtävien
hoitamiseen. Tällä kuitenkin mahdollistetaan ainoastaan
toiminnon liikkeelle lähteminen, ja jatkossa tehtävän
hoitamista varten tarvitaan huomattavasti enemmän rahoitusta
ja resursseja.
Esityksen perustelujen ja Viestintäviraston arvion
mukaan sen uusien tehtävien hoitaminen tulisi aloittaa
porrastetusti. Toiminnan ollessa neljän vuoden kuluttua
täysimääräisesti käynnissä,
kokonaiskustannusten on arvioitu olevan 1 650 000
euroa vuodessa ja henkilöresurssien tarve kymmenen henkilötyövuotta.
Toiminnan toteuttaminen vaatii välttämättä myös
riittävällä tavalla suojattuja suojatiloja
ja teknisiä järjestelmiä.
Valiokunta painottaa, että Suomen kansainvälisten
velvoitteiden täyttämisen, suomalaisen yritysmaailman
tarpeiden sekä mm. turvallisuusviranomaisten välisessä yhteistyössä välttämättömän
luottamuksen ja Suomesta ulkomaille luotettavana yhteistyökumppanina
syntyvän kuvan kannalta on keskeistä, että tehtävää varten varataan
riittävästi resursseja ja riittävä rahoitus.
Viestintävirasto ei ns. nettobudjetoituna virastona voi
käyttää muiden tehtäviensä rahoittamiseksi
esim. erilaisten maksujen kautta kerättyjä varoja
uuteen tehtäväänsä. Valiokunta
pitää välttämättömänä,
että NCSA-viranomaisen toiminnan liikkeelle lähdön
ja jatkumisen tarvitsemat resurssit turvataan siten, että tehtävä voidaan
hoitaa tehokkaasti ja siten, että uusi toiminto ei haittaa
Viestintäviraston muiden tehtävien hoitamista.
Valiokunta pitää tärkeänä ja
käytännön kannalta välttämättömänä lähtökohtana,
että kansainvälisten tietoturvallisuusvelvoitteiden
hoitaminen toteutetaan ns. "yhden luukun periaatteen" mukaisesti,
jotta muiden maiden viranomaisille ja muille toimijoille on varmasti
selvää, mikä viranomainen on Suomessa
toimivaltainen esim. NCSA-viranomaisen tehtävien suhteen.