Yleistä

Suomen turvallisuusympäristö on muuttunut nopeasti ja perustavanlaatuisesti Venäjän hyökättyä Ukrainaan. Turvallisuusympäristön muutokset ovat yhä vaikeammin ennakoitavia. Tilannekuvassa huomioon on otettava myös globaalit, pitkäaikaisemmat kehityskulut. Hallintovaliokunta katsoo, että turvallisuuteen liittyviä kysymyksiä on tarkasteltava laajana kokonaisuutena, jotta Suomen turvallisuuteen vaikuttavat tekijät ja ilmiöt sekä niiden väliset yhteydet voidaan mahdollisimman tehokkaasti havaita. Selvää jakoa ulkoisen ja sisäisen turvallisuuden välillä ei voida enää tehdä. Yhteisen tilannekuvan, tiedonhankinnan ja tietojohtoisen toiminnan merkitys niin strategisella kuin operatiivisella tasolla korostuu. Yhteiskunnan kriisinsietokyky (resilienssi), kansallinen puolustuskyky ja sisäisen turvallisuuden ylläpitäminen korostuvat muuttuneessa turvallisuustilanteessa.  

Hallintovaliokunta on antanut kuluvalla vaalikaudella lausunnon ulko- ja turvallisuuspoliittisesta selonteosta (HaVL 16/2024 vp) ja puolustusselonteosta (HaVL 7/2025 vp). Nämä selonteot muodostavat valmisteilla olevan sisäisen turvallisuuden selonteon kanssa jatkumon, joka luo suuntaviivat Suomen turvallisuuden vahvistamiselle. Valmistelussa oleva kansallisen turvallisuuden strategia täydentää selontekoja konkreettisilla toimenpide-ehdotuksilla ja ylivaalikautisella aikajänteellä. Tammikuussa 2025 on päivitetty valtioneuvoston periaatepäätöksenä annettu yhteiskunnan turvallisuusstrategia, jossa määritetään kokonaisturvallisuuden toimintamalli, jonka mukaan yhteiskunnan elintärkeistä toiminnoista huolehditaan viranomaisten, elinkeinoelämän, järjestöjen ja kansalaisten yhteistoimintana. Kokonaisturvallisuus muodostaa perustan suomalaisen yhteiskunnan kriisinkestävyydelle. Hallintovaliokunta pitää tärkeänä, että kaikki turvallisuusasiakirjat rakentuvat yhteiselle tilannekuvalle ja yhteiselle näkemykselle toimintaympäristömme uhista ja kehitysnäkymistä.  

Muuttuneen turvallisuus- ja toimintaympäristön uhat, kuten eri keinoja yhdistelevä sabotaasitoiminta ja hybridivaikuttaminen, vaikuttavat samanaikaisesti useampaan EU:n jäsenvaltioon. Tällaiset toimet voivat häiritä merkittävästi sisämarkkinoiden toimintaa ja vaikuttaa yhteiskunnan elintärkeisiin toimintoihin ja turvallisuuteen. Erityistä huomiota tulee kiinnittää kriittiseen infrastruktuuriin kohdistuviin valtiollisiin uhkiin. Valiokunta pitää välttämättömänä, että kriittinen infrastruktuuri kyetään kaikissa olosuhteissa turvaamaan. Tämä edellyttää toimivaa viranomaisten välistä sekä viranomaisten ja yksityisen sektorin välistä yhteistyötä ja tiedonkulkua.  

Hallituksen esityksessä ehdotetaan säädettäväksi uusi laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta, jolla pannaan täytäntöön vuonna 2022 annettu kriittisten toimijoiden häiriönsietokykyä koskeva ns. CER-direktiiviEuroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557 kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (Critical Entities Resilience Directive). Lisäksi ulkomaanliikenteen satamien satamanpitäjille ehdotetaan säädettäväksi velvollisuus varmistaa tiettyjen työntekijäryhmien nuhteettomuus ja luotettavuus henkilöturvallisuusselvityksellä. Säädettävän uuden lain lisäksi muutoksia ehdotetaan kuuteen lakiin. Valiokunta puoltaa lakiehdotusten hyväksymistä tästä mietinnöstä ilmenevin huomautuksin ja muutosehdotuksin. 

CER-direktiivin tarkoituksena on vahvistaa kriittisten toimijoiden kykyä vastata uhkiin, jotka vaarantavat yhteiskunnan toimintakyvyn kannalta keskeisten palveluiden tuottamisen kansalaisille ja yrityksille. Hallintovaliokunta on antanut CER-direktiiviehdotuksesta lausunnon (HaVL 14/2021 vp), jossa valiokunta on muun ohella arvioinut, että voimaan tultuaan direktiivi nostaa yleistä kriisinkestävyyden tasoa Euroopan unionin jäsenmaissa. Valiokunta pitää erittäin tärkeänä, että varautumista sekä häiriön- ja kriisinsietokykyä EU:n jäsenvaltioissa vahvistetaan. 

Valiokunta toteaa, että CER-direktiivi on osa laajempaa kokonaisuutta, johon kuuluvat myös uusi kyberturvallisuusstrategia ja CER-direktiivin kanssa samaan aikaan annettu EU:n kyberturvallisuusdirektiiviEuroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555 toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi). Eduskunta on hiljattain hyväksynyt kyberturvallisuusdirektiivin täytäntöönpanoa koskevan lainsäädännön (LiVM 1/2025 vp — HE 57/2024 vp, HaVL 15/2024 vp). Molempien direktiivien kansallisen täytäntöönpanon määräaika on ollut 17.10.2024. Suomen hallitus on antanut vastauksen direktiivien täytäntöönpanoa koskevaan komission viralliseen huomautukseen. 

CER-direktiivissä säädetään jäsenvaltioiden velvoitteista toteuttaa toimenpiteitä, joilla varmistetaan välttämättömien yhteiskunnan toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisten palvelujen häiriötön tarjonta sisämarkkinoilla. Direktiivissä määritetään yhdenmukaiset vähimmäissäännöt menettelyille ja vaatimuksille, joilla voidaan turvata keskeisten palvelujen tarjonta, vahvistaa kriittisten toimijoiden häiriönsietokykyä ja parantaa viranomaisten rajat ylittävää yhteistyötä. Direktiivissä asetetaan minimitavoitteet ja jäsenvaltiolle jätetään harkintavaltaa, miten se toteuttaa tavoitteiden saavuttamiseksi tarvittavat toimenpiteet. Direktiivin tavoitteita pidemmälle menevä kansallinen sääntely on mahdollista.  

Kriittistä infrastruktuuria tai yhteiskunnan toimintakyvyn kannalta keskeisiä toimijoita ei nykyisin määritellä Suomessa lainsäädännön tasolla. Yhteiskunnan elintärkeät toiminnot on määritelty yhteiskunnan turvallisuusstrategiassa, jonka mukaan niitä ovat johtaminen, kansainvälinen ja EU-toiminta, puolustuskyky, sisäinen turvallisuus, talous, infrastruktuuri ja huoltovarmuus, väestön toimintakyky ja palvelut sekä henkinen kriisinkestävyys. Varautumiseen ja huoltovarmuuteen liittyvää sääntelyä on useissa eri laeissa. Yhteiskunnan elintärkeitä toimintoja ylläpitävien toimialojen kriittisten palvelujen varautumisvelvollisuuksia koskevia säännöksiä on esimerkiksi energia-alalla, finanssialalla, terveydenhuollossa ja lääkehuollossa sekä digipalveluiden osalta. Varautumista koskevaa lainsäädäntöä on sektorikohtaisten säädösten lisäksi valmiuslaissa (1552/2011), jossa säädetään muun ohella toimivaltaisten viranomaisten varautumisvelvollisuudesta.  

Ehdotettu sääntely koskee useita hallinnonaloja. Yleislailla yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta täydennetään nykyistä sektorikohtaista sääntelyä. Ehdotetun lain mukaiset toimenpiteet, huoltovarmuustoiminta ja valmiuslain mukainen varautuminen täydentävät toisiaan. Hallintovaliokunta toteaa, että valmiuslakia ja huoltovarmuuslainsäädäntöä uudistetaan parhaillaan. Lisäksi käynnissä on valtioneuvoston turvallisuusjohtamista koskeva hanke. Valiokunta tähdentää, että CER-sääntelyn edellyttämä kansallinen toiminta tulee järjestää niin, että se muodostaa EU:n kyberturvallisuussääntelyn (NIS 2), finanssialan digitaalista häiriönsietokykyä koskevan EU-sääntelyn (DORA), valmisteilla olevan uuden huoltovarmuuslainsäädännön sekä sektorikohtaisen lainsäädännön kanssa toimivan ja johdonmukaisen kokonaisuuden. 

Hallintovaliokunta on saanut asiassa liikenne- ja viestintävaliokunnan (LiVL 2/2025 vp), maa- ja metsätalousvaliokunnan (MmVL 2/2025 vp), sosiaali- ja terveysvaliokunnan (StVL 1/2025 vp) ja talousvaliokunnan lausunnon (TaVL 5/2025 vp). Hallintovaliokunta käsittelee tässä mietinnössä eräitä lausunnoissa esiin nostettuja seikkoja ja viittaa muilta osin mainittuihin lausuntoihin. 

Lain soveltamisala ja sen rajaukset

CER-direktiivin soveltamisalaan kuuluu 11 toimialaa: energia, liikenne, pankkiala, rahoitusmarkkinoiden infrastruktuuri, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto, avaruus sekä elintarvikkeiden tuotanto, jalostus ja jakelu. Näistä energia ja liikenne on jaettu edelleen alasektoreihin. Komissio on antanut direktiivin nojalla delegoidun asetuksen CER-direktiivin täydentämisestäKomission delegoitu asetus (EU) 2023/2450 Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2557 täydentämisestä vahvistamalla luettelo keskeisistä palveluista, jossa vahvistetaan luettelo keskeisistä palveluista. Luettelo ei ole tyhjentävä.  

CER-direktiivin velvoitteet eivät kohdistu sosiaalihuollon tarjoajiin. Ehdotettuun lakiin on kuitenkin tehty kansallinen laajennus sosiaalihuollon osalta Suomen sosiaali- ja terveydenhuollon keskinäisriippuvuuden ja palvelurakenteen vuoksi. Lakiehdotuksen 1 §:n 4 momentista ilmenee, että lakia sovelletaan sosiaali- ja terveydenhuollon valvonnasta annetun lain (741/2023) 4 §:ssä tarkoitettujen terveydenhuollon palvelunjärjestäjien ja palveluntuottajien lisäksi myös sosiaalipalveluita järjestäviin tai tuottaviin palvelunjärjestäjiin ja palveluntuottajiin. Hyvinvointialueisiin lakia sovelletaan niiden järjestämän ja tuottaman sosiaali- ja terveydenhuollon osalta, mutta ei pelastustoimen osalta. Soveltamisala kattaa Suomessa julkiset ja yksityiset sosiaali- ja terveydenhuollon palvelujen järjestäjät ja tuottajat eli keskeisesti hyvinvointialueet sekä yksityiset sosiaali- ja terveyspalveluyrittäjät. Myös valtion järjestämä sosiaali- ja terveydenhuolto kuuluu lähtökohtaisesti lain soveltamisalaan. Hallintovaliokunta pitää sosiaali- ja terveysvaliokunnan tavoin perusteltuna ja tärkeänä, että direktiivin sääntely laajennetaan kansallisesti koskemaan myös sosiaalihuoltoa. Kansallinen laajennus mahdollistaa muun muassa yksityisiä sosiaali- ja terveydenhuollon palveluja tarjoavien yritysten nimeämisen kriittisiksi toimijoiksi. 

Sosiaali- ja terveysvaliokunnan lausunnossa kiinnitetään huomiota siihen, että sosiaali- ja terveydenhuollon valvonnasta annetun lain 4 §:ssä määritellään palvelunjärjestäjäksi myös Kansaneläkelaitos. Ehdotettua lakia ei ole saadun selvityksen mukaan kuitenkaan tarkoitus soveltaa Kansaneläkelaitokseen. Hallintovaliokunta ehdottaa lain soveltamisalasäännöstä tältä osin täsmennettäväksi. Muutoin lain soveltamisalan kattavuutta on perusteltua arvioida vasta sen jälkeen, kun lain soveltamisesta on kertynyt riittävästi kokemusta. 

Elintarvikkeiden osalta CER-direktiiviä sovelletaan ainoastaan EU:n elintarvikeasetuksessa määriteltyihin elintarvikeyrityksiin, jotka toimivat yksinomaan logistiikan ja tukkukaupan sekä laajamittaisen teollisen tuotannon ja jalostuksen alalla. Alustavien arvioiden mukaan direktiivin ja ehdotetun lain soveltamisala ei Suomessa kata kovinkaan montaa elintarvikealan yritystä. Elintarvikealan määritelmästä seuraa, että myöskään alkutuotanto ei kuulu direktiivin soveltamisalaan. Maa- ja metsätalousvaliokunta pitää lausunnossaan perusteltuna, että CER-direktiivin kansallisessa täytäntöönpanossa on rajauduttu elintarvikeketjun osalta direktiivin mukaiseen soveltamisalaan. Maa- ja metsätalousvaliokunta pitää elintärkeänä, että osana elintarvikehuoltovarmuuden hyväksi tehtävää työtä myös alkutuotannon yritysten jatkuvuuden hallintaa tuetaan esimerkiksi polttoaineen jakelun ja varastoinnin sekä sähkönsaannin turvaamiseksi maatiloilla kriisitilanteissa. 

Edellä mainitussa NIS 2 -direktiivissä edellytetään, että sen mukaisia velvoitteita kyberturvallisuutta koskevasta riskienhallinnasta ja merkittävien poikkeamien raportoinnista sovelletaan myös CER-direktiivin nojalla kriittisiksi toimijoiksi määriteltyihin toimijoihin. Esityksen perusteluissa todetaan, että valtioneuvosto valmistelee erikseen esityksen teknisistä lainsäädäntömuutoksista, jotka ovat tarpeen kyberturvallisuuslain (124/2025, EV 15/2025 vp — HE 57/2024 vp) velvoitteiden soveltamiseksi kriittisiin toimijoihin NIS 2- ja CER-direktiivien edellyttämällä tavalla. Tämä hallituksen esitys (HE 27/2025 vp) on juuri annettu eduskunnalle. 

Liikenne- ja viestintävaliokunta kiinnittää lausunnossaan hallintovaliokunnan huomiota siihen, että NIS 2 -direktiivin täytäntöönpanoa koskevan sääntelyn eduskuntakäsittelyn yhteydessä julkisen hallinnon tiedonhallinnasta annettua lakia (906/2019) täsmennettiin perustuslakivaliokunnan (PeVL 62/2024 vp) edellyttämin tavoin niin, että sen 4 a lukua kyberturvallisuutta koskevista velvollisuuksista ja niiden noudattamisen valvonnasta ei sovelleta eduskunnan virastoihin. Hallintovaliokunta toteaa, että esimerkiksi eduskunta, eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri on rajattu yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta säädettävän lain 2 §:n 1 momentissa lain soveltamisalan ulkopuolelle. Ehdotetun 1 §:n 2 momentin mukaan CER-direktiivissä tarkoitetulla julkishallinnon toimijaluokalla puolestaan tarkoitetaan viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 4 §:n 1 momentin 1 kohdassa säädettyjä viranomaisia eli valtion hallintoviranomaisia sekä muita valtion virastoja ja laitoksia. Lain soveltamisala ei näin ollen kata esimerkiksi eduskunnan virastoja. Sääntelyä ei ole tältä osin tarpeen täsmentää.  

Valiokunta toteaa selvyyden vuoksi, että ehdotettua lakia ei sovelleta myöskään viranomaistoimintaan maanpuolustuksen, kansallisen turvallisuuden, yleisen järjestyksen ja turvallisuuden aloilla eikä rikosten ennalta estämiseen, rikosten tutkintaan, syyteharkintaan saattamisen toteuttamiseen tai syytteeseen panoon. Ehdotettua lakia ei näin ollen sovelleta esimerkiksi Puolustusvoimiin, Rajavartiolaitokseen, poliisiin, suojelupoliisiin, Syyttäjälaitokseen tai Tulliin. 

Valtakunnallinen suunnitelma ja kansallinen riskiarvio

Valtioneuvosto hyväksyy ehdotuksen mukaan jatkossa kriittisten toimijoiden häiriönsietokyvyn parantamiseksi ja toiminnan yleisten tavoitteiden saavuttamiseksi kansallisen strategian valtakunnallisena suunnitelmana. Valtioneuvosto hyväksyy vähintään neljän vuoden välein myös kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskevan kansallisen riskiarvioinnin. Valtakunnallinen suunnitelma ja kansallinen riskiarvio tulee hyväksyä ensimmäisen kerran viimeistään 17.1.2026.  

Vuonna 2023 viimeksi laaditussa kansallisessa riskiarviossa on tunnistettu noin 20 keskeistä riskiä, joilla on laajaa kansallista merkitystä. Nykyinen EU:n pelastuspalvelumekanismiinEuroopan parlamentin ja neuvoston päätös N:o 1313/2013/EU unionin pelastuspalvelumekanismista perustuva kansallinen riskiarvio ei vastaa CER-direktiivin mukaista riskiarviointia. Pelastuspalvelumekanismin mukainen riskiarviointi ja muut merkitykselliset riskiarvioinnit otetaan kuitenkin ehdotetun lain mukaista riskiarviota laadittaessa huomioon.  

Ehdotetun lain mukaisessa kansallisessa riskiarviossa on käsiteltävä merkityksellisiä luonnonriskejä, ihmisen aiheuttamia riskejä, useita toimialoja koskevia tai rajat ylittäviä riskejä, onnettomuuksia ja luonnonkatastrofeja, kansanterveydellisiä uhkia, hybridiuhkia ja vieraan valtion toimintaa (valtiollista vaikuttamista), terrorismirikoksiin liittyviä uhkia, teknologiaan liittyviä kansallisen turvallisuuden uhkia ja paikkatiedon väärinkäytön uhkaa sekä muita uhkia. Valiokunta pitää perusteltuna, että uuden lain mukainen riskiarvio on mahdollisimman kattava. 

Paikkatiedon väärinkäyttö on perustelujen mukaan tunnistettu yhdeksi merkitykselliseksi riskiksi, sillä paikkaan sidottu tieto on tietoyhteiskunnan toiminnan kannalta kriittinen elementti ja paikkatietoon yhdistyy myös muita tärkeitä kohdetietoja. Maa- ja metsätalousvaliokunnan lausunnossa viitataan siihen, että jo paikkatietopoliittisen selonteon käsittelyn yhteydessä vuonna 2018 on korostettu huoltovarmuuden ja turvallisuusviranomaisten kannalta kriittisten yritysten tarvitseman paikkatiedon sisällön ja saatavuuden varmistamista. Hallintovaliokunta on tuolloin kiinnittänyt huomiota paikkatiedon väärinkäyttöön liittyviin riskeihin (HaVL 24/2018 vp — VNS 2/2018 vp). 

Valiokunta pitää valtakunnallista suunnitelmaa ja kansallista riskiarviota merkityksellisinä asiakirjoina, sillä kriittisten toimijoiden määrittäminen ja niiden tukeminen ehdotetussa laissa tarkoitetulla tavalla perustuu riskiperusteiseen lähestymistapaan ja kansallista riskiarviointia hyödynnetään kriittisten toimijoiden määrittämisessä. Riskiperusteinen lähestymistapa tarkoittaa sitä, että toimenpiteet kohdistetaan niihin toimijoihin, joiden merkitys välttämättömille yhteiskunnan toiminnoille tai taloudelliselle toiminnalle on suurin.  

Kriittisen toimijan tunnistaminen ja kriittisen toimijan keskeiset velvoitteet

Lakiehdotus sisältää CER-direktiivin mukaisesti kriittisen toimijan tunnistamisen ja määrittämisprosessin, tunnistamiseen liittyvän yhteisen kriteeristön sekä velvoitteet kriittisille toimijoille parantaa häiriönsietokykyään ja valmiuksiaan tarjota keskeisiä palveluja vähintään direktiivin velvoitteiden vähimmäistason mukaisesti. Kriittisen toimijan määrittämisessä otetaan huomioon muun muassa edellä mainitut kriittisten toimijoiden häiriönsietokykyä koskeva valtakunnallinen suunnitelma ja kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskeva kansallinen riskinarviointi sekä rajat ylittävä toiminta ja eurooppalainen yhteismitallisuus. 

Valiokunta toteaa, että kriittisen toimijan tunnistamisella ja määrittämisellä on keskeinen merkitys, koska ehdotetun lain säännöksiä sovelletaan niihin toimijoihin, jotka määritellään asianomaisen ministeriön päätöksellä kriittisiksi toimijoiksi. Yksityinen tai julkinen yhteisö taikka sen toiminnallinen osa voidaan ehdotetun 10 §:n mukaan määrittää kriittiseksi toimijaksi ensinnäkin, jos se tarjoaa yhtä tai useampaa yhteiskunnan toimintakyvyn kannalta keskeistä palvelua. Lisäksi edellytetään, että toimija toimii ja sen omistama, hallinnassa oleva tai käyttämä kriittinen infrastruktuuri sijaitsee Suomen alueella. Poikkeamalla eli tapahtumalla, joka voi merkittävästi häiritä tai joka häiritsee keskeisen palvelun tarjoamista, tulee olla merkittäviä haitallisia vaikutuksia toimijan yhden tai useamman kyseisen keskeisen palvelun tarjoamiseen tai muiden keskeisten palvelujen tarjoamiseen palvelusta riippuvaisilla toimialoilla.  

Kriittisen toimijan määrittämistä koskevan asian ratkaisee se ministeriö, jonka toimialaan käsiteltävä toimija kuuluu. Päätös on voimassa enintään neljä vuotta. Asianomainen ministeriö voi peruuttaa kriittistä toimijaa koskevan määrittämispäätöksen, jos kriittinen toimija ei enää täytä annetun päätöksen edellytyksiä tai kriittinen toimija on lopettanut toimintansa. Ministeriön päätös kriittisen toimijan määrittämisestä tulee tehdä ensimmäisen kerran viimeistään 17.7.2026. 

Kriittisen toimijan keskeiset velvoitteet liittyvät riskiarviointiin, häiriönsietokykyä koskevaan suunnitelmaan ja toimenpiteisiin häiriönsietokyvyn varmistamiseksi. Kriittisen toimijan on ehdotuksen mukaan suoritettava riskiarviointi tarvittaessa ja vähintään neljän vuoden välein. Riskiarviointia laadittaessa on otettava huomioon kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskeva kansallinen riskiarvio ja muut riskiarvioinnin kannalta merkittävät tietolähteet. Kriittisen toimijan on myös toteutettava häiriönsietokykynsä varmistamiseksi asianmukaisia ja oikeasuhteisia teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä, jotka perustuvat kriittisen toimijan suorittamaan riskiarviontiin ja muihin asiaan kuuluviin tietoihin, ja laadittava tässä tarkoituksessa suunnitelma häiriönsietokyvyn varmistamiseksi. Hallintovaliokunta pitää tärkeänä, ettei kriittisille toimijoille muodostu ehdotetun lain mukaisista velvoitteista kohtuutonta hallinnollista taakkaa. Tältä osin on perusteltua, ettei riskiarviota tai suunnitelmaa tarvitse erikseen laatia, jos vastaavaa tarkoitusta varten on jo laadittu riskiarvio tai suunnitelma, vaan samaa asiakirjaa voidaan hyödyntää.  

Ehdotettu lainsäädäntö velvoittaa kriittisen toimijan on ilmoittamaan ilman aiheetonta viivytystä valvovalle viranomaiselle ja valtioneuvoston tilannekeskukselle poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista. Valiokunta ehdottaa yksityiskohtaisista perusteluista ilmenevin tavoin sääntelyä täsmennettäväksi niin, että ilmoitusvelvollisuus koskee merkittävää poikkeamaa.  

Toimivaltaiset viranomaiset

Jäsenvaltioiden on CER-direktiivin 9 artiklan 1 kohdan mukaan nimettävä tai perustettava yksi tai useampi toimivaltainen viranomainen, joka vastaa direktiivin asianmukaisesta soveltamisesta kansallisella tasolla. Direktiivin 9 artiklan 2 kohdan mukaan kunkin jäsenvaltion on nimettävä tai perustettava yksi keskitetty yhteyspiste, jotta rajat ylittävä yhteistyö muiden jäsenvaltioiden keskitettyjen yhteyspisteiden kanssa voidaan varmistaa. Tarvittaessa jäsenvaltion on nimettävä sen keskitetty yhteyspiste toimivaltaisen viranomaisen yhteyteen. Tarvittaessa jäsenvaltio voi myös säätää, että sen keskitetty yhteyspiste hoitaa yhteydenpidon komission kanssa ja varmistaa yhteistyön kolmansien maiden kanssa. 

Hallintovaliokunta toteaa, että ehdotetulla lainsäädännöllä ei perusteta uusia viranomaisia. Sisäministeriö toimii lakiehdotuksen mukaan yhteensovittamistehtävää hoitavana ministeriönä, jonka tehtäviin kuuluu ehdotetun lain mukaisen toiminnan yleinen ohjaus, seuranta, yhteensovittaminen ja kehittäminen. Sisäministeriö toimii CER-direktiivin 9 artiklan 1 kohdan mukaisena toimivaltaisena viranomaisena ja vastaa kansallisen yhteyspisteen tehtäviä hoitavan tahon ilmoittamisesta komissiolle.  

Muita toimivaltaisia viranomaisia ehdotetussa laissa ovat ministeriöt, jotka vastaavat kriittisen toimijan määrittämisestä toimialallaan, sekä valvontaviranomaiset, joista säädetään CER-lain 19 §:ssä. Valvovat viranomaiset ovat samoja, jotka jo nykyisin suorittavat valvontaa toimialallaan. Kriittiselle toimijalle säädettyjen ja määrättyjen velvoitteiden noudattamista valvovat Energiavirasto, Etelä-Savon elinkeino-, liikenne- ja ympäristökeskus, Liikenne- ja viestintävirasto (Traficom), Lääkealan turvallisuus- ja kehittämiskeskus (Fimea), Ruokavirasto ja Turvallisuus- ja kemikaalivirasto (Tukes) sekä sosiaali- ja terveysalan lupa- ja valvontavirasto (Valvira) ja aluehallintovirastot. Valiokunnan asiantuntijakuulemisessa on kiinnitetty huomiota siihen, ettei avaruustoimialan valvontatehtäviä ole ehdotetussa laissa säädetty millekään viranomaiselle. Valiokunta ehdottaa sääntelyä tältä osin täsmennettäväksi. Valiokunta toteaa lisäksi tässä yhteydessä, että eduskunnan käsiteltävänä on parhaillaan hallituksen esitys valtion aluehallinnon uudistamista koskevaksi lainsäädännöksi (HE 13/2025 vp), jossa ehdotetaan nykyisten aluehallintovirastojen, Valviran ja ELY-keskusten tehtävien siirtämistä perustettaville uusille virastoille.  

Talousvaliokunta kiinnittää lausunnossaan huomiota siihen, että esityksessä ei nimetä yhtä keskitettyä yhteyspistettä, vaan direktiivin mukaisia yhteyspisteen tehtäviä ehdotetaan jaettavaksi usealle taholle, kuten valtioneuvoston tilannekeskukselle, sisäministeriölle ja Huoltovarmuuskeskukselle. Talousvaliokunta pitää valittua ratkaisua ongelmallisena direktiivin huolellisen täytäntöönpanon näkökulmasta ja pyytää, että hallintovaliokunta arvioisi mietinnössään, vastaako ehdotettu sääntely tältä osin direktiivin täytäntöönpanolle asetettuja vaatimuksia. Talousvaliokunta on todennut huoltovarmuusselonteosta antamassaan mietinnössä (TaVM 51/2022 vp — VNS 8/2022 vp), että Huoltovarmuuskeskus alan huoltovarmuuskysymysten käytännön järjestäjänä olisi luonteva taho CER-direktiivin mukaiseksi kansalliseksi yhteyspisteeksi. Myös liikenne- ja viestintävaliokunta, maa- ja metsätalousvaliokunta ja sosiaali- ja terveysvaliokunta kiinnittävät lausunnoissaan huomiota Huoltovarmuuskeskuksen rooliin ehdotetussa lainsäädännössä.  

Hallintovaliokunta pitää perusteltuna ratkaisuna, että toimivaltaisen viranomaisen tehtävät ja valvontatehtävät hajautetaan sektoriviranomaisille, sillä ne tuntevat parhaiten oman toimialansa erityispiirteet. Valiokunta pitää sen sijaan valitettavana, ettei esityksen perusteluista kovinkaan selvästi ilmene, miten CER-direktiivin mukaiset keskitetyn yhteyspisteen tehtävät on tarkoitus Suomessa järjestää ja mille viranomaiselle tehtävät osoitetaan. Keskitetyn yhteyspisteen toimintoja osoitetaan ehdotetussa laissa osaltaan valtioneuvoston tilannekeskukselle, joka vastaa poikkeamailmoitusten välittämisestä komissiolle ja toiseen jäsenvaltioon rajat ylittävissä häiriötilanteissa. Esityksen mukaan valtioneuvoston päätöksentekoon liittyvä päivystystoiminnallisuus on nykyisinkin keskitetty valtioneuvoston tilannekeskukseen ja CER-direktiivin mukainen tehtävä sopii tilannekeskuksen nykyiseen toimintakenttään. Häiriötilanteisiin ja häiriötietojen välittämiseen voi liittyä myös ulko- ja turvallisuuspoliittisia näkökulmia ja ulkopoliittista harkintaa. Hallintovaliokunnan käsityksen mukaan ehdotettu malli vastaa direktiivin sääntelyä keskitetyn yhteyspisteen nimeämisestä toimivaltaisen viranomaisen yhteyteen. 

Huoltovarmuuskeskuksen tehtävistä säädetään huoltovarmuuden turvaamisesta annetun lain (1390/1992) 6 §:ssä. Sen tehtävät koostuvat erilaisista huoltovarmuuden edistämiseen, kehittämiseen, turvaamiseen ja ylläpitoon liittyvistä tehtävistä, kuten julkishallinnon ja elinkeinoelämän yhteistoiminnan kehittämisestä huoltovarmuusasioissa, välttämättömän tavara- ja palvelutuotannon sekä sotilaallista maanpuolustusta tukevan tuotannon turvaamisesta sekä velvoite- ja turvavarastoinnin hoitamisesta. Huoltovarmuuskeskus hoitaa myös EU-asetuksessaEuroopan parlamentin ja neuvoston asetus (EU) 2017/1938 toimista kaasun toimitusvarmuuden turvaamiseksi ja asetuksen (EU) N:o 994/2010 kumoamisesta säädetyt kaasun toimitusvarmuuden turvaamiseen liittyvät kansallisen toimivaltaisen viranomaisen tehtävät ja eräitä erityislainsäädännön mukaisia tehtäviä. 

Hallituksen esityksen perusteluista ilmenee, että Huoltovarmuuskeskuksen oikeudellinen luonne on nykyisin jossain määrin epäselvä. Esimerkiksi keskuksen asemasta perustuslain 119 §:ssä tarkoitettuna valtion keskushallintoon kuuluvana virastona ei säädetä nimenomaisesti huoltovarmuuden turvaamisesta annetussa laissa. Eduskunta on vuonna 2023 hyväksynyt valtioneuvoston huoltovarmuusselonteon (EK 86/2022 vp — VNS 8/2022 vp), jossa määritellään huoltovarmuuden keskeiset kehittämistavoitteet. Selonteossa on todettu muun ohella tarve kehittää huoltovarmuuslainsäädäntöä. Huoltovarmuuslainsäädännön kokonaistarkastelu sisältyy myös hallitusohjelmaan. Lainsäädännön kokonaisuutta arvioidaan työ- ja elinkeinoministeriön asettamassa hankkeessa, jonka toimikausi päättyy 31.12.2025. Sääntelyn ajantasaistamisen tavoitteena on muun muassa Huoltovarmuuskeskuksen tehtävien tarkempi määrittely ja Huoltovarmuuskeskuksen oikeudellisen aseman selkeyttäminen nykyistä tarkemmin säännöstasolla sekä sääntelyn päivittäminen vastaamaan perustuslain ja eduskunnan perustuslakivaliokunnan viimeaikaista lausuntokäytäntöä. Edelleen kokonaisuuteen liittyy huoltovarmuuden rahoituksen uudelleen tarkastelu. 

Lakiehdotuksen 8 §:n mukaan sisäministeriö, sektoriministeriöt ja valvovat viranomaiset edistävät yhteistyössä Huoltovarmuuskeskuksen kanssa yleisesti kriittisten toimijoiden häiriönsietokykyyn liittyviä kokonaisuuksia ja tekevät erinäisiä toimia tässä tarkoituksessa. Valvova viranomainen antaa yhteistyössä Huoltovarmuuskeskuksen kanssa CER-direktiivin 10 artiklan 1 kohdassa tarkoitettua tukea kriittiselle toimijalle. Tämä tuki voi olla ohjemateriaalin ja menetelmien laatimista, häiriönsietokykyä testaavien harjoitusten järjestämisen tukemista tai neuvontaa ja koulutusta. Huoltovarmuuskeskukselta myös pyydetään lausunto ennen kuin tehdään päätös kriittisen toimijan määrittämisestä. Huoltovarmuuskeskuksen tiedonsaannista säädetään ehdotetun lain 16 ja 27 §:ssä. Mainitut tehtävät ovat perustelujen mukaan Huoltovarmuuskeskuksen nykyistä toimintaa tukevia tehtäviä, joihin ei kuulu julkisen vallan käyttöä.  

Hallintovaliokunta pitää lausuntovaliokuntien tavoin tärkeänä, että CER-direktiivin kansallisessa toimeenpanossa voidaan hyödyntää mahdollisimman tehokkaasti olemassa olevia huoltovarmuusrakenteita. Perustelujen mukaan CER-direktiiviin perustuva lakiehdotus on osin lähtökohdiltaan ja periaatteiltaan erilainen kuin Suomen varautumis- ja huoltovarmuusjärjestelmä. Ehdotettu lainsäädäntö tukeutuu kuitenkin olemassa olevien valmius- ja huoltovarmuusrakenteiden hyödyntämiseen. Hallintovaliokunta yhtyy talousvaliokunnan näkemykseen siitä, että hallituksen esityksestä eivät käy ilmi ehdotuksen vaikutukset valmisteltavana olevaan huoltovarmuussääntelyyn tai huoltovarmuusorganisaation toimintaan. Valiokunta kuitenkin korostaa edellä todettuun viitaten, että Huoltovarmuuskeskuksen asemaa ja tehtäviä tarkastellaan parhaillaan käynnissä olevassa lainsäädäntöhankkeessa. Hallintovaliokunta ei pidä tarkoituksenmukaisena tehdä Huoltovarmuuskeskuksen tehtäviin muutoksia nyt käsiteltävänä olevan esityksen eduskuntakäsittelyn aikana.  

Tiedonsaantioikeudet ja tiedonvaihto

CER-lain nojalla määritetyn kriittisen toimijan on ehdotetun 16 §:n 1 momentin mukaan ilmoitettava ilman aiheetonta viivytystä asianomaiselle valvovalle viranomaiselle ja valtioneuvoston tilannekeskukselle poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista. Ensi-ilmoitus on annettava viimeistään 24 tunnin kuluttua siitä, kun poikkeama on tullut tietoon, jollei välttämättömästä operatiivisesta syystä muuta johdu. Yksityiskohtainen raportti annetaan tarvittaessa viimeistään kuukauden kuluttua yhteensovittamistehtävää hoitavalle ministeriölle, toimialasta vastaavalle ministeriölle ja toimivaltaiselle valvovalle viranomaiselle.  

Huoltovarmuuskeskuksella on 16 §:n 4 momentin mukaan oikeus saada tehtäviensä hoitamiseksi ja asianomaisten ministeriöiden ja valvovien viranomaisten tukemiseksi välttämättömiksi arvioidut tiedot ensi-ilmoituksesta ja yksityiskohtaisesta raportista salassapitosäännösten estämättä. 

Ehdotetun 27 §:n mukaan valvovalla viranomaisella on oikeus salassapitosäännösten estämättä saada viranomaisilta ja kriittiseksi toimijaksi määritetyltä toimijalta maksutta tehtäviensä hoitamiseksi välttämättömät tiedot ja luovuttaa välttämättömät tiedot toiselle valvovalle viranomaiselle ja kyberturvallisuuslain 26 §:n mukaiselle valvovalle viranomaiselle sekä yhteensovittavana ministeriönä toimivalle sisäministeriölle ja ministeriölle, jonka toimialaan käsiteltävä asia kuuluu. Valvovalla viranomaisella on oikeus luovuttaa välttämättömät tiedot myös Huoltovarmuuskeskukselle sen tehtävien hoitamiseksi. Edellä todettu tiedonsaantioikeus ei koske kyberturvallisuuslain 19 §:ssä tarkoitetun Liikenne- ja viestintävirastossa toimivan CSIRT-yksikön käsittelemiä tietoja.  

Hallintovaliokunta toteaa, että hybridiuhat ovat tarkoituksellisen moniulotteisia ja niiden vaikutukset ja torjuntavastuut voivat ulottua useiden kansallisten viranomaisten vastuulle. Hallintovaliokunta pitää tärkeänä, että näihin vaikuttamisyrityksiin varaudutaan poikkihallinnollisesti ja yhteiskunnan kaikilla tasoilla kokonaisturvallisuuden mallin mukaisesti. Turvallisuusviranomaisten ja muiden toimijoiden tiivis yhteistyö ja toimiva tiedonvaihto ovat välttämättömiä hybridiuhkien tehokkaassa torjunnassa.  

Hybridiuhkat näyttäytyvät realisoituessaan alkuvaiheessa yleensä sisäisen turvallisuuden toimialueella ja erityisesti poliisin ja Rajavartiolaitoksen toiminnassa, jotka toimivat ensivasteviranomaisina epäselvissä uhkissa ja tapahtumissa niin kauan kuin ne eivät ole tulkittavissa tai tunnistettu sotilaallisiksi uhkiksi. Vaikuttamistoimia käsitellään ainakin alkuvaiheessa pääosin rikoksina tai järjestyshäiriöinä, joissa operatiivinen vaste ja tutkinta kuuluvat Suomessa pääasiallisesti poliisin toimivaltaan. Muut viranomaiset antavat poliisille tarvittaessa virka-apua, jos poliisin omat voimavarat ovat riittämättömät. Tämä voimassa olevan lainsäädännön mukainen toimivallanjako on näkynyt viime aikoina muun muassa merellisen infrastruktuurin vahingoittumistapauksissa Itämerellä. Alueelliset poliisilaitokset vastaavat poliisin operatiivisesta ensivasteesta alueillaan 24/7.  

Poliisi pyrkii estämään ennalta uhkia mahdollisimman laajasti muun muassa yhteistyössä kriittisen infrastruktuurin omistajien ja haltijoiden kanssa. Jotta poliisi voi huolehtia omasta tehtävästään, se tarvitsee viiveettä tiedon kriittiseen infrastruktuuriin kohdistuvista uhkista. Valiokunnan asiantuntijakuulemisessa on kiinnitetty huomiota siihen, etteivät ehdotetun lain mukaiset ilmoittamisvelvollisuutta ja tiedonsaantioikeuksia koskevat säännökset tue poliisin viiveetöntä tiedonsaantia. Hallintovaliokunta pitää tärkeänä, että poliisilla on mahdollisimman laaja ja ajantasainen tilannekuva kriittiseen infrastruktuuriin kohdistuvista uhkista.  

Valtioneuvoston tilannekeskuksella, jolle poikkeamista ehdotetun sääntelyn mukaan ilmoitetaan, on siitä annetun lain (300/2017) 4 §:n mukaan oikeus luovuttaa mainitun lain nojalla saamiaan salassa pidettäviä tietoja esimerkiksi toimivaltaisille viranomaisille, jos ne ovat välttämättömiä turvallisuustilanteen edellyttämän päätöksenteon tueksi tai välittömän ja vakavan yleistä turvallisuutta uhkaavan vaaran torjumiseksi. Koska poikkeamasta ei ehdotetun lain mukaan ilmoiteta suoraan toimivaltaiselle turvallisuusviranomaiselle, saattaa niiden tiedonsaanti joissain tapauksissa tarpeettomasti viivästyä. Tämä vaikeuttaa osaltaan tilannekuvan muodostamista. 

Valiokunta toteaa, että ehdotetun lainsäädännön tavoitteet liittyvät erityisesti kriittisten toimijoiden kriisinkestävyystoimien parantamiseen. Laissa edellytettävät toimenpiteet ovat etupainotteisia tapahtumien estämiseksi ja niiden seurausten lieventämiseksi. Valiokunta pitää tärkeänä, että kriittiset toimijat ilmoittavat matalalla kynnyksellä poliisille erilaisista poikkeamista. Valiokunta ei kuitenkaan tässä yhteydessä ehdota sääntelyyn muutoksia. 

CER-direktiivissä edellytetään jäsenvaltioiden helpottavan kriittisten toimijoiden välistä vapaaehtoista tiedonvaihtoa direktiivin soveltamisalaan kuuluvissa asioissa, erityisesti turvallisuusluokiteltuja ja arkaluonteisia tietoja, kilpailua ja henkilötietojen suojaa koskevan unionin ja kansallisen lainsäädännön mukaisesti. Asiantuntijakuulemisessa on kiinnitetty huomiota siihen, ettei mainittua tavoitetta ole otettu lakiehdotuksessa huomioon eikä mahdollisia lainsäädännöllisiä esteitä tiedon vaihtamiseksi tai valtakunnallisen toimialaa koskevan tiedon saamiseksi ole esityksessä käsitelty. Valiokunta toteaa, että sääntelyn muutostarpeita on tältäkin osin myöhemmin arvioitava. 

Ulkomaanliikenteen satamien turvallisuusselvitykset

Esityksessä ehdotetaan satamien turvallisuutta parantavia muutoksia turvallisuusselvityslakiin (726/2014, 2. lakiehdotus) sekä eräiden alusten ja niitä palvelevien satamien turvatoimista ja turvatoimien valvonnasta annettuun lakiin (485/2004, 5. lakiehdotus).  

Ehdotetun sääntelyn tarkoituksena on ehkäistä sataman kriittisten tietojen käyttämistä valtion turvallisuutta vaarantaviin tekoihin tai järjestäytyneen rikollisuuden edistämiseen. Satamiin kohdistuva hybridi-, vakoilu- ja rikollisuusuhka on muuttuneessa turvallisuusympäristössä kasvanut aiempaa merkittävämmäksi. Satamien keskeisen merkityksen vuoksi niin valtiolliset kuin ei-valtiollisetkin toimijat, mukaan lukien järjestäytyneet rikollisryhmät, voivat pyrkiä hyödyntämään satamia erilaisiin laittomiin ja vahingollisiin tarkoitusperiin taikka häiritsemään tai vahingoittamaan niiden toimintaa. Satamat, kuten muutkin liikenteen solmukohdat, ovat tavara- ja matkustajavirtojen vuoksi mahdollisesti kiinnostavia kohteita terroristisille toimijoille. 

Satamat muodostavat matkustaja- ja logistiikkadatansa vuoksi myös valtiollisia toimijoita mahdollisesti kiinnostavan vakoilukohteen ja tarjoavat mahdollisuuden seurata tai vaikuttaa Suomelle elintärkeisiin matkustaja-, materiaali- ja energiavirtoihin. Satamilla on merkitystä myös maanpuolustukselle, ja niitä voidaan käyttää muun muassa sotilaallisen tuen vastaanottamiseen ja antamiseen.  

EU:n lainvalvontayhteistyövirasto Europolin mukaan järjestäytynyt rikollisuus on saanut suurempaa jalansijaa Euroopan satamissa, mikä on johtanut erityisesti huumausaineiden salakuljetuksen merkittävään kasvuun. Europolin mukaan järjestäytyneet rikollisryhmät käyttävät sisäpiiriasemaansa erityisesti huumausaineiden salakuljetukseen merikonteissa. Järjestäytynyt rikollisryhmä voi edistää salakuljetusta muun muassa hankkimalla pääsyn ja muokkausoikeuden lastinkäsittelyä koskeviin tai kulunvalvontaa ja muuta valvontaa koskeviin tietojärjestelmiin. 

Ehdotetun sääntelyn mukaan vastuu turvallisuusselvitysten hakemisesta on satamanpitäjällä. Tällainen keskitetty malli on valittu muun muassa tietoturvallisuuden varmistamiseen ja selvitysmenettelyn tehokkuuteen liittyvistä syistä. Turvallisuusselvityksen laatimisen yhteydessä käsitellään laajasti selvityksen kohdetta koskevia tietoja ja selvityksen lopputuloksena hakijalle voidaan ilmoittaa arkaluontoisia henkilötietoja tai valtion turvallisuuden näkökulmasta sensitiivisiä tietoja. Selvityksen kohteen yksityisyyden suojan ja kansallisen turvallisuuden näkökulmasta on tarkoituksenmukaista, ettei turvallisuusselvityksen tietoja käsitellä laajemmin kuin on välttämätöntä. Ulkomaansatamien satamanpitäjiä on Suomessa noin 65, mutta satamaoperointiyrityksiä on merkittävästi enemmän. Keskittämällä turvallisuusselvitysten hakeminen satamanpitäjille voidaan minimoida arkaluontoisten ja sensitiivisten tietojen käsittelyyn liittyviä riskejä. Turvallisuusselvitysten hakemisen keskittäminen satamanpitäjille on perusteltua myös kohdehenkilöiden yhdenvertaisen kohtelun vuoksi. Ehdotettu sääntelymalli vastaa voimassa olevan lain lähtökohtaa, jossa satamanpitäjällä on kokonaisvastuu sataman turvallisuudesta. Valiokunta pitää ehdotettua ratkaisua perusteltuna. 

Voimassa olevan turvallisuusselvityslain perusteella sataman turvallisuushenkilöstöstä voidaan laatia perusmuotoiset turvallisuusselvitykset. Lisäksi on mahdollista laatia suppea turvallisuusselvitys sellaiseen palvelussuhteeseen tai toimeksiantotehtävää suorittamaan valittavasta taikka palvelussuhdetta tai toimeksiantotehtävää hoitavasta, joka pääsee satamassa yleisöltä suljettuihin tiloihin. Valiokunta katsoo, että voimassa olevan lainsäädännön perusteella ei voida riittävällä tavalla huolehtia satamien turvallisuudesta nykyisessä toimintaympäristössä.  

Resurssit

Ehdotetun lainsäädännön taloudellisten vaikutusten arviointiin liittyy perustelujen mukaan epävarmuutta, sillä vaikutukset riippuvat siitä, mitkä tahot määritetään kansalliseen strategiaan ja riskiarvioon perustuen kriittisiksi toimijoiksi. Velvoitteiden täytäntöönpano voi lisätä kriittisiksi toimijoiksi määriteltävien toimijoiden kustannuksia. Voimassa olevaan lainsäädäntöön sisältyy kuitenkin jo osin samankaltaisia velvoitteita ja osa toimijoista on jo vapaaehtoisesti kiinnittänyt häiriönsietokykyyn huomiota esimerkiksi huoltovarmuustoiminnan yhteydessä. Ehdotetun lainsäädännön toimeenpanossa tulee huolehtia siitä, etteivät kriittisten toimijoiden kustannukset tai hallinnollinen taakka tarpeettomasti kasva.  

Ministeriöille aiheutuu kustannuksia CER-direktiivin täytäntöönpanon edellyttämistä uusista viranomaistehtävistä. Velvoitteiden valvonta lisää jonkin verran valvontaviranomaisten tehtäviä ja resurssitarpeita. Valiokunta pitää tärkeänä, että etenkin uuden sääntelyn valvontaan osoitetaan riittävät resurssit.