Perustelut

Yleistä

Valiokunnan saaman selvityksen mukaan kansainvälisessä yhteistyössä on yhä laajemmin tarpeen vaihtaa salassa pidettäviä ja luonteeltaan arkaluonteisia tietoja. Viime vuosikymmenen aikana eri valtioiden välillä onkin tehty lukuisia sopimuksia turvallisuusluokiteltujen tietojen vaihtamisesta ja suojaamisesta. Kasvavien tietoturvallisuusvaatimusten vuoksi Suomessa säädettiin vuonna 2004 laki kansainvälisistä tietoturvallisuusvelvoitteista (588/2004).

Valiokunta toteaa, että puolustushallinnossa kansainvälisen turvallisuusluokitellun tiedon määrä ja merkittävyys on hallinnonalan kansainvälisen verkostumisen ja puolustusmateriaalikaupan vuoksi hyvin suuri. Valiokunta pitää tärkeänä, että puolustuspoliittisen yhteistyön edelleen tiivistyessä etenkin unionimaiden ja Pohjoismaiden kesken kyetään jatkossakin luotettavasti suojaamaan ja vaihtamaan turvallisuusluokiteltua tietoa eri yhteistyötahojen kesken.

Hallituksen esityksessä todetaan, että kansainvälisissä tietoturvallisuusvelvoitteissa asetetaan vaatimuksia kansallisista viranomaisista. Suomen kansallisena turvallisuusviranomaisena (National Security Authority, NSA) toimii ulkoasiainministeriö, jossa tehtävää hoitaa valtiosihteerin alaisuudessa toimiva kansallisen turvallisuusviranomaisen yksikkö. Lakiehdotuksen 4 §:n 2 momentin mukaan ulkoasiainministeriölle annettaisiin voimassa olevaan lakiin verrattuna selkeä valtionhallinnon sisäinen koordinaatiotehtävä sen varmistamiseksi, että laissa tarkoitetut erityissuojattavat tietoaineistot suojataan ja niitä käsitellään asianmukaisesti. Valiokunta pitää tällaista täsmennystä tervetulleena etenkin kansainvälisen yhteistyön selkeyttämisen kannalta.

Puolustusministeriö, Pääesikunta, suojelupoliisi ja Viestintävirasto toimivat lakiehdotuksen 4 §:n 1 momentin mukaan kansainvälisissä tietoturvallisuusvelvoitteissa tarkoitettuina määrättyinä turvallisuusviranomaisina (Designated Security Authority, DSA)

Useissa maissa on vielä erikseen tietoliikenteen ja tietojärjestelmien turvallisuuteen liittyvistä tehtävistä vastaava viranomainen (National Communication Security Authority, NCSA). Tällaisen viranomaistahon perustamista edellytetään myös Euroopan unionin uudistettavana olevissa turvallisuussäännöissä. Lakiehdotuksen 4 §:n 3 momentin mukaan Viestintävirasto toimisi kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi tietojärjestelmien ja tietoliikenteen tietoturvallisuudesta vastaavana viranomaisena.

Uusien tehtävien uskominen Viestintävirastolle on katsottu tarkoituksenmukaiseksi ottaen huomioon viraston jo nykyisin hoitamat tehtävät. Viestintävirasto toimii myös Naton kanssa toteutettavan kumppanuusohjelman edellyttämänä tietoliikenteen tietoturvallisuudesta vastaavana yhteistyötahona. Lisäksi virasto on mukana tietoturvallisuussertifiointia koskevassa kansainvälisessä yhteistyössä.

Puolustusvaliokunta toteaa, että Viestintävirasto on luonteva viranomaistaho toimimaan tieto- ja tietoliikennejärjestelmien turvallisuudesta vastaavana viranomaisena. Se seikka, että tällä hetkellä mikään viranomaistaho ei tehtävää hoida, on valiokunnan saaman selvityksen mukaan vaikeuttanut esimerkiksi suomalaisten tietotekniikka-alan yritysten osallistumista kansainvälisiin tarjouskilpailuihin.

Valiokunta korostaa tässä yhteydessä tiiviin ja hyvin toimivan viranomaisyhteistyön merkitystä ja erityisesti Viestintäviraston ja Pääesikunnan välisen työnjaon tarkastelua puolustusvoimien tietojärjestelmien osalta. Valiokunta korostaa, että puolustusvoimien tulee voida huolehtia maanpuolustuksen etuun liittyvistä, muun muassa kansainväliseen kriisinhallintaan, harjoitustoimintaan sekä muuhun kansainväliseen yhteistyöhön liittyvistä kansainvälisten tietoturvavelvoitteiden mukaisista tietoliikenteen turvallisuuteen liittyvistä kysymyksistä.

Valiokunnan saaman selvityksen mukaan kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 5 §:n 2 momentissa säädetään siitä, että kansallinen turvallisuusviranomainen ja tehtävään määrätyt turvallisuusviranomaiset voivat sopia tietyn tehtävän tai tehtäväkokonaisuuden hoitamisesta toisen turvallisuusviranomaisen lukuun, jos järjestely on tarpeen tehtävien hoitamiseksi tarkoituksenmukaisesti, taloudellisesti ja joutuisasti. Valiokunnan näkemyksen mukaan tämä sääntely ja Suomessa jo perinteisesti hyvin toimiva viranomaisyhteistyö mahdollistaa sen, että puolustusvoimien erityistarpeet tulevat tätä kautta asianmukaisesti huomioiduksi.

Salassapitosäännöksen täsmentäminen

Hallituksen esityksen 1. lakiehdotuksen 6 §:ssä esitetään säädettäväksi salassapitovelvollisuudesta ja tietojen käytöstä. Valiokunnan saaman selvityksen mukaan kansainvälisiin tietoturvallisuussopimuksiin sisältyy säännönmukaisesti määräys, joka kieltää toisen sopimuspuolen lähettämien turvallisuusluokiteltujen tietojen luovuttamisen kolmannelle osapuolelle ilman lähettävän sopimuspuolen suostumusta. Näiden velvoitteiden toteuttamiseksi kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:ssä säädetään nykyisin ehdoton salassapitovelvollisuus. Käytännössä on kuitenkin tullut esiin tilanteita, joissa toinen sopimuspuoli ei takaa sopimuksen perusteella ehdotonta salassapitoa, vaan asia on jäänyt kansalliseen lainsäädäntöön perustuvan tapauskohtaisen harkinnan varaan.

Hallituksen esityksessä todetaan, ettei Suomen tule noudattaa laajempaa salassapitovelvollisuutta kuin toiset sopimuspuolet. Tästä syystä ehdotetaan kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 1 momentin muotoilua muutettavaksi siten, että salassapitovelvollisuus olisi riippuvainen kunkin sopimuksen tai muun kansainvälisen velvoitteen sisällöstä. Valiokunta pitää esitettyä säännösmuutosta tarpeellisena, sillä Suomen ei ole syytä noudattaa sopijakumppaniaan laajempaa salassapitovelvoitetta.

Suojelupoliisin ja Pääesikunnan välinen työnjako

Hallituksen esityksen mukaan suojelupoliisille annettaisiin tehtäväksi huolehtia kansainvälisen tietoturvallisuusvelvoitteen perusteella tehtävästä yhteisöturvallisuusselvityksestä sekä sen perusteella tehdyistä arvioista muissa kuin puolustushallinnon alaan kuuluvissa asioissa. Pääesikunta hoitaisi tehtävää siltä osin, kun on kysymys puolustukseen liittyvistä hankinnoista. Aiemmin kaikista yhteisöturvallisuusselvityksistä huolehti Pääesikunta.Valiokunnan saaman selvityksen mukaan suojelupoliisin henkilöstöä on koulutettu yhdessä Pääesikunnan kanssa yhteisöturvallisuusselvitysten laadintaan. Käytännössä suojelupoliisi on hoitanut näitä tehtäviä jo heinäkuusta 2009. Puolustushallinnon asiantuntijat korostivat kuulemisissa, että kansainvälisten tietoturvallisuusvelvoitteiden jatkuvasti kasvaessa on perusteltua, että Pääesikunta jakaa osan toimintavastuistaan suojelupoliisille, jolla on asiaan liittyvää erityisosaamista sekä henkilöturvallisuusselvityksistä osaltaan vastaavana viranomaisena jo hyvät ja toimivat suhteet Suomen keskeisiin vientiyrityksiin. Puolustusvaliokunta pitää lakiehdotuksessa esitettyä työnjaon täsmentämistä suojelupoliisin ja Pääesikunnan kesken nykytilannetta selkeyttävänä ratkaisuna.