1.1  Bakgrund

Syftet med propositionen är att genomföra Europaparlamentets och rådets direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft och om upphävande av direktiv 2008/114/EG (nedan CER-direktivet ). Direktivet trädde i kraft den 16 januari 2023 och medlemsstaterna ska senast den 17 oktober 2024 anta och offentliggöra de bestämmelser som är nödvändiga för att följa direktivet. Åtgärderna ska tillämpas från och med den 18 oktober 2024.  

CER-direktivet är en del av ett stort paket som också omfattar den nya cybersäkerhetsstrategin och en uppdatering av direktivet om direktivet om säkerhet i nätverks- och informationssystem (förslag till Europaparlamentets och rådets direktiv för att garantera en hög cybersäkerhetsnivå i hela unionen och om upphävande av direktiv 2016/1148, NIS 2). Förslaget till direktiv grundade sig på kommissionens nya strategi för EU:s säkerhetsunion 2020–2025 av den 24 juli 2020, i vilken det efterlyses en omfattande strategi som tar hänsyn till aktuella och framtida risker samt de ömsesidiga beroendeförhållandena mellan den fysiska och digitala infrastrukturen. Dessa åtgärder stöder också målen för EU:s program mot terrorism.  

Samtidigt med CER-direktivet antog Europaparlamentet och rådet Europaparlamentets och rådets direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet). Vidare antog Europaparlamentet och rådet Europaparlamentets och rådets direktiv (EU) 2022/2556 om ändring av direktiven 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 och (EU) 2016/2341 vad gäller digital operativ motståndskraft för finanssektorn samt Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011. 

Syftet med CER-direktivet är att säkerställa att den inre marknaden fungerar i fråga om kritiska tjänster inom tillämpningsområdet för direktivet och att stärka motståndskraften hos tjänster som är nödvändiga för Europeiska unionen samt att upprätthålla samhällets vitala och ekonomiska funktioner genom att fastställa vissa kritiska sektorer som tillhandahåller sådana tjänster.  

NIS 2-direktivet är tillämpligt på aktörer som identifieras som kritiska aktörer enligt CER-direktivet, oavsett deras storlek. När så är möjligt bör man säkerställa samstämmighet mellan CER- och NIS 2-direktiven och undvika att det uppstår en administrativ börda för de kritiska entiteterna. 

I december 2022 antog Europeiska unionens råd en rekommendation om en unionsomfattande samordnad strategi för att stärka den kritiska infrastrukturens motståndskraft (COUNCIL RECOMMENDATION on a Union-wide coordinated approach to strengthen the resilience of critical infrastructure). Med tanke på de förändrade hotbilderna i omvärlden bör man på nationell nivå vidareutveckla möjligheterna att genomföra stresstester av kritisk infrastruktur, eftersom sådana tester kan vara användbara för att förbättra den kritiska infrastrukturens motståndskraft. I rekommendationen lades särskild vikt vid energisektorns särskilda betydelse och dess eventuella unionsomfattande konsekvenser till följd av störningar inom denna. Testerna faller inom medlemsstaternas behörighet och medlemsstaterna bör uppmuntra och stödja operatörer av kritisk infrastruktur att genomföra tester. I Finland genomfördes frivilliga stresstester av energisektorn i oktober 2023. 

1.2  Beredning

2.1  CER-direktivet och sektorer, undersektorer och kategorier av aktörer i direktivet

CER-direktivet trädde i kraft den 16 januari 2023. I direktivet fastställs skyldigheter för medlemsstaterna att vidta särskilda åtgärder som syftar till att säkerställa att tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet inom tillämpningsområdet för artikel 114 i EUF-fördraget tillhandahålls på ett obehindrat sätt på den inre marknaden. I direktivet fastställs harmoniserade minimiregler för förfaranden och krav som syftar till att säkerställa tillhandahållandet av samhällsviktiga tjänster, stärka kritiska aktörers motståndskraft och förbättra det gränsöverskridande samarbetet mellan myndigheter. I direktivet fastställs minimimål och medlemsstaterna ges utrymme för egen bedömning av hur de ska genomföra de åtgärder som krävs för att uppnå dessa mål. Nationell lagstiftning som går längre än målen med direktivet är möjlig. 

Det centrala nationella ramverket ska bestå av en strategi för kritiska aktörers motståndskraft, en riskbedömning som utförs av medlemsstaterna, identifiering och förteckning av kritiska aktörer, ett förfarande för incidentrapportering och en behörig myndighet eller behöriga myndigheter samt en nationell gemensam kontaktpunkt (single point of contact) för gränsöverskridande samarbete.  

Direktivets tillämpningsområde omfattar följande elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.  

Av de elva sektorerna är energi och transporter indelade i undersektorer. Undersektorerna inom energi är elektricitet, fjärrvärme eller fjärrkyla, olja, gas och vätgas. Undersektorerna inom transporter är luftfart, järnväg, sjöfart, vatten, väg och kollektivtrafik. 

Sektorer, undersektorer och kategorier av aktörer i CER-direktivet  

CER-direktivet och NIS 2-direktivet tar hänsyn till kopplingen mellan fysisk säkerhet och cybersäkerhet. Det nationella genomförandet av direktiven måste samordnas. Enligt artikel 2.3 i NIS 2-direktivet ska direktivet tillämpas på entiteter som identifieras som kritiska entiteter enligt CER-direktivet, oavsett deras storlek. 

Enligt artikel 1.6 i CER-direktivet är direktivet inte tillämpligt på offentliga förvaltningsentiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott. 

2.2  Innehållet i CER-direktivet

2.3  Nationellt handlingsutrymme

Syftet med CER-direktivet är att stärka kritiska entiteters motståndskraft genom att fastställa harmoniserade minimiregler för kritiska entiteter och bistå entiteterna genom stöd och tillsynsåtgärder.  

Enligt artikel 1.7 får medlemsstaterna besluta att bestämmelserna om samarbete mellan medlemsstater i artikel 11 och om kritiska entiteters motståndskraft, kritiska entiteter av särskild europeisk betydelse och tillsyn i kapitlen III, IV och VI helt eller delvis inte är tillämpliga på särskilda kritiska entiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott, eller som uteslutande tillhandahåller tjänster till de offentliga förvaltningsentiteter som avses i artikel 1.6 (nationell säkerhet, allmän säkerhet, försvar och brottsbekämpning). 

CER-direktivet förutsätter en stark samordning. Artikel 9.1 i direktivet ger medlemsstaterna utrymme att avgöra om de utser eller inrättar en eller flera behöriga myndigheter med ansvar för en korrekt tillämpning och vid behov efterlevnadskontroll avseende reglerna i direktivet. Om medlemsstaterna utser eller inrättar mer än en behörig myndighet ska de tydligt fastställa uppgifterna för var och en av de berörda myndigheterna och säkerställa att de samarbetar effektivt för att fullgöra sina uppgifter enligt detta direktiv, inbegripet vad gäller utseendet av och verksamheten inom den gemensamma kontaktpunkt som avses i direktivet. Detta innebär att om fler än en behörig myndighet utses ska deras inbördes förhållande fastställas exakt i det nationella genomförandet. Den gemensamma kontaktpunkt som avses i punkt 2 får i förekommande fall ha en sambandsfunktion med kommissionen och säkerställa samarbete med tredjeländer. I förekommande fall ska den gemensamma kontaktpunkten utses inom en behörig myndighet. 

Enligt artikel 5 ges kommissionen befogenhet att anta en delegerad akt i enlighet med artikel 23 senast den 17 november 2023 för att komplettera detta direktiv genom att upprätta en icke uttömmande förteckning över samhällsviktiga tjänster inom de sektorer och undersektorer som anges i bilagan. Enligt skäl 41 är denna förteckning icke uttömmande och medlemsstaterna kan komplettera den med ytterligare samhällsviktiga tjänster på nationell nivå för att ta hänsyn till nationella särdrag vid tillhandahållandet av samhällsviktiga tjänster. 

Enligt artikel 3 i hindrar direktivet inte medlemsstaterna från att anta eller behålla bestämmelser i nationell rätt som syftar till att uppnå en högre grad av motståndskraft för kritiska entiteter, förutsatt att sådana bestämmelser står i överensstämmelse med medlemsstaternas förpliktelser enligt unionsrätten. 

3.1  Allmänt

I Finland har begreppen kritisk infrastruktur eller samhällsviktiga aktörer inte definierats på lagstiftningsnivå, trots att det genom sektorsspecifik lagstiftning har genomförts reglering som gäller kritisk infrastruktur och aktörer som betraktas som centrala aktörer. I och med genomförandet av CER-direktivet får Finland en lagstiftningsram och därigenom får staten en inblick i kritiska aktörers beredskap och hur den behöver utvecklas. CER-direktivet innehåller en ram för en gemensam definition av kritiska aktörer inom de 11 sektorer som omfattas av direktivet. 

Samhällets vitala funktioner definieras i säkerhetsstrategin för samhället och det finns bestämmelser om beredskap och försörjningsberedskap i olika lagar. I Finland finns ett flertal författningar om beredskapsskyldigheter för kritiska tjänster inom vissa sektorer som upprätthåller samhällets vitala funktioner. Dessa gäller energisektorn, finanssektorn, hälso- och sjukvården, läkemedelsförsörjningen och sektorn för digitala tjänster. Lagstiftning om beredskap finns förutom i sektorspecifika författningar också i beredskapslagen. Dessutom stöder och upprätthåller Finlands försörjningsberedskapssystem för sin del den nationella resiliensen. 

3.2  Säkerhetsstrategin för samhället och den nationella riskbedömningen

Säkerhetsstrategin för samhället 2017 är ett principbeslut av statsrådet som förenhetligar de nationella principerna för beredskap och styr förvaltningsområdenas beredskap. Säkerhetsstrategin 2017 innehåller inte de krav på strategier som förutsätts i CER-direktivet. I strategin presenteras en samverkansmodell för den övergripande säkerheten som utgör en ram för samarbetet. Till samhällets vitala funktioner hör enligt strategin ledningen av staten, internationell och EU-verksamhet, försvarsförmåga, inre säkerhet, ekonomi, infrastruktur och försörjningsberedskap, befolkningens handlingsförmåga och service samt mental kristålighet. Målet är att utfärda en uppdaterad säkerhetsstrategi för samhället 2024. Enligt finländsk lagstiftning är principbeslut inte rättsligt bindande styrdokument.  

Finlands nationella riskbedömning utarbetas regelbundet och den gällande riskbedömningen publicerades i februari 2023. Den nationella riskbedömningen bygger på Europaparlamentets och rådets beslut om en civilskyddsmekanism för unionen (Nr 1313/2013/EU). Enligt artikel 6 i beslutet ska medlemsstaterna utarbeta riskbedömningar på nationell eller lämplig subnationell nivå samt tillhandahålla kommissionen en sammanfattning av relevanta delar av dessa vart tredje år samt alltid när det har skett betydande förändringar. I den nationella riskbedömningen identifieras risker som har bred nationell betydelse och bedöms deras konsekvenser för samhällets vitala funktioner. Finlands nuvarande nationella riskbedömning motsvarar inte den riskbedömning som enligt artikel 5 i CER-direktivet ska göras av medlemsstaterna. När en medlemsstat gör en i CER-direktivet avsedd riskbedömning ska den dock enligt artikel 5.2 a i direktivet, utöver det som föreskrivs i de andra leden, åtminstone ta hänsyn till den allmänna riskbedömning som ska utföras enligt artikel 6.1 i beslut nr 1313/2013/EU om civilskyddsmekanismen.  

Särskild expertis som krävs för de rådgivande uppdrag enligt artikel 18 i CER-direktivet som kommissionen ska anordna för kritiska entiteter av särskild europeisk betydelse kan i förekommande fall begäras via centrumet för samordning av katastrofberedskap, som inrättats genom Europaparlamentets och rådets beslut nr 1313/2013/EU.  

3.3  Information om säkerhetsincidenter

Statsrådets lägescentral, som är verksam dygnet runt, svarar för skapandet av en allmän lägesbild av säkerheten. Lägescentralen tar emot information från myndigheterna och följer offentliga källor. Lägescentralen sammanställer information från olika källor och rapporterar utgående från den till olika aktörer. Lägescentralen sköter på ministerienivå vissa kontaktpunktsfunktioner som har samband med internationella förpliktelser. 

Enligt 2 § i lagen om statsrådets lägescentral (300/2017) ska ministerierna samt ämbetsverken och inrättningarna inom deras förvaltningsområde informera statsrådets lägescentral om olyckor, farosituationer, exceptionella händelser och andra motsvarande störningar eller hot om störningar som gäller det egna ansvarsområdet och som enligt myndighetens bedömning kan vara av betydelse vid utformandet av en lägesbild (säkerhetsincident). Bestämmelser om lägescentralens rätt att få information finns i 3 § i den lagen. Den ovannämnda skyldigheten att lämna information gäller inte privata aktörer. 

Enligt 12 § 7 punkten i reglementet för statsrådet (262/2003), som utfärdats med stöd av lagen om statsrådet (175/2003), hör statsrådets gemensamma lägesbild, beredskap och säkerhet, den allmänna samordningen av hanteringen av störningssituationer samt den allmänna samordningen av konstaterande av att undantagsförhållanden råder och av utfärdande av ibruktagningsförordningar enligt 6 § i beredskapslagen till statsrådets kanslis ansvarsområde. 

3.4  Försörjningsberedskap

Det strategiska målet för den nationella försörjningsberedskapen är att trygga funktionen hos kritisk infrastruktur, produktion och service så att de kan tillgodose befolkningens, näringslivets och försvarets nödvändigaste grundläggande behov under alla förhållanden. Fokus inom försörjningsberedskapsverksamheten har riktats mot att säkerställa den kritiska infrastrukturens funktionsförmåga utöver den materiella beredskapen. Utgångspunkten för den nationella försörjningsberedskapen är en fungerande internationell marknad så att en kritisk sektor inte är beroende av en enskild aktör. 

Enligt 1 § i lagen om tryggande av försörjningsberedskapen (1390/1992) är syftet med försörjningsberedskapen att med tanke på undantagsförhållanden och allvarliga störningar som kan jämföras med undantagsförhållanden trygga de ekonomiska funktioner och därtill hörande tekniska system som är nödvändiga för befolkningens utkomst, landets näringsliv och landets försvar (försörjningsberedskap). 

Enligt 2 § 1 mom. i lagen om tryggande av försörjningsberedskapen ska det för tryggande av försörjningsberedskapen under alla förhållanden åstadkommas och upprätthållas tillräcklig beredskap att producera förnödenheter samt att styra produktion, distribution, konsumtion och utrikeshandel. Med stöd av paragrafens 2 mom. har statsrådet utfärdat ett beslut om målen med försörjningsberedskapen (568/2024). Genom beslutet statsrådet upp allmänna mål för försörjningsberedskapen, i vilka beredskapsnivån fastställs med beaktande av minimibehoven hos befolkningen och det nödvändiga näringslivet samt landets försvar. Ett nytt beslut av statsrådet är under beredning. Genom beslutet ställer statsrådet upp allmänna mål för försörjningsberedskapen, i vilka beredskapsnivån fastställs med beaktande av minimibehoven för befolkningen och ett nödvändigt näringsliv samt försvaret.  

Enligt 4 § i lagen om tryggande av försörjningsberedskapen ska varje ministerium utveckla försörjningsberedskapen inom sitt eget ansvarsområde. Enligt 6 § har försörjningsberedskapscentralen till uppgift att utveckla samarbetet mellan den offentliga förvaltningen och näringslivet i frågor som gäller försörjningsberedskapen. Ministerierna ska i enlighet med gällande lagstiftning sörja för att det nätverk för nationell beredskap som bygger på försörjningsberedskapsorganisationen har integrerats i den verksamhet som förutsätts i den föreslagna lagstiftningen.  

För utvecklandet och upprätthållandet av försörjningsberedskapen finns Försörjningsberedskapscentralen. Enligt 5 § i lagen om tryggande av försörjningsberedskapen har centralen en styrelse och en verkställande direktör. Verkställande direktören står i arbetsavtalsförhållande. På Försörjningsberedskapscentralens personal tillämpas löne- och arbetsvillkoren för statens personal i arbetsavtalsförhållande. Försörjningsberedskapscentralen har enligt 6 § 1 mom. 1–6 punkten olika uppgifter som gäller främjande, utveckling, tryggande och upprätthållande av försörjningsberedskapen, såsom att utveckla samarbetet mellan den offentliga förvaltningen och näringslivet i frågor som gäller försörjningsberedskapen, säkerställa funktionen hos sådana tekniska system som är livsviktiga med tanke på försörjningsberedskapen, trygga kritisk varu- och tjänsteproduktion och sådan produktion som stöder det militära försvaret samt sköta den obligatoriska upplagringen och skyddsupplagringen. I anslutning till centralen finns Försörjningsberedskapsrådet samt som permanenta samarbetsorgan sektorer och pooler som fungerar på samma sätt som kommittéer. Försörjningsberedskapssektorer är bland annat sektorerna för livsmedelsförsörjning, energiförsörjning, finansiering, logistik, industri och hälsovård. Poolernas verksamhet baserar sig på avtal mellan branschorganisationerna och Försörjningsberedskapscentralen. Poolerna har till uppgift att tillsammans med företagen i branschen följa och förbereda försörjningsberedskapen inom sitt område samt utarbeta allmänna planer för verksamheten under undantagsförhållanden. Sektorerna och poolerna upprätthåller och utvecklar försörjningsberedskapen och kontinuitetshanteringen i ett nätverk av företag och organisationer inom den egna branschen. I lagens 8, 8 b och 8 c § föreskrivs det om styrelsens, verkställande direktörens och försörjningsberedskapsrådets uppgifter. Närmare bestämmelser om Försörjningsberedskapscentralen utfärdas genom förordning av statsrådet. 

Försörjningsberedskapscentralen förvaltar försörjningsberedskapsfonden, som står utanför statsbudgeten. Till fonden intäktsförs den försörjningsberedskapsavgift som tas ut med stöd av lagen om punktskatt på flytande bränslen (1472/1994). Försörjningsberedskapsverksamheten finansieras inte ur statsbudgeten, eftersom försörjningsberedskapsfonden täcker de utgifter som föranleds av Försörjningsberedskapscentralens och Försörjningsberedskapsrådets verksamhet samt de utgifter som enligt lagstiftningen ska täckas av försörjningsberedskapsfonden. Försörjningsberedskapscentralen har möjlighet att på marknadsvillkor handla med nyttigheter som omfattas av dess behörighet oberoende av den årliga tidsplanen för statsbudgeten. 

I Finland baserar sig verksamhetsmodellen för försörjningsberedskap på samarbete mellan den offentliga, privata och tredje sektorn. 

Enligt 6 § 6 punkten i lagen om tryggande av försörjningsberedskapen ska Försörjningsberedskapscentralen sköta de uppgifter som hör till den nationella behöriga myndigheten och som det föreskrivs om i Europaparlamentets och rådets förordning (EU) 2017/1938 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010. Försörjningsberedskapscentralen har dessutom uppgifter med stöd av speciallagar, såsom lagen om obligatorisk upplagring av importerade bränslen (1070/1994) eller lagen om obligatorisk lagring av läkemedel (979/2008).  

I statsrådets försörjningsberedskapsredogörelse (SRR 8/2022 rd) fastställs de centrala målen för utvecklandet av försörjningsberedskapen fram till 2030. Redogörelsens utvecklingsriktlinjer gäller bl.a. utvecklingen av försörjningsberedskapslagstiftningen. Utgångspunkten är verksamhet på marknadsvillkor. I riksdagens skrivelse RSk 86/2022 rd om statsrådets redogörelse om försörjningsberedskapen godkänns ställningstagandet i ekonomiutskottets betänkande (EkUB 51/2022 rd), enligt vilket riksdagen inte har något att anmärka med anledning redogörelsen. 

Arbets- och näringsministeriet tillsatte den 12 januari 2024 en tvärsektoriell arbetsgrupp för att bereda en reform av försörjningsberedskapslagstiftningen. Arbetsgruppens mandatperiod är från den 15 januari 2024 till 31 december 2025 (VN/25055/2023). 

Materiell beredskap 

I 3 § i lagen om tryggande av försörjningsberedskapen finns bestämmelser om statens säkerhetsupplagring. Säkerhetsupplagringen gäller de råvaror och produkter som är nödvändiga för befolkningens försörjning, näringslivets verksamhet och försvaret samt för att fullgöra internationella avtalsförpliktelser som gäller försörjningsberedskap i händelse av krissituationer. Merparten av värdet på säkerhetsupplagen härrör från oljeprodukter. Lagstiftningen om obligatorisk upplagring, dvs. lagen om obligatorisk upplagring av importerade bränslen (1070/1994) och lagen om obligatorisk upplagring av läkemedel (979/2008) samt skyddsupplagring (lagen om skyddsupplag 970/1982), kompletterar delvis regleringen om statens säkerhetsupplagring och dess syfte är att bereda sig på allvarliga störningar i tillgången. Lagstiftningen om obligatorisk lagring riktar sig till importörer, tillverkare eller användare. Skyddsupplagring är avsedd för störningar i försörjningskedjan för råvaror och material. Upplagringen inriktas på produkter som nämns i statsrådets förordning om skyddsupplagringsprogrammet 2023–2028 (937/2023). 

3.5  Beredskap för undantagsförhållanden

Central lagstiftning för Finlands del om myndigheternas befogenheter under undantagsförhållanden är beredskapslagen (1552/2011) och lagen om försvarstillstånd (1083/1991). Justitieministeriet har tillsatt en arbetsgrupp för att reformera beredskapslagen och dess mandatperiod löper ut den 31 december 2025. 

Enligt 12 § i beredskapslagen ska statsrådet, statliga förvaltningsmyndigheter, statens självständiga offentligrättsliga inrättningar, övriga statsmyndigheter och statliga affärsverk samt välfärdsområdena och välfärdssammanslutningarna, kommunerna, samkommunerna och kommunernas övriga sammanslutningar genom beredskapsplaner och förberedelser för verksamhet under undantagsförhållanden samt genom andra åtgärder säkerställa att deras uppgifter kan skötas så väl som möjligt också under undantagsförhållanden. 

Tillämpningen av beredskapslagen förutsätter att definitionen av undantagsförhållanden i 3 § uppfylls samt att det genom en ibruktagningsförordning föreskrivs att befogenheter under undantagsförhållanden ska börja tillämpas.  

Enligt beredskapslagens 13 § leds och övervakas förberedelserna av statsrådet samt av varje ministerium inom sitt ansvarsområde. Störningssituationer i samhället bör alltid i första hand hanteras genom myndigheternas normala befogenheter. Tillämpningen av lagstiftningen för normala förhållanden upphör inte i och med införandet av utökade befogenheter enligt beredskapslagstiftningen. Beredskapslagens bestämmelser tryggar under undantagsförhållanden finansmarknaden och försäkringsverksamheten, säkerställer produktionen och distributionen av nyttigheter, såsom tillgången till el och vatten, säkerställer energiförsörjningen, reglerar byggandet och användningen av bostadsbeståndet, reglerar ändringar som gäller social trygghet samt tryggar elektroniska data- och kommunikationssystems funktionsduglighet och tillgången till posttjänster. Dessutom syftar bestämmelserna till att trygga transporter, social- och hälsovård och skötseln av statsfinanserna samt att reglera bränslen. Lagen innehåller också bestämmelser om offentlig- och privaträttsliga anställningsförhållanden, arbetsplikt, organisering av förvaltningen, försvarsberedskap, befolkningsskydd och evakuering samt upprätthållande av gränssäkerheten och den allmänna ordningen och säkerheten. 

Bestämmelser om förberedelser inför undantagsförhållanden och störningar under normala förhållanden finns också i flera sektorspecifika speciallagar.  

Bestämmelser finns i luftfartslagen (864/2014), elmarknadslagen (588/2013), naturgasmarknadslagen (587/2017), lagen om fartygstrafikservice (625/2005), lagen om trafiksystem och landsvägar (503/2005), lagen om transportservice (320/2017) och spårtrafiklagen (1302/2018). Bestämmelser om beredskaps- och riskhanteringsskyldigheter som gäller vattenförsörjningssektorn finns i lagen om vattentjänster (119/2001), hälsoskyddslagen (763/1994) och miljöskyddslagen (527/2014). Bestämmelser om beredskaps- och riskhanteringsskyldigheter som gäller livsmedelssektorn finns förutom i livsmedelslagen också i lagen om djursjukdomar (76/2021), växtskyddslagen (1110/2019) och delvis i författningar som gäller produktionsinsatser såsom foder, gödselmedel och växtskyddsmedel. I 8 § i hälsoskyddslagen föreskrivs det om den kommunala hälsoskyddsmyndighetens skyldighet att i samarbete med andra myndigheter och inrättningar utarbeta en beredskapsplan för störningssituationer som påverkar livsmiljön. Bestämmelser om beredskapsskyldigheter i fråga om läkemedel finns i lagen om obligatorisk lagring av läkemedel (979/2008). I lagen om välfärdsområden (611/2021), lagen om ordnande av social- och hälsovård (612/2021) och i statsrådets förordning om välfärdsområdenas beredskap för störningssituationer inom social- och hälsovården (308/2023), som utfärdats med stöd av den senare lagen, föreskrivs det också om beredskap för störningar och undantagsförhållanden. 

Den ovannämnda arbetsgruppen för en totalreform av beredskapslagen har begärt utlåtanden om en promemoria om beredskapsskyldigheten enligt beredskapslagen. Remisstiden gick ut den 15 februari 2024. I promemorian betonar arbetsgruppen förutom beredskapen för undantagsförhållanden också behovet av beredskap för störningar som är lindrigare än undantagsförhållanden. I promemorian konstateras vidare att trots att det föreskrivs om beredskap för störningar under normala förhållanden i flera sektorsspecifika lagar ingår i den finländska lagstiftningen ingen allmän bestämmelse som uttryckligen förpliktar den offentliga förvaltningen att förbereda sig för störningar som inte överskrider tröskeln för undantagsförhållanden. Arbetsgruppen för beredskapslagen anser i promemorian att detta är en brist i lagstiftningen och att den allmänna beredskapsskyldigheten enligt beredskapslagen bör gälla beredskap såväl för undantagsförhållanden som för lindrigare störningar. I det nationella genomförandet av CER-direktivet måste man ta hänsyn till utvecklingen av beredskapslagen för att undvika överlappande reglering.  

3.6  Nordatlantiska fördragsorganisationen Nato

Nato har på senare år lyft fram resiliens som ett centralt område i säkerhets- och försvarspolitiken. Artikel 3 i Nordatlantiska fördraget ålägger Natos medlemsstater att gemensamt upprätthålla och utveckla mekanismer för beredskap och ömsesidigt bistånd. Nato utfärdar emellertid ingen tvingande lagstiftning om detta, utan fastställer gemensamma mål. Nato och EU anses komplettera varandra för att upprätthålla internationell fred och stabilitet. 

I Nato omfattar den icke-militära beredskapen tre kärnfunktioner, det vill säga tryggande av funktioner med koppling till statsledningens förmåga att fatta beslut, tryggande av samhällets vitala funktioner och stöd för militära insatser. För att genomföra dessa tillämpas Natos sju grundkrav för motståndskraft (resiliens): 1) tryggande av kontinuiteten i statsförvaltningen, 2) förmåga att hantera stora folksamlingars rörelser, 3) tryggande av tillgången på mat och vatten, 4) omhändertagande av ett stort antal offer samt säkerställande av 5) kriståliga kommunikationsförbindelser, 6) energiproduktion och 7) trafikarrangemang. 

Nato definierar resiliens som beredskap i samhället att motstå och återhämta sig från olika störningar. I Natos strategiska koncept, som uppdaterades sommaren 2022, betonas vikten av motståndskraft mot kriser i alliansparternas samhällen med tanke på Natos uppgifter. Inom ramen för programmet Nato 2030 antog stats- och regeringscheferna ett förslag om att fastställa, utvärdera, granska och övervaka resiliensmål som styr de resiliensmål och genomförandeplaner som ska utvecklas på nationell nivå. Natos resiliensmål bygger på det resiliensåtagande som fastställdes på stats- och regeringschefsnivå 2021. Resiliensmålen stärker Natos och de allierades beredskap mot störningar. De ökar den nationella och kollektiva kapaciteten inom Natos tre kärnfunktioner för civil beredskap. 

Skyddet av kritisk infrastruktur och samhällets motståndskraft mot kriser är viktiga för Nato också för att trygga dess militära kapacitet (enablement, deployment, sustainment). En betydande del av Natos kapacitet, t.ex. när det gäller logistik och underhåll av trupper, bygger på medlemsstaternas funktioner under normala förhållanden. 

Till följd av de senaste förändringarna i den säkerhetspolitiska miljön inrättade Nato och Europeiska unionen 2023 en arbetsgrupp för motståndskraft hos kritisk infrastruktur (NATO-EU Task Force on Resilience of Critical Infrastructure). Syftet med arbetsgruppen, som består av tjänstemän från Natos internationella sekretariat och EU-kommissionen, är att öka den ömsesidiga medvetenheten om resiliens i kritisk infrastruktur, identifiera bästa praxis och utveckla samarbetet. Arbetsgruppens verksamhet fokuserar på fyra sektorer: 1) energi, 2) transport, 3) digital infrastruktur och 4) rymden. Dessutom har Nato inrättat en funktion för att samordna de olika staternas, allierades och den offentliga och privata sektorns insatser för att skydda kritisk infrastruktur.  

EU-NATO-arbetsgruppen för motståndskraft hos kritisk infrastruktur publicerade sin rapport sommaren 2023. I rapporten rekommenderas det att man utnyttjar synergierna mellan EU och Nato när det gäller skyddet av kritisk infrastruktur. Den centrala slutsatsen i rapporten är att även om EU:s resiliensåtgärder i första hand syftar till att säkerställa att den inre marknaden fungerar och att identifiera ömsesidiga beroenden, är samma åtgärder relevanta även när det gäller att säkerställa EU:s, Natos medlemsstaters och hela försvarsalliansen funktionsförmåga. Arbetsgruppen beslutade att vidareutveckla sina regelbundna, parallella och samordnade bedömningar av hot mot kritisk infrastruktur. Förutom identifiering av hot innehåller rapporten 14 rekommendationer för att stärka resiliensen. På grundval av dessa rekommendationer kommer EU och Nato att fortsätta den scenariobaserade dialogen om strategiutveckling och informationsutbytet om olika strategier för att reagera på störningssituationer. Arbetsgruppen ska också identifiera bästa praxis mellan civila och militära aktörer och arbeta för att de införs i medlemsstaterna. 

Vid Natos toppmöte i Vilnius i juli 2023 antogs strategiska resiliensmål. Avsikten är att ur målen härleda nationella mål och genomförandeplaner för dem. Natos medlemsstater beslutar om sina egna nationella resiliensmål och utarbetar tillhörande genomförandeplaner. Det centrala i arbetet är att säkerställa förenlighet med nationella befogenheter, strukturer, processer och skyldigheter, med beaktande av även Europeiska unionens krav. Vid toppmötet i Vilnius beslutades också om arrangemang för att skydda kritisk infrastruktur under vatten på strategisk och operativ nivå.  

3.7  Andra aspekter på motståndskraft hos kritisk infrastruktur

Enligt 1 kap. 1 § i polislagen (872/2011) är polisens uppgift att bl.a. trygga rätts- och samhällsordningen, skydda den nationella säkerheten, upprätthålla allmän ordning och säkerhet samt att förebygga, avslöja och utreda brott och föra brott till åtalsprövning. 

Skyddspolisen har till uppgift att i enlighet med inrikesministeriets styrning inhämta information för att skydda den nationella säkerheten samt upptäcka, förhindra och avslöja sådan verksamhet, sådana förehavanden och sådana brott som kan hota statsskicket och samhällsordningen eller rikets inre eller yttre säkerhet. Polislagens (872/2011) 5 a kap. om civil underrättelseinhämtning innehåller bestämmelser om skyddspolisens inhämtande och nyttjande av information för att den nationella säkerheten ska kunna skyddas och den högsta statsledningens beslutsfattande stödjas samt för att andra myndigheter ska kunna utföra de lagstadgade uppgifter som hänför sig till den nationella säkerheten. Med stöd av 5 a kap. 55 § i polislagen får skyddspolisen för att genomföra sitt uppdrag avseende civil underrättelseinhämtning trots sekretessbestämmelserna lämna ut andra uppgifter än personuppgifter till andra myndigheter, företag och andra sammanslutningar, om utlämnandet av uppgifterna är nödvändigt för att skydda den nationella säkerheten. Enligt säkerhetsutredningslagen (726/2014) är syftet med säkerhetsutredningar av personer och företag att förebygga eventuella hot av olika slag. Skyddspolisen publicerar årligen en översikt över den nationella säkerheten. 

Om ett objekt i den kritiska infrastrukturen drabbas av en störning i den allmänna ordningen eller säkerheten, eller om det är fråga om förebyggande, avbrytande eller utredning av brott, blir det ett polisuppdrag. Ett konkret polisuppdrag är också en förutsättning för att t.ex. försvarsmakten under normala förhållanden ska kunna delta i skyddet genom att vid behov lämna handräckning till polisen. Ansvaret för att skydda objekt och områden som ingår i kritisk infrastruktur ligger i första hand hos deras ägare och dem som är verksamma i objekten. Om det inte finns konkreta hot eller störningar fokuserar polisens roll när det gäller att skydda kritisk infrastruktur på informationsinhämtning, planering och övervakning i samband med polisens grundläggande verksamhet samt på förebyggande av brott som en del av den informationsledda polisverksamheten. Enligt 9 kap. 8 § i polislagen kan inrikesministeriet för att trygga synnerligen viktig verksamhet eller egendom eller för att skydda människor genom förordning begränsa trafik eller vistelse i ett objekt som ska tryggas eller skyddas och i dess omgivning, på grund av den fara som objektet utgör eller utsätts för, eller förbjuda att föremål eller ämnen som äventyrar säkerheten förs till området. Den som bryter mot förbudet eller begränsningen kan dömas till böter, om inte strängare straff för gärningen föreskrivs någon annanstans i lag. Dessa begränsningar är ofta inriktade på att skydda samhällsviktig infrastruktur, t.ex. objekt inom energiförsörjningen. Inrikesministeriet har utfärdat en förordning (1104/2013) om begränsning av trafik och vistelse ( Förordning ).  

Gränsbevakningsväsendet upprätthåller gränssäkerheten på land- och havsområden med kritisk infrastruktur samt utför polisuppdrag, fungerar som förundersökningsmyndighet och deltar i det militära försvaret. Gränsbevakningsväsendet är också territorialövervakningsmyndighet och sköter territorialövervakningen särskilt i havsområden. Skydd av objekt som klassificerats som kritiska är dock inte en lagstadgad uppgift för Gränsbevakningsväsendet. I synnerhet i gränszonen och i Finlands territorialvatten upprätthåller Gränsbevakningsväsendet en lägesbild, övervakar verksamhet som avviker från det normala och ingriper vid behov som en del av den dagliga verksamheten. I lagen om Finlands ekonomiska zon (2004/1058) fastställs Gränsbevakningsväsendets övervakningsuppgifter under inspektions-, bygg- och reparationsarbeten vid kritisk infrastruktur. Sådana uppgifter är t.ex. reparation av elkablar eller gasledningar i Finlands ekonomiska zon. Förutom i övervakningen deltar Gränsbevakningsväsendet vid behov i anmälningspraxis och i inspektion av kommersiella bolags undervattensmaterial. 

Enligt 15 § i räddningslagen (379/2011) ska det göras upp en räddningsplan för byggnader eller andra objekt som med avseende på utrymningssäkerheten eller räddningsverksamheten är mer krävande än normalt eller där människors säkerhet eller brandsäkerheten, miljön eller kulturegendom kan antas vara utsatt för stor risk eller skadorna till följd av en eventuell olycka kan antas vara allvarliga. Räddningsplanen ska innehålla en redogörelse för slutsatserna av bedömningen av faror och risker, säkerhetsarrangemangen i byggnaden och de utrymmen som används i verksamheten, olycksförebyggande anvisningar och förhållningsregler för olyckssituationer och farliga situationer till boende och andra personer samt eventuella andra åtgärder i anslutning till objektets egen beredskap. Räddningsverken övervakar inom sina områden att lagen följs. Bestämmelser om tillsynsplanen finns i 79 § i räddningslagen. Tillsynen ska basera sig på riskbedömning. Vidare ska räddningsverket göra upp planer för den räddningsverksamhet och den ledning av räddningsverksamheten som olycksriskerna i välfärdsområdet kräver. I 48 § i räddningslagen föreskrivs det om uppgörande av externa räddningsplaner i händelse av en olycka i samarbete med den berörda verksamhetsidkaren för objekt som medför särskild fara, exempelvis kärnanläggningar. 

Enligt lagen om försvarsmakten (551/2007) har försvarsmakten också till uppgift att stödja andra myndigheter, vilket bl.a. innefattar handräckning för upprätthållande av allmän ordning och säkerhet, för förhindrande och avbrytande av terroristbrott och andra brott som orsakar allvarlig fara för människors liv eller hälsa samt för skyddande av samhället i övrigt eller deltagande i räddningsverksamheten. 

3.8  Åland

Ålands landskapsregering har i sitt yttrande inte tagit ställning till hur lagstiftningsbehörigheten enligt propositionen ska fördelas mellan riket och landskapet. I 59 b § i självstyrelselagen för Åland (1144/1991) föreskrivs det om verkställighet av beslut som fattats inom Europeiska unionen. I 17 § i självstyrelselagen för Åland (1144/1991) konstateras att lagtinget stiftar lagar för landskapet ( landskapslagar ). Enligt 18 § i självstyrelselagen har landskapet lagstiftningsbehörighet bl.a. i fråga om ärenden som gäller landskapets förvaltning samt myndigheter och inrättningar som är underställda den, kommunernas förvaltning samt med vissa begränsningar lagstiftningsbehörighet i ärenden som gäller näringsverksamhet. Enligt självstyrelselagens 27 § har riket lagstiftningsbehörighet i fråga om handelssjöfart, luftfart, standardisering, statliga myndigheters organisation och verksamhet, televerksamhet samt övriga angelägenheter som enligt grundsatserna i självstyrelselagen ska hänföras till rikets lagstiftningsbehörighet.  

Enligt 18 § 1 mom. 12 punkten i självstyrelselagen för Åland har landskapet lagstiftningsbehörighet i fråga om hälso- och sjukvård, med de undantag som stadgas i 27 § 24, 29 och 30 punkten. Enligt 27 § 1 mom. 30 punkten i självstyrelselagen har riket lagstiftningsbehörighet i fråga om behörigheten att vara verksam inom hälso- och sjukvården, apoteksväsendet, mediciner och produkter av läkemedelstyp, narkotiska ämnen samt framställning av gifter och fastställande av deras användningsändamål. 

Ordnandet av social- och hälsovård på Åland hör till Ålands egen behörighet. Myndigheten Ålands hälso- och sjukvård (ÅHS), som lyder under Ålands landskapsregering, ansvarar för ordnandet av såväl primärvård som specialiserad sjukvård. För socialvården på Åland ansvarar kommunernas gemensamma socialtjänst (Kommunernas socialtjänst, KST). Regionförvaltningsmyndigheten på Åland ansvarar för tillsynen. 

Med avseende på behörighetsfördelningen inom rymdsektorn mellan riket och landskapet enligt självstyrelselagen för Åland hör satellitbaserad fjärranalys samt markstations- och radarverksamhet till rikets lagstiftningsbehörighet i enlighet med 27 § 40 och 42 punkten i självstyrelselagen, vilket även är fallet i fråga om rymdverksamhet och radiotillstånd. När det gäller markstationer och radaranläggningar förutsätter bedrivande av verksamhet på Åland vid behov tillstånd av landskapsregeringen för fastighetsförvärv, näringsverksamhet och rundradio- och televisionsverksamhet i enlighet med självstyrelselagen och landskapslagarna. 

Bestämmelser om skötseln i landskapet Åland av förberedande uppgifter för undantagsförhållanden finns i republikens presidents förordning (900/2000). De förberedande förvaltningsuppgifter och de förberedande uppgifter av annat slag som ankommer på rikets myndigheter inom befolkningsskyddet, försörjningsberedskapen och den allmänna beredskapen inför undantagsförhållanden ska i landskapet Åland skötas gemensamt av rikets och landskapets myndigheter i enlighet med vad som bestäms i förordningen. 

Ålands landskapsregering har berett en lag om cybersäkerhet och motståndskraft genom vilken CER- och NIS 2-direktivet genomförs i landskapet. 

3.9  Nuläget inom respektive sektor

4.1  De viktigaste förslagen

I denna proposition föreslås det att det för genomförandet av CER-direktivet stiftas en ny allmän lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft. Det finns ingen gemensam procedurram i den nationella lagstiftningen för att identifiera kritisk infrastruktur på nationell nivå och EU-nivå. Detta talar för att det bör stiftas en allmän lag som både omfattar hanteringen av helheten och tar hänsyn till ömsesidiga beroendeförhållanden och att åtgärderna för motståndskraft är enhetliga. 

Säkerhets- och verksamhetsmiljön i Europa har förändrats fundamentalt och varaktigt. Hoten i den förändrade omvärlden, såsom Rysslands olagliga invasion av Ukraina samt sabotageverksamhet och hybridpåverkan som kombinerar olika metoder, påverkar samtidigt flera av unionens medlemsstater. Medlemsstaternas ekonomi och samhällen samt EU:s inre marknad kan drabbas av uppsåtliga åtgärder som allvarligt kan störa den inre marknadens funktion och påverka samhällets vitala funktioner och säkerhet. Särskild uppmärksamhet bör ägnas åt statliga hot mot kritisk infrastruktur. 

Syftet med CER-regleringen och den föreslagna lagstiftningen är att säkerställa tillhandahållandet av ömsesidigt beroende tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet, identifiera kritiska aktörer som tillhandahåller dessa kritiska tjänster, införa skyldigheter i fråga om kritiska aktörers motståndskraft, övervaka efterlevnaden av dessa skyldigheter och ge kritiska aktörer stöd för att uppfylla deras skyldigheter. Dessutom syftar regleringen till att harmonisera lagstiftningen i Europeiska unionens medlemsstater för att säkerställa att den inre marknaden fungerar utan störningar. Ett viktigt förslag i det direktivenliga lagförslaget gäller identifieringen av kritiska aktörer med stöd av en nationell strategi och riskbedömning och nationella kriterier samt beslutsfattandet om detta. 

Den föreslagna regleringen har beröringspunkter med befintliga nationella arrangemang. I Finland har det dock inte tidigare genom en allmän lag föreskrivits om enhetliga krav på kritiska verksamheter på strategisk nivå, såsom om en nationell strategi eller på en mer detaljerad nivå om en nationell riskbedömning. Dessutom finns det varken bestämmelser om identifiering av samhällskritiska aktörer eller om allmänna krav på identifierade aktörer för att stärka motståndskraften i samhällsviktiga tjänster. I dagsläget har staten ingen inblick i beredskapsläget hos de aktörer som är kritiska med tanke på samhällets funktionsförmåga och saknar rätt att meddela enhetliga föreskrifter för att förbättra motståndskraften mot kriser.  

I den nationella lagstiftningen föreskrivs genom beredskapslagen om myndigheternas beredskap för undantagsförhållanden. I de sektorsspecifika lagarna finns bestämmelser om beredskap för störningssituationer och undantagsförhållanden inom vissa samhällsviktiga sektorer. Det finns också bestämmelser om tillsynsstrukturer. Försörjningsberedskapsverksamheten är viktig för befolkningens försörjning och för landets näringsliv och försvar. Verksamheten bygger i stor utsträckning på frivillighet inom den offentliga, privata och tredje sektorn och omfattar olika sektorer, inbegripet kritiska aktörer.  

Den myndighetsverksamhet som föreslås i lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft, ordnandet av försörjningsberedskapen på nationell nivå samt ledningen, övervakningen och samordningen av beredskapen enligt beredskapslagen är komplementära. Enligt beredskapslagens 13 § leds och övervakas förberedelserna av statsrådet samt av varje ministerium inom sitt ansvarsområde. Enligt beredskapslagen samordnar varje ministerium förberedelserna inom sitt eget ansvarsområde. Enligt 4 § i lagen om tryggande av försörjningsberedskapen hör utvecklandet av försörjningsberedskapen och samordningen av beredskapsförberedelserna till arbets- och näringsministeriet, och varje ministerium ska utveckla försörjningsberedskapen inom sitt eget ansvarsområde. Styrningen sammankopplas i ministerierna, vilket leder till synergi och förebygger överlappningar. Även i de ovannämnda helheterna har tydliga samarbets- och koordinationsstrukturer definierats för samarbetet mellan förvaltningsområdena. 

Aktiviteter som utförs av aktörer som identifierats som kritiska enligt CER-direktivet kan också orsaka eller i sig utgöra ett hot. Exempelvis omfattas anläggningar som hanterar och lagrar farliga kemikalier av bestämmelserna i kemikaliesäkerhetslagen och lagen om tryckbärande anordningar. Objekten kan bl.a. finnas inom energiproduktion eller tillverkning av kritiska ämnen.  

Enligt den föreslagna allmänna lagen ska statsrådet godkänna en nationell strategi som en lagstadgad plan och en nationell riskbedömning som kompletterats med CER-kraven. I enlighet med direktivet innehåller den föreslagna lagen en process för identifiering av kritiska aktörer och gemensamma kriterier för identifieringen samt skyldigheter för kritiska aktörer att stärka sin motståndskraft och sin kapacitet att tillhandahålla samhällsviktiga tjänster åtminstone i enlighet med minimikraven i direktivet. De aktörer som omfattas av tillämpningsområdet för den allmänna lagen definieras i enlighet med tillämpningsområdet för CER-direktivet. 

På statsrådsnivå fastställs vilket ministerium som ska sköta samordningen och den allmänna styrningen av verksamheten. I den föreslagna allmänna lagen tilldelas uppgiften inrikesministeriet. Reglementet för statsrådet ska också i fortsättningen ändras så att det beaktas att inrikesministeriet är den behöriga myndighet som avses i artikel 9.1 i direktivet och som ansvarar för styrningen av den kritiska infrastrukturens motståndskraft och svarar för de lagstadgade uppgifterna i det nationella ramverket. På nationell nivå finns det även andra behöriga myndigheter. De kritiska aktörerna ska identifieras sektorsvis av respektive ansvariga ministerium. Det är mest ändamålsenligt att organisera tillsynen av kritiska aktörer sektorsvis med hjälp av befintliga tillsynsmyndigheter. Med stöd av gällande lagstiftning finns det flera tillsynsmyndigheter och de (ämbetsverken) kan styras av flera ministerier. Styrningen indelas då i regel i allmän administrativ styrning och tillsyn som utövas av ett ministerium och resultatstyrning enligt den s.k. flerstyrningsmodellen, vilket innebär att ett ämbetsverk resultatstyrs sektorsvis av olika ministerier i samarbete. Bl.a. styrningen av Säkerhets- och kemikalieverket har organiserats på det sätt som beskrivs ovan. Tillsynsmyndigheter är således de myndigheter som bestäms enligt den sektorslagstiftning som gäller för sektorerna. Tillsynsmyndigheter är Energimyndigheten, Närings-, trafik- och miljöcentralen i Södra Savolax, Transport- och kommunikationsverket, Säkerhets- och utvecklingscentret för läkemedelsområdet, Livsmedelsverket, Säkerhets- och kemikalieverket, Tillstånds- och tillsynsverket för social- och hälsovården och regionförvaltningsverken. Tillsynsmyndigheten kan påföra en kritisk aktör en försummelseavgift. Artikel 22 i CER-direktivet innehåller inga exakta bestämmelser om formen eller beloppet av påföljden.  

Enligt 4 § i lagen om tryggande av försörjningsberedskapen ska varje ministerium utveckla försörjningsberedskapen inom sitt eget ansvarsområde. Uppgifterna enligt CER-direktivet och styrningen av försörjningsberedskapen sammankopplas i ministerierna, vilket förebygger överlappningar. De befintliga samordningsstrukturerna kan utnyttjas fullt ut. När det gäller CER-verksamheten åläggs försörjningsberedskapscentralen sådana uppgifter som anknyter till dess nuvarande verksamhet, såsom att fungera som kontaktpunkt för företagen och stödja behöriga myndigheter. De uppgifter som åläggs centralen är offentliga förvaltningsuppgifter enligt 124 § i grundlagen och innebär inte utövning av offentlig makt. 

Det föreslås att Statsrådets lägescentral ska vara den som förmedlar anmälningar om incidenter i gränsöverskridande fall. Incidentanmälans innehåll eller informationen om en incident ska komma från den berörda myndigheten. Incidentanmälningar som inverkar på centrala tjänsters kontinuitet ska förmedlas till kommissionen och till kontaktpunkterna i de EU-medlemsstater som berörs eller kan beröras av den gränsöverskridande incidenten. En incident är betydande om den påverkar eller kan påverka minst sex eller fler av unionens medlemsstater.  

Kritiska aktörer åläggs ansvar för att säkerställa motståndskraften, vilket inbegriper åtgärder och en plan för detta. Om det redan har utarbetats ett liknande dokument om innehållet i planen behöver ett separat dokument enligt lagförslaget inte utarbetas. Kritiska aktörer ska också inom sin organisation utse en ansvarsperson för informationsgången. En central skyldighet gäller anmälning av incidenter till myndigheterna och mottagande av information från myndigheterna. I detta avseende skulle det i fortsättningen vara ändamålsenligt med en gemensam elektronisk rapporteringskanal för anmälningar enligt NIS 2- och CER-direktiven för att minimera den administrativa bördan och främja myndigheternas gemensamma situationsmedvetenhet. Det kan antas att det i viss utsträckning kan förekomma incidenter som bör rapporteras med stöd av båda direktiven. Tidsramen för genomförandet av CER-direktivet inklusive övergångsperioder är i viss mån mer flexibel än tidsramen för genomförandet av NIS 2-direktivet, som kräver en fungerande rapporteringskanal redan i oktober 2024. Kanalen för förmedling av CER-anmälningar ska vara i användning först 2026. 

Med anledning av bakgrundskontrollerna och genomförandet av direktivet föreslås det ändringar i säkerhetsutredningslagen, straffregisterlagen och lagen om lagring av straffregisteruppgifter och om utlämnande av sådana uppgifter mellan Finland och de övriga medlemsstaterna i Europeiska unionen. För att säkerställa att bakgrundskontrollerna är effektiva ska hamninnehavare enligt lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet (482/2004, nedan lagen om sjöfartsskydd) vara skyldiga att låta göra en säkerhetsutredning av vissa kategorier av personer. 

I CER-direktivet föreskrivs det om minimiharmonisering och direktivet hindrar inte medlemsstaterna från att anta eller behålla bestämmelser i nationell rätt som syftar till att uppnå en högre grad av motståndskraft för kritiska aktörer. Förteckningen över samhällsviktiga entiteter i bilagan till direktivet är inte heller uttömmande, utan medlemsstaterna kan komplettera den med ytterligare samhällsviktiga tjänster på nationell nivå för att ta hänsyn till nationella särdrag vid tillhandahållandet av samhällsviktiga tjänster. Under lagberedningen har man kommit fram till att direktivet ska genomföras utan nationella utvidgningar. Beslutet fattades med beaktande av utvecklingen av beredskapslagstiftningen. Det nationella genomförandet av CER-direktivet är viktigt för den privata sektorn, som är central med tanke på samhällsviktiga tjänsters motståndskraft, även om näringslivet också har infört frivilliga beredskapsåtgärder. Den allmänna beredskapsskyldigheten enligt beredskapslagen har i sin tur en central betydelse som ett regelverk som styr utvecklingen av motståndskraften hos den offentliga sektorn, t.ex. hos välfärdsområden eller statliga myndigheter. Den sektorsspecifika lagstiftningen preciserar detta regelverk. I det nationella genomförandet av CER-direktivet måste man ta hänsyn till utvecklingen av beredskapslagen för att undvika överlappande reglering inom den offentliga sektorn. Det föreslås dock att den nationella definitionen av vårdgivare preciseras i lagförslaget för att undvika oklarheter. 

4.2  De viktigaste konsekvenserna

I Finland finns det redan omfattande sektorsspecifik lagstiftning om beredskap, förberedelser och insatser vid störningar som kompletterar den allmänna beredskapsskyldigheten enligt beredskapslagen. Den nationella lagstiftningen uppfyller delvis målen i CER-direktivet. Genom propositionen stärks samhällets allmänna resiliens och den nationella säkerheten i den dynamiska hotmiljön. 

Den befintliga samarbetsmodellen för försörjningsberedskap utgör en fungerande grund för de enhetliga utvecklingsåtgärder som enligt CER-direktivet förutsätts av de kritiska aktörerna. Ett särskilt element i det finländska systemet är det samarbete som bygger på ett ömsesidigt förtroende mellan de privata företagen och myndigheterna och som i praktiken bedrivs via försörjningsberedskapsorganisationen. Enligt 4 § i lagen om tryggande av försörjningsberedskapen ska varje ministerium utveckla försörjningsberedskapen inom sitt ansvarsområde. Enligt 6 § i den lagen har försörjningsberedskapscentralen till uppgift att utveckla samarbetet mellan den offentliga förvaltningen och näringslivet i frågor som gäller försörjningsberedskapen. I regeringspropositionen är det sektorministeriet som ska identifiera de kritiska aktörerna på det sätt som krävs i direktivet och organisera tillsynen och stödåtgärderna. Ministerierna ska i enlighet med gällande lagstiftning sörja för att det nätverk för nationell beredskap som bygger på försörjningsberedskapsorganisationen har integrerats i den verksamhet som förutsätts i denna lagstiftning. Försörjningsberedskapsrådet, som utnämns av statsrådet, har enligt 8 c § i den lagen till uppgift att upprätthålla och utveckla kontakterna med de viktigaste samarbetsparterna, följa försörjningsberedskapens tillstånd och utveckling samt lägga fram åtgärdsförslag. Försörjningsberedskapsrådet ska i enlighet med sitt mandat att lägga fram åtgärdsförslag se till att försörjningsberedskapsverksamheten integreras i den verksamhet som förutsätts enligt denna lagstiftning. 

Statsrådet har tillsatt en arbetsgrupp för att bereda en totalreform av beredskapslagen, och vid genomförandet av CER-direktivet har arbetsgruppens begäran om utlåtande om en promemoria om skyldigheten enligt beredskapslagen att vidta förberedelser beaktats. I promemorian betonar arbetsgruppen förutom beredskapen för undantagsförhållanden också behovet av beredskap för störningar som är lindrigare än undantagsförhållanden. I promemorian konstateras vidare att trots att det föreskrivs om beredskap för störningar under normala förhållanden i flera sektorsspecifika lagar ingår i den finländska lagstiftningen ingen allmän bestämmelse som uttryckligen förpliktar den offentliga förvaltningen att förbereda sig för störningar som inte överskrider tröskeln för undantagsförhållanden. Arbetsgruppen för beredskapslagen anser i promemorian att detta är en brist i lagstiftningen och att den allmänna beredskapsskyldigheten enligt beredskapslagen bör gälla beredskap såväl för undantagsförhållanden som för lindrigare störningar. Det är inte ändamålsenligt att på nationell nivå utvidga CER-regleringen till att omfatta nya aktörer inom den offentliga sektorn utöver dem som anges i direktivet.  

Utgångspunkterna och principerna i lagförslaget, som grundar sig på CER-direktivet, är delvis annorlunda än i det finländska beredskaps- eller försörjningsberedskapssystemet. Lagförslaget bygger på utnyttjande av befintliga beredskaps- och försörjningsberedskapsstrukturer. Propositionen får konsekvenser för både den offentliga sektorn och företagen. Ett av direktivets huvudsyften är att stärka motståndskraften hos företag och andra aktörer som identifierats som kritiska på EU-nivå. Detta syfte stöds av den föreslagna regleringen, eftersom företag inte omfattas av beredskapslagstiftningen på samma sätt som myndigheterna. Dessutom skapar ett gemensamt ramverk på EU-nivå förutsättningar för framtida enhetliga förfaranden i fråga om de aktörer som har en gränsöverskridande kritisk infrastruktur eller som producerar kritiska tjänster i flera EU-medlemsstater.  

För att säkerställa en horisontell och enhetlig ansats görs det på unionsnivå inom en harmoniserad ram en bedömning av relevanta risker, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, som kan påverka tillhandahållandet av samhällsviktiga tjänster. I lagförslaget ska identifieringen av kritiska aktörer följa en direktivenlig riskbaserad ansats med inriktning på de aktörer som är mest relevanta för att viktiga samhällsfunktioner och central ekonomisk verksamhet ska kunna upprätthållas. Enligt lagförslaget ska strategin och den nationella riskbedömningen enligt CER-direktivet styra myndigheternas och de kritiska aktörernas verksamhet, vilket innebär att enhetligheten på europeisk nivå också beaktas. Infrastrukturens kritiska karaktär kan definieras enligt följande: 

Nationell kritisk infrastruktur (CER) 

Synnerligen kritisk infrastruktur 

Kritisk infrastruktur 

Infrastruktur 

Lagförslaget, som bygger på CER-direktivet, harmoniserar identifieringen av kritiska aktörer och förfarandena och kriterierna för motståndskraft i EU:s medlemsstater och skapar tydliga samarbetsförfaranden mellan medlemsstaterna. Förbättrad motståndskraft och funktionssäkerhet hos kritiska tjänster på den inre marknaden enligt CER-direktivet samt samarbete mellan EU-länderna bidrar också till att stödja Finlands beredskap och upprätthållandet och utvecklandet av försörjningsberedskapen. Näringslivet skyddar sin kritiska infrastruktur utgående från ett affärsperspektiv, vilket för närvarande stöds av försörjningsberedskapsverksamheten. Riskbedömning ur ett affärsperspektiv tar hänsyn till de risker som är väsentliga för kontinuiteten i företagets egen verksamhet, vilket innebär att vissa statliga hot risker för samhällets funktionssäkerhet kan bli oidentifierade. Samtidigt utesluter en riskbedömning ur ett affärsperspektiv ändå inte att skyldigheterna enligt den föreslagna lagen bygger på den kontinuitetsplanering och riskhantering som redan hör till normal affärsverksamhet. Lagförslaget försvagar inte verksamhetsmodellen för försörjningsberedskapsverksamheten i fråga om de aktörer som inte definieras som kritiska aktörer enligt direktivet.  

Ett beslut som gäller en kritisk aktör påverkar aktörens ställning i förhållande till andra företag som är verksamma på samma marknad och eventuellt aktörens förvaltning, förvaltningsstrukturer och investeringar. I vidare bemärkelse är identifieringen av kritiska aktörer av betydelse t.ex. när det gäller att fastställa den strategiska tyngdpunkten inom den övergripande motståndskraften mot kriser. Därför är det viktigt att beslut om identifiering som kritisk aktör fattas på statsrådsnivå. Aktörer som identifieras som kritiska enligt CER-direktivet omfattas också av skyldigheterna enligt NIS 2-direktivet. Dessa kan påverka varandra.  

För de aktörer som identifieras som kritiska aktörer innebär genomförandet av direktivet en förbättring när det gäller att skapa en helhetsbild och gör det möjligt för andra, t.ex. dem som är involverade i produktionen av samhällsviktiga tjänster, att dra nytta av de tillvägagångssätt som anges i direktivet. Undersektorerna enligt direktivet har sektorsspecifika särdrag som ska beaktas vid identifieringen av kritiska aktörer. En kategori av samhällsviktiga aktörer enligt CER-direktivet kan omfatta en mer begränsad grupp aktörer än de som är kritiska för försörjningsberedskapen eller har annan infrastruktur.  

Statsrådets lägescentral åläggs den CER-direktivenliga uppgiften att förmedla incidentanmälningar från den behöriga myndigheten i Finland till kommissionen och till en annan medlemsstat i gränsöverskridande störningssituationer. Jourverksamheten i anslutning till statsrådets beslutsfattande har koncentrerats till lägescentralen, och denna uppgift enligt CER-direktivet faller sig naturlig med tanke på lägescentralens nuvarande verksamhetsfält. Statsrådets lägescentral fungerar som kontaktpunkt för EU:s centrum för samordning av katastrofberedskap (ERCC). Förutom att ERCC och statsrådets lägescentral verkar inom räddningssektorn utgör de också kontaktpunkter för EU:s integrerade arrangemang för politisk krishantering (IPCR, Integrated political crisis response). EU:s integrerade arrangemang för politisk krishantering har byggts upp för att stödja ordförandelandet i Europeiska unionens råd när det gäller att hantera sektorsövergripande katastrofer som orsakas av naturen eller människan samt terrordåd. En störning i kritisk, gränsöverskridande infrastruktur kan kräva att arrangemanget aktiveras. Statsrådets lägescentral administrerar informationsutbytet inom Common Emergency Communication and Information System (CECIS-systemet), som är ett webbaserat larm- och rapporteringsprogram som gör det möjligt att utbyta information i realtid. Statsrådets lägescentral har också anmälts till det nationella nätverk av kontaktpunkter för infrastruktur som inrättades efter Nord Stream-sabotaget. 

Vid genomförandet av direktivet föreslås det att socialservice ska omfattas av tillämpningsområdet för denna lag. På grund av det starka ömsesidiga beroendet finns det ett behov av att stärka den egna beredskapen inom socialservicen. Bristerna i beredskapen avspeglas t.ex. i uppgifterna inom den specialiserade sjukvården och räddningsväsendet. I undantagssituationer kan brister i en enskild stor privat tjänsteleverantörs funktionsförmåga leda till en sektorsöverskridande störningssituation, under vilken man inte kan skriva ut patienter från den specialiserade sjukvården och att man t.ex. vid en evakuering blir tvungen att förlita sig på stöd från räddningsmyndigheten. År 2023 omfattades totalt cirka 110 000 personer av socialservice dygnet runt. Av boendeservice dygnet runt för äldre producerades 84 procent inom den offentliga sektorn och av kollektivt boende för äldre producerades 71 procent inom den privata sektorn. 

Utanför lagens tillämpningsområde faller laboratorier vid anläggningar som levererar och distribuerar vatten. Leverantörer och distributörer av vatten omfattas direkt av CER-direktivet, men direktivet tar inte hänsyn till de laboratoriefunktioner som används av leverantörer och distributörer av vatten. För laboratorier som används av leverantörer och distributörer av vatten föreskriver lagstiftningen inte några skyldigheter i fråga om störningssituationer, utan skyldigheterna grundar sig på avtal med vattentjänstverk, anläggningar som levererar hushållsvatten och kommunala hälsoskyddsmyndigheter. I vissa EU-länder räknas en del av socialservicen som hälso- och sjukvårdsservice och omfattas därmed av CER-direktivet.  

Identifieringen av kritiska aktörer med stöd av CER-direktivet kommer att stödja tillsynen över de aktörer som omfattas av undantagssektorn för digital infrastruktur och prioriteringen av tillsynsåtgärderna inom ramen för NIS2-direktivet, då de viktigaste aktörerna först har identifierats i enlighet med CER-direktivet. Detta gör det möjligt att oberoende av aktörens storlek identifiera sådana nya aktörer som tidigare inte har identifierats på nationell nivå De konsekvenser som CER-direktivet får för myndigheter och identifierade kritiska aktörer börjar konkretiseras enligt den tidsplan som anges i direktivet. Den nationella strategi som ska utfärdas i form av en lagstadgad plan och den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft ska ha godkänts senast den 17 januari 2026. De kritiska aktörerna ska definieras senast den 17 juli 2026. En kritisk aktör ska göra den riskbedömning som krävs enligt direktivet inom nio månader från det att aktören har blivit underrättad om sin status som kritisk aktör. 

När det gäller miljökonsekvenser antas propositionen bidra till att kontrollera och bekämpa skadliga konsekvenser för miljön och betydande sektorer, såsom vattentjänsterna och energiproduktionen. I fortsättningen ska det beaktas att tillstånds-, styrnings- och tillsynsuppgifterna enligt regeringsprogrammet under denna regeringsperiod ska koncentreras till en ny sektorsövergripande myndighet som övertar de uppgifter som sköts av Tillstånds- och tillsynsverket för social- och hälsovården, regionförvaltningsverken och de relevanta uppgifterna inom NTM-centralernas ansvarsområden för miljö och naturresurser. 

Ekonomiska konsekvenser 

Bedömningen av ekonomiska konsekvenser är förknippad med en viss osäkerhet, eftersom konsekvenserna är beroende av huruvida en aktör identifieras som en kritisk aktör inom ramen för den nationella strategin och riskbedömningen, vilket också påverkas av förändringarna i omvärlden. Genomförandet av skyldigheterna enligt propositionen bedöms kunna leda till ökade kostnader för de aktörer som identifieras som kritiska i och med att de måste fullgöra sina skyldigheter. Å andra sidan innehåller den gällande lagstiftningen redan liknande skyldigheter eller så har aktörerna på frivillig basis ägnat uppmärksamhet åt sin motståndskraft t.ex. inom försörjningsberedskapsverksamheten. Dessutom leder genomförandet av CER-direktivet till att delvis redan befintliga riskhanteringsåtgärder inom vattentjänsterna blir lagstadgade. Ekonomiska konsekvenser kan uppstå i synnerhet för aktörer som inte tidigare har omfattats av skyldigheter i fråga om riskhantering eller beredskap för störningssituationer och undantagsförhållanden. Samtidigt begränsar en förbättrad motståndskraft omfattningen av incidenter eller förhindrar incidenter och deras konsekvenser, vilket förhindrar uppkomsten av kostnader för störningar. Propositionen anses inte få betydande självständiga ekonomiska konsekvenser för myndigheterna, eftersom de redan enligt gällande lagstiftning är skyldiga att genom beredskapsplaner och andra åtgärder förbereda sig på störningar under undantagsförhållanden, vilket också stöder hanteringen av störningssituationer under normala förhållanden samt åtgärder enligt CER-direktivet. Eventuella kostnader som följer av skyldigheterna täcks inom ramen för befintliga anslag. 

För myndigheterna uppstår dock kostnader för de nya myndighetsuppgifter som genomförandet av CER-direktivet förutsätter. Till dessa hör uppgifter för det ministerium som på statsrådsnivå samordnar och styr verksamheten samt uppgifter som hänför sig till identifieringen av kritiska aktörer vid övriga ministerier. De nationella myndigheterna bidrar också i stor utsträckning till utarbetandet av den nationella strategi och riskbedömning som krävs enligt direktivet. Tillsynen över att skyldigheterna följs kommer att medföra en del nya uppgifter och ytterligare resursbehov för de sektorsspecifika tillsynsmyndigheter som tilldelas och redan har sådana uppgifter. Det råder osäkerhet även kring denna bedömning av behovet av ytterligare resurser, eftersom antalet tillsynsuppgifter är beroende av antalet aktörer som har identifierats som kritiska. Storleken på de försummelseavgifter till Rättsregistercentralen som eventuellt ska verkställas beror på de beslut som fattas av tillsynsmyndigheten. Begäranden om uppgifter ur Ecris som ingår i de bakgrundskontroller som avses i artikel 14 i CER-direktivet och svar på begäranden från andra medlemsstater medför också ytterligare resursbehov för Rättsregistercentralen. De obligatoriska säkerhetsutredningarna i hamnarna berör uppskattningsvis cirka 500 personer i Finland. Enligt en bedömning som gjorts med hjälp av arbets- och näringsministeriets räknare för regleringsbördan medför denna skyldighet en kostnad på totalt cirka 160 000 euro för hamninnehavarna eller hamnoperatörerna när lagen träder i kraft och i fortsättningen cirka 15 000 euro per år. Den beräknade kostnaden består av arbetskostnader samt ansökningsavgifter som betalas till skyddspolisen. Kostnaden drabbar främst några av de största hamnarna. Totalt fördelas kostnaderna mellan 63 hamnar. 

Nedan anges vilka anslag som uppskattningsvis kommer att behövas för helheten Skyddet av kritisk infrastruktur (CER) för 2025. Tabellen innehåller också de i ramförhandlingarna inskrivna metoderna för att genomföra ytterligare uppgifter.  

I enlighet med finanspolitiska ministerutskottets riktlinjer av den 6 februari 2024 sköts de ovan nämnda resursbehoven inom ramen för den nuvarande anslagsramen för förvaltningsområdet, vid behov genom att effektivisera och anpassa den nuvarande verksamheten. 

Uppskattningarna av anslagsbehoven grundar sig på de tidsfrister som anges i direktivet och på de beslut om myndighetsverksamheten som fattats på nationell nivå i enlighet med beredningsläget i juni 2024. Ansvarsfördelningen, specifikationerna av uppgifterna och kostnadskalkylerna preciseras i närmare detalj i takt med att beredningen framskrider. Uppgifterna är delvis parallella med de uppgifter som följer av propositionen om NIS2. Denna proposition innehåller dock inga överlappningar av de anslagsbehov som föreslagits i propositionen om NIS2.  

Inrättandet av den elektroniska rapporteringskanal för incidentanmälningar i regeringens proposition medför en investeringskostnad av engångskaraktär på uppskattningsvis 200 000 euro och driftskostnader på uppskattningsvis 50 000 euro per år. Rapporteringskanalen kan genomföras genom att utnyttja den rapporteringskanal som för närvarande används av Transport- och kommunikationsverket och vidareutveckla den. Den tekniska lösningen för rapporteringskanalen genomförs av Traficoms centraliserade Teknologi- och informationstjänster. 

I budgetpropositionen för 2025 behöver det föreslås ett engångstillägg på 200 000 euro för inrikesministeriets omkostnader för de ekonomiska konsekvenserna av att utveckla och driva den elektroniska rapporteringskanalen (mom. 26.01.01.). De permanenta driftskostnaderna på 50 000 euro kommer att föreslås i nästa plan för de offentliga finanserna 2026–2029.  

Det är inte möjligt att täcka de ekonomiska konsekvenserna av rapporteringskanalen ur inrikesministeriets nuvarande anslagsram. Det är inte heller möjligt att avsätta resurser ur Traficoms nuvarande anslagsram och genomföra kanalen utan ytterligare finansiering. De behövliga resurserna kan inte heller omfördelas genom en motsvarande minskning av andra utgifter eller uppgifter.  

I egenskap av beställare av projektet fastställer inrikesministeriet de närmare målen för projektet och de tekniska kraven på rapporteringskanalen samt ansvarar för styrningen av projektet. 

5.1  Alternativen och deras konsekvenser

Under beredningen bedömdes som alternativ till den föreslagna modellen, dvs. styrning, identifiering av och tillsyn över kritiska aktörer, en helt decentraliserad modell, en samordningsmodell och en helt centraliserad modell. Modellerna jämfördes med uppgifter från en internationell jämförelse av arrangemangen i EU-länderna och i vissa länder utanför EU. Den nationella lagstiftningen innehåller olika skyldigheter när det gäller säkerhet, beredskap och riskhantering för de sektorer som omfattas av CER-direktivets tillämpningsområde, och regleringen gäller inte nödvändigtvis hela sektorer utan förpliktar enskilda aktörer.  

Enligt alternativet med en decentraliserad modell skulle skyldigheterna enligt CER-direktivet införlivas nationellt i den sektorsspecifika lagstiftningen, vilket skulle innebära att ingen aktör ansvarar för hanteringen av helheten. Enligt alternativet med en helt centraliserad modell skulle det tas fram en ny myndighetsfunktion för alla 11 sektorer, där fördelen hade varit tydlig styrning och tydligt beslutsfattande och enhetlig tillsyn, även om tillsynsfältet hade blivit brett. Dessutom skulle det finnas synergier med tanke på uppgifterna och kompetensen inom tillsynen över kritiska aktörer, kritisk infrastruktur och cybersäkerhet enligt CER- och NIS 2-direktiven och även med avseende på resurser och ekonomi. Enligt en internationell jämförelse är verksamheterna i flera länder samlade. En helt centraliserad styrnings- och tillsynsmodell skulle strida mot den nuvarande indelningen av ministeriernas ansvarsområden. En centraliserad modell skulle säkerställa en enhetlig styrning, uppställningen av mål och uppbyggandet av ett effektivt uppföljningssystem. Det är inte ändamålsenligt att främja en sådan modell i nuläget, när inga ändringar planeras i ministeriernas ställning och fördelningen av befogenheter. I samordningsmodellen identifierades som ett mål att det på nationell nivå skulle finnas en statlig, gemensam insyn i och allmän styrning av CER-verksamheten som sker via en strategi och en riskbedömning, även med beaktande av verksamheten på EU-nivå. Med tanke på sektorernas särdrag, de befintliga övervakningsarrangemangen och den relaterade kompetensen vore det mest ändamålsenligt att kritiska aktörer inom ministeriernas ansvarsområden i regel identifieras och att tillsynen ordnas genom att utveckla de befintliga tillsynsfunktionerna eller strukturerna. Modellen har konstaterats kräva en stark samordningsverksamhet. 

Vid beredningen kom man fram till att utgångspunkten bör vara att det stiftas en allmän lag för att undvika fragmentering och skapa en enhetlig ram för att stärka motståndskraften mot hot i den säkerhetspolitiska miljön inom direktivets tillämpningsområde samt att den sektorsspecifika lagstiftningen till behövliga delar ses över. Det bästa alternativet för att genomföra direktivet ansågs vara att införa ramar och kriterier för identifieringen av kritiska aktörer samt enhetliga skyldigheter i den allmänna lagen och att vid behov se över de sektorsspecifika lagarna. När det gäller tillsyn ansågs det bästa alternativet med tanke på kompetensen vara att de myndigheter som med stöd av gällande lagstiftning är behöriga inom sektorerna ska övervaka att skyldigheterna enligt CER-direktivet efterlevs. Att decentralisera tillsynen till flera myndigheter kan leda till en ojämn fördelning av tillsynsresurserna inom olika sektorer. Problem kan också uppstå när det gäller gränssnitten mellan sektorerna och en enhetlig organisering av tillsynsåtgärderna.  

Enligt CER-direktivet ska de behöriga myndigheterna använda den förteckning som bifogas direktivet för att göra riskbedömningar i medlemsstaterna och identifiera kritiska aktörer. Mot bakgrund av den minimiharmoniseringsansats som föreskrivs i direktivet är denna förteckning icke uttömmande, utan medlemsstaterna kan komplettera den om nationella kompletteringsbehov identifieras.  

Vid beredningen av propositionen har andra regleringsbehov identifierats, och det har ansetts vara ändamålsenligt att dessa bereds senare eventuellt i separata lagstiftningsprojekt. Bland annat har det under lagberedningsprojektet lyfts fram vissa behov av att utvidga det nationella tillämpningsområdet. Dessa har gällt socialvård, laboratorier som används av anläggningar som levererar hushållsvatten samt tillverkning av andra medicintekniska produkter än de som nämns i direktivet. Vid lagberedningen beslutades det dock att det inte ska göras några andra nationella utvidgningar än socialservice i genomförandelagen för direktivet. Vid behov får beredskapsskyldigheter fastställas i nationell lagstiftning. 

Vid lagberedningen har man också beaktat att beredskapen och motståndskraften inom den privata sektorn i samband med reformen av beredskapslagstiftningen i första hand avses utvecklas genom det nationella genomförandet av CER-direktivet för att på så sätt undvika överlappande reglering. Målet är att precisera den offentliga sektorns skyldigheter i reformen av beredskapslagstiftningen. 

När det gäller förslagen om hamnarnas säkerhetsutredningar har det utretts om ansökan om säkerhetsutredningar skulle kunna bygga på en riskbedömning som gjorts av hamninnehavarna själva och av de företag som är verksamma i hamnarna, på den hamnordning som hamninnehavaren har upprättat eller på anvisningar som utarbetats inom branschen. Utifrån tidigare erfarenheter har det ansetts att denna typ av icke-bindande förfarande ändå inte leder till att säkerhetsutredningar används i tillräckligt omfattande grad. En annan fråga som utretts är om det är hamninnehavaren (centraliserad modell) eller respektive företag för sin egen personal (decentraliserad modell) som bör ansöka om säkerhetsutredningar. Med tanke på att hamninnehavaren bär helhetsansvaret över säkerheten i hamnen och med beaktande av förfarandets verkningsfullhet har propositionen utarbetats enligt en centraliserad modell. I samband med att en säkerhetsutredning görs behandlas omfattande uppgifter om föremålet för utredningen och som resultat av utredningen kan den sökande få känsliga personuppgifter eller känsliga uppgifter med avseende på statens säkerhet. Med tanke på integritetsskyddet för den som är föremål för utredningen och på den nationella säkerheten är det ändamålsenligt att uppgifterna i säkerhetsutredningen inte behandlas i större omfattning än vad som är nödvändigt. Det finns över 50 innehavare av hamnar med utrikestrafik, men betydligt fler hamnoperatörer i hamnar. Genom att endast hamninnehavare ska kunna ansöka om säkerhetsutredningar kan riskerna i samband med hanteringen av känsliga uppgifter minimeras. Detta är motiverat också för att säkerställa en jämlik behandling utredningarnas resultat. Denna centralisering motsvarar utgångspunkten i den gällande lagen, där hamninnehavaren har det övergripande ansvaret för säkerheten i hamnen. 

5.2  Internationell jämförelse

Sverige 

I Sverige har det sedan 2018 funnits en säkerhetsskyddslag som gäller för utövare av säkerhetskänslig verksamhet och en lag om informationssäkerhet för samhällsviktiga och digitala tjänster. Syftet med säkerhetsskyddslagen är att säkerställa vissa statliga aktörers fysiska säkerhet och införa säkerhetsprövningar samt att förhindra fientlig verksamhet mot Sverige, såsom spioneri, sabotage och terroristbrott. I lagen fastställs kriterier utifrån vilka aktörer kan delas in i olika klasser beroende på hur viktiga samhällsfunktioner de utför och i vilken omfattning deras verksamhet ska skyddas.  

Vid det svenska försvarsdepartementet bereds genomförandet av CER- och NIS2-direktiven parallellt, eftersom de betraktas som en del av en helhet vars genomförande går hand i hand med andra reformer som inletts utifrån nationella utgångspunkter. Regeringen har utsett en utredare för att bereda de lagstiftnings- och förvaltningsreformer som genomförandet kräver. Utredaren ska lämna sitt betänkande senast den 23 februari 2024. 

Den svenska planen är att Myndigheten för samhällsskydd och krisberedskap (MSB), som är underställd försvarsdepartementet, ska genomföra och övervaka genomförandet av CER- och NIS2-direktiven. Dessutom är MSB tillsynsmyndighet på nationell nivå. I Sverige utreds det hur MSB:s befogenheter och rätt till information ska ändras för att myndigheten kunna ha den samordnande roll som avses i direktiven. CER-direktivet kommer att ge tillsynsmyndigheterna mer omfattande sanktionsrättigheter än gällande svensk lagstiftning.  

Tyskland 

Sedan 2015 finns det i Tyskland lagstiftning om skydd av kritisk infrastruktur mot cyberhot, i form av lagen om it-säkerhet ( IT-sicherheitsgesetz ). Lagen har förutsatt att aktörer inom kritisk infrastruktur vidtar riskhanterings- och rapporteringsåtgärder för att förbättra cybersäkerheten. Den tyska myndigheten för informationssäkerhet ( bundesamt für sicherheit in der informationstechnik, BSI ) har fungerat som tillsynsmyndighet som tar emot anmälningar om informationssäkerhetsincidenter. Det har dock inte funnits någon mer omfattande lagstiftning om skydd av kritisk infrastruktur, kritiska aktörer och motståndskraft.  

Den 14 juni 2023 offentliggjordes en ny strategi för nationell säkerhet i Tyskland som med hjälp av integrerad säkerhet ( integrierte sicherheit ) syftar till att säkerställa att väsentliga aktörer har tillgång till alla medel för att hantera olika typer av hot på ett övergripande sätt. Strategin motsvarar till dessa delar den finländska modellen för övergripande säkerhet. Tyskland avser utvidga definitionen av kritiska aktörer i lagen om it-säkerhet så att den uppfyller kraven i CER-direktivet. Genomförandet av CER- och NIS2-direktiven kommer att samordnas och genomföras genom en ramlag ( Kritis-gesetz ) på federal nivå.  

Det federala inrikesministeriet ansvarar för beredningen av lagen. Även samordnandet och ansvaret för att identifiera kritiska aktörer kommer att åläggas det federala inrikesministeriet. Dessutom har den tyska federala myndigheten för befolkningsskydd ( das bundesamt für bevölkerungsschutz und katastrophenhilfe, BBK ) en roll som både aktör och tillsynsmyndighet och anses också skapa kontakter mellan myndigheterna inom olika sektorer.  

Estland  

I Estland har det sedan 2017 funnits en lag om undantagstillstånd ( hädaolukorra seadus ) som fastställer ett nationellt krishanteringssystem och tillhörande åtgärder med avseende på den inre säkerheten. Dessutom reviderades Estlands nationella cybersäkerhetslag ( küberturvalisuse seaduse ) 2022. I Estland pågår ett övergripande lagstiftningsprojekt som sammanfogar nationell säkerhet och civila och militära aspekter. Genom lagen preciseras ansvarsfördelningen mellan olika ministerier, statliga aktörer, kommuner och företag i krissituationer.  

I Estland kommer skyldigheterna enligt CER-direktivet att genomföras antingen inom ramen för den gällande lagen om undantagstillstånd eller ett lagstiftningsprojekt som är under beredning. Estland har inga planer på att omorganisera det befintliga nationella systemet till följd av genomförandet av CER-direktivet och en ny separat ramlag kommer inte att stiftas på grund av det. Även skyldigheterna enligt NIS2-direktivet ska införlivas i den nationella lagstiftningen genom ändringar i den gällande cybersäkerhetslagen. Genomförandet av direktivet sker vid samordningsenheten för nationell säkerhet och försvar vid statsrådskansliet i Estland, som också planeras fungera som nationell kontaktpunkt enligt CER-direktivet.  

Verksamheten enligt direktivet kommer att delas upp i tre nivåer. Statsrådets kansli ansvarar för samordningsnivån, ministerierna ansvarar för styrningsnivån och ämbetsverken under ministerierna ansvarar för den verkställande nivån. Statsrådets kansli låter ministerierna verkställa de uppgifter som avses i direktivet och får rapporter från ministerierna om hur de har genomförts. En mellannivå mellan den samordnande nivån och de verkställande myndigheterna upplevs som nödvändig för att hantera informationen. 

Norge 

I Norge finns sedan 2019 en säkerhetslag ( lov om forebyggende sikkerhetstjeneste ) som innebär att den nationella säkerhetsmyndigheten ( nasjonal sikkerhetsmyndighet, NSM ) har ett nationellt tillsynsansvar för skyddet av kritiska uppgifter, system, föremål och infrastruktur. Säkerhetslagen omfattar statliga och privata aktörer, utgår från en riskbaserad strategi och förutsätter att aktörerna gör riskbedömningar. CER-direktivet och den norska säkerhetslagen har dock delvis olika syften och tillämpningsområde.  

I Norge är tillsynen och styrningen av aktörer inom kritisk infrastruktur decentraliserad till de ansvariga myndigheterna. Alla ministerier ansvarar för kritiska funktioner inom sina egna sektorer och tillhörande infrastruktur i samarbete med andra aktörer inom sektorn. Säkerhetslagen omfattar också privata aktörer som har ansvar för nationellt kritiska verksamheter. 

Myndigheten för samhällssäkerhet ( direktoratet for samfunnssikkerhet og beredskap, DSB ), som lyder under norska justitie- och beredskapsdepartementet, är en central myndighet när det gäller att upprätthålla en lägesbild över de mest betydande riskerna och sårbarheterna i samhället samt de relaterade aktörerna.  

Frankrike 

Frankrike har lagstiftning om skydd av kritisk infrastruktur som förutsätter riskhantering och rapportering från aktörernas sida. Kritiska aktörer definieras i den franska försvarslagen och verksamheten styrs av en politik som reglerar säkerheten i kritiska verksamheter ( La politique de sécurité des activités d'importance vitale ). Den lagstiftning om omfattande skydd av kritisk infrastruktur, kritiska aktörer och motståndskraft som krävs enligt CER-direktivet har i Frankrike varit inriktad på fysisk säkerhet och har varit bristfällig särskilt med avseende på cyberhot mot digital infrastruktur.  

Frankrike har för avsikt att genomföra skyldigheterna enligt CER- och NIS2-direktiven och DORA-förordningen samtidigt och integrera dem i samma lag. För genomförandet ansvarar sekretariatet för försvar och nationell säkerhet ( Secrétariat général de la défense et de la sécurité nationale, SGDSN ) som lyder under premiärministerns kansli. Sekretariatet bereder behövliga lagstiftningsreformer och samordnar arbetet genom en arbetsgrupp mellan tolv sektorministerier.  

Frankrike anser att den nuvarande samordningsstrukturen är fungerande, och därför kommer CER-direktivet att genomföras genom en hybridmodell i fyra steg: SGDSN, som är underställt premiärministerns kansli, ansvarar för lagstiftning och samordning mellan ministerierna. Sektorministerierna har i sin tur ansvar för operativ verksamhet och identifiering av kritiska aktörer och kritisk infrastruktur. Ministerierna har också behörighet att styra aktörerna inom sitt område. Regionala försvars- och säkerhetszoner har en samordnande roll mellan ministerier och kritiska aktörer, ansvarar för utbildning och tillsyn av kritiska aktörer och informationsutbyte mellan dem samt ger respons på aktörernas säkerhetsplaner. På lokal nivå stödjer prefekturerna kritiska aktörer vid utarbetandet av säkerhetsplaner och förmedlar information om dem till ett gemensamt informationssystem, där de samordnande aktörerna får den information som behövs för att planera och styra verksamheten. 

6.1  Remissvar

Sammanlagt 110 yttranden inkom om förslaget, och i alla av dessa hade remissinstansen inga kommentarer om förslaget. Yttrandena om regeringspropositionen finns på inrikesministeriets webbplats ( Lagstiftningsprojekt: Identifiering av kritiska aktörer och förbättring av den kritiska infrastrukturens motståndskraft - Inrikesministeriet (intermin.fi) och i webbtjänsten utlåtande.fi. Ett sammandrag av remissvaren är tillgängligt i statsrådets tjänst för projektinformation (Hankeikkuna) under projektnummer SM047:00/2022.  

Remissinstanserna ansåg överlag att målen i CER-direktivet och den aktuella propositionen är motiverade och nödvändiga i den nuvarande omvärlden. Genomförandet av CER-direktivet, som syftar till att skydda samhällets kritiska infrastruktur och förbättra samhällets motståndskraft, kommer att stärka samhällets beredskap och motståndskraft. En god nationell beredskap och förmåga att reagera på störningssituationer ger en bra grund för genomförandet. Med anledning av remissvaren har vissa ändringar, preciseringar och kompletteringar gjorts i propositionen.  

I lagförslag 1 preciserades 1 §, som gäller tillämpningsområdet, i fråga om den offentliga sektorn med anledning av flera remissinstansers yttranden. I remissvaren föreslog social- och hälsovårdsministeriet samt Satakunta, Västra Nylands och Birkalands välfärdsområden, Regionförvaltningsverket i Sydvästra Finland och Tillstånds- och tillsynsverket för social- och hälsovården att socialvården ska omfattas av lagens tillämpningsområde. 

När det gäller den strategi som förutsätts enligt CER-direktivet ansåg justitiekanslern att ett principbeslut av statsrådet som fattas på regeringsnivå är politiskt och förpliktande endast för den regering som utfärdat principbeslutet i fråga. Den nationella strategi som gäller de kritiska aktörernas motståndskraft och som förutsätts enligt CER-direktivet måste således utfärdas som en lagstadgad plan, vilket har beaktats i 5 § i lagförslag 1. Med anledning av justitiekanslerns yttrande ska den nationella strategin för kritiska aktörers motståndskraft utfärdas som en lagstadgad plan i stället för ett principbeslut av statsrådet.  

De preciseringar som på grundval av remissvaren har gjorts i lagförslag 1 i fråga om organiseringen av myndighetsverksamheten följde alltjämt de tidigare riktlinjer som getts av ministergruppen för inre säkerhet och rättsvård. Således har de viktigaste förslagen om hur verksamheten ska organiseras inte ändrats med avseende på det samordnande ministeriet, sektorministerierna och den sektorsvisa decentraliserade tillsynsmodellen. Däremot har man i lagförslag 1 strukit bestämmelsen om att den operativa styrningen av Försörjningsberedskapscentralen ska skötas av det samordnande ministeriet. Försörjningsberedskapscentralens uppgifter bedöms i projektet för revidering av försörjningsberedskapslagstiftningen. 

I lagförslag 1 skiljer man också mellan de rapporteringsuppgifter som hör till statsrådets respektive tillsynsmyndighetens behörighet. Särskilt ansvaret för innehållet i information som gäller betydande störningar hör enligt lagförslaget till den behöriga myndigheten. Förmedlingen av information om störningar kan vara förknippade med frågor som rör den nationella säkerheten eller med utrikespolitiska aspekter. Helheten har, särskilt i gränsöverskridande situationer, även beröringspunkter med statsrådets lägescentrals verksamhet. Bland annat med anledning av statsrådets kanslis remissvar har 9 § i lagförslag 1 utvecklats så att statsrådets lägescentral i gränsöverskridande fall ska förmedla den behöriga myndighetens incidentanmälan till kommissionen eller den behöriga myndighetens information om en incident till de gemensamma kontaktpunkterna i de övriga EU-medlemsstaterna.  

I flera remissvar föreslogs det att uppgiften som gemensam kontaktpunkt ska höra till Försörjningsberedskapscentralen. Motiveringen till regeringspropositionen och de föreslagna paragraferna har ändrats så att det i motiveringen beskrivs och i paragraferna beaktas att försörjningsberedskapsverksamheten är komplementär i förhållande till verksamheten enligt lagförslag 1. Det föreslås att det ska föreskrivas om Försörjningsberedskapscentralens rätt att få information för att den ska kunna sköta sina uppgifter. 

Justitieministeriet fäste uppmärksamhet vid bestämmelserna om sökande av ändring i lagförslag 1, vikten av att bestämmelserna om försummelseavgiften är noggrant avgränsade och exakta samt preskriptionen av avgiften. Även Rättsregistercentralen framförde kommentarer om verkställigheten och preskriptionen av försummelseavgiften. Med anledning av justitieministeriets och Rättsregistercentralens remissvar har 22 § i lagförslag 1 kompletterats när det gäller grunderna för påförande av försummelseavgift. Vidare har en 23 § om avstående från att påföra försummelseavgift och en 24 § om verkställigheten av försummelseavgiften fogats till lagförslaget. Även bestämmelsen om sökande av ändring sågs över. 

Remissinstanserna förhöll sig positivt till 28 § om säkerhetsutredning i lagförslag 1 samt till lagförslag 3 och 4. Justitiekanslersämbetet ansåg att grundlagsutskottets utlåtandepraxis när det gäller dataskydd bör beaktas ännu utförligare i propositionen. Dessutom ansåg justitiekanslersämbetet att framställande av en begäran enligt 28 § med fördel kan bindas till när en sådan begäran är nödvändig, inte behövlig. Justitieministeriet ansåg att det finns skäl att i propositionen klargöra ramarna för det nationella handlingsutrymmet och den rättsliga grunden för behandlingen av personuppgifter. Rättsregistercentralen fäste i sitt yttrande uppmärksamhet vid att avsikten inte är att det föreslagna Ecris-informationsutbytet ska ske med Förenade kungariket. Vidare poängterade Rättsregistercentralen att ordalydelsen i den föreslagna 28 § inte gör det möjligt att begära uppgifter ur Ecris om den som utför ett uppdrag eller den som ska utses till ett uppdrag. Specialmotiveringen i propositionen har kompletterats utifrån remissvaren. I 28 § i lagförslag 1 beaktas uppdrag i ordalydelsen. Det är inte meningen att information ska utbytas med Förenade kungariket, och därför har ett nytt lagförslag 7 tagits in i propositionen. I lagförslag 1 gäller 28 § inte vidareöverlåtelse av uppgifter, utan villkoret avseende paragrafens nödvändighet anger tröskeln för skyddspolisens prövning. I beredningen har det ansetts vara motiverat att tröskeln för framställande av begäran kopplas till vad som är behövligt i stället för vad som är nödvändigt. 

Lagförslag 2, som gäller säkerhetsutredningslagen, vann brett understöd. Den föreslagna bestämmelsen har i den fortsatta beredningen preciserats så att den i stället för något annat betydande allmänt intresse hänvisar till främjande av organiserad brottslighet. I de yttranden som lämnats om lagförslag 5, som gäller lagen om sjöfartsskydd, förhöll sig remissinstanserna positivt till principen att det i lagen ska föreskrivas om en skyldighet att begära säkerhetsutredningar. Tullen och Transport- och kommunikationsverket ansåg att förslaget förbättrar säkerheten i hamnarna. Skyddspolisen understödde förslaget och ansåg det vara ändamålsenligt att hamninnehavaren, som är helhetsansvarig för säkerheten i hamnen, är den som ska begära säkerhetsutredningarna och kan besluta om vilken effekt utredningarna och uppföljningen av de utredda personernas oförvitlighet har. Finlands Hamnar rf, Satamaoperaattorit ry, HaminaKotka Satama Oy, Finlands näringsliv, FFC rf samt Auto- ja Kuljetusalan Työntekijäliitto AKT ry ansåg att varje företag bör vara skyldigt att begära utredningar om sin egen personal, och beslut som rör ett anställningsförhållande, bl.a. omorganisering av arbetsuppgifter, omplacering av arbetstagaren eller avslutande av anställning, bör kunna fattas inom företaget i fråga. Polisstyrelsen och Centralkriminalpolisen understödde målsättningarna med förslaget men ansåg att utredningsskyldigheten bör gälla en större personkrets.  

Utifrån remissvaren och diskussioner som förts med remissinstanserna har bestämmelserna preciserats bl.a. så att skyldigheten att begära säkerhetsutredningar gäller hamninnehavaren. Transport- och kommunikationsverket fastställer genom sina beslut närmare vilka informationssystem och personkategorier som skyldigheten ska gälla. Vidare ska det föreskrivas om en rätt för hamninnehavare att oberoende av sekretessbestämmelserna till arbetsgivaren lämna ut sådan information om en anställd som framkommit i en säkerhetsutredning. 

6.2  Justitiekanslerns förhandsgranskning

Enligt justitiekanslerns förhandsgranskningspromemoria (OKV/2239/23/2024-OKV-3) uppfyller utkastet till regeringens proposition i huvudsak kraven på god lagberedning. Propositionsutkastet innehåller den behövliga bedömningen av förslagens konsekvenser för de grundläggande fri- och rättigheterna. Förslagets övriga konsekvenser, däribland de ekonomiska, har också bedömts.  

I förhandsgranskningspromemorian påpekas att propositionen har omarbetats i enlighet med de synpunkter som justitiekanslern framförde tidigare under remissbehandlingen. Den nationella strategin för kritiska aktörers motståndskraft ska utfärdas som en lagstadgad plan i stället för ett principbeslut av statsrådet.  

I promemorian påpekas att det i propositionsutkastet efter remissbehandlingen inte föreslås någon reglering enligt vilken ärenden som hör till det behöriga ministeriet i enskilda fall överföras till statsrådets allmänna sammanträde, om de anses vara så vittsyftande eller principiellt viktiga att de ska avgöras vid allmänt sammanträde. I motiveringen till 13 § i lagförslag 1 konstateras däremot att ärenden som hör till det behöriga ministeriet i enskilda fall ska överföras till statsrådets allmänna sammanträde med stöd av lagstiftningen om statsrådets verksamhet, om de anses vara så vittsyftande eller principiellt viktiga att de i sista hand ska avgöras vid allmänt sammanträde. I promemorian konstateras att uttalandet uppenbarligen hänvisar till 14 § i lagen om statsrådet, som innehåller ett överföringsförfarande som är tämligen exceptionellt. I promemorian konstateras att det med hänsyn till ärendenas art och de aspekter kring säkerhet och grundläggande fri- och rättigheter som är förknippade med dem kan vara mycket motiverat att besluten fattas uttryckligen vid statsrådets allmänna sammanträde. 

Under beredningen ansågs det motiverat att det behöriga ministeriet ska besluta om identifieringen av kritiska aktörer. Enligt 14 § i lagen om statsrådet kan ”ärenden som ankommer på ett ministerium kan i enskilda fall överföras till allmänt sammanträde, om de anses vara så vittsyftande eller principiellt viktiga att de skall avgöras vid allmänt sammanträde. Beslutet om överföring fattas vid allmänt sammanträde på framställning av statsministern eller ministern i fråga.” Det centrala strategiska styrdokumentet är en av statsrådets allmänna sammanträde godkänd riksomfattande plan för kritiska aktörers motståndskraft som stöder ministeriernas beslutsfattande och inrikesministeriets styrning i dess egenskap av samordnande ministerium. Som ett annat viktigt styrdokument föreslås den nationella riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft som godkänts av statsrådets allmänna sammanträde. Kopplingarna till säkerheten och de grundläggande fri- och rättigheterna ska beaktas bl.a. i de ovannämnda rikstäckande dokument som godkänts av statsrådets allmänna sammanträde och i det behöriga ministeriets beslutsfattande. I undantagsfall kan ärendet överföras till det allmänna sammanträdet.  

I förhandsgranskningspromemorian fäster justitiekanslern uppmärksamhet vid hur begäran om omprövning används och påpekar bl.a. att det i förvaltningsrättslig doktrin finns gränser för användningen av omprövningsförfarande och att det inte är tillämpligt i alla situationer. Enligt promemorian kan förfarandet vara tillämpligt på många beslut som fattas enligt lagförslag 1, men beslut om identifiering av kritiska aktörer torde vara ett gränsfall. Huruvida omprövningsbegäran kan vara aktuellt vid beslut enligt 13 § i 1 mom. bör fortfarande övervägas och motiveras. I promemorian påpekades också att det med tanke på omprövningsbegäran också har relevans om beslutet om en kritisk aktör fattas av ministeriet eller statsrådets allmänna sammanträde. Med anledning av promemorian har 25 § i lagförslag 1 och specialmotiveringen till det kompletterats, och till denna del hänvisas det också till justitieministeriets yttrande i frågan. Omprövning av ett beslut av statsrådets allmänna sammanträde får inte begäras. 

Promemorian tar upp den oro som jord- och skogsbruksministeriet framförde i sitt yttrande över att det inte framgår av propositionen hur man ska gå till väga om det ministerium som sköter samordningsuppgiften och/eller andra aktörer avger ett negativt utlåtande om det behöriga ministeriets framställning om att en aktör ska identifieras som kritisk. I promemorian framförs också att jord- och skogsbruksministeriet anser att det bör preciseras hur man ska gå till väga om det behöriga ministeriet låter bli att begära utlåtande av ett annat ministerium eller en annan myndighet, trots att detta skulle ha varit nödvändigt. I promemorian anses det att propositionen till dessa delar bör kompletteras. Därför har motiveringen till 13 § i lagförslag 1 om beslutsfattande om kritiska aktörer kompletterats med en hänvisning till förvaltningslagen, som bl.a. syftar till att genomföra och främja god förvaltning och rättssäkerhet i förvaltningsärenden.  

Promemorian tar också upp justitieministeriets yttrande, där man lyfte fram en situation där en aktör betraktas som kritisk aktör inom två eller flera sektorer som omfattas av olika ministeriers ansvarsområden och om det i så fall också bör regleras hur det behöriga ministeriet eller behörighetsfördelningen ska hanteras. Enligt promemorian innehåller propositionsutkastet inget tydligt svar på dessa situationer. Motiveringen till 13 § om beslutsfattande om kritiska aktörer har i fråga om förfaranden kompletterats med en hänvisning till lagen om statsrådet och reglementet för statsrådet om det gäller behörighetsfördelning och avgörande av behörighet.  

I promemorian uppmärksammas att det i 7 § i lagförslag 1 föreskrivs om de uppgifter och den roll som det ministerium som sköter samordningsuppgiften ska ha, men inget ministerium anges. I promemorian anses det att det torde vara svårt, om inte omöjligt, att avgöra frågan med stöd av lagen om statsrådet och reglementet för statsrådet, varvid det torde vara nödvändigt att i lagen föreskriva om vilket ministerium som ska sköta samordningsuppgiften. Även grundlagsutskottets praxis talar för detta. Enligt utskottet ska sådana ändringar i verksamhetsområdena som gäller ministeriernas lagfästa uppgifter genomförs genom ändring av behöriga lagar och med hänsyn till att förvaltningen får en klar utformning och medborgarna informeras om ändringarna. Enligt utskottet är en praxis att i lagar ange ”vederbörande ministerium” som behörigt ministerium i stället för att nämna ministeriet vid namn inte informativ i sak (GrUB 10/1998 rd, s. 21, GrUB 3/2007 rd, s. 3). Utskottet har i sin nyare utlåtandepraxis upprepat att det av lagen entydigt och konsekvent ska framgå vilket ministerium som har styrningsmakt (GrUU 34/2020 rd, s. 4). Med beaktande av utskottets praxis ska det ministerium som sköter samordningsuppgiften anges i den föreslagna lagen. Med utgångspunkt i justitiekanslerns förhandsgranskning har inrikesministeriet utsetts till det ministerium som ska sköta samordningsuppgiften.  

När det gäller personuppgifter anses det i promemorian av tydlighetsskäl vara nödvändigt med avseende på 10 § i grundlagen att nämna hemligheten i fråga om förtroliga meddelanden och hänvisa till Europaparlamentets och rådets direktiv 2002/58/EG. Regeringens proposition bör delvis preciseras i avsnittet om lagstiftningsordning. Frågan är relevant särskilt i fråga om de föreslagna 20 § (Inriktning av tillsynen och inspektionsrätt) och 27 § (Myndigheters och andra organs rätt att få information) i lag 1. Avsnittet om lagstiftningsordning i propositionen har kompletterats. 

Promemorian tar upp frågan om identifiering av vissa tjänsteleverantörer i välfärdsområdena eller delar av tjänsteleverantörerna som kritiska aktörer. Välfärdsområdena är offentligrättsliga samfund med självstyre. Med anledning av anmärkningarna i promemorian behandlas frågan i avsnittet om lagstiftningsordning. 

I promemorian konstateras det i fråga om 22 § i lagförslag 1 att administrativa påföljdsavgifter enligt grundlagsutskottets praxis inte kan påföras myndigheter, eller den offentliga förvaltningen i övrigt, bl.a. för att de omfattas av straffrättsligt ansvar (GrUU 14/2018 rd, s. 20; GrUU 37/2021 rd, s. 12). Utgångspunkten är att aktörer med tjänsteansvar inte ska omfattas av administrativa sanktioner. Enligt promemorian bör paragrafens formulering preciseras. Det första lagförslagets 22 § har preciserats genom att lägga till kommunala myndigheter och självständiga offentligrättsliga inrättningar i bestämmelsen.  

I promemorian framförs också synpunkter på bestämmelserna om Försörjningsberedskapscentralen. Propositionen har förtydligats med anledning av synpunkterna, 

7.1  Lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft

1 kap. Allmänna bestämmelser 

1 §. Tillämpningsområde. Enligt 1 mom. i den föreslagna paragrafen genomförs genom lagen Europaparlamentets och rådets direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft och om upphävande av direktiv 2008/114/EG ( CER-direktivet ). Genom CER-direktivet inrättas en övergripande ram för att hantera kritiska aktörers motståndskraft med hänsyn till alla faror.  

I 2 mom. 1 punkten i den föreslagna paragrafen föreskrivs det om de sektorer på vilka lagen ska tillämpas och inom vilka kritiska aktörer identifieras med hänvisning till sektorerna i bilagan till CER-direktivet och till kommissionens delegerade förordning (EU) 2023/2450 om en förteckning över samhällsviktiga tjänster. Enligt 1 § 1 mom. 1 punkten tillämpas lagen inom området för lagstiftningen om energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden och produktion, bearbetning och distribution av livsmedel, i enlighet med den klassificering av sektorer som finns i bilagan till CER-direktivet och med beaktande av kommissionens delegerade förordning (EU) 2023/2450 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster. Förteckningen över samhällsviktiga tjänster ska också användas vid utarbetandet av den nationella riskbedömningen. Enligt 2 punkten tillämpas lagen också på styrning och beslutsfattande som gäller den riksomfattande plan för kritiska aktörers motståndskraft som ska fungera som en nationell strategi för kritiska aktörers motståndskraft ( riksomfattande plan ). Lagen tillämpas också på den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft och på identifieringen som kritiska aktörer av aktörer som är centrala med tanke på samhällets funktion ( kritisk aktör ). Vidare ska lagen enligt 3 punkten tillämpas på kritiska aktörer som identifierats med stöd av denna lag och på dessa aktörers skyldigheter när det gäller att stärka motståndskraften, enligt 4 punkten på tillsynen över kritiska aktörer och enligt 5 punkten på samarbete mellan myndigheter.  

I det föreslagna 3 mom. preciseras begreppet offentlig förvaltning. Med de kategorier av aktörer inom sektorn offentlig förvaltning som anges i bilagan till CER-direktivet och som avses i 2 mom. 1 punkten avses i denna lag de myndigheter som anges i 4 § 1 mom. 1 punkten i lagen om offentlighet i myndigheternas verksamhet (621/1999). dvs. statliga förvaltningsmyndigheter och övriga statliga ämbetsverk och inrättningar. Tillämpningsområdet omfattar inte de övriga aktörer som anges i 4 § i offentlighetslagen, såsom domstolar och övriga lagskipningsorgan, statens affärsverk, välfärdsområdenas och välfärdssammanslutningarnas myndigheter och kommunala myndigheter, Finlands Bank, Folkpensionsanstalten och andra självständiga offentligrättsliga inrättningar eller andra aktörer, såsom riksdagens ämbetsverk och inrättningar eller myndigheterna i landskapet Åland när de i landskapet utför uppgifter som ankommer på riksmyndigheterna. Enligt 12 § i beredskapslagen har statsrådet, statliga förvaltningsmyndigheter, statens självständiga offentligrättsliga inrättningar, övriga statsmyndigheter och statliga affärsverk samt välfärdsområdena och välfärdssammanslutningarna, kommunerna, samkommunerna och kommunernas övriga sammanslutningar en beredskapsskyldighet. Dessa ska genom beredskapsplaner och förberedelser för verksamhet under undantagsförhållanden samt genom andra åtgärder säkerställa att deras uppgifter kan skötas så väl som möjligt också under undantagsförhållanden. Förberedelserna i anslutning till beredskapsskyldigheten stöder också hanteringen av normala förhållanden och störningar i dessa. I bilagan till CER-direktivet anges som en kategori av aktörer inom sektorn offentlig förvaltning offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i enlighet med nationell rätt. I artikel 2.10 i direktivet definieras begreppet offentlig förvaltningsentitet, som beskrivits ovan i denna proposition. En offentlig förvaltningsentitet kan definieras som en kritisk entitet också i aktörskategorierna inom de övriga sektorer som anges i bilagan till CER-direktivet. 

I det föreslagna 4 mom. preciseras vad som 2 mom. 1 punkten avses med vårdgivare, som också nämns under sektorn Hälso- och sjukvård i bilagan till CER-direktivet.  

En aktörskategori som anges under sektorn Hälso- och sjukvård i bilagan till CER-direktivet är vårdgivare enligt definitionen i artikel 3 g i patientdirektivet. Enligt patientdirektivet avses med vårdgivare varje fysisk eller juridisk person eller varje annan aktör som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium. Enligt artikel 3 a i patientdirektivet avses med hälso- och sjukvård hälso- och sjukvårdstjänster som hälso- och sjukvårdspersonal tillhandahåller patienter i syfte att bedöma, bibehålla eller återställa deras hälsotillstånd, inbegripet förskrivning, utlämning och tillhandahållande av läkemedel och medicinska hjälpmedel. Definitionen omfattar i Finland anordnare och producenter av offentliga och privata hälso- och sjukvårdstjänster, dvs. väsentligen välfärdsområden och privata hälso- och sjukvårdsföretag. Även hälso- och sjukvård som ordnas av staten hör i regel till lagens tillämpningsområde.  

I momentet föreskrivs det att lagen ska tillämpas på de tjänsteanordnare och tjänsteproducenter som tillhandahåller hälso- och sjukvårdstjänster enligt 4 § i lagen om tillsynen över social- och hälsovården (741/2023), inrättningar för blodtjänst som avses i blodtjänstlagen (197/2005), apotek samt andra aktörer som levererar och tillhandahåller läkemedel och medicintekniska produkter enligt EU-direktivet om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (2011/24/EU). Dessutom ska lagen tillämpas på sådana serviceanordnare och tjänsteproducenter som ordnar eller producerar socialservice och som avses i 4 § i lagen om tillsyn över social- och hälsovården. På välfärdsområdena tillämpas lagen, genom undantag från 3 mom., i fråga om den social-, hälso- och sjukvård som de ordnar och producerar. Bestämmelsen preciserar vad som nationellt avses med tillhandahållare av socialservice och vårdgivare och inom vilken sektor kritiska aktörer ska identifieras som CER-kritiska genom ett separat beslut. Sektorn Hälso- och sjukvård i bilagan till CER-direktivet omfattar vårdgivare enligt definitionen i artikel 3.g i patientdirektivet. Enligt patientdirektivet avses med vårdgivare varje fysisk eller juridisk person eller varje annan aktör som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium.  

För att förtydliga tillämpningen av lagen definieras i det föreslagna 4 mom. att vårdgivare avser sådana tjänsteanordnare och tjänsteproducenter som tillhandahåller hälso- och sjukvårdstjänster enligt lagen om tillsynen över social- och hälsovården. Definitionen omfattar också laboratorieverksamhet inom hälso- och sjukvården. Till lagens tillämpningsområde hör också blodtjänstverksamhet. I fråga om välfärdsområden föreslås för tydlighetens skull att lagen ska gälla dem i fråga om social-, hälso- och sjukvården, eftersom lagen om tillsynen över social- och hälsovården ska tillämpas på välfärdsområden i fråga om social- och hälsovårdstjänster. 

Det föreslås att det i 4 mom. också ska föreskrivas att CER-lagen även ska tillämpas på apotek och på andra aktörer som förskriver, levererar och tillhandahåller läkemedel och medicintekniska produkter enligt EU-direktivet om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (2011/24/EU). 

Definitionen i patientdirektivet, till den del den avser förskrivning av läkemedel, omfattas redan av hänvisningen till lagen om tillsyn över social- och hälsovården, eftersom läkemedel endast kan förskrivas av en läkare eller i vissa fall av en annan yrkesutbildad person inom hälso- och sjukvården, dvs. det är fråga om verksamhet som omfattas av definitionen i den lagen. I Finland skrivs det inte ut recept på medicintekniska produkter på samma sätt som på läkemedel. På nationell nivå kan man dock inom hälso- och sjukvården lämna ut hjälpmedel till patienten, vilka alltså i regel är medicintekniska produkter. Därmed omfattas också de som förskriver medicintekniska produkter av definitionen av tjänsteanordnare och tjänsteproducenter somtillhandahåller hälso- och sjukvårdstjänster enligt lagen om tillsynen över social- och hälsovården. 

Eftersom läkemedel nationellt i regel expedieras från apotek, nämns de separat i 2 mom. Vid öppenvårdsapotek expedieras och tillhandahålls läkemedel till kunden separat från vården inom hälso- och sjukvården, t.ex. vård som ges på en läkarmottagning. Apotek kan också expediera medicinska produkter. Sjukhusapotek eller läkemedelscentraler expedierar de läkemedel som används i vården till sjukhusets eller hälsovårdscentralens personal för att ges till patienten. Välfärdsområdenas sjukhusapoteksverksamhet och privata serviceproducenters läkemedelscentraler omfattas av lagens tillämpningsområde redan av den anledningen att apoteksverksamheten utgör en del av aktörens hälsovårdstjänster. 

Genom den föreslagna paragrafen genomförs delvis artikel 1 i CER-direktivet.  

2 §. Avgränsning av tillämpningsområdet. Enligt 1 mom. tillämpas lagen inte på republikens presidents kansli, riksdagen, riksdagens justitieombudsman, justitiekanslern i statsrådet, Finlands Bank eller domstolarna. I artikel 2.10 definieras offentlig förvaltningsentitet, men varken rättsväsendet, parlament eller centralbanker betraktas som sådana enligt direktivet. Termen parlament syftar på riksdagsverksamhet. Enligt artikel 1.6 är direktivet inte tillämpligt på offentliga förvaltningsentiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott. Lagen tillämpas inte heller på myndighetsverksamhet inom området för försvaret, den nationella säkerheten och den allmänna ordningen och säkerheten, inbegripet förebyggande av brott, brottsutredning, förande av brott till åtalsprövning eller väckande av åtal. I Finland är det myndigheterna som ansvarar för försvaret samt uppgifter som hänför sig till nationell säkerhet, allmän ordning och säkerhet eller lagföring. Till dessa myndigheter hör Försvarsmakten, Gränsbevakningsväsendet, polisenheter enligt 1 § i polisförvaltningslagen (110/1992) samt Åklagarmyndigheten. Polisenheter är Polisstyrelsen, centralkriminalpolisen, Polisyrkeshögskolan, polisinrättningarna samt skyddspolisen.  

Enligt artikel 1.7 får medlemsstaterna besluta att direktivets artikel 11 i om samarbete mellan medlemsstaterna, kapitel III om kritiska entiteters motståndskraft, kapitel IV om kritiska entiteter av särskild europeisk betydelse och kapitel VI om tillsyn och efterlevnadskontroll helt eller delvis inte är tillämpliga på kritiska aktörer som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott, eller som uteslutande tillhandahåller tjänster till de offentliga förvaltningsentiteter som avses i punkt 6 i artikel 1. I 2 mom. föreslås det att bestämmelserna i 7 § 3 mom., 14–16 §, 5 kap. och 29 § inte ska tillämpas på en sådan kritisk aktör som är verksam inom området för den nationella säkerheten, den allmänna säkerheten, försvaret eller brottsbekämpningen eller som tillhandahåller tjänster till en myndighet som avses i 1 mom. Dessa aktörer är centrala på områdena försvar, nationell säkerhet, allmän ordning och säkerhet eller förebyggande av brott eller brottsutredning och lagföring. Vidare föreslås det i 2 mom. att vad som föreskrivs ovan i inte ska gälla en sådan kritisk aktör som i liten utsträckning tillhandahåller tjänster inom området för den nationella säkerheten, den allmänna säkerheten, försvaret eller brottsbekämpningen. Vad som ska betraktas som ”i liten utsträckning” bedöms utifrån en helhetsbedömning. En tjänst som tillhandahålls i liten utsträckning kan vara t.ex. stödverksamhet, men den kan inte vara en central eller kritisk tjänst med tanke på kärnverksamheten.  

Enligt det föreslagna 3 mom. ska bestämmelserna i 7 § 3 mom., 14–16 §, 5 kap. och 29 § inte tillämpas på en kritisk aktör som har identifierats inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur. Enligt artikel 8 i CER-direktivet är artikel 11 och kapitlen III, IV och VI i direktivet inte tillämpliga på kritiska aktörer som har identifierats inom de ovannämnda sektorer som anges i bilagan till direktivet. Artikel 11 gäller samarbete mellan medlemsstaterna, kapitel III gäller kritiska entiteters motståndskraft, kapitel IV gäller kritiska entiteter av särskild europeisk betydelse och kapitel VI gäller tillsyn och efterlevnadskontroll. 

Enligt 4 mom. tillämpas lagen inte på utlämnande av sådan information vars röjande eller utlämnande äventyrar försvaret, den nationella säkerheten eller den allmänna ordningen och säkerheten. Skyldigheterna enligt direktivet får inte medföra tillhandahållande av information vars utlämnande skulle strida mot väsentliga intressen i fråga om nationell säkerhet, allmän säkerhet eller försvar. 

Genom det föreslagna 1 mom. genomförs artikel 1.6 och delvis artikel 2.10, genom 2 mom. artikel 1.7 och genom 3 mom. artikel 8 i CER-direktivet. Genom det föreslagna 4 mom. genomförs artikel 1.8 i CER-direktivet. 

3 §. Förhållande till annan lagstiftning. I 1 mom. föreskrivs det att om det i Europeiska unionens rättsakter sektorsspecifikt krävs att kritiska aktörer vidtar åtgärder för att stärka sin motståndskraft och kraven åtminstone är likvärdiga med motsvarande skyldigheter som fastställs i lagen, ska dessa tillämpas på den kritiska aktören i stället för denna lag. Detta gäller också bestämmelserna om tillsyn i denna lag, som inte ska vara tillämpliga. Syftet med detta är enligt direktivets ingress (skäl 10) att undvika dubbelarbete och onödig börda.  

I 2 mom. i den föreslagna paragrafen förtydligas förhållandet mellan den sektorsövergripande allmänna lagen och andra branschspecifika specialbestämmelser om riskbedömning av kritiska aktörer och incidentanmälningar. Om det finns sektorspecifika specialbestämmelser i någon annan lag, ska de tillämpas i stället för motsvarande bestämmelser i denna lag. Den sektorspecifika regleringen kan innehålla mer detaljerade skyldigheter inom olika branscher 

Det föreslås att 3 mom. ska innehålla en informativ bestämmelse om att bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG ( allmän dataskyddsförordning ), och i dataskyddslagen (1050/2018).  

I 4 mom. föreslås det att bestämmelser om skyldigheten för en kritisk aktör som identifierats enligt denna lag att hantera cybersäkerhetsrelaterade risker ska finnas i cybersäkerhetslagen. Enligt artikel 2.3 i NIS 2-direktivet är direktivet tillämpligt på aktörer som identifieras som kritiska aktörer enligt direktiv (EU) 2022/2557, oavsett deras storlek. 

Genom det föreslagna 1 mom. genomförs artikel 1.3 i CER-direktivet. Det föreslagna 2 mom. anknyter till artikel 1.9 i CER-direktivet, där det konstateras att direktivet inte påverkar tillämpningen av unionsrätt om skydd av personuppgifter, i synnerhet Europaparlamentets och rådets förordning (EU) 2016/679 (28) och Europaparlamentets och rådets direktiv 2002/58/EG (29). 

4 §. Definitioner . I paragrafen föreskrivs det om de definitioner som används i lagen. Definitionerna motsvarar i huvudsak definitionerna i CER-direktivet.  

I 1 punkten definieras motståndskraft på motsvarande sätt som i artikel 2.2 i CER-direktivet. Med motståndskraft avses en kritisk aktörs förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident.  

I 2 punkten definieras samhällsviktig tjänst på motsvarande sätt som i artikel 2.5 i CER-direktivet. Med samhällsviktig tjänst avses en tjänst som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön. 

I 3 punkten avses med kritisk infrastruktur en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system som krävs för tillhandahållandet av en samhällsviktig tjänst. Detta motsvarar artikel 2.4 i CER-direktivet. 

I 4 punkten definieras incident på motsvarande sätt som i artikel 2.3 i CER-direktivet. Med incident avses varje händelse som kan medföra en betydande störning, eller som medför en störning, av tillhandahållandet av en samhällsviktig tjänst, inbegripet när den påverkar de nationella system som skyddar rättsstatens principer. Här avses också incidenter som har eller kan ha en betydande påverkan på kontinuiteten i tillhandahållandet av samhällsviktiga tjänster till eller i minst sex medlemsstater i Europeiska unionen. En incident skulle kunna medföra direkta och indirekta konsekvenser för samhällsviktiga tjänster i och utanför Finland, beroende på t.ex. när incidenten inträffar och hur länge den varar.   

I 5 punkten definieras risk på motsvarande sätt som i artikel 2.6 i CER-direktivet. Med risk aves risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att incidenten inträffar. 

I 6 punkten definieras riskbedömning på motsvarande sätt som i artikel 2.7 i CER-direktivet. Med riskbedömning avses den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att utvärdera den potentiella förlusten eller störningen i samband med tillhandahållandet av en samhällsviktig tjänst till följd av den incidenten. 

2 kap. Allmän styrning och utveckling 

5 §.Riksomfattande plan för kritiska aktörers motståndskraft. Enligt 1 mom. ska statsrådet minst vart fjärde år anta en riksomfattande plan i syfte att stärka kritiska aktörers motståndskraft och uppnå de allmänna målen för verksamheten. Planen är en strategi för kritiska aktörers motståndskraft i enlighet med artikel 4 i CER-direktivet och omfattar de strategiska skyldigheter enligt direktivet som inte har beaktats i andra nationella strategidokument. Med statsrådet avses statsrådets allmänna sammanträde. I 3 § i reglementet för statsrådet (262/2003) föreskrivs det om allmänna ärenden som ska avgöras vid statsrådets allmänna sammanträde. Statsrådets allmänna sammanträde behandlar och beslutar om lagstadgade riksomfattande planer.   Vid utarbetandet av den riksomfattande planen ska ministerier, myndigheter och andra berörda parter höras, och om möjligt ska förfarandena vara offentliga. Planen ska innehålla mål och politiska åtgärder som bygger på befintliga relevanta strategier, planer eller liknande dokument om kritiska aktörers motståndskraft.  

Enligt 2 mom. ska principbeslut eller andra beslut av statsrådet som meddelats för motsvarande ändamål beaktas vid beredningen av den riksomfattande planen. Ett sådant annat beslut kan t.ex. gälla den strategi för den nationella säkerheten som ska utarbetas enligt regeringsprogrammet. Utgångspunkten i direktivet är att den nationella strategin, i syfte att uppnå samstämmighet och effektivitet, bör utformas så att den integrerar befintlig politik och, när så är möjligt, bygger på relevanta befintliga nationella och sektorsspecifika strategier, planer eller liknande dokument. För att uppnå ett heltäckande förhållningssätt bör medlemsstaterna också säkerställa att strategierna innehåller en policyram för utökat samarbete mellan de behöriga myndigheterna enligt CER-direktivet och NIS 2-direktivet. Vid inrättandet av strategierna ska det tas hänsyn till hybridkaraktären hos hoten mot kritiska aktörer. 

I paragrafens 3 mom. anges vad den nationella strategin, som utfärdas i form av en riksomfattande plan, åtminstone ska innehålla enligt direktivet. Enligt 1 punkten omfattar detta strategiska mål och prioriteringar för att stärka kritiska aktörers övergripande motståndskraft. Gränsöverskridande och sektorsöverskridande beroenden och ömsesidiga beroenden ska då beaktas. Enligt 2 punkten ska strategin innehålla en styrningsram för att uppnå de strategiska målen och prioriteringarna. Enligt 3 punkten krävs en beskrivning av de åtgärder som krävs för att stärka kritiska aktörers övergripande motståndskraft, inklusive en beskrivning av den nationella riskbedömning som avses i 6 § i lagförslaget och i artikel 5 i CER-direktivet. Vidare ska strategin enligt 4 punkten innehålla en beskrivning av den process genom vilken kritiska aktörer identifieras och enligt 5 punkten beskrivningar av processen till stöd för kritiska aktörer och åtgärderna för att förbättra samarbetet mellan offentliga och privata aktörer. Enligt 6 punkten ska strategin ska innehålla en förteckning över de viktigaste myndigheter och berörda parter som deltar i genomförandet av strategin. Dessa identifieras inte som kritiska aktörer. Enligt 7 punkten ska strategin innehålla en policyram för samordning mellan de behöriga myndigheterna enligt CER- och NIS2-direktiven för att dela information om cybersäkerhetsrisker, cyberhot och cyberincidenter och utföra tillsynsuppgifter. I 8 punkten anges ett krav på en beskrivning av de åtgärder som har införts för att göra det lättare för små och medelstora företag som avses i kommissionens rekommendation 2003/361/EG och som har identifierats som kritiska aktörer att genomföra skyldigheterna i fråga om motståndskraft. Kommissionen har den 6 maj 2003 antagit rekommendation 2003/361/EG om definitionen av mikroföretag samt små och medelstora företag.  

Genom den föreslagna paragrafen genomförs i huvudsak artikel 4.1 samt artikel 4.2 i CER-direktivet. 

6 §. Nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Enligt 1 mom. ska statsrådet minst vart fjärde år godkänna en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Med statsrådet avses statsrådets allmänna sammanträde. Åtgärder för att identifiera och bidra till att säkerställa kritiska aktörers motståndskraft ska följa en riskbaserad ansats och den nationella riskbedömningen ska användas för att identifiera kritiska aktörer efter att den har fastställts. Den riskbaserade ansatsen ska inriktas på de aktörer som är mest relevanta för att viktiga samhällsfunktioner och central ekonomisk verksamhet ska kunna upprätthållas.  

Enligt 2 mom. ska riskbedömningen omfatta relevanta risker för naturolyckor, risker orsakade av människan, risker av sektorsövergripande eller gränsöverskridande slag, olyckor och naturkatastrofer, hot mot folkhälsan, hybridhot och en främmande stats verksamhet (statlig påverkan), terroristbrott och andra hot såsom hot relaterade till missbruk av geografisk information. Med terroristbrott avses brott i den mening som avses i Europaparlamentets och rådets direktiv (EU) 2017/541. Användningen av teknik är förknippad med hot mot den nationella säkerheten och tekniska system och komponenter måste skyddas. Nationellt har missbruk av geografisk information identifierats som en relevant risk, eftersom platsbunden information är ett kritiskt element för informationssamhället, och geografisk information också kombineras med annan viktig objektinformation. Geografisk information skapar en fullständig bild om samhällens funktioner och deras lägen. Direktivet kräver att riskbedömningen tar hänsyn till antagonistiska hot. 

I 3 mom. föreskrivs det om de fyra minimikrav som ska beaktas vid riskbedömningen. Enligt 1 punkten ska hänsyn tas till den allmänna riskbedömning som avses i artikel 6.1 i Europaparlamentets och rådets beslut nr 1313/2013/EU. Med detta avses beslutets artikel 6, som gäller riskhantering inom ramen för unionens civilskyddsmekanism och förebyggande av och beredskap för katastrofer samt utbyte av icke-känslig information. Den nationella riskbedömningen 2023 bygger på detta beslut. Vid sidan av den nationella riskbedömningen utarbetas också separata regionala riskbedömningar. Enligt 3 mom. 2 punkten ska hänsyn tas till andra relevanta riskbedömningar som görs i enlighet med kraven i unionens rättsakter. Europaparlamentet och rådet har bl.a. antagit förordningarna (EU) 2017/1938 och (EU) 2019/941 om gas- och elsektorerna samt Europaparlamentets och rådets direktiv 2007/60/EG och 2012/18/EU om översvämningsrisker och om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår. Momentets 3 punkt avser risker som beror på ömsesidiga beroenden och gränsöverskridande beroenden mellan de sektorer som anges i bilagan till CER-direktivet och som har samband med andra medlemsstater eller tredjeländer och de aktörer som är verksamma i dessa. Vid behov bör samarbete bedrivas med andra medlemsstaters och tredjeländers behöriga myndigheter. Enligt den sista 4 punkten ska de tas hänsyn till information om incidenter som har anmälts enligt 16 och 17 § i denna lag. I 16 § föreskrivs det om kritiska aktörers anmälningsskyldighet till tillsynsmyndigheten och Statsrådets lägescentral och i 17 § om innehållet i en första anmälan och en detaljerad rapport. 

Genom förslaget genomförs CER-direktivets artikel 5.2 om medlemsstaternas riskbedömning och delvis artikel 5.1. 

7 §.Ministerium som sköter samordningsuppgiften. I den föreslagna paragrafen utses inrikesministeriet till det ministerium som sköter samordningsuppgiften. Enligt 1 mom. ska det ministerium som sköter samordningsuppgiften svara för den allmänna styrningen, uppföljningen, samordningen och utvecklingen av verksamhet enligt denna lag. Med stöd av 2 mom. ska det ministerium som sköter samordningsuppgiften också svara för att den part som sköter den nationella kontaktpunktens uppgifter anmäls till kommissionen. Det ministerium som sköter samordningsuppgiften ansvarar ur ett helhetsperspektiv i enlighet med artikel 9.1 i direktivet för att direktivets bestämmelser tillämpas korrekt och genomförs på nationell nivå. Med allmän styrning och uppföljning enligt det föreslagna 1 mom. avses den styrning av lagstiftningen och verksamheten samt uppföljning och hantering av helheten som sköts av det ministerium som sköter samordningsuppgiften. Ansvaret för uppföljningen och hanteringen av helheten ska enligt förslaget ligga hos det ministerium som sköter samordningsuppgiften, och de övriga ministerierna ansvarar för sina ansvarsområden inom ramen för den allmänna styrningen. I praktiken kommer det ministerium som sköter samordningsuppgiften att behandla frågor som gäller skydd av samhällets kritiska infrastruktur och förbättrande av motståndskraften i samarbete med ministerierna i statsrådet samt myndigheter och andra relevanta aktörer, såsom Försörjningsberedskapscentralen. Det ministerium som sköter samordningsuppgiften kan vid behov inrätta en samarbetsgrupp för att genomföra samarbetet. Gruppen kan behandla frågor som gäller riskbaserad identifiering av kritiska aktörer och andra frågor som gäller tillämpningen av lagstiftningen för att säkerställa att tillvägagångssätt, beslutspraxis eller andra åtgärder är konsekventa. Det är också viktigt att gruppen behandlar stödåtgärderna till kritiska aktörer. Det ministerium som sköter samordningsuppgiften leder den allmänna styrningen av CER-verksamheten och, med tanke på det helhetsansvar som följer av detta, kontaktpunktsverksamheten.  

I 3 mom. föreskrivs det närmare om uppgifter som inbegriper utövning av offentlig makt och sådana offentliga förvaltningsuppgifter som avses i 124 § i grundlagen. Centrala uppgifter är att ansvara för utarbetandet av den riksomfattande planen för kritiska aktörers motståndskraft och beredningen av den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft och att samordna beredningen med andra aktörer, såsom sektorministerierna och de behöriga myndigheterna. Vid beredningen och samordningen av den nationella riskbedömningen ska andra bestämmelser som reglerar riskbedömningar beaktas, t.ex. 244 a § i lagen om tjänster inom elektronisk kommunikation, där det föreskrivs om utrustning som används i kommunikationsnätens kritiska delar, och 244 b § i den lagen, där det föreskrivs om de uppgifter som ska skötas av delegationen för nätsäkerhet. Delegationen för nätsäkerhet utvärderar på ett övergripande sätt hur den nationella säkerheten förverkligas i kommunikationsnäten. Förutom andra aktörer ska Försörjningsberedskapscentralens synpunkter på kontaktytan till företagen beaktas i beredningen av den nationella riskbedömningen, dock med beaktande av att det inte hör till Försörjningsberedskapscentralens uppgifter att representera företag. Försörjningsberedskapscentralen deltar på ett riskbaserat sätt i utvecklingen av företagens beredskap och kan hjälpa företagen att identifiera risker som är relevanta för deras bransch. Försörjningsberedskapscentralen fungerar som en kontaktyta mellan förvaltningen och företagen, och samarbetsforum för förvaltningen och näringslivet har skapats inom Försörjningsberedskapscentralens strukturer.  

Det nationella genomförandet av uppgifterna enligt CER-direktivet förutsätter att ministerierna kan samarbeta tätt. Ministerierna ska bedriva förberedande samarbete i frågor som gäller de nationella arrangemangen och funktionerna i CER-verksamheten och de riktlinjer som gäller dem. Varje ministerium ska utveckla försörjningsberedskapen inom sitt eget ansvarsområde. Utvecklandet av försörjningsberedskapen och samordningen av beredskapsförberedelserna hör till arbets- och näringsministeriet. Arbets- och näringsministeriet svarar för resultatstyrningen av Försörjningsberedskapscentralen i statsrådet. CER-verksamheten och försörjningsberedskapsarbetet kompletterar varandra. 

Enligt 3 och 4 punkten ska vissa uppgifter som grundar sig på artikel 18 i CER-direktivet och som har samband med kommissionens rådgivande uppdrag också skötas av det ministerium som sköter samordningsuppgiften, även om de till sin natur är delvis tekniska. Enligt 5 punkten ska det ministerium som sköter samordningsuppgiften på motiverad begäran från kommissionen eller en medlemsstat i Europeiska unionen tillhandahålla kommissionen de relevanta delarna av riskbedömningen av en kritisk aktör och en förteckning över relevanta åtgärder enligt 15 § som den kritiska aktören vidtagit. I 15 § föreskrivs det om åtgärder som grundar sig på riskbedömningen av en kritisk aktör och om den plan som ska utarbetas för att säkerställa motståndskraft. De uppgifter som anges i 5 punkten motsvarar de uppgifter som avses i artikel 18.3 i CER-direktivet. 

Enligt 6 punkten ska det ministerium som sköter samordningsuppgiften förse kommissionen med information om den riksomfattande planen, dvs. den nationella strategin, för kritiska aktörers motståndskraft. Enligt artikel 4.3 ska medlemsstaterna meddela kommissionen sina strategier och om betydande uppdateringar av dem. Utgångspunkten är att uppdateringen av strategin alltid är betydande och att den uppdaterade strategin ska meddelas kommissionen. Enligt 7 och 8 punkten ska det lämnas information om antalet kritiska aktörer och en förteckning över de samhällsviktiga tjänster som avses i artikel 7.2 a i direktivet. Den sistnämnda förteckningen omfattar andra samhällsviktiga tjänster än de som avses i kommissionens delegerade förordning, för vilka regleringen inte är uttömmande.  

I 4 mom. föreskrivs det om åtgärder för att säkerställa en konsekvent tillämpning av CER-direktivet. Förslaget gäller dels målet att minska den administrativa bördan för kritiska aktörer, dels målet att stärka kritiska aktörers motståndskraft. Det ministerium som sköter samordningsuppgiften kan vid behov samråda med unionens medlemsstater om kritiska aktörer, men enligt det föreslagna 3 mom. gäller skyldigheten bara i vissa fall. I dessa fall ska inrikesministeriet samråda med Europeiska unionens medlemsstater i fråga om sådana kritiska aktörer som  

använder kritisk infrastruktur som är fysiskt sammankopplad mellan två eller flera medlemsstater,  

ingår i företagsstrukturer som är sammankopplade eller sammanlänkade med kritiska aktörer i andra medlemsstater, 

har identifierats som kritiska aktörer i en medlemsstat i Europeiska unionen och tillhandahåller samhällsviktiga tjänster för eller i andra medlemsstater.  

Inrikesministeriet svarar för att de administrativa anmälningar som krävs enligt CER-direktivet lämnas till kommissionen, t.ex. om vilken myndighet som sköter uppgifterna som gemensam kontaktpunkt. 

Dessutom ska det i de bestämmelser som utfärdas med stöd av 2 § 1 mom. i lagen om statsrådet (175/2003) i fortsättningen regelmässigt föreskrivas om det ministerium till vars ansvarsområde samordningsuppgiften hör.  

Genom förslaget genomförs artiklarna 4.3, 7.2 a och b, 9.1, delvis artikel 13.4, 18.1, 18.2 och 18.3 samt artikel 11 i CER-direktivet.  

8 §.Åtgärder för främjande av motståndskraften hos kritisk infrastruktur. Genomförandet av CER-direktivet främjar motståndskraften hos kritisk infrastruktur och den nationella försörjningsberedskapsverksamheten kompletterar den. Det ministerium som sköter samordningsuppgiften, sektorministerierna och tillsynsmyndigheterna ska i samarbete med Försörjningsberedskapscentralen på ett övergripande plan främja helheter som hänför sig till kritiska aktörers motståndskraft. Samarbete bedrivs också med säkerhetsmyndigheterna. Dessa främjande uppgifter omfattar analys av strategierna för att identifiera bästa praxis för dem, utbyte av bästa praxis i fråga om identifiering av kritiska aktörer i den mening som avses i 10 § i lagförslaget, dvs. artikel 6.1 i direktivet, utbyte av information och bästa praxis om innovation, forskning och utveckling som rör kritiska aktörers motståndskraft samt vid behov utbyte av information om frågor som rör kritiska aktörers motståndskraft med unionens berörda institutioner, organ och byråer. I tillsynsmyndighetens uppgifter ingår också att tillhandahålla kritiska aktörer det stöd som avses i artikel 10.1 i CER-direktivet. Stödet tillhandahålls i samarbete med Försörjningsberedskapscentralen. I detta syfte kan vägledningsmaterial och metoder utarbetas, anordnandet av övningar för att testa motståndskraften stödjas samt rådgivning och utbildning tillhandahållas. Enligt den artikeln ska medlemsstaterna stödja kritiska aktörer, och stödet får innefatta utveckling av vägledningsmaterial och metoder, stöd till anordnande av övningar och tillhandahållande av rådgivning och utbildning samt ekonomiska resurser. Enligt direktivets ingress minskar eventuellt stöd som ges inte de kritiska aktörernas ansvar för att fullgöra sina skyldigheter. Framför allt kan stödet omfatta vägledningsmaterial och metoder, anordnande övningar för att testa motståndskraft samt rådgivning och utbildning. Finansiering kan beviljas inom ramen för anslagen i budgeten, om det är nödvändigt och motiverat av mål av allmänt intresse och underlättar frivilligt utbyte av information och utbyte av god praxis mellan kritiska aktörer, utan att detta påverkar tillämpningen av de konkurrensregler som fastställs i fördraget om Europeiska unionens funktionssätt (EUF-fördraget).  

Genom förslaget genomförs artikel 10.1 i CER-direktivet och det har samband med artikel 19.3 b, c, i och j.  

9 §.Förmedling av incidentanmälningar samt sammanfattande rapport. De uppgifter som anges i den föreslagna paragrafen ska skötas av statsrådets lägescentral, som avses i lagen om statsrådets lägescentral (300/2017). Till uppgifterna hör enligt 1 mom. 1 punkten att till kommissionen förmedla den incidentanmälan som har upprättats av den berörda myndigheten, om incidenten har eller kan ha en betydande påverkan på kontinuiteten i tillhandahållandet av samhällsviktiga tjänster till eller i minst sex medlemsstater i Europeiska unionen. Anmälan innebär i praktiken ett kort meddelande och en första anmälan om situationen. I gränsöverskridande störningssituationer utnyttjas redan befintliga nationella arrangemang. Statsrådets lägescentral är i enlighet med lagen om statsrådets lägescentral verksam dygnet runt och är bl.a. kontaktpunkt inom kommissionens CECIS-system (Common Emergency Communication and Information System). Lägescentralen är också nationell kontaktpunkt inom EU-arrangemangen för integrerad politisk krishantering, den s.k. IPCR-mekanismen (Integrated political crisis response). Ministerierna och myndigheterna har olika beredskaps- eller joursystem. En kritisk aktör som tillhandahåller samhällsviktiga tjänster till eller i minst sex medlemsstater kan dra nytta av särskilt stöd på unionsnivå. En incidentanmälan enligt den föreslagna paragrafen kan ha utrikes- och säkerhetspolitiska dimensioner, varvid beredningen av anmälan behandlas i statsrådet. Enligt artikel 15 ska de behöriga myndigheterna underrätta kommissionen om incidenten har eller kan ha en betydande påverkan på kontinuiteten i tillhandahållandet av samhällsviktiga tjänster till eller i minst sex medlemsstater.  

Till statsrådets lägescentrals uppgifter hör enligt 1 mom. 2 punkten att till de gemensamma kontaktpunkterna i de övriga berörda medlemsstaterna i Europeiska unionen förmedla den incidentanmälan som har upprättats av den berörda myndigheten, om incidenten har eller kan ha en betydande påverkan på kritiska aktörer och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster till eller i minst sex andra medlemsstater i Europeiska unionen. Kommissionen ska enligt CER-direktivet offentliggöra en förteckning över de gemensamma kontaktpunkterna. 

Enligt 1 mom. 3 punkten ska statsrådets lägescentral ta emot incidentanmälningar av gemensamma kontaktpunkter i medlemsstater i Europeiska unionen och förmedla dem till det ministerium som saken gäller. Vidare ska statsrådets lägescentral enligt 1 mom. 4 punkten vartannat år till Europeiska unionens kommission och till den grupp för kritiska aktörers motståndskraft (CERG) som avses i artikel 19 i CER-direktivet lämna en i 7 § avsedd av ministeriet sammanställd sammanfattande rapport om incidentanmälningar samt om deras antal och art. Ministerierna, tillsynsmyndigheterna och Försörjningsberedskapscentralen ska delta i beredningen av den sammanfattande rapporten. CERG-gruppens ordförande är från kommissionen.  

Genom 1 mom. 1 punkten i den föreslagna paragrafen genomförs delvis artikel 15.1 och genom 1 mom. 2 punkten artikel 15.3 i CER-direktivet. I enlighet med artikel 15.3 ska den berörda behöriga myndigheten via den gemensamma kontaktpunkten informera den gemensamma kontaktpunkten i andra medlemsstater som påverkas om incidenten har eller kan ha en betydande påverkan på kritiska aktörer och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i en eller flera andra medlemsstater.  

3 kap. Identifiering av kritiska aktörer och allmänna krav på aktörer 

10 §. Identifiering av en kritisk aktör. Som tillhandahållare av samhällsviktiga tjänster spelar kritiska aktörer en oumbärlig roll när det gäller att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet på den inre marknaden, i en unionsekonomi som i allt högre grad kännetecknas av ömsesidigt beroende. I CER-direktivets ingress (skäl 8) konstateras det att medlemsstaterna för att uppnå en hög grad av motståndskraft bör identifiera kritiska entiteter som kommer att omfattas av särskilda krav och tillsyn och som kommer att ges särskilt stöd och vägledning med avseende på alla relevanta risker. I paragrafen föreskrivs det om identifiering av kritiska aktörer. Identifieringen av kritiska aktörer är av central betydelse, eftersom bestämmelserna i lagen ska tillämpas på de aktörer som identifieras som kritiska aktörer genom beslut av en myndighet, dvs. det behöriga ministeriet. Som kritisk aktör kan identifieras t.ex. en del av ett företags verksamhet, om affärsverksamheten bedrivs i en koncernstruktur. Det finns kommunala aktörer inom vattenförsörjningssektorn, och då kan det vara fråga om ett affärsverk som kommunen grundat med stöd av kommunallagen och som verkar som en del av kommunen. En riskbaserad ansats gör det möjligt att utnyttja den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft vid identifieringen av kritiska aktörer. Aktörerna kommer att omfattas av krav och tillsyn, men samtidigt erbjuds de stöd och vägledning i händelse av betydande risker. Enligt CER-direktivets ingress (skäl 8) bör medlemsstaterna för att uppnå en hög grad av motståndskraft identifiera kritiska entiteter som kommer att omfattas av särskilda krav och tillsyn och som kommer att ges särskilt stöd och vägledning med avseende på alla relevanta risker.  

Enligt 1 mom. 1 punkten är ett kriterium för att identifieras som kritisk aktör att aktören tillhandahåller en eller flera tjänster som är viktiga med tanke på samhällets funktionsförmåga. Enligt 2 punkten är ett kriterium att aktören är verksam och den kritiska infrastruktur som aktören äger, innehar eller använder finns inom finskt territorium. Ett kriterium enligt 3 punkten är att en incident skulle ha i 11 och 12 § avsedda betydande störande effekter för aktörens tillhandahållande av en eller flera av de berörda samhällsviktiga tjänsterna eller för tillhandahållandet av andra samhällsviktiga tjänster i sektorer som är beroende av tjänsten. 

Vid identifieringen av kritiska aktörer beaktas enligt 2 mom. den på europeisk nivå samstämmiga riksomfattande plan för kritiska aktörers motståndskraft som avses i denna lag och som innefattar strategiska riktlinjer, dokument som styr dess genomförande och en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Med samstämmighet avses överensstämmelse mellan definitioner och praxis på europeisk nivå, vilket bl.a. förbättrar jämförbarheten av information och den enhetliga tillsynen över gränsöverskridande kritisk infrastruktur.  

Genom den föreslagna paragrafen genomförs artikel 6.2 i CER-direktivet. 

11 §. Betydande störande effekt. I paragrafen föreslås bestämmelser om sådana gemensamma kriterier för de sektorer som omfattas av CER-direktivet som ska beaktas vid bedömningen av betydande störande effekter. Kriterierna avser enligt 1 punkten antalet användare som är beroende av den tjänst som är viktig med tanke på samhällets funktionsförmåga och enligt 2 punkten den grad i vilken andra sektorer är beroende av den berörda tjänsten. Enligt 3 punkten beaktas den effekt incidenten med hänsyn till sin allvarlighetsgrad eller varaktighet har på det samhällelig och ekonomisk verksamhet, miljön, den allmänna säkerheten och tryggheten eller befolkningens hälsa. I praktiken kan också den nationella säkerheten påverkas. Enligt 4 punkten beaktas aktörens marknadsandel och enligt 5 punkten det geografiska område som påverkas. Enligt 6 punkten beaktas den betydelse aktören har för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av tillgången till alternativa tjänster eller möjligheten att ersätta den samhällsviktiga tjänsten.  

Genom den föreslagna paragrafen genomförs delvis artikel 7.1 i CER-direktivet. 

12 §.Betydande störande effekt samt sektor. Den föreslagna paragrafen preciserar 11 § i lagförslaget. I paragrafen föreskrivs det om bedömningen av vilken betydelse en betydande störande effekt enligt 11 § har. Hänsyn ska då tas till de särskilda uppgifter som är av betydelse med tanke på samhällets funktionsförmåga, bl.a. med avseende på aktörens ställning i underleverantörs- eller leveranskedjan mellan aktörer enligt CER-direktivet eller betydelse för en verksamhet som är kritisk för försörjningsberedskapen. Hänsyn ska också tas till sektorsspecifika kriterier som gäller andra sektorer än finanssektorn och hälso- och sjukvårdssektorn.  

Enligt 1 punkten i den föreslagna paragrafen omfattar kriterierna inom energisektorn mängden råmaterial som tagits emot inom produktionen eller bearbetningen, mängden energi som produceras på årsnivå, andelen av mängden nationell energi som produceras eller produktionskapaciteten för energi, lagringskapaciteten, antalet kunder, leveranskapaciteten samt överföringen av energi och mängden energi från energinätet. 

Enligt 2 punkten omfattar kriterierna inom livsmedelssektorn mängden råvaror i liter eller kilogram som tagits emot vid produktion och bearbetning av livsmedel, produktionsmängden samt mängden förnödenheter som distribueras. 

Enligt 3 punkten omfattar bedömningskriterierna inom trafiksektorn tjänsteproducentens andel av den nationella transportvolymen, antalet passagerare per år och antalet frakttransporter per år. 

Enligt 4 punkten omfattar bedömningskriterierna inom vattenförsörjningssektorn mängden kubikmeter vatten som levereras per dygn och kubikmeter avloppsvatten som leds bort per dygn.  

Enligt 5 punkten omfattar bedömningskriterierna i fråga om rymdsektorn aktörens andel när det gäller tillhandahållandet av sådana tjänster eller sådan informationsproduktion som är kritiska för samhället och som är beroende av rymdbaserade tjänster samt aktörens andel när det gäller tillhandahållandet av tjänster som är viktiga med tanke på informationsproduktion i anslutning till rymdlägesbilden eller störningar i radiomiljön.  

Genom den föreslagna paragrafen genomförs artikel 7.1 i CER-direktivet. 

13 §. Beslutsfattande om kritiska aktörer. Enligt det föreslagna 1 mom. ska ärenden som gäller identifiering av en kritisk aktör avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör, och beslutet ska vara i kraft högst fyra år. I 10 § i reglementet för statsrådet föreskrivs om det behöriga ministeriet. Ärendena fördelar sig på ministeriernas ansvarsområden så som föreskrivs i reglementet för statsrådet. Ett ärende behandlas av det ministerium till vars ansvarsområde ärendet huvudsakligen hör (behörigt ministerium). I 10 § i lagen om statsrådet föreskrivs det om avgörande av behörighetsfrågor i händelse av meningsskiljaktigheter. Enligt bestämmelsen avgör statsrådet på framställning av statsministern meningsskiljaktigheter om vilket ministerium som ska behandla ett visst ärende. Statsrådet kan också besluta vilket ministerium som ska behandla ett sådant vittsyftande eller principiellt viktigt ärende som berör flera än ett ministeriums ansvarsområden.  

Identifieringen av en kritisk aktör ska göras som ett förvaltningsbeslut. Beslutet har rättsverkan för den kritiska aktören. Enligt förvaltningslagens 31 § 1 mom. ska myndigheten se till att ett ärende utreds tillräckligt och på behörigt sätt och i detta syfte skaffa den information och den utredning som behövs för att ärendet ska kunna avgöras. Beslutet kan påverka aktörens ställning i förhållande till företag som är verksamma på samma marknad och organiseringen av aktörens förvaltning samt förvaltningsstrukturer och investeringar. Den föreslagna lagen ställer inga direkta krav på hur aktören ska ordna och strukturera sin förvaltning. I vidare bemärkelse är identifieringen av kritiska aktörer av betydelse t.ex. när det gäller att fastställa den strategiska tyngdpunkten inom motståndskraften mot kriser. Därför är det viktigt att avgöranden som gäller identifiering av kritiska aktörer sker på ministerienivå. 

Enligt 2 mom. ska det behöriga ministeriet innan ärendet avgörs begära utlåtande av det ministerium som sköter samordningsuppgiften och i behövlig omfattning av andra ministerier och myndigheter samt Försörjningsberedskapscentralen. Utlåtande kan begäras t.ex. om ömsesidiga beroenden mellan kritiska aktörer och om samstämmigheten och proportionaliteten i bedömningen av en aktör samt om andra behövliga aspekter. Vid identifieringen av en kritisk aktör utnyttjas enhetliga förfaranden som tar hänsyn till minimering av den administrativa bördan, nationella säkerhetsintressen och den befintliga försörjningsberedskapsorganisationen. Eftersom ministeriet fattar beslut om en kritisk aktör och det i lagen om tryggande av försörjningsberedskapen konstateras att varje ministerium ska utveckla försörjningsberedskapen inom sitt eget ansvarsområde är det ändamålsenligt att den sektorsvisa styrningen förenas på ministerienivå och samordnas under det samordnande ministeriets allmänna styrning. 

Med stöd av lagstiftningen om statsrådets verksamhet ska ärenden som hör till det behöriga ministeriet i enskilda fall överföras till statsrådets allmänna sammanträde, om de anses vara så vittsyftande eller principiellt viktiga att de i sista hand ska avgöras vid allmänt sammanträde. Det allmänna sammanträdet föregås av en förberedande behandling i en ministergrupp och ett lämpligt ministerutskott. En sådan situation kan bli aktuell om det ministerium som sköter samordningsuppgiften i samband med förfarandet för identifiering av en kritisk aktör upptäcker en avvikelse som gäller samstämmigheten eller minimeringen av den administrativa bördan. Identifieringen av kritiska aktörer kan anses vara vittsyftande och principiellt viktig i det avseendet att det vid identifieringen i praktiken krävs en motiverad synpunkt på det behöriga ministeriets beslut av det ministerium som samordnar helheten och i situationer som överskrider sektorsgränserna även synpunkter av ministerier med relevanta ansvarsområden. En principiellt viktig fråga är också om identifieringen av en kritisk aktör väsentligt avviker från de enhetliga förfarandena. Vid behov ska ärendet överföras till statsrådets allmänna sammanträde för avgörande. Förfarandenas betydelse accentueras framför allt när beslut fattas första gången. Det behöriga ministeriet ska underrätta den kritiska aktören om beslutet inom utsatt tid. 

Enligt det föreslagna 3 mom. är en kritisk aktör som identifierats genom ett förvaltningsbeslut en kritisk aktör av särskild europeisk betydelse, om den tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater i Europeiska unionen, och har underrättats om att den betraktas som en kritisk aktör av särskild europeisk betydelse. När kommissionen har underrättat om att en kritisk aktör betraktas som en kritisk aktör av särskild europeisk betydelse, ska det ministerium som avses i 7 § utan dröjsmål vidarebefordra informationen om kommissionens underrättelse och de tillhörande skyldigheterna till den kritiska aktören. Enligt artikel 17 i direktivet ska kommissionen samråda med den behöriga myndigheten i den medlemsstat som identifierat en kritisk entitet, den behöriga myndigheten i andra berörda medlemsstater samt den kritiska entiteten i fråga. På grundval av samråden konstaterar kommissionen läget i fråga om tillhandahållandet av samhällsviktiga tjänster. Kommissionen ska underrätta den berörda entiteten, genom dess behöriga myndighet, huruvida den betraktas som en kritisk entitet av särskild europeisk betydelse. 

I det föreslagna 4 mom. föreskrivs det att ministeriet kan återkalla ett beslut som avses i 1 mom. om den kritiska aktören inte längre uppfyller förutsättningarna för beslutet. En sådan situation kan uppstå t.ex. när en kritisk aktör ändrar sin bransch eller affärsverksamhet så att den inte längre tillahandahåller en samhällsviktig tjänst. Beslutet kan också återkallas om den kritiska aktören har upphört med sin verksamhet. 

Genom den föreslagna paragrafen genomförs delvis artikel 6.1 och 6.3 samt artikel 17.1 och 17.3 i CER-direktivet. 

14 §. Riskbedömning som görs av en kritisk aktör. Enligt 1 mom. ska en kritisk aktör göra en riskbedömning vid behov och minst vart fjärde år. När riskbedömningen görs ska hänsyn tas till den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft samt till andra informationskällor som är relevanta med tanke på riskbedömningen. Dessa andra informationskällor kan vara information och bedömningar av hot eller andra aspekter av kristålighet från det behöriga ministeriet eller en annan myndighet samt information om och erfarenheter av inträffade incidenter. Utgångspunkten är att de kritiska aktörerna ska göra en samlad bedömning av de relevanta risker som de är utsatta för, för vilken de ska göra riskbedömningar när det är nödvändigt med hänsyn till deras specifika omständigheter och utvecklingen av riskerna, och under alla omständigheter vart fjärde år. De kritiska aktörerna kan i sin riskbedömning utnyttja det arbete som gjorts inom ramen för försörjningsberedskapsorganisationen.  

I 2 mom. anges vad som ska beaktas i den riskbedömning som den kritiska aktören gör. Detta inbegriper alla relevanta risker för naturolyckor och risker orsakade av människan som kan leda till en incident. Detta ska inkludera risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan, hybridhot och andra hot samt övriga hot som det behöriga ministeriet fastställer. Det kan handla om statliga hot. 

Enligt det föreslagna 3 mom. ska det i riskbedömningen tas hänsyn till den utsträckning i vilken andra sektorer är beroende av den samhällsviktiga tjänst som den kritiska aktören tillhandahåller. 

Enligt 4 mom. är det tillåtet att ge information om riskbedömningar även i andra dokument. Om en annan riskbedömning eller ett annat dokument utarbetas för motsvarande ändamål med stöd av någon annan lag än den föreslagna lagen, får den kritiska aktören använda den bedömningen eller det dokumentet helt eller delvis för att fullgöra skyldigheterna enligt denna lag, vilket ska nämnas i bedömningen eller dokumentet i fråga. Tillsynsmyndigheten får i samband med sin tillsynsverksamhet ta ställning till om en riskbedömning som utförts av en kritisk aktör helt eller delvis uppfyller skyldigheten enligt denna paragraf. Tillsynsmyndigheten fattar inte ett separat förvaltningsbeslut om dokumentens motsvarighet. Förfarandet minskar den administrativa bördan för kritiska aktörer, om det är möjligt att använda andra relevanta dokument som utarbetats med stöd av lagstiftningen. 

Genom den föreslagna paragrafen genomförs artikel 12 i CER-direktivet. 

15 §. Säkerställande av motståndskraften samt plan för motståndskraft. Direktivet förutsätter att kritiska aktörer vidtar åtgärder för att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident. Den detaljerade utformningen och omfattningen av åtgärderna bör avspegla de olika risker som varje kritisk aktör har identifierat inom ramen för sin riskbedömning. De åtgärder som vidtas för att uppnå en tillräcklig säkerhetsnivå och som kan bedömas av tillsynsmyndigheten ska beskrivas i en plan för motståndskraft.  

Enligt 1 mom. ska en kritisk aktör för att säkerställa sin motståndskraft vidta lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder på grundval av den riskbedömning som anges i 14 § och annan relevant information. I detta syfte ska den kritiska aktören utarbeta en plan som innehåller lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa motståndskraften. Enligt 2 mom. 1 punkten i den föreslagna paragrafen ska planen innehålla en redogörelse för de åtgärder som vidtagits för att förhindra uppkomsten av incidenter med beaktande av de åtgärder som hänför sig till minskning av katastrofrisker och anpassning till klimatförändringen. Enligt 2 mom. 2 punkten ska planen innehålla en redogörelse för de åtgärder genom vilka den nivå av fysiskt skydd som krävs har uppnåtts. Exempelvis en redogörelse för fysiskt skydd av lokalerna och infrastrukturen i dem, såsom stängsel, barriärer, detektionsutrustning och åtkomstkontroller. Enligt 3 punkten ska planen innehålla en redogörelse för åtgärder för att reagera på, stå emot och begränsa konsekvenserna av incidenter och störningssituationer, och enligt 4 punkten en redogörelse för åtgärder genom vilka aktören återhämtar sig från incidenter, med hänsyn till åtgärder för driftskontinuitet och alternativa försörjningskedjor. Femte punkten i 2 mom. gäller säkerställande av personalsäkerheten, såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åtkomsträttigheter till lokaler, kritisk infrastruktur och känslig, i praktiken sekretessbelagd information samt begäran om säkerhetsutredningar och utbildnings- och kompetenskrav. Vid fastställandet av personalkategorier ska hänsyn också tas till externa tjänsteleverantörers personal. Punkt 6 gäller information till den berörda personalen. Då ska hänsyn också tas till externa tjänsteleverantörers personal. Punkt 7 gäller en tidsplan för genomförandet av planen. Tidsplanen för genomförandet är också central för tillsynsverksamheten. 

Enligt 3 mom. behöver en separat plan enligt denna paragraf inte utarbetas om ett annat dokument eller en annan plan utarbetas för motsvarande ändamål med stöd av någon annan lag, utan motsvarande innehåll kan sammanställas i det andra dokumentet eller i den andra planen. En kritisk aktör får använda dokumentet eller planen i fråga. I planen eller dokumentet ska det nämnas till vilka delar planen eller dokumentet uppfyller skyldigheterna enligt denna lag. Den behöriga tillsynsmyndigheten får t.ex. i samband med sin tillsynsverksamhet ta ställning till om ett annat dokument eller en annan plan som en kritisk aktör använder helt eller delvis uppfyller skyldigheten enligt denna paragraf. Tillsynsmyndigheten fattar inte ett separat förvaltningsbeslut om dokumentens motsvarighet. 

Enligt 15 § 4 mom. ska den kritiska aktören inom sin organisation utse en kontaktpunkt genom vilken förmedlingen av information till myndigheterna ordnas. Aktören ska i detta syfte meddela namn och kontaktuppgifter för den kontaktperson som sköter uppgiften eller en annan motsvarande kontaktpunkt där information kan fås utan obefogat dröjsmål. 

Genom den föreslagna paragrafen genomförs artikel 13.1 och 13.2 i CER-direktivet. 

4 kap. Incidentanmälan av kritisk aktör 

16 §. Skyldighet att anmäla incidenter. Med stöd av artikel 15.1 i CER-direktivet ska medlemsstaterna säkerställa att de kritiska entiteterna utan onödigt dröjsmål lämnar in en anmälan till den behöriga myndigheten om incidenter. En incidentanmälan är inte ett nödmeddelande som gäller brådskande nödsituationer som förutsätter omedelbara åtgärder från räddningsväsendet, polisen, social- och hälsovårdsväsendet eller Gränsbevakningsväsendet. Nödmeddelande definieras i lagen om nödcentralsverksamhet (692/2010). En incidentanmälan är inte heller ett meddelande om ett planerat avbrott i verksamheten, men det kan vara ändamålsenligt att frivilligt informera tillsynsmyndigheten och andra relevanta aktörer samt, beroende på fallet, även allmänheten om avbrottet. Enligt 1 mom. i den föreslagna paragrafen ska en kritisk aktör utan obefogat dröjsmål lämna in en anmälan till tillsynsmyndigheten och statsrådets lägescentral om varje incident som medför eller kan medföra en störning i tillhandahållandet av samhällsviktiga tjänster. De aktörer som tar emot anmälningar ska ha förmåga att dygnet runt ta emot incidentanmälningar inom ramen för systemet för mottagande av anmälningar samt förmåga att vidarebefordra anmälningarna, i praktiken med hjälp av systemet i fråga. Systemet utvecklas med beaktande av Transport- och kommunikationsverkets system för anmälningar enligt NIS 2-direktivet och målet att systemet ska utvidgas till en gemensam kanal för infrastrukturaktörernas anmälningar om störningar.  

Enligt det föreslagna 2 mom. ska den kritiska aktören lämna in en första anmälan inom 24 timmar från det att den har fått kännedom om en incident, om inte något annat följer av ett nödvändigt operativt skäl. Om detta inte är operativt omöjligt bör de kritiska aktörerna lämna in en första anmälan senast 24 timmar efter det att de har fått kännedom om en incident. Lämnandet av den första anmälan får inte ta upp den kritiska aktörens resurser för incidenthanteringsåtgärder, vilka bör prioriteras. Samtidigt är det viktigt att tillsynsmyndigheten och andra myndigheter genast informeras om incidenter som medför en betydande störning eller kan medföra en betydande störning av tillhandahållandet av samhällsviktiga tjänster, så att myndigheterna snabbt kan reagera och vidta behövliga åtgärder. På så sätt får den kritiska aktören också reda på vilka stödåtgärder myndigheterna vidtar för att hantera situationen. Det är också viktigt att myndigheterna får en lägesbild av verkningarna, arten och de möjliga konsekvenserna av samt orsaken till incidenter som de kritiska aktörerna hanterar. En detaljerad rapport ska vid behov lämnas senast inom en månad från det att incidenten har kommit till kännedom. Rapporten ska lämnas till det ministerium som sköter samordningsuppgiften, sektorministeriet och tillsynsmyndigheten.  

Enligt 3 mom. ska det vid fastställandet av huruvida störningen är betydande i synnerhet beaktas antal och andel användare som berörs av störningen, störningens varaktighet och det geografiska området samt huruvida området är geografiskt isolerat. 

Enligt 4 mom. har Försörjningsberedskapscentralen trots sekretessbestämmelserna rätt att få den information om den första anmälan och detaljerade rapporten som bedöms vara nödvändig för utförande av centralens uppgifter och för stödjande av de ministerier som saken gäller och de behöriga tillsynsmyndigheterna. Bestämmelser om Försörjningsberedskapscentralens uppgifter finns i lagen om tryggande av försörjningsberedskapen.Enligt 6 § i den lagen ska Försörjningsberedskapscentralen bl.a. säkerställa funktionen hos sådana tekniska system som är livsviktiga med tanke på försörjningsberedskapen och trygga kritisk varu- och tjänsteproduktion samt sådan produktion som stöder det militära försvaret. Informationen gäller alltid varje enskilt fall.  

Genom den föreslagna paragrafen genomförs delvis artikel 15.1 i CER-direktivet. 

17 §. Innehållet i den första anmälan och den detaljerade rapporten. I 1 mom. föreskrivs det om de uppgifter som ska ingå i den första anmälan om en incident. Uppgifterna i den första anmälan är nödvändiga för att statsrådets lägescentral och den behöriga tillsynsmyndigheten ska få information om incidenten och för att den kritiska aktören vid behov ska kunna begära bistånd och stöd för hanteringen av situationen. På grund av detta ska den första anmälan innehålla information om att en incident har upptäckts och om dess art, en bedömning av den förmodade orsaken och en bedömning av eventuella konsekvenser. Anmälan ska också innehålla en bedömning av antal eller andel användare av den samhällsviktiga tjänst som berörs av störningen samt information som krävs för att kunna fastställa incidentens eventuella gränsöverskridande verkningar.  

I 2 mom. föreskrivs det om innehållet i den detaljerade rapport som vid behov följer efter den första anmälan. Rapporten ska lämnas senast en månad efter incidenten. Den detaljerade rapporten ska komplettera den första anmälan och ge en mer komplett bild av incidenten. Enligt 1 punkten ska rapporten innehålla en detaljerad beskrivning av incidenten, dess allvarlighetsgrad och konsekvenser samt geografiska omfattning. Enligt 2 punkten ska det i rapporten anges arten av det hot eller den orsak som sannolikt har utlöst incidenten och enligt 3 punkten tillämpade eller pågående begränsande åtgärder. Enligt 4 punkten ska det i rapporten anges eventuella gränsöverskridande verkningar och enligt 5 punkten andra uppgifter som är väsentliga för hanteringen av incidenten. Informationen gör det bl.a. möjligt att vid behov vidta ytterligare åtgärder och följa upp eller utvärdera åtgärdernas effekter. 

Enligt paragrafens 3 mom. ska den kritiska aktören på tillsynsmyndighetens begäran lämna ytterligare upplysningar om incidenten.  

Genom den föreslagna paragrafen genomförs artikel 15.2 i CER-direktivet.  

18 §. Behandling av mottagna incidentanmälningar. Den tillsynsmyndighet som tagit emot den kritiska aktörens incidentanmälan ska underrätta den kritiska aktören om mottagandet av incidentanmälan. Underrättelsen om mottagen anmälan kan utgöras av ett automatiskt svar utanför tjänstetid. Den behöriga tillsynsmyndigheten ska efter att ha mottagit anmälan utan dröjsmål ge information om eventuella fortsatta åtgärder. Om det ligger i allmänt intresse att det underrättas om en störning, kan tillsynsmyndigheten dessutom ålägga den kritiska aktören att informera allmänheten om saken eller, efter att ha hört den anmälningspliktiga, själv informera om saken. Kritiska aktörer ska genom egna åtgärder sörja för hanteringen av störningssituationer och tryggandet av kontinuiteten i den samhällsviktiga tjänsten. Dessutom kan en incidentanmälan vara en grund för att inleda verkställandet av beredskapsplaner vid centralförvaltningen och andra myndigheter i syfte att minimera störningar och förhindra att de upprepas. En incidentanmälan kan också vara en grund för en begäran om experthjälp eller en begäran om handräckning till säkerhetsmyndigheten. Handräckning kan lämnas i enlighet med lagstiftningen om den berörda myndighetens verksamhet.  

Om en incident har eller kan ha en betydande påverkan på kritiska aktörer och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i en eller flera medlemsstater i Europeiska unionen, eller om en incident har eller kan ha en betydande påverkan på kontinuiteten i tillhandahållandet av samhällsviktiga tjänster till eller i minst sex medlemsstater i Europeiska unionen, ska detta på basis av erhållen information anmälas enligt 9 § i den föreslagna lagen. Vid behov kan även allmänheten informeras om detta inom ramen för regelrätta förfaranden, när samhällsnyttan kräver det.  

Genom det föreslagna 1 mom. genomförs artikel 15.4 i CER-direktivet. 

5 kap. Tillsyn 

19 §. Tillsynsmyndigheter. Enligt den föreslagna paragrafen ska den behöriga tillsynsmyndigheten övervaka att de skyldigheter som bestämts och föreskrivits för kritiska aktörer med stöd av denna lag fullgörs. Den föreslagna paragrafen innehåller bestämmelser om tillsynsmyndigheter inom de sektorer som omfattas av CER-direktivet. I Finland ska tillsynsmyndigheterna vara desamma som i nuläget utövar tillsyn över de berörda sektorerna. Tillsynsmyndigheter är Energimyndigheten, Närings-, trafik- och miljöcentralen i Södra Savolax, Transport- och kommunikationsverket, Säkerhets- och utvecklingscentret för läkemedelsområdet, Livsmedelsverket, Säkerhets- och kemikalieverket, Tillstånds- och tillsynsverket för social- och hälsovården och regionförvaltningsverken.  

Tillsynsmyndigheter enligt 1 mom. 1 punkten är Energimyndigheten i fråga om de kritiska aktörer som inom energisektorn hör till aktörskategorierna inom undersektorerna elektricitet, fjärrvärme eller fjärrkyla och inom undersektorn gas hör till aktörskategorierna systemansvariga för distributionssystemet, systemansvariga för överföringssystemet och gashandelsföretag eller gashandlare samt inom undersektorn vätgas hör till aktörskategorin operatörer av överföring av vätgas. Tillsynsmyndigheter är enligt 2 punkten Närings-, trafik- och miljöcentralen i Södra Savolax i fråga om de kritiska aktörer som hör till kategorierna av aktörer inom sektorerna dricksvatten och avloppsvatten samt enligt 3 punkten Transport- och kommunikationsverket i fråga om de kritiska aktörer som inom sektorn för transport hör till undersektorerna luftfart, järnväg, vatten, väg och kollektivtrafik.  

Enligt den föreslagna 1 mom. 4 punkten ska tillsynsmyndighet enligt lagen vara Säkerhets- och utvecklingscentret för läkemedelsområdet i fråga om kritiska aktörer som bedriver forskning och utveckling avseende läkemedel enligt definitionen i artikel 1.2 i Europaparlamentets och rådets direktiv 2001/83/EG. Säkerhets- och utvecklingscentret för läkemedelsområdet ska vara tillsynsmyndighet enligt lagen också när det är fråga om aktörer som tillverkar farmaceutiska basprodukter och läkemedel som avses i huvudgrupp 21 avsnitt C i Nace Rev. 2. Nace Rev. 2 fastställs i Europaparlamentets och rådets förordning (EG) nr 1893/2006 om fastställande av den statistiska näringsgrensindelningen Nace rev. 2 och om ändring av rådets förordning (EEG) nr 3037/90 och vissa EG-förordningar om särskilda statistikområden. Näringsgrensindelningen har ändrats genom kommissionens delegerade förordning (EU) 2023/137 om ändring av Europaparlamentets och rådets förordning (EG) nr 1893/2006 om fastställande av den statistiska näringsgrensindelningen Nace rev. 2. Till denna del omfattar behörigheten för Säkerhets- och utvecklingscentret för läkemedelsområdet den kategori av aktörer som tillverkar farmaceutiska basprodukter och läkemedel som avses i huvudgrupp 21 avsnitt C i Nace Rev. 2 under sektorn Hälso- och sjukvård i punkt 5 i bilagan till CER-direktivet. Säkerhets- och utvecklingscentret för läkemedelsområdet ska vara tillsynsmyndighet också i fråga om aktörer som tillverkar medicintekniska produkter som betraktas som kritiska vid ett hot mot folkhälsan (’förteckning över kritiska medicintekniska produkter vid ett hot mot folkhälsan’) i den mening som avses i artikel 22 i Europaparlamentets och rådets förordning (EU) 2022/123, aktörer med tillstånd att bedriva partihandel i den mening som avses i artikel 79 i direktiv 2001/83/EG, apotek, leverantörer och tillhandahållare av läkemedel och medicintekniska produkter enligt EU-direktivet om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (2011(24/EU) och inrättningar för blodverksamhet, och vilka identifierats som kritiska. Säkerhets- och utvecklingscentret för läkemedelsområdet är tillsynsmyndighet för dessa aktörer på grund av att centret har hand om tillsynen över dem också med stöd av gällande sektorslagstiftning.  

I 1 mom. 5 punkten föreslås det att Livsmedelsverket ska vara tillsynsmyndighet i fråga om de kritiska aktörer som hör till aktörskategorin produktion, bearbetning och distribution av livsmedel.  

I 1 mom. 6 punkten föreslås det att Säkerhets- och kemikalieverket ska vara tillsynsmyndighet i fråga om de kritiska aktörer som inom energisektorn hör till undersektorerna olja, vätgas och gas, med undantag för de aktörer som enligt vad som föreskrivits ovan omfattas av Energimyndighetens tillsyn. 

I 1 mom. 7 punkten föreslås det att Tillstånds- och tillsynsverket för social- och hälsovården och regionförvaltningsverken ska vara tillsynsmyndigheter i fråga om tjänsteanordnare och tjänsteproducenter som identifierats som kritiska och som tillhandahåller social-, hälso- och sjukvårdstjänster enligt 4 § i lagen om tillsynen över social- och hälsovården. Den behöriga tillsynsmyndigheten bestäms enligt 32 § 2 och 3 mom. i lagen om tillsynen över social- och hälsovården. Tillsynsansvaret ska alltså fastställas enligt samma principer som i fråga om andra tillsynsärenden inom hälso- och sjukvården. 

I 1 mom. 8 punkten föreslås det att Tillstånds- och tillsynsverket för social- och hälsovården ska vara tillsynsmyndighet i fråga om EU-referenslaboratorier som identifierats som kritiska och som definieras i artikel 15 i Europaparlamentets och rådets förordning (EU) 2022/2371. De sex första referenslaboratorierna inom EU utsågs för sju år genom EU-kommissionens genomförandeförordning i mars 2024, och ett av dem är från Finland. Referenslaboratorierna utses av kommissionen och nätverket av laboratorier förvaltas av Europeiska centrumet för förebyggande och kontroll av sjukdomar (ECDC). Tillsynen över laboratorierna inom hälso- och sjukvården hör dock till regionförvaltningsverken och Tillstånds- och tillsynsverket för social- och hälsovården. Eftersom eventuella EU-referenslaboratorier som utses i Finland kommer att vara verksamma i hela Finland är det motiverat att Tillstånds- och tillsynsverket för social- och hälsovården utses till tillsynsmyndighet.  

20 §. Inriktning av tillsynen och inspektionsrätt. Enligt 1 mom. i den föreslagna paragrafen ska tillsynen inriktas på en identifierad kritisk aktör i den omfattningen det behövs. Till de centrala tillsynsobjekten hör den kritiska aktörens skyldighet att utarbeta en riskbedömning och en plan för motståndskraft. Den behöriga tillsynsmyndigheten kan utföra inspektioner på plats av den kritiska infrastruktur, de byggnader och de lokaler som den kritiska aktören använder för att tillhandahålla sina samhällsviktiga tjänster. Enligt 2 mom. har myndigheten i samband med en inspektion rätt att i tillsynsobjektet få tillträde till alla byggnader och lokaler samt datasystem och andra system som är nödvändiga för inspektionen samt rätt att få redogörelser om de planer och andra arrangemang som krävs enligt denna lag. Inspektion får dock inte förrättas i utrymmen som används för boende av permanent natur. Det är inte meningen att inspektionsrätten ska gälla lokaler som omfattas av hemfriden, eftersom det inte är uteslutet att lokaler eller byggnader som är föremål för åtgärderna inte har utrymmen som används för boende. Tillsynsmyndigheten kan dessutom utanför lokalerna övervaka en kritisk aktörs åtgärder, för säkerställande av den kritiska aktörens motståndskraft. Den kritiska aktören ska enligt denna lag vidta lämpliga och proportionella åtgärder för att säkerställa sin motståndskraft.  

Tillsynsmyndigheten kan höra utomstående experter och begära utlåtanden av dem. Tillsynsmyndigheten kan i samband med inspektionen anlita en utomstående expert. Den utomstående experten ska ha den utbildning och erfarenhet som behövs för inspektionen. Vid en inspektion kan det vara motiverat att anlita en extern expert för att bedöma statusen för ömsesidigt beroende kritiska tjänster. En sådan situation kan uppstå mellan aktörer som identifieras som kritiska aktörer i de kategorier som anges i bilagan till CER-direktivet eller mellan kritiska aktörer och icke-kritiska aktörer. Om det exempelvis finns ett beroende mellan infrastruktur för överföring av energi och en energiproducent (producent), kan detta medföra ett behov av extern expertis för att bedöma situationen i gränssnittet. I skäl 5 i direktivet konstateras att när det gäller energisektorn och särskilt metoderna för produktion och överföring av el (avseende elförsörjning) kan det i produktionen av el, när så anses lämpligt, ingå kärnkraftsanläggningars delar för överföring av el, men inte de specifikt kärnkraftsrelaterade delar som omfattas av fördrag och unionsrätt, inbegripet relevanta unionsrättsakter avseende kärnkraft. På experter tillämpas bestämmelserna om straffrättsligt tjänsteansvar. Bestämmelser om skadeståndsansvar finns i skadeståndslagen. På förfarandet vid inspektionen tillämpas bestämmelserna i 39 § i förvaltningslagen (434/2003). Enligt förvaltningslagen ska en myndighet underrätta en part som direkt berörs av ärendet om tidpunkten då en inspektion som faller under myndighetens behörighet inleds, såvida syftet med inspektionen inte äventyras av en sådan underrättelse. Parten har rätt att närvara vid inspektionen och att framföra sin åsikt och ställa frågor om omständigheter som har samband med inspektionen. Under inspektionens gång ska parten om möjligt underrättas om inspektionens ändamål, hur den genomförs samt om fortsatta åtgärder. Inspektionen ska förrättas utan att inspektionsobjektet eller dess innehavare orsakas oskälig olägenhet. 

Tillsynsmyndigheten kan begära handräckning av polisen för att genomföra en inspektion. I 9 kap. 1 § i polislagen (872/2011) föreskrivs det om handräckning av polisen, polisens beslutsfattande i samband med handräckning och om den avgift som tas ut för handräckningen. Enligt 1 mom. i den paragrafen ska polisen på begäran ge andra myndigheter handräckning, om så föreskrivs särskilt. Polisen ska ge andra myndigheter handräckning också för fullgörande av en lagstadgad tillsynsskyldighet, om den myndighet som begär handräckning hindras i sin tjänsteutövning. När det gäller den föreslagna paragrafen är det fråga om situationer där tillsynsmyndigheten hindras från att utföra ett tjänsteuppdrag och tillsynsmyndigheten har möjlighet att begära handräckning av polisen.  

Genom den föreslagna paragrafen genomförs artiklarna 13.2 och 21.1 i CER-direktivet. 

21 §. Anmärkning, varning och tillsynsbeslut. Den behöriga tillsynsmyndigheten kan ge en kritisk aktör som bryter mot denna lag en anmärkning eller varning. Tillsynsmyndigheten kan i lindrigare fall göra den övervakade uppmärksam på att verksamheten ska ordnas på behörigt sätt och på kraven på god förvaltning eller ge en anmärkning med anledning av konstaterade felaktiga förfaranden eller försummelser. En varning kan ges om en anmärkning inte kan anses tillräcklig med beaktande av omständigheterna i ärendet som helhet. En varning ska ges skriftligen och i den ska den brist eller försummelse som varningen gäller specificeras.  

Tillsynsmyndigheten kan genom sitt beslut också ålägga aktören att inom en skälig tid avhjälpa de brister som upptäckts eller försummelsen. Tillsynsmyndigheten kan förena ett beslut med vite eller hot om tvångsutförande, på vilka viteslagen (1113/1990) tillämpas. Hot om avbrytande enligt viteslagen är inte en ändamålsenlig åtgärd, eftersom kontinuiteten i den kritiska aktörens samhällsviktiga tjänst bör säkerställas. Om ett vite föreläggs och utdöms för att en skyldighet inte har fullgjorts är syftet med förfarandet att säkerställa att skyldigheten fullgörs. Vite är till sin natur en administrativ påföljd, medan försummelseavgiften enligt lagförslagets 22 § till sin natur är en administrativ sanktion.  

Genom den föreslagna paragrafen genomförs artikel 22 i CER-direktivet.  

22 §.Försummelseavgift. Enligt den föreslagna paragrafen kan tillsynsmyndigheten genom sitt beslut ålägga en kritisk aktör att betala en försummelseavgift, om den kritiska aktören uppsåtligen eller av grov oaktsamhet försummar att göra en riskbedömning enligt 14 §, vidta åtgärder enligt 15 § eller göra en anmälan om en incident enligt 16 § och den upptäckta bristen eller försummelsen har en betydande påverkan på tillhandahållandet av samhällsviktiga tjänster. Försummelseavgift kan inte påföras en kritisk aktör som är en statlig myndighet, ett statligt affärsverk, en kommunal myndighet, ett välfärdsområde eller en självständig offentligrättslig inrättning. Myndigheterna är bundna av laglighetsprincipen i förvaltningen, myndigheterna måste också iaktta allmänna förvaltningslagar. Tjänstemän har tjänsteansvar som kan realiseras även som straffrättsligt tjänsteansvar eller skadeståndsansvar. Över en myndighets verksamhet kan också förvaltningsklagan anföras hos en högre myndighet. Försummelseavgiften uppgår till minst 2 000 och högst 20 000 euro. Vid bedömningen av försummelseavgiftens storlek ska hänsyn tas till omständigheterna i fallet och förfarandets art och i detta syfte åtminstone följande omständigheter: försummelsens varaktighet, upprepad försummelse eller brist, underlåtenhet att underrätta om betydande incidenter, underlåtenhet att avhjälpa upptäckta brister trots beslut av tillsynsmyndigheten och åtgärder som den kritiska aktören vidtagit för att förhindra eller begränsa skadan.  

Genom den föreslagna paragrafen genomförs artikel 22 i CER-direktivet. 

23 §.Avstående från försummelseavgift. Enligt den föreslagna paragrafen påförs försummelseavgift inte om aktören på eget initiativ vidtagit tillräckliga åtgärder för att avhjälpa försummelsen omedelbart efter att den upptäckts och utan dröjsmål underrättat tillsynsmyndigheten om den samt samarbetat med tillsynsmyndigheten, och försummelsen inte är återkommande (1 mom. 1 punkten) eller om försummelsen ska anses vara ringa (1 mom. 2 punkten). Enligt 3 punkten ska försummelseavgift inte påföras, om påförande av avgift ska anses vara uppenbart oskäligt på andra grunder än de som avses i 1 eller 2 punkten. Försummelseavgift får inte påföras, om det har förflutit mer än fem år sedan överträdelsen eller försummelsen har skett. Enligt 2 mom. får försummelseavgift inte påföras den som misstänks för samma gärning i en förundersökning, en åtalsprövning eller ett brottmål som är anhängigt vid en domstol. Försummelseavgift får inte heller påföras den som för samma gärning har meddelats en lagakraftvunnen dom.  

24 §.Verkställighet av försummelseavgift. I paragrafen föreskrivs det om verkställigheten av försummelseavgift. Rättsregistercentralen sköter verkställigheten av avgiften. En försummelseavgift som påförts med stöd av lag ska verkställas i den ordning som föreskrivs i lagen om verkställighet av böter (672/2002). En försummelseavgift preskriberas när fem år har förflutit från den dag då det lagakraftvunna beslutet om avgiften meddelades. Dröjsmålsränta får inte tas ut på försummelseavgiften.  

6 kap. Särskilda bestämmelser 

25 §. Begäran om omprövning. I beslut som avses i detta lagförslag får omprövning begäras. Bestämmelser om begäran om omprövning finns i förvaltningslagen (434/2003) .  

Ett centralt beslut i vilket omprövning får begäras är ett sådant beslut om identifiering som kritisk aktör som avses i 13 § och som fattas av det behöriga ministeriet. Begäran om omprövning anses inte lämpa sig för ärenden som är särskilt betydelsefulla med tanke på parternas rättsskydd, i vilka det är viktigt att vid behov snabbt hänskjuta saken till domstolsprövning och där det inte nödvändigtvis kan anses vara fråga om ett rutinärende (se RP 230/2014 rd s. 42). Det föreslås dock att beslutet ska basera sig på ett strategiskt styrdokument, dvs. en av statsrådets allmänna sammanträde godkänd riksomfattande plan för kritiska aktörers motståndskraft som stöder ministeriernas beslutsfattande och inrikesministeriets styrning i dess egenskap av samordnande ministerium. Beslutet ska också bygga på ett annat strategiskt styrdokument, nämligen en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft som godkänts av statsrådets allmänna sammanträde. Det behöriga ministeriet har inom sitt ansvarsområde de bästa förutsättningarna och sakkunskapen för att bedöma de faktorer som ligger till grund för identifieringen som kritisk aktör. Utgångspunkten är att det är fråga om ett beslut där det inte finns principiell oenighet om tolkningen. Bedömningen är att ett eventuellt felaktigt beslut kan rättas i ett flexibelt förfarande snabbare än i förvaltningsdomstolen. Det är fråga om beslut som fattas inom ramen för en enhetlig procedur och gemensamma normer, även om det underliggande sakinnehållet kan variera beroende på bransch. Den myndighet som behandlar begäran om omprövning kan ändra eller upphäva förvaltningsbeslutet eller avslå begäran om omprövning. 

Omprövning av ett beslut av statsrådets allmänna sammanträde får inte begäras. Bestämmelser om sökande av ändring i beslut av statsrådets allmänna sammanträde finns i lagen om rättegång i förvaltningsärenden (808/2019). Fallen kan gälla t.ex. sådana i 13 § avsedda beslut om identifiering av en kritisk aktör som har överförts till statsrådets allmänna sammanträde. Den riksomfattande planen för kritiska aktörers motståndskraft och den nationella riskbedömningen av kritiska aktörers motståndskraft, vilka godkänts av statsrådets allmänna sammanträde, är inte överklagbara förvaltningsbeslut med stöd av 6 § i lagen om rättegång i förvaltningsärenden. 

Genom den föreslagna paragrafen genomförs delvis artikel 21.4 i CER-direktivet. 

26 §. Sökande av ändring. Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019). Vid sökande av ändring i beslut som gäller föreläggande och utdömande av vite samt föreläggande och verkställighet av hot om tvångsutförande tillämpas dock viteslagen (1113/1990).  

Genom den föreslagna paragrafen genomförs delvis artikel 21.4 i CER-direktivet. 

27 §. Myndigheters och andra parters rätt att få information. Enligt den föreslagna paragrafen har tillsynsmyndigheterna trots sekretessbestämmelserna rätt att av myndigheter och aktörer som identifierats som kritiska avgiftsfritt få den information som är nödvändig för att myndigheten ska kunna utföra sina uppgifter enligt denna lag. Tillsynsmyndigheten har trots sekretessbestämmelserna rätt att till en annan tillsynsmyndighet och en tillsynsmyndighet enligt 26 § i cybersäkerhetslagen ( ) samt det ministerium som sköter samordningsuppgiften och sektorministeriet lämna ut den information som är nödvändig för att de ska kunna utföra sina uppgifter. Med tillsynsmyndigheternas uppgifter avses deras lagstadgade uppgifter. Tillsynsmyndigheten har också trots sekretessbestämmelserna rätt att lämna ut nödvändig information till Försörjningsberedskapscentralen för utförande av dess uppgifter. Det är nödvändigt att det ministerium som sköter samordningsuppgiften och statsrådets lägescentral för utförande av dess uppgifter får en överblick av motståndskraften i den nationella kritiska infrastrukturen. Varje ministerium bör få en motsvarande överblick av sitt eget verksamhetsområde. Statsrådets lägescentral har enligt lagen om statsrådets lägescentral (300/2017, 3 §) trots det som föreskrivs om sekretessbelagd information rätt att av en myndighet för sammanställande av en lägesbild få de uppgifter som den överlåtande myndigheten anser nödvändiga om de förhållanden som lett till en säkerhetsincident, platsen och tidpunkten för säkerhetsincidenten, säkerhetsincidentens konsekvenser, den behöriga myndighetens åtgärder samt om andra omständigheter som kan jämställas med dessa. I synnerhet incidenter med betydande påverkan ska i regel tolkas som en sådan säkerhetsincident. Bestämmelser om Försörjningsberedskapscentralens uppgifter finns i lagen om tryggande av försörjningsberedskapen. Enligt 6 § i den lagen ska Försörjningsberedskapscentralen bl.a. säkerställa funktionen hos sådana tekniska system som är livsviktiga med tanke på försörjningsberedskapen och trygga kritisk varu- och tjänsteproduktion samt sådan produktion som stöder det militära försvaret.  

Enligt 2 mom. i den föreslagna paragrafen gäller rätten att få information inte information som behandlas av den CSIRT-enhet som avses i 19 § i den föreslagna cybersäkerhetslagen. Vid Transport- och kommunikationsverket finns en i artikel 1.2 a i NIS 2-direktivet avsedd CSIRT-enhet för hantering av it-säkerhetsincidenter. Dess verksamhet ordnas separat från den tillsyn som utövas med stöd av 26 § i cybersäkerhetslagen. 

28 §. Myndighetssamarbete. Enligt paragrafen ska de myndigheter som avses 26 § i cybersäkerhetslagen underrättas om ett beslut om identifiering av en kritisk aktör inom en månad från beslutet. De myndigheter som avses i den föreslagna lagen och den behöriga myndigheten enligt 26 § i cybersäkerhetslagen ska utbyta information om identifiering av kritiska aktörer och om cybersäkerhetsrisker, cyberhot och cyberincidenter och icke-cyberrelaterade risker, hot och incidenter som påverkar kritiska aktörer samt om relevanta åtgärder och hanteringsåtgärder som vidtagits av den behöriga myndigheten enligt denna lag och den behöriga myndigheten enligt cybersäkerhetslagen. Informationsutbytet är viktigt eftersom kritiska aktörer enligt CER-direktivet också omfattas av skyldigheterna enligt NIS 2-direktivet.  

Enligt skäl 24 i direktivet är det viktigt att medlemsstaterna säkerställer att kraven i det här direktivet och i direktiv (EU) 2022/2555 genomförs på ett kompletterande sätt och att kritiska entiteter inte utsätts för en administrativ börda som går utöver vad som är nödvändigt för att uppnå målen i det här direktivet och i det direktivet. 

Genom den föreslagna paragrafen genomförs artiklarna 6.4 och 9.6 i CER-direktivet. 

29 §.Säkerhetsutredning. I paragrafen föreskrivs det om begäran om uppgifter ur andra EU-medlemsstaters kriminalregister i en situation där en säkerhetsutredning av person enligt säkerhetsutredningslagen (726/2014) görs om en person som är anställd eller ska anställas hos en kritisk aktör. Genom paragrafen genomförs artikel 14 om bakgrundskontroller i CER-direktivet.  

Enligt artikel 14 i CER-direktivet ska kritiska aktörer i vederbörligen motiverade fall kunna ansöka om bakgrundskontroller av personer som definieras närmare i artikeln och som är anställda hos dem eller övervägs för rekrytering. Ansökningarna ska bedömas inom en rimlig tidsram och hanteras i enlighet med nationell rätt och nationella förfaranden. Bakgrundskontroller ska enligt direktivet åtminstone bekräfta identiteten på den person som är föremål för bakgrundskontrollen och kontrollera uppgifter ur kriminalregistret för den personen avseende brott som är relevanta för en viss tjänst. När de utför bakgrundskontroller ska medlemsstaterna använda det europeiska informationssystemet för utbyte av uppgifter ur kriminalregister i enlighet med de förfaranden som fastställs i rambeslut 2009/315/RIF och, i förekommande och tillämpliga fall, förordning (EU) 2019/816 för att inhämta uppgifter ur kriminalregister som innehas av andra medlemsstater. 

En bakgrundskontroll enligt CER-direktivet kan i Finland med stöd av 19, 20 eller 21 § i säkerhetsutredningslagen göras som en begränsad, en normal eller en omfattande säkerhetsutredning av person, beroende på med vilka arbetsuppgifter och i vilken bransch personen arbetar. De gällande bestämmelserna i säkerhetsutredningslagen bedöms till denna del redan omfatta alla sektorer och arbetsuppgifter som omfattas av direktivets tillämpningsområde, och säkerhetsutredningslagen behöver därför inte ändras på grund av genomförandet av direktivet. Direktivet kräver dock att de bakgrundskontroller som avses i direktivet ska utföras med hjälp av det s.k. Ecris-systemet för att få tillgång till uppgifter i andra medlemsstaters kriminalregister. Däremot ger direktivet medlemsstaterna utrymme att avgöra om det ska vara möjligt att göra förfrågningar också med hjälp av det s.k. Ecris-TCN-systemet, som innehåller uppgifter om tredjelandsmedborgare som dömts för brott i EU:s medlemsstater. I beredningen har det bedömts vara ändamålsenligt att begränsa förfrågningarna så att uppgifter kan begäras enbart från Ecris i enlighet med minimikravet i direktivet. Bestämmelser om utbyte av uppgifter ur Ecris med andra medlemsstater finns i lagen om lagring av straffregisteruppgifter och om utlämnande av sådana uppgifter mellan Finland och de övriga medlemsstaterna i Europeiska unionen (214/2012, nedan EU-straffregisterlagen). I Finland är det för närvarande inte möjligt att använda Ecris för att göra säkerhetsutredningar, och därför behövs nya bestämmelser om detta i EU-straffregisterlagen. Inom Ecris-samarbetet begär Rättsregistercentralen straffregisteruppgifter från en annan medlemsstat. 

I paragrafen anges i vilka situationer skyddspolisen kan begära att Rättsregistercentralen lämnar in en begäran om utlämnande av straffregisteruppgifter till andra medlemsstater. Om en i säkerhetsutredningslagen avsedd säkerhetsutredning av person görs om en person som ska utses till eller arbetar i ett anställningsförhållande eller uppdrag hos en kritisk aktör som avses i 14 § i denna lag, och det behövs på grund av att den som utredningen gäller har vistats utomlands eller av någon annan särskild orsak, kan skyddspolisen enligt förslaget för utredningen göra en begäran enligt 20 c § i lagen om lagring av straffregisteruppgifter och om utlämnande av sådana uppgifter mellan Finland och de övriga medlemsstaterna i Europeiska unionen (214/2012). En begäran om straffregisteruppgifter från andra medlemsstater är således inte heller standardförfarande i fall där en säkerhetsutredning görs om en person som är anställd eller ska anställas hos en kritisk aktör, utan behövs endast av särskilda skäl. Ett särskilt skäl kan t.ex. vara en långvarig eller återkommande vistelse i andra medlemsstater. Skyddspolisen ska från fall till fall bedöma och besluta huruvida en begäran om uppgifter ur andra medlemsstaters straffregister behövs. Uppgifter som erhållits från andra medlemsstater till följd av en begäran får användas för att göra en säkerhetsutredning av person. I övrigt tillämpas på utarbetandet av säkerhetsutredningar vad som föreskrivs i säkerhetsutredningslagen. Sådana begäranden som avses i paragrafen kan i praktiken göras först efter att de kritiska aktörerna har definierats. 

30 §. Ikraftträdande. Lagen avses träda i kraft så snart som möjligt. När den föreslagna lagen träder i kraft antas en riksomfattande plan för kritiska aktörers motståndskraft enligt 5 § och en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft enligt 6 § för första gången senast den 17 januari 2026. Beslut enligt 13 § om identifiering av en kritisk aktör fattas för första gången senast den 17 juli 2026. När denna lag träder i kraft ska den som identifierats som en kritisk aktör göra en första i 14 § avsedd riskbedömning av en kritisk aktör inom nio månader från det att mottagaren har underrättats om ett i 13 § avsett beslut. En plan för en kritisk aktörs motståndskraft enligt 15 § ska upprättas första gången inom ett år från utförandet av den riskbedömning som avses i 14 §. Senast den 17 juli 2028 lämnas en första sammanfattande rapport om inkomna incidentanmälningar enligt 16 § till kommissionen och till den grupp för kritiska aktörers motståndskraft som avses i artikel 19 i CER-direktivet.  

7.2  Säkerhetsutredningslagen

19 §.När får en normal säkerhetsutredning av person göras. Den föreslagna 1 mom. 4 punkten gäller arbete med uppgifter som hänför sig till infrastruktur som är nödvändig för ett fungerande samhälle. Det föreslås att punkten utvidgas så att den särskilt nämner arbetsuppgifter där den som utredningen gäller genom obehörig användning av uppgifter på ett betydande sätt kan äventyra statens säkerhet eller främja organiserad brottslighet.  

Den gällande bestämmelsen gäller personer som arbetar med uppgifter där personen kan skada funktionen hos den infrastruktur som är nödvändig för ett fungerande samhälle eller den kritiska produktionens kontinuitet. Den nya bestämmelsen om obehörig användning av uppgifter ska också gälla situationer där en person genom obehörig användning av uppgifter som personen fått inom ramen för sina arbetsuppgifter på ett betydande sätt kan äventyra statens säkerhet eller främja organiserad brottslighet. Exempelvis uppgifter om säkerhetsåtgärder i hamnar för utrikesfart och motsvarande uppgifter om el- och energiförsörjning, finansierings- och betalningsrörelse samt central transportlogistik kan vara betydande i den mening som avses i bestämmelsen. 

I förarbetena till säkerhetsutredningslagen (RP 57/2013 rd, s. 40) hänvisas det till statsrådets principbeslut om en säkerhetsstrategi för samhället från 2010, enligt vilket bl.a. kraftförsörjning, datatrafik och informationssystem, transportlogistik, samhällsteknik, livsmedelsförsörjning, vattentjänster, industri- och serviceproduktion samt finans- och betalsystem kan hänföras till den kritiska infrastrukturen och produktionen. Enligt förarbetena har bestämmelsen samband med målet att skydda samhället mot allvarliga störningar. Det är meningen att tillämpningsområdet för punkten ska omfatta personer som arbetar med vitala uppgifter oavsett om de är tjänstemän eller verksamma inom den privata sektorn och oavsett om de har ledaruppgifter eller praktiska arbetsuppgifter. Vid tolkningen av tillämpningsområdet kan också senare principbeslut om samhällets säkerhet anses ha betydelse. 

7.3  Lagen om lagring av straffregisteruppgifter och om utlämnande av sådana uppgifter mellan Finland och de övriga medlemsstaterna i Europeiska unionen

1 §.Tillämpningsområde. Det föreslås att det till paragrafen fogas ett nytt 4 mom. enligt vilket det i lagen också föreskrivs om utlämnande av uppgifter på begäran i syfte att göra en bakgrundskontroll som avses i artikel 14 i CER-direktivet samt om framställande av en begäran om sådana uppgifter. I och med ändringen blir paragrafens gällande 4 mom. 5 mom., och dessutom blir det gällande 5 mom. 6 mom. och det gällande 6 mom. 7 mom. Till 6 och 7 mom. fogas en hänvisning till det nya 4 mom.  

6 §.Vidarebefordran av uppgifter. I paragrafen föreskrivs det om Rättsregistercentralens skyldighet att meddela för vilka ändamål uppgifterna får vidarebefordras till andra stater när den med stöd av 5 § överför uppgifter till den medlemsstat där personen är medborgare. Enligt förslaget ska uppgifter också kunna vidarebefordras för bakgrundskontroller enligt CER-direktivet. Den föreslagna bestämmelsen bidrar till att säkerställa att personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder behandlas på ett korrekt sätt endast på de villkor som anges i artikel 10 i den allmänna dataskyddsförordningen.  

11 §.Utlämnande av uppgifter ur lagringsregistret. I 2 mom. föreslås en hänvisning till den nya 15 § c. Rättsregistercentralen får därmed i enlighet med 15 c § ur lagringsregistret lämna ut uppgifter till centralmyndigheten eller någon annan behörig myndighet i en annan medlemsstat.  

15 c §.Svar på en begäran för en bakgrundskontroll enligt CER-direktivet. Paragrafen är ny och enligt dess 1 mom. ska Rättsregistercentralen till den centralmyndighet i en annan medlemsstat som begär registeruppgifter lämna ut de i 3 § avsedda uppgifterna ur straffregistret, bötesregistret och lagringsregistret för en bakgrundskontroll enligt artikel 14 i CER-direktivet. Bestämmelser om vilka uppgifter som ska lämnas ut finns i lagens 3 § och i 9 §, som det hänvisas till där, samt i 2 § 3 mom. i straffregisterlagen.  

Enligt det föreslagna 2 mom. ska endast uppgifterna i lagringsregistret överföras till den medlemsstat som har framställt begäran, om det i straffregistret finns uppgifter som har antecknats i lagringsregistret.  

Genom paragrafen fullgörs delvis centralmyndighetens skyldighet enligt artikel 14 i CER-direktivet att besvara begäranden från andra medlemsstater i samband med bakgrundskontroller i enlighet med artikel 8.1 i rambeslut 2009/315/RIF. Lagstiftningstekniskt och till sitt väsentliga innehåll motsvarar paragrafen lagens övriga bestämmelser om besvarande av begäranden. 

16 §.Begärans innehåll och form samt språk. I 1 mom. föreslås en hänvisning till den nya 15 § c. Rättsregistercentralen ska godkänna en sådan begäran om bakgrundskontroll enligt artikel 14 i CER-direktivet som framställts av centralmyndigheten i en annan medlemsstat, om begäran innehåller de behövliga uppgifter som avses i formuläret i bilagan till rambeslutet.  

17 §.Svarets innehåll och form samt språk. I 1 mom. föreslås en hänvisning till den nya 15 § c. Rättsregistercentralen ska i sitt svar lämna uppgifter om den person som avses i artikel 14 i CER-direktivet i enlighet med formuläret i bilagan till rambeslutet.  

18 §.Tidsfrister. I 1 mom. föreslås en hänvisning till den nya 15 § c. Enligt artikel 14 i CER-direktivet ska centralmyndigheten inom tio arbetsdagar från den dag då begäran togs emot besvara begäranden om sådana uppgifter.  

20 c §.Framställande av begäran för säkerhetsutredning av person. Paragrafen är ny och i den föreskrivs om begäran om uppgifter som avses i lagens 1 § för säkerhetsutredning av person i de situationer som avses i artikel 14 i CER-direktivet. För en säkerhetsutredning av person enligt 28 § i lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft ska Rättsregistercentralen enligt förslaget framställa en begäran till centralmyndigheten i en annan medlemsstat om utlämnande av registeruppgifter och tillhörande uppgifter, om skyddspolisen har begärt det. Behöriga myndigheter enligt säkerhetsutredningslagen är skyddspolisen och huvudstaben.  

21 §.Begärans innehåll och form samt språk. I 1 mom. föreslås en hänvisning till den nya 20 c §. Rättsregistercentralen ska framställa en begäran till centralmyndigheten i en annan medlemsstat i enlighet med formuläret i bilagan till rambeslutet.  

22 §.Begränsningar för användningen av uppgifterna. Till paragrafen fogas enligt förslaget ett nytt 5 mom., där det med stöd av 20 c § föreskrivs om begränsningar i användningen av uppgifter som erhållits från en annan medlemsstat. Registeruppgifter och tillhörande uppgifter som en annan medlemsstat har överfört på grundval av en begäran i enlighet med 20 c § får enligt förslaget användas endast för en sådan säkerhetsutredning av person som avses i 28 § i lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft, i enlighet med vad den medlemsstat som överförde uppgifterna har meddelat. En motsvarande begränsningsbestämmelse finns i lagen också i fråga om uppgifter som erhållits på grundval av en begäran enligt 19 § 1 mom. samt 20, 20 a och 20 b §.  

7.4  Straffregisterlagen

4 a §. Enligt det föreslagna nya momentet ska till en centralmyndighet i en annan medlemsstat i Europeiska unionen lämnas ut straffregisteruppgifter med anledning av en begäran som framställts till centralmyndigheten i enlighet med vad som föreskrivs i 15 b och 15 c § i EU-straffregisterlagen.  

5 §. I 1 mom. förslås en hänvisning till 20 c § i EU-straffregisterlagen.  

7.5  Lagen om sjöfartskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet

4 §.Transport- och kommunikationsverkets särskilda uppgifter. Det föreslås att Transport- och kommunikationsverkets uppgifter utvidgas så att verket på hamninnehavarens framställning också ska godkänna de kategorier av personer vars oförvitlighet och tillförlitlighet enligt 7 g § ska säkerställas genom en säkerhetsutredning av person.  

7 g §.Säkerhetsutredning. Syftet med paragrafen är att förhindra att kritiska uppgifter om hamnen används för verksamhet som äventyrar statens säkerhet eller för främjande av organiserad brottslighet. I den förändrade säkerhetspolitiska omgivningen till följd av Rysslands anfallskrig har hybridhot och hot om spioneri och brottslighet fått större betydelse än tidigare. Hamnarnas centrala betydelse gör att såväl statliga som icke-statliga aktörer, inbegripet organiserade kriminella grupper, kan försöka utnyttja hamnar i olika olagliga och skadliga syften eller störa eller skada hamnarnas verksamhet. Hamnar, liksom andra transportnav, är potentiellt intressanta objekt för terroristiska aktörer på grund av flödet av varor och passagerare.  

På grund av sina passagerar- och logistikdata utgör hamnarna också ett potentiellt intressant mål för spioneri för statliga aktörer och erbjuder en möjlighet att följa eller påverka passagerar-, material- och energiflöden som är livsviktiga för Finland. Hamnar kan utsättas för spioneri från många håll: de är ekosystem som består av många olika aktörer, fastigheter och underleverantörer, där personal från olika företag har en inblick i hamnens verksamhet. Hamnarna har också betydelse för landets försvar, och de kan bl.a. användas för att ta emot och tillhandahålla militärt stöd. 

Enligt Europol, Europeiska unionens byrå för samarbete inom brottsbekämpning, har den organiserade brottsligheten fått ett större fotfäste i de europeiska hamnarna, vilket har lett till en betydande ökning av narkotikasmugglingen. Europol and the Security Steering Committee of the ports of Antwerp, Hamburg/Bremerhaven and Rotterdam (2023): Criminal Networks in EU Ports: Risks and challenges for law enforcement. Enligt Europol använder organiserade kriminella grupper sin insiderposition i synnerhet för att smuggla narkotika i fartygscontainrar. En organiserad kriminell grupp kan främja smuggling bl.a. genom att skaffa tillgång till och rätt att göra ändringar i informationssystem som gäller lasthantering eller passerkontroll och annan övervakning. Sådan tillgång kan fås genom att muta nyckelpersoner eller genom att få in en gruppmedlem i arbetsuppgifter som ger tillgång till denna information. Observationer från europeiska hamnar visar att utpressning och hot också har använts för att få fram information. Våldsbrotten i hamnarna har också ökat.  

I 1 mom. föreskrivs det att en hamninnehavare i en hamn för utrikesfart ska säkerställa att endast den som kan anses vara oförvitlig och tillförlitlig har tillgång till sådana uppgifter och informationssystem som är kritiska med tanke på hamnens säkerhet. I detta syfte ska hamninnehavaren ansöka om säkerhetsutredning av en person som får tillgång till eller rätt att använda uppgifter på det sätt som avses i 1 eller 2 punkten. Enligt 1 punkten ska hamninnehavaren ansöka om en säkerhetsutredning av en person som får tillgång till sekretessbelagda uppgifter om sjöfartsskyddet i en hamn. Enligt 2 punkten ska hamninnehavaren dessutom ansöka om säkerhetsutredning av en person som i fråga om ett informationssystem för hantering av last eller övervakning av en hamn som är kritiskt med tanke på hamnens säkerhet får sådana åtkomsträttigheter som gör det möjligt att läsa och ändra uppgifterna, i annat syfte än för en enskild arbetsuppgift eller tekniskt underhåll av informationssystemet. Avgränsningen avseende enskilda arbetsuppgifter inriktar utredningsskyldigheten på personer som har mer omfattande eller bestående tillgång till informationssystemet än endast till uppgifter om en enskild arbetsuppgift. Till exempel stuvararbetet är vanligtvis av sådan art att det kan omfatta begränsade användarrättigheter till det informationssystem som avses i momentet, varför det faller utanför tillämpningsområdet. Även en användarrätt som fåtts för tekniskt underhåll av ett informationssystem ska av ändamålsenlighetsskäl begränsas så att den faller utanför utredningsskyldigheten. Det tekniska underhållet sköts vanligtvis av en extern systemleverantör som har ett mer avlägset samband med hamnens verksamhet. En del av systemleverantörerna verkar utanför Finlands gränser, varvid det är svårt att få de uppgifter om deras personal som behövs för säkerhetsutredningar. 

Bestämmelser om förutsättningarna för att ansöka om och göra en säkerhetsutredning finns i säkerhetsutredningslagen. Den föreslagna utredningsskyldigheten innebär samtidigt en rätt att ansöka om säkerhetsutredning utöver det som i 15 § i säkerhetsutredningslagen föreskrivs om dem som har rätt att ansöka om säkerhetsutredning. 

Skyddspolisen fattar beslut om att göra en säkerhetsutredning och om utredningens nivå på grundval av säkerhetsutredningslagen. Oftast är det fråga om en normal säkerhetsutredning med stöd av 19 § i säkerhetsutredningslagen. I lagförslag 2 i denna proposition föreslås det en ändring i 19 § 1 mom. 4 punkten i den lagen, som gäller tillgång till uppgifter om nödvändig infrastruktur och som ska tillämpas även på hamnar. Enligt 21 § 1 mom. 4 punkten i den gällande säkerhetsutredningslagen får en begränsad säkerhetsutredning av person göras i fråga om den som har tillträde till för allmänheten stängda lokaler i hamnar. I 24 § i säkerhetsutredningslagen föreskrivs det om rätten för skyddspolisen att handlägga en ansökan om begränsad säkerhetsutredning av person som en normal säkerhetsutredning av person och tvärtom. 

Enligt 2 mom. ska uppgifterna eller informationssystemet anses vara kritiska med tanke på en hamns säkerhet, om användningen av uppgifterna eller informationssystemet eller ändring av uppgifter i informationssystemet på ett betydande sätt kan äventyra statens säkerhet eller främja organiserad brottslighet. I momentet föreskrivs det också att Transport- och kommunikationsverket genom sitt beslut kan precisera vilken information om hamnar och vilka informationssystem som anses vara kritiska med tanke på säkerheten, vilket samtidigt inriktar utredningsskyldigheten enligt 1 mom. på vissa hamninnehavare. I beslutet ska det också preciseras vilken typ av åtkomsträttigheter till informationssystem som avses i 1 mom. 2 punkten. En relevant fråga är t.ex. om innehavaren av åtkomsträttigheten endast kan läsa informationen eller även göra ändringar i den, och om åtkomsträttigheten har begränsats till vissa uppgifter eller om det är fråga om s.k. huvudanvändarrätt. När det bedöms om informationen eller informationssystemen är av kritisk betydelse med tanke på statens säkerhet eller främjande av organiserad brottslighet ska Transport- och kommunikationsverket beakta den skyddsutredning och hamnskyddsplan som utarbetats för hamnen. Även sådan information om hamnens säkerhetsläge som fåtts från andra behöriga myndigheter kan vara relevant i bedömningen. 

Kritiska informationssystem enligt 1 och 2 mom. kan vara bl.a. system för förvaring av material som gäller säkerhetsåtgärder, system för förvaring, hantering och kontroll av last, system för hantering av passageraruppgifter, system för kontroll av bagage (skannrar och detektorer), kamera- och passerkontrollsystem, system för passerkort för personer och fordon, system för eldistribution inom hamnområdet och system för att säkerställa elförsörjningen. Genom att ändra information från informationssystem kan man t.ex. göra det möjligt för aktörer som hotar statens säkerhet att få tillträde till hamnområdet. Åtkomst till lasthanteringsuppgifter och ändring av dem kan göra det möjligt att använda transportenheter (t.ex. fartygscontainrar) för smuggling.  

Utöver huvudregeln enligt 1 mom. kan Transport- och kommunikationsverket enligt 3 mom. besluta att utredningsskyldigheten även gäller sådana andra uppgifter i hamnar i fråga om vilka det kan ansökas om säkerhetsutredning. En förutsättning för detta är att det för tryggande av statens säkerhet eller förebyggande av organiserad brottslighet är ytterst viktigt att säkerställa att de som arbetar i dessa uppgifter är oförvitliga och tillförlitliga. Detta förfarande kan tillämpas t.ex. om Transport- och kommunikationsverket från andra behöriga myndigheter har fått information om ett särskilt hot mot statens säkerhet eller ett särskilt hot om organiserad brottslighet. Förfarandet ska endast tillämpas i exceptionella fall, vilket också det villkor om yttersta vikt som tagits in bestämmelsen anger. 

Enligt 4 mom. ska Transport- och kommunikationsverket innan ett beslut enligt 2 eller 3 mom. fattas höra hamninnehavaren och andra behöriga myndigheter, dvs. Gränsbevakningsväsendet, polisen och Tullen. I beslutet ska det sättas ut en skälig tidsfrist inom vilken ansökan om säkerhetsutredning ska göras. Tidsfristens skälighet beror bl.a. på vilken typ av hamn det är fråga om och hur stor den är och huruvida de hamninnehavare som beslutet gäller redan har ansökt om att få genomgå en säkerhetsutredning som utförs av skyddspolisen. Det kan ta flera månader innan en hamn blir föremål för säkerhetsutredningsförfarande, och detsamma gäller ansökan om säkerhetsutredningar. 

När giltigheten för en säkerhetsutredning upphör ska en ny ansökan om säkerhetsutredning göras. Skyldigheten att ansöka om en ny utredning säkerställer bl.a. att en person som fortsätter att arbeta hos hamninnehavaren också i fortsättningen omfattas av den kontroll som avses i 51 § i säkerhetsutredningslagen. 

I paragrafens 6 mom. föreskrivs det om användning, utlämnande och hemlighållande av framkomna uppgifter. I momentet konstateras det att om det i säkerhetsutredningen eller den kontroll som avses i 51 § i säkerhetsutredningslagen framkommer uppgifter med stöd av vilka hamninnehavaren bedömer att den som utredningen gäller inte kan ges i 1 mom. avsedd tillgång till uppgifter och informationssystem, ska hamninnehavaren vidta åtgärder för att hindra tillgången. Oftast går åtgärden ut på att kontakta personens arbetsgivare. Hamninnehavaren får i detta syfte trots sekretessbestämmelserna till arbetsgivaren lämna ut i en utredning eller en i 51 § avsedd kontroll framkomna motsvarande uppgifter som de som den som utredningen gäller enligt 6 § 1 och 3 mom. i säkerhetsutredningslagen har rätt att få av den behöriga myndigheten. På grundval av dessa bestämmelser får hamninnehavaren således lämna ut uppgifter från en säkerhetsutredning, med undantag av uppgifter från ett personregister som den registrerade enligt lag inte har rätt till insyn i. Exempel på sådana uppgifter är underrättelser och kriminalunderrättelser som gäller personen i fråga. Uppgifterna kan lämnas ut till arbetsgivaren för att arbetsgivaren ska ha den information som behövs för att vid behov fatta beslut om anställningen i fråga, t.ex. att ändra arbetstagarens arbetsuppgifter eller i sista hand säga upp arbetstagaren. Den arbetstagare som utredningen gäller har rätt att få motsvarande uppgifter enligt 6 § i säkerhetsutredningslagen. 

Den arbetsgivare som tar emot uppgifterna omfattas av de skyldigheter som fastställs i 45 § 1 och 2 mom. i säkerhetsutredningslagen när det gäller behandling och förstöring av uppgifter. Momentet ska också innehålla en informativ hänvisning till 59 § i säkerhetsutredningslagen, där det konstateras att i ett ärende som har samband med en säkerhetsutredning ska på sekretess och förbud mot att utnyttja i fråga om den som har erhållit uppgifterna med stöd av lag, tillämpas bestämmelserna i 22–24 § i lagen om offentlighet i myndigheternas verksamhet även i de fall när någon annan än en myndighet enligt 4 § i den lagen har erhållit handlingarna och uppgifterna. 

Transport- och kommunikationsverket övervakar att lagen om sjöfartsskydd följs. I 19 § i lagen om sjöfartsskydd föreskrivs det om Transport- och kommunikationsverkets befogenhet att meddela hamninnehavare anvisningar och förelägganden om de inte iakttar bestämmelserna i förordningen om sjöfartsskydd eller i den lagen. Om föreläggandet inte iakttas får Transport- och kommunikationsverket enligt prövning avbryta arbetet vid hamnanläggningen eller hamnskyddsområdet tills felet eller bristen har avhjälpts. Även ett bötesstraff enligt 23 § kan dömas ut för underlåtenhet att iaktta föreläggandet. 

25 §.Ändringssökande. I paragrafens gällande 2 mom. föreskrivs det om vissa beslut som kan verkställas trots ändringssökande. Till momentet fogas en bestämmelse enligt vilken ett beslut av Transport- och kommunikationsverket som avses i 7 g § 2 och 3 mom. ska iakttas trots att ändring har sökts, om inte besvärsmyndigheten beslutar något annat.  

7.6  Lagen om tillämpning av bestämmelserna om utlämning för brott och utbyte av straffregisteruppgifter i handels- och samarbetsavtalet mellan Europeiska unionen och Förenade kungariket

6 §. Tillämpliga bestämmelser vid utbyte av straffregisteruppgifter. Det föreslås att den felaktiga och onödiga hänvisningen till 1 § 1 mom. 4 punkten i lagen om lagring av straffregisteruppgifter och om utlämnande av sådana uppgifter mellan Finland och de övriga medlemsstaterna i Europeiska unionen stryks ur paragrafen.  

7.7  Lag om verkställighet av böter

1 §.Lagens tillämpningsområde. De föreslås att det till 2 mom. fogas en ny 34 punkt enligt vilken den försummelseavgift som avses i 22 § i den föreslagna lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft ska verkställas på det sätt som föreskrivs i denna lag.  

11.1  Inledning

I propositionen föreslås det att det stiftas en lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft samt vissa lagar som har samband med den. Genom de föreslagna lagarna genomförs nationellt Europaparlamentets och rådets direktiv (EU) 2022/2557 om kritiska entiteters motståndskraft och om upphävande av direktiv 2008/114/EG (CER-direktivet). I lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft finns bestämmelser om en riksomfattande plan, som innefattar de strategiska skyldigheterna enligt direktivet, nationell riskbedömning, de uppgifter som hör till det ministerium som sköter samordningsuppgiften och andra ministerier samt tillsynsmyndigheterna, identifiering av kritiska aktörer inom aktörskategorierna i de sektorer som anges i bilagan till CER-direktivet, de kritiska aktörernas skyldigheter och samarbete mellan myndigheter. Lagen ska också innehålla bestämmelser om inspektioner. Ansatsen i CER-direktivet är riskbaserad, vilket innebär att åtgärderna inriktas på de aktörer som är mest relevanta för att viktiga samhällsfunktioner och central ekonomisk verksamhet ska kunna upprätthållas. Medlemsstaten ska identifiera entiteter som tillhandahåller en eller flera samhällsviktiga tjänster och som har kritisk infrastruktur på dess territorium. Lagförslaget innehåller bestämmelser om en lagstadgad riksomfattande plan, en nationell riskbedömning och, på basis av ett separat beslut, identifiering av en kritisk aktör. Skyldigheterna för en identifierad kritisk aktör gäller först efter att ett separat beslut om detta har fattats. 

Enligt 2 § i grundlagen ska all utövning av offentlig makt bygga på lag och i all offentlig verksamhet ska lag noggrant iakttas. Utövning av offentlig makt ska ha en behörighetsgrund som i sista hand återgår på en av riksdagen stiftad lag (RP 1/1998 rd). Enligt 118 § i grundlagen ansvarar en tjänsteman för att hans eller hennes ämbetsåtgärder är lagliga, vilket har samband med att all utövning av offentlig makt ska bygga på lag och att lag noggrant ska iakttas i all offentlig verksamhet. Den föreslagna regleringen är relevant med avseende på grundlagens 10 § om skydd för privatlivet, 15 § om egendomsskydd, 18 § om näringsfrihet och rätt till arbete, 21 § om rättsskydd och 118 § om ansvar för ämbetsåtgärder samt 124 § om överföring av förvaltningsuppgifter på andra än myndigheter. Enligt 80 § 1 mom. i grundlagen ska bestämmelser om grunderna för individens rättigheter och skyldigheter utfärdas genom lag. Enligt 121 § 4 mom. i grundlagen bestäms det om självstyrelse på större förvaltningsområden än kommuner genom lag.  

11.2  Egendomsskydd och näringsfrihet

Enligt artikel 16 i stadgan om de grundläggande rättigheterna ska näringsfriheten erkännas i enlighet med unionsrätten samt nationell lagstiftning och praxis. Enligt artikel 17 har var och en rätt att besitta lagligen förvärvad egendom, att nyttja den, att förfoga över den och att testamentera bort den. Ingen får berövas sin egendom utom då samhällsnyttan kräver det, i de fall och under de förutsättningar som föreskrivs i lag och mot rättmätig ersättning för sin förlust i rätt tid. Nyttjandet av egendomen får regleras i lag om det är nödvändigt för allmänna samhällsintressen. 

Enligt 15 § 1 mom. i grundlagen är vars och ens egendom tryggad. Genom bestämmelsen om egendomsskydd tryggas förmåner och rättigheter med förmögenhetsvärde. Egendomsskyddet omfattar utöver rätten för en ägare att disponera och använda sin egendom enligt eget gottfinnande också rätten att bestämma över den. Om man minskar eller begränsar rättigheter som äganderätten omfattar, ingriper man i egendomsskyddet. 

Enligt 13 § i lagförslag 1 ska ett ärende som gäller identifiering av en kritisk aktör avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör. Beslutet kan få konsekvenser för aktörens investeringar. Det är också av betydelse att det finns möjlighet att begära omprövning av beslutet. I 15 § i lagförslag 1 har användningen av egendom begränsats genom olika skyldigheter. För att säkerställa sin motståndskraft bör kritiska aktörer vidta lämpliga och proportionella åtgärder och i detta syfte ska också en plan för detta utarbetas. Förslagen är relevanta med tanke på egendomsskyddet enligt 15 § i grundlagen, eftersom beslutet och fullgörandet av skyldigheterna enligt det kan medföra kostnader och begränsningar för aktören i fråga om användningen av egendom. Tillsynsmyndigheten ska ha befogenheter att säkerställa att lagen följs. Inskränkningar i ägarens rättigheter kan göras genom olika begränsningar och skyldigheter som gäller användningen av egendomen så länge bestämmelserna uppfyller de allmänna förutsättningarna för en lag som inskränker de grundläggande fri- och rättigheterna. Grundlagsutskottet har i sin utlåtandepraxis brukat utgå från att skyldigheterna och begränsningarna med hänsyn till egendomens speciella art står i samklang med grundlagen om de finns inskrivna i tydliga bestämmelser i lag och är skäliga med avseende på ägaren (t.ex. GrUU 4/2000 rd, GrUU 34/2000 rd, GrUU 8/2002 rd, GrUU 63/2002 rd och GrUU 36/2004 rd). De åtgärder som avses i paragrafen bör anses stå i rätt proportion till det eftersträvade målet och till att det är fråga om att säkerställa motståndskraften hos en samhällsviktig tjänst och säkerställa tjänstens kontinuitet. Samtidigt syftar propositionen till att minimera den administrativa bördan för kritiska aktörer. Bakgrunden till propositionen är vägande samhälleliga behov och den anknyter till den nationella säkerheten. Enligt artikel 4.2 i fördraget om Europeiska unionen ska i synnerhet den nationella säkerheten också i fortsättningen vara varje medlemsstats ansvar. I samband med ändringen av 10 § i grundlagen har grundlagsutskottet i sitt betänkande (GrUB 4/2018 rd ─ RP 198/2017 rd, s. 8–9) ansett att grundlagen å ena sidan föranleder ett behov att tolka begreppet för den nationella säkerheten restriktivt och å andra sidan ha en hög allvarlighetsgrad i fråga om hot. 

Enligt grundlagens 18 § 1 mom. har var och en rätt att skaffa sig sin försörjning genom arbete, yrke eller näring som han eller hon valt fritt. Lagförslagets åtgärder innebär också ett indirekt ingrepp i näringsfriheten, som tryggas i 18 § 1 mom. i grundlagen, eftersom skyldigheterna kan inverka negativt på beslut om att utvidga företagsverksamhet. I grundlagsutskottets utlåtande GrUU 9/2005 rd konstateras att i momentet används uttrycket ”i enlighet med lag”, vilket pekar på en möjlighet att genom lag inskränka denna lagstadgade rättighet (RP 309/1993 rd, s. 71/II). I utlåtandet konstateras också att inskränkningar i näringsfriheten ska vara exakta och noga avgränsade, och deras omfattning och förutsättningarna för dem ska framgå av lagen. När det gäller innehållet i regleringen har utskottet fäst avseende vid tillräcklig förutsägbarhet i myndigheternas verksamhet. Enligt grundlagsutskottet ska det finnas godtagbara och vägande skäl att begränsa näringsfriheten (GrUU 15/2008 rd, s. 2). Enligt 13 § i lagförslag 1 ska ett ärende som gäller identifiering av en kritisk aktör avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör. I lagförslaget identifieras en kritisk aktör genom ett förvaltningsbeslut och ingen aktör kan omfattas av skyldigheterna utan ett sådant beslut. Om det är fråga om ett företag kan beslutet påverka aktörens ställning i förhållande till andra företag som är verksamma på samma marknad. När det gäller näringsfriheten har frågan ingen koppling till en anmälningsskyldighet eller ett tillståndsförfarande. Med tanke på den särskilda karaktären hos kritisk infrastruktur bedöms skyldigheterna och begränsningarna dock stå i samklang med grundlagen och vara rimliga för de kritiska aktörerna. 

11.3  Behörig myndighet och överföring av offentliga förvaltningsuppgifter på andra än myndigheter

Enligt 2 § 3 mom. i grundlagen ska all utövning av offentlig makt bygga på lag och i all offentlig verksamhet ska lag noggrant iakttas. Utövning av offentlig makt ska alltid ha en behörighetsgrund som i sista hand återgår på en av riksdagen stiftad lag (RP 1/1998 rd, s. 75/I). Grundlagsutskottet har ansett att regleringen av myndigheters befogenheter är betydelsefull med tanke på rättsstatsprincipen i grundlagens 2 § 3 mom. (GrUU 51/2006 rd, s. 2/I). I 7 och 13 § i lagförslag 1 finns noggrant avgränsade bestämmelser om uppgifterna för inrikesministeriet, som sköter samordningsuppgiften, och andra ministerier. Enligt propositionen ska inrikesministeriet som samordnande ministerium bl.a. ansvara för den allmänna styrningen, uppföljningen, samordningen och utvecklingen av den verksamhet som avses i den föreslagna lagen. Inrikesministeriet ska vara behörig myndighet enligt artikel 9.1 i CER-direktivet och ansvara för den korrekta tillämpningen och, vid behov, efterlevnadskontrollen avseende reglerna i direktivet på nationell nivå. Nationellt ska övriga uppgifter skötas också av andra ministerier och tillsynsmyndigheter i egenskap av behöriga myndigheter. Bestämmelser om tillsynsmyndigheterna och deras uppgifter finns i 19 och 23 §. För lagar gäller det allmänna kravet på att en lag ska vara exakt och noga avgränsad (GrUU 10/2016 rd, s. 2).  

I 124 § i grundlagen sägs det att offentliga förvaltningsuppgifter kan anförtros andra än myndigheter endast genom lag eller med stöd av lag, om det behövs för en ändamålsenlig skötsel av uppgifterna och det inte äventyrar de grundläggande fri- och rättigheterna, rättssäkerheten eller andra krav på god förvaltning. Uppgifter som innebär betydande ut - övning av offentlig makt får dock ges endast myndigheter. Utgångspunkten är att offentliga förvaltningsuppgifter i regel ska skötas av myndigheter som organiseras som ett ämbetsverk. Offentliga uppgifter kan tilldelas andra aktörer i begränsad utsträckning. Begreppet offentliga förvaltningsuppgifter används i grundlagens 124 § i en relativt vidsträckt bemärkelse, så att det omfattar uppgifter som hänför sig till t.ex. verkställigheten av lagar samt beslutsfattande om enskilda personers och sammanslutningars rättigheter, skyldigheter och förmåner (GrUU 17/2012 rd). I grundlagsutskottets utlåtandepraxis har området för offentliga förvaltningsuppgifter enligt 124 § i grundlagen kommit att bli relativt omfattande. Även uppgifter som går ut på att biträda en myndighet har betraktats som offentliga förvaltningsuppgifter (t.ex. GrUU 55/2010 rd, s. 2/I). I 20 § i lagförslag 1 föreskrivs det också om anlitande av utomstående experter vid inspektioner. Den som utför en inspektion och en utomstående expert som deltar i inspektionen ska ha den utbildning och erfarenhet som behövs för inspektionen. En offentlig förvaltningsuppgift som har anförtrotts någon utanför myndighetsorganisationen är relevant med avseende på både 124 § i grundlagen och på skyddet för hemfriden.  

Utgångspunkten är att inspektionen ska utföras av den behöriga tillsynsmyndigheten själv. I grundlagsutskottets utlåtande GrUU 44/2016 rd konstateras att utskottet i sin praxis har ansett att det i vissa fall kan vara lämpligt att inspektioner på grund av särskilda yrkesmässiga och tekniska aspekter på de omständigheter som tillsynen gäller utförs av sakkunniga som myndigheterna befullmäktigat därtill (se t.ex. GrUU 40/2002 rd, s. 3/I, GrUU 44/2016 rd, s.5). Enligt utskottet kan nödvändighetskravet också uppfyllas t.ex. när granskningen förutsätter kompetens eller resurser som saknas hos myndigheterna (GrUU 29/2013 rd, s. 2/I). Grundlagsutskottet har i sitt utlåtande (GrUU 45/2020 rd, s. 4) konstaterat att 124 § i grundlagen enligt motiveringen understryker betydelsen av att de som sköter offentliga förvaltningsuppgifter ska vara utbildade för ändamålet och sakkunniga samt att de ska stå under tillräcklig offentlig tillsyn (RP 1/1998 rd, s. 179/II).  

Ministerierna och tillsynsmyndigheterna ska i samarbete med Försörjningsberedskapscentralen främja i 8 § i lagförslag 1 avsedda åtgärder för främjande av motståndskraften hos kritisk infrastruktur. Dessa uppgifter är uppgifter som stöder Försörjningsberedskapscentralens nuvarande verksamhet och omfattar inte utövning av offentlig makt. Med stöd av 13 § i lagförslaget ska ett utlåtande begäras av Försörjningsberedskapscentralen innan ett beslut om identifiering av kritisk aktör kan fattas. Bestämmelser om Försörjningsberedskapscentralens rätt att trots sekretessbestämmelserna få den information som den behöver för att kunna sköta sina uppgifter och stödja myndigheterna finns annanstans i lagförslaget. I lagen om tryggande av försörjningsberedskapen finns inga uttryckliga bestämmelser om Försörjningsberedskapscentralens ställning som ett sådant statligt ämbetsverk inom statens centralförvaltning som avses i 119 § i grundlagen. Detta kommer att preciseras i den pågående reformen av försörjningsberedskapslagstiftningen. 

11.4  Skydd för hemfriden och förtroliga meddelanden

Enligt 10 § i grundlagen är vars och ens privatliv, heder och hemfrid tryggade. Närmare bestämmelser om skydd för personuppgifter utfärdas genom lag. 

Enligt 10 § 1 mom. i grundlagen är vars och ens hemfrid tryggad. I 20 § i lagförslaget föreskrivs det om tillsynsmyndighetens rätt att inspektera kritisk infrastruktur samt kritiska aktörers byggnader och lokaler. Inspektion får dock inte förrättas i utrymmen som används för boende av permanent natur. I 20 § i lagförslaget föreskrivs det också om anlitande av utomstående experter vid inspektioner. Den som utför en inspektion och en utomstående expert som deltar i inspektionen ska ha den utbildning och erfarenhet som behövs för inspektionen. En offentlig förvaltningsuppgift som har anförtrotts någon utanför myndighetsorganisationen är relevant med avseende på både skyddet för hemfriden och på 124 § i grundlagen. Vissa konstitutionella aspekter på anlitandet av en utomstående expert har behandlats ovan. 

Utskottet har också påpekat att det i lagstiftningen om inspektioner som har karaktären av tillsyn bör hänvisas till bestämmelserna om procedurer för inspektioner vid behandlingen av förvaltningsärenden i 39 § i förvaltningslagen (se GrUU 44/2016 rd, s. 6 och GrUU 35/2014 rd, s. 4/I och de utlåtanden som nämns där). Därför finns det i 20 § i lagförslaget en hänvisning till 39 § i förvaltningslagen. 

Enligt 3 mom. i den paragrafen kan det genom lag bestämmas om åtgärder som ingriper i hemfriden och som är nödvändiga för att de grundläggande fri- och rättigheterna ska kunna tryggas eller för att brott ska kunna utredas. Hemfriden enligt grundlagen omfattar i princip alla lokaler för boende av permanent karaktär (GrUU 43/2010 rd, s. 2, GrUU 40/2010 rd, s. 4, GrUU 18/2010 rd, s. 7, GrUU 6/2010 rd, s. 4, GrUU 16/2004 rd, s. 5). Enligt lagförslaget får inspektioner dock inte förrättas i utrymmen som används för boende av permanent karaktär, vilket det föreslås en uttrycklig bestämmelse om. Det är inte uteslutet att byggnader eller lokaler som är föremål för en inspektion inte kan ha utrymmen som används för boende. I så fall används utrymmena inte för yrkesverksamhet och inspektionen omfattar inte dem. Grundlagsutskottet har ansett att den egentliga kärnan i hemfriden inte riskeras om en inspektion gäller en lokal där det bedrivs yrkesverksamhet (GrUU 21/2020 rd s. 4). Inspektionsbefogenheten enligt lagförslaget gäller inte vid utredning av brott eller om det finns konkreta skäl att misstänka brott mot lagen. 

I 3 § 3 mom. i lagförslag 1 föreskrivs det om behandling av personuppgifter med hänvisning till den allmänna dataskyddsförordningen (EU) 2016/679 och dataskyddslagen. I 28 § i lagförslag 1 och 18 § i lagförslag 2 ingår förslag om tillsynsmyndighetens rätt att få information. 

Det första lagförslagets 20 § samt 27 § om myndigheters och andras rätt till information är också relevanta med avseende på skyddet för förtroliga meddelanden enligt 10 § i grundlagen. Med stöd av 20 § ska tillsynsmyndigheten i samband med en inspektion ha rätt att trots sekretessbestämmelserna eller andra begränsningar få redogörelser om planer och andra arrangemang. I 27 § i lagförslag 1 ingår bestämmelser om tillsynsmyndighetens rätt att av myndigheter och kritiska aktörer få den information som är nödvändig för att den ska kunna utföra sina uppgifter samt om myndighetens rätt att till andra tillsynsmyndigheter, ministerier och Försörjningsberedskapscentralen lämna ut de uppgifter som är nödvändiga för att de ska kunna utföra sina uppgifter. Rätten att få information ska inte gälla uppgifter som behandlas av den CSIRT-enhet som avses i 19 § i den föreslagna cybersäkerhetslagen. Enhetens arbetsuppgifter gäller bl.a. cyberhot. 

Med stöd av 10 § 2 mom. i grundlagen är brev- och telefonhemligheten eller hemligheten i fråga om andra förtroliga meddelanden okränkbar. I artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna föreskrivs det att var och en har rätt till respekt för sina kommunikationer. Skyddet för förtroliga meddelanden tryggas också i artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna, enligt vilken var och en har rätt till skydd för sin korrespondens. Offentliga myndigheter får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Enligt artikel 5 i direktivet om integritet och elektronisk kommunikation, dvs. Europaparlamentets och rådets direktiv om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (2002/58/EG), ska medlemsstaterna säkerställa konfidentialitet vid elektronisk kommunikation. Enligt artikel 15 i direktivet om integritet och elektronisk kommunikation får medlemsstaterna genom lagstiftning vidta åtgärder för att begränsa konfidentialiteten vid elektronisk kommunikation, om sådana begränsningar är nödvändiga, lämpliga och proportionella bl.a. för att förebygga, undersöka och avslöja obehörig användning av ett elektroniskt kommunikationssystem. 

Förutsättningen för tillgång till uppgifter är således myndigheternas tillsynsuppgift. En tillsynsmyndighet ska ha rätt att lämna ut information som den fått i samband med skötseln av sina lagstadgade uppgifter till en annan tillsynsmyndighet, ministerierna och Försörjningsberedskapscentralen, om det är nödvändigt för deras lagstadgade uppgifter. Nödvändigheten förutsätter att det ändamål för vilket informationen lämnas eller begärs inte kan uppnås på ett sätt som innebär mindre ingrepp i skyddet för förtroliga meddelanden och privatlivet. Det är dock inte fråga om information som har en betydande inverkan på skyddet för privatlivet. Behandlingen bedöms uppfylla de allmänna förutsättningarna för begränsning av de grundläggande fri- och rättigheterna med hänsyn till syftet med behandlingen av uppgifterna 

11.5  Rättssäkerhet

Enligt direktivet ska medlemsstaterna fastställa regler om sanktioner för överträdelse av de nationella åtgärder som antagits enligt direktivet och vidta alla nödvändiga åtgärder för att säkerställa att de tillämpas. 

Grundlagens 21 § gäller rättsskydd. Enligt bestämmelsen har var och en rätt att på behörigt sätt och utan ogrundat dröjsmål få sin sak behandlad av en domstol eller någon annan myndighet som är behörig enligt lag samt att få ett beslut som gäller hans eller hennes rättigheter och skyldigheter behandlat vid domstol eller något annat oavhängigt rättskipningsorgan. I paragrafens 2 mom. sägs det att offentligheten vid handläggningen, rätten att bli hörd, rätten att få motiverade beslut och rätten att söka ändring samt andra garantier för en rättvis rättegång och god förvaltning ska tryggas. När det är fråga om en förvaltningsmyndighets verksamhet ska garantierna för god förvaltning tryggas. Propositionen är också relevant med avseende på artikel 6.1 i Europakonventionen (rätt till en rättvis rättegång). I artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna garanteras rätten till ett effektivt rättsmedel och till en opartisk domstol. 

Enligt 13 § i lagförslag 1 ska ett förvaltningsbeslut om identifiering av en kritisk aktör fattas av det ministerium till vars ansvarsområde ärendet hör ( behörigt ministerium) . Omprövning av beslutet kan begäras. Kommissionen kan på grundval av samråd konstatera att en kritisk aktör ska betraktas som en kritisk aktör av särskild europeisk betydelse, men då förutsätts det att aktören först har identifierats som kritisk enligt 13 §, att den tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater, och att den har underrättats om detta. Tillsynsmyndigheten kan fatta ett tillsynsbeslut där den kritiska aktören åläggs att avhjälpa bristerna eller försummelsen inom en utsatt tid. I 25 § i lagförslaget föreskrivs det att omprövning får begäras i beslut som avses i denna lag och att bestämmelser om begäran om omprövning finns i förvaltningslagen. På ändringssökande tillämpas lagen om rättegång i förvaltningsärenden (808/2019). På vite och hot om tvångsutförande tillämpas viteslagen.  

I 22 § i lagförslag 1 föreskrivs det om försummelseavgift, i 23 § om avstående från försummelseavgift och i 24 § om verkställighet av försummelseavgift. Det är fråga om betydande utövning av offentlig makt som endast kan utövas av en myndighet. Grundlagsutskottet har i sitt utlåtande GrUU 43/2013 rd konstaterat att enligt 2 § 3 mom. i grundlagen ska de allmänna grunderna för administrativa påföljder bestämmas i lag eftersom det innebär utövning av offentlig makt att påföra en sådan avgift. Utskottet har också ansett att det är fråga om betydande utövning av offentlig makt. Lagen måste exakt och tydligt föreskriva om grunderna för betalningsskyldigheten och avgiftens storlek, rättsskyddet för den betalningsskyldige och grunderna för verkställigheten av lagen. Grundlagsutskottet har också ansett att även om kravet på exakthet enligt den straffrättsliga legalitetsprincipen i grundlagens 8 § inte som sådant gäller administrativa påföljder kan det allmänna kravet på exakthet ändå inte åsidosättas i ett sådant sammanhang (GrUU 43/3 rd, s. 3). Grundlagsutskottet har understrukit att bestämmelser om administrativa sanktioner ska uppfylla proportionalitetskraven ( GrUU 28/2014 rd , GrUU 15/2014 rd ). Påföljden måste således stå i rätt proportion till gärningens art eller dess skadlighet. Även i sitt utlåtande om en proposition med förslag till lagstiftning som kompletterar EU:s allmänna dataskyddsförordning har grundlagsutskottet konstaterat att sanktionsavgifterna enligt förordningen är betydande och kan leda till problem med proportionaliteten, vilket framhäver kraven på rättssäkerhet. Vidare konstaterar grundlagsutskottet att i förordningens artikel 83.2 återfinns i och för sig de faktorer som i varje enskilt fall ska beaktas när påföljdsbeloppet bedöms. Prövningsrätten är dock betydande när det gäller hur faktorerna förhåller sig till varandra. Förmodligen kommer innehållet i villkoren att preciseras i framtida rättspraxis (GrUU 14/2018 rd s. 18). Vidare fäster grundlagsutskottet uppmärksamhet vid att rättssäkerhetsintresset i fråga om de föreslagna administrativa påföljdsavgifterna är starkt accentuerat, med hänsyn till att påföljdsavgiften är sträng och har karaktär av sanktion. De mycket stora administrativa påföljdsavgifter som dataskyddsförordningen tillåter kan inte jämställas med de administrativa påföljder som myndigheterna i nuläget påför. Utskottet ansåg att ett kollegialt organ bör ges i lagfäst uppdrag att besluta om administrativa påföljdsavgifter (GrUU 14/2018 rd, s. 19).  

I lagförslag 1 är det motiverat att ge tillsynsmyndigheten befogenheten att påföra försummelseavgift, eftersom myndigheten bör anses ha de bästa förutsättningarna och sakkunskapen att bedöma de omständigheter som ligger till grund för påförandet.  Den försummelseavgift som tillsynsmyndigheten kan påföra enligt lagförslaget uppgår till högst 20 000 euro, vilket inte torde kunna anses vara ett betydande belopp om det jämförs med t.ex. påföljderna enligt NIS 2-direktivet och det inte har kopplats till exempelvis omsättningens storlek. Den högsta avgiften är avsevärt stor och kan bli problematisk med avseende på proportionaliteten. En förutsättning enligt den föreslagna lagen är att den samhällsviktiga tjänsten tillhandahålls oavbrutet och att detta främjas. Försummelseavgift kan påföras, om den kritiska aktören uppsåtligen eller av grov oaktsamhet försummar att göra en riskbedömning enligt 14 § i lagförslag 1, vidta åtgärder enligt 15 § eller göra en anmälan om en incident enligt 16 §. Avgiften ska påföras av tillsynsmyndigheten och det är inte fråga om någon hög avgift. Tillsynsmyndighetens befogenheter ska avgränsas från de omständigheter på grundval av vilka en avgift påförs eller inte påförs.Ur rättssäkerhetssynvinkel är det inte problematiskt att tillsynsmyndigheten har rätt att påföra en avgift med stöd av 22 §, med beaktande av omständigheterna i fallet och förfarandets art samt de omständigheter som nämns i bestämmelsen, såsom försummelsens varaktighet, huruvida det är fråga om en upprepad försummelse, underlåtenhet att underrätta om betydande avvikelser, underlåtenhet att avhjälpa brister trots beslut av tillsynsmyndigheten och åtgärder som vidtagits för att förhindra eller begränsa skadan eller att påföra en försummelseavgift med stöd av de kriterier som anges i 23 § i lagförslaget, och det krävs inte något kollegialt organ med hänsyn till avgiftens maximala storlek. Enligt den föreslagna 22 § kan försummelseavgift inte påföras en kritisk aktör som är en statlig myndighet, ett statligt affärsverk, ett välfärdsområde, en kommunal myndighet eller ett självständigt offentligrättsligt organ. Grundlagsutskottet har behandlat lagstiftningen om påföljdsavgifter i förhållande till myndigheterna. Administrativa påföljdsavgifter kan inte påföras någon som omfattas av tjänsteansvar (GrUU 14/2018 rd, s. 20; GrUU 37/2021 rd, s. 12). Bestämmelserna i 23 § i lagförslaget är av betydelse också med avseende på den s.k. ne bis in idem-regeln, som har beaktats i 23 § 2 mom. Enligt den får påföljdsavgift inte påföras den som misstänks för samma gärning i en förundersökning, en åtalsprövning eller ett brottmål som behandlas i domstol eller den som för samma gärning har meddelats en lagakraftvunnen dom. Grundlagsutskottet har fäst avseende vid den s.k. ne bis in idem-regeln i artikel 4 om administrativa straffpåföljder i tilläggsprotokoll 7 till Europakonventionen (GrUU 2/2017 rd s. 5–6). I 24 § i lagförslaget konstateras att bestämmelser om verkställigheten av påföljdsavgifter finns i lagen om verkställighet av böter och att en påföljdsavgift preskriberas efter fem år.  

De aktörer som med stöd av CER-direktivet har identifierats som kritiska aktörer ska oberoende av storlek omfattas av tillämpningsområdet för NIS2-direktivet, inklusive påföljder.  

I förvaltningsmyndighetens verksamhet, dvs. när tillsynsmyndigheten behandlar ett ärende, ska garantierna för god förvaltning enligt 21 § 2 mom. i grundlagen iakttas.  

11.6  Skyddet för personuppgifter

Enligt 10 § i grundlagen är vars och ens privatliv, heder och hemfrid tryggade. Närmare bestämmelser om skydd för personuppgifter utfärdas genom lag. 

Skyddet enligt 10 § i grundlagen kompletteras av skyddet för privatlivet enligt artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) samt av skyddet för privatlivet enligt artikel 7 och skyddet för personuppgifter enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. I Europadomstolens rättspraxis har artikel 8 om skydd för privatlivet i Europakonventionen ansetts omfatta även skyddet för personuppgifter. 

Enligt artikel 8 i grundrättighetsstadgan ska personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Enligt artikel 52.1 i grundrättighetsstadgan ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Enligt artikel 52.3 i grundrättighetsstadgan ska bestämmelserna i stadgan, i den mån de motsvarar de rättigheter som garanteras i Europakonventionen, ha samma innebörd och räckvidd som i konventionen. 

Grundlagsutskottet har i sitt utlåtande om lagstiftning som kompletterar dataskyddsförordningen (GrUU 14/2018 rd, s. 4) sett det som motiverat att justera sin tidigare ståndpunkt om vilka regleringsobjekt som är viktiga med tanke på skyddet av personuppgifter. Utskottet anser att dataskyddsförordningens detaljerade bestämmelser, som tolkas och tillämpas i enlighet med de rättigheter som garanteras i EU:s stadga om de grundläggande rättigheterna, över lag utgör en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen. Korrekt tolkade och tillämpade motsvarar bestämmelserna i förordningen enligt utskottets uppfattning också den nivå på skyddet för personuppgifter som bestäms utifrån Europakonventionen. Grundlagsutskottet har i sin praxis sett det som viktigt att det i den mån som EU-lagstiftningen kräver reglering på det nationella planet eller möjliggör sådan tas hänsyn till de krav som de grundläggande fri- och rättigheterna och de mänskliga rättigheterna ställer när det nationella handlingsutrymmet utnyttjas (se GrUU 25/2005 rd). Utskottet har därför framhållit att det finns anledning att särskilt i fråga om bestämmelser som är av betydelse med hänsyn till de grundläggande fri- och rättigheterna tydligt klargöra ramarna för det nationella handlingsutrymmet (GrUU 26/2017 rd, s. 42, GrUU 2/2017 rd, s. 2, GrUU 44/2016 rd, s. 4). 

När behandlingen av personuppgifter baseras på artikel 6.1 c eller 6.1 e i den allmänna dataskyddsförordningen, som beskrivs ovan, ska medlemsstatens lagstiftning enligt artikel 6.3 uppfylla ett mål av allmänt intresse och vara proportionellt mot det legitima mål som eftersträvas. Genom den föreslagna lagen genomförs CER-direktivet, som syftar till att stärka kritiska entiteters motståndskraft genom att fastställa harmoniserade minimiregler för kritiska entiteter och bistå entiteterna genom stöd och tillsynsåtgärder. Med hänsyn till direktivets syfte och mål kan man konstatera att det nationella genomförandet förutsätter specialbestämmelser om skyddet av personuppgifter, som kan utfärdas inom det regleringsutrymme som dataskyddsförordningen tillåter. Den behandling av personuppgifter som ska göras med stöd av lagförslag 1 grundar sig i regel på artikel 6.1 e i allmänna dataskyddsförordningen, dvs. på utförande en uppgift av allmänt intresse eller på den personuppgiftsansvariges myndighetsutövning. Den behandling av personuppgifter som Rättsregistercentralen utför med stöd av lagförslag 3 och 4 grundar sig på artikel 6.1 c i dataskyddsförordningen, det vill säga på en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Direktivets och den föreslagna lagens mål kan anses uppfylla kravet på ett mål av allmänt intresse. De föreslagna bestämmelserna kan också anses vara proportionella mot det mål som eftersträvas med beaktande av de mål som uppnås genom lagen och som närmare beskrivs i denna proposition. 

Den behandling av personuppgifter som skyddspolisen utför i samband med säkerhetsutredningar av personer hör enligt 1 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018) till tillämpningsområdet för den lagen.  

Grundlagsutskottet har särskilt påpekat att inskränkningar i skyddet för privatlivet måste bedömas utifrån de allmänna villkoren för inskränkningar av de grundläggande fri- och rättigheterna (se GrUU 42/2016 rd, s. 2–3 och de utlåtanden som nämns där). Enligt den föreslagna ändringen i säkerhetsutredningslagen ska det bli möjligt att göra en normal säkerhetsutredning av person om personer som genom obehörig användning av information som erhållits i samband med arbetsuppgifter i anslutning till kritisk infrastruktur på ett betydande sätt kan äventyra statens säkerhet eller främja organiserad brottslighet. Vid en normal säkerhetsutredning av person kan bl.a. straffregisteruppgifter och underrättelser om personen användas. Förslagen innebär således en inskränkning av skyddet för privatlivet och skyddet för personuppgifter enligt 10 § 1 mom. i grundlagen. Säkerhetsutredningslagen har stiftats med grundlagsutskottets medverkan. Grundlagsutskottet har inte ansett förfarandet för säkerhetsutredning i fråga om personer eller praxisen för utlåtanden om en persons tillförlitlighet vara särskilt problematiska i konstitutionellt hänseende, men det har förutsatt att begränsningen av de grundläggande fri- och rättigheterna till följd av säkerhetsutredningsförfarandet har en godtagbar grund och är förenlig med proportionalitetskravet (GrUU 3/2014 rd, s. 2–3). De föreslagna ändringarna syftar till att motverka hot mot kritisk infrastruktur som på ett betydande sätt kan äventyra statens säkerhet eller främja organiserad brottslighet. Regleringen motverkar därmed också den s.k. insiderrisk som organiserad brottslighet utgör för kritisk infrastruktur. I propositionen anges de kategorier av personer för vilka en säkerhetsutredning får göras med motsvarande noggrannhet som i den gällande säkerhetsutredningslagen. 

I lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet åläggs hamninnehavarna en skyldighet att se till att endast personer vars oförvitlighet och tillförlitlighet har säkerställts genom en säkerhetsutredning enligt säkerhetsutredningslagen har tillgång till de kritiska uppgifter och informationssystem som avses i bestämmelsen. Lagstiftningen syftar framför allt till att motverka risker som gäller statens säkerhet och organiserad brottslighet. 

Om det i en säkerhetsutredning eller en uppföljning som avses i 51 § i säkerhetsutredningslagen framkommer uppgifter på grundval av vilka en hamninnehavare bedömer att den som utredningen gäller inte kan ges sådan åtkomst till uppgifter och informationssystem som avses i 1 mom., ska hamninnehavaren enligt förslaget vidta åtgärder för att frånta personen denna åtkomst. I detta syfte får hamninnehavaren trots sekretessbestämmelserna till arbetsgivaren lämna motsvarande information som den som utredningen gäller har rätt att få av den behöriga myndigheten enligt 6 § 1 och 3 mom. i säkerhetsutredningslagen. Uppgifter från ett personregister som den registrerade enligt lag inte har rätt till insyn i får inte lämnas ut. Exempel på sådana uppgifter är underrättelser och kriminalunderrättelser som gäller personen i fråga. Av lagen framgår exakt vilka uppgifter som får lämnas ut, och syftet med utlämnandet är att garantera arbetsgivarens och arbetstagarens rättssäkerhet, om arbetsgivaren på grundval av uppgifter som framkommit i samband med en utredning måste överväga att ändra arbetstagarens arbetsuppgifter eller i sista hand säga upp arbetstagaren. Bestämmelserna om utlämnande har således samband med 18 § 3 mom. i grundlagen enligt vilket ingen får avskedas från sitt arbete utan laglig grund. 

Det finns tungt vägande skäl till den föreslagna regleringen. Bestämmelserna är exakt och noggrant avgränsade till att omfatta personer som i sina uppgifter kan äventyra statens säkerhet eller främja organiserad brottslighet. Förslagen kan därmed också anses vara förenliga med proportionalitetskravet. 

11.7  Självstyrelse på större förvaltningsområden än kommuner

I 121 § 4 mom. i grundlagen sägs det att om självstyrelse på större förvaltningsområden än kommuner bestäms genom lag. Frågor om tryggandet av de grundläggande fri- och rättigheterna, demokratin i välfärdsområdena, självstyrelse och statlig styrning har behandlats i grundlagsutskottets utlåtande GrUU 17/2021 rd, som utskottet gav i samband med att välfärdsområdena inrättades. Grundlagsutskottet hänvisade i sitt utlåtande också till sina tidigare utlåtanden (GrUU 67/2014 rd, GrUU 75/2014 rd, GrUU 26/2017 rd, GrUU 15/2018 rd, GrUU 65/2018 rd.) 

Välfärdsområdena är offentligrättsliga samfund. Att eventuellt identifiera välfärdsområden som kritiska aktörer påverkar inte deras uppgifter eller verksamhetsområde. Åtgärderna enligt den allmänna lagen, dvs. lagförslag 1, bidrar till verksamhetens kontinuitet. Samtidigt stöder åtgärderna välfärdsområdets förmåga att säkerställa att välfärdsområdets invånares grundläggande fri- och rättigheter tillgodoses. Den föreslagna lagen kompletterar annan lagstiftning. Med stöd av 12 § i beredskapslagen ska välfärdsområdena genom beredskapsplaner och förberedelser för verksamhet under undantagsförhållanden samt genom andra åtgärder säkerställa att deras uppgifter kan skötas så väl som möjligt också under undantagsförhållanden. Beredskapsskyldigheten gäller redan under normala förhållanden. Enligt 150 § i lagen om välfärdsområden (6111/2021) ska välfärdsområdet med beredskapsplaner och förberedelser för verksamhet i störningssituationer och under undantagsförhållanden samt genom andra åtgärder se till att dess verksamhet fortsätter så störningsfritt som möjligt vid störningar under normala förhållanden samt under undantagsförhållanden. Propositionen har indirekta konsekvenser för tillgodoseendet av de grundläggande fri- och rättigheterna för välfärdsområdenas invånare. 

På de grunder som anges ovan kan lagförslagen behandlas i vanlig lagstiftningsordning.