295036
Hallituksen esitys Eduskunnalle laeiksi kansainvälisis- tä tietoturvallisuusvelvoitteista annetun lain sekä viestin- tähallinnosta annetun lain 2 §:n muuttamisesta
ESITYKSEN PÄÄASIALLINEN SISÄLTÖ Esityksessä ehdotetaan kansainvälisistä tie-
toturvallisuusvelvoitteista annettua lakia muutettavaksi. Esityksen mukaan suojelupo- liisille annettaisiin tehtäväksi huolehtia kan- sainvälisen tietoturvallisuusvelvoitteen pe- rusteella tehtävästä elinkeinonharjoittajan luotettavuuden selvittämisestä sekä sen pe- rusteella tehdyistä arvioista muissa kuin puo- lustushallinnon alaan kuuluvissa asioissa.
Pääesikunta vastaa nykyisen lain mukaan selvitysten laadinnasta kaikilta osin. Käytän- nössä tehtävät niin sanotun siviilipuolen asi- oissa ovat siirtyneet laissa olevan valtuutuk- sen nojalla tehdyn pääesikunnan ja suojelu- poliisin välisellä sopimuksella suojelupolii- sille.
Esityksessä ehdotetaan lain salassapito- säännöksen muotoilua uudelleen. Ehdotuksen mukaan salassapitovelvollisuuden laajuus olisi riippuvainen siitä, mitä kansainvälinen tietoturvallisuusvelvoite kulloinkin edellyt- tää.
Tietojärjestelmien ja tietoliikennejärjestely- jen turvallisuuteen liittyvistä arviointitehtä- vistä vastaavaksi viranomaiseksi laissa sää- dettäisiin Viestintävirasto. Uuden tehtävän vuoksi muutettaisiin myös viestintähallinnos- ta annettua lakia.
Ehdotetut lait ovat tarkoitetut tulemaan voimaan mahdollisimman pian niiden tultua hyväksytyiksi ja vahvistetuiksi.
—————
SISÄLLYS
ESITYKSEN PÄÄASIALLINEN SISÄLTÖ...1
SISÄLLYS...2
YLEISPERUSTELUT ... 3
1 NYKYTILA JA SEN ARVIOINTI ...3
2 ESITYKSEN TAVOITTEET JA KESKEISET EHDOTUKSET ...4
3 ESITYKSEN VAIKUTUKSET...4
3.1 Taloudelliset ja henkilöstövaikutukset ...4
3.2 Vaikutukset viranomaisten toimintaan...5
3.3 Vaikutukset yritysten toimintaan ...5
4 ASIAN VALMISTELU ...5
5 MUITA ESITYKSEEN VAIKUTTAVIA SEIKKOJA...5
YKSITYISKOHTAISET PERUSTELUT...6
1 LAKIEHDOTUSTEN PERUSTELUT...6
1.1 Laki kansainvälisistä tietoturvallisuusvelvoitteista ...6
1.2 Laki viestintähallinnosta ...7
2 SUHDE PERUSTUSLAKIIN JA SÄÄTÄMISJÄRJESTYS ...8
3 VOIMAANTULO...8
LAKIEHDOTUKSET ...9
Laki kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muuttamisesta...9
Laki viestintähallinnosta annetun lain 2 §:n muuttamisesta ...11
LIITE ...12
RINNAKKAISTEKSTIT ...12
Laki kansainvälistä tietoturvallisuusvelvoitteista annetun lain muuttamisesta ...12
Laki viestintähallinnosta annetun lain 2 §:n muuttamisesta ...15
YLEISPERUSTELUT
1 N y k y t i l a j a s e n a r v i o i n t i
Laissa kansainvälisistä tietoturvallisuus- velvoitteista (588/2004) säädetään viran- omaisten toimenpiteistä kansainvälisten tie- toturvallisuusvelvoitteiden toteuttamiseksi.
Lain 4 §:n mukaan ulkoasiainministeriö toimii kansainvälisten tietoturvallisuusvel- voitteiden toteuttamisessa Suomen kansalli- sena turvallisuusviranomaisena (National Se- curity Authority, NSA). Ulkoasiainministeri- össä tehtävää hoitaa valtiosihteerin alaisuu- dessa toimiva kansallisen turvallisuusviran- omaisen yksikkö. Puolustusministeriö, pää- esikunta ja suojelupoliisi voivat toimia kan- sainvälisissä tietoturvallisuusvelvoitteissa tarkoitettuina määrättyinä turvallisuusviran- omaisina (Designated Security Authority, DSA).
Suojelupoliisi ja pääesikunta huolehtivat henkilöiden taustojen selvittämisestä turvalli- suusselvityksistä annetun lain (177/2002) no- jalla. Turvallisuusselvityksistä päättää maini- tun lain 5 §:ssä olevan pääsäännön mukaan suojelupoliisi. Turvallisuusselvityksen teke- misestä päättää pääesikunta, jos hakija kuu- luu puolustushallinnon alaan tai hoitaa puo- lustushallinnon antamaa tehtävää.
Yhteisöturvallisuusselvitysmenettelyä kos- kevat säännökset kansainvälisistä tietoturval- lisuusvelvoitteista annetussa laissa tulevat sovellettaviksi tilanteessa, jossa toinen sopi- muspuoli tai siellä kotipaikkaansa pitävä yri- tys on toteuttamassa hankintaa, jos hankinta- kilpailuun osallistuminen tai sopimuksen to- teuttaminen edellyttää pääsyä erityissuojatta- vaan tietoaineistoon. Tällaisia sopimuksia kutsutaan turvallisuusluokitelluiksi sopimuk- siksi.
Yhteisöturvallisuusselvitykset hoitaa voi- massa olevan kansainvälisistä tietoturvalli- suusvelvoitteista annetun lain 12 §:n mukaan pääesikunta riippumatta siitä, onko kysymys puolustukseen liittyvistä hankkeista tai niin sanotun siviilipuolen hankkeista. Ratkaisua
pidettiin luontevana lakia valmisteltaessa, koska pääesikunnalla on laaja kokemus yri- tysten turvallisuusselvitysten laadinnassa ja koska lakia säädettäessä ei ollut vielä var- muutta siitä, kuinka kansainvälisten tietotur- vallisuusvelvoitteiden hoitaminen järjeste- tään kokonaisuudessaan.
Suojelupoliisin henkilöstöä on koulutettu yhteistyössä pääesikunnan kanssa yhteisötur- vallisuusselvitysten laadintaan. Turvallisuus- selvityksistä annetun lain 5 §:n 2 momentin mukaan kansallinen turvallisuusviranomai- nen ja tehtävään määrätyt turvallisuusviran- omaiset voivat sen estämättä, mitä muun mu- assa toimivallasta yhteisöturvallisuusselvitys- ten laadinnasta säädetään, sopia tietyn tehtä- vän tai tehtäväkokonaisuuden hoitamisesta toisen turvallisuusviranomaisen lukuun, jos järjestely on tarpeen tehtävien hoitamiseksi tarkoituksenmukaisesti, taloudellisesti ja jou- tuisasti. Pääesikunta ja suojelupoliisi ovatkin sopineet yhteisöturvallisuusselvitysten laa- dinnan siirtymisestä suojelupoliisille niin sa- notuissa siviilihankkeissa. Suojelupoliisi on hoitanut näitä tehtäviä heinäkuusta 2009 al- kaen.
Kansainvälisistä tietoturvallisuusvelvoit- teista annetussa laissa ei ole määritelty viran- omaista, jonka tehtävänä olisi arvioida tieto- järjestelmien ja tietoliikennejärjestelyjen tur- vallisuutta. Tietoliikenneturvallisuuteen liit- tyvistä tehtävistä vastaavaa viranomaista kut- sutaan kansainvälisen terminologian mukaan tietoliikenneturvallisuusviranomaiseksi (Na- tional Communications Security Authority, NCSA).
Sen, että Suomesta puuttuu viranomainen, jonka tehtävänä on arvioida tietoliikennejär- jestelyjen ja tietojärjestelmien turvallisuutta, on katsottu haittaavan Suomen osallistumista kansainväliseen yhteistyöhön. Toimivaltaisen viranomaisen puuttuminen voi vaikeuttaa myös suomalaisten tietotekniikka-alan toimi- joiden osallistumista kansainvälisiin tarjous- kilpailuihin. Ilman kansallisen tietoliikenne-
turvallisuusviranomaisen lausuntoa suoma- laiset toimijat eivät voi osallistua kansainvä- lisiin tarjouskilpailuihin. Kansallisen tietolii- kenteen ja tietojärjestelmien tietoturvalli- suusviranomaisen antamat lausunnot voivat koskea esimerkiksi vientiin tarjottavien sa- lausjärjestelmien ja salauslaitteiden turvalli- suustasoa.
Voimassa olevassa laissa kansainvälisen tietoturvallisuussopimuksen tai Suomea sito- van säädöksen mukaisesti Suomeen toimite- tut turvallisuusluokitellut tiedot ovat salassa pidettäviä (6 §). Velvoite on osoittautumassa liian kattavaksi sellaisissa tilanteissa, joissa toinen sopimuspuoli ei takaa vastaavantasois- ta suojaa.
2 E s i t y k s e n t a v o i t t e e t j a k e s k e i s e t e h d o t u k s e t
Ehdotettujen säännösten tarkoituksena on kehittää kansainvälisten tietoturvallisuusvel- voitteiden hoitamista.
3 E s i t y k s e n v a i k u t u k s e t
3.1 Taloudelliset ja henkilöstövaikutuk- set
Esitykseen sisätyvien ehdotusten mukaan suojelupoliisin ja Viestintäviraston tehtävät laajenisivat nykyisestä.
Viestintäviraston uusissa tehtävissä on ky- symys kansainvälisten luokiteltua tietoa kä- sittelevien tieto- ja tiedonvälitysjärjestelmien arvioinnista.
Esitettävissä ei ole tarkkoja arvioita siitä, kuinka suuri taloudellinen hyöty kansallisen tietoliikenneturvallisuusviranomaisen tehtä- vien järjestämisellä on sen vuoksi, että teolli- suuden kilpailuasema turvataan ja mahdollis- tetaan yritysten osallistuminen kansainväli- siin tarjouskilpailuihin. Ulkoasiainministeri- ön asettaman kansallisen turvallisuusviran- omaisen yhteistyöryhmän mukaan varovai- sestikin arvioiden menetettyjen kauppojen kokonaisarvo liikkuu useissa kymmenissä miljoonissa euroissa. Kansallisen tietoliiken- teen ja tietojärjestelmien tietoturvallisuusvi-
ranomaisen tehtävien järjestämisellä voidaan siten arvioida olevan merkittävä kaupallinen ja vientiteollinen intressi.
Toiminnan resurssien tarvetta on täysin uu- tena toimintana hyvin vaikeaa arvioida ko- konaisuutena täsmällisesti. Jäljempänä esitet- ty resurssien tarve perustuu Viestintäviraston tähän mennessä toteutuneisiin tietoliikenteen ja tietojärjestelmien tietoturvallisuusviran- omaisen tehtäviin sekä saatuihin tietoihin muiden pohjoismaisten tietoliikenneturvavi- ranomaisten toiminnasta.
Viestintäviraston arvion mukaan uusien tehtävien suorittaminen tulisi aloittaa porras- tetusti. Toiminnan ollessa täysimääräisesti käynnissä kokonaiskustannusten on arvioitu olevan 1 650 000 euroa vuodessa. Valtion ta- lousarviossa vuodelle 2010 Viestintävirastol- le on varattu määräraha tietoliikenteen ja tie- tojärjestelmien tietoturvallisuusviranomaisen tehtävien hoitoon. Viestintävirasto toimii ta- lousarvion, kehyspäätöksen ja tuottavuusoh- jelman mukaisesti tarvittaessa uudelleen kohdentaen määrärahoja ja henkilöstöä. Eh- dotetuilla laeilla ei siten olisi välittömiä val- tion talousarvioon kohdistuvia vaikutuksia.
Suojelupoliisi hoitaisi ehdotettujen sään- nösten mukaan vastaisuudessa yhteisöturval- lisuusselvitysten laadinnan ja niihin liittyvät arvioinnit niin sanotuissa siviilipuolen han- kinnoissa.
Suomi on solminut jatkuvasti uusia Suo- men ulkomaan viennille tärkeitä kahdenväli- siä tietoturvallisuussopimuksia. Tekeillä on myös pohjoismainen tietoturvallisuussopi- mus. Sopimukset menettävät kuitenkin mer- kityksensä ellei niiden täytäntöönpano ole sujuvaa. Siksi kansainvälisten tietoturvalli- suusvelvoitteiden määrän jatkuvasti kasvaes- sa on perusteltua, että pääesikunta jakaa osan toimintavastuistaan suojelupoliisille, jossa jo on asiaan liittyvää erityisosaamista sekä tur- vallisuusselvitysmenettelyn seurauksena hy- vät ja toimivat suhteet Suomen keskeisiin vientiyrityksiin. Pääesikunta jatkaisi yhteisö- turvallisuusselvitysten tekemistä omalla eri- tyisosaamisalueellaan puolustusteollisuuden alalla.
Tehtävien hoitaminen suojelupoliisissa si- too resursseja noin 550 000 euron verran vuodessa. Esitetty arvio perustuu tähän mennessä toteutuneiden yhteisöturvallisuus-
selvitysten määrään. Yhteisöturvallisuussel- vityksistä on vastaisuudessa tarkoitus periä maksuperustelain mukainen maksu. Perittä- vien maksujen arvioidaan kattavan kustan- nukset kolmen vuoden kuluessa toiminnan aloittamisesta. Lakiehdotuksesta aiheutuvat kustannukset ovat katettavissa sisäasiainmi- nisteriön hallinnonalalle osoitettujen määrä- rahojen puitteissa. Ehdotetuilla laeilla ei siten olisi välittömiä valtion talousarvioon kohdis- tuvia vaikutuksia.
3.2 Vaikutukset viranomaisten toimin- taan
Ehdotuksen mukaan pääesikunta huolehtisi edelleenkin sellaisista yhteisöturvallisuussel- vityksistä, jotka liittyvät puolustukseen. Suo- jelupoliisi hoitaisi tehtävät niin sanotuissa si- viilipuolen hankinnoissa. Tehtävänjako on tarkoituksenmukainen ottaen huomioon, että pääesikunta jo omien hankintojensa vuoksi tuntee suomalaiset puolustushankintoihin osallistuvat yritykset. Suojelupoliisi ja pää- esikunta voisivat yksittäistapauksissa vastai- suudessakin hoitaa tehtäviä toistensa lukuun kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 5 §:n mukaisesti.
Kuten aikaisemmin jo on todettu, suojelu- poliisilla on hyvät valmiudet hoitaa yhteisö- turvallisuusselvitysten laadinta niin sanotuis- sa siviilipuolen hankkeissa. Suojelupoliisi on jo käytännössä hoitanut tehtäviä heinäkuusta 2009 alkaen. Suojelupoliisi voi monin tavoin hyödyntää suojelupoliisissa jo muutoinkin olevaa kokemusta ja osaamista.
Kansainvälisten tietoturvallisuusvelvoittei- den toteuttamiseen liittyvät tietojärjestelmien ja tietoliikenteen turvallisuusasioiden asian- tuntijatehtävät osoitettaisiin Viestintävirastol- le. Tämä on luontevaa ottaen huomioon vi- raston nykyiset tehtävät.
Ehdotuksen mukaisen uudistuksen toteut- tamisella ei ole merkittävää vaikutusta suoje- lupoliisin tai Viestintäviraston organisaati- oon.
3.3 Vaikutukset yritysten toimintaan Kansallisen tietoliikenneturvallisuusviran- omaisen nimeäminen parantaa suomalaisten yritysten mahdollisuuksia osallistua sellaisiin kansainvälisiin tarjouskilpailuihin, joissa edellytetään yrityksen sijaintimaan viran- omaisen lausuntoa tai hyväksyntää tietolii- kenteen järjestelmien turvallisuudesta. Kuten edellä on todettu, kysymys voi olla taloudel- lisesti merkittävistä hankkeista.
4 A s i a n v a l m i s t e l u
Esitys on valmisteltu oikeusministeriössä yhteistyössä asian kannalta keskeisten minis- teriöiden ja muiden viranomaisten kanssa.
Valmistelu perustuu osaltaan myös ulkoasi- ainministeriön asettaman kansallisen turvalli- suusviranomaisen (NSA) yhteistyöryhmän selvityksiin ja esityksiin. Asiasta on pyydetty lausunnot sisäasiainministeriöltä, puolustus- ministeriöltä, ulkoasiainministeriöltä, liiken- ne- ja viestintäministeriöltä, suojelupoliisilta, pääesikunnalta, Viestintävirastolta ja Elin- keinoelämän keskusliitolta. Kaikissa lausun- noissa kannatettiin esityksen antamista edus- kunnalle.
5 M u i t a e s i t y k s e e n v a i k u t t a v i a s e i k k o j a
Esityksessä ehdotetaan Viestintäviraston tehtäväksi huolehtia kansainvälisistä tietotur- vallisuusvelvoitteista tietoliikenteen ja tieto- järjestelmien tietoturvallisuuteen liittyvissä asioissa. Oikeusministeriössä on valmisteilla turvallisuusselvityksiä koskevan lainsäädän- nön kokonaisuudistus. Ehdotettavaan yleisla- kiin on tarkoitus ottaa säännökset yhteisötur- vallisuusselvityksen laadinnasta. Uudistus ei kuitenkaan vaikuta nyt esitettävän hallituksen esityksen käsittelyyn, vaan tarvittavat muu- tokset kansainvälisistä tietoturvallisuusvel- voitteista annettuun lakiin toteutetaan turval- lisuusselvityksiä koskevan lainsäädännön kokonaisuudistuksen osana. Esityksillä ei kuitenkaan ole sellaista yhteyttä toisiinsa, jo- ka vaikuttaisi nyt ehdotetun lain käsittelyyn.
YKSITYISKOHTAISET PERUSTELUT
1 L a k i e h d o t u s t e n p e r u s t e l u t 1.1 Laki kansainvälisistä tietoturvalli-
suusvelvoitteista
4 §. Turvallisuusviranomaiset ja niiden tehtävät. Pykälä ehdotetaan muutettavaksi kokonaisuudessaan. Pykälän nimikettä olisi ehdotetun muutoksen johdosta muutettava kattavampaan muotoon.
Ehdotetussa 1 momentissa määriteltäisiin voimassa olevaa lakia vastaavalla tavalla kansainvälisissä tietoturvallisuusvelvoitteissa tarkoitetut kansallinen turvallisuusviran- omainen ja määrätyt turvallisuusviranomai- set. Säännöstä täydennettäisiin siten, että Viestintävirasto mainittaisiin yhtenä määrät- tynä turvallisuusviranomaisena.
Euroopan unionin edustajat ovat arvioineet Suomessa toteutettuja toimenpiteitä unionin turvallisuusluokiteltujen tietoaineistojen suo- jaamiseksi huhtikuussa 2007 tekemänsä tar- kastuksen yhteydessä.
Tarkastusraporttiin sisältyi kehotus antaa kansalliselle turvallisuusviranomaiselle vas- tuu unionin turvallisuusluokiteltujen tietoai- neistojen suojaamisesta, mukaan lukien suo- jan toteuttamiseksi toteutettujen turvallisuus- järjestelyjen tarkastukset. Tämän johdosta ehdotetaan pykälän 2 momentissa säädettä- väksi kansallisen turvallisuusviranomaisen tehtävistä. Ehdotuksen mukaan kansallisen turvallisuusviranomaisen tehtävänä on erityi- sesti ohjata ja valvoa, että tässä laissa tarkoi- tetut erityissuojattavat tietoaineistot suoja- taan ja niitä käsitellään asianmukaisesti.
Voimassa olevan lain 2 momentissa oleva asetuksenantovaltuutta koskeva säännös asi- allisesti kumoutuisi. Valtuussäännökselle ei nyt ehdotettujen muutosten vuoksi ole tarvet- ta.
Ehdotettuun 3 momenttiin otettaisiin sään- nökset määrättyjen turvallisuusviranomaisten tehtävistä. Ehdotuksen mukaan määrättyjen turvallisuusviranomaisten yleisenä tehtävänä on huolehtia kansainvälisistä tietoturvalli- suusvelvoitteista annetussa laissa säädetyistä
ja muista niille kansainvälisten tietoturvalli- suusvelvoitteista johtuvista tehtävistä. Sään- nöksessä määriteltäisiin myös määrättyjen turvallisuusviranomaisten erityistehtävät.
Ehdotuksen mukaan puolustusministeriö, pääesikunta ja suojelupoliisi toimivat kansal- lisen turvallisuusviranomaisen asiantuntijoi- na henkilöstö-, yhteisö- ja toimitilaturvalli- suuteen liittyvissä asioissa ja Viestintävirasto tietojärjestelmien ja tietoliikenteen turvalli- suuteen liittyvissä asioissa.
Uusien tehtävien uskominen Viestintävi- rastolle on tarkoituksenmukaiseksi ottaen huomioon viraston nykyisin hoitamat tehtä- vät. Viestintävirasto hoitaa käytännössä jo tällä hetkellä useita tietoliikenteen ja tietojär- jestelmien tietoturvallisuuteen kuuluvia teh- täviä. Viestintävirastossa toimii tietoturvalli- suustoiminto, CERT-FI, jonka tehtävänä on tietoliikenteeseen kohdistuvien tietoturvalli- suusloukkausten ennaltaehkäisy, havainnoin- ti, ratkaisu sekä tietoliikenteen turvallisuu- teen kohdistuvista uhkista tiedottamine.
Viestintävirasto toimii myös Pohjois-Atlantin puolustusliiton (NATO) kanssa toteutettavan rauhankumppanuus-ohjelman edellyttämänä tietoliikenteen tietoturvallisuudesta vastaava- na yhteistyötahona. Virasto on mukana myös tietoturvallisuussertifiointia koskevassa kan- sainvälisessä yhteistyössä.
Viestintävirasto toimisi kansainvälisten tie- toturvallisuusvelvoitteiden toteuttamiseksi tietojärjestelmien ja tietoliikenteen tietotur- vallisuudesta vastaavana viranomaisena.
Viestintävirasto toimisi siten tehtävissä, jotka osaltaan vastaavat tietoliikenneturvallisuu- teen liittyvistä tehtävistä vastaavan viran- omaisen (National Communications Security Authority, NCSA) tehtäviä muissa maissa.
6 §. Salassapitovelvollisuus ja tietojen käyttö. Kansainvälisiin tietoturvallisuusso- pimuksiin sisältyy säännönmukaisesti mää- räys, joka kieltää toisten sopimuspuolten lä- hettämien turvallisuusluokiteltujen tietojen luovuttamisen kolmannelle osapuolelle ilman lähettävän sopimuspuolen suostumusta (niin sanottu orginator consent -periaate). Näiden
velvoitteiden toteuttamiseksi pykälässä sää- detään nykyisin ehdoton salassapitovelvolli- suus.
Suomen käymissä sopimusneuvotteluissa on kuitenkin tullut esiin tilanteita, joissa toi- nen sopimuspuoli ei takaa sopimuksen perus- teella ehdotonta salassapitoa, vaan joissa asia jää kansalliseen lainsäädäntöön perustuvan tapauskohtaisen vahinkoedellytysharkinnan varaan. Esimerkiksi käynnissä olevissa neu- votteluissa, joissa tähdätään Euroopan unio- nin jäsenvaltioiden väliseen turvallisuus- luokiteltujen tietojen suojaa koskevaan sopi- mukseen, lähtökohtana on ollut muotoilu, jo- ka mahdollistaa tapauskohtaisen harkinnan kuitenkin siten, että lähettävän sopimuspuo- len suostumusta kunnioitetaan (E 69/2008 vp).
Tarkoituksenmukaista ei ole, että Suomi noudattaa laajempaa salassapitovelvollisuutta kuin toiset sopimuspuolet. Tästä syystä ehdo- tetaan, että pykälän 1 momenttiin otetaan lauseke, jonka mukaan salassapitovelvolli- suus olisi riippuvainen kunkin sopimuksen tai muun kansainvälisen velvoitteen sisällös- tä. Muutoksella varauduttaisiin myöhemmin käsittelyyn tuleviin kansainvälisiin sopimuk- siin. Säännös voi osaltaan selkeyttää myös si- tä, että salassapitosäännös ei estä tietojen luovuttamista silloin, kun se tapahtuu sopi- muksen mukaisesti.
12 §. Yhteisöturvallisuusselvitykset ja arvi- ot. Pykälän 1 momenttiin ehdotetaan otetta- vaksi säännös yhteisöturvallisuusselvitysten laadinnan ja siihen kuuluvan arviointitehtä- vän uudelleen järjestelystä. Ehdotuksen mu- kaan suojelupoliisi huolehtii kansainvälisen tietoturvallisuusvelvoitteen perusteella tehtä- västä elinkeinonharjoittajan luotettavuuden selvittämisestä (yhteisöturvallisuusselvitys) sekä sen perusteella tehdystä arviosta. Pää- esikunta huolehtisi tehtävästä kuitenkin sil- loin, kun kysymys on puolustukseen liitty- västä hankinnasta. Mainitut viranomaiset voivat hoitaa tehtäviä toisensa lukuun siten kuin lain 5 §:ssä säädetään.
Ehdotettu 2 momentti vastaisi nykyistä 2 momenttia. Säännökseen lisättäisiin kui- tenkin maininta siitä, että myös suojelupoliisi voisi laatia yhteisöturvallisuusselvityksen elinkeinonharjoittajan pyynnöstä. Säännöstä sovelletaan silloin, kun Suomella ei ole kah-
denkeskistä sopimusta sen maan kanssa, jos- sa hankintakilpailu järjestetään. Suojelupolii- sin ja pääesikunnan toimivaltajako määräy- tyisi ehdotetun 1 momentin mukaisesti.
Ehdotettuun 3 momenttiin otettaisiin sään- nökset selvityksen ja arvion laatimisesta siitä, täyttävätkö elinkeinonharjoittajan tietojärjes- telmät tai tietoliikenne kansainvälisistä tieto- turvallisuusvelvoitteista johtuvat vaatimuk- set. Viestintävirasto voisi laatia tällaisen sel- vityksen tai arvion osana yhteisöturvallisuus- selvitystä. Selityksessä ja arviossa on kysy- mys pykälän 1 momentin 1 kohdassa tarkoi- tetun velvoitteen toteutumisesta.
Ehdotetut säännökset merkitsevät, että ny- kyisin pykälän 3 momentissa oleva asetuk- senantovaltuus kumoutuisi. Asetuksenanto- valtuus ei ole osoittautunut välttämättömäksi ja yhteisöturvallisuusselvityksistä on tarkoi- tus säätää osana turvallisuusselvityksistä an- netun lain kokonaistarkistusta.
Ehdotettu 4 momentti olisi asiasisällöltään uusi. Sen mukaan yhteisöturvallisuusselvitys voitaisiin tehdä myös osittaisena, jos se on tarpeen kansainvälisen tietoturvallisuusvel- voitteen toteuttamiseksi. Jos selvitys ja arvi- ointi koskisivat yksinomaan tietojärjestelmi- en ja tietoliikennejärjestelyjen turvallisuutta, selvityksen ja arvioinnin tekisi Viestintävi- rasto. Viestintävirasto antaisi tällöin myös lain 14 §:ssä tarkoitetun todistuksen.
13 §. Sitoumus turvallisuustoimenpiteiden suorittamisesta. Pykälän muotoilua ehdote- taan tarkistettavaksi yhteisöturvallisuusselvi- tysten laadintaan liittyvien tehtävien uudel- leenjärjestelyjen vuoksi. Säännöstä ehdote- taan selvyyssyistä muutettavaksi myös siten, että siitä selvästi ilmenisi määrätyn turvalli- suusviranomaisen oikeus edellyttää, että elinkeinonharjoittaja suorittaa kansainvälis- ten tietoturvallisuusvelvoitteiden toteuttami- seksi tarvittavat turvallisuustoimenpiteet.
Säännöksen muotoilussa on otettu huomioon, että ehdotetun 12 §:n 4 momentissa tarkoite- tuissa tilanteissa Viestintävirasto voisi laatia ja antaa yhteisöturvallisuusselvityksen.
1.2 Laki viestintähallinnosta
2 §. Pykälän 1 kohdassa olevaan luetteloon Viestintävirastolle eri laeissa säädetyistä teh- tävistä ehdotetaan otettavaksi viittaus kan-
sainvälisistä tietoturvallisuusvelvoitteista an- nettuun lakiin.
2 S u h d e p e r u s t u s l a k i i n j a s ä ä t ä - m i s j ä r j e s t y s
Ehdotettavalla lailla kansainvälisistä tieto- turvallisuusvelvoitteista annetun lain muut- tamisesta on liittymäkohtia perustuslain 12 §:n 2 momenttiin.
Kansainvälisissä sopimuksissa olevien sa- lassapitomääräysten on katsottu muodosta- van välttämättömän perusteen rajoittaa perus- tuslain 12 §:n 2 momentissa säädettyä jul- kisuusperiaatteen mukaista tiedonsaantioike- utta (PeVL 39/1997). Kansainvälisistä tieto- turvallisuusvelvoitteista annettua lakia ehdo- tetaan muutettavaksi siten, että salassapito- velvollisuuden laajuus olisi riippuvainen
kansainvälisessä sopimuksessa tai muussa kansainvälisessä velvoitteessa osoitetusta sa- lassapitovelvollisuudesta. Siten ehdotus, ai- nakin teoriassa, laajentaa julkisuutta nykyi- sestä. Hallituksen käsityksen mukaan lakieh- dotus ei merkitse sellaista puuttumista jul- kisuusperiaatteen mukaiseen tiedonsaantioi- keuteen, joka loukkaisi perustuslain 12 §:n 2 momentissa säädettyä oikeutta.
Edellä olevan perusteella katsotaan, että la- kiehdotus voitaisiin hyväksyä tavallisen lain säätämisjärjestyksessä.
3 V o i m a a n t u l o
Esitykseen sisältyvät lait ehdotetaan tule- maan voimaan mahdollisimman pian.
Edellä esitetyn perusteella annetaan Edus- kunnan hyväksyttäviksi seuraavat lakiehdo- tukset:
Lakiehdotukset
1.
Laki
kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muuttamisesta Eduskunnan päätöksen mukaisesti
muutetaan kansainvälisistä tietoturvallisuusvelvoitteista 24 päivänä kesäkuuta 2004 annetun lain (588/2004) 4 §, 6 §:n 1 momentti sekä 12 ja 13 § seuraavasti:
4 §
Turvallisuusviranomaiset ja niiden tehtävät Ulkoasiainministeriö toimii kansainvälisten tietoturvallisuusvelvoitteiden toteuttamisessa Suomen kansallisena turvallisuusviranomai- sena. Puolustusministeriö, pääesikunta, suo- jelupoliisi ja Viestintävirasto toimivat kan- sainvälisissä tietoturvallisuusvelvoitteissa tarkoitettuina määrättyinä turvallisuusviran- omaisina.
Kansallisen turvallisuusviranomaisen teh- tävänä on erityisesti ohjata ja valvoa, että täs- sä laissa tarkoitetut erityissuojattavat tietoai- neistot suojataan ja niitä käsitellään asian- mukaisesti.
Määrätyt turvallisuusviranomaiset huoleh- tivat niille tässä laissa säädetyistä ja muista niille kansainvälisistä tietoturvallisuusvel- voitteista johtuvista tehtävistä. Puolustusmi- nisteriö, pääesikunta ja suojelupoliisi toimi- vat kansallisen turvallisuusviranomaisen asi- antuntijoina henkilöstö-, yhteisö- ja toimitila- turvallisuutta koskevissa asioissa sekä Vies- tintävirasto tietojärjestelmien ja tietoliiken- teen tietoturvallisuutta koskevissa asioissa.
6 §
Salassapitovelvollisuus ja tietojen käyttö Erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvalli- suusvelvoitteesta muuta johdu.
— — — — — — — — — — — — — —
12 §
Yhteisöturvallisuusselvitykset ja arviot Suojelupoliisi huolehtii kansainvälisen tie- toturvallisuusvelvoitteen perusteella tehtä- västä 1 §:n 2 momentissa tarkoitetun elinkei- nonharjoittajan luotettavuuden selvittämises- tä (yhteisöturvallisuusselvitys) sekä sen pe- rusteella tehdystä arviosta. Pääesikunta huo- lehtii tehtävästä kuitenkin silloin, kun kysy- mys on puolustukseen liittyvästä hankinnas- ta. Selvitystä ja arviota laadittaessa on otetta- va huomioon, miten:
1) suojataan turvallisuusluokitellut tiedot oikeudettomalta ilmitulolta, muuttamiselta ja hävittämiseltä;
2) estetään asiaton pääsy tiloihin, joissa turvallisuusluokiteltuja tietoja käsitellään tai joissa harjoitetaan turvallisuusluokitellussa sopimuksessa tarkoitettua toimintaa;
3) henkilöstön ohjauksesta ja koulutuksesta huolehditaan.
Suojelupoliisi ja pääesikunta voivat toimi- alaansa kuuluvassa asiassa laatia yhteisötur- vallisuusselvityksen ja arvion, jos elinkei- nonharjoittaja on pyytänyt sitä voidakseen osallistua toisen valtion viranomaisen tai sii- nä kotipaikkaansa pitävän yrityksen järjestä- mään tarjouskilpailuun.
Viestintävirasto laatii tarvittaessa osana yh- teisöturvallisuusselvitystä selvityksen ja ar- vion siitä, täyttävätkö elinkeinonharjoittajan tietojärjestelmät ja tietoliikenteen järjestelyt kansainvälisistä tietoturvallisuusvelvoitteista johtuvat vaatimukset.
Yhteisöturvallisuusselvitys voidaan tehdä myös osittaisena, jos se on tarpeen kansain- välisen tietoturvallisuusvelvoitteen toteutta- miseksi. Jos selvitys ja arviointi koskevat yk- sinomaan tietojärjestelmien tai tietoliikenne- järjestelyjen turvallisuutta, selvityksen ja ar-
vioinnin laatii sekä sen pohjalta annettavan 14 §:ssä tarkoitetun todistuksen antaa Vies- tintävirasto.
13 §
Sitoumus turvallisuustoimenpiteiden suorit- tamisesta
Määrätyt turvallisuusviranomaiset voivat toimialaansa kuuluvaa yhteisöturvallisuus- selvitystä ja sen perusteella annettavaa arvio- ta laatiessaan edellyttää, että elinkeinonhar- joittaja sitoutuu huolehtimaan 12 §:n 1 mo- mentissa tarkoitetuista ja muista kansainvä- listen tietoturvallisuusvelvoitteiden toteutta- miseksi tarpeellisista toimenpiteistä.
———
Tämä laki tulee voimaan päivänä kuuta 20 .
Ennen lain voimaantuloa voidaan ryhtyä lain täytäntöönpanon edellyttämiin toimenpi- teisiin.
—————
2.
Laki
viestintähallinnosta annetun lain 2 §:n muuttamisesta
Eduskunnan päätöksen mukaisesti
muutetaan viestintähallinnosta 29 päivänä kesäkuuta 2001 annetun lain (625/2001) 2 §:n 1 kohta, sellaisena kuin se on laissa 620/2009, seuraavasti:
2 §
Viestintäviraston tehtävät Viestintäviraston tehtävänä on:
1) huolehtia viestintämarkkinalaissa (393/2003), radiotaajuuksista ja telelait- teista annetussa laissa (1015/2001), posti- palvelulaissa (313/2001), televisio- ja ra- diotoiminnasta annetussa laissa (744/1998), valtion televisio- ja radiora- hastosta annetussa laissa (745/1998), säh- köisen viestinnän tietosuojalaissa (516/2004), eräiden suojauksen purkujär- jestelmien kieltämisestä annetussa laissa
(1117/2001), vahvasta sähköisestä tunnis- tamisesta ja sähköisistä allekirjoituksista annetussa laissa (617/2009), kansainväli- sistä tietoturvallisuusvelvoitteista annetus- sa laissa (588/2004) sekä verkkotunnus- laissa (228/2003) sille säädetyistä tehtävis- tä;
— — — — — — — — — — — — — —
———
Tämä laki tulee voimaan päivänä kuuta 20 .
Ennen lain voimaantuloa voidaan ryhtyä lain täytäntöönpanon edellyttämiin toi- menpiteisiin.
—————
Helsingissä 30 päivänä huhtikuuta 2010
Tasavallan Presidentti
TARJA HALONEN
Oikeusministeri Tuija Brax
Liite
Rinnakkaistekstit
1.
Laki
kansainvälistä tietoturvallisuusvelvoitteista annetun lain muuttamisesta Eduskunnan päätöksen mukaisesti
muutetaan kansainvälisistä tietoturvallisuusvelvoitteista 24 päivänä kesäkuuta 2004 annetun lain (588/2004) 4 § ja sen otsikko, 6 §:n 1 momentti sekä 12 ja 13 § seuraavasti:
Voimassa oleva laki Ehdotus
4 §
Kansallinen turvallisuusviranomainen ja määrätyt turvallisuusviranomaiset Ulkoasiainministeriö toimii kansainvälisten tietoturvallisuusvelvoitteiden toteuttamisessa Suomen kansallisena turvallisuusviranomai- sena. Puolustusministeriö, pääesikunta ja suo- jelupoliisi voivat toimia kansainvälisissä tie- toturvallisuusvelvoitteissa tarkoitettuina mää- rättyinä turvallisuusviranomaisina. Suojelupo- liisi ja pääesikunta huolehtivat turvallisuus- selvitysten laadinnasta siten kuin 11 ja 12 §:ssä säädetään.
Tehtävänjaosta turvallisuusviranomaisten välillä voidaan säätää valtioneuvoston asetuk- sella.
4 §
Turvallisuusviranomaiset ja niiden tehtävät
Ulkoasiainministeriö toimii kansainvälisten tietoturvallisuusvelvoitteiden toteuttamisessa Suomen kansallisena turvallisuusviranomai- sena. Puolustusministeriö, pääesikunta, suo- jelupoliisi ja Viestintävirasto toimivat kan- sainvälisissä tietoturvallisuusvelvoitteissa tarkoitettuina määrättyinä turvallisuusviran- omaisina.
Kansallisen turvallisuusviranomaisen teh- tävänä on erityisesti ohjata ja valvoa, että tässä laissa tarkoitetut erityissuojattavat tie- toaineistot suojataan ja niitä käsitellään asianmukaisesti.
Määrätyt turvallisuusviranomaiset huoleh- tivat niille tässä laissa säädetyistä ja muista niille kansainvälisistä tietoturvallisuusvel- voitteista johtuvista tehtävistä. Puolustusmi- nisteriö, pääesikunta ja suojelupoliisi toimi- vat kansallisen turvallisuusviranomaisen asiantuntijoina henkilöstö-, yhteisö- ja toimi- tilaturvallisuutta koskevissa asioissa sekä Viestintävirasto tietojärjestelmien ja tietolii- kenteen tietoturvallisuutta koskevissa asiois- sa.
6 §
Salassapitovelvollisuus ja tietojen käyttö Erityissuojattava tietoaineisto on pidettävä salassa.
— — — — — — — — — — — — — —
6 §
Salassapitovelvollisuus ja tietojen käyttö Erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvalli- suusvelvoitteesta muuta johdu.
— — — — — — — — — — — — — —
12 §
Yhteisöturvallisuusselvitykset ja arviot Pääesikunta huolehtii kansainvälisen tieto- turvallisuusvelvoitteen perusteella tehtävistä 1 §:n 2 momentissa tarkoitetun elinkeinonhar- joittajan luotettavuuden selvittämisestä (yh- teisöturvallisuusselvitys) sekä sen perusteella tehdystä arviosta, jollei turvallisuusviran- omaisten kesken ole toisin sovittu. Selvitystä ja arviota laadittaessa on otettava huomioon, miten:
1) suojataan turvallisuusluokitellut tiedot oikeudettomalta ilmitulolta, muuttamiselta ja hävittämiseltä;
2) estetään asiaton pääsy tiloihin, joissa tur- vallisuusluokiteltuja tietoja käsitellään tai joissa harjoitetaan turvallisuusluokitellussa sopimuksessa tarkoitettua toimintaa;
3) henkilöstön ohjauksesta ja koulutuksesta huolehditaan.
Pääesikunta voi laatia yhteisöturvallisuus- selvityksen ja arvion, jos elinkeinonharjoittaja on pyytänyt sitä voidakseen osallistua toisen valtion viranomaisen tai siinä kotipaikkaansa pitävän yrityksen järjestämään tarjouskilpai- luun.
Valtioneuvoston asetuksella voidaan säätää tarkemmin yhteisöturvallisuusselvityksen laadinnasta.
12 §
Yhteisöturvallisuusselvitykset ja arviot Suojelupoliisi huolehtii kansainvälisen tie- toturvallisuusvelvoitteen perusteella tehtävis- tä 1 §:n 2 momentissa tarkoitetun elinkei- nonharjoittajan luotettavuuden selvittämises- tä (yhteisöturvallisuusselvitys) sekä sen pe- rusteella tehdystä arviosta. Pääesikunta huo- lehtii tehtävästä kuitenkin silloin, kun kysy- mys on puolustukseen liittyvästä hankinnasta.
Selvitystä ja arviota laadittaessa on otettava huomioon, miten:
1) suojataan turvallisuusluokitellut tiedot oikeudettomalta ilmitulolta, muuttamiselta ja hävittämiseltä;
2) estetään asiaton pääsy tiloihin, joissa tur- vallisuusluokiteltuja tietoja käsitellään tai joissa harjoitetaan turvallisuusluokitellussa sopimuksessa tarkoitettua toimintaa;
3) henkilöstön ohjauksesta ja koulutuksesta huolehditaan.
Suojelupoliisi ja pääesikunta voivat laatia toimialaansa kuuluvassa asiassa yhteisötur- vallisuusselvityksen ja arvion, jos elinkei- nonharjoittaja on pyytänyt sitä voidakseen osallistua toisen valtion viranomaisen tai sii- nä kotipaikkaansa pitävän yrityksen järjestä- mään tarjouskilpailuun.
Viestintävirasto laatii tarvittaessa osana yhteisöturvallisuusselvitystä selvityksen ja arvion siitä, täyttävätkö elinkeinonharjoitta- jan tietojärjestelmät ja tietoliikenteen järjes- telyt kansainvälisistä tietoturvallisuusvelvoit- teista johtuvat vaatimukset.
Yhteisöturvallisuusselvitys voidaan tehdä myös osittaisena, jos se on tarpeen kansain- välisen tietoturvallisuusvelvoitteen toteutta- miseksi. Jos selvitys ja arviointi koskevat yk-
sinomaan tietojärjestelmien tai tietoliikenne- järjestelyjen turvallisuutta, selvityksen ja ar- vioinnin laatii sekä sen pohjalta annettavan 14 §:ssä tarkoitetun todistuksen antaa Vies- tintävirasto.
13 §
Sitoumus turvallisuustoimenpiteiden suorit- tamisesta
Pääesikunta voi tehdä 1 §:n 2 momentissa tai 12 §:n 2 momentissa tarkoitetun elinkei- nonharjoittajan kanssa sopimuksen, jossa elinkeinonharjoittaja sitoutuu huolehtimaan 12 §:n 1 momentissa tarkoitetuista ja muista kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi tarpeellisista toimenpiteistä.
13 §
Sitoumus turvallisuustoimenpiteiden suorit- tamisesta
Määrätyt turvallisuusviranomaiset voivat toimialaansa kuuluvaa yhteisöturvallisuus- selvitystä ja sen perusteella annettavaa ar- viota laatiessaan edellyttää, että elinkeinon- harjoittaja sitoutuu huolehtimaan 12 §:n 1 momentissa tarkoitetuista ja muista kan- sainvälisten tietoturvallisuusvelvoitteiden to- teuttamiseksi tarpeellisista toimenpiteistä.
———
Tämä laki tulee voimaan päivänä kuuta 20 .
Ennen lain voimaantuloa voidaan ryhtyä lain täytäntöönpanon edellyttämiin toimenpi- teisiin.
———
2.
Laki
viestintähallinnosta annetun lain 2 §:n muuttamisesta Eduskunnan päätöksen mukaisesti
muutetaan viestintähallinnosta 29 päivänä kesäkuuta 2001 annetun lain (625/2001) 2 §:n 1 kohta, sellaisena kuin se on laissa 620/2009, seuraavasti:
Voimassa oleva laki Ehdotus
2 §
Viestintäviraston tehtävät Viestintäviraston tehtävänä on:
1) huolehtia viestintämarkkinalaissa (393/2003), radiotaajuuksista ja telelaitteista annetussa laissa (1015/2001), postipalvelu- laissa (313/2001), televisio- ja radiotoimin- nasta annetussa laissa (744/1998), valtion te- levisio- ja radiorahastosta annetussa laissa (745/1998), sähköisen viestinnän tietosuoja- laissa (516/2004), eräiden suojauksen purku- järjestelmien kieltämisestä annetussa laissa (1117/2001), vahvasta sähköisestä tunnista- misesta ja sähköisistä allekirjoituksista anne- tussa laissa (617/2009) sekä verkkotunnus- laissa (228/2003) sille säädetyistä tehtävistä;
sekä
— — — — — — — — — — — — — —
2 §
Viestintäviraston tehtävät Viestintäviraston tehtävänä on:
1) huolehtia viestintämarkkinalaissa (393/2003), radiotaajuuksista ja telelaitteista annetussa laissa (1015/2001), postipalvelu- laissa (313/2001), televisio- ja radiotoimin- nasta annetussa laissa (744/1998), valtion te- levisio- ja radiorahastosta annetussa laissa (745/1998), sähköisen viestinnän tietosuoja- laissa (516/2004), eräiden suojauksen purku- järjestelmien kieltämisestä annetussa laissa (1117/2001), vahvasta sähköisestä tunnista- misesta ja sähköisistä allekirjoituksista anne- tussa laissa (617/2009), kansainvälisistä tie- toturvallisuusvelvoitteista annetussa laissa (588/2004) sekä verkkotunnuslaissa (228/2003) sille säädetyistä tehtävistä;
— — — — — — — — — — — — — —
———
Tämä laki tulee voimaan päivänä kuuta 20 .
Ennen lain voimaantuloa voidaan ryhtyä lain täytäntöönpanon edellyttämiin toimenpi- teisiin.
———
