Hallituksen esitys eduskunnalle kyberturvallisuusdirektiivin (NIS 2 -direktiivi) täytäntöönpanoa koskevaksi lainsäädännöksi

Arvoisa puhemies! Liikenne‑ ja viestintävaliokunta kannattaa kyberturvallisuuslain säätämistä. Eduskunnan liikenne‑ ja viestintävaliokunta sai torstaina 27.2. valmiiksi mietintönsä hallituksen esityksestä 57/2024. Esityksellä pannaan täytäntöön EU:n kyberturvallisuusdirektiivi eli niin sanotusti NIS 2 ‑direktiivi säätämällä uusi kyberturvallisuuslaki. Lisäksi esityksessä ehdotetaan direktiivin edellyttämiä muutoksia lähes 20 nykyiseen lakiin. Liikenne‑ ja viestintävaliokunnan mietintö on yksimielinen.

Ehdotetuilla laeilla pantaisiin täytäntöön EU:n kyberturvallisuusdirektiivi. Direktiivin tavoitteena on vahvistaa EU:n yhteistä ja jäsenvaltioiden kansallista kyberturvallisuuden tasoa yhteiskunnan toiminnan kannalta kriittisiksi katsottujen sektoreiden ja toimijoiden osalta. Jäsenvaltiot velvoitetaan asettamaan direktiivin soveltamisalaan kuuluville toimijoille velvoittavia riskienhallintatoimia kyberturvallisuushäiriöiden varalta. Uudessa laissa säädetään myös muun muassa kansallisesta kyberturvallisuusstrategiasta sekä tietoturvaloukkauksiin keskittyvästä yksiköstä, joka sijaitsisi Liikenne‑ ja viestintävirastossa. Liikenne‑ ja viestintävaliokunta pitää direktiivin toimeenpanoa hyvänä asiana. Valiokunnan mukaan kyberturvallisuuden vahvistaminen on välttämätöntä, koska digitalisaation kehityksen myötä kyberturvallisuus on yhä keskeisempi tekijä yhteiskunnan kriittisten toimintojen turvaamisessa ja kokonaisturvallisuuden takaamisessa.

Arvoisa puhemies! Esityksen mukaan sama poikkeama voi laukaista useamman yhtäaikaisen ilmoitusvelvoitteen, ja nykyisellään ilmoitusten tekemisen käytännöt ja menetelmät poikkeavat toisistaan. Hallintovaliokunta nosti lausunnossaan esiin, että erilaisiin uusiin teknologioihin, turvallisuuteen sekä tietosuojaan liittyvien ilmoitusten laatiminen voitaisiin keskittää yhteen tietoturvalliseen ilmoituskanavaan, joka vähentäisi ilmoitusvelvollisten toimijoiden hallinnollista taakkaa sekä useiden rinnakkaisten tietoturvallisten ilmoituskanavien ylläpitokustannuksia. Liikenne‑ ja viestintävaliokunta pitää saadun selvityksen mukaan tavoitetta yhteisestä tietoturvallisesta ilmoituskanavasta kannatettavana, mutta yhteisen ilmoituskanavan kehittäminen tulevaisuudessa on ennen kaikkea resurssikysymys, koska kehittäminen ja ylläpito aiheuttavat tietojärjestelmäkustannuksia.

Arvoisa puhemies! Valiokunta toteaa, että esitykseen ei sisälly erityissäännöksiä henkilötietojen tietosuojaa koskevan lainsäädännön soveltamisesta tai soveltamatta jättämisestä käsiteltäessä tietojen antamista verkkotunnusrekisteristä esimerkiksi tekijänoikeuksien osalta. Liikenne‑ ja viestintäministeriö on todennut, että esitykseen ei ole tarkoitettu sisältyvän ehdotuksia, joiden tarkoituksena olisi henkilötietojen tietosuojaa koskevaan sääntelyyn perustuen estää pääsy verkkotunnusrekisterin tietoihin NIS 2 ‑direktiivin 28(5) artiklan edellyttämästä poiketen. Lisäksi asianmukaista henkilötietojen käsittelyperustetta teollis‑ ja tekijänoikeuksien suojaamiseksi koskevat kysymykset määräytyvät muun lainsäädännön kuin nyt käsiteltävänä olevan esityksen perusteella. Valiokunta kantaa erityisesti huolta resurssien riittävyydestä viranomaisille tulevien uusien tehtävien johdosta.

Arvoisa puhemies! Mietintöön sisältyy kaksi lausumaehdotusta. Lausumaehdotusten mukaan valtioneuvoston on seurattava lain soveltamista ja sen tavoitteiden toteutumista. Lisäksi liikenne‑ ja viestintäministeriöltä edellytetään selvitystä muutoksen vaikutuksista.

Ensimmäinen lausuma: ”Eduskunta edellyttää, että valtioneuvosto seuraa tarkoin lain tavoitteiden toteutumista ja sen soveltamista sekä ryhtyy tarvittaessa toimenpiteisiin havaitsemiensa epäkohtien korjaamiseksi.”

Toinen lausuma: ”Eduskunta edellyttää, että liikenne‑ ja viestintäministeriö antaa selvityksen lain tavoitteiden toteuttamisesta ja sen soveltamisesta liikenne‑ ja viestintävaliokunnalle 31. päivään elokuuta 2026 mennessä.”

Arvoisa puhemies! Perustuslakivaliokunta on lausunnossaan edellyttänyt, että kyseistä lakiehdotusta on muutettava siten, että tiedonhallintalain 4 a lukua ei sovelleta eduskunnan virastoihin. Tällainen muutos on edellytyksenä lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä. Valiokunta on tämän vuoksi tehnyt perustuslakivaliokunnan edellyttämän muutoksen. Tämän lisäksi valiokunta on tehnyt lakiteknisiä ja muita vähemmän periaatteellisia muutoksia lakiehdotuksiin. — Kiitos.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Aittakumpu, olkaa hyvä.

Arvoisa puhemies! Kiitän liikenne‑ ja viestintävaliokunnan varapuheenjohtajaa tämän mietinnön esittelystä. — Jos tietoverkot ja sähköiset järjestelmät ja niiden kautta toteutettavat palvelut ja toiminnot romahtavat tai menevät jollakin tavalla jumiin, olemme monessa mielessä pulassa. Niin ruuantuotanto, sähkö, lämpö, pankkipalvelut, sosiaali‑ ja terveydenhuolto, maanpuolustus kuin koulutus, kaikki, ovat näistä sähköisistä toiminnoista monella tavalla hyvin riippuvaisia.

Näillä ehdotetuilla laeilla laitetaan täytäntöön EU:n kyberturvallisuusdirektiivi, jonka tavoitteena on vahvistaa Euroopan unionin yhteistä ja jäsenvaltioiden kansallista kyberturvallisuutta. Hallitusohjelmassakin todetaan, että kyberturvallisuutta ja sitä koskevaa lainsäädäntöä tullaan kehittämään. Digitalisaation kehityksen myötä kyberturvallisuus on alati keskeisempi tekijä yhteiskunnan kriittisten toimintojen turvaamisessa ja kokonaisturvallisuuden takaamisessa.

Valiokunta tosiaan pitää hyvänä tässä esityksessä omaksuttua lähestymistapaa, jossa kansallista liikkumavaraa on käytetty siten, että direktiivin täytäntöönpano ehdotetaan tehtäväksi sen vähimmäistason edellyttämällä tavalla. On hyvä, että tässä yhteydessä keskitytään direktiivin toimeenpanon edellyttämiin vaatimuksiin, kansalliseen kokonaisturvallisuuteen ja viranomaisten yhteistyön toimivuuteen. Turvallisuutta tulee vahvistaa mutta siten, että vältetään turhaa sääntelyä ja tehdään ne toimet, jotka kansallisesti ovat merkittäviä ja tärkeitä.

Resurssien riittävyys huolestuttaa valiokuntaa. Valiokunta toteaa, että viestintävirastolle on lainsäädännössä osoitettu monia uusia lakisääteisiä tehtäviä, ja virasto on tämän johdosta joutunut virtaviivaistamaan toimintaansa ja priorisoimaan tehtäviään.

Valiokunta toteaa, että on tärkeää, että yrityksillä on riittävät resurssit pitää huolta riittävästä kyberturvallisuudesta.

Tästä valiokunnan linjasta, että nykytilanteessa viranomaistoimintojen priorisointi on tärkeää, puhuimme itse asiassa tuossa edellisessäkin esityksessä, kun puhuttiin näistä ajokorttiin liittyvistä asioista, siitä, että on tärkeää keskittyä välttämättömiin, kaikkein tärkeimpiin toimintoihin, perusasioihin.

Lain keskeisen merkityksen vuoksi valiokunta pitää välttämättömänä, että liikenne‑ ja viestintäministeriö seuraa tarkoin lain tavoitteiden toteutumista, ja esittää lausumaa. Valiokunta esittää tosiaan myös lausumaa, jonka mukaan eduskunta edellyttää, että ministeriö antaa selvityksen lain tavoitteiden toteutumisesta.

Arvoisa puhemies! Tämä valiokunnan mietintö on tosiaan yksimielinen — hyvä näin.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Kokko, olkaa hyvä.

Arvoisa puhemies! Nyt käsittelyssä olevassa esityksessä ehdotetaan säädettäväksi kyberturvallisuuslaki, jolla pantaisiin täytäntöön EU:n kyberturvallisuusdirektiivi. On hyvä, että liikenne‑ ja viestintävaliokunta on nopeasti käsitellyt asian ja saanut siitä myös yksimielisen mietinnön tehtyä. Jos katsoo niitä turvallisuusuhkia, joita ei kohtaa pelkästään Suomi valtiona vaan myös suomalainen elinkeinoelämä, niin siinä mielessä tämän kyberturvallisuusstrategian implementointi Suomen lainsäädäntöön on ensiarvoisen tärkeää kansallisen turvallisuuden vahvistamiseksi, koska ne uudet uhat, joihin joudumme vastaamaan, eivät pelkästään sotilaalliset vaan myös kyberympäristössä liikkuvat uhat, ovat aivan ilmeisiä. Kun meille koko ajan tulee uutisia siitä, minkälaisia haavoittuvuuksia on esimerkiksi maksuliikenteessä, Suomen pankkijärjestelmässä, voivatko kansalaiset luottaa siihen, että silloin kun mahdollinen poikkeusolo tulee tai kriisitilanne puhkeaa, se normiarki pyörii mahdollisimman hyvin?

On myös tietysti hyvä, nyt kun EU-tasolla tilannetta katsotaan, että nimenomaan jäsenvaltioiden resurssit pyritään vahvasti harmonisoimaan ja ottamaan ne entistä tehokkaampaan käyttöön, koska ehkä viimeaikaiset viestit, mitä Atlantin takaa on tullut hallinnon vaihduttua, osoittavat sen, että nyt on syytä myös tässä asiassa Euroopan ryhdistäytyä ja kyetä seisomaan myös tässä kyberturvallisuudessa, siihen liittyvässä sääntelyssä, teknologiassa, turvallisuuskysymyksissä, omilla jaloillaan ilman välttämättä tukeutumista Yhdysvaltoihin.

Kuten edeltävä puhujakin hyvin nosti esille, myös itse kannan huolta siitä, miten hyvin meillä viranomaisten resurssit riittävät jälleen uuden lainsäädännön hoitamisessa. Siinä mielessä kyllä jaan käsityksen siitä, että toivottavasti hallitus tulee turvaamaan muun muassa viestintäviraston riittävät resurssit tulevaisuudessa.

Puhemies Jussi Halla-aho

Kiitoksia. — Edustaja Seppänen, olkaa hyvä.

Arvoisa herra puhemies! Kaikki hallituksen esitykset, jotka parantavat meidän turvallisuuttamme ja torjuvat näitä kyberuhkia, ovat tervetulleita.

Tässä esityksessä ehdotetaan tosiaan säädettäväksi kyberturvallisuuslaki, jolla pantaisiin täytäntöön EU:n kyberturvallisuusdirektiivi. Tämän direktiivin tavoitteena on nimenomaan se, että vahvistamme jäsenvaltioiden kansallista kyberturvallisuuden tasoa yhteiskunnan toiminnan kannalta kriittisiksi katsottujen sektoreiden ja toimijoiden osalta velvoittamalla jäsenvaltioita asettamaan tähän direktiivin soveltamisalaan kuuluville toimijoille tällaisia velvoittavia riskienhallintatoimia kyberturvallisuushäiriöiden varalta. Me näemme jo nyt, että tilanne on koko ajan kiristymään päin, ja on hyvä, että tässä laissa säädettäisiin myös näistä tietoturvaloukkauksia tutkivista ja niihin reagoivista yksiköistä, jotka sijaitsisivat Liikenne‑ ja viestintävirastossa, sekä tästä kansallisesta kyberturvallisuusstrategiasta ja kyberkriisin hallintakehyksestä.

On välttämätöntä, että vahvistamme tätä EU:n yhteisten jäsenvaltioiden kansallista kyberturvallisuuden tasoa tämän direktiivin tavoitteiden toteuttamiseksi. Petteri Orpon hallitusohjelman mukaisesti nyt säädettävällä kyberturvallisuuslailla on yhteyksiä tähän hallituksen esitykseen eduskunnalle laiksi yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta ja siihen liittyvistä laeista. Eli erittäin tervetullut esitys.

Puhemies Jussi Halla-aho

Kiitoksia. — Ja vielä edustaja Furuholm, olkaa hyvä.

Arvoisa puhemies! Ajattelin nyt käyttää vielä oman puheenvuoron tuon esittelypuheenvuoron lisäksi. — Kuten tässä tuli ilmi, niin tämä esityshän parantaa kyberturvallisuutta ja vahvistaa monien organisaatioiden kyberturvallisuuskäytäntöjä, joten siinä mielessä tärkeä laki, ja samalla myös alleviivaa sitä, kuinka monet yksityiset toimijat tässä yhteiskunnassa kantavat huolta meidän turvallisuudestamme, joten siinäkin mielessä on hyvä, että luomme yhteiset selkeät pelisäännöt.

Haluan nostaa tämän resurssikysymyksen vielä esille, joka nousi jo edustaja Aittakummun ja edustaja Kokon puheenvuoroissa. Kuten kävi ilmi, jatkuvasti tulee uusia velvollisuuksia ja vastuita meidän virastoille, ja se tietenkin aiheuttaa painetta siellä. Yksi asia, josta liikenne‑ ja viestintävaliokunnassa on paljon kannettu huolta, on Kyberturvallisuuskeskuksen tulevaisuus ja toiminnan laatu. On selvä, että kun tulee velvollisuuksia ja tulee vastuita, silloin välttämättömyys priorisoinnista tulee eteen. En pidä sitäkään aina kauhean terveellisenä ja hyvänä tapana, että tavallaan esimerkiksi Trafin toiminta kyberturvallisuusasioissa muuttuu ennakoivasta reaktiiviseksi ja samalla kehittäminen jää vähän vähälle, kun kaikki resurssit menevät niitten pakollisten asioiden hoitamiseen. Tämä on sellainen huoli, mikä toivottavasti tässä salissa ja muutenkin pysyy keskustelussa yllä.

Arvoisa puhemies! Loppuun vielä totean, että käsittelyn aikana asiantuntijalausunnoista nousi huoli liittyen tekijänoikeuksiin, ja kun asiaa sitten valiokunnassa käsittelimme, kävi myös ilmi, että näihin tekijänoikeuksiin liittyy monitahoisesti eri lakeja ja asiat ovat tietyllä tapaa hieman siiloutuneet eri hallinnonaloille. Eli tähän liittyen oma toivomukseni on, että tähänkin asiaan saataisiin sellaista selkeyttä tulevaisuudessa, varsinkin kun maailma kovaa vauhtia digitalisoituu ja tulee uusia palveluita ja toimintatapoja netin syövereihin ja nämä tekijänoikeusasiat nousevat entistä enemmän esille. Niin että toivon, että tähänkin asiaan tässä talossa perehdytään jatkossa entistä tarkemmin. — Kiitos.