Lausunto hallituksen esityksestä eduskunnalle laeiksi viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annetun lain muuttamisesta

Yleiset havainnot

Kuntaliitto kiittää mahdollisuudesta antaa lausunto tästä aiheesta. 

Kuntaliitto pitää hyvänä sitä, että arviontilainsäädäntö päivitetään vastaamaan toimintaympäristön vaatimuksia. Arviointitoimintaa jäsennetään ehdotetussa säädännössä aiempaa selkeämmin. Tämä parantaa julkisen hallinnon toimijoiden edellytyksiä tunnistaa ja hyödyntää arviointitoimintaa vaikuttavasti osana tietojärjestelmien ylläpitoa ja kehittämistä. 

Ehdotetun lainsäädännön sisältö, rajaukset ja vaikutusarviot on laadittu kuntakentän näkökulmasta tarkoituksenmukaisesti. Uskomme, että säädännön tavoitteet voidaan saavuttaa kuntakentän toimijoiden osalta, jos sen toimeenpanoon panostetaan riittävästi ja pitkäjänteisesti. 

Kuntaliitto kannattaa esityksen hyväksymistä, eikä esitä siihen muutoksia.

Yksityiskohtaiset havainnot

Ehdotus velvoittaa kuntaviranomaisia siltä osin kuin ne käsittelevät valtionhallinnon jakamia turvaluokka I - III tasoisia tietoja. Tällaisia tietoja tulee kuntien käsiteltäväksi hyvin vähän, jos ollenkaan. Vaikka kunnilla on vain vähäisiä tarpeita käsitellä turvaluokiteltuja tietoja, säädäntö tarjoaa kunnille hyödyllistä taustatietoa niiden käsittelyn arviointivaatimuksista. 

Ehdotus ei velvoita kuntataustaisia viranomaisia tekemään arviointeja järjestelmistä, joissa käsitellään julkisia, salassapidettäviä tai TL IV -tasoisia tietoja. Valtion viranomaiset jakavat kuntataustaisille viranomaisille tapauskohtaisesti turvaluokiteltuja tietoja liittyen esimerkiksi valmiussuunnitteluun. Tällöin turvaluokka on tyypillisesti TL IV, eikä niidenkään määrä ole merkittävä. Tiedon luovuttava taho ohjeistaa tarvittaessa sen käsittelyvaatimuksista tiedonhallintalain ja turvallisuusluokitteluasetuksen mukaisesti.

Hallituksen esityksen vaikutusten arviointi on toteutettu kuntien osalta tarkoituksenmukaisesti. Ehdotetulla säädännöllä ei ole juurikaan suoria kustannusvaikutuksia kuntatoimijoihin. Lainsäädännöllä voi olla kunnille epäsuoria kustannusvaikutuksia informaatio-ohjausvaikutuksesta johtuen. Uuden säädännön myötä kuntatoimijat ymmärtävät aiempaa paremmin arviointien merkityksen osana tietoturva- ja varautumistyötä. Tämä voi johtaa arviointien hyödyntämiseen aiempaa laajemmin - kuitenkin hallitusti ja fokusoidusti, johtuen sääntelyn kuntien kannalta mahdollistavasta luonteesta. 

Kustannustehokkuuden ja turvallisuuden optimoimiseksi, kuntakentän kriittisten tietojärjestelmien tietoturvallisuuden ja varautumisen arviointia tulisi toteuttaa ennen kaikkea yhteisarviointeina kansallisella tai alueellisella tasolla - yksittäisten tiedonhallintayksiköiden (eli kuntien) tekemien arviointien sijasta. Niiden tueksi tarvittaisiin myös uusia kansallisia toimintamalleja. Ehdotettu lainsäädäntö ei estä tällaista yhteistyötä arvioinneissa.

Ehdotetun säädännön kuntatoimijoita koskevan informaatio-ohjauksen vaikuttavuus ei toteudu ilman riittävää, pitkäjänteistä lainsäädännön jalkautustyötä arviointitoimintaa ohjaavien ministeriöiden ja virastojen taholta. Informaatio-ohjausta tulisi toteuttaa jalkautusvaiheessa laaja-alaisesti muun muassa suosituksilla, koulutuksella ja neuvonnalla.  

Onnistunut toimeenpano edellyttää sitä tukevien toimenpiteiden kohdentamista riittävässä määrin valtionhallinnon lisäksi myös muihin toimijaryhmiin kuten hyvinvointialueisiin ja kuntakentän toimijoihin, arviointipalveluita tarjoaviin yrityksiin sekä arviointien tyypillisiin kohteisiin eli kriittisiä ICT-palveluita tarjoaviin yrityksiin. Lisäksi sidosryhmien välillä tarvitaan pitkäjänteisiä yhteistyörakenteita sekä monitasoista, vastavuoroista viestintää. 

Annamme mielellämme lisätietoja lausunnostamme. 

SUOMEN KUNTALIITTO

Markus Pauni
strategia- ja kehitysjohtaja

Martti Setälä
erityisasiantuntija