Lausuntopyyntö Euroopan unionin verkko- ja tietoturvadirektiivin täytäntöönpanoon liittyvien lakien muuttamisesta annetuista laeista

Transkriptio

1 Sosiaali ja terveysministeriö Lausunto Asia: LVM/1616/03/2016 Lausuntopyyntö Euroopan unionin verkko ja tietoturvadirektiivin täytäntöönpanoon liittyvien lakien muuttamisesta annetuista laeista Yleiset huomiot Yhteiskunnan toiminnan kannalta keskeisten palveluiden määrittäminen Toiminnanharjoittajille ehdotettavat tietoturvallisuutta koskevat riskienhallintavelvoitteet Esityksessä ehdotettaisiin tietyille yhteiskunnan toiminnan kannalta keskeisten palveluiden tarjoajille velvollisuutta huolehtia verkko ja tietojärjestelmiinsä liittyvästä riskienhallinnasta. Tavoitteena olisi varmistua, että yritykset ottaisivat tietoturvallisuuteen liittyvän riskienhallinnan osaksi normaalia toimintansa turvallisuusriskienhallintaa. Tässä on otettava huomioon sosiaali ja terveydenhuollon rakenneuudistuksen myötä tapahtuva toimialan palvelukentän monipuolistuminen. Erityisesti kilpailutettavissa toiminnoissa tulee olemaan erilaisia ja erikokoisia toimijoita, ja maakunnan on huolehdittava palveluiden kokonaisuudesta. Jokaisen toimijan on huolehdittava maakunnan ja kansallisen ohjauksen mukaisesti riskienhallinnasta, jotta toimialan palvelut voidaan tuottaa normaalioloissa ja erilaisissa häiriötilanteissa. Valvontaviranomaisen tehokkaat ja riittävät toimivaltuudet (ml. seuraamukset ja sanktiot) Edellä olevaan kohtaan viitaten riskienhallinnan velvollisuudesta tulee säätää lainsäädännössä koskemaan kaikkia toimijoita. Näin toimialan valvontaviranomaiset voivat myös antaa valvottavia sitovia päätöksiä. Verkko ja tietoturvadirektiivin mukaisen kansallisen yhteyspisteen osalta valmistelussa on arvioitu tehtävien säätämistä yhtäältä valtioneuvoston tilannekeskukselle ja toisaalta Viestintävirastolle. Keskitetyn yhteyspisteen tehtävänä on yhteydenpito, jotta voidaan varmistaa jäsenvaltion viranomaisten rajat ylittävä yhteistyö. Kansallisen yhteyspisteen muodostamisessa on huomioitava, että se tarvitsee resurssien lisäksi hyvän viranomaisten yhteistyöverkoston sekä hallinnollisesti että operatiivisesti, jotta voidaan muodostaa riittävän kyvykäs kansallinen kokonaisuus. Muut yleiset huomiot Lausuntopalvelu.fi 1/5

2 Talousveden toimittamiseen liittyvät verkko ja tietoturvapoikkeamat Luonnoksessa esitetään, että Sosiaali ja terveysalan lupa ja valvontavirasto (Valvira) toimisi tahona, jolle vesihuoltolaitos ilmoittaisi tietoturvallisuuteen liittyvästä merkittävästä häiriöstä, joiden seurauksena talousveden jakelu voi keskeytyä merkittävässä laajuudessa tai talousveden laatuvaatimusten täyttyminen voi vaarantua merkittävästi. Sosiaali ja terveysministeriön näkemyksen mukaan Valvira ei ole oikea viranomainen toimimaan verkko ja tietoturvapoikkeamiin liittyvien häiriötilanteiden vastuuviranomaisena talousveden jakelun osalta. Valvira ei ole vesihuoltolain mukainen valvontaviranomainen, joten sillä ei ole verkkoja tietoturvadirektiivin edellyttämiä toimivaltuuksia vesihuollon keskeytymiseen liittyvien häiriötilanteiden hoitamiseksi. Vesihuoltolakiin tarvittaisiin sosiaali ja terveysministeriön näkemyksen mukaan huomattavasti esitettyä laajempia muutoksia, jos Valvira nimitettäisiin verkkoja tietoturvadirektiivin mukaiseksi valvontaviranomaiseksi vesihuollon osalta. Valvira ei ole myöskään terveydensuojelulain mukainen valvontaviranomainen, joten sillä ei ole toimivaltuuksia myöskään talousveden laatupoikkeamiin liittyviin direktiivin edellyttämiin toimenpiteisiin. Terveydensuojelulain 52 :n nojalla Valviralla voi antaa määräyksiä, jotka ovat välttämättömiä terveyshaitan poistamiseksi tai sen syntymisen ehkäisemiseksi, jos terveyshaitta ulottuu laajalle alueelle tai on muutoin erityisen merkityksellinen. Laajalle alueelle ulottuvalla terveyshaitalla tarkoitetaan sitä, että esimerkiksi talousveden saastuminen ulottuu useamman kuin yhden aluehallintoviraston alueelle. Jos saastuminen ulottuu vain yhden aluehallintoviraston toimialueelle, vastaavat määräykset voi antaa aluehallintovirasto. Useimmiten vesihuoltolaitoksen toimialue ulottuu kuitenkin vain yhden aluehallintoviraston toimialueelle. Perustelumuistiossa on tuotu esille, että Valvira hoitaa jo nyt sosiaali ja terveydenhuollon osalta verkko ja tietoturvadirektiivin edellyttämiä tehtäviä. Niiden osalta Valviran rooli on kuitenkin erilainen kuin talousveden osalta, koska sosiaali ja terveydenhuollossa Valvira on valvova viranomainen toisin kuin terveydensuojelussa. Sosiaali ja terveysministeriön näkemyksen mukaan olisi tarkoituksenmukaisinta, että talousveden toimittamisen osalta Viestintävirasto nimitettäisiin verkko ja tietoturvadirektiivin mukaiseksi tahoksi, jolle laitokset tekisivät suoraan häiriöilmoitukset. Viestintäviraston ilmoituksen lisäksi häiriöilmoitukset tehtäisiin myös sosiaali ja terveysministeriön päivystysjärjestelmään. Sosiaali ja terveysministeriö esittää, että direktiivin edellyttämien toimenpiteiden suorittamiseksi Viestintäviraston tulisi ilmoituksen jälkeen olla tarvittaessa yhteydessä viranomaiseen, jolla on valtuudet antaa terveydensuojelulain 52 :n mukainen määräys terveyshaitan poistamiseksi tai sen syntymisen ehkäisemiseksi (aluehallintovirasto tai Valvira). Talousveden toimitushäiriön osalta Viestintäviraston voisi vastaavasti edellyttää olevan yhteydessä vesihuollosta vastaavaan viranomaiseen eli elinkeino, liikenne ja ympäristökeskukseen. Lausuntopalvelu.fi 2/5

3 Tarkennukset muistion tekstiin Sivu 22 Luonnoksen sivulla 22 viitataan väärään direktiiviin numeroon. Direktiivin 2000/60/EY sijasta oikea direktiivi on Euroopan neuvoston direktiivi ihmisten käyttöön tarkoitetun veden laadusta 98/83/EY, annettu 3. päivänä marraskuuta Terveydensuojelulakia ja talousveden laatuvaatimuksista ja valvontatutkimuksista annettua sosiaalija terveysministeriön asetusta 1352/2015 on muutettu. Sivun 22 tätä koskeva teksti voitaisiin kirjoittaa voimaan tulevien muutettujen säännösten mukaiseksi. Sosiaali ja terveysministeriö on antanut terveydensuojelulain 17 ja 20 :n nojalla asetuksen talousveden laatuvaatimuksista ja valvontatutkimuksista (1352/2015). Asetuksessa säädetään talousveden laatuvaatimuksista, laatutavoitteista ja desinfioinnista; menettelystä, jos talousvesi ei täytä laatuvaatimuksia tai tavoitteita; talousveden säännöllisestä valvonnasta; talousvettä toimittavan laitoksen toimintaa koskevan hakemuksen sisällöstä; talousveden terveydelliseen laatuun vaikuttavien riskien arvioinnista ja hallinnasta; talousveden radioaktiivisista aineista aiheutuvan säteilyaltistuksen rajoittamisesta ja kunnan terveydensuojeluviranomaisen häiriötilanteisiin varautumista koskevan suunnitelman sisällöstä ja laatimisesta. s kuvaillaan terveydenhuollon laitteista ja tarvikkeista annetun lain (629/2010) sisältöä voimaan astui Euroopan parlamentin ja neuvoston asetus (EU) 2017/745, annettu 5 päivänä huhtikuuta 2017, lääkinnällisistä laitteista, direktiivin 2001/83/EY, asetuksen (EY) N:o 178/2002 ja asetuksen (EY) N:o 1223/2009 muuttamisesta sekä neuvoston direktiivien 90/385/ETY ja 93/42/ETY kumoamisesta (ns. MD asetus) sekä Euroopan parlamentin ja neuvoston asetus (EU) 2017/746, annettu 5 päivänä huhtikuuta 2017, in vitro diagnostiikkaan tarkoitetuista lääkinnällisistä laitteista sekä direktiivin 98/79/EY ja komission päätöksen 2010/227/EU kumoamisesta (ns. IVDasetus). MD ja IVD asetukset korvaavat siirtymäajan jälkeen nykyiset kolme direktiiviä, jotka on implementoitu lakiin 629/2010. Asetuksissa on täsmennetty ohjelmistoja koskevaa sääntelyä. Toimijoiden on asetuksen soveltamis ja siirtymäsäännösten mukaisesti noudatettava uusia asetuksia. On myös hyvä huomioida, ettei kaikkia terveydenhuollossa käytettäviä ohjelmistoja pidetä lääkinnällisinä laitteina(terveydenhuollon laitteina) Asetuksien johdantoosassa tämä todetaan näin: On tarpeen täsmentää, että ohjelmistoja sellaisenaan, kun valmistaja on nimenomaisesti tarkoittanut ne käytettäväksi yhteen tai useampaan niistä lääketieteellisistä tarkoituksista, jotka on esitetty lääkinnällisen laitteen määritelmässä, pidetään lääkinnällisenä laitteena mutta että lääkinnällisenä laitteena ei pidetä yleisiin tarkoituksiin tarkoitettuja ohjelmistoja, vaikka niitä Lausuntopalvelu.fi 3/5

4 käytettäisiinkin terveydenhuollossa, eikä ohjelmistoja, jotka on tarkoitettu elämäntapa ja hyvinvointitarkoituksiin. Ohjelmiston pitäminen joko laitteena tai lisälaitteena ei riipu ohjelmiston sijainnista eikä ohjelmiston ja laitteen välisen liitännän tyypistä Sivu 29 Sivulla 29 mainitaan, että Valviran lisäksi muita kuntien terveydensuojeluviranomaisten ohjaukseen osallistuvia viranomaisia ovat sosiaali ja terveysministeriö ja Terveyden ja hyvinvoinnin laitos. Tätä kohtaa voisi tarkentaa. Terveydensuojelulain 4 :n mukaan sosiaali ja terveysministeriölle kuuluu terveydensuojelun yleisen suunnittelun ja valvonnan ylin johto ja ohjaus. Terveyden ja hyvinvoinnin laitos ei ole viranomainen, vaan asiantuntijalaitos. Se ei ohjaa kuntien terveydensuojeluviranomaisia, vaan voi antaa kunnille asiantuntijaapua esimerkiksi talousvesivälitteisten epidemioiden selvittämisessä. Sen sijaan aluehallintovirasto ohjaa ja valvoo terveydensuojelua toimialueellaan. Sivu 46 Sivulla 46 keskeisten vesihuoltolaitosten määritelmänä pitäisi olla laitokset, jotka toimittavat vettä vähintään 5000 kuutiometriä vuorokaudessa (ei 5000 henkilölle). Laki tietoyhteiskuntakaaren muuttamisesta Laki ilmailulain muuttamisesta Laki rautatielain muuttamisesta Laki alusliikennepalvelulain muuttamisesta Lausuntopalvelu.fi 4/5

5 Laki eräiden alusten ja niitä palvelevien satamien turvatoimista ja turvatoimien valvonnasta annetun lain muuttamisesta Laki liikenteen palveluista annetun lain muuttamisesta Laki sähkömarkkinalain muuttamisesta Laki maakaasumarkkinalain muuttamisesta Laki sähkö ja maakaasumarkkinoiden valvonnasta annetun lain muuttamisesta Laki vesihuoltolain muuttamisesta Parjanne MarjaLiisa Sosiaali ja terveysministeriö Puhto Maarit Sosiaali ja terveysministeriö Lausuntopalvelu.fi 5/5