Lausuntopyyntö Euroopan unionin verkko- ja tietoturvadirektiivin täytäntöönpanoon liittyvien lakien muuttamisesta annetuista laeista

Transkriptio

1 Viestintävirasto Lausunto Asia: LVM/1616/03/2016 Lausuntopyyntö Euroopan unionin verkko ja tietoturvadirektiivin täytäntöönpanoon liittyvien lakien muuttamisesta annetuista laeista Yleiset huomiot Yhteiskunnan toiminnan kannalta keskeisten palveluiden määrittäminen Toiminnanharjoittajille ehdotettavat tietoturvallisuutta koskevat riskienhallintavelvoitteet Valvontaviranomaisen tehokkaat ja riittävät toimivaltuudet (ml. seuraamukset ja sanktiot) Muut yleiset huomiot Viestintäviraston lausunto Euroopan unionin verkko ja tietoturvadirektiivin täytäntöönpanoon liittyvien lakien muuttamisesta annetuista laeista Liikenne ja viestintäministeriö on valmistellut luonnoksen hallituksen esitykseksi laeiksi Euroopan unionin verkko ja tietoturvadirektiivin (EU) 2016/1148 (jäljempänä NISdirektiivi) täytäntöönpanoon liittyvien lakien muuttamisesta. Ministeriön lokakuussa 2016 asettama direktiivin täytäntöönpanoa tukeva poikkihallinnollinen työryhmä julkaisi ehdotuksensa direktiivin täytäntöönpanon suuntaviivoiksi Viestintävirasto on tarkastellut HEluonnoksessa tietoyhteiskuntakaareen ehdotettavia muutoksia, jotka koskevat digitaalisia palveluita ja Viestintäviraston tehtäviä. HEluonnoksessa todetaan, että lakiehdotuksen vaikutusarvioita täydennetään lausuntokierroksen perusteella, joten Viestintävirasto on arvioinut täytäntöönpanoa tukevan työryhmän linjausten ja lakiehdotuksen vaikutuksia Viestintäviraston tehtäviin ja yhteistyöhön muiden viranomaisten kanssa. Lausuntopalvelu.fi 1/7

2 Viestintävirasto kiittää laajaalaisesta valmistelutyöstä, joka on mahdollistanut kattavan kokonaiskuvan säänneltävistä alueista. Viestintäviraston näkemyksen mukaan lakiehdotus on johdonmukainen ja selkeä, ja se luo tarkoituksenmukaisen pohjan olennaisten toimijoiden ja toimintojen tietoturvallisuuden ylläpitämiselle yhteistyössä. Digitaalisen infrastruktuurin sääntely NISdirektiivin digitaalisen infrastruktuurin riskinhallinta ja raportointivelvoitteet koskevat internetin yhdysliikennepisteitä (IXP), internetin nimipalvelimia (DNS, domain name server) ja aluetunnuksia (kuten.fi ja.ax). Lakiehdotuksessa todetaan, että Viestintävirasto on tulkinnut internetin yhdysliikennepisteiden ja nimipalvelinten kuuluvan yleisen teletoiminnan sääntelyn piiriin siltä osin, kun IXP:ssä liitetään yhteen yleisiä viestintäverkkoja ja DNSpalvelua tarjotaan osana internetyhteyspalvelua. Edelleen lakiehdotuksessa todetaan, että.fi ja.ax aluetunnuksia säännellään jo ennestään tietoyhteiskuntakaaressa ja viranomaisen toiminnan julkisuutta (ml. tietoturvallisuutta) koskevassa säädännössä. Viestintävirasto kannattaa lakiehdotuksen ratkaisua, jonka mukaan digitaalisesta infrastruktuurista ei anneta uutta erillisääntelyä. Virasto toteaa kuitenkin, että jos EU:ssa vireillä olevassa sähköisen viestinnän direktiivien uudistuksessa tapahtuu muutoksia, jotka vaikuttavat teletoiminnan sääntelyn alaan näiltä osin, asiaa voi olla tarpeen arvioida uudelleen. Digitaalisten palveluiden sääntely NISdirektiivin digitaalisten palveluiden sääntely koskee verkossa toimivan markkinapaikan tarjoajaa, hakukonepalvelun tarjoajaa sekä pilvipalvelun tarjoajaa. Näiden palveluiden tarjoajien täytyy huolehtia verkko ja tietojärjestelmiinsä kohdistuvien riskien hallinnasta ja niillä on velvollisuus ilmoittaa tietoturvallisuuteen liittyvistä merkittävistä poikkeamista Viestintävirastolle sekä tietyissä tapauksissa yleisölle. Digitaalisten palveluiden velvoitteet ehdotetaan säädettäväksi yleisellä tasolla tietoyhteiskuntakaaren 247 a :ssä ja 275 :ssä. Palveluita tulee koskemaan myös tekeillä oleva komission täytäntöönpanoasetus, jossa säädetään riskinhallinnassa huomioitavista tekijöistä sekä häiriöiden vaikutusten arvioinnin kriteereistä. Viestintäviraston valvontatoiminta Lausuntopalvelu.fi 2/7

3 NISdirektiivi edellyttää toimivaltaisen viranomaisen nimeämistä kaikille säännellyille toimialoille. Lakiehdotuksessa sisällytetään digitaalisten palveluiden tietoyhteiskuntakaaren 247 :ssä ja 275 :ssä sekä tulevassa komission täytäntöönpanoasetuksessa säädettävien velvoitteiden valvonta Viestintäviraston tietoyhteiskuntakaaren valvontatehtäviin (tietoyhteiskuntakaari 303 Viestintäviraston yleiset tehtävät). Lisäksi lakiehdotuksessa ehdotetaan säädettäväksi tietoyhteiskuntakaaren 313 :ssä (Valvontaasioiden käsittely Viestintävirastossa), että Viestintävirasto voi jättää digitaaliseen palveluntarjoajaan liittyvän asian tutkimatta, jos asialla on palveluiden riskinhallinnan kannalta vain vähäinen merkitys. Lakiehdotuksen perustelujen mukaan tavoitteena on, että asiat on käsiteltävä Viestintävirastossa ensisijaisesti lain 304 :n mukaisena selvitystehtävänä. Viestintävirasto kannattaa ehdotusta ja pitää sitä erittäin tarkoituksenmukaisena tietoturvallisuuden konkreettiseksi edistämiseksi. Viraston käsityksen mukaan on sekä digitaalisten palveluiden tarjoajien että niitä käyttävien yhteisöjen toimintojen tietoturvallisuuden edistämisen kannalta tarkoituksenmukaisempaa ja tehokkaampaa laittaa resursseja valvonnan asemasta yksittäisissä häiriö tai uhkatilanteissa operatiiviseen selvittämiseen, tiedonvaihtoon ja ennaltaehkäisemiseen. Viestintäviraston erityiset tehtävät ja toimivaltuudet CSIRTtoimija NISdirektiivi edellyttää CSIRTtoimijan nimeämistä kaikille säännellyille toimialoille. Verrattuna toimivaltaisen viranomaisen valvontatehtävään CSIRTtoimijaa voi luonnehtia operatiiviseksi palvelutoiminnaksi. Lakiehdotuksen perusteluissa todetaan, että Viestintäviraston CERTtoiminta täyttää direktiivin vaatimukset CSIRTtoimijalle ja että Viestintävirasto toimisi CSIRTtoimijana kaikilla säännellyillä toimialoilla. Lakiehdotuksen perusteluissa todetaan myös, että tietoyhteiskuntakaaren erityiset tehtävät kattavat lähtökohtaisesti myös kaikki NISdirektiivin mukaiset toimialat. Lausuntopalvelu.fi 3/7

4 Viestintäviraston erityisestä tehtävästä kerätä tietoa verkko ja viestintäpalvelujen sekä lisäarvopalvelujen tietoturvauhkista ja häiriöistä ja selvittää niitä säädetään tietoyhteiskuntakaaren 304 :ssä. Verkko ja viestintäpalvelulla sekä lisäarvopalvelulla on tietoyhteiskuntakaaressa sähköisen viestinnän direktiiveissä määritelty merkitys. Lisäksi pykälässä säädetään yleisestä tehtävästä tiedottaa tietoturvaasioista. Viestintävirasto yhtyy lakiehdotuksen arvioon siitä, että nykyinen CERTtoiminta vastaa luonteeltaan direktiivin vaatimuksia ja kannattaa CSIRTpalveluiden keskittämistä yhteen paikkaan Viestintävirastoon. Virasto haluaisi kuitenkin tarkentaa luonnoksen arviota NISdirektiivin mukaisten toimialojen toimijoiden ja toimintojen sisältymisestä 304 :ssä säädettyihin tehtäviin, sillä näissä uusissa lain piiriin tulevissa toiminnoissa on usein kysymys tietojärjestelmistä eli myös muista kuin verkko tai viestintäpalveluista. Kriittiset tietojärjestelmät on myös tyypillisesti tietoturvallisuussyistä eristetty verkko ja viestintäpalveluista. Viestintävirasto ehdottaa arviotavaksi 304 :n soveltuvuutta NISdirektiivin mukaisiin tehtäviin. Keskitetty yhteyspiste NISdirektiivissä edellytetään kansallisen keskitetyn yhteyspisteen (POC) nimeämistä. Keskitetyn yhteyspisteen tehtävänä on yhteydenpito, jotta voidaan varmistaa jäsenvaltion viranomaisten rajat ylittävä yhteistyö ja yhteyspisteen olisi toimitettava yhteistyöryhmälle vuosittain tiivistelmäraportti, joka sisältää tiedot vastaanotettujen ilmoitusten lukumäärästä sekä maininta ilmoitettujen poikkeamien luonteesta, kuten turvallisuusloukkausten tyypit, niiden vakavuus tai niiden kesto. Lakiehdotuksessa todetaan, että keskitetyn yhteyspisteen tehtävät ovat luonteeltaan operatiivisia ja toiminnalla on niin läheinen yhteys direktiivin mukaisen CSIRTtoimijan tehtäviin, että Viestintävirasto olisi luontevaa osoittaa tehtävä Viestintävirastolle. Lakiehdotuksessa keskistetyn yhteyspisteen tehtävä ilmenee tietoyhteiskuntakaaren 308 :ään ehdotetusta lisäyksestä, jonka mukaan Viestintäviraston on toimittava yhteistyössä muiden jäsenvaltioiden verkko ja tietoturvallisuutta valvovien viranomaisten, tietoturvaloukkauksiin reagoivien yksiköiden sekä EU:n verkko ja tietoturvadirektiivin 10 artiklan mukaisen yhteistyöryhmän kanssa. Edelleen ehdotetaan, että Viestintävirasto toimittaa yhteistyöryhmälle vuosittain direktiivin 10 artiklan 3 kohdan mukaisen tiivistelmäraportin. Viestintävirasto kannattaa ehdotusta. Viestintäviraston tiedonsaanti ja luovutusoikeudet Lausuntopalvelu.fi 4/7

5 Viestintäviraston oikeus luovuttaa tietoja suomalaisille viranomaisille Lakiehdotuksessa ehdotetaan tietoyhteiskuntakaaren 318 :ään Viestintävirastolle oikeutta luovuttaa salassa pidettäviä tietoja Energiavirastolle, Liikenteen turvallisuusvirastolle, Sosiaali ja terveysalan lupa ja valvontaviranomaiselle sekä Finanssivalvonnalle, jos se on näille säädettyjen tietoturvallisuuteen liittyvien tehtävien hoitamiseksi välttämätöntä. Viestintävirasto pitää ehdotusta hyvänä ja tarpeellisena tehokkaan viranomaisyhteistyön mahdollistamiseksi. Muiden viranomaisten oikeus luovuttaa tietoja Viestintävirastolle Lakiehdotuksessa ehdotetaan seuraavia viranomaisten tiedonluovutusoikeuksia Viestintävirastolle Energiavirastolle ehdotetaan oikeutta luovuttaa tietyin edellytyksin salassa pidettäviä tietoja Viestintävirastolle (Sähkö ja maakaasumarkkinoiden valvonnasta annetun lain 28, s. 74) Liikenteen turvallisuusvirastolle (Trafi) ilmailualan osalta (ilmailulain 128 a, s. 68) Viestintävirasto kiinnittää huomiota siihen, että muilta osin valvovien viranomaisten mahdollisuus luovuttaa salassa pidettäviä tietoja voi jäädä epäselväksi. Sosiaali ja terveysalan sääntelyyn ei esitetä muutoksia, joten myöskään Sosiaali ja terveysalan lupaja valvontaviraston oikeutta luovuttaa salassa pidettäviä tietoja Viestintävirastolle ei arvioida. Virasto valvoo NISdirektiivin toimialoista terveydenhuollon sekä juomaveden jakelun häiriöitä. Myöskään Finanssivalvontaa koskevia säännöksiä ei käsitellä tästä näkökulmasta. Vaikutukset viranomaistoimintaan Viestintävirastolle lakiehdotuksessa esitetyt tehtävät vastaavat luonteeltaan niitä tehtäviä, joita virastolla on voimassaolevan lain nojalla ja tehtävät ovat luontevasti yhdistettävissä olemassa olevaan toimintaan. Digitaalisten palveluiden valvonta, kaikkien NISdirektiivin toimialojen CSIRTpalvelut ja keskitetyn yhteyspisteen tehtävät ovat sellaisia, joita Viestintävirasto ei ole hoitanut voimassa olevan lain perusteella ja joihin ei ole ennestään olemassa rahoituspohjaa. Viestintäviraston tietoturvallisuuteen liittyvä toiminta katetaan kyberturvallisuuskeskuksen perustamiseen osoitetulla budjettirahoituksella, tietoturvallisuuden toimintavarmuuteen ja yksityisyydensuojan Lausuntopalvelu.fi 5/7

6 varmentamiseen osoitetulla lisämäärärahalla, teleyrityksiltä perittävällä tietoyhteiskuntamaksulla ja sopimusperusteisesti. Lakiehdotus lisäisi Viestintäviraston resurssitarvetta tavalla, jota sen nykyrahoitus ei täysimääräisesti kata. Tehtävien laadukas toteuttaminen voi edellyttää määrärahojen uudelleentarkastelua. Lopuksi Viestintävirasto pitää lakiehdotusta kaiken kaikkiaan onnistuneena, selkeänä ja tarkoituksenmukaisena. Laki tietoyhteiskuntakaaren muuttamisesta Laki ilmailulain muuttamisesta Laki rautatielain muuttamisesta Laki alusliikennepalvelulain muuttamisesta Laki eräiden alusten ja niitä palvelevien satamien turvatoimista ja turvatoimien valvonnasta annetun lain muuttamisesta Laki liikenteen palveluista annetun lain muuttamisesta Lausuntopalvelu.fi 6/7

7 Laki sähkömarkkinalain muuttamisesta Laki maakaasumarkkinalain muuttamisesta Laki sähkö ja maakaasumarkkinoiden valvonnasta annetun lain muuttamisesta Laki vesihuoltolain muuttamisesta Saarimäki Jarkko Viestintävirasto Lausuntopalvelu.fi 7/7