Hallituksen esityksen tausta ja ehdotetun sääntelyn soveltamisala
Hallituksen esityksessä ehdotetulla lailla yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta on tarkoitus panna täytäntöön kriittisten toimijoiden häiriönsietokykyä koskeva niin sanottu CER-direktiivi. CER-direktiivin tarkoituksena on vahvistaa kriittisten toimijoiden kykyä vastata uhkiin, jotka vaarantavat yhteiskunnan toimintakyvyn kannalta keskeisten palveluiden tuottamisen kansalaisille ja yrityksille. Direktiivi on osa laajempaa pakettia, johon kuuluvat myös uusi kyberturvallisuusstrategia sekä verkko- ja tietoturvadirektiivin päivitys. CER-direktiivi tuli voimaan 16.1.2023, ja jäsenvaltioiden olisi tullut julkaista direktiivin noudattamisen edellyttämät säännökset viimeistään 17.10.2024.
Komission esittämän direktiiviehdotuksen soveltamisala kattoi 10 toimialaa: energia, liikenne, pankkitoiminta, finanssimarkkinoiden infrastruktuurit, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto ja avaruus. Hyväksytty direktiivi kattaa 11 toimialaa, sillä edellä mainittujen 10 toimialan lisäksi direktiivin soveltamisalaan otettiin mukaan elintarvikkeet. Maa- ja metsätalousvaliokunta toteaa, että edellä mainituista toimialoista valiokunnan kannalta keskeisiä ovat vesihuollon alaan kuluvat juomavesi ja jätevesi sekä elintarvikkeet. Hallituksen esityksessä mainitaan myös Naton seitsemän kriisinsietokyvyn perusvaatimusta, joista kolmas kattaa vastaavasti ruuan ja veden saatavuuden turvaamisen.
Elintarvikkeiden osalta CER-direktiiviä sovelletaan ainoastaan EU:n elintarvikeasetuksessa määriteltyihin elintarvikeyrityksiin, jotka toimivat yksinomaan logistiikan ja tukkukaupan sekä laajamittaisen teollisen tuotannon ja jalostuksen alalla. Tämä CER-direktiiviä vastaava soveltamisalan rajaus käy ilmi myös ehdotetun lain 1 §:n 2 momentista. Alustavien arvioiden mukaan direktiivin ja sen täytäntöönpanemiseksi säädettävän kansallisen lain soveltamisala ei Suomessa kata kovinkaan montaa elintarvikealan yritystä. Elintarvikealan määritelmästä seuraa, että myöskään alkutuotanto ei kuulu direktiivin soveltamisalaan.
Hallituksen esityksessä todetaan, että alkutuotannon osalta velvoitteiden säätäminen direktiivin mukaisella tarkkuudella olisi haastavaa etenkin kriittisten toimijoiden määrittelyn osalta, ottaen huomioon muun muassa alkutuotannon hajautuneen toiminnan. Suomessa alkutuotannossa toimii yli 40 000 yritystä. Direktiivin velvoitteet aiheuttaisivat sekä valvoville viranomaisille että alkutuotannon yrityksille merkittävän hallinnollisen taakan ja kustannukset. Maa- ja metsätalousvaliokunta pitää perusteltuna, että CER-direktiivin kansallisessa täytäntöönpanossa on rajauduttu elintarvikeketjun osalta direktiivin mukaiseen soveltamisalaan.
Valiokunta korostaa kuitenkin, että suomalainen elintarviketeollisuus perustuu suurelta osin kotimaisten maataloustuotteiden käytölle. Maataloustuotannon haavoittuvuudet, riskit ja uhat ovat nykyisin pitkälti yhtäläisiä muiden tuotanto- ja palveluketjujen kanssa. Näin ollen toimet, joita tehdään esimerkiksi energian huoltovarmuuden, liikenneinfrastruktuurin sekä sähköisen ja digitaalisen toimintaympäristön toimivuuden varmistamiseksi edesauttavat myös maatalouden selviytymiskykyä. Valiokunta pitää elintärkeänä, että osana elintarvikehuoltovarmuuden hyväksi tehtävää työtä myös alkutuotannon yritysten jatkuvuuden hallintaa tuetaan esimerkiksi polttoaineen jakelun ja varastoinnin sekä sähkönsaannin turvaamiseksi maatiloilla kriisitilanteissa.
Valtakunnallinen suunnitelma ja kansallinen riskinarvio
Hallituksen esitykseen sisältyvän ehdotuksen mukaan valtioneuvosto hyväksyy kriittisten toimijoiden häiriönsietokyvyn parantamiseksi ja toiminnan yleisten tavoitteiden saavuttamiseksi kansallisen strategian valtakunnallisena suunnitelmana. Valtioneuvosto hyväksyy vähintään neljän vuoden välein myös kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskevan kansallisen riskinarvioinnin. Edellä mainittu valtakunnallinen suunnitelma ja kansallinen riskinarviointi tulee hyväksyä ensimmäisen kerran viimeistään 17.1.2026. Kansallisen riskinarvioinnin osalta hallituksen esityksessä todetaan, että paikkatiedon väärinkäyttö on kansallisesti tunnistettu yhdeksi merkitykselliseksi riskiksi. Maa- ja metsätalousvaliokunta nostaa esiin, että jo paikkatietopoliittisen selonteon käsittelyn yhteydessä vuonna 2018 korostettiin huoltovarmuuden ja turvallisuusviranomaisten kannalta kriittisten yritysten tarvitseman paikkatiedon sisällön ja saatavuuden varmistamista (MmVM 15/2018 vp — VNS 2/2018 vp). Jotta samalla voidaan ottaa huomioon paikkatiedon väärinkäyttöön liittyvät riskit, tulee kansallisesti huolehtia paikkatiedon kokonaisturvallisen käytön ohjauksesta ja ohjeistamisesta.
Hallituksen esityksen mukaan sisäministeriö hoitaa uutta yhteensovittamistehtävää, johon kuuluu ehdotetun lain mukaisen toiminnan yleinen ohjaus, seuranta, yhteensovittaminen ja kehittäminen. Yleiseen ohjaukseen sisältyvät myös kriittisen infrastruktuurin häiriönsietokykyä edistävät toimet. Sisäministeriö, sektoriministeriöt ja valvovat viranomaiset edistävät yhteistyössä Huoltovarmuuskeskuksen kanssa yleisesti kriittisten toimijoiden häiriönsietokykyyn liittyviä kokonaisuuksia. Maa- ja metsätalousvaliokunta toteaa, että Suomen valmiussuunnittelun ja konkreettisen varautumistoiminnan lähtökohtana on julkisen ja yksityisen sektorin yhteistyö. Huoltovarmuuskeskuksen ja toimialajärjestöjen sopimuksiin perustuvat poolit hoitavat toimialansa valmiussuunnittelua sekä ohjaavat ja seuraavat yrityskohtaista varautumistyötä. Suomalainen huoltovarmuusjärjestelmä antaa hyvät lähtökohdat myös CER-direktiivin toimeenpanolle.
Hallituksen esityksen valmistelussa lähtökohtana on ollut, että olemassa olevia huoltovarmuusyhteistyön toimintamalleja voidaan hyödyntää jatkossakin yhteiskunnan kriittisen infrastruktuurin suojaamisessa ja häiriönsietokyvyn parantamisessa. Hallituksen esityksessä todetaan, että Huoltovarmuuskeskukselle annettavat uudet tehtävät liittyen CER-direktiivin viranomaistoimintaan arvioidaan ja linjataan osana huoltovarmuuslainsäädännön uudistamista koskevaa hanketta. Näin ollen eri viranomaisten tehtävien yhteensovittamista jatketaan vielä nyt käsiteltävänä olevien lakiehdotusten voimaantulon jälkeen erillisessä hankkeessa, jota koskeva hallituksen esitys on tarkoitus antaa eduskunnalle syksyllä 2025. Maa- ja metsätalousvaliokunta katsoo, että CER-direktiivin velvoitteiden toteuttamisen tulee tapahtua mahdollisimman pitkälle nykyisen huoltovarmuusorganisaation puitteissa ja päällekkäistä organisointia välttäen. Tältä osin on perusteltua vielä arvioida tarvetta Huoltovarmuuskeskuksen roolin selkiyttämiseen.
Kriittisten toimijoiden tunnistaminen ja toimijoiden velvoitteet
Lakiehdotus sisältää direktiivin mukaisesti kriittisen toimijan tunnistamisen ja määrittämisprosessin ja tunnistamiseen liittyvän yhteisen kriteeristön sekä velvoitteet kriittisille toimijoille parantaa häiriönsietokykyään ja valmiuksiaan tarjota keskeisiä palveluja vähintään direktiivin velvoitteiden vähimmäistason mukaisesti. Kriittisen toimijan määrittämisessä otetaan huomioon muun muassa edellä mainitut kriittisten toimijoiden häiriönsietokykyä koskeva valtakunnallinen suunnitelma ja kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskeva kansallinen riskinarviointi sekä rajat ylittävä toiminta ja eurooppalainen yhteismitallisuus.
Kuten edellä on kuvattu, perustuu kriittisten toimijoiden määrittely elintarvikealalla EU:n elintarvikeasetuksen mukaiseen elintarvikeyrityksen rajaukseen logistiikan ja tukkukaupan sekä laajamittaisen teollisen tuotannon ja jalostuksen alalla toimiviin yrityksiin. Näitä elintarvikeyrityksiä arvioitaessa otetaan huomioon elintarvikkeiden tuotannossa ja jalostuksessa vastaanotetun raaka-aineen määrä litroina tai kiloina ja tuotannon määrä sekä jaettavan hyödykkeen määrä myös kaupan, jakelun ja ruokapalveluiden osalta. Vesihuollon osalta kriittisiksi toimijoiksi määriteltäviä vesihuoltolaitoksia arvioitaessa otetaan huomioon laitosten toimittaman veden ja poisjohdettavan jäteveden kuutiometrimäärä vuorokaudessa. Kriittisen toimijan määrittämistä koskevan asian ratkaisee se ministeriö, jonka toimialaan käsiteltävä toimija kuuluu. Maa- ja metsätalousministeriö tekee näin ollen elintarvikealan ja vesihuollon toimijoiden osalta päätökset kriittisen toimijan määrittämisestä viimeistään 17.7.2026.
Toimivalta valvoa kriittisiä toimijoita on hallituksen esityksen mukaan sektorikohtaisilla valvontaviranomaisilla, joita ovat elintarvikealan toimijoiden osalta Ruokavirasto ja vesihuoltolaitosten osalta Etelä-Savon elinkeino-, liikenne- ja ympäristökeskus. Valvonta kattaa ministeriön päätöksellä erikseen edellä kuvattujen arviointiperusteiden mukaisesti määritettävät kriittiset toimijat, joiden tarkasta lukumäärästä ei vielä ole tietoa. Kun valvontatehtävien määrä riippuu kriittisiksi toimijoiksi määritettyjen toimijoiden lukumäärästä, liittyy valvontaviranomaisten resurssitarpeisiin vielä epävarmuutta. Maa- ja metsätalousvaliokunta pitää perusteltuna, että valvontaviranomaisille lain toimeenpanon myötä aiheutuvia resurssitarpeita seurataan ja arvioidaan kriittisten toimijoiden määrittämistä seuraavina vuosina.
Kriittisen toimijan velvoitteet
Ehdotetun lain ja sen taustalla olevan CER-direktiivin tavoitteena on, että yksityisen sektorin toimijat osallistuvat EU-tason varautumisen vahvistamiseen. Ne omistavat pääosin kriittisen infrastruktuurin, tuottavat suurimman osan keskeisistä palveluista ja muodostavat toimitusketjut. Kriittisen toimijan keskeiset velvoitteet liittyvät riskiarviointiin, häiriönsietokykyä koskevaan suunnitelmaan ja toimenpiteisiin häiriönsietokyvyn varmistamiseksi. Valiokunta korostaa, että tavoitteena oleva kriittisen infrastruktuurin suojaaminen edellyttää käytännön toimia kriittisilta toimijoilta. Lainsäädännön toimeenpanossa tulee ottaa huomioon kriittisten toimijoiden olemassa oleva jatkuvuudenhallinta ja varautuminen, ja tarjota konkreettista tukea tähän varautumistyöhön kriittisille toimijoille.
Keskeinen lakiehdotukseen sisältyvä velvoite on, että kriittisen toimijan on ilmoitettava ilman aiheetonta viivytystä valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista. Ilmoitusten ja tiedonsaannin osalta hallituksen esityksen säädösehdotukset koskevat ensisijaisesti viranomaisten tiedonsaantia. Maa- ja metsätalousvaliokunta korostaa, että tehokkaan varautumisen kannalta on tärkeää, että myös kriittisille toimijoille voidaan tarjota parempaa tilannetietoa tai etukäteisvaroituksia, jotka auttavat yritystä varautumaan ja toipumaan häiriöistä. Yhteisen tilannekuvan hallinta, yhteistyössä tehtävä toimeenpano ja erityisesti kriittisen tiedon välittäminen viranomaisten ja kriittisten toimijoiden kesken on poikkeusoloissa tilannejohtamisen perusedellytys.