Kyberkestävyysasetuksen toimeenpanoa koskevaksi lainsäädännöksi

Esityksessä ehdotetaan säädettäväksi laki eräiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista sekä muutettavaksi eräiden tuotteiden markkinavalvonnasta annettua lakia, kyberturvallisuuslakia, sähköisen viestinnän palveluista annettua lakia ja sakon täytäntöönpanosta annettua lakia.

Esityksen tavoitteena on antaa eräiden tuotteiden kyberkestävyyttä koskevan Euroopan unionin asetuksen eli niin kutsutun kyberkestävyyssäädöksen tai -asetuksen soveltamista täydentävät ja täsmentävät kansalliset säännökset. Kyberkestävyysasetus asettaa tietoturvaa koskevat horisontaaliset vähimmäisvaatimukset digitaalisen elementin sisältäville tuotteille eli laitteille ja ohjelmistoille, jotka ovat kytkettävissä internetiin tai toiseen laitteeseen. Ehdotetut säännökset koskevat kyberkestävyysasetuksen markkinavalvontaa, vaatimustenmukaisuuden arviointilaitoksien ilmoittamista ja valvontaa sekä hallinnollisia seuraamuksia.

Esityksen tavoitteena on myös täydentää kansallista sääntelyä eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskevan EU:n niin kutsutun kyberturvallisuusasetuksen soveltamiseksi. Ehdotetut säännökset koskevat kansallisen kyberturvallisuussertifioinnin viranomaisen tehtäviä ja toimivaltuuksia sekä vaatimustenmukaisuuden arviointilaitoksia.

Esityksen tavoitteena on myös täydentää EU:n niin kutsutun kyberturvallisuusdirektiivin kansallista täytäntöönpanoa verkkotunnuksien rekisteröintitietoja ja verkkotunnusvälittäjiä koskevilta osin direktiivissä edellytetyllä vähimmäistasolla. Täydennykset koskevat verkkotunnuksiin liittyvien tietojen käsittelyä ja luovuttamista.

Liikenne- ja viestintävirastolle osoitettaisiin uusina tehtävinä kyberkestävyysasetuksen markkinavalvonta sekä vaatimustenmukaisuuden arviointilaitoksien nimeäminen ja valvonta. Korkean riskin tekoälyjärjestelmien osalta markkinavalvontaviranomaisena toimisi eräiden tekoälyjärjestelmien valvonnasta annetun lain nojalla toimivaltainen viranomainen. Kyberturvallisuussertifiointien osalta kansallisen viranomaisen tehtävässä jatkaisi Liikenne- ja viestintävirasto.

Kyberkestävyysasetuksen sujuva ja tehokas toimeenpano laitteiden ja ohjelmistojen tietoturvan parantamiseksi sisältyy Suomen kyberturvallisuusstrategian toimeenpanosuunnitelman priorisoituihin toimenpiteisiin. Suomen uusi kyberturvallisuusstrategia vuosille 2024–2035 on hyväksytty valtioneuvoston periaatepäätöksenä lokakuussa 2024. Pääministeri Petteri Orpon hallituksen hallitusohjelman mukaan kyberturvallisuutta ja sitä koskevaa yhteistyötä viranomaisten ja elinkeinoelämän välillä vahvistetaan, hallitus parantaa tietoturvaa kriittisillä toimialoilla ja EU-lainsäädännön toimeenpanon yhteydessä vältetään kansallista lisäsääntelyä.

Lait on tarkoitettu tulemaan voimaan pääosin 1.6.2026, EU:n kyberturvallisuusdirektiivin kansalliseen täytäntöönpanoon liittyviltä osin kuitenkin mahdollisimman pian. Eräiden säännösten osalta ehdotetaan soveltamisen porrastamista kyberkestävyysasetusta vastaavasti.