Laeiksi viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annetun lain, tietoturvallisuuden arviointilaitoksista annetun lain sekä turvallisuusselvityslain 18 ja 48 §:n muuttamisesta

Esityksessä ehdotetaan muutettaviksi viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annettua lakia sekä tietoturvallisuuden arviointilaitoksista annettua lakia. Lisäksi ehdotetaan muutettavaksi turvallisuusselvityslakia, jota koskevat muutosehdotukset ovat teknisiä.

Viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annettuun lakiin ehdotetuilla muutoksilla selkeytettäisiin viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen arviointimenettelyjä sekä parannettaisiin niiden saatavuutta mahdollistamalla nykyistä useammanlaisia arviointimenettelyjä. Myös muille luotettaviksi todetuille yrityksille kuin tietoturvallisuuden arviointilaitoksille säädettäisiin mahdollisuus tarjota tietoturvallisuuden ja varautumisen arviointipalveluja viranomaisille korkeintaan turvallisuusluokan IV tietojen käsittelyn arviointiin saakka. Lakiin lisättäisiin valtionhallinnon viranomaisille velvollisuus arvioida tietojärjestelmänsä ja tietoliikennejärjestelynsä vähintään itsearviointeina. Muidenkin kuin valtionhallinnon viranomaisten olisi mahdollista toteuttaa lain mukaisia arviointeja. Kaikkien viranomaisten tulisi kuitenkin pyytää arviointiviranomaisen arviointia turvallisuusluokan I ja II tietojen käsittelylle. Lisäksi kaikkien viranomaisten tulisi pyytää arviointiviranomaisen arviointia tai hankkia tietoturvallisuuden arviointilaitoksen arviointi turvallisuusluokan III tietojen käsittelylle, jollei viranomainen riskiarvioinnin perusteella päättäisi sen olevan tarpeetonta. Ehdotetuilla muutoksilla tehostettaisiin arviointeja korostamalla riskiarvion merkitystä arviointimenettelyn valinnassa ja painotettaisiin viranomaisten vastuuta omien tietojärjestelmiensä ja tietoliikennejärjestelyjensä tietoturvallisuudesta ja varautumisesta sekä käyttöönottopäätöksistä.

Viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annettuun lakiin ehdotetuilla muutoksilla myös tarkennettaisiin Liikenne- ja viestintäviraston tehtäviä ja säädettäisiin turvallisuuskriittisten tuotteiden valmistajille oikeus hakea arviointia. Lisäksi lakiin lisättäisiin Puolustusvoimille arviointitehtävä, jolla vastattaisiin turvallisuusympäristön muutoksista johtuvaan arviointitarpeiden kasvuun. Ehdotetuilla muutoksilla tarkennettaisiin ja tehostettaisiin arviointiviranomaisten yhteistyötä, työjakoa ja tiedonsaantioikeuksia sekä mahdollistettaisiin arviointiviranomaista avustava tehtävä.

Tietoturvallisuuden arviointilaitoksista annettuun lakiin ehdotetuilla muutoksilla edistettäisiin tietoturvallisuuden arviointilaitosten elinkeinotoiminnan edellytyksiä yksinkertaistamalla ja tehostamalla tietoturvallisuuden arviointilaitosten luotettavuuden sääntelyä ja joustavoittamalla tietoturvallisuuden arviointilaitosten pätevyyksien hyväksyntää.