Laki tietoturvallisuuden arviointilaitoksista (1405 / 2011, muutoksineen)

Tässä laissa säädetään menettelystä, jonka avulla viranomaiset voivat hankkia riippumattoman tietoturvallisuuden tai varautumisen arvioinnin ja jonka avulla yritykset voivat osoittaa luotettavasti ulkopuolisille, että niiden toiminnassa on toteutettu määrätty tietoturvallisuuden taso.

Tätä lakia sovelletaan elinkeinonharjoittajiin ja palvelutehtäviä julkishallinnolle tarjoaviin yksiköihin, jotka toimeksiannosta arvioivat tietoturvallisuuden tason taikka tietojärjestelmän tai tietoliikennejärjestelyn varautumisen tason ( tietoturvallisuuden arviointilaitos ) ja jotka haluavat toiminnalleen Liikenne- ja viestintäviraston hyväksymisen. Lisäksi tätä lakia sovelletaan hyväksymismenettelyyn.

Arviointiviranomaisten tehtävistä viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden ja varautumisen arvioinnissa sekä yritysturvallisuusselvitysten laadinnassa säädetään erikseen. (29.10.2026/950)

Tässä laissa säädetään menettelystä, jonka avulla yritykset voivat osoittaa luotettavasti ulkopuolisille, että niiden toiminnassa on toteutettu määrätty tietoturvallisuuden taso.

Tätä lakia sovelletaan elinkeinonharjoittajiin ja palvelutehtäviä julkishallinnolle tarjoaviin yksiköihin, jotka toimeksiannosta arvioivat tietoturvallisuustason ( tietoturvallisuuden arviointilaitos ) ja jotka haluavat toiminnalleen Viestintäviraston hyväksynnän. Lisäksi tätä lakia sovelletaan hyväksymismenettelyyn.

Viestintäviraston tehtävistä viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnissa sekä yhteisöturvallisuusselvitysten laadinnassa säädetään erikseen.

Tietoturvallisuuden arviointilaitos voi hakea Liikenne- ja viestintäviraston hyväksyntää toimintaansa ja arvioinnin pätevyysaluetta varten. (29.10.2026/950)

Tietoturvallisuuden arviointilaitos voi hakea Viestintäviraston hyväksyntää toimintaansa varten.

Hakemukseen on liitettävä tiedot, jotka ovat tarpeen asian käsittelyä varten.

Liikenne- ja viestintäviraston on ennen tietoturvallisuuden arviointilaitoksen hyväksymistä varattava suojelupoliisille tilaisuus lausua arviointilaitoksen vastuuhenkilöiden luotettavuudesta ja sen toimitilojen turvallisuudesta. Jos hakemus koskee turvallisuusluokitellun tiedon käsittelyn arvioinnin pätevyysaluetta, Liikenne- ja viestintäviraston tulee yrityksen ja sen vastuuhenkilöiden luotettavuuden ja sitoumustenhoitokyvyn varmistamiseksi hakea yrityksestä turvallisuusselvityslaissa (726/2014) tarkoitettu yritysturvallisuusselvitys. Suojelupoliisi noudattaa lausuntoa tai selvitystä laatiessaan, mitä turvallisuusselvityslaissa säädetään.

Liikenne- ja viestintävirasto voi hakemusta käsiteltäessä hankkia lausuntoja viranomaisilta sekä antaa hakemuksen ja siinä esitettyjen tietojen arvioimiseksi avustavia tehtäviä ulkopuolisille asiantuntijoille. Ulkopuoliseen asiantuntijaan sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen hoitaessaan tämän pykälän mukaisia tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa (412/1974) .

Viestintäviraston on ennen tietoturvallisuuden arviointilaitoksen hyväksymistä varattava suojelupoliisille tilaisuus lausua arviointilaitoksen vastuuhenkilöiden luotettavuudesta ja sen toimitilojen turvallisuudesta. Suojelupoliisi noudattaa lausuntoaan laatiessaan, mitä turvallisuusselvityslaissa (726/2014) säädetään. (19.9.2014/727)

Viestintävirasto voi hakemusta käsiteltäessä hankkia lausuntoja sekä antaa hakemuksen ja siinä esitettyjen tietojen arvioimiseksi toimeksiannostaan suoritettavia tehtäviä ulkopuolisille asiantuntijoille.

Tietoturvallisuuden arviointilaitoksen hyväksymisen edellytyksenä on, että:

Edellä 1 momentin 1–3 kohdassa tarkoitettujen vaatimusten täyttäminen on osoitettava vaatimustenmukaisuuden arviointipalvelujen pätevyyden toteamisesta annetussa laissa (920/2005) säädetyn menettelyn avulla.

Sen estämättä, mitä 2 momentissa säädetään, hyväksytyn arviointilaitoksen hakiessa hyväksymistä uudelle pätevyysalueelle voi Liikenne- ja viestintävirasto päättää vaatimusten täyttymisestä kuultuaan pätevyyden hyväksymisen kannalta keskeisiä viranomaisia.

Liikenne- ja viestintävirasto hyväksyy saamiensa ja laatimiensa selvitysten sekä suorittamiensa tarkastusten perusteella vaatimukset täyttävän laitoksen hyväksytyksi tietoturvallisuuden arviointilaitokseksi. Tällainen laitos voi markkinoinnissaan ja muussa viestinnässään käyttää Liikenne- ja viestintäviraston hyväksymistä koskevaa ilmaisua edellyttäen, ettei hyväksymisen voimassaoloa koskeva määräaika ole päättynyt tai Liikenne- ja viestintävirasto ole päättänyt peruuttaa hyväksyntää.

Arviointilaitos voidaan hyväksyä määräajaksi, jos siihen on erityinen syy. Hyväksymistä koskevaan päätökseen voidaan sisällyttää arviointilaitoksen pätevyysaluetta, valvontaa sekä sellaisia toimintaa koskevia rajoituksia ja ehtoja, jotka ovat tarpeen arviointilaitoksen tehtävien asianmukaisen hoidon varmistamiseksi.

Tietoturvallisuuden arviointilaitoksen hyväksymisen edellytyksenä on, että:

Edellä 1 momentin 1–3 kohdassa tarkoitettujen vaatimusten täyttäminen on osoitettava vaatimustenmukaisuuden arviointipalvelujen pätevyyden toteamisesta annetussa laissa (920/2005) säädetyn menettelyn avulla.

Viestintävirasto hyväksyy saamiensa ja laatimiensa selvitysten sekä suorittamiensa tarkastusten perusteella vaatimukset täyttävän laitoksen hyväksytyksi tietoturvallisuuden arviointilaitokseksi. Tällainen laitos voi markkinoinnissaan ja muussa viestinnässään käyttää Viestintäviraston hyväksymistä koskevaa ilmaisua edellyttäen, ettei hyväksymisen voimassaoloa koskeva määräaika ole päättynyt tai Viestintävirasto ole päättänyt peruuttaa hyväksynnän.

Arviointilaitos voidaan hyväksyä määräajaksi, jos siihen on erityinen syy. Hyväksymistä koskevaan päätökseen voidaan sisällyttää arviointilaitoksen pätevyysaluetta, valvontaa sekä sellaisia toimintaa koskevia rajoituksia ja ehtoja, jotka ovat tarpeen arviointilaitoksen tehtävien asianmukaisen hoidon varmistamiseksi.

Jos hyväksytty tietoturvallisuuden arviointilaitos toimii olennaisesti tai jatkuvasti säännösten vastaisesti taikka jos se ei enää täytä hyväksymiselle asetettuja vaatimuksia, Liikenne- ja viestintäviraston on kehotettava arviointilaitosta korjaamaan puute määräajassa. Jos puutetta ei korjata määräajassa, Liikenne- ja viestintävirasto voi peruuttaa arviointilaitoksen tai pätevyysalueen hyväksymisen.

Liikenne- ja viestintävirasto voi päätöksessään määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei muutoksenhakuviranomainen toisin määrää.

Jos hyväksytty tietoturvallisuuden arviointilaitos toimii olennaisesti tai jatkuvasti säännösten vastaisesti taikka jos se ei enää täytä hyväksymiselle asetettuja vaatimuksia, Viestintäviraston on kehotettava arviointilaitosta korjaamaan puute määräajassa. Jos puutetta ei korjata määräajassa, Viestintävirasto voi peruuttaa hyväksymisen.

Viestintävirasto voi päätöksessään määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei muutoksenhakuviranomainen toisin määrää.

Liikenne- ja viestintävirastolla on oikeus tarkastaa hyväksymistä hakevan ja hyväksytyn tietoturvallisuuden arviointilaitoksen ja sen 9 a §:ssä tarkoitetun alihankkijan tilat sekä sen käytössä olevat menetelmät. Tarkastuksen suorittamisessa Liikenne- ja viestintävirastoa voi avustaa 4 §:n 2 momentissa tarkoitettu ulkopuolinen asiantuntija. Tarkastusta ei saa suorittaa pysyväisluonteiseen asumiseen käytetyissä tiloissa.

Liikenne- ja viestintävirastolla on oikeus salassapitosäännösten tai muiden tiedon luovuttamista koskevien rajoitusten estämättä saada pyynnöstä suojelupoliisilta, kansalliselta akkreditointiyksiköltä, pätevyysalueen arviointiperusteen soveltamista ohjaavalta tai valvovalta viranomaiselta, arviointilaitokselta sekä sen alihankkijalta ja asiakkaalta ne tiedot, jotka ovat välttämättömiä sen valvomiseksi, että tietoturvallisuuden arviointilaitos täyttää toimintaansa koskevat vaatimukset.

Viestintävirastolla ja sen toimeksiannosta toimivalla asiantuntijalla on oikeus tarkastaa hyväksyntää hakeneen tai hyväksytyn tietoturvallisuuden arviointilaitoksen tilat sekä sen käytössä olevat menetelmät. Tarkastusta ei saa suorittaa pysyväisluonteiseen asumiseen käytetyissä tiloissa.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on ilmoitettava Liikenne- ja viestintävirastolle sellaisesta toimintaansa koskevasta muutoksesta, jolla on merkitystä laitosta koskevien velvoitteiden kannalta.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on ilmoitettava Viestintävirastolle sellaisesta toimintaansa koskevasta muutoksesta, jolla on merkitystä laitosta koskevien velvoitteiden kannalta.

Viestintävirastolla on sen lisäksi, mitä 1 momentissa säädetään, oikeus pyynnöstä saada arviointilaitokselta ne tiedot, jotka ovat tarpeen sen valvomiseksi, että laitos täyttää toimintaansa koskevat vaatimukset.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on saamaansa tietoturvallisuuden ja varautumisen arviointitehtävää suorittaessaan noudatettava huolellisuutta ja pidettävä huolta siitä, että arvioinnin aikana:

Arviointi voidaan tehdä myös osittaisena.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on laadittava arviointiraportti, johon merkitään tiedot arvioinnin kohteesta, käytetyistä arviointiperusteista, arvioinnin laajuudesta ja havainnoista.

Hyväksytty tietoturvallisuuden arviointilaitos voi pyynnöstä, tai jos niin erikseen säädetään, antaa selvitysten ja tarkastuksen perusteella todistuksen, jos arvioitava kohde on selvityksen perustana olleiden tietoturvallisuuden ja varautumisen arviointiperusteiden mukainen. Todistuksessa tulee yksilöidä arvioinnissa käytetyt tietoturvallisuuden ja varautumisen arviointiperusteet ja arvioinnin laajuus sekä voimassaoloaika.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on saamaansa tietoturvallisuuden arviointitehtävää suorittaessaan noudatettava huolellisuutta ja pidettävä huolta siitä, että arvioinnin aikana:

Arviointi voidaan tehdä myös osittaisena.

Hyväksytty tietoturvallisuuden arviointilaitos antaa selvitysten ja tarkastuksen perusteella todistuksen, jos arvioitavan kohteen toimitilat ja toiminta on selvityksen perustana olleiden arviointiperusteiden mukainen. Todistuksessa tulee yksilöidä arvioinnissa käytetyt tietoturvallisuuden arviointiperusteet ja arvioinnin laajuus.

Hyväksytty tietoturvallisuuden arviointilaitos voi teettää arviointiin liittyvän tehtävän toisella samaan konserniin kuuluvalla yhtiöllä tai muuna alihankintana vain, jos konserniyhtiö tai muu alihankkija täyttää tietoturvallisuuden arviointilaitoksen hyväksymisen edellytykset ja alihankinnasta on annettu selvitys Liikenne- ja viestintävirastolle ja Liikenne- ja viestintävirasto on todennut edellytysten täyttymisen.

Hyväksytty tietoturvallisuuden arviointilaitos voi teettää alihankintana tai tytäryhtiöllään turvallisuusluokitellun tiedon käsittelyn arviointiin liittyviä tehtäviä ainoastaan, jos siitä on sovittu asiakkaan kanssa.

Tietoturvallisuuden ja varautumisen arviointiperusteina voidaan tässä laissa tarkoitetussa arvioinnissa käyttää arvioinnin kohteen valinnan ja arviointilaitoksen hyväksytyn pätevyysalueen mukaan:

Tietoturvallisuuden arviointiperusteina voidaan tässä laissa tarkoitetussa arvioinnissa käyttää arvioinnin kohteen valinnan mukaan:

Tietoturvallisuuden arviointilaitoksen hyväksymistä ja valvontaa koskevan asian käsittelystä Liikenne- ja viestintävirastossa peritään maksu noudattaen, mitä valtion maksuperustelaissa (150/1992) säädetään.

Tietoturvallisuuden arviointilaitoksen hyväksymistä koskevan asian käsittelystä Viestintävirastossa perittävästä maksusta säädetään valtion maksuperustelaissa (150/1992) ja sen nojalla.

Muutoksenhausta Liikenne- ja viestintäviraston tämän lain nojalla tekemään päätökseen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019) .

Muutoksenhausta Viestintäviraston tämän lain nojalla tekemään päätökseen säädetään hallintolainkäyttölaissa (586/1996) .

Hyväksytyn tietoturvallisuuden arviointilaitoksen on tässä laissa tarkoitettuja julkisia hallintotehtäviä hoitaessaan noudatettava hallintolakia (434/2003) , viranomaisten toiminnan julkisuudesta annettua lakia (621/1999) , kielilakia (423/2003) , saamen kielilakia (1086/2003) , tietosuojalakia (1050/2018) sekä sähköisestä asioinnista viranomaistoiminnassa annettua lakia (13/2003) .

Hyväksytyn tietoturvallisuuden arviointilaitoksen vastuuhenkilöön ja palveluksessa olevaan henkilöön sekä 9 a §:ssä tarkoitettujen alihankkijoiden palveluksessa olevaan henkilöön sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen suorittaessaan tässä laissa tarkoitettuja tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa.

Hyväksytyn tietoturvallisuuden arviointilaitoksen on tässä laissa tarkoitettuja tehtäviä hoitaessaan noudatettava hallintolakia (434/2003) , viranomaisten toiminnan julkisuudesta annettua lakia (621/1999) sekä kielilakia (423/2003) .

Liikenne- ja viestintävirasto merkitsee turvallisuusselvityslaissa tarkoitettuun turvallisuusselvitysrekisteriin tiedot hyväksytyistä tietoturvallisuuden arviointilaitoksista samoin kuin arviointilaitokselle annettuun todistukseen merkityt tiedot. Hyväksymisen peruuttamisesta on tehtävä välittömästi merkintä rekisteriin.

Hyväksytty tietoturvallisuuden arviointilaitos voi ilmoittaa Liikenne- ja viestintävirastolle turvallisuusselvitysrekisteriin merkitsemistä ja siitä edelleen luovuttamista varten tiedot arvioimastaan kohteesta ja sille annetun todistuksen sisällöstä, jollei arvioinnin kohde ole sitä kieltänyt. Arvioinnin kohteelle on ennen ilmoituksen tekemistä annettava tieto tietojenkäsittelyn tarkoituksesta ja sitä koskevasta sääntelystä.

Viestintävirasto merkitsee turvallisuusselvityslaissa tarkoitettuun turvallisuusselvitysrekisteriin tiedot hyväksytyistä arviointilaitoksista samoin kuin arviointilaitokselle annettuun todistukseen merkityt tiedot. Hyväksynnän peruuttamisesta on tehtävä välittömästi merkintä rekisteriin.

Hyväksytty arviointilaitos voi ilmoittaa Viestintävirastolle turvallisuusselvitysrekisteriin merkitsemistä ja siitä edelleen luovuttamista varten tiedot arvioimastaan kohteesta ja sille annetun todistuksen sisällöstä, jollei arvioinnin kohde ole sitä kieltänyt. Arvioinnin kohteelle on ennen ilmoituksen tekemistä annettava tieto tietojenkäsittelyn tarkoituksesta ja sitä koskevasta sääntelystä.