Laki viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista (1406 / 2011, muutoksineen)

Tässä laissa säädetään viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden ja varautumisen arvioinnista. Lisäksi tässä laissa säädetään turvallisuuskriittisten ratkaisujen ja niiden valmistuksen tietoturvallisuuden arvioinnista.

Tätä lakia sovelletaan kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa (588/2004) tarkoitetun kansainvälisen tietoturvallisuusvelvoitteen edellyttämään erityissuojattavan tietoaineiston käsittelyyn tarkoitetun tietojärjestelmän, tietoliikennejärjestelyn ja turvallisuuskriittisen ratkaisun ja sen valmistuksen tietoturvallisuuden arviointiin, jollei mainitussa laissa toisin säädetä tai mainitussa laissa tarkoitetusta kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu.

Liikenne- ja viestintäviraston tehtävistä yritysturvallisuusselvitystä laadittaessa säädetään turvallisuusselvityslaissa (726/2014) ja tehtävistä kansainvälisten tietoturvallisuusvelvoitteiden tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuutta koskevissa asioissa kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa.

Tässä laissa säädetään viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista.

Viestintäviraston tehtävistä yritysturvallisuusselvitystä laadittaessa säädetään turvallisuusselvityslaissa (726/2014) . (19.9.2014/728)

Tässä laissa tarkoitetaan:

Tässä laissa tarkoitetaan:

Tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden ja varautumisen arviointimenettelyjä ovat:

Viranomainen voi toteuttaa arvioinnin 1 momentin 2 kohdan mukaisella menettelyllä vain, jos arvioinnin kohteena olevalla tietojärjestelmällä tai tietoliikennejärjestelyllä käsitellään julkisia, salassa pidettäviä tai korkeintaan turvallisuusluokkaan IV luokiteltuja tietoja. Viranomaisen on tällöin ennakolta varmistuttava palveluntarjoajan luotettavuudesta toimeksiannon edellyttämässä laajuudessa.

Viranomainen voi toteuttaa arvioinnin 1 momentin 3 kohdan mukaisella menettelyllä vain, jos arvioinnin kohteena olevalla tietojärjestelmällä tai tietoliikennejärjestelyllä käsitellään korkeintaan turvallisuusluokkaan III luokiteltuja tietoja.

Valtionhallinnon viranomaiset saavat käyttää tietojärjestelmiensä ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnissa vain tässä laissa tarkoitettua menettelyä taikka sellaista arviointilaitosta, joka on saanut Viestintäviraston hyväksynnän tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) mukaan.

Valtionhallinnon viranomaisen on arvioitava tietojärjestelmiensä ja tietoliikennejärjestelyjensä tietoturvallisuutta ja varautumista käyttäen 3 §:n 1 momentissa tarkoitettuja menettelyjä.

Valtionhallinnon viranomaisen on valittava arviointimenettely tietojärjestelmän tai tietoliikennejärjestelyn riskiarvioinnin perusteella, kuitenkin siten, että sen on:

Muun kuin 3 a §:ssä tarkoitetun viranomaisen on arvioitava tietojärjestelmänsä tai tietoliikennejärjestelynsä, jossa käsitellään turvallisuusluokkaan I tai II luokiteltuja tietoja 3 a §:n 2 momentin 1 kohdassa tarkoitetulla tavalla.

Muun kuin 3 a §:ssä tarkoitetun viranomaisen on arvioitava tietojärjestelmänsä tai tietoliikennejärjestelynsä, jossa käsitellään turvallisuusluokkaan III luokiteltuja tietoja 3 a §:n 2 momentin 2 kohdassa tarkoitetulla tavalla, jollei se päätä arvioinnin pyytämisen tai hankkimisen olevan tietojärjestelmän tai tietoliikennejärjestelyn riskiarvioinnin perusteella tarpeetonta, jolloin sen on toteutettava itsearviointi.

Viranomainen voi pyytää arviointiviranomaisen hyväksyntää tietojärjestelmälleen tai tietoliikennejärjestelylleen osoittaakseen tietoturvallisuutta koskevien vaatimusten täyttymisen:

Toimivaltainen arviointiviranomainen on Liikenne- ja viestintävirasto. Jos arviointi koskee Puolustusvoimien tietojärjestelmien tai tietoliikennejärjestelyjen taikka niihin kuuluvien turvallisuuskriittisten ratkaisujen tietoturvallisuutta ja varautumista, toimivaltainen arviointiviranomainen on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n 1 momentissa tarkoitettu Pääesikunnan määrätty turvallisuusviranomainen.

Pääesikunnan määrätyn turvallisuusviranomaisen arviointitehtäviä voi myös hoitaa Puolustusvoimien palkattuun henkilöstöön kuuluva henkilö, jonka Pääesikunnan määrätty turvallisuusviranomainen on tähän tehtävään nimennyt ja jonka toimintaa se ohjaa ja valvoo.

Arviointiviranomaisen on organisaatioltaan ja päätöksenteoltaan oltava riippumaton arviointitehtävien hoitamisessa. Lisäksi arviointiviranomaisen on varmistettava, että sen palveluksessa olevilla tai lukuun toimivilla henkilöillä on arviointitehtävän laatuun ja laajuuteen nähden riittävä koulutus ja kokemus.

Arviointiviranomaisen tehtävänä on arvioida viranomaisen pyynnöstä tietojärjestelmän tai tietoliikennejärjestelyn taikka niihin kuuluvan turvallisuuskriittisen ratkaisun tietoturvallisuutta ja varautumista.

Sen lisäksi, mitä 1 momentissa säädetään, Liikenne- ja viestintäviraston tehtävänä on:

Liikenne- ja viestintävirasto asettaa tässä laissa sille säädetyt arviointiviranomaisen tehtävät tärkeysjärjestykseen ja suorittaa tehtävät käytettävissään olevien voimavarojen mukaisesti. Liikenne- ja viestintävirasto voi päätöksellään jättää siltä pyydetyn arvioinnin tekemättä tai ottaa arvioinnin suoritettavakseen vain osittain. Tehtävien tärkeysjärjestyksessä ja päätöksessä on otettava huomioon:

Edellä 1 momentissa tarkoitetun pyynnön Liikenne- ja viestintävirastolle voi viranomaisen toimeksiannosta tehdä myös se, joka tekee viranomaisen lukuun hankintoja taikka tuottaa tietojenkäsittely- tai tietoliikennepalveluja taikka hoitaa niiden järjestämiseen liittyviä palvelutehtäviä.

Viestintäviraston tehtävänä on viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden edistämiseksi ja varmistamiseksi:

Edellä 1 momentin 1 ja 2 kohdassa tarkoitetun pyynnön voi viranomaisen toimeksiannosta tehdä myös se, joka tekee viranomaisen lukuun hankintoja taikka tuottaa tietojenkäsittely- tai tietoliikennepalveluja taikka hoitaa niiden järjestämiseen liittyviä palvelutehtäviä.

Viestintävirasto suorittaa tässä laissa tarkoitetut tehtävät käytettävissään olevien voimavarojen mukaisesti ottaen huomioon kansainvälisten tietoturvallisuusvelvoitteiden noudattaminen sekä pyydettyjen toimenpiteiden merkitys viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden yleiseen parantamiseen.

Arviointiviranomainen voi käyttää arvioinnissa apuna ulkopuolista asiantuntijaa, jos se on arvioinnin laadun, käytettävissä olevien voimavarojen tai arviointiin liittyvien teknisten syiden vuoksi tarpeellista. Ulkopuolisella asiantuntijalla on oltava arviointitehtävän laatuun ja laajuuteen nähden riittävä koulutus ja kokemus. Ulkopuoliseen asiantuntijaan sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen hoitaessaan tämän pykälän mukaisia tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa (412/1974) .

Teknologian tutkimuskeskus VTT Oy:n tehtävänä on arvioida turvallisuuskriittisiä ratkaisuja arviointiviranomaisen toimeksiannosta. Teknologian tutkimuskeskus VTT Oy:n työntekijään sovelletaan, mitä 1 momentissa säädetään ulkopuolisesta asiantuntijasta.

Arviointiviranomaisten on toimittava yhteistyössä tämän lain mukaisten tehtävien hoitamiseksi ja annettava salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä toisilleen tässä tarkoituksessa välttämättömät tiedot.

Sen estämättä, mitä 3 d §:n 1 momentissa ja 4 §:n 1 ja 2 momentissa säädetään, arviointiviranomaiset voivat sopia tietyn tässä laissa säädetyn tehtävän tai sen osan hoitamisesta toisen arviointiviranomaisen lukuun, jos järjestely on tarpeen tehtävien hoitamiseksi tarkoituksenmukaisesti, taloudellisesti ja joutuisasti.

Liikenne- ja viestintävirasto vastaa arviointiviranomaisten yhteistyön ohjaamisesta yhtenäisen soveltamiskäytännön luomiseksi.

Valtiovarainministeriö voi pyytää valtionhallinnon tietoturvallisuudesta annettujen säännösten toimeenpanon seuraamiseksi sekä niiden kehittämiseksi Liikenne- ja viestintävirastoa laatimaan selvityksiä valtionhallinnon viranomaisten tietojärjestelmien tai tietoliikennejärjestelyjen yleisestä tietoturvallisuuden ja varautumisen tasosta. Selvityksen piiriin tulevat tietojärjestelmät voidaan määritellä tietojärjestelmien käyttötarkoituksen, niihin talletettavien tietojen laadun tai muun vastaavan yleisen tekijän mukaan.

Liikenne- ja viestintävirasto voi salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä sisällyttää valtiovarainministeriölle antamaansa selvitykseen sellaisia tietoja, jotka ovat välttämättömiä selvityksen tarkoituksen toteuttamiseksi.

Valtiovarainministeriö voi pyytää valtionhallinnon tietoturvallisuudesta annettujen säännösten täytäntöönpanon seuraamiseksi sekä niiden kehittämiseksi Viestintävirastoa laatimaan selvityksen valtionhallinnon viranomaisten tietojärjestelmien tai tietoliikennejärjestelyjen yleisestä tietoturvallisuuden tasosta. Selvityksen piiriin tulevat tietojärjestelmät voidaan määritellä tietojärjestelmien käyttötarkoituksen, niihin talletettavien tietojen laadun tai muun vastaavan yleisen tekijän mukaan.

Viestintävirasto voi salassapitosäännösten estämättä sisällyttää valtiovarainministeriölle antamaansa arvioon sellaisia tietoja, jotka ovat välttämättömiä arvioinnin tarkoituksen toteuttamiseksi.

Arviointiviranomaisella ja 4 a §:ssä tarkoitetulla sitä avustavalla ulkopuolisella asiantuntijalla on oikeus salassapitosäännösten tai muiden tiedon luovuttamista koskevien rajoitusten estämättä saada käyttöönsä tässä laissa säädettyjen tehtäviensä suorittamiseksi välttämättömät tietojärjestelmää, tietoliikennejärjestelyä tai turvallisuuskriittistä ratkaisua ja sen valmistusta koskevat tiedot, asiakirjat, laitteet ja ohjelmistot sekä oikeus siinä laajuudessa kuin se on välttämätöntä tehtävien suorittamiseksi päästä tietojärjestelmään, tietoliikennejärjestelyyn tai tiloihin, joissa arviointikohteeseen kuuluvia tietoja käsitellään, sekä suorittaa tarvittavia hallinnollisia ja teknisiä arviointitoimenpiteitä.

Liikenne- ja viestintävirastolla on oikeus tehdä hajasäteilysuojausratkaisun valmistajan ja sen alihankkijan tiloissa tarkastus sen selvittämiseksi, noudattavatko valmistaja ja sen alihankkija tämän lain nojalla annettuja päätöksiä. Pääesikunnan määrätyllä turvallisuusviranomaisella on oikeus tehdä edellä tarkoitettu tarkastus, jos se hoitaa tehtävää 4 b §:n 2 momentissa tarkoitetulla tavalla Liikenne- ja viestintäviraston lukuun. Tarkastuksen suorittamisessa Liikenne- ja viestintävirastoa ja Pääesikunnan määrättyä turvallisuusviranomaista voi avustaa 4 a §:ssä tarkoitettu avustava ulkopuolinen asiantuntija. Liikenne- ja viestintäviraston, Pääesikunnan määrätyn turvallisuusviranomaisen ja avustavan ulkopuolisen asiantuntijan oikeuteen päästä tiloihin ja saada tutkittavakseen välttämättömät tiedot sekä suorittaa arviointitoimenpiteitä sovelletaan, mitä 1 momentissa säädetään. Tarkastuksessa on noudatettava, mitä hallintolain (434/2003) 39 §:ssä säädetään.

Edellä 1 ja 2 momentissa tarkoitettua tarkastusta ei saa suorittaa pysyväisluonteiseen asumiseen käytetyissä tiloissa.

Viestintävirastolla ja sen toimeksiannosta toimivalla asiantuntijalla on oikeus sen estämättä, mitä tietojen salassapidosta säädetään, saada käyttöönsä Viestintäviraston arvioitavana tai selvityksen kohteena olevaa tietojärjestelmää tai tietoliikennejärjestelyjä koskevat tiedot sekä oikeus siinä laajuudessa kuin se on tarpeen arvioinnin suorittamiseksi päästä tietojärjestelmään tai tiloihin, joissa siihen kuuluvia tietoja käsitellään.

Edellä 1 momentissa tarkoitettua tarkastusta ei saa suorittaa pysyväisluonteiseen asumiseen käytetyissä tiloissa.

Tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden ja varautumisen sekä turvallisuuskriittisten ratkaisujen ja niiden valmistuksen tietoturvallisuuden arviointiperusteina voidaan käyttää:

Arviointiperusteiden ja arvioinnin kohteen määrittämisessä tulee ottaa huomioon tietojärjestelmän ja tietoliikennejärjestelyn tietoturvallisuudelle ja varautumiselle säädetyt ja riskiarvioinnin perusteella valitut vaatimukset. Arviointiviranomainen asettaa sen toteuttamien arviointien arviointiperusteet arvioinnin pyytäjää kuultuaan.

Arviointiviranomainen asettaa turvallisuuskriittisten ratkaisujen arviointiperusteet turvallisuuskriittisen ratkaisun valmistajaa kuultuaan. Sen lisäksi, mitä 1 ja 2 momentissa säädetään, turvallisuuskriittisten ratkaisujen arviointiperusteiden määrittelyssä tulee ottaa huomioon tiedon turvallisuusluokka, valmistuksen turvallisuus sekä valmiudet kansainvälisten tietoturvallisuusvelvoitteiden täyttämiseen.

Viestintävirasto voi käyttää viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arviointiperusteina:

Viestintävirasto selvittää, täyttääkö tietojärjestelmä tai tietoliikennejärjestely ne tietoturvallisuutta koskevat vaatimukset, jotka on otettu arviointiperusteeksi. Arviointi voidaan tehdä myös osittaisena.

Liikenne- ja viestintäviraston tulee 4 §:n 2 momentin 1 kohdassa tarkoitetun turvallisuuskriittisen ratkaisun ja sen valmistuksen arvioinnissa hakea turvallisuusselvityslaissa tarkoitettu yritysturvallisuusselvitys arviointia hakevasta valmistajasta. Turvallisuuskriittisen ratkaisun hyväksyntä edellyttää, että valmistajan yritysturvallisuusselvityksessä ei ole ilmennyt mitään, mikä kokonaisharkinnan perusteella vaarantaisi valmistuksen turvallisuuden ja luotettavuuden ottaen huomioon erityisesti ulkomaisen vaikutuksen riskit.

Jos turvallisuuskriittisen ratkaisun valmistuksen arviointiperusteiden osana käytetään vahvistettua kansainvälistä standardia, standardinmukaisuus voidaan osoittaa vaatimustenmukaisuuden arviointipalvelujen pätevyyden toteamisesta annetussa laissa (920/2005) säädetyn menettelyn avulla.

Tietojärjestelmän ja tietoliikennejärjestelyn tietoturvallisuuden ja varautumisen arvioinnista on laadittava arviointiraportti, johon merkitään tiedot arvioinnin kohteesta, käytetyistä arviointiperusteista, arvioinnin laajuudesta ja havainnoista.

Sen lisäksi, mitä 1 momentissa säädetään, arviointiviranomainen antaa 3 c §:ssä tarkoitetusta pyynnöstä viranomaisen tietojärjestelmän tai tietoliikennejärjestelyn hyväksyntäpäätöksen tai ‑lausunnon, jos tietojärjestelmä tai tietoliikennejärjestely täyttää vaatimukset. Päätökseen tai lausuntoon on merkittävä tiedot arvioinnin kohteesta, käytetyistä arviointiperusteista, arvioinnin laajuudesta, arvioinnin tuloksista ja jäännösriskistä sekä tarvittaessa voimassaoloajasta.

Sen lisäksi, mitä 1 momentissa säädetään, Liikenne- ja viestintäviraston on annettava 4 §:n 2 momentin 1 kohdassa tarkoitettuun hakemukseen turvallisuuskriittisen ratkaisun ja valmistuksen tietoturvallisuuden arvioinnista päätös, josta ilmenee arvioinnin tulos. Hyväksyntäpäätöksestä tulee ilmetä hyväksynnän voimassaolo, ja siihen voidaan sisällyttää sellaisia rajoituksia ja ehtoja, jotka ovat tarpeen ratkaisun turvallisessa käytössä. Hajasäteilysuojausratkaisuja valmistavan turvallisuuskriittisen ratkaisun valmistajaa koskevaan hyväksyntäpäätökseen voidaan sisällyttää ehtoja, jotka ovat tarpeen valmistuksen luotettavuuden varmistamiseksi.

Viestintävirasto voi pyydettäessä antaa todistuksen tietoturvallisuutta koskevat vaatimukset täyttävästä tietojärjestelmästä tai tietoliikennejärjestelystä. Todistukseen merkitään käytetyt arviointiperusteet sekä tiedot arvioinnin laajuudesta sekä tarvittaessa todistuksen voimassaoloajasta.

Todistus voidaan antaa määräajaksi, jos siihen on erityinen syy.

Liikenne- ja viestintävirasto ylläpitää julkista luetteloa 8 §:n 3 momentin mukaisesti hyväksyntäpäätöksen saaneista turvallisuuskriittisistä ratkaisuista ja turvallisuuskriittisten ratkaisujen valmistajista. Luettelosta tulee käydä ilmi:

Valtioneuvoston asetuksella voidaan säätää, että 8 §:ssä tarkoitettu todistus on hankittava sellaisen valtionhallinnon viranomaisen määräysvallassa olevasta tietojärjestelmästä tai tietoliikennejärjestelystä, jossa käsitellään turvallisuusluokkaan I tai II kuuluviksi luokiteltuja asiakirjoja.

Viestintävirasto voi tallettaa antamastaan todistuksesta 8 §:ssä mainitut tiedot turvallisuusselvityslaissa tarkoitettuun turvallisuusselvitysrekisteriin. Viestintäviraston on poistettava merkintä kuuden kuukauden kuluessa siitä, kun todistuksessa asetettu määräaika on päättynyt. Merkintä poistetaan kuukauden kuluessa siitä, kun peruuttamista koskeva ratkaisu on tullut lainvoimaiseksi.

Edellä 8 §:ssä tarkoitetun päätöksen tai lausunnon saaneen on ylläpidettävä tietoturvallisuus lausunnon tai päätöksen mukaisena. Päätöksen tai lausunnon saaneen on ilmoitettava arviointiviranomaiselle sellaisista muutoksista, joilla voi olla vaikutusta päätöksen tai lausunnon mukaisiin vaatimuksiin.

Sen, joka haluaa 8 §:ssä tarkoitetun todistuksen, on annettava sitoumus tietoturvallisuustason säilyttämisestä. Todistuksen saaneen on ilmoitettava Viestintävirastolle sellaisista muutoksista, joilla on vaikutusta tietoturvallisuustasoon, sekä sallittava Viestintävirastolle pääsy tietojärjestelmiin ja tietoliikennejärjestelyihin sen selvittämiseksi, täyttävätkö ne edelleen todistuksen mukaiset vaatimukset.

Arviointiviranomainen voi peruuttaa 8 §:ssä tarkoitetun lausunnon tai päätöksen kokonaan tai osittain, jos arvioinnin kohteena ollut tietojärjestelmä, tietoliikennejärjestely tai turvallisuuskriittinen ratkaisu taikka turvallisuuskriittisen ratkaisun valmistaja ei enää täytä niitä vaatimuksia, jotka ovat olleet edellytyksenä päätöksen tai lausunnon antamiselle.

Arviointiviranomaisen on ennen 1 momentissa tarkoitetun peruuttamisen tekemistä kuultava päätöksen tai lausunnon saanutta sekä varattava tälle tilaisuus korjata puute.

Arviointiviranomainen voi 1 momentissa tarkoitetussa peruuttamista koskevassa päätöksessään määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei muutoksenhakuviranomainen toisin määrää.

Viestintävirasto voi peruuttaa tämän lain nojalla annetun todistuksen, jos arvioinnin kohteena ollut tietojärjestelmä tai tietoliikennejärjestely ei enää täytä niitä vaatimuksia, jotka ovat olleet edellytyksenä todistuksen antamiselle.

Viestintäviraston on ennen 1 momentissa tarkoitetun ratkaisun tekemistä kuultava todistuksen saanutta sekä varattava tälle tilaisuus korjata puute.

Viestintävirasto voi 1 momentissa tarkoitetussa päätöksessään määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei muutoksenhakuviranomainen toisin määrää.

Muutoksenhausta arviointiviranomaisen tämän lain nojalla tekemään päätökseen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019) .

Muutoksenhausta Viestintäviraston tämän lain nojalla tekemään päätökseen säädetään hallintolainkäyttölaissa (586/1996) .

Arviointiviranomaisen arvioinnista sekä arviointiraportin, lausunnon tai päätöksen antamisesta, neuvonnasta ja selvityksestä peritään asian vireille saattajalta maksu noudattaen, mitä valtion maksuperustelaissa (150/1992) säädetään.

Asian vireille saattajalta Viestintäviraston arvioinnista, todistuksen antamisesta ja selvityksestä perittävistä maksuista säädetään valtion maksuperustelaissa (150/1992) ja sen nojalla.

Tämä laki tulee voimaan 1 päivänä kesäkuuta 2012.

Valtionhallinnon viranomaisten on saatettava ulkopuolisten arviointipalvelujen käyttö vastaamaan 3 §:n velvoitteita kolmen vuoden kuluessa lain voimaantulosta.

Ennen lain voimaantuloa voidaan ryhtyä lain täytäntöönpanon edellyttämiin toimenpiteisiin.