1109/2015

Tässä asetuksessa tarkoitetaan:

Turvallisuusverkkolain 7 §:n 1 momentin 1 kohdassa tarkoitettuja verkkopalveluja ovat:

Turvallisuusverkkolain 7 §:n 1 momentin 2 kohdassa tarkoitettuja infrastruktuuripalveluja ovat laitetilojen sekä laite- ja antennipaikkojen tarjoaminen käyttäjille ja palvelutuottajille.

Turvallisuusverkkolain 9 §:n 1 momentin 1 kohdassa tarkoitettuja yhteisiä tieto- ja viestintäteknisiä palveluja ovat:

Lisäksi turvallisuusverkkolain 8 §:n 1 momentissa tarkoitettu palvelujen tuottaja voi tuottaa mainitun lain 5 §:n 3 momentissa tarkoitettujen, turvallisuusverkon laitetiloihin sijoitettujen laitteiden ja tietojärjestelmien käyttöä tukevia palveluja.

Turvallisuusverkkolain 9 §:n 2 momentin 1 kohdassa tarkoitettuja viranomaisradioverkon sekä viranomaisten aikakriittisen laajakaistaisen matkaviestinnän yhteisiä tieto- ja viestintäteknisiä palveluja ovat:

Lisäksi tieto- ja viestintäteknisten palvelujen palvelutuottajat voivat tuottaa käyttäjien ja palvelutuottajien tilannetietoisuutta, johtamista tai viestinnän häiriöttömyyttä ja jatkuvuutta sekä tietoturvallisuudesta huolehtimista tukevia yhteisiä palveluja.

Integraatiopalvelujen tuottajan tehtävänä on yhteistyössä muiden palvelutuottajien kanssa:

Palvelutuottaja voi tuottaa 2–4 §:ssä tarkoitettuihin palveluihin ja tehtäviin liittyviä asennuspalveluja sekä projekti- ja asiantuntijapalveluja turvallisuusverkon käyttäjille ja muille palvelutuottajille.

Palvelutuottajan on huolehdittava tuottamansa turvallisuusverkon palvelun sekä hoitamiensa turvallisuusverkkoon liittyvien tehtävien laadusta ja kustannustehokkuudesta. Palvelutuottajan on erityisesti huolehdittava:

Palvelutuottajan on ylläpidettävä 1 momentissa säädettyihin tehtäviin liittyvää tilannetietoisuutta ja välitettävä tilannetietoja integraatiopalvelujen tuottajalle ja erikseen sovitulla tavalla käyttäjälle.

Palvelutuottajien on turvallisuusverkon palveluja tuottaessaan ja tässä pykälässä tarkoitettuja tehtäviä hoitaessaan tehtävä yhteistyötä keskenään ja käyttäjien kanssa sekä sovittava palvelutuotantonsa yhteensovittamisesta normaalioloissa, niiden häiriötilanteissa sekä poikkeusoloissa.

Palvelutuottajan on pidettävä yllä tietoja turvallisuusverkon palvelujen tuottamiseen liittyvistä sopimuksista ja alihankkijoista.

Sen lisäksi, mitä turvallisuusverkkolain 5 §:n 3 momentissa säädetään, palvelutuottajan turvallisuusverkon palvelujen tuottamiseen käyttämiin laitetiloihin voidaan valtiovarainministeriön päätöksellä sijoittaa valtion ylimmän johdon ja yhteiskunnan turvallisuuden kannalta tärkeiden viranomaisten ja muiden toimijoiden yhteistoiminnassa käytettäviä laitteita ja tietojärjestelmiä, jos toiminnassa on noudatettava korkean varautumisen tai turvallisuuden vaatimuksia.

Turvallisuusverkon palvelujen jatkuvuuden turvaamiseksi normaalioloissa, niiden häiriötilanteissa sekä poikkeusoloissa, palvelutuottajan on palvelukohtaisten varautumista koskevien vaatimusten edellyttämässä laajuudessa, tarvittaessa yhteistyössä muiden palvelutuottajien ja käyttäjien kanssa: (11.6.2020/442)

Turvallisuusverkon palvelut on tuotettava ja kehitettävä siten, että on palvelukohtaisesti mahdollista täyttää salassa pidettävien asiakirjojen käsittelyä koskevat tietoturvallisuusvaatimukset, asiakirjojen turvallisuusluokittelusta valtionhallinnossa annetussa valtioneuvoston asetuksessa (1101/2019) säädetyt turvallisuusluokkien II, III tai IV asiakirjojen käsittelyä koskevat tietoturvallisuusvaatimukset sekä kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa (588/2004) tarkoitetut erityissuojattaville tietoaineistoille asetetut tietoturvallisuusvaatimukset.

Palvelutuottajan on ylläpidettävä käyttäjien saatavilla palvelukohtaista luetteloa 1 momentissa tarkoitettujen vaatimusten täyttymisestä sekä 10 §:ssä tarkoitettujen tietoturvallisuusvaatimusten täyttymistä koskevien arviointien tuloksista.

Turvallisuusverkon palveluja koskevien tietoturvallisuus- ja varautumisvaatimusten täyttymisen toteamisessa käytetään arviointiperusteina tätä asetusta ja valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamia määräyksiä.

Turvallisuusverkon palvelujen tietoturvallisuus- ja varautumisvaatimusten täyttyminen on arvioitava ja todettava noudattaen viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annettua lakia (1406/2011) ja kansainvälisistä tietoturvallisuusvelvoitteista annettua lakia.

Palvelutuottaja vastaa, että sen palvelutuotannossa olevat turvallisuusverkon palvelut sekä niiden tuottamiseen käytettävät tietojärjestelmät ja laitteet täyttävät 8 ja 9 §:ssä asetut vaatimukset koko niiden elinkaaren ajan myös silloin kun se käyttää turvallisuusverkon palvelun tuottamiseen alihankkijaa.

Valtiovarainministeriö hyväksyy 2, 3 ja 5 §:ssä tarkoitetut turvallisuusverkon palvelut käyttöönotettavaksi. Hyväksymisen edellytyksenä on, että palvelujen voidaan 10 §:n mukaisesti todeta täyttävän 8 ja 9 §:n mukaiset vaatimukset siinä määrin, ettei käyttöönottamisella vaaranneta turvallisuusverkkolain tarkoituksen toteutumista ja on ilmeistä, että vaatimukset tulevat täyttymään hyväksymisen yhteydessä määriteltyyn ajankohtaan mennessä.

Käyttäjän on ennen turvallisuusverkon palvelujen käyttöönottoa annettava palvelutuottajalle selvitys siitä, että se täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät käyttöä koskevat tietoturvallisuusvaatimukset.

Käyttäjän on ennen sen tietojärjestelmän tai tieto- ja viestintäteknisen palvelun liittämistä turvallisuusverkkoon annettava palvelutuottajalle selvitys siitä, että liitettävä tietojärjestelmä tai tieto- ja viestintätekninen palvelu täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät liittämisen edellytyksenä olevat tietoturvallisuusvaatimukset.

Palvelutuottaja voi antaa turvallisuusverkon palvelut käytettäväksi varmistuttuaan 2 momentissa tarkoitettujen vaatimusten täyttymisestä. Palvelutuottaja voi liittää käyttäjän tietojärjestelmän tai tieto- ja viestintäteknisen palvelun turvallisuusverkkoon varmistuttuaan 2 ja 3 momentissa tarkoitettujen vaatimusten täyttymisestä. Palvelutuottajan on lisäksi varmistuttava siitä, että käyttäjän tietojärjestelmän tai tieto- ja viestintäteknisen palvelun liityntäratkaisu täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät liityntäratkaisun tietoturvallisuutta koskevat vaatimukset. Jos palvelutuottaja ei pysty varmistumaan vaatimusten täyttymisestä tai sen arvion mukaan käytöllä tai liittämisellä voi olla haitallinen vaikutus turvallisuusverkon tietoturvallisuudelle, sen on siirrettävä käyttöä tai liittämistä koskeva asia valtiovarainministeriön käsiteltäväksi.

Valtiovarainministeriön on kuultava turvallisuusverkkotoiminnan neuvottelukuntaa ainakin ennen seuraavia asioita koskevien määräysten, päätösten ja suositusten antamista:

Tämä asetus tulee voimaan 15 päivänä syyskuuta 2015.