442/2020

Helsingissä 11 päivänä kesäkuuta 2020

Valtioneuvoston asetus julkisen hallinnon turvallisuusverkkotoiminnasta annetun valtioneuvoston asetuksen muuttamisesta

Valtioneuvoston päätöksen mukaisesti

muutetaan julkisen hallinnon turvallisuusverkkotoiminnasta annetun valtioneuvoston asetuksen (1109/2015) 3 ja 4 §, 8 §:n johdantokappale sekä 9, 11 ja 12 § seuraavasti:

3 §
Tieto- ja viestintäteknisten palvelujen tuottajan tehtävät ja palvelut

Turvallisuusverkkolain 9 §:n 1 momentin 1 kohdassa tarkoitettuja yhteisiä tieto- ja viestintäteknisiä palveluja ovat:

1) päätelaitepalvelut;

2) käyttäjätukipalvelut;

3) viestintätekniset palvelut;

4) muut kuin tämän asetuksen 2 §:ssä tarkoitetut tietoliikennepalvelut;

5) käyttöpalvelut;

6) tietokanta- ja sovellusalustapalvelut;

7) integraatio- ja sanomanvälityspalvelut;

8) 1–7 kohdassa tarkoitettuihin palveluihin liittyvät tietoturvapalvelut;

9) 1–8 kohdassa tarkoitettuihin palveluihin liittyvät omaisuudenhallintapalvelut.

Lisäksi turvallisuusverkkolain 8 §:n 1 momentissa tarkoitettu palvelujen tuottaja voi tuottaa mainitun lain 5 §:n 3 momentissa tarkoitettujen, turvallisuusverkon laitetiloihin sijoitettujen laitteiden ja tietojärjestelmien käyttöä tukevia palveluja.

Turvallisuusverkkolain 9 §:n 2 momentin 1 kohdassa tarkoitettuja viranomaisradioverkon sekä viranomaisten aikakriittisen laajakaistaisen matkaviestinnän yhteisiä tieto- ja viestintäteknisiä palveluja ovat:

1) päätelaitepalvelut;

2) käyttäjätukipalvelut;

3) viranomaisradioverkon liittymäpalvelut;

4) viranomaisradioverkon viestintätekniset palvelut;

5) viranomaisten aikakriittisen laajakaistaisen matkaviestinnän liittymäpalvelut;

6) viranomaisten aikakriittisen laajakaistaisen matkaviestinnän viestintätekniset palvelut;

7) 1–6 kohdassa tarkoitettuihin palveluihin liittyvät tietoturvapalvelut;

8) 1–7 kohdassa tarkoitettuihin palveluihin liittyvät omaisuudenhallintapalvelut.

Lisäksi tieto- ja viestintäteknisten palvelujen palvelutuottajat voivat tuottaa käyttäjien ja palvelutuottajien tilannetietoisuutta, johtamista tai viestinnän häiriöttömyyttä ja jatkuvuutta sekä tietoturvallisuudesta huolehtimista tukevia yhteisiä palveluja.

4 §
Integraatiopalvelujen tuottajan tehtävät

Integraatiopalvelujen tuottajan tehtävänä on yhteistyössä muiden palvelutuottajien kanssa:

1) muodostaa turvallisuusverkon palvelukokonaisuudet;

2) vastata turvallisuusverkon palvelukokonaisuuksien tarjoamiseen liittyvän sopimus- ja asiakkuudenhallinnan yhteensovittamisesta;

3) järjestää turvallisuusverkon palvelujen yhdistäminen käyttäjien tieto- ja viestintäteknisiin palveluihin;

4) koordinoida turvallisuusverkon palvelukokonaisuuksien muutoksenhallintaa, häiriötilannehallintaa ja tietoturvauhkilta suojautumista palvelutuottajien välillä ja tiedottaa niistä käyttäjiä;

5) koota turvallisuusverkon palvelukokonaisuuksien ohjaamiseen, kehittämiseen ja ylläpitämiseen tarvittavia tilannetietoja ja välittää niitä valtiovarainministeriölle ja käyttäjille.

8 §
Varautuminen

Turvallisuusverkon palvelujen jatkuvuuden turvaamiseksi normaalioloissa, niiden häiriötilanteissa sekä poikkeusoloissa, palvelutuottajan on palvelukohtaisten varautumista koskevien vaatimusten edellyttämässä laajuudessa, tarvittaessa yhteistyössä muiden palvelutuottajien ja käyttäjien kanssa:


9 §
Tietoturvallisuusvaatimukset

Turvallisuusverkon palvelut on tuotettava ja kehitettävä siten, että on palvelukohtaisesti mahdollista täyttää salassa pidettävien asiakirjojen käsittelyä koskevat tietoturvallisuusvaatimukset, asiakirjojen turvallisuusluokittelusta valtionhallinnossa annetussa valtioneuvoston asetuksessa (1101/2019) säädetyt turvallisuusluokkien II, III tai IV asiakirjojen käsittelyä koskevat tietoturvallisuusvaatimukset sekä kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa (588/2004) tarkoitetut erityissuojattaville tietoaineistoille asetetut tietoturvallisuusvaatimukset.

Palvelutuottajan on ylläpidettävä käyttäjien saatavilla palvelukohtaista luetteloa 1 momentissa tarkoitettujen vaatimusten täyttymisestä sekä 10 §:ssä tarkoitettujen tietoturvallisuusvaatimusten täyttymistä koskevien arviointien tuloksista.

11 §
Turvallisuusverkon palvelujen käyttö

Valtiovarainministeriö hyväksyy 2, 3 ja 5 §:ssä tarkoitetut turvallisuusverkon palvelut käyttöönotettavaksi. Hyväksymisen edellytyksenä on, että palvelujen voidaan 10 §:n mukaisesti todeta täyttävän 8 ja 9 §:n mukaiset vaatimukset siinä määrin, ettei käyttöönottamisella vaaranneta turvallisuusverkkolain tarkoituksen toteutumista ja on ilmeistä, että vaatimukset tulevat täyttymään hyväksymisen yhteydessä määriteltyyn ajankohtaan mennessä.

Käyttäjän on ennen turvallisuusverkon palvelujen käyttöönottoa annettava palvelutuottajalle selvitys siitä, että se täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät käyttöä koskevat tietoturvallisuusvaatimukset.

Käyttäjän on ennen sen tietojärjestelmän tai tieto- ja viestintäteknisen palvelun liittämistä turvallisuusverkkoon annettava palvelutuottajalle selvitys siitä, että liitettävä tietojärjestelmä tai tieto- ja viestintätekninen palvelu täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät liittämisen edellytyksenä olevat tietoturvallisuusvaatimukset.

Palvelutuottaja voi antaa turvallisuusverkon palvelut käytettäväksi varmistuttuaan 2 momentissa tarkoitettujen vaatimusten täyttymisestä. Palvelutuottaja voi liittää käyttäjän tietojärjestelmän tai tieto- ja viestintäteknisen palvelun turvallisuusverkkoon varmistuttuaan 2 ja 3 momentissa tarkoitettujen vaatimusten täyttymisestä. Palvelutuottajan on lisäksi varmistuttava siitä, että käyttäjän tietojärjestelmän tai tieto- ja viestintäteknisen palvelun liityntäratkaisu täyttää valtiovarainministeriön turvallisuusverkkolain 14 §:n 4 momentin nojalla antamassa määräyksessä kuvatut tai valtiovarainministeriön muutoin hyväksymät liityntäratkaisun tietoturvallisuutta koskevat vaatimukset. Jos palvelutuottaja ei pysty varmistumaan vaatimusten täyttymisestä tai sen arvion mukaan käytöllä tai liittämisellä voi olla haitallinen vaikutus turvallisuusverkon tietoturvallisuudelle, sen on siirrettävä käyttöä tai liittämistä koskeva asia valtiovarainministeriön käsiteltäväksi.

12 §
Turvallisuusverkkotoiminnan neuvottelukunnan tehtävät

Valtiovarainministeriön on kuultava turvallisuusverkkotoiminnan neuvottelukuntaa ainakin ennen seuraavia asioita koskevien määräysten, päätösten ja suositusten antamista:

1) turvallisuusverkkotoiminnan strategiset tavoitteet ja rahoitus sekä palvelutuottajien perimät maksut;

2) palvelutuottajia koskevat palvelun laatu-, turvallisuus-, valmius-, varautumis- ja jatkuvuusvaatimukset;

3) turvallisuusverkon palvelutuotannon järjestäminen ja sen kehittäminen;

4) turvallisuusverkon palvelujen varautumisen ja turvallisuuden järjestäminen ja ylläpito;

5) uuden turvallisuusverkkolain 4 §:n 1 momentissa tarkoitetun turvallisuusverkon käyttäjän hyväksyminen;

6) 11 §:n 1 momentissa tarkoitettu turvallisuusverkon palvelun käyttöönottoon hyväksyminen;

7) 11 §:n 2–4 momentissa tarkoitettujen turvallisuusverkon käyttöä sekä turvallisuusverkkoon liittämistä koskevien vaatimusten täyttyminen, jos asia on siirretty valtiovarainministeriön käsiteltäväksi;

8) palvelutuottajan alihankinnan laajuus ja alihankinnan käytön edellytykset;

9) turvallisuusverkon palvelujen tuotannon ja käytön ensisijaisuus-, kiireellisyys- ja muu tärkeysmäärittely, jollei asian kiireellisyys edellytä välittömiä toimenpiteitä.


Tämä asetus tulee voimaan 1 päivänä heinäkuuta 2020.

Helsingissä 11 päivänä kesäkuuta 2020

Kuntaministeri
Sirpa Paatero

Lainsäädäntöneuvos
Eeva Lantto

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.