Source: https://www.eduskunta.fi/SV/vaski/Mietinto/Sidor/KoUB_6+2018.aspx
Timestamp: 2020-07-07 17:11:57+00:00

Document:
Regeringens proposition till riksdagen med förslag till lagar om ändring av lagar som har samband med genomförandet av Europeiska unionens direktiv om nät- och informationssäkerhet (RP 192/2017 rd): Ärendet har remitterats till kommunikationsutskottet för betänkande.
IKT-direktör
I propositionen föreslår regeringen ett antal skyldigheter för vissa leverantörer av samhällsviktiga tjänster och vissa leverantörer av digitala tjänster. De gäller hantering av informationssäkerhetsrisker samt rapportering av störningar. Dessutom införs bestämmelser om tillsyn över dessa skyldigheter, om informationsutbyte mellan myndigheter och om myndigheternas allmänna verksamhet i anknytning till informationssäkerhet. Genom den föreslagna lagstiftningen införlivas Europaparlamentets och rådets direktiv om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen i den nationella lagstiftningen.
Propositionen bidrar till att genomföra målen i regeringsprogrammet att främja digitaliseringen och säkerställa den digitala säkerheten genom att förbättra informationssäkerhetsnivån för de tjänster som är viktiga för samhället och medborgarna. Genom propositionen ska medborgarnas och företagens förtroende för digitaliseringen ökas och därmed också den digitala affärsverksamhetens tillväxt och konkurrenskraft främjas.
För att förbättra informationssäkerheten för samhällsviktiga tjänster införs i informationssamhällsbalken, luftfartslagen, järnvägslagen, lagen om fartygstrafikservice, lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet, lagen om transportservice, elmarknadslagen, naturgasmarknadslagen och lagen om vattentjänster bestämmelser om skyldigheten för viktiga tillhandahållare av tjänster att hantera riskerna i fråga om kommunikationsnät och informationssystem och även att till den myndighet som utövar tillsyn och till allmänheten rapportera störningar som är betydande med tanke på informationssäkerheten. Skyldigheterna enligt informationssamhällsbalken gäller tillhandahållare av internetbaserade marknadsplatser, sökmotortjänster och molntjänster. Skyldigheterna enligt luftfartslagen gäller leverantörer av flygtrafiktjänster samt operatörer av samhällsviktiga flygplatser. Skyldigheterna enligt järnvägslagen gäller förvaltaren av statens bannät samt bolag som tillhandahåller trafikledningstjänster. Skyldigheterna enligt lagen om fartygstrafikservice gäller leverantörer av fartygstrafikservice. Skyldigheten enligt lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet gäller innehavare av samhällsviktiga hamnar. Skyldigheterna enligt lagen om transportservice gäller förvaltare av intelligenta trafiksystem. Skyldigheten enligt elmarknadslagen gäller nätinnehavare. Skyldigheterna enligt naturgasmarknadslagen gäller överföringsnätsinnehavare och skyldigheterna enligt lagen om vattentjänster vattentjänstverk som levererar eller tar emot avloppsvatten minst 5 000 kubikmeter vatten per dygn.
De sektorsvisa tillsynsmyndigheterna har behörighet att utöva tillsyn över fullgörandet av skyldigheterna i fråga om riskhantering och rapportering av störningar. Dessa myndigheter är Kommunikationsverket, Trafiksäkerhetsverket, Energimyndigheten, Finansinspektionen samt närings-, trafik- och miljöcentralen. Vidare föreslås det att bestämmelser om samarbete mellan tillsynsmyndigheterna och om utbyte av sådan sekretessbelagd information som behövs för uppgifter inom informationssäkerheten införs i anslutning till bestämmelserna om myndigheternas behörighet. Avsikten är att säkerställa samarbetet mellan myndigheterna.
Dessutom införs bestämmelser om skyldighet för Kommunikationsverket att samarbeta med de enheter för hantering av it-säkerhetsincidenter, de tillsynsmyndigheter och den samarbetsgrupp för medlemsstaterna som avses i direktivet om nät- och informationssäkerhet.
De föreslagna lagarna avses träda i kraft den 1 maj 2018.
Syftet med propositionen och EU-direktivet om nät- och informationssäkerhet (2016/1148) som ska genomföras är välkommet, menar utskottet. Det handlar om att främja informationssäkerheten och därigenom den övergripande säkerheten i samhället. De samhällsviktiga tjänsterna är alltmer beroende av fungerande kommunikationsnät och informationssystem. Problem med informationssäkerheten och störningar i de tjänsterna kan i värsta fall ha allvarliga konsekvenser för samhällets olika sektorer. Genom att ställa upp skyldigheter för hanteringen av informationssäkerhetsrisker och rapporteringen av störningar i tjänsterna för vissa tjänsteleverantörer inom transport, energidistribution, vattentjänster, hälso- och sjukvård och digitala tjänster kan man främja den övergripande säkerheten i samhället och försöka öka förtroendet för digitala tjänster och förfaranden. Målet bör vara att dessa tjänsteleverantörer inom ramen för sin normala verksamhet ska sörja för informationssäkerheten och rapportera om eventuella störningar.
Under utfrågningen framförde en del av de sakkunniga kritik mot att propositionen inte tillräckligt exakt anger vilka de leverantörer av digitala tjänster är som skyldigheterna gäller. Enligt uppgift är det emellertid fråga om begrepp som anges i det direktiv som nu ska genomföras. Det är inte ändamålsenligt och till vissa delar inte ens möjligt att definiera dem i nationell lag. När lagen verkställs och direktivet tolkas är det viktigt att se till att skyldigheterna inte försämrar möjligheterna att ta fram nya tjänster eller konkurrensvillkoren för finländska aktörer. Det är också viktigt att informera inte minst leverantörer av digitala tjänster om den reglering som träder i kraft och om de krav som följer av den.
Under behandlingen av ärendet sades det vidare att det kunde vara lämpligt att införa motsvarande informationssäkerhetsrelaterade skyldigheter också för en del andra aktörer som är viktiga för att samhället ska fungera. Som exempel nämndes bland annat tjänsteleverantörer som ansvarar för intelligent trafikledning. Utskottet anser att det är viktigt att i framtiden göra en övergripande utvärdering av konsekvenserna av regleringen och att samtidigt bedöma om skyldigheterna till vissa delar också bör utsträckas till nya aktörer eller sektorer utanför direktivets tillämpningsområde. Utskottet konstaterar att informationssäkerheten i framtiden kommer att få en allt större betydelse också med tanke på trafiksäkerheten, när fordons- och trafiktjänsterna framöver i allt hög-re grad kommer att vara kopplade till kommunikationsnäten. Enligt uppgift till utskottet har denna bedömning redan inletts när det gäller vägtrafikstyrnings- och vägtrafikledningstjänsterna.
Utskottet anser att den verksamhet som bedrivs av cybersäkerhetscentret vid Kommunikationsverket är synnerligen viktig med tanke på samhällets övergripande säkerhet. Förslaget stärker centrets möjligheter att främja informationssäkerheten och därmed bidra till de samhällsviktiga funktionernas kontinuitet, menar utskottet. I framtiden bör man se till att Kommunikationsverket också får tillräckliga resurser för att sköta och ytterligare utveckla dessa uppgifter, som gagnar samhällets alla sektorer.
Utskottet har i sitt betänkande KoUB 21/2017 rd — RP 82/2017 rd ändrat rubriken för informationssamhällsbalken så att lagens namn blir lagen om tjänster inom elektronisk kommunikation. Ändringen träder i kraft den 1 juni 2018. Rubriken i ändringsförslaget i den nu aktuella propositionen är fortfarande i kraft, och lagförslaget träder enligt uppgift från kommunikationsministeriet i kraft före den ovannämnda rubrikändringen. Utskottet betonar att det här lagförslaget på grund av både rubrikändringen och skyldigheterna i direktivet bör sättas i kraft senast i maj 2018.
15 b §. Anmälan om störningar i vattentjänster.
Utskottet ändrar 1 mom. för att samordna bestämmelsen med de andra bestämmelserna i propositionen som har samma innehåll. Att det ligger i allmänt intresse att en störning anmäls blir då en förutsättning också för skyldigheten att informera om störningar i vattentjänsterna eller för att den myndighet som avses i bestämmelsen ska informera om saken.
6 §. Utlämnande av uppgifter.
Kommunikationsministeriet har varit av den meningen att det bör föreskrivas att Tillstånds- och tillsynsverket för social- och hälsovården (Valvira) har rätt att lämna ut sekretessbelagd information till Kommunikationsverket på samma sätt som i fråga om andra tillsynsmyndigheter. Utifrån inkommen utredning har utskottet lagt till ett nytt lagförslag 12, där 6 § i lagen om Tillstånds- och tillsynsverket för social- och hälsovården (669/2008) får ett nytt 4 mom. Enligt det nya momentet har Tillstånds- och tillsynsverket för social- och hälsovården rätt att trots sekretessbestämmelserna lämna ut information till Kommunikationsverket, om det är nödvändigt för skötseln av informationssäkerhetsrelaterade uppgifter. Utskottet konstaterar att myndigheternas tystnadsplikt och deras tjänsteansvar säkerställer att det inte uppstår några problem med informationssäkerheten till följd av informationsutbytet mellan myndigheterna. När det nya momentet läggs till blir 4 mom. 5 mom.
Riksdagen godkänner lagförslag 1—9 och 11 i proposition RP 192/2017 rd utan ändringar.
Riksdagen godkänner lagförslag 10 i proposition RP 192/2017 rd med ändringar.(Utskottets ändringsförslag)
Riksdagen godkänner ett nytt lagförslag 12. (Utskottets nya lagförslag)
ändras i informationssamhällsbalken (917/2014) 275 §, 304 § 1 mom. 7 och 10 punkten samt 313 § 2 mom. 2 punkten och
fogas till lagen en ny 247 a §, till 308 §, sådan den lyder delvis ändrad i lag 456/2016, ett nytt 3 mom. samt till 318 §, sådan den lyder delvis ändrad i lag 456/2016, ett nytt 2 mom., varvid det nuvarande 2-4 mom. blir 3-5 mom., som följer:
Skyldighet för den som tillhandahålle av internetbaserade marknadsplatser, sökmotortjänster och molntjänster att sörja för riskhanteringen i fråga om kommunikationsnät och informationssystem
1) systems och anläggningars säkerhet,
2) hantering av hot mot informationssäkerheten och av störningar,
3) driftskontinuitetshantering,
5) efterlevnad av internationella standarder.
7) samla in information om kränkningar och hot om kränkningar av informationssäkerheten för nättjänster, kommunikationstjänster, mervärdestjänster och informationssystem samt om fel och störningar i kommunikationsnät och kommunikationstjänster,
10) utreda kränkningar och hot om kränkningar av informationssäkerheten för nättjänster, kommunikationstjänster, mervärdestjänster och informationssystem,
308 §
Kommunikationsverket ska samarbeta med de myndigheter som utövar tillsyn över nät- och informationssäkerheten i övriga medlemsstater i Europeiska unionen, med enheter för hantering av it-säkerhetsincidenter samt med den samarbetsgrupp som avses i artikel 11 i direktivet om nät- och informationssäkerhet. Kommunikationsverket ska årligen sända samarbetsgruppen en sammanfattande rapport i enlighet med artikel 10.3 i direktivet.
313 §
2) ärendet trots en misstanke om fel eller försummelser endast har en ringa betydelse med tanke på kommunikationsmarknadens funktion, kommunikationstjänsternas tillförlitlighet eller tryggandet av störningsfri elektronisk kommunikation och med tanke på deras intressen som använder tjänsterna eller med tanke på riskhanteringen i fråga om de tjänster som avses i 247 a §, eller
318 §
fogas till 16 § i lagen om fartygstrafikservice (623/2005) ett nytt 5 mom., till lagen en ny 18 a § samt till 28 §, sådan den lyder delvis ändrad i lag (1307/2009), ett nytt 4 mom. som följer:
Trafiksäkerhetsverket ska bedöma hur den riskhantering som avses i 16 § 5 mom. påverkarsäkerheten inom sjöfarten. Trafiksäkerhetsverket kan ålägga en aktör att vidta korrigerande åtgärder för att eliminera en betydande risk som inverkar på säkerheten inom sjöfarten. Åläggandet kan förenas med vite. Bestämmelser om vite finns i viteslagen (1113/1190).
om ändring av lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet
Trafiksäkerhetsverket ska bedöma hur den riskhantering som avses i 1 mom. påverkar säkerheten inom sjöfarten. Verket kan ålägga en i 1 mom. avsedd hamninnehavare att vidta korrigerande åtgärder för att eliminera en betydande risk som inverkar på säkerheten inom sjöfarten. Åläggandet kan förenas med vite. Bestämmelser om vite finns i viteslagen (1113/1190).
fogas till lagen om transportservice (320/2017) III avd. 2 kap. en ny 7 § som följer:
Den som tillhandahåller ett intelligent trafiksystem ska utan dröjsmål lämna Trafiksäkerhetsverket en anmälan om betydande informationssäkerhetsrelaterade störningar, som är riktade mot sådana kommunikationsnät eller informationssystem som denne använder.
ändras i elmarknadslagen (588/2013) 62 § 1 mom., sådant det lyder i lag 590/2017, samtfogas till lagen en ny 29 a § som följer:
Överföringsnätinnehavares skyldighet att sörja för riskhanteringen i fråga om kommunikationsnät och informationssystem samt anmälan om störning i informationssäkerheten
Överföringsnätinnehavaren ska sörja för riskhanteringen i fråga om de kommunikationsnät och informationssystem som denne använder.
Överföringsnätinnehavaren ska utan dröjsmål lämna Energimyndigheten en anmälan om sådana betydande informationssäkerhetsrelaterade störningar som är riktade mot kommunikationsnät eller informationssystem som denne använder och som kan leda till att naturgasdistributionen i överföringsnätet avbryts i betydande omfattning.
Om det ligger i allmänt intresse att en störning anmäls kan Energimyndigheten ålägga överföringsnätinnehavaren att informera allmänheten om saken eller, efter att ha hört den anmälningspliktiga, själv informera om saken.
om ändring av 27 och 28 § i lagen om tillsyn över el- och naturgasmarknaden
ändras i lagen om tillsyn över el- och naturgasmarknaden (590/2013) 27 §, rubriken för 28 §, det inledande stycket i 28 § 1 mom. och 28 § 1 mom. 1 punkten samt 2 och 3 mom. som följer:
I frågor som hör till Energimyndighetens behörighet har verket rätt att utöva tillsynssamarbete med Finansinspektionen, Konkurrens- och konsumentverket, Kommunikationsverket, konsumentombudsmannen, byrån för samarbete mellan energitillsynsmyndigheter, en annan EES-stats tillsynsmyndighet och Europeiska kommissionen samt på begäran ge handräckning då dessa utför tillsyns- eller kontrolluppgifter som hänför sig till ett elföretag eller naturgasföretag.
1) Finansinspektionen, Konkurrens- och konsumentverket och konsumentombudsmannen för att de ska kunna sköta sina uppgifter, och till Kommunikationsverket, om det är nödvändigt för skötseln av informationssäkerhetsrelaterade uppgifter,
om ändring av lagen om vattentjänster
Ett vattentjänstverk som levererar eller tar emot avloppsvatten till en volym om minst 5 000 kubikmeter vatten per dygn ska utan dröjsmål anmäla betydande störningar i vattentjänsterna till närings-, trafik- och miljöcentralen. Om det ligger i allmänt intresse att en störning anmäls kan Närings-, trafik- och miljöcentralen kan efter att ha mottagit anmälan ålägga vattentjänstverket att informera om saken eller, efter att ha hört vattentjänstverket, själv informera om saken.
Närmare bestämmelser om när en sådan störning som avses i 1 mom. är betydande samt om innehållet i och utformningen av anmälan och hur den ska lämnas in får utfärdas genom förordning av jord- och skogsbruksministeriet..
Utan hinder av tystnadsplikten enligt lagen om offentlighet i myndigheternas verksamhet får uppgifter om enskildas eller sammanslutningars ekonomiska ställning eller affärs- eller yrkeshemligheter eller enskildas personliga förhållanden, som erhållits vid utförande av åligganden enligt denna lag, lämnas ut till
1) tillsynsmyndigheten för utförande av uppgifter som avses i denna lag,
2) åklagar- och polismyndigheter för utredande av brott,
3) Kommunikationsverket, om det är nödvändigt för skötseln av informationssäkerhetsrelaterade uppgifter.
fogas till lagen om Finansinspektionen (878/2008) en ny 50 n och en ny 52 a § som följer:
om ändring av 6 § i lagen om Tillstånds- och tillsynsverket för social- och hälsovården
ändras i lagen om Tillstånds- och tillsynsverket för social- och hälsovården (669/2008) 6 §, sådan den lyder delvis ändrad i lagarna 1068/2009, 1569/2009 och 818/2015, som följer:
Statliga och kommunala myndigheter samt andra offentligrättsliga sammanslutningar, Folk-pensionsanstalten, Pensionsskyddscentralen, patientskadenämnden, pensionsstiftelser och andra pensionsanstalter, försäkringsanstalter, sammanslutningar eller inrättningar som bedriver service- eller sjukvårdsverksamhet, producenter av privat socialservice och apoteken är skyldiga att på begäran avgiftsfritt och oberoende av sekretessbestämmelserna ge verket de upplysningar och utredningar som är nödvändiga för att utföra de uppgifter som avses i 2 §.
Verket har trots sekretessbestämmelserna rätt att lämna ut information för Kommunikationsverket, om det är nödvändigt för skötseln av informationssäkerhetsrelaterade uppgifter. (Nytt)
De upplysningar och utredningar som avses i 3 mom. kan också lämnas ut via en teknisk an-slutning. Innan anslutningen öppnas ska det säkerställas att uppgifterna skyddas på behörigt sätt.
Denna lag träder i kraftden 20.
Senast publicerat 26-06-2020 15:27

References: § 1
 § 2
 §
2
 § 5
 § 1
 § 1
 § 1