Yleistä

Esityksessä ehdotetaan säädettäväksi laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta (jäljempänä CER-laki) sekä muutettaviksi eräitä muita lakeja. Esityksen tarkoituksena on panna täytäntöön kriittisten toimijoiden häiriönsietokykyä koskeva niin sanottu CER-direktiivi, jonka tavoitteena on taata sisämarkkinoiden toiminta kriittisten palvelujen osalta direktiivin soveltamisalalla, parantaa Euroopan unionin kannalta välttämättömien palvelujen häiriönsietokykyä sekä ylläpitää yhteiskunnan elintärkeitä ja taloudellisia toimintoja määrittäen tietyt kriittiset sektorit, jotka tarjoavat tällaisia palveluja. CER-direktiivi tuli voimaan 16.1.2023, ja jäsenvaltioiden olisi tullut julkaista direktiivin noudattamisen edellyttämät säännökset viimeistään 17.10.2024. 

CER-direktiivi kattaa 11 toimialaa, joita ovat energia, liikenne, pankkiala, rahoitusmarkkinoiden infrastruktuuri, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto, avaruus sekä elintarvikkeiden tuotanto, jalostus ja jakelu. CER-direktiivin velvoitteet eivät kohdistu sosiaalihuollon tarjoajiin. Ehdotettuun direktiiviä koskevaan toimeenpanolakiin (CER-lakiin) on tehty kuitenkin kansallinen laajennus sosiaalihuollon osalta Suomen sosiaali- ja terveydenhuollon keskinäisriippuvuuden sekä palvelurakenteen vuoksi. Sosiaali- ja terveysvaliokunta arvioi tässä lausunnossaan esitystä erityisesti sosiaali- ja terveydenhuoltoon liittyvien kysymysten osalta. 

Valiokunta pitää tärkeänä, että yhteiskunnan häiriönsietokykyä vahvistetaan CER-direktiivin myötä koko EU-alueella. Valiokunnan näkemyksen mukaan yhteiskunnan kriittisen infrastruktuurin suojaamiseen ja häiriönsietokyvyn parantamiseen tähtäävän direktiivin toimeenpano tulee vahvistamaan myös kansallisesti yhteiskunnan varautumista ja häiriönsietokykyä. Suomen olemassa oleva, kokonaisturvallisuuden yhteistyömalli edustaa edelläkävijyyttä ja sen mukainen laaja varautumisyhteistyö antaa valiokunnan näkemyksen mukaan hyvät lähtökohdat direktiivin toimeenpanolle. 

Suomessa sosiaali- ja terveydenhuollossa on jo sektorikohtaista valmiutta, varautumista ja häiriötilanteisiin reagoimista koskevaa kansallista lainsäädäntöä, mikä täydentää valmiuslain (1552/2011) yleistä varautumisvelvollisuutta. Sosiaali- ja terveydenhuollon valmiutta ja varautumista kehitetään viiden yhteistyöalueen mallilla. Valiokunta pitää tärkeänä sitä, että sosiaali- ja terveydenhuollon toimintakykyä vahvistetaan paikallisella, alueellisella ja kansallisella tasolla niin, että erilaisiin uhkakuviin vastaaminen voi tapahtua kansallisena kokonaisuutena. Osin kansallinen sääntely jo toteuttaa CER-direktiivin sääntelyn tavoitteita ja toisaalta CER-direktiiviin liittyvä sääntely täydentää kansallista varautumiskokonaisuutta. 

Ehdotetun sääntelyn soveltamisala ja suhde muuhun lainsäädäntöön

Ehdotettua CER-lakia sovelletaan CER-direktiivin liitteen mukaisesti terveyden toimialalla, johon kuuluvat muun muassa terveydenhuollon tarjoajat, EU:n vertailulaboratoriot, lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat, farmaseuttisten perustuotteiden ja farmaseuttisten valmisteiden valmistajat, lääkinnällisten laitteiden valmistajat ja lääkkeiden jakelu eli tukkukaupan harjoittamista koskevan luvan haltijat.  

CER-lain soveltamisalasäännöksessä (1 §:n 4 momentti) tarkennetaan, mitä CER-direktiivin liitteessä terveyden toimiala -kohdassa mainitulla terveydenhuollon tarjoajalla tarkoitetaan. Lakia sovelletaan sosiaali- ja terveydenhuollon valvonnasta annetun lain (741/2023, jäljempänä valvontalaki) 4 §:ssä tarkoitettuja terveydenhuollon palveluita antaviin palvelunjärjestäjiin ja palveluntuottajiin, veripalvelulain (197/2005) mukaisiin veripalvelulaitoksiin, apteekkeihin sekä potilaiden oikeuksien soveltamisesta rajat ylittävässä terveydenhuollossa annetun EU-direktiivin (2011/24/EU, potilasdirektiivi) mukaisiin lääkkeitä ja lääkinnällisiä laitteita toimittaviin ja tarjoaviin toimijoihin. Lisäksi lakia sovelletaan valvontalain 4 §:ssä tarkoitettuihin sosiaalipalveluita järjestäviin tai tuottaviin palvelunjärjestäjiin ja palveluntuottajiin. Hyvinvointialueisiin lakia sovelletaan niiden järjestämän ja tuottaman sosiaali- ja terveydenhuollon osalta, mutta ei pelastustoimen osalta. Soveltamisala kattaa Suomessa julkiset ja yksityiset sosiaali- ja terveydenhuollon palvelujen järjestäjät ja tuottajat, eli keskeisesti hyvinvointialueet sekä yksityiset sosiaali- ja terveyspalveluyrittäjät. Myös valtion järjestämä sosiaali- ja terveydenhuolto kuuluu lähtökohtaisesti lain soveltamisalaan.  

Valiokunta pitää perusteltuna ja tärkeänä sitä, että direktiivin sääntely on kansallisesti laajennettu koskemaan myös sosiaalihuoltoa. Sosiaali- ja terveydenhuollon varautumisessa ei ole tarkoituksenmukaista erottaa sosiaali- ja terveydenhuoltoa toisistaan. Sosiaalihuollon palvelujen, kuten ympärivuorokautisen palveluasumisen tai kotihoidon, puutteet heijastuvat erikoissairaanhoidon ja perusterveydenhuollon kykyyn huolehtia tehtävistään. Sosiaalihuollon palvelujen toimintakyky on kriittistä myös laajemmissa yhteiskuntaa koskettavissa häiriötilanteissa ja poikkeusoloissa ja yhteydessä eri väestöryhmien kykyyn hoitaa muita kriittisiä tehtäviä. Lisäksi sosiaalihuollon osalta yksityisten terveys- ja hoivapalvelutoimijoiden osuus palvelujen tuottajina on merkittävä. Kansallinen laajennus mahdollistaa muun muassa yksityisiä sosiaali- ja terveydenhuollon palveluja tarjoavien yritysten nimeämisen kriittisiksi toimijoiksi. 

Valiokunta pitää hyvänä myös sitä, että esityksessä on huomioitu lääkkeiden huoltovarmuuden varmistamiseksi lääkehuollon koko arvoketju lääketutkimuksesta kulutukseen luovuttamiseen. Valiokunta pitää niin ikään perusteltuna, että veripalvelutoiminta on nimenomaisesti säädetty kuuluvaksi lain soveltamisalaan. Veripalvelutoiminnan osalta on tärkeää, että toimijoita arvioidaan kriittisiksi toimijoiksi erityisesti veripalvelutoimijoina, vaikka toimijalla olisikin myös muita yhteiskunnan kriittisiä toimintoja ja niitä koskevia toimilupia, kuten lääketehdas- tai lääketukkukauppaluvat. 

Valiokunta toteaa lakiteknisenä huomiona, että ehdotetun CER-lain 1 §:n 2 momentin 1 kohtaa tulee kieliopillisesti tarkistaa. Lisäksi valiokunta ehdottaa tarkennettavaksi CER-lain 1 §:n 4 momenttia, jossa viitataan terveydenhuollon palvelunjärjestäjien ja -tuottajien määritelmien osalta valvontalain 4 §:ään. Mainitussa valvontalain 4 §:ssä määritellään palvelunjärjestäjäksi myös Kansaneläkelaitos. Ehdotettua lakia ei ole saadun selvityksen mukaan kuitenkaan tarkoitus soveltaa Kansaneläkelaitokseen, sillä perustuslailla Kansaneläkelaitokselle annettu valtiosääntöinen asema vaikuttaa siihen, millaisista tehtävistä ja ohjauskeinoista Kansaneläkelaitoksen osalta on mahdollista säätää. Valiokunta ehdottaa tältä osin 1 §:n 4 momenttia tarkistettavaksi siten, että Kansaneläkelaitos ei kuulu lain soveltamisalaan, jonka piiristä kriittinen toimija voidaan hallintopäätöksellä määrittää, jolloin toimijaan kohdistuisi velvoitteita ja asianomaisella toimialalla toimivan valvovan viranomaisen valvontaa. Lisäksi valiokunta ehdottaa 1 §:n 4 momentin ensimmäisen virkkeen sanamuotoihin teknisiä tarkennuksia siten, että virkkeessä viitataan terveydenhuollon palvelujen osalta samoin sanamuodoin valvontalain 4 §:ssä tarkoitettuihin palveluja järjestäviin tai tuottaviin palvelunjärjestäjiin ja palveluntuottajiin kuten jäljempänä samassa momentissa sosiaalipalvelujen osalta. Valiokunnan näkemyksen mukaan CER-lain 1 §:n 4 momenttia olisi tarpeen muuttaa esimerkiksi seuraavasti: 

Hallituksen esityksen mukaan lainvalmisteluhankkeen aikana on nostettu sosiaalihuollon lisäksi esille joitakin kansallisen soveltamisalan laajennustarpeita. Nämä ovat koskeneet muun muassa muitakin kuin direktiivissä mainittujen lääkinnällisten laitteiden valmistamista. Esityksen mukaan lainvalmistelussa päädyttiin kuitenkin siihen, ettei direktiiviä koskevaan toimeenpanolakiin tehdä sosiaalipalvelujen lisäksi muita kansallisia laajennuksia. Tarvittaessa varautumisvelvoitteista voidaan säätää kansallisessa lainsäädännössä.  

Valiokunnan asiantuntijakuulemisissa kiinnitettiin huomiota siihen, etteivät esimerkiksi eläinlääkkeet kuulu CER-direktiivin eivätkä myöskään ehdotetun lain soveltamisalaan. Vaikka eläinlääkehuolto kuuluu varsinaisesti maa- ja metsätalousvaliokunnan toimialaan, sosiaali- ja terveysvaliokunta toteaa näkemyksenään, että hallintovaliokunnan on perusteltua arvioida eläinlääkehuollon osalta mahdolliset muutostarpeet ehdotettuun sääntelyyn. Jollei kansallista laajennusta arvioida voitavan tehdä tässä vaiheessa, valiokunta pitää perusteltuna, että mahdolliset kansallisen lainsäädännön täydentämistarpeet liittyen eläinlääkehuollon varautumisvelvoitteisiin arvioidaan jatkossa. Valiokunta korostaa, että tuotantoeläinten lääkehuolto on ensisijaisen tärkeää myös elintarviketuotannon jatkuvuuden kannalta. 

Ehdotettu CER-laki on yleislaki ja sitä sovelletaan tietyissä tapauksissa toissijaisesti muuhun lainsäädäntöön (Euroopan unionin säädöksiin, kansalliseen lainsäädäntöön) nähden. Valiokunta toteaa, että lain toimeenpanossa on tärkeää kiinnittää huomiota hallinnonalakohtaiseen ohjaukseen ja ohjeistukseen, jotta toimijoilla on selkeä käsitys valmiutta ja varautumista koskevasta sääntelykokonaisuudesta, säädösten keskinäisistä suhteista ja itseään koskevista velvollisuuksista. 

Yleinen ohjaus ja kehittäminen sekä valvonta

Ehdotetun CER-lain mukaan valtioneuvosto hyväksyy kriittisten toimijoiden häiriönsietokyvyn parantamiseksi ja toiminnan yleisten tavoitteiden saavuttamiseksi kansallisen strategian valtakunnallisena suunnitelmana, joka tukee ministeriöiden päätöksentekoa ja sisäministeriön ohjausta yhteensovittavana ministeriönä. Valtakunnallisen suunnitelman valmistelussa on otettava huomioon vastaavan kaltaista tarkoitusta varten annetut valtioneuvoston periaatepäätökset ja muut päätökset. Lisäksi valtioneuvosto hyväksyy vähintään neljän vuoden välein kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskevan kansallisen riskiarvioinnin. Kansallinen riskiarvio saatetaan kriittiseksi toimijaksi määritetyn tahon käyttöön ja tämän on otettava se huomioon omaa riskiarviotaan laatiessaan. Sisäministeriö hoitaa uutta yhteensovittamistehtävää, johon kuuluu CER-lain mukaisen toiminnan yleinen ohjaus, seuranta, yhteensovittaminen ja kehittäminen. Sisäministeriö, sektoriministeriöt ja valvovat viranomaiset edistävät yhteistyössä Huoltovarmuuskeskuksen kanssa yleisesti kriittisten toimijoiden häiriönsietokykyyn liittyviä kokonaisuuksia.  

CER-direktiivin mukaisia keskitetyn yhteyspisteen toimintoja on osoitettu Valtioneuvoston tilannekeskukselle. Esityksen mukaan valtioneuvoston päätöksentekoon liittyvä päivystystoiminnallisuus on nykyisinkin keskitetty Valtioneuvoston tilannekeskukseen ja CER-direktiivin mukainen tehtävä luontuu tilannekeskuksen nykyiseen toimintakenttään. Häiriötilanteisiin ja häiriötietojen välittämiseen voi liittyä myös ulko- ja turvallisuuspoliittisia näkökulmia ja ulkopoliittista harkintaa. 

Valiokunnan asiantuntijakuulemisissa on tuotu esiin, että CER-direktiivin toimeenpanossa tulisi hyödyntää nykyiset huoltovarmuusrakenteet täysimääräisesti siten, että ministeriöt ohjaisivat viranomaisia hallinnonaloillaan ja keskitettynä yhteyspisteenä toimisi Huoltovarmuuskeskus, eikä rakentaa uutta, huoltovarmuusrakenteista poikkeavaa ja sille rinnakkaista rakennetta. Lisäksi tuotiin esille, että esityksessä jää jossain määrin epäselväksi Huoltovarmuuskeskuksen rooli ja sen suhde aluehallintovirastoilla olevaan alueellisen varautumisen yhteensovittamistehtävään. Saadun selvityksen mukaan Huoltovarmuuskeskuksen oikeudellista asemaa ja sen selkeyttämistä, tehtäviä (mukaan lukien "CER-tehtävät") ja rahoitusta sekä muita rakenteita arvioidaan parhaillaan huoltovarmuuslainsäädännön tarkistamishankkeessa. Meneillään ovat myös valmiuslain tarkistamishanke ja valtioneuvoston turvallisuusjohtamista koskeva hanke. Tulevaisuudessa tehtävissä linjauksissa voi saadun selvityksen mukaan olla mahdollisesti erilaisia vaikutuksia liitännäisiin lakeihin ja muihin hankkeisiin. Valiokunta pitää nykyisten rakenteiden hyödyntämistä ja Huoltovarmuuskeskuksen roolia kriittisten toimijoiden häiriönsietokyvyn kehittämisessä tärkeänä ja katsoo, että hallintovaliokunnan on perusteltua vielä arvioida CER-lain mukaisten Huoltovarmuuskeskuksen tehtävien mahdollisia selkeyttämistarpeita. 

Kriittisten toimijoiden valvonta on hajautettu eri sektoriviranomaisille. Sosiaali- ja terveydenhuollon sektorin osalta CER-laissa tarkoitettuja valvovia viranomaisia ovat Sosiaali- ja terveysalan lupa- ja valvontavirasto (Valvira), aluehallintovirastot ja Lääkealan turvallisuus- ja kehittämiskeskus Fimea. Valvontaa koskevan säädöksen perusteluissa on tarkennettu valvonnan kohdistuvan erityisesti riskiarvioon sekä häiriönsietokykyä koskevaan suunnitelmaan. Valvova viranomainen voi antaa toimijalle huomautuksen tai varoituksen sekä velvoittaa toimijan korjaamaan havaitut puutteet tai laiminlyönnin kohtuullisessa määräajassa. Valvovalla viranomaisella on myös mahdollisuus määrätä kriittiselle toimijalle laiminlyöntimaksu. Valiokunnan asiantuntijakuulemisissa tuotiin esille edellä mainittujen sosiaali- ja terveydenhuollon valvontaviranomaisten lisäresurssien tarve, joka liittyy esityksen aiheuttamaan lisääntyvään työmäärään. Valiokunta pitää tärkeänä, että esityksestä johtuvaa valvontaviranomaisten työmäärän lisääntymistä seurataan ja esityksen tarkoittamiin tehtäviin turvataan riittävät resurssit. 

Kriittisen toimijan määrittäminen

Ehdotetun CER-lain 10 §:n perusteella lain soveltamisalaan kuuluva yksityinen tai julkinen yhteisö taikka sen toiminnallinen osa voidaan määrittää tietyin edellytyksin kriittiseksi toimijaksi, johon laissa säädetyt velvoitteet kohdistuvat. Toimijaksi voidaan tunnistaa esimerkiksi yrityksen toiminnallinen osa, jos liiketoimintaa harjoitetaan konsernirakenteessa. Sosiaali- ja terveysvaliokunta pitää perusteltuna, että hallintovaliokunta arvioi vielä sitä, voidaanko vain jokin tietyn kriittisen toimijan yksittäinen toiminto määritellä kriittiseksi toiminnoksi, jolloin kriittisen toimijan velvollisuudet koskisivat vain kyseistä toimintoa.  

Kriittinen toimija tunnistetaan soveltamisalan piiristä eikä mikään taho tule velvoitetuksi suoraan lain nojalla. Kriittisen toimijan määrittämistä koskevan asian ratkaisee se ministeriö, jonka toimialaan käsiteltävä toimija kuuluu (13 §). Ennen asian ratkaisemista sektoriministeriön on pyydettävä lausunto sisäministeriöltä ja tarpeellisessa laajuudessa muilta ministeriöiltä ja viranomaisilta sekä Huoltovarmuuskeskukselta. Kriittinen toimija määritetään sektoriministeriön tekemällä hallintopäätöksellä, jonka jälkeen toimijaa koskevat laissa säädetyt velvoitteet. Kaikkia huoltovarmuuskriittisiä toimijoita ei välttämättä kuitenkaan määritetä ehdotetun lain mukaisesti "CER-kriittisiksi". 

Sosiaali- ja terveydenhuollon varautumista häiriötilanteisiin ja poikkeusoloihin johtaa, valvoo ja yhteensovittaa sosiaali- ja terveysministeriö, jolle kuuluu CER-lain mukaisesti myös sosiaali- ja terveydenhuollon kriittisten toimijoiden määrittäminen. Valiokunta toteaa, että ministeriön on perusteltua arvioida kriittisten toimijoiden nimeämistä huolellisesti ja muodostaa yhdessä valvovien viranomaisten kanssa käsitys nimeämisen kriteereistä, menettelytavoista ja poikkeamailmoitusten käsittelystä. Valiokunta kiinnittää huomiota myös siihen, että nimettäessä toimijoita (kuten apteekkeja ja lääkeyrityksiä) kriittisiksi toimijoiksi ministeriön on syytä harkita tarkoin toimijan tosiasiallisen kriittisyyden lisäksi ehdotetun lain tuomia lisääntyviä velvoitteita ja mahdollisia taloudellisia rasitteita suhteessa yrityksen kokoon ja kantokykyyn. Valiokunta pitää tärkeänä huomioida, ettei sääntelyllä heikennetä maanlaajuisesti apteekkien toimintaedellytyksiä. Lisääntyvä byrokratia ja kustannukset eivät myöskään lisää esimerkiksi lääkkeiden osalta Suomen houkuttelevuutta markkinana, millä voi olla puolestaan vaikutuksia lääkkeiden saatavuuteen. Lisäksi valiokunta korostaa, että kriittisiä toimijoita nimettäessä on keskeistä, että ministeriö ja valvontaviranomaiset tiedottavat ja ohjaavat toimijoita heihin kohdistuvien velvoitteiden osalta. 

Kriittisen toimijan suorittama riskiarviointi, häiriönsietokykyä koskeva suunnitelma ja poikkeamailmoitus

Esityksen mukaan kriittisille toimijoille tulee velvollisuuksia häiriönsietokyvyn varmistamiseen. Kriittisen toimijan on suoritettava riskiarviointi tarvittaessa ja vähintään neljän vuoden välein, toteutettava häiriönsietokykynsä varmistamiseksi toimenpiteitä sekä laadittava suunnitelma häiriönsietokyvyn varmistamiseksi. Jos vastaavan kaltaista tarkoitusta varten laaditaan muun lain nojalla riskiarvio tai suunnitelma, kriittinen toimija voi käyttää kyseistä asiakirjaa eikä erillistä CER-lain mukaista dokumenttia tarvitse laatia. Kriittisen toimijan on myös nimettävä organisaatiostaan vastuutaho tiedonkulkua varten. Keskeinen kriittisen toimijan velvollisuus liittyy poikkeamista ilmoittamiseen viranomaisille ja tiedon vastaanottoon viranomaisilta.  

Kriittisen toimijan on ilmoitettava ilman aiheetonta viivytystä asianomaiselle valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista (16 §:n 1 momentti). Myös Huoltovarmuuskeskuksella on tiedonsaantioikeus poikkeamailmoituksista. Saadun selvityksen mukaan jatkossa lain toimeenpanon myötä tulevat arvioitavaksi mahdolliset lainsäädännön tarkistustarpeet liittyen muun muassa eri viranomaisten tiedonsaantioikeuksiin. Valiokunta pitää tärkeänä erityisesti sosiaali- ja terveydenhuollon valmiuskeskusten riittävien tiedonsaantioikeuksien turvaamista. 

Valiokunnan näkemyksen mukaan kriittisten toimijoiden velvollisuudet liittyen häiriönsietokykyä koskevaan suunnitelmaan ja poikkeamailmoituksiin tukevat kansallista tilannekuvatoimintaa. Valiokunta pitää kuitenkin tärkeänä sitä, että lain toimeenpanossa huomioidaan erityisesti se, ettei uudella sääntelyllä aiheuteta päällekkäisiä raportointi- ja toimenpidevelvoitteita sosiaali- ja terveydenhuollon toimijoille. Valiokunta pitääkin myönteisenä sitä, että kriittisiksi toimijoiksi nimetyt toimijat voivat edellä todetulla tavalla hyödyntää olemassa olevia riskinarvioitaan ja häiriönsietokykyä koskevia suunnitelmiaan ehdotetun CER-lain velvoitteiden toimeenpanemiseksi. Valiokunta pitää kannatettavana myös sitä, että lain toimeenpanon myötä jatkossa on tarkoitus luoda yhteinen sähköinen ilmoituskanava kyberhäiriötilanteissa (NIS 2) ja infrastruktuurihäiriötilanteissa (CER) tehtäviä ilmoituksia varten toimijoiden hallinnollisen rasituksen minimoimiseksi ja viranomaisten yhteisen tilannetietoisuuden edistämiseksi. Valiokunta kuitenkin korostaa vastuuministeriön ja valvovien viranomaisten toimesta tapahtuvan ohjauksen, koordinoinnin ja yhteensovittamisen tärkeyttä eri säännösten nojalla tehtävien riskiarvioiden ja suunnitelmien laadinnassa, jotta päällekkäisyydet voidaan välttää. Lisäksi valiokunta pitää tärkeänä, että ehdotetun lain mukaiset poikkeamailmoitusmenettelyt suunnitellaan hallinnonaloittain yhdessä kriittisten toimijoiden kanssa huomioiden jo olemassa olevat, muusta lainsäädännöstä johtuvat rakenteet. Teknisenä huomiona valiokunta ehdottaa, että hallintovaliokunta arvioi tarvetta yhdenmukaistaa ehdotetun CER-lain 4 §:n 4 kohdan ja 16 §:n 1 momentin sanamuotoja liittyen poikkeaman määritelmään ja poikkeamailmoituksen kynnykseen.