CER-päätösten määräaika umpeutui – kaikkien 11 toimialan tilanteesta ei ole vahvistusta

CER-laissa asetettu määräaika ensimmäisille kriittisten toimijoiden määrittämispäätöksille umpeutui perjantaina 17. heinäkuuta. Sisäministeriön ennen määräaikaa julkaisemasta tiedotteesta ei käy ilmi, olivatko päätökset valmistuneet kaikilla lain kattamilla 11 toimialalla.

Sisäministeriö kertoi 7. heinäkuuta, että ministeriöt olivat kevään aikana tunnistaneet toimialoiltaan olennaisia palveluja tarjoavia toimijoita ja määrittäneet kriittisiä toimijoita. Tiedotteen otsikon mukaan määrittäminen oli tuolloin valmistumassa.

Tiedotteessa ei eritelty määrittämispäätösten tilannetta toimialoittain. Siinä ei myöskään kerrottu kriittisiksi määritettyjen toimijoiden nimiä tai määrää.

Lain mukaan ensimmäiset päätökset kriittisten toimijoiden määrittämisestä oli tehtävä viimeistään 17. heinäkuuta 2026. Asian ratkaisee se ministeriö, jonka toimialaan toimija kuuluu. Päätös voi olla voimassa enintään neljä vuotta.

CER-lainsäädäntö koskee energiaa, liikennettä, pankkialaa, rahoitusmarkkinoiden infrastruktuuria, terveyttä, juomavettä, jätevettä, digitaalista infrastruktuuria, julkishallintoa, avaruutta sekä elintarvikkeiden tuotantoa, jalostusta ja jakelua.

Kriittiseksi toimijaksi voidaan määrittää yksityinen tai julkinen yhteisö tai sen toiminnallinen osa. Lain edellytyksenä on muun muassa, että toimija tarjoaa yhtä tai useampaa yhteiskunnan toimintakyvyn kannalta keskeistä palvelua. Toimijan on toimittava Suomessa, ja sen omistaman, hallitseman tai käyttämän kriittisen infrastruktuurin on sijaittava Suomessa.

Lisäksi häiriöllä pitäisi olla merkittäviä haitallisia vaikutuksia toimijan keskeisten palvelujen tarjoamiseen tai niistä riippuvaisten toimialojen muiden keskeisten palvelujen tarjoamiseen. Määrittämisessä otetaan lain mukaan huomioon valtakunnallinen CER-suunnitelma, kansallinen riskiarvio, rajat ylittävä toiminta ja arvioinnin yhdenmukaisuus EU:ssa.

Päätöksen tiedoksi saaminen käynnistää toimijakohtaisen aikataulun. Ensimmäinen riskiarviointi on tehtävä yhdeksän kuukauden kuluessa siitä, kun kriittiseksi määritetty toimija on saanut tiedon päätöksestä.

Ensimmäinen häiriönsietokykyä koskeva suunnitelma on laadittava vuoden kuluessa toimijakohtaisen riskiarvioinnin laatimisesta. Suunnitelman määräaika ei siten ala suoraan heinäkuun yhteisestä takarajasta, vaan määräytyy riskiarvioinnin laatimisajankohdan perusteella.

Kriittisten toimijoiden määrittämisessä käytettävä kansallinen riskiarvio ei ole julkinen. Valtioneuvosto hyväksyi sen 15. tammikuuta 2026.

Sisäministeriön mukaan riskiarviossa käsitellään keskeisiin palveluihin kohdistuvia riskejä, rajat ylittäviä riippuvuuksia ja toimialojen keskinäisriippuvuuksia. Lain mukaan kansallinen riskiarvio laaditaan vähintään neljän vuoden välein.

Valtioneuvosto hyväksyi lisäksi valtakunnallisen CER-suunnitelman 21. toukokuuta 2026. Suunnitelma ohjaa kriittisiksi määritettyjen toimijoiden häiriönsietokyvyn kehittämistä kaikilla lain 11 toimialalla.

Suunnitelmassa kuvataan häiriönsietokyvyn parantamisen tavoitteita, painopisteitä ja toimenpiteitä. Siinä käsitellään myös kriittisten toimijoiden määrittämistä, mukana olevia viranomaisia, toimijoille annettavaa tukea sekä julkisten ja yksityisten toimijoiden yhteistyötä.

CER-laki tuli voimaan 1. heinäkuuta 2025. Lailla pantiin Suomessa täytäntöön EU:n direktiivi kriittisten toimijoiden häiriönsietokyvystä.