Ministeriöiden on nimettävä kriittiset toimijat heinäkuun puoliväliin mennessä

Vastuuministeriöiden on tehtävä ensimmäiset päätökset siitä, mitkä yritykset ja viranomaiset määritellään yhteiskunnan häiriönsietokyvyn kannalta kriittisiksi toimijoiksi, viimeistään 17. heinäkuuta 2026. Sisäministeriön 7. heinäkuuta julkaiseman tiedotteen mukaan määrittely on valmistumassa.

Nimeäminen perustuu lakiin yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta. CER-laki tuli voimaan 1. heinäkuuta 2025, ja sillä pannaan Suomessa täytäntöön EU:n direktiivi kriittisten toimijoiden häiriönsietokyvystä.

Lainsäädäntö koskee 11:tä toimialaa: energiaa, liikennettä, pankkialaa, rahoitusmarkkinoiden infrastruktuuria, terveyttä, juomavettä, jätevettä, digitaalista infrastruktuuria, julkishallintoa, avaruutta sekä elintarvikkeiden tuotantoa, jalostusta ja jakelua.

Kriittisen toimijan määrittämistä koskevan päätöksen tekee se ministeriö, jonka toimialaan käsiteltävä toimija kuuluu. Päätös on voimassa enintään neljä vuotta.

CER-laki tuo kriittisiksi määritellyille toimijoille velvoitteita muun muassa riskien arviointiin, häiriönsietokyvyn suunnitteluun ja merkittävistä poikkeamista ilmoittamiseen. Velvoitteiden soveltamisessa on kuitenkin rajauksia. Lain mukaan riskiarviointia, häiriönsietokykyä koskevaa suunnitelmaa ja poikkeamailmoituksia koskevia pykäliä ei sovelleta muun muassa pankkialan, rahoitusmarkkinoiden infrastruktuurin eikä digitaalisen infrastruktuurin toimialalla toimivaan kriittiseen toimijaan.

Finlexissä julkaistun lain mukaan kriittisen toimijan on tehtävä riskiarviointi tarvittaessa ja vähintään neljän vuoden välein. Ensimmäinen riskiarviointi on tehtävä yhdeksän kuukauden kuluessa siitä, kun toimija on saanut tiedon määrittämispäätöksestä. Häiriönsietokykyä koskeva suunnitelma on laadittava ensimmäisen kerran vuoden kuluessa riskiarvioinnin laatimisesta.

Lain mukaan kriittisen toimijan on myös ilmoitettava ilman aiheetonta viivytystä valvovalle viranomaiselle ja valtioneuvoston tilannekeskukselle merkittävästä poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista.

EU:n CER-direktiivi edellyttää, että jäsenvaltio laatii luettelon määritellyistä kriittisistä toimijoista ja varmistaa, että toimijoille ilmoitetaan määrittelystä kuukauden kuluessa. Virallisista lähteistä ei ilmene vaatimusta tai päätöstä, jonka mukaan koko luettelo julkaistaisiin yleisölle.

Kriittisten toimijoiden määrittelyssä hyödynnetään kansallista riskiarviointia. Valtioneuvosto hyväksyi kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskevan kansallisen riskiarvioinnin 15. tammikuuta 2026. Sisäministeriön tiedotteen mukaan kriittistä infrastruktuuria ja yhteiskunnan häiriönsietokykyä koskeva kansallinen riskiarvio ei ole julkinen. Laajempi kansallinen riskiarvio julkaistaan tiedotteen mukaan syksyllä 2026.

Valtioneuvosto hyväksyi kriittisten toimijoiden häiriönsietokykyä koskevan valtakunnallisen suunnitelman eli CER-strategian 21. toukokuuta 2026. Strategia ohjaa kriittisiksi määriteltyjen toimijoiden häiriönsietokyvyn kehittämistä kaikilla CER-lain 11 toimialalla ja kuvaa muun muassa tavoitteet, painopisteet, toimenpiteet sekä kriittisten toimijoiden määrittelyn.