Traficom tarkentaa teleyritysten häiriöuhista ilmoittamista

Liikenne- ja viestintävirasto Traficom tarkentaa teleyritysten ilmoituskynnyksiä ja käytäntöjä palvelujen toimivuuden ja tietoturvan häiriöissä sekä niiden uhissa. Uusi määräys tulee voimaan 1. tammikuuta 2027. Ilmoitusvelvollisuus perustuu kuitenkin jo voimassa olevaan lakiin, eikä se ala vasta uuden määräyksen tullessa voimaan.

Traficomin tiedotteen mukaan uhkia koskeva kohta kattaa myös mahdolliset sabotaasitapaukset. Kyse ei ole kaikkia sabotaasiepäilyjä koskevasta erillisestä ja ehdottomasta ilmoitusvelvollisuudesta, vaan ilmoittamista arvioidaan häiriöitä ja niiden uhkia koskevien ehtojen perusteella.

Viraston mukaan uhka voi olla tilanne, joka ei vielä tai suoraan estä käyttäjien palvelujen toimintaa mutta voi pahentuessaan johtaa palvelujen estymiseen.

Traficomin 15. lokakuuta 2026 antama määräys M66B korvaa vuonna 2019 annetun määräyksen 66 A/2019 M. Uhista ilmoittamisen lakiperustana on sähköisen viestinnän palveluista annetun lain 275 §.

Toimivuushäiriöiden ilmoituskynnys muuttuu

Uuden määräyksen mukaan toimivuushäiriön uhasta on tehtävä ensi-ilmoitus, jatkoilmoitukset ja loppuraportti määräyksen tarkempien ehtojen mukaisesti, kun uhka on kestänyt yhtäjaksoisesti vähintään 30 minuuttia ja voisi vaikuttaa vähintään 100 000 käyttäjään.

Näiden kahden ehdon on täytyttävä samanaikaisesti. Ne koskevat nimenomaan toimivuushäiriön uhkaa, eivät tietoturvauhkia tai kaikkien jo toteutuneiden häiriöiden ilmoittamista.

Myös toteutuneiden toimivuushäiriöiden luokittelu muuttuu. Nykyinen neliportainen A–D-vakavuusluokitus poistuu, ja sen tilalle tulee yksi määritelty ilmoituskynnys.

Yksi ilmoituskynnys ei tarkoita kaikille palveluille samaa käyttäjämäärärajaa. Esimerkiksi yleisessä puhelinpalvelussa merkittävyyden rajana on häiriön keston tunteina ja käyttäjämäärän tulo vähintään 10 000. Internetyhteyspalvelussa vastaava raja on 20 000.

Molemmissa häiriön on estettävä vähintään tuhannen käyttäjän palvelu, ja laskennassa käytettävän keston vähimmäisarvo on puoli tuntia.

Tietoturvailmoitusten määräajat lasketaan havaitsemisesta

Merkittävästä tietoturvahäiriöstä tai sen uhasta on uuden määräyksen mukaan ilmoitettava Traficomille 24 tunnin kuluessa havaitsemisesta. Ilmoitusta on tarvittaessa täydennettävä 72 tunnin kuluessa tilanteen havaitsemisesta, ei ensimmäisestä ilmoituksesta.

Määräajat eivät poista lain vaatimusta ilmoittaa viipymättä. Ne eivät siten anna yleistä oikeutta odottaa ilmoituksen kanssa määräajan loppuun.

Määräyksen perustelumuistion mukaan 24 ja 72 tunnin määräajat on yhdenmukaistettu kyberturvallisuuslain kanssa teleyritysten hallinnollisen taakan vähentämiseksi.

Erillistä kyberturvallisuuslain mukaista poikkeamailmoitusta ei välttämättä tarvita, jos Traficomin määräyksen mukainen tietoturvailmoitus kattaa myös kyberturvallisuuslain 11 §:n soveltamisalaan kuuluvat tiedot ja vaikutukset.

Teleyrityksen on silti arvioitava jokaisen tapahtuman osalta erikseen, täyttyvätkö Traficomin määräyksen mukaisen ilmoitusvelvollisuuden edellytykset. Tämä arvio on tehtävä myös silloin, kun samasta tapahtumasta on jo ilmoitettu kyberturvallisuuslain nojalla.