Valtioneuvosto hyväksyi suunnitelman kriittisten toimijoiden häiriönsietokyvystä

Valtioneuvosto hyväksyi torstaina 21. toukokuuta kriittisten toimijoiden häiriönsietokykyä koskevan valtakunnallisen suunnitelman eli CER-strategian. Valtioneuvoston ja sisäministeriön tiedotteen mukaan suunnitelman tavoitteena on parantaa kriittisten toimijoiden häiriönsietokykyä sekä vahvistaa kriittisten toimijoiden ja viranomaisten yhteistyötä kansallisesti ja EU-tasolla.

Suunnitelma liittyy EU:n kriittisten toimijoiden häiriönsietokykyä koskevaan CER-direktiiviin. Suomessa direktiiviä pannaan täytäntöön lailla yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta.

CER-lain soveltamisaloihin kuuluvat energia, liikenne, pankkiala, rahoitusmarkkinoiden infrastruktuuri, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto, avaruus sekä elintarvikkeiden tuotanto, jalostus ja jakelu.

Kriittiseksi toimijaksi voidaan määrittää yksityinen tai julkinen yhteisö tai sen toiminnallinen osa, jos se tarjoaa yhteiskunnan toimintakyvyn kannalta keskeistä palvelua, toimii Suomessa ja sen kriittinen infrastruktuuri sijaitsee Suomessa. Lisäksi edellytyksenä on, että poikkeamalla olisi merkittäviä haitallisia vaikutuksia keskeisen palvelun tarjoamiseen.

Seuraava käytännön vaihe on kriittisten toimijoiden määrittäminen. Lain mukaan ensimmäiset päätökset on tehtävä viimeistään 17. heinäkuuta 2026. EU:n delegoitu asetus vahvistaa ei-tyhjentävän luettelon keskeisistä palveluista, jota toimivaltaiset viranomaiset käyttävät riskinarviointeihin ja kriittisten toimijoiden määrittämiseen.

Kun toimija on määritetty kriittiseksi, sen on tehtävä ensimmäinen riskiarviointi yhdeksän kuukauden kuluessa siitä, kun se on saanut tiedon päätöksestä. Häiriönsietokyvyn varmistamista koskeva suunnitelma on laadittava vuoden kuluessa riskiarvioinnin laatimisesta.

Häiriönsietokykysuunnitelmassa on lain mukaan käsiteltävä muun muassa poikkeamien ehkäisyä, fyysistä suojaamista, häiriöihin vastaamista, palautumista, vaihtoehtoisia toimitusketjuja, henkilöstöturvallisuutta ja toteutusaikataulua.

Kriittisen toimijan on ilmoitettava merkittävästä poikkeamasta ilman aiheetonta viivytystä valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle. Ensi-ilmoitus on annettava viimeistään 24 tunnin kuluttua siitä, kun poikkeama on tullut tietoon, jollei välttämättömästä operatiivisesta syystä muuta johdu.

Ensimmäinen yhteenvetokertomus kriittisten toimijoiden poikkeamailmoituksista on lain mukaan toimitettava Euroopan komissiolle ja CER-direktiivin mukaiseen kriittisten toimijoiden häiriönsietokykyä käsittelevään ryhmään viimeistään 17. heinäkuuta 2028.