Kansallisen CERT -viranomaisen tehtävät

Liikenne- ja viestintäministeriölle

Liikenne- ja viestintäministeriö on pyytänyt Suomen Yrittäjät ry:ltä lausuntoa luonnoksesta hallituksen esitykseksi, jolla ehdotetaan muutettavaksi lakia yksityisyyden suojasta televiestinnässä ja teletoiminnan tietoturvasta. Ehdotuksen mukaan viestintävirastolle annettaisiin toimivaltuudet toimia kansallisena CERT -viranomaisena. Viraston tietoturvallisuusyksikkö huolehtisi tietoturvaloukkausten havaitsemisesta, ratkaisemisesta ja torjumisesta sekä tietoturvallisuusasioista tiedottamisesta.

Suomen Yrittäjät pitää tärkeänä tietoturvan kehittämistä eikä meillä ole huomautettavaa siihen, että CERT -viranomaistehtävät annettaisiin viestintävirastolle. On tärkeää, että CERT -viranomaistehtävät hoidetaan mahdollisimman kustannustehokkaasti. Kuten ehdotuksessa esitetään toiminnan painopisteenä tulisi alkuvaiheessa olla tiedon kerääminen ja turvallisuusasioista tiedottaminen sekä toiminnan kehittyessä tietoturvauhkien ennaltaehkäiseminen.

Näkemyksemme mukaan ehdotuksen jatkovalmisteluissa tulisi kuitenkin arvioida toiminnan asiakkaille kuten yrityksille aiheutuvia kustannuksia sekä selvittää tarkemmin niitä lisäarvoja, joita palvelujen tarjonta tuo yrityksille. Ehdotuksesta puuttuu tätä koskeva arviointi.

Ehdotuksessa ehdotetaan, että teleyritysten ilmoitusvelvollisuutta viestintävirastolle ja ilmoitusvelvollisten piiriä laajennettaisiin. Perustelujen mukaan ilmoitusvelvollisia olisivat myös mm. Internet-, sähköposti- ja yleisten datasiirtopalveluiden tarjontaa harjoittavat yritykset, jotka eivät kuulu lain 3 §:n 3 kohdan mukaisen teleyrityksen määritelmän piiriin. Mikäli ilmoitusvelvollisten piiriä on tarkoitus laajentaa tulkitsemalla tässä kohdin teleyritysmääritelmää laajemmin, tulisi tästä ottaa säännökset lain tasolle.

Ehdotuksesta jää myös epäselväksi se, koskeeko yrityksen ilmoitusvelvollisuus nykyiseen tapaan vain merkittäviä vika- ja häiriötapauksia vai ylipäätään vika- ja häiriötapauksia. Näkemyksemme mukaan ilmoitusvelvollisuuden tulisi koskea vain merkittäviä, vakavia vika- ja häiriötilanteita. Ei ole tarkoituksenmukaista, että yritykset joutuisivat ilmoittamaan viestintävirastolle vähäisistä vika- ja häiriötapauksista, jotka eivät vaaranna tietoturvallisuutta. Ehdotusta tulisi tarkentaa tältä osin.

SUOMEN YRITTÄJÄT RY

Rauno Vanhanen
johtaja

Tytti Peltonen
lainopillinen asiamies