Lausunto luonnokseen hallituksen esitykseksi laeiksi vaarallisten kemikaalien ja räjähteiden käsittelyn turvallisuudesta annetun lain muuttamisesta ja turvallisuusselvityslain 19 §:n muuttamisesta turvauhkiin varautumiseksi

Sääntelyn laajentaminen turvauhkiin on perusteltua. Onnettomuus- ja turvauhkia koskevan sääntelykehyksen tulisi kuitenkin olla selkeä, kattava ja yhtenäinen.
Turvauhan määritelmään ehdotettu vaatimus teon rangaistavuudesta on liian rajoittava. Kriteerinä tulisi olla teon tahallisuus tai tuottamuksellisuus.
Toiminnanharjoittajien ja viranomaisten välisen ja keskinäisen tiedonvaihdon edellytykset on turvattava.
Viranomaisten keskinäisten roolien ja työnjaon selkeys sekä resurssien riittävyys on varmistettava jatkovalmistelussa.

TEM063:00/2018

Työ- ja elinkeinoministeriö on 13.5.2022 pyytänyt Finanssiala ry:n (FA) lausuntoa otsikossa mainittuun luonnokseen hallituksen esitykseksi (HE-luonnos).

FA pitää perusteltuna, että kemikaaliturvallisuutta koskevaa sääntelyä kehitetään niin, että tahattomien onnettomuuksien ohella sen avulla pysyttäisiin nykyistä tehokkaammin estämään myös laissa tarkoitettuja turvauhkia.
Onnettomuuksista aiheutuvien vahinkojen ehkäisemiseen ja torjumiseen keskittyvä kemikaaliturvallisuussääntely on pääosin sääntöperusteista ja sisältää lukuisia yksityiskohtaisia velvoitteita toiminnanharjoittajille. Turvauhkiin varautumiseen HE-luonnoksessa sen sijaan ehdotetaan riskiperusteista lähestymistapaa, joka jättäisi riskien kartoittamisen ja hallintatoimet toiminnanharjoittajan arvioitaviksi ja päätettäviksi.
FA pitää tärkeänä, että onnettomuus- ja turvauhkia koskeva sääntelykehys olisi selkeä, kattava ja yhtenäinen. Jatkovalmistelussa tulisikin selvittää, olisivatko uhkan taustasyyn perusteella määräytyvä sääntö- tai riskiperusteisuus korvattavissa yhtenäisellä sääntelyratkaisulla, joka varmistaisi toiminnanharjoittajien valmiudet taustasyystä riippumatta ehkäistä, havaita, torjua ja hallita uhkia ja niiden toteutumisen seurauksia.
Kyberhyökkäykset ovat kehittyneet eivätkä niiden vaikutukset enää rajoitu tietojärjestelmiin ja tietoihin, vaan ammattimaisesti toteutetun kyberhyökkäyksen erottaminen tahattomasta vahingosta on hankalaa. Tahallisten ja tahattomien tekojen väliin myös mahtuu laaja kirjo inhimillistä toimintaa, minkä vuoksi FA ei pidä turvauhan määritelmään ehdotettua vaatimusta teon rangaistavuudesta perusteltuna, vaan esittää, että määritelmään ehdotettu sanamuoto ”laissa rangaistavaksi säädetystä” korvattaisiin ilmaisulla ”tahallisesta tai tuottamuksellisesta” toiminnasta. Muutetussa muodossa lain 6 §:n 1 momentin turvauhan määritelmä olisi: ”25) turvauhallauhkaa sellaisesta tahallisesta tai tuottamuksellisesta toiminnasta, josta voi seurata välitön tai välillinen kemikaali- tai räjähdeturvallisuuden tai yleisen turvallisuuden vaarantaminen.”
HE-luonnoksen perusteella Tukes ja pelastusviranomaiset vastaisivat myös turvauhkiin liittyvistä valvontaviranomaistehtävistä. FA kiinnittää huomiota siihen, että turvauhkiin ehdotettu riskiperusteinen sääntelyratkaisu todennäköisesti tulee edellyttämään selvää lisäystä valvontaresursseihin. FA pitääkin välttämättömänä, että lainmuutoksen yhteydessä varmistetaan, että valvontaviranomaisille turvataan riittävät määrälliset ja laadulliset resurssit tehtäviensä asianmukaista hoitamista varten.
FA pitää myös tärkeänä, että jatkovalmistelun yhteydessä varmistetaan, että Tukesin, pelastusviranomaisten ja mahdollisten muiden toimivaltaisen viranomaisten keskinäiset roolit ja työnjako ovat selkeästi määritellyt.
HE-luonnoksessa viitatun kyselyn perusteella toiminnanharjoittajien kyvyssä kerätä ja muodostaa turvauhkia koskevaa tilannekuvaa on selviä puutteita. FA:n näkemyksen mukaan turvauhkiin ehdotettu riskiperusteinen sääntelyratkaisu vaatii tuekseen kattavaa, ajantasaista ja jatkuvasti ylläpidettävää tilannekuvaa. HE-luonnoksessa viitatut Kyberturvallisuuskeskuksen tilannekuvapalvelut tarjoavat hyvän lähtökohdan, mutta kattavat vain osan toiminnanharjoittajien kannalta merkityksellisistä turvauhista. FA esittääkin, että jatkovalmistelussa toimialan yhteisen tilannekuvan kerääminen, muodostaminen ja ylläpito vastuutetaan Tukesille, joka käytännössä huolehtisi asiasta yhteistyössä pelastusviranomaisten ja toiminnanharjoittajien kanssa.
FA kiinnittää huomiota siihen, ettei HE-luonnoksessa mainita lainkaan toiminnanharjoittajien keskinäistä tai niiden ja viranomaisten välistä tiedonvaihtoa. Finanssitoimialan kokemusten perusteella tällainen tiedonvaihto on keskeinen osa uhkia koskevaa tilannekuvatoimintaa ja niiden tehokasta torjuntaa. FA esittääkin, että HE:n jatkovalmistelun yhteydessä luodaan riittävä lainsäädännöllinen perusta tiedonvaihdolle toiminnanharjoittajien ja viranomaisten välillä ja kesken.
FA tukee ehdotettuja muutoksia turvallisuusselvityslakiin. FA kiinnittää kuitenkin huomiota siihen, että laki mahdollistaa henkilöturvallisuusselvitysten tekemisen työsuhteen aikana vain erittäin rajoitetusti, mikä vähentää niiden arvoa erityisesti pitkään jatkuneiden työsuhteiden osalta. FA pitääkin tarpeellisena, että turvallisuusselvityslakia muutettaisiin niin, että henkilöturvallisuusselvityksen tekeminen työsuhteen aikana helpottuisi.
Lopuksi FA kiinnittää huomiota vireillä oleviin EU:n turva- ja kyberuhkia koskeviin sääntelyhankkeisiin (erityisesti CER- ja NIS2-direktiiviehdotukset), jotka tulee huomioida ja varmistaa, ettei ehdotettava kansallinen sääntely ole niiden kanssa ristiriidassa.