CER-lainsäädäntö: uusia resilienssivelvoitteita kriittisille toimijoille

Light surfaces, LIEKE L-symbol

Laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta (310/2025) (”CER-laki”) tuli voimaan 1.7.2025. CER-lailla implementoitiin kansallisesti 16.1.2023 voimaan tullut Euroopan unionin kriittisten toimijoiden häiriönsietokykyä koskeva direktiivi (EU) 2022/2557 (”CER-direktiivi”). CER-direktiivin taustalla on Euroopan turvallisuus- ja toimintaympäristön muuttuminen ja uudenlaisiin, laaja-alaisiin uhkiin varautumisen korostuminen. CER-direktiivin vaatimukset kohdistuvat yhteiskunnan perusrakenteen muodostaviin toimijoihin, joiden vakavat häiriöt tai kriisit voivat johtaa laajamittaisiin yhteiskunnallisiin, taloudellisiin ja turvallisuuteen liittyviin ongelmiin.

Kansallinen CER-laki asettaa velvoitteita määritellyillä toimialoilla toimiville elintärkeitä palveluita tuottaville yrityksille ja muille toimijoille, jotka on erillisellä hallintopäätöksellä määritetty kriittisiksi toimijoiksi. Päätös kriittiseksi toimijaksi määrittämisestä on tullut tehdä ensimmäisen kerran 17.7.2026 mennessä. Toimija voidaan määrittää kriittiseksi, jos (i) se tarjoaa keskeisiä palveluja yhteiskunnan toimintakyvylle, (ii) se toimii ja sen infrastruktuuri sijaitsee Suomessa, ja (iii) sen infrastruktuuriin kohdistuvalla poikkeamalla olisi merkittäviä haitallisia vaikutuksia toimijan omaan keskeisen palvelun tarjoamiseen tai riippuvaisten toimialojen palveluihin. Kriittisen toimijan määrittämisessä otetaan lisäksi huomioon kriittisten toimijoiden häiriönsietokykyä koskeva valtakunnallinen suunnitelma, kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskeva kansallinen riskiarvio sekä rajat ylittävä toiminta ja eurooppalainen yhteismitallisuus. Päätöksen kriittiseksi toimijaksi määrittämisestä tekee toimialasta vastaava ministeriö, ja päätös on voimassa kerrallaan enintään neljä (4) vuotta. Päätös voidaan myös perua, jos toimija ei enää täytä kriittisen toimijan edellytyksiä. Koska päätös kriittiseksi toimijaksi määrittämisestä annetaan tiedoksi jokaiselle kriteerit täyttävälle organisaatiolle erikseen, ei toimija voi tietämättään kuulua CER-lain soveltamisalan piiriin.

CER-lain mukaisten kriittisten toimijoiden kyberturvallisuusvelvoitteista säädetään kyberturvallisuuslaissa (124/2025). CER-lain mukaiseen kriittiseen toimijaan sovelletaan koosta riippumatta kyberturvallisuuslain keskeistä toimijaa koskevia säännöksiä, vaikka toimija ei ennen päätöstä (CER) kriittiseksi toimijaksi määrittämisestä (i) olisi kuulunut kyberturvallisuuslain soveltamisalaan, tai (ii) olisi kuulunut kyberturvallisuuslain soveltamisalaan niin sanottuna tärkeänä toimijana. CER-toimijoiden tulee siten täyttää myös kyberturvallisuuslain vaatimukset asetetuissa määräajoissa.

CER-lain mukaiseen kriittiseen toimijaan kohdistuvat velvoitteet

Kriittisiin toimijoihin kohdistuu CER-laissa säädettyjä velvoitteita, jotka voidaan tiivistää riskienhallintavelvollisuuteen ja raportointivelvollisuuteen. Toimijoiden on muun ohella laadittava riskiarviointi ja suunnitelma häiriönsietokyvyn varmistamiseksi, sekä ilmoitettava merkittävistä poikkeamista, jotka häiritsevät tai voivat häiritä keskeisen palvelun tarjoamista. Toimijoiden on osana riskienhallintaa kiinnitettävä huomiota mm. fyysisen infrastruktuurin suojaamiseen, hallinnolliseen turvallisuuteen ja jatkuvuudenhallintaan.

Kriittisen toimijan on arvioitava toimintaansa kohdistuvat riskit. Arvioinnin tulee kattaa keskeiset palvelut, toimitusketjut ja riippuvuudet. Riskiarvio tulee laatia ensimmäisen kerran yhdeksän (9) kuukauden kuluessa siitä, kun toimija on määritelty kriittiseksi toimijaksi. Toimijan tulee päivittää riskiarviota olosuhteiden tai riskien kehityksen sitä edellyttäessä, ja vähintään neljän (4) vuoden välein.

Kriittisen toimijan tulee lisäksi tehdä häiriönsietokykyä koskeva suunnitelma kahdentoista (12) kuukauden kuluessa riskiarvion laatimisesta. Lisäksi toimijan on nimettävä virallinen yhteyspiste, joka vastaa tiedonkulusta viranomaisten ja toimijan välillä. Osana häiriönsietokyvyn varmistamisen suunnitelmaa toimijan tulee huolehtia, että se on suunnitellut ja toteuttanut toimenpiteet, joiden avulla voidaan vastata poikkeamiin ja häiriötilanteisiin sekä palautua niistä.

Kriittisen toimijan on ilmoitettava asianomaiselle valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle merkittävästä poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista. Toimijan on tehtävä poikkeaman havaitsemisesta ensi-ilmoitus valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle ilman aiheetonta viivytystä, mutta viimeistään kahdenkymmenenneljän (24) tunnin kuluessa, ellei ilmoittaminen ole käytännössä mahdotonta. Toimijan on tarvittaessa laadittava viranomaiselle poikkeamaa koskeva yksityiskohtainen raportti viimeistään yhden (1) kuukauden kuluessa poikkeaman havaitsemisesta.

Valvovat viranomaiset ja seuraamukset

Kriittisiä toimijoita valvovat toimialan mukaan useat eri viranomaiset:

  • Energiavirasto: energiatoimiala
  • Kaakkois-Suomen elinvoimakeskus: juomavesi ja jätevesi
  • Traficom: liikennetoimiala
  • Fimea: lääkkeiden ja lääkinnällisten laitteiden tutkimus, valmistus ja myynti sekä veripalvelulaitokset
  • Ruokavirasto: elintarvikkeiden tuotanto, jalostus ja jakelu
  • Tukes: energia-alan öljy-, vety- ja kaasutoimijat (pl. Energiaviraston valvonnan piiriin kuuluvat)
  • Lupa- ja valvontavirasto: sosiaali- ja terveydenhuolto

CER-lain velvoitteiden laiminlyönnistä voi seurata huomautus, kirjallinen varoitus, uhkasakko tai 2.000–20.000 euron laiminlyöntimaksu. Laiminlyöntimaksu voidaan kuitenkin jättää määräämättä, jos laiminlyönti on vähäinen tai maksu olisi ilmeisen kohtuuton, laiminlyönnistä on kulunut yli viisi (5) vuotta tai toimija on reagoinut laiminlyöntiin oma-aloitteisesti ja viivytyksettä, eikä laiminlyönti ole toistuva.

Lisätietoa antaa