Kyberturvallisuuden ensimmäiset EU:n laajuiset säännöt: sopimus EP:n kanssa

Neuvoston puheenjohtajavaltio pääsi 7. joulukuuta 2015 Euroopan parlamentin kanssa epäviralliseen sopimukseen yhteisistä säännöistä, joilla vahvistetaan verkko- ja tietoturvallisuutta koko EU:ssa.

Uudella direktiivillä asetetaan kyberturvallisuutta koskevia velvollisuuksia keskeisten palvelujen tarjoajille ja digitaalisten palvelujen tarjoajille. Palvelujen tarjoajia vaaditaan toteuttamaan toimia, joilla hallitaan kyberriskejä, ja ilmoittamaan merkittävistä tietoturvapoikkeamista. Näihin kahteen ryhmään sovelletaan kuitenkin erilaisia järjestelmiä.

Luxemburgin pääministeri ja viestintä- ja mediaministeri sekä neuvoston puheenjohtaja Xavier Bettel totesi: "Tämä on merkittävä askel kohti kyberturvallisuuden koordinoidumpaa käsittelytapaa koko Euroopassa. Kaikkien toimijoiden, niin julkisten kuin yksityistenkin, on tehostettava toimiaan erityisesti lisäämällä jäsenvaltioiden keskinäistä yhteistyötä ja tiukentamalla turvallisuusvaatimuksia infrastruktuurin ylläpitäjiä ja digitaalisia palveluja varten".

Tiukemmat säännöt keskeisten palvelujen tarjoajille

Direktiivissä luetellaan useita kriittisiä sektoreita, joilla keskeisten palvelujen tarjoajat toimivat. Näitä ovat muun muassa energia-, liikenne-, rahoitus- ja terveydenhuoltoala. Jäsenvaltioiden on direktiivissä vahvistettujen selkeiden perusteiden pohjalta määrä tunnistaa toimijat, jotka tarjoavat keskeisiä palveluja näillä sektoreilla. Tällaisten palvelujen tarjoajiin sovelletaan tiukempia vaatimuksia ja valvontaa kuin digitaalisten palvelujen tarjoajiin. Tämä kuvastaa sitä, millaisen vaaran näiden palvelujen häiriintyminen voi aiheuttaa yhteiskunnalle ja taloudelle.

Yhdenmukaisempi järjestelmä digitaalisten palvelujen tarjoajille

Direktiivi kattaa seuraavat digitaaliset palvelut: verkkokauppa-alustat, hakukoneet ja pilvipalvelut.

Digitaalisten palvelujen tarjoajat toimivat tavallisesti useissa jäsenmaissa. Jotta voidaan varmistaa, että heitä kohdellaan yhdenmukaisesti koko EU:ssa, sääntöjä sovelletaan kaikkiin tällaisia palveluja tarjoaviin toimijoihin, pienyrityksiä lukuun ottamatta.

Kansalliset ja EU-tason kehykset kyberuhkien torjumiseksi

Kaikkien EU-maiden on nimitettävä yksi tai useampi kansallinen viranomainen ja vahvistettava strategia kyberasioiden käsittelemiseksi.

Jäsenvaltiot myös tehostavat kyberturvallisuuden alan yhteistyötään. Lisäksi on määrä perustaa EU:n tason yhteistyöryhmä, joka tukee strategista yhteistyötä ja parhaiden käytäntöjen vaihtoa jäsenmaiden kesken. Tietoturvapoikkeamia käsittelevien CSIRT-ryhmien kansallinen verkosto luodaan edistämään operatiivista yhteistyötä. Molempien odotetaan edistävän jäsenmaiden välistä luottamusta.

Määräajat

Jäsenvaltioilla on 21 kuukautta aikaa tämän direktiivin voimaantulosta hyväksyä tarvittavat kansalliset säännökset. Tämän jälkeen niillä on vielä 6 kuukautta aikaa määrittää keskeisten palvelujen tarjoajat.

Miten ehdotus muuttuu laiksi?

Sopimukselle on vielä saatava jäsenmaiden vahvistus neuvostossa. Puheenjohtajavaltio aikoo esittää sovitun tekstin jäsenvaltioiden suurlähettiläiden hyväksyttäväksi pysyvien edustajien komiteassa (Coreper) 18. joulukuuta. Menettelyn loppuun saattamiseksi vaaditaan vielä sekä neuvoston että parlamentin virallinen hyväksyntä.

• Parempaa kyberturvallisuutta kaikkialla EU:ssa