Verkko- ja tietoturvadirektiivin (NIS) valvonta

Valvira vastaa Suomessa EU:n verkko- ja tietoturvadirektiivin (NIS-direktiivi) mukaisesta valvonnasta terveydenhuollon osalta. Laki velvoittaa huoltovarmuuskriittisiä yrityksiä ja keskeisiä digitaalisten palveluiden tarjoajia ilmoittamaan ja raportoimaan tietoturvaloukkauksista. Suomessa Traficom (Traficom.fi) kokoaa valvovilta viranomaisilta saadut ilmoitukset yhteen ja toimii Suomen yhdyspisteenä EU-jäsenvaltioiden välillä.

Direktiivin velvoitteet kohdistuvat yhteiskunnan toimivuuden kannalta tärkeille toimialoille ja niiden noudattamista valvovat toimialakohtaiset viranomaiset:

• Liikenne - Traficom
• Energiahuolto - Energiavirasto
• Terveydenhuolto - Valvira
• Finanssiala - Finanssivalvonta
• Finanssialan infrastruktuuri - Finanssivalvonta
• Vesihuolto - ELY-keskukset
• Digitaalinen infrastruktuuri - Traficom
• Digitaaliset palvelut – Traficom

Kuva: NIS-toimijat Suomessa

Sosiaali- ja terveydenhuollon tietoturvauhkista ja -loukkauksista tulee ilmoittaa Valviraan

Lainsäädäntö velvoittaa toimialakohtaisesti määritetyt organisaatiot ilmoittamaan ja raportoimaan havaitsemistaan tietoturvauhkista ja -loukkauksista. Velvoite on pakottava.

Sosiaali- ja terveydenhuollon tietoturvauhkista ja -loukkauksista tulee ilmoittaa Valviraan. Ilmoitus tehdään vapaamuotoisesti sähköpostilla osoitteeseen kirjaamo(at)valvira.fi. Valvira kokoaa terveydenhuollon ilmoitukset yhteen ja raportoi ne Traficomille.

On suositeltavaa ilmoittaa tietoturvauhkista ja -loukkauksista myös Traficomin Kyberturvallisuuskeskukselle. Kyberturvallisuuskeskukselle ilmoittaminen ei poista ilmoitusvelvollisuutta toimialaa valvovalle viranomaiselle.

Verkko- ja tietoturvadirektiivi luo pohjan kyberturvallisuuden edistämiselle

Verkko- ja tietoturvadirektiivi ja kansallinen lainsäädäntö luovat edellytykset kyberturvallisuuden ohjaukseen ja valvontaan yhteiskunnan kannalta tärkeillä toimialoilla. Ne mahdollistavat yhtenäisen tilannekuvan muodostamisen ja luovat pohjan toimialat ja viranomaisrajat ylittävälle yhteistyölle, jolla edistetään kyberturvallisuutta sekä kansallisesti että kansainvälisesti.

Tietoturvauhkia ja -loukkauksia koskevien ilmoitusten tekeminen mahdollistaa tietoturvaloukkauksen kohteena olevan organisaation auttamisen ja auttaa myös muita varautumaan ajankohtaisiin uhkiin. Kyberuhkiin on tärkeää varautua ennakolta: Sosiaali- ja terveysministeriö on julkaissut kyberturvallisuutta koskevan ohjeen sosiaali- ja terveydenhuollon toimijoiden varautumisen tueksi.

EU:n verkko- ja tietoturvadirektiivin (NIS-direktiivi) mukainen kansallinen lainsäädäntö ja sen velvoitteet tulivat voimaan 9.5.2018.