Motivering

Syftet med avtalet mellan Europeiska unionens medlemsstater om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i unionens intresse är att förplikta medlemsstaterna att följa rådets nya säkerhetsbestämmelser och att skapa en konsekvent och övergripande ram för skydd av säkerhetsskyddsklassificerade uppgifter i EU. Avtalet förutsätter att parterna vidtar alla lämpliga åtgärder i enlighet med sina respektive nationella lagar och andra författningar för att säkerställa att den säkerhetsnivå som ges säkerhetsskyddsklassificerade uppgifter som omfattas av avtalet är likvärdig med den som ges enligt rådets nya säkerhetsbestämmelser (rådets beslut 2011/292/EU).

I rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter föreskrivs om grundläggande principer och miniminormer för skydd av uppgifter av detta slag. Genom avtalet förbättras skyddet av nationella säkerhetsskyddsklassificerade uppgifter som Finland lämnar ut, eftersom avtalet förpliktar alla medlemsstater att iaktta miniminormerna i rådets säkerhetsbestämmelser. Avtalet tillåter också att Finland tar emot säkerhetsskyddsklassificerade uppgifter i EU:s intresse från medlemsstater som Finland inte ingått ett särskilt informationssäkerhetsavtal med. Inom avtalets tillämpningsområde får varje part erkänna den säkerhetsprövning av personal och den säkerhetskontroll av anläggningar som gjorts av en annan part. Det här kan göra det lättare för finländska företag att komma med i säkerhetsskyddsklassificerade projekt i andra EU-länder.

Hos oss tillämpas på säkerhetsskyddsklassificerade EU-uppgifter lagen om internationella förpliktelser som gäller informationssäkerhet (). I den föreskrivs på behörigt sätt om undantag från lagen om offentlighet i myndigheternas verksamhet () när det gäller särskilt känsliga informationsmaterial. Andra tilllämpliga författningar är bl.a. lagen om säkerhetsutredningar () och statsrådets förordning om informationssäkerheten inom statsförvaltningen ().

Det är angeläget att alla som hanterar säkerhetsskyddsklassificerade uppgifter följer säkerhetsbestämmelserna till punkt och pricka. Enligt sakkunniga som utskottet hört kommer det sannolikt att behövas säkerhetsförbättringar i de elektroniska informationssystemen i och med rådets nya bestämmelser. Hur mycket det kostar lär gå att säga först när förfarandet för utvärdering av de informationssystem som uppfyller rådets säkerhetsbestämmelser kan tas i bruk i större skala. Kommunikationsverkets nya uppgifter med utvärderingen av it-säkerhetskraven kommer att ge underlag för kostnadsbedömningen. På denna punkt vill utskottet nämna lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation () och lagen om bedömningsorgan för informationssäkerhet (), som båda träder i kraft den 1 juni i år. Kommunikationsverket måste ges adekvata resurser för att kunna utföra bedömningen korrekt, understryker utskottet.

Sammantaget sett anser utskottet propositionen vara behövlig och angelägen. Utskottet anser att de bestämmelser i avtalet som hör till lagstiftningsområdet kan godkännas. Enligt 2 § i den föreslagna lagen om sättande i kraft av avtalet bestäms det om lagens ikraftträdande genom förordning av statsrådet. Utskottet noterar här att ändringen av grundlagens 95 § 1 mom. om sättande i kraft av internationella förpliktelser trädde i kraft den 1 mars i år (). Även bestämmelser i en internationell förpliktelse som inte hör till området för lagstiftning ska härefter sättas i kraft genom förordning av statsrådet. Utskottet föreslår därför följande precisering i 2 § i ikraftsättandelagen: "Bestämmelser om sättande i kraft av avtalets övriga bestämmelser och om denna lags ikraftträdande utfärdas genom förordning av statsrådet."