Motivering

Lagen om internationella förpliktelser som gäller informationssäkerhet () föreskriver om myndigheternas uppgifter och åtgärder för att uppfylla de internationella förpliktelserna gällande informationssäkerhet. Enligt lagen är utrikesministeriet nationell säkerhetsmyndighet när det gäller att uppfylla internationella förpliktelser som gäller informationssäkerhet (National Security Authority, NSA). Försvarsministeriet, huvudstaben och skyddspolisen kan vara sådana utsedda säkerhetsmyndigheter som avses i internationella förpliktelser som gäller informationssäkerhet (Designated Security Authority, DSA). Regeringen föreslår vissa ändringar i lagens bestämmelser om myndigheternas uppgifter och sekretess.

Informationssäkerhetsmyndighetens uppgifter gällande telekommunikation och informationssystem

I den gällande lagen anges inte vilken myndighet som bedömningen av säkerheten i fråga om informationssystem och telekommunikation hör till (National Communications Security Authority, nedan NCSA-myndighet). Det uppges försvåra Finlands medverkan i det internationella samarbetet när vi saknar en sådan myndighet.

NCSA-myndigheten ska bl.a. bedöma internationella informationssystem och informationsförmedlingssystem som hanterar klassificerad information och som behövs t.ex. i elektroniskt informationsutbyte mellan säkerhetsmyndigheterna i olika länder. I och med att vi inte har en NCSA-myndighet lär det t.ex. ha varit svårt för finländska IT-aktörer att delta i internationella upphandlingar, eftersom man i dessa anbudsförfaranden ofta kräver produktcertifiering eller utlåtande från en NCSA-myndighet. Utlåtandena från en NCSA-myndighet kan exempelvis gälla säkerhetsnivån i fråga om krypteringssystem och krypteringsutrustning som tillhandahålls för export.

Regeringen föreslår i propositionen att NCSA-myndighetens uppgifter ska handhas av Kommunikationsverket. Därför behöver också lagen om kommunikationsförvaltningen () ändras. De facto har det från årets början funnits en ny nationell myndighet för informationssäkerhet, NCSA-FI, vid Kommunikationsverket. Den är expert i säkerhetsfrågor med anknytning till elektronisk dataöverföring och hantering av klassificerat material och har hand om relaterade uppgifter som följer av de internationella förpliktelserna gällande informationssäkerhet.

Utskottet anser att NCSA-myndighetens uppgifter faller sig naturliga för Kommunikationsverket med hänsyn till verkets hela uppgiftsområde och expertis på informationssäkerhet. Det nya uppdraget är betydelsefullt och måste absolut lagfästas i enlighet med propositionen, menar utskottet.

Behovet av resurser

I statsbudgeten för 2010 finns anslag avsatta för Kommunikationsverket för uppdraget som NCSA-myndighet. Men de räcker bara till för att starta upp funktionen. Det behövs avsevärt mer pengar och resurser för att kunna sköta uppdraget.

Enligt propositionsmotiven och Kommunikationsverkets bedömning bör de nya uppgifterna inledas stegvis. När verksamheten efter fyra år kommit igång helt, beräknas kostnaderna uppgå till totalt 1 650 000 euro om året och behovet av personella resurser vara tio årsverken. Verksamhet kräver också skyddade lokaler och tekniska system med fullgott skydd.

Utskottet understryker att det måste avsättas tillräckligt med resurser och pengar för verksamheten för att Finland ska kunna fullgöra sina åtaganden, den finska företagsvärlden få sina behov tillgodosedda och bl.a. det förtroende skapas som krävs i samarbetet mellan säkerhetsmyndigheterna och så att världen bibringas bilden av Finland som en pålitlig samarbetspartner. Kommunikationsverket kan i egenskap av nettobudgeterat ämbetsverk inte använda t.ex. inkomster från avgifter som den tar ut för att finansiera sin verksamhet för det nya uppdraget. Utskottet poängterar att de resurser som behövs för NCSA-myndigheten i initialfasen och i framtiden måste tryggas för att arbetet ska kunna bedrivas effektivt och för att den nya funktionen inte ska inkräkta på Kommunikationsverkets övriga uppgifter.

Det är viktigt och med tanke på praktiken absolut nödvändigt att de internationella förpliktelserna gällande informationssäkerhet fullgörs enligt principen om en enda kontaktpunkt, för att det ska stå helt klart för myndigheter och andra aktörer utomlands vem som är behörig myndighet i Finland t.ex. när det gäller NCSA-myndighetens uppgifter.