Poikkeamailmoitukset

CER-laki edellyttää kriittisiksi määritetyiltä toimijoilta ilmoituksia viranomaisille keskeiseen palveluun kohdistuvista poikkeamista. Poikkeamailmoitusten tarkoituksena on, että viranomaiset voivat tarvittaessa reagoida poikkeamiin nopeasti ja asianmukaisesti. Poikkeamista ilmoittaminen myös mahdollistaa tuen antamisen kriittisille toimijoille poikkeaman hallinnassa sekä kokonaiskuvan muodostamisen poikkeamien vaikutuksista, luonteesta, syistä ja seurauksista.

Poikkeamailmoitusprosessi on kaksiosainen. Ensi-ilmoitus tulee toimittaa aina poikkeamista, jotka häiritsevät tai voivat häiritä keskeisen palvelujen tarjoamista. Ilmoitus tulee tehdä 24 tunnin kuluttua poikkeaman havaitsemisesta. Ensi-ilmoituksessa toimitetaan muun muassa arvio poikkeaman syystä, sen mahdollisista seurauksista sekä rajat ylittävistä vaikutuksista. Ensi-ilmoitus toimitetaan toimivaltaiselle valvovalle viranomaiselle ja valtioneuvoston tilannekeskukselle. 

Ensi-ilmoituksen lisäksi kriittisten toimijoiden tulee toimittaa yksityiskohtainen raportti, mikäli poikkeama on häirinnyt keskeisen palvelun tarjoamista tai jos poikkeamalla on ollut rajat ylittäviä vaikutuksia. Raporttia ei tällöin tarvitse toimittaa, mikäli toimija katsoo, että poikkeama ei ole häirinnyt keskeisen palvelun tarjoamista ja jos poikkeamalla ei ole rajat ylittäviä vaikutuksia. Jos poikkeama on häirinnyt keskeisen palvelun tarjoamista, tulee yksityiskohtainen raportti toimittaa kuukauden kuluttua poikkeaman havaitsemisesta. Raportti toimitetaan sisäministeriölle, toimialasta vastaavalle ministeriölle ja toimivaltaiselle valvovalle viranomaiselle.

Sekä ensi-ilmoitus että yksityiskohtainen raportti toimitetaan verkkopohjaisen lomakkeen kautta. Lomake ohjautuu oikeille tahoille lomakkeen täyttäjän valintojen perusteella. Lomakkeella voi toimittaa korkeintaan turvallisuusluokan IV tietoa.

Löydät lomakkeet ensi-ilmoitukselle ja yksityiskohtaiselle raportille sivun oikeasta laidasta löytyvistä linkeistä.

HUOM: CER-lain mukaisiksi kriittisiksi toimijoiksi nimetyt toimijat kuuluvat nimeämisen perusteella myös kyberturvallisuuslain soveltamisalaan. Lain piiriin kuuluvien toimijoiden tulee ilmoittaa viranomaisille poikkeamista, jotka aiheuttavat tai voivat aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita asianomaiselle toimijalle. Lisäksi ilmoitus tulee tehdä poikkeamista, jotka vaikuttavat tai voivat vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa. Kyberturvallisuuslain mukainen poikkeama tehdään Traficomin kyberturvallisuuskeskuksen ylläpitämällä lomakkeella.