VALTIONEUVOSTON KIRJELMÄ
Ehdotus
Valtioneuvoston kirjelmä koskee Euroopan komission 20.1.2026 antamia ehdotuksia niin sanotuksi CSA2-asetukseksi ((COM(2026) 11 final) Euroopan parlamentin ja neuvoston asetus Euroopan unionin kyberturvallisuusvirasto ENISA:sta, Euroopan kyberturvallisuuden sertifiointikehyksestä ja ICT-toimitusketjujen turvallisuudesta sekä asetuksen (EU) 2019/881 kumoamisesta) ja niin sanotun NIS 2 -direktiivin muuttamisesta (ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivin (EU) 2022/2055 (NIS 2) muuttamisesta sen yksinkertaistamiseksi ja yhdenmukaistamiseksi CSA2-ehdotuksen kanssa).
Valtioneuvoston kanta
Kyberturvallisuusasetus (CSA2)
Valtioneuvosto katsoo kyberturvallisuuden olevan olennainen osa EU:n sisämarkkinoiden häiriöttömän toiminnan ja yhteiskuntavakauden sekä kansalaisten yksityisyyden turvaamista. Valtioneuvosto kannattaa EU:n lainsäädännön tavoitetta vahvistaa kyberturvallisuuden hallinnointia sekä sitä, että asiaankuuluvilla toimielimillä, viranomaisilla ja muilla sidosryhmillä olisivat paremmat edellytykset estää, havaita ja torjua kyberturvallisuusuhkia koordinoidulla ja tehokkaalla tavalla.
Valtioneuvosto suhtautuu myönteisesti Euroopan kyberturvallisuusvirasto ENISA:n mandaatin kokonaisvaltaiseen uudelleentarkasteluun muuttunut uhkaympäristö sekä unionin kyberturvallisuuslainsäädäntö huomioiden. Valtioneuvosto katsoo, että ENISA:n toiminnan tulee olla tehokasta, priorisoitua ja läpinäkyvää. ENISA:n toiminnan ja tehtävien tulisi ensisijaisesti täydentää jäsenmaiden viranomaisten kyberturvallisuustehtäviä.
Valtioneuvosto suhtautuu myönteisesti ENISA:n toiminnan laajentamiseen operatiivisen yhteistyön tukeen sekä tilannekuvan tuottamiseen huomioiden kuitenkin, että ensisijainen vastuu kyberturvan tasoa varmistavissa ja yhteiskunnan toimijoita tukevissa viranomaistehtävissä on jäsenmailla ja sen viranomaisilla. Tiedonvaihtoon, jolla voisi olla negatiivisia vaikutuksia kansalliseen turvallisuuteen, suhtaudutaan varauksellisesti. Valtioneuvosto suhtautuu kuitenkin myönteisesti ENISA:n yhteistyön tiivistämiseen kumppanimaiden ja kansainvälisten organisaatioiden, kuten NATO:n kanssa.
Valtioneuvosto pitää ENISA:n tehtävien laajentamista tietojärjestelmähaavoittuvuuksien hallintaan liittyviin palveluihin erityisen tärkeänä. Unionin omien kyvykkyyksien vahvistaminen tietojärjestelmähaavoittuvuuksien hallinnassa vahvistaa unionin strategista autonomiaa.
Valtioneuvosto pitää tärkeänä, että jäsenmaat ja komissio ovat jatkossakin tasa-arvoisessa asemassa ENISA:n toimintaan liittyvässä päätöksenteossa. Jäsenmaiden tulee itse voida päättää viraston toimielimiin nimitettävistä edustajista sekä virastoon lähetettävistä asiantuntijoista.
Valtioneuvosto pitää tärkeänä, että tällä asetuksella ei ennakoida tulevan rahoituskehyksen (2028–2034) rahoitusta. Tulevan kauden rahoituksen mitoitukseen otetaan kantaa erikseen osana rahoituskehysneuvottelujen kokonaisuutta.
Valtioneuvosto korostaa, että EU:n toimielinten ja virastojen hallintomenojen taso sekä henkilöstömäärä on pidettävä maltillisena. Valtioneuvosto pyytää jatkovalmistelussa tarkennuksia ENISA:n keräämiin maksuihin ja toiminnan rahoittamiseen liittyen.
Valtioneuvosto suhtautuu kyberturvallisuuden osaamiseen liittyvän tarkemman sääntelyn kehittämiseen varauksellisesti. Valtioneuvosto pitää tärkeänä varmistaa, että osaamisen liittyvät toimenpiteet ovat jäsenvaltioille vapaaehtoisia ja resurssineutraaleja.
Valtioneuvosto tukee yleisesti eurooppalaisen kyberturvallisuuden sertifiointikehyksen uudistamista, tehostamista ja selkeyttämistä. Valtioneuvosto suhtautuu lähtökohtaisesti myönteisesti kybertason ja EU:n lainsäädännön vaatimustenmukaisuusolettaman sisällyttämistä sertifiointijärjestelmien soveltamisalaan. Lisäksi valtioneuvosto kannattaa eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitostrategian ja -toimien lisäämistä osaksi sertifiointikehystä. Valtioneuvosto pitää tärkeänä, että jäsenvaltioilla on mahdollisuus osallistua eurooppalaisen kyberturvallisuuden sertifiointikehyksen prosesseihin. Lisäksi valtioneuvosto katsoo, että sertifiointien tulee säilyä lähtökohtaisesti vapaaehtoisina.
Valtioneuvosto pitää kannatettavana, että EU:ssa haetaan ehdotuksen pohjalta yhteisiä ICT-toimitusketjuja koskevia ratkaisuja, jotka vahvistavat näiden turvallisuutta, edistävät sisämarkkinoiden toimintaa ja EU:n teknologista suvereniteettia. Toimenpiteiden tulee olla ennakoitavia ja hallittuja sekä perustua asianmukaiseen kuulemiseen ja vaikutusarviointiin. Valtioneuvosto katsoo, että ehdotuksessa esitettyjen toimenpiteiden tulee olla myös oikeasuhtaisia ja riskiperustaisia. Valtioneuvosto pitää tärkeänä, että jäsenvaltiot voivat jatkossakin asettaa asetusehdotusta pidemmälle meneviä kansallisia velvoitteita ja toimenpiteitä, erityisesti viestintäverkkojen turvallisuuden varmistamiseksi. Valtioneuvosto tukee ehdotuksen tavoitetta ja pitää samalla tärkeänä, että unionin ja jäsenvaltioiden toimivallan rajat säilyvät selkeinä erityisesti kansallista turvallisuutta koskevissa asioissa. Valtioneuvosto myös korostaa jäsenvaltioiden keskeistä roolia ICT-toimitusketjujen riskien arvioinnissa.
Valtioneuvosto edellyttää, että komissiolle delegoitavat toimivaltuudet ovat tarkkarajaisia, oikeasuhtaisia, tarkoituksenmukaisia ja perusteltuja.
Suomen kantoja komission ja korkean edustajan tiedonantoon unionin taloudellisen turvallisuuden vahvistamiseksi on muodostettu selvityksessä E 3/2026 vp. Selvitys sisältää nyt kyseessä olevan ehdotuksen näkökulmasta olennaisen kirjauksen kansainvälisestä yhteistyöstä haitallisten riippuvuuksien vähentämiseksi:
Haitallisten riippuvuuksien vähentämiseksi EU:n tulee edetä nopeasti kauppaneuvotteluissa sekä kumppanuuksissa esimerkiksi kriittisten raaka-aineiden, teollisuuden, energian ja kriittisten teknologioiden toimitus- ja arvoketjuissa. EU:n tulisi kartoittaa standardipohjaisten markkinoiden luomisen edut ja mahdollisuudet ja panostaa sääntely-yhteistyöhön kolmasmaakumppaneiden kanssa. EU:n tulee hyödyntää unionin olemassa olevia välineitä laajasti myös kolmasmaayhteistyössä haitallisten riippuvuuksien purkamiseksi.
Lisäksi Suomen kantoja komission tiedonantoon osaamisunionista on muodostettu selvityksessä E 56/2025 vp, jonka osalta huomioidaan nyt kyseessä olevan ehdotuksen osalta seuraava kirjaus:
Suomi pitää tärkeänä, että komission ehdotukset perustuvat riittävän kattaviin vaikutusarviointeihin. Suomi korostaa, että EU-tason toimenpiteet on tärkeää suunnitella siten, että ne ovat kustannustehokkaita, eivät lisää hallinnollista taakkaa, huomioivat jäsenmaiden erilaiset koulutusjärjestelmät sekä työvoimapoliittiset painotukset ja hyödyntävät mahdollisimman paljon olemassa olevia rakenteita.
NIS 2 -muutosdirektiivi
Valtioneuvosto kannattaa muutosehdotuksien tavoitteita sääntelyn yksinkertaistamiseksi, sujuvoittamiseksi ja sääntelystä aiheutuvien hallinnollisten kustannuksien alentamiseksi. Valtioneuvosto suhtautuu myönteisesti muutosehdotuksiin, jotka edistävät näitä tavoitteita ja turvaavat samalla kyberturvallisuuden korkeaa tasoa.
Valtioneuvosto pitää tarpeellisena, että osana neuvotteluita arvioidaan tarkemmin ehdotuksen vaikutuksia sääntelystä toimijoille aiheutuviin kustannuksiin ja ehdotuksen tavoitteisiin.
Valtioneuvosto suhtautuu myönteisesti direktiivin soveltamisalaa koskeviin muutosehdotuksiin sekä ehdotukseen keskeisen toimijan kokorajan korottamisesta. Valtioneuvosto pitää tarpeellisena soveltamisalan tarkentamista erityisesti tuotantomäärältään vähäisten sähköntuottajien sekä kemianteollisuuden osalta. Valtioneuvosto pitää tarpeellisena, että neuvotteluissa arvioidaan yksityiskohtaisemmin komission ehdotusta strategisen kaksikäyttöinfrastruktuurin omistajien ja operaattoreiden sisällyttämisestä direktiivin soveltamisalaan erityisesti maanpuolustuksen ja kansallisen turvallisuuden kannalta.
Valtioneuvosto pitää tärkeänä, että NIS 2 -direktiivin vaatimukset ovat oikeasuhtaisia ja riskiperusteisia. Valtioneuvosto suhtautuu alustavan varauksellisesti ehdotukseen komission toimivallasta täysharmonisoida riskienhallintatoimenpiteitä täytäntöönpanosäädöksillä. Valtioneuvosto pitää tarkoituksenmukaisena, että jäsenvaltioilla on riittävä kansallinen liikkumavara riskienhallintaa koskevien vaatimuksien asettamisessa.
Valtioneuvosto pitää lähtökohtaisesti hyvänä, että eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mukaisia sertifiointeja voitaisiin hyödyntää NIS 2 -direktiivin vaatimustenmukaisuuden osoittamisessa.
Valtioneuvosto suhtautuu myönteisesti ehdotukseen ENISA:n tehtävästä laatia rajat ylittäviä kyberturvallisuusriskien arviointeja. Valtioneuvosto pitää kuitenkin tärkeänä, että ENISA:n toimivaltuus valvovien viranomaisten tukemisessa ja sitä koskevien tietojen saamisessa perustuu jäsenvaltion viranomaisen suostumukseen.
Valtioneuvosto suhtautuu alustavan varauksellisesti ehdotukseen kiristyshaittaohjelmatietojen ilmoittamiseen liittyviin uusiin velvollisuuksiin sekä ehdotukseen komissiolle siirretyn säädösvallan laajennuksesta kiristyshaittaohjelmatietojen ilmoittamista koskien. Valtioneuvosto pitää tältä osin tarpeellisena, että neuvotteluissa arvioidaan tarkemmin, miten ehdotus vaikuttaa sääntelystä toimijoille aiheutuviin kustannuksiin ja hallinnolliseen taakkaan.
VALIOKUNNAN PERUSTELUT
(1) Valtioneuvoston kirjelmä koskee Euroopan komission 20.1.2026 antamia ehdotuksia niin sanotuksi CSA2-asetukseksi ((COM(2026) 11 final) Euroopan parlamentin ja neuvoston asetus Euroopan unionin kyberturvallisuusvirasto ENISA:sta, Euroopan kyberturvallisuuden sertifiointikehyksestä ja ICT-toimitusketjujen turvallisuudesta sekä asetuksen (EU) 2019/881 kumoamisesta) ja niin sanotun NIS 2 -direktiivin muuttamisesta (ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivin (EU) 2022/2055 (NIS 2) muuttamisesta sen yksinkertaistamiseksi ja yhdenmukaistamiseksi CSA2-ehdotuksen kanssa). Kirjelmän mukaan uudistamisella on kaksi keskeistä tavoitetta: kyberturvallisuuden kyvykkyyksien ja resilienssin lisääminen sekä sisämarkkinoiden pirstaloitumisen ehkäiseminen.
Oikeusperusta
(2) CSA2-asetuksen ja NIS 2 muutosdirektiivin oikeusperustana on Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 114 artikla, joka mahdollistaa sisämarkkinoiden toteuttamista ja toimintaa koskevien toimenpiteiden antamisen. Sanotun 114 artiklan nojalla annettavat säädökset hyväksytään tavallisessa lainsäätämisjärjestyksessä. Neuvosto tekee päätöksensä määräenemmistöllä. Valtioneuvosto pitää kirjelmän mukaan oikeusperustaa asianmukaisena.
(3) Oikeusperustan arviointi ei lähtökohtaisesti kuulu perustuslakivaliokunnalle perustuslaissa osoitettuihin tehtäviin. Oikeusperustan asianmukaisuus on EU-oikeudellinen kysymys, jonka ratkaisee viime kädessä EU-tuomioistuin (ks. esim. PeVL 7/2026 vp, PeVL 47/2022 vp, kappale 15). Valiokunta korostaa sitä, että unionilainsäädäntöä tulee kehittää perussopimusten puitteissa (ks. esim. PeVL 61/2016 vp ja PeVL 31/2022 vp, kappaleet 8—9).
(4) Perustuslakivaliokunta kiinnittää huomiota unionin perussopimusten keskeisyyteen ja korostaa sitä, ettei johdetun oikeuden säännöksiin sisällytetä jäsenvaltioille perussopimuksissa määriteltyihin velvoitteisiin nähden kokonaan uusia perussopimuksiin kiinnittymättömiä menettelyjä tai muitakaan sellaisia elementtejä, joita ei olisi jo hyväksytty perussopimusten voimaansaattamisen yhteydessä (ks. PeVL 13/2026 vp, PeVL 7/2026 vp, kappale 6, PeVL 12/2018 vp, s. 3, PeVL 49/2010 vp, s. 4/II ja PeVL 46/1996 vp, s. 2/II).
(5) Perustuslakivaliokunnan saaman selvityksen mukaan komissio on aiemmin eräiden toisten SEUT 114 artiklaan perustamiensa säädösehdotusten yhteydessä todennut, että aiemmat tulkinnat SEUT 114 artiklasta ovat saattaneet olla ongelmallisia (ks. myös esim. PeVL 7/2026 vp, kappale 6). Siten valiokunnan mielestä ei ole EU-oikeudellisesti aivan selvää ja riidatonta, että nyt arvioitavalla säädösehdotuspaketilla on kaikilta osin riittävän vahva liityntä sisämarkkinoiden toimintaan SEUT 114 artiklassa tarkoitetun mukaisesti. Säännösehdotusten keskeiset tavoitteet liittyvät kyberturvallisuuteen, minkä vuoksi vailla merkitystä ei ole myöskään Euroopan unionista tehdyn sopimuksen (SEU) 4 artiklan 2 kohta, jonka mukaan kansallinen turvallisuus säilyy yksinomaan kunkin jäsenvaltion vastuulla. Myös valtioneuvoston kirjelmän (s. 15) mukaan neuvotteluissa on tärkeää huolehtia siitä, että jäsenvaltiot voivat jatkossakin esittää ehdotuksen velvoitteita pidemmälle meneviä kansallisia toimenpiteitä, ja että SEU 4 artiklan 2 kohtaa noudatetaan.
(6) Perustuslakivaliokunta korostaa tarvetta varmistua vielä siitä, että ehdotetulla sääntelyllä on kaikkinensa riittävä liityntä sisämarkkinoiden toimintaan SEUT 114 artiklassa tarkoitetulla tavalla.
Suhde omaisuuden suojaan
(7) Valtioneuvoston kirjelmässä (s. 19—22) tarkastellaan ehdotuksen suhdetta perustuslakiin sekä perus- ja ihmisoikeuksiin. Kirjelmän mukaan arvioitavalla ehdotuksella voitaisiin kieltää NIS 2 -direktiivin toimialoihin kuuluvia toimijoita käyttämästä, asentamasta ja integroimasta missään muodossa korkean riskin toimittajien ICT-komponenttien käytön tuotteidensa ja palvelujensa tarjoamiseksi unionissa.
(8) Ehdotettu sääntely on merkityksellistä perustuslain 15 §:ssä turvatun omaisuudensuojan kannalta. Jokaisen omaisuus on perustuslain 15 §:n 1 momentin mukaan turvattu. Omaisuuden pakkolunastuksesta yleiseen tarpeeseen täyttä korvausta vastaan säädetään 15 §:n 2 momentin mukaan lailla. Perustuslakivaliokunnan mukaan perustuslain 15 §:n pakkolunastussäännöksen soveltamisala ei rajoitu ainoastaan sellaisiin tilanteisiin, joissa omistusoikeus siirtyy subjektilta toiselle. Niinpä omaisuuden käyttörajoitus voi olla niin merkittävä, että se rinnastuu tosiasiallisilta vaikutuksiltaan pakkolunastukseen. Tällöin sitä on arvioitava perustuslain 15 §:n 2 momentin kannalta (esim. PeVL 7/2018 vp, PeVL 32/2010 vp, PeVL 38/1998 vp). Tällainen tilanne on käsillä erityisesti silloin, kun käyttörajoitus estää kokonaan omaisuuden käyttämisen pääasialliseen käyttötarkoitukseensa (PeVL 35/2020 vp).
(9) Perustuslakivaliokunta on aikaisemmin tarkastellut perustuslain 15 §:n 2 momentin kannalta kansallista lainsäädäntöä, jonka mukaan viestintäverkkolaitetta ei saa käyttää yleisen viestintäverkon kriittisissä osissa, jos on painavia perusteita epäillä, että laitteen käyttäminen vaarantaisi kansallista turvallisuutta tai maanpuolustusta (PeVL 35/2020 vp). Valiokunnan käsityksen mukaan nyt arvioitavassa ehdotuksessa on samankaltaisia piirteitä. Valtioneuvoston kirjelmä on kuitenkin varsin yleispiirteinen siltä osin kuin siinä käsitellään säännösehdotuksia omaisuuden suojan kannalta.
(10) Valtioneuvoston kirjelmässä on tehty selkoa ehdotetun sääntelyn painavista, osin perustuslain 10 §:ssä ja unionin perusoikeuskirjan 7 ja 8 artiklassa perusoikeuksina turvattujen yksityiselämän suojan ja henkilötietojen suojaan kiinnittyvistä perusteista. Perustuslakivaliokunta kiinnittää huomiota siihen, että perustuslain 15 §:n 2 momentti pitää sisällään paitsi edellytyksen yleisestä tarpeesta myös vaatimuksen täydestä korvauksesta.
(11) Valtioneuvoston kirjelmästä (s. 17) kuitenkin ilmenee, että komissio ei ole säädösehdotusten vaikutusarvioinneissa ainakaan tähän mennessä arvioinut EU-tasoisesti niitä korvausjärjestelyjä tai -mahdollisuuksia, jotka liittyvät ns. korkean riskin toimittajien ICT-komponenttien vaihtamiseen. Komissio ei ole tarkemmin arvioinut myöskään mahdollisia kustannuksia muille NIS 2 -direktiivin toimialoille, joihin ICT-toimitusketjuja koskevat velvoitteet kohdistuisivat.
(12) Ehdotusten jatkovalmistelussa on välttämätöntä selventää sääntelyn suhdetta perustuslain 15 §:ään. Jos sääntelyssä on kyse perustuslain 15 §:n 2 momentissa tarkoitetusta pakkolunastuksesta, johon ei kuitenkaan kytkeydy asianmukaista korvaussääntelyä, ei valtioneuvoston tule hyväksyä ehdotusta.
Delegoitu säädösvalta
(13) Säädösehdotuksiin sisältyy täytäntöönpanovallan siirtämistä komissiolle. Valtioneuvoston kirjelmän (s. 16) mukaan komissio voisi muun muassa antaa täytäntöönpanosäädöksiä, joilla se voisi riskiarvioinnin pohjalta nimetä kolmannen maan maaksi, joka aiheuttaa kyberturvallisuushuolia ICT-toimitusketjuille. Komissio voisi täytäntöönpanoasetuksella laatia listan korkean riskin toimittajista, joihin ehdotuksen rajoitukset kohdistuisivat. Komissio voisi täytäntöönpanoasetuksella määritellä tarkemmin ehdot, joilla korkean riskin toimittajalle voidaan myöntää poikkeus siihen kohdistuvista rajoituksista. Komissio voisi antaa täytäntöönpanoasetuksia, joilla se voisi määritellä kriittiset ICT-osat, joita NIS 2 -direktiivin liitteiden I ja II toimijat käyttävät tuotteidensa tai palvelujensa tarjoamiseen. Komissio voisi antaa täytäntöönpanoasetuksia, joilla se voisi kieltää NIS 2 -direktiivin liitteiden I ja II toimijoita käyttämästä, asentamasta tai integroimasta kriittisiin ICT-osiin korkean riskin toimittajien ICT-komponentteja tai komponentteja sisältäen ICT-komponentteja.
(14) Perustuslakivaliokunnan mukaan erityisesti läheisesti perusoikeuksien toteutumiseen liittyvässä sääntelyssä vaatimusta keskeisten osien sisällyttämisestä lainsäätämisjärjestyksessä hyväksyttävään säädökseen on tulkittava laajasti (PeVL 7/2026 vp, kappale 13, PeVL 12/2012 vp). Tämä merkitsee sitä, että ainakin yksilön oikeuksin ja velvollisuuksien perusteista tulee säätää lainsäätämisjärjestyksessä hyväksyttävän säädöksen tasolla (ks. myös PeVL 50/2022 vp, kappaleet 20—21 ja PeVL 37/2021 vp, kappaleet 41—42).
(15) Siten se, että komissiolla olisi täytäntöönpanoasetuksella toimivalta määrittää NIS 2 ‑direktiivin toimialoihin kuuluvia toimijoita koskevan kiellon alaa, ei ole ongelmatonta perustuslain kannalta. Sääntelyä toimenpiteistä, jotka voivat olla merkityksellisiä perustuslain 15 §:n 2 momentissa säädetyn pakkolunastuksen ja yleisemmin omaisuudensuojan sekä elinkeinovapauden kannalta, ei ole asianmukaista jättää olennaisessa määrin komission täytäntöönpanoasetuksen varaan. Säännösehdotuksia on siten tältä osin muutettava jatkovalmistelussa (vrt. myös esim. PeVL 7/2026 vp, kappale 15).
Tietojen luovuttaminen
(16) Valtioneuvoston kirjelmän mukaan asetuksen mukainen tietojen luovuttaminen saattaisi edellyttää salassa pidettävien tietojen luovuttamista ENISA:lle, EU:n komissiolle sekä muille jäsenmaille. Ehdotuksessa ei ole tarkemmin arvioitu salassa pidettävien tietojen ja tiedonvaihdon merkitystä. Valtioneuvoston mukaan jatkovalmistelussa kiinnitetään huomiota tiedonvaihtoon liittyvän sääntelyn tarkkarajaisuuteen ja täsmällisyyteen. Sääntelyä tulisi valtioneuvoston mielestä tältä osin mahdollisesti täydentää. Perustuslakivaliokunta pitää valtioneuvoston kantaa tältä osin perusteltuna.