Suositus tietoturvallisuuden vähimmäisvaatimuksista
Lausuntopyynnön diaarinumero: VN/28669/2023
Vastausaika on päättynyt: 28.10.2023
Lausuntopyynnön taustatiedot
Johdanto
Tiedonhallintalautakunnan tehtävänä on edistää tiedonhallintalaissa säädettyjen tiedonhallinnan ja tietoturvallisuuden menettelytapojen ja tiedonhallintalain vaatimusten toteuttamista. Tiedonhallintalautakunta ei ole tiedonhallinnan yleisviranomainen, vaan sen tehtävät liittyvät tiedonhallintalakiin. Tiedonhallintalautakunnan asettamat jaostot laativat ja ylläpitävät tiedonhallintalaissa säädettyjen vaatimusten toteuttamista koskevia suosituksia. Tiedonhallintalautakunnan suositukset eivät ole velvoittavia tai sitovia, vaan niissä ohjataan tiedonhallintayksikköjä ja viranomaisia toteuttamaan hyviin käytäntöihin pohjautuen tiedonhallintalaissa säädetyt vaatimukset. Tiedonhallintalautakunta on asettanut tietoturvallisuusjaoston 31.12.2023 saakka.
Tausta
Julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019) on säädetty tietoturvallisuustoimenpiteisiin liittyviä vastuita julkisen hallinnon tiedonhallintayksiköille ja viranomaisille sekä yksityisille henkilöille ja yhteisöille taikka muille kuin viranomaisena toimiville julkisoikeudellisille yhteisöille, siltä osin kuin ne hoitavat julkista hallintotehtävää. Lisäksi laissa säädetään tietoturvallisuustoimenpiteiden vähimmäistasosta ja tiedonhallintayksikön velvollisuudesta tunnistaa olennaiset tietojenkäsittelyyn kohdistuvat riskit ja mitoittaa tietoturvallisuustoimenpiteet riskiarvioinnin mukaisesti.
Tämä tiedonhallintalautakunnan suositus opastaa tiedonhallintalain asettamien tietoturvallisuuden vähimmäisvaatimusten täyttämisessä, jotka kaikkien julkishallinnon organisaatioiden tulee vähintään täyttää.Vähimmäisvaatimusten osana organisaatioiden tulee tunnistaa ja arvioida tietojenkäsittelyyn liittyvät riskit sekä toteuttaa toimenpiteet riskien pienentämiseksi hyväksyttävälle tasolle.
Suositus on tarkoitettu ensisijaisesti tiedonhallintalaissa määritetyille tiedonhallintayksiköille ja viranomaisille, mutta näiden lisäksi tätä suositusta voivat hyödyntää kaikki muutkin toimijat, jotka käsittelevät viranomaisten asiakirjoja.
Tämä suositus korvaa suosituskokoelmat tiettyjen tietoturvallisuussäännösten soveltamisesta (versiot VM 2021:65, VM 2020:61 ja VM 2020:61).
Suositus perustuu tiedonhallintalakiin. Lisäksi suosituksen laatimisessa on hyödynnetty sen perustana olevia hallituksen esityksiä sekä hallintovaliokunnan mietintöjä.
Tämä tiedonhallintalautakunnan suositus opastaa tiedonhallintalain asettamien tietoturvallisuuden vähimmäisvaatimusten täyttämisessä, jotka kaikkien julkishallinnon organisaatioiden tulee vähintään täyttää.Vähimmäisvaatimusten osana organisaatioiden tulee tunnistaa ja arvioida tietojenkäsittelyyn liittyvät riskit sekä toteuttaa toimenpiteet riskien pienentämiseksi hyväksyttävälle tasolle.
Suositus on tarkoitettu ensisijaisesti tiedonhallintalaissa määritetyille tiedonhallintayksiköille ja viranomaisille, mutta näiden lisäksi tätä suositusta voivat hyödyntää kaikki muutkin toimijat, jotka käsittelevät viranomaisten asiakirjoja.
Tämä suositus korvaa suosituskokoelmat tiettyjen tietoturvallisuussäännösten soveltamisesta (versiot VM 2021:65, VM 2020:61 ja VM 2020:61).
Suositus perustuu tiedonhallintalakiin. Lisäksi suosituksen laatimisessa on hyödynnetty sen perustana olevia hallituksen esityksiä sekä hallintovaliokunnan mietintöjä.
Tavoitteet
Suosituksessa esitetään tietojen käsittelylle säädetyt tietoturvavaatimukset sekä niihin liittyviä hyviä käytäntöjä. Jokainen luku sisältää lain vaatimuksen, täsmennyksiä lain vaatimukseen, siihen liittyvät suositukset, käytännön esimerkkejä ja viittauksia lisätietoihin. Liitteessä 1 on yhteenveto tiedonhallintalain tietoturvallisuutta koskevista lainkohdista.
Linkit
Liitteet:
Aikataulu
Tiedonhallintalautakunnan tietoturvallisuusjaosto pyytää kommentteja ja huomioita liitteenä olevastaTietoturvallisuuden vähimmäisvaatimus - suositusluonnoksesta ja sen liitteestä 27.10.2023 mennessä.
Vastausohjeet vastaanottajille
Toivomme kommentteja suosituksesta ja sen liitteestä (liite 1).
Yksilöikää kommenttinne asiakirjan nimellä, luvun numerolla sekä tarkenteella (esimerkiksi 1. kappale 1. rivi). Jos havaitsette puutteita, voi kommenttiin sisällyttää ehdotuksia kyseisen yksilöidyn kohdan muuttamiseksi. Toivomme erityisesti kommentteja ja esimerkkejä suositusluonnoksessa esitetyistä suositeltavista toimenpiteistä.
Tämä lausuntopyyntö on lähetetty vain sähköisenä. Lausuntoja voivat lähettää myös muut kuin jakelussa mainitut tahot.
Yksilöikää kommenttinne asiakirjan nimellä, luvun numerolla sekä tarkenteella (esimerkiksi 1. kappale 1. rivi). Jos havaitsette puutteita, voi kommenttiin sisällyttää ehdotuksia kyseisen yksilöidyn kohdan muuttamiseksi. Toivomme erityisesti kommentteja ja esimerkkejä suositusluonnoksessa esitetyistä suositeltavista toimenpiteistä.
Tämä lausuntopyyntö on lähetetty vain sähköisenä. Lausuntoja voivat lähettää myös muut kuin jakelussa mainitut tahot.
Valmistelijat
Lisätietoja antavat jaoston puheenjohtaja Mika Kuronen (etunimi.sukunimi@gov.fi) ja jaostosihteeri Tuula Seppo (etunimi.sukunimi@dvv.fi).
Jakelu:
| Akaan kaupunki | ||
| Alajärven kaupunki | ||
| Alavieskan kunta | ||
| Alavuden kaupunki | ||
| Asikkalan kunta | ||
| Askolan kunta | ||
| Auran kunta | ||
| Digi- ja väestötietovirasto | ||
| Enonkosken kunta | ||
| Enontekiön kunta | ||
| Espoon kaupunki - Esbo stad | ||
| Eurajoen kunta | ||
| Euran kunta | ||
| Evijärven kunta | ||
| Forssan kaupunki | ||
| Haapajärven kaupunki | ||
| Haapaveden kaupunki | ||
| Hailuodon kunta | ||
| Halsuan kunta | ||
| Haminan kaupunki | ||
| Hangon kaupunki - Hangö stad | ||
| Hankasalmen kunta | ||
| Harjavallan kaupunki | ||
| Hartolan kunta | ||
| Hattulan kunta | ||
| Hausjärven kunta | ||
| Heinolan kaupunki | ||
| Heinäveden kunta | ||
| Helsingin kaupunki - Helsingfors stad | ||
| Hirvensalmen kunta | ||
| Hollolan kunta | ||
| Huittisten kaupunki | ||
| Humppilan kunta | ||
| Hyrynsalmen kunta | ||
| Hyvinkään kaupunki | ||
| Hämeenkyrön kunta | ||
| Hämeenlinnan kaupunki | ||
| Hätäkeskuslaitos | ||
| Iin kunta | ||
| Iisalmen kaupunki | ||
| Iitin kunta | ||
| Ikaalisten kaupunki | ||
| Ilmajoen kunta | ||
| Ilomantsin kunta | ||
| Imatran kaupunki | ||
| Inarin kunta | ||
| Ingå kommun - Inkoon kunta | ||
| Isojoen kunta | ||
| Isokyrön kunta | ||
| Jakobstad - Pietarsaaren kaupunki | ||
| Janakkalan kunta | ||
| Joensuun kaupunki | ||
| Jokioisten kunta | ||
| Joroisten kunta | ||
| Joutsan kunta | ||
| Juankosken kaupunki | ||
| Juukan kunta | ||
| Juupajoen kunta | ||
| Juvan kunta | ||
| Jyväskylän kaupunki | ||
| Jämijärven kunta | ||
| Jämsän kaupunki | ||
| Järvenpään kaupunki | ||
| Kaarinan kaupunki | ||
| Kaavin kunta | ||
| Kajaanin kaupunki | ||
| Kalajoen kaupunki | ||
| Kangasalan kunta | ||
| Kangasniemen kunta | ||
| Kankaanpään kaupunki | ||
| Kannonkosken kunta | ||
| Kannuksen kaupunki | ||
| Kansallisarkisto | ||
| Karijoen kunta | ||
| Karkkilan kaupunki | ||
| Karstulan kunta | ||
| Karvian kunta | ||
| Kaskisten kaupunki - Kaskis stad | ||
| Kauhajoen kaupunki | ||
| Kauhavan kaupunki | ||
| Kauniaisten kaupunki - Grankulla stad | ||
| Kaustisen kunta | ||
| Keiteleen kunta | ||
| Kemijärven kaupunki | ||
| Kemin kaupunki | ||
| Keminmaan kunta | ||
| Kempeleen kunta | ||
| Keravan kaupunki | ||
| Keuruun kaupunki | ||
| Kihniön kunta | ||
| Kimitoö kommun - Kemiönsaaren kunta | ||
| Kinnulan kunta | ||
| Kirkkonummen kunta - Kyrkslätt kommun | ||
| Kiteen kaupunki | ||
| Kittilän kunta | ||
| Kiuruveden kaupunki | ||
| Kivijärven kunta | ||
| Kokemäen kaupunki | ||
| Kokkolan kaupunki - Karleby stad | ||
| Kolarin kunta | ||
| Konneveden kunta | ||
| Kontiolahden kunta | ||
| Korsholm kommun - Mustasaaren kunta | ||
| Korsnäs kommun | ||
| Kotkan kaupunki | ||
| Kouvolan kaupunki | ||
| Kristinestad - Kristiinankaupunki | ||
| Kronoby kommun - Kruunupyyn kunta | ||
| Kuhmoisten kunta | ||
| Kuhmon kaupunki | ||
| Kuntaliitto | ||
| Kuopion kaupunki | ||
| Kuortaneen kunta | ||
| Kurikan kaupunki | ||
| Kustavin kunta | ||
| Kuusamon kaupunki | ||
| Kyyjärven kunta | ||
| Kärkölän kunta | ||
| Kärsämäen kunta | ||
| Lahden kaupunki | ||
| Laihian kunta | ||
| Laitilan kaupunki | ||
| Lapinjärven kunta - Lappträsk kommun | ||
| Lapinlahden kunta | ||
| Lappajärven kunta | ||
| Lappeenrannan kaupunki | ||
| Lapuan kaupunki | ||
| Larsmo kommun - Luodon kunta | ||
| Laukaan kunta | ||
| Lemin kunta | ||
| Lempäälän kunta | ||
| Leppävirran kunta | ||
| Lestijärven kunta | ||
| Liedon kunta | ||
| Lieksan kaupunki | ||
| Liikenne- ja viestintäministeriö | ||
| Limingan kunta | ||
| Liperin kunta | ||
| Lohjan kaupunki - Lojo stad | ||
| Loimaan kaupunki | ||
| Lopen kunta | ||
| Loviisan kaupunki - Lovisa stad | ||
| Luhangan kunta | ||
| Lumijoen kunta | ||
| Luumäen kunta | ||
| Luvian kunta | ||
| Maa- ja metsätalousministeriö | ||
| Maahanmuuttovirasto | ||
| Maanmittauslaitos | ||
| Malax kommun - Maalahden kunta | ||
| Marttilan kunta | ||
| Maskun kunta | ||
| Merijärven kunta | ||
| Merikarvian kunta | ||
| Miehikkälän kunta | ||
| Mikkelin kaupunki | ||
| Muhoksen kunta | ||
| Multian kunta | ||
| Muonion kunta | ||
| Muuramen kunta | ||
| Mynämäen kunta | ||
| Myrskylän kunta - Mörskom kommun | ||
| Mäntsälän kunta | ||
| Mänttä-Vilppulan kaupunki | ||
| Mäntyharjun kunta | ||
| Naantalin kaupunki | ||
| Nakkilan kunta | ||
| Nivalan kaupunki | ||
| Nokian kaupunki | ||
| Nousiaisten kunta | ||
| Nurmeksen kaupunki | ||
| Nurmijärven kunta | ||
| Nykarleby stad - Uusikaarlepyyn kaupunki | ||
| Närpes stad - Närpiön kaupunki | ||
| Oikeusministeriö | ||
| Opetus- ja kulttuuriministeriö | ||
| Orimattilan kaupunki | ||
| Oripään kunta | ||
| Oriveden kaupunki | ||
| Oulaisten kaupunki | ||
| Oulun kaupunki | ||
| Outokummun kaupunki | ||
| Padajoen kunta | ||
| Paimion kaupunki | ||
| Palkeet | ||
| Paltamon kunta | ||
| Pargas stad - Paraisten kaupunki | ||
| Parikkalan kunta | ||
| Parkanon kaupunki | ||
| Pedersöre kommun - Pedersören kunta | ||
| Pelkosenniemen kunta | ||
| Pellon kunta | ||
| Perhon kunta | ||
| Pertunmaan kunta | ||
| Petäjäveden kunta | ||
| Pieksämäen kaupunki | ||
| Pielaveden kunta | ||
| Pihtiputaan kunta | ||
| Pirkkalan kunta | ||
| Poliisihallitus | ||
| Polvijärven kunta | ||
| Pomarkun kunta | ||
| Porin kaupunki | ||
| Pornaisten kunta | ||
| Porvoon kaupunki - Borgå stad | ||
| Posion kunta | ||
| Pudasjärven kaupunki | ||
| Pukkilan kunta | ||
| Punkalaitumen kunta | ||
| Puolangan kunta | ||
| Puolustuskiinteistöt | ||
| Puolustusministeriö | ||
| Puumalan kunta | ||
| Pyhtään kunta - Pyttis kommun | ||
| Pyhäjoen kunta | ||
| Pyhäjärven kaupunki | ||
| Pyhännän kunta | ||
| Pyhärannan kunta | ||
| Pälkäneen kunta | ||
| Pääesikunta | ||
| Pöytyän kunta | ||
| Raahen kaupunki | ||
| Raision kaupunki | ||
| Rajavartiolaitoksen esikunta | ||
| Rantasalmen kunta | ||
| Ranuan kunta | ||
| Raseborg stad - Raaseporin kaupunki | ||
| Rauman kaupunki | ||
| Rautalammin kunta | ||
| Rautavaaran kunta | ||
| Rautjärven kunta | ||
| Reisjärven kunta | ||
| Riihimäen kaupunki | ||
| Ristijärven kunta | ||
| Rovaniemen kaupunki | ||
| Ruokavirasto | ||
| Ruokolahden kunta | ||
| Ruoveden kunta | ||
| Ruskon kunta | ||
| Rääkkylän kunta | ||
| Saarijärven kaupunki | ||
| Sallan kunta | ||
| Salon kaupunki | ||
| Sastamalan kaupunki | ||
| Sauvon kunta | ||
| Savitaipaleen kunta | ||
| Savonlinnan kaupunki | ||
| Savukosken kunta | ||
| Seinäjoen kaupunki | ||
| Senaatti | ||
| Sievin kunta | ||
| Siikaisten kunta | ||
| Siikajoen kunta | ||
| Siikalatvan kunta | ||
| Siilinjärven kunta | ||
| Simon kunta | ||
| Sipoon kunta - Sibbo kommun | ||
| Sisäministeriö | ||
| Siuntion kunta - Sjundeå kommun | ||
| Sodankylän kunta | ||
| Soinin kunta | ||
| Someron kaupunki | ||
| Sonkajärven kunta | ||
| Sosiaali- ja terveysministeriö | ||
| Sotkamon kunta | ||
| Sulkavan kunta | ||
| Suojelupoliisi | ||
| Suomussalmen kunta | ||
| Suonenjoen kaupunki | ||
| Sysmän kunta | ||
| Säkylän kunta | ||
| Säteilyturvakeskus | ||
| Taipalsaaren kunta | ||
| Taivalkosken kunta | ||
| Taivassalon kunta | ||
| Tammelan kunta | ||
| Tampereen kaupunki | ||
| Tervolan kunta | ||
| Tervon kunta | ||
| Teuvan kunta | ||
| Tietosuojavaltuutetun toimisto | ||
| Tl. Kosken kunta | ||
| Tohmajärven kunta | ||
| Toholammin kunta | ||
| Toivakan kunta | ||
| Tornion kaupunki | ||
| Traficom | ||
| Tulli | ||
| Turun kaupunki - Åbo stad | ||
| Tuusniemen kunta | ||
| Tuusulan kunta | ||
| Tyrnävän kunta | ||
| Työ- ja elinkeinoministeriö | ||
| Ulkoministeriö | ||
| Ulvilan kaupunki | ||
| Urjalan kunta | ||
| Utajärven kunta | ||
| Utsjoen kunta | ||
| Uuraisten kunta | ||
| Uusikaupunki | ||
| Vaalan kunta | ||
| Vaasan kaupunki - Vasa stad | ||
| Valkeakosken kaupunki | ||
| Valtimon kunta | ||
| Valtioneuvoston kanslia | ||
| Valtionkonttori | ||
| Valtiovarainministeriö | ||
| Valtori | ||
| Vantaan kaupunki - Vanda stad | ||
| Varkauden kaupunki | ||
| Vehmaan kunta | ||
| Verohallinto | ||
| Vesannon kunta | ||
| Vesilahden kunta | ||
| Vetelin kunta | ||
| Vieremän kunta | ||
| Vihdin kunta | ||
| Viitasaaren kaupunki | ||
| Vimpelin kunta | ||
| Virolahden kunta | ||
| Virtain kaupunki | ||
| Väylävirasto | ||
| Vörå kommun - Vöyrin kunta | ||
| Ylitornion kunta | ||
| Ylivieskan kaupunki | ||
| Ylöjärven kaupunki | ||
| Ympäristöministeriö | ||
| Ypäjän kunta | ||
| Ähtärin kaupunki | ||
| Äänekosken kaupunki |
Asiasanat
tietoturvallisuus
tietojärjestelmät
tietoaineisto
tiedonhallintalaki
vaatimustenmukaisuus
tehtävät ja vastuut