Kriittisten toimijoiden häiriönsietokyky

Asianomainen valvova viranomainen valvoo kriittiselle toimijalle säädettyjen ja määrättyjen velvoitteiden noudattamista. 

Fimea toimii valvovana viranomaisena kriittisiksi nimettyjen: 

a) ihmisille tarkoitettuja lääkkeitä koskevista yhteisön säännöistä annetun Euroopan parlamentin ja neuvoston direktiivin 2001/83/EY, jäljempänä lääkedirektiivi, 1 artiklan 2 alakohdassa tarkoitettujen lääkkeiden tutkimusta ja kehitystä harjoittavien toimijoiden osalta; 
b) tilastollisen toimialaluokituksen NACE Rev. 2 vahvistamisesta sekä neuvoston asetuksen (ETY) N:o 3037/90 ja tiettyjen eri tilastoaloja koskevien yhteisön asetusten muuttamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1893/2006, sellaisena kuin se on viimeksi muutettuna komission delegoidussa asetuksessa (EU) 2023/137, vahvistetun NACE Rev.2 –luokituksen C jakson kaksinumerotasossa 21 tarkoitettujen lääkeaineiden ja lääkkeiden valmistajien osalta; 
c) Euroopan lääkeviraston roolin vahvistamisesta kriisivalmiudessa ja -hallinnassa lääkkeiden ja lääkinnällisten laitteiden osalta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/123 22 artiklassa tarkoitettujen kansanterveysuhan aikana kriittisiksi katsottujen lääkinnällisten laitteiden valmistajien osalta; 
d) lääkedirektiivin 79 artiklassa tarkoitettujen tukkukaupan harjoittamista koskevien luvan haltijoiden ja apteekkien osalta;
 e) potilasdirektiivin mukaisten lääkkeitä ja lääkinnällisiä laitteita toimittavien ja tarjoavien toimijoiden ja veripalvelulaitosten osalta;

Valvonta on kohdistettava kriittiseen toimijaan laissa säädettyjen velvollisuuksien noudattamisen valvomiseksi siinä laajuudessa kuin se on tarpeen. 
 

EU:n jäsenvaltioiden on määritettävä kriittiset toimijat CER-direktiivin mukaan ensimmäisen kerran viimeistään 17.7.2026.

10 §: Yksityinen tai julkinen yhteisö taikka sen toiminnallinen osa voidaan määrittää kriittiseksi toimijaksi, jos: 

1) toimija tarjoaa yhtä tai useampaa yhteiskunnan toimintakyvyn kannalta keskeistä palvelua; 
2) toimija toimii ja sen omistama, hallinnassa oleva tai käyttämä kriittinen infrastruktuuri sijaitsee Suomen alueella; sekä 
3) poikkeamalla olisi 11 ja 12 §:n mukaisia merkittäviä haitallisia vaikutuksia 
 a) toimijan yhden tai useamman kyseisen keskeisen palvelun tarjoamiseen; tai
 b) muiden keskeisten palvelujen tarjoamiseen palvelusta riippuvaisilla toimialoilla.

Kriittisen toimijan määrittämisessä otetaan huomioon kriittisten toimijoiden häiriönsietokykyä koskeva valtakunnallinen suunnitelma ja kriittistä infrastruktuuria ja kriittisten toimijoiden häiriönsietokykyä koskeva kansallinen riskiarvio sekä rajat ylittävä toiminta ja eurooppalainen yhteismitallisuus.

Lue lisää merkittävästä haittavaikutuksesta HE 205/2024 11§.

Kriittisen toimijan määrittämistä koskevan asian ratkaisee se ministeriö, jonka toimialaan käsiteltävä toimija kuuluu. Päätös on voimassa enintään neljä vuotta. 
 

Laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta tuo kriittisille toimijoille velvoitteita mm. riskinarviointiin, häiriönsietokyvyn varmistamiseen, häiriönsietokykyä koskevan suunnitelmaan sekä poikkeamien menettelyihin liittyen.

Lue lisää kriittisen toimijan velvoitteista ja niiden suhteesta muuhun lainsäädäntöön HE 205/2024. 

CER:n perusteella kriittisiksi toimijoiksi määritettyihin toimijoihin sovelletaan NIS 2-direktiiviä niiden koosta riippumatta, mikä tuo kriittisille toimijoille myös kyberturvallisuuslain mukaiset velvoitteet.