Liikennejärjestelmän verkko- ja tietojärjestelmien turvallisuuden sääntely - Lahti, Ville (2022)
Kriittisen infrastruktuurin osana olevat organisaatiot tarjoavat yhteiskunnan keskeisiä palveluita. Näiden palveluiden tarjoamisen jatkuvuutta ja turvallisuutta varmistetaan Euroopan unionin verkko- ja tietojärjestelmien turvallisuusdirektiivillä (NIS), jota parhaillaan ollaan EU:ssa uudistamassa. NIS-direktiivin velvoitteet ovat olleet osa kansallista lainsäädäntöä vuodesta 2018 asti, mutta aiheeseen liittyvää oikeustieteellistä tutkimusta ei ole aikaisemmin Suomessa julkaistu. Tutkielmassa oikeustieteen lainopillista tutkimusmetodia hyödyntäen tulkitaan ja systematisoidaan verkko- ja tietojärjestelmien turvallisuussääntelyä liikennejärjestelmässä raide-, tie- ja vesiliikenteen näkökulmista. Tutkimuksen tarkoituksena on oikeudellisesta näkökulmasta selventää, keitä sääntely koskee, mitä sääntelyn kohteena olevilta vaaditaan ja miten sääntelyn noudattamista valvotaan. Sääntelyn soveltamisalan osalta havaittiin sääntelyn koskevan vakiintunutta käytäntöä laajempaa joukkoa yhteiskunnan keskeisten palveluiden tarjo-ajia. Sääntelyn kohteena olevien keskeisten palveluiden tarjoajien riskienhallinta- ja ilmoittamisvelvollisuuden osalta luotiin sääntelyn sisältöä selkeyttäviä määritelmiä. Kuitenkaan määritelmillä ei pystytty täysin poistamaan sääntelyn jättämää tulkinnanvaraisuutta. Verkko- ja tietojärjestelmien turvallisuusvelvoitteiden noudattamista liikennejärjestelmässä valvoo Liikenne- ja viestintävirasto Traficom. Valvovan viranomaisen valvontavelvollisuuksissa tunnistettiin puute, joka voi heikentää raideliikenteen kyberturvallisuuden valvontaa sekä poiketa NIS-direktiivin vähimmäisvaatimuksista. Valvonnan toimivaltuuksissa havaittiin merkittäviä eroavaisuuksia eri liikennemuotojen välillä, vaikka kaikissa liikennöintimuodoissa on kyse samankaltaisten velvoitteiden noudattamisen valvonnasta. NIS-direktiivi velvoittaa jäsenvaltioita säätämään direktiivin nojalla annettujen kansallisten säännösten rikkomiseen sovellettavista seuraamuksista, mutta ainoastaan raideliikenteessä huomautuksesta ja varoituksesta seuraamuksena on säädetty. Kansallisessa lainsäädännössä Liikenne- ja viestintävirastolle on annettu määräystoimivaltaa. Vaikka määräystoimivalta ei kata kaikkia tutkielmassa tunnistettuja tulkinnanvaraisia tilanteita, tutkielmassa suositetaan määräystoimivallan hyödyntämistä ja esitetään mistä määräämällä sääntelyä voisi täsmentää.