310/2025 Art. 15Häiriönsietokyvyn varmistaminen ja häiriönsietokykyä koskeva suunnitelma
3 luku Kriittisten toimijoiden määrittäminen ja toimijoita koskevat yleiset vaatimukset
Kriittisen toimijan on toteutettava häiriönsietokykynsä varmistamiseksi asianmukaisia ja oikeasuhteisia teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä, jotka perustuvat 14 §:ssä tarkoitettuun riskiarviontiin ja muihin asiaan kuuluviin tietoihin. Tässä tarkoituksessa kriittisen toimijan on laadittava asianmukaisia ja oikeasuhtaisia teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä sisältävä suunnitelma häiriönsietokyvyn varmistamiseksi.
Suunnitelmassa on oltava selostus: 1) toimenpiteistä poikkeamien syntymisen estämiseksi ottaen huomioon katastrofiriskien vähentämiseen ja ilmastonmuutokseen sopeutumiseen liittyvät toimenpiteet; 2) tilojen ja niissä sijaitsevan infrastruktuurin suojaamisesta kuten aidan asentamisesta, esteiden pystyttämisestä, ilmaisulaitteista ja kulunvalvonnasta sekä muusta fyysisestä suojaamisesta; 3) toimenpiteistä poikkeamien seurauksiin ja häiriötilanteisiin vastaamiseksi, torjumiseksi ja lieventämiseksi; 4) toimenpiteistä poikkeamisista palautumiseksi ottaen huomioon liiketoiminnan jatkuvuuteen liittyvät toimenpiteet ja vaihtoehtoiset toimitusketjut; 5) henkilöstöturvallisuuden varmistamisesta kuten kriittisiä tehtäviä hoitavien henkilöstöryhmien määrittämisestä mukaan lukien ulkopuolisten palvelutarjoajien henkilöstön huomioiminen määrittämisessä, pääsyoikeuksien vahvistamisesta tiloihin, kriittiseen infrastruktuuriin ja arkaluonteisiin tietoihin sekä turvallisuusselvitysten pyytämisestä ja koulutus- ja pätevyysvaatimuksista; 6) tiedottamisesta asianomaiselle henkilöstölle; sekä 7) toteuttamisaikataulua koskevasta suunnitelmasta.
Jos vastaavan kaltaista tarkoitusta varten laaditaan muun lain kuin tämän lain nojalla asiakirja tai suunnitelma, erillistä tämän pykälän mukaista suunnitelmaa ei tarvitse laatia, vaan kriittinen toimija voi käyttää kyseistä asiakirjaa tai suunnitelmaa. Tästä on mainittava suunnitelmassa tai asiakirjassa.
Kriittisen toimijan on nimettävä yhteyspiste, jonka kautta tiedonkulku järjestetään ja ilmoitettava tässä tarkoituksessa tehtävää hoitavan yhteyshenkilön nimi ja yhteystiedot tai muu vastaava yhteyspiste, josta voi saada tietoa.