Säkerhetsutredning av cyberstörningar till Olycksutredningscentralen

Olycksutredningscentralen ska utreda

1) olyckor som bör anses särskilt allvarliga på grund av antalet döda eller skadade eller på grund av omfattningen av skador på miljön, egendom eller förmögenhet eller på grund av olyckans art (stor olycka ),

2) olyckor och allvarliga tillbud i luftfart som avses i Europaparlamentets och rådets förordning (EU) nr 996/2010 om utredning och förebyggande av olyckor och tillbud inom civil luftfart och om upphävande av direktiv 94/56/EG och i kap. 1 i bilaga 13 till konventionen angående internationell civil luftfart (FördrS 11/1949), jämte ändringar,

3) allvarliga olyckor i järnvägstrafiken som avses i artikel 3.12 i Europaparlamentets och rådets direktiv (EU) 2016/798 om järnvägssäkerhet samt motsvarande olyckor i privat och offentlig spårtrafik,

4) mycket allvarliga sjöolyckor som avses i artikel 3.3 b i Europaparlamentets och rådets direktiv 2009/18/EG om grundläggande principer för utredning av olyckor i sjötransportsektorn och om ändring av rådets direktiv 1999/35/EG och Europaparlamentets och rådets direktiv 2002/59/EG, nedan direktivet om utredning av olyckor i sjötransportsektorn , och i den kod avseende internationell standard och rekommendationer för olycksfallsutredningar vid olyckor och tillbud till sjöss, som avses i regel 6 i kap. 1 i bilaga XI till 1974 års internationella konvention om säkerheten för människoliv till sjöss (FördrS 11/1981) jämte ändringar, samt motsvarande olyckor i insjötrafiken.

Med stöd av denna lag kan dessutom utredas

1) tillbud till stora olyckor samt andra olyckor och tillbud,

2) sådana exceptionella händelser som avses i 5 kap.,

3) sådana synnerligen allvarliga cybersäkerhetsincidenter som avses i 2 a §.

När det är fråga om flera liknande olyckor, tillbud eller exceptionella händelser kan en gemensam utredning göras (temautredning ).

Med synnerligen allvarlig cybersäkerhetsincident avses en sådan betydande incident enligt 11 § i cybersäkerhetslagen (124/2025) som har exceptionellt allvarliga eller omfattande skadliga konsekvenser för

1) det allmännas beslutsförmåga eller myndigheternas verksamhetsförutsättningar,

2) den nationella säkerheten eller försvaret,

3) nödvändiga tjänster inom social- och hälsovården eller räddningsväsendet,

4) energi-, vatten-, livsmedels- eller läkemedelsförsörjningen eller andra nödvändiga nyttigheter,

5) nödvändiga betalnings- och värdepapperstjänster,

6) samhällets kritiska trafik- och kommunikationstjänster,

7) informations- och kommunikationstekniska tjänster eller informationsmaterial som upprätthåller de funktioner som avses i 1–6 punkten,

8) kritiska aktörer som har identifierats med stöd av lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft (310/2025), eller

9) skyddet av personuppgifter.

Vid utredningen ska särskilt klarläggas om säkerheten i tillräcklig utsträckning har beaktats i den verksamhet som har lett till olyckan eller den synnerligen allvarliga cybersäkerhetsincidenten samt vid planeringen, tillverkningen, byggandet och användningen av de anläggningar, system, konstruktioner och den programvara som har orsakat eller har drabbats av olyckan, den synnerligen allvarliga cybersäkerhetsincidenten eller tillbudet. Dessutom ska det utredas om ledningen, övervakningen och inspektionen har ordnats och skötts som sig bör. Vid behov ska det också utredas om det eventuellt finns brister i gällande bestämmelser och föreskrifter om säkerheten och myndigheterna.

För skötseln av uppgifter enligt denna lag finns ett expertregister för säkerhetsutredningar. De uppgifter som förts in i registret används för att upprätthålla beredskapen att inleda en utredning och för att säkerställa kompetensen hos de utredare som avses i 9 §.

Personuppgiftsansvarig för expertregistret för säkerhetsutredningar är Olycksutredningscentralen.

I expertregistret för säkerhetsutredningar får följande uppgifter om experter föras in:

1) namn och födelsetid,

2) kontaktuppgifter,

3) avlagda utbildningar,

4) kompetens och språkkunskaper,

5) erfarenhet av tidigare utredningar vid Olycksutredningscentralen,

6) organisationskortets giltighet.

Uppgifter om en expert ska avföras ur registret senast före utgången av det följande kalenderår när samarbetet med experten har upphört.

9 §

Centralens organisation

Vid Olycksutredningscentralen finns en direktör, tjänstemän som utför säkerhetsutredningar och andra tjänstemän samt vid behov annan personal. Med utredare avses en tjänsteman vid Olycksutredningscentralen eller en i 11 § avsedd expert vid Olycksutredningscentralen som har förordnats till en utredning, eller en expert vid Olycksutredningscentralen som har utsetts till medlem av en utredningskommission.

Olycksutredningscentralen kan som hjälp vid säkerhetsutredningar anlita utomstående experter (expert vid Olycksutredningscentralen ), som står under ledning och tillsyn av en tjänsteman vid Olycksutredningscentralen.

På jäv för tjänstemän vid Olycksutredningscentralen, medlemmar av en utredningskommission och andra som deltar i en utredning tillämpas det som i 28 § 1 mom. 4–7 punkten i förvaltningslagen (434/2003) föreskrivs om jäv för tjänstemän vid handläggning av ett ärende. Dessutom är ovan avsedda personer jäviga

1) om de eller någon närstående har lidit skada genom den olycka som ska utredas eller om någon närstående har omkommit i olyckan,

2) om de eller någon närstående kan bli ställd till svars för olyckan, den synnerligen allvarliga cybersäkerhetsincidenten eller för skada som har uppkommit genom dem,

3) om utredningen eller resultaten av den kan förväntas medföra nytta eller skada för dem eller för någon närstående, eller

4) om deras eller någon närståendes verksamhet kan bli föremål för utredning i en säkerhetsutredning som görs med anledning av en olycka, en synnerligen allvarlig cybersäkerhetsincident eller ett tillbud.

En myndighet som deltar i räddningsarbetet på en olycksplats ska utan dröjsmål göra en anmälan till Olycksutredningscentralen, om händelsen enligt anmälarens bedömning kan bli föremål för utredning enligt denna lag. Nödcentralsverket kan bistå Olycksutredningscentralen vid mottagandet av anmälningar, om Nödcentralsverket och Olycksutredningscentralen kommer överens om det särskilt. Om det i anmälan saknas information som behövs vid bedömningen av behovet av utredning ska den ovan avsedda anmälaren uppdatera anmälan genast när den information som saknas blir tillgänglig.

Anmälningspliktiga är även

1) Transport- och kommunikationsverket,

2) Trafikledsverket,

3) Tillstånds- och tillsynsverket och i landskapet Åland Statens ämbetsverk på Åland,

4) välfärdsområdena,

5) Säkerhets- och utvecklingscentret för läkemedelsområdet,

6) andra säkerhetsövervakande myndigheter än de som avses i 1–5 punkten inom myndighetens eget verksamhetsområde,

7) den som har tagit emot en anmälan om en olycka eller ett tillbud,

8) en juridisk person som är inblandad i en olycka eller ett tillbud som har inträffat i sådan trafik som avses i 2 § 1 mom. 2–4 punkten eller som uppenbart lider skada av en sådan olycka,

9) en juridisk person som sörjer för tillhandahållandet av trafikstyrnings- och trafikledningstjänster i enlighet med 2 § 10 punkten i lagen om transportservice (320/2017).

En domstol som har tagit emot en sådan anmälan av en fartygsbefälhavare för att avge sjöförklaring som avses i 18 kap. 7 § 2 mom. i sjölagen (674/1994) ska utan dröjsmål förmedla en i 8 § i det kapitlet avsedd anmälan till Olycksutredningscentralen och ge centralen tillfälle att delta i sjöförklaringssammanträdet och att där ställa frågor.

Om det under en säkerhetsutredning av en sjöolycka blir känt eller misstänks att ett brott har begåtts enligt artiklarna 3, 3a, 3b eller 3c i konventionen för bekämpande av brott mot sjöfartens säkerhet (FördrS 11/1999) ska Olycksutredningscentralen omedelbart underrätta sjösäkerhetsmyndigheterna i den eller de berörda medlemsstaterna i Europeiska unionen och i varje berört tredjeland.

Närmare bestämmelser om Nödcentralsverkets uppgift att bistå Olycksutredningscentralen vid mottagandet av anmälningar får utfärdas genom förordning av statsrådet.

En tillsynsmyndighet som avses i 26 § i cybersäkerhetslagen ska oberoende av bestämmelserna om sekretess underrätta Olycksutredningscentralen om en synnerligen allvarlig cybersäkerhetsincident som myndigheten har kännedom om.

Anmälningsskyldighet till Olycksutredningscentralen har oberoende av bestämmelserna om sekretess och enligt 18 h § i lagen om informationshantering inom den offentliga förvaltningen (906/2019) Transport- och kommunikationsverket i egenskap av tillsynsmyndighet, om verket av en aktör inom den offentliga förvaltningen får en anmälan om en synnerligen allvarlig cybersäkerhetsincident.

Finansinspektionen ska oberoende av bestämmelserna om sekretess meddela Olycksutredningscentralen om sådana i artikel 19 i Europeiska unionens förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn avsedda allvarliga incidenter som anmälts till Finansinspektionen och som kan anses vara synnerligen allvarliga cybersäkerhetsincidenter.

Om det är uppenbart att en skada som en person har fått i en sjöolycka som omfattas av det tillämpningsområde som anges i för artikel 2 i direktivet om utredning av olyckor i sjötransportsektorn har lett till personens död inom 30 dagar från den dag då olyckan inträffade och sådan information om sjöolyckan finns att tillgå, ska den som i enlighet med lagen om utredande av dödsorsak (459/1973) verkställer en rättsmedicinsk utredning av dödsorsaken utan dröjsmål underrätta Olycksutredningscentralen om saken.

Olycksutredningscentralen svarar för att en säkerhetsutredning inleds, om ett sådant ro-ro-passagerarfartyg som avses i artikel 3.5 i direktivet om utredning av olyckor i sjötransportsektorn eller ett sådant höghastighetspassagerarfartyg som avses i artikel 3.6 i det direktivet är inblandat i en olycka och olyckan har skett på finskt territorialvatten eller fartyget senast har besökt Finland.

Säkerhetsutredningen av en sjöolycka ska inledas utan dröjsmål efter en sjöolycka eller ett tillbud till sjöss och senast två månader efter olyckan eller tillbudet.

En annan myndighet eller aktör som inlett en säkerhetsutredning ska lämna sitt insamlade utredningsmaterial till Olycksutredningscentralen för användning när centralen har inlett en utredning.

17 a §

Inledande av utredning av en synnerligen allvarlig cybersäkerhetsincident

När utredningen av en synnerligen allvarlig cybersäkerhetsincident inleds ska Olycksutredningscentralen beakta behoven av ändamålsenligt utförande av åtgärder för hantering av cybersäkerhetsincidenten före utredningen.

Om även polisen gör en utredning som hänför sig till en synnerligen allvarlig cybersäkerhetsincident, ska polisen och Olycksutredningscentralen förhandla om hur samarbetet ska ordnas för att genomföra säkerhetsutredningen.

Olycksutredningscentralen kan börja klarlägga en händelse som avses i 2 § redan innan beslutet om inledande av en utredning fattas. Syftet med klarläggandet är att säkra förutsättningarna för utredningen enligt 19 §, och utifrån klarläggandet bedöms det om händelsen uppfyller förutsättningarna för inledande av säkerhetsutredning. I samband med klarläggandet av en synnerligen allvarlig cybersäkerhetsincident ska Olycksutredningscentralen beakta behoven av ändamålsenligt utförande av åtgärder för hantering av cybersäkerhetsincidenten.

På klarläggandet tillämpas vad som i 19 § föreskrivs om säkrande av förutsättningarna för en utredning, i 20 eller 20 a § om rätt att få uppgifter, i 22 § om inspektionsrätt och i 23 § om hörande.

Om det är fråga om en mycket allvarlig sjöolycka som gäller ett fiskefartyg vars längd underskrider 15 meter ska Olycksutredningscentralen utan dröjsmål och senast efter två månader göra en preliminär bedömning för att avgöra om en säkerhetsutredning ska genomföras eller inte. Om Olycksutredningscentralen beslutar att inte genomföra en sådan säkerhetsutredning, ska skälen till beslutet utan dröjsmål och senast två månader efter olyckan registreras i och anmälas till Europeiska databasen för sjöolycksutredningar i enlighet med artikel 17.3 i direktivet om utredning av olyckor i sjötransportsektorn.

En utredare vid Olycksutredningscentralen har rätt att omedelbart få tillträde till olycksplatsen eller till den plats som har samband med en synnerligen allvarlig cybersäkerhetsincident. Olycksutredningscentralens utredare har rätt att inspektera föremål, anläggningar, system, programvara och konstruktioner som har samband med olyckan eller den synnerligen allvarliga cybersäkerhetsincidenten.

Olycksutredningscentralen och utredningskommissionens chef kan bestämma att olycksplatsen eller den plats som har samband med en synnerligen allvarlig cybersäkerhetsincident ska spärras av och förbjuda att i olyckan omkomna förs bort eller flyttas, om detta är nödvändigt för säkerhetsutredningen.

Föremål, anläggningar och annat material på olycksplatsen eller den plats som har samband med en synnerligen allvarlig cybersäkerhetsincident och som kan ha betydelse för utredningen får inte utan tillstånd av Olycksutredningscentralen eller utredningskommissionens chef förstöras, föras bort eller rubbas. Olycksutredningscentralen och utredningskommissionens chef ska se till att materialet förtecknas i den omfattning det är nödvändigt och i praktiken möjligt.

Vid användningen av i 1–3 mom. avsedda säkerhetsåtgärder ska det iakttas vad som i 17 a och 18 § föreskrivs om ändamålsenligt utförande av hanteringsåtgärder och om samarbete med polisen.

Beslut och förbud enligt 2 eller 3 mom. i syfte att säkra förutsättningarna för en utredning ska återkallas så snart de inte längre är nödvändiga för utredningen.

En utredare har för säkerhetsutredning av olyckor och tillbud oberoende av bestämmelserna om sekretess och utan avgift rätt att av myndigheter och andra som sköter offentliga uppdrag få för utredningen

En utredare har för säkerhetsutredning av synnerligen allvarliga cybersäkerhetsincidenter oberoende av bestämmelserna om sekretess och utan avgift rätt att av de tillsynsmyndigheter som avses i 26 § i cybersäkerhetslagen få den information som är nödvändig om de uppgifter som avses i 11–13 § och 28 § 1 och 2 mom. i den lagen samt om sådana andra uppgifter som en tillsynsmyndighet har som är nödvändiga för utredningen. Utredaren har dessutom oberoende av bestämmelserna om sekretess rätt att av den tillsynsmyndighet som avses i 18 h § i lagen om informationshantering inom den offentliga förvaltningen avgiftsfritt få den information som är nödvändig för utredningen om uppgifter i anmälningar som gjorts till tillsynsmyndigheten med stöd av 18 d § och om uppgifter som avses i 18 i § 1 och 2 mom. i den lagen samt av Finansinspektionen uppgifter om sådana i artikel 19 i den förordning som nämns i 16 § 3 mom. avsedda rapporter och anmälningar som lämnats till Finansinspektionen.

En utredare har dessutom oberoende av bestämmelserna om sekretess rätt att avgiftsfritt för utredningen av en synnerligen allvarlig cybersäkerhetsincident få nödvändiga uppgifter

1) av en i 1 mom. avsedd aktör, eller någon sådan som agerar för aktörens räkning och som åt aktören utför ett uppdrag som anknyter till cybersäkerhet, om uppgifterna inte kan fås av en tillsynsmyndighet som avses i 1 mom., samt

2) ur polisens polis- och förundersökningshandlingar.

En utredare har oberoende av bestämmelserna om sekretess rätt att av teleföretag som avses i lagen om tjänster inom elektronisk kommunikation (917/2014) avgiftsfritt få förmedlingsuppgifter och lokaliseringsuppgifter om en sådan anslutning eller terminalutrustning som med fog kan antas ha funnits på den olycksplats utredningen gäller samt uppgifter om anslutningens abonnent, användare och installeringsadress.

Rätt att få uppgifter som avses i 1 mom. föreligger endast om uppgifterna är nödvändiga för att utreda händelseförloppet eller orsaken till eller följderna av den olycka som utreds.

En utredare har rätt att omhänderta och inspektera föremål, system, programvara och dokument, om detta är nödvändigt för att genomföra en säkerhetsutredning. Utredaren får utföra test med föremålen och lösgöra delar från dem samt ta prov, om det är nödvändigt för utredningarna. Åtgärderna ska vidtas så att de orsakar så liten skada som möjligt för den verksamhet som är föremål för utredningen, och inte äventyrar kontinuiteten i funktioner som är vitala för människors liv och hälsa eller i samhällets kritiska funktioner.

En utredare kan höra den som varit närvarande vid ett tillbud eller inblandad i en olycka. En utredare kan dessutom höra andra personer som kan antas kunna ge uppgifter som behövs i utredningen.

Vid hörandet får andra vara närvarande endast om Olycksutredningscentralen eller utredningskommissionens chef så bestämmer. När en omyndig hörs ska dock dennes vårdnadshavare eller intressebevakare eller någon annan laglig företrädare vara närvarande. Vid ett hörande får dessutom den hördes biträde eller ombud vara närvarande.

En utredare kan preliminärt samtala med den person som avses i 1 mom.

En person kan inte förpliktas att delta i ett hörande eller samtal. I samband med hörande och samtal ska utredaren berätta om syftet med säkerhetsutredningen och om de begränsningar som gäller vidareutlämnande av information som personen röjer.

Över varje säkerhetsutredning ska det sammanställas en offentlig rapport i en omfattning som är lämplig i förhållande till olyckans eller den synnerligen allvarliga cybersäkerhetsincidentens allvarlighetsgrad.

Utredningsrapporten ska innehålla en redogörelse för olyckans eller den synnerligen allvarliga cybersäkerhetsincidentens förlopp, faktorer som har lett till olyckan eller incidenten och följderna av den samt säkerhetsrekommendationer till behöriga myndigheter och andra aktörer om åtgärder som behövs för att öka den allmänna säkerheten, förebygga nya olyckor, tillbud och synnerligen allvarliga cybersäkerhetsincidenter, förhindra skador och för att effektivisera räddningsmyndigheters och andra myndigheters verksamhet. Utredningsrapporten får inte innehålla identitetsuppgifter om enskilda personer som har varit inblandade i olyckan eller den synnerligen allvarliga cybersäkerhetsincidenten eller som har hörts i samband med utredningen.

Med avvikelse från 2 mom. kan säkerhetsrekommendationer i en utredningsrapport över en olycka eller en synnerligen allvarlig cybersäkerhetsincident i järnvägstrafiken inte ställas till enskilda aktörer.

Olycksutredningscentralen kan besluta att publicera endast en sammanfattande rapport om en säkerhetsutredning eller ett klarläggande, om det utifrån slutsatserna inte kan hittas rekommendationer som förbättrar den allmänna säkerheten, eller en säkerhetsutredning inte inleds på grundval av klarläggandet.

Innan en utredningsrapport färdigställs ska de som har varit inblandade i olyckan eller den synnerligen allvarliga cybersäkerhetsincidenten och de myndigheter som svarar för övervakningen samt polisen ges tillfälle att säga sin åsikt om rapportutkastet. Olycksutredningscentralen kan dessutom begära utlåtande av andra som deltagit i utredningen, om det behövs för utarbetandet av utredningsrapporten.

Olycksutredningscentralen ska oberoende av bestämmelserna om sekretess anmäla alla sjöolyckor och tillbud till sjöss till Europeiska databasen för sjöolycksutredningar i enlighet med direktivet om utredning av olyckor i sjötransportsektorn. Olycksutredningscentralen ska oberoende av bestämmelserna om sekretess tillhandahålla de uppgifter som är resultat av en säkerhetsutredning av en sjöolycka till den ovannämnda databasen. För fiskefartyg vars längd underskrider 15 meter behöver en anmälan göras endast i fråga om mycket allvarliga sjöolyckor. Om Olycksutredningscentralen inte utreder en mycket allvarlig sjöolycka där fiskefartyg vars längd underskrider 15 meter är involverade, ska Olycksutredningscentralen rapportera skälen för detta till databasen.

Om Olycksutredningscentralen inte kan utarbeta en i 27 § avsedd utredningsrapport om en säkerhetsutredning inom 12 månader från den dag då olyckan, tillbudet eller den synnerligen allvarliga cybersäkerhetsincidenten inträffade, ska centralen publicera en preliminär utredningsrapport inom 12 månader från den dagen.

Olycksutredningscentralen ska sända en kopia av en sådan preliminär utredningsrapport som gäller utredningen av en sjöolycka till Europeiska kommissionen.

Olycksutredningscentralen kan utöver det som föreskrivs i lagen om offentlighet i myndigheternas verksamhet (621/1999) och oberoende av bestämmelserna om sekretess på begäran eller på eget initiativ till andra som med stöd av lag utför en säkerhetsutredning av en olycka lämna ut följande uppgifter som är nödvändiga för utredningen:

1) utlåtanden som en säkerhetsutredningsmyndighet för utredningen har samlat in av enskilda personer,

2) uppgifter av vilka identiteten för personer som har lagt fram bevis i samband med säkerhetsutredningen framgår,

3) uppgifter som har samlats in av en säkerhetsutredningsmyndighet och som är särskilt känsliga eller personliga,

4) sådana anteckningar, skisser och utlåtanden av dem som utfört utredningen som producerats under en säkerhetsutredning, åsikter som framförts under analyseringen av uppgifterna samt annat material,

5) sådana uppgifter och bevis som utredare från andra medlemsstater i Europeiska unionen eller tredjeländer har lämnat i enlighet med internationella standarder och rekommenderade förfaranden, om en säkerhetsutredningsmyndighet i den andra medlemsstaten eller tredjelandet begär det,

6) utkast till delrapporter, sammanfattande rapporter och slutrapporter,

7) all kommunikation mellan personer som varit delaktiga i ett fartygs verksamhet,

8) fartygstrafikservicens skriftliga och elektroniska upptagningar och transkriberingar av dem samt redogörelser och resultat som utarbetats för internt bruk.

Olycksutredningscentralen kan dessutom lämna ut uppgifter som avses i 1 mom. till en myndighet, om det är nödvändigt för att trygga ett viktigt allmänt intresse.

Olycksutredningscentralen ska, oberoende av bestämmelserna om sekretess, på begäran till en annan medlemsstat i Europeiska unionen som utför en säkerhetsutredning av en sjöolycka lämna ut de uppgifter som är nödvändiga för säkerhetsutredningen.

Transport- och kommunikationsverket, Gränsbevakningsväsendet, den som tillhandahåller fartygstrafikservice enligt lagen om fartygstrafikservice (623/2005) och sådana lotsningsbolag som avses i lotsningslagen (561/2023) ska oberoende av bestämmelserna om sekretess på begäran till en utredare i en annan medlemsstat i Europeiska unionen som utför en säkerhetsutredning av en sjöolycka lämna ut de uppgifter som är nödvändiga för en sjösäkerhetsutredning och som direkt hänför sig till orsakerna till en sjöolycka.

Tjänstemän och experter vid Olycksutredningscentralen ska ha ett organisationskort som utfärdas av centralen. Organisationskortet ska visas upp vid behov och på begäran.

Organisationskortet gäller en bestämd tid. Därefter ska det lämnas tillbaka till Olycksutredningscentralen. Centralen bestämmer hur länge kortet är giltigt.

Olycksutredningscentralen kan bestämma att uppgifter som avses i 20, 20 a och 21 § samt föremål, programvara och dokument som avses i 22 § 1 mom. ska överlämnas och att tillträde till ett system ska ges. Detta åläggande kan förenas med vite.

Denna lag träder i kraft den 20 .

Bestämmelser om tillsynsmyndighetens skyldighet att underrätta Olycksutredningscentralen om synnerligen allvarliga cybersäkerhetsincidenter finns i 16 a § i lagen om säkerhetsutredning av olyckor och vissa andra händelser (525/2011).

Denna lag träder i kraft den 20 .