Julkisen hallinnon tiedonhallintalautakunta antoi elokuussa suosituksen tietoturvallisuudesta hankinnoissa. Suosituksentarkoituksena on opastaa erityisesti hankintayksiköitä tietojärjestelmien ja muiden palveluiden hankintoihin liittyvien tietoturvallisuusvaatimusten määrittelyssä ja niiden täyttymisen varmistamisessa. Suosituksessa on annettu hankintayksiköille ohjeita mm. tietoturvallisuuden varmistamisen prosessiin ja hankintasopimusten tietoturvallisuusehtojen laadintaan.
Ohjeen taustalla on laki julkisen hallinnon tiedonhallinnosta (906/2019), jonka mukaan viranomaisten on hankinnoissaan varmistettava, että hankittavaan tietojärjestelmään on toteutettu asianmukaiset tietoturvallisuustoimenpiteet. Tietoturvallisuuteen liittyvät riskit on tunnistettava ja tietoturvallisuustoimenpiteet tulee mitoittaa riskiarvioinnin perusteella riittäviksi. Laki velvoittaa varmistamaan tietojärjestelmien turvallisuuden koko niiden elinkaaren ajan.
Hankinnoissa asianmukaisen tietoturvallisuuden varmistamisesta on huolehdittava hankinnan kohteelle asetettavien vaatimusten lisäksi kaikissa menettelyn vaiheissa. Menettelyn aikana voi olla tarpeen vaatia esimerkiksi salassapito- ja vaitiolositoumusten hyväksymistä. Tietoturvallisuuden varmistamisesta tulee huolehtia erityisesti myös sopimuskaudella. Sopimuskautta ajatellen hankintasopimuksen valmistelussa on syytä varautua esimerkiksi sopimusvelvoitteiden valvontaan, tietoturvallisuutta koskevien velvoitteiden rikkomisen sanktiointiin ja mahdollisiin auditointeihin. Tietoturvallisuuden kannalta kriittisiä vaiheita ovat myös sopimuskauden päättyminen: sopimuksessa on huolehdittava toisaalta siitä, että tarpeelliset tiedot säilyvät eheinä ja luettavina, mutta toisaalta myös siitä, että niitä säilytetään turvallisesti ja että niiden lukuoikeuksia ei jää ylimääräisille tahoille.
Hankintajuristit ovat avustaneet asiakkaitaan useissa julkisen sektorin vaativien järjestelmähankintojen kilpailutuksissa ja sopimusneuvotteluissa. Asiantuntijoillamme on vankka kokemus tietoturvallisuuskysymysten huomioinnista järjestelmähankinnoissa niin sopimuslausekkeiden kuin hankinnan kohteen määrittelynkin tasolla. Mikäli kaipaatte kumppania tulevan hankinnan suunnittelussa tai läpiviennissä taikka teillä on kysyttävää tietoturvallisuuden huomioimisesta tietojärjestelmien hankinnoissa, älkää epäröikö kääntyä puoleemme. Avustamme asiakkaitamme mielellämme tietoturvallisuusvaatimusten täyttämisessä.