571/2016 ст. 17Tietojärjestelmiä koskevat vaatimukset

Palvelutuottajan on tarkoituksenmukaisin keinoin varmistuttava, että sen tukipalvelun tuottamiseen käytettävä tietojärjestelmä on suunniteltu, valmistettu ja toimii tietoturvallisuutta ja tietosuojaa koskevien lakien ja niiden nojalla annettujen säännösten sekä yhteentoimivuutta koskevien kansallisten määritysten mukaisesti.

Tukipalvelu on tuotettava ja kehitettävä siten, että perustason tai korotetun tason tietoturvallisuusvaatimukset täyttävien tietojen käsittely-ympäristöjen muodostaminen on tarvittaessa mahdollista. Tietoturvallisuusvaatimusten tarve ja toteutustapa tulee arvioida riskienhallintamenetelmien avulla.

Ennen käyttäjäorganisaation tietojärjestelmän liittämistä tukipalveluun palvelutuottaja voi edellyttää käyttäjäorganisaatiolta tukipalvelun tietoturvallisuuden ja laadun varmistamiseksi tarpeellisten vaatimusten täyttämistä. Palvelutuottajan ja käyttäjäorganisaation on tarpeen mukaisilla ja ennalta sovituilla tietoturvallisuustoimenpiteillä sekä testauksilla varmistuttava siitä, ettei liittämisellä vaaranneta käyttäjäorganisaation asiointipalvelun tai henkilötietojen taikka tukipalvelun tai niiden tuottamiseen käytetyn tietojärjestelmän tietoturvallisuutta.

Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä 1 momentissa tarkoitettujen tietojärjestelmien tietoturvallisuutta koskevista vaatimuksista ja niiden täyttymisen toteamisesta, 2 momentissa tarkoitetusta tietojenkäsittely-ympäristöjen muodostamisesta sekä 3 momentissa tarkoitetusta käyttäjäorganisaation tietojärjestelmän liittämistä koskevista tietoturvallisuustoimenpiteistä.