Valtuustoaloite, Helsinki irti Microsoftin ja muiden teknologiajättien palveluista sekä järjestelmistä

Kaupunginhallitus esittää kaupunginvaltuustolle seuraavaa:

Kaupunginvaltuusto katsoo aloitteen loppuun käsitellyksi.

Kaupunginvaltuutettu Elina Kauppila sekä 27 muuta valtuutettua vaativat aloitteessaan, että kaupunki luo ripeästi suunnitelman Microsoftin ja muiden vastaavien jättien palveluista sekä järjestelmistä irtautumiseen ja siirtyy kohti avoimen lähdekoodin turvallisempia järjestelmiä. Aloitetta perustellaan viime vuosina tapahtuneella kansainvälisen turvallisuustilanteen merkittävällä muutoksella sekä kaupungin IT-palvelukustannusten voimakkaasta kohdentumisesta yhdysvaltalaisten IT-palveluntarjoajien palveluihin.

Aloitteen mukaan eurooppalaisten pääkaupunkien kuten Helsingin on yhä tärkeämpää pystyä toimimaan omavaraisesti ja huolehtimaan omasta huoltovarmuudestaan myös digitaalisten palveluiden osalta, ja että kaupunki ei voi ottaa sitä riskiä, että sen digitaaliset yhteydet esimerkiksi suljettaisiin edes tilapäisesti kansainvälisesti kiristyvässä poliittisessa tunnelmassa.

Aloitteessa todetaan, että kaupungin tulee löytää vaihtoehtoja Microsoftille ja EU:n ulkopuolelta tuleville palveluille, jotta kaupunki voi:

- edistää avointa lähdekoodia sekä kotimaista ja eurooppalaista työtä

- madaltaa IT-kuluja

- lisää kriisinsietokykyä, huoltovarmuutta ja vähentää haavoittuvuutta

- suojella helsinkiläisten henkilötietoja

- parantaa varautumista muuttuvassa maailmanpoliittisessa tilanteessa

- vähentää riippuvuutta kaupallisista IT-jäteistä

Kaupungin digitaalisten palveluiden kehittämisen ja tuotannon lähtökohtia

Helsingin kaupungin digitaalisten palveluiden palvelukehitystä ja -tuotantoa ohjaavat mm. Laki digitaalisten palvelujen tarjoamisesta ("Digipalvelulaki") (306/2019), sekä Laki julkisen hallinnon tiedonhallinnasta (”Tiedonhallintalaki”) (906/2019). Digipalvelulain 4 §:n mukaan viranomaisen on suunniteltava ja ylläpidettävä digitaaliset palvelunsa siten, että niiden tietoturvallisuus, tietosuoja, löydettävyys ja helppokäyttöisyys on varmistettu. Lisäksi 4 §:n mukaan viranomaisen on huolehdittava sen vastuulla olevien digitaalisten palvelujen ja muiden viranomaisen käytössä olevien sähköisten tiedonsiirtomenetelmien saatavuudesta muulloinkin kuin viranomaisen asiointipisteiden aukioloaikoina.

Helsingin kaupunki pyrkii noudattamaan käytäntöä, jossa digitaalisten palveluiden palvelinkeskusten maantieteellinen sijainti on EU/ETA-alueella. Pääasialliset palvelinkeskukset, joissa kaupungin palvelutuotantoa kehitetään ja ylläpidetään, ovat läntisessä Keski-Euroopassa.

Käynnissä olevat toimenpiteet Helsingin kaupungin digitaalisen suvereniteetin vahvistamiseksi

Digitaalisella suvereniteetilla tarkoitetaan kaupungin keskeisiin kriittisiin toimintoihin liittyvien tietojärjestelmien ja tietoliikenteen ehdotonta turvaamista niin, että toiminnan jatkuvuus voidaan turvata kaikissa tilanteissa.

EU-tasolla tavoiteltava digitaalinen suvereniteetti tarkoittaa sitä, että EU ei olisi riippuvainen alueen ulkopuolisten valtioiden ohjelmistoista ja teknologioista. EU-tasolla tällä nähdään olevan myös mahdollisuus tukea EU-alueen omien ohjelmistomarkkinoiden kasvua ja edellytyksiä säilyä EU-alueella. Lisäksi halutaan varmistaa ohjelmistojen ja teknologioiden käytettävyys kaikissa olosuhteissa ja varmistaa EU-alueen lakien ja asetusten noudattaminen.

Täydellistä suvereniteettia ei ole käytännössä mahdollista saavuttaa, mutta tilannetta voidaan parantaa merkittävästi tunnistamalla nimenomaisesti kriittisten toimintojen järjestelmissä olevat yksittäiset ohjelmistot tai osat, joille ei ole olemassa korvaavia ratkaisuja ja joiden toimintahäiriö estäisi koko palvelun tuottamiseen. Suvereniteetin turvaamiseksi tehtävät toimenpiteet vaativat laaja-alaista tuotettavan kriittisen palvelun toiminnan tuntemista ja panostuksia jatkuvuudenhallinnan kehittämiseen, jossa otetaan huomioon vaihtoehtoiset ratkaisut ja toimintatavat tunnistetuille häiriöskenaarioille.

Helsingin kaupunki selvittää aktiivisesti eurooppalaisten palveluntarjoajien ratkaisujen soveltuvuutta kaupungin vaatimusten mukaisten palveluiden tarjoamiseen, sekä vaihtoehtoja ja toimenpiteitä siihen, kuinka kriittisten järjestelmien osalta olisi mahdollista siirtyä käyttämään EU/ETA-alueiden ulkopuolisista toimittajista riippumattomia ratkaisuja. Tarkastelun kohteena ovat kaikki ICT-palvelutuotannon tasot sovelluksista, työasema- ja palvelinohjelmistoista, tietoliikenneratkaisuista kapasiteettipalvelutuotantoon. Kaupunki käy myös keskustelua valtionhallinnon, kuntien ja muiden eurooppalaisten kaupunkien kanssa aiheeseen liittyen.

Avoimeen lähdekoodiin perustuvien ohjelmistojen hyödyntäminen Helsingin kaupungin tietojärjestelmien tuotannossa

Aloitteen ehdotus edistää avointa lähdekoodia on kannatettava. Avoimen lähdekoodin periaatteella toteutettujen ohjelmistojen ylläpito- ja kehittäminen voidaan hankkia eurooppalaisilta toimittajilta ja avoimeen lähdekoodiin perustuvien ohjelmistojen tietoturvaa sekä teknisiä ratkaisuja voidaan arvioida objektiivisesti toisin kuin suljetun lähdekoodin kaupallisia ohjelmistoja.

Suurten organisaatioiden kriittisten järjestelmien tietoliikenne- ja kapasiteettipalveluiden tuotantoratkaisuihin on tarjolla avoimeen lähdekoodiin perustuvia ohjelmistoratkaisuja, joille on saatavissa kaupallisia ylläpito- ja tukipalveluita. Lisäksi näihin on olemassa yleisesti ICT-alalla koulutusta ja osaamista. Avoimen lähdekoodin ratkaisuja hyödynnetään nykyiselläänkin tietoliikenne- ja kapasiteettipalveluissa sekä kaupungin digitaalisten asiointiratkaisujen tuotannossa. Avoimen lähdekoodin ratkaisuja on perusteltua hyödyntää jatkossakin.

Sen sijaan suurten organisaatioiden käyttöön soveltuvia toimialakohtaisia liiketoiminta-, toiminnanohjaus- eikä talousjärjestelmiä ole laajasti saatavilla avoimeen lähdekoodiin perustuvina ohjelmistoina, vaan ne ovat kaupallisesti lisensoitavia tuotteita. Poikkeuksiakin on, mutta tällöinkin on arvioitava ensisijaisesti, onko ohjelmisto käyttötarkoitukseen hyvin soveltuva, ellei toiminnan kriittisen luonteen takia digitaalisen suvereniteetin turvaaminen ole ensisijainen vaatimus.

Toimistotyötehtävissä käytössä olevien työasemien käyttöjärjestelmänä Helsingin kaupungille Microsoftin Windows on käytännössä ainoa käytettävyydeltään ja kaupallisten ohjelmistojen kanssa yhteensopivuudeltaan toimiva vaihtoehto. Lisäksi kaupungin sisäisessä yhteistyössä käytettävä Microsoftin M365-ohjelmistoperhe on ainoa laajasti henkilöstön keskuudessa osattu työvälineympäristö. Tämän kokonaisuuden korvaaminen laajasti Linux-käyttöjärjestelmällä, LibreOffice avoimen lähdekoodin ohjelmistolla ja avoimen lähdekoodin viestintä- ja yhteistyöratkaisuilla kuten esimerkiksi Nextcloud ei ole perusteltua syntyneeseen haittaan, kustannuksiin ja menetettyihin toiminnallisuuksiin nähden, joita avoimen lähdekoodin ohjelmistoilla ei voida riittävästi korvata.

Arvioitaessa Helsingin kaupungin nykyistä tilannetta digitaalisen suvereniteetin näkökulmasta, on ilmeistä, että täydellistä riippumattomuutta Euroopan ulkopuolisista IT-palvelutoimittajista ei voida saavuttaa. Euroopassa ei ole omaa, riittävän laadukasta ohjelmistotarjontaa, vastaamaan nykyisin käytössä olevien ohjelmistojen laatua. Erityisen haastavaksi tilanteen tekee Euroopan riippuvuus Yhdysvaltalaisten yritysten tuottamista kehittyneistä tekoälykielimalleista, niin kutsutuista frontier-malleista. Näiden kouluttamiseen ei ole eurooppalaista kyvykkyyttä. Tekoälyn käytön lisääminen tuo kehittyneet kielimallit myös osaksi kriittisiä sovelluksia, jolloin riippuvuus Yhdysvaltalaisista toimijoista kasvaa merkittävästi. On mahdollista, että nyt käynnissä oleva trendi suvereniteetin vahvistamisesta Euroopassa nopeuttaa korvaavien ratkaisuiden kehittämistä ja näin muuttaa tilannetta pitkällä aikavälillä. Lyhyellä aikavälillä joudumme tarkastelemaan suvereniteettia kaupungin kriittisten järjestelmien tuotannon näkökulmasta, joissa avoimen lähdekoodin ratkaisuilla on keskeinen rooli toteutuksessa.

Yleinen geopoliittinen tilanne ohjaa kaupungin varautumissuunnittelua, jossa kaupungin kriittisten toimintojen turvaaminen myös digitaalisten palveluiden osalta on turvattava. Jatkossa pääperiaatteena on, että keskeiset kriittiset digitaaliset palvelut, joiden toiminta on varmistettava poikkeuksellisissakin olosuhteissa, toteutetaan maantieteellisesti Euroopan alueella ja teknologialla, joka on riippumatonta Euroopan ulkopuolisista IT-palvelutoimittajista. Tähän pyritään aina, kun se on järjestelmän tekniseen ja kaupalliseen kokonaisuuteen nähden mahdollista. Nykyisten keskeisten kriittisten tietojärjestelmien osalta on käynnissä jatkuvuus- ja toipumissuunnitelmien päivittäminen ja tässä yhteydessä sen varmistaminen, että järjestelmällä on kyky palauttaa häiriötilanteessa normaali palvelutuotanto.

Avoimella lähdekoodilla toteutettavien ohjelmistojen potentiaali lisätä kotimaista ja eurooppalaista ohjelmistotyötä on hyvä ja antaa eurooppalaiselle ohjelmistotuotannolle kasvumahdollisuuksia.

IT-kustannusten madaltamisen osalta avoimen lähdekoodin ratkaisuilla vältetään kaupallisen tuotteen lisensointikustannukset, mutta käytännössä avoimen lähdekoodin ratkaisujen kehittämiseen ja ylläpitoon liittyen tulee kustannuksia, jotka vastaavat vastaavaa työtä, mitä lisensoidun tuotteen hankinta- ja lisenssien ylläpitohinnalla katetaan. Molemmissa tapauksissa järjestelmistä syntyy koko elinkaaren aikana muitakin kustannuksia. Kustannusten madaltamiseen voi johtaa myös kilpailun lisääminen markkinoilla muilla tavoilla lisensoitavia ohjelmistotuotteita tarjoavien toimijoiden välillä.

Henkilötietojen suojauksen näkökulmasta sekä avoimen lähdekoodin ohjelmistot sekä kaupalliset ohjelmistot vaativat samat toimenpiteet, joita ovat käyttöoikeuksien hallinta ja pääsyn rajaaminen tietoon oikeutetuille ja tietojen asianmukainen tekninen salaaminen. Henkilötietojen suojauksen osalta keskeisintä on huolehtia tiedonhallinnan vaatimuksista koko henkilötiedon elinkaaren ajan.

Nykyisiin kaupungille lisensoituihin kaupallisiin ohjelmistoversioihin sisältyy laaja joukko tietoturvaominaisuuksia, jotka menetettäisiin siirryttäessä avoimen lähdekoodin järjestelmiin. On huomionarvoista, että kyse ei ole yksittäisistä pistemäisistä ohjelmistoista, vaan tiiviisti yhteen toimivasta ekosysteemistä. Kokonaisuus sisältää muun muassa päätelaitevalvonnan, haittaohjelmasuojauksen, tietoturvatapahtumien lokituksen, ympärivuorokautisen tietoturvavalvonnan sekä automaattisen uhkien torjunnan. Tämän kokonaisuuden korvaaminen olisi haastavaa siirryttäessä avoimen lähdekoodin järjestelmiin. Siirtymä voi aiheuttaa ainakin väliaikaisen tietoturvatason heikkenemisen sekä merkittäviä lisäkustannuksia. Tämä on tärkeää tiedostaa siirtymistä koskevia päätöksiä tehtäessä.

Yhteenveto

Yhteenvetona suunnitelmaksi edistää valtuustoaloitteessa esitettyä irtautumista Microsoftin ja muiden vastaavien jättien sekä siirtymiseen kohti avoimen lähdekoodin turvallisempia järjestelmiä todetaan, että riippuvuuden vähentäminen Microsoftista ja muista isoista IT-palveluyhtiöistä on kannatettavaa.

Tämän lisäksi uusien järjestelmien hankinnan yhteydessä periaatteena on, että keskeiset kriittiset digitaaliset palvelut, joiden toiminta on varmistettava poikkeuksellisissakin olosuhteissa, toteutetaan maantieteellisesti Euroopan alueella ja teknologialla, joka on riippumatonta Euroopan ulkopuolisista IT-palvelutoimittajista.

Kaupunginhallitus on 9.3.2026 § 180 käsitellyt Otso Kivekkään aloitetta Helsingin digitaalisen huoltovarmuuden edistämisestä. Katsoessaan aloitteen loppuun käsitellyksi kaupunginhallitus painotti kantanaan, että digitaalisen riippuvuuden vähentäminen on Helsingin tavoite. Siirtymisen käyttämään ensisijaisesti EU/ETA-alueella toimivien digipalveluyhtiöiden palveluja uusien järjestelmien hankintojen kautta tulee olla pitkän aikavälin suuntaa ohjaava päämäärä. Edelleen kaupunginhallitus totesi, että "Kaupunginhallituksen saaman selvityksen mukaan keinona riippuvuuden vähentämiseen on etenkin tuoda avoimiin standardeihin perustuvia ja EU/ETA-alueella toimivien yhtiöiden tarjoamia teknologioita kaupungin järjestelmäympäristöön myös rinnakkaiseen käyttöön keskeisissä ja kriittisissä ratkaisuissa. Muutokset on syytä tehdä perustuen riskiperusteiseen toimintamalliin, jossa yksittäisistä toimijoista riippuvuuden vähentämistä ja mahdollisia siirtymiä toteutetaan harkiten, vaiheittain ja huolellisen muutos- ja vaikutustenarvioinnin perusteella sekä hankintalainsäädäntö huomioiden." Vastaus on sisällöltään saman suuntainen edellä mainittujen linjausten kanssa.

Toimivalta ja saadut lausunnot

Hallintosäännön 30 luvun 11 §:n 4 momentin mukaan kaupunginvaltuustossa käsitellään vastaus aloitteeseen, jonka on allekirjoittanut vähintään 25 valtuutettua. Kaupunginhallituksen on esitettävä antamansa vastaus käsiteltäväksi kaupunginvaltuustossa viimeistään kahdeksan kuukauden kuluessa aloitteen jättämisestä.

Digitalisaatiotoimikunnan lausunto valtuustoaloitevastauksen 12.5.2026 päivättyyn luonnosversioon on liitteenä 2.

Päätös tullut nähtäväksi 13.06.2026

MUUTOKSENHAKUKIELTO

Tähän päätökseen ei saa hakea muutosta, koska päätös koskee asian valmistelua tai täytäntöönpanoa.

Sovellettava lainkohta: Kuntalaki 136 §