Valtion tieto- ja viestintätekniikkakeskus Valtori (ruots.Statens center för informations- och kommunikationsteknik Valtori) tuottaa Suomen valtionhallinnon toimialariippumattomat ICT-palvelut. Valtorin keskeisin tavoite on yhtenäistää valtionhallinon tietotekniikkaa, jotta se olisi helposti ja kustannustehokkaasti ylläpidettävää, yhteensopivaa ja tietoturvallista.
Valtori tuottaa myös valtion ylimmän johdon ja yhteiskunnan turvallisuuden kannalta tärkeiden viranomaisten ja muiden toimijoiden yhteistoiminnan edellyttämiä turvallisuusverkon palveluja, jotka täyttävät korkean varautumisen ja turvallisuuden vaatimukset.
Toimialasta riippumattomilla ICT-palveluilla tarkoitetaan palveluita, joiden tuottaminen tai järjestäminen ei vaadi merkittävää toimialakohtaista osaamista ja jotka perustuvat yleisesti käytettyihin laite- ja ohjelmistoratkaisuihin ja -teknologioihin.
Valtori on valtiovarainministeriön hallinnonalalla toimiva palvelukeskus ja valtion virasto, joka aloitti toimintansa 1. maaliskuuta 2014. Vuoden 2025 lopussa virastossa työskenteli noin 1550 henkilöä. Tyypillisimpiä tehtävänimikkeitä ovat IT-asiantuntija, järjestelmäasiantuntija ja komponenttivastaava. Valtorilla on eri puolella Suomea noin 20 toimipaikkaa, joista henkilömäärältään suurimpia ovat Helsingin, Rovaniemen, Hämeenlinnan ja Jyväskylän toimipaikat. Viraston päätoimipaikka on Jyväskylässä.
Valtorin toiminnan tulos eli jäämä oli +1,3 M€ vuonna 2025. Tavoite on nollatulos ja toiminnan kustannusvastaavuus eli tuottojen ja kulujen yhtäsuuruus. Toiminnan kustannusvastaavuus oli vuonna 2025 100,3%. Viraston toiminta rahoitetaan pääasiassa asiakkailta perittävillä palvelu- ja projektisopimusmaksuilla. Laskutusvolyymilla mitattuna viisi suurinta Valtorin asiakasta olivat Oikeusrekisterikeskus, valtioneuvoston kanslia, Poliisihallitus, Verohallinto ja Puolustusvoimien logistiikkalaitos.
Maaliskuusta 2026 alkaen toimitusjohtajana on toiminut filosofian maisteri Jussi Kivinen. Tammikuusta 2023 helmikuuhun 2026 toimitusjohtajana toimi valtiotieteiden maisteri Marja Rantala. Toukokuusta 2021 kesäkuuhun 2022 toimitusjohtajana toimi diplomi-insinööri Tero Latvakangas, joka erosi tehtävästä hänestä tehdyn tutkintapyynnön vuoksi. Syyttäjä vaatii Latvakankaalle sakkorangaistusta. Hänen viimeinen työpäivänsä oli 22. heinäkuuta. Hänen edeltäjänsä oli heinäkuusta 2016 alkaen diplomi-insinööri Pasi Lehmus, joka siirtyi Pirkanmaan sairaanhoitopiirin uudeksi tietohallintojohtajaksi. Lehmuksen edeltäjä oli filosofian maisteri Kari Pessi.
Viraston toiminta perustuu lakiin valtion yhteisten tieto- ja viestintäteknisten palveluiden järjestämisestä (1226/2013) ja lakiin julkisen hallinnon turvallisuusverkkotoiminnasta (10/2015) sekä valtioneuvoston asetukseen hallinnon turvallisuusverkkotoiminnasta (1109/2015) ja valtioneuvoston asetukseen valtion yhteisten tieto- ja viestintäteknisten palveluiden järjestämisestä (132/2014).
Valtorin ongelmia
Museovirasto arvioi vuonna 2016, että Valtorin palveluiden piiriin siirtyminen kasvattaa sen ICT-kustannuksia 291%. Aiemmin Museovirastolla oli oma konesali ja palvelimet omassa ylläpidossaan ja jatkossa Valtorin palvelut maksaisivat vuositasolla merkittävästi enemmän.
Long Play -verkkolehti raportoi Valtorin ongelmista joulukuussa 2019. Liikenne- ja viestintäministeriö reklamoi seitsemän sivun verran Valtorille kaatuvista järjestelmistä, katoavista tiedostoista ja itsestään nollautuvista puhelimista. Ministeriön hallintojohtaja Jussi Luomajärvi tiivisti Long Playlle: "Etäyhteydet eivät toimi, tulostus ei onnistu, sähköpostit eivät kulje, puhelimet tyhjentyvät." Reklamaatiossa ongelmien nähtiin haittaavan jopa työterveyttä. Long Playn mukaan vuoden 2018 asiakaskyselyssä 45 prosenttia virastojen johdon ja tietohallinnon vastaajista oli tyytymättömiä Valtorin palveluihin.
Poliisihallituksen tietohallintopäällikkö Janne Suuriniemi totesi Long Playlle, etteivät turvallisuusverkon varautumisen edellytykset täyty: "Voidaan sanoa, että se ei varautumisen edellytyksiä täytä." Rajavartiolaitoksen apulaisosastopäällikkö Jaakko Ritola totesi Long Playlle Valtorin toimintamallista: "Meidän mielestämme se on säädösten vastainen."
Syksyllä 2019 Hätäkeskuslaitoksen Erica-hätäkeskusjärjestelmä oli poissa käytöstä kuusi päivää turvallisuusverkon päivityshäiriöiden vuoksi. Hätäpuhelut ja yhteydet pelastustyöntekijöihin lakkasivat osin toimimasta. Hätäkeskuslaitoksen teknisten palveluiden johtaja Jukka Aaltonen totesi: "Jos kansalaisten hätäliikenne katkeaa, hätäpuhelut eivät tule sisälle ja hälytysyhteydet eivät toimi, kyllä siinä on henki vaarassa aika usealla henkilöllä Suomessa."
Image-lehden selvityksessä vuonna 2015 todettiin, ettei vastaperustetulla Valtorilla ollut resursseja hallita hankintaketjuaan. Esimerkkinä mainittiin julkaisujärjestelmähanke, jossa hankintaketju kulki valtiovarainministeriöstä Valtorin kautta kolmen alihankkijan läpi. Virkamies totesi lehden mukaan: "Tällaista hankintaketjua on täysin mahdotonta hallita." Valtiovarainministeriöllä ei tuolloin ollut palveluksessaan yhtään hankintalakimiestä.
Henkilöstöongelmia
Julkisalan koulutettujen neuvottelujärjestö JUKO teki maaliskuussa 2019 kantelun eduskunnan oikeusasiamiehelle Valtorin toiminnasta. JUKO katsoi, että Valtori rikkoi lakia julkisen hallinnon turvallisuusverkkotoiminnasta (10/2015) erottaessaan puutteellisesti turvallisuusverkkotoiminnot perustason ICT-palveluista. Kantelussa nostettiin esiin johdon riittämätön asiantuntemus turvallisuusverkkotoiminnassa, henkilöstön vakava uupuminen sekä riski siitä, että salassa pidettävää tietoa voi vuotaa alemman tietoturvan järjestelmiin. JUKOn toiminnanjohtaja Maria Löfgren kysyi: "Miten kauan Valtorissa ollaan valmiita peittelemään työntekijöiden vakavaa uupumista?"
Eduskunnan apulaisoikeusasiamies totesi joulukuussa 2019, että Valtorin organisaatiomalli oli lainmukainen, mutta myönsi, että organisaatiota uudistettaessa olisi voitu edetä sellaiseen lopputulokseen, joka olisi selkeämmin korostanut turvallisuusverkkopalvelujen erottamista.
Valtorissa käynnistettiin marraskuussa 2024 yhteistoimintaneuvottelut, joissa uhattuna oli jopa 160 työpaikkaa. Ammattiliitto JHL varoitti, että säästöt uhkaavat valtion kriittisiä ICT-palveluita. Neuvottelut päättyivät 15. tammikuuta 2025. Toiminnan uudelleenjärjestelyn seurauksena 72 työntekijää irtisanottiin tehtävien päättymisen vuoksi ja yhteensä enintään 138 henkilöön kohdistui vähennyksiä.
Valtorin tuottamaan mobiililaitteiden hallintapalveluun kohdistui 29. tammikuuta 2026 tietomurto, jossa hyökkääjä hyödynsi kaupallisen ohjelmiston nollapäivähaavoittuvuutta, johon ei ollut julkaisuhetkellä saatavilla korjaavaa päivitystä. Valtori havaitsi tietomurron seuraavana päivänä ja teki rikosilmoituksen 30. tammikuuta. Valtori asensi korjauspäivityksen tuntien sisällä sen julkaisusta, mutta hyökkääjä oli jo ehtinyt tunkeutua järjestelmään.
Alun perin tietomurron arvioitiin koskevan noin 20000 valtion mobiililaitteen tietoja. Valtioneuvosto tiedotti 6. helmikuuta 2026, että murto kosketti kaikkien ministeriöiden henkilökuntaa ja noin 50000 käyttäjän tiedot olivat vaarantuneet. Hallintajärjestelmä ei ollut hävittänyt poistettuja tietoja, vaan ainoastaan merkinnyt ne poistetuiksi, minkä vuoksi kaikkien palvelua sen elinkaaren aikana käyttäneiden organisaatioiden tiedot olivat altistuneet.
Vaarantuneita tietoja olivat nimet, puhelinnumerot, työsähköpostiosoitteet ja laitetiedot. Valtorin ylijohtaja Hannu Naumanen luonnehti tilannetta: "Se on tarkkaa tietosisältöä valmiina pakettina pahantahtoiselle toimijalle." Tietomurto ei koskenut turvallisuusviranomaisten, kuten poliisin tai Puolustusvoimien, turvallisuusverkon laitteiden tietoja eikä eduskuntaa.
Keskusrikospoliisi aloitti esitutkinnan 2. helmikuuta 2026. Tapaus eteni vakoiluepäilyyn, kun tutkinnanjohtaja totesi, että "tietosisällön tietoja yhdistelemällä saattaa kyetä muodostamaan tietoa, joka vaikuttaa Suomen turvallisuuteen ja voi aiheuttaa sille vahinkoa". KRP:n mukaan samantyyppisiä rikoksia tapahtui yhtä aikaa muualla Euroopassa.
Etäkäyttöpalvelimen murto (2021)
Huhtikuussa 2021 havaittiin, että kolme Valtorin kymmenestä etäkäyttöpalvelimesta oli murrettu Pulse Connect Secure -ohjelmiston haavoittuvuuden kautta. Kyseessä oli maailmanlaajuinen haavoittuvuus, johon ei ollut kattavaa korjauspäivitystä. Valtori sai tiedon haavoittuvuudesta 20. huhtikuuta Kyberturvallisuuskeskukselta ja palvelutoimittaja Telialta, ja suojasi palvelimet saman illan aikana.
Valtorin tuolloinen virkaa tekevä toimitusjohtaja Mikko Vuorikoski luonnehti murtoa "ammattimaiseksi". Arvioitu vaikutus koski 100–1000 käyttäjää Valtorin 84000 käyttäjästä. Kaikkien Kauko-etäkäyttöpalvelun käyttäjien salasanat vaihdettiin välittömästi. Poliisille tehtiin rikosilmoitus, ja myös Suojelupoliisi selvitti asiaa.
Palvelunestohyökkäys (2018)
Elokuussa 2018 valtionhallinnon verkkopalvelut ja Suomi.fi-tunnistuspalvelu joutuivat palvelunestohyökkäyksen kohteeksi, mikä aiheutti hitautta ja katkoksia. Toimitusjohtaja Pasi Lehmus myönsi, ettei kaikkia jo hankittuja suojautumiskeinoja ollut otettu käyttöön.
VTV:n tarkastukset
VTV julkaisi vuonna 2017 tarkastuskertomuksen kybersuojauksen järjestämisestä. Tarkastus totesi, että Valtorin käynnistysvaihe kesti suunniteltua pidempään ja "keskitetyn kybersuojauksen kehittäminen Valtorissa on osoittautunut vaikeaksi". Kriisinhallintasuunnitelmaa laaja-alaisille kyberhyökkäyksille ei ollut olemassa, ja kybersuojausosaamisesta oli pulaa.
VTV:n jälkiseurantaraportissa vuodelta 2020 todettiin, että Valtori oli kehittänyt kybersuojauksen menettelyjä suositusten mukaisesti, mutta valtiovarainministeriö ei ollut uudistanut ICT-palvelujen operatiivista hallinta- ja johtamismallia riittävässä laajuudessa.
Elokuussa 2025 julkaistussa tarkastuskertomuksessa VTV totesi edelleen, että "keskitetyn kybersuojauksen kehittäminen Valtorissa on osoittautunut vaikeaksi" ja käytännön kybersuojauksen menettelyjen riittävyyden arvioinnissa sekä uusien järjestelyjen toimeenpanossa on ollut puutteita.
Säästötavoitteiden epäonnistuminen
Valtiontalouden tarkastusvirasto (VTV) julkaisi helmikuussa 2019 tuloksellisuustarkastuskertomuksen Valtorin toiminnasta. Tarkastus totesi, ettei Valtorin perustamiselle asetettua 47 miljoonan euron säästötavoitetta ollut saavutettu vuoteen 2018 mennessä. Suurin osa raportoiduista säästöistä perustui Hanselin puitesopimuksiin eikä Valtorin oman toiminnan tehostumiseen. Virastoilta Valtorin hallinnoitavaksi siirrettyjen palvelujen kustannustehokkuus oli VTV:n mukaan heikentynyt, eikä uusia keskitettyjä palveluja voitu pitää kustannustehokkaampina kuin aiemmat järjestelyt tai markkinoilta saatavat palvelut. Valtorin ensimmäinen toimintavuosi 2014 tuotti 7 miljoonan euron tappion.
VTV:n mukaan ongelmien taustalla olivat perustamisvaiheessa tehdyt ratkaisut: Valtorin toiminta käynnistettiin siirtämällä sopimukset ja resurssit ilman riittäviä investointimahdollisuuksia. Palveluprosesseista ja palvelujen tilasta puuttui mittareihin perustuva tarkka kokonaiskuva. VTV suositteli, että valtiovarainministeriön tulisi kehittää Valtorin ohjausta kustannus- ja laatumittareihin perustuvaksi.
VTV:n jälkiseurantaraportissa marraskuussa 2021 todettiin, että valtiovarainministeriö oli parantanut Valtorin ohjausta ja Valtorin hallitus oli lakkautettu, mikä todettiin käytännössä toimivaksi ratkaisuksi. Palveluprosessit vastasivat aiempaa paremmin lain vaatimuksia. Hankintojen kokonaisvastuun keskittämistä yhdelle toimijalle ei kuitenkaan ollut arvioitu kokonaisvaltaisesti VTV:n suosituksesta huolimatta.
Rikosepäilyt
Toimitusjohtaja Latvakankaan esteellisyys 2021
Valtorin toimitusjohtaja Tero Latvakangas käsitteli kesäkuussa 2021 esteellisenä avovaimonsa työvapaata koskevaa asiaa. Latvakangas oli vastannut avovaimolleen myöntävästi kysymykseen, kuuluuko tälle sama virkavapaa kuin muille. Avovaimo kertoi tämän omalle esihenkilölleen, joka myönsi virkavapaan puoleksi vuodeksi.
Helmikuussa 2022 valtiovarainministeriö sai asiasta hallintokantelun ja teki 16. kesäkuuta 2022 tutkintapyynnön Helsingin poliisille. Latvakangas irtisanoutui 20. kesäkuuta 2022.
Valtiovarainministeriö antoi 3. maaliskuuta 2023 Valtorille ja Latvakankaalle huomautuksen menettelyistä, jotka rikkoivat valtion yhteistoimintalakia sekä työsopimusoikeutta ja hallinto-oikeutta.
Helsingin käräjäoikeus tuomitsi 16. joulukuuta 2025 Latvakankaan virkavelvollisuuden rikkomisesta 20 päiväsakkoon eli 280 euroon. Käräjäoikeus katsoi, että Latvakankaan menettely saattoi vaikuttaa hänen avovaimonsa esihenkilön mahdollisuuteen harkita vapaasti työvapaan myöntämistä ja ulkopuoliselle voi syntyä epäily puolueellisuudesta ja riippumattomuudesta. Latvakangas kiisti syyllistyneensä rikokseen. Tuomio ei ole lainvoimainen.
Hankintariidat
Konesali- ja kapasiteettipalvelujen suorahankinta
Hansel kilpailutti vuonna 2012 valtionhallinnon konesali- ja kapasiteettipalvelujen puitejärjestelyn vuosille 2013–2019, ja kilpailutuksen voitti Tieto Finland Oy. Valtori ja Tieto Finland Oy allekirjoittivat syyskuussa 2014 asiakaskohtaisen palvelusopimuksen. Hansel kilpailutti palvelut uudelleen vuosille 2021–2029, ja valitsi toukokuussa 2021 tekemällään hankintapäätöksellä CGI Suomi Oy:n tarjouksen. Valtori ja CGI allekirjoittivat joulukuussa 2021 puitejärjestelyä koskevan palvelukeskuskohtaisen palvelusopimuksen.
Palvelujen siirtäminen CGI:lle viivästyi, ja Valtori jatkoi hankintaa aiemmalta sopimuskumppaniltaan Tietoevryltä. Valtori ilmoitti kesäkuussa 2023 julkaistulla muutosilmoituksella jatkavansa hankintaa, ja sopimusmuutoksen arvoksi ilmoitettiin 105 miljoonaa euroa ja kestoksi 48 kuukautta. Valtori korvasi tämän ilmoituksen elokuussa 2023 julkaistulla uudella muutosilmoituksella, jonka mukaan sopimusmuutoksen arvo oli 60 miljoonaa euroa ja alkamispäivä 1. tammikuuta 2024.
CGI valitti sopimusmuutoksista markkinaoikeuteen kahdella vuonna 2023 jätetyllä valituksella. CGI katsoi, että kyse oli laittomasta suorahankinnasta, koska hankintaa oli jatkettu vuosien ajan toimittajalta, joka ei ollut voittanut kilpailutusta. CGI vaati sopimusmuutoksen kumoamista, täytäntöönpanon kieltämistä ja hankintayksikön velvoittamista korjaamaan menettelynsä sakon uhalla.
Markkinaoikeus antoi päätöksensä helmikuussa 2025. Se hylkäsi toisen valituksen ja jätti toisen tutkimatta sekä velvoitti CGI:n korvaamaan Valtorin oikeudenkäyntikulut 10000 eurolla. Markkinaoikeus katsoi, ettei hankinnan jatkamisessa ollut enää kyse hankintalain mukaisesta hankinnan väliaikaisesta järjestämisestä eikä sallitusta sopimusmuutoksesta, mutta että Valtorilla oli hankintalain 40§:n 2 momentin 4 kohdan mukainen suorahankintaperuste hankkia palveluja aiemmalta sopimuskumppaniltaan ehdottoman välttämättömän äärimmäisen kiireen vuoksi, kunnes palvelut saadaan siirrettyä CGI:lle. Toinen valitus, jossa CGI vaati hankinnan toteamista laittomaksi suorahankinnaksi, jätettiin myöhässä saapuneena tutkimatta. Valtorin Tori-palveluiden johtaja Matti Nurmi totesi, että "valitusprosessi markkinaoikeudessa on ollut pitkä ja työläs" ja että Valtori oli tyytyväinen ratkaisuun.
CGI haki päätökseen muutosta korkeimmalta hallinto-oikeudelta. KHO myönsi kesäkuussa 2026 antamallaan päätöksellä CGI:lle valitusluvan, kumosi markkinaoikeuden päätöksen siltä osin kuin valituslupa oli myönnetty ja palautti asian markkinaoikeudelle uudelleen käsiteltäväksi. KHO katsoi, ettei markkinaoikeus ollut riittävästi selvittänyt suorahankintaperusteen kannalta merkityksellisiä tosiseikkoja eli sitä, oliko CGI tosiasiassa ollut kykenemätön toimittamaan palveluja. KHO:n mukaan pelkkä osapuolten välinen erimielisyys hankintasopimuksen sisällöstä tai sopimuskumppanin toimitusvalmiudesta ei voi muodostaa hankintalain mukaista suorahankintaperustetta, ja koska suorahankinta on poikkeus kilpailuttamisvelvollisuudesta, sen käyttöedellytyksiä on tulkittava suppeasti. Mikäli väitettyjä esteitä palvelujen käyttöönotolle ei ole ollut, kyse on hankintayksikön perusteettomasta viivyttelystä.
Pilvikapasiteettipalvelujen kilpailutukset
Valtori kilpailutti keväällä 2025 Hanselin dynaamisen hankintajärjestelmän sisäisissä kilpailutuksissa kolmen suuren pilvialustan kapasiteetin jakelu- ja hallintapalvelut: Microsoft Azure EA (ennakoitu arvonlisäveroton arvo noin 79 miljoonaa euroa), Amazon Web Services (noin 54 miljoonaa euroa) ja Google Cloud Platform (noin 3 miljoonaa euroa). Valtori valitsi touko–kesäkuussa 2025 Azure- ja GCP-palvelujen toimittajaksi Capgemini Finland Oy:n ja AWS-palvelujen toimittajaksi Gofore Oyj:n. Tarjouskilpailuissa hävinnyt Nordcloud Oy valitti kaikista kolmesta hankintapäätöksestä markkinaoikeuteen.
Markkinaoikeus antoi marraskuussa 2025 kaikissa kolmessa asiassa samansuuntaiset ratkaisut ja kumosi Valtorin hankintapäätökset. Markkinaoikeus katsoi, että tarjouspyynnöt olivat tarjousvertailun perustana olleen kate- ja alennusprosentin osalta epäselviä: hankintayksikkö ei ollut rajannut, minkä tuotteiden tai hintavaihtoehtojen perusteella prosentti tuli antaa, eikä Marketplace-tuotteiden hintojen perustana ollutta hinnastoa ollut asetettu tarjoajien saataville hankintalain 69 §:n edellyttämällä tavalla. Vertailuperusteen käyttäminen ei siten ollut omiaan johtamaan kokonaistaloudellisesti edullisimman tarjouksen valintaan. Markkinaoikeus kielsi panemasta hankintapäätöksiä täytäntöön Azure-hankinnassa 2 miljoonan, AWS-hankinnassa 1,5 miljoonan ja GCP-hankinnassa 300000 euron sakon uhalla sekä velvoitti Valtorin korvaamaan Nordcloudin oikeudenkäyntikulut. Päätöksistä on valitettu korkeimpaan hallinto-oikeuteen.
.svg){kind=small}
