Meeli Saksing Teie 10.10.2022
audiitor
Riigikontroll Meie 08.11.2022 nr 1.15-5/2022/6230-2
[email protected]
Vastus selgitustaotlusele
Austatud Meeli Saksing
Saime Teie kirja seoses elutähtsate teenuste osutajate (ETO) ja neile kehtiva kohustusega
rakendada enda võrgu- ja infosüsteemide suhtes turvameetmeid. Kirjas soovisite teada: Millistest
õigusaktidest praegu peaks ETOd lähtuma turvameetmete rakendamisel, mh
auditeerimisel/sertifitseerimisel? Millal on plaanis kavandatavad rakendusaktid kehtestada?
Käesoleva aasta suvel võttis Riigikogu vastu küberturvalisuse seaduse (KüTS) muudatused, mis
jõustusid 16.08.2022. a. Üks neist muudatustest oli ka KüTS § 7 lõike 4 ehk ühe määruse
volitusnorm kehtetuks tunnistamine. Tolle määrusega reguleeriti võrgu- ja infosüsteemide
riskianalüüsi nõudeid ning turvameetmete kirjeldusi, mida ennekõike ETO-d pidid järgima.
Kehtetuks tunnistatud määruse peamised nõuded hakkavad edaspidiselt olema KüTS § 7 lõike 5
alusel kehtestatava Vabariigi Valitsuse määruses. Tolle määruse kavand käis käesoleva aasta mais-
juunis avalikul kooskõlastusel ning selle tekst on leitav eelnõude infosüsteemi toimikust 22-0570.1
Kuna seda eelnõu kavandit ei ole veel kehtestatud, siis KüTS-i alusel ei ole määrusega
konkretiseeritud, millistest nõuetest lähtuvalt peavad ETO-d oma küberturvalisusega seotud
turvameetmeid rakendama, sh auditeerima.
Eeltoodust hoolimata juhime tähelepanu asjaolule, et ETO-del on kohustus koostada hädaolukorra
seaduse (HOS) alusel riskianalüüs (vt HOS § 38 lg 3 punkti 1 ja seotud §§ 39 ja 40), mille üks osa
on ka küberintsidentidega seotud stsenaariumitest tulenevate riskide hindamine. HOS-i alusel
koostatavate riskianalüüsidele on kehtestatud nõuded Vabariigi Valitsuse 29.07.2021. a määrusega
nr 75 „Elutähtsa teenuse toimepidevuse riskianalüüsi ja plaani nõuded, nende koostamise ning
plaani kasutuselevõtmise nõuded ja kord“. Samal ajal peavad ETO-d täitma ka KüTS-i §-ides 7 ja
8 ning nende alusel kehtestatud nõudeid (vt HOS § 41 lg 2) ehk rakendama vajalikke
turvameetmeid ja teavitama küberintsidentidest Riigi Infosüsteemi Ametit.
Eelnevalt mainitud Vabariigi Valitsuse määruse kavandi vastu võtmise järel peab ETO rakendama
turvameetmeid kõnealuse määruse kohaselt ehk rakendama enda elutähtsa teenuse osutamisega
seotud võrgu- ja infosüsteemidele kas Eesti infoturbestandardit (E-ITS)2 või ISO/IEC 27001
1
Leitav: https://eelnoud.valitsus.ee/main/mount/docList/5a2c5fd3-65c8-4ea3-a4ca-ac3d5ee0fd4a.
2
Lisainfo: https://eits.ria.ee/.
Suur-Ameerika 1 / 10122 Tallinn / 625 6342 /
[email protected] / www.mkm.ee
Registrikood 70003158
standardit3. Näiteks E-ITS’i korral toimub E-ITS’i nõuete täitmise auditeerimine tulevase
Vabariigi Valitsuse määruse ja E-ITS’i auditeerimisjuhendi4 kohaselt.
Mainitud määruse kavand on hetkel ministeeriumis majasisesel kooskõlastusel ja peatselt
saadetakse Vabariigi Valitsusele vastu võtmiseks. Selle tegevusega paralleelselt toimub ka
ettevõtlus- ja infotehnoloogiaministri määruse vastu võtmine, mis kehtestab E-ITS’i sisu ehk selle
põhidokumendid.5
Teil oli ka küsimus sertifitseerimise kohta. Küberturvalisusega seotud toodete ja teenuste
sertifitseerimise teemal soovitame tutvuda Euroopa Parlamendi ja nõukogu määrusega (EL)
2019/881, 17. aprill 2019, mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info-
ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist ja millega tunnistatakse
kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse määrus).6 Sellele lisaks soovitame tutvuda
ka KüTS-i peatükiga 31 ja seal viidatud toote nõuetele vastavuse seaduse sätetega.
Lugupidamisega
(allkirjastatud digitaalselt)
Luukas Ilves
digiarengu asekantsler
Lisaadressaat: Riigi Infosüsteemi Amet
Raavo Palu
[email protected]
3
Standard leitav ning võimalik osta siit: https://www.evs.ee/et/evs-en-iso-iec-27001-2017.
4
Vt altviidet 1.
5
Tolle määruse teksti osas vt eelnõude infosüsteemi toimikut nr 22-0568 – kättesaadav:
https://eelnoud.valitsus.ee/main/mount/docList/135fcc02-dbc3-4eaf-aaee-dd32938496a6.
6
Kättesaadav: https://eur-lex.europa.eu/eli/reg/2019/881/oj.
2 (2)