Vabariigi Valitsuse määrus "Võrgu- ja infosüsteemide küberturvalisuse nõuded"

Riigikantselei 17.11.2022 nr 2-1/2022/3387 Vabariigi Valitsuse määrus "Võrgu- ja infosüsteemide küberturvalisuse nõuded" Edastame Vabariigi Valitsuse istungile esitamiseks Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Kristjan Järvan ettevõtlus- ja infotehnoloogiaminister Lisad: 1) Vabariigi Valitsuse määruse eelnõu; 2) Vabariigi Valitsuse määruse seletuskiri; 3) Vabariigi Valitsuse määruse kooskõlastustabel. Raavo Palu [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  EELNÕU 11.11.2022 VABARIIGI VALITSUS MÄÄRUS Võrgu- ja infosüsteemide küberturvalisuse nõuded Määrus kehtestatakse küberturvalisuse seaduse § 7 lõike 5 alusel. 1. peatükk Üldsätted § 1. Reguleerimisala Määrusega kehtestatakse küberturvalisuse seaduse §-s 7 sätestatud kohustuste täitmise ja süsteemide küberturvalisuse tagamiseks: 1) volitus üleriigilise küberturvalisuse tagamise korraldamise eest vastutavale ministrile Eesti infoturbestandardi kehtestamiseks; 2) süsteemide turvameetmete üldnõuded; 3) süsteemide turvameetmete erinõuded ja nende kohaldamise ulatus. § 2. Terminid Käesolevas määruses kasutatakse termineid järgmises tähenduses: 1) andmekogu on andmekogu avaliku teabe seaduse § 431 lõike 1 tähenduses; 2) infoturve on süsteemile turvameetmete loomise, valimise ja rakendamise protsesside kogum. 2. peatükk Eesti infoturbestandard § 3. Eesti infoturbestandardi kehtestamise volitus (1) Eesti infoturbestandardi kehtestab üleriigilise küberturvalisuse tagamise korraldamise eest vastutav minister määrusega. (2) Teenuse osutajale ei kohaldata lõike 1 alusel kehtestatud nõudeid, kui on täidetud kõik järgmised tingimused: 1) teenuse osutaja rakendatud turvameetmed vastavad rahvusvahelise standardiga ISO/IEC 27001 kehtestatud nõuetele; 2) teenuse osutaja on esitanud Riigi Infosüsteemi Ametile kehtiva vastavussertifikaadi, mis kinnitab punktis 1 sätestatud tingimuse täitmist. § 4. Eesti infoturbestandardi järgimise auditeerimine (1) Teenuse osutaja tagab Eesti infoturbestandardi tingimuste täitmise auditi läbiviimise iga kolme aasta järel. 1 (2) Teenuse osutaja edastab lõike 1 alusel läbiviidud auditi järeldusotsuse Riigi Infosüsteemi Ametile 30 päeva jooksul selle kättesaamisest. (3) Lõikes 1 sätestatut ei kohaldata: 1) teenuse osutajale, kellel on majandusaasta jooksul keskmiselt alla 10 töötaja ja kelle aasta bilansimaht või aastakäive ei ületa 2 miljonit eurot, arvestades mikroettevõtjate määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta (ELT L 124, 20.05.2003, lk 36–41); 2) riigimuuseumile, avalik-õigusliku isiku muuseumile, valla või linna ametiasutusele, valla või linna ametiasutuse hallatavale asutusele, osavalla või linnaosa ametiasutusele, osavalla või linnaosa ametiasutuse hallatavale asutusele ning kohaliku omavalitsuse üksuste ühisametile ja -asutusele, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga; 3) teenuse osutajale, kes on täitnud § 3 lõikes 2 sätestatud tingimused. 3. peatükk Turvameetmete nõuded 1. jagu Turvameetmete üldnõuded § 5. Turvameetmete dokumentatsioon (1) Teenuse osutaja kaardistab süsteemid ja nendega seotud teenused või protsessid ning dokumenteerib süsteemile rakendatavad turvameetmed ja riskianalüüsi. (2) Teenuse osutaja säilitab lõikes 1 nimetatud dokumentatsiooni vähemalt seitse aastat alates selle koostamisest ning teeb selle Riigi Infosüsteemi Ametile taotluse korral kättesaadavaks. (3) Teenuse osutaja võib lõikes 1 nimetatud dokumentatsiooni koostada muu õigusakti alusel koostatava dokumendi osana. § 6. Riskianalüüsi ajakohastamine Teenuse osutaja ajakohastab riskianalüüsi: 1) viivitamatult pärast olulise mõjuga küberintsidendi toimumist; 2) viivitamatult pärast teenuse osutamiseks kasutatava süsteemi sellist muutust, mis mõjutab süsteemi turvalisust, või 3) hiljemalt kolme aasta möödumisel viimasest ajakohastamisest. 2. jagu Turvameetmete erinõuded 1. jaotis Andmekogu § 7. Turvameetmete nõuete erisused andmekogu pidamisel 2 (1) Andmekogu vastutav töötleja korraldab andmekogu turbeastme ja andmete turvaklassi määramise, andmekogu andmete turvaklassi määramiseks andmete tähtsuse hindamise ning andmete turvalisuse puudumisest tuleneva kahjude hindamise. (2) Andmekogu andmetele määratud turvaklass ja andmekogu turbeaste kooskõlastatakse koos andmekogu registreerimiseks või andmekogu andmete ajakohastamiseks ettevalmistatava tehnilise dokumentatsiooniga avaliku teabe seaduse § 439 lõike 1 punkti 6 alusel kehtestatud õigusaktis sätestatud korras. (3) Andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja rakendab turvameetmed andmekogu kasutusele võtmise ajaks. (4) Andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja rakendab andmekogu pidamisega seotud süsteemide turvameetmeid andmekogu turbeastmest lähtuvalt. § 8. Andmekogu turbeastme määramine (1) Turbeaste võib olla kõrge (H), keskmine (M) või madal (L). (2) Andmekogu turbeaste määratakse lähtuvalt andmete turvaklassist. Kui andmete turvaklassi vähemalt üks osaklass vastab tasemele 3, siis on andmekogu turbeaste kõrge (H). Kui andmete turvaklassi vähemalt üks osaklass vastab tasemele 2, siis on andmekogu turbeaste vähemalt keskmine (M). Muul juhul on andmekogu turbeaste vähemalt madal (L). § 9. Andmete turvaklassi määramine (1) Andmete turvaklass määratakse vastavalt infoturbe eesmärkidele tervikluse, konfidentsiaalsuse ja käideldavuse parameetrite kaudu. (2) Andmete käideldavus on eelnevalt kokku lepitud vajalikul ja nõutaval tööajal kasutamiskõlblike andmete õigeaegne ning hõlbus kättesaadavus selleks volitatud isikule või tehnilisele vahendile. (3) Andmete terviklus on andmete õigsuse, täielikkuse ja ajakohasuse tagatus ning päritolu autentsus ja volitamatute muutuste puudumine. (4) Andmete konfidentsiaalsus on andmete kättesaadavus ainult selleks volitatud isikule või tehnilisele vahendile. (5) Andmete turvaklass on kombinatsioon andmete käideldavuse (K), tervikluse (T) ja konfidentsiaalsuse (S) turvaosaklasside tasemetest. Andmete turvaklassi tähis moodustatakse osaklasside tähistest nende järjestuses KTS (näiteks K2T3S1). § 10. Andmete turvaosaklasside määramine (1) Andmete turvaosaklass on andmete tähtsusest tulenev infoturbe eesmärgi saavutamise nõutav tase. 3 (2) Andmekogu vastutav töötleja määrab andmete käideldavuse, tervikluse ja konfidentsiaalsuse turvaosaklasside tasemed vastavalt käesolevas paragrahvis sätestatud skaalale. (3) Turvaosaklasside taseme määramisel lähtub andmekogu vastutav töötleja järgnevast: 1) andmetega seotud nõuded tulenevalt õigusaktidest ja lepingulistest kohustustest; 2) andmetega seotud nõuded tulenevalt pakutavate teenuste iseloomust; 3) küberintsidentidest tekkivate kahjude olulisus. (4) Andmete käideldavuse alusel määratakse turvaosaklass järgmisest skaalast lähtuvalt: 1) K0 – töökindlus – pole oluline, jõudlus – pole oluline; 2) K1 – töökindlus – 90% (lubatud summaarne seisak nädalas ~ ööpäev), lubatav nõutava reaktsiooniaja kasv tippkoormusel – tunnid (1÷10); 3) K2 – töökindlus – 99% (lubatud summaarne seisak nädalas ~ 2 tundi), lubatav nõutava reaktsiooniaja kasv tippkoormusel – minutid (1÷10); 4) K3 – töökindlus – 99,9% (lubatud summaarne seisak nädalas ~ 10 minutit), lubatav nõutava reaktsiooniaja kasv tippkoormusel – sekundid (1÷10). (5) Andmete tervikluse alusel määratakse turvaosaklass järgmisest skaalast: 1) T0 – info allikas, muutmise ega hävitamise tuvastatavus ei ole olulised ja info õigsuse, täielikkuse ning ajakohasuse kontroll pole vajalik; 2) T1 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad ning info õigsuse, täielikkuse ja ajakohasuse kontroll erijuhtudel ning vastavalt vajadusele; 3) T2 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad ning vajalik on info õigsuse, täielikkuse ja ajakohasuse perioodiline kontroll; 4) T3 – info allikas, selle muutmise ja hävitamise faktil peab olema tõestusväärtus ning vajalik on info õigsuse, täielikkuse ja ajakohasuse kontroll reaalajas. (6) Andmete konfidentsiaalsuse alusel määratakse turvaosaklass järgmisest skaalast: 1) S0 – avalik info juurdepääsu teabele ei piirata, lugemisõigus on kõigil huvitatutel ja muutmise õigus on määratud tervikluse nõuetega; 2) S1 – info asutusesiseseks kasutamiseks ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 3) S2 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 4) S3 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajatele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral. (7) Turvaosaklassi määramisel lähtutakse andmestiku enim kaitset vajavate andmete infoturbe tasemest. § 11. Turvameetmete rakendamine andmekogu turbeastmest lähtuvalt (1) Paragrahvi 7 lõikes 4 sätestatud kohustuse täitmiseks peab andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja lähtuma kaitsealast, mis hõlmab vähemalt kõiki andmekogu pidamisega seotud süsteeme, määrama kõikidele andmekogu pidamisega seotud süsteemidele ja teenustele vähemalt andmekogu turbeastmele vastava kaitsetarbe ning rakendama asjakohast turbeviisi. 4 (2) Turbeastmele kõrge (H) vastav Eesti infoturbestandardi kaitsetarve on väga suur (VS), turbeastmele keskmine (M) vastav Eesti infoturbestandardi kaitsetarve on suur (S) ja turbeastmele madal (L) vastav Eesti infoturbestandardi kaitsetarve on normaalne (N). (3) Paragrahvi 7 lõikes 4 sätestatud kohustus loetakse täidetuks, kui andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja on täitnud § 3 lõikes 2 sätestatud tingimused. 2. jaotis Avalike ülesannete täitmist oluliselt mõjutavad süsteemid § 12. Avalike ülesannete täitmist oluliselt mõjutavate süsteemide loetelu Süsteemid, millel on oluline mõju riigi ja kohaliku omavalitsuse üksuse võimele täita avalikke ülesandeid, on: 1) e-toimiku süsteem; 2) elektrooniline kataster; 3) elektrooniline kinnistusraamat; 4) kommertspandiregister; 5) maksukohustuslaste register; 6) mittetulundusühingute ja sihtasutuste register; 7) rahvastikuregister; 8) riigi- ja kohaliku omavalitsuse asutuste riiklik register; 9) Riigi Teataja infosüsteem; 10) riigikassa infosüsteem; 11) sotsiaalkaitse infosüsteem; 12) äriregister. § 13. Avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded Paragrahvis 12 nimetatud süsteemide andmekoosseis koos andmekoosseisu kasutamiseks vajaliku toimiva rakenduskihiga varundatakse välisriigiga sõlmitud rahvusvahelise lepingu alusel regulaarselt välisriigis asuvasse turvalisse andmekeskusesse. 4. peatükk Rakendussätted § 14. Üleminek Eesti infoturbestandardile (1) Kui teenuse osutaja haldab riigi või kohaliku omavalitsuse üksuse süsteemi, siis kuni 31. detsembrini 2022. a eeldatakse süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust Eesti infoturbestandardile, kui teenuse osutaja kohaldab nimetatud süsteemi turvalisuse tagamisele avaliku teabe seaduse § 439 lõike 1 punkti 4 alusel kehtestatud määruses sätestatud nõudeid. (2) Kui teenuse osutaja ei halda riigi või kohaliku omavalitsuse üksuse süsteemi, siis kuni 30. juunini 2023. a eeldatakse süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust Eesti infoturbestandardile, kui teenuse osutaja rakendab, seirab ja ajakohastab turvameetmeid, millega nähakse ette vähemalt: 1) süsteemide juurdepääsuõiguste haldamine, süsteemi kasutajate identifitseerimine ja autoriseerimine; 5 2) teenuse osutamiseks vajalikest andmetest regulaarsete varukoopiate tegemine ja protseduurid andmete varukoopiatest taastamiseks; 3) süsteeme käitava ja süsteemides käideldava tarkvara ajakohasus; 4) süsteemides läbiviidavate toimingute logid toimingu teostaja, liigi ja teostamise ajaga; 5) tarkvaralised ja riistvaralised lahendused süsteemide turvalisust ohustava tegevuse ning tarkvara tuvastamiseks ja tõrjumiseks; 6) protseduurid süsteemide turvalisuse või teenuse toimepidevuse taastamiseks. § 15. Eesti infoturbestandardi järgimise auditeerimise tähtajad (1) Teenuse osutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 1 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditeerimist, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditeerimise läbi viima kahe aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 1 alusel läbi viidud turvameetmete süsteemi auditeerimist. (2) Teenuse osutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 2 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditeerimist, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditeerimise läbi viima kolme aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 2 alusel läbi viidud turvameetmete süsteemi auditeerimist, kuid mitte hiljem kui kolm aastat pärast käesoleva määruse jõustumisest. (3) Teenuse osutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 3 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditeerimist, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditeerimise läbi viima nelja aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ § 91 lõike 3 alusel läbi viidud turvameetmete süsteemi auditeerimist, kuid mitte hiljem kui kolm aastat pärast käesoleva määruse jõustumisest. (4) Lõigetes 1–3 nimetamata teenuse osutaja on kohustatud esmakordse Eesti infoturbestandardi järgimise auditeerimise läbi viima kolme aasta jooksul alates Eesti infoturbestandardi järgimise auditeerimise kohustuse tekkimisest. § 16. Määruse jõustumine Käesoleva määruse §-d 7–11 jõustuvad 1. jaanuaril 2023. a. Kaja Kallas Peaminister Kristjan Järvan Ettevõtlus- ja infotehnoloogiaminister Taimar Peterkop Riigisekretär 6  11.11.2022 Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu seletuskiri 1. Sissejuhatus Käesoleva eelnõuga kehtestatakse Vabariigi Valitsuse määrus „Võrgu- ja infosüsteemide küberturvalisuse nõuded“. 1.1. Sisukokkuvõte Käesoleval eelnõul on kaks eesmärki. 1.1.1. Volitada küberturvalisuse eest vastutavat ministrit kehtestama Eesti infoturbestandardit (edaspidi E-ITS). Eelnõu sätestab küberturvalisuse seaduse (edaspidi KüTS) § 7 lõike 5 volitusnormi alusel E- ITS-i kehtestamise volituse üleriigilise küberturvalisuse eest vastutavale ministrile, kelleks hetkel on ettevõtlus- ja infotehnoloogiaminister (edaspidi: minister). E-ITS-i järgimise kohustust, sealhulgas auditeerimise kohustust kohaldatakse kogu KüTS kohaldamisalale, kuid sellest on ka erandid. E-ITS-i järgimise kohustus on asendatav rahvusvahelise standardi ISO/IEC 27001:2017 (Infotehnoloogia. Turbemeetodid. Infoturbe halduse süsteemid. Nõuded)1 järgimisega. E-ITS-i järgimise auditeerimine ei ole kohustuslik erasektoris mikroettevõtjale ning avalikus sektoris riigimuuseumile, avalik-õigusliku isiku muuseumile, valla või linna ametiasutusele, valla või linna ametiasutuse hallatavale asutusele, osavalla või linnaosa ametiasutusele, osavalla või linnaosa ametiasutuse hallatavale asutusele ning kohaliku omavalitsuse üksuste ühisametile ja -asutusele. E-ITS asendab sisulises mõttes avaliku teabe seaduse (edaspidi AvTS) alusel kehtestatud infosüsteemide kolmeastmelist etalonturbe süsteemi (edaspidi ISKE). Sellest tulenevalt on määruse jõustumisel võimalik 2023. aastani (ISKE kehtetuks tunnistamiseni) jätkata ISKE täitmist E-ITS-i asemel ning on kehtestatud ka erinormid E-ITS-i rakendamiseks andmekogude suhtes. 1.1.2. Kehtestada avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded. Eesmärgiks on tõsta Eesti omariikluse ja digitaalse järjepidevuse hoidmiseks loodud infotehnoloogiliste süsteemide aluseks oleva õigusruumi selgust ja läbipaistvust. Eelnõuga luuakse loetelu võrgu- ja infosüsteemidest (edaspidi süsteem), millel on oluline mõju riigi ja kohaliku omavalitsuse üksuse asutuse võimele täita avalikke ülesandeid ning sätestatakse 1 Koostajateks ISO (International Organization for Standardization ehk Rahvusvaheline Standardiorganisatsioon) ja IEC (International Electrotechnical Commission ehk Rahvusvaheline Elektrotehnikakomisjon); standard leitav ning võimalik osta siit: https://www.evs.ee/et/evs-en-iso-iec-27001-2017. 1 kohustus varundada nimetatud süsteemid välisriigis asuvasse turvalisse andmekeskusesse määruses ettenähtud tingimustel. Olukorras, kus peaaegu kõik riigi avalikud teenused on digitaalselt kättesaadavad, on vajalik kindlustada riigi ja kohaliku omavalitsuse üksuse asutuste põhifunktsioonide täitmiseks vajalike andmete turvaline säilitamine ja ligipääs ning elutähtsate infosüsteemide töös hoidmine teenuste osutamiseks ka siis, kui riigi territooriumil asuvate andmekeskuste töö on peatunud või häiritud näiteks sõja, looduskatastroofi, ulatusliku küberrünnaku, elektrikatkestuse või muu kriisiolukorra tõttu. Hetkel varundatakse avalike ülesannete täitmist oluliselt mõjutavaid süsteeme ja nendes sisalduvaid andmeid Luksemburgi Suurhertsogiriigi riiklikku andmekeskusesse (edaspidi Luksemburgi andmesaatkond) Luksemburgi Suurhertsogiriigiga sõlmitud rahvusvahelise lepingu alusel.2 Eelnõu valmimise hetkel on Luksemburgi andmesaatkonda varundatud juba e- toimiku süsteem, riigikassa infosüsteem, elektrooniline kinnistusraamat, maksukohustuslaste register, äriregister, riigi- ja kohaliku omavalitsuse asutuste riiklik register, mittetulundusühingute ja sihtasutuste register, kommertspandiregister, rahvastikuregister, elektrooniline kataster, sotsiaalkaitse infosüsteem, Riigi Teataja infosüsteem. Tulevikus on võimalus sõlmida rahvusvahelisi lepinguid andmete varundamiseks ka teiste välisriikidega lisaks Luksemburgi Suurhertsogiriigile. 1.2. Eelnõu ettevalmistajad Määruse eelnõu ja seletuskirja koostasid Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse õigusnõunikud Oliver Grauberg ([email protected]) ja Raavo Palu ([email protected]) ning digiriigi arengu osakonna IT-õiguse nõunik Kätlin Aren ([email protected]). Eelnõu ja seletuskirja osas tegi õiguslikke ettepanekuid Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ave Henberg ([email protected]). Eelnõu ja seletuskirja toimetas keeleliselt Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse õigusnõunik Raavo Palu ([email protected]). 1.3. Märkused Eelnõu on seotud 16.08.2022. a jõustunud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõuga 531 SE (edaspidi 531 SE), millega loodi volitusnorm käesoleva määruse kehtestamiseks.3 Määrus kehtestatakse küberturvalisuse seaduse § 7 lõike 5 alusel. 2 Eesti Vabariigi ja Luksemburgi Suurhertsogiriigi vaheline andmete ja infosüsteemide majutamise kokkulepe (RT II, 28.03.2018, 1); kättesaadav https://www.riigiteataja.ee/akt/228032018002. 3 Küberturvalisuse seaduse ja teiste seaduste muutmise seadus 531 SE – kättesaadav: https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7- 7379fa3bf6b9/K%C3%BCberturvalisuse%20seaduse%20ja%20teiste%20seaduste%20muutmise%20seadus. Riigi Teatajas (RT I, 06.08.2022, 2): https://www.riigiteataja.ee/akt/106082022002. 2 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb neljast peatükist. Esimene peatükk reguleerib määruse üldsätteid, teine peatükk sisustab E-ITS-iga seotud sätteid, kolmas peatükk sisustab turvameetmete nõuded (eraldi jagudena nii turvameetmete üldnõuded kui ka erinõuded, sh jaguneb erinõuete ehk teine jagu kaheks jaotiseks: andmekogud ja avalike ülesannete täitmist oluliselt mõjutatavad süsteemid) ning neljas peatükk sisustab rakendussätted. Eelnõu § 1 kehtestab eelnõu reguleerimisala. Määruse reguleerimisala vastab KüTS § 7 lõike 5 alusel kehtestatud volitusnormi sisulisele piiritlusele. KüTS § 7 lõikes 5 sätestatud edasivolituse alusel sätestab eelnõu volituse küberturvalisuse tagamise korraldamise eest vastutavale ministrile E-ITS-i kehtestamiseks. Eelnõu § 2 kehtestab määruses kasutatavate terminite tähenduse, sisustatakse andmekogu ja inforturve. Eelnõus avamata terminid on ennekõike mõeldud KüTS-i tähenduses, sealhulgas teenuse osutaja. Andmekogu on andmekogu avaliku teabe seaduse § 431 lõike 1 tähenduses. Uue terminina kasutatakse mõistet „infoturve“. Infoturbena käsitletakse terviklikku protsessi, mille lõppeesmärk on turvameetmete rakendamine, mistõttu hõlmab termin ka turvameetmete loomise ja valimise protsesse. Eriliigiliste süsteemide turvameetmete nõuete kehtestamisel määruse 3. peatükis sätestatakse ka erisusi E-ITS-i nõuete järgimise osas, millest tulenevalt kasutatakse määruses ka kehtestatava E-ITS-i termineid vastavalt E-ITS-is sätestatud tähendustele. Eelnõu peatükis 2 on §-id 2 ja 3, mis kehtivad neile teenuse osutajatele, kes võtavad kasutusele E-ITS’i. Eelnõu § 3 sätestab E-ITS-i kehtestamise volituse ning E-ITS-i rakendamise erandi. Lõige 1 kehtestab volitusnormi E-ITS-i kehtestamiseks. E-ITS, kui käesoleva eelnõu koostamise hetkel ligikaudu 500-700 leheküljeline (olenevalt versioonist) kogum nõuetest ja juhenditest, kehtestatakse küberturvalisuse tagamise korraldamise eest vastutava ministri määrusega. Sarnaselt hetkel kehtiva ISKE-ga on ka E-ITS pidevat kaasajastamist ning täiendamist nõudev dokument. Majandus- ja Kommunikatsiooniministeeriumi (edaspidi MKM) valitsemisala asutus RIA korraldab E-ITS-i täiendamise ning uuendamisega seotud teenuseid, võttes selle aluseks varasemase rakendamise praktikat ning muutusi infotehnoloogilises maailmapildis ja õigusraamistikes. Tulenevalt eeldatavast vajadusest E-ITS-i korduvalt muuta ja ajakohastada ei ole Vabariigi Valitsuse määruse vorm sobilik E-ITS-i kehtestamiseks. Sellegipoolest omab E- ITS-i kehtestamine regulatiivset mõju ning ei ole käsitletav üksikjuhtumi reguleerimisena oma rakendusala tõttu, mistõttu on välistatud E-ITS-i kehtestamine käskkirjaga. Eesmärgipärane vorm E-ITS-i kehtestamiseks ongi eeltoodust lähtuvalt ministri määrus. Eelnõuga kehtestatava määruse volitusnorm (KüTS § 7 lõige 5) hõlmab ka edasivolituse võimalust haldusmenetluse seaduse § 91 lõike 1 tähenduses. E-ITS-i dokumentatsioon ning 3 muu E-ITS-ga seotud teave avalikustatakse ka Eesti infoturbestandardi portaalis - eelnõu koostamise hetkel asub see veebiaadressil https://eits.ria.ee/. Kehtestatav ministri määrus kehtestab E-ITS-i dokumentatsiooni ja sisustab E-ITS-i rakendamise kohustust. Lõige 2 määratleb, et süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust E-ITS- le eeldatakse ka juhul, kui selle asemel rakendatakse rahvusvahelist standardit ISO/IEC 27001:2017 (Infotehnoloogia. Turbemeetodid. Infoturbe halduse süsteemid. Nõuded).4 Siinkohal on oluline märkida, et rahvusvahelist standardit peab olema rakendatud kogu ulatuses, milles teenuse osutajale küberturvalisuse nõudeid KüTS-i alusel kohaldatakse. E-ITS-i võimalik alternatiiv on rahvusvahelise standardi ISO/IEC 27001 järgimine. Samas ei piisa selle alternatiivi kasutamiseks lihtsalt teenuse osutaja otsusest ega ka standardi rakendamisele vastavatest tegevustest. Alternatiiv kuulub kohaldamisele vaid siis, kui teenuse osutaja on lisaks ISO/IEC 27001 standardi nõuetele vastavate turvameetmete rakendamisele esitanud RIA-le kehtiva ISO/IEC 27001 vastavussertifikaadi, mille kohaldamisala hõlmab vähemalt E-ITS-i kohaldamisala. Kui teenuse osutaja RIA-le eelnevalt kehtivat vastavussertifikaati esitanud ei ole, on teenuse osutaja vastavus eelnõu E-ITS-le hinnatav sõltumata sellest, kas teenuse osutaja on vastavuses ISO/IEC 27001 nõuetega, isegi kehtiva vastavussertifikaadi olemasolul. Selle kitsenduse eesmärk on tagada järelevalveasutusele ülevaade teenuse osutajate vastavusest E-ITS-i järgimise nõuetele ning kuivõrd E-ITS-i vastavusauditite järeldusotsuste edastamine RIA-le on kohustuslik, siis alternatiivi rakendamine ilma aktiivse edastamiskohustuseta töötaks ülevaate tagamise eesmärgi vastu. Erinevalt eelnõu §-s 14 toodud võimalustest (vt sealsete lõigete selgitust) pole siinse lõikega tekitatav erand ajutine. Eelnõu § 4 kehtestab E-ITS-i tingimuste järgimise auditeerimise nõuded. E-ITSi tingimuste täitmise üks osa on auditeerimine ning seda aitab sisustada E-ITS-i osaks olev auditeerimisjuhend. Lõige 1 kehtestab auditeerimise põhilise nõude – audit viiakse läbi iga kolme aasta järel. Esmakordse auditi läbiviimise tähtaeg on üldjuhul 3 aastat alates auditeerimise kohustuse tekkimisest. Teenuse osutajatele, kellele tekib auditeerimise kohustus eelnõu jõustumise hetkel, sh kes on eelnevalt turvameetmete süsteemi rakendamise auditeerimist läbi viinud ISKE nõuete järgi, sätestavad esmakordse auditi läbiviimise tähtaja eelnõu 4. peatüki rakendussätted. Teenuse osutajate loetelu on sätestatud KüTS § 3 lõikes 1. Lisaks selles lõikes nimetatud isikutele kohaldatakse teenuse osutaja kohta sätestatud nõuded ka KüTS § 3 lõikes 4 sätestatud loetelus olevatele isikutele (vt siin ka 531 SE-ga tehtud muudatusi). Selleks, et läbiviidav audit oleks aluseks auditeerimise kohustuse täitmisele, peab auditi planeerimine, tegemine jm tegevused (ehk auditeerimine) toimuma vastavalt eelnõu § 3 lõike 1 alusel kehtestatud auditeerimisjuhendile. 4 Standard leitav ning võimalik osta siit: https://www.evs.ee/et/evs-en-iso-iec-27001-2017. 4 Audit loetakse käesoleva lõike tähenduses läbiviiduks, kui audiitor on teenuse osutajale edastanud auditeerimisjuhendi tähenduses lõpparuande. Sellest hetkest alustab kulgemist järgmise auditi läbiviimise tähtaeg ning teenuse osutaja kohustus on tagada vastavaks tähtajaks järgmise auditi läbiviimine. Kuna infoturbe haldus on kestev protsess, siis praktikas tuleb teenuse osutajal hakata tegelema lõpparuandes toodud puuduste likvideerimisega (kui neid tuvastatakse) selleks, et saavutada positiivne tulemus järgmisel auditil. Ei ole keelatud auditi läbiviimist, ennekõike auditi tellimist, volitada või teha koos teise organisatsiooniga. Ühisauditite läbiviimine või teise organisatsiooni nimel auditi tellimine on ennekõike asjakohane olukordades, kus erinevate organisatsioonide info- ja kommunikatsioonitehnoloogia (edaspidi IKT) infrastruktuuri haldamine ja majutamine on üle antud kesksele organisatsioonile. Küll aga peab läbiviidud auditi lõpparuanne käsitlema teavet iga auditi subjekti suhtes. IKT infrastruktuuri haldamine ja majutamine kolmanda organisatsiooni kaudu ei mõjuta auditi subjekti iseseisvat kohustust E-ITS-i järgida, mille täitmist auditeerimine kontrollib. Lõige 2 kehtestab kohustuse lõike 1 alusel läbiviidud auditi järeldusotsuse edastamiseks järelevalveasutusele. E-ITS’i auditeerimisjuhendi kohaselt koosneb lõpparuanne kahest eraldi digiallkirjastatud elektroonilisest dokumendist (auditi järeldusotsus ja auditi lõpparuanne), millest üks tuleb edastada järelevalveasutusele. Reguleeritav kohustus on eraldiseisev auditeerimise (ja seetõttu ka E-ITS-i järgimise) kohustusest. Teisisõnu ei loeta käesolevas lõikes kehtestatud kohustuse täitmisel teenuse osutaja poolt täidetuks auditeerimise kohustust ega ka muid eelnõu § 3 lõike 1 alusel kehtestatud kohustusi. Samamoodi on läbiviidud auditi järeldusotsuse esitamata jätmisel teenuse osutaja rikkunud käesoleva lõike alusel kehtestatud kohustust sõltumata sellest, kas teenuse osutaja on täitnud E-ITS-i järgimise, sh auditeerimise kohustust. Lõike kohaselt täidab kohustuse teenuse osutaja, kuid praktikas on ka võimalik, et teenuse osutaja on selle ülesande edasi delegeerinud talle auditi tellinud IT-majale (avaliku sektori korral) või muule välisele partnerile (kui taoline olukord ilmneb). Lõike 3 eesmärk on tagada E-ITS-i nõuete järgimisest tulenevate kohustuste proportsionaalsus subjekti IKT korralduslike võimetega. Subjektidele, kes vastavad käesolevas lõikes kehtestatud tingimustele, on auditi läbiviimine valikuline ja soovitatav, kuid mitte kohustuslik osa E-ITS-i järgimise kohustusest. See aga ei tähenda, et E-ITS-i järgimine tervikuna oleks subjektile valikuline või et E-ITS-i järgimine ei oleks subjekti suhtes järelevalvatav. Auditi läbiviimise valikulisus ei mõjuta KüTS-is määratletud järelevalveorgani meetmete rakendamist subjektide suhtes nõuete täitmise tagamiseks ega sätesta ühtki eeldust, et subjekt E-ITS-i järgimisest tulenevaid nõudeid muus osas täidab. Sellest tulenevalt on ka auditi läbiviimine soovitatav sõltumata selle tegemise kohustusest. Esimene erand on sätestatud lõike esimeses punktis. Sellest tulenevalt on audit valikuline KüTS-i subjektidele, kes vastavad mikroettevõtja definitsioonile. Tegemist on väikesemahuliste organisatsioonidega, kelle IKT korralduslikud vahendid on oluliselt piiratumad ning seetõttu võib ka auditi lävendiline majanduslik mõju olla organisatsioonile 5 ebaproportsionaalselt suur. KüTS-i subjektidest on mikroettevõtjad enamasti teede sõidetavust tagavad ettevõtjad (subjektid KüTS § 3 lg 1 p 1 alusel hädaolukorra seadusest tulenevalt) ning mitmed perearstid (subjektid KüTS § 3 lg 1 p 7 alusel). Teine erand on sätestatud lõike teises punktis. Tegemist on asutustega, mille IKT korralduslikud vahendid on oluliselt piiratumad tulenevalt IKT vahendite väiksemast olulisusest asutuse avalike ülesannete täitmisel. Avalikus sektoris sõltub asutuse IKT struktuuri mahukus ning selle IKT struktuuri turvalisuse kriitilisus ühiskonna toimepidevusele rohkem asutuse ülesannetest kui asutuse organisatsioonilisest suurusest. Riigimuuseumi ja avalik- õigusliku isiku muuseumi all on mõeldud muuseume, mis vastavad muuseumiseaduse5 § 1 lõigetes 2 ning 3 olevatele selgitustele. Samades lõigetes on mainitud ka muid muuseume, kes on välistatud kommenteeritava lõike muude kriteeriumite tõttu ehk tegemist on valla või linna ametiasutuse hallatava asutuse või selle struktuuriüksusega. Eraõiguslikele muuseumitele ei kohaldu KüTS, kuna nad pole KüTS § 3 lõigete 1 ja 4 nimekirjades, mistõttu ei kohaldu neile ka käesolev määrus. E-ITS’i auditi tegemist on välistatud ka näiteks rahvaraamatukogud (nad on kohaliku omavalitsuse asutused rahvaraamatukogu seaduse6 §-de 2 ja 3 kohaselt). Valla või linna ametiasutuse ja ametiasutuse hallatava asutuse all on mõeldud asutusi, mis on asutatud kohaliku omavalitsuse korralduse seaduse (edaspidi KOKS) § 22 lg 1 punkti 34 alusel.7 Osavalla või linnaosa ametiasutuse ja osavalla või linnaosa ametiasutuse hallatava asutuse all on mõeldud asutusi, kes on loodud osavallale või linnaosale nende põhimäärustes antud volituste alusel (vt KOKS § 22 lg 1 punkti 11). Kohaliku omavalitsuse üksuste ühisametite ja -asutuste all on mõeldud KOKS § 61 lõike 6, § 22 lg 1 punkti 341 ja § 621 alusel ning tähenduses asutatud asutusi. Siinse nimekirja sõnastamisel on eeskuju võetud KüTS § 3 lg 4 punktist 13. Kommenteeritavas punktis nimetatud asutused peavad siiski läbima auditi, kui vastav asutus on andmekogu vastutav töötleja või volitatud töötleja (AvTS § 434 tähenduses). Neid asutusi ei välistata auditi tegemise ja auditi järeldusotsuse edastamise kohustustest nende asutuste täidetavate ülesannete tõttu. Andmekogu vastutava töötleja ja volitatud töötlejaks olek sõltub sellest, kas vastav isik on konkreetse andmekogu pidamist reguleerivas õigusaktis (ennekõike põhimääruses) määratletud andmekogu vastutavaks töötlejaks või volitatud töötlejaks. Näiteks kasutavad perearstid oma igapäevases töös tervise infosüsteemi, kuid nad ei ole tolle andmekogu volitatud töötlejad tolle andmekogu regulatsiooni kohaselt. Vt siin Vabariigi Valitsuse 01.12.0216 määrust nr 138 „Tervise infosüsteemi põhimäärus“8, konkreetsemalt § 3 (määratleb selle andmekogu vastutavad ja volitatud töötlejad), § 5 (reguleerib, mida tervishoiuteenuse osutaja, sh perearst, esitab andmeid andmeandjana) ja § 11 (reguleerid tervishoiuteenuse osutaja, sh perearsti juurdepääsu andmekogule). Seetõttu ei teki kommenteeritava lõike teise lausepoole tõttu perearstidel kohustus tagada E-ITS’i auditi läbi viimine. 5 Muuseumiseadus (RT I, 19.03.2019, 103). 6 Rahvaraamatukogu seadus (RT I, 13.03.2019, 127). 7 Kohaliku omavalitsuse korralduse seadus, (RT I, 25.06.2021, 8). 8 Vabariigi Valitsuse 01.12.0216 määrust nr 138 „Tervise infosüsteemi põhimäärus“ (RT I, 03.08.2022, 4). 6 Kuivõrd auditeerimine on üks E-ITS-i järgimise osa, siis kolmas punkt sätestab õigusselguse eesmärgil, et auditeerimiskohustust muidugi ei kohaldata ka teenuse osutajale, kes on täitnud eelnõu § 3 lõike 2 tingimused. E-ITS-i auditeerimisnõude kohaldamist ilmestab järgnev joonis. Kas isik on KüTS § 3 lõike 1 või lõike 3 nimekirjades? KüTS ja käesolev määrus ei kohaldu ei ehk E-ITS auditit ei pea tegema jah Kas isik teeb/tegi ISO/IEC 27001 ja edastab/edastas RIA-le vastavussertifikaadi? ei ei jah Kas isik on määruse § 4 lg 3 Kas isik on mikroettevõtja p 2 nimetatud asutus (üks (määruse § 4 lg 3 p 1)? muuseumitest või KOV-i asutustest)? jah ei ei jah Kas isik on samal ajal ei ka andmekogu E-ITS’i auditit ei pea vastutav töötleja või tegema volitatud töötleja? jah E-ITS’i audit tuleb teha Eelnõu §-id 5 ja 6 kehtestavad turvameetmete üldnõuded 3. peatüki eraldi jaona. Eelnõu § 5 kehtestab teenuse osutaja turvameetmete dokumenteerimiskohustuse. Siinsed nõuded kehtivad teenuse osutajatel, kes rakendavad E-ITS’i kui ka neile, kes rakendavad ISO/IEC 27001:2017. Tegemist on miinimumkomplektiga neile kehtivatest nõuetest, millede ajakohastamist võib teha ka muude sündmuste, eluliste asjaolude või julgeolekukeskkonnas toimunud muudatuste tõttu. Lõige 1 täpsustab dokumenteerimisnõudeid. KüTS § 7 lg 2 punkti 1 alusel peab teenuse osutaja koostama süsteemi riskianalüüsi, mis lähtub küberintsidentide ohust ning ohu realiseerumisel 7 kahju olulisusest. Riskianalüüs kuulub ise dokumenteerimisele KüTS § 7 lg 2 punkti 2 alusel, samuti ka turvameetmete kirjeldus. Kuid küberriskide haldamisel on mainitud kohustuse näol tegemist vaid kahe viimase protsessi dokumenteerimisega. Riskianalüüsi läbiviimisele eelneb süsteemide kaardistamine ning nende süsteemidega seotud teenuste või protsesside kaardistamine. Käesolev lõige sätestab seega ka kohustuse dokumenteerida lisaks riskianalüüsile ja rakendatavatele turvameetmetele ka riskianalüüsile eelnev süsteemide ja vastavate teenuste või protsesside kaardistus. Teenuste ja protsesside kaardistamine erasektori puhul on seotud KüTS § 3 lõikes 1 vastava punkti juures viidatud osutatava teenusega. Avaliku sektori puhul siinses lõikes mõeldud kaardistus ei ole täielikult kattuv kaardistusega, mis valitsusasutused peavad tegema teenuste korraldamise ja teabehalduse aluste määruse (edaspidi TKTA määrus)9 § 7 lõike 1 alusel, kuna TKTA määrus kehtib ainult valitsusasutustele, kuid KüTS-i ning siinse eelnõuga kehtestatava määruse nõuded kehtivad ka muudele isikutele ja asutustele kui valitsusasutused. Siiski on võimalik siinse kaardistuse puhul arvestada ning kasutada TKTA määruse täitmiseks tehtud kaardistust või teha koos tolle kaardistusega (vt ka eelnõu § 5 lõike 3 selgitust ja MKM-i võrgulehel olevaid selgitusi10). Lõige 2 täpsustab riskianalüüsi ja sellega seonduva dokumentatsiooni säilitamisnõuded. KüTS § 7 lg 2 punkti 2 alusel on teenuse osutaja kohustatud tagama riskianalüüsi ja sellega seonduva dokumentatsiooni olemasolu. Käesolev lõige sisustab eelmainitud kohustuse ja süsteemide kaardistuse ning nende seotud teenuste või protsesside kaardistusega seotud info vähemalt 7 aastase säilitamiskohustuse. Kuni 15.08.2022 kehtinud KüTS § 7 lg 2 punkti 6 kohaselt pidi teenuse osutaja taolist dokumentatsiooni säilitama vähemalt kolm aastat dokumendi loomisest alates. Vastav KüTS-i nõue tunnistati 531 SE-ga kehtetuks ning selle asemel kehtestatakse samalaadne (pikema tähtajaga) säte siinse eelnõuga. Kui teenuse osutaja on koostanud nimetatud KüTS-i nõude alusel vastava dokumentatsiooni ning see on säilitatud alla kolme aasta eelnõu jõustumise kuupäeval, siis edaspidiselt tuleb nimetatud dokumentatsiooni säilitada vähemalt 7 aastat. Tähtaja määratlemisel on lähtutud asjaolust, et see tähtaeg katab ära vähemalt kaks auditiperioodi (3+3 aastat) ning ühe aastase täiendava tähtaja. Nimetatud tähtaeg võimaldab järelevalveasutusel ka planeerida enda järelevalvelisi tegevusi ja toetab auditi teostajat tema töös, kuna vastava dokumentatsiooni põhjal saab mh ka selguse, kuidas on auditeeritava enda küberturvalise tagamise seis selle aja jooksul muutunud. Täiendavalt sätestab käesolev lõige kohustuse lõikes 1 nimetatud dokumentatsiooni järelevalveasutusele kättesaadavaks tegemiseks. Sätte eesmärk on küberturvalisuse nõuete järgimise järelevalve efektiivsemaks muutmine. Riskianalüüs ja sellega seonduv on suuresti aluseks teenuse osutaja küberturbe võimekuse ning selle valdkonna nõuete täitmise hindamisele. RIA kui järelevalveasutus saab käesolevale sättele tuginedes nõuda teenuse osutajalt lõikes 1 nimetatud dokumentatsiooni. 9 Vabariigi Valitsuse 25.04.2017 määrus nr 88 „Teenuste korraldamise ja teabehalduse alused“ (RT I, 19.05.2022, 8). 10 Leitavad: https://www.mkm.ee/digiriik-ja-uhenduvus/digiteenused/digiteenuste-arendamine. 8 Lõige 3 täpsustab koostatava dokumentatsiooni vormilisi võimalusi. Käesolev lõige sätestab, et lõikes 1 nimetatud dokumentatsioon võib olla samastatav teenuse osutaja poolt muu õigusakti alusel koostatava dokumendi osana. Üheks näiteks on E-ITSi järgimise kohustuse täitmiseks koostatav dokumentatsioon. Teiseks näiteks on TKTA määruse alusel tehtavad kaardistused (vt TKTA määruse § 7 lõiget 1 ja § 12 lõiget 1). Kolmandaks näiteks on kehtiva hädaolukorra seaduse alusel koostatav dokumentatsioon (näiteks riskianalüüs). Muu õigusakti alusel koostatava dokumendi osa vastavus lõikes 1 nimetatud dokumentatsiooni nõuetele sõltub võrreldavate sisulisest analüüsist. Selleks, et muu õigusakti alusel koostatava dokumendi osa oleks samastatav lõikes 1 nimetatud dokumentatsiooniga, peab vastav dokumendi osa sisaldama lõikes 1 nimetatud dokumentatsiooni sisu, st peab olema olemas asjakohaste süsteemide ja nendega seotud teenuste või protsesside kaardistus, riskianalüüs ja süsteemidele rakendatavad turvameetmed. Vorminõude täpsustus rakendub KüTS § 7 lg 2 punktides 1 ja 2 nimetatud dokumentidele, kuivõrd täpsustavad dokumenteerimisnõuded on nende osas kehtestanud kommenteeritava paragrahvi lõige 1. Käesoleva lõike vormilise võimaluse kasutamisel lõikes 1 nimetatud dokumenteerimiskohustuse täitmisel kohustub teenuse osutaja RIA lõikele 2 tugineva taotluse alusel esitama kas muu õigusakti alusel koostatud dokumendi tervikuna või vähemalt sellises osas, et esitatavas dokumentatsioonis kajastuks lõikes 1 nõutud sisu. Eelnõu § 6 täpsustab, millal tuleb eelnevas paragrahvis mainitud riskianalüüs ajakohastada. KüTS § 7 lg 2 punkti 2 alusel on teenuse osutaja kohustatud tagama riskianalüüsi ajakohasuse. Käesolev lõige sisustab eelmainitud kohustuse. Riskianalüüsi ajakohastamise tähtpäev on kõige hiljemalt kolme aasta möödumisel viimasest riskianalüüsi ajakohastamisest (kommenteeritava paragrahvi lõige 3). Kahel alternatiivsel juhul võib aga riskianalüüsi ajakohastamise tähtpäev saabuda varem. Esiteks peab teenuse osutaja oma koostatud riskianalüüsi ajakohastama viivitamatult pärast olulise mõjuga küberintsidendi toimumist (kommenteeritava paragrahvi lõige 1). Pärast olulise mõjuga küberintsidendi toimumist on vajalik edasiste intsidentide ennetamiseks vaadata üle ennekõike riskianalüüsis loetletud riskide ning nendele määratud tagajärgede raskusastmete asjakohasus. Küberintsident on defineeritud KüTS § 2 punktis 3 ning küberintsident on olulise mõjuga, kui on täidetud vähemalt üks KüTS § 8 lõikes 2 sätestatud tingimustest. Teiseks peab teenuse osutaja oma koostatud riskianalüüsi ajakohastama viivitamatult pärast süsteemi turvalisust mõjutava muudatuse rakendamist (kommenteeritava paragrahvi lõige 2). Sellises olukorras ei pruugi enam olla asjakohased riskianalüüsi aluseks olevate süsteemide kaardistused ega ka riskianalüüsis loetletud riskid ning nende tagajärgede raskusastmed. Süsteemi turvalisus on defineeritud KüTS § 2 punktis 2 ning süsteemi turvalisust mõjutava muutusena on käsitletavad kõik muudatused süsteemile (nii riist– kui ka tarkvaralised) mis mõjutavad süsteemi eelmainitud omadust. Riskianalüüsi ajakohastamise kohustuse tekkimiseks peab muudatus olema läbiviidud või tellitud teenuse osutaja poolt. Litsentseeritud tarkvara suhtes rakendatavad uuendused litsenseerijate poolt, kui need on tehtud süsteemi tavapärase 9 hoolduse raames ning ei muuda süsteemi otstarvet, ei too kaasa ka kohustust riskianalüüsi ajakohastamiseks. Tuvastamine, kas teenuse osutaja on viivitanud riskianalüüsi ajakohastamisega, tuleb läbi viia iga teenuse osutaja suhtes asjaoludest lähtuvalt. Ennekõike on viivitamise tuvastamisel oluline riskianalüüsi ajakohastamise eeldatav ajakulu muudatuste ning mõjutatud süsteemide ulatust arvestades. Pärast küberintsidendi toimumist tuleb viivituse tuvastamisel arvestada ka võimaliku ajakuluga KüTS § 7 lg 2 punktis 4 sätestatud kohustuse täitmiseks. Paragrahv ei reguleeri, kuidas toimub teenuse osutaja juures riskianalüüsi ajakohastamise vormistamine – siin on abiks näiteks E-ITS’i puhul riskihaldusjuhendis olevad selgitused ja näidised. Eelnõu §-id 7 kuni 11 (3. peatüki 2. jao 1. jaotis) kehtestavad küberturvalisuse nõuete erisused andmekogude pidamisel. Andmekogu on AvTS-s reguleeritud süsteemi eriliik, millele rakenduvad ka eelmainitud seaduse alusel mitmed nõuded. Andmekogude küberturvalisuse tagamiseks rakendatakse ISKE nõudeid, mis omakorda olid koostatud andmekogu kui süsteemi vaatepunktist. E-ITSi kehtestamisel ISKE asemele (531 SE ning siinse eelnõu tulemusena) uueneb mõnevõrra ka küberturvalisuse tagamiseks rakendatavate nõuete loogika, seda ennekõike süsteemipõhise lähenemise asendamisel organisatsiooni ja selle protsesside põhiste lähenemisega. Arvestades aga vajadust säilitada andmekogude kui eriliigiliste süsteemide turbeastme määramine ennekõike andmekogu andmete tähtsusest lähtuvalt (erinevalt E-ITS-i riskipõhisest kaitsetarviduse määramisest infovarade olulisuse kaudu protsessi eesmärgi täitmisel) ning säilitada riigi infosüsteemi haldussüsteemi ja seekaudu ka andmekogude põhimääruste regulatiivne sisu turvaosaklasside ja nendest tulenevate turbetasemete osas, on eelnõu §-de 7- 11 eesmärk võtta üle kehtetuks tunnistatavast11 infosüsteemide turvameetmete süsteemist andmekogude turbeastmete regulatsioon ning ühildada see E-ITS-i rakendamisega organisatsioonis, mis on andmekogu vastutav või andmekogu majutav volitatud töötleja. Eelnõus sätestatavad §-id 7-10 kehtisid juba praegu süsteemidele (vt kuni 15.08.2022. a kehtinud KüTS § 9 lõiget 2), sh andmekogudele (vt AvTS § 439 lõike 3 esimest lauset ning sama paragrahvi lõike 1 punkti 4). Need nõuded on hetkel sisustatud Vabariigi Valitsuse 20.12.2007 määruse nr 252 „Infosüsteemide turvameetmete süsteem“ (edaspidi ISKE määrus)12 §-des 4-9. Nimetatud muudatusete sisu on analüüsitud ISKE määruse ning selle muudatuste vastu võtmisel – seetõttu puudub vajadus kehtiva õiguse säilitamisega seotud muudatusi uuesti analüüsida. Seda isegi olukorras, kus hetkel on teatav õiguslik vaakum, kuna perioodil 16.08.2022 kuni käesoleva määruse jõustumine (vt rakendussätet § 14 lõikes 1) ei kohaldu süsteemidele ISKE. Eelnõu §-id 7–11 hakkavad kehtima 01.01.2023 ehk ISKE määruse volitusnormi kehtetuks tunnistamise järel. 11 531 SE-ga tunnistati kehtetuks AvTS-is olev ISKE määruse volitusnorm alates 01.01.2023. a. 12 Vabariigi Valitsuse 20.12.2007 määrus nr 252 „Infosüsteemide turvameetmete süsteem“ (RT I, 15.09.2020, 15). 10 Kommenteeritav jaotis kehtib teenuse osutajatele, kes on AvTS-i tähenduses andmekogu vastutav töötleja või seda majutav volitatud töötleja. Vt siin ka eelnõu § 4 lg 3 punkti 2 selgitusi. Eelnõu § 7 kehtestab turvameetmete nõuete erisused andmekogu pidamisel. Lõige 1 kehtestab andmekogu vastutavale töötlejale kohustuse korraldada andmekogu turbeastme määramine. Andmekogu turbeastme määramise aluseks on andmekogu andmete turvaklass, mille määramist samuti andmekogu vastutav töötleja korraldama peab. Andmekogu andmete turvaklassi määramise aluseks on andmete turvaanalüüs ehk andmete tähtsuse hindamine ning andmete püüdmisest tuleneva kahju hindamine, ka selle läbiviimise kohustus on andmekogu vastutaval töötlejal käesoleva lõike alusel. Eelnõu § 10 sisustab täpsemalt andmete turvaanalüüsile vastavate erinevate andmete turvaosaklasside olemust. Lõike eesmärk on sätestada alus teenuse osutajale, kes on andmekogu vastutav töötleja, andmekogude erisuste rakendamiseks turvameetmete rakendamisel ning koondab endas ISKE määruse § 4 lõike 1 ja § 5 lõike 1 regulatiivset sisu. Lõige 2 kehtestab andmekogu andmetele määratud turvaklassi ja andmekogu turbastme kooskõlastamise korra. Lõige säilitab ISKE määruse § 4 lõike 2 regulatsiooni. Lõige 3 kehtestab piirangu andmekogude kasutamisele. Nimelt peavad enne või hiljemalt andmekogu kasutusele võtmise ajaks olema rakendatud ka turvameetmed. Samasisuline nõue oli kuni 17.09.2020. a ISKE määruse § 4 lõikes 2.13 Õigusselguse tagamiseks on vajalik määratleda, mis ajaks on vajalik tagada turvameetmete rakendamine, mistõttu toimub selle sätte uuesti kehtestamine. Kasutusele võtmise aeg on seotud kommenteeritava paragrahvi lõikes 2 viidatud kooskõlastusmenetlusega riigi infosüsteemi haldussüsteemis ehk RIHA.14 Näiteks uute andmekogude puhul peavad turvameetmed olema rakendatud andmekogu lõpliku registreerimise ajaks (st kui andmekogu saab RIHA-sse märke "kasutusel"). Lõige 4 alusel kehtestatav kohustus turvameetmete rakendamiseks lähtuvalt andmekogu turbeastmele kohaldub teenuse osutajatele, kes on nii andmekogu vastutavad töötlejad kui ka andmekogu majutamiseks volitatud töötlejad. Andmekogu turbeastmest tulenevad turvameetmed lähtuvad E-ITSi rakendamise erikorrast, mis on omakorda reguleeritud eelnõu §-s 11. Lõige säilitab kuni 17.09.2020. a kehtinud ISKE määruse § 4 lõike 2 teise lause regulatsiooni. Eelnõu § 8 kehtestab andmekogu turbeastme määramise korra. Turbeastme määramine lähtub otseselt andmekogusse kogutavatele andmetele määratud turvaklassi turvaosaklassist. Paragrahviga säilitatakse ISKE määruse § 6 lõike 1 sisu. Esimene lõige sätestab kolm võimalikku andmekogu turbeastet – kõrge (H), keskmine (M) või madal (L). Teine lõige määratleb, kuidas konkreetsetest andmete turvaklassi osaklassidest 13 Eelnõude infosüsteemi toimik nr 20-0208: Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem“ muutmine – kättesaadav: https://eelnoud.valitsus.ee/main/mount/docList/0909a3a0-38ed-434c-8dc3-7a9c0f87be92. 14 Riigi infosüsteemi haldussüsteem ehk RIHA – lisainfo: https://www.riha.ee/Avaleht. 11 lähtuvalt andmekogu turbeastet määrata. Andmete turvaklassi määramise korra kehtestab eelnõu § 8 ning turvaosaklasside määramise eelnõu § 9. Turbeastme määramist on võimalik määratleda järgnevalt: Andmekogu andmete turvaklassi (KTS) Andmekogu madalaim võimalik turbeaste kõrgeima numbrilise väärtusega turvaosaklassi (K, T või S) väärtus 0 L 1 L 2 M 3 H On lubatud määrata andmekogule ka kõrgem turbeaste kui madalaim turbeaste ehk andmete turvaklassi turvaosaklassi väärtusele vastav turbeaste. Kõrgema turbeastme määramine võib kuuluda kohaldamisele, kui rakendaja soovib sõltumata madalamast andmete turvaklassist rakendada andmekogule kõrgemaid küberturvalisuse tagamise nõudeid. Andmekogu turbeastmete määratlemine on vajalik küberturvalisuse tagamisega seotud edasiste tegevuse jaoks – ennekõike turvameetmete valiku ja rakendamise teostamiseks. Vt siin ka eelnõu §-i 11. Eelnõu § 9 kehtestab andmekogu andmete turvaklassi määramise korra. Andmete turvaklass on otseselt tuletatud andmete turvaosaklasside numbrilistest väärtustest. Andmete turvaosaklasside määramine kehtestatakse eelnõu § 10 alusel. Lõiked 2–4 selgitavad erinevate turvaosaklasside (käideldavus, terviklus ja konfidentsiaalsus) tähendusi ning lõige 5 selgitab turvaklassi määramise korda. Kuna andmekogude osas säilitatakse eelnõuga eraldi regulatsioon ning see jõustub erineval ajal eelnõust, siis ei ole mõistlik nimetatud termineid sisustada eelnõu §-s 2. Lõige 1 säilitab ISKE määruse § 6 lõike 2 sisu. Lõiked 2-4 säilitavad ISKE määruse § 6 lõigete 3-5 sisu. Lõige 5 säilitab ISKE määruse § 3 lg 1 punkti 7 ja § 5 lõike 4 mõtet ning §-i 8 sisu. Lõikes 2 oleva kättesaadavuse all on mõeldud vajalikul ja nõutaval ajahetkel ning vajaliku ning nõutava aja jooksul kättesaadavust. Eelnõu § 10 kehtestab andmekogu andmete turvaosaklasside määramise korra. Lõige 1 sätestab turvaosaklassi mõiste tähenduse. Turvaosaklassil on tähis (K, T või S) ning numbriline väärus (0, 1, 2, 3). Tähis märgistab andmete tagatava parameetri (käideldavus, terviklus või konfidentsiaalsus) ning numbriline väärtus tähistab vastava tagatava parameetri tähtsusest tulenevat infoturbe eesmärki. Lõige 1 säilitab ISKE määruse § 3 lg 1 punktis 8 olevat termini sisu ning mõtet. Lõiked 2 ja 3 sätestavad alused, millest lähtuvalt tuleb määrata andmete tagatava kvaliteedi infoturbe eesmärke hinnata. Vastavalt lõigetele 4-6 on sätestatud andmete erinevate 12 turvaosaklasside numbrilised väärtused ja sellele vastav infoturbe eesmärk (vajalik saavutatav tulem). Kui turvaosaklass koos tähise ja numbrilise väärtusega vastab konkreetsele saavutatavale infoturbe eesmärgile, siis lõikes 3 on sätestatud alused, millest lähtuvalt peab rakendaja hindama, milline peaks selle andmekvaliteedi osas soovitud infoturbe eesmärk kui vajalik saavutatav tulem. Andmete vastava turvaosaklassi määramiseks on seega vajalik võtta aluseks kolm peamist kriteeriumi. Esimene kriteerium on andmetega seotud nõuded (nii lepingulised kui ka õigusaktidest tulenevad). Näiteks kui andmekogu töötleb asutusesiseseks kasutamiseks mõeldud teavet, ei saaks olla põhjendatud nendele andmetele konfidentsiaalsuse osaklassi „S0“ määramine. Teine kriteerium on andmetega seotud pakutavate teenuste iseloom. Näiteks kui andmekogu on kriitiline osa elutähtsa teenuse osutamist tagavast süsteemist, siis ei ole põhjendatud andmete käideldavuse osaklassi „K1“ määramine. Kolmas kriteerium on küberintsidendist tekkiv kahju. Küberintsidendi all on mõeldud küberintsidenti KüTS § 2 punkti 3 tähenduses. Kriteerium võtab eelduseks, et küberintsident toimub andmekogu või seda toetava süsteemi suhtes ning selle tulemusena on mõjutatud andmete käideldavus, terviklus või konfidentsiaalsus. Näiteks võib andmekogu küberintsident oluliselt muuta või isegi hävitada karistusregistri andmed. Sellest tekkiv kahju on piisavalt oluline, et ei oleks põhjendatud andmete tervikluse osaklassi „T1“ määramine. Iga rakendaja ülesanne on hinnata lõikes sätestatud aluste põhjal andmete tähtsust objektiivselt ning kooskõlas KüTS §-s 6 sätestatud küberturvalisuse tagamise põhimõtetega. Erinevatel kriteeriumitel võib konkreetsete andmekogumite osas olla erinev tähtsus. Kui üks kriteeriumitest viitab kõrge väärtusega turvaosaklassi määramisele, siis see võib põhjustada ka vajaduse määrata kõrge väärtusega turvaosaklass sõltumata teiste kriteeriumite viitamistele madalama turvaosaklassi määramiseks. Lõiked 4-6 kehtestavad iga turvaosaklassi tähise igale numbrilisele väärtusele vastava saavutatava infoturbe eesmärgi taseme ehk turvaosaklasside skaala. Nimetatud lõiked säilitavad ISKE määruse § 7 sisu. Eelnõus säilitatavate sätete osas on tehtud kaks põhilist erisust võrreldes ISKE määruse § 7 lg 3 punktidega 2-4 – sõnade „õigustatud huvi“ asemel on kasutatud sõna „teadmisvajaduse“. See muudatus ei muuda lause mõtet ning see võimaldab välistada ebaselguse, et nimetatud sõnastused oleksid seotud isikuandmete kaitse üldmääruses15 sätestatud õigustatud huvi kui ühe isikuandmete töötlemise õigusliku alusega. Samuti on lõikes 5 asendatud sõnad „salajane info“ ja „ülisalajane info“ sõnadega „info asutusesiseseks kasutamiseks“, et vältida segadust riigisaladuste tasemetega, mille osas küberturvalisuse nõuded käesoleva määruse aluseks oleva seaduse tähenduses ei kohaldu. Lõige 7 sätestab andmete turvaosaklassi määramise korra juhul, kui andmekogu analüüsitavad andmed on mitmeliigilised (andmestik). Üldjuhul on andmekogudes salvestatud andmed mitmeliigilised, näiteks isikuandmeid puudutavates andmekogudes salvestatakse rohkem kui lihtsalt andmesubjekti nimi (isikukood, andmekoguga seotud teenuse jaoks vajalikud andmed 15 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88). 13 jms). Sellisel juhul lähtutakse andmete (kui terviku) turvaosaklassi määramisel just nendest andmetest, millest tuleneb suurim kaitsevajadus lõigetes 2 ja 3 sätestatud alustel infoturbe eesmärkide määramisel. Siinne lõige säilitab ISKE määruse § 5 lõike 3 sisu. Eelnõu § 11 kehtestab turvameetmete rakendamise lähtuvalt andmekogu turbeastmest. Eelnõu § 7 lõike 4 alusel on teenuse osutajal kohustus rakendada andmekogu pidamisega seotud süsteemide turvameetmeid andmekogu turbeastmest lähtuvalt. Sisuliselt eeldab selle kohustuse täitmine erisuste rakendamist E-ITS-i järgimisel. Sellest tulenevalt on eelnõus kasutusel ka E- ITS-i spetsiifilised terminid „kaitseala“, „kaitsetarve“, „standardturve“, „väga suur (VS)“, „suur (S)“ ja „normaalne (N)“. Lõige 1 kehtestab erisuse E-ITS-i tingimuste järgimisel kaitsetarbe ja turbeviisi määramisele. E-ITS-i tingimuste järgi tuleb kaitsetarbe määramisel lähtuda varasemalt määratletud kaitsealast (nt infovarade kogumik). Käesoleva lõike alusel on teenuse osutajal keeld arvestada andmekogu ning selle pidamisega seotud süsteemid erinevatesse kaitsealadesse. Täiendavalt ei saa nimetatud kaitsealale määrata madalamat kui andmekogu turbeastmele vastavat kaitsetarvet. Kaitsetarve (E-ITS) ja turbeaste (ISKE) on sisuliselt sarnased terminid, mis iseloomustavad süsteemide küberturvalisuse tagamise olulisust. Lõikes 2 on kehtestatud ka igale andmekogu turbeastmele vastav andmekogu sisaldava kaitseala kaitsetarve. Kui teenuse osutaja on otsustanud rakendada turvameetmeid vastavalt E-ITS etalonturbe kataloogidele, siis peab teenuse osutaja, sõltumata sellest, kas E-ITS tingimuste järgimisel oleks lubatav ka põhiturbe või tuumikuturbe rakendamine, rakendama standardturbe turveviisi. Lõige 2 kehtestab igale andmekogu turbeastme väärtusele vastava E-ITS-is kehtestatud kaitsetarbe väärtuse. Lõige 3 kehtestab erandi andmekogust turbeastmest tulenevate erisuste arvestamisele turvameetmete rakendamisel. Nimelt loetakse eelnõu § 7 lõikes 4 sätestatud kohustus täidetuks, kui teenuse osutaja on täitnud § 3 lõikes 2 sätestatud tingimuse ehk E-ITS-i asemel on rakendanud rahvusvahelise standardiga ISO/IEC 27001 standardile vastavad turvameetmed ning esitanud RIA-le kehtiva vastavussertifikaadi. Eelnõu §-id 12 ja 13 (3. peatüki 2. jao 2. jaotis) kehtestavad küberturvalisuse nõuete erisused avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamisele. Eesmärk on kindlustada avaliku sektori põhifunktsioonide täitmiseks vajalike andmete turvaline säilitamine ja ligipääs ning elutähtsate infosüsteemide töös hoidmine teenuste osutamiseks ka siis, kui riigi territooriumil asuvate andmekeskuste töö on peatunud või häiritud näiteks looduskatastroofi, ulatusliku küberrünnaku, elektrikatkestuse või muu kriisiolukorra tõttu. Eelnõu § 12 sätestab kaheteistkümnest kriitilisest süsteemist koosneva loetelu, millel on oluline mõju riigi- ja kohaliku omavalitsuse üksuse asutuse võimele avalikke ülesandeid täita. Lähtudes MKM-i küberturvalisuse strateegiast 2019-2022 on kõige enam kaitset vajavateks digitaalseteks varadeks põhiandmed kodanike, riigi territooriumi ja õigusloome kohta16. Kriitiliste andmekogude töörühm, mis käis koos MKM-i juhatamisel selgitasid välja avalike 16 Majandus- ja Kommunikatsiooniministeerium. Küberturvalisuse strateegia 2019-2022, lk 24. Kättesaadav: https://www.mkm.ee/sites/default/files/kuberturvalisuse_strateegia_2019-2022.pdf. 14 ülesannete täitmist oluliselt mõjutavad süsteemid, mis on ka küberjulgeoleku nõukogu 17 poolt kinnitatud. Nendeks kriitilisteks süsteemideks on e-toimiku süsteem, elektrooniline kinnistusraamat, äriregister, riigi- ja kohaliku omavalitsuse asutuste riiklik register, mittetulundusühingute ja sihtasutuste register, kommertspandiregister, Riigi Teataja infosüsteem, elektrooniline kataster, riigikassa infosüsteem, maksukohustuslaste register, rahvastikuregister, sotsiaalkaitse infosüsteem. Eelnõus on kasutatud nimetatud andmekogude ametlikke nimetusi, mis on nimetatud vastavat andmekogu reguleerivas seaduses või põhimääruses. Eelnõu § 13 sätestab §-s 12 loetletud süsteemide varundamise nõuded. Paragrahv sätestab, et süsteemide andmekoosseis tuleb varundada välisriigi andmekeskusesse (edaspidi andmesaatkond) koos andmekoosseisu kasutamiseks vajaliku toimiva rakenduskihiga. Andmed varundatakse rahvusvahelise lepingu alusel andmesaatkonda tagamaks, et olukorras, kus riigi territooriumil asuvate andmekeskuste töö on peatunud või häiritud näiteks sõja, looduskatastroofi, ulatusliku küberrünnaku, elektrikatkestuse või muu kriisiolukorra tõttu, riigi ja kohaliku omavalitsuse üksuse asutuste põhifunktsioonide täitmiseks vajalikud andmed ei hävineks; tagatud oleks nende kestev säilimine ning neid oleks võimalik võtta kasutusse kas koheselt, ilma, et elutähtsa teenuse osutamine ebaproportsionaalselt pikaks ajaks peatuks või lõppeks või hiljem, kui tekib taas võimalus andmete baasil avalike ülesandeid täita. Teisisõnu on andmesaatkonna pidamise eesmärk tagada Eesti omariikluse ja digitaalse järjepidevuse säilimine läbi oluliste andmete tervikluse, käideldavuse ja konfidentsiaalsuse tagamise. Selleks, et andmesaatkonda varundatud andmekoosseise oleks võimalik realiseerida (varukoopiate alusel andmekoosseisud taastada), on vajalik, et lisaks andmekoosseisudele oleks andmesaatkonda varundatud ka vastavate infosüsteemide rakenduskiht ja muu, mis on vajalik andmete kasutuselevõtuks ja elutähtsate teenuste toimimiseks. Näiteks saab varundada koopia virtuaalmasinast või andmekogu koos selle info- ja tootesüsteemiga. Pelgalt andmebaasi sisu ehk andmete ning sellega seonduva tarkvara lähtekoodi varundamine ei võimalda efektiivselt andmesaatkonda varundatud andmeid taastada, kui selleks peaks vajadus tekkima. Andmekoosseisu varundav asutus hindab läbi testimise, kas välisriigi andmekeskusesse varundatud süsteemi on võimalik töösse rakendada kasutades ainult varundatud faile. Kommenteeritav paragrahv ei tähenda, et mõne riigiga tuleb sõlmida rahvusvaheline leping, vaid see selgitab, et kui see on sõlmitud, siis andmete vahetamine toimubki selle lepingu alusel. Lisaks sellele lepingule võib ette näha seda lepinguid täiendavaid kokkuleppeid – nt võidakse leppida kokku varundamisega seotud üksikasjad Eesti Vabariigi ja välisriigi vahelise andmete ja süsteemide majutamise kokkuleppega. 17 2009. aastal alustas Vabariigi Valitsuse julgeolekukomisjoni juures tööd küberjulgeoleku nõukogu, mille ülesanne on aidata kaasa ametkondade koostöö toimimisele ja teha järelevalvet küberjulgeoleku strateegia eesmärkide elluviimise üle. Nõukogu esimees on ettevõtlus- ja infotehnoloogiaminister ning nõukogu juhib MKM- i kantsler. 15 Kuivõrd andmesaatkonna kontseptsioon on uudne ning tegemist ei ole vaatamata mitteametlikule nimetusele „andmesaatkond“ siiski diplomaatilise esindusega, millele kohaldatakse diplomaatiliste suhete Viini konventsioonist18 tulenevalt välisesindustele omaseid eesõigusi ja puudutumatust, on vajalik sõlmida rahvusvaheline leping, mille eesmärgiks on kaitsta Eesti riigi avalike ülesannete täitmist oluliselt mõjutavaid süsteeme ja nendes sisalduvate andmete puutumatust ning tagada neile välisesindustega sarnane kaitse. Riikidevaheline kokkulepe määrab kindlaks riikide kohustused ja õigused, mis on vajalikud Eesti riigi andmete ja süsteemide kaitsmiseks.19 Eelnõu §-id 14–16 (4. peatükk) on rakendussätted. Eelnõu § 14 sisustab lühiajalise erandi E-ITS-le üleminekuks. Paragrahv kehtestab KüTS-i subjektidele võimaluse täita E-ITS-i rakendamise asemel seni subjektidele kehtinud küberturvalisuse turvameetmete nõudeid. Tegemist on E-ITS-i rakendamise edasilükkamist võimaldavate lõigetega, mille kehtivus on ajaliselt piiratud avalikule sektorile 2022. aasta lõpuni ning erasektorile ehk teenuse osutajatele, kes ei halda riigi või kohaliku omavalitsuse üksuse süsteemi, kuni 30.06.2023. a. Sarnaselt eelnõu § 3 lõikega 2, käsitletakse siinsetes lõigetes sätestatud nõuete täitmise korral E-ITS-i järgimise ja selle järgimisest tulenevate turvameetmete rakendamise kohustus täidetuks, kuid siinsed võimalused kehtivad määruses sätestatud tähtaegadeni. Lõige 1 sätestab E-ITS-i rakendamise edasilükkamise võimalused avalikule sektorile. Sätte sõnastus on üle võetud kuni 15.08.2022. a kehtinud KüTS § 9 lõikest 2. Kuigi ISKE turvameetmete nõuetele viitav norm tunnistatakse 531 SE-ga kehtetuks, on ISKE volitusnorm AvTS--is kehtiv sarnaselt käesoleva sättega 2022. aasta lõpuni. Lõige 2 sätestab E-ITS-i rakendamise edasilükkamise võimalused muudele KüTS-i subjektidele, ennekõike KüTS § 3 lõikes 1 loetletud teenuse osutajatele. Sisuliselt on sätte eesmärgiks võimaldada E-ITS-i rakendamise edasilükkamist, kui subjekt täidab kuni 15.08.2022. a kehtinud KüTS § 7 lõike 4 alusel sätestatud nõudeid. Kuivõrd nõuded tunnistati 531 SE-ga kehtetuks, ei saa neile ka käesolev määrus viidata, vaid on vajalik nimetatud nõuete sisuline ülevõtmine sättesse kuni üleminekuperioodi lõpuni. Käesoleva lõikega on üle võetud kehtetuks tunnistatud KüTS § 7 lõike 4 alusel kehtestatud turvameetmete nõuded. Kehtetuks tunnistatud KüTS § 7 lõike 4 alusel kehtestatud määruses sätestati ka nõuded süsteemide suhtes läbiviidavatele riskianalüüsidele, kuid käesolev lõige neid nõudeid üle ei võta. Viidatud riskianalüüsinõuded ei vaja oma üldisuse tasemest tulenevalt käesolevasse määrusesse ülevõtmist, kuivõrd põhjustaksid eelnõu §-des 5 ja 6 sätestatud nõuete dubleerimist. Kuivõrd §-des 5 ja 6 sätestatud nõuded on eraldiseisvad E-ITS-i järgimise kohustusest (küll võimaldab E-ITS-i järgimine riskianalüüsi nõuded eraldiseisva tegevuseta täita eelnõu § 5 lõike 2 alusel), ei ole riskianalüüsi nõuete eraldi sätestamine käesolevas lõikes vajalik ka riskianalüüsi läbiviimise kohustuse olemasoluks. Kuivõrd viidatud nõuded ei tunnistata kehtetuks AvTS-i 18 Diplomaatiliste suhete Viini konventsioon (RT II 2006, 16). 19 Eesti Vabariigi ja Luksemburgi Suurhertsogiriigi vahelise andmete ja infosüsteemide majutamise kokkuleppe ratifitseerimise seadus 563 SE seletuskiri. Kättesaadav: https://www.riigikogu.ee/tegevus/eelnoud/. 16 muudatusega, on võimalik edasilükkamist kehtestada pikemaks perioodiks ehk kuni 30.06.2023. a. Eelnõu § 15 kehtestab tähtajad E-ITS-i järgimise esmakordsele auditeerimisele. E-ITS-i järgimise auditeerimiskohustus tuleneb E-ITS-ist endast ning eelnõu § 4 lõikest 1. Üldreegel on, et audit tuleb läbi viia iga kolme aasta järel. Esmakordse auditeerimise läbiviimiseks sätestatakse aga erikord, sest ISKE auditeerimistähtajad varieeruvad 2-4 aasta vahel ning seda asendav E-ITS kasutab ühtset kolmeaastast intervalli. Samuti on ka vaja õigusselgust nende teenuse osutajate osas, kes ei pea ISKE-t rakendama. Seega on iga auditeerimiskohuslase esmakordse auditi läbiviimise tähtajaks ISKE auditi aegumine, kui see aegub enne kolme aasta möödumist käesoleva määruse jõustumisest. Teenuse osutajad, kes ISKE-t ei rakenda või kelle ISKE audit aegub hiljem, peavad esmakordse auditeerimise läbi viima kolme aasta jooksul. Esmakordse auditi läbiviimise tähtaja eriregulatsioon võimaldab ISKE-t järgival teenuse osutajal lükata edasi tähtaja saabumist täiendava ISKE auditi läbiviimise kaudu enne 2023. aasta 1. jaanuarit (alates millest ISKE järgimise kohustus muutub kehtetuks). Organisatsioon, kes muutub teenuse osutajaks pärast käesoleva määruse jõustumist (KüTS-i või mõne muu tulevase õigusakti muudatuse tõttu), viib esmakordse auditi läbi kolme aasta jooksul alates teenuse osutajaks muutumisest, mitte ei pea subjekt lähtuma käesoleva määruse jõustumiskuupäevast. Eelnõu § 16 sätestab määruse jõustumise. Määrus jõustub üldises korras, kuid mõne olulise erandiga. Määruse §-id 7 kuni 11 jõustuvad 1. jaanuaril 2023. aastal. Tegemist on andmekogude erisustest tulenevate nõuetega E-ITS-i järgimisel, mis tulenevad ennekõike ISKE nõuetest. Erisused jõustuvad seega ka hetkest, kui ISKE nõuded kehtetuks muutuvad. Need muudatused toimuvad 531 SE tõttu AvTS-i muudatustega. Eelnõu koostajad märgivad, et E-ITS-i järgimise kohustuse jõustumine üldises korras ei tähenda nõuet, et E-ITS-i järgija peab olema jõudnud selle kohustuse siinse eelnõu jõustumise hetkeks juba rakendada kõik järgimisest tulenevad turvameetmed. Selline olukord ei ole ka võimalik, sest E-ITS-i järgimine on tsükliline protsess; isegi konkreetse turvameetme rakendamine ei tähenda, et E-ITS-i järgimise protsess oleks kuidagi „lõpule viidud“. E-ITS-i järgimise kohustuse täitmine on hinnatav läbi teenuse osutaja tegevuste või tegevusetuse hindamise infoturbe korraldamisel ning esimene arvestatav ülevaade kohustuste järgimisest tekib pärast esmakordse auditi läbiviimist. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu ei oma puutumust Euroopa Liidu õigusega. 17 4. Määruse terminoloogia Eelnõu terminid tuginevad KüTS-s ning AvTS-s sisustatud terminitele. Määruses kasutatakse samuti Eesti infoturbestandardis määratletud termineid ning täiendavalt luuakse määrusega termin „infoturve“. Andmekogudega seonduvalt määratletakse ka andmete käideldavuse, tervikluse ja konfidentsiaalsuse sisu – need kehtivad ainult §-de 7-11 olukorras ning alates 01.01.2023. a. 1) Andmekogu on andmekogu avaliku teabe seaduse § 431 lõike 1 tähenduses. 2) Infoturve on võrgu- ja infosüsteemile turvameetmete loomise, valimise ja rakendamise protsesside kogum. 3) Andmete käideldavus on eelnevalt kokku lepitud vajalikul ja nõutaval tööajal kasutamiskõlblike andmete õigeaegne ning hõlbus kättesaadavus selleks volitatud isikule või tehnilisele vahendile. 4) Andmete terviklus on andmete õigsuse, täielikkuse ja ajakohasuse tagatus ning päritolu autentsus ja volitamatute muutuste puudumine. 5) Andmete konfidentsiaalsus on andmete kättesaadavus ainult selleks volitatud isikule või tehnilisele vahendile. 5. Määruse mõjud Määruse eelnõu mõjude hindamine on selguse huvides läbi viidud muutuste kategooriate suhtes eraldi. Analüüsitavateks muudatusteks on: 1) E-ITS-i kehtestamise volitamine; 2) avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded. Määruse eelnõu 3. peatüki 1. jao ning 2. jao 1. jaotisel hinnatav oluline mõju puudub. 3. peatüki 1. jagu (eelnõu §-id 5 ja 6) kehtestab teenuste või protsesside kaardistuse ja turvameetmete dokumentatsiooni nõude, mis täpsustab samasisulisi nõudeid KüTS § 7 lg 2 punktide 1, 2 ja 6 alusel.20 Dokumentatsiooni säilitamise tähtaja pikendamine kolmelt aastalt seitsmele aastale võimaldab teostada dokumentatsiooni ajakohasuse järelevalvet (nii järelevalveasutuse kui audiitori poolt) kahe auditeerimistsükli ulatuses ning ei kujuta kohuslastele hinnatavat olulist mõju. 3. peatüki 2. jao 1. jaotise eesmärk andmekogude pidamise erisuste kehtestamisel on võimaldada üleminek ISKE asendamisel E-ITS-ga andmekogude suhtes säilitades olemasolevad nõuded, mistõttu sätetel iseseisvat mõju E-ITS-i kehtestamise mõjudest eraldiseisvalt ei ole. 20 KüTS § 7 lg 2 p 6 kehtis kuni 15.08.2022. a. 18 5.1. Kavandatav muudatus: E-ITS-i kehtestamise volitamine E-ITS-i kehtestamisega seotud mõjud on ulatuslikult analüüsitud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõu 531 SE21 seletuskirjas (seletuskirja punkt 6.1. ning selle alapunktid; lk-d 33-39), kuivõrd nimetatud eelnõu sätestas volitusnormi käesoleva kavandatava määruse kehtestamiseks. Järgnev analüüs on seega suuresti eelnimetatud eelnõu mõjude analüüsi vastava peatüki kordus. 5.1.1. Sotsiaalne, sh demograafiline mõju 5.1.1.1. Mõju ettevõtjale Eelnõu ei tekita ettevõtjale sotsiaalset mõju. Teenuse osutajate vajadus tööturul sobiva kvalifikatsiooniga küberturbe ekspertide järele küberturvalisuse tagamiseks jääb püsima. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.1.2. Mõju kodanikele Eelnõu tekitab kodanikele positiivset sotsiaalset mõju. Vene Föderatsiooni sõjaline (sh kübertasandil) agressioon iseseisva demokraatliku riigi vastu viitab ohule ka võimalike küberrünnakute korraldamiseks Eesti teenuse osutajate vastu. Praktikas toimub igapäevaselt Eesti küberruumi vastu suunatud tegevusi, mida tõendavad RIA koostatavad ülevaated22 ja ohuhinnangud23. Eesmärk E-ITS-i kehtestamise kaudu tugevdada küberturvalisuse taset parandab avalike ja elutähtsate teenuste toimepidevust, seega kuigi Eestis ei ole käesoleva eelnõu koostamise hetkel elutähtsate või avalike teenuste toimepidevus ohustatud, aitab eelnõu positiivselt kaasa selle seisukorra säilitamisele. Ulatus keskmine, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.2. Mõju riigi julgeolekule ja välissuhetele 5.1.2.1. Mõju ettevõtjatele KüTS-i mõistes teenuse osutajad pakuvad ühiskonna toimimiseks vajalikke teenuseid. E-ITS-i kehtestamise eesmärk on täpsustatud ja selgema infoturbe haldamissüsteemi rakendamisega aidata edendada teenuse osutaja ning tema teenuste vastupanuvõimet küberintsidentidele, ning sellest tulenevalt on eelnõul positiivne mõju riigi julgeolekule. Eelnõu ei mõjuta otseselt ettevõtjate välissuhteid, kuivõrd teenuse osutajatel on ka edaspidi võimalik E-ITS-i rakendamise asemel rakendada küberturvalisuse tagamisel ka rahvusvahelist ISO/IEC 27001:2017 standardit. Kaudselt on eelnõul positiivne mõju välissuhete edendamisele tugevama küberturvalisuse kuvandi tõttu. Ulatus keskmine, sagedus keskmine, ebasoovitavate mõjude risk väike. 21 Küberturvalisuse seaduse, avaliku teabe seaduse ja Eesti Rahvusringhäälingu seaduse muutmise seadus 531 SE – kättesaadav: https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7- 7379fa3bf6b9/K%C3%BCberturvalisuse%20seaduse%20ja%20teiste%20seaduste%20muutmise%20seadus. 22 Kättesaadavad siit: https://www.ria.ee/et/kuberturvalisus/olukord-kuberruumis.html. 23 Kättesaadavad siit: https://www.ria.ee/et/kuberturvalisus/ohuhinnangud.html. 19 5.1.2.2. Mõju avalikule sektorile Eelnõul on positiivne mõju riigi julgeolekule ka avaliku sektori kaudu. 531 SE tulemusel on alates 16.08.2022. a selgemalt määratletud avalik sektor KüTS-i kontekstis. Selgema avaliku sektori määratluse ning E-ITS-i kehtestamisega kehtiva ISKE asemel on avalikus sektoris ka suurem selgus, et kes ja mida tegema peab. Samuti vähendab E-ITS-i organisatsioonipõhine lähenemine küberturvalisuse tagamisel ka avaliku sektori haavatavust küberintsidentidele ning nende mõjude levimist avalike sektori jaoks olulisemate süsteemideni. Välissuhete vaatepunktist aitab avaliku sektori küberturvalisuse nõuete uuendamine ka säilitada ning arendada Eesti riigi kui küberturvalisuse eestvedaja kuvandit. Ulatus keskmine, sagedus keskmine, ebasoovitavate mõjude risk väike. 5.1.2.3. Mõju järelvalveasutusele (RIA-le; julgeolekuasutustele) Eelnõu aitab RIA-l läbi täpsemate küberturvalisuse tagamise nõuete tugineda küberintsidentide ennetamisel, tuvastamisel ja lahendamisel ühtsematele eeldustele teenuse osutajate ja avaliku sektori turvameetmete suhtes. Samuti aitab eelnõu läbi reguleeritud auditeerimistingimuste tagada selgema ja kiiremini analüüsitava ülevaate küberturbe tasemest Eestis. Sellest tulenevalt on eelnõul positiivne mõju RIA riigikaitse ja julgeolekuga seotud valmisolekule küberintsidentide ennetamiseks, tõrjumiseks ja lahendamiseks. 531 SE-ga tehti ka erisus julgeolekuasutustega seotud süsteemide järelevalve osas. Julgeolekuasutuste puhul puuduvad olulised mõjud riigi julgeoleku ja välissuhete osas. Julgeolekuasutustele (enda süsteemide üle järelevalve teostamisel) avalduvad sarnased mõjud, mis RIA-le (vt eelmist tekstilõiku). Ulatus keskmine, sagedus keskmine, ebasoovitavate mõjude risk väike. 5.1.3. Mõju majandusele 5.1.3.1. Mõju ettevõtjatele E-ITS-i kehtestamisest tulenevad muutused kujundavad formaalselt ümber teenuse osutajate kohustusi, kuid ei muuda neid sisuliselt võrreldes varasemate kohustustega küberturvalisuse tagamisel. KüTS § 7 lõike 1 alusel peavad teenuse osutajad rakendama turvameetmeid ning lõike 2 alusel koostama süsteemide riskianalüüse. Neid kohustusi sisustas KüTS § 7 lõike 4 alusel kehtestatud määrus (viidatud määruse volitusnorm tunnistati 16.08.2022. a 531 SE-ga kehtetuks). KüTS-is toimunud ja siinse eelnõuga tehtavate muudatuse tulemusel ei lähtuks teenuse osutajad nõuete täitmisel KüTS § 7 lõike 4 alusel kehtestatud määrusest, vaid käesolevast eelnõust. E- ITS on kindlasti mahukam dokument kui KüTS § 7 lõike 4 alusel kehtestinud määrus, kuid selle põhjuseks on nõuete põhjalikum kirjeldus, mitte nõuete oluline laiendamine. Sarnaselt kuni 15.08.2022. a kehtinud KüTS § 7 lõike 4 alusel kehtestatud määruses sisustatud nõuetega, põhinevad ka E-ITS-i nõuded organisatsiooni riskianalüüsile ja selle põhjal rakendatud turvameetmetele. Seega eeldusel, et teenuse osutaja on varasemalt teinud pingutusi küberturvalisuse tagamiseks KüTS § 7 lõike 4 alusel kehtestatud määruse nõuete järgimisega, 20 ei tulene teenuse osutajale E-ITS-i tingimuste järgimise kohustusest suurt majanduslikku mõju. Lisaks säilitab eelnõu kuni 30.06.2023. a KüTs § 7 lõike 4 alusel antud määruse põhilised nõuded – vt eelnõu § 14 teise lõike selgitusi. E-ITS-i kehtestamisega kaasneks ettevõtjatele kohustus läbi viia E-ITS-i vastavusaudit iga kolme aasta järel. Eelnõuga asendatakse KüTS § 7 lõike 2 punktide 5 ja 6 alusel kuni 15.08.2022. a kehtinud kohustus viia läbi ning dokumenteerida turvameetmete rakendamise piisavuse kontroll. Kehtinud nõuete kohaselt oli turvameetmete rakendamise piisavuse kontrolli üks meetoditest auditi läbiviimine pädeva sõltumatu isiku poolt, mida võis asendada ka nn enesehindamisega. E-ITS-i kehtestamise järgselt kaoks võimalus asendada audit enesekontrolliga ning E-ITS sätestab konkreetse raamistiku auditite läbiviimiseks eesmärgiga tagada selgem ja läbipaistvam küberturvalisuse nõuete järgimine. Teenuse osutajatele, kes varasemalt teostasid turvameetmete rakendamise piisavuse kontrolli nn enesehindamise kaudu, võib muudatus avaldada majanduslikku mõju, kuid seda maksimaalselt ulatuses, mis oleks nn enesehindamise läbiviimise ja auditi läbiviimise kulude vahe. Ei ole otseselt hinnatav, kas E- ITS-i vastavusaudit on ettevõtjale soodsam või kulukam kehtinud KüTS § 7 lõike 2 punkti 5 alusel läbiviidud kontrollidest. Kui ettevõtjal on vastavushindamise läbiviimiseks endal sobivad spetsialistid, siis võib tekkiv E-ITS-i auditite läbiviimise kohustus olla kulukam kui seni KüTS § 7 lõike 2 punkti 5 alusel läbiviidud kontroll, mis oleks nn enesehindamisega läbi viidud. Siinkohal saab ettevõtja täiendavaid kulusid minimeerida põhjaliku eeltööga E-ITS-i auditi tellimiseks ja läbiviimiseks. Kui ettevõtja on aga kehtinud KüTS § 7 lõike 2 punktis 5 sätestatud kohustuste täitmiseks tellinud vastavushindamisi teenusepakkujatelt, siis võib tekkiv E-ITS-i auditite läbiviimise kohustus olla soodsa majandusliku mõjuga. Soodne majanduslik mõju võib tuleneda asjaoludest, et E-ITS-i audit oleks rohkem standardiseeritud teenus, mis tugineb ka põhjalikuma täpsusastmega standardiseeritud nõuete kogumi vastavuse hindamisel. Kuivõrd E- ITS-i läbiviimise audit ei ole veel turul pakutav teenus, siis ei ole võimalik hindade täpset võrdlust käsitleda. Samas on olemas teenuse osutajaid, kes auditeerimisteenust pakuvad.24 On võimalik, et auditeerimiskulud on majanduslikult koormavamad subjektidele, kelle IKT korraldus on oluliselt väiksema mahuga, kuivõrd ühine lävend ja seega ka minimaalne kulu auditi teenuse läbiviimises tuleneb protseduurist auditi läbiviimisel, kvalifikatsiooninõuetest auditi läbiviijale ning auditi käigus koostatava dokumentatsiooni nõuetest. Seega on majandusliku mõju tasakaalustamiseks käesoleva määruse § 4 lg 3 punktis 1 ettenähtud ka erand mikroettevõtjatele (nt suurele osa tegutsevatele perearstidele). Erand on kavandatud konkreetselt auditite läbiviimise kohustuse suhtes, mitte E-ITS-i järgimise kohustuse suhtes. Täiendavalt toetab RIA ka E-ITS-le üleminekut ettevõtjatele koolituste läbiviimisega E-ITS-i rakendamiseks. Arvestamaks samaliigiliste ettevõtjate sarnast profiili IKT korraldamisel on RIA-l ka kavas võimaluste piires E-ITS-i rakendamise profiilide loomine, mis võimaldab konkreetset tüüpi ettevõtjatel (nt perearstidel ja teistel teenuse osutajatel) veel lihtsustatumas korras RIA poolt pakutavate lahenduste ja kavandatavate meetmete toel E-ITS-i rakendada. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 24 Vt https://www.eisay.ee/iske-e-its-ja-iso-27001-alaste-teenustega-tegelevate-ettevotete-loetelu. 21 5.1.3.2. Mõju avalikule sektorile E-ITS kehtestamisega asendatakse AvTS-i alusel kehtinud ISKE järgimiskohustus. Eeldusel, et avaliku sektori rakendaja on järginud ISKE nõudeid, puudub ISKE ja E-ITS-i nõuete võrdluses E-ITS-i kehtestamisest tulenev majanduslik mõju avalikule sektorile nii turvameetmete rakendamisel kui ka vastavusauditite läbiviimisel. Majanduslik mõju avalikule sektorile, mis tuleneb täpsemalt raamistatud organisatsioonipõhisest lähenemisest küberturvalisuse tagamisel (sh kaardistustegevused ja riskianalüüsid) on minimaalne ning praktikas rakendatav läbi E-ITS- i üleminekujuhendite kasutamise.25 Üleminekuperioodil võib arvestada ajutiselt suurenenud ressursi vajadusega, et tutvuda uue standardiga. Samas on RIA üleminekut toetamas juba alates 2020 aasta algusest: a) kaasates kõiki avaliku sektori infoturbejuhte E-ITS-i väljatöötamisse; b) korraldades koolitusi26, mis tutvustavad E-ITS-i sisu ja selle rakendamist; c) viies läbi pilootprojekti E-ITS-i rakendamiseks; d) koostades muuhulgas üleminekujuhendi. Kõik need toetavad tegevused jätkuvad. E-ITS-i kehtestamisega on mõju avalikule sektorile vaadeldav kolme stsenaariumi alusel lähtuvalt subjektile varasemalt kehtinud nõuetest: 1) Stsenaarium 1: E-ITS asendab ISKE järgimise kohustuse kõikide süsteemide suhtes (suurem osa kohaldamisalast). E-ITS-i ülevõtmiseks rakendatakse selleks otstarbeks koostatud üleminekujuhendit. ISKE nõuetekohase rakendamise korral E-ITS-i ülevõtmisega RIA hinnangul täiendavaid rahalisi kulusid üldjuhul ei kaasne, aga kaasneb ajakulu senise dokumentatsiooni vastavusse viimiseks. E-ITS-i juurutamise etapis tuleb arvestada, et infoturbe rolli täitvatel inimestel kulub põhitöö kõrvalt täiendavalt aega E-ITS-i nõuete ülevõtmiseks. Kui subjektil on olnud ISKE järgimise kohustus kõikide süsteemide suhtes, kuid see ei ole nõuetekohaselt täidetud, siis selle subjekti süsteemi turvalisuse tagamiseks vajalikud kulutused E-ITS-iga vastavusse jõudmisel ei kuulu eelnõu majandusliku mõju analüüsi alla. Eelnõu koostamine lähtub eeldusest, et kehtivaid seaduslikke nõuded täidetakse ning käsitleb eelnõuga kehtestatavate nõuete mõju vastu varasemate nõuete mõju. Avalik sektor peab oma eelarve planeerimisel seisma selle eest, et IT-lahenduste arendamine ning kasutuselevõtt toimuks vaid nende süsteemide küberturvalisuse tagamiseks vajalike ressursside olemasolul. 2) Stsenaarium 2: E-ITS-i ülevõtmise kohustusele ei eelnenud varasemalt küberturvalisuse tagamise nõudeid (nt osad avalik-õiguslikud juriidilised isikud). Sarnaselt esimese stsenaariumiga tuleb arvestada infoturbe rolli täitvate inimeste ajakuluga E-ITS-i ülevõtmiseks vajalike dokumentatsioonide koostamisel. Ajakulu on suurem selles osas, milles dokumentatsioon, sh vajalikud kaardistused, kuuluks esmakordselt koostamisele. 25 Üleminekujuhend on kättesaadav siit: https://eits.ria.ee/et/versioon/2020vers1/juhendid/ueleminekujuhend- iskelt-eitsile/. 26 Vt https://eits.ria.ee/et/avalehe-menueue/koolitus/ ning https://www.ria.ee/et/kalender.html. 22  Erinevalt esimesest stsenaariumist kaasneb üldjuhul ka rahaline kulu süsteemide turvalisust tagavate meetmete rakendamisel. Majanduslik mõju selles stsenaariumis on igale subjektile väga erinev ning ei oleks analüüsis mõistlikult hinnatav. Turvameetmete rakendamiseks vajalik rahaline kulu sõltub subjekti kasutatavate süsteemide hulgast, keerukusest ning nendele ka eelnevalt rakendatud turvameetmete olemasolust (tulenevalt subjekti vastutustundlikkusest oma IT-lahenduste kasutamisel või muudest seaduslikest nõuetest, näiteks isikuandmete töötlemiseks rakendatud tehnilisi ja korralduslikke meetmeid turvalisuse tagamiseks). Rakendamiseks vajaliku kulu majanduslik mõju subjektile sõltub omakorda selle kulu osakaalust subjekti eelarves, ennekõike IT-lahendustega seotud eelarves. Selle stsenaariumi korral võib mõnele subjektile tekkida eelnõust tulenevalt oluline majanduslik mõju, kui subjekt kasutab oma tegevuses ulatuslikult keerukaid süsteeme, millele turvameetmeid varasemalt rakendatud ei ole ning mille eelarve ei ole lihtsasti võimeline nende IT-lahenduste toimepidevuse tagamiseks vajalikke ressursse teenindama. Küll aga ei mõjuta see olukord majandusliku mõju hinnangut avalikule sektorile tervikuna, kuivõrd tegemist oleks ühe osaga väga piiratud subjektide ringist. 3) Stsenaarium 3: E-ITS asendab ISKE järgimise kohustuse, ning laiendab nõuete kohaldamisala andmekogudelt kõikidele süsteemidele (andmekogude vastutavad või volitatud töötlejad, kes ei olnud KüTS-i subjektid, sh mitmed avalik-õiguslikud juriidilised isikud). Sarnaselt eelnevatele stsenaariumitele kaasneb ka selle stsenaariumi puhul E-ITS-ist järgimisest tulenev ajakulu infoturbe rolli täitvatel inimestel. Sarnaselt teise stsenaariumiga kaasneb üldjuhul ka rahaline kulu süsteemide turvalisust tagavate meetmete rakendamiseks, mille ulatus ning ulatusest tulenev majanduslik mõju on igale subjektile erinev. Stsenaariumis on aga vajalik ajaline kui ka rahaline kulu oluliselt piiratum teisest stsenaariumist, kuivõrd subjekt on järginud ISKE nõudeid andmekogude turvalisuse tagamiseks. Samuti on ka käesoleva subjektide ring väga piiratud kuni 15.08.2022. a kehtinud KüTS § 9 lg 1 kohaldamisalaga võrreldes, ega mõjuta ka seega oluliselt eelnõust tulenevat majandusliku mõju hinnangut avalikule sektorile. Täiendavalt on majandusliku mõju hindamiseks oluline märkida, et isegi kui eelnõust tulenevalt peab subjekt võtma rahalisi kohustusi süsteemide turvalisuse tagamiseks, siis võib nende kulude mõju olla subjektile majanduslikult positiivne. Süsteemide turvalisuse tagamiseks tehtavad kulutused vähendavad nii küberintsidendi tekkimise tõenäosust kui ka tekkinud küberintsidendi kahjulikku majanduslikku mõju. Arvestades küberruumis aina sagedamini esinevaid rünnakuid,27 suuresti ka avaliku sektori süsteemide vastu, ning nende laastavat mõju ohvri süsteemide kasutatavusele, ei oleks õigustatud ka süsteemide turvalisuse tagamiseks tehtavaid kulutusi vaadelda rangelt kahjuliku majandusliku mõjuna. 27 Vt nt RIA ööpäeva ülevaadet Eesti küberruumi kohta: https://www.ria.ee/et/kuberturvalisus/olukord- kuberruumis/oopaeva-ulevaated.html. 23 Sarnaselt ettevõtja majandusliku mõju hinnanguga on ka võimalik, et auditeerimiskulud on majanduslikult koormavamad nendele avaliku sektori subjektidele, kelle IKT korraldus on oluliselt väiksema mahuga, kuivõrd ühine lävend ja seega ka minimaalne kulu auditi teenuse läbiviimises tuleneb protseduurist auditi läbiviimisel, kvalifikatsiooninõuetest auditi läbiviijale ning auditi käigus koostatava dokumentatsiooni nõuetest. Seega on majandusliku mõju tasakaalustamiseks käesoleva määruse § 4 lg 3 punktis 2 ettenähtud ka erand avaliku sektori subjektidele, kelle IKT korraldus on subjekti ülesannetest lähtuvalt piiratum (nt riigimuuseumid, valla või linna ametiasutused). Erand on kavandatud konkreetselt auditite läbiviimise kohustuse suhtes, mitte E-ITS-i järgimise kohustuse suhtes. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.3.3. Mõju kodanikele E-ITS-i kehtestamise eesmärk on selgema raamistiku kaudu edendada süsteemide turvalisust. Sellel on vahetu mõju majanduskeskkonna toimimisele, kuivõrd Eesti konkurentsieelis digilahenduste kasutuselevõtus ja arendamises on tugevalt seotud nende digitaalsete lahenduste ja sealse andmetöötluse toimepidevuse, tervikluse ning konfidentsiaalsuse tagamisega. Samuti mõjutab eelnõu kodanikke digitaalseid teenuseid rohkem usaldama, tagades seega ka nende toimimise jätkusuutlikkuse suureneva kasutamise kaudu. Kodanike halduskoormust eelnõu ei mõjuta. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.4. Mõju elu- ja looduskeskkonnale Eelnõu ei avalda otsest mõju elu- ja looduskeskkonnale. Kaudselt võib eelnõu positiivset mõju elu- ja looduskeskkonnale aga avaldada läbi vastupanuvõimekuse suurendamise küberrünnakute suhtes, mis saaksid põhjustada elukeskkonnale või looduskeskkonnale kahjulikke tagajärgi (nt veepuhastusprotsessi sekkumine ja kasutatavate kemikaalide koguste muutmine). Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.5. Mõju regionaalarengule Seaduseelnõu ei oma olulist mõju regionaalarengule. 5.1.6. Mõju riigiasutuste ja kohaliku omavalitsuse korraldusele 5.1.6.1. Mõju avalikule sektorile Eelnõu ei mõjuta avaliku sektori töökorraldust, kuivõrd ka varasemate nõuete alusel oli avalik sektor kohustatud kõikidele võrgu- ja infosüsteemide küberturvalisuse tagamisel järgima ISKE nõudeid. E-ITS-i kehtestamine ei too kaasa muudatusi, mille rakendamine vajaks asutuse töökorralduse või selles osas töökoormuse olulist suurendamist. Eelnõu võib kaudselt mõjutada avaliku sektori teenuste kvaliteeti, kuivõrd teenuste või protsesside kaardistamise ja riskipõhine lähenemine aitab asutusel tuvastada tehnoloogilisi mahajäämusi või paremaid arendussuundi. Ühtlasi aitab E-ITS-i rakendamise eelduseks olev 24 selge ülevaade asutuse äriprotsessidest ja nendega seotud teenustest hinnata asutuse toimimiseks vajalike ressursside kasutamist. Siinse kaardistuse puhul on abiks protsesside ja teenuste kaardistus, mis on teostatud TKTA määruse alusel.28 Sel teemal vaata ka eelnõu § 5 lõike 3 selgitusi. Mõju avaliku sektori kuludele võib eelnõu kehtestamisel esineda vastavalt punktis 5.1.3.2 esitatud analüüsile neil juriidilistel isikutel ja asutustel, kes varasemalt ei ole olnud kõikide süsteemide osas ISKE kohuslased, ning ühtlasi pole teinud pingutusi kasutatavate võrgu- ja infosüsteemide turvalisuse tagamiseks. Sellisel juhul suurendab E-ITS-i kehtestamine kulutuste tegemise vajadust pädeva personali palkamiseks, asjakohaste turvameetmete rakendamiseks ning auditite läbiviimiseks, samas vähendades kulutuste tegemise vajadust küberintsidentidest tuleneva kahju või muude tagajärgede likvideerimiseks. Sellegipoolest oleks ka siis mõjude ulatus väike, kuivõrd kohustusi avalikule sektorile tehniliste ja korralduslike turvameetmete rakendamiseks tuleneb ka mujalt. Ennekõike peab sõltumata KüTS-is sätestatud kohustustest avalik sektor rakendama isikuandmete turvalisuse tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid isikuandmete kaitse üldmääruse artikkel 32 lõike 1 alusel ning samuti lähtuma selle kohustuse täitmisel riskide analüüsist isikuandmete kaitse üldmääruse artikkel 32 lõike 2 alusel. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.6.2. Mõju järelvalveasutusele (RIA-le; julgeolekuasutustele) E-ITS-i kehtestamise eesmärgi raames ei mõjuta eelnõu RIA töökorraldust. Varasem KüTS § 7 lõike 4 alusel kehtestatud nõuete ja ISKE nõuete järgimise kontroll asendub E-ITS nõuete järgimise kontrolliga. RIA töökoormust võib eelnõu suurendada suurema hulga auditite järeldusotsuste ülevaatamise vajaduse tõttu, kuid samuti ka vähendada tänu küberturbe korralduste kui ka auditite põhjalikumale standardiseeritusele. 531 SE-ga tehti erisus julgeolekuasutustega seotud süsteemide järelevalve osas. Julgeolekuasutuste puhul on eeldatavasti teatavad mõjud, kuid kuna auditid on standardiseeritud, siis see mõju ei ole oluline. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.1.7. Muu otsene või kaudne mõju Seaduseelnõu ei oma muud otsest või kaudset olulist mõju. 28 Vabariigi Valitsuse 25.05.2017 määrus nr 88 „Teenuste korraldamise ja teabehalduse alused“ (RT I, 19.05.2022, 8). 25 5.2. Kavandatav muudatus: avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded 5.2.1. Sotsiaalne, sealhulgas demograafiline mõju Eelnõuga kaasneb positiivne sotsiaalne mõju. Eelnõu kehtestamisega tagatakse efektiivsemalt Eesti riigi kodanikele Eesti riigi järjepidevus ning edasi toimimine, luues aluse võimaldamaks teostada elutähtsate teenuste pakkumist ka siis, kui Eesti riigis paiknevad andmekeskused ei tööta, olgu selle taga siis looduskatastroof, elektrikatkestus või sõjaline rünnak. Ulatus keskmine, sagedus väike, ebasoovitavate mõjude risk väike. 5.2.2. Mõju riigi julgeolekule ja välissuhetele Eelnõuga kaasneb positiivne mõju riigi julgeolekule, lisades turvalisust Eesti omariiklusele ja digitaalsele järjepidevusele. Eelnõu kehtestamisega tagatakse riigi ja kohaliku omavalitsuse funktsioonide ning elutähtsate teenuste pakkumiseks andmete säilitamine ja nende taaskasutamise võimalus. See tähendab, et Eesti riigi toimimine saab efektiivsemalt jätkuda ka siis, kui Eestis paiknevad andmekeskused ei tööta, olgu selle taga siis looduskatastroof, elektrikatkestus või sõjaline rünnak. Ulatus keskmine, sagedus väike, ebasoovitavate mõjude risk väike. 5.2.3. Majanduslik mõju Eelnõuga kaasnevad kriitiliste süsteemide varundamisega seotud kulud, mis on detailsemalt lahti kirjeldatud seletuskirja punktis 6.2. Andmesaatkonna uudne kontseptsioon võib tuua kaudset majanduslikku kasu, arvestades, et lahendus on ka rahvusvaheliselt pakkunud palju huvi ja meediakajastust. Võimalik on luua uus teenus, kus jagatakse teadmisi ja kogemust kontseptsiooni väljatöötamises või võimalik on pakkuda Eesti riigi serveriruume teistele riikidele andmete ja infosüsteemide majutamiseks. Ulatus väike, sagedus väike, ebasoovitavate mõjude risk väike. 5.2.4. Mõju elu- ja looduskeskkonnale Eelnõu muudatused ei too kaasa otseseid või kaudseid mõjusid elu- ja looduskeskkonnale. 5.2.5. Mõju regionaalarengule Eelnõu muudatused ei too kaasa otseseid või kaudseid mõjusid regionaalarengule. 5.2.6. Mõju riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele Eelnõuga kaasnev otsene mõju riigi- ja kohaliku omavalitsuste asutustele on minimaalne. Kriitiliste süsteemide vastutavatele töötlejatele võib kaasneda mõningane, kuid mitte märkimisväärne halduskoormuse ja kulude kasv seoses varundamise kohustusega. Kulude ja halduskoormuse kasv asutustele sõltuvad sellest, kuidas asutused soovivad varunduslahenduse asutuses välja töötada (täiendava riistvara soetamine, manuaalse varundamise või automaatse varundamise valik). Varundamine ei nõua märkimisväärset 26 ümberõpet, lisatööaega ega ka kulusid, sest regulaarne automaatne varundamine kui protsess peaks olema asutustes juba tagatud tulenevalt riigisiseste andmete majutamisele tulenevatest küberturvalisuse nõuetest. Andmesaatkond on täiendav koht, kuhu varundamist teostada. MKM on valmis koordineerima läbi vajalike partnerite kaasamise asutuste nõustamist ja juhendamist seoses varundamislahenduste väljatöötamisega. 5.2.7. Muud otsesed või kaudsed mõjud Eelnõu muudatused ei too kaasa muid otseseid või kaudseid mõjusid. 6. Määruse rakendamiseks vajalikud kulutused ja määruse rakendamise eeldatavad tulud 6.1. Kavandatav muudatus: E-ITS-i kehtestamine 6.1.1. Küberturvalisuse tagamiseks vajalike kulutuste ja E-ITS-i kehtestamisest tulenevate kulutuste eristamine Kuigi eelnõu eesmärk on kehtestada uued infoturbe halduse nõuded, siis selle kehtestamisest tuleneva majandusliku mõju analüüsil tuleb eristada E-ITS-i spetsiifikast tulenevaid kulutusi küberturvalisuse tagamiseks tehtavatest kulutustest üleüldiselt. Teenuse osutajad ning enamik isikutest, kellele kohaldatakse teenuse osutajale sätestatud nõudeid, on pidanud küberturvalisuse tagamiseks tegema vastavaid investeeringuid juba kehtiva õiguse (KüTS § 7) alusel. Mis eristab E-ITS-i varasemalt kehtinud nõuetest, on ennekõike terviklik ja struktureeritud lähenemine küberturvalisuse tagamisele organisatsioonis, ning see, et nende nõuete täitmist on lihtsam kontrollida. E-ITS aga ei kujuta endast kannapööret küberturvalisuse rakendamise põhimõtetes ega parimas praktikas. On tõenäoline, et E-ITS-i rakendaja hakkab tegema varasemast rohkem investeeringuid küberturvalisusesse, et jõuda vastavusse kehtestatavatele nõuetele ning sealhulgas viia läbi edukas E-ITS-i audit. See aga ei tähenda, et majanduslik mõju E-ITS-i rakendajale tulenes E- ITS-i kehtestamisest – pigem viitab selline olukord, et E-ITS-i rakendaja ei ole varem KüTS-i alusel kehtestatud nõudeid piisavalt põhjalikult järginud. Seega isegi kui teenuse osutajad ning need, kellele kohaldatakse teenuse osutajale sätestatud nõudeid, peavad tegema olulisi investeeringuid E-ITS-i nõuetele vastamiseks, siis väitmaks, et eelnõu majanduslik mõju on rakendajale suure ulatusega, ei pea rakendaja põhistama, kuidas konkreetsed kulutused on vajalikud E-ITS-i nõuete täitmiseks, vaid just põhistama, kuidas konkreetsed kulutused ei olnud vajalikud kehtiva seaduse nõuete täitmiseks. Küberturvalisuse tagamiseks on vaja teha olulisi pingutusi ja investeeringuid esitatud eelnõust sõltumata. 6.1.2. Küberturvalisuse tagamiseks tehtavate kulutuste majanduslik mõju Küberturvalisusega seotud kulutused võib tinglikult jaotada kaheks liigiks – kulutused, mida tehakse küberturvalisuse tagamiseks organisatsioonis (pädeva personali palkamine, teenuste ja 27 süsteemide kaardistamine, riskianalüüs, meetmete rakendamine), ning kulutused, mida tehakse küberintsidendi tagajärgede likvideerimiseks (lunavara nõuded, andmebaaside taastamine, riistvara väljavahetamine, info- ja võrgusüsteemide uuesti arendamine, teenuse osutamata jätmisega tekkinud kahju kandmine (sh esitatud kahjunõuded ja leppetrahvid) jne). Alati on võimalik, et küberturvalisuse tagamisele olulisi kulutusi teinud organisatsioon ei suuda vältida kahjulikke küberintsidente ega nendega kaasnevaid kulutusi, ning et küberturvalisuse tagamisele kulutusi mitte teinud organisatsioon ei lange küberintsidendi ohvriks ega kanna ka sellest tulenevaid kulutusi, kuid üldreeglina tähendab küberturvalisuse tagamiseks tehtavate kulutuste suurendamine küberintsidendi juhtumise tõenäosuse vähenemist. Samas näitab RIA statistika, millega on võimalik tutvuda iga kuu ilmuva „Olukord küberruumis“ ning kvartaalselt ilmuva „Trendid ja tähelepanekud küberruumis“29 väljaande vahendusel, et küberintsidendi ohvriks langemise puhul on küsimus pigem ajas, millal see juhtub, ning milline on toimunud küberintsidendi mõju ulatus. Seega ei saa pidada mõistlikuks lähenemist, et küberturvalisuse tagamiseks jäetakse kulutused tegemata põhjendusel, et loodetavasti organisatsioon ei lange küberintsidendi ohvriks. Kui eelnõu tulemusel on seetõttu oodatav E-ITS-i rakendajatel ühel või teisel põhjusel (nt varasemalt nõuete ebapiisav täitmine või küberturvalisusega seotud kohustuste puudumine) küberturvalisusele tehtavate kulutuste suurenemist, ei saa seda vaadelda vaid kulutuste kandmise vaatenurgast, vaid tuleb arvestada ka teist liiki kulutuste vältimist. Küberintsidendid on ebaregulaarsed sündmused, mille põhjustajaks on enamasti pahatahtlikud kolmandad isikud, seega ei ole ka otseselt ennustatav suhe, kui palju konkreetne teenuse osutaja küberturvalisuse meetmete rakendamisest majanduslikult võidab või kaotab. 6.1.3. Riigi ja kohaliku omavalitsuse tegevused, eeldatavad tulud ja kulud Eelnõu rakendamisel kaasneb nii riigi kui ka kohaliku omavalitsuse tasandil ajakulu senise ISKE alusel koostatud dokumentatsiooni vastavusse viimisel E-ITS-iga. E-ITS-i juurutamise etapis tuleb arvestada, et infoturbe rolli täitvatel inimestel kulub põhitöö kõrvalt täiendavalt aega E-ITS-i nõuetega vastavusse viimiseks (aktiivses juurutamise etapis mõned tunnid nädalas). Kohaliku omavalitsuse üksusele ei sätestata eelnõuga riiklikku ülesannet. Eelnõust tulenevalt täiendavate kulutuste tegemise vajadust ei teki, kuivõrd üleminek ISKE-lt E-ITS-i rakendamisele asendab vastavad auditeerimiskulud ning nõuab peamiselt ajalist panust dokumentatsiooni koostamisele.30 Küberturvalisuse tagamiseks tehtavate kulutustega tuleb arvestada ka kehtivate õigusaktide alusel, ning kui seni ei ole avalik sektor sellele piisavalt tähelepanu pööranud, siis tuleb avaliku sektori asutusel või muul üksusel selle eest seista oma majandusaasta eelarvestamisel, sh võimaluse korral riigieelarve läbirääkimistel. Asjaolu, et käesolev eelnõu ei too otseselt kaasa kulutuste kasvu kehtivate õigusaktidega võrreldes, ei tähenda, et juriidilisel isikul või asutusel oleks õigustatud küberturvalisuse tagamiseks vajalike kulutuste jätkuv alahindamine. 29 Leitav: https://www.ria.ee/et/uudised.html?type-filter[0]=Olukord%20k%C3%BCberruumis. 30 Siin on abiks vastavad abimaterjalid (sh üleminekujuhend ISKE-lt E-ITS-le), mis on leitavad E-ITS-i portaalist: https://eits.ria.ee/ 28 6.1.4. Järelevalveasutuse tegevused, eeldatavad tulud ja kulud E-ITS-i kehtestamise eesmärgi raames ei mõjuta eelnõu RIA töökorraldust. Varasem KüTS § 7 lõike 4 alusel kehtestatud nõuete ja ISKE nõuete järgimise kontroll asendub E-ITS-i nõuete järgimise kontrolliga. RIA töökoormust võib eelnõu suurendada suurema hulga auditite järeldusotsuste ülevaatamise vajaduse tõttu. Samuti on vajalikud täiendavad toetustegevused E-ITS edasi arendamiseks ning KüTS-i subjektidele vastavate profiilide loomiseks. RIA esmase hinnangu kohaselt on järelevalve eesmärkide täitmiseks vajalik palgata juurde kolm töötajat ning E-ITS arendamiseks ja profiilide loomiseks täiendavalt kolm töötajat. Personali- ja halduskulude arutelu toimub riigi eelarvestrateegia protsessis. Julgeolekuasutuste osas eeldatavasti ei mõjuta eelnõu julgeolekuasutuste töökoormust, kuid taoline mõjutus peaks ilmnema, siis personali- ja halduskulude arutelu toimub riigi eelarvestrateegia protsessis. 6.2. Kavandatav muudatus: avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded Kuivõrd Luksemburgi andmesaatkond on juba käivitatud ning andmeid ja infosüsteeme on varundatud alates 2019. aastast, siis on selle käitamiseks vajalikud tehnilised lahendused Registrite ja Infosüsteemide Keskuse (edaspidi RIK) poolt välja töötatud ning serveriruum vastava riist- ja tarkvaraga sisustatud. Andmesaatkonna rendikulud Luksemburgiga sõlmitud rahvusvahelise lepingu alusel on 236 000 eurot aastas, mille tarbeks on MKM-ile raha eraldatud riigieelarvest kuni nimetatud lepingu kehtivuse lõpuni (31.12.2022). Samaväärsete rendikuludega on kavandatud ka teenuse jätkamine lepingu pikendamisel. Lisaks üüritasule kaasnevad andmesaatkonna pidamisega ka serveriruumi elektritarbimise kulud, mille tasumiseks eraldas MKM lepingu alusel RIK-le, kui serveriruumi haldus- ja majutusteenuse osutajale raha kuni eelnimetatud lepingu lõppemiseni. Eelnõu koostamise hetkeks on RIK-lt vastava ülesande üle võtnud Riigi Info- ja Kommunikatsioonitehnoloogia Keskus (edaspidi RIT). Asutustel ei teki märkimisväärseid varundamisega seotud kulusid eeldusel, et varundamise protsess juba toimib. Reeglina on asutustes juba tulenevalt ISKE nõuetest kasutusele võetud andmete riigisisese regulaarse andmevarunduse osas toimiv protsess. Andmesaatkond on täiendav koht, kuhu varundamist teostada. Kulude kasv asutustele sõltub sellest, kuidas asutused oma varunduslahendused soovivad välja töötada (täiendava riistvara soetamine, manuaalse varundamise või automaatse varundamise valik). Kehtestatavad nõuded ei eelda andmete nn live hoiustamist. Varundamisega seonduvad halduskulud kaetakse asutuste eelarvest. 29 7. Määruse jõustumine Määrus jõustub üldkorras, kuid mõne erisusega. Määruse §-id 7 kuni 11 jõustuvad 1. jaanuaril 2023. a. Tegemist on andmekogude suhtes ISKE- lt E-ITS-le vormistusliku ülemineku võimaldamise normidega, mis jõustuvad samal ajal ISKE kehtetuks tunnistamisega. Need muudatused toimuvad 531 SE tõttu AvTS-i muudatustega samal ajal. 8. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu on seotud Riigikogus arutatud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõuga 531 SE. 531 SE avaliku kooskõlastuse käigus (toimus viimati sügisel 2021. a) esitati ka kommentaare ja märkusi teemade kohta, mis olid pigem seotud siinse eelnõuga. Need märkused koos eelnõu koostajate uuendatud vastustega lisati kooskõlastamisel seletuskirja lisaks, et hõlbustada eelnõule kooskõlastuse andmist või arvamuse avaldamist. Eelnõu esitati kooskõlastamiseks eelnõude infosüsteemi kaudu (eelnõu toimik nr 22-0570)31 kõikidele ministeeriumitele ning arvamuse avaldamiseks põhiseaduslikele institutsioonidele, avalik-õiguslikele juriidilistele isikutele, Andmekaitse Inspektsioonile, RIA-le, Keskkonnaministeeriumi Infotehnoloogiakeskusele, RIK-le, RIT-le, Rahandusministeeriumi Infotehnoloogiakeskusele, Siseministeeriumi infotehnoloogia- ja arenduskeskusele, Tervise ja Heaolu Infosüsteemide Keskusele, Eesti Linnade ja Valdade Liidule, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Infosüsteemide Audiitorite Ühingule ning RIA vahendusel elutähtsate ja oluliste teenuste osutajatele. Haridus- ja Teadusministeerium ja Keskkonnaministeerium kooskõlastasid eelnõu märkusteta ning kooskõlastustähtaja ületasid Riigikantselei, Kaitseministeerium ja Maaeluministeerium. Ülejäänud ministeeriumid kooskõlastasid eelnõu märkustega. Arvamuse või vastuse esitasid ka Riigikohus (ei avaldanud arvamust), Harju maakohus (kooskõlastas eelnõud), Eesti Pank (ei ole muudatusettepanekuid ja täiendusi), Finantsinspektsioon (märkused puuduvad), Kaitseliit (ettepanekuid polnud, kuid sooviti määruse volitusnormi osas selgitust) ja Riigikogu Kantselei (soovisid lisada ühte enda süsteemi eelnõu § 12 loetelusse). Lisaks esitasid oma arvamuse ka Andmekaitse Inspektsioon, Vabariigi Presidendi Kantselei, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit ja Eesti Linnade ja Valdade Liit. Eelmainitud tagasiside ja vastused tagasisidele on leitav seletuskirja lisas olevast kooskõlastustabelist. 31 Link: https://eelnoud.valitsus.ee/main/mount/docList/5a2c5fd3-65c8-4ea3-a4ca-ac3d5ee0fd4a. 30  Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu seletuskirja juurde Nr Kooskõlastuse esitaja Majandus- ja Kommunikatsiooniministeeriumi seisukoht Haridus- ja Teadusministeerium – kooskõlastatakse märkusteta Justiitsministeerium – kooskõlastatakse märkustega 1 1. Eelnõu § 4 lõike 1 alusel viib teenuse osutaja läbi Eesti Arvestatud. Ettevõtlus- ja infotehnoloogiaministri määruse „Eesti infoturbestandardi tingimuste täitmise auditi iga kolme aasta infoturbestandard“ eelnõu lisas 1 oleva auditeerimisjuhendi punktis 6 järel. E-ITS auditeerimise juhise järgi tekib auditeerimisega „Auditi üldine korraldus“ on täpsustatud ühe auditi põhimõtet. seonduvalt asutusele märkimisväärne kohustus ja lisakulu tellida järgnevad auditid: E-ITS eelaudit; E-ITS põhiaudit; E-ITS Täpsustame, et ühes audititsüklis, mille kestuseks on kolm aastat, järelaudit (vajadusel); E-ITS vaheaudit(id). Kas ja millisel viiakse läbi üks audit. Sõlmitakse üks auditeerimisleping. Küll aga määral on analüüsitud selle täiendavat kulu asutustele ja kas see koosneb E-ITS audit mitmest etapist, mis on kirjeldatud käesolevas on proportsionaalne? Tuleb arvesse võtta, et see tähendab ka märkuses. Ükski etapp iseseisvalt ei ole käsitletav eraldiseisva teenistujate tööaega, kes audiitoritega koostööd teevad. Teeme auditina, kuigi E-ITS põhiaudit on mahult sellele kõige lähemal. Iga ettepaneku, et kohustus oleks läbi viia üks audit. etapi ühine eesmärk on jaotada ning lihtsustada auditi läbiviimse koormust ning tagada hallatav üleminek audititsüklite vahel (et iga Kuna uue E-ITS kohaselt auditeeritaks kogu teenust, on küsitav, tsükkel ei algaks nö „nullist“). Sellise protseduuri juurutamisel kulub mis kompetents on audiitoril analüüsida asutuse äriprotsesside nii subjektide töötajate kui ka audiitorite tööaega vähem, kui kuluks kaardistust. Seega tekib küsimus, kes väljastab sellist sertifikaati kogu auditi tegemisele ühes etapis korraga. audiitorile, mis kinnitaks, et ta on pädev hindama Vabariigi Valitsuse 25.05.2017 määruse nr 88 „Teenuste korraldamise ja Audiitori kompetentsi osas selgitame, et seda ei saa siduda Vabariigi teabehalduse alused“ rakendamist asutustes? Valitsuse 25.05.2017 määruse nr 88 „Teenuste korraldamise ja teabehalduse alused“ (TKTA määrus) rakendamise kogemusega. TKTA määruse rakendamisel võib olla kokkupuudet E-ITS rakendamisega, kuid tegemist on korrelatsiooni, mitte kausatsiooniga. E-ITS rakendamine, sealhulgas tehtavad kaardistused, on iseseisvad ning auditeerimine sellega piiritletud. TKTA määruse rakendamise kontroll aga ei ole infoturbe audit. 1 2 2. Eelnõu § 5 – teeme ettepaneku sõnastada § 5 pealkiri Arvestatud osaliselt. järgmiselt „Turvameetmete dokumentatsioon“. Küberturvalisuse seaduse (KüTS) kohaldamisalas on süsteemid Eelnõu § 5 sõnastatakse ümber järgmiselt: ja nende turvalisus. Ka sätte selgitus keskendub süsteemi riskianalüüsidele ja vastavatele dokumentatsioonidele. Sellest „§ 5. Turvameetmete dokumentatsioon tuleks ka määruse tekstis läbivalt lähtuda, mistõttu teeme (1) Teenuse osutaja kaardistab süsteemid ja nendega seotud teenused ettepaneku eemaldada § 5 pealkirjast sõnad „teenuste kaardistuse või protsessid ning dokumenteerib süsteemile rakendatavad ja“. turvameetmed ja riskianalüüsi. (2) Teenuse osutaja säilitab lõikes 1 nimetatud dokumentatsiooni Tulenevalt eelpool märgitust teeme ettepaneku muuta ka lõike 1 vähemalt seitse aastat alates selle koostamisest ning teeb selle Riigi sõnastust ning sõnastada see järgmiselt: Infosüsteemi Ametile taotluse korral kättesaadavaks. (3) Teenuse osutaja võib lõikes 1 nimetatud dokumentatsiooni „(1) Teenuse osutaja kaardistab süsteemiga seotud teenused koostada muu õigusakti alusel koostatava dokumendi osana.“ ning dokumenteerib süsteemile rakendatavad turvameetmed ja riskianalüüsid." Dokumentatsiooni säilitamiskohustuse osas selgitame, et säilitamiskohustus tekib ajaliselt dokumentatsiooni loomisest. Kui Kõnesoleva paragrahvi lõike 2 järgi tuleb dokumentatsiooni dokumentatsioon on vormistatud elektrooniliselt ning muudetakse säilitada vähemalt seitse aastat alates selle koostamisest. Kui elektrooniliselt, siis ei ole vajalik selle digitaalse või füüsilise riskianalüüs on konkreetne dokument, mis teatud seisus ka väljavõtte tegemine, kui on olemas kehtiv dokumentatsioon ja valmib, siis seotud teenused on pigem elav nimekiri süsteemis, muudatuste ajalugu on säilitatud vähemalt seitse aastat. mis aja jooksul täieneb. Mis dokumentatsiooni siin on silmas peetud? Kui see tähendab süsteemist teatud aja tagant väljavõtete Seoses AK teabega selgitame, et teabe asutusesiseseks kasutuseks tegemist ja nende eraldi salvestamist, siis see pole mõistlik. tunnistamine ei ole seotud teabe säilitamise tähtajaga, vaid ligipääsuga Teeme ettepaneku, et dokumenteerimiskohustus kohalduks nimetatud teabele. AvTS § 40 lõike 1 lause 1 võimaldab AK-märke riskianalüüsile. Ühtlasi, teabe asutuse siseseks tunnistamise lisada viieks aastaks ning lause 2 kohaselt on võimalik seda tähtaega alused (AK alused) avaliku teabe seaduse (AvTS) §-s 40 pikendada viie aasta võrra, kui juurdepääsupiirangu kehtestamise võimaldavad turvameetmeid ja riskianalüüse hoida põhjus püsib. Seega ei ole siin vaja teha AvTS-is ega eelnõus asutusesisesena viis aastat, mille möödumisel tuleb asutuse juhil muudatusi. asuda hindama selle teabe AK-na käsitlemise pikendamist (vastasel juhul muutub teave avalikuks). Kui on kohustus neid dokumente säilitada seitse aastat, tuleks vaadata üle ka AvTS 2  säilitustähtajad või viia dokumentatsiooni säilitamise tähtaeg sõltuvusse AvTS AK tähtajaga (st viis aastat). 3 3. Eelnõu § 6 punktis 3 on sätestatud, et teenuse osutaja Mittearvestatud. ajakohastab riskianalüüsi hiljemalt kolme aasta jooksul viimasest ajakohastamisest. Selliselt asutusele pandud sund Selgitame, et lisaks eelnõu § 6 punktile 3 on kavandatud ka punktid 1 ajakohastada riskianalüüsi iga kolme aasta järel, st seotuna ja 2, mille eesmärk ongi sätestada kohustus dokumentatsiooni faktilise kuupäeva saabumisega, ei lähtu mitte vajadusest, vaid ajakohastamiseks vastavalt vajadusele. Ei tohiks juhtuda, et subjekti loob põhjendamatut bürokraatiat. Piisab sellest, et asutusele on dokumentatsioon kuuluks ajakohastamisele eelnõu § 6 punkti 3 alusel. pandud kohustus hoida riskianalüüsi ajakohasena. Kolme aasta möödumisel viimasest vajaduspõhisest ajakohastamisest on suur tõenäosus, et mõni vajaduspõhine ajakohastamine on minetatud. Selle riski vältimiseks on tarvilik, et organisatsiooni juhtkond vähemalt kinnitaks kolme muutusteta aasta möödumisel, et viimane riskianalüüs on tõesti ajakohane. 4 4. Eelnõu § 7 paneb andmekogudega seotud vastutuse Arvestatud vastutavale töötleja, samas kui E-ITS juhend paneb valdavalt Eelnõu § 7 peabki olema kasutatud sõnastust „vastutav töötleja“, kuna vastutuse infoturbe juhile. Palume vaadata läbivalt üle ja vastasel juhul ei ole see regulatsioon vastavuses AvTS-i andmekogude ühtlustada vastutajad. peatükiga. Ministri määruse lisas olevas E-ITS’i dokumendis selgitatakse konkreetsemalt, mida tähendab „vastutus“ E-ITS’i kontekstis. Seega luuakse sel teemal parem õigusselgus. 5 5. Eelnõu § 7 järgi tuleb määrata andmekogu turbeaste ja Mittearvestatud. turvaklass. Lisaks on vajalik tulenevalt §-st 11 määrata andmekogu pidamisega seotud süsteemidele ja teenustele Selgitame, et andmekogud ei ole lihtsalt „osad süsteemid“, tegemist kaitsetarve. Üheselt ei ole selge, miks ei lähtuta ühtsest on juriidiliselt defineeritud süsteemiga koos oma põhimäärusega. süsteemist. Kui osade süsteemide (andmekogud) kaitsetarbe Infoturbejuht ei pea selgeks tegema kahe raamistiku järgi infoturbe määramise aluseks võetakse analoog vana ISKE-ga ja osadel uus tagamist, sätete eesmärk ongi võimaldada andmekogude ISKE Eesti infoturbestandard (E-ITS), võib tulemuseks olla, et ühe turvaklassi määratlemise järel infoturvet administreerida ühe järgi määratakse üks kaitsetarve ja teise järgi teine. Juba 2017. raamistiku (E-ITS) alusel. Andmekogu turvaklass määratletakse selle aasta ISKE juhendis leiti, et määruse ISKE klassi määramise avalike ülesannete alusel ühekordselt ning olemuslikult teistmoodi E- 3  õpetus ei ole hea ja tehti uus klasside määratlus (vt ITS-i riskipõhisest kaitsetarviduse määramisest. Seetõttu ei ole https://www.ria.ee/sites/default/files/content- andmekogude kui juriidiliselt reguleeritud süsteemide osas üks editors/ISKE/iske_rakendusjuhend.pdf). Määruse muutmiseni lähenemine teisega lihtsasti asendatav. tol ajal küll ei jõutud. Käesoleva eelnõuga kinnistatakse Turvaklassi teisendamise oskus kaitsetarbeks pole infoturbejuhile analoogselt kehtivale määrusele „Infosüsteemide turvameetmete vajalik, teisendamise on ära teinud määruse § 11 lõige 2. Rakendajale süsteem“ klassi määramine ja jäetakse see paralleelselt töösse täiendavat koormust ei teki, kõikide olemasolevate andmekogude EITS kaitsetarbega. See tähendab, et klasside määrajad peavad ISKE turbeaste on määratletud, mistõttu see ei tekita rakendajatele endale selgeks tegema kaks erinevat klasside määramise lisakoormust. Andmete ühekordse küsimise põhimõttest tulenevalt ei süsteemi ja hakkama neid omavahel teisendama. Palume ole uute andmekogude tekkimine ühegi asutuse infoturbejuhi jaoks täiendavalt hinnata, kas selline lähenemine on rakendajate igapäevane sündmus. Isegi, kui tekib uusi andmekogusid, siis peaks perspektiivist mõistlik ning kas ei oleks mõttekas minna üle rakendajal olema eelnevad teadmised, mis abistavad turbeaste ja ühtsele süsteemile. turvaklasside määramist, kuna eelnõuga loodav regulatsioon säilitab olemasoleva regulatsiooni. Kui eelnõuga ei säilitataks turbeaste ja turvaklasside sätteid, siis tuleb teha muudatusi kõikides riiklike andmekogude põhimäärustes või nendega seotud seadustes, kus on määratled andmekogu turvaklass. Eelnõu koostajad siinse eelnõuga seda olukorda ei soovi tekitada. 6 6. Eelnõu § 10 lõikes 3 on sätestatud andmete turvaosaklasside Mittearvestatud. määramine. Käideldavuse taseme arvutamiseks on RIA poolt ette nähtud valemid. Arvutuste aluseks võetakse kokkulepitud Selgitame, et käideldavuse tasemed on sätestatud taotuslikult tööaeg. eksponentsiaalsete, mitte lineaarsete vahedega. Tasemed sätestavad töökindluse miinimumnõuded ja seega peavad säilitama selged 𝑇𝑘𝑜𝑘𝑘𝑢𝑙𝑒𝑝𝑖𝑡𝑢𝑑 erisused. = 𝑡öö𝑝ä𝑒𝑣𝑎 𝑡𝑢𝑛𝑛𝑖𝑑 𝑥 𝑡öö𝑝ä𝑒𝑣𝑖 𝑘𝑢𝑢𝑠 𝑥 𝑚𝑖𝑛𝑢𝑡𝑒𝑖𝑑 𝑡𝑢𝑛𝑛𝑖𝑠 Kui lähtuda toodud näitest, siis kui andmekogu käideldavuse ootused 𝑚𝑎𝑥𝑚𝑎𝑎𝑠𝑜𝑙𝑒𝑘𝑢 𝑎𝑒𝑔 𝑘𝑢𝑢𝑠 on määratletud nii, et lubatav seisak nädalas oleks rohkem kui paar = 𝑘𝑜𝑘𝑘𝑢𝑙𝑒𝑝𝑖𝑡𝑢𝑑 𝑡öö𝑠𝑜𝑙𝑒𝑘𝑢 𝑎𝑒𝑔 tundi (kuid mitte rohkem kui arvutatud 18 tundi), siis on see hõlmatav 𝑘ä𝑖𝑑𝑒𝑙𝑑𝑎𝑣𝑢𝑠 𝑥 𝑘𝑜𝑘𝑘𝑢𝑙𝑒𝑝𝑖𝑡𝑢𝑑 𝑡öö𝑠𝑜𝑙𝑒𝑘𝑢 𝑎𝑒𝑔 osaklassiga K1 ning ei ole hõlmatav osaklassiga K2 ega K3. − 100 Võib ju tunduda, et kui 2 tundi tähendab 99% töökindlust, siis 4 või 6 tundi maasoleku aega ehk vastavalt 98% või 97% töökindlus on 4  Seega 24/7 süsteemi puhul K1 ligikaudne maas oleku aeg on 18 nõuetelt K2 tasemele väga lähedane (ning seejuures 90% töökindlus tundi, K2 puhul 2 tundi ja K3 puhul 10 minutit nädalas. Probleem ehk K3 erineb näitest palju rohkem kui K2) ning võiks seega sama on ennekõike selles, et turvaosaklassid ja turbeaste lisatakse ka osaklassiga hõlmatud olla. Selline lähenemine on aga ekslik, sest see põhimäärustesse ja mujale (RIHA). Sinna peab andma võrdleb maasoleku aegu töötamisaegade kontekstis. Tuleb meenutada, konkreetse klassi ja kuna nt K1 ja K2 vahe on 16 tundi, ei anna et kui töökindlus on alla 90%, siis pole töökindlus enam oluline (K0). see klass sellisel moel adekvaatset informatsiooni. Kui määrata K2 tasemel on lubatav maasoleku aeg K3+ kuni 1% ehk vahemikus näiteks K2 puhul lubatavaks maasoleku ajaks 4 tundi või 6 tundi, 0,11% kuni 1%. Selle tõstmine 2-3%ni leevendaks lävendit kahe- või siis see ei ole tegelikult K1 ega K2 klassiga hõlmatav. Sellele kolmekordselt. On selge, et lubatava maasoleku hindamine näiteks lisandub veel probleem, et kui määrata osaklassiks K2 ja maas 0,3% tööajast tähendaks oluliselt teistsugust riskihaldust, kui oleku ajaks 6 tundi, peaks hakkama tegema riskide maandamise maasoleku lubamisel kuni 3% tööajast. Seega ei oleks ettepaneku plaane, kuidas määratud tase saavutada. Samas ei pruugi see arvestamise korral K2 taseme lubatav vahemik enam riskihaldust üldse vajalik olla. Palume veelkord see osa üle vaadata, kas iseloomustav. sellisel moel käideldavuse määratlemine on asjakohane ja vajalik. Adekvaatset informatsiooni ei tuletata osaklasside vahest, vaid osaklasside lävendist. Kui muuta osaklasside vahed ühtlasemaks, siis on osaklassid oluliselt raskemini eristatavad riskihalduse perspektiivist, sest kaoks eksponentsiaalsetest lävenditest tulenev olemuslik erinevus. 7 7. Eelnõu § 10 lõikes 5 palume muuta S2 ja S3 sõnastust osas, Arvestatud. mis viitab salajasele või ülisalajasele infole. Kuna salajane on ka üks riigisaladuse tasemetest, tekitab see pigem segadust. S2 ja S3 Kommenteeritav lõige asub nüüd eelnõu § 10 lõikes 6, mis sõnastusest võiks sõnad „salajane info“ ja „ülisalajane info“ välja sõnastatakse ümber järgmiselt: võtta segaduse vältimiseks, st piisab sellele järgnevast sõnastusest. „(6) Andmete konfidentsiaalsuse alusel määratakse turvaosaklass järgmisest skaalast: 1) S0 – avalik info, juurdepääsu teabele ei piirata, lugemisõigus on kõigil huvitatutel ja muutmise õigus on määratud tervikluse nõuetega; 2) S1 – info asutusesiseseks kasutamiseks ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 5  3) S2 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 4) S3 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajatele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral.“ 8 8. Eelnõu §-s 12 on esitatud loetelu avalike ülesannete täitmist Mittearvestatud. oluliselt mõjutavatest süsteemidest. Eelnõu seletuskirjas on selgitatud, et tegemist on küberjulgeoleku nõukogu kinnitatud Selgitame, et kuigi küberjulgeoleku nõukogu töötas varasemalt välja süsteemide loeteluga, mille valis välja kriitiliste andmekogude loetelu, siis loetelu kehtestab ehk otsuse teeb siiski Vabariigi Valitsus töörühm. Teeme ettepaneku kaaluda oluliste süsteemide määrusega. Seetõttu ei reguleeriks eelnõu koostajad siinses eelnõus nimekirja osas otsuste tegemiseks pädevuse andmist küberjulgeoleku nõukogu rolli siin. küberjulgeoleku nõukogule sarnaselt senisele praktikale, kuid läbipaistvuse eesmärgil kaaluda määruse tasandil otsuse aluseks olevate põhimõtete või otsustusprotsessi kehtestamist. 9 9. Eelnõu §-s 13 on sätestatud, et §-s 12 nimetatud süsteemide Arvestatud. puhul peab vajadusel olema varundatud ka andmekogu koosseisus olev rakenduskiht. Eelnõu seletuskirjas on selgitatud Eelnõu §-st 13 kustutatakse sõna „vajadusel“. Selgitame, et kui vajadust tagada võimalus varundatud andmekoosseis andmekoosseisu kasutamiseks on vajalik toimiv rakenduskiht, siis realiseerida ning täpne varundamise koosseis selgub varundava laieneb varundamiskohustus ka vastavale rakenduskihile. asutuse testimise tulemusel. Eelnõu ja seletuskiri on vasturääkivad. Eelnõu §-st 13 ei tulene otsest kohustust Samuti selgitame, et käesoleva eelnõu eesmärk ongi õiguslikult rakenduskihi varundamiseks, samas seletuskirjas lk 16 võimaldada andmekoosseisu ja rakenduskihi varundamist. selgitatakse, et selleks, et andmesaatkonda varundatud andmekoosseise oleks võimalik realiseerida (varukoopiate alusel andmekoosseisud taastada), on vajalik, et lisaks andmekoosseisudele oleks andmesaatkonda varundatud ka vastavate infosüsteemide rakenduskiht ja muu, mis on vajalik andmete kasutuselevõtuks ja elutähtsate teenuste toimimiseks. Kui sättesse jääb kirja vajadus kui selline, siis tuleb eelnõus 6  täpsustada ja luua eeldused, millal vajadus peaks realiseeruma. Teiseks ei ole eelnõu seletuskirjas selgitatud analüüsi tulemusi, mis õiguslikult võimaldaksid varundada nii andmekoosseisu kui ka andmekoosseisu realiseerimiseks vajaliku rakenduskihti vmt. Palume eelnõu ja seletuskirja täpsustada. 10 10. Eelnõu seletuskirja punktis 6.2. (lk 44) on selgitatud, et Arvestatud. andmesaatkonna rendikulud Luksemburgiga sõlmitud rahvusvahelise lepingu alusel on 236 000 eurot aastas, mille Selgitame, et seletuskirjas on nimetatud punktis tegemist kavandatava tarbeks on MKM-ile raha eraldatud riigieelarvest kuni nimetatud muudatuse rakendamiseks vajalike kulutuste kirjeldamisega. Samuti lepingu kehtivuse lõpuni (31.12.2022). Lisaks üüritasule selgitame, et puhtalt vajaliku rakenduskihi varundamine ei tähenda kaasnevad andmesaatkonna pidamisega ka serveriruumi veel live andmete hoiustamise nõuet. Seletuskirja on vastavalt elektritarbimise kulud, mille tasumiseks eraldas MKM lepingu täpsustatud. alusel RIK-ile kui serveriruumi haldus- ja majutusteenuse osutajale raha kuni eelnimetatud lepingu lõppemiseni. Eelnõu koostamise hetkeks on RIK-ilt vastava ülesande üle võtnud RIT. Palume eelnõu seletuskirja muuta, kuna serveriruumi elektritarbimise kulusid ei ole RIK-ile MKM-i poolt antud kuni 31.12.2022 aastani. Elektritarbimisega seotud kulud on MKM-i poolt olnud tagatud 2021. aasta eest. Eelnõu seletuskirjas on täpsustatud, et varundamisega seotud lisakulud kaetakse asutuste eelarvest ning juhul kui varundamine juba toimub, siis märkimisväärseid lisakulusid sellega ei kaasne. Arvestades, et eelnõu §-s 13 on toodud sisse RIK-i hinnangul andmesaatkonna uus etapp (live andmete hoiustamine), siis peaks olema välja toodud ka eeldatav maksumus uuele etapile üleminekuks iga asutuse kohta eraldi. 11 11. Eelnõu § 16 lõike 3 osas palume selgitada, kelle poole Võetud teadmiseks. selliste hinnangute saamiseks pöörduda tuleb. Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt 7  ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seisukohtadega vastavatele muudatusettepanekutele. 12 12. Eelnõu § 17 lõige 1 sätestab, et pilvsüsteemis tuleb teave Võetud teadmiseks. teenuse osutaja eest krüpteerida. Aga kui pilvsüsteemi teenusepakkuja on riik (Riigi IKT Keskus näiteks), kas siis on ka Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega krüpteerimine vajalik? seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seisukohtadega vastavatele muudatusettepanekutele. 13 13. Eelnõu § 17 lõige 1 loetleb teabe, mida tuleb pilvsüsteemi Võetud teadmiseks. edastamiseks krüpteerida ning kuigi see kohustus AvTS alusel juba on, siis seletuskirjas on väljatoodud, et eesmärk on Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega konkreetsete väljatoodud andmete osas tagada, et ei oleks seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt võimalik kasutada samuti AvTS alusel antud kaalutlusõigust. ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside AvTS sätestab, et see on asutusesiseseks kasutamiseks sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste tunnistatud teave (AK teave). Mille alusel tekitatakse praegu seisukohtadega vastavatele muudatusettepanekutele. nõue krüpteerida ainult riigi julgeolekuga seotud teavet? Oluliselt selgem oleks, et kui AK teavet tahetakse pilvsüsteemis töödelda, siis peab see olema krüpteeritud. Palume eelnõu täpsustada. 14 14. Eelnõu §-des 18 ja 19 toodud pilvandmetöötlusteenuse Võetud teadmiseks. kasutamisega kaasnevate logide säilitamise ja juurdepääsetavuse nõude osas märgime, et logi mõiste on eelnõus liiga lai. Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega Täpsustada tuleks, millistele andmetele on reaalselt RIA-l vajalik seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ligi pääseda selleks, et oleks võimalik analüüsida pilvsüsteemi ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside kasutamisega kaasnevaid riske. Samuti ei selgu eelnõust, kui sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste pikalt on vaja logisid säilitada. Koondina peame vajalikuks seisukohtadega vastavatele muudatusettepanekutele. märkida pilvsüsteemi regulatsiooni osas vajadust sõnastust lihtsustada, kuna tegemist on raskesti arusaadava tekstiga. 8  Pakume § 19 lõike 1 sõnastust järgmiselt: „(1) Kui süsteemi kaitsetarve on vähemalt suur, peab süsteemi kasutaja omama alternatiivlahendust oma tegevuste jätkamiseks esialgsest pilvsüsteemist sõltumatult.“ 15 15. Eelnõu §-ides 20–22 sätestatud üleminekutähtaeg on liiga Mittearvestatud. lühike, sest määrust veel ei ole, rakendamine võtab aega ning välistatud ei ole lisakulude tekkimine, kuid samas eelarvetsükkel Selgitame, et vacatio legis-e sätestamine pikemaks tavakorrast on üle aasta. jõustumisest ei ole käesoleval juhul õiguskindluse tagamiseks vajalik. Seda ennekõike põhjusel, et kehtestatavad nõuded ehk E-ITS arvestab Paragrahvis 21 on sätestatud uue infoturbestandardi esmakordse rakendamisel juba sisse rakendamiseks kuluvat aega. Seda on auditeerimise tähtajad, mis sõltuvad andmekogule määraratvast korduvalt selgitatud ka eelnõu seletuskirjas. turbeastmest. Näiteks lõikest 1 tuleneb kohustus „H“ turbeastmega andmekogude osas viia uuele infoturbestandardile Kui viimane ISKE audit tehti turbeklassiga „H“ andmekogude osas vastav audit läbi kahe aasta jooksul pärast viimast ISKE auditit. 2021.a alguses, oleks asutusel mõistlik teha uus audit 2022.a lõpus, kui Seega, kui turbeklassiga „H“ andmekogude osas tehti viimane soov on vältida auditi ettevalmistamist 2023. aasta alguses. ISKE audit 2021.a alguses, siis tuleks eelnõu § 21 lõikest 1 tulenevalt uuele infoturbe standardile vastav audit läbi viia juba 2023, mis tekitab olukorra, kus asutustel puudub piisav aega E- ITS rakendamiseks ja auditi ettevalmistamiseks. Teeme ettepaneku, et eelnõus nähakse ette, et E-ITS kohane audit peab olema teenuse osutajatel tellitud hiljemalt 01.02.2025. Selgitame, et käesoleva eelnõu piires ei ole §§-de 7-11 jõustumisaja edasilükkamine võimalik, kuivõrd nende sätete jõustamine on seotud Sellega seoses teeme ettepaneku muuta ka eelnõu § 22 lõigetes 2 AvTS muudatuste jõustumisajaga, mis samad sätted (täpsemalt ettenähtud §-ide 7–11 jõustumisaega, et rakendajatel oleks piisav volitusnormi sätete kehtestamiseks) kehtetuks tunnistavad. Kui nende aeg, ning vastavalt kohandada ka §-s 20 väljatoodud tähtaegu. sätete jõustumisaeg edasi lükata, siis tekib õiguslik vaakum, mille tekkimist eelnõu koostajad ei poolda. Kaitseministeerium – ei ole tähtajaks vastanud Keskkonnaministeerium – kooskõlastatakse märkusteta 9  Kultuuriministeerium – kooskõlastatakse märkustega 16 Juhime tähelepanu, et määruse seletuskirjas on muuseumid Võetud teadmiseks. arvatud asutuste hulka, kel puudub auditeerimiskohustus. Otsust on põhjendatud hinnanguga, et muuseumid kuuluvad asutuste Esiteks selgitame, et vabastus auditeerimiskohustusest ei tähenda, et hulka, kelle IKT korralduslikud vahendid on oluliselt piiratumad teenuse osutaja oleks vabastatud E-ITS rakendamisest või et tulenevalt IKT vahendite väiksemast olulisusest asutuse avalikeküberturvalisuse nõuete täitmine ei oleks kontrollitav ega jõustatav. ülesannete täitmisel, ja auditeerimiskulud on neile asutustele Samuti ei tähenda see, et nimetatud subjektid ei saa E-ITS-i auditit läbi majanduslikult koormavamad. viia. Eriti väljatoodud olukordades, kus suuremal muuseumil ongi väga keeruline IKT struktuur, on muuseumi enda huvides saada väline Täpsustame, et nüüdisaegsed muuseumid kasutavad hinnang ning soovitused E-ITS järgimisel. ekspositsioonis järjest enam IKT vahendeid, sh interaktiivseid ekraane, keerukaid audio- ja videolahendusi, mobiilirakendusi Selgitame, et meie hinnangul ei ole ka toodud näidete arvestamise jms. Muuseumid pakuvad ka virtuaalnäitusi ja veebituure. korral sättega tekkiv olukord vastuolus eelnõu seletuskirjas Muuseumides kasutatakse tehnoloogiliselt keerukaid valve- ja väljatoodud põhimõttega. Tsentraalne küsimus auditeerimiserandi lukustussüsteeme ning piletimüügi infosüsteeme koos sätestamisel avalikus sektoris on IKT olulisus asutuse avalike elektrooniliste sisenemisväravatega. Museaalid vajavad rangeid ülesannete täitmisel. Muuseumiseaduse (MuuS) alusel on muuseumi hoiustamistingimusi, mida automatiseeritakse ja hallatakse ülesanneteks koguda, säilitada, uurida ning vahendada samuti IKT abil. Seepärast on vähemalt suurematel muuseumidel kultuuripärandit. Tähelepanekus on välja toodud IKT laialdane peaaegu võimatu ilma IKT vahenditeta avalikku teenust kasutus just säilitamisel ja vahendamisel. pakkuda. Vahendamisel on küll nüüdisaegsetes muuseumites kasutusel järjest Kuigi mitte volitatud töötlejatena, kasutavad muuseumid iga rohkem IKT vahendeid, kuid see ei pruugi tähendada IKT olulisust päev andmekogu MUIS, mis sisaldab ligi 4 miljonit museaali, avaliku ülesande täitmiseks. Nimelt ei ole muuseumil takistatud selle millest omakorda 1,9 miljonile on lisatud digikujutis. MUIS-i ülesande täitmine ka olukorras, kus interaktiivsed ekraanid, abil peetakse arvestust ja hallatakse muuseumikogusid ning mobiilirakendused, virtuaalnäitused jms kättesaadav ei ole. Niikaua tehakse muuseumides leiduv informatsioon kättesaadavaks nii kui, MuuS käsitleb museaalina asja, on selle ülesande täitmiseks erialaspetsialistidele kui ka kõigile teistele huvilistele. vajalik ennekõike ligipääsu võimaldamine museaalile. Eelneva põhjal on Kultuuriministeerium seisukohal, et Säilitamise osas on kindlasti selgem, et IKT vahendid on järjest auditikohustuse erandite sätetest määruse eelnõus ei ole võimalik olulisemad selle avaliku ülesande täitmiseks. Võib tekkida juhtumeid, välja lugeda seletuskirjas väljendatud põhimõtet, mille kohaselt kus säilitamiseks kasutatava IKT vahendi rikke korral on vastava 10  hoolimata kohustusliku auditi nõude puudumisest teatud avaliku ülesande täitmine takistatud. Seetõttu on kindlasti ka oluline asutustele auditi läbimist siiski soovitatakse. Eelnõus tagada selle IKT osas küberturvalisuse nõuete järgmine. Samas tuleb auditikohustuse kohta kirjapandu õigusaktiks vormumine võib arvestada, et museaalide säilitamine on MuuS ja selle alusel antud kaasa tuua otstarbetuid vaidlusi, kui valitsusasutuse, hallatava õigusaktidega reguleeritud valdkond, mille üle teostatakse ka asutuse või haldusala avalik-õigusliku juriidilise isiku järelevalvet. Eriti mängib siinkohal rolli ka museaalide inventuur. seisukohad auditi asjus erinevad. Sellega seoses võib kergesti Seega ei pruugi tegemist olla piisava vajadusega lähtuvalt kõnealusest tekkida keeruline olukord, kus näiteks Eesti Rahva Muuseum või ülesandest muuseumitele auditeerimiskohustuse seadmiseks. Küll aga Rahvusooper Estonia on esimene muuseumina ja teine on põhjust täiendavaks analüüsiks ning auditeerimiskohustuse etendusasutusena auditi kohustusest vabastatud, kuuludes samal sätestamise kaalumist mainitud riskide ilmnemisel. ajal (esimene hallatava asutusena ja teine avalik-õigusliku juriidilise isikuna) E-ITS rakendamise kohuslaste hulka. MUIS osas selgitame, et selle andmekogu pidamine nii vastutava kui Infoturbestandardi rakendamisele isegi pealiskaudse hinnangu ka volitatud töötlejana AvTS-i tähenduses tähendab andmine neis asutustes ilma auditeerimata võib asutuste auditeerimiskohustust. Siin vt ka seletuskirjas eelnõu § 4 lg 3 punkti 2 suurusest tulenevalt osutuda raskendatuks. selgitust. 17 Lisaks toob Kultuuriministeerium esile, et seletuskirjas on Võetud teadmiseks. viidatud muuseumidele kui muuseumiseaduse § 1 lõigetes 2 ja 3 nimetatud asutustele. Kuna lõige 2 hõlmab ka riigi sihtasutuse Eelnõus on konkreetselt määratletud, millised muuseumid on muuseume, kuid KüTS-i 531 SE kehtestatavast E-ITSi välistatud auditeerimisest. Seletuskirja on sel teemal ka täpsustatud. kohaldamisalast on riigi sihtasutused, sh näiteks SA Eesti Ajaloomuuseum ja SA Eesti Meremuuseum, välja jäetud, siis Selgitame, et õigusselguse probleemi kooskõlastusel käinud eelnõu võib kõigi muuseumide pelgalt auditeerimiskohustusest versiooni puhul siinkohal tekkida ei saanud. Kõnealuse sätte vabastamise säte tekitada segadust. regulatiivne sisu on kohustusest erandi sätestamine („lõigetes 1 ja 2 sätestatud ei kohaldata“). Selleks, et lugeja võiks jõuda arusaamale, et erandi kohaldamisalas on riigi sihtasutuse muuseum, peab ta kõigepealt tegema eksimuse, et riigi sihtasutuse muuseum on teenuse osutaja KüTS tähenduses või et sellele isikule kohaldatakse teenuse osutaja kohta sätestatut. 18 Juhime tähelepanu, et §-s 12 sätestatav loetelu avalike ülesannete Mittearvestatud. täitmist oluliselt mõjutavatest süsteemidest ei sisalda ühtegi kultuurivaldkonna infosüsteemi. Palume kaaluda loetelu 11  täiendamist, et kultuuripärandi olulist andmestikku muuseumide Selgitame, et loetelu aluseks on küberjulgeoleku nõukogu sisend ning infosüsteemis (MUIS) saaks varundada riigi pakutavasse loetelu on valitud kõikidest andmekogudest. Kuivõrd ettepaneku välisriigis paiknevasse andmekeskusesse. arvestamise tagajärjeks on teistsuguse loetelu kehtestamine, nõuaks selle ettepaneku arvestamine eelnõu kooskõlastamise etapis mitte vaid MUIS andmekogu olulisuse põhjendamist, vaid kogu loetelu põhjendamist viisil, mis võimaldaks küberjulgeoleku nõukogu sisendist teistsugusele järeldusele jõuda. Kui see kriteerium on täitmata, siis tekiks ettepaneku arvestamisel põhistuseta loetelu. Sellises olukorras aga puuduks sisuline põhjus ühegi andmekogu lisamise ettepaneku mittearvestamiseks, mille esitaja väidab, et tegemist on olulise andmekoguga. Kuivõrd tuleb hinnata andmekogu olulisust mitte iseseisvalt, vaid võrdluses kõikide teiste andmekogudega (et kehtestada olulisemate loetelu) ning seda kujutab endast küberjulgeoleku nõukogu sisend, siis on põhjendatum ühe infosüsteemi lisamise ettepanek arvestamata jätta. Seda enam, kuivõrd iga andmekogu loetellu lisamine tähendaks täiendavaid kulutusi ja investeeringuid riigile. Lähtuvalt aga mitmest ettepanekust mõne andmekogu loetellu lisamiseks on MKM-l plaanis algatada eraldiseisev arutelu käesoleva loetelu revideerimiseks ning vastava vajaduse tuvastamisel kehtestatava määruse muudatuse algatamiseks. See võimaldaks erinevalt loetelu ettepanekute arvestamisest/mittearvestamisest eelnõu kooskõlastamisel jõuda tervikliku lähenemiseni ja põhistatud loeteluni. Hetkel reguleeritakse ära 12 juba olemasolevat andmekogu, aga peale andmesaatkonna laiendamist täieneb nimekiri vastavalt kokkulepetele ja siinse määruse täiendamist. 19 E-ITS kohaldamisala tekitab küsimusi ka pilvsüsteemi sätete Võetud teadmiseks. juures. Praegusel kujul kehtestatavana jäävad pilvsüsteemi sätete rakendajate hulgast välja ka sellised Kultuuriministeeriumi 12  valitsemisala asutused nagu Integratsiooni Sihtasutus ja Eesti Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega Laulu- ja Tantsupeo Sihtasutus, kes töötlevad suures ulatuses seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt isikuandmeid. Kuna need asutused ei ole KüTS-i 531 SE-st ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside lähtudes kohustatud ka E-ITS infoturbestandardit rakendama, sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste tuleks Kultuuriministeeriumil teha täiendavaid pingutusi seisukohtadega vastavatele muudatusettepanekutele. andmekaitsenõuete täitmise tagamiseks neis asutustes. 20 Kokkuvõttes tekitab Kultuuriministeeriumile KüTS-i 531 SE-ga Teadmiseks võetud sätestatav infoturbestandardi ja seeläbi ka pilvsüsteemi nõuete kohaldamisala avalikus sektoris ning kõnealuses määruses Seoses pilvsüsteemi nõuete kohaldamisalaga selgitame, et eelnõu §§ kitsendatud auditeerimiskohustus probleeme infoturbe 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse korraldusega haldusalas, mille asutuste hulka kuulub teiste välja käesoleva eelnõu kooskõlastamiselt ning esitatakse hulgas riigi asutatud 35 sihtasutust. Täiendavat segadust võib kooskõlastamiseks pärast vastava jaotise tagasiside sisulist põhjustada olukord, milles valitsusasutuse hallatavale arvestamist eraldiseisva eelnõu koosseisus koos sisuliste riigiasutuselt eeldatakse infoturbestandardi E-ITS rakendamist, seisukohtadega vastavatele muudatusettepanekutele. kuid nende sekka kuuluvatelt muuseumidelt auditeerimist ei nõuta. Maaeluministeerium – ei ole tähtajaks vastanud Rahandusministeerium – kooskõlastatakse märkustega 21 Palume täiendada eelnõu § 5 lõike 2 sõnastust ning sõnastada see Mittearvestatud. järgmiselt: „(2) Teenuse osutaja säilitab lõikes 1 nimetatud Selgitame, et sätte alusel tuleb teha dokumentatsioon kättesaadavaks dokumentatsiooni vähemalt seitse aastat alates selle Riigi Infosüsteemi Ametile sama asutuse taotlusel, mitte piiramatule koostamisest ning teeb riikliku ja haldusjärelevalve teostamise hulgale kolmandatele isikutele. raames selle Riigi Infosüsteemi Ametile kättesaadavaks.“. Eelnõus toodud sõnastuses saaksid dokumentatsiooni välja küsida piiramatu hulk kolmandaid isikuid, kuigi tegemist on tundliku infoga. Lisatud täpsustus oleks paralleel seadusest ja toetab sõnastuse muudatust. 13 22 Rahandusministeeriumi poolt märgiti 21. oktoobri 2021. a Mittearvestatud. küberturvalisuse seaduse ja avaliku teabe seaduse muutmise seaduse eelnõu kooskõlastamise kirjas nr 6571-4, et peame Selgitame, et konkreetselt varundatud andmete krüptovõtmete oluliseks lisada määruse eelnõusse varundatud andmete deponeerimist võis takistada ISKE nõuded. E-ITS-i kehtestamisel pole töötlemise alused, mis võimaldaks avalike ülesannete täitmist vastavat takistust ning seega puudub ka vajadus volituse loomiseks oluliselt mõjutatavate süsteemide krüptovõtmete deponeerimist, siinses eelnõus. näiteks Eesti välisesindusse, et oleks võimalik töödelda andmesaatkonda varundatud andmeid. Praegu kehtivas ja ka kooskõlastatavas määruse eelnõus vastav volitusnorm puudub. 23 Määruse eelnõu § 13. sätestab avalike ülesannete täitmist Võetud teadmiseks. oluliselt mõjutavate süsteemide pidamise nõuded sh Rahandusministeeriumi valitsemisalas olevatele süsteemidele, e- Selgitame, et tähelepanek võis tekkida seletuskirja valesti riigikassa ja maksukohuslaste register järgmiselt: tõlgendamisest. Selgituse, et „andmesaatkond“ ei ole saatkond Viini konventsiooni mõistes, eesmärk on tähelepanu juhtida, et seega Paragrahvis 12 nimetatud süsteemide andmekoosseis, vajadusel andmesaatkonna sõlmimiseks tehtavad rahvusvahelised lepingud koos andmekoosseisu kasutamiseks vajaliku toimiva (riik-riik) tagaksid sarnase kaitse vastavas rahvusvahelises lepingus. rakenduskihiga, varundatakse välisriigiga sõlmitud Et kogemata ei arvataks sõnast tulenevalt automaatselt, et Viini rahvusvahelise lepingu alusel regulaarselt välisriigis asuvasse konventsioon rakendub ja rahvusvahelises lepingus (riik-riik) siis turvalisse andmekeskusesse. kaitsele tähelepanu pöörama ei peaks. Praegu ongi EE-LUX andmesaatkonna rahvusvaheline leping sedasi kirjutatud, nt on Rahandusministeeriumi valitsemisala poolt näeme probleeme, rahvusvahelises lepingus sisse toodud Viini konventsiooni artikli 22 kuna seletuskirjas antud paragrahvi selgituses on välja toodud kaitse sõnastus. Selles lepingu preambulis on ka otsesõnu leitud, et tõdemus, et tegelikult kasutatakse mõistet „andmesaatkond“ Viini konventsioonist ei piisa andmete ja infosüsteemide majutamise meelevaldselt ning tegemist on lihtsalt kolmanda riigi vabalt õigusraamistiku loomiseks. Kohaliku eraettevõtjaga lepingut mainitud valitud kohaliku eraettevõtjaga, kes tegutseb kohalikust ei ole, segadus võis tekkida sõnade „rahvusvaheline leping“ jurisdiktsioonist lähtudes ja allub sealsele järelevalvele, tõlgendamisest. julgeolekukontrollidele, andmekopeerimise ja julgeolekuhuvidele. Seega andmed on kohas, mida ei kaitse Viini konventsioon ja tegu on Eesti majandusjulgeoleku suhtes olulise riskiga, mis ohustab otseselt riiklikku julgeolekut ja vajab lahendamist. 14 24 Palume täpsustada eelnõu seletuskirja punkti 6.2 ja tuua välja Arvestatud. edasised (leping lõppeb 31.12.2022.a) plaanid ja eelarve mõjud andmesaatkonna teenuse jätkamise osas. Lisaks on eelnõus Seletuskirjas on täpsustatud andmesaatkonna teenuse jätkamise mõju. märgitud, et varundamisega seonduvad halduskulud kaetakse Selgitame, et halduskulud väljatoodud tähenduses ei hõlma asutuste eelarvest. Sellega seonduvalt toome välja, et rahvusvahelise lepingu alusel kantavaid kulutusi, vaid tegevusi, mida Rahandusministeeriumi valitsemisala asutuste eelarvetesse asutus peab tegema omapoolselt andmete varundamisel. Tegemist ei lisavahendeid selleks arvestatud ei ole. ole märkimisväärse halduskuluga. Siseministeerium – kooskõlastab märkustega 25 1. Pilvesüsteem Võetud teadmiseks. 1.1. Teenusepakkuja hindamine Siseministeeriumi (edaspidi SIM) hinnangul tuleb määruse Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega eelnõus ette näha keskse teenusepakkuja usaldusväärsuse seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt hindamine või vähemalt selle koordineerimine Majandus- ja ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside Kommunikatsiooniministeeriumi (edaspidi MKM) või Riigi sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste Infosüsteemi Amet (edaspidi RIA) poolt. Määrusest on kaotatud seisukohtadega vastavatele muudatusettepanekutele. MKMi õigus viia läbi keskne hindamine olulisemate võimalike pilvetöötlusteenuse pakkujate puhul. Näeme samas, et keskne hindamine hoiaks kokku ressursse ning tagaks riigiülese ühtse seisukoha. Lisaks juhime tähelepanu, et kõik asutused ei ole pädevad iseseisvalt hindama kõiki määruses toodud riske, nt seda, kas asukohariik käitub küberruumis agressiivselt või kas asukohariik või muu välisriik võib kohustada pakkujat tegutsema Eesti julgeolekut ohustaval viisil. Sellist hinnangut saavad anda üksnes julgeolekuasutused, keda on vajalik kaasata hindamise protsessi. Kasutada võiks sarnast protsessi sideteenuse pakkujate hindamisel, mida viib läbi RIA. Peame dubleerimise vältimiseks oluliseks, et riigiüleselt vahetataks infot pakkujate osas, keda on hinnatud kui nõuetele mitte vastavaks ehk kõrge riskiga teenusepakkujaks. 15 26 1.2. Krüpteerimine Võetud teadmiseks. SIMi haldusala asutused on varasemates aruteludes korduvalt juhtinud tähelepanu krüpteerimise nõude problemaatilisusele, Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega eelkõige tulenevalt selle praktilisest rakendamisest: seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt  SIM valitsemisalas on mitmeid süsteeme, mis määruse ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside eelnõu sõnastuse kohaselt oleksid osaliselt „leebe“ ning sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste osaliselt „range AK“ all. Põhilisteks probleemideks on seisukohtadega vastavatele muudatusettepanekutele. antud olukorras käideldavuse tagamine, eriti erinevate süsteemide vahel ja teiseks sellest tulenev halduskoormus ja rahaline kulu. Teabe osaline krüpteerimine ühe protsessi raames on kasutajale pea võimatu või äärmiselt koormav.  Esialgsete hinnangute kohaselt muudab krüpteerimine pilveteenuse kasutuse kallimaks ning kaob võimalik majanduslik sääst, mis oleks põhiline pilveteenuse kasutamise põhjus. Teenusepakkujate hetkel pakutavad lahendused ei võimaldada piisavat käideldavuse koostoimet krüpteerimisega.  Määruse eelnõu § 17 lõikes 1 toodud loend "range AK" kohta lähtub vaid julgeoleku seisukohalt tundlikust infost, kuid arvestamata on jäetud isikuandmete kaitse seisukohast tundlik info, nt eriliiki isikuandmed. Teeme ettepaneku jätta krüpteerimise vajadus süsteemi kasutaja kaalutlusõiguseks lähtuvalt isikuandmete kaitsest, ohust julgeolekule ning infoturve riskidest ning määruse eelnõu § 17 sellisel kujul välja. Juhime tähelepanu, et nimetatud sätte välja jätmisel, on vajalik ümber sõnastada ka sellega seonduvad sätted (nt logimine § 18 lg 2 p 1). 27 1.3. Logimine Võetud teadmiseks. 16  Teeme ettepaneku logide vajadust täpsustada ja kitsendada Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega sellisel määral, mis võimaldab RIAl analüüsi teostada. Kuna seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt pilvteenusepakkujate olemasolevad logid on pealiskaudsed, ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside tekib tõenäoliselt detailsemate logide saamiseks vajadus soetada sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste suurema kuluga pakett, mis omakorda tekitab täiendavat rahalist seisukohtadega vastavatele muudatusettepanekutele. kulu. 28 1.4. Alternatiivsüsteem (määruse eelnõu § 19) Võetud teadmiseks. SIMi hinnangul vajab täpsustamist määruse eelnõu § 19, mis sätestab kohustuse pidada alternatiivsüsteemi või meedet suure Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega kaitsetarbega süsteemi puhul, kuid ei sea täpsemaid nõudeid seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt selle ulatusele ja vormile. Näiteks võib välja lugeda, et meede ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside võib olla ka paberkandjal tegevuse jätkamine. Õiguslikult pole sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seega selge, mida täpselt peab kasutaja rakendama. seisukohtadega vastavatele muudatusettepanekutele. SIMi hinnangul peab suure kaitsetarbega infosüsteemidele kehtima nõue, et need on varundatud Eesti territooriumil (kas lokaalselt või näiteks riigipilves). Praeguse regulatsiooni kohaselt on võimalik alternatiiv ka teine pilvesüsteem, mis võib viia olukorrani, kus suure kaitsetarbega süsteem asub täielikult väljaspool Eestit. Näiteks on võimalik stsenaarium, kus kasutatakse kahte USA pilvandmetöötlusteenuse pakkujat ning kogu USAd puudutava küberintsidendi puhul ei ole süsteem kättesaadav. Mõistame, et alternatiivsüsteem hoidmine on täiendav kulu kasutajale ning lokaalse lahenduse nõue vähendab pilveteenuse kasutamisest saadavat kokkuhoidu. Siiski leiame, et kuna tegemist on kõrge turvariskiga süsteemidega, ei tohiks majanduslik kokkuhoid kaaluda üle vajadust tagada süsteemide toimepidevus. 29 2. Avalike ülesannete täitmist oluliselt mõjutavad süsteemid Mittearvestatud. 17  Määruse eelnõu § 12 sisaldab avalike ülesannete täitmist oluliselt Selgitame, et andmesaatkonna kui mõiste defineerimine õigusaktis ei mõjutavate süsteemide loetelu, kus SIM haldusalast on ole asjakohane, kui seda mõistet ei kasutata regulatiivses sisus ehk nimetatud rahvastikuregister. Juhime tähelepanu, et hiljuti kogus eelnõus. Lisaks selgitame, et EE-LUX kokkuleppes on defineeritud MKM teavet seoses kriitiliste andmete ning teenuste „andmekeskus“ andmesaatkonna kontseptsiooni mõttes – vt Eesti varundamise ja käitamisega. […] Vabariigi ja Luksemburgi Suurhertsogiriigi vahelise andmete ja infosüsteemide majutamise kokkuleppe artikli 1 lõiget (a). Palume MKMl kaaluda andmesaatkonna defineerimist määruses, kuna tegemist on üldiselt kasutusel olev mõistega, mida ei ole õigusaktides määratletud. 30 3. Eelnõu rakendamisega seonduvad kulud Mittearvestatud. Leiame, et eelnõu seletuskirja kulude ja tulude analüüsi osa on puudulik. Seletuskirjas ei ole arvestatud järgmiste kuludega: Selgitame, et eelnõu seletuskiri peab analüüsima eelnõu muudatustest  Infoturbe standardi rakendamine. SIM on esitanud tulenevat majanduslikku mõju. Kuivõrd selle võimalik majanduslik vastava lisavajaduse MKMile riigieelarve strateegia mõju, nagu korduvalt seletuskirjas selgitatud, on sõltuv subjekti IKT 2023-2026 raames. iseseisvast korraldusest, sh valikutest infosüsteemide arendamisel  Avalike ülesannete täitmist oluliselt mõjutavate ning valikutest E-ITS rakendamisel, ei ole selline mõju hinnatav süsteemide toimimiseks vajalik rakenduskiht. arvulise väärtusega, vaid on hinnatav abstraktselt. Seletuskirjas on toodud, et varundamisega seonduvad halduskulud kaetakse asutuste eelarvest, samas SIM esitatud lisavajadused ei ole teisendatavad eelnõu kuludeks ega suurendab rakenduskihi loomine asutustele olulisi tuludeks mitmetel põhjustel, nt: kulutusi ning seni ei ole neid täpsemalt välja arvestatud 1) hinnatud kulud põhinevad SIM hetkeseisu vastavusse viimisel ega planeeritud asutuste eelarves. kehtestatavate nõuetega, mitte kuludel, mis tekiksid kehtestatavate  Pilveteenuse rakendamise puhul on toodud välja, et see nõuetega vastavusse viimisel olukorras, kus kõik hetkel kehtivad vähendab pilvandmetöötlusteenuste kasutamise nõuded oleks täidetud; majanduslikke eeliseid pilvsüsteemi turvalisuse 2) hinnatud kulud ei ole valideeritavad eelnõust tulenevate kuludena, tagamise eesmärgil, kuid ühtegi arvutust ei ole siinkohal kuivõrd kulude aluseks on SIM iseseisvad valikud IKT korraldamisel, välja toodud. Samuti ei ole hinnatud kasutajale tekkivad mitte konkreetse kulu katmise sund normi poolt, st et alati eelneb kulusid pilveteenuse pakkuja hindamisel, logide nõude konkreetse meetme kulule selle meetme rakendamiseks läbiviidud tagamisel või alternatiivsüsteemi loomisel ja käigus riskihaldus ja alternatiivide kaalumine; hoidmisel. 3) küberturvalisuse tagamiseks vajalikud kulutused sõltuvad IKT mahust ja struktuurist läbi aja ning ei ole seetõttu konkreetse arvuga 18 Palume eelnõu seletuskirja täiendada ning tuua välja kõik piiratavad, kui just ei ole kavatsust pärast 2026. aastat arendada määruse rakendamisega seonduvad kulud. süsteeme küberturvalisuse nõudeid eirates; 4) hinnatud kulud ei ole arvestatavad eelnõust tuleneva kuluna iseseisvalt, kuivõrd puudub arvestus, mis IKT taastamisega seonduvad kulud võivad alternatiivselt tekkida küberintsidentide tulemusel eelnõu nõudeid kehtestamata. Selgitame, et parimal juhul tekiks SIM esitatud lisavajaduste arvestamine eelnõu kuludesse seletuskirjas võimaliku ebatäpsuse. See ebatäpsus vaid suureneks sarnase kuluhinnangu rakendamisega kõikide subjektide osas ning tulemiks oleks sisutühi hinnang. Eelnõu aga ei tekita küberturvalisuse tagamise kohustust, vaid sisustab ümber selle rakendamise nõudeid. Selgitame et eelnõu ei ole vaadeldav nõuete karmistamise või leevendamisena, ISKE ja E-ITS ei ole nii võrreldavad. Seletuskirjas on analüüsitud, et kui ISKE on subjektil rakendatud nõuetekohaselt, ei hõlma E-ITS rakendamine olulisi kulutusi. Muidugi ei ole küberturvalisuse tagamine tasuta tegevus. Ennekõike moodustavad vajalikud kulud lahutamatu osa infosüsteemide arendamisest ja haldamisest. Seega peab ka küberturvalisuse tagamiseks vajalik ressurss tulenema eelarvelistest läbirääkimistest samamoodi, nagu IKT arendamiseks ja haldamiseks vajalikud vahendid. Mitte ei ole põhjendatud subjekti IKT küberturvalisuse tagamiseks vajalike kulude esitamine eraldiseisvalt E-ITS kehtestamise eelnõusse. Avalike ülesannete täitmist oluliselt mõjutavate süsteemide toimimiseks vajaliku rakenduskihiga seotud kulude teemal vt Justiitsministeeriumiga seotud kommentaari nr 10 koos selle 19  selgitusega ja Rahandusministeeriumiga seotud kommentaari nr 24 koos selle selgitust. Seoses pilvsüsteemi nõuete kohaldamise kuludega selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seisukohtadega vastavatele muudatusettepanekutele. Sotsiaalministeerium – kooskõlastab märkustega 31 Eelnõu § 12 sätestab avalike ülesannete täitmist oluliselt Mittearvestatud. mõjutavate süsteemide loetelu. Loetelusse kuuluvad süsteemid, millel on oluline mõju riigi ja kohaliku omavalitsuse üksuse Selgitame, et loetelu aluseks on küberjulgeoleku nõukogu sisend ning võimele täita avalikke ülesandeid. loetelu on valitud kõikidest andmekogudest. Kuivõrd ettepaneku arvestamise tagajärjeks on teistsuguse loetelu kehtestamine, nõuaks Eelnõu seletuskirjas on selgitatud, et eesmärk on kindlustada selle ettepaneku arvestamine eelnõu kooskõlastamise etapis mitte vaid avaliku sektori põhifunktsioonide täitmiseks vajalike andmete TIS ja STAR andmekogude olulisuse põhjendamist, vaid kogu loetelu turvaline säilitamine ja ligipääs ning elutähtsate infosüsteemide põhjendamist viisil, mis võimaldaks küberjulgeoleku nõukogu töös hoidmine teenuste osutamiseks ka siis, kui riigi sisendist teistsugusele järeldusele jõuda. Kui see kriteerium on territooriumil asuvate andmekeskuste töö on peatunud või täitmata, siis tekiks ettepaneku arvestamisel põhistuseta loetelu. häiritud näiteks looduskatastroofi, ulatusliku küberrünnaku, Sellises olukorras aga puuduks sisuline põhjus ühegi andmekogu elektrikatkestuse või muu kriisiolukorra tõttu. lisamise ettepaneku mittearvestamiseks, mille esitaja väidab, et tegemist on olulise andmekoguga. Sotsiaalministeerium teeb koos TEHIK-uga ettepaneku avada arutelu eelnõu § 12 loetelusse kuuluvate infosüsteemide kohta. Kuivõrd tuleb hinnata andmekogude olulisust mitte iseseisvalt, vaid Lähtudes küberturvalisuse strateegiast 2019–2022 on kõige võrdluses kõikide teiste andmekogudega (et kehtestada olulisemate enam kaitset vajavateks digitaalseteks varadeks põhiandmed loetelu) ning seda kujutab endast küberjulgeoleku nõukogu sisend, siis kodanike, riigi territooriumi ja õigusloome kohta (kriitilise on põhjendatum ühe infosüsteemi lisamise ettepanek arvestamata tähtsusega andmekogud). Kriitiliste andmekogude töörühm on jätta. Seda enam, kuivõrd iga andmekogu loetellu lisamine tähendaks selgitanud välja avalike ülesannete täitmist oluliselt mõjutavad täiendavaid kulutusi ja investeeringuid riigile. 20 süsteemid ning need on kinnitanud küberjulgeoleku nõukogu. Need kriitilised süsteemid moodustavadki eelnõu § 12 loetelu, Lähtuvalt aga mitmest ettepanekust mõne andmekogu loetellu kuhu muu hulgas kuulub ka sotsiaalkaitse infosüsteem (SKAIS). lisamiseks, on MKM-l plaanis algatada eraldiseisev arutelu käesoleva loetelu revideerimiseks ning vastava vajaduse tuvastamisel Täiendavat arutelu vajab tervise infosüsteemi (TIS) ja kehtestatava määruse muudatuse algatamiseks. See võimaldaks sotsiaalteenuste ja -toetuste andmeregistri (STAR) loetellu erinevalt loetelu ettepanekute arvestamisest/mittearvestamisest eelnõu lisamine. Mõistame, et täiendavate infosüsteemide loetellu kooskõlastamisel jõuda tervikliku lähenemiseni ja põhistatud lisamine toob kaasa täiendava andmemahu hoidmise eelnõu §-s loeteluni. Hetkel reguleeritakse ära 12 juba olemasolevat andmekogu, 13 märgitud turvalises andmekeskuses. TEHIKu hinnangul on aga peale andmesaatkonna laiendamist täieneb nimekiri vastavalt see tehniliselt teostatav. kokkulepetele ja siinse määruse täiendamist. Peame oluliseks tuua välja ja hinnata hoiustavate andmete väärtus riigile, kui praegu toimivad infosüsteemid ei ole kasutatavad. Varasemalt on TIS olnud teemaks ka isiku terviseandmete ajaloona. Kui isiku 10–20 aasta tagused andmed tänaseks raviotsuseks ei pruugi anda väärtust, võivad need andmed osutuda oluliseks teatavate ravijuhtude lahendamisel. Tehniliselt on tegemist hoiustatava andmemahu suurusega. Sotsiaalministeerium ja TEHIK peavad oluliseks tuua välja, et riigi taastoimimise kindlustamiseks on andmeid/süsteeme kogumina rohkem. See tähendab märksa laiemat andmete hoiustamist turvalises andmekeskuses. Näiteks võiks riiklike andmekogude andmeid andmekeskuses hoiustada tervikuna, näiteks tänases riigiarhiivi andmeformaadis, hoidmaks ilmselt kokku andmemahtu kui ka kindlustades andmete taaskasutuse universaalsuse. Nii puudub hiljem vajadus ühe või teise varundatud infosüsteemi arhitektuuri spetsiifika tundmise järele. Eeltoodu tõttu peame oluliseks täiendavat arutelu Sotsiaalministeeriumi valitsemisala infosüsteemide kohta, hindamaks nende kuulumist nimetatud loetelusse ning samuti vahendite tagamist sätte rakendamiseks. 21 32 Eelnõu § 17 sätestatakse nõuded pilvsüsteemis töödeldava teabe Võetud teadmiseks. konfidentsiaalsusele. Eelnõu viidatud paragrahvi lõikes 1 sätestatakse, et kasutaja tagab avaliku teabe seaduse § 35 lõike Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega 1 punktides 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 sätestatud teabe seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt konfidentsiaalsuse pilvandmetöötlusteenuse pakkuja eest ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside pilvsüsteemis, sealhulgas tagab kasutaja loetletud teabe sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste krüpteerimise. Eelnõu sama paragrahvi lõike 3 kohaselt võib seisukohtadega vastavatele muudatusettepanekutele. üleriigilise küberturvalisuse tagamise korraldamise eest vastutav minister kehtestada määrusega nõuded eelnimetatud teabe krüpteerimise krüptomaterjalidele. Peame oluliseks, et lähtuvalt eesmärgist tagada ühtne arusaam ning krüpteerimise teostuse täpsus ja täielikkus, nõuete piisav rakendamine ning õigusselgus nõuete täitmise osas sõnastataks edasivolitus konstateerivas vormis. Imperatiivset edasivolitamise vormi nõuab ka eelnõu aluseks olev volitusnorm küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõus (531 SE). Palume muuta eelnõu § 17 lõiget 3, asendades sõnad „võib kehtestada“ sõnaga „kehtestab“. Välisministeerium – kooskõlastab märkustega 33 Eelnõu § 6 kohaselt ajakohastab teenuse osutaja riskianalüüsi: Mittearvestatud. 1) viivitamatult pärast olulise mõjuga küberintsidendi toimumist; 2) viivitamatult pärast teenuse osutamiseks kasutatava süsteemi Selgitame, et regulaarsuse praegune ajaline piiritlus on 3 aastat, mis sellist muutust, mis mõjutab süsteemi turvalisust või on oluliselt harvem kui kord aastas. Täiendavalt on lihtsalt käesolevas 3) hiljemalt kolme aasta möödumisel viimasest lahenduses vajaduspõhine (defineeritud) uuendamine lähtuvalt ajakohastamisest. olukordadest, mis oma loomult ei ole igapäevased, aga on küberturvalisuse mõttes määrava tähtsusega. 22  Leiame, et liialt sagedane riskianalüüsi uuendamine tekitab tarbetut bürokraatiat ning riskianalüüside ajakohastamine peaks jääma regulaarseks, nt kord aastas ümberhindamist vajavaks kohustuseks. Liiga sagedane riskianalüüsi uuendamine ei anna organisatsioonile lisaväärtust, kuna jooksval eelarveaastal pole võimalik tööplaane oluliselt riskianalüüsi tulemustelt lähtuvalt ringi kohandada ning kriitilisemad turvarikked ja küberintsidendid lahendatakse niigi koos uute turvameetmete kasutusele võtmisega. 34 Eelnõu § 10 lg 5 punktide 1-4 kohaselt eristatakse Arvestatud osaliselt. asutusesiseseks kasutamiseks mõeldud teavet muust, s.t salajasest ja ülisalajasest teabest. Rõhutame, et salajane teave on Kommenteeritav lõige asub nüüd eelnõu § 10 lõikes 6, mis juba riigisaladuse ja salastatud välisteabe seaduse (RSVS) ja sõnastatakse ümber järgmiselt: Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 262 „Riigisaladuse ja salastatud välisteabe kaitse kord“ (RSVKK) „(6) Andmete konfidentsiaalsuse alusel määratakse turvaosaklass poolt sisustatud kui kindla kaitsevajadusega salajasel tasemel järgmisest skaalast: salastatud teave. Kuivõrd määrus täpsustab pilvsüsteemi avaliku 1) S0 – avalik info, juurdepääsu teabele ei piirata, lugemisõigus on teabe seaduse (AvTS) § 35 lg 1 punktides 31, 4, 5, 51, 52, 6, 61, kõigil huvitatutel ja muutmise õigus on määratud tervikluse nõuetega; 62, 9 ja 181 abil kaitset, mis on teabe asutusesiseseks 2) S1 – info asutusesiseseks kasutamiseks ja juurdepääs teabele on kasutamiseks tunnistamise alused, siis võib tekkida lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; väärtõlgendusi, nt kas turvaosaklassid S2 ja S3 on üldse 3) S2 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud kohaldatavad AvTS alusel juurdepääsupiiranguga teabele või ainult teatud kindlatele kasutajate gruppidele ja juurdepääs teabele on hoopis salastatud teabele. Enamgi, leiame, et nimistust on jäänud lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; välja AvTS § 35 lg 1 p 3 alune teave, mille kohta seadus ütleb 4) S3 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud selgelt, et selle avalikuks tulek kahjustaks riigi välissuhtlemist. ainult teatud kindlatele kasutajatele ja juurdepääs teabele on lubatav Näiteks RSVS ja RSVKK eeldavad riigikaitselise teabe ja juurdepääsu taotleva isiku teadmisvajaduse korral.“ välissuhtlemisasutuse loodava teabe põhimõtteliselt samalaadset Sellega ei teki vääriti mõistmist eelnõu ja RSVS ning RSVKK-ga. kaitsemisvajadust ja kaitsmismeetmeid. Lisaks märgime, et KüTS § 1 lg 2 punkti 1 kohaselt ei kohaldata seda seadust riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele. Sellest johtuvalt ei kohaldu ka siinne eelnõu viidatud süsteemidele. 23  Pilvsüsteemi pidamist puudutava tähelepaneku osas selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seisukohtadega vastavatele muudatusettepanekutele. 35 Eelnõu § 11 osas soovime, et uus sõnastus oleks selgem, sest Mittearvestatud. lõike 2 kohaselt tuleb kaitsetarvet ja turbeastet kõrvutades esile selgelt semantilised ebaühtlused – kõrge = väga suur; keskmine Rõhutame, et mõistete sisuline koherentsus on siiski eeskohal = suur, madal = normaalne. Rõhutamine, et turbeaste ja semantilisest sobivusest. Semantilise ühtluse tagamiseks tuleks kaitsetarve (RSVS mõistes kaitsevajadus) peaksid sisult olema loobuda erinevate tasemete sisulisest ühtlustusest. Kaitsetarve ja mitte ainult koherentsed, vaid rakendada tuleks ühte mõistet, turbeaste on eristuvad nii eelnõus, selle seletuskirjas kui ka muus kuna kaitsetarve ja turbeaste pole eelnõus tähenduslikult temaatikat käsitlevas dokumentatsioonis. piisavalt eristuvad. Turbeastme ja turvaosaklassi säilitamise eesmärk on selgitatud eelnõu seletuskirjas ja Justiitsministeeriumiga seotud kommentaari nr 5 selgituses. Riigikantselei – ei ole tähtajaks vastanud Eesti Linnade ja Valdade Liit – kooskõlastab ettepanekutega 36 Määruse eelnõu § 4 paneb kohalikule omavalitsusele (KOV) kui Arvestatud. teenuse osutajale kohustuse auditeerida Eesti infoturbestandardi (E-ITS) tingimuste täitmist iga kolme aasta järel, lisaks on Eelnõu § 4 lõike 3 punkt 2 sõnastatakse ümber järgmiselt: auditeerimise kohustus haridusasutustel (milleks on kohaliku omavalitsuse vaates eelkõige koolieelsed lasteasutused, „(3) Lõikes 1 sätestatut ei kohaldata: põhikoolid ja gümnaasiumid, kutseõppeasutused, huvikoolid). 2) riigimuuseumile, avalik-õigusliku isiku muuseumile, valla või linna Auditikohtustusega kaasnevad auditeeritavale kulud. Kui ISKE ametiasutusele, valla või linna ametiasutuse hallatavale asutusele, auditi tellimise võimalus KOVdele oli riigil ning samuti tasus osavalla või linnaosa ametiasutusele, osavalla või linnaosa 24 riik ka kulud, siis E-ITS auditeerimise kulude kandmine on ametiasutuse hallatavale asutusele ning kohaliku omavalitsuse üksuste kohaliku omavalitsuse ülesanne. Palume määruse seletuskirjas ühisametile ja -asutusele, kui tegemist ei ole andmekogu vastutava täpsustada, kas tegemist on olemuselt kohaliku või riikliku töötlejaga või volitatud töötlejaga.“ ülesandega ning täpsustada kulude võimalikku suurust ning katmise allikat kohalike omavalitsuste jaoks. Kohaliku Eelnõu seletuskirjas on täpsustatud, et tegemist ei ole olemuselt omavalitsuse üksusele lisakulude sätestamisel tuleb eelnõu riikliku ülesandega. koostamisel kavandada lisakulude katteallikad. Selgitame, et eelnõuga ei sätestata kohaliku omavalitsuse (KOV) üksusele riiklikku ülesannet, küberturvalisuse nõuete eesmärgiks on olnud ning jääb ka eelnõuga subjekti enda IKT toimimise tagamine. Samuti selgitame, et lisakulu ega tulude vähendamist KOV üksusele ei sätestata, sest eelnõu sisustab ümber süsteemide pidamise nõudeid küberturvalisuse tagamisel, kuid süsteemide pidamine on KOV üksuse enesekorralduslik küsimus. KOV üksuse poolt süsteemide pidamisele rakenduvad küberturvalisuse tagamise nõuded rakendusid ka enne eelnõud. Ei ole eeldatav, et ka auditikohustus suurendaks kogumis küberturvalisuse tagamiseks tehtavaid kulutusi võrreldes varasema ISKE täitmiseks vajalike kohustustega (kogumis). Seejuures tuleb märkida, et auditeerimine E-ITS järgi ei loo subjektile sertifikaati, vaid toob välja leitud puudused nõuete täitmisel, luues seega sisendväärtust subjektile küberturvalisuse tagamisel. Süsteemide pidamisel vajalike küberturvalisuse kulude, sh auditi, katteallikaks on ennekõike KOV üksuse eelarve, sarnaselt muude IKT arenduseks ja haldamiseks tehtavate investeeringutega. Ka auditeerimiskulu suurus on lisaks KOV üksuse IKT mahule ja keerukusele sõltuv ka KOV üksuse tegevustest auditiks ettevalmistumisel. Kuivõrd teenus sõltub ennekõike audiitori tunnihinnast ja teenuse osutamiseks kuluvatest tundidest, on KOV üksusel võimalik teha ise vähem pingutusi auditi ettevalmistamisel (nt dokumentatsiooni korrastamisel, küsimustele vastamisel) ja võtta vastu suurem auditikulu või valmistuda auditiks põhjalikult ette ja teenuse ajaline kulu minimeerida. 25  MKM-l on kavas ka arutada võimalusi toetuste andmiseks KOV üksustele auditite läbiviimiseks ning ennekõike välja töötada sobiv meetod sihipärase toetuse rakendamiseks, mis arvestaks KOV üksuste erinevaid vajadusi. 37 Seletuskiri § 17 lõige 1 kehtestab kasutajale kohustuse lõikes Võetud teadmiseks. loeteletud teabe konfidentsiaalsus tagada pilvandmetöötlusteenuse pakkuja eest pilvsüsteemis, sealhulgas Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega rakendada tehnilist meedet vastava teabe krüpteerimiseks seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt teenusepakkuja eest. Lõikes on loeteletud AvTS § 35 lõike 1 ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside punktides 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 sätestatud teave sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste ehk:…“. seisukohtadega vastavatele muudatusettepanekutele. Määruse § 17 lõikes 1 sätestatakse, et kasutaja tagab avaliku teabe seaduse § 35 lõike 1 punktides 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 sätestatud teabe konfidentsiaalsuse pilvandmetöötlusteenuse pakkuja eest pilvsüsteemis, sealhulgas tagab kasutaja loetletud teabe krüpteerimise. Seletuskirja lõik eelnõu § 17 lg 1 kohta selgitab, et eelkõige vajab täiendavat kaitset riigi julgeolekut puudutav teave. Seletuskirjas viidatakse vastavatele punktidele AvTS § 35-st. Teeme ettepaneku täiendada määruse § 17 lg 1 loetelu ka Riigisaladuse ja salastatud välisteabe seaduses (RSVS) sisalduvate juurdepääsupiirangu alustega ning vaadata julgeoleku aspektist läbi kogu juurdepääsupiirangute kataloog. Nr Arvamuse esitaja Majandus- ja Kommunikatsiooniministeeriumi seisukoht Eesti Pank – ei ole muudatusettepanekuid ja täiendusi 26  Harju maakohus – kooskõlastas eelnõu Riigikohus – arvamust ei avalda Riigikogu Kantselei 38 Riigikogu Kantseleil on ettepanek lisada eelnõu §-s 12 asuvasse Mittearvestatud. avalike ülesannete täitmist oluliselt mõjutavate süsteemide loetelusse ka Riigikogu ja Riigikogu Kantselei Selgitame, et loetelu aluseks on küberjulgeoleku nõukogu sisend ning dokumendihaldus- ja eelnõude menetlusinfo süsteem. loetelu on valitud kõikidest andmekogudest. Kuivõrd ettepaneku arvestamise tagajärjeks on teistsuguse loetelu kehtestamine, nõuaks selle ettepaneku arvestamine eelnõu kooskõlastamise etapis mitte vaid nimetatud andmekogude olulisuse põhjendamist, vaid kogu loetelu põhjendamist viisil, mis võimaldaks küberjulgeoleku nõukogu sisendist teistsugusele järeldusele jõuda. Kui see kriteerium on täitmata, siis tekiks ettepaneku arvestamisel põhistuseta loetelu. Sellises olukorras aga puuduks sisuline põhjus ühegi andmekogu lisamise ettepaneku mittearvestamiseks, mille esitaja väidab, et tegemist on olulise andmekoguga. Kuivõrd tuleb hinnata andmekogu olulisust mitte iseseisvalt, vaid võrdluses kõikide teiste andmekogudega (et kehtestada olulisemate loetelu) ning seda kujutab endast küberjulgeoleku nõukogu sisend, siis on põhjendatum ühe infosüsteemi lisamise ettepanek arvestamata jätta. Seda enam, kuivõrd iga andmekogu loetellu lisamine tähendaks täiendavaid kulutusi ja investeeringuid riigile. Lähtuvalt aga mitmest ettepanekust mõne andmekogu loetellu lisamiseks on MKM-l plaanis algatada eraldiseisev arutelu käesoleva loetelu revideerimiseks ning vastava vajaduse tuvastamisel kehtestatava määruse muudatuse algatamiseks. See võimaldaks erinevalt loetelu ettepanekute arvestamisest/mittearvestamisest eelnõu kooskõlastamisel jõuda tervikliku lähenemiseni ja põhistatud 27  loeteluni. Hetkel reguleeritakse ära 12 juba olemasolevat andmekogu, aga peale andmesaatkonna laiendamist täieneb nimekiri vastavalt kokkulepetele ja siinse määruse täiendamist. Vabariigi Presidendi Kantselei 39 Vabariigi Presidendi Kantseleile sai teatavaks, et olete esitanud Mittearvestatud ministeeriumitele ja teistele avaliku sektori asutustele kooskõlastamiseks ning arvamuse avaldamiseks ettevõtlus- ja Eelnõu koostajad kontrollisid mõlema eelnõu meta-andmeid infotehnoloogiaministri määruse eelnõu "Eesti ministeeriumi dokumendihaldussüsteemis Delta ning mõlema puhul infoturbestandard“ ja Vabariigi Valitsuse määruse eelnõu on teave, et need edastati ka Vabariigi Presidendi Kantseleile. "Võrgu- ja infosüsteemide küberturvalisuse nõuded". Vaatamata  Ministri määrusega seonduvalt: sellele, et uue küberturvalisuse seaduse redaktsiooni kohaselt o Deltas on märgitud, et see on saadetud ka Vabariigi hakkavad need määrused kehtima ka Vabariigi Presidendi Presidendi Kantseleile eelnõude infosüsteemi (EIS) Kantseleile, ei ole kahetsusväärsel kombel neid eelnõusid meile kaudu 11.05.2022 – konkreetsemalt on täitmismärkes kooskõlastamiseks ja arvamuse avaldamiseks esitatud, rikkudes märgitud: „Edastatud EISi kaudu kooskõlastamiseks sellega Vabariigi Valitsuse reglemendi § 4 ja § 6. 11.05.22, EIS 22-0568. Tähtaeg lisatud nagu kaaskirjas sooviti“ o EIS-is on toimiku nr 22-0568 juures mh märgitud arvamuse avaldajaks ka Vabariigi Presidendi Kantselei  Vabariigi Valitsuse määrusega seonduvalt: o Deltas on märgitud, et see on saadetud ka Vabariigi Presidendi Kantseleile EIS-i kaudu 11.05.2022 – konkreetsemalt on täitmismärkes märgitud: „Eelnõu on edastatud kooskõlastamiseks 11.05.22. Reageerimiskuupäev 01.06.2022, EIS 22-0570“ o EIS-is on toimiku nr 22-0570 juures mh märgitud arvamuse avaldajaks ka Vabariigi Presidendi Kantselei Vabariigi Valitsuse reglemendi nõudeid rikutud ei ole. 28 40 Käesolevaga teatame et nende määruste rakendamisega tekivad Võetud teadmiseks. Vabariigi Presidendi Kantseleil suured kulutused, milleks eelarvelised vahendid puuduvad, mistõttu Vabariigi Presidendi Kantselei ei näe võimalust neid määrusi käesoleval ajal täita. Oleme taotlenud riigieelarvestrateegiaga 2023–2026 VPK IT jätkusuutlikkuse ja küberturvalisuse tagamiseks lisarahastust, kuid teadaolevalt tehakse vastav otsus alles 2022. a. sügisel. 41 Samuti peame vajalikuks muuta eelnõu „Võrgu- ja Mittearvestatud. infosüsteemide küberturvalisuse nõuded“ § 6 lg 1, kuna see eeldab riskianalüüsi ajakohastamist peale olulise mõjuga Selgitame, et riskianalüüsi ajakohastamine ja küberintsidendi küberintsidendi toimumist. Pakutud paragrahv prioritiseerib lahendamine ei ole teineteist välistavad sündmused. Prioriteedi riskianalüüsi koostamist, mitte aga probleemi lahendamist. seadmine on muidugi küberintsidendi lahendamisele, kuid lähtuvalt Teeme ettepaneku asendada §-s 6 lg 1 sõna „toimumist“ sõnaga selle iseloomust võib küberintsidendi lõplik lahendamine (tagajärgede „lahendamisest“. likvideerimine) venida. Samuti ei saa sätestada, et kui asutus küberintsidenti ei lahenda, siis riskianalüüsi ajakohastama samuti ei pea. Andmekaitse Inspektsioon 42 1. Eelnõu § 17 kohustab kasutajat rakendama täiendavaid Võetud teadmiseks. konfidentsiaalsusmeetmeid sh krüpteerimist, kui pilvsüsteemis töödeldakse avaliku teabe seaduse (AvTS) § 35 lõike 1 punktides Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 loetletud AK teavet. Loetelu seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt punkt 9 puudutab teatavasti teavet turvasüsteemide, ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside turvaorganisatsiooni või turvameetmete kirjelduse kohta. Selle sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste punkti alla minevat sisu kirjeldavad üldjuhul andmetöötlejad ka seisukohtadega vastavatele muudatusettepanekutele. Andmekaitse Inspektsioonile saadetavates rikkumisteadetes. Rikkumisteavitustega seotud teabele rakendub täna piirangu alusena AvTS § 35 lõige 1 punkt 182 st teave isikuandmetega seotud rikkumisest teavitamise kohta. 29  Kuna AvTS § 35 lõige 1 punkt 9 ja punkt 182 alusel kirjeldatud teave võib olla kattuva sisuga, teeme ettepaneku lisada eelnõu § 17 lõikes 1 olevasse AK aluste loetelu ka AvTS § 35 lõige 1 punkt 182. 43 2. Eelnõu § 18 lõige 1 paneb kasutajale kohustuse edastada või Võetud teadmiseks. tagada juurdepääs Riigi Infosüsteemi Ametile (RIA) pilvandmetöötlusteenuse kasutamisega kaasnevatele logidele. Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega Eelnõu seletuskirja kohaselt tuleks sama määrust koosmõjus seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt RIA põhimäärusega pidada RIA-le sobivaks õiguslikuks aluseks ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside kasutaja logide töötlemiseks, kui kasutaja logid sisalduvad sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste isikuandmeid. seisukohtadega vastavatele muudatusettepanekutele. Leiame, et õiguslik alus RIA-le logide töötlemiseks peab olema siiski kirjas seaduses. Näiteks küberturvalisuse seaduses. Logid on oma olemuselt väga mahukad. Seda enam, et eelnõu ei välista edaspidi ka andmekogude pidamist avalikes pilvsüsteemides. Kohalduma peaks sarnane põhimõte kui on riikliku nõusoleku teenuse puhul, kus nõusolek annab riigi või omavalitsusasutusele õigusliku aluse eelkõige andmete väljastamiseks. Andmeid saav organisatsioon peab aga edasise andmetöötluse puhul tuginema uuele õiguslikule alusele. Kokkuvõtvalt – eelnõu § 18 lõige 1 saab olla kasutajale õiguslikuks aluseks logide edastamiseks või juurdepääsu andmiseks RIA-le. Õiguslik alus saadud logide töötlemiseks sh säilitamiseks peab RIA-le tulema aga seadusest. 44 3. Sarnaselt meie arvamuse p 1 selgitusele, teeme ettepaneku Võetud teadmiseks. lisada eelnõu § 18 lõige 2 punkti 1 AK aluste loetellu ka AvTS § 35 lõige 1 punkt 182. Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt 30  ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste seisukohtadega vastavatele muudatusettepanekutele. 45 4. Eelnõu § 18 lõige 2 punkt 2 kohaselt tohib Eesti Võetud teadmiseks. infoturbestandardi kohase kaitsetarbe vähemalt S (suur) puhul kasutada ainult sellist pilvsüsteemi, mis võimaldab kasutajatele Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega pilvelogidele juurdepääsu. seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside Teeme ettepaneku mitte piirduda ainult suure kaitsetarbe sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste juhuga, vaid rakendada pilvsüsteemi logidele juurdepääsu seisukohtadega vastavatele muudatusettepanekutele. nõuet juba alates kaitsetarbest N (normaalne). Põhjendame ettepanekut sellega, et juba normaalse kaitsetarve puhul võib tegemist olla isikuandmete töötlemisega. Selleks, et eelnõu harmoniseeruks selgemalt juba kehtiva andmekaitse raamistikuga sh isikuandmete kaitse üldmääruse (IKÜM) artiklitega 5, 32 ja isikuandmete kaitse seaduse § 36, on logide pidamine (või juurdepääs nendele) andmekaitsenõuete täitmiseks möödapääsmatu. Finantsinspektsioon – märkused puuduvad Kaitseliit 46 Kaitseliidul puuduvad sisulised ettepanekud määruse Võetud teadmiseks. täiendamise osas. Küll aga tekitas küsimus määruse kehtestamise alussäte. Eelnõus viidatakse määruse Selgitame, et määruse volitusnorm on kehtiva õiguse alusel õige. kehtestamise alusena KüTS § 7 lõige 5. Kehtiva KütS kohaselt Riigikogus oli tähelepaneku koostamise ajal arutlusel eelnõu 531 SE, koosneb paragrahv 7 neljast lõikest. Kas määruse kehtestamise millega tekitati küberturvalisuse seadusesse § 7 lõige 5. ajaks või sellega koos on plaanis täiendada KüTS § 7 lõikega 5 või on tegemist inimliku eksitusega? Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) 31 47 1. Esitame eelnõu kohta järgmised ettepanekud: Arvestatud osaliselt. 1.1.Eelnõu kohaldamisala on ebaselge ja vajab täpsustamist Eelnõu §-is 1 ei hakata eraldi määratlema, kellele eelnõus olevad ITL teeb õigusselguse huvides ettepaneku täpsustada eelnõus nõuded kohalduvad, kuna pilvsüsteemide pidamisega olevad nõuded üheselt selgelt, kellele eelnõus sisalduvad nõuded kohalduvad (kooskõlastusel olnud § 14 jj) on võetud siinsest eelnõust välja. täiendades eelnõu §-i 1 kohaldamisalaga. Hetkel on näiteks Kehtestatav eelnõu kehtib teenuse osutajatele või isikutele, kellele pilvsüsteemi nõuete kohaldamisala kirjas vastavas peatükis § 14 kohaldatakse teenuse osutaja kohta sätestatut. Selguse jaoks on lõikes 2. Suurema selguse huvides teeme ettepaneku sätestada seletuskirjas vastava peatüki (osaliselt ka jagude juures) selgitatud, määruse aluses kohaldamisala ja tuua selles välja kõigi nõuete kellele need nõuded kehtivad. kohaldamisalad. Kõige rohkem vajab täpsustamist rahvusvahelist ISO/IEC Eelnõu § 3 lõige 2 sõnastatakse ümber järgnevalt: 27001 standardit (edaspidi: ISO standard) puudutav. Eelnõu „(2) Teenuse osutajale ei kohaldata lõike 1 alusel kehtestatud nõudeid, seletuskirja lk 31 kohaselt on E-ITS alternatiivina aktsepteeritud kui on täidetud kõik järgmised tingimused: ISO standard, kuid eelnõu enda tekstist jääb ebaselgeks selle 1) teenuse osutaja rakendatud turvameetmed vastavad rahvusvahelise alternatiivina aktsepteerimise ulatus. standardiga ISO/IEC 27001 kehtestatud nõuetele; 2) teenuse osutaja on esitanud Riigi Infosüsteemi Ametile kehtiva Esiteks ei ole lõpuni selge eelnõu § 3 lg 2, mis sätestab, et vastavussertifikaadi, mis kinnitab punktis 1 sätestatud tingimuse süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust täitmist.“ Eesti infoturbestandardile eeldatakse ka juhul, kui teenuse osutaja rakendatud turvameetmed vastavad ISO standardiga Eelnõu §-i 4 lõikesse 3 lisatakse punkt 3: kehtestatud nõuetele. Sellest jääb mulje, et isegi kui ISO standard „(3) Lõikes 1 sätestatut ei kohaldata: on rakendatud ja auditeeritud, tuleb EITS meetmetega /…/ vastavuses endiselt olla. See on aga eksitav, mistõttu teeme 3) teenuse osutajale, kes on täitnud § 3 lõikes 2 sätestatud tingimused.“ ettepaneku eelnõu § 3 lõikes 2 selgelt sätestada, et ISO standardi puhul ei ole vaja rakendada EITS meetmeid ega toimu EITS auditeerimist. Selgitame, et eelnõu kohaldamisala on ühetaoline. Seoses pilvsüsteemi pidamise nõuete kohaldamisalaga märgime, et eelnõu §§ See on vajalik õigusselguse huvides ning selleks, et eelnõu ja 14-19 ehk pilvsüsteemide pidamisega seonduvad nõuded võetakse eelnõu seletuskiri oleksid kooskõlas. välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside sisulist 32  Antud küsimusega on seotud ka eelnõu § 4, mis sätestab arvestamist eraldiseisva eelnõu koosseisus koos sisuliste auditeerimiskohustuse ja ühtlasi selle erandid. ITL-i ettepanek seisukohtadega vastavatele muudatusettepanekutele. on täpsustada eelnõu §-is 4, et auditeerimise kohustust ei ole, kui ISO standardi vastavussertifikaat on olemas ehk teenuse osutaja on täitnud eelnõu § 3 lõikes 2 toodud tingimused. Hetkel see eelnõust selgelt välja ei tule. Selgitame, et § 3 lõike 2 tingimuste täitmise eelduseks on, ISO/IEC Samuti jääb eelnõust ebaselgeks, kas piisab ISO standardi 27001 sertifikaat hõlmab teenuseid, mis on KüTS-i kohaldamisalas. sertifikaadi esitamisest Riigi Infosüsteemi Ametile (RIA) (kas Kui rakendaja on piiritlenud ISO/IEC 27001 skoopi selliselt, et seda loetakse vastavussertifikaadiks), või on vaja kõigi riskihaldusest jäetakse välja KüTS-i kohaldamise aluseks olevad küberturvalisuse seaduse (KüTS) skoopi jäävate teenuste ja teenused, siis ei ole erand kohaldatav, kuivõrd teenuse osutaja ei ole süsteemide osas täiendavalt tõestada) süsteemide ja teenuste rakendanud ISO turvameetmeid KüTS kohustuse piiritluses. vastavust. Oleme seisukohal, et kui ettevõttel on rahvusvaheliselt vaja ikkagi ISO sertifikaati, siis oleks ebamõistlik panna teatud osas ka täiendava E-ITS kohane auditi nõue. Selgitame, et kontserni kuuluv juriidiline isik ei võta üle teiste Lisaks palume selgitada eelnõu seletuskirjas, kas kontserni kuuluvate juriidiliste isikute jurisdiktsiooni ega seaduslikku kontsernettevõtete ja riikide üleste teenuste puhul piisab vastutust. Seega ei ole muidugi võimalik täita ühel juriidilise isikul (nt kontserni sertifikaadist. emaettevõtja) teise juriidilise isiku (nt tütarettevõtja) seaduslikku kohustust tema eest. Seega ka sertifikaadi esitamise osas tuleb Kokkuvõttes leiame, et ISO standard kui aktsepteeritav asendus eristada, mida tähendab „kontserni sertifikaat“. Kui see tähendab, et peab olema eelnõus selge ja terviklik, mitte osaline ja segadust sertifikaat on antud spetsiifiliselt nt emaettevõtjale, siis muidugi ei tekitav. ITL peab väga oluliseks, et ISO standardi osas saaks vabasta see Eestis tegutsevat tütarettevõtjat E-ITS-i järgimise eelnõusse selgelt kirja, et selle sertifikaadi olemasolul EITS ei kohustusest. Kui aga „kontserni sertifikaat“ tähendab, et sertifikaadi rakendu ning täiendavat auditit teenuse osutajad läbi viima ei skoobis on mitu juriidilist isikut, nende hulgas ka Eestis tegutsev pea. ettevõtja, siis on erandi rakendamine võimalik, kui see katab ära KüTS-i kohaldamise aluseks olevad teenused ehk vajaliku skoobi. 48 1.2.Dokumentatsiooni säilitamise tähtaega tuleb lühendada Mittearvestatud. 33 ITL kordab ettepanekut lühendada eelnõu § 5 lõikes 2 sisalduvat dokumentatsiooni säilitamise tähtaega seitsmelt Selgitame, et säilitamistähtaja sätestamisel vähemalt 7 aastaks teenib aastalt kolmele. eesmärki tagada piisav teave järelevalves võimalike rikkumiste uurimisel. Hetkel kehtiva KüTS § 7 lg 2 järgi tuleb dokumente säilitada 3 aastat, aga see punkt tunnistatakse eelnõuga 531 SE kehtetuks. Rikkumise menetlemisel on oluline hinnata ka rakendaja hoolsust. Üks peamine näitaja siinkohal ongi tegevuste ajalugu. 7-aastane ITL jääb seisukohale, et 7 aastat on infotehnoloogias väga pikk säilitamistähtaeg tähendab, et järelevalve teostajal on võimalik välja aeg. Meil on endiselt raske mõista, mis väärtust pakuvad RIA-le nõuda dokumentatsioon, mis kajastab turvameetmete rakendamist üle 7 aasta tagused riskianalüüsid või sel hetkel rakendatud kahe audititsükli. turvameetmete info. Eriti arvestades nõuet, et sõltumatu audit või sertifitseerimine tuleb läbi viia iga 3 aasta järel. Riigi ülesanne ja Järelevalve seisukohast on näiteks oluliselt erinev olukord, kus eesmärk antud kontekstis on meie arusaama kohaselt hinnata, turvameetme rakendamata jätmine või puudulik riskianalüüs ilmneb kas teenuse osutaja turvalisus on piisav mingite teenuste hiljuti kasutuselevõetud süsteemi osas ja millele on tähelepanu juhitud pakkumiseks. Seda hinnatakse läbi auditeerimise (EITS, ISO esmakordselt, olukorrast, kus rakendaja on jätnud rakendamata vms). Vastavusaudit on aga oleku hindamine kindlal ajahetkel, turvameetme süsteemile ka sellele korduvalt tähelepanu juhtimise mitte läbi aja. See tähendab, et hinnatakse, kas teenuse osutaja korral. praegused dokumendid vastavad tasemele ja kas teenuse osutaja läbib auditi (tähelepanekutega) või mitte. Ükski audit ei hinda Lisaks järelevalvele saab auditi teostaja kui ka teenuse osutaja enda praktikas seda, kas teenuse osutaja on olnud tubli võrreldes sisekontrolli teostaja samuti kasutada samu dokumente selgitamaks, eelmise auditiga: seda saavad teenuse osutajad ise teha kuidas on auditeeritava enda küberturvalise tagamise seis selle aja tähelepanekute hulga või sisu põhjal. jooksul muutunud. Kui riigil on nüüd täiendav eesmärk lisaks auditeeritusse ITL-i ettepanek, et järelevalve teostaja peaks vastava kontrolli kontrollimisele hakata ise ka dokumentatsiooni ja selle vastavust võimaldamiseks pidevalt dokumentatsiooni teenuse osutajalt pärima, hindama ning seda soovitakse hindamise käigus võrrelda ka 7 kujutaks endast ebapraktilist halduskoormust nii järelevalve teostajale aastat vanema dokumentatsiooniga, peab riik seda kui ka teenuse osutajale päringutele vastamisel. dokumentatsiooni ise koguma ja hindama hakkama. Selleks oleks vaja välja töötada eraldi toimiv protsessi ning eelnevalt Väide, et teatud andmete säilitamine 3 aasta asemel 7 aastaks tekitaks põhjendada ka selle eesmärk ja vajadus. olulist mõju, on arusaamatu. Andmekoosseis peab teenuse osutajal olemas olema mõlemal juhul ja küsimus on lihtsalt arhiivi mahus või 34  Me ei näe põhjust, miks peaks teenuse osutajad kogu eelmise taastevõime ulatuses. Sel sajandil ei ole enam põhjendatud väita, et auditi aluseks olevat infot nii kaua alles hoidma. Lisame, et tegemist oleks arvestatava erinevusega teenuse osutajale. paljudel juhtudel ei pruugi neid süsteeme enam 7 aasta pärast alles olla, mille kohta need dokumendid käivad. Juhime veel tähelepanu eelnõu seletuskirjas lk 30 toodud mõjuhinnangule, mille kohaselt ei kujuta 7-aastane säilitustähtaeg kohuslastele hinnatavat olulist mõju. ITL-i hinnangul on see väide eksitav, sest arvestatav mõju tekiks kindlasti. 49 2. Tähelepanekud pilvsüsteemi pidamise nõuete osas Võetud teadmiseks. Kuigi eelnõus sisalduvad pilvsüsteemi pidamise nõuded kohalduvad vaid avaliku sektori asutustele, peame vajalikuks Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega juhtida MKM-i tähelepanu järgmisele. seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside 2.1 Pilvesüsteemidele seatavad reeglid ja tingimused peavad sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste olema täidetavad ning arvestama teenuse osutaja võimalusi seisukohtadega vastavatele muudatusettepanekutele. pilveteenuse pakkujale reegleid ette kirjutada. Meie hinnangul on probleemne eelnõu § 18 lõikes 1 sisalduv kasutaja kohustus edastada või tagada muul moel RIA-le juurdepääs pilvandmetöötlusteenuse kasutamisega kaasnevatele logidele, mis võimaldavad analüüsida peetava pilvsüsteemi turvalisust ohustavaid riske. See säte eeldab justkui, et pilveteenusest tuleks audit logi edastada RIA-le. Audit logi on aga miski, mis näitab juba rakenduse kihis toimuvat ja võib sisaldada mh ka ärisaladust, isikuandmeid (nt kasutajatunnuseid) jm informatsiooni, mille töötlemise tulemusena peaks RIA muutuma vähemalt volitatud töötlejaks. 50 2.2. Teine problemaatiline säte on eelnõu § 19 lõikes 3 sisalduv Võetud teadmiseks. kasutaja kohustus pilvsüsteemi terviklust või käideldavust 35  mõjutava küberintsidendi korral tagada võimekus rakendada Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega alternatiivset süsteemi või meedet viivitamatult ja kuni seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt küberintsidendi lõppemiseni. Leiame et siinkohal on vaja läbi ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside mõtlemist küsimus, kas peaks olema tähtaeg, kaua see n-ö sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste alternatiivne süsteem peab kestma ning millises ulatuses ja seisukohtadega vastavatele muudatusettepanekutele. võimekuses. Alternatiivse süsteemi paralleelselt üleval pidamine võib osutada ebamõistlikult kulukaks, sest tekib vajadus omada kaht erinevat tehnilist lahendust. 51 2.3. ITL-i hinnangul vajab täiendavat analüüsi küsimus, kas Võetud teadmiseks. eelnõu § 16 sisalduva pilveteenuse pakkujast tuleneva riski hindamise alused on võimalik sätestada määruses. Eelnõu § 16 Selgitame, et eelnõu §§ 14-19 ehk pilvsüsteemide pidamisega lg 3 osas juhime tähelepanu, et elektroonilise side seaduse § 873 seonduvad nõuded võetakse välja käesoleva eelnõu kooskõlastamiselt lõikes 3 sisaldub samasugune loetelu asjaoludest, mida tuleb ning esitatakse kooskõlastamiseks pärast vastava jaotise tagasiside arvestada sideteenuse osutamisel kastutatava riist- ja tarkvara sisulist arvestamist eraldiseisva eelnõu koosseisus koos sisuliste kõrge riski hindamisel. Nimetatud loetelu kavandati ka seisukohtadega vastavatele muudatusettepanekutele. kehtestada Vabariigi Valitsuse määrusega, aga menetluse käigus jõuti õiguskantsleri poolse tähelepanu juhtimise tulemusena järeldusele, et taoline loetelu peab õigusselguse huvides olema kehtestatud seadusega. Eelnõus on küll kohustus ja seda sisustav loetelu samas õigusaktis, aga kuna tegemist on väga olulise piiranguga, mis mõjutab väga otseselt ka pilveteenuse osutajaid, peaks see loetelu ITL-i hinnangul olema seaduses. 52 Lõpetuseks rõhutame, et eelnõus sisalduvad kohustused tuleb Võetud teadmiseks. üle vaadata ja hinnata, et need ei laieneks ettevõtetele, kel on juba muud kohustused. Näiteks on pangad juba praegu äärmiselt Juhime tähelepanu, et käesolev eelnõu ei käsitle küberturvalisuse reguleeritud ettevõtted ning nende üle teostab järelevalvet ka nõuete kohaldamisala. Kohaldamisala piiritleb KüTS. MKM on kursis küberturvalisuse osas Finantsinspektsioon. Euroopa Liidust on NIS2 ja DORA menetlustega. Kehtiva EL õiguse ega selle põhimõtete tulemas uus, nn DORA regulatsioon, mis on suunitletud just vastu eelnõu ei lähe. finantsasutustele. Seejuures on selgelt välja öeldud, et uuest võrgu- ja infosüsteemide turvalisuse direktiivist (NIS 2) 36 tulenevad kohustused ei laiene neile, kes DORA-t peavad rakendama just seetõttu, et DORA juba katab need teemad ära ning et ei tekiks topelt järele valvamist. Nõue E-ITS audititeks või ISO 27001 sertifitseerimiseks tooks pankadele täiendava järelevalve asutuse (RIA) ja tõstaks seeläbi halduskoormust, mis ei lähe kokku ei EU põhimõtetega ega tänase NIS2/DORA väljatöötamisel seatud põhimõtetega. 37