Eesti seisukohad EL küberkerksuse määruse eelnõu kohta - Majandus- ja Kommunikatsiooniministeerium

Failid

24.1-120225835-2 17.11.2022 Väljaminev kiri.asice1529 KB

Sisu (failidest)

Eesti seisukohad Euroopa Parlamendi ja Nõukogu määruse, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020, kohta Eesti seisukohad antakse Euroopa Komisjon 23. veebruaril 2022 avaldatud määruse eelnõu kohta, millega soovitakse suurendada digitaalsel siseturul toodete küberturvalisust terve nende elutsükli vältel ning võimaldada tarbijatel hõlpsamini teha küberturvalisust arvestavaid valikuid. Määruse loomisega soovitakse vastusamm astuda ühe sagenevatele küberrünnakutele, mis võivad põhjustada olulisi häireid majandustegevuses ja ühiskonnaelus või muutuda isegi eluohtlikuks. Määrusega kaasnevate olulisemate muutustena kehtestatakse digielementidega toodete turule laskmist reguleerivad õigusnormid ning küberturvalisuse nõuded selliste toodete projekteerimiseks, arendamiseks ja tootmiseks. Lisaks kehtestatakse nõuded tootjatele digielementidega toodete hooldamise ja haavatavuste käitlemiseks toodete terve elutsükli vältel. Samuti nähakse ette turujärelevalvesüsteem nende tingimuste täitmise osas. Samuti nähakse ette CE-märgise kasutamine digielemente sisaldavate toodete puhul. EELNÕU VABARIIGI VALITSUS ISTUNGI PROTOKOLL Tallinn, Stenbocki maja 17. november 2022. a nr Päevakorra punkt nr Eesti seisukohad Euroopa Liidu küberkerksuse eelnõu kohta 1. Kiita heaks järgmised ettevõtlus- ja infotehnoloogiaministri esitatud seisukohad Euroopa Parlamendi ja Nõukogu määruse, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020, eelnõu kohta: 1.1. Toetame komisjoni ettepanekut kehtestada reeglid, mille eesmärgiks on tõsta toodete küberturvalisuse taset ning seeläbi kaitsta tarbijaid ning ettevõtjaid. 1.2. Peame vajalikuks reeglite sisustamist võimalikult ulatuslikul määral määruses ning vältida volituste kehtestamist Komisjonile delegeeritud aktide andmiseks osas, kus see tingimata vajalik ei ole. 1.3. Juhul, kui delegeeritud akti andmine on määruse tulevase rakendamise nimel vajalik ja põhjendatud, on oluline olla delegeeritud aktide andmist võimaldavates sätetes täpsem ning põhjalikum akti andmise tingimuste ja sisu osas. 1.4. Toetame Komisjoni poolt pakutud kohaldamisalast avatud lähtekoodiga tarkvara määrusest välja jätmist. 1.5. Määruse põhjenduspunkte sõnastuse kohaselt jääks määruse rakendusalast välja teenusena pakutav tarkvara (Software-as-a-Service, SaaS), samas määruse regulatiivosa on tarkvarateenuste hõlmatuse osas mitmetimõistetav. Eesti hinnangul on kaheldav, et küberturvalisuse nõuete kohaldumine tarkvara toodetele sõltub viisist, mille alusel neid kasutajale kättesaadavaks tehakse ja leiab, et see küsimus vajaks põhjalikumat arutelu. 1.6. Toetame digielementidega toodetele kohustuslike nõuete rakendamist kogu nende elutsükli jooksul. Peame vajalikuks tagada, et nõuete kohustuslikkus ei lõppeks enne toote elutsükli möödumist. 1.7. Peame vajalikuks kasutada ära valdkonnas juba toimivaid lahendusi (näiteks juba võrgu- ja infosüsteemide turvalisuse direktiivi alusel loodud/loodavaid riiklikke küberturbe intsidentide lahendamise üksusi) ning mitte anda uusi dubleerivaid ülesandeid EL-i ja liikmesriikide asutustele, eriti turvanõrkustest teavitamise puhul. 1.8. Hetkel määruse lisas olev loetelu toodetest, mille suhtes on tootjal kohustus tellida kolmandalt isikult vastavaushindamine, ei arvesta tootjate suurusest tuleneva erineva võimekusega taluda kohustusega kaasnevat halduskoormust. Leiame, et vastavushindamise erirežiimi nimekirja koostamisel tuleb arvesse võtta väikese ja 1 keskmise suurusega ettevõtjate huve, samuti arvestada toodete tehniliste omaduste kõrval ka nende kasutamise viis ja ulatust ning ühtlustada kriteeriume, mille alusel tooteid nimekirja arvatakse. 1.9. Puudub selgus, millal on tarkvara „turule lastud“ ja mil määral on see seotud tarkvarale uuenduste tegemisega, mistõttu peame oluliseks tagada selgus ning kooskõla nõuete seostamisel „turule laskmise“ tähendusega tarkvara kontekstis. 1.10. Määruse lisades olevad nõuded peavad toetama turvanõrkuste koordineeritud avalikustamist. 1.11. Eesti leiab, et määruse eelnõus ei tohiks rõhutada kehtestatavate trahvide haldusõiguslikku iseloomu ning liikmesriigile peab jääma vabadus valida sanktsiooni liik. Toetame võimalusel eelnõusse erandi sisse viimist isikuandmete kaitse üldmääruse artikkel 151 eeskujul. 2. Eesti esindajatel Euroopa Liidu Nõukogu erinevatel tasanditel väljendada ülaltoodud seisukohti. 3. Riigikantseleil esitada punktis 1 nimetatud eelnõu ja ülaltoodud seisukohad Riigikogu juhatusele ja teha seisukohad teatavaks Eestist valitud Euroopa Parlamendi liikmetele ning Eestist nimetatud Euroopa Majandus- ja Sotsiaalkomitee ja Regioonide Komitee liikmetele. Kaja Kallas Peaminister Taimar Peterkop Riigisekretär 2 SELETUSKIRI Vabariigi Valitsuse otsuse juurde „Euroopa Parlamendi ja Nõukogu määrus, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020“ kohta 1. Sissejuhatus Euroopa Komisjon (edaspidi komisjon) avaldas 15. septembril 2022 määruse eelnõu (küberkerksuse määrus), millega soovitakse suurendada digitaalsel siseturul toodete küberturvalisust terve nende elutsükli vältel ning võimaldada tarbijatel hõlpsamini teha küberturvalisust arvestavaid valikuid. Määruse loomisega soovitakse vastusamm astuda ühe sagenevatele küberrünnakutele, mis võivad põhjustada olulisi häireid majandustegevuses ja ühiskonnaelus või muutuda isegi eluohtlikuks. Võrgustatud keskkonnas võib ühe tootega seotud küberintsident mõjutada tervet organisatsiooni või kogu tarneahelat ning selle mõju võib sageli minutite jooksul laieneda üle siseturu piiride. Selliste intsidentide ennetamiseks proovitakse küberkerksuse määrusega ühelt poolt luua tingimused digielemente sisaldavate turvaliste toodete arendamiseks, tagades, et turule lastakse vähemate nõrkustega riist- ja tarkvaratooted, ning tagada, et tootjad suhtuvad turvalisusesse tõsiselt toote kogu elutsükli jooksul. Teiselt poolt soovitakse luua tingimused, mis võimaldavad kasutajatel digielemente sisaldavate toodete valimisel ja kasutamisel küberturvalisust arvesse võtta. Määruse täpsemad eesmärgid on:  tagada, et tootjad parandavad digielemente sisaldavate toodete turvalisust alates projekteerimis- ja arendamisetapist ning kogu elutsükli jooksul;  tagada sidus küberturvalisuse raamistik, mis hõlbustab riist- ja tarkvaratootjatel nõuete täitmist;  suurendada digielemente sisaldavate toodete turvaomaduste läbipaistvust;  võimaldada ettevõtjatel ja tarbijatel digielemente sisaldavaid tooteid turvaliselt kasutada. Määrusega kaasnevate olulisemate muutustena kehtestatakse digielementidega toodete turule laskmist reguleerivad õigusnormid ning küberturvalisuse nõuded selliste toodete projekteerimiseks, arendamiseks ja tootmiseks. Lisaks kehtestatakse nõuded tootjatele digielementidega toodete hooldamise ja haavatavuste käitlemiseks toodete terve elutsükli vältel. Samuti nähakse ette turujärelevalvesüsteem nende tingimuste täitmise osas. Digielemente sisaldavate kriitilise tähtsusega tooted jaotatakse vastavalt nende küberriski tasemele (võimalike küberturvalisuse nõrkuste mõju põhjal) I ja II klassi, kusjuures II klass kajastab suuremat riski. Küberriski kindlakstegemisel võetakse muu hulgas arvesse digielemente sisaldava toote küberturvalisusega seotud funktsionaalsust ja kavandatud kasutamist tundlikes keskkondades, näiteks tööstuskeskkonnas. Samuti nähakse ette CE- märgise kasutamine digielemente sisaldavate toodete puhul. 1 Küberkerksuse määrust kohaldatakse kõigi digielemente sisaldavate toodete suhtes, mille kavandatud ja mõistlikult prognoositav kasutamine hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga. Hõlmatud on seega nii tarkvaratooted kui ka esemevõrgu (internet of things) seadmed, mille osas küberturvalisuse regulatsioonid siiani suuresti puuduvad. Määrust ei kohaldata meditsiiniseadmete, lennundustehnika ega mootorsõidukite osas, sest neile kehtivad juba olemasolevad tooteohutusnõuded ja vastavushindamismenetlused. Samuti jäävad reguleerimisalast välja riikliku julgeoleku või sõjalisel otstarbel välja töötatud või spetsiaalselt salastatud teabe töötlemiseks projekteeritud tooted. Määruse õiguslik alus on EL toimimise lepingu artikkel 114, mis annab õiguse kehtestada meetmeid, mille eesmärk on tagada EL siseturu toimimine. Õigusakti vastuvõtmiseks on nõukogus vaja kvalifitseeritud häälteenamust. Subsidiaarsustähtaeg on 19.12.2022. Määruse eelnõu menetlemine toimub nõukogu horisontaales küberasjade töögrupis. Seisukohad ja seletuskirja koostasid Majandus- ja Kommunikatsiooniministeeriumi EL ja rahvusvahelise koostöö osakonna digiküsimuste nõunik Krister Kruusmaa ([email protected]), riikliku küberturvalisuse osakonna rahvusvahelise küberturvalisuse koostöö juht Kaido Tee ([email protected]) ja küberturvalisuse õigusnõunikud Raavo Palu ([email protected]) ning Oliver Grauberg ([email protected]); Eesti Euroopa Liidu alalise esinduse nõunik digi- ja küberpoliitika küsimustes Thorwald-Eirik Kaljo ([email protected]); Riigi Infosüsteemi Ameti õigusosakonna juhataja Silver Lusti ([email protected]) ja analüüsi- ja ennetusosakonna juhtivanalüütik Ege Tamm ([email protected]); Tarbijakaitse ja Tehnilise Järelevalve Ameti sideosakonna sidevõrgu turvalisuse ekspert Maret Ots ([email protected]). Valdkonna eest vastutab Majandus- ja Kommunikatsiooniministeeriumi digiarengu asekantsler Luukas Kristjan Ilves ([email protected]). 2. Määruse eelnõu sisu ja võrdlev analüüs I peatükk käsitleb üldsätteid. Määrust kohaldatakse kõigi digielemente sisaldavate toodete1 suhtes, mille kavandatud ja mõistlikult prognoositav kasutamine hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga, välja arvatud meditsiinitehnika, lennundusseadmed ja mootorsõidukid.2 Lisaks ei hõlmata julgeoleku- või sõjalisel otstarbel välja töötatud või spetsiaalselt salastatud teabe töötlemiseks mõeldud seadmeid. Määrust võib reguleerimisalasse kuuluvatele toodetele mitte rakendada, juhul kui alus selleks tuleneb nende toodete suhtes kohaldatavast üldisest reguleerivast raamistikust ning kui valdkondlike normidega saavutatakse samasugune kaitsetase kui küberkerksuse määrusega. Peatükis 1 Digielemente sisaldav toode on määruses defineeritud kui „tarkvaraline või riistvaraline toode ja selle kaugandmetöötluslahendused, kaasa arvatud tarkvara- ja riistvarakomponendid, mis lastakse turule eraldi“. 2 Täpsemalt jäävad kohaldamisalast välja tooted, mis on hõlmatud määrustega (EL) 2017/745; (EL) 2017/746, (EL) 2019/2144 ja (EL) 2018/1139. 2 täpsustatakse ka määruse seost üldise tooteohutusega, tehisintellektimääruses3 määratletud suure riskiga tehisintellektisüsteemidega ning masinavaldkonna toodetega. Artiklis 6 loetletakse kriteeriumid, mille alusel jaotatakse määruse lisa III loetletud kriitilise tähtsusega tooted vastavalt nendega seotud küberriski tasemele I ja II klassi. Peamiste kriteeriumite hulka kuuluvad toote kasutamine tundlikus keskkonnas või kasutamine NIS 2 direktiivi4 lisas I loetletud elutähtsate üksuste poolt, samuti seadme kavandatud kasutamine tundlike funktsioonide (nt isikuandmete töötlemise) jaoks, küberintsidendi negatiivse mõju võimalik ulatus, toote poolt varem juba põhjustatud kahju ulatus jne. Komisjonile jääb määruse järgi õigus kriitiliste tootekategooriate määratlusi täpsustada. II peatükk sätestab tootjate5, importijate6 ja turustajate7 kohustused. Oluliste küberturvalisuse nõuete ja kohustustega nähakse kõigi digielemente sisaldavate toodete puhul ette, et need tehakse turul kättesaadavaks üksnes juhul, kui need nõuetekohase tarnimise ja õige paigaldamise, hooldamise ning sihtotstarbelise või mõistlikult prognoositavatel tingimustel kasutamise korral on vastavuses käesolevas määruses sätestatud oluliste küberturvalisuse nõuetega. Määrusega nähtaks tootjatele ette järgmist (artiklid 10-12):  tootjad peavad võtma digielemente sisaldavate toodete projekteerimisel, arendamisel ja tootmisel arvesse küberturvalisust;  täitma oma toodete projekteerimisel ja arendamisel hoolsuskohustust seoses turvaaspektidega;  tagama läbipaistvuse küberturvalisuse aspektide puhul, mis tuleb klientidele teatavaks teha;  tagama proportsionaalsel viisil turvalisusealase toe (uuendused);  täitma nõrkuste käitlemise nõudeid. Importijad võivad turule lasta ainult määruse nõuetele vastavaid tooteid, mille tootja on võtnud küberturvalisuse tagamiseks määruses ette nähtud meetmed, ning korrektse dokumentatsiooni ja juhiste olemasolu eest. Turustajad kohustuvad turule laskma vaid CE-vastavusmärgisega tähistatud tooteid. Nii importijad kui turustajad kohustuvad probleemide ilmnemisel nendest 3 Euroopa Parlamendi ja nõukogu määruse ettepanek, millega nähakse ette tehisintellekti käsitlevad ühtlustatud õigusnormid (tehisintellekti käsitlev õigusakt) ja muudetakse teatavaid liidu õigusakte; menetluse number 2021/0106/COD; link: https://eur-lex.europa.eu/procedure/ET/2021_106. 4 Euroopa Parlamendi ja nõukogu direktiivi ettepanek, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 – lisateave: https://eur-lex.europa.eu/legal-content/ET/HIS/?uri=celex:52020PC0823. 5 Tootja – „füüsiline või juriidiline isik, kes arendab või valmistab digielemente sisaldavaid tooteid või kes laseb digielemente sisaldavaid tooteid projekteerida, arendada või toota ja turustab neid tasu eest või tasuta oma nime või kaubamärgi all“ 6 Importija – „liidus asuv füüsiline või juriidiline isik, kes laseb turule väljaspool liitu asuva füüsilise või juriidilise isiku nime või kaubamärki kandva digielemente sisaldava toote“ 7 Turustaja – „tarneahelas osalev füüsiline või juriidiline isik, välja arvatud tootja või importija, kes teeb digielemente sisaldava toote liidu turul kättesaadavaks ilma selle omadusi mõjutamata“ 3 teavitama ENISA-t8 ning olukorra parandamiseks vajalikud sammud astuma, sh vajadusel toote turult kõrvaldama või tagasi kutsuma. III peatükk sätestab digielemente sisaldavate toodete vastavuse. Digielemente sisaldav toode, mis on vastavuses harmoneeritud standardite või nende osadega, mille viited on avaldatud Euroopa Liidu Teatajas, eeldatakse olevat vastavuses käesolevas kavandatud määruses sätestatud oluliste nõuetega. Kui harmoneeritud standardid puuduvad või on ebapiisavad, võib komisjon võtta rakendusaktidega vastu ühtsed kirjeldused. Tootja kohustub koostama ELi vastavusdeklaratsiooni, milles tuleb kinnitada, et määruse I lisas sätestatud olulised nõuded on täidetud. Peatükis sätestatakse ka CE-vastavusmärgise üldpõhimõtted, kinnitamise nõuded ja tingimused ning toodete tehnilise dokumentatsiooni nõuded. Tootja peab viima ellu digielemente sisaldava toote vastavushindamise ja nõrkuste käitlemise protsessid, mille ta on kehtestanud I lisas sätestatud olulistele nõuetele vastavuse tõendamiseks, järgides ühte VI lisas sätestatud menetlustest. I ja II klassi kuuluvate kriitilise tähtsusega toodete tootjad peavad kasutama nõuetele vastavuse tagamiseks asjaomaseid vajalikke mooduleid. II klassi kuuluvate kriitilise tähtsusega toodete tootjad peavad oma vastavushindamisse kaasama kolmanda isiku. IV peatükis sätestatakse kooskõlas otsusega nr 768/2008/EÜ9 nõuded vastavushindamis- asutuste (teavitatud asutused) eest vastutavatele liikmesriikide ametiasutustele. Sellega jäetakse teavitatud asutuste määramise ja järelevalve lõplik kohustus liikmesriikidele. Liikmesriigid määravad teavitava asutuse, kes vastutab vastavushindamisasutuste hindamiseks ja nendest teavitamiseks ning teavitatud asutuste järelevalveks vajalike menetluste kehtestamise ja rakendamise eest. V peatükk keskendub turujärelevalve ja täitmise tagamisele. Kooskõlas määrusega (EL) 2019/102010 teevad riiklikud turujärelevalveasutused turujärelevalvet asjaomase liikmesriigi territooriumil. Liikmesriigid võivad otsustada määrata turujärelevalveasutuseks mis tahes olemasoleva või uue asutuse, sealhulgas NIS 2 direktiivis osutatud määratud riiklikud pädevad asutused või määruse (EL) 2019/88111 artiklis 58 osutatud määratud riiklikud küberturvalisuse sertifitseerimise asutused. Ettevõtjatel palutakse teha turujärelevalveasutuste ja muude pädevate asutustega täielikku koostööd. VI peatükk sätestab delegeeritud volitused ja komiteemenetluse. Tagamaks, et õigusraamistikku saab vajaduse korral kohandada, on komisjonil õigus võtta kooskõlas ELi toimimise lepingu artikliga 290 vastu delegeeritud õigusakte, et ajakohastada I ja II klassi 8 ENISA – Euroopa Liidu Küberturvalisuse Amet 9 Euroopa Parlamendi ja nõukogu otsus nr 768/2008/EÜ, 9. juuli 2008 , toodete turustamise ühise raamistiku kohta ja millega tunnistatakse kehtetuks nõukogu otsus 93/465/EMÜ – kättesaadav: EUR-Lex - 32008D0768 - ET - EUR-Lex (europa.eu) 10 Euroopa Parlamendi ja nõukogu määrus (EL) 2019/1020, 20. juuni 2019, turujärelevalve ja toodete vastavuse kohta ning millega muudetakse direktiivi 2004/42/EÜ ja määruseid (EÜ) nr 765/2008 ja (EL) nr 305/2011 – kättesaadav: EUR-Lex - 32019R1020 - ET - EUR-Lex (europa.eu) 11 Euroopa Parlamendi ja nõukogu määrus (EL) 2019/881, 17. aprill 2019, mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse määrus) – kättesaadav: EUR- Lex - 32019R0881 - ET - EUR-Lex (europa.eu) 4 kuuluvate kriitilise tähtsusega toodete loetelu ja täpsustada nende toodete määratlusi; täpsustada, kas vajalik on piirang või väljajätmine selliste digielemente sisaldavate toodete puhul, mis on hõlmatud muude liidu õigusnormidega, milles kehtestatud nõuetega saavutatakse samasugune kaitsetase nagu käesoleva määrusega; kehtestada kohustus sertifitseerida teatavad digielemente sisaldavad ülikriitilise tähtsusega tooted käesolevas määruses sätestatud kriteeriumide alusel; määrata kindlaks ELi vastavusdeklaratsiooni minimaalne sisu ja täiendada tehnilises dokumentatsioonis esitatavaid elemente. Komisjonil on ühtlasi õigus võtta vastu rakendusakte, et: määrata kindlaks aruandekohustuste ja tarkvaramaterjalide loetelu vorm või elemendid; määrata kindlaks Euroopa küberturvalisuse sertifitseerimise kavad, mida saab kasutada käesolevas määruses sätestatud olulistele nõuetele või nende osadele vastavuse tõendamiseks; võtta vastu ühtsed kirjeldused; kehtestada CE-vastavusmärgise kinnitamise tehnilised kirjeldused; võtta erandlikel asjaoludel, mis õigustavad viivitamatut sekkumist, liidu tasandil parandus- või piiravaid meetmeid, et säilitada siseturu hea toimimine. VII peatükk hõlmab konfidentsiaalsust ja karistusi. Kõik käesolevat määrust kohaldavad osalised austavad oma ülesannete täitmise ja tegevuse käigus saadud teabe ja andmete konfidentsiaalsust. Et tagada käesolevas määruses sätestatud kohustuste tõhus täitmine, peaks igal turujärelevalveasutusel olema õigus määrata haldustrahve või taotleda nende määramist. Samamoodi kehtestatakse käesolevas määruses nende haldustrahvide ülemmäärad, mis tuleks siseriiklikes õigusaktides sätestada käesolevas määruses sätestatud kohustuste täitmata jätmise eest. VIII peatükk sisaldab ülemineku- ja lõppsätteid. Et anda tootjatele, teavitatud asutustele ja liikmesriikidele aega uute nõuetega kohanemiseks, hakatakse kavandatud määrust kohaldama 24 kuud pärast selle jõustumist, välja arvatud tootjate aruandekohustus, mida hakatakse kohaldama 12 kuud pärast jõustumise kuupäeva. 3. Euroopa Liidu asja vastavus pädevuse andmise, subsidiaarsuse ja proportsionaalsuse põhimõtetele 3.1. Õiguslik alus Ettepaneku õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, milles on ette nähtud meetmete võtmine, et tagada siseturu loomine ja toimimine. Ettepaneku eesmärk on ühtlustada digielemente sisaldavate toodete suhtes kehtivad küberturvalisuse nõuded kõigis liikmesriikides ja kõrvaldada kaupade vaba liikumise takistused. ELi siseturul liikuvaid digielemente sisaldavaid tooteid ei ole küberturvalisuse vaatest sellisel moel varem reguleeritud. Nagu paljudele teistele toodetele, kehtivad ka digitoodetele üldised toote ohutuse ja tarbijakaitsega seotud nõuded (näiteks tootja vastutus, tarbija õigused). Küberturvalisuse aspekte ei ole tooteohutuse vaatest varem arvestatud, välja arvatud Komisjoni delegeeritud määruses (EL) 2022/30, mis näeb ette küberturvalisuse nõuded raadioseadmetele, sealhulgas esemevõrgu seadmetele.12 Riigi tasandil on liikmesriigid hakanud võtma riiklikke meetmeid, millega nõutakse, et digitaaltoodete müüjad parandaksid nende küberturvalisust. 12 Komisjoni delegeeritud määrus (EL) 2022/30, 29. oktoober 2021, millega täiendatakse Euroopa Parlamendi ja nõukogu direktiivi 2014/53/EL seoses nimetatud direktiivi artikli 3 lõike 3 punktides d, e ja f osutatud oluliste nõuete kohaldamisega – kättesaadav: EUR-Lex - 32022R0030 - EN - EUR-Lex (europa.eu). 5 Samal ajal on digitaaltoodete küberturvalisusel eriti tugev piiriülene mõõde, kuna ühes riigis toodetud tooteid kasutavad sageli organisatsioonid ja tarbijad kogu siseturul. Intsidendid, mis algselt puudutavad ühte üksust või liikmesriiki, levivad sageli minutite jooksul muudesse organisatsioonidesse ja sektoritesse ning mitmesse liikmesriiki. ELi ja liikmesriikide tasandil seni vastu võetud eri õigusaktides ja algatustes käsitletakse tuvastatud probleeme vaid osaliselt ja need võivad tekitada siseturul õigusaktide killustatust, suurendades õiguskindlusetust nii nende toodete müüjate kui ka kasutajate jaoks ning tekitades ettevõtjatele tarbetut lisakoormust vajaduse tõttu täita sarnaste tooteliikide puhul erinevaid nõudeid. Õiguslik alus on kohane, sest määrusega ühtlustataks ja lihtsustataks ELi regulatiivset keskkonda digielemente sisaldavate toodete suhtes kehtivate küberturvalisuse nõuetega ning välditaks eri õigusaktidest tulenevaid kattuvaid nõudeid. See omakorda lihtsustaks digielementidega kaupade projekteerimist, tootmist ja tarbimist ELi siseturul. 3.2. Subsidiaarsus Nõustume komisjoni hinnanguga, et toodete küberturvalisuse parandamiseks on vaja võtta liidu tasandi meetmeid. Küberturvalisuse tugev piiriülene olemus üldiselt ning selliste riskide ja intsidentide kasvav arv, millel on piiriülene ning muudele sektoritele ja toodetele ülekanduv mõju, tähendavad, et liikmesriigid üksi ei suuda kõnealuse sekkumise eesmärke tulemuslikult saavutada. Ettevõtetel võib sujuv laienemine teistesse liikmesriikidesse olla takistatud, mistõttu kasutajad jäävad ilma nende toodete hüvedest. Seepärast on vaja ELi tasandi ühismeetmeid, et suurendada kasutajate usaldust ja seega digielemente sisaldavate ELi toodete populaarsust. Samas jäävad määruse reguleerimisalast välja riikliku julgeolekuga seotud ja salastatud teabe töötlemiseks loodud seadmed, säilitades liikmesriikide ainupädevuse antud julgeolekuvaldkonnas. 3.3. Proportsionaalsus Küberkerksuse määruse väljatöötamisel kaalus komisjon nelja erineva lähenemise vahel, mis ulatusid vabatahtlikest meedetest kuni horisontaalse regulatiivse sekkumiseni. Otsustati kõige laiema kohaldamisalaga variandi kasuks, mida pooldas ka Eesti õigusakti konsultatsiooni voorus koostatud seisukohtades. Komisjoni sõnul ei läheks kavandatud meetmed kaugemale sellest, mis on vajalik üld- ja erieesmärkide saavutamiseks, ega põhjustaks ebaproportsionaalseid kulusid. Täpsemalt tagataks kaalutava sekkumisega, et digielemente sisaldavad tooted on kaitstud kogu nende elutsükli jooksul ja proportsionaalselt asjaomaste riskidega, kehtestades selleks sihipärased ja tehnoloogianeutraalsed nõuded, mis jäävad mõistlikuks ja vastavad üldiselt asjaomaste üksuste huvidele. Ehkki Eesti pooldab horisontaalset regulatiivset sekkumist määrusega, ei toeta me laialdaste volituste kehtestamist komisjonile delegeeritud õigusaktide osas. Tehnoloogia ning õigusruumi pidev muutumine ei pruugi olla piisav põhjendus nõuete või kohaldamisala muutmiseks Komisjoni poolt olukorras, kus nõuded on sisustatud tehnoloogia-neutraalselt ning kohaldamisala osas arvestab määruse ettepanek kattuvaid õigusakte ning eriklasside defineerimisel lähtutakse tehnoloogia funktsionaalsetest omadustest. Kui nõuded ja nende kohaldamisala on ebapiisavalt reguleeritud, tuleks kaaluda määruse täiendamist. 6 4. Esialgne mõjude analüüs 4.1. Mõju majandusele Komisjoni hinnangul tooks määrus eri sidusrühmadele märkimisväärset kasu. Ettevõtjate jaoks hoiaks see ära digielemente sisaldavate toodete suhtes kohaldatavate turvaeeskirjade lahknevuse ja vähendaks asjaomaste küberturvalisuse õigusaktide nõuete täitmisega seotud kulusid. Kõrgemad ja ühtlustatud küberturvalisuse nõuded vähendaksid küberintsidentide arvu, ning neist tulenevat majandus- ja mainekahju ettevõtetele. Komisjoni mõjuanalüüsi järgi võiks algatus kogu ELis vähendada ettevõtjaid mõjutavate intsidentidega seotud kulusid hinnanguliselt 180–290 miljardi euro võrra aastas ning tuua kaasa käibe kasvu tänu digielemente sisaldavate toodete üha suuremale kasutuselevõtule. Teisalt nendib komisjon, et määrusega kehtestatavad uued nõuded mõjutaksid VKEsid põhimõtteliselt rohkem kui suurettevõtjaid, kellel on tavaliselt suurem mastaabisääst ja suurem küberturvalisusealane teadlikkus. VKEd peaksid määruse nõuete täitmiseks üldiselt rohkem samme astuma, kuna suurettevõtted täidavad neid tihti ka juba praegu. Ehkki komisjoni arvates saaksid VKEd algatusest kasu küberintsidentide vähenemise ja kõrgema rahvusvahelise maine tõttu, võib määruses ette nähtud vastavushindamise tellimine VKEdele olla nende väiksema majandusliku ja administratiivse võimekuse tõttu keerulisem kui suurtootjatele. 4.2. Mõju põhiõigustele Kõrgemad horisontaalsed küberturvalisuse nõuded vähendaksid lõppkasutaja riski küberintsidendi ohvriks langeda. Väheneksid andmete, sh isikustatud andmete lekked ning võimalused küberkuritegevuseks. Eriti oluline on tootjatele vastutuse panemine oma toodete küberturvalisuse eest terve nende elutsükli jooksul – praegu on küberintsidentide puhul vastutus sageli hägune ning küberintsidendi läbi kannatanu võib jääda ilma vajaliku abi või kompensatsioonita. Samuti aitavad CE-märgis ja täiendavad nõuded toote dokumentatsioonile ja kasutusjuhendile tõsta teadlikkust ning aidata kasutajatel teha informeeritud valikuid. 4.3. Mõju riigiasutuste ja kohalike omavalitsuste korraldusele ning avaliku sektori kuludele ja tuludele Määruse eeldatav mõju avalikule sektorile pole täpselt prognoositav, kuna see sõltub sellest, millised riigiasutused täpselt nõutud funktsioone täitma hakkavad. Hetkel puudub Eestis vastavushindamisasutus, seega oleks tegu uut laadi ülesande täitmisega ja selle jaoks vajaliku struktuuri või allüksuse loomisega. Mõju avalduks kõige otsesemalt koormusena turujärelevalveasutustele. See puudutab kõige otsesemalt Tarbijakaitse ja Tehnilise Järelevalve Ametit (TTJA), kelle hinnangul oleks neile juba üksnes järelevalvefunktsioonide täitmiseks vaja juurde vähemalt 3-5 töökohta. Sellele võivad lisanduda teiste eelnõus ette nähtud ülesannete täitmiseks vajalikud inimesed. Teine osa koormusest jaguneks Riigi Infosüsteemi Ametile (RIA). Mõlema asutuse kulud on seotud mh palgafondi, töökoha kulude ja muude majandamisega seotud kuludega. Viidatud kulusid menetletakse tulevikus vastavalt riigi majanduslikele võimalustele vastavate aastate riigi eelarvestrateegia ja riigieelarve protsessis. Antud tegevustele saab lisada ka projektipõhiseid arendusi, millele saaks rahastust taotleda erinevatest Euroopa Liidu programmidest (näiteks Digitaalse Euroopa programmist). 4.4. Mõju riigi julgeolekule ja välissuhetele Küberrünnetes – enamasti teenusetõkestusrünnete (DDoS) puhul – kasutatakse sageli ära tavaliste inimeste igapäevaseid nutiseadmeid. Nii võib näiteks inimese enda teadmata tema 7 arvuti, telefon, nutikas külmkapp, ruuter või muu võrku ühendatud seade osaleda küberrünnaku tegemises. Selleks on ründaja mingil ajahetkel leidnud võimaluse seadet pahavaraga nakatada, et selle „jõudu“ võimsamate rünnete tegemiseks ära kasutada. Enamasti pääsevad ründajad nendele seadmete ligi, kui need on uuendamata tarkvaraga või hooletult arendatud. Sihtmärgiks võivad olla nii riigiasutused kui ka ettevõtted Eestis ja välismaal. Mida vähem on haavatavaid internetti ühendatud seadmeid, seda vähem on võimalik neid ära kasutada küberrünneteks avaliku ja erasektori organisatsioonide pihta. Kui ELis toodetud ja müüdavad digitooted peavad vastama teatud küberturvalisuse nõuetele, siis muudab see küberruumi turvalisemaks. Nii väheneks tõenäoliselt ka võimalus, et riigiasutused ja ettevõtted satuvad näiteks tarneahelarünnete ohvriks. Näiteks näeb ettepanek ette security-by-design printsiibi rakendamist, mis tähendab, et juba toote arendamisel tuleb järgida teatud küberturvalisuse nõudeid. Samuti on ettepanekus välja toodud security-by-default kontseptsioon, mille puhul peaks turul müügis olev toode juba vaikimisi olema kõige turvalisemate sätetega (nt automaatsed uuendused). Lisaks peaks tootja andma kasutajale kaasa juhised, kuidas toodet küberturvaliselt kasutada. 5. Valitsuse seisukoha selgitus 5.1. Toetame komisjoni ettepanekut kehtestada reeglid, mille eesmärgiks on tõsta toodete küberturvalisuse taset ning seeläbi kaitsta tarbijaid ning ettevõtjaid. Selgitus: Komisjoni algatuse eduka elluviimise tulemusel kasvab toodete turvalisus kogu tarneahela ulatuses ning seda nii tavakasutajale, ettevõtjale kui ka avalikule sektorile. Tõuseb ka usaldus nõudeid rakendavate toodete ja tootja suhtes ning ettevõtjatel ja riigiasutustel paraneb ülevaade kasutatava tehnoloogia küberturvalisusest. Arvestades ka osade liikmesriikide soove reguleerida valdkonda siseriiklikult, oleks tekkinud siseturul oluline killustatus. 5.2. Peame vajalikuks reeglite sisustamist võimalikult ulatuslikul määral määruses ning vältida volituste kehtestamist Komisjonile delegeeritud aktide andmiseks osas, kus see tingimata vajalik ei ole. Selgitus: Kuivõrd tegemist on nõuete kehtestamise ettepanekuga väga laia kohaldamisala suhtes, on õiguskindluse eesmärgi täitmiseks väga oluline määruse sisuline täielikkus ja ühetaolisus nii kehtestamisel kui ka selle järgselt. Ettepanekus esitatud volitusnormid Komisjonile avaldavad olulist mõju määruse nõuete sisustamisele ja kohaldamisalale, mistõttu on ohustatud ka õiguskindluse eesmärk. Tehnoloogia ning õigusruumi pidev muutumine ei pruugi olla piisav põhjendus nõuete või kohaldamisala muutmiseks Komisjoni poolt olukorras, kus nõuded on sisustatud tehnoloogia-neutraalselt ning kohaldamisala osas arvestab määruse ettepanek kattuvaid õigusakte ning eriklasside defineerimisel lähtutakse tehnoloogia funktsionaalsetest omadustest. Kui nõuded ja nende kohaldamisala on ebapiisavalt reguleeritud, tuleks kaaluda määruse täiendamist. Kohaldamisala osas puudub veendumus vajaduses kehtestada artiklis 2 (4) esile toodud volitust otsustada kattuva õigusakti kohaldamist määruse ettepaneku asemel; artiklis 6 (2) esile toodud volitust muuta määruse III Lisa (määratleb digielemente sisaldavate kriitilise tähtsusega toodete nimekirjad I ja II klassidena) sisu; artiklis 6 (3) esile toodud volitust täpsustada III Lisa sisu ja artiklis 6 (5) esile toodud volitust määratleda ja sisustada „highly critical products“ loetelu. 8 Nõuete sisustamise osas puudub veendumus vajaduses kehtestada artiklis 10 (15) esile toodud volitust täpsustada I Lisa 2. jao 1. punkti; artiklis 19 esile toodud volitust kehtestada ja sisustada „common specifications“ instrumente, mille kasutamisel ei kohalduks tootjale I Lisas kehtestatud nõuded; artiklis 20 (5) esile toodud volitust täiendada IV Lisa vastavusdeklaratsiooni vormilisi nõudeid ning artiklis 23 (5) esile toodud volitust täiendada V Lisas kehtestatud dokumentatsiooninõudeid. Vajadust minimeerida Komisjoni volitusi delegeeritud aktide andmiseks, vältimaks ohtu õiguskindlusele, iseloomustab ka reeglite kehtestamisel tekkiv konflikt raadioseadmete turul kättesaadavaks tegemist käsitlevate liikmesriikide õigusaktide ühtlustamise 16. aprilli 2014. a direktiivi delegeeritud akti (nn RED delegeeritud akt)13 nõuetega. Nagu on toodud välja määruse ettepaneku põhjenduspunktis 15, võib küll olukorda lahendada RED delegeeritud akti kehtetuks tunnistamine või muutmine Komisjoni poolt, kuid, teadmata Komisjoni kavatsusi probleemi lahendamiseks, valitseb olukorras selgusetus. 5.3. Juhul, kui delegeeritud akti andmine on määruse tulevase rakendamise nimel vajalik ja põhjendatud, on oluline olla delegeeritud aktide andmist võimaldavates sätetes täpsem ning põhjalikum akti andmise tingimuste ja sisu osas. Selgitus: Eraldiseisvalt vajadusest minimeerida volitusi Komisjonile määruse sisustamiseks, peame oluliseks ka olukordades, kus Komisjoni volitamine delegeeritud aktide andmiseks on tingimata vajalik, tagada määrusega piisavalt selge raamistik, mida Komisjon peab järgima delegeeritud akti sisustamisel, et tagada suurimas ulatuses õiguskindlus kehtestatavate aktide osas. Artiklis 6 (2) esile toodud volitus muuta määruse III Lisa sisu lähtub Komisjoni poolt analüüsitava toote küberturvalisuse riski „taseme“ tuvastamisest. Kuigi on esitatud kriteeriumid, millest Komisjon „taseme“ hindamiseks lähtub, puudub arusaam, mida küberturvalisuse riski „tase“ iseloomustab, mis on selle raamistik ja millised on „taseme“ lävendid. Peame vajalikuks vähemalt sisustada küberturvalisuse riski piisav „tase“, et rakendajal oleks võimalik hinnata oma toote võimalikku kuulumist III Lisa loetellu. Artiklis 6 (5) esile toodud volitus määratleda ja sisustada „highly critical products“ loetelu ei paku tunnuseid või iseloomustust, millal toode hinnatakse ümber „highly critical product“-ks. Artiklis 3 (4) esitatud definitsiooni kohaselt on tegemist artiklis 6 (5) defineeritud tootega ning nimetatud sätte järgi on tegemist Komisjoni enda otsusega. On jällegi esitatud kriteeriumid, millest Komisjon lähtuma peab, kuid puudub igasugune raamistik, mis objekti iseloomustaks. Kuivõrd klassifikatsiooni tagajärjeks on suurenev halduskoormus tootjale Euroopa küberturvalisuse sertifitseerimisskeemi rakendamise kohustusest tulenevalt, peame vajalikuks sellise määratluse raamistiku kehtestamist. Artiklites 2 (4), 6 (3), 10 (15), 11 (5), 19, 20 (5) ning 23 (5) esile toodud volitused Komisjonile delegeeritud aktide andmiseks ei sisusta, millest Komisjon delegeeritud akti andmisel lähtuma peaks. Peame vajalikuks nende volituste jätmise korral selged kriteeriumid kehtestada. 13 Vt altviidet nr 12. 9 5.4. Toetame Komisjoni poolt pakutud kohaldamisalast avatud lähtekoodiga tarkvara määrusest välja jätmist. Selgitus: Eesti ei toeta avatud lähtekoodiga tarkvara määruse kohaldamisalasse toomist, kuna avatud lähtekoodiga tarkvara arendamise alused ei sobitu kommertstegevusliku vastutuse seadmisega. Põhjenduspunktis 10 on märgitud: „Et mitte takistada innovatsiooni ja teadusuuringuid, ei peaks käesoleva määruse kohaldamisalasse kuuluma vaba ja avatud lähtekoodiga tarkvara, mida arendatakse või pakutakse väljaspool äritegevust. Eeskätt puudutab see tarkvara, kaasa arvatud selle lähtekoodi ja muudetud versioone, mida jagatakse avalikult ja mis on vabalt kättesaadav, kasutatav, muudetav ja edasi levitatav. Tarkvara puhul ei pruugi äritegevust iseloomustada üksnes toote eest hinna küsimine, vaid ka tehniliste tugiteenuste eest hinna küsimine, tarkvaraplatvormi pakkumine, mille kaudu tootja teenib raha muude teenuste eest, või isikuandmete kasutamine muul otstarbel kui üksnes tarkvara turvalisuse, ühilduvuse või koostalitlusvõime parandamiseks.“. Ehk sisuliselt ei tuleks määrust kohaldada avatud lähtekoodiga tarkvarale. 5.5. Määruse põhjenduspunkte sõnastuse kohaselt jääks määruse rakendusalast välja teenusena pakutav tarkvara (Software-as-a-Service, SaaS), samas määruse regulatiivosa on tarkvarateenuste hõlmatuse osas mitmetimõistetav. Eesti hinnangul on kaheldav, et küberturvalisuse nõuete kohaldumine tarkvara toodetele sõltub viisist, mille alusel neid kasutajale kättesaadavaks tehakse ja leiab, et see küsimus vajaks põhjalikumat arutelu. Selgitus: Kui tarkvara käsitleda tootena, siis erinevad mudelid tarkvara levitamisel, sealhulgas põhjenduspunktis 9 esitatud Software-as-a-Service (SaaS) ei muuda toote õiguslikku olemust teenuseks, vaid käsitleb sama toote kasutajale kättesaadavaks ühel alternatiivsel viisil. SaaS ei ole õiguslikult reguleeritud termin ning selle materiaalne sisu on ennekõike tarkvara litsentseerimine ja kättesaadavaks tegemine viisil, kus kasutaja taotleb tootele igakordset ligipääsu. Pilveteenustes kasutatakse terminit iseloomustamaks varasid, millele kasutaja ligipääs võimaldatakse (SaaS, PaaS, IaaS), mitte alternatiivina toote kättesaadavaks tegemisest muudel viisidel. Kuivõrd artikkel 3 (1) kohaldamisala on ka tarkvara iseseisvalt ning artikkel 3 (23) käsitleb igasugust levitamise või kasutamise võimaldamist kommertstegevuste käigus, siis puudub põhjus, miks ei peaks nõuded kohalduma ka tootjatele, kes teevad oma tarkvara tooted kättesaadavaks SaaS mudeli alusel. Kui käsitleda tarkvara kasutusõiguse andmist teenusena kontekstis, mis välistab määruse kohaldamise, siis välistataks kohaldamisalast pea kogu turul tarbitav tarkvara, sõltumata ligipääsu võimaldamise viisist. Kui Komisjoni eesmärk on siiski SaaS (ja vaid SaaS) teenusmudeli välistamine määruse kohaldamisalast, siis soovime täpsustada, mis põhjustel peaks tarkvara turustamise viisist sõltuma küberturvalisuse nõuete kohaldamise olulisus? Kuna sel teemal puudub selgus, siis ei ole ka hetkel võimalik võtta selget seisukohta, kas tarkvarateenused välistada või mitte. 5.6. Toetame digielementidega toodetele kohustuslike nõuete rakendamist kogu nende elutsükli jooksul. Peame vajalikuks tagada, et nõuete kohustuslikkus ei lõppeks enne toote elutsükli möödumist. Selgitus: Artiklis 10 (6) sätestatakse tootjale tehnilise toe pakkumise kohustus 5 aastaks või toote elutsükli möödumiseni, kumb iganes on lühem, toote turule toomisest. Artiklis 10 (8) sätestatakse tootjale tehnilise dokumentatsiooni säilitamise kohustus analoogselt 10 aastaks või toote elutsükli möödumiseni. 10 Peame oluliseks vältida olukordade tekkimist, kus tootjal puudub kohustus tehnilise toe pakkumiseks või dokumentatsiooni säilitamiseks toote osas, mille elutsükkel ei ole veel möödunud. 5.7. Peame vajalikuks kasutada ära valdkonnas juba toimivaid lahendusi (näiteks juba võrgu- ja infosüsteemide turvalisuse direktiivi alusel loodud/loodavaid riiklikke küberturbe intsidentide lahendamise üksusi) ning mitte anda uusi dubleerivaid ülesandeid EL-i ja liikmesriikide asutustele, eriti turvanõrkustest teavitamise puhul. Selgitus: Komisjoni ettepaneku põhjal peaksid tootjad turvanõrkustest teavitama ENISA-t, kellele antakse tulevase NIS 2 direktiivi kaudu mandaat EL-i turvanõrkuste andmebaasi loomiseks. ENISA teavitaks seejärel teisi tootjaid ning riiklike pädevaid asutusi. Kuivõrd komisjon on määruse rakendamiseks ENISA-le ette näinud ainult 4,5 töökohta, nendime üheltpoolt, et ENISA ei pruugi sellise teavituste mahuga toime tulla. Teisalt tekitab turvanõrkustest teavitamine ettevõtetele lisakoormuse – paljud kohaldamisalasse kuuluvatest tootjatest on ka NIS 2 direktiivi mõistes elutähtsad või olulised üksused, mistõttu peame vajalikuks kaaluda turvanõrkuste teavituse protsessi loomist tootjate ning riiklike CSIRTide14 vahel. Turvanõrkustest teavitamine saaks seega toimuda intsidendist teavitamisega samaaegselt (kui need ilmnevad samaaegselt) ning ei tooks tootjale täiendavat halduskoormust. Lisaks võib kaaluda ka vastupidise mehhanismi sätestamist: kui CERT-EE15 või muu liikmesriigi CERT avastab digitoodetes aktiivselt ekspluateeritava turvanõrkuse, siis info peaks liikuma ka turujärelevalveorganile ning laiemalt teiste riikide pädevatele asutustele ja turuosalistele. Seda võiks keskselt koordineerida näiteks NIS 2 direktiivi kohaselt ENISA juurde loodava Euroopa turvanõrkuste registri kaudu. 5.8. Hetkel määruse lisas olev loetelu toodetest, mille suhtes on tootjal kohustus tellida kolmandalt isikult vastavaushindamine, ei arvesta tootjate suurusest tuleneva erineva võimekusega taluda kohustusega kaasnevat halduskoormust. Leiame, et vastavushindamise erirežiimi nimekirja koostamisel tuleb arvesse võtta väikese ja keskmise suurusega ettevõtjate huve, samuti arvestada toodete tehniliste omaduste kõrval ka nende kasutamise viis ja ulatust ning ühtlustada kriteeriume, mille alusel tooteid nimekirja arvatakse. Selgitus: Tegemist on määruse lisaga, mis sätestab loetelu toodetest, mille tootjatele kohaldatakse vastavushindamise erirežiimi. Peamine erisus III Lisa ja muude toodete vahel on see, et üldjuhul on tootjal võimalik teha iseseisev vastavusdeklaratsioon, kuid III Lisas nimetatud toodete osas peab tootja tellima vastavushindamise läbiviimise kolmandalt isikult. Leiame, et tegemist on materiaalse vahega tootjale rakenduvas halduskoormuses ning et tuleks hinnata üle ettepandud loetelu sobivust. Kaaluda tuleks ennekõike järgnevaid asjaolusid:  Väike- ja keskmise suurusega ettevõtjate konkurentsivõime tagamine. Vastavushindamise läbiviimiseks vajalikud kulud võivad oluliselt mõjutada III Lisa väike- ja keskmise suurusega tootjate konkurentsivõimet, kui vastavushindamise kulud ei ole proportsionaalses seoses ettevõtja majandusliku võimekusega. On kaheldav, kas artiklis 29 (12) sätestatav kohustus vastavushindamise läbiviijatele arvestada tasu küsimisel VKEde huvidega omab praktilist mõju. 14 CSIRT – NIS 2 direktiivi ettepaneku kohaselt: küberturbe intsidentide lahendamise üksus (computer security incident response team). 15 https://www.ria.ee/et/kuberturvalisus/cert-ee.html. 11  Tootja toote osakaal ja kasutusviis turul. Rangema vastavushindamise kehtestamise eesmärgiks on ennekõike tagada suurem kindlus nõuete vastavuses toodete osas, mille kasutamisega seotud riskide mõju kõrgem. Juhime tähelepanu, et küberturvalisuse riskide mõju ei sõltu vaid toote tehnilistest omadustest, vaid ka selle kasutamise viisist ja ulatusest. Näiteks, kui toode on alles turule lastud, sis sellest sõltub kasutajate arvu suurus ja seeläbi ka selle mõju suurus. Riskid olenevad ka sellest, et kes ja kuidas toodet kasutavad – näiteks, kas riigiasutuste või tavakasutajad. Probleemid võivad oleneda ka sellest, kas tootel on ühendus internetiga või mitte.  Loetelu täpsusastme ühtlustamine. Määruse ettepanekus esitatud III Lisa loetelus on määratletud tooteid korraga kitsalt ja spetsiifiliselt (näiteks I klassi punktid 1, 10, 21 ja 22 ning II klassi punktid 2, 12 ja 13) ning samas ka laialt ja üldsõnaliselt (näiteks I klassi punktid 16, 19, 20 ja 23 ning II klassi punktid 1, 5 ja 6). Peame oluliseks luua ühtsed kriteeriumid, mille alusel hinnata tehnilisi funktsioone, mida täitvatele toodetele tuleks kohalda vastavushindamise erirežiimi. Selliste kriteeriumite alusel oleks eeldatav loetelu tehnilise täpsusastme osas oluliselt ühtlasem. 5.9. Puudub selgus, millal on tarkvara „turule lastud“ ja mil määral on see seotud tarkvarale uuenduste tegemisega, mistõttu peame oluliseks tagada selgus ning kooskõla nõuete seostamisel „turule laskmise“ tähendusega tarkvara kontekstis. Selgitus: Kuivõrd tarkvara on võimalik oluliselt uuendada pärast selle turule laskmist ning samas viia muutused ellu vähehaaval ning piiratult, siis peame oluliseks vaadata üle kohustused, mis sõltuvad toote „turule laskmisest“ määruse tähenduses tarkvara kontekstis. Eesmärk peaks olema vältida praktikas tarkvara oluliste muudatuste elluviimist viisil, mis ei uuenda tootja kohustuste kehtivust (kui näiteks analoogse mõjuga muudatused riistvara puhul tähendaksid uue toote „turule laskmist“). 5.10. Määruse lisades olevad nõuded peavad toetama turvanõrkuste koordineeritud avalikustamist. Selgitus: Määruse lisas I (olulised küberturvalisuse nõuded) on punktis 2 (5) nõrkuste käitlemise nõuete osas märgitud, et digielemente sisaldavate toodete tootjad peavad kehtestama nõrkuste koordineeritud avalikustamise põhimõtted ja tagama nende täitmise. Välistamaks võimalust, et vastav tootja määratleb enda põhimõtteks turvanõrkustest mitteavalikustamise, siis tuleks tagada õigusselgus, et selle põhimõtte kehtestamine ei tähenda, et turvanõrkusi üldse ei avalikustata. Lisa III annab loetelu digielemente sisaldavatest kriitilise tähtsusega toodetest. I klassi tootena on nimetatud „14. Mobiilseadmete haldamise tarkvara“. Leiame, et see tuleks asendada, näiteks sõnadega „mistahes konfiguratsioonihalduse tarkvara“, kuna mobiilsete seadmete eristust mitte mobiilsetest seadmetest on aegunud. Sülearvuti, mobiiltelefon, tahvelarvuti ja isegi võrguseadmed – kõik nad on arvutid ning neis toimub erineval tasandil keskhaldus. 5.11. Eesti leiab, et määruse eelnõus ei tohiks rõhutada kehtestatavate trahvide haldusõiguslikku iseloomu ning liikmesriigile peab jääma vabadus valida sanktsiooni liik. Toetame võimalusel eelnõusse erandi sisse viimist isikuandmete kaitse üldmääruse artikkel 151 eeskujul. Selgitus: Artiklis 53 tuleks loobuda mõistest „administrative“, sest see on EL õiguses sisustamata. On selge, et määrus ei saa nõuda kriminaalkaristust, sest selleks on vaid üks õiguslik alus - ELTL art 83. Kui menetluse liigile ei viidata, on liikmesriigil diskretsioon, 12 millises menetluses see üle võtta ning EL ei tohiks külvata mõistelist segadust terminitega, mida ei ole EL õiguses varem sisustatud. Seega tuleks taotleda seda, et eelnõu menetluse käigus ei rõhutataks karistuse haldusõiguslikku iseloomu. Euroopa Liidu õiguses ei ole kunagi halduskaristuse mõistet sisustatud, selles kontekstis tuntakse üksnes kriminaalõiguslikke ja mitte-kriminaalõiguslikke karistusi. Seejuures viimaste korral, kui õigusakt ei viita sanktsiooni liigile, on liikmesriigil diskretsioon neid mistahes menetluses kohaldada (where European Union legislation does not specifically provide any penalty for an infringement or refers for that purpose to national legislation, the choice of penalty remains within the discretion of the Member States - European Court of Justice 7.10.2010, case 382/09 (Stils Met SIA v Valsts ieņēmumu dienests), [2010] ECR I-09315, margin no 44.). Seega oleme vastu, et viidatakse halduskaristuse (administrative penalties) mõistele. EL õiguses ei ole ühtset arusaama, mida see mõiste tähendab. Liikmesriigil peab jääma maksimaalne paindlikkus, et kasutada enda õigussüsteemis kõige sobivamat sanktsioonisüsteemi ja -liiki. Isikuandmete kaitse üldmääruse artikkel 151 sätestab, et Eestis määrab trahvi järelevalveasutus väärteomenetluse raames, tingimusel et eeskirjade sellisel kohaldamisel nimetatud liikmesriikides on samaväärne toime nagu järelevalveasutuste määratud trahvidel.16 Kui haldustrahvi mõistest ei loobuta, võiks sarnase erandi sisse viia ka küberkerksuse õigusakti. Täiendavalt tuleks kaaluda seda, et sätestada karistused üksnes teatud raskemate rikkumiste eest. Kuna tegemist on kõrges ülemmääras rahatrahvidega, mille puhul ei ole isikule tagatavate põhiõiguste ulatus selge, tuleks piirduda üksnes juriidiliste isikute sanktsioneerimisega. - trahvid tuleks ette näha vaid juriidilistele isikutele - vastasel juhul võib sedavõrd suurte sanktsioonimäärade korral tekkida vastuolu määratletuse põhimõttega. Liikmesriikidele peaks jääma paindlikkus sanktsioneerida vaid teatud raskemaid rikkumisi (ultima ratio põhimõte), s.t et iga rikkumine ei pea olema kohustuslikus korras karistatav. Sanktsioonid tuleks vajadusel ette näha üksnes raskematele rikkumistele ning tagades maksimaalse paindlikkuse sanktsioonimäära, -liigi ja menetluse osas. 16 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) – EUR-Lex - 32016R0679 - ET - EUR-Lex (europa.eu) 13 6. Arvamuse saamine ning seisukohtade kooskõlastamine Majandus- ja Kommunikatsiooniministeerium on seisukohtade ettevalmistamisel küsinud sisendit Haridus- ja Teadusministeeriumilt, Justiitsministeeriumilt, Kaitseministeeriumilt, Siseministeeriumilt, Välisministeeriumilt ja Riigikantseleilt. Andmemääruse eelnõu saadeti arvamuse saamiseks ka järgnevatele asutustele ja organisatsioonidele: Ettevõtluse Arendamise Sihtasutus, Haigekassa, Haridus- ja Noorteamet, Keskkonnainvesteeringute Keskus, Maa-amet, Maaelu Edendamise Sihtasutus, Maksu- ja Tolliamet, Põllumajanduse Registrite ja Informatsiooni Amet, Sotsiaalkindlustusamet, Statistikaamet, Tervise ja Heaolu Infotehnoloogia Keskus, Transpordiamet, Töötukassa, Tallinna Linnavalitsus, Politsei- ja Piirivalveamet, Riigi Infosüsteemi Amet, SEB Pank AS, Raamatupidajate Koda, Digilogistika Keskus, Tallinna Sadam, Connected Health, eAgronom, OÜ Aktiva Finants, Supervaisor, Ridango, Eesti Metsa- ja Puidutööstuse Liit, Eesti Põllumajandus-Kaubanduskoda, Confido, Datel, Eesti Turismifirmade Liit, Harju Elekter, Eesti Kaupmeeste Liit, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Elering, Eesti Elektritööstuse Liit, Eesti Elektroonikatööstuse Liit, Eesti Energia, Eesti Ringmajandusettevõtete Liit, Eesti Kaitsetööstuse Liit, Eesti Kaubandus-Tööstuskoda, Eesti Masinatööstuse Liit, Eesti Suurettevõtjate Assotsiatsioon, Eesti Tarneahelate Juhtimise Ühing, Eesti Teadusagentuur, Eesti Tuuletehnoloogia Liit, Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon, Skeleton Technologies, Tallinna Ülikool, Tartu Ülikool, Tallinna Tehnikakõrgkool, Tallinna Tehnikaülikool, Eesti Tööandjate Keskliit, Meretööstuse Liit, MTÜ Eesti Standardimis- ja Akrediteerimiskeskus, Tarbijakaitse ja Tehnilise Järelevalve Amet, Konkurentsiamet. Arvamuse saatsid Justiitsministeerium, Kaitseministeerium, Välisministeerium, Riigikantselei, Riigi Infosüsteemi Amet, Tarbijakaitse ja Tehnilise Järelevalve Amet, Riigi Info- ja Kommunikatsiooni-tehnoloogia Keskus, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit. Saabunud sisendid on esitatud kaasamise tabelis (lisa 1). 14 1 Justiitsministeerium Arvestatud /mittearvestatud 1.1 Toetame kavandatava küberkerksuse määruse eesmärki kehtestada Arvestatud osaliselt. harmoniseeritud küberturvalisuse standardid digitaalsete elementidega Punkt 1. toodetele ning sätestada tootjate, operaatorite jt ettevõtete kohustused kõrge küberturvalisuse taseme saavutamiseks. Muuhulgas toetavad need kohustused isikuandmete kõrgetasemelist kaitset Euroopa Liidus ning aitavad vähendada küberintsidentidega kaasnevaid negatiivseid mõjusid põhiõigustele. Küberkerksuse määrusel on puutumus AI määrusega, kuivõrd kehtestab küberturvalisuse nõuded mh kõrge riskiga AI süsteemide pakkujatele. Kuivõrd ka AI määruse artikkel 15 käsitleb kõrge riskiga AI süsteemide küberturvalisuse nõudeid, toetame küberkerksuse määruse artiklis 8 väljapakutud täpsustust, mille kohaselt juhul, kui kõrge riskiga AI süsteem vastab küberkerksuse õigusakti küberturvalisuse nõuetele, on ta seeläbi täitnud ka AI määruses sätestatud küberturvalisuse nõuded. See tagab, et kahes õigusaktis sätestatud küberturvalisuse standardi osas ei tekiks vastuolusid. Samuti toetame, et küberkerksuse määruse artikkel 8 täpsustab vastavushindamisprotseduuri läbiviimist selliste kõrge riskiga AI süsteemide osas, millele kohaldub nii küberkerksuse määruses kui AI määruses sätestatud vastavushindamise läbiviimise kohustus. 1.2 Artiklis 53 tuleks loobuda mõistest "administrative", sest see on EL õiguses Arvestatud. sisustamata. On selge, et määrus ei saa nõuda kriminaalkaristust, sest selleks on vaid üks õiguslik alus - ELTL art 83. Kui menetluse liigile ei viidata, on Punkt 11. liikmesriigil diskretsioon, millises menetluses see üle võtta ning EL ei tohiks külvata mõistelist segadust terminitega, mida ei ole EL õiguses varem sisustatud. Seega tuleks taotleda seda, et eelnõu menetluse käigus ei rõhutataks karistuse haldusõiguslikku iseloomu. Euroopa Liidu õiguses ei ole kunagi halduskaristuse mõistet sisustatud, selles kontekstis tuntakse üksnes kriminaalõiguslikke ja mitte-kriminaalõiguslikke karistusi. Seejuures viimaste korral, kui õigusakt ei viita sanktsiooni liigile, on liikmesriigil diskretsioon neid mistahes menetluses kohaldada (where European Union legislation does not specifically provide any penalty for an infringement or refers for that purpose to national legislation, the choice of penalty remains within the discretion of the Member States - European Court of Justice 7.10.2010, case 382/09 (Stils Met SIA v Valsts ieņēmumu dienests), [2010] ECR I-09315, margin no 44.). . Seega oleme vastu, et viidatakse halduskaristuse (administrative penalties) mõistele. EL õiguses ei ole ühtset arusaama, mida see mõiste tähendab. Liikmesriigil peab jääma maksimaalne paindlikkus, et kasutada enda õigussüsteemis kõige sobivamat sanktsioonisüsteemi ja -liiki. Täiendavalt tuleks kaaluda seda, et sätestada karistused üksnes teatud raskemate rikkumiste eest. Kuna tegemist on kõrges ülemmääras rahatrahvidega, mille puhul ei ole isikule tagatavate põhiõiguste ulatus selge, tuleks piirduda üksnes juriidiliste isikute sanktsioneerimisega. - trahvid tuleks ette näha vaid juriidilistele isikutele - vastasel juhul võib sedavõrd suurte sanktsioonimäärade korral tekkida vastuolu määratletuse põhimõttega. Liikmesriikidele peaks jääma paindlikkus sanktsioneerida vaid teatud raskemaid rikkumisi (ultima ratio põhimõte), s.t et iga rikkumine ei pea olema kohustuslikus korras karistatav. Sanktsioonid tuleks vajadusel ette näha üksnes raskematele rikkumistele ning tagades maksimaalse paindlikkuse sanktsioonimäära, -liigi ja menetluse osas. 2 Kaitseministeerium Arvestatud /mittearvestatud 2.1 Kaitseministeeriumi hinnangul on loodav Euroopa küberkerksuse määrus Arvestatud. vajalik. See aitab luua ELis vajalikud tingimused digitaalsete elementidega Punkt 1. toodete turvalisuse tagamiseks ning tagada, et nii riist- kui tarkvara on turul turvalised ning vähemate nõrkustega. Antud küberkerksuse eelnõu on suunatud eelkõige kommertsvaldkonnale. Kaitseotstarbelised tooted määruse reguleerimisalasse ei kuulu. Eelkõige on positiivne tootjatele suunatud osa, kus on selgelt toodud välja juhised ja suund, kuidas parandada toodete turvalisust. Küberturvalisus saab toimida ainult siis, kui kõik toote komponendid on küberturvalised. 2.2 Eelnõu art. 43 (siseriiklik järelvalvemenetlus seoses digitaalsete elementidega Arvestatud osaliselt, kuid toodetega, mis kujutab endast olulist küberjulgeolekuriski) näeme lisaväärtust, eraldi seisukohta ei tehta. et viia läbi digitaalsete elementidega toodete hindamine, kui esineb Punkt 1. märkimisväärne küberturvalisuse risk. 2.3 Kuna digitaalsete elementidega toodete nõrkuste tõttu on toimunud väga suurel Arvestatud osaliselt. hulgal küberintsidente, toetame ideed keelata või piirata turult riskidega tooted ning riigi kohustust teavitada Euroopa Komisjoni ja teisi liikmesriike Punkt 1. turvaaukudest. Suurel hulgal tooteid on kasutuses EL üleselt. 2.4 Toetame eesmärki tagada, et tootjad parandaksid oma digitaalsete Arvestatud osaliselt. elementidega toodete turvalisust kogu väljatöötamistsükli vältel; tagada sidus Punktis 1. küberjulgeoleku raamistik, mis hõlmaks riist-ja tarkvaratootjate nõuetele vastavust, suurendaks digitaalsete elementidega toodete turvaomaduste läbipaistvust ja tagaks, et tarbijad digitaalsete elementidega toodete kasutamisel saaksid seda teha turvaliselt. 2.5 Kaitseministeeriumi hinnangul on vajalik seada ka ELi asutuste poolt Mittearvestatud. sisseostetavate IT-teenuse pakkujate kübervõimekus ja vastavad standardid ka hangetesse sisse viia. Regulatsioon tegelebki pakkujate (sõltumata sellest, kes turul kliendid on) reguleerimisega. 2.6 Dokumendis sisaldub ka tehisintellekti puudutav osa, kuid selle kasutuse ja Mittearvestatud. reguleerimise määrab ELi tehisintellekti määrus. Dokument arvestab ELi tehisintellekti reguleerimisala. 3 Riigikantselei Arvestatud /mittearvestatud 3.1 Selleks, et otsustada, kas pooldada algatust või mitte, peaksime saama aru selle Mittearvestatud. direktiivi mõjust Eesti turule. Meil Eestis on teatud IT riistvara tootjaid, nt kontrollerid, mikroskeemid. Iduettevõtted, kaitsetööstus ja muud Mõju ei ole mõistlikult tootjad samuti toodavad direktiiviga hõlmatud tarkvara ja riistvara. Kuna hinnatav. seatakse tingimusi ka tarkvarale, siis pm läheks sinna alla igasugune Eesti ettevõtete poolt loodav tarkvara, mis sobitub direktiivi lisade nimetuse alla. Kokkuvõttes tuleb esmalt hinnata:  Direktiivi mõju meie ettevõtetele ja majandusele, kasvõi üldiselt, mis on need võimalikud mõjud meie ettevõtetele, sh keda see direktiiv meie ettevõtetest võib mõjutada;  Mõju tarkvara ja riistvara kättesaadavusele, st kas nõuete tõttu ei või tekkida teatud riistvara ja tarkvara defitsiit. 4 Riigi Infosüsteemide Amet Arvestatud /mittearvestatud 4.1 Küberkerksuse õigusakti eelnõu näeb ette küberturvalisuse nõuded Euroopa Arvestatud. Liidu turul liikuvatele digitoodetele. CERT-EE automaatseire tuvastab iga Punkt 1. päev kümneid pahavaraga nakatunud seadmeid Eesti küberruumis, mis teevad tõenäoliselt omaniku teadmata pahatahtliku päringuid teiste sihtmärkide pihta. Leiame, et digitoodete tootjatele, maaletoojatele ja levitajatele küberturvalisuse vaatest kohustusi pannes saab seda numbrit vähendada, sest muuhulgas on turvanõrkuste paikamata jätmise põhjuseks ka turvauuenduste puudumine . Seetõttu tervitab Riigi Infosüsteemi Amet (RIA) algatust muuta inimeste nutividinad ja seega kogu küberruum turvalisemaks ning on positiivne, et CE märgis hakkab tulevikus hõlmama ka küberturvalisust. 4.2 Peame oluliseks õigusakti ettepanekus tutvustatud turvalise arendamise Mittearvestatud. printsiipi (security by design) ehk küberturvalisuse nõuete järgimist digitoodete loomisel. Samuti peame oluliseks, et turule saabuksid kõige turvalisemate sätetega seadistatud digitooted (security by default printsiip) Security by default on I ning et tooted oleksid varustatud infoga kasutajale, kuidas seadet Lisa 1. jaotise 3 punkti a küberturvaliselt käsitleda ja kui pika aja jooksul on minimaalselt eeldada alapunkti nõue. regulaarset turvauuenduste tarnet. 4.3 Toetame, et õigusakti eelnõu kohaselt ei ole regulatsiooni skoobis vabavaraline Arvestatud. (open-source) tarkvara, mida ei kasutata kommertslikel eesmärkidel. Punkt 4. 4.4 Küberkerksuse õigusakti eelnõu kohaselt saab regulatsiooni jõustamisel Mittearvestatud. keskne roll olema turujärelevalveorganil (market surveillance authority). Turujärelevalve ei ole RIA pädevuses ja see peaks jääma nii ka edaspidi. Ehkki Siseriikliku iseloomuga. õigusakti eelnõu sedastab, et turujärelevalveorgan selles küsimuses võib olla ka võrgu- ja infoturbedirektiivi (NIS 1.0/NIS 2.0) pädev asutus ehk RIA, siis Eesti kontekstis tähendaks see tõenäoliselt sama funktsiooni dubleerimist kahes asutuses, arvestades et Eestis tegeleb turujärelevalvega Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA). See aga ei oleks Eesti suurusel tööjõuturul kompetentside hajumise tõttu mõistlik. 4.5 Samas leiame, et digitoodete küberturvalisuse kujundamisel on vaja tehnilist Mittearvestatud. küberekspertiisi, mis on Eesti kontekstis koondunud RIAsse. On mõistlik küberkompetentsi hoida RIAs, mitte et iga asutus hakkaks oma kübereksperte Siseriikliku iseloomuga. palkama. Seetõttu tuleb leida ja seada sisse protsessid, kuidas RIA saab/hakkab turujärelevalveorganit küberekspertiisiga toetama, sest sarnaselt turujärelevalve funktsiooni ühes keskses kohas hoidmisele on nii otstarbekas tööjõu kui ka rahaliste ressursside mõttes. 4.6 Õigusakti ettepanek sedastab (artikkel 11), et tootja peab aktiivselt Arvestatud osaliselt. ekspluateeritavatest nõrkustest teada andma ENISAle, mis omakorda annab Punkt 7. teada riikide küberturvalisuse pädevatele asutustele (Eestis RIA) ja turujärelevalveorganitele. Peame oluliseks, et õigusakti läbirääkimiste käigus see printsiip säiliks, et info ekspluateeritavatest nõrkustest jõuaks küberturvalisuse pädevale asutusele (ehk RIAle, täpsemalt CERT-EEle), kuhu küberohupilt ka praegu kokku koondub. 4.7 Lisaks võiks kaaluda ka vastupidise mehhanismi sätestamist: kui CERT-EE Arvestatud. või muu LRi CERT avastab digitoodetes aktiivselt ekspluateeritava Punkt 7. turvanõrkuse, siis info peaks liikuma ka turujärelevalveorganile ning laiemalt teiste riikide pädevatele asutustele ja turuosalistele. Seda võiks keskselt koordineerida näiteks NIS 2.0 direktiivi kohaselt ENISA juurde loodava Euroopa turvanõrkuste registri kaudu. Praegu sedastab õigusakti eelnõu tekst, et digitoodete tootjad „võivad“ teada anda ENISA juurde loodavale turvanõrkuste registrile või mõnele muule turvanõrkuste registrile. Leiame, et info efektiivseks ja kiireks liikumiseks peaks olema nii tootjatele kui ka teistele osapooltele teada kindel ja konkreetne platvorm turvanõrkustest teavitamiseks, mis tagaks kiireima võimaliku viisi kõikidele vajalikele osapooltele teabe edastamiseks. Lisaks peame oluliseks, et tootja, maaletooja ja/või levitaja teavitavad nõrkustest lisaks pädevatele asutustele ka kasutajaid ja seda koos juhistega, kuidas konkreetse ohuga ümber käia (nt kasvõi avalike teadaannete kaudu). 5 Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Arvestatud /mittearvestatud 5.1 Uue regulatiivse algatuse puhul väga oluline silmas pidada seda, et sekkumine Mittearvestatud. on proportsionaalne ja õigustatud seal, kus on tõendatult probleemid. Antud kujul turu reguleerimist ITL ei toeta. Probleemid on esitatud memorandumis ja seletuspunktides. 5.2 ITL soovib näha uut lähenemist võrreldes praegu esitatuga. ITL pooldab Mittearvestatud. esmalt teadlikkuse tõstmist, selgete juhiste ja soovituste andmist küberturvalisuse tõstmiseks ja riskihinnangute (self-assessment) tegemist Ebavajalikkuse väide vastu juhiseid ja nõuandeid. Alles siis, kui nendest ei ole abi, siis saab minna põhistamata. Pooldatav rangema regulatiivse sekkumise juurde ja konkreetsed nõuded/reegleid lähenemine ei ole kehtestada ning nende üle järelevalvet pidada. Sellise range ja keerulise regulatsiooni välistav. regulatiivse sekkumisega kohe alustamine ei tundu mõistlik ega proportsionaalne meede. 5.3 Samuti leiame, et oluline on otsida võimalusi pigem motiveerida ja toetada Mittearvestatud. tootjaid ning müüjaid, kes tulevad turule pakkuma turvalist, kasulikku ja hästi töötavat toodet. Ka turg ise saab lahendada olukordi, kui konkureerimiseks Puudub sisuline ettepanek peavad tooted head ja turvalised olema, aga selleks peab olema motivatsioon. toetamise printsiibi CRA vastuvõtmisel oleks olukord vastupidine – turvalisuse tagamine nõuaks rakendamiseks. täiendavat kulu, bürokraatiat ning tõrjuks ettevõtteid turukonkurentsist välja, kuna suurema osa tarbijaskonna valikukriteeriumiks on odav hind ja kiirus, mitte turvalisus. 5.4 CRA ettepaneku näol on tegemist väga keerulise ettepanekuga, kus on palju Mittearvestatud. segaseid detaile. Ettepaneku skoop ning kohustuste rakendatavus praktikas tervikuna väga raskesti arusaadav. Seetõttu kaldume arvamusele, et tegemist Seisukoht põhistamata. on kohati ülereguleerimise või vähemalt regulatsiooniga liigse kiirustamisega. Jääb arusaamatuks, kas eesmärgiks on turvalisuse tõstmine või karistamine, s.h veel pole selge, kes oleks kohustatud subjektiks ning millised oleks sertifitseerimise tingimused. 5.5 ITL peab küll oluliseks, et digitoodetele ja kõrvalteenustele kehtivad reeglid Arvestatud. oleksid EL-i liikmesriikides ühesugused, aga need peaksid olema ka üheselt Punkt 2. mõistetavad ja selgete juhistega. 5.6 Kehtestades niivõrd keerulise regulatsiooni (mis jätab samas väga palju Mittearvestatud. lahtiseks), ei ole võimalik saavutada soovitud mõju. Pigem võib hinnata kõrgeks mittesoovitud tagajärgede ilmnemise tõenäosust. Seisukoht põhistamata. 5.7 ITL on seisukohal, et enne võimalike meetmete kehtestamist tuleb alati välja Mittearvestatud. selgitada, kas potentsiaalne tulu ületab ikka kulu. CRA ettepaneku puhul suurendaks kavandatavad nõuded kindlasti ettevõtjate ning riigi CRA ettepanek ei teeni järelevalveasutuste halduskoormust ja kulusid, mistõttu ei saa seda jätta tulu teenimise eesmärki. arvestamata. 5.8 Kuna ettepaneku skoop on väga lai nii digielemendiga toote laia mõiste kui ka Mittearvestatud. kogu tarneahela hõlmamise tõttu, siis ei oska ITL hetkel hinnata, kui paljusid Eesti ettevõtteid see mõjutama hakkab, aga neid kindlasti on ja neid tuleb Kohaldamisala kaasata. Avaldame lootust, et MKM suudab Eesti seisukohtade koostamise määratlemine subjekti eeldusena selle pildi kokku panna. täpsusega ei ole mõistlikult hinnatav. 5.9 Digitoodete ja küberturvalisuse valdkonnas on palju õigusakte (nt NIS Mittearvestatud. direktiiv, küberturvalisuse määrus, NLF, raadioseadmete direktiiv koos delegeeritud õigusaktiga, üldine tooteohutuse direktiiv, tootja vastutuse CRA kohaldamisala ei direktiiv, aga ka GDPR ja sektorspetsiifilised õigusaktid nagu masinadirektiiv neeldu muus õigusaktis. ja meditsiiniseadmete määrus), millest mitmed on käesoleval hetkel Puudub põhistus, kas ülevaatamisel. Turuosaliste jaoks on vaja selgust, millal mis kohaldub, ning õigusaktide seostes on kindlust, et erinevates õigusaktides ei ole kattuvusi. On tervitatav, et viga. õigusaktide omavahelisi seoseid on püütud CRA ettepanekus selgitada. Kahjuks ei oska me praegu anda hinnangut, kas seda on tehtud piisavalt hästi või saaks veel paremini. 5.10 NLF-i mõte on see, et vähendatakse muud regulatsiooni ja toimub Mittearvestatud. ühtlustamine. CRA-d aga tundub, et püütakse ellu viia kogu muu regulatsiooni kõrval, mistõttu tundub kahtlane, et see hakkaks selliselt horisontaalselt tööle. CRA eelduslikult ühildub NLF-i. See ei vasta tõele, kuna tarnijale tekivad ka nõuded; see on ka NLF-i järgi, et kõik EL turule tulevad tooted peavad vastama EL nõuetele 5.11 Kindlasti on ebaselge raadioseadmete direktiivi (RED) delegeeritud akti Arvestatud. puudutav. Euroopa Komisjon justkui soovitab selle kehtetuks tunnistada, aga kas seda tehakse ja millised on selle tagajärjed praktikas? Punkt 2. 5.12 Kuna ka sertifitseerimise valdkonnas on paralleelselt käimas mitu algatust, Arvestatud osaliselt. tuleb nendesse erilise tähelepanelikkusega suhtuda. Näiteks on tulemas „European Common Criteria based cybersecurity certification scheme“, mis Punkt 2, artikkel 2 (4) meie arusaamise järgi hakkab paljusid riistvaralisi komponente sertifitseerima. volitus. Siinkohal jääb arusaamatuks seos CRA ettepanekuga, mis muuseas sätestab, et Euroopa Komisjon võib, aga ei pea nende kahe akti vahelist seost selgitama. Sellega ei saa nõus olla. 5.13 ITL on varasemalt asunud seisukohale, et kui kehtestada digitoodetele Arvestatud osaliselt. küberturvalisuse nõuded, siis on oluline silmas pidada, et nõuded kõigile konkureerivatele toodetele peavad olema ühesugused. Ei ole mõeldav see, et Erisus konkurentsis võib konkureerivatele toodetele kehtivad erinevad nõuded. tuleneda „common specifications“ nõuetest. Selle osas punkt 3. 5.14 [Näide liiga laiast ja segasest kohaldamialast] Mittearvestatud. CRA ettepaneku art 2 lg 1 kohaselt kohaldatakse määrust digitaalsete elementidega toodetele, mille kavandatud või mõistlikult prognoositav kasutus Põhistamata, miks hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või kohaldamisala on liiga lai. võrguga. See tähendab ääretult laia hulka seadmeid. Olukorda ei muuda selgemaks ka art 3 lg 1 toodud digitaalse elemendiga toote mõiste. 5.15 [Näide liiga laiast ja segasest kohaldamialast] Arvestatud. CRA ettepaneku lisas III on kirjas 38 erinevat kategooriat kriitilistest toodetest (ja nimekirja saab Komisjon veel laiendada, vt p 2.1.3), millest nii mitmedki Punkt 8. (aga mitte kõik) on sõnastuses, mille alla mahub mis iganes. Näiteks on kirjas serverite ja arvutite operatsioonisüsteemid. Seda lugedes tekkis küsimus, kuidas küll erinevad Linuxi operatsioonisüsteemid (distrod) selle uue õigusruumi sees toimivad, kes neid sertifitseerima hakkab ja kelle suhtes ettepanekus sisalduvaid trahve hakatakse kohaldama. Tarkvara võib olla ka ühislooming. 5.16 [Näide liiga laiast ja segasest kohaldamialast] Mittearvestatud. Ettevõtetel on raske sisuliselt mõista, kuidas lisa III alla kuuluvaid sertifitseeritavaid tooteid piiritleda. Mida on vaja sertifitseerida? Näiteks kui Sertifitseeritakse turule sertifitseeritud riistvaralise turvamooduli (HSM) sees teha turvatsooni viidavat toodet. majasisene enda jaoks vajalik privaatvõtmeid tarbiv arendus, kas siis peab midagi ümber sertifitseerima ja kui siis mida? Näiteks mobiil-ID rakendus asub SIM kaardil, kas SK ID Solutions oleks nüüd siis nende kõikide kaartide tootja tänu oma rakendusele PKI vallas või CRA ettepaneku mõttes on tootja ikka SIM tehas? Kui ID kaardile hakataksegi NFC rakendusi lubama, kas riigist saab siis “tootja”, kes kinnitab turbe? Smart-ID äpp on selgelt avaliku võtme taristu (PKI) rakendus, mistõttu kas iga uut tarkvara versiooni igas platvormis peaks seda nüüd siis eraldi sertifitseerimas käima või piisab senisest library taseme sertifikaadist? Kuivõrd rakendus töötab kümnete eri operatsioonisüsteemide (OS) peal, mis omakorda on sertifitseeritud, siis kes ja kuidas märkab, et mõni neist OS versioonidest ei ole esitanud mingi tarkvarapaikade komplekti (patchset) kohta uut sertifikaati ja ettevõtja peab nüüd siis enam oma rakendust seal ka mitte lubama? Ehk siis ülaltoodu on mõeldud näitena selles, et segaseks jääb kes ja kuidas selliseid asju saab selgitama ja otsustama. 5.17 [Näide liiga laiast ja segasest kohaldamialast] Arvestatud. Selgusetuks jääb, kas avatud lähtekoodiga tarkvara (open source software ehk OSS) on CRA ettepaneku kohaldamisala sees või väljas. Põhjenduspunkt 9 Toetame avatud kohaselt ei ole see skoobis. Samas lugedes art 3 lõikeid 1 ja 2, siis oleks see lähtekoodiga tarkvara justkui hõlmatud. välja jätmist määruse skoobist (vt seisukohta nr 4). Selgitame, et nõuete eeldus on kommertstegevus. 5.18 Suur murekoht on see, et Euroopa Komisjon soovib CRA ettepanekuga jätta Arvestatud. endale õiguse muuta ettepaneku lisasid ilma seadusandliku protseduurita. Nimelt annab artikkel 6 Komisjonile õiguse laiendada lisa III endale sobivalt. Punktid 2 ja 3. See tähendab, et tooted, mis täna ei ole kohustusliku kolmanda osapoole turvasertimise all, saavad sinna sattuda ainult Komisjoni otsusega. ITL-i arvates ei saa toetada seda, et sanktsioonid ja nõuded kehtestatakse kohe, aga ettepaneku tegelik skoop selgub hiljem. See on vastuolus õiguspärase ootuse põhimõttega 5.19 Küsitavusi tekitab ka CRA ettepaneku isikuline kohaldamisala. Saame aru, et Mittearvestatud. mõte on hõlmata kogu tarneahel, mistõttu on ettepanekus püütud lahti kirjutada nii tootja, importija kui ka levitaja mõiste ning kohustused. Samas ei selgu Raporteerib see, kes toote ettepanekust see, kuidas vastutus väärtusahelas tegelikult jaotub ja toimima turule toob, vastutab selle hakkab. Näiteks kes mida raporteerima peab. Küsitavusi tekitab ka IoT vms eest mille turule toob. toodete puhul, kus on nö erilahendus või spetsiaalselt kohandatud toode, siis kes lõpuks on vastutav või kuidas tehakse kindlaks, milline osa tootest on ebaturvaline. 5.20 Oleme seisukohal, et käsitledes tarkvara kui toodet ja lisades skoopi väga Arvestatud. paljude tööstuste poolt loodud ja kasutavad komponendid loob CRA ettepanek Punkt 9. enneolematu keerukuse. Hetkel on raske ette kujutada, kuidas hakkab see regulatsioon praktikas töötama. Näiteks kuidas rakenduvad tarkvara puhul NLF regulatsioonis sisalduvad põhimõtted „turule laskmine“ ja „kättesaadavaks tegemine“. 5.21 ITL nõustub, et nõudeid saab kehtestada harmoniseeritud standarditena Mittearvestatud. erinevate tootekategooriate jaoks. Samas toetame seda, et standardid peavad reeglina olema vabatahtlikud. Kohustuslikud standardid on põhjendatud ainult Toote vastavuse nõuete erijuhtudel ja siis peab standardi kohustuslikkus tulenema õigusaktist. Kui kehtestamine on kehtestada regulatsioon, siis on ITL-i soovitus alustada reguleerimist tavapärane. digitoodetest (IoT toodetest) ja nendes juba sisalduvast ehk sisseehitatud tarkvarast. 5.23 CRA ettepanekust ei ole arusaadav, kuidas toimub nõuetele vastavuse kontroll. Mittearvestatud. Kuna reguleeritavate seadmete hulk on ettepaneku kohaselt nii mitmekesine, siis jääb selgusetuks vastu mida toimub ikkagi nende kontroll turvanõrkuste ja Kontrollitakse turule haavatavuste osas. Järelevalve on ette nähtud tagantjärele, aga puudu on viidavat toodet I Lisas millised on need juhised ja nõuded, millele toode vastama peab. Toome sätestatud omaduse siinkohal võrdluseks, et sidevõrkude puhul teame, et riist-ja tarkvara nimekiri suhtes. esitatakse TTJA/RIA/küberjulgeoleku nõukogule, kes siis teatud kriteeriumite alusel hindavad riist- ja tarkvara turvalisust, sh 5G toolboxist tulenevalt, siis millest lähtuda nende regulatsiooni alla käivate toodete ja tootjate osas, mida nüüd täiendavalt soovitakse reguleerida? 5.24 Arusaamatuks jääb, kuidas hakkab töötama EL-i vastavusdeklaratsioon. Mittearvestatud. Artikkel 20 lg 3 sätestab, et kui digitaalsete elementidega toote suhtes kohaldatakse rohkem kui ühte liidu õigusakti, mis nõuavad EL-i Vt selgituspunkt 42. vastavusdeklaratsiooni, koostatakse kõigi selliste liidu õigusaktide kohta üks ELi vastavusdeklaratsioon. 5.25 Sertifitseerimise nõude puhul tekib küsimus, kas see ei anna mitte turul teatud Arvestatud. suurtele tootjatele eelist ning arvestades tänast niigi keerulist olukorda seadmete tarnimisel, kas see ei lisa uut keerukust juurde ning annab võimaluse Punkt 8. suurematel hinda turul dikteerida. Konkurents ja innovatsioon kaoks turult. 5.26 Lisame, et küberturbe toodetele CE märgise füüsiline peale panemine on Mittearvestatud. kindlasti halb plaan, sest siiski enamus neist karpidest ei ole kontrollitavalt sama sisuga, mille kohta see märk käib või puuduvad karbid sootuks. Leiame, Ei ole välistatud digitaalne et märgist õhkuv turvatunne võib pigem kahjulik olla, mitte abistav. Seejuures märgis. on tarkvara puhul kummaline CRA ettepaneku lisa IV p 4, mille kohaselt tuleb lisada: „Object of the declaration (identification of the product allowing traceability. It may include a photograph, where appropriate).“ 5.27 CRA ettepanekus sisalduvad teavitamis- ja raporteerimiskohustused (nt art 11) Mittearvestatud. tuleb üle hinnata ja nende mahtu vähendada. Praeguse sõnastuse kohaselt tuleb teavitada igast ära kasutatud haavatavusest ning igast toote turvalisust Ära kasutatud haavatavus mõjutavast intsidendist. Leiame, et raporteerima peaks ainult olulistest ja intsident on piisavalt sündmustest (sarnaselt NIS direktiiviga). Seejuures jääb arusaamatuks, kust olulised sündmused. ENISA reageerimisvõimekus tuleb ja kas selle raporteerimisega tootja annab justkui oma vastutuse ENISA-le üle. 5.28 Igasugune tootjate poolne nõuetele vastavuse tõendamine, kui seda teha Mittearvestatud. ühekordselt ja kampaania korras, ei oma mõtet, kuna keskkond muutub väga kiiresti. Vastavus toote disainimisel arvestatud parimatele praktikatele ja Iga toote nõuetele printsiipidele võib aga kasulik olla küll. vastavuse tõendamine omab mõtet. 5.29 Saame toetada CRA ettepanekus sisalduvat riskipõhist lähenemist, et nõuete Arvestatud osaliselt. rangus sõltub sellest, kui kõrge risk on. Meie soovitus ongi alustada Punkt 8. riskipõhisest lähenemisest, mitte keerulistest sertifitseerimise ja raporteerimise kohustustest. 5.30 ITL-i hinnangul on kavandatav kohaldamisaeg liiga lühike, eriti arvestades, et Mittearvestatud. vajalik on uute standardite välja töötamine. Nõuded on sisustatud I Lisas. 5.31 Praktilise rakendamise üks peamisi väljakutseid saab olema kompetentsete Mittearvestatud. ressursside (tööstus, turujärelevalve, teavitatud asutused) puudumine. See on ka lisaargument meie väitele, et ettepaneku skoop on liiga lai ning liiga vara Puudub pragmaatilisema on hõlmata rangete nõuete alla kogu tarkvara. Nii eraettevõtted kui ka lähenemise ettepanek kui valitsused on hädas ammendatud küberturvalisuse tagamise ressurssidega, toodete küberturvalise mistõttu peame tagama tulemuste saavutamiseks pragmaatilisema lähenemise. arendamise kohustus. 5.32 Näeme probleemi ka selles, et ENISA, kes seni küberturvalisuse määruse Mittearvestatud. (CSA) põhiselt ei ole veel sisuliselt ühtegi sertifitseerimise skeemi suutnud luua ja turule tuua mitme aasta jooksul, on nüüd erinevates uutes õigusaktides CRA ei loo kohustust hooga hakanud saama juurde ootusi luua ohtralt võimalikke sertifitseerimise standardite loomiseks skeeme. Algselt pidid need olema CSA põhjal vabatahtlikud, siis järjest ENISALE lisanduvad kohustuslikud. Lisaks kõnealusele CRA ettepanekule on sama ka näha eIDASe uutes versioonides. Samas ei ole mingit põhjust uskuda, et nad seda suudavad. CRA ettepaneku selgituste kohaselt on ENISA’le lisaks vaja vaid täiendavad 4,5 inimest. 5.33 Sanktsioonide osas toetame, et need on liikmesriigi määrata ning määruses on Mittearvestatud. kirjas ainult maksimumid, mitte miinimumid. Samas on raske sanktsioonide ulatuse kohta midagi arvata ilma, et oleks veel selge täpselt mis ja millele Vt ettepaneku artiklid 15 vastama peab, kes täpsemalt vastutav on, kas tootja, vahendaja või arendaja ja 16. või see kelle käes parasjagu toode on. Kordame, et ITL-i hinnangul võiks alguses toimida parimate praktikate ja toolbokside abil ning alles siis kohustuslikus korras, millele saab kehtestada sanktsioone. 5.34 Praktilise rakendatavuse osas tekitab küsimusi ka see, kuidas tagatakse piisav Mittearvestatud. paindlikkus, et õigusakti ei peaks lähimas tulevikus muutma. Kuidas ollakse ajakohased ja kaasas uute turvanõrkuste ja muutuva küberturvalisuse olukorra I Lisas sätestatud nõuded ja -rünnetega? Kas nõuded muutuvad või lisanduvad uute turvanõrkuste ja uute on tehnoloogia- tehnoloogiliste lahenduste lisandudes? neutraalsed. 5.35 Vajalik on mõelda ka sellele, milline saab olema üleminekuaeg või kuidas seda Mittearvestatud. n-ö kohustuse täitmise vaatest hinnatakse, et mis on juba olemasolev ja mis on lisandunud ehk uus toode. Vt ettepaneku artikkel 55(2) 5.36 Kokkuvõtteks asume seisukohale, et loomulikult peab küberturvalisus olema Mittearvestatud tagatud ka riist- ja tarkvara tootjate poolt by design. Samas kuidas seda ikkagi praktikas tagada, on keerulisem. Leiame, et ei ole õige alustada sanktsioonide määramisest enne, kui reeglid pole selged. CRA ettepanek on väga keeruliselt kirjutatud ning selles on palju küsitavusi, mis tuleb lahendada, kui see ettepanek kavatsetakse vastu võtta. Sealhulgas kohaldamisala, kohustuste sisu ja rakendamine praktikas. Leiame, et kuni puudub selge plaan toodetest, mis peavad läbima sertifitseerimise, tingimused, millele need tooted peavad siis täpsemalt vastama ning sertifitseerimiseks vajalik süsteem/protsess, siis ei peaks esimeses etapis kehtestama otsekohalduva määrusega nii ulatuslikke nõudeid. ITL-i soovitus on esimese sammuna laiendada 5G toolboksi ja läheneda soovitustega ning seejärel hinnata, kuidas see toimib. Lisame, et ITL-i ülaltoodud arvamustega on nõus ka Eesti Pangaliidu infoturbe toimkond, kes CRA ettepanekuga seonduvaid küsimusi samuti arutas ja pidas otstarbekaks toetada ITLi ettepanekuid ning eraldi arvamust mitte saata. Loodame, et leiate võimaluse ITL-i seisukohti Eesti positsiooni kokkupanemisel arvestada. Soovime olla selles teemas kaasatud ka edaspidi. 6 Riigi Info- ja Kommunikatsioonitehnoloogia Keskus Arvestatud /mittearvestatud 6.1 Direktiivi skoopi mahuvad ka erinevad äppid nt Google play´st, appstore´st Mittearvestatud. jne. Kes ja kuidas peab neid sertifitseerima, kas tootja või platvorm mille kaudu nad on pakutud? Sõltub platvormi õiguslikest suhetest arendajatega. Tüüpiliselt jääb arendaja tootjaks ja platvorm turustajaks. Tootja kohustub vastavushindamist läbi viima. Niikaua kui turustaja toodet ei muuda, tal vastavushindamise kohustust ei ole. 6.2 Art 3 p 31 ‘substantial modification’ - potentsiaalselt kõik tarkvarauuendused Mittearvestatud. (eriti OS-id) mahuvad sinna alla. See tähendab, et tuleb uuesti sertifitseerima, mis on aeganõudev protsess. Tegemist peab olema muudatusega, mis mõjutab I Lisa nõuete kooskõla. Lävend on pigem kõrge. 6.3 Kes vastutab sertifitseerimise eest juhul, kui toode koosneb erinevate tootjate Mittearvestatud. komponentidest? Näiteks kui arvuti (pre-installitud tarkvara (enamasti erinevad tootjad), riistvara (erinevad tootjad) + lisandub ka edasimüüja Vastutatakse turule kohustused. viidava toote eest. Kui toode hõlmab kolmandate osapoole tooteid, kohaldub artikkel 10 (5). Tuleb tähele panna, et kolmandad osapooled samuti vastutavad iseseisvalt toodete eest, mida nad turustavad (ka muude seadmete loomiseks). 6.4 Art 55 lg 2. kohaselt kõik enne DIR jõustumist turul olevad tooted jäävad DIR Mittearvestatud. skoobist välja. Minu hinnangul peab olema üleminekuperiood (nt 42 kuud nagu lg 1) mille raames kõik juba turul olevad tooted, mis ei ole sertifitseeritud Tagantjärele kehtestamine mingu muu regulatsiooni alusel, peavad läbima sertifitseerimisprotsessi. võib tähendada massilist Vastasel juhul tootjad ei hakka sertifitseerimisega üldse tegelema. Lihtsam on tagasikutsumist. öelda, et tegemist ei ole uue tootega vaid vana asja mitte olulise uuendusega (substantial modification) 7 Välisministeerium Arvestatud /mittearvestatud NÕRKUSTE KÄITLEMISE NÕUDED sisaldab nõuet nr 5: Digielemente Arvestatud. sisaldavate toodete tootjad peavad kehtestama nõrkuste koordineeritud avalikustamise põhimõtted ja tagama nende täitmise. Märkus: kui tootja ise Punkt 10 kehtestab avalikustamise põhimõtte, siis see põhimõte võib olla mitte avalikustamine. LISA III annab loetelu digielemente sisaldavatest kriitilise tähtsuega toodetest. Arvestatud osaliselt; I klassi tootena on nimetatud „14. Mobiilseadmete haldamise tarkvara“, see kasutatud punkti 10 tuleks asendada, mistahes konfiguratsioonihaldus tarkvaraga, kuna mobiilsete selgituse juures seadmete eristust mitte mobiilsetest seadmetest on aegunud. Sülearvuti, mobiiltelefon, tahvelarvuti ja isegi võrguseadmed – kõik nad on arvutid ning neis toimub erineval tasandil keskhaldus. LISA V. Kui tekib nõue dokumenteerimisele, siis soovime, et Mittearvestatud. dokumentatsiooniga peab kaasas käima digielemendi toimimiseks vajalike sisenevate ja väljuvate võrguühenduste dokumentatsioon. Neid võiks siis ka Tundub, et seisukohtade dokumendis kajastada. võrguühenduste dokumentatsioon on juba kaetud: Lisa V p 2 alalõige a)

Allikas: Majandus- ja Kommunikatsiooniministeerium dokumendiregister →