Kooskõlastuskiri

Majandus- ja Kommunikatsiooniministeerium Teie 10.05.2022 nr MKM/22-0570/- [email protected] 1K, 2-1/2022/3387/ Meie 01.06.2022 nr 1.2-3/1736-2 Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu kooskõlastamine Olete saatnud Sotsiaalministeeriumile kooskõlastamiseks Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu. Sotsiaalministeerium kooskõlastab määruse eelnõu järgmiste märkustega arvestamise korral. 1. Eelnõu § 12 sätestab avalike ülesannete täitmist oluliselt mõjutavate süsteemide loetelu. Loetelusse kuuluvad süsteemid, millel on oluline mõju riigi ja kohaliku omavalitsuse üksuse võimele täita avalikke ülesandeid. Eelnõu seletuskirjas on selgitatud, et eesmärk on kindlustada avaliku sektori põhifunktsioonide täitmiseks vajalike andmete turvaline säilitamine ja ligipääs ning elutähtsate infosüsteemide töös hoidmine teenuste osutamiseks ka siis, kui riigi territooriumil asuvate andmekeskuste töö on peatunud või häiritud näiteks looduskatastroofi, ulatusliku küberrünnaku, elektrikatkestuse või muu kriisiolukorra tõttu. Sotsiaalministeerium teeb koos TEHIK-uga ettepaneku avada arutelu eelnõu § 12 loetelusse kuuluvate infosüsteemide kohta. Lähtudes küberturvalisuse strateegiast 2019–2022 on kõige enam kaitset vajavateks digitaalseteks varadeks põhiandmed kodanike, riigi territooriumi ja õigusloome kohta (kriitilise tähtsusega andmekogud). Kriitiliste andmekogude töörühm on selgitanud välja avalike ülesannete täitmist oluliselt mõjutavad süsteemid ning need on kinnitanud küberjulgeoleku nõukogu. Need kriitilised süsteemid moodustavadki eelnõu § 12 loetelu, kuhu muu hulgas kuulub ka sotsiaalkaitse infosüsteem (SKAIS). Täiendavat arutelu vajab tervise infosüsteemi (TIS) ja sotsiaalteenuste ja -toetuste andmeregistri (STAR) loetellu lisamine. Mõistame, et täiendavate infosüsteemide loetellu lisamine toob kaasa täiendava andmemahu hoidmise eelnõu §-s 13 märgitud turvalises andmekeskuses. TEHIKu hinnangul on see tehniliselt teostatav. Peame oluliseks tuua välja ja hinnata hoiustavate andmete väärtus riigile, kui praegu toimivad infosüsteemid ei ole kasutatavad. Varasemalt on TIS olnud teemaks ka isiku terviseandmete ajaloona. Kui isiku 10–20 aasta tagused andmed tänaseks raviotsuseks ei pruugi anda väärtust, võivad need andmed osutuda oluliseks teatavate ravijuhtude lahendamisel. Tehniliselt on tegemist hoiustatava andmemahu suurusega. Sotsiaalministeerium ja TEHIK peavad oluliseks tuua välja, et riigi taastoimimise kindlustamiseks on andmeid/süsteeme kogumina rohkem. See tähendab märksa laiemat andmete hoiustamist turvalises andmekeskuses. Näiteks võiks riiklike andmekogude Suur-Ameerika 1 / 10122 Tallinn / 626 9301 / [email protected] / www.sm.ee / registrikood 70001952  2 andmeid andmekeskuses hoiustada tervikuna, näiteks tänases riigiarhiivi andmeformaadis, hoidmaks ilmselt kokku andmemahtu kui ka kindlustades andmete taaskasutuse universaalsuse. Nii puudub hiljem vajadus ühe või teise varundatud infosüsteemi arhitektuuri spetsiifika tundmise järele. Eeltoodu tõttu peame oluliseks täiendavat arutelu Sotsiaalministeeriumi valitsemisala infosüsteemide kohta, hindamaks nende kuulumist nimetatud loetelusse ning samuti vahendite tagamist sätte rakendamiseks. 2. Eelnõu § 17 sätestatakse nõuded pilvsüsteemis töödeldava teabe konfidentsiaalsusele. Eelnõu viidatud paragrahvi lõikes 1 sätestatakse, et kasutaja tagab avaliku teabe seaduse § 35 lõike 1 punktides 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 sätestatud teabe konfidentsiaalsuse pilvandmetöötlusteenuse pakkuja eest pilvsüsteemis, sealhulgas tagab kasutaja loetletud teabe krüpteerimise. Eelnõu sama paragrahvi lõike 3 kohaselt võib üleriigilise küberturvalisuse tagamise korraldamise eest vastutav minister kehtestada määrusega nõuded eelnimetatud teabe krüpteerimise krüptomaterjalidele. Peame oluliseks, et lähtuvalt eesmärgist tagada ühtne arusaam ning krüpteerimise teostuse täpsus ja täielikkus, nõuete piisav rakendamine ning õigusselgus nõuete täitmise osas sõnastataks edasivolitus konstateerivas vormis. Imperatiivset edasivolitamise vormi nõuab ka eelnõu aluseks olev volitusnorm küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõus (531 SE). Palume muuta eelnõu § 17 lõiget 3, asendades sõnad „võib kehtestada“ sõnaga „kehtestab“. Lugupidamisega (allkirjastatud digitaalselt) Signe Riisalo sotsiaalkaitseminister (allkirjastatud digitaalselt) Tanel Kiik tervise- ja tööminister Virge Kuningas-Turu 6269 114 [email protected]