Arvamus määruse eelnõu kohta

Hr Andres Sutt Ettevõtlus- ja infotehnoloogiaminister Majandus- ja Kommunikatsiooniministeerium Teie 10.05.2022 nr 2-1/2022/3387 Suur-Ameerika 1 10122 TALLINN Meie 0106.2022 nr 6.1-2/72-1 Arvamus määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõu kohta Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (edaspidi: ITL) analüüsis Teie poolt arvamuse avaldamiseks esitatud Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ eelnõud (edaspidi: eelnõu). 1. Esitame eelnõu kohta järgmised ettepanekud: 1.1. Eelnõu kohaldamisala on ebaselge ja vajab täpsustamist ITL teeb õigusselguse huvides ettepaneku täpsustada eelnõus üheselt selgelt, kellele eelnõus sisalduvad nõuded kohalduvad täiendades eelnõu §-i 1 kohaldamisalaga. Hetkel on näiteks pilvsüsteemi nõuete kohaldamisala kirjas vastavas peatükis § 14 lõikes 2. Suurema selguse huvides teeme ettepaneku sätestada määruse aluses kohaldamisala ja tuua selles välja kõigi nõuete kohaldamisalad. Kõige rohkem vajab täpsustamist rahvusvahelist ISO/IEC 27001 standardit (edaspidi: ISO standard) puudutav. Eelnõu seletuskirja lk 31 kohaselt on E-ITS alternatiivina aktsepteeritud ISO standard, kuid eelnõu enda tekstist jääb ebaselgeks selle alternatiivina aktsepteerimise ulatus. Esiteks ei ole lõpuni selge eelnõu § 3 lg 2, mis sätestab, et süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust Eesti infoturbestandardile eeldatakse ka juhul, kui teenuse osutaja rakendatud turvameetmed vastavad ISO standardiga kehtestatud nõuetele. Sellest jääb mulje, et isegi kui ISO standard on rakendatud ja auditeeritud, tuleb EITS meetmetega vastavuses endiselt olla. See on aga eksitav, mistõttu teeme ettepaneku eelnõu § 3 lõikes 2 selgelt sätestada, et ISO standardi puhul ei ole vaja rakendada EITS meetmeid ega toimu EITS auditeerimist.  2 See on vajalik õigusselguse huvides ning selleks, et eelnõu ja eelnõu seletuskiri oleksid kooskõlas. Antud küsimusega on seotud ka eelnõu § 4, mis sätestab auditeerimiskohustuse ja ühtlasi selle erandid. ITL-i ettepanek on täpsustada eelnõu §-is 4, et auditeerimise kohustust ei ole, kui ISO standardi vastavussertifikaat on olemas ehk teenuse osutaja on täitnud eelnõu § 3 lõikes 2 toodud tingimused. Hetkel see eelnõust selgelt välja ei tule. Samuti jääb eelnõust ebaselgeks, kas piisab ISO standardi sertifikaadi esitamisest Riigi Infosüsteemi Ametile (RIA) (kas seda loetakse vastavussertifikaadiks), või on vaja kõigi küberturvalisuse seaduse (KüTS) skoopi jäävate teenuste ja süsteemide osas täiendavalt tõestada) süsteemide ja teenuste vastavust. Oleme seisukohal, et kui ettevõttel on rahvusvaheliselt vaja ikkagi ISO sertifikaati, siis oleks ebamõistlik panna teatud osas ka täiendava E-ITS kohane auditi nõue. Lisaks palume selgitada eelnõu seletuskirjas, kas kontsernettevõtete ja riikide üleste teenuste puhul piisab kontserni sertifikaadist. Kokkuvõttes leiame, et ISO standard kui aktsepteeritav asendus peab olema eelnõus selge ja terviklik, mitte osaline ja segadust tekitav. 1.2. Dokumentatsiooni säilitamise tähtaega tuleb lühendada ITL kordab ettepanekut lühendada eelnõu § 5 lõikes 2 sisalduvat dokumentatsiooni säilitamise tähtaega seitsmelt aastalt kolmele. Hetkel kehtiva KüTS § 7 lg 2 järgi tuleb dokumente säilitada 3 aastat, aga see punkt tunnistatakse eelnõuga 531 SE kehtetuks. ITL jääb seisukohale, et 7 aastat on infotehnoloogias väga pikk aeg. Meil on endiselt raske mõista, mis väärtust pakuvad RIA-le 7 aasta tagused riskianalüüsid või sel hetkel rakendatud turvameetmete info. Eriti arvestades nõuet, et sõltumatu audit või sertifitseerimine tuleb läbi viia iga 3 aasta järel. Riigi ülesanne ja eesmärk antud kontekstis on meie arusaama kohaselt hinnata, kas teenuse osutaja turvalisus on piisav mingite teenuste pakkumiseks. Seda hinnatakse läbi auditeerimise (EITS, ISO vms). Vastavusaudit on aga oleku hindamine kindlal ajahetkel, mitte läbi aja. See tähendab, et hinnatakse, kas teenuse osutaja praegused dokumendid vastavad tasemele ja kas teenuse osutaja läbib auditi (tähelepanekutega) või mitte. Ükski audit ei hinda praktikas seda, kas teenuse osutaja on olnud tubli võrreldes eelmise auditiga: seda saavad teenuse osutajad ise teha tähelepanekute hulga või sisu põhjal. Kui riigil on nüüd täiendav eesmärk lisaks auditeeritusse kontrollimisele hakata ise ka dokumentatsiooni ja selle vastavust hindama ning seda soovitakse hindamise käigus võrrelda ka 7 aastat vanema dokumentatsiooniga, peab riik seda dokumentatsiooni ise koguma ja hindama hakkama. Selleks oleks vaja välja töötada eraldi toimiv protsessi ning eelnevalt põhjendada ka selle eesmärk ja vajadus.  3 Me ei näe põhjust, miks peaks teenuse osutajad kogu eelmise auditi aluseks olevat infot nii kaua alles hoidma. Lisame, et paljudel juhtudel ei pruugi neid süsteeme enam 7 aasta pärast alles olla, mille kohta need dokumendid käivad. Juhime veel tähelepanu eelnõu seletuskirjas lk 30 toodud mõjuhinnangule, mille kohaselt ei kujuta 7- aastane säilitustähtaeg kohuslastele hinnatavat olulist mõju. ITL-i hinnangul on see väide eksitav, sest arvestatav mõju tekiks kindlasti. 2. Tähelepanekud pilvsüsteemi pidamise nõuete osas Kuigi eelnõus sisalduvad pilvsüsteemi pidamise nõuded kohalduvad vaid avaliku sektori asutustele, peame vajalikuks juhtida MKM-i tähelepanu järgmisele. 2.1. Pilvesüsteemidele seatavad reeglid ja tingimused peavad olema täidetavad ning arvestama teenuse osutaja võimalusi pilveteenuse pakkujale reegleid ette kirjutada. Meie hinnangul on probleemne eelnõu § 18 lõikes 1 sisalduv kasutaja kohustus edastada või tagada muul moel RIA-le juurdepääs pilvandmetöötlusteenuse kasutamisega kaasnevatele logidele, mis võimaldavad analüüsida peetava pilvsüsteemi turvalisust ohustavaid riske. See säte eeldab justkui, et pilveteenusest tuleks audit logi edastada RIA-le. Audit logi on aga miski, mis näitab juba rakenduse kihis toimuvat ja võib sisaldada mh ka ärisaladust, isikuandmeid (nt kasutajatunnuseid) jm informatsiooni, mille töötlemise tulemusena peaks RIA muutuma vähemalt volitatud töötlejaks. 2.2. Teine problemaatiline säte on eelnõu § 19 lõikes 3 sisalduv kasutaja kohustus pilvsüsteemi terviklust või käideldavust mõjutava küberintsidendi korral tagada võimekus rakendada alternatiivset süsteemi või meedet viivitamatult ja kuni küberintsidendi lõppemiseni. Leiame et siinkohal on vaja läbi mõtlemist küsimus, kas peaks olema tähtaeg, kaua see n-ö alternatiivne süsteem peab kestma ning millises ulatuses ja võimekuses. Alternatiivse süsteemi paralleelselt üleval pidamine võib osutada ebamõistlikult kulukaks, sest tekib vajadus omada kaht erinevat tehnilist lahendust. 2.3. ITL-i hinnangul vajab täiendavat analüüsi küsimus, kas eelnõu § 16 sisalduva pilveteenuse pakkujast tuleneva riski hindamise alused on võimalik sätestada määruses. Eelnõu § 16 lg 3 osas juhime tähelepanu, et elektroonilise side seaduse § 873 lõikes 3 sisaldub samasugune loetelu asjaoludest, mida tuleb arvestada sideteenuse osutamisel kastutatava riist- ja tarkvara kõrge riski hindamisel. Nimetatud loetelu kavandati ka kehtestada Vabariigi Valitsuse määrusega, aga menetluse käigus jõuti õiguskantsleri poolse tähelepanu juhtimise tulemusena järeldusele, et taoline loetelu peab õigusselguse huvides olema kehtestatud seadusega. Eelnõus on küll kohustus ja seda sisustav loetelu samas õigusaktis, aga kuna tegemist on väga olulise piiranguga, mis mõjutab väga otseselt ka pilveteenuse osutajaid, peaks see loetelu ITL-i hinnangul olema seaduses.  4 Lõpetuseks rõhutame, et eelnõus sisalduvad kohustused tuleb üle vaadata ja hinnata, et need ei laieneks ettevõtetele, kel on juba muud kohustused. Näiteks on pangad juba praegu äärmiselt reguleeritud ettevõtted ning nende üle teostab järelevalvet ka küberturvalisuse osas Finantsinspektsioon. Euroopa Liidust on tulemas uus, nn DORA regulatsioon, mis on suunitletud just finantsasutustele. Seejuures on selgelt välja öeldud, et uuest võrgu- ja infosüsteemide turvalisuse direktiivist (NIS 2) tulenevad kohustused ei laiene neile, kes DORA-t peavad rakendama just seetõttu, et DORA juba katab need teemad ära ning et ei tekiks topelt järele valvamist. Nõue E-ITS audititeks või ISO 27001 sertifitseerimiseks tooks pankadele täiendava järelevalve asutuse (RIA) ja tõstaks seeläbi halduskoormust, mis ei lähe kokku ei EU põhimõtetega ega tänase NIS2/DORA väljatöötamisel seatud põhimõtetega. Kokkuvõtteks peab ITL väga oluliseks, et ISO standardi osas saaks eelnõusse selgelt kirja, et selle sertifikaadi olemasolul EITS ei rakendu ning täiendavat auditit teenuse osutajad läbi viima ei pea. Loodame, et leiate võimaluse meie ettepanekuid eelnõu edasises menetluses arvestada. Lisaks teeme ettepaneku korraldada kohtumine meie ettepanekute aruteluks. Lugupidamisega /allkirjastatud digitaalselt/ Doris Põld Tegevjuht Keilin Tammepärg, [email protected]