Eesti seisukohad EL küberkerksuse õigusakti avaliku konsultatsiooni ja EL asutuste küberturbe määruse kohta

Draft ID: 33a4db20-e9c3-4be5-b055-eb86ba03345e Date: 11/05/2022 21:50:25 Public Consultation on the cybersecurity of digital products and ancillary services Fields marked with * are mandatory. Introduction Digital products and ancillary services create significant opportunities for EU economies and societies, along with new challenges that need to be addressed. In a connected environment, a cybersecurity incident in one product can affect an entire organisation or a whole supply-chain. It can lead to severe disruption of economic and social activities or even become life threatening. The lack of appropriate security in digital products and services constitutes one of the main avenues for successful attacks. In her State of the Union 2021 address, President von der Leyen underlined that the EU should not merely settle to address the cyber threats, but also strive to become a leader in cybersecurity. This could be achieved through legislation on horizontal requirements under a new European Cyber Resilience Act, included in the Commission Work Programme for 2022 under the headline ambition “A Europe Fit for the Digital Age”. This comes against the background of a growing number of high-profile cyberattacks with a global footprint: the annual cost of cybercrime to the global economy in 2020 was estimated to be EUR 5.5 trillion, double that of 2015 (JRC, Cybersecurity – Our Digital Anchor, 2020). It is also partly a result of suboptimal cybersecurity measures for digital products and ancillary services. The new European Cyber Resilience Act will also contribute to the EU’s continuous effort for an effective and genuine Security Union i n t h e d i g i t a l e r a . This public consultation aims at informing the Commission’s upcoming Cyber Resilience Act initiative. Your answers will help the Commission analyse cybersecurity-related problems associated with the digital products markets, explore possible ways forward and assess the impact of different types of interventions. Please note that the translations of this consultation in the other EU languages will follow. This consultation will remain open until 25 May 2022. Definitions For the purposes of this public consultation, the notion of digital product covers both hardware and software products. A hardware product is defined as any device or group of interconnected or related devices, one or more of which, pursuant to a program, perform automatic processing of digital data. A softw are product is defined as an intangible good that processes digital data, stored, retrieved or transmitted by a hardware device, by executing encoded instructions. Software products include for example operating systems, user applications or firmware. Software can be made available without hardware (so-called ‘non- embedded software’ or standalone software) or as specialised software directly supportive to the function of the hardware product on which the software is run (so-called ‘embedded software’). Ancillary service means a (digital) service, the absence of which would prevent the tangible product from performing its 1  functions (e.g. a website through which you access to the functionality of a device). Cybersecurity means the activities necessary to protect network and information systems, the users of such systems, and other persons affected by cyber threats ( Article 2(1) of EU Cybersecurity Act ). About you * Language of my contribution Bulgarian Croatian Czech Danish Dutch English Estonian Finnish French German Greek Hungarian Irish Italian Latvian Lithuanian Maltese Polish Portuguese Romanian Slovak Slovenian Spanish Swedish * I am giving my contribution as Academic/research institution Business association 2  Company/business organisation Consumer organisation EU citizen Environmental organisation Non-EU citizen Non-governmental organisation (NGO) Public authority Trade union Other * First name Thorwald-Eirik * Surname Kaljo * Email (this won't be published) [email protected] * Scope International Local National Regional * Level of governance Parliament Authority Agency * Organisation name 255 character(s) maximum Majandus- ja Kommunikatsiooniministeerium * Organisation size 3  Micro (1 to 9 employees) Small (10 to 49 employees) Medium (50 to 249 employees) Large (250 or more) Transparency register number 255 character(s) maximum Check if your organisation is on the transparency register. It's a voluntary database for organisations seeking to influence EU decision-making. * Country of origin Please add your country of origin, or that of your organisation. Afghanistan Djibouti Libya Saint Martin Åland Islands Dominica Liechtenstein Saint Pierre and Miquelon Albania Dominican Lithuania Saint Vincent Republic and the Grenadines Algeria Ecuador Luxembourg Samoa American Samoa Egypt Macau San Marino Andorra El Salvador Madagascar São Tomé and Príncipe Angola Equatorial Guinea Malawi Saudi Arabia Anguilla Eritrea Malaysia Senegal Antarctica Estonia Maldives Serbia Antigua and Eswatini Mali Seychelles Barbuda Argentina Ethiopia Malta Sierra Leone Armenia Falkland Islands Marshall Islands Singapore Aruba Faroe Islands Martinique Sint Maarten Australia Fiji Mauritania Slovakia Austria Finland Mauritius Slovenia Azerbaijan France Mayotte Solomon Islands Bahamas French Guiana Mexico Somalia Bahrain French Polynesia Micronesia South Africa 4 Bangladesh French Southern Moldova South Georgia and Antarctic and the South Lands Sandwich Islands Barbados Gabon Monaco South Korea Belarus Georgia Mongolia South Sudan Belgium Germany Montenegro Spain Belize Ghana Montserrat Sri Lanka Benin Gibraltar Morocco Sudan Bermuda Greece Mozambique Suriname Bhutan Greenland Myanmar/Burma Svalbard and Jan Mayen Bolivia Grenada Namibia Sweden Bonaire Saint Guadeloupe Nauru Switzerland Eustatius and Saba Bosnia and Guam Nepal Syria Herzegovina Botswana Guatemala Netherlands Taiwan Bouvet Island Guernsey New Caledonia Tajikistan Brazil Guinea New Zealand Tanzania British Indian Guinea-Bissau Nicaragua Thailand Ocean Territory British Virgin Guyana Niger The Gambia Islands Brunei Haiti Nigeria Timor-Leste Bulgaria Heard Island and Niue Togo McDonald Islands Burkina Faso Honduras Norfolk Island Tokelau Burundi Hong Kong Northern Tonga Mariana Islands Cambodia Hungary North Korea Trinidad and Tobago Cameroon Iceland North Macedonia Tunisia Canada India Norway Turkey 5  Cape Verde Indonesia Oman Turkmenistan Cayman Islands Iran Pakistan Turks and Caicos Islands Central African Iraq Palau Tuvalu Republic Chad Ireland Palestine Uganda Chile Isle of Man Panama Ukraine China Israel Papua New United Arab Guinea Emirates Christmas Island Italy Paraguay United Kingdom Clipperton Jamaica Peru United States Cocos (Keeling) Japan Philippines United States Islands Minor Outlying Islands Colombia Jersey Pitcairn Islands Uruguay Comoros Jordan Poland US Virgin Islands Congo Kazakhstan Portugal Uzbekistan Cook Islands Kenya Puerto Rico Vanuatu Costa Rica Kiribati Qatar Vatican City Côte d’Ivoire Kosovo Réunion Venezuela Croatia Kuwait Romania Vietnam Cuba Kyrgyzstan Russia Wallis and Futuna Curaçao Laos Rwanda Western Sahara Cyprus Latvia Saint Barthélemy Yemen Czechia Lebanon Saint Helena Zambia Ascension and Tristan da Cunha Democratic Lesotho Saint Kitts and Zimbabwe Republic of the Nevis Congo Denmark Liberia Saint Lucia Please specify in which capacity are you responding to this questionnaire. User of digital product 6  Software developer Hardware manufacturer Notified body Accreditation body Market Surveillance Authority Importer of hard- or software Distributor (e.g. Retailer) Other If you have selected ‘Other’, please state in which capacity are you replying to this questionnaire. Government of Estonia Before starting this survey, please indicate if you have expert knowledge in cybersecurity regulation? Yes No The Commission will publish all contributions to this public consultation. You can choose whether you would prefer to have your details published or to remain anonymous when your contribution is published. Fo r the purpose of transparency, the type of respondent (for example, ‘business association, ‘consumer association’, ‘EU citizen’) country of origin, organisation name and size, and its transparency register number, are always published. Your e-mail address will never be published. Opt in to select the privacy option that best suits you. Privacy options default based on the type of respondent selected * Contribution publication privacy settings The Commission will publish the responses to this public consultation. You can choose whether you would like your details to be made public or to remain anonymous. Anonymous Only organisation details are published: The type of respondent that you responded to this consultation as, the name of the organisation on whose behalf you reply as well as its transparency number, its size, its country of origin and your contribution will be published as received. Your name will not be published. Please do not include any personal data in the contribution itself if you want to remain anonymous. 7  Public Organisation details and respondent details are published: The type of respondent that you responded to this consultation as, the name of the organisation on whose behalf you reply as well as its transparency number, its size, its country of origin and your contribution will be published. Your name will also be published. I agree with the personal data protection provisions How to respond to the questionnaire The questionnaire and all its questions are open to everyone, from ordinary consumers to cybersecurity experts and other potentially affected stakeholders. In addition, to facilitate responding to the questionnaire, the questions have been grouped into different categories requiring different types of expertise: Section 1 contains questions on the state of cybersecurity of digital products and users’ ability to choose secure products and use them in a secure manner. Section 2 explores various options to improve the cybersecurity of digital products. This includes also questions on the types of products to be covered by an intervention, on other relevant legislation, on security requirements, on the notion of risk, as well as ways to assess the conformity of vendors. Section 3 focuses on the EU added value and the estimated impacts of potential measures on stakeholders. Section 4 focuses on cybersecurity challenges for the internal market other than those related to digital products. Whenever the questionnaire refers to ‘users’, the term encompasses both consumers using digital products as well as businesses, public authorities and other types of organisations deploying digital products. Whenever the questionnaire refers to ‘vendors’, the term encompasses hardware manufacturers, software developers as well as distributors (e.g. retailers) and importers of digital products. Please note that you can also upload a document (e.g. position paper) at the end of the questionnaire. Section 1: Cybersecurity of digital products and the users of digital products This section contains questions on the state of cybersecurity of digital products marketed in the European Union and users’ ability to choose secure products and use them in a secure manner, and the role that vendors can play in securing products and providing cybersecurity related information on their products. Sub-section 1.a. – The state of cybersecurity of digital products 8 Q1: In your view, what is the overall level of cybersecurity of digital products marketed within the European Union (on a scale from 1 to 5 with 5 indicating a very high level of cybersecurity)? 1 2 3 4 5 Don't know / no opinion Please elaborate 1000 character(s) maximum The products that fall in the scope of this consultation vary largely, so does their level of cybersecurity. The subjective answer to this would be 3/5, as there are products on the market with substantial level of cybersecurity maturity, as well as products, where cybersecurity has not been taken into account in any phase of development or life-cycle. Q2: In your view, during the last five years, how has the level of risk of cybersecurity incidents affecting digital products evolved? Risk level has decreased significantly Risk level has decreased Risk level is the same Risk level has increased Risk level has increased significantly Don’t know / no opinion Please elaborate 1000 character(s) maximum Risks have risen from all perspectives: consumers are using more connected and other digital products, cyber attacks are carried out through supply chain and have become more sophisticated. This has raised the risk level for both, companies and public entities. Sub-section 1.b. – Consequences of cyber incidents and non-secure digital products Q3: How would you evaluate the actual impact of cybersecurity incidents affecting digital products on you or your organisation (on a scale from 1 to 5 with 5 indicating a very high negative impact)? 9  Don't 1 2 3 4 5 know / no opinion Financial cost of implementing measures to respond to a cybersecurity incident Financial cost of disruption (e.g. due to a ransomware attack) Reputational damage Compromising the security of our economy and society Damage to health and life Damage to fundamental rights (e.g. privacy, protection of personal data, consumer protection) Environmental damage Please elaborate, if possible quantify 1000 character(s) maximum This question is more targeted to separate entities - it is difficult to give an opinion from government's perspective. Q4: In your view, if a digital product is not cyber secure, how does it impact the user (on a scale from 1 to 5 with 5 indicating that you fully agree)? Don't know / 1 2 3 4 5 no opinion The user bears additional cost when affected by a cybersecurity incident The user bears additional costs due to highly priced cybersecurity insurance The user bears additional costs due to the need to deploy highly priced technical security solutions Please elaborate, if possible quantify 1000 character(s) maximum The answer will depend on whether we consider user as an individual, company or a public authority. Generally, the end-user bears most of the costs of a cyber incident. Any preventive measures would be less costly than dealing with the aftermath of an incident. Sub-section 1.c. – Trust, cybersecurity awareness and capabilities of users 10 Q5: To what extent do you agree with the following statements as regards your awareness and understanding of cybersecurity properties of digital products (on a scale from 1 to 5 with 5 indicating that you strongly agree)? Don't know / 1 2 3 4 5 no opinion In general terms, I am aware of the cybersecurity risks associated with digital products There is sufficient and clear information made available on the cybersecurity properties of digital products I understand the cybersecurity properties I should expect from a product and have the skills to operate it securely I value aspects of usability and price of a digital product higher than its cybersecurity features Sub-section 1.d - The role of vendors in providing secure digital products Q6: To what extent do you agree with the following statements on the role of the vendors? Please rate the following statements on a scale from 1 to 5 (with 5 indicating that you strongly agree). Don't know / 1 2 3 4 5 no opinion Vendors of hardware are addressing effectively cybersecurity vulnerabilities and incidents affecting their customers Vendors of software are addressing effectively cybersecurity vulnerabilities and incidents affecting their customers Q7: If you are a vendor: which of the following aspects have the biggest impact on your decision related to cybersecurity of your digital product? Don't Not Very Neither Not too know / Relevant relevant relevant nor relevant no at all opinion The potential reputational damage and the loss of trust of the users following an incident 11  Customer expectations, including contractual obligations Public procurement practices (e. g. guidelines) What are other aspects affecting your decision related to cybersecurity of your digital product? 1000 character(s) maximum This question is targeted to vendors - it is difficult to give an opinion from government's perspective. Q8: To what extent are hardware manufacturers and software developers taking the cybersecurity of their digital products into account in each of the following phases of the product lifecycle (on a scale from 1 to 5 with 5 indicating that cybersecurity is taken very seriously)? Don't know / no 1 2 3 4 5 opinion Design Development Delivery of the product on the market Maintenance and evolution of the product (e.g. after-sale) Section 2: Improving the cybersecurity of digital products This section explores various policy options to improve the cybersecurity of digital products. This includes also questions on the types of products to be covered by an intervention, on other relevant legislation, on security requirements, on risk as well as ways to assess the conformity of manufacturers. Sub-section 2.a. – Exploring ways to make digital products more secure Q9: To what extent do you think that the following measures could be effective in raising the level of cybersecurity of digital products marketed in the Union (on a scale from 1 to 5 with 5 indicating that a measure would be very effective)? Don't know / 1 2 3 4 5 no opinion 12  Guidelines or recommendations for the development of secure digital products issued at EU level addressed to vendors Further voluntary European cybersecurity certification schemes for digital products and services EU public procurement guidelines taking into account cybersecurity requirements Amending existing legislation regulating specific products with a digital dimension (such as the legislation on lifts or gas appliances) Introducing mandatory horizontal cybersecurity requirements for hardware products Introducing mandatory horizontal cybersecurity requirements for software products Please elaborate 1000 character(s) maximum Measures, such as guidelines or recommendations for the development of secure digital products issued at EU level addressed to vendors and voluntary certification schemes would not be effective enough to achieve improving the overall level of cybersecurity of digital products, as they are generally implemented by entities that already have higher standards of cybersecurity for their products and services. Introducing public procurement guidelines would substantially raise the level of products and services used by the public sector and harmonize the approach implemented by EU Member States. Horizontal requirements would be probably the most effective measure to raise the overall level of cybersecurity of products, but its scope, costs and benefits should be identified through a further impact assessment. Q10: How would you assess the impact of the following measures on the level of cybersecurity of digital products and of the consumers/organisations using such products (on a scale from 1 to 5 with 5 indicating that a measure would have a very high impact)? Don't know / 1 2 3 4 5 no opinion Require vendors to make available information and provide instructions on securely installing, operating and using the product in question Require vendors to take corrective actions (such as patching, recalling or withdrawing a product) when a product is found to be not secure Sub-section 2.b. – Exploring ways to make users more aware 13 Q11: How would you assess the relevance of the following measures for the users’ ability to evaluate the cybersecurity properties of a digital product and to make better informed purchase or usage decisions (on a scale from 1 to 5 with 5 indicating that a measure is very relevant)? Don't know / 1 2 3 4 5 no opinion Making available technical documentation (containing information to demonstrate the conformity of the product to the applicable requirements) on the cybersecurity properties of a product (such as on risks and proper use) Making available EU Declaration of conformity (stating that all the relevant requirements of the applicable legislation are satisfied) Affixed symbol of compliance (such as CE marking) Training on the secure use of digital products Which other measures would allow for better informed purchase or usage decisions by the user? Please elaborate 1000 character(s) maximum The abundance of additional information will not improve user's awareness of the product. These measures should be as clear-cut as possible, which is why we support the use of additional labeling. Sub-section 2.c. – Digital products to be covered by a European initiative Q12: To what extent do you agree that subjecting certain products marketed in the Union to cybersecurity requirements would be effective (on a scale from 1 to 5 with 5 indicating that you strongly agree)? Don't know / no 1 2 3 4 5 opinion Hardware products Embedded software Ancillary services Hardware products subject to higher cybersecurity risks All standalone software products Software products subject to higher cybersecurity risk 14 Please elaborate 1000 character(s) maximum Few if any of the mentioned product categories are subject to basic cybersecurity requirements. Additional measures would thus improve the cybersecurity level for all of these products. Further analysis should be carried out, in order to identify the exact product categories that should be involved in the scope of the possible regulation. Sub-section 2.d. – Existing legislation on the cybersecurity of digital products Q13: To what extent do you agree with the following statements about how cybersecurity is addressed in existing EU legislation (e.g. the General Product Safety Directive and the Machinery Directive, both currently under review; the Deleg ated Regulation of 29 October 2021 under the Radio Equipment Directive) (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Don't know / 1 2 3 4 5 no opinion Existing EU regulation appropriately addresses cybersecurity of tangible digital products (hardware) throughout their lifecycle Existing EU regulation appropriately addresses cybersecurity of intangible digital products (software) throughout their lifecycle Existing EU regulation appropriately addresses all relevant cybersecurity risks (material and non-material damages) related to the use or misuse of a digital product Q14: In the absence of horizontal cybersecurity requirements at European level, Member States could adopt national laws placing certain requirements on vendors. To what extent do you agree that there is a risk of increasing costs and legal uncertainty for market stakeholders, in the absence of an EU initiative? (on a scale from 1 to 5 with 5 indicating you fully agree)? 1 2 3 4 5 Don't know / no opinion 15 Please elaborate 1000 character(s) maximum There is a moderate risk of increasing costs for market stakeholders by adopting the national measures, but economic costs would be higher through the fragmentation of the legal framework between the Member States, which would in turn reduce the competitiveness of EU's entities. The increase of cost for the end- user could be also considered as moderate. Q15: If you are a vendor: are your digital products subject to legal requirements as regards their cybersecurity? In your answer, please take into account European, national but also legislation stemming from third countries. Yes No I am not concerned by this question Don't know / no opinion Sub-section 2.e. – Cybersecurity requirements for digital products Q16: Should hardware manufacturers and software developers be responsible for the full life cycle of a digital product (such as by being required to provide updates)? Yes No Don't know / no opinion Q16a: If you think that hardware manufacturers and software developers should be required to provide security updates, for how many years should they be required to do so? 1 2 3 4 5 6 7 8 9 10 Don't know / no opinion 16  Other (please specify below) Please elaborate 1000 character(s) maximum The number of years might vary, based on the product. Q17: To what extent can the following approaches contribute to the cybersecurity of a digital product (on a scale from 1 to 5 with 5 indicating that a measure would be very effective)? Don't know / 1 2 3 4 5 no opinion Cybersecurity is taken into account during all phases of the development process (security by design) Products are placed on the market with the most secure settings enabled by default (security by default) Hardware manufacturers and software developers should make available to relevant stakeholders (e.g. end-users) a list containing the details and supply chain relationships of various components used in building the digital product (so- called (Software) Bill of Materials) Products should be designed in such a way that they are fully updatable Hardware manufacturers and software developers provide updates when vulnerabilities are discovered, including after a product has been put on the market Hardware manufacturers and software developers should provide updates free of charge Hardware manufacturers and software developers facilitate vulnerability disclosure (e.g. by public authorities; independent researchers) Products must feature all the necessary functional (e.g. two- factor authentication) and non-functional (e.g. resilience against DDoS (Distributed Denial of Services) attacks) security requirements Which other measures taken by hardware manufacturers and software developers could improve the cybersecurity of digital products? 1000 character(s) maximum 17  Sub-section 2.f. – The role of risk Q18: Under this initiative, hardware manufacturers and software developers would need to demonstrate their compliance with cybersecurity requirements. Should digital products with a higher risk be subject to a stricter process of demonstrating conformity with these requirements? Yes No Don't know / no opinion Q18a: The way hardware manufacturers and software developers would be required to demonstrate their compliance with cybersecurity requirements could be made dependent on the risk associated with a specific product. What categories of risk should such a risk-based methodology take into account? (multiple answers are possible) The functionality of a product (such as whether it has a network interface or not, or whether it controls certain security features of a digital system) The societal importance of a product (for example measured in market share or number of users) The intended use of a product (such as for the provision of health services, as an industrial control system or in a safety context) The safety risk associated with a product Other (please specify below) Don’t know / no opinion Please elaborate 1000 character(s) maximum The risk-based approach should be implemented throughout the whole regulation. Q18b: Who should determine the risk associated with a product and, as a result, its risk categorisation? (multiple answers are possible) The manufacturer A competent authority An independent body responsible for verifying compliance with the cybersecurity requirements Legislation 18  Other (please specify below) Don’t know / no opinion Please elaborate 1000 character(s) maximum Taking into account the vast number of different products, this should be done through the self-assessment procedure (by the manufacturer) drawn up by the regulation. Competent authorities would inspect products at random and based on risk. Sub-section 2.g. – Demonstrating compliance with security requirements Q19: How would you assess the following statement regarding self-declaration as a way for hardware manufacturers and software developers to demonstrate compliance with security requirements (on a scale from 1 to 5 with 5 indicating that you strongly agree)? Don't know / 1 2 3 4 5 no opinion A self-declaration of conformity by a hardware manufacturer or software developer gives a sufficient confidence that security requirements are met Q20: If you consider that self-declaration is not enough to demonstrate compliance with security requirements, do you think that the involvement of a third party should be required under certain circumstances? Yes No Don't know Q20a: Under which circumstances should third-party verification apply? If a product presents a higher risk Other, please specify below Don't know / no opinion Please elaborate 1000 character(s) maximum Same as Q18b: Taking into account the vast number of different products, this should be done through the self-assessment procedure (by the manufacturer) drawn up by the regulation. Competent authorities would inspect products at random and based on risk. 19 Section 3: Stakeholder impact of potential regulatory measures This section focuses on the EU added value and estimated impacts of potential measures on stakeholders. Sub-section 3.a. – Relevance of horizontal requirements for digital products at European level Q21: To what extent do you agree with the following statements that look into the potential effectiveness of an EU initiative on horizontal (cross-sectoral) cybersecurity requirements? Don't Strongly Strongly know / Disagree Agree disagree agree no opinion Cyber risks can propagate across borders and sectors at high speed, which is why cybersecurity rules for digital products should be aligned at Union level Horizontal cybersecurity requirements for digital products would increase awareness of users when it comes to cyber risks Horizontal cybersecurity requirements for digital products would enhance and ensure a consistently high level of the security of digital products and ancillary services Horizontal cybersecurity requirement would improve the functioning of the internal market by levelling the playing field for vendors of digital products and ancillary services as regards cybersecurity features Q22: The EU Action Plan on synergies between civil, defence and space industries underlines the importance of promoting and applying common standards across sectors and the increased relevance of digital products that are used both in a civilian and military context (‘dual-use products’). To what extent could horizontal requirements applying to digital dual-use products contribute to moving the security performance of such products closer to the needs of the defense community and to raising the overall level of cybersecurity in civilian uses (on a scale from 1 to 5 with 5 indicating a very positive contribution)? 1 20  2 3 4 5 Don't know / no opinion Please elaborate 1000 character(s) maximum Sub-section 3.b. – Impact on your organisation in terms of cost Q23: How would you assess the impact of the following types of intervention on the costs of your organisation (on a scale from 1 to 5 with 5 indicating that the intervention would be very costly)? Don't know / 1 2 3 4 5 no opinion Guidelines or recommendations for the development of secure digital products issued at EU level addressed to vendors Further voluntary European cybersecurity certification schemes for digital products and services EU public procurement guidelines taking into account cybersecurity requirements Amending existing legislation regulating specific products with a digital dimension (such as the legislation on lifts or gas appliances) Introducing mandatory horizontal cybersecurity requirements for hardware products Introducing mandatory horizontal cybersecurity requirements for software products Please elaborate your answer, by quantifying the costs if possible 1000 character(s) maximum It is difficult to give an answer from the Government's perspective. 21 Sub-section 3.c. – Regulatory burden and costs for small and medium-sized companies Q24: Which of the following approaches would in your view ensure that small and medium-sized hardware manufacturers and software developers, including individual entrepreneurs, are subject to proportionate obligations (balance between administrative burden and compliance costs on the one hand and a high level of cybersecurity on the other hand) under a European legislation introducing mandatory horizontal cybersecurity requirements (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Don't know / 1 2 3 4 5 no opinion Subject small and medium-sized companies to the same obligations as larger companies Introduce simplified procedures to demonstrate conformity for small companies and individual entrepreneurs Which other approaches could ensure proportionate obligations vis-à-vis small and medium-sized hardware manufacturers and software developers, including individual entrepreneurs? 1000 character(s) maximum Requirements should be as proportionate as possible for small and medium size companies, while obligations should derive from the risk category of the product, regardless of the size of the company. Sub-section 3.d. – Impact on competition Q25: An EU initiative laying down mandatory horizontal cybersecurity requirements would apply to all vendors placing products on the internal market, irrespective of their origin and location. To what extent would you agree with the following statements regarding the impact on competition of such an initiative (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Don't know / 1 2 3 4 5 no opinion Mandatory cybersecurity requirements will put smaller hardware manufacturers and software developers at a disadvantage compared with larger competitors 22  Mandatory cybersecurity requirements will put EU manufacturers and software developers at a disadvantage on the non-EU markets compared to non-EU competitors that are not subject to such requirements Sub-section 3.e. – Impact on fundamental rights Q26: To what extent to you agree with the following statements regarding the impact of horizontal cybersecurity requirements on fundamental rights (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Don't know / 1 2 3 4 5 no opinion Horizontal cybersecurity requirements for digital products would enhance protection of privacy and personal data Horizontal cybersecurity requirements for digital products would ensure a high level of consumer protection Section 4: Other issues This section focuses on cybersecurity challenges for the internal market other than those related to digital products. Q27: In addition to the issues above, are there other cybersecurity related challenges not directly linked to the cybersecurity of products that you think the Cyber Resilience Act should include to enhance the cyber resilience of the internal market? Please elaborate 1000 character(s) maximum Final feedback Please upload your file Only files of the type pdf,txt,doc,docx,odt,rtf are allowed Final comments 23 Contact Contact Form 24  Lisa 1. Arvamused küberkerksuse avaliku konsultatsiooni ja EL asutuste küberturbe eelnõu kohta Nr Ettepaneku sisu Arvestatud/ mittearvestatud/ selgitatud 1. Siseministeerium 1.1.1 Siseministeerium põhimõtteliselt toetab meetmete kehtestamist küberturvalisuse ühtlaselt kõrge Arvestatud taseme tagamiseks liidu institutsioonides, organites ja asutustes, ent meie hinnangul on määruse seisukohtades 5.2.1. ja eelnõus hetkel ette nähtud õigusliku raamistikuga seda keeruline tagada. Kui puuduvad kesksed 5.2.2. standardid ja nõuded ning iga institutsioon lähtuvalt institutsionaalse sõltumatuse põhimõttest korraldab oma nõuded iseseisvalt, võib seda pidada osaliselt vastuolus olevaks määruse pealkirjaga ning eesmärgiga. 1.1.2 Siseministeeriumi hinnangul on probleemne määruse keskne põhimõte (vt ka preambula punkti 7). Arvestatud Kuivõrd üks ja sama mudel ei pruugi kõigile üheselt sobida, siis ei tohiks seada kohustusi, mis seisukohtades 5.2.2. ja sekkuvad otseselt liidu institutsioonide sõltumatusesse või seda sõltumatust piiravad. 5.2.5. 1.1.3 Oleme seisukohal, et kesksete EL institutsioonide infoturbestandardite ja reeglite kehtestamine Arvestatud tagaks määruse ettepaneku kordades tõhusama täitmise. SIM hinnangul ei sekkuks kesksed EL seisukohtades 5.2.1. ja ülesed reeglid ega nõuded EL institutsioonide sõltumatusesse, vaid need annaksid ette raamistiku, 5.2.2. mida asutused peavad oma süsteemides ja halduses kohaldama. 1.1.4 Lisaks nõuete kehtestamisele peaks SIM hinnangul infoturbekriteeriumite ja reeglite kehtestamine Arvestatud seisukohas olema seejuures ka tõhusalt jõustatud, et tagada soovitud tulemuse saavutamine. Vastasel juhul ei 5.2.5. saa õiguslikult rääkida tasemete ühtlustamisest ega kõrgema taseme loomisest, vaid hädavajaliku miinimumi täitmisest, mida iga EL asutus edaspidi oma parima äranägemise järgi ise sisustama hakkab (artikkel 5 alusel). 1.1.5 Keskne määruse ajend on esile toodud määruse ettepaneku leheküljel 4, mille järgi EL Arvestatud seisukohas institutsioonide „haldustavad, küberhügieen, üldine võimekus ja küpsus on äärmiselt erinevad“. Kui 5.2.5. institutsioonid sätestavad individuaalsed baastasemed, et olla institutsionaalselt sõltumatud, ei taga see tervikuna määruse eesmärki. Oleme seisukohal, et küberturvalisuse baastase peaks olema standardiseeritud ja keskne, mille poole kõik institutsioonid peaksid püüdlema ja mille täitmist ja rakendamist kontrollitakse. Samuti on küsitav, kas organisatsioon saab sõltumatult ja adekvaatselt oma „küpsustaset“ iseseisvalt mõõta (artikkel 6). 1.1.6 Siseministeerium ei toeta Institutsioonidevahelise küberturvalisuse nõukoja (IICB) ehk uue Osaliselt arvestatud eraldiseisva kehandi loomist EL institutsioonide, asutuste ja organisatsioonide üleseks seisukohas 5.2.5. küberturvalisuse koordineerimiseks. arvestades kogemust, mis ilmneb koostööst  Siseministeeriumi hinnangul tuleks vältida uute kehandite loomist ning kasutada ära erinevate EL-i maksimaalselt olemasolevad töötavad mehhanismid (CERT-EU, ENISA vm). Artiklis 10 on mainitud üsna ulatuslike, põhjalike ja sisuliste ülesannete täitmine. Oleme seisukohal, et see asutustega, näeme, et tuleks integreerida mingisugusesse alalisse kompetentsesse kehandisse. institutsioonidevahelis  Kui neid funktsioone täidaks alaline olemasolev mehhanism, puuduks vajadus moodustada ja e küberturvalisuse kaasata täiendavaid tehnilisi eksperte või nõuanderühmasid (preambula punkt 16), vaid see nõukoja (IICB) kompetents oleks juba vastavas struktuuris olemas loomine aitaks küberturvalisuse haldust paremini koordineerida, kuid sarnaseid ülesandeid aitaks täita olemasolevate haldusnõukogude baasil loodud süsteem või ülesannete ENISA- le andmine. Oleme arvamusel, et praeguste haldusnõukogude korralduse pinnalt ei saa parandada praegusi puudujääke seoses ühtse 1  olukorrateadlikkuse, kriishalduse ning teabevahetusega. Pakkumise lahenduseks välja ka tagada liikmesriikide esindatus määruse rakendamist seiravas organis, tagamaks määruse seiramisel suurem sõltumatuse aste ning tugevdada koostööd liikmesriikide ning EL-asutuste formaatide vahel. 1.1.7 Siseministeeriumi hinnangul ei ole asjakohane, et igal institutsioonil on artikli 7 alusel eraldiseisev Arvestatud seisukohas küberturvalisuse kava. Kui iga institutsioon loob oma küberturvalisuse kava, sõltuvalt 5.2.2. individuaalsest organisatoorsest kompetentsitasemest, siis järgmise 10 aasta jooksul on EL institutsionaalne pilt täpselt samasugune, nagu täna – killustunud küberturvalisuse võimekusega.  Oleme seisukohal, et EL institutsioonidele peaks olema üks keskne kava, mille rakendamisel võivad teatud asutustes olla erinevad erandid. Vastasel juhul ei täida see artikli 7 ega määruse keskset eesmärki – ühtlaselt kõrge tase EL institutsioonides.  Eraldiseisvate kavade loomine kõikidel institutsioonidel eraldi eeldab pädevat sisukompetentsi, mida kõikides asutustes kohapeal olla ei pruugi. Seetõttu, tulenevalt võimalikest personalipuudujääkidest, on tõenäoline, et küberturvalisuse kavade kvaliteet on väga erinev, mis ei võimalda täita regulatsioonis sätestatud eesmärke ega panusta kvalitatiivselt nende täitmisesse. 1.1.8 Nõustume, et artiklis 22 viidatud mastaapsete ja ulatuslike rünnete puhul on vajalik eraldiseisev Arvestatud seisukohas mehhanism. Seevastu „suured ründed“ (ingl major attacks) ei ole sisuliselt defineeritud ehk 5.2.2 – lisasime, et puuduvad kriteeriumid, mis muudaks rünnaku objektiivselt „suureks“. Siseministeeriumi hinnangul võrreldes teistes tuleks määruse läbirääkimise käigus seda kontseptsiooni täpsustada. valdkonna õigusaktides kasutusel olevaid termineid ei tohiks muuta ning uute terminite kasutusele võtmine ei ole vajalik. 1.2.1 Q1: In your view, what is the overall level of cybersecurity of digital products marketed within Arvestatud the European Union (on a scale from 1 to 5 with 5 indicating a very high level of seisukohtades 5.1.1 ja cybersecurity)? 5.1.2. Üldistatult on väga keeruline öelda. Murekoht ongi täna erinevate digitoodete taseme varieeruvus. Nt kui arvutitel on see paremaks minemas, siis IoT seadmetel küberturvalisus ja hilisem uuendusmudel praktiliselt puudub 1.2.2 Q2: In your view, during the last five years, how has the level of risk of cybersecurity incidents Arvestatud seisukohas affecting digital products evolved? 5.1.1. ja 5.1.4. Digitoodete riskitase on märkimisväärselt suurenenud. Printsiibis on igat digitoodet võimalik mingil kujul rünnata või manipuleerida, mis tervikuna kujutab ohtu kodanikele. See tähendab, et hädavajalik on juurutada security by design põhimõtteid, eriti tarkvaraarendustes. Erinevad seadmed ja süsteemid kogumis võimaldavad üha enam digitaliseerinud ühiskonnas oluliselt enam häirida inimeste ühiskondlikku toimimist. 1.2.3 Q3: How would you evaluate the actual impact of cybersecurity incidents affecting digital Arvestatud osaliselt products on you or your organisation (on a scale from 1 to 5 with 5 indicating a very high seisukohas 5.1.1 – negative impact)? vastus küsimusele oleneb suuresti,  Küberintsidendile reageerimise meetmete rakendamise finantskulu – 2 (meetmed on olenevalt küsitletud alalised ja selle jaoks on eraldi meeskonnad, seega intsidendile reageerimine eraldiseisvalt vahetut kulu ei printsiibis ei suurenda). Kulu suurendavad tagajärjed asutusest. Võtame 2   Häire finantskulu (nt lunavararünde tõttu) – ei ole võimalik meie hinnangul üheselt hinnangu edasisteks vastata. Sõltub ründest ja pihta saanud süsteemist – vahemik võib ulatuda 1-5. Kui taustal analüüsideks arvesse. on veel mingeid andmeid lekitatud, siis pigem suurem, aga muul juhul pigem väiksem.  Mainekahju – potentsiaalselt 4/5 (sisejulgeolekuvaldkonnas ja SIM valitsemisala süsteemide puhul on alati võimalik mainekahju). Oleme erilise tähelepanu all, lisaks eeldatakse meilt suuremat kaitset, kuivõrd haldame tundlikke andmeid.  Meie majanduse ja ühiskonna turvalisuse ohustamine – potentsiaalselt 4/5 – SIM VA andmete iseloomu tõttu.  Tervise ja elu kahjustamine – 2/3 (Siseministeeriumi valitsemisalas on andmeid, mis potentsiaalselt võivad inimeste eludele ohtu kujutada).  Põhiõiguste (nt eraelu puutumatus, isikuandmete kaitse, tarbijakaitse) kahjustamine – 5 (SIM ja SIM VA süsteemides on väga suurel hulgal isikuandmeid ning olulised materjalid). Ehk kui esineb intsident, mille käigus saadakse andmetele vahetult ligi, siis on see ilmselgelt suure mõjuga.  Keskkonnakahju – 1 (keskkondlikku sõltuvust ei ole) Tervikuna tuleks välja tuua, et küsimuse juures toodud skaalad ja vahemikud sõltuvad tugevalt sellest, mis iseloomuga on süsteem, mis rünnakus pihta saab ning kui ulatuslik või kui mõjus konkreetne rünne oli. 1.2.4 Q4: In your view, if a digital product is not cyber secure, how does it impact the user (on a Osaliselt arvestatud scale from 1 to 5 with 5 indicating that you fully agree)? seisukohtades 5.1.1, 5.1.2 ja 5.1.4 –  Kasutaja kannab küberintsidendi korral lisakulusid – 4 – enamasti võib kanda sarnaselt eelmisele lisakulusid, kui tuleb midagi välja vahetada. Võib olla ka kaudne kulu. küsimusele, pole siin  Kasutaja kannab lisakulusid kalli küberturvalisuse kindlustuse tõttu – 1. piisavalt andmeid, et  Kasutaja kannab lisakulusid kalli tehnilise turvalahenduse kasutamise vajaduse tõttu – 1 – viirusetõrje vm elementaarse tarkvara kasutamine ei ole kallis. Pigem mõjutab keskset seisukohta see kasutajaid piiramise kontekstis. Üldjoontes on turvalisuse tooted ehitatud võimalikult kujundada. Võtame ressurssi vähenõudval viisil. Probleemiks on, et IoT toodetele ei pruugi olla selliseid hinnangu teadmiseks eraldiseisvaid turvalahendusi – need tuleb luua. ning sarnased järeldused on välja toodud ka seletuskirja ülalmainitud punktides. 1.2.5 Q5: To what extent do you agree with the following statements as regards your awareness and Võetud teadmiseks. understanding of cybersecurity properties of digital products (on a scale from 1 to 5 with 5 indicating that you strongly agree)? Konkreetne küsimus on väga subjektiivne ja lahtine. Kuivõrd see on indiviidile suunatud küsimus, siis riigi või organisatsioonina sellele küsimusele vastamine ei ole kahjuks tulemuslik. 1.2.6 Q6: To what extent do you agree with the following statements on the role of the vendors? Arvestatud seisukohas Please rate the following statements on a scale from 1 to 5 (with 5 indicating that you strongly 5.1.2. agree) Vastus sõltub müüjatest ja ettevõtetest, ent mõlemad on täna pigem madalad (1/2). IoT puhul tuleks ära märkida, et enamasti tarkvaravigu ei lapita ega uuendusi ei pakuta, mis tähendab, et kui algses tarkvaras on viga sees, siis see viga jääbki sinna. See avaldub omakorda olulise turvariskina. 1.2.7 Q8: To what extent are hardware manufacturers and software developers taking the Arvestatud cybersecurity of their digital products into account in each of the following phases of the seisukohtades 5.1.2, product lifecycle (on a scale from 1 to 5 with 5 indicating that cybersecurity is taken very 5.1.4 ja 5.1.6. seriously)? Siseministeeriumi üldisel hinnangul vastused 1/2, sest täna on majanduslik suunis pigem toode kiiresti välja saada. On ettevõtteid, kes loomulikult panustavad rohkem turvalisuse elementi igas faasis. Toote hoolduse ja arengu osas ei ole väga suur osa digitoodetest hilisema hoolduse all, eriti selline tarkvara, mis on nn mingi toote üks väikene osa. St tervikuna IoT seadmete haldus peaks saama parema turbe – täna on seda liiga kallis ja kulukas teha. Pärast toote turule viimist arendusi üldiselt ei jätkata 1.2.8 Q9: To what extent do you think that the following measures could be effective in raising the Osaliselt arvestatud level of cybersecurity of digital products marketed in the Union (on a scale from 1 to 5 with 5 seisukohtades 5.1.1, indicating that a measure would be very effective)? 5.1.2, 5.1.3, 5.1.6 – NIS 2.0 direktiivi ning  ELi tasandil kehtestatud suunised või soovitused müüjatele turvaliste digitoodete küberturvalisuse väljatöötamiseks – 4 – suunised ehk mitteregulatiivsed meetmed võiksid olla esimene 3  etapp juurutada riskipõhist mõtlemist ja „digi“turvalisema tootekeskkonna loomiseks. regulatsiooni Jõustamise ja järelevalvepool oleks võimalik tekitada paralleelselt mingite siseriiklike tõhustamise arutelude regulatsioonide alusel. vältel oleme läbivalt  Küberturvalisuse vabatahtliku sertifitseerimise täiendavad süsteemid digitoodete ja välja toonud, et -teenuste jaoks Euroopas – 3 – sama sisumärkus, mis eelmiselgi. viimastel aastatel on  ELi riigihankesuunised, milles võetakse arvesse küberturvalisuse nõudeid – 4 – mitteregulatiivne meede suuna näitamiseks, kuid hangete puhul on oluliselt sõltuv see, aset leidnud järjest mida hangitakse ja mis eesmärgiga hangitakse. Samas oleks kaasajal oluline, et sõltumata suurem hulk sellest, kas viiakse läbi julgeolekuhanget, võetakse lõplik pakkumine ettevõttelt, kes küberrünnakuid, mis suudab parimal viisil tagada digitaalsete toodete turvalisust, sh järelhaldust. algavad intsidendiga  Selliste olemasolevate õigusaktide muutmine, millega reguleeritakse konkreetseid tarneahelast. Tihtipeale digitaalse mõõtmega tooteid (nagu lifte või gaasiseadmeid käsitlevad õigusaktid) – ei on selleks tarneahela ole SIM pädevuses. osaks IKT-  Horisontaalsete kohustuslike küberturvalisuse nõuete kehtestamine teenusepakkuja, kes riistvaratoodetele – 2 – riistvara on pigem teisejärguline ning kui kasutaja tarkvara ei uuenda, siis sellest pole olulist kasu. pakub kas pilve-,  Horisontaalsete kohustuslike küberturvalisuse nõuete kehtestamine tarkvaraarendus- või tarkvaratoodetele – 3 – tarkvaraliike ja tooteomadusi on niivõrd erinevaid, et keeruline laiemat IT-halduse on öelda üheselt, mida kõik järgima peaksid. Võimalik, et oleks kasulik alustada teenust. Selliste soovitusega, millega seataks toote kategooriapõhised kriteeriumid. Antud kriteeriumeid ettevõtete tegevuse üle oleks võimalik siduda hankejuhendiga ning sellega saaks riik jätta välja need ettevõtted, regulatiivses võtmes kes soovitused toodud juhiseid järginud ei ole. kontroll puudub pea täielikult – sama väljendub Siseministeeriumi vastusest küsimusele 12. Konsultatsioonis osalenud osapooled nii avalikust kui erasektorist toetasid valdavalt horisontaalsete meetmete kasutuselevõttu nii tarkvara- kui riistvaratoodetele. Oleme nõus, et vastavate valdkondade puhul on vaja täiendavaid mõjuanalüüse ning puuduvad kategooriapõhised kriteeriumid raskendavad seda ülesannet. Kuivõrd ELi tasandil kehtestatud suunised või soovitused müüjatele turvaliste digitoodete väljatöötamiseks ning samuti valdkonnapõhised standardid põhimõtteliselt juba eksisteerivad, siis meie hinnangul ei too antud tegevuste teises võtmes 4  kordamine soovitud tulemust, milleks on toodete küberturvalisuse üleüldine kasv. Samuti peame EL-i ühisturu killustumise vältimiseks õigeks rakendada meetmeid EL-i üleselt ning vältida riigiti erinevaid lahendusi (arvestades ka Siseministeeriumi vastust küsimusele 13). Hindasime EL-i riigihankesuuniseid samuti efektiivseks ning leidsime, et siinkohal tuleks selle tehtavust põhjalikumalt analüüsida – erisused võiksid kehtida riikliku julgeolekuga seotud hangetes. 1.2.9 Q10: How would you assess the impact of the following measures on the level of cybersecurity Osaliselt arvestatud of digital products and of the consumers/organisations using such products (on a scale from 1 seisukohas 5.1.4. – to 5 with 5 indicating that a measure would have a very high impact)? oleme arvamusel, et mõlemat meedet tuleb  Müüjatelt nõutakse teabe kättesaadavaks tegemist ja juhiste andmist konkreetse praegusest toote turvaliseks paigaldamiseks, käitamiseks ja kasutamiseks – 2 – ei ole kindel, et see küberturvalisuse poolest midagi juurde annab. efektiivsemalt  Müüjatelt nõutakse parandusmeetmete võtmist (nt toote paikamine, tagasikutsumine rakendada. või turult kõrvaldamine) juhul, kui toode osutub ebaturvaliseks – 3. Praktikas on see kasulik ja vajalik, kuid järelmeetmena ei pruugi lahendus olla tõhus, sest sellega kaasneb suur ajakulu ning ettevõtted ja tooted on üle Euroopa või maailma laiali. Pigem oleks kasu eeltoodud meetmest, mis suunaks küberturvalisust security by design põhimõttel tugevdama. 1.2.10 Q11: How would you assess the relevance of the following measures for the users’ ability to Arvestatud seisukohas evaluate the cybersecurity properties of a digital product and to make better informed 5.1.4 – seda probleemi purchase or usage decisions (on a scale from 1 to 5 with 5 indicating that a measure is very aitab lahendada relevant)? security by design Väga üldine küsimus. Riskide ja tehnilise dokumentatsiooni kättesaadavamaks tegemine ilmselt printsiibi rakendamine, aitaks (pigem 3), ehkki ka täna on dokumentatsioon osaliselt inimestele kättesaadav. Samas kuid õigusakti tasandil keskmine tarbija suure tõenäosusega ei oska ega suuda iseseisvalt kõiki üksikasju endale selgeks põhimõtete paika teha, eriti väga paljude erinevate toodete puhul. Meil on täna probleem telefonide ja arvutite panemine vajab tarkvaradega, mille osas inimesed mingil põhjusel pidevalt rõhutatud turvauuendusi järjepidevalt ei täiendavat analüüsi. tee. 1.2.11 Q12: To what extent do you agree that subjecting certain products marketed in the Union to Arvestatud cybersecurity requirements would be effective (on a scale from 1 to 5 with 5 indicating that seisukohtades 5.1.1, you strongly agree)? 5.1.2., 5.1.5. ja 5.1.6.  Riistvaratooted – 2/3 – sõltub konkreetsest tootest. Server või serveriruumi pakkuja on suurema kaaluga kui arvutiseadmeid müüv ettevõte.  Sisseehitatud tarkvara – 4 – nõuded ei saa olla ühetaolised ja siin on keeruline öelda, kas ja millele täpselt kõik tooted ja tarkvarad vastama peavad. Kui ideaaltingimustest lähtuda, siis oleks potentsiaalne positiivne mõju väga suur.  Kõrvalteenused – 4 – tervik on oluline. Üks nõrk lüli muudab terviku samuti nõrgaks.  Riistvaratooted, millega kaasneb suurem küberturvalisuse risk – 3/4 – sama nagu esimesel elemendil. 5   Kõik autonoomsed tarkvaratooted – 4 – sama nagu teisel elemendil.  Tarkvaratooted, millega kaasneb suurem küberturvalisuse risk – 4/5 sama mõte, mis teisel elemendil. Kui on kriitilisem toode või süsteem (sh vaja hinnata ja kategoriseerida), siis peaks ka tarkvara olema tugevam. Täna riigid valivad hangetega need ettevõtted, kes juba suudavad selles osas terviklikkust paremini pakkuda. 1.2.12 Q13: To what extent do you agree with the following statements about how cybersecurity is Arvestatud seisukohas addressed in existing EU legislation (e.g. the General Product Safety Directive and the 5.1.3. Machinery Directive, both currently under review; the Deleg ated Regulation of 29 October 2021 under the Radio Equipment Directive) (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Kehtivates ELi õigusaktides pööratakse piisavalt tähelepanu immateriaalsete digitoodete (tarkvara) küberturvalisusele kogu nende olelusringi jooksul – 1 – pigem ei pöörata. Üldised küberturbenõuded jm on küll, kuid eraldi toodete osas pigem mitte. 1.2.13 Q14: In the absence of horizontal cybersecurity requirements at European level, Member Arvestatud States could adopt national laws placing certain requirements on vendors. To what extent do seisukohtades 5.1.1 ja you agree that there is a risk of increasing costs and legal uncertainty for market stakeholders, 5.1.3. in the absence of an EU initiative? (on a scale from 1 to 5 with 5 indicating you fully agree)? Pigem 3, sest kindlasti osaliselt suurendab, end arvatavasti oleks mõju tarbijale mõõdukas. Lisamärkusena võiks välja tuua, et EL tingimustes on selliste välistavate asjaolude sätestamine eraldiseisvalt tavaliselt väga probleemne. 1.2.14 Q16: Should hardware manufacturers and software developers be responsible for the full life Arvestatud seisukohas cycle of a digital product (such as by being required to provide updates)? 5.1.4. Jah, peaksid vastutama, sest täna on tehnika muutunud osade inimeste jaoks väga komplekseks ja seetõttu aitaks digitoodete olelusring olulisel määral kaasa. Näiteks kui ma müün tarkvara, siis ettevõte peaks olema kohustatud seda haldama kuni nad ütlevad, et lõpetavad selle toetamise ning sisuliselt enam seda ei majanda ega halda. Riigi puhul on asendamine veidi keerulisem, nt mingite fundamentaalsete toodete ja tarkvarade osas, on see päris kulukas ja keeruline 1.2.15 Q17: To what extent can the following approaches contribute to the cybersecurity of a digital Arvestatud seisukohas product (on a scale from 1 to 5 with 5 indicating that a measure would be very effective)? 5.1.4. Antud punktidel on kõigil suur mõju, kõikide puhul 4-5 vahel, sest tehnilised meetmed tekitavad tervikuna turvalisust juurde. Antud punktid on ühed n-ö juurpõhjused, millest peakski alustama, sest kui arendusse ja jätkusuutlikkusse ei panustata, siis hilisemates etappides on keerulisem detaile muuta. Leiame, et uuendused tarkvarale peaks olema tasuta, nagu ka Windows uuendab ja patchib uuendusi tasuta, mitte lisatasu eest. 1.2.16 Q18: Under this initiative, hardware manufacturers and software developers would need to Arvestatud demonstrate their compliance with cybersecurity requirements. Should digital products with seisukohtades 5.1.4 ja a higher risk be subject to a stricter process of demonstrating conformity with these 5.1.5. requirements? Pigem jah, võiks kohaldada rangemat korda, aga sellised kategooriad tuleb enne eraldiseisvalt määratleda. Kahjuks ei ole konkreetset näidet toodud, aga täna Microsofti tõrge mõjub suuremalt kui Eesti tarkvara pakkuja tõrge. 1.2.17 Q19: How would you assess the following statement regarding self-declaration as a way for Arvestatud seisukohas hardware manufacturers and software developers to demonstrate compliance with security 5.1.4. requirements (on a scale from 1 to 5 with 5 indicating that you strongly agree)? Vastus 1. Kinnitus nõuetele vastavuse kohta ei anna midagi, seda tuleb väliselt hinnata. 1.2.18 Q20: If you consider that self-declaration is not enough to demonstrate compliance with Teadmiseks võetud – security requirements, do you think that the involvement of a third party should be required ENISA on EL-i under certain circumstances? küberturvalisuse sertifitseerimisasutus Jah. Üks võimalus oleks keskne audiitor/sertifitseerimisamet, mis antud valdkonnaga tegeleb. Teine variant, et see oleks regioonipõhine, nt Balti riigid, Ida-Euroopa vms. Sertifitseerimise pakkumine ning nende üheks ja selle tehniline saavutamine on keeruline, kuid kui EL soovib digitoodete osas saada maailma peamiseks ülesandeks liidriks, on need sammud vajalik teha. on välja töötada EL-i sertifitseerimisskeeme. 2019. aasta küberturvalisuse määruse alusel nimetati 6  ka riiklikud sertifitseerimisasutused , kelleks Eestis on TTJA. 1.2.19 Q21: To what extent do you agree with the following statements that look into the potential Osaliselt arvestatud effectiveness of an EU initiative on horizontal (cross-sectoral) cybersecurity requirements? seisukohtades 5.1.1, 5.1.2, 5.1.4 ja 5.1.5 –  Küberohud võivad kiiresti levida üle riigipiiride ja sektorite, mistõttu tuleks oleme üldiselt digitoodete küberturvalisuse nõuded liidu tasandil ühtlustada – 2 – iga tehnoloogia ja hinnangutega nõus, toote puhul ei ole see asjakohane, sest osad seadmed on ühenduses ning samas on teisi, mis on oluliselt autonoomsemad (nt IoT seadmed). kuid oma esmase  Horisontaalsete küberturvalisuse nõuete kohaldamine digitoodete suhtes suurendaks analüüsi põhjal kasutajate teadlikkust küberriskidest – 1 – ei suurendaks, sest arvutite tarkvara on 20+ eeldame küberhügieeni aastat aktiivselt käsitletud, pakutud uuendusi telefonides jne, aga väga suur osa inimestest olulist paranemist endiselt ei mõista, miks on tarvis tarkvara uuendada. Nõuded ei taga teadlikkust, teavitus horisontaalsete tagab. meetmete rakendamise  Horisontaalsete küberturvalisuse nõuete kohaldamine digitoodete suhtes tagaks järel. digitoodete ja kõrvalteenuste turvalisuse ühtlaselt kõrge taseme ja aitaks seda taset tõsta – 3 – tase muutuks toodete ja tehnoloogiate kategooriate kaupa potentsiaalselt ühtsemaks. Peame liikuma selles suunas, et ettevõtjad teeksid parima kvaliteediga tööd, kuid samas peame seejuures olema valmis hinnatõusuks. Arvestada tuleb ka näiteks halduse tasuga, mis täna toote tükihinna sisse arvestatud ei ole.  Horisontaalsete küberturvalisuse nõuete kohaldamine digitoodete suhtes parandaks siseturu toimimist, luues digitoodete ja kõrvalteenuste müüjatele võrdsed tingimused seoses küberturvalisuse omadustega – 2/3 – nõustume, et mingid elemendid ühisturu tingimustes paraneksid, ent tervikuna on see pisut kaugeleulatuv järeldus. Võrdsed tingimused juba on, seega on küsimuseks, kuidas tagada võrdselt ja ühtlaselt parem kvaliteet ja seejuures kohustused, mis ettevõtjatele kohaldudes kvaliteeti tõstavad. 1.2.20 Q22: The EU Action Plan on synergies between civil, defence and space industries underlines Teadmiseks võetud. the importance of promoting and applying common standards across sectors and the increased relevance of digital products that are used both in a civilian and military context (‘dual-use products’). To what extent could horizontal requirements applying to digital dual- use products contribute to moving the security performance of such products closer to the needs of the defense community and to raising the overall level of cybersecurity in civilian uses (on a scale from 1 to 5 with 5 indicating a very positive contribution)? 3/4 – pole võimalik vastata, sõltub tootest, selle rakendusest, iseloomuomadustest jpm. 1.2.21 Q23: How would you assess the impact of the following types of intervention on the costs of Teadmiseks võetud. your organisation (on a scale from 1 to 5 with 5 indicating that the intervention would be very costly)? Keeruline kulusid välja tuua, kuna küsimustik on üldine. Kindlasti on mõju olemas, kuid arvestades tänaseid küberturvalisuse suundasid ja standardite kehtestamist, tuleks need 5-10 aasta perspektiivis ikkagi ära teha. Eestile otseselt täiendavaid kulusid ei ole, v.a. kallimad tooted ja nende ostmine 1.2.22 Q24: Which of the following approaches would in your view ensure that small and medium- Arvestatud seisukohas sized hardware manufacturers and software developers, including individual entrepreneurs, 5.1.3. are subject to proportionate obligations (balance between 20 administrative burden and compliance costs on the one hand and a high level of cybersecurity on the other hand) under a European legislation introducing mandatory horizontal cybersecurity requirements (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? Küsimus ei ole selles, kas ettevõte on suur või väike, vaid pigem selles, millist teenust ja toodet pakutakse. Seal on loomulikult allhanked ja alltöövõtjad jne. Seega on liiga palju muutujaid, et vastata ühesel moel. Pigem peaks sõltuma toodetest – kui ma tahan arendada nt dokumendihaldustarkvara ja seda müüa, siis sõltumata, kas mul on ettevõttes 2 või 200 inimest, pean ma suutma pakkuda haldust või võimaldama kõik lähtekoodid ja baastarkvara, et klient (nt riik) saaks selle halduse täies ulatuses enda kätte võtta. 1.2.23 Q25: An EU initiative laying down mandatory horizontal cybersecurity requirements would Arvestatud apply to all vendors placing products on the internal market, irrespective of their origin and seisukohtades 5.1.1 ja location. To what extent would you agree with the following statements regarding the impact 5.1.3. on competition of such an initiative (on a scale from 1 to 5 with 5 indicating that you strongly agree with a statement)? 7   3/4 Jah, võib tekkida ebasoodne olukord, kuid kui see on strateegiliselt ja ühtselt ELis kokku lepitud, siis on tegemist turureeglitega ja nendega peavad kõik arvestama, kes soovivad turule tulla. Teiselt poolt peavad täna ettevõtted küberturvalisusesse panustama ja kui seda ei tehta, siis antud toodet/teenust ei hangita  3-5 Sõltub tootest, kuid võib ka eeldada, et EL tooteid soovitakse rohkem, kui me suudame pakkuda paremat ja turvalisemat toodet. 1.2.24 Q26: To what extent to you agree with the following statements regarding the impact of Arvestatud horizontal cybersecurity requirements on fundamental rights (on a scale from 1 to 5 with 5 seisukohtades 5.1.1, indicating that you strongly agree with a statement)? 5.1.2 ja 5.1.4. Mõlemad küsimused pigem vastus 3 – mõlemat kindlasti suurendab, kuid lõppkasutajaks on inimene, kes uuendamata jätmisel ikkagi ise vastutab. Potentsiaali parandada kindlasti on ja keskmise kasutaja turvalisust ehk natuke tõstab, mis võikski olla laiem poliitiline eesmärk – teha paljusid asju natuke paremini, mitte ühte asja väga hästi 2. Politsei- ja Piirivalveamet 2.1 Artikkel 13 – juhenddokumendid , soovitused ja üleskutsed: Mitte arvestatud: Juhenddokumendid ja soovitused võivad sisaldada: Küberturvalisuse riskide juhtimise ja mainitud nõuded küberturvalisuse baastaseme üksikasjad või parendused; Riskide juhtimine ja baastase on juba puudutavad EL-i rakendatud infoturbestandardiga, millega on täidetud I ja II lisa nõuded. asutusi, mitte siseriiklikku korraldust 2.2 Artikkel 20 – teatamiskohustused: Mitte arvestatud: Kõik liidu institutsioonid, organid ja asutused esitavad CERT-EU-le esialgse teate oluliste mainitud nõuded küberohtude, oluliste nõrkuste ja oluliste intsidentide kohta ilma põhjendamatult viivitamata ja igal puudutavad EL-i juhul hiljemalt 24 tunni jooksul pärast seda, kui on neist teada saanud. Teatamiskohustus on praegu asutusi, mitte rakendatud CERT.EE poolt, mis võiks olla nii ka edaspidi ning CERT.EE edastab info CERT.EU- le. siseriiklikku korraldust. 3. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit 3.1.1 ITL nõustub, et küberturvalisus on väga oluline, mistõttu toetame algatuse eesmärki tagada Arvestatud seisukohas digitoodete küberturvalisuse ühtlaselt kõrge tase. Küberintsidentide riskitase on vaieldamatult ajas 5.1.1. tõusev ja selle tõusu peatumist ei ole näha seni kuni tehnoloogia areng jätkub. Tehnoloogia arengu tulemusena jõuab turule palju uusi tooteid ja lahendusi. Digitaliseerumise tulemusena liigub aina rohkem infot digitaalsele kujule. See suurendab küberrünnete arvu ning intsidentidega kaasnevat riskitaset. Küberründed arenevad samal ajal aina keerukamaks. Näiteks võimaldab ründaja läbi jälgede peitmise endale pikaajalise ligipääsu süsteemi. 3.1.2 Oleme seisukohal, et turvalisus on digitoodete ja nendega seotud kõrvalteenuste puhul väga oluline. Arvestatud Seega peab eesmärgiks olema pürgida selles suunas, et kui ei ole turvalisust, siis ei ole ka toodet. seisukohtades 5.1.1, Praegune olukord turul on väga erinev. On tooteid ja tootjaid, kes suhtuvad turvalisusesse väga 5.1.2. ja 5.1.4. tõsiselt (näiteks kvaliteetsete nutitelefonide turvalisusega tegelevad tootjad üle keskmise hästi), on ka tooteid, millel ei ole juba ostmise hetkel mitte kordagi turvalisuse peale mõeldud (märgatav osa IoT seadmeid, isegi tööstuslikud kontrollerid jms). 3.1.3 Põhjused, miks on madala küberturvalisuse tasemega tooteid turul, on järgmised: 3.1. küberturbel Osaliselt arvestatud on raske tehnoloogia kiire arenguga sammu pidada; 3.2. küberturbe eksperte pole piisavalt; 3.3. seisukohtades 5.1.1 ja väikse ja keskmise suurusega ettevõtted ei suuda palgata kogenud eksperte; 3.4. regulatsioonide 5.1.2. Küberekspertide puudumine teatud valdkondades võimaldab tuua turule oluliste turvaprobleemidega tooteid (nt IoT vähesuse väitega seadmed); 3.5. vastutuse küsimus on ebaselge juhul, kui toode sisaldab mitme tootja komponente. nõustume, kuid see ei ole antud õigusakti kohaldamisalas. 3.1.4 Küberintsidentide mõju ettevõtetele ja kasutajatele on oluline, kuid suurem risk on Arvestatud küberteadlikkuseta isikute mõju ühiskonnale tervikuna. Iga ebaturvaline seade võib saada osaks seisukohtades 5.1.1. ja küberründe armeest, mis suudavad mõjutada ühiskondlikult oluliste funktsioonide toimimist. Seega 5.1.4. on see võrreldav keskkonnakaitse või epidemioloogilise kaitsega või kasvõi liiklusreeglitega, kus iga isik peab andma oma panuse ühiskonna kui terviku hüvanguks. Seega kasvõi elementaarne panustamine küberturvalisusele on vajalik ja selle puudumine peab olema taunitav. 3.1.5 Oluline on leida võimalusi motiveerida müüjaid pakkuma turvalist, kasulikku ja hästi töötavat Osaliselt arvestatud toodet. Ka turg ise saab lahendada olukordi, kui konkureerimiseks peavad tooted head ja turvalised seisukohas 5.1.6. olema. 3.1.6 Uue regulatiivse algatuse puhul on väga oluline silmas pidada seda, et sekkumine on õigustatud Osaliselt arvestatud seal, kus on tõendatult probleemid. ITL toetab range regulatiivse sekkumise asemel pehmemate seisukohas 5.1.5. meetmetega alustamist. Kui nendest ei ole abi, siis saab reegleid juurde kehtestada. 8 3.1.7 Digitoodete ja küberturvalisuse valdkonnas on palju õigusakte (nt NIS direktiiv, küberturvalisuse Arvestatud seisukohas määrus, NLF, raadioseadmete direktiiv koos hiljuti vastu võetud delegeeritud õigusaktiga, üldine 5.1.3. tooteohutuse direktiiv, tootja vastutuse direktiiv, aga ka GDPR ja sektorspetsiifilised õigusaktid nagu masinadirektiiv ja meditsiiniseadmete määrus), millest mitmed on käesoleval hetkel ülevaatamisel. Turuosaliste jaoks on vaja selgust, millal mis kohaldub, ning kindlust, et erinevates õigusaktides ei ole kattuvusi. Tulevane küberkerksuse õigusakt võib aidata selles õigusaktide rägastikus selgust luua, aga seejuures on oluline silmas pidada seda, et see ei lisaks lihtsalt üht täiendavat kihti nõudeid juba olemasolevatele juurde. 3.1.8 Kui kehtestada digitoodetele küberturvalisuse nõuded, siis on oluline silmas pidada järgmist: Arvestatud seisukohtades 5.1.1,  Nõuded kõigile konkureerivatele toodetele peavad olema ühesugused. Ei ole mõeldav see, et 5.1.2., 5.1.3 ja 5.1.5. konkureerivatele toodetele kehtivad erinevad nõuded.  Nõuete kohaldamisala tuleb hoolikalt läbi mõelda ja mõisted väga selgelt paika panna. Näiteks tuleb arvestada, et teenus on midagi muud kui toode ning neid ei saa ühtemoodi reguleerida. 3.1.9 Võimaliku uue õigusakti skoobi osas märgime, et teenuste reguleerimise vajalikkuse osas oleme Mitte kahtleval seisukohal. Pigem soovitame alustada reguleerimist digitoodetest ja nendes juba arvestatud/Osaliselt sisalduvast tarkvarast. Ilmselt on mõistlik hõlmata ka tarkvara, mis küll lisatakse hiljem, aga mis on arvestatud seisukohas siiski vajalik toote põhiomaduste funktsioneerimiseks. Tarkvara puhul tuleb arvestada asjaolu, et 5.1.5 – näeme teenuste selle turvalisus sõltub paljudest ökosüsteemis osalejatest. teatud määral reguleerimise vajadust, kuid seda saab teostada vaid pärast põhjaliku mõjude analüüsi tulemusi hinnates. 3.1.10 Nõustume, et nõudeid saaks kehtestada harmoniseeritud standarditena erinevate tootekategooriate Osaliselt arvestatud jaoks. ITL on samas seisukohal, et reeglina peavad standardid olema vabatahtlikud. Kohustuslikud seisukohas 5.1.6 – standardid on põhjendatud ainult erijuhtudel ja siis peab standardi kohustuslikkus tulenema oleme üldiselt nõus, et õigusaktist. standardid peavad olema vabatahtlikud, kuid arvame, et antud õigusakti tulemusi läbi vabatahtlike standardite rakendamisega ei saavuta. Standardi kasutamise läbi õigusakti kohustuslikuks tegemise osas praeguses konsultatsiooni faasis seisukohta ei kujunda. 3.1.11 Konsultatsioonis välja pakutud võimalikest meetmetest suurendaksid kõik digitoodete ja - teenuste Arvestatud seisukohas turvalisust, aga enne võimalike meetmete kehtestamist tuleb välja selgitada, kas potentsiaalne tulu 5.1.5. ületab ikka kulu. Kindlasti tuleb arvestada, et kavandatavad nõuded suurendaks ettevõtjate halduskoormust ja kulusid, mistõttu peame äärmiselt oluliseks seda, et viiakse läbi põhjalik mõjuanalüüs. 3.1.12 Ühe võimaliku konsultatsioonis välja pakutud meetmena saame toetada riigihanke suuniseid. Kui Arvestatud seisukohas tellijad peavad tellima turvalisi tooteid ja teenuseid ning kirjutavad need nõuded 5.1.6. hankedokumentidesse sisse, siis tootjad ja teenuse osutajad neid ka pakuvad. 3.1.13 Igasugune tootjate poolne nõuetele vastavuse tõendamine, kui seda teha ühekordselt ja kampaania Osaliselt arvestatud korras, ei oma mõtet, kuna keskkond muutub väga kiiresti. Vastavus toote disainimisel arvestatud 5.1.4. – nõustume parimatele praktikatele ja printsiipidele võib aga kasulik olla küll. Tootjaid distsiplineeriks pigem üldise põhimõttega, oht, et toote müük tuleb lõpetada, kui selgub, et toode ei ole elementaarselgi tasemel turvaline kuid ei ole praeguses kasutada. faasis leidnud lahendust, mil määral seda õigusaktis jõustada. 3.1.14 Kindlasti on oluline, et digitoodetele ja kõrvalteenustele kehtivad reeglid oleksid EL-i Arvestatud seisukohas liikmesriikides ühesugused. Seega nõustume, et oluline on vältida kübeturvalisuse nõuete edasist 5.1.3. killustumist. 9 3.2.1 ITL on seisukohal, et EL-i institutsioonidele, organitele ja asutustele peavad kehtima samasugused Arvestatud küberturvalisuse reeglid nagu eraettevõtetele ja liikmesriikide avaliku sektori asutustele. Seega seisukohtades 5.2.1., nõuded peaksid olema analoogsed NIS 2 direktiiviga. Vajalik on nii sisemine koordinatsioon kui ka 5.2.2 ja 5.2.5. järelevalve. 3.2.2 Liiduülene küberturvalisuse juhtimismudel peab olema läbipaistev ning dubleerivate rollidega Arvestatud osaliselt kehade loomisest tuleb hoiduda. seisukohas 5.2.5. 3.2.3 Antud juhul jääb ebaselgeks CERT-EU roll. Näiteks kas kui Euroopa Komisjoni Brüsselis asuvat Arvestatud seisukohas usaldusnimekirja on kompromiteeritud, siis kas CERT-EU hakkaks nüüd lahendama seda juhtumit 5.2.7. või CERT-BE 4. Riigi Infosüsteemide Amet 4.1.1 Võimalus taaskasutada NIS2.0 valitsuse seisukohtade arutelul tõusetunud mõtete, et ka Arvestatud seisukohas tarkvaraarendajatele tuleks sarnased nõuded ette näha, nagu NIS 2.0 sätestab. Oluline põhimõtted 5.1.4. security by design 4.1.2 Digitoodete puhul tasub kaaluda USA lähenemise positiivseid ja negatiivseid nüansse „Software Arvestatud seisukohas Bill of Materials“ (https://www.whitehouse.gov/briefing-room/presidential- 5.1.6. actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/) nõude osas, mis tähendab tootjalt komponentide loetelu ja sõltuvuste nimekirja nõudmist. Seda on võimalik samas rakendada ka täna hangetes, ehk omal algatusel sellise (piiratud ulatuses) loetelu nõudmist. 4.1.3 Valitsuse seisukohtade väljatöötamisel tasub kaaluda ka TalTechi poolt 2021 valminud IKT Osaliselt arvestatud tarneahela riskide analüüsis kajastatut ja järeldusi. seisukohas 5.1.5. Antud uuring pole avalikult kättesaadav. 4.1.4 Tarbijast lähtuvalt on järjest enam rakendust leidmas nn. Labeling, kus tooted märgistatakse Arvestatud seisukohas minimaalse turvauuenduste toe tähtajaga, mis aitab teha tarbijatel teadlikumaid otsuseid. Ka 5.1.4. digitoodete reguleerimisel tasub kaaluda digitoodete elutsükli kirjeldusele ja võimalikele nõuetele turvauuenduste kontekstis, ilma, et see läheb põhjendamatult ettevõtlusvabadust piirama. 4.1.5 Võimalik on luua tulevasse akti erinevad tasemed sarnaselt tehisintellekti määrusega ja kohaldada Arvestatud seisukohas neile erinevaid nõudeid lähtuvalt nende kriitilisusest. Teatud juhtudel on tõenäoliselt otstarbekam 5.1.1. suunata vastutus targale tellijale, et seeläbi mõjutada turul pakutavaid digitooteid, samas säilitades tavakodanikele ka soodsamad alternatiivid, kelle küberturvalisuse miinimumtase ei pea olema võrdsustatud ühiskonna toimimise seisukohast oluliste teenuste osutajatega. 4.2.1 Võttes arvesse EL institutsioonide, organite ja ametite (edaspidi asutuste) mõju ja olulisust, tuleks Arvestatud kaaluda siiski neile samaväärsete nõuete kehtestamist, mida nõutakse liikmesriikidelt. Heaks seisukohtades 5.2.1 ja lähtekohaks võiks võtta NIS2.0 nõuded. See aitab rõhutada küberturvalisuse olulisust ja mõjub ka 5.2.2. eeskujuna liikmesriikidele, kui EL asutused suuvad kõrgel tasemel küberturvalisuse nõudeid täita. EL-i asutustes saavad kokku liikmesriikides kaitstavad andmed ja ei ole mõistlik, kui EL-i tasandil neid madalamal tasemel kaitstakse. 4.2.2 Nõuete täitmise kontrollimiseks on tarvilik luua ka adekvaatne järelevalve mehhanism, mis ei ole Arvestatud seisukohas pelgalt soovitusliku iseloomuga. 5.2.5. 4.2.3 RIA näeb antud aktis võimalust, et EU-CERT-i mandaadi kasvuga peaks kaasnema ka täiendav Arvestatud lisandväärtus rohkema teabe jagamise näol liikmesriikidele. seisukohtades 5.2.5 ja 5.2.7. 5. Kaitseministeerium 5.1.1 Arvestades julgeoleku olukorda ja küberrünnakute ohu kasvu, toetame ettepanekut suurendada EL’i Arvestatud seisukohas institutsioonide vastupanuvõimet ja reageerimissuutlikkust küberohtudele ja intsitentidele. 5.2.1 5.1.2 Uue raamistiku loomine aitab parandada institutsioonide vahelist koostööd ja turvalisemat Arvestatud seisukohas informatsiooni vahetamist ning teadlikust. 5.2.1. 5.1.3 Samuti on tervitatav ELi institutsioonide kohustus edastada intsidentidega seotud teavet CERT- Osaliselt arvestatud EU’le. seisukohas 5.2.6, kuigi selline kohustus kehtib juba praegu. 5.2.1 Probleem on relevantne ja suund on õige. KaM toetab algatust. Poliitikavariantidest eelistaksime nr Arvestatud 4. Aga siinkohal on siiski oluline, et uus õigusakt oleks kooskõlas juba olemasolevate seisukohtades 5.1.1 ja regulatsioonidega. 5.1.3. 5.2.2 Ettepanek, et regulatsiooni tekstis oleks põhimõte, et riikidel on õigus nt KAM VA (ja laiemalt Arvestatud/täpsustatud avaliku sektori asutustel/ETOdel) on mitte lubada osaleda riigihangetes ettevõtteid, mis ei vasta seisukohas 5.1.6 – aktis kehtestatud nõuetele või on kahtlus, et ei vasta. Samuti mitte lubada neid, mis ei ole selline suund tundub usaldusväärsed (sõltumata sellest, kas vastavad või mitte). otstarbekas, kuid selle tehtavust tuleb veel analüüsida. 6. Prokuratuur 10 6.1 Digitoodete ja teenuste roll tänase majanduse ja ühiskonna toimemudelis on märkimisväärne. Nii Arvestatud muutub üha olulisemaks tagada digitoodete ja teenuste toimepidevus, sh turvalisus rünnete vastu. seisukohtades 5.1.1. ja Digitoodete ja teenuste küberturvalisuse baastase tuleks tagada sektorite üleselt kogu digitoote ja 5.1.4. teenuse elutsükli vältel. Muudatustega kaasneda võimaliku halduskoormuse tõusu piiramiseks võib kaaluda väikese riskiga valdkondades tegutsevate väike- ja keskmise suurusega ettevõtjate puhul lihtsustatud menetluse või nõuete rakendamist. Lihtsustatud menetluse ja/või nõuete rakendamine ei tohiks aga viia sisuliselt küberturvalisuse aluspõhimõtete kõrvalejätmiseni. Kõrge riskiga valdkondades tasub kaaluda kõrgendatud nõuete rakendamist. Loodame, et algatuse tulemusena õnnestub tõsta ka kasutajate teadlikkust digitoodete ja teenuste küberturvalisuse mõjust ja suunata seeläbi kasutajaid digitoote ja teenuse valimisel omistama küberturvalisusele olulist kaalu. 6.2 Eeltoodu valguses tervitame ka ettepanekut astuda samme tagamaks ühtlaselt kõrge Arvestatud küberturvalisuse tase kõigis liidu institutsioonides, organites ja asutustes. Laiaulatuslike ja seisukohtades 5.2.1, keerukate küberrünnete korraldamine on muutumas üha käepärasemaks, mistõttu on mõistlik nende 5.2.6 ja 5.2.7 ennetamiseks viia sisse ajakohane riskijuhtimise ja järelevalveraamistik, panustada üldise küberhügieeni tõstmisesse ja ka tõhustada CERT-EU rolli küberintsidentide ennetamisel, lahendamisel ja teabevahetusel. 7. Justiitsministeerium 7.1 Küsimus 26 osas nõustume täielikult väidetega, et horisontaalsete küberturvalisuse nõuete Arvestatud kohaldamine digitoodete suhtes parandaks eraelu puutumatuse ja isikuandmete kaitset ning tagaks seisukohtades 5.1.1., ka tarbijakaitse kõrge(ma) taseme. Puudulik infoturvalisus loob selge ohu isikuandmete lekkeks, 5.1.2, ja 5.1.4. õõnestab kasutajate kontrolli selle üle kas ja kuidas nende andmeid kasutatakse ning võib kujutada olulist riivet isikute privaatsusele. 7.2 Märgime tuleviku mõttes üldisemalt, et võimalusel tuleks kasutada juba EL instrumentides Arvestatud kasutusel olevaid mõisteid. Seega võiks analüüsida, kas ja millises ulatuses erinevad seisukohtades 5.1.3 ja konsultatsioonis viidatud mõisted „digitoode“, „riistvara toode“, „tarkvara toode“, „kõrvalteenus“ 5.1.4. näiteks digitaalse sisu direktiivis (770/2019) ja tarbijalemüügi direktiivides (771/2019) toodud mõistetest nagu „digitaalne sisu“, „digitaalne teenus“ ja digitaalse elemendiga kaup“. Kui sisulisi erisusi ei ole, tuleks eelistada mõistete joondamist. Õigusaktidest, nagu ka võimalikust Euroopa küberkerksuse õigusaktist, tulenevad nõuded võivad olla aluseks digitaalse sisu, digitaalse teenuse või digitaalse elemendiga kauba vastavuse hindamisel, mille puuduse korral, on tarbijal võimalik kasutada ettevõtja vastu eelviidatud direktiivides sätestatud lepinguõiguslikke õiguskaitsevahendeid. Õigusaktides ette nähtud võimalikult suur mõistete joondamine muudaks nende õigusaktide kohaldamise lihtsamaks. 7.3 Samuti viitame, et digitaalse sisu ja tarbijalemüügi direktiivist tuleneb ettevõtja kohustus tagada Arvestatud seisukohas tarbijale uuendusi, sh turvauuendusi, mis on vajalikud kauba, digitaalse sisu või digitaalse teenuse 5.1.4. vastavuse tagamiseks (770/2019 direktiivi art 8(2) ja 771/2019 direktiivi art 7(3)) ning vastava kohustuse rikkumise korral vastutab ettevõtja lepingu rikkumise eest. Samas, kuna reeglina on kõige efektiivsemalt võimalik turvariskidele reageerida tootjatel või tarkvaraarendajatel, tunduks asjakohane panna seadusega turvalisuse tagamise kohustus ka neile. 8. Riigi Infokommunikatsiooni SA 8.1 Oleme RIKSis nimetatud algatustega kursis ja peame oluliseks ühtsete ja kasutajatele selgete Arvestatud küberturvalisuse reeglite kehtestamist. seisukohtades 5.1.1. ja 5.1.4. 9. Eesti Interneti SA 9.1 Sektoriüleste küberturvalisuse nõuete kehtestamine riist- ja tarkvaratoodetele suurendab kindlasti Osaliselt arvestatud küberturvalisuse taseme tõusu, kuid pärsib innovatsiooni ning ülemaailmset konkurentsi seisukohtades 5.1.1, positsiooni. 5.1.3. ja 5.1.6. – oleme seisukohal, et innovatsiooni ning küberturvalisuse vahel tuleb alati sobilik tasakaal leida; ülemaailmse konkurentsivõime tagamiseks tuleks teha kindlaks, et õigusaktis järgitakse turul kehtivaid parimaid praktikaid ning võetakse arvesse 11  kehtivaid ülemaailmseid standardeid. 9.2 Müüjatel peaks olema parandusmeetmete võtmise ning olelusringi eest hoolitsemise kohustus mingi Arvestatud seisukohas ajaperioodi jooksul. 5.1.4. 9.3 Sisseprojekteeritud turve on kõige efektiivsem ning EL turustatud toodetel ja teenustel peaks olema Arvestatud seisukohas vaikimisi kõige turvalisemad sätted. 5.1.4. 9.4 Küberturvalisuse nõuetele vastavust võib deklareerida tootja/arendaja ise, eriti SME ettevõtted. Arvestatud Eristatud peaks olema suurema riskiga digitooted ning neile peaks kohalduma rangem kord, sh seisukohtades 5.1.1. ja järelevalve. 5.1.4. 10. Eesti Kaubandus- Tööstuskoda 10.1 Kaubanduskoja liikmed tõid välja, et nende hinnangul oleks kõige efektiivsemad meetmed liidus Osaliselt arvestatud turustatavate digitoodete küberturvalisuse taseme tõstmiseks küberturvalisuse vabatahtliku seisukohas 5.1.6 – sertifitseerimise täiendavad süsteemid digitoodete ja -teenuste jaoks Euroopas ning selliste praktika näitab, et olemasolevate õigusaktide muutmine, millega reguleeritakse konkreetseid digitaalse mõõtmega vabatahtlikku tooteid. Ka teisi konsultatsioonis välja pakutud variante pidasid meie liikmed pigem efektiivseteks. sertifitseerimist ei rakendata laialdaselt ning märkimisväärne turuosa jääks mõjutamata – eelkõige just need tooted, mille küberturvalisus vajaks parandamist kõige enam. 10.2 Kaubanduskoja liikmeid on seisukohal, et küberturvalisuse taset aitaks tõsta see, kui müüjatelt Arvestatud seisukohas nõutakse teabe kättesaadavaks tegemist ja juhiste andmist konkreetse toote turvaliseks 5.1.4. paigaldamiseks, käitamiseks ja kasutamiseks, ning ka see, kui müüjatelt nõutakse parandusmeetmete võtmist (nt toote paikamine, tagasikutsumine või turult kõrvaldamine) juhul, kui toode osutub ebaturvaliseks. 10.3 Kaubanduskoja liikmete hinnangul aitavad kasutajate suutlikkuse tõstmisel küberturvalisuse Arvestatud seisukohas omaduste hindamisel väga hästi kaasa nii toote küberturvalisuse omaduste kohta tehnilise 5.1.4. dokumentatsiooni kättesaadavaks tegemine kui ka digitoodete turvalise kasutamise alane koolitus. Mõnevõrra vähem, ent siiski pigem asjakohasteks pidasid Kaubanduskoja liikmed Euroopa Liidu vastavusdeklaratsioonide kättesaadavaks tegemist ning toodetele nõutele vastavuse sümboli, näiteks CE-märgise, lisamist. 10.4 Kaubanduskoja liikmed nõustuvad, et küberturvalisuse nõuete kehtestamine liidus turustatavatele Arvestatud toodetele oleks väga tulemuslik sisseehitatud tarkvara ja riistvaratoodete puhul, millega kaasneb seisukohtades 5.1.1. ja suurem küberturvalisuse risk. Ka teisi konsultatsioonis välja pakutud meetmeid hindasid meie 5.1.2. liikmed pigem tulemuslikeks. 10.5 Kaubanduskoja liikmete tagasiside näitab, et ettevõtete hinnangul peaksid riistvaratootjad ja Arvestatud seisukohas tarkvaraarendajad vastutama digitoote kogu olelusringi eest. 5.1.4. 10.6 Kaubanduskojale tagasisidet andnud liikmed on nõus väitega, et Euroopa Liidu algatuse puudumine Arvestatud võib suurendada turul osalevate sidusrühmade kulusid ja õiguskindlusetust. seisukohtades 5.1.3 ja 5.1.5. 10.7 Kaubanduskoja liikmed leiavad, et avalikus konsultatsioonis välja toodud komisjoni poolsed Arvestatud sekkumise viisid tekitavad nende ettevõtetele keskmise suurusega või pigem väikeseid kulusid, seisukohtades 5.1.3. samuti on nende kulude mõju ettevõtetele pigem väike. Kulud tekiksid ettevõtetele peamiselt 5.1.5. ja 5.1.6. suurenenud halduskoormuse tõttu, halduskoormust suurendaks enda kurssi viimine muutuvate õigusaktidega ning ettevõtte tegevuse kohandamine muutunud õigusaktidele vastavaks. Sekkumise viisid, mille osas oma liikmetelt tagasisidet küsisime, olid ELi tasandil kehtestatud suunised või soovitused müüjatele turvaliste digitoodete väljatöötamiseks; küberturvalisuse vabatahtliku sertifitseerimise täiendavad süsteemid digitoodete ja -teenuste jaoks Euroopas; ELi riigihankesuunised, milles võetakse arvesse küberturvalisuse nõudeid; selliste olemasolevate õigusaktide muutmine, millega reguleeritakse digitaalse mõõtmega konkreetseid tooteid (nagu lifte või gaasiseadmeid käsitlevad õigusaktid); horisontaalsete kohustuslike küberturvalisuse nõuete kehtestamine riistvaratoodetele ning horisontaalsete kohustuslike küberturvalisuse nõuete kehtestamine tarkvaratoodetele. 10.8 Kaubanduskojale tagasisidet andnud liikmed on seda meelt, et küberturvalisust tuleks arvesse võtta Osaliselt arvestatud arendusprotsessi kõigis etappides ning et tooted peaksid vastama kõigile vajalikele seisukohas 5.1.4. – 12  funktsionaalsetele ja mittefunktsionaalsetele turvanõuetele. Samuti peavad tooted Kaubanduskoja võetud seisukoht jätab liikmete hinnangul olema astud turule selliselt, et vaikimisi on valitud kõige turvalisemad sätted. sekkumise viisi Kaubanduskoja liikmed leiavad, et riistvaratootjad ja tarkvaraarendajad peavad pakkuma uuendusi lahtisemaks. siis, kui avastatakse nõrkused, sealhulgas pärast toote turule laskmist ning et riistvaratootjad ja tarkvaraarendajad peaksid pakkuma uuendusi tasuta. 10.9 Meile tagasisidet andnud liikmed nõustuvad ka sellega, et suurema riskiga digitoodete puhul tuleks Arvestatud seisukohas kohaldada rangemat korda, millega tõendatakse vastavust kõnealustele nõuetele. 5.1.1. 10.10 Kaubanduskoja liikmete sõnul ei tuleks digitoodete turvanõuetele vastavuse tõendamisel pidada Arvestatud seisukohas piisavaks ettevõtja vastavasisulist kinnitust, kuna meie liikmete hinnangul ei anna see piisavat 5.1.4. kindlustunnet. 10.11 Kaubanduskoja liikmed leiavad ka seda, et küberohud võivad kiiresti levida üle riigipiiride ja Arvestatud sektorite, mistõttu tuleks digitoodete küberturvalisuse nõuded liidu tasandil ühtlustada. seisukohtades 5.1.1. ja 5.1.3. 11. Rahandusministeerium 11.1 Riigihangetes täiendavate tingimuste kohustuslikuks muutmise osas tuleks olla ettevaalik. Sellele Arvestatud seisukohas peab eelnema põhjalik analüüs ja kaasnema teavitustöö, kuivõrd hankijaid on seinast seina, st 5.1.6. väiksemad KOV asutused ja MTÜ-d, kes vähe hankeid teevad, on niigi päris hädas. 13  EELNÕU VABARIIGI VALITSUS ISTUNGI PROTOKOLL Tallinn, Stenbocki maja XX. mai 2022. a nr Päevakorra punkt nr Eesti seisukohad küberkerksuse õigusakti avaliku konsultatsiooni ning Euroopa Parlamendi ja Nõukogu määruse, millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes, eelnõu kohta 1. Kiita heaks järgmised ettevõtlus- ja infotehnoloogiaministri esitatud seisukohad Euroopa Komisjoni 16. märtsil alustatud digitoodete ja kõrvalteenuste küberturvalisuse avaliku konsultatsiooni kohta: 1.1. Eesti toetab EL-i üleselt toodetele, teenustele ja protsessidele kehtivate küberturvalisuse nõuete üle vaatamist, tagamaks tarbijatele ning lõppkasutajatele turvalisemate digitoodete olemasolu turul ja tootjatele ning tarnijatele ühtsemad nõuded. 1.2. Eesti toetab horisontaalsete kohustuslike küberturvalise nõuete rakendamist riistvara- ning tarkvaratoodetele. Oleme arvamusel, et avaliku konsultatsiooni tulemusel tuleb konkreetsemalt välja selgitada, millistele toodetele ning valdkondadele on vaja rakendada täiendavaid meetmeid, et vähendada toodete oluliselt erinevat küberturvalisuse taset. Eesti hinnangul vajavad erilist tähelepanu esemevõrgu seadmed (IoT), millest suurel osal puuduvad küberturbe funktsioonid. 1.3. Eesti on seisukohal, et küberkerksuse akt peaks aitama vähendada EL-is küberturvalisuse küsimustes õigusselgusetust ning nõuete killustatust eri sektorite vahel. Välja kujundamisel olev õigusakt peaks aitama välistada olukordi, kus samas valdkonnas konkureerivatele asutustele ja ettevõtetele kehtiksid eri nõuded. Samuti peame oluliseks, et mikro, väikestele ja keskmise suurusega ettevõtetele oleksid uued nõuded võimalikult proportsionaalsed ning ei tooks kaasa märkimisväärset halduskoormuse kasvu. 1.4. Oleme seisukohal, et toodete puhul peaks läbivalt kehtima security-by-design printsiip, mis näiteks tähendab, et toodete turule laskmise hetkel on neile vaikimisi kõige turvalisemad seaded sätestatud. Peame vajalikuks kehtestada tootjatele ja müüjatele siduvad nõuded seoses toote olelusringi käigus tehtavate uuenduste ja turvanõrkuste parandamisega. Samuti peaks lõppkasutajatele toote küberturvalisust puudutav teave olema kättesaadavam. 1.5. Eesti peab vajalikuks täiendava mõjude analüüsi läbiviimist küberkerksuse akti nõuete rakendamise kohaldamisala proportsionaalseks määratlemiseks. On oluline tuvastada, 1  mil määral laiendada küberkerksuse akti nõudeid teenustele, protsessidele ja tarneahelatele, et potentsiaalne tulu ületaks kulu. 1.6. Oleme seisukohal, et EL tasemel aitaks digitoodete küberturvalisuse taseme tõstmiseks ühiste riigihankesuuniste loomine, milles võetakse arvesse küberturvalisuse nõudeid. 2. Kiita heaks järgmised ettevõtlus- ja infotehnoloogiaministri esitatud seisukohad Euroopa Komisjoni 22. märtsil avalikustatud määruse kohta (2022/0085(COD)), mille eesmärgiks on tagada parem küberturvalisus EL-i institutsioonides, organites ja asutustes: 2.1. Eesti toetab EL-i institutsioonide, ametite ja organite küberturvalisuse määruse eesmärki, millega tugevdatakse EL-i asutuste küberturvalisuse taset ning CERT-EU mandaati. 2.2. Eesti hinnangul peaks EL-i asutustele kehtivad küberturvalisuse nõuded ja määratlused olema vastavuses EL-i võrgu- ja infosüsteemide turbe (NIS 2.0) direktiiviga, mis tagaks ühtlasemad küberturbe nõuded ja korralduse EL-i asutuste ning liikmesriikide ja nende elutähtsate ja oluliste üksuste vahel. Leiame, et mõistete kasutamisel määratlemisel tuleks kasutada juba EL instrumentides kasutusel olevaid mõisteid ning uus määrus ei tohi mõjutada teistes EL õigusaktides välja toodud õigusi ja kohustusi. 2.3. Eesti toetab laiemalt EL-i ühise küberüksuse loomise mõtet, kuid õigusliku selguse mõistes tuleks need viited käesolevast määrusest kustutada. 2.4. Oleme arvamusel, et valitud õiguslik alus, mis käsitleb Euroopa Liidu institutsioonide halduskorraldust, ei pruugi olla sobiv, et kehtestada neile institutsioonidele siduvalt ja detailselt piisava küberturvalisuse saavutamiseks vajalikke nõudeid. 2.5. Eesti hinnangul tuleks EL-i asutustele luua mõjus järelevalvesüsteem koos nõuete täitmist tagavate meetmetega nagu näiteks sõltumatute auditite läbiviimine. Määruse ellu viimist jälgivas organis peaksid esindatud olema ka liikmesriigid. 2.6. Toetame määruse eesmärki laiendada CERT-EU mandaati ning anda neile täiendavaid rahalisi ning inimressurssi, et ühtlustada EL-i asutuste küberkerksuse küpsusastet. Samuti toetame määruses välja toodud küberinvesteeringute sihipärasemat korraldust, kuid CERT-EU rahastamisel tuleb lähtuda, et EL-i asutuste koormis oleks proportsionaalne (nt eu-LISA suurte süsteemide arenduskulusid ei arvestataks eu-LISA eelarve sisse). 2.7. Eesti hinnangul tuleks CERT-EU-le ning komisjonile luua kohustused jagada liikmesriikidega teavet, muutmaks kehtivat korraldust, kus infovood ning sisend liiguvad peamiselt liikmesriikidest EL-i asutuste suunal. Määrusega tuleks CERT-EU rolli suurendada küberintsidentide ennetamisel, lahendamisel ja teabevahetusel. Samuti tuleks selgemini määratleda EL-i asutuste koostöö asukohamaadega, kus nad füüsiliselt paiknevad. 2.8. Eesti hinnangul ei tohiks antud määrusega kehtestada liikmesriikide asutustele täiendavaid teabejagamise kohustusi. Määrusega ei tohiks tekitada olukorda, kus riikide julgeoleku- ja luureteenistuste kontaktivõtust CERT-EU-ga tuleb teavitada komisjoni julgeolekudirektoraati ja institutsioonidevaheline küberturvalisuse nõukoja (IICB) juhatajat. 3. Eesti esindajatel Euroopa Liidu Nõukogu erinevatel tasanditel väljendada ülaltoodud seisukohti. 2 3. Riigikantseleil esitada punktis 1 nimetatud eelnõu ja ülaltoodud seisukohad Riigikogu juhatusele ja teha seisukohad teatavaks Eestist valitud Euroopa Parlamendi liikmetele ning Eestist nimetatud Euroopa Majandus- ja Sotsiaalkomitee ja Regioonide Komitee liikmetele. Kaja Kallas Peaminister Taimar Peterkop Riigisekretär 3  SELETUSKIRI Vabariigi Valitsuse otsuse juurde „Eesti seisukohad küberkerksuse õigusakti avaliku konsultatsiooni ning Euroopa Parlamendi ja Nõukogu määruse, millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes, eelnõu kohta“ 1. Sissejuhatus Euroopa Komisjon alustas 16. märtsil avaliku konsultatsiooniga digitoodete ja kõrvalteenuste küberturvalisuse kohta ning tuli 22. märtsil välja uue määrusega (2022/0085(COD)), mille eesmärgiks on tagada parem küberturvalisus EL-i institutsioonides, organites ja asutustes. Käesolev seletuskiri ja Vabariigi Valitsuse seisukohad käsitlevad mõlemat EL asja. Digitoodete ja kõrvalteenuste küberturvalisuse avalik konsultatsioon (edaspidi küberkerksuse õigusakti konsultatsioon) viiakse läbi toetamaks komisjoni 2022. aasta tööplaanis oleva EL-i küberkerksuse akti koostamist. Sidusrühmade, kodanike ja liikmesriikide vastused aitavad komisjonil analüüsida digitoodete turgudega seonduvaid küberturvalisuse probleeme, uurida võimalikke tulevikusuundumusi ja hinnata eri liiki sekkumiste mõju. Sekkumise õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, mille eesmärk on rajada siseturg ja tagada selle toimimine, tõhustades siseriiklike normide ühtlustamise meetmeid. Komisjoni ettepanek uute reeglitega parema küberturvalisuse tagamiseks ELi institutsioonides, organites ja asutustes (edaspidi EL asutuste küberturbe määrus) on jätkuks võrgu- ja infosüsteemide turbe (NIS 2.0) direktiivile, mis avaldati 2020. aasta detsembris ning on hetkel läbirääkimiste viimases faasis. Viimastel aastatel on liidu institutsioone, organeid ja asutusi mõjutavate oluliste intsidentide arv eksponentsiaalselt kasvanud. CERT-EU läbi viidud ohuanalüüsist selgus, et küberturvalisuse küpsuse tase ning riskijuhtimissuutlikkus EL institutsioonides on praeguse seisuga väga varieeruvad ning puuduvad järjekindlad täiustamise ja auditeerimise mehhanismid. Kuivõrd NIS 2.0 õigusliku alusega polnud võimalik EL-i organeid kohaldamisalasse hõlmata, peaks selle probleemi lahendama kõnealune õigusakt. Määruse õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 298, milles on sätestatud, et liidu institutsioone, organeid ja asutusi abistab nende ülesannete täitmisel avatud, tõhus ja sõltumatu Euroopa halduskorraldus. Seisukohad ja seletuskirja koostasid Majandus- ja Kommunikatsiooniministeeriumi EL ja rahvusvahelise koostöö osakonna digiküsimuste nõunik Krister Kruusmaa ([email protected]), Eesti Euroopa Liidu alalise esinduse nõunik digi- ja küberpoliitika küsimustes Thorwald-Eirik Kaljo ([email protected]), Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna rahvusvahelise küberturvalisuse koostöö juht Kaido Tee ([email protected]) ja küberturvalisuse õigusnõunik Oliver Grauberg ([email protected]). Valdkonna eest vastutab Majandus- ja Kommunikatsiooniministeeriumi digiarengu asekantsler Luukas Kristjan Ilves ([email protected]). 1 2. Sisukokkuvõte 2.1 Küberkerksuse õigusakti konsultatsioon Konsultatsiooni peamine eesmärk on tagada digitoodete ja kõrvalteenuste küberturvalisuse ühtlaselt kõrge tase ja seda parandada. Samuti soovitakse võimaldada kasutajatel viia nende toodete turvaomadused vastavusse oma vajadustega, sealhulgas parandades küberturvalisuse elementide läbipaistvust. See kaitseks kasutajaid ebaturvaliste digitoodete ja kõrvalteenuste eest ning motiveeriks müüjaid pakkuma turvalisemaid tooteid, suurendades seeläbi usaldust digitaalse ühtse turu vastu. Lisaks taotletakse siseturu paremat toimimist, luues digitoodete ja kõrvalteenuste müüjatele võrdsed tingimused. Lisaks olulistele küberturvalisuse nõuetele kehtestatakse algatusega kohustused ettevõtjatele ning sätted vastavushindamise ja turujärelevalve kohta. Praktikas väljenduksid olulised küberturvalisuse nõuded harmoneeritud standarditena eri tootekategooriate jaoks. Globaalselt võiks selliste küberturvalisuse standardite väljatöötamine aidata suurendada ELi juhtpositsiooni standardite kehtestamisel. Olulisemad konsultatsiooniküsimustikus esinevad mõisted on:  Digitoode on nii riist- kui ka tarkvaratoode, sealhulgas tarkvara, mida saab teha kättesaadavaks ilma riistvarata (mittemanustarkvara).  Riistvaratoode on määratletud kui mis tahes seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digiandmete automaatne töötlemine.  Tarkvaratoode on määratletud kui immateriaalne vara, mis töötleb digitaalseid andmeid, mida salvestatakse, saadakse päringutega või edastatakse riistvara abil.  Kõrvalteenus on (digitaalne) teenus, mille puudumine takistaks materiaalsel tootel oma funktsioonide täitmist. Materiaalsed digitooted on näiteks lõppseadmed, nagu sensorid ja kaamerad, kiipkaardid, mobiilseadmed või võrguseadmed, nagu ruuterid ja kommutaatorid. Praegu ei võta müüjad (nt riistvaratootjad, tarkvaraarendajad, levitajad ja importijad) digitoodete või -teenuste turule laskmisel sageli piisavaid küberturvalisuse kaitsemeetmeid. Selle põhjuseks võib olla näiteks soov esimesena toote või teenuse turule laskmise eeliseid ära kasutada; kvalifitseeritud turvaspetsialistide nappus; küberturvalisuse tagamisega kaasnevad lisakulud ja vastavate majanduslike stiimulite puudumine. Praeguses olukorras tuleb ette müüjate ebapiisavat reageerimist turvanõrkustele nende toodete olelusringi jooksul ning ebapiisavat süstemaatilise teabe andmine toote turvalisuse kohta (majanduslike stiimulite puudumise tõttu). Nendest probleemidest ülevaate saamiseks on konsultatsiooni küsimustik jaotatud järgmisteks osadeks: I jaotis sisaldab küsimusi EL-is müüdavate digitoodete küberturvalisuse ja kasutajate võimaluste kohta neid turvaliselt kasutada, samuti müüjate rolli kohta toodete turvalisuse tagamises ja sellest informeerimises. II jaotis keskendub viisidele, kuidas tõsta toodete küberturvalisust ning kasutajate teadlikkust. Küsitakse ühtlasi, millised tooted võiksid tulevikus regulatsiooni alla kuuluda ja mil määral on olemasolev EL seadusandlus küberturvalisuse osas piisav. III jaotises kaardistatakse regulatsiooni võimalikku mõju sidusrühmadele. 2 Komisjon kaalub küberkerksuse osas viite erinevat poliitikavarianti: 1. Praeguse olukorra säilitamine – see hõlmaks olemasolevaid õigusakte (nt raadioseadmete direktiivi kohane delegeeritud määrus, meditsiiniseadmeid, mootorsõidukeid, masinaid või tooteohutust käsitlevad õigusaktid jne), milles osaliselt käsitletakse materiaalsete toodete küberturvalisust. 2. Vabatahtlike meetmete kehtestamine – küberturvalisuse määruse kohaseid vabatahtliku sertifitseerimise süsteeme võiks edasi arendada ja kohaldada. Kaaluda võiks ka pehme õiguse meetmeid, nagu suunised või soovitused, eelkõige mittemanustarkvara küberturvalisuse valdkonnas. 3. Sihtotstarbelised regulatiivsed sekkumised digitoodete ja kõrvalteenuste küberturvalisuse valdkonnas – sekkumine piirduks küberturvalisuse nõuete lisamisega juba kehtivatesse õigusaktidesse ja/või nende muutmisega ning uute riskide reguleerimisega nende tekkimisel, sealhulgas potentsiaalselt mittemanustarkvara puhul. 4. Kombineeritud lähenemisviis, mis hõlmab kohustuslikke ja pehmeid õigusnorme. See tähendaks järgmist. i) Horisontaalne regulatiivne sekkumine, millega kehtestatakse küberturvalisuse nõuded laiale hulgale materiaalsetele digitoodetele ja kõrvalteenustele. Vastavushindamismenetlusega seoses võib kaaluda eri allvariante: - vaikimisi vastavuse enesehindamine, mille puhul müüjad võivad valida kolmanda isiku tehtava vastavushindamise, kui seda peetakse asjakohaseks või - riskipõhise lähenemisviisi alusel on teatavate tootekategooriate puhul ette nähtud vastavushindamine kolmanda isiku poolt, võttes arvesse selliseid tegureid nagu kavandatud kasutusala, funktsionaalsus või võimaliku kahju laad. ii) Peale selle kaalutakse mittemanustarkvara küberturvalisuse puhul järkjärgulist lähenemisviisi, kus esimene samm oleks pehme õiguse meetmed, näiteks suunised või soovitused, millele võib järgneda regulatiivne sekkumine, sõltuvalt nende meetmete rakendamise tulemustest. 5. Horisontaalne regulatiivne sekkumine, millega kehtestatakse küberturvalisuse nõuded laiale hulgale materiaalsetele ja immateriaalsetele digitoodetele ja kõrvalteenustele, sealhulgas mittemanustarkvarale. Kaaluda võiks alternatiivseid allvariante seoses hõlmatavate tarkvarakategooriatega – kas ainult kriitilise tähtsusega tarkvara või kogu tarkvara –, ning seoses vastavushindamismenetlusega, nagu on kirjeldatud 4. variandi punktis i. 2.2 Euroopa Liidu asutuste küberturbe määrus I peatükis (artiklid 1-3) sätestatakse reguleerimisese, kohaldamisala ja defineeritakse mõisted. Määrus kohaldatakse kõigile liidu institutsioonide, organite ja asutuste küberturvalisuse riskidega tegelemise suhtes, samuti CERT-EU ja loodava institutsioonidevahelise küberturvalisuse nõukoja suhtes. Mitmed määruses esinevad mõisted nagu võrgu- ja infosüsteem, küberturvalisus, küberoht, intsident, intsidendi käsitlemine, nõrkus tuginevad NIS2 direktiivile1 ja ENISA määrusele2. Esineb ka mitu täpsustavat mõistet: - oluline intsident on mis tahes intsident, mille mõju pole piiratud ja mille metoodika pole juba hästi teada; - oluline nõrkus on nõrkus, mille ärakasutamine põhjustab tõenäoliselt olulise intsidendi; 1 COM/2020/823 final, EUR-Lex - 52020PC0823 - ET - EUR-Lex (europa.eu) 2 PE/86/2018/REV/1, EUR-Lex - 32019R0881 - ET - EUR-Lex (europa.eu) 3  - suur rünne on intsident, millega toimetulekuks on vaja rohkem ressursse, kui mõjutatud liidu institutsioonis, organis või asutused ja CERT-EUs kasutada on; - küberturvalisuse risk on mõistlikult tuvastatav asjaolu või sündmus, mis võib kahjustada võrgu- ja infosüsteemide turvalisust; - küberturvalisuse baastase on küberturvalisuse normide miinimumpakett, mida võrgu- ja infosüsteemid ning nende operaatorid ja kasutajad peavad järgima, et viia küberturvalisuse riskid miinimumi. II peatükk (artiklid 4-8) kirjeldab küberturvalisuse tagamise meetmeid. Iga liidu institutsioon, organ ja asutus (edaspidi asutus) kehtestab sisemise küberturvalisuse riskide juhtimise, haldamise ja kontrollimise raamistiku, mis allub asutuse kõrgemale juhtimistasandile. See raamistik hõlmab kogu asutuse IT-keskkonda ning see tuleb kehtestada hiljemalt 15 kuu jooksul peale määruse jõustumist. Peale raamistiku loomist peab iga asutus looma küberturvalisuse kava. Samuti peab asutus tagama küberturvalisuse „piisava“ osa IT-eelarvest (suurusjärk pole täpsustatud) ning ametisse nimeta küberturvalisuse ametniku. Iga asutus kiidab 18 kuu jooksul pärast määruse jõustumist heaks asutuse küberturvalisuse baastaseme, mis käsitleb küberturvalisuse poliitikat ja korraldamist, varahaldust, juurdepääsukontrolli, tegevuse ja teabeedastuse turvalisust, intsidentide haldust jne. Asutuse küberturvalisuse küpsustaset hinnatakse vähemalt kord kolme aasta tagant. Asutuse kõrgeim juhtimistasand tegeleb järelevalvega küberturvalisuse riskide juhtimise, haldamise ja kontrollimise üle oma asutuses ning peab regulaarselt osalema küberturvalisuse koolitustel. III peatükk (artiklid 9-11) loob institutsioonidevahelise küberturvalisuse nõukoja (IICB), mille ülesanneteks on teostada seiret käesoleva määruse rakendamise üle asutustes ja järelevalvet CERT-EU strateegilise juhtimise üle. IICB-sse kuuluvad kolm esindajat liidu asutuste võrgustikust (EUAN) ning üks esindaja peamistest organisatsioonidest. Nähakse ette IICB toimimismehhanism. IV peatükk (artiklid 12-17) sätestab CERT-EU toimimise. Muuseas muudetakse CERT-EU nimi varasemast „infoturbeintsidentidega tegelevast rühmast“ ümber kõigi liidu institutsioonide, organite ja asutuste sõltumatu institutsioonidevahelise „küberturvalisuse keskuse“, kuid säilitatakse senine lühend. CERT-EU ülesanneteks on liidu institutsioonide, organite ja asutuste toetamine käesoleva määruse kohaldamisel, annab aru neid ohustavatest küberohtudest ning toetab komisjoni küberüksust. Samuti teeb CERT-EU koostööd EL Küberturvalisuse Ametiga. Sätestatakse CERT-EU täpsemad personali- ja finantsküsimused ning koostööpõhimõtted liikmesriikide samalaadsete asutuste (sh teiste CERT-idega) ning kolmandate riikide samalaadsete asutustega. Ühtlasi on CERT-EU-l õigus nõuda liidu asutustelt loendit nende IT-varadest ja digitaalset teavet, mis on tekkinud nendega seotud elektrooniliste intsidentide käigus. Kui sellelaadsest teabest ilmneb puudutatud asutuse identiteet, on CERT-EU-l õigus seda vahetada vaid asutuse nõusolekul. Salastatud teabele jagamiskohustus ei laiene. Küberohtude- ja intsidentide korral peavad liidu asutused esitama viivitamatult CERT-EU-le sellekohase teabe koos tehniliste üksikasjadega. CERT-EU koordineerib asutusteülest reageerimist ohtudele ja nõrkustele. CERT-EU võib asjaomaste asutuste nõusolekul pöörduda otse teistes liidu asutustes tegutsevate küberturvalisuse ekspertide poole, et aidata reageerida suurele ründele mõnes liikmesriigis. VI peatükk (artiklid 23-25) koosneb lõppsätetest. Komisjon teeb ettepaneku liidu asutuste eelarve ümberjaotamiseks. Sätestatakse aruandluse kord määruse rakendamise kohta. Määrus jõustub 20. päeval pärast selle avaldamist. 4 3. Euroopa Liidu asja vastavus pädevuse andmise, subsidiaarsuse ja proportsionaalsuse põhimõtetele 3.1 Küberkerksuse õigusakti konsultatsioon Käesoleva sekkumise õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, mille eesmärk on rajada siseturg ja tagada selle toimimine, tõhustades siseriiklike normide ühtlustamise meetmeid. Kuna küberturvalisuse riskid on oma loomult piiriülesed, annaksid ELi tasandi meetmed komisjoni arvates tõhusama kaitse küberriskide vastu ja lisaksid seega väärtust olemasolevatele või tulevastele riiklikele poliitikameetmetele. ELi tasandi meetmed tooks kaasa ka võrdsed tingimused digitoodete ja kõrvalteenuste müüjatele. Viidatakse ka usaldusele, mida ELi tasandi regulatiivne meede kasutajate seas luua võiks, suurendades ELi digitoodete ja kõrvalteenuste atraktiivsust. Samuti aitaksid ELi tasandi meetmed pakkuda digitoodete ja kõrvalteenuste müüjatele õiguskindlust. Komisjon peab sekkumist proportsionaalseks ja põhjendab seda eesmärgiga parandada siseturu toimimist. Samuti soovitakse vähendada ka negatiivset piiriülest ülekanduvat mõju ja sellest tulenevaid kulusid ühiskonnale, et maandada riske, mis on seotud mitteturvaliste toodetega. Eesti nõustub komisjoni poolt välja toodud õigusliku sekkumise põhjendustega, lisades, et enamike digitoodete ja kõrvalteenuste puhul puuduvad küberturbe nõuded, eeskirjad ja järelevalve. Kui liikmesriigid otsustavad antud valdkonnas luua riiklikke õigusraamistikke, tekitaks see üheltpoolt tootjatele ning pädevatele asutustele õiguslikku selgusetust ning teisalt vähendaks EL-i ettevõtete ning toodete globaalset konkurentsivõimet. 3.2 Euroopa Liidu asutuste küberturbe määrus Määruse õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 298, milles on sätestatud, et liidu institutsioone, organeid ja asutusi abistab nende ülesannete täitmisel avatud, tõhus ja sõltumatu Euroopa halduskorraldus. Kooskõlas artikli 336 alusel vastu võetud personalieeskirjade ning teenistustingimustega kehtestavad Euroopa Parlament ja nõukogu seadusandliku tavamenetluse kohaselt määruste abil sel eesmärgil asjaomased sätted. Esmase analüüsi põhjal tuvastasime, et valitud õiguslik alus ei pruugi sobida detailsete nõuete ja eeskirjade kehtestamiseks EL-i asutustele, kuna puudutab üldisemat halduskorraldust ning abifunktsioone. Valitud õiguslikku alust pole taolise õigusakti puhul varem rakendatud. Määrus kuulub liidu ainupädevusse, kuna puudutab küberturvalisuse ühtlaselt kõrge taseme tagamist ainult liidu institutsioonides, organites ja asutustes. Kavandatud õigusnormid ei lähe komisjoni sõnul kaugemale, kui konkreetsete eesmärkide rahuldavaks täitmiseks vajalik. Kavandatud meetmed aitavad komisjoni sõnul saavutada küberturvalisuse ühtlaselt kõrge taseme, minemata siiski kaugemale sellest, mis vajalik, et saavutada see eesmärk üha kasvavate riskide tingimustes. Eesti hinnangul on komisjoni põhjendus osaliselt õige, kuna liidu ainupädevuses olevaid meetmeid saab käidelda põhjendatuna, kuid määruses on välja toodud ka täiendavad nõuded liikmesriikidele. Seda käsitleme täiendavalt allpool seisukohtade all. 5 4. Esialgse mõjude analüüsi kokkuvõte 4.1 Küberkerksuse õigusakti konsultatsioon Komisjon näeb algatusel eeldatavat positiivset mõju, kuna horisontaalsed küberturvalisuse nõuded parandaks tarbijate ja kasutajate küberturvalisust kogu ELi tarneahelas ning suurendaks kvaliteetsemate ja ohutumate kaupade ja teenuste valikut. Ühtlasi suurendaks õigusakt üldsuse usaldust digimajanduse vastu, aidates kaasa majanduskasvule ja investeeringutele. Meetmed vähendaks nii küberrünnetest lähtuvat majanduslikku kahju kui ka potentsiaalselt lahknevate riiklike eeskirjade põhjustatud regulatiivset kulu ja halduskoormust. Kuna nõuded rakendataks ka kolmandatest riikidest pärit toodetele, aitaks õigusakt El-il arendada oma visiooni rangetest küberturvalisuse standarditest ka rahvusvaheliselt. Algatusel oleks positiivne mõju ka sotsiaalses mõttes, parandades põhiõiguste kaitset ja vähendades küberintsidentide mõju ja ulatust. Viimaks leiab komisjon, et kestlikuma digitaristu loomine eviks ka positiivset keskkonnamõju, kuna võib mh kaasa tuua vanade ja vähem energiatõhusate digitaristute väljavahetamise. Eesti nõustub horisontaalsete küberturvalisuse meetmete komisjoni esmaste hinnangutega seoses mõjudega tarbijate ja kasutajate küberturvalisuse, küberrünnete ning nende majandusliku mõju vähenemise, parema õigusselguse ning põhiõiguste kaitsega. Algatus võib endaga kaasa tuua täiendavaid kulusid nii ettevõtetele kui ka pädevatele asutustele, kuid eeldame, et selle tulud kaaluvad kulud üle ning seda ka kesk- või pikemas perspektiivis majanduslikus mõistes. Eesti ettevõtted on esialgselt hinnanud algatusest tulenevaid suurimaid kulusid enda õigusraamistikuga kooskõlla viimist ning neid kulusid hinnatakse keskmiseks. Kõik eelpool kirjeldatud mõjud puudutavad enim horisontaalset õigusakti – nii otsene kasutegur kui ka kulud on vabatahtlike või osaliste meetmete puhul väiksemad. Eestil puudub esmane hinnang antud algatuse mõju kohta keskkonnale. 4.2 Euroopa Liidu asutuste küberturbe määrus Kuna ettepanek puudutab vaid liidu institutsioone, organeid ja asutusi, ei ole määruse osas eraldi mõjuhinnangut läbi viidud. Komisjoni kommentaarid määruse eeldatavale mõjule piirduvad seega lühikese eelarveliste mõjude analüüsiga. Uuringute järgi on praegused otsesed kulutused küberturvalisusele EL asutustes kõikunud vahemikus 4-7% IT-kuludest. Samas näitab ohuanalüüs, mille CERT-EU tegi käesoleva seadusandliku ettepaneku toetuseks, et rahvusvahelisi organisatsioone ja poliitilisi organisatsioone ähvardavad ohud on kasvanud ning seepärast oleks otstarbekam eraldada küberturvalisusele ligikaudu 10% IT eelarvest. Sellise tegevuse täpset maksumust ei ole võimalik kindlaks määrata, sest ei ole üksikasjalikku teavet liidu institutsioonide, asutuste ja organite IT-kulutuste kohta ega selle kohta, kui suur osa kulutustest tehakse küberturvalisusele. Kuigi on tõenäoline, et mitu liidu institutsiooni, organit ja asutust kulutavad küberturvalisusele vähem kui nad peaksid, ei too käesolev määrus iseenesest kaasa praeguste kulude kasvu, kuna küberturvalisuse tagamine on vajalik ka ilma määruseta. Täiendavad ressursid, mida vajab CERT-EU oma laiendatud ülesannete täitmiseks, tuleks ümber jaotada CERT-EU teenuseid kasutavatelt liidu institutsioonidelt, organitelt ja asutustelt. CERT-EU täiendavad ressursid tulenevad seega peamiselt EL-i pikaajalise eelarveraamistiku rubriigist 7, mis on mõeldud EL-i asutuste halduskulude jaoks. Eesti nõustub hinnanguga, et enamuste EL-i asutuste küberturvalisuse kulutused ei ole seni olnud piisavad, et tulla toime suurenenud riskidega. 6 5. Valitsuse seisukoha selgitus 5.1 Küberkerksuse õigusakti konsultatsioon 5.1.1 Eesti toetab EL-i üleselt toodetele, teenustele ja protsessidele kehtivate küberturvalisuse nõuete üle vaatamist, tagamaks tarbijatele ning lõppkasutajatele turvalisemate digitoodete olemasolu turul ja tootjatele ning tarnijatele ühtsemad nõuded. Selgitus: Digitoodete ning –teenuste arv on aasta-aastalt tõusnud ning üha enam tooteid on ka omavahel ühendatud, viimaste aastate jooksul on suurenenud ka digitooteid mõjutavate küberintsidentide riskitaseme. Selliseid tooteid on kasutusel pea kõikides sektorites, sealhulgas kriitilises taristus. Nende toodete kasutamine toob täiendavaid riske kõigile, alates ühiskonna toimepidevust tagavatele ettevõtetele kuni üksikisikuni välja. Käesoleva avaliku konsultatsiooni kohaldamisala on siiski väga lai ning puudutab suurt osa digivaldkonnast: tooteid, teenuseid ja protsesse. Need on kõik eri nähtused ning vajavad omanäolist seadusandlikku lähenemist ja sekkumist. Sellest hoolimata puudutavad üha suurema mõju ja hulgaga küberohud neid kõiki, mistõttu oleks vaja põhjalikku mõjuanalüüsi iga kategooria puudujääkide kohta. Võimalik on luua tulevasse akti erinevad tasemed sarnaselt tehisintellekti määrusega ja kohaldada neile erinevaid nõudeid lähtuvalt nende kriitilisusest. Teatud juhtudel on tõenäoliselt otstarbekam suunata vastutus tellijale, et seeläbi mõjutada turul pakutavaid digitooteid, samas säilitades tavakodanikele ka soodsamad alternatiivid, kelle küberturvalisuse miinimumtase ei pea olema võrdsustatud ühiskonna toimimise seisukohast oluliste teenuste osutajatega. Et vältida suurenevat killustatust, on oluline, et digitoodetele ja kõrvalteenustele kehtivad reeglid oleksid EL-i liikmesriikides ühesugused. 5.1.2. Eesti toetab horisontaalsete kohustuslike küberturvalise nõuete rakendamist riistvara- ning tarkvaratoodetele. Oleme arvamusel, et avaliku konsultatsiooni tulemusel tuleb konkreetsemalt välja selgitada, millistele toodetele ning valdkondadele on vaja rakendada täiendavaid meetmeid, et vähendada toodete oluliselt erinevat küberturvalisuse taset. Eesti hinnangul vajavad erilist tähelepanu esemevõrgu seadmed (IoT), millest suurel osal puuduvad küberturbe funktsioonid. Selgitus: Komisjon on üle aasta aja kestnud töötubade käigus maininud, et juba küsitletud osapooled näevad, et õigusakt peaks puudutama digitooteid ning nendega kaasas käivaid teenuseid (tarkvaraseire ja tootekontrolli platvormid), materiaalseid (juhtmega ja juhtmeta tooted, sh esemevõrgu tooted) ja mittemateriaalseid tooteid (tarkvara ja nutifunktsioone omavad sardsüsteemid). Kohaldamisalast jääksid välja digitooted, millel puuduvad arvutislikud omadused ja andmeprotsessivõimekus. Juhtmega toodete näiteks on DSL-ruuterid, IP- kaamerad. Tarkvara alla kuuluksid muuhulgas mobiilirakendused, emaplaadid, sõidukitesse sisse ehitatud arvutid ning pilditöötlusprogrammid. Kohaldamisala välja kujundamist raskendab asjaolu, et paljudel sellistel toodetel ja teenustel puuduvad vastavad tuntud klassifikaatorid, mille järgi saaks neile nõudeid kohaldada. Esemevõrgu seadmed (IoT) on nutifunktsioone omavad võrgustatud objektid või seadmed. Esemevõrgu seadmed ühendatakse enamasti raadiovõrku, seadmetel on juurdepääs Internetis olevatele andmetele ja nad on ise Internetist kättesaadavad (nt valvekaamerad, kaugjuhitavad 7 kütteseadmed)3. IoT Analytics hinnangul oli 2019. aasta lõpuks internetti ühendatud ligikaudu 9,5 miljardit IoT seadet (ei sisalda nutitelefone, tahvelarvuteid, sülereid jmt)4. Näiteid IoT seadmetest:  seadmed, millega saab kaugjuhtimise teel või automaatselt seadistada valgustust ja kütteseadmeid;  turvasüsteemid (näiteks alarmid ja Wi-Fi kaamerad, sealhulgas lasteaedades ja lastehoidudes kasutatavad videomonitorid);  meditsiiniseadmed (näiteks juhtmeta südamemonitorid ja insuliinipumbad);  termostaadid;  kaasaskantavad seadmed nagu näiteks pulsikellad;  valgustusmoodulid valgustuse aktiveerimiseks või väljalülitamiseks;  targad kodumasinad (näiteks nutikülmkapid ja nutitelerid);  kontoritehnika (näiteks printerid);  meelelahutusseadmed (nutitelerid, sh näiteks telefoniga juhitavad telerid ja muusikakeskused);  kütusemahutite seiresüsteemid. Esemevõrgu seadmed teeb eriti haavatavaks puudulik turvalisus, turvaaukude paikamise keerukus ja kasutaja vähene turvateadlikkus võimaldavad – need aitavad küberkurjategijatel hõlpsasti IoT turvariske ära kasutada. Küberkurjategijad saavad IoT puudulikku turvalisust ära kasutades näiteks eemalt korraldada ründeid teiste süsteemide vastu, saata meiliga pahavara või rämpsposti, varastada isikuandmeid või mõjutada füüsilist turvalisust5. 2022. aasta jaanuaris võeti küll vastu raadioseadmete direktiivi delegeeritud akt esemevõrgu seadmete turvalisuse tõstmiseks, kuid see piirdub vaid tarbijatele mõeldud seadmetega, mis kiirgavad ja/või võtavad raadioside ja/või raadiotuvastuse eesmärgil vastu raadiolaineid, ning elektriliste toodetega, millele tuleb lisada tarvik, nt antenn, et kiirata ja/või võtta raadioside ja/või raadiotuvastuse eesmärgil vastu raadiolaineid6. Delegeeritud aktiga on katmata jäänud tööstuses kasutatavad IoT seadmed, mille kasutus laieneb kiiresti. 5.1.3. Eesti on seisukohal, et küberkerksuse akt peaks aitama vähendada EL-is küberturvalisuse küsimustes õigusselgusetust ning nõuete killustatust eri sektorite vahel. Välja kujundamisel olev õigusakt peaks aitama välistada olukordi, kus samas valdkonnas konkureerivatele asutustele ja ettevõtetele kehtiksid eri nõuded. Samuti peame oluliseks, et mikro, väikestele ja keskmise suurusega ettevõtetele oleksid uued nõuded võimalikult proportsionaalsed ning ei tooks kaasa märkimisväärset halduskoormuse kasvu. Selgitus: Digitoodete ja küberturvalisuse valdkonnas on palju õigusakte: nt NIS direktiiv, küberturvalisuse määrus, NLF (uus õigusraamistik), raadioseadmete direktiiv koos hiljuti vastu võetud delegeeritud õigusaktiga, üldine tooteohutuse direktiiv, tootja vastutuse direktiiv, aga ka isikuandmete kaitse üldmäärus ja sektorspetsiifilised õigusaktid nagu masinadirektiiv ja meditsiiniseadmete määrus, millest mitmed on käesoleval hetkel ülevaatamisel või kujundamisel (näiteks tehisintellekti määrus). Küberkerksuse akt peaks aitama looma 3 https://eits.ria.ee/et/versioon/2021/etalonturbe-kataloog/sys-itsuesteemid/sys4-muud-suesteemid/sys44- esemevoorgu-iot-seade-ueldiselt/1-kirjeldus/ 4 https://iot-analytics.com/iot-2019-in-review/ 5 https://blog.ria.ee/asjade-internet-suurendab-kuberkuritegevust/ 6 https://ec.europa.eu/commission/presscorner/detail/en/ip_21_5634 8 pädevatele asutustele ja turuosalistele selgust, millal konkreetne õigusakt kohaldub, ning kindlust, et erinevates õigusaktides ei ole kattuvusi. Seejuures on oluline silmas pidada seda, et õigusakt ei lisaks lihtsalt üht täiendavat kihti nõudeid juba olemasolevatele juurde. Peamiseks küsimuseks saab, kuidas suhestub uus õigusakt küberturvalisuse määrusesse ning NLF-i. Kui ta ei asenda NLF-i, jääb ta oma mõjult pigem tagasihoidlikuks. Sellisel juhul võib tekkida ka võimalus, et õigusakti kohaldamisala saab olema väga spetsiifiline, kus on 2019. aastal vastu võetud küberturvalisuse määrus (ENISA põhimäärus) juba ees. Mainitud määrust on hakatud alles hiljuti jõustama – määratletud on riiklikud sertifitseerimisasutused ning ENISA juhib sertifitseerimisskeemide välja töötamist7. Kuigi küberturvalisuse määruse põhjal on sertifitseerimisskeemide kasutamine ettevõtetele ja asutustele vabatahtlik, võib hetkel läbirääkimisel olev NIS 2.0 direktiiv selle teatud sektori üksustele kohustuslikuks teha8. NIS 2.0 direktiivi kohaldamisalasse tarkvaratooted ning –tootjad ei kuulu, küll aga on NIS 2.0 direktiivi mõistes oluliste sektorite (direktiivi lisa 1) määratletud laiemalt IKT-teenuste pakkujad. Küberturvalisuse määruse ning uue NIS 2.0 direktiivi alles sündivat sünergiat tuleks arvesse võtta, kaaludes täiendavaid nõudeid. Konsultatsiooni pakutud sekkumise viise hinnates leidsid Eesti ettevõtted valdavalt, et need tekitavad ettevõtetele keskmise suurusega või pigem väikeseid kulusid, samuti on nende kulude mõju ettevõtetele pigem väike. Kulud tekiksid ettevõtetele peamiselt suurenenud halduskoormuse tõttu, halduskoormust suurendaks enda kurssi viimine muutuvate õigusaktidega ning ettevõtte tegevuse kohandamine muutunud õigusaktidele vastavaks. Samas IKT-valdkonna ettevõtetele saavad kulud olema tõenäolisemalt suuremad, olenevalt sekkumise määrast. Samuti tekiksid lisakulud küberturvalisuse pädevatele asutustele. 5.1.4. Oleme seisukohal, et toodete puhul peaks läbivalt kehtima security-by-design printsiip, mis näiteks tähendab, et toodete turule laskmise hetkel on neile vaikimisi kõige turvalisemad seaded sätestatud. Peame vajalikuks kehtestada tootjatele ja müüjatele siduvad nõuded seoses toote olelusringi käigus tehtavate uuenduste ja turvanõrkuste parandamisega. Samuti peaks lõppkasutajatele toote küberturvalisust puudutav teave olema kättesaadavam. Selgitus: Olgugi, et kohaldamisalasse jääksid paljud ettevõtted ning tooted, millel on juba piisav küberturvalisuse tase tagatud, võiks antud õigusakt kaasa aidata küberturvalisuse kultuuri ja küberhügieeni paranemisele. Horisontaalsed meetmed aitaksid tavakodanikel paremini küberturvalisuse olulisust mõista, kuid samas võtaksid neilt teatud määral ära kohustust selle tagamiseks. Samuti aitaks see kaasa digi- ja küberkogukonna infovahetuse ning praktikate jagamisele. Security-by-design printsiip tähendab üldiselt seda, et toote küberturvalisuse peale on mõeldud kogu disaini, tootmis- ja arendustsükli käigus ning toode jõuab lõppkasutaja kätesse võimalikult turvaliste sätetega. Sinna kuuluvad teatud paroolihalduse, privaatsuse ja andmekaitse, automaatsete uuenduste, asukoha jagamise ning rakenduste jälgimise sätted. Sellised põhimõtted on sisse kirjutatud ka riiklikku küberturvalisuse strateegiasse, mis näeb ette, et uued 7 https://www.enisa.europa.eu/news/enisa-news/cloud-certification-scheme 8 https://www.consilium.europa.eu/et/press/press-releases/2021/12/03/strengthening-eu-wide-cybersecurity-and- resilience-council-agrees-its-position/ 9 teenused ja andmekogud ehitatakse ülesse arvestades turvalisuse ja privaatsuse põhimõtteid (security and data protection by design and data protection by default) ning vabanetud on taakvarast ehk vananenud platvormidest (no legacy põhimõte)9. Tarbijast lähtuvalt on järjest enam rakendust leidmas nn. labeling, kus tooted märgistatakse minimaalse turvauuenduste toe tähtajaga, mis aitab teha tarbijatel teadlikumaid otsuseid. Digitaalse sisu ja tarbijalemüügi direktiivist tuleneb ettevõtja kohustus tagada tarbijale uuendusi, sh turvauuendusi, mis on vajalikud kauba, digitaalse sisu või digitaalse teenuse vastavuse tagamiseks (770/2019 direktiivi art 8(2) ja 771/2019 direktiivi art 7(3)) ning vastava kohustuse rikkumise korral vastutab ettevõtja lepingu rikkumise eest. Reeglina on kõige efektiivsemalt võimalik turvariskidele reageerida tootjatel või tarkvaraarendajatel, mistõttu tundub asjakohane panna õigusaktiga turvalisuse tagamise kohustus ka neile. Ka digitoodete reguleerimisel tasub kaaluda digitoodete elutsükli kirjeldusele ja võimalikele nõuetele turvauuenduste kontekstis ilma, et see läheb põhjendamatult ettevõtlusvabadust piirama. 5.1.5. Eesti peab vajalikuks täiendava mõjude analüüsi läbiviimist küberkerksuse akti nõuete rakendamise kohaldamisala proportsionaalseks määratlemiseks. On oluline tuvastada, mil määral laiendada küberkerksuse akti nõudeid teenustele, protsessidele ja tarneahelatele, et potentsiaalne tulu ületaks kulu. Selgitus: Konsultatsioonis välja pakutud võimalikest meetmetest suurendaksid kõik digitoodete ja -teenuste turvalisust, aga enne võimalike meetmete kehtestamist tuleb välja selgitada, kas potentsiaalne tulu ületab kulu. Kindlasti tuleb arvestada, et kavandatavad nõuded suurendaks ettevõtjate halduskoormust ja kulusid. Mida rohkem ettevõtja teenuste osutamise ning majandustegevuse protsesse reguleerida või mida laialdasemaks määratleda ettevõtja vastutust kasutatava tarneahela suhtes, seda rohkem võib eeldada ka ettevõtja halduskoormuse ja kulude kasvu nõuetele vastamiseks. Mistõttu peame äärmiselt oluliseks seda, et viiakse läbi põhjalik mõjuanalüüs. Samuti tuleks vältida liigset detailsusastet, tagamaks õigusakti vastupidavus kiiresti muutuvale valdkonnale. 5.1.6. Oleme seisukohal, et EL tasemel aitaks digitoodete küberturvalisuse taseme tõstmiseks ühiste riigihankesuuniste loomine, milles võetakse arvesse küberturvalisuse nõudeid. Selgitus: Üldiselt siduvad eesmärgid ning nõuded tuleb paika panna õigusaktides ning neid seejärel täpsustada harmoniseeritud standardites, mis käivad kiiresti muutuva tehnoloogiaga ühte sammu. Nendime, et vabatahtlikud suunised ja soovitused, sealhulgas pelgalt vabatahtlik sertifitseerimine ja standardite rakendamine, ei too eelnõu eesmärgiks püstitatud tulemust. Sertifitseerimisskeeme ja standardeid järgivad vabatahtlikus korras peamiselt juba tugevama küberkerksusega ettevõtted ja asutused, mistõttu nende edasine soovituslik rakendamine tõenäoliselt ei pane nõrga küberturvalisuse astmega digitoodete tootjaid täiendavalt pingutama. Sellegipoolest tuleks õigusakti välja töötamisel vaadata just ETSI (nt EN 303 645), ISO ja teisi põhjalikke rahvusvahelisi standardeid, võttes arvesse nende häid praktikaid ning hoidmaks sarnast joont juba tööstuse (ka väljaspool EL-i) poolt kasutusel olevate nõuetega10. 9 https://www.mkm.ee/digiriik-ja-uhenduvus/kuberturvalisus/riigi-kuberturvalisuse-tagamine 10 https://www.etsi.org/deliver/etsi_en/303600_303699/303645/02.01.01_60/en_303645v020101p.pdf 10 Riigihankesuuniste loomisel tuleb põhjalikult hinnata näiteks USA „Software Bill of Materials“ lähenemise positiivseid ja negatiivseid nüansse nõude osas, mis tähendab tootjalt komponentide loetelu ja sõltuvuste nimekirja nõudmist11. Seda on võimalik samas rakendada ka täna Eestis tehtavates hangetes ehk omal algatusel sellise (piiratud ulatuses) loetelu nõudmist. Riigihankesuuniste välja töötamisel tuleks samuti analüüsida nende tehtavust väga erinevate hangete puhul, millest ühed võivad puudutada väikseid kohalikke omavalitsusi või ettevõtteid, teised samas näiteks riikliku julgeoleku tagamisega seotud projekte. 5.2 Euroopa Liidu asutuste küberturvalisuse määrus 5.2.1. Eesti toetab EL-i institutsioonide, ametite ja organite küberturvalisuse määruse eesmärki, millega tugevdatakse EL-i asutuste küberturvalisuse taset ning CERT-EU mandaati. Selgitus: EL-i asutustele ühiste küberturvalisuse nõuete ja reeglite kehtestamine tagab määruse ettepaneku tõhusaima täitmise. Sellised kesksed EL ülesed reeglid ega nõuded ei sekkuks EL institutsioonide sõltumatusesse, vaid need annaksid ette raamistiku, mida asutused peavad oma süsteemides ja halduses kohaldama. Euroopa kontrollikoda hindas enda 2022. aasta märtsikuus avaldatud raportis, et „kuna ELi asutused töötlevad tundlikku teavet, on nad huvipakkuvad sihtmärgid võimalike ründajate jaoks. Need on eelkõige rühmitused, kes suudavad toime panna väga keerukaid varjatud ründeid küberspionaaži ja muudel eesmärkidel. Vaatamata oma institutsioonilisele sõltumatusele ja halduslikule autonoomiale on ELi asutused omavahel tihedalt seotud. Seetõttu võivad mõne ELi asutuse nõrkused tekitada turvaohte teiste jaoks.12“ Lisaks EL-i asutuste omavahelisele seotusele, jagavad nendega mõneti tundlikku (olenevalt valdkonnast, alates isikuandmetest kuni riikliku julgeolekuga seotud teabeni) teavet ka liikmesriigid, kellele on EL-i asutuste kõikuv küberturvalisuse tase samuti turvariskiks. CERT-EU on liikmesriike teavitanud mitmekordsest küberrünnete kasvu arvust EL-i asutuste vastu. Kaasnev oluliste intsidentide arv on samuti aasta-aastalt suurenenud (2019. ja 2020. kasv oli kümnekordne). Samad järeldused tulevad välja kontrollikoja raportist, mille käigus intervjueeriti 65 EL asutust. 5.2.2. Eesti hinnangul peaks EL-i asutustele kehtivad küberturvalisuse nõuded ja määratlused olema vastavuses EL-i võrgu- ja infosüsteemide turbe (NIS 2.0) direktiiviga, mis tagaks ühtlasemad küberturbe nõuded ja korralduse EL-i asutuste ning liikmesriikide ja nende elutähtsate ja oluliste üksuste vahel. Leiame, et mõistete kasutamisel määratlemisel tuleks kasutada juba EL instrumentides kasutusel olevaid mõisteid ning uus määrus ei tohi mõjutada teistes EL õigusaktides välja toodud õigusi ja kohustusi. Selgitus: Euroopa kontrollikoja raportis on järeldatud, et „küberturvalisuse peamisi häid tavasid, sealhulgas mõningaid olulisi kontrolle, ei ole alati rakendatud, […]. Mõnes ELi asutuses puudub veel asjakohane küberturvalisuse juhtimine: IT-turbe strateegiad on paljudel juhtudel puudulikud või ei ole kõrgem juhtkond neid heaks kiitnud, turbepoliitika ei ole alati 11 https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving- the-nations-cybersecurity/ 12 https://www.eca.europa.eu/Lists/ECADocuments/SR22_05/SR_cybersecurity-EU-institutions_ET.pdf 11 ametlikult vormistatud ning riskihinnangud ei hõlma kogu IT-keskkonda. Mitte kõik ELi asutused ei lase oma küberturvalisuse taset korrapäraselt hinnata sõltumatutel ekspertidel“. Läbirääkimiste viimases faasis olevasse NIS 2.0 direktiivis, mis kohaldub liikmesriikide avalikule sektorile ning elutähtsatele ja olulistele üksustele, on võrreldes käesoleva määrusega detailsed turvanõuete eeskirjad, mida direktiivi subjektid rakendama peavad. See puudutab näiteks kõikehõlmavat riskide hindamist ning eeskirju tarneahela turvalisuse tagamiseks, kriisiolukordadeks, turvanõrkuste parandamiseks, küberhügieeni tagamiseks, krüptograafia ja krüpteerimise kasutamiseks, varade hindamiseks ning kaheastmeliseks autentimiseks. Kõik sarnased nõuded peaksid kehtima ka EL-i asutustele – hetkel puudutab määruse artikkel 4 umbes pooli ülalmainitud eeskirju. Erisusi käesoleva määruse ja NIS 2.0 vahel esineb ka terminoloogias ja määratlustes. Kindlasti peaks EL-is kasutusel olema sarnane määratlus laiaulatusliku ning olulise intsidendi puhul. Lisaks nendele kasutatakse EL-i asutuste määruses varasemalt vähekasutatud terminit „suur rünne“ (major attack). Lisaks NIS 2.0 kasutatavatele mõistetele on määrusel seoseid ka muude ELi instrumentidega. Seetõttu tuleks võimalusel kasutada juba EL instrumentides kasutusel olevaid mõisteid. Tuleks analüüsida, kas ja millises ulatuses erinevad konsultatsioonis viidatud mõisted „digitoode“, „riistvara toode“, „tarkvara toode“, „kõrvalteenus“ näiteks digitaalse sisu direktiivis (770/2019) ja tarbijalemüügi direktiivides (771/2019) toodud mõistetest nagu „digitaalne sisu“, „digitaalne teenus“ ja digitaalse elemendiga kaup“. Kui sisulisi erisusi ei ole, tuleks eelistada mõistete joondamist. Õigusaktidest, nagu ka võimalikust EL-i küberkerksuse määrusest, tulenevad nõuded võivad olla aluseks digitaalse sisu, digitaalse teenuse või digitaalse elemendiga kauba vastavuse hindamisel, mille puuduse korral, on tarbijal võimalik kasutada ettevõtja vastu eelviidatud direktiivides sätestatud lepinguõiguslikke õiguskaitsevahendeid. Õigusaktides ette nähtud võimalikult suur mõistete joondamine muudaks nende õigusaktide kohaldamise lihtsamaks. Samuti on EL üleselt mitmeid ameteid, millel on täna väga kõrge infoturbe tase ning võimekus nt. Euroopa Keskpank, Europol, eu-LISA. Uue määruse reguleerimisala ei tohiks reguleerida juba seni reguleeritut või mõjutada praeguste EL õigusaktides toodud õiguseid ja kohustusi. Kindlasti ei tohi tekkida olukordi, kus erinevad õigusaktid panevad vastandlikke ülesandeid või ootuseid. Nt. eu-LISA hallatavate infosüsteemide turvameetmed peavad olema horisontaalsed nii eu-LISA kui ka liikmesriikide puhul ning praeguse eelnõuga ei tohi tekkida võimalust mõjutada kaude liikmesriikide õiguseid. 5.2.3. Eesti toetab laiemalt EL-i ühise küberüksuse loomise mõtet, kuid õigusliku selguse mõistes tuleks need viited käesolevast määrusest kustutada. Selgitus: Määruses on ka viited ja määratlus EL-i ühisele küberüksusele (JCU), mida pole üheski varasemas õigusaktis välja toodud (ainult komisjoni 2021. juuni soovituses) ning mille loodavas sisus ei ole veel ühtegi kokkulepet sõlmitud. Samuti on määruses CERT-EU-le seoses JCU-ga konkreetsed ülesanded seatud. Kuna hetkel puudub selge õiguslik raamistik JCU jaoks, siis puudub ka võimalus seda siinses määruses osaliselt reguleerida. 5.2.4. Oleme arvamusel, et valitud õiguslik alus, mis käsitleb Euroopa Liidu institutsioonide halduskorraldust, ei pruugi olla sobiv, et kehtestada neile institutsioonidele siduvalt ja detailselt piisava küberturvalisuse saavutamiseks vajalikke nõudeid. Selgitus: Määruse õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 298, milles on sätestatud, et liidu institutsioone, organeid ja asutusi abistab nende ülesannete täitmisel avatud, tõhus ja sõltumatu Euroopa halduskorraldus – meie (ning ka EL-i nõukogu õigusteenistuse) hinnangul ei luba valitud õiguslik alus asutustele detailseid ning siduvaid kohustusi luua. Antud 12 õiguslikku alust pole varem taolise määruse kontekstis kasutatud ning puudutab üldiselt kõrvalisi administratiivseid protseduure. Kuivõrd soovime, et antud määrus oleks kooskõlas NIS 2.0 direktiiviga, milles on nõuded veelgi rangemad ning detailsemad, tuleb analüüsida, milline võiks olla sobilik alternatiivne variant. Kuivõrd EL-i asutuste töö puudutab oluliselt ka siseturu toimimist antud valdkonnas, siis soovitame hinnata, kas õiguslikuks aluseks võib sobida EL-i toimimise leppe artikkel 114, mida kasutati ka NIS 2.0 puhul. Mainitud artikli kohta on avaliku sektori halduse vaatest pretsedent loodud – selleks on direktiiv 2016/2102, mis käsitleb avaliku sektori asutuste veebisaitide ja mobiilirakenduste juurdepääsetavust13. 5.2.5. Eesti hinnangul tuleks EL-i asutustele luua mõjus järelevalvesüsteem koos nõuete täitmist tagavate meetmetega nagu näiteks sõltumatute auditite läbiviimine. Määruse ellu viimist jälgivas organis peaksid esindatud olema ka liikmesriigid. Selgitus: Määruse põhjenduspunktide all on välja toodud printsiip, mille kohaselt „küberturvalisuse ühtlaselt kõrge taseme saavutamiseks peab küberturvalisus kuuluma iga liidu institutsiooni, organi ja asutuse kõrgeima juhtimistasandi järelevalve alla, kes peaks kiitma heaks küberturvalisuse baastaseme, mis peaks maandama iga institutsiooni, organi ja asutuse kehtestatava raamistiku kohaselt kindlaks tehtud riske.“ Selline korraldus ei ole kooskõlas NIS 2.0 direktiiviga, kus üksuste üle korraldatakse sõltumatut järelevalvet. Antud enesekontrollil (artikkel 4) ja –hindamisel (artikkel 6) põhinev korraldus ei ole piisavalt mõjus, et tagada süstemaatiline nõuete jälgimine. Järelevalvesüsteem tuleks luua kas loodava institutsioonidevahelise komitee (ettepaneku põhjal vaid seirab määruse rakendamist ning teeb järelevalvet CERT-EU üle – artikkel 9) juurde või anda ühele EL-i küberturbe valdkonnas pädevale asutusele. Sarnane mudel on isikuandmete kaitse valdkonnas, kus Euroopa Andmekaitseinspektor (EDPS) teostab järelevalvet EL-i asutuste üle selles valdkonnas. Liikmesriikide esindatus institutsioonidevahelises komitees või muus määruse ellu viimist jälgivas loodavas organis suurendaks komitee sõltumatust ning ühe variandina võiksid nad seal olla esindatud NIS koostöögrupi eesistujariigi ning CSIRTide võrgustiku eesistuja poolt. Analoogne olukord on loodud EU CyCLONe formaadis, mis on liikmesriikide operatiivtasandi platvorm laiaulatuslike küberintsidentide lahendamiseks ning kuhu komisjon on kaasatud. Loodavas süsteemis peaks välja toodud olema ka nõuete mitte täitmisega seotud meetmed – arvestades asjaolu, et institutsioonid kasutavad toimimiseks EL-i eelarvelisi vahendeid, ei oleks rahatrahvid samas otstarbelised meetmed. Võiks kehtestada NIS 2.0 direktiiviga sarnased nõuded seoses sõltumatute auditite korraldamisega. Institutsioonidevahelise küberturvalisuse komitee puhul pole tegu uue eraldiseisva kehandi loomisega – määruse lisas on komisjon välja toonud, et komitee töö toetamiseks läheks vaja ühte lisatöökohta. Artikkel 4 näeb ette, et „liidu institutsioon, organ ja asutus nimetab ametisse kohaliku küberturvalisuse ametniku või samaväärse ametikoha täitja, kes on kõigis küberturvalisuse aspektides ühtne kontaktpunkt.“ Põhimõtteliselt on selle ametikoha täitja ehk CISO nimetamise kohustus positiivne samm, kuna kontrollikoja hinnangul puudub enam kui pooltel EL-i asutustest küberturbe eest vastutav ametnik. 5.2.6. Toetame määruse eesmärki laiendada CERT-EU mandaati ning anda neile täiendavaid rahalisi ning inimressurssi, et ühtlustada EL-i asutuste küberkerksuse küpsusastet. Samuti toetame määruses välja toodud küberinvesteeringute sihipärasemat korraldust, kuid CERT-EU rahastamisel tuleb lähtuda, et EL-i asutuste koormis oleks 13 https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32016L2102 13 proportsionaalne (nt eu-LISA suurte süsteemide arenduskulusid ei arvestataks eu-LISA eelarve sisse). Selgitus: CERT-EU eelarve 2020. aastal oli 3,75€ miljonit, 2024. aastaks peaks see kasvama 14,5€ miljonini. Suurem osa täiendavast rahastusest tuleb EL-i pikaajalise eelarveraamistiku rubriigist 7, mis on mõeldud EL-i asutuste halduskulude jaoks. Kontrollikoja raportis on hinnatud, et „ressursside piiratuse või muude valdkondade eelistamise tõttu ei ole nad aga suutnud pakkuda ELi asutustele kogu vajalikku tuge. Eelkõige puudutab see nõrgemate ELi asutuste suutlikkuse suurendamist. Kuigi ELi asutused hindavad CERT-EU tegevust kõrgelt, vähendab selle mõjusust kasvav töökoormus, ebastabiilne rahastamine ja töötajate arv ning mõne ELi asutuse poolne ebapiisav koostöö, kui need ei jaga alati õigeaegselt teavet nõrkuste ja neid tabanud oluliste küberturvalisuse intsidentide kohta, mis võivad ka teisi mõjutada.“ Kuigi kontrollikoja soovitus on CERT-EU-l ja ENISA-l keskenduda rohkem nõrgemate EL-i asutuste küberkerksuse taseme tõstmisele, rõhutame siinjuures, et kõik EL-i asutused peaksid enda küpsusastet tõstma. Sarnaselt meie hinnangule on kontrollikoja raportis on välja toodud, et „mitmed ELi asutused kulutavad küberturvalisusele selgelt liiga vähe“. Komisjoni ettepanekus on välja käidud süstemaatilisem lähenemine, mis näeks kõikidele asutustele ette küberinvesteeringute osakaalu tõstmise IT-eelarves (põhjenduspunkt 10: „Iga liidu institutsioon, organ ja asutus peaks püüdma eraldada oma IT-eelarvest piisava osa oma küberturvalisuse taseme tõstmiseks; pikemas perspektiivis tuleks eesmärgiks seada ligikaudu 10 %. Ning artikli 4 lõige 4: „Igas liidu institutsioonis, organis ja asutuses peavad olema toimivad mehhanismid, mis tagavad, et küberturvalisusele kulutatakse piisav osa IT- eelarvest“). See eesmärk on tervitatav, kuid suurte EL-i asutuste (nt Euroopa Keskpank, Europol, eu-LISA jt) kesksete süsteemide arendus- ja halduskulud ei tohi olla selle 10% sees, sest nende süsteemide turbe tagamist reguleerivad valdkonnaspetsiifilised õigusaktid ning haldus toimub koos liikmesriikidega. Seoses Vabariigi Valitsuse seisukohtadega, mis puudutavad küberinvesteeringute metodoloogia välja töötamist, peame siiski vajalikuks täiendavat tööd, et vastavad mõõdikud välja arvutada. 5.2.7. Eesti hinnangul tuleks CERT-EU-le ning komisjonile luua kohustused jagada liikmesriikidega teavet, muutmaks kehtivat korraldust, kus infovood ning sisend liiguvad peamiselt liikmesriikidest EL-i asutuste suunal. Määrusega tuleks CERT-EU rolli suurendada küberintsidentide ennetamisel, lahendamisel ja teabevahetusel. Samuti tuleks selgemini määratleda EL-i asutuste koostöö asukohamaadega, kus nad füüsiliselt paiknevad. Selgitus: CERT-EU mandaadi tugevdamine aitab tõsta kindlasti küberturbe seire taset EL-i asutustes. Täpsustada tuleks CERT-EU teenuseid nii EL-i asutustele ehk mida saadakse finantseerimise eest kui ka edaspidist suhtluses liikmesriikidega. Hetkel ei tule määrusest välja, milline on CERT-EU roll suhtluses asukohamaaga: meie hinnangul tuleks intsidentide lahendamise vaatest kasuks, kui näiteks Luksemburgis asuvat Euroopa Kohust tabanud intsidentidest teavitatakse antud riigi pädevat asutust või eu-LISA-t tabanud intsidendist Eesti riiklikku CERT-i. Seda muuhulgas põhjusel, et EL-i asutused kasutavad teatud määral asukohamaade digitaristut. Samuti tuleks selgemini välja tuua CERT-EU teenused, mida pakutakse liikmesriikidele või kuidas CERT-EU kasutab liikmesriikidelt saadud infot EL-i asutuste küberturbe paremaks seireks. 5.2.8. Eesti hinnangul ei tohiks antud määrusega kehtestada liikmesriikide asutustele täiendavaid teabejagamise kohustusi. Määrusega ei tohiks tekitada olukorda, kus riikide julgeoleku- ja luureteenistuste kontaktivõtust CERT-EU-ga tuleb teavitada komisjoni 14 julgeolekudirektoraati ja institutsioonidevaheline küberturvalisuse nõukoja (IICB) juhatajat. Selgitus: Määruse artikli 18 lõike 5 kohaselt tuleb komisjoni julgeolekudirektoraadile ja IICB juhatajale põhjendamatute viivitusteta teatada kõigist juhtudest, kui riikide julgeoleku- ja luureteenistused algatavad või taotlevad kontaktivõttu CERT-EUga. Jääb selgusetuks selle nõude vajadus ning eesmärk, mistõttu tuleks see eemalda või sõnastada selgemalt, mis omakorda arvestaks riigi julgeoleku huve. Määruses on ette nähtud küll teatavad välistused jagamiskohustuse (artikkel 19) ja teatamiskohustuse (artikkel 20) osas teabele, mis on ELi salastatud välisteave või kui tegemist on teabega, mille „liidu institutsioon, organ või asutus on saanud liikmesriigi julgeoleku- või luureteenistuselt või õiguskaitseasutuselt selgesõnalisel tingimusel, et seda ei jagata CERT-EUga“ (artiklite 19 ja 20 lõiked 5). Need välistused ei ole piisavad, kuna ka kontaktivõtust teavitamine (artikkel 18 lõige 5) võidakse käsitleda salastatud infona, mis omakorda võib tähendada, et esialgset kontakti lükatakse edasi, ainult selleks et vältida info lekkimist või liikumist kolmandatele osapooltele. See võib omakorda pärssida julgeoleku- ja luureteenistuste ülesannete täitmist. Pigem võiks siin olla sätestatud CERT-EU- le kohustus anda perioodiliselt sellekohast statistikat pädevatele osapooltele. 6. Arvamuse saamine ning seisukohtade kooskõlastamine Majandus- ja Kommunikatsiooniministeerium on seisukohtade ettevalmistamisel küsinud sisendit Justiitsministeeriumilt, Kaitseministeeriumilt, Siseministeeriumilt, Haridus- ja Teadusministeeriumilt, Välisministeeriumilt. Konsultatsioon ja eelnõu saadeti arvamuse saamiseks ka järgnevatele asutustele ja organisatsioonidele: Eesti Elektroonikatööstuse Liit, Eesti Masinatööstuse Liit, Eesti Kaubandus- ja Tööstuskoda, Eesti Linnade ja Valdade Liit, Eesti Kohtuekspertiisi Instituut, Riigiprokuratuur, Andmekaitse Inspektsioon, Haridus- ja Noorteamet, Kaitseliit, Kaitsevägi, Politsei- ja Piirivalveamet, Kaitsepolitseiamet, Välisluureamet, Sihtasutus KredEx, Eesti Interneti Sihtasutus, Tarbijakaitse ja Tehnilise Järelevalve Amet, Riigi Infokommunikatsiooni Sihtasutus, Riigikantselei Julgeoleku ja riigikaitse koordinatsioonibüroo, Tallinna Tehnikaülikool, Tallinna Ülikool, Tartu Ülikool, e-Riigi Akadeemia, Rahvusvaheline Kaitseuuringute Keskus, NATO Küberkaitsekoostöö Keskus, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Kaitsetööstuse Liit, Eesti Infoturbe Assotsiatsioon, Eesti Pangaliit, Riigi Infosüsteemi Amet, Riigi IKT Keskus. Arvamuse saatsid Siseministeerium, Kaitseministeerium, Justiitsministeerium, Politsei- ja Piirivalveamet, Riigi Infosüsteemide Amet, Prokuratuur, Riigi Infokommunikatsiooni Sihtasutus, Eesti Interneti Sihtasutus, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit ning Eesti Kaubandus- Tööstuskoda. Saabunud sisendid on esitatud kaasamise tabelis (lisa 1). 15