Kooskõlastuskiri

Majandus- ja Kommunikatsiooniministeerium Teie 21.09.2021 nr 2-2/17-0344/636, MKM/21-0125/-2K/ Meie 25.10.2021 nr 1.2-3/3004-2 Küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõu kooskõlastamine Täname, et olete meile esitanud kooskõlastamiseks küberturvalisuse seaduse ja teiste seaduste muutmise seaduse eelnõu. Sotsiaalministeerium kooskõlastab eelnõu järgmiste märkustega arvestamise korral. 1. Eelnõu § 1 punktidega 1 ja 4 laiendatakse küberturvalisuse seaduse (KüTS) isikulist kohaldamisala selliselt, et KütS-st tulenevad nõuded kohalduvad mitte ainult riigi ja kohaliku omavalitsuse üksuse ja nende asutuste, vaid kogu avaliku sektori võrgu- ja infosüsteemidele. Seletuskirjas märgitakse, et muudatuse eesmärk on tagada kogu avaliku sektori võrgu- ja infosüsteemide turvalisus. Seega on eelnõuga sätestatavate kohustuste saajateks kõik avalik-õiguslikud isikud, seal hulgas valitsusasutused ja valitsusasutuste hallatavad riigiasutused ning seaduse alusel asutatud avalik-õiguslikud juriidilised isikud. Ainuüksi Sotsiaalministeeriumi valitsemisalas tähendab see arvukaid asutusi, nt Eesti Töötukassa, Eesti Haigekassa, haiglad ja teised tervishoiuteenuse osutajad (sh perearstid), kiirabiteenuse pakkujad jne. Eelnõu § 1 punkti 8 kohaselt täiendatakse KüTS §-i 7 lõikega 5. Uue lõikega volitatakse Vabariigi Valitsust määrusega kehtestama süsteemide küberturvalisuse tagamiseks vajalikke nõudeid, millest üks osa on Eesti Infoturbestandard (E-ITS). Eelnõu § 2 punktiga 1 tunnistatakse kehtetuks AvTS § 439 lg 1 punktis 4 sätestatud Vabariigi Valitsuse volitusnorm muu hulgas infosüsteemide turvameetmete süsteemi kehtestamiseks. Sisuliselt asendatakse muudatusega kehtiv infosüsteemide kolmeastmelise etalonturbe süsteem (ISKE) uue väljatöötatava E-ITS-iga. Kui ISKE oli koostatud andmekogude kui infosüsteemide ühe liigi küberturbe vaatepunktist, siis E-ITS on koostatud organisatsiooni kui terviku küberturbe vaatepunktist. ISKE-lt E-ITS-ile ülemineku majanduslik mõju avalikule sektorile on seletuskirjas hinnatud väikeseks. Seletuskirja punktis 6.1.3.2 on märgitud, et avaliku sektori rakendajale, kes on järginud ISKE nõudeid, puudub ISKE ja E-ITS nõuete võrdluses E-ITS kehtestamisest tulenev majanduslik mõju nii turvameetmete rakendamisel kui ka vastavusauditite läbiviimisel. Seletuskirjas puudub aga ülevaade tegelikust seisust avaliku sektori asutustes ISKE järgimise osas ehk sellest, kuidas reaalsuses on praeguseni ISKE nõudeid järgitud. Seega ei selgu eelnõu materjalidest, mille alusel on majanduslik mõju avalikule sektorile väikeseks hinnatud. Suur-Ameerika 1 / 10122 Tallinn / 626 9301 / [email protected] / www.sm.ee / registrikood 70001952  2 Seletuskirjast ei ole välja loetav ka see, kuidas täpselt E-ITS rakendamine praktikas toimub, see ei selgu ka rakendusakti kavandist. Meie hinnangul tuleb infoturve ja selle meetmed E-ITS-ile üleminekul olulises osas uuesti rakendada, seal hulgas on uuesti vaja töötada läbi dokumentatsioon, olemasolev dokumentatsioon kaasajastada, auditid läbi viia jne. E-ITS-iga nähakse ette tööprotsessipõhine andmehaldus. Andmekogupõhise lähenemisega võrreldes võib E-ITS-iga kaasnev inforiskide ohje keerukust juurde tuua ka tööprotsesside vaates. Palume täiendada seletuskirja analüüsiga, mis annaks ülevaate eelnõuga tehtavate muudatuste rakendamiseks vajalikust ressursikulust. Samuti palume täpsustada, kuidas toetatakse valitsemisala asutuste, teenuseosutajate ja avalik-õiguslike juriidiliste isikute nõustamist ja E-ITS-ile ülemineku rakendamist. 2. Eelnõu §-ga 8 muudetakse TTKS § 17 lõike 12 ja § 22 lõike 42 sõnastusi selliselt, et KüTS §-dest 7 ja 8 tulenevad turvanõuete rakendamise kohustused kohalduksid teenuseosutaja tegevusele tervikuna, mitte üksnes piiratud ulatuses. Seletuskirjas selgitatakse, et kohaldamisala muudatuste tõttu tuleb ka teenuseosutaja tegevust reguleeriva eriseaduse, kus on viited KüTS §-de 7 ja 8 kohaldumisele, sõnastus viia eelnõuga kooskõlla. Muudatused soovitakse jõustada 1. jaanuaril 2022. Seletuskirjas märgitakse, et muudetavad õigusnormid on rohkem teavitusliku kui regulatiivse iseloomuga. Me ei nõustu, et tegemist on pelgalt teavitusliku iseloomuga õigusnormidega. Eelnõuga plaanitakse selgelt suurendada kiirabiteenuse osutaja ja tervishoiuteenuse osutajate kohustusi. Kui praegu kohalduvad KüTS §-dest 7 ja 8 tulenevad turvanõuete rakendamise kohustused kiirabibrigaadipidajale üksnes kiirabi osutamisel, siis eelnõuga laiendatakse kohustuste kohaldumist kiirabibrigaadipidaja tegevusele tervikuna. Sarnaselt on KüTS §-dest 7 ja 8 tulenevad kohustused haiglavõrgu piirkondliku haigla ja keskhaigla pidajale piiratud vaid statsionaarse eriarstiabi osutamise teenusega, kuid eelnõuga laiendatakse kohustusi tervele haiglavõrgu piirkondliku haigla ja keskhaigla pidaja tegevusele. Seega on tegemist siiski ka regulatiivse sisuga muudatusega. Palume täiendada seletuskirja TTKS muutmisest tulenevate mõjude osas. Samuti palume täpsustada, kas muudatuste väljatöötamisel on konsulteeritud töötervishoiuteenuse osutajatega. Töötervishoiuteenuse osutajatega konsulteerimist peame iseäranis oluliseks, eriti arvestades käesoleva hetke COVID-19 kriisist tulenevaid väljakutseid ning suutlikkust etteantud ajaraamis muudatusi rakendada ning ka kulusid ette planeerida. Seega, kui seda ei ole tehtud, palume seda kindlasti teha. 3. Eelnõu §-ga 9 täiendatakse VVS § 63 lõiget 1 selliselt, et Majandus- ja Kommunikatsiooniministeeriumi valitsemisala ülesannete hulka lisanduvad avaliku sektori digiarengu ja üleriigilise küberturvalisuse tagamisega seotud teemad, nende hulgas avaliku sektori digiarengu ning üleriigilise küberturvalisuse tagamise korraldamine. Seletuskirjast ei nähtu, kuidas on planeeritud tagada ISKE-lt uuele infoturbestandardile ülemineku sujuvus, sealhulgas kliendikeskne tugi (nõustamine, koolitused tervishoiuteenuse osutajatele, asutustele ja avalik-õiguslikele juriidilistele isikutele) ja muudatused andmekogude põhimäärustes (muudatuste tegemise ulatus, ühetaoline lähenemine muudatuste tegemisel). Palume seletuskirja vastavalt täiendada.  3 4. Eelnõu §-ga 10 on seadus planeeritud jõustuma 2022. aasta 1. jaanuaril. Samas on 2022. aasta lõpuni antud üleminekuaeg auditite läbiviimiseks ISKE alusel. Seega on 2022. aasta 1. jaanuarist kuni 2023. aasta 1. jaanuarini kohaldatavad korraga nii ISKE kui ka E-ITS nõuded. Eelnõu materjalides ei ole toodud välja neid avalik-õiguslikke juriidilisi isikuid, kellele praegu ISKE ei kohaldu, kuid kellele uue regulatsiooni järgi kohaldub E-ITS. Eelnõu materjalide kohaselt on taolistele isikutele kohustuste täitmine nõutav juba alates 2022. aasta 1. jaanuarist. Samuti ei selgu seletuskirjast see, kui paljusid avalik-õiguslikke juriidilisi isikuid puudutab eelnõu jõustumisel 2022. aasta 1. jaanuarist kehtima hakkav üleminekuaegne nõuetelevastavuse kohustus (ISKE v E-ITS). Palume seletuskirja vastavalt täiendada. Eelnõu seletuskirja lisast 2 (rakendusaktide kavandid) nähtub, et üleminekusätteid on plaanitud sätestada ka KüTS § 7 lõike 5 alusel kehtestatava määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ §-s 14. Palume kaaluda auditeerimise kohustuse ülemineku tähtaegade sätestamist seaduse tasemel ning vastavalt täiendada eelnõu ja seletuskirja rakendussätete osa. Nimetatud rakendusakti kavandi §-s 14 sätestatud üleminekusätetest ei selgu üleminekuperioodi kestus. Nimetatud paragrahvis sätestatu kohaselt on teenuseosutaja kohustatud E-ITS nõuetele vastava auditeerimise viima läbi nelja aasta jooksul pärast viimast ISKE järgi tehtud turvameetmete süsteemi auditeerimist. Samas on märgitud, et E-ITS nõuetele vastava esimene auditeerimine peab teenuseosutajal olema läbi viidud mitte hiljem kui 2025. aasta 1. jaanuariks. Kuivõrd ajavahemik 2023. aasta 1. jaanuarist kuni 2025. aasta 1. jaanuarini ei ole neli aastat, palume üleminekuperioodi täpsustada ja seletuskirjas vastavalt lahti selgitada. 5. Eelnõu seletuskirjas on selgitatud akrediteerimistasu määrade kohaldumist, kuid ei ole käsitletud seda, kas on planeeritud ka auditeerimisteenuse osutaja tegevuse hinnastamine (piirhindade seadmine). Seega ei ole võimalik sotsiaalministeeriumi haldusala asutustel ega tervishoiuteenuse osutajatel planeerida tulevikukulusid. Seletuskirjas märgitakse, et kehtivate nõuetekohaselt on turvameetmete rakendamise piisavuse kontrolli üks meetoditest auditi läbiviimine pädeva sõltumatu isiku poolt, kuid seda võib asendada ka nn enesehindamisega. E-ITS kehtestamise järgselt kaoks võimalus asendada audit enesekontrolliga ning E-ITS sätestab konkreetse raamistiku auditite läbiviimiseks eesmärgiga tagada selgem ja läbipaistvam küberturvalisuse nõuete järgimine. Teenuse osutajatele, kes varasemalt teostasid turvameetmete rakendamise piisavuse kontrolli nn enesehindamise kaudu, võib muudatus avaldada majanduslikku mõju, kuid seda maksimaalselt ulatuses, mis oleks nn enesehindamise läbiviimise ja auditi läbiviimise kulude vahe. Majanduslik mõju võib olla teenuse osutaja positsiooni soodustav, kui E-ITS auditeerimine kujuneb odavamaks teenuseks kui KüTS § 7 lg 2 punkti 5 alusel auditi või enesehindamise läbiviimine. Seletuskirjast ei selgu, millele toetudes ja millisel määral saab eeldada, et E-ITS auditeerimine võib olla odavam teenus. Sotsiaalministeeriumi haldusala asutustele ja tervishoiuteenuse osutajatele on kulude planeerimine äärmiselt oluline, et planeerida suutlikkust nii teenuseid pakkuda kui ka nõuetele vastavalt infosüsteeme hallata.  4 Palume seletuskirja täiendada välise auditeerimise kulude osas sisulise analüüsiga. Lugupidamisega (allkirjastatud digitaalselt) Tanel Kiik tervise- ja tööminister (allkirjastatud digitaalselt) Signe Riisalo sotsiaalkaitseminister Silja Elunurm 6269 735 [email protected] Indrek Soosaar 6269 701 [email protected] Kertti Merimaa 6269 264 [email protected] Raili Sillart 6269 747 [email protected] Kristel Niidas 5269 729 [email protected] Virge Kuningas-Turu 6269 114 [email protected]