Õigusakti eelnõu

Ministeeriumid Riigikantselei Meie 27.06.2025 nr 8-1/5574-1 Eesti Linnade ja Valdade Liit Eelnõu esitamine kooskõlastamiseks Edastame Teile Vabariigi Valitsuse 09. detsembri 2022 määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ muutmise eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisad: Eelnõu Eelnõu lisa Seletuskiri Arvamuse andmiseks: Eesti Pank Riigi Infosüsteemi Amet Finantsinspektsioon Eesti Pangaliit Eesti Turvaettevõtete Liit Eesti Haiglate Liit Eesti Arstide Liit Eesti Perearstide Selts Eesti Vee-ettevõtete Liit Eesti Kiirabi Liit Ravimitootjate Liit Eesti Ravimihulgimüüjate Liit Eesti Proviisorapteekide Liit Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898 Eesti Apteekrite Liit Eesti Proviisorite Koda Eesti Esmatasandi Tervisekeskuste Liit Eesti Elektritööstuse Liit Eesti Jõujaamade ja Kaugkütte Ühing Eesti Gaasiliit Eesti Transpordikütuste Ühing Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Eesti Kaubandus-Tööstuskoda Eesti Põllumajandus-Kaubanduskoda Eesti Toiduainetetööstuse Liit Eesti Kaupmeeste Liit Andmekaitse Inspektsioon Guido Pääsuke [email protected]  Vabariigi Valitsuse 9. detsembri 2022 määrus nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ Lisa Esmased turvameetmed  Käesolevas lisas sätestatakse määruse § 51 lõikes 1 loetletud turbevaldkondades rakendatavad esmased turvameetmed.  Käesolevas lisas esitatud meetmeid on kohustuslikud kõigile küberturvalisuse seaduses loetletud teenuse osutajatele, kui määruses ei ole sätestatud teisiti. 1. Infoturbe korralduse valdkonnas peab teenuse osutaja: 1.1. määrama infoturbe eest vastutava isiku; 1.2. välja töötama võrgu- ja infosüsteemide turvareeglid, sealhulgas infoturbepõhimõtted ning tutvustama neid personalile; 1.3. kontrollima regulaarselt, kas valitud turvameetmed vastavad tegelikule vajadusele ja kas turvameetmed on rakendatud. Turvameetmeid tuleb kontrolli tulemuste põhjal korrigeerida; 1.4. pidama infotehnoloogiavarade arvestust ning uuendama seda regulaarselt; 1.5. määrama igale infotehnoloogiaseadmele vastutava kasutaja. 2. Kasutajate teadlikkuse ja koolituse valdkonnas peab teenuse osutaja: 2.1. tutvustama personalile küberhügieeni- ja infoturbereegleid ning tagama neile vastava koolituse vähemalt ühel korral aastas; 2.2. juhendama personali infotehnoloogiavahendite kasutamisel; 2.3. kasutama võrgu- ja infosüsteemides personaalseid pääsuõigusi; 2.4. sulgema pääsuõigused või kontod, mille järele puudub vajadus või mida ei kasutata; 2.5. eelistama mitmeastmelist autentimist; 2.6. hoidma pääsuks vajalikke vahendeid teistele kättesaamatuna, sealhulgas salasõnad ja räsid; 2.7. kasutama võrgu- ja infosüsteemis vaid kontrollitud ning arvele võetud andmekandjaid ning keelama kontrollimata või tundmatute infotehnoloogiavahendite kasutamise; 2.8. kasutama infotehnoloogiaseadmeid ja andmekandjaid heaperemehelikult ning mitte jätma neid järelevalveta. 3. Andmeturbe valdkonnas peab teenuse osutaja: 3.1. hindama, millised andmed ning võrgu- ja infosüsteemid on vajalikud igapäevaseks kasutamiseks, ning kavandama asendusprotseduurid süsteemide tõrgete ja katkestuste korral; 3.2. välja töötama tööks vajalike andmete kasutamise reeglid, sealhulgas teiste isikutega andmete jagamise kohta; 3.3. tagama kasutatava teabe või teiste isikute edastatud teabe, sealhulgas ärisaladuse ja isikuandmete kaitse ning vajaduse korral kasutama ajakohast krüpteerimist; 3.4. eelistama digitaalset allkirjastamist olulise teabe kinnitamiseks; 3.5. rakendama andmetele juurdepääsu võimaldamisel teadmisvajaduspõhist juurdepääsuhaldust; 3.6. varundama regulaarselt tööks vajalikke andmeid, hoidma varundatud andmeid töösüsteemist eraldi ja testima varundatu põhjal andmete taastamist; 1 3.7. tagama andmete kustutamise enne andmekandja kasutamise lõpetamist või edasiandmist. 4. Tarnijate ja väliste teenuste osutajate halduse valdkonnas peab teenuse osutaja: 4.1. tundma oma tarnijaid ja väliste teenuste osutajaid ning nende tausta kogu tarneahela ulatuses ning rakendama meetmeid lähtudes riigi koostatud avalikest ohuhinnangutest ja riskianalüüsidest tarnijate kohta; 4.2. kokku leppima tarnijatega ja väliste teenuste osutajatega kirjalikult taasesitatavas vormis andmete vahetamiseks vajalikud turvanõuded ning kasutatava teenuse tingimused. 5. Küberintsidentide halduse valdkonnas peab teenuse osutaja: 5.1. koolitama personali, kuidas ära tunda intsidente, kuidas tuvastada nende mõju ja ulatust ning kuidas neid vältida ja kuidas intsidentide puhul toimida; 5.2. määrama isiku, kes koordineerib intsidentide lahendamist, asjaomaste asutuste ja koostööpartnerite teavitamist ning on nende kontaktisik; 5.3. kokku leppima alternatiivsed teavituskanalid juhuks, kui tavapärane teabevahetus ei toimi. 6. Pilvteenuste ja veebirakenduste kaitse valdkonnas peab teenuse osutaja: 6.1. kasutama turvalist ja ajakohastatud veebibrauserit; 6.2. järgima, et pilvteenuste vahendusel jagataks teavet vaid teadmisvajaduspõhiselt; 6.3. järgima turvalise e-kirjavahetuse põhimõtteid ja vältima tundmatute manuste või hüperlinkide avamist; 6.4. tutvustama personalile telefoni- ja videokõnede tegemise turbe põhimõtteid; 6.5. eristama ja vältima ebaturvaliste veebilehtede ja rakendusliideste kasutamist; 6.6. pidama kasutuses olevate pilvteenuste ja nendega seotud riskide arvestust. 7. Infotehnoloogiaseadmete kaitse valdkonnas peab teenuse osutaja: 7.1. kasutama ajakohast viirusetõrjet ja tulemüüri; 7.2. uuendama regulaarselt kasutatavaid operatsioonisüsteeme ja rakendusi; 7.3. pidama arvestust kasutatava tarkvara, tarkvara nõrkuste ja litsentside üle ning uuendama litsentse õigel ajal; 7.4. kasutama turvalist, usaldusväärset ja kehtiva toega tarkvara, sealhulgas eemaldama infotehnoloogiaseadmetest ja telefonidest tarkvara, mis on aegunud või mida ei kasutata; 7.5. eristama seadmetes kasutaja- ja süsteemi haldusõigusi ning kasutama tavapärases tegevuses vähem privilegeeritud kasutajatunnuseid; 7.6. tagama võrgu- ja infosüsteemide ning rakenduste turvasündmuste logimise ja logide kättesaadavuse; 7.7. krüpteerima olulist teavet töötleva seadme kõvaketta ja teavet sisaldavad välised kõvakettad ajakohast krüptograafilist meedet kasutades; 7.8. paigutama võimaluse korral seadmed nii, et need ei oleks kõrvalistele isikutele ligipääsetavad; 7.9. kasutama tööks vajalikes seadmetes, sealhulgas mobiilseadmes pääsukoodi või ekraanilukku; 7.10. kavandama meetmed juhuks, kui seade läheb kaotsi, varastatakse või läheb katki; 7.11. kustutama seadmest kogu teabe enne selle kasutusest kõrvaldamist ja utiliseerimist; 7.12. rakendama asjakohaseid lisaturvameetmeid oma serveri kaitsmiseks; 7.13. rakendama automaatika- või muu andmesideühendusega seadme kasutamise korral lisaturvameetmeid või keelama seadmes andmeside kasutamise, sealhulgas kaughalduse; 7.14. hindama uute seadmete ning info- ja võrgusüsteemide soetamisel võimalikke riske ja rakendama juba plaanimise etapis asjakohaseid turvameetmeid. 2 8. Sideühenduste ja võrgu kaitse valdkonnas peab teenuse osutaja: 8.1. koostama arvutivõrgu skeemi, sealhulgas pidama võrguseadmete ning võrgule tuge pakkuvate isikute ja nende kontaktandmete arvestust; 8.2. piirama juurdepääsu avalikust võrgust sisevõrgus olevatele seadmetele, sealhulgas kasutama tulemüüri; 8.3. vältima volitamata isikule kaugjuurdepääsu andmist sisevõrgus või pilvteenustes töödeldavale teabele; 8.4. kasutama traadita kohtvõrgu ühenduste korral tugevat salasõna ja turvaprotokolli. 9. Füüsilise turbe valdkonnas peab teenuse osutaja: 9.1. tagama ruumides tuleohutuse; 9.2. tagama, et ruumi sissepääsud, sealhulgas aknad hoitakse suletuna, kui ruumis ei viibi personali; 9.3. vältima ruumides kõrvaliste isikute liikumist saatjata, eelkõige ruumides, kus hoitakse seadmeid või töödeldakse andmeid; 9.4. pidama arvestust ruumidele, sõidukitele, hoonetele ja muule varale juurdepääsu võimaldavate vahendite üle, sealhulgas kaardid, koodid ja võtmed; 9.5. rakendama meetmeid hoonesse või ruumidesse loata sisenemise takistamiseks; 9.6. piirama juurdepääsu võrguseadmete, hooneautomaatika ja serveri asukohale, sealhulgas hoidma vastavaid tehnilisi ruume ja seadmeid lukustatuna. 3  EELNÕU 20.06.2025 VABARIIGI VALITSUS MÄÄRUS Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ muutmine Määrus kehtestatakse küberturvalisuse seaduse § 7 lõike 5 alusel. § 1. Vabariigi Valitsuse 9. detsembri 2022. a määruses nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ tehakse järgmised muudatused: 1) paragrahvi 1 tekst loetakse lõikeks 1 ja paragrahvi täiendatakse lõikega 2 järgmises sõnastuses: „(2) Määrust ei kohaldata: 1) isikule, kellele kohalduvad Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud riskide juhtimise nõuded; 2) isikule, kellele kohalduvad Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 300/2008, mis käsitleb tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr 2320/2002 (ELT L 97, 09.04.2008, lk 72–84), ning Euroopa Parlamendi ja nõukogu määruses (EL) 2018/1139, mis käsitleb tsiviillennunduse valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008, (EL) nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL ning 2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr 552/2004 ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.08.2018, lk 1–122), sätestatud süsteemi turvalisuse nõuded.“; 2) paragrahvi 2 täiendatakse punktiga 3 järgmises sõnastuses: „3) pilvteenus on pilvandmetöötlusteenus või selliste andmetöötlusressursside kogumile juurdepääsu võimaldav teenus, mida saab paindlikult jagada ning laiendada võrgu- ja infosüsteemi muutmata ning mida pakub kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik.“; 3) paragrahvi 3 lõike 2 punkti 1 täiendatakse pärast tekstiosa „ISO/IEC 27001“ tekstiosaga „või Eesti standardiga EVS-EN ISO/IEC 27001“; 4) paragrahvi 3 täiendatakse lõikega 21 järgmises sõnastuses: „(21) Käesoleva paragrahvi lõikeid 1 ja 2 ei kohaldata: 1) teenuse osutajale, kellel on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle aastane bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades väikeettevõtjate määratlusi 1 Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta (ELT L 124, 20.05.2003, lk 36–41); 2) valla või linna ametiasutuse hallatavale asutusele ja osavalla või linnaosa ametiasutuse hallatavale asutusele, välja arvatud üldhariduskool, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; 3) riigimuuseumile, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja.“; 5) paragrahvi 4 lõiget 1 täiendatakse pärast sõnu „Teenuse osutaja“ tekstiosaga „, kellele kohalduvad § 3 lõike 1 alusel antud määrusega sätestatud kohustused,“; 6) paragrahvi 4 täiendatakse lõikega 11 järgmises sõnastuses: „(11) Elutähtsa teenuse osutaja, kellele kohalduvad § 3 lõike 1 alusel antud määrusega sätestatud kohustused, peab Eesti infoturbestandardi tingimuste täitmise auditi esmakordselt läbi viima hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud korras määratud tähtaja jooksul.“; 7) paragrahvi 4 lõiget 2 täiendatakse pärast tekstiosa „lõike 1“ tekstiosaga „või 11“; 8) paragrahvi 4 lõike 4 punkt 1 tunnistatakse kehtetuks; 9) paragrahvi 4 lõiget 4 täiendatakse punktiga 4 järgmises sõnastuses: „4) Haridus- ja Teadusministeeriumi hallatava asutusena tegutsevale koolile.“; 10) määrust täiendatakse §-ga 51 järgmises sõnastuses: „§ 51. Esmased turvameetmed (1) Teenuse osutaja on esmaste turvameetmete rakendamiseks kohustatud ette nägema üksikasjalikud meetmed järgmistes turbevaldkondades: 1) infoturbe korraldus; 2) kasutajate teadlikkus ja koolitus; 3) andmeturve; 4) tarnijate ja väliste teenuste osutajate haldus; 5) küberintsidentide haldus; 6) pilvteenuste ja veebirakenduste kaitse; 7) infotehnoloogiaseadmete kaitse; 8) sideühenduste ja võrgu kaitse; 9) füüsiline turve. (2) Lõikes 1 sätestatud turbevaldkondade esmased turvameetmed on esitatud määruse lisas.“. § 2. Määrus jõustub 1. septembril 2025. a. Kristen Michal peaminister Liisa-Ly Pakosta justiits- ja digiminister Keit Kasemets riigisekretär Lisa Esmased turvameetmed 2  20.06.2025 Vabariigi Valitsuse määruse „Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ muutmine“ eelnõu SELETUSKIRI 1. Sissejuhatus 1.1. Sisukokkuvõte Määrusega muudetakse mikro- ja väikeettevõtjate ning kohaliku omavalitsuse hallatavate asutuste küberturvalisuse tagamise nõudeid. Nimetatud ettevõtjatele ja asutustele nähakse ette vaid esmaste turvameetmete täitmise kohustus senise Eesti infoturbestandardi või rahvusvahelise standardi ISO/IEC 27001 järgimise kohustuse asemel. Samuti kaotatakse riigikoolide Eesti infoturbestandardi täitmisel auditi tellimise kohustus, võrdsustades riigikoolid kohalike omavalitsuse üksuste hallatavate koolidega, millel sarnane kohustus puudub. Eelnõukohase määruse jõustumisel väheneb mikro- ja väikeettevõtjate halduskoormus ning osa kohalike omavalitsuste hallatavate asutuste ja riigimuuseumite töökoormus. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse talitus (e-post [email protected]) Riigi Infosüsteemi Ameti ettepaneku alusel. Eelnõu on keeleliselt toimetanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Merike Koppel (e-post [email protected]). 1.3. Märkused Eelnõu on seotud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõuga.1 Eelnõukohase määrusega muudetakse Vabariigi Valitsuse 9. detsembri 2022. a määrust nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (edaspidi määrus nr 121) (RT I, 19.06.2024, 12). Eelnõuga vähendatakse mikro- ja väikeettevõtjate halduskoormust ning osa kohalike omavalitsuste hallatavate asutuste ja riigimuuseumite töökoormust. Eelnõu on seotud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõuga.2 Nimetatud eelnõuga võetakse üle Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152) (edaspidi ka küberturvalisuse 2. direktiiv). Kuna küberturvalisuse 2. direktiivi ülevõtmisega suureneb küberturvalisuse seaduse subjektide arv, siis soovitakse sellest tulenevat halduskoormuse kasvu käesoleva eelnõuga tasakaalustada. . 1 Eelnõude infosüsteemi toimik 24-1266 2 Eelnõude infosüsteemi toimik 24-1266 1 2. Määruse eesmärk Määruse eesmärk on vähendada mikro- ja väikeettevõtjatest ning kohaliku omavalitsuse hallatavatest asutustest küberturvalisuse seaduse subjektide haldus- või töökoormust nende võrgu- ja infosüsteemide küberturvalisuse tagamisel. Teiseks ühtlustatakse riigi- ja kohaliku omavalitsuse ülalpeetavatele koolidele esitatavaid nõudeid. 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb kahest paragrahvist. Paragrahviga 1 muudetakse Vabariigi Valitsuse 9. detsembri 2022. a määrust nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“. Paragrahv koosneb kümnest punktist. Määruse nr 121 § 1 senine tekst loetakse lõikeks 1 ja paragrahvi täiendatakse uue lõikega 2. Täiendusega lisatakse õigusselguse huvides viited Euroopa Liidu õigusaktidele, millega kehtestatakse erandid küberturvalisuse 2. direktiivist. Lisatava lõike 2 järgi ei pea need ettevõtjad kohaldama loetletud õigusaktidega reguleeritud tegevusvaldkondades küberturvalisuse seaduse ja selle alusel antud õigusaktide nõudeid, sealhulgas järgmisi määrusest nr 121 tulenevaid nõudeid: a) finantssektori küberturvalisuse ja riskijuhtimise nõuded, mis tulenevad Euroopa Parlamendi ja nõukogu määrusest (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79) (edaspidi DORA määrus); b) tsiviillennunduse sektori küberturvalisuse nõuded, mis tulenevad Euroopa Parlamendi ja nõukogu määrusest (EÜ) nr 300/2008, mis käsitleb tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr 2320/2002 (ELT L 97, 09.04.2008, lk 72–84) ning Euroopa Parlamendi ja nõukogu määrusest (EL) 2018/1139, mis käsitleb tsiviillennunduse valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008, (EL) nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL ning 2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr 552/2004 ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.08.2018, lk 1–122). Tänu muudatusele on asjaosalistele paremini arusaadavam, et näiteks elutähtsa teenuse osutajast krediidiasutus, kes rakendab DORA määruse nõudeid, ei pea samal ajal järgima küberturvalisuse seaduse alusel elutähtsa teenuse osutajale kehtestatud nõudeid. Kui krediidiasutusel on muid tegevusvaldkondi, kus DORA määrus ei kohaldu, kuid ta on teenuse osutaja küberturvalisuse seaduse tähenduses, siis neis valdkondades kehtib küberturvalisuse seaduse ja selle alusel antud õigusaktide järgimise kohustus.3 Määruse nr 121 § 2 täiendatakse punktiga 3. Täiendusega lisatakse Vabariigi Valitsuse määruse tasemel uus termin pilvteenus, pilvandmetöötlusteenus või selliste andmetöötlusressursside kogumile juurdepääsu võimaldav teenus, mida saab paindlikult jagada 3 Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 4 lõigete 1 ja 2 kohaldamise kohta. Punkt 7, (EUR-Lex - 52023XC0918(01) - EN - EUR-Lex)(19.06.2025) 2 ning laiendada võrgu- ja infosüsteemi muutmata ning mida pakub kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik. Termini kasutuselevõtmise eesmärk on koondada määrusesse ühe termini alla nii erasektori kui ka avaliku sektori pakutavad avalikud pilved (inglise keeles public cloud). Erasektori pakutav pilv on sätestatud küberturvalisuse seaduse § 2 punktis 7 kui pilvandmetöötlusteenus, mis on infoühiskonna teenus, mis võimaldab juurdepääsu andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav süsteemi ennast muutmata. Samas ei saa avaliku sektori pakutavat pilve käsitada infoühiskonna teenusena, see tähendab avalik sektor ei paku avalikku pilve majandus- või kutsetegevuse raames4. Seega luuakse kahe erineva pakkuja andmetöötlusressursside kogumile juurdepääsu võimaldava teenuse tähistamiseks uus koondtermin. „Pilvteenust“ ei kasutata Vabariigi Valitsuse määrustes esimest korda. Nimelt kasutatakse Vabariigi Valitsuse 3. jaanuari 2024. a määruse nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ § 2 lõikes 1 lühendit „pilvteenus“, mis hõlmab samuti eelnõuga samas ulatuses riigi- ja erasektori pakutavaid avalikke pilvi.5 Määruse nr 121 § 3 lõike 2 punkti 1 muudetakse, lisades määrusesse viite Eesti standardile. Eesti standard on toote nõuetele vastavuse seaduse § 40 lõike 1 kohaselt Eesti standardiorganisatsiooni vastuvõetud standard. Eesti standardi tähtlühend on „EVS“. Sama paragrahvi lõike 4 punkti 1 kohaselt võib Eesti standard olla ülevõetud rahvusvahelise või Euroopa standardiorganisatsiooni standard. ISO/IEC 27001 „Information security, cybersecurity and privacy protection — Information security management systems — Requirements“ on Rahvusvahelise Standardiorganisatsiooni koostatud standard, mille Mittetulundusühing Eesti Standardimis- ja Akrediteerimiskeskus on üle võtnud Eesti standardina EVS-EN ISO/IEC 27001 – „Infoturve, küberturve ja privaatsuskaitse. Infoturbe halduse süsteemid. Nõuded“. Eesti standardile viitamisega täpsustatakse, et teenuseosutajal on võimalik küberturvalisuse tagamisel lähtuda ka Eesti standardist, kui see on üle võetud ning vastab rahvusvahelisele standardile ISO/IEC 27001. Määruse nr 121 § 3 täiendatakse uue lõikega 21, millega nähakse ette erandid rahvusvahelise standardi ISO/IEC 27001 või Eesti standardi EVS-EN ISO/IEC 27001 (edaspidi koos standard ISO/IEC 27001) või Eesti infoturbestandardi järgimise kohustusest. Punktiga 1 sätestatakse, et Eesti infoturbestandardis või standardiga ISO/IEC 27001 sätestatud turvameetmeid ei pea vahetult kohaldama mikro- ja väikeettevõtjad, kellel on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle aastane bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades väikeettevõtjate määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta (ELT L 124, 20.05.2003, lk 36–41). Mõlemad tingimused (nii töötajate arv kui ka finantsnäitajad) peavad olema täidetud. 4 Infoühiskonna teenuse seaduse § 2 p 1: „infoühiskonna teenus – teenus, mida osutatakse majandus- või kutsetegevuse raames teenuse kasutaja otsesel taotlusel ja mille puhul andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil, kusjuures osapooled ei viibi üheaegselt samas kohas. Infoühiskonna teenus peab olema täielikult üle kantud, edastatud ja vastu võetud elektrooniliste sidevahendite abil. Infoühiskonna teenus ei ole faksi ega telefonikõne abil edastatud teenus ega televisiooni- või raadioteenus;“. 5 „(1) Teabepidaja, kes soovib avaliku teabe töötlemiseks kasutusele võtta avaliku sektori osutatava pilvteenuse või pilvandmetöötlusteenuse (edaspidi koos pilvteenus), peab hindama muu hulgas:“. 3 Muudatuses ei mainita vahetult mikroettevõtjaid6, kuid kuna mikroettevõtjale kehtestatud nõuded mahuvad Euroopa Komisjoni soovituse piiridesse, siis tuleb lugeda eelnõu kohaselt ka mikroettevõtja vabastatuks Eesti infoturbestandardi või standardi ISO/IEC 27001 kohaldamisest oma võrgu- ja infosüsteemis küberturvalisuse tagamisel. Küll aga ei ole mikro- ja väikeettevõtja vabastatud eelnõuga määrusesse lisatavas §-s 51 sätestatavast turbevaldkondades esmaste turvameetmete järgimise kohustusest. Ettevõtjate suuruse arvestamisel tuleb järgida väikeste ja keskmise suurusega ettevõtjate määratlust käsitlevat teatmikku, mis sisaldab üldiseid suuniseid ettevõtjatele ja teistele sidusrühmadele, millest nad saavad suuruse kindlakstegemisel juhinduda.7 Punktiga 2 nähakse ette, et sarnaselt mikro- ja väikeettevõtjatele ei ole vajadust täies ulatuses järgida Eesti infoturbestandardis või standardiga ISO/IEC 27001 sätestatud turvameetmeid valla või linna ametiasutuste hallatavatel asutustel ja osavalla või linnaosa ametiasutuse hallatavatel asutustel, millel on kalendriaasta jooksul keskmiselt alla 50 töötaja. Erand ei laiene vallale või linnale kuuluvale üldhariduskoolile. Üldhariduskoolide puhul võeti arvesse nende suuremat seotust isikuandmete, sealhulgas alaealiste isikuandmete töötlemisega. Eesti infoturbestandardi või standardi ISO/IEC 27001 järgimise kohustus on ka riigile kuuluvatel üldhariduskoolidel. Samuti tuleb märkida, et erand ei kehti kohaliku omavalitsuse ametiasutuste suhtes, kes oma suuruse poolest võiksid eelnõu kohaselt seatud piiridesse mahtuda. Punktiga 3 sätestatakse, et Eesti infoturbestandardi või standardi ISO/IEC 27001 täies ulatuses järgimise kohustust ei ole ka riigimuuseumitel, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja. Riigimuuseum on ministeeriumi hallatav riigiasutus. Riigimuuseumile erandi loomisel võeti arvesse, et sarnane erand on loodud ka kohaliku omavalitsuse hallatava asutusena tegutsevale muuseumile. Punktides 2 ja 3 ettenähtud keskmise töötajate arvu arvutamisel tuleb kasutada sarnast põhimõtet mis ettevõtjate puhul. See tähendab, et töötajate arvu väljendatakse aastastes tööühikutes. Üheks ühikuks loetakse kogu vaatlusaasta jooksul asutuses või selle nimel töötanud isik. Isikute töö, kes ei töötanud terve aasta, osalise tööajaga isiku ja hooajatöötaja töö võetakse arvesse tööühiku murdosadena. Töötajate hulka ei arvata isikuid, kes on praktika või kutseõppelepingu alusel oskusi omandamas. Töötajate hulka ei arvata ka terve aasta rasedus-, sünnitus või lapsehoolduspuhkusel olnud isikut. Kui isik jäi nimetatud puhkusele aasta sees, siis arvestatakse teda osa aastast töötanud isikuna. Selleks, et üksikud sündmused ei mõjutaks oluliselt asutuste kohustusi, on soovitatav aasta keskmist töötajate arvu vaadata kolme aasta võrdluses. Kui keskmine on 50 või enam tööühikut (töötajat), siis on ettevõtjal või asutusel Eesti infoturbestandardi või standardi ISO/IEC 27001 rakendamise kohustus, kui on 49,99 või vähem tööühikut, siis neil Eesti infoturbestandardi või standardi ISO/IEC 27001 täies ulatuses järgimise kohustust ei ole. Määruse nr 121 § 4 lõiget 1 muudetakse ja sellesse lisatakse viide määruse § 3 lõikele 1. Muudatuse eesmärk on täpsustada, et Eesti infoturbestandardi tingimuste täitmise auditi peab läbi viima vaid teenuse osutaja, kellel on Eesti infoturbestandardi järgimise kohustus. Määruse 6 Mikroettevõte – ettevõte, mis annab tööd kuni 10 inimesele ning mille käibe (määratletud ajavahemikul saadud raha) või bilansi (ettevõtte varade ja kohustuste aruanne) maht ei ületa 2 miljonit eurot. (https://eur-lex.europa.eu/ET/legal-content/summary/micro-small-and-medium-sized- enterprises-definition-and-scope.html) (19.05.2025) 7 VKEde määratlust käsitlev teatmik - Publications Office of the EU (19.06.2025) 4 § 121 § 3 lõike 2 kohaselt ei pea Eesti infoturbestandardi tingimuste täitmise auditit läbi viima teenuse osutaja, kes rakendab standardi ISO/IEC 27001 ning on esitanud selle vastavussertifikaadi Riigi Infosüsteemi Ametile. Eesti infoturbestandardi tingimuste täitmise auditit ei pea läbi viima ka eelnõuga lisatavas § 3 lõikes 21 nimetatud teenuse osutajad (vt ka § 3 lõike 21 selgitust). Määruse nr 121 § 4 täiendatakse uue lõikega 11. Täienduse kohaselt peab ettevõtja, kes määratakse esimest korda elutähtsa teenuse osutajaks pärast 18. oktoobrit 2024, tegema Eesti infoturbestandardi tingimuste täitmise auditi hädaolukorra seaduse § 38 lõike 1 alusel antud haldusaktis määratud tähtajaks. Hädaolukorra seaduse § 38 lõike 13 punkti 3 kohaselt ei või nõuete täitmise tähtaeg olla pikem kui viis aastat. Kuna see tähtaeg on pikem kui määruse nr 121 § 4 lõikes 1 sätestatud kolm aastat, tehakse eelnõukohase määrusega muudatus, mis on kooskõlas 18. oktoobril 2024 jõustunud hädaolukorra seaduse muudatustega. Säte ei kohaldu avaliku sektori asutusele, kes on elutähtsa teenuse osutaja või saab selleks, sest tal on Eesti infoturbestandardi või standardi ISO/IEC 27001 järgimise kohustus elutähtsa teenuse osutamisest sõltumata. Määruse nr 121 § 4 lõikes 2 lisatakse lõike 1 viite järele ka viide sama paragrahvi lõikele 11, millega sätestatakse esimest korda elutähtsa teenuse osutajaks määratud ettevõtjale tähtaeg, millal tal tuleb viia läbi Eesti infoturbe standardi täitmise audit, kui otsustatakse nimetatud standardi järgimine. Määruse nr 121 § 4 lõike 4 punkt 1 tunnistatakse kehtetuks, sest mikroettevõtjate kohustust järgida küberturvalisuse tagamiseks täies ulatuses Eesti infoturbestandardeid või standardit ISO/IEC 27001 muudetakse, mistõttu ei ole vaja eraldi märkida ka Eesti infoturbestandardi tingimuste täitmise auditi läbiviimise kohustuse kohaldamist (vt ka § 3 lõike 21 selgitust). Määruse nr 121 § 4 lõiget 4 täiendatakse punktiga 4, mille kohaselt ei pea edaspidi Haridus- ja Teadusministeeriumi hallatava asutusena tegutsev kool ehk riigikool 8 Eesti infoturbestandardi järgimisel tegema Eesti infoturbestandardi täitmise auditit. Muudatusega võrdsustakse riigikoolid kohalike omavalitsuste ülalpeetavate koolidega, kelle suhtes kehtib vabastus auditi läbiviimisest lähtuvalt määruse 121 § 4 lõike 4 punktist 2. Riigi Infosüsteemi Ameti hinnangul algavad auditi hinnad 10 000 eurost kolmeaastase auditiperioodi kohta. Audit hõlmab eelauditit, põhiauditit, vaheauditit ja järelauditit, seega väheneb koolile kaasnev töökoormus infoturbevaldkonnas auditikohustuse kaotamisega märkimisväärselt. Küll aga ei tohi auditikohustuse puudumist käsitada kui infoturbenõuete täitmise kohustuse puudumist ning järelevalve puudumist. Muudatus puudutab 81 riigikooli. Määruse nr 121 3. peatüki 1. jagu täiendatakse §-ga 51. Uue paragrahviga sätestatakse üheksa turbevaldkonda, milles kõik teenuse osutajad peavad rakendama esmaseid turvameetmeid. Küberturvalisuse 2. direktiivi artikli 21 lõike 1 kohaselt tagavad liikmesriigid, et elutähtsad ja olulised üksused võtavad asjakohased ja proportsionaalsed tehnilised, tegevuslikud ja 8 Põhikooli ja gümnaasiumiseaduse § 1 lõige 2: „Käesolev seadus reguleerib valla või linna ametiasutuse hallatavate asutustena tegutsevate koolide (edaspidi munitsipaalkool) ning Haridus- ja Teadusministeeriumi hallatavate asutustena tegutsevate koolide (edaspidi riigikool) tegevust. Munitsipaalkooli pidajaks on vald või linn. Riigikooli pidajaks on riik. Eraõigusliku juriidilise isiku asutusena tegutsevale koolile (edaspidi erakool) kohaldatakse käesolevat seadust niivõrd, kuivõrd erakooliseadus ei sätesta teisiti.“ 5 korralduslikud meetmed, et juhtida riske, mis ohustavad nende üksuste tegevuses või teenuste osutamisel kasutatavate võrgu- ja infosüsteemide turvalisust, ning et ennetada või minimeerida intsidentide mõju nende teenuste saajatele ja muudele teenustele. Sellest tulenevalt on Riigi Infosüsteemi Amet teinud ettepaneku kehtestada esmased turvameetmed, mis on jaotatud üheksa valdkonna vahel. Esmased turvameetmed kehtivad kõigile küberturvalisuse seaduse subjektidele. Subjektid, kes järgivad Eesti infoturbestandardit või standardit ISO/IEC 27001, peavad ka vaatama, kas nende rakendatavad turvameetmed on kooskõlas määrusesse lisatavate esmaste turvameetmetega. Näiteks kui standardi ISO/IEC 27001 järgimisel ei ole mõne esmase turvameetme rakendamist ette nähtud, siis tuleb selle nõude täitmine eraldi ette näha. Joonisel 1 on kujutatud esmaste turvameetmete koht teiste küberturvalisuse tagamisega seotud meetmete rakendamise järjekorras. Esmased turvameetmed on nii-öelda baastase, mida peavad rakendama kõik küberturvalisuse seaduse subjektid (teenuse osutajad). Järgmine tase on Eesti infoturbestandardi või standardi ISO/IEC 27001 nõuete rakendamine. Nende vahetu järgimise kohustus puudub mikro- ja väikeettevõtjatel ning eelnõuga määrusesse lisatava § 3 lõike 21 punktides 2 ja 3 sätestatud tingimustele vastavatel kohaliku omavalitsuse hallataval asutusel ja riigimuuseumil. Kolmas tase küberturvalisuse nõuete rakendamisel on auditi läbiviimise kohustus. Standardit ISO/EIEC 2700 rakendav teenuse osutaja peab auditi tegema igal juhul, et saada kätte standardi rakendamise kinnituseks vajalik vastavussertifikaat (vt ka määruse nr 121 § 3 lõige 2 punkt 2). Eesti infoturbestandardi tingimuste täitmise auditi läbiviimise kohustusest vabastatud isikud on sätestatud määruse nr 121 § 4 lõikes 4. Nendeks on riigimuuseum, avalik- õigusliku isiku muuseum, valla või linna ametiasutus, valla või linna ametiasutuse hallatav asutus, osavalla või linnaosa ametiasutus, osavalla või linnaosa ametiasutuse hallatav asutus ning kohaliku omavalitsuse üksuste ühisamet ja -asutus, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga. Riigimuuseumi ja kohaliku omavalitsuse hallatavate asutuste kohta sätestatakse seejuures eelnõuga, et nõue kehtib vaid siis, kui tal on kalendriaasta jooksul keskmiselt 50 või enam töötajat (vt ka eelnõuga lisatava § 3 lõike 21 punktide 2 ja 3 selgitust). Joonis 1. Küberturvalisuse meetmete rakendamine audit E-ITS või standard ISO/IEC 27001 esmased turvameetmed (kõik KüTSi subjektid) Legend: E-ITS – Eesti Infoturbestandard 6  standard ISO/IEC 27001 -– rahvusvaheline standard ISO/IEC 27001 ja Eesti standard EVS-EN ISO/IEC 27001 KüTS – küberturvalisuse seadus Riigi Infosüsteemi Amet aitab kaasa seaduses ja selle alusel antud õigusaktides sätestatud nõuete täitmisele. Kaasaaitamine seisneb subjektide nõustamises, rakendamise toetamiseks soovituslike suuniste, rakendamise ettepanekute ja selgituste avaldamises jne. Sellise teabe saab Riigi Infosüsteemi Amet avaldada asjaomasel veebilehel. Nii näiteks on Riigi Infosüsteemi Amet Eesti infoturbestandardi paremaks ja ühtlasemaks rakendamiseks loonud eraldi veebilehe.9 Määruse lisa. Määruse lisas kirjeldatakse turbevaldkondade kaupa üksikasjalikud esmased turvameetmeid, mida kõik teenuse osutajad peavad rakendama, et subjekti võrgu- ja infosüsteemidele rakendatud meetmed saaks lugeda piisavaks, et olla küberturvalisuse seaduses sätestatud turvanõuetega kooskõlas. Lisa on seotud eelnõuga määrusesse lisatava § 3 lõikega 21, mille kohaselt ei pea osa teenuse osutajatest edaspidi Eesti infoturbestandardi või standardi ISO/IEC 27001 nõudeid täies ulatuses järgima (vt ka eelnõuga lisatava § 51 selgitust). Paragrahviga 2 nähakse ette määruse jõustumise aeg, milleks on 1. september 2025 (vt seletuskirja punkti 8). 4. Eelnõu terminoloogia Eelnõuga võetakse Vabariigi Valitsuse määruse tasemel kasutusele termin „pilvteenus“. Pilvteenus on pilvandmetöötlusteenus või selliste andmetöötlusressursside kogumile juurdepääsu võimaldav teenus, mida saab paindlikult jagada ning laiendada võrgu- ja infosüsteemi muutmata ning mida pakub kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik (vt ka määruse nr 121 § 3 punkti 3 selgitust). 5. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu ei ole seotud Euroopa Liidu õiguse ülevõtmisega. Määrus vastab Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiivi (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv), artikl 21 lõikele 1 (vt ka lisatava § 51 selgitust). 6. Määruse mõjud Eelnõukohane määrus mõjutab majanduskeskkonda, infotehnoloogia- ja infoühiskonda ning riigivalitsemist. 6.1. Mikro- ja väikeettevõtjatelt ei nõuta Eesti infoturbestandardi või standardi ISO/IEC 27001 täismahus järgimist Eelnõukohase määruse jõustumisel muudetakse mikro- ja väikeettevõtjate kohustuse ulatust küberturvalisuse turvameetmete rakendamisel ning kaotatakse vahetu kohustus järgida kasutatavates võrgu- ja infosüsteemides Eesti infoturbestandardi või standardi ISO/IEC 27001 9 https://eits.ria.ee/ 13.05.2025 7 nõudeid. Ühtlasi ei nõuta edaspidi väikeettevõtjatelt ka Eesti infoturbestandardi või standardi ISO/IEC 27001 täitmise auditi läbi viimist. Mõju valdkond: halduskoormus (majanduslik mõjude mõjuvaldkond) Mõju sihtrühm: küberturvalisuse seaduse subjektidest mikro- ja väikeettevõtjad Muudatus mõjutab küberturvalisuse seaduse § 3 lõikes 1 nimetatud subjektidest mikro- ja väikeettevõtjate halduskoormust võrgu- ja infosüsteemide turvameetmete rakendamisel. Muudatus mõjutab umbes 200 ettevõtjat. Avalduv mõju ja mõju olulisus Eelnõukohase määruse jõustumise järel ei pea mikro- ja väikeettevõtjad enam oma võrgu- ja infosüsteemide turvameetmete rakendamisel järgima täismahus Eesti infoturbestandardit või standardit ISO/IEC 27001 ega viima läbi ka nende täitmise auditit. Selle tulemusel muutub ka ettevõtja kohustus turvameetmete rakendamist või rakendamata jätmist üksikasjalikult fikseerida (näiteks koostada ja rakendada detailset infoturbehalduse süsteemi), sealhulgas tegevustes või vahendite kasutamisel, mida ettevõtja oma väiksusest lähtudes ei pruugi teha või omada. Mikro- ja väikeettevõtjate puhul on arvesse võetud ka asjaolu, et ettevõtjal ei pruugi olla eraldi infoturbe eest vastutavat isikut ning Eesti infoturbestandardi järgimise kohustuse täitmisest tulenevat halduskoormust kannab personal, kellel puuduvad valdkonnateadmised. Samuti ei ole mikro- ja väikeettevõtjatal üldjuhul suure mõjuga võrgu- ja infosüsteeme. Küberturvalisuse 2. direktiivi üle võtva seaduse eelnõu kooskõlastamisel juhtisid ettevõtjad ja ettevõtjate esindusorganisatsioonid tähelepanu auditi nõude proportsionaalsusele ja audiitorite kättesaadavusele. Võttes arvesse eelnõule saadud tagasisidet, on Riigi Infosüsteemi Amet teinud ettepaneku vabastada lisaks mikroettevõtjatele Eesti infoturbestandardi või standardi ISO/IEC 27001 tingimuste täitmise auditi läbiviimise kohustusest ka väikeettevõtjad. Justiits- ja Digiministeerium ning Riigi Infosüsteemi Amet kaalusid ka varianti piirduda ülevõtmisel vaid nende küberturvalisuse valdkondade esiletoomisega, milles küberturvalisuse seaduse subjekt peab toiminguid tegema. Riigi Infosüsteemi Ameti ettepanekul jäeti see lahendus kasutamata, kuivõrd vastasel juhul puuduks järelevalve tegemisel selge raamistik, mida kontrollida, ning nõuete detailsus tagab subjektide jaoks konkreetselt sõnastatud nõuded, mida subjekt peab täitma, et tema üldised turvameetmed oleksid korrektselt rakendatud. Määrusele on turvameetmete rakendamist abistava teabena koostatud esmaste turvameetmete lisa. Lisaks on Riigi Infosüsteemi Amet oma veebilehel avaldanud teabe, mis aitab kaasa üldiste turvameetmete rakendamisele.10 Riigi Infosüsteemi Amet uuendab ja ajakohastab seda teavet pidevalt. Järeldus mõju olulisuse kohta: Muudatuse tulemusel väheneb küberturvalisuse seaduse subjektidest mikro- ja väikeettevõtjate halduskoormus. Riigi Infosüsteemi Ameti hinnangul kulub üldiste turvameetmete hindamiseks 1–2 tundi ühe hindamisekorra kohta. Samuti väheneb väikeettevõtjate halduskoormus täismahus Eesti infoturbestandardit täitmise auditi tegemise võrra, sama nõude kaotamisega väheneb ka ettevõtjate võimalik kulu auditi tellimiseks. Lähtudes eeltoodust on nimetatud ettevõtjate ajaline kokkuhoid halduskoormuse vähendamise kaudu märkimisväärne ning mõju ettevõtjate tegevusele märgatav. 10 https://eits.ria.ee/et/abimaterjalid/veits (19.05.2025) 8 6.2. Vähem kui 50 töötajaga kohalike omavalitsuste hallatavate asutuste ja riigimuuseumite vabastamine Eesti infoturbestandardi või standardi ISO/IEC 27001 täismahus järgimise kohustusest Eelnõuga asendatakse vähem kui 50 töötajaga kohaliku omavalitsuse hallatava asutuse (välja arvatud üldhariduskool) ja riigimuuseumi kohustus järgida oma võrgu- ja infosüsteemide turvameetmete rakendamisel täismahus Eesti infoturbestandardit või standardit ISO/IEC 27001 kohustusega rakendada esmaseid turvameetmeid. Mõjuvaldkond: mõju kohaliku omavalitsuse korraldusele ja finantseerimisele ning keskvalitsuse korraldusele (riigivalitsemise mõjuvaldkond) Mõju sihtrühm: küberturvalisuse seaduse subjektidest väikesed (alla 50 töötajaga) valla või linna ametiasutuse hallatavad asutused ning osavalla või linnaosa ametiasutuse hallatavad asutused ning riigimuuseumid. Muudatus mõjutab umbes 1000 asutust, sealhulgas lasteaiad, kultuuri- ja huvikeskused, muuseumid, raamatukogud, sotsiaalkeskused, vabaajaasutused, rahvamajad, spordikeskused. Avalduv mõju ja mõju olulisus Eelnõukohase määruse jõustumise järel ei pea enam vähem kui 50 töötajaga kohaliku omavalitsuse hallatav asutus või riigimuuseum oma võrgu- ja infosüsteemide turvameetmete rakendamisel järgima täielikult Eesti infoturbestandardit või standardit ISO/IEC 27001. Selle tulemusel muutub ka nimetatud asutuste kohustus turvameetmete rakendamist või rakendamata jätmist üksikasjalikult fikseerida (näiteks koostada ja rakendada detailset infoturbehalduse süsteemi), sealhulgas tegevustes või vahendite kasutamisel, mida ettevõtja oma väiksusest lähtudes ei pruugi teha või omada. Muudatuse puhul on arvesse võetud ka asjaolu, et asutusel ei pruugi olla eraldi infoturbe eest vastutavat isikut ning Eesti infoturbestandardi järgimise kohustuse täitmisest tulenevat töökoormust kannab töötaja, kellel puuduvad valdkonnateadmised. Samuti ei ole nimetatud asutustel üldjuhul suure mõjuga võrgu- ja infosüsteeme, sealhulgas andmekogusid, ja nad ei halda neid. Järeldus mõju olulisuse kohta Muudatuse tulemusel väheneb vähem kui 50 töötajaga kohaliku omavalitsuse hallatava asutuse või riigimuuseumi töökoormus. Riigi Infosüsteemi Ameti hinnangul kulub üldiste turvameetmete hindamiseks 1–2 tundi ühe hindamiskorra kohta. Sellest lähtudes on see ajaline kokkuhoid, mis saavutatakse töökoormuse vähendamise kaudu tegevust toetavate ülesannete vähendamise teel, märkimisväärne ning mõju asutuse tegevusele märgatav. 6.3. Eesti infoturbestandardi või standardi ISO/IEC 27001 täismahus järgimise kohustusega ettevõtjate ja asutuste arvu vähenemine Eelnõukohase määruse jõustumisel väheneb nende teenuse osutajate arv, kellel on vahetu kohustus järgida kasutatavates võrgu- ja infosüsteemides täies mahus Eesti infoturbestandardi või standardi ISO/IEC 27001 nõudeid, mis asendatakse esmaste turvameetmete järgimise kohustusega. Mõjuvaldkond: mõju küberkeskkonnale ja küberhügieenile (infotehnoloogia ja infoühiskonna mõjuvaldkond) 9 Mõju sihtrühm: küberturvalisuse seaduse subjektist mikro- ja väikeettevõtja ning alla 50 töötajaga valla või linna ametiasutuse hallatav asutus ning osavalla või linnaosa ametiasutuse hallatav asutus ja riigimuuseum (edaspidi koos väike organisatsioon). Avalduv mõju ja mõju olulisus Eelnõuga vähendatakse väikeste organisatsioonide küberturbenõuete detailsust, säilitades meetmed üldisel kujul, võimaldades organisatsioonidel arvestada paremini tegevusest tulenevaid eripärasid. Kui väike organisatsioon järgib riskipõhiselt infoturbe ja küberhügieeni põhimõtteid oma võrgu- ja infosüsteemide kasutamisel, sealhulgas teeb koostööd asjaomaste asutustega, ei ole ette näha suurenenud ohtu üldisele küberkeskkonnale, sealhulgas avalikele teenustele. Muudatusega ei võeta väikestelt organisatsioonidelt vastutust puudulikust infoturbest tulenevate tagajärgede eest ei küberturbe ega ka andmekaitse valdkonnas. Järeldus mõju olulisuse kohta: eelnõuga vähendatakse küberturvalisuse seaduse subjektidest väikestele organisatsioonidele kohalduva korra detailsust. Eelnõuga ei kaotata väikeste organisatsioonide kohustust tagada kasutatavate võrgu- ja infosüsteemide turvalisus ega vastutust selle eest, seega on eelnõu mõju üldisele küberkeskkonnale väike. 7. Määruse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Eelnõu määrusena jõustumise korral ei kaasne riigieelarvele ega kohaliku omavalitsuse üksuste eelarvele lisakulu ega -tulu. Alla 50 töötajaga valla või linna ametiasutuse hallatava asutuse ning osavalla või linnaosa ametiasutuse hallatava asutuse ning riigimuuseumi töökoormuse vähenemisega ei kaasne kohalikele omavalitsustele ega riigiasutustele kulu. Samas ei ole ette näha ka otsese kulu vähenemist ega vajadust kedagi koondada. Haridus- ja Teadusministeeriumi hallatavate asutustena tegutsevatel koolidel ei ole edaspidi Eesti infoturbestandardi täitmise auditi tegemise kohustust ning rahalised vahendid saab suunata koolis küberturvalisuse taseme hoidmiseks ja tõstmiseks. 8. Määruse jõustumine Määrus jõustub 1. septembril 2025. Jõustumisaja kehtestamisel on arvestatud Riigi Infosüsteemi Ameti vajadusega üle vaadata haldus- ja riikliku järelevalvega seonduv dokumentatsioon ning viia see kooskõlla muudatustega. 9. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon 9.1. Eelnõu esitatakse eelnõude infosüsteemi kaudu kooskõlastamiseks ministeeriumitele, Riigikantseleile ning Eesti Linnade ja Valdade Liidule. 9.2. Eelnõu saadetakse arvamuse avaldamiseks Eesti Pangale, Riigi Infosüsteemi Ametile, Finantsinspektsioonile, Eesti Pangaliidule, Eesti Turvaettevõtete Liidule, Eesti Haiglate Liidule, Eesti Arstide Liidule, Eesti Perearstide Seltsile, Eesti Vee-ettevõtete Liidule, Eesti Kiirabi Liidule, Eesti Ravimihulgimüüjate Liidule, Ravimitootjate Liidule, Eesti Proviisorapteekide Liidule, Eesti Apteekrite Liidule ja Eesti Proviisorite Kojale, Eesti Elektritööstuse Liidule, Eesti Jõujaamade ja Kaugkütte Ühingule, Eesti Gaasiliidule, Eesti Transpordikütuste Ühingule, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Kaubandus-Tööstuskojale, Eesti Põllumajandus-Kaubanduskojale, Eesti Toiduainetööstuse Liidule, Eesti Kaupmeeste Liidule ja Andmekaitse Inspektsioonile. 10