Majandus- ja K ommunikatsiooniministeerium
[email protected] [email protected] [email protected] Eesti Energia Aktsiaseltsi seisukoht küberturvalisuse seaduse ja teiste seaduste muutmise 17.09.2021 eelnõule Lp Majandus- ja Kommunikatsiooniministeerium Eesti Energia Aktsiaseltsil on KüTS ja teiste seaduste muutmise 17.09.2021 eelnõu osas järgmised muudatusettepanekud: Palume jätta eelnõust välja KüTS § 3 lg 1 p 1 ja HOS § 41 lg 1 muudatused. Kehtiva KüTS § 3 lg p 1 kohaselt: teenuse osutajaks loetakse isik, kes kasutab süsteemi hädaolukorra seaduses sätestatud elutähtsa teenuse osutajana elutähtsa teenuse osutamisel . Eelnõu muudab seda punkti selliselt, et: teenuse osutajaks loetakse hädaolukorra seaduse alusel määratud elutähtsa teenuse osutaja . Seega kaotatakse eelnõuga (teenuse osutajaks määratlemise ja seega KüTSi kohaldamise) kriteerium - et süsteemi kasutatakse elutähtsa teenuse osutamiseks . Järelikult eelnõu muudatuse tulemusel piisab KüTSi kohaldamiseks vaid sellest, et isik on elutähtsa teenuse osutaja . Eesti Energia kontserni vaates peavad eelnõu jõustumisel jaotusvõrgu ettevõtja Elektrilevi ning elektri tarnimise ettevõtjad Enefit Power ja Enefit Green tervikuna hakkama vastama KüTSi nõuetele. Seni on see kohustus olnud vaid elutähtsa teenuse osutamisel. Terve ettevõtte tegevusele KüTSi kohaldamise laiendamine ei ole põhjendatud ega vajalik ning suurendab ettevõtete finants- ja halduskoormust, mille peab kokkuvõttes kinni maksma tarbija. Seletuskirja lk-l 9 põhjendatakse seda muudatust järgmiselt: „ Nii tagatakse parem kooskõla teenuse osutaja määratluse ning talle seadusest tulenevate kohustuste eesmärgipärase täitmise vahel. Täitmaks eesmärki tagada võrgu- ja infosüsteemide küberturvalisus ühiskonna seisukohast oluliste teenuste osutamiseks, on aina rohkem läbipõimunud infotehnoloogia taristuid arvestades vajalik välistada võimalusi eirata üht osa kasutatava infotehnoloogia taristust teenuste kaardistamisel, küberriskide analüüsimisel ning turvameetmete rakendamisel.“. Ohtu, et mõnda süsteemi osa eiratakse kaardistamisel, saab vältida sellega, et hinnatakse, kas ja kuidas elutähtsa teenuse osutamiseks kasutatav süsteem on ühendatud ettevõtte teiste süsteemi d ega. Kui ühendus üldse puudub või on rakendatud piisavad meetmeid süsteemi turvalisuse tagamiseks ühendusest hoolimata , on põhjendamatu kohaldada KüTSi nõudeid ettevõtte nendele süsteemidele, mida ei kasutata elutähtsa teenuse osutamisel ja milles esinevad intsidendid ei saa ohustada elutähtsa teenuse toimepidavust . Ülemäärast fi n a n ts- ja halduskoormust ettevõtetele ei saa põhjendada ainuüksi sellega, et nii on lihtsa m järel e valvet teostada. Meie seisukohta toetab ka Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 (meetmete kohta, millega tagada võrgu- ja infosüsteemi d e turvalisuse ühtselt kõrge tase kogu liidus) preambula punkt id 22 ja 23: „ … Oluliste teenuste operaatorite suhtes tuleks kohaldada konkreetseid turvanõudeid üksnes seoses nende teenustega, mida peetakse olulisteks . Operaatorite identifitseerimiseks peaksid liikmesriigid seetõttu kehtestama oluliseks peetavate teenuste loetelu. … Teenuste loetelu peaks olema liikmesriikidele lähtealuseks, mis võimaldab oluliste teenuste operaatorite identifitseerimist. Selle eesmärk on teha kindlaks oluliste teenuste liigid käesolevas määruses osutatud sektorites, eristades neid mitteolulistest tegevustest, millega asjaomases sektoris tegutsev üksus võib tegeleda . “ KüTSi ühe muutmise ajendiks on Eesti Infoturbestandardi (E-ITS) kasutuselevõtt. Kui kehtiva seaduse järgi kehtestati teenuse osutamiseks kasutatavate turvameetme kirjeldus ja riskianalüüsi koostamise nõuded valdkonna eest vastutava ministri määrusega ( KüTS § 7 lõige 4) , mis ei sisaldanud elutähtsa teenuse osutajale auditeerimis- või sertifitseerimiskohustust, vaid põhines suuresti enesehindamisel (v.a. ISKE kohuslased). Siis eelnõu ja uue VV määrusega tuleb järgida E- ITSi ning tingimuste täitmist auditeerida või järgida rahvusvahelist standardit ISO/IEC 27001 ning tingimuste täitmist tõendada kehtiva vastavussertifikaadiga. Sertifitseeritakse või auditeeritakse toodet, teenust, süsteemi või ettevõtet. Seega tuleb Eesti Energia kontserni vaates vähemalt kolmel ettevõttel läbida auditeerimise või sertifitseerimise protsess. Kogu ettevõtte skoobiga sertifitseerimine on väga mahukas protsess. Seega ühelt poolt toob teenuse osutaja termini muudatus kaasa täiendava halduskoormuse E- ITSi või ISO tingimustele täitmise osas, kuna nii põhjalik kaetus on hetkel piiratud teenustel. Teiselt poolt auditeerimine või sertifitseerimine on kulu ettevõttele, mis kajastub lõpuks kliendi teenuse hinnas. Selline kõike hõlmav ja vajaduspõhiselt piiritlemata KüTSi kohaldamine kõigi elutähtsa teenuse osutaja süsteemide osas, sõltumata kas need süsteemid mõjutavad elutähtsa teenuse toimepidavust, on ettevõtlusvabadust ebaproportsionaalselt piirav. Lisaks on see diskrimineeriv võrreldes teistele ettevõtetele kohalduvate nõuetega ning seega konkurentsi moonutav, kui elutähtsat teenust osutav ettevõte peaks pakkuma ka muid kui elutähtsaid teenuseid, kuna elutähtsat teenust osutava ettevõtte kõigi süsteemide kulud suureneva eelnõuga kõrgendatud nõuete tõttu. Eeltoodud põhjendustel palume eelnõust välja jätta ka HOS § 41 lg 1 muutmine. Lisaks ei saa nõustuda eelnõus oleva Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 5 lõikega 3, mis kohustab säilitada dokumentatsiooni 7 aastat selle koostamisest ja see tuleb teha RIA-le kättesaadavaks vastava taotluse korral. Hetkel kehtiva seaduse § 7 lõike 2 punkti 6 järgi tuleb dokumente säilitada 3 aastat (see punkt tunnistatakse eelnõuga kehtetuks). 7 aastat on infotehnoloogias väga pikk aeg ja on raske mõista, mis väärtust pakuvad RIA-le 7 aasta tagused riskianalüüsid või sel hetkel rakendatud turvameetmete info. Eriti arvestades veel nõuet, et sõltumatu audit või sertifitseerimine tuleb läbi viia iga 3 aasta järel . (allkirjastatud digitaalselt) Lugupidamisega Kristjan Endrikson Õigusteenistuse juht Eesti Energia AS