Arvamus Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõule

eie Teie 22.06.2023 nr 8-2/4547 Justiitsministeerium [email protected] Meie 10.07.2023 nr 1-5/6041 Arvamus Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõule Esitasite Registrite ja Infosüsteemide Keskusele arvamuse avaldamiseks Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõu. Edastame määruse eelnõule järgmise arvamuse. 1. Eelnõu §-s 1 tuuakse esile määruse kohaldamisala. Määruse § 1 lg 1 määrust kohaldatakse avaliku teabe töötlemisele avaliku teabe seaduse (edaspidi AvTS) tähenduses. AvTS-i § 3 lõike 1 kohaselt on avalik teave mis tahes viisil ja mis tahes teabekandjale jäädvustatud ja dokumenteeritud teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites. AvTS § 3 lg 1 alusel on avalik teave ka tarkvara lähtekood ja avaandmed. Registrite ja Infosüsteemide Keskuse hinnangul ei peaks määrust kohaldama avatud lähtekoodidele (nt Github, Gitlab, vms pilveteenuses), seega võiks kuuluda tarkvara avatud lähtekood eelnõu § 1 lõige 3 loendisse. Määruse tekstist ega seletuskirjast ei tulene, kas määrust kohaldatakse avaandmetele. Meie hinnangul peaks avaandmete osas olla, sest avaandmed laetakse üles mitmetesse pilveteenustesse. Kõikide pilveteenuste hindamine on liigne koormus ja ei ole eesmärgipärane. Seega võiks avaandmed kuuluda § 1 lõige 3 loetellu, millele määrust ei kohaldata. 2. Eelnõu § 2 kehtestatakse eeldused, mida peab arvestama enne, kui teabeomanik võtab avaliku teabe töötlemiseks kasutusele pilveteenuse. Määruse eelnõu § 2 lg 5 sätestab „Teabeomanik dokumenteerib lõikes 1 ette nähtud hindamise enne, kui hakkab pilveteenust kasutama. Teabeomanik võib dokumenteerimise teha muu õigusakti alusel koostatava dokumentatsiooni osana.“ Enne pilveteenuse kasutamist kohustab § 2 lg 5 teabeomaniku dokumenteerima andmeid. Praegusest määrusest ega seletuskirjast ei tulene, kas juhul kui hindamise tulemusena ei võeta pilveteenust kasutusele, siis kas loodud dokumentatsiooni peab siiski alles hoidma ning säilitama või mitte. Registrite ja Infosüsteemide Keskuse hinnangul võiks olla nõue dokumentatsioon säilitada. Määruse § 2 lg 6 järgi „Pilveteenuse kasutusele võtmisest hoidutakse, kui teenuse hindamise tulemusel selgub, et esineb vähemalt üks järgmine asjaolu: /…/“. Eelnõu seletuskirjast ning planeeritavast määrusest ei tulene selgelt kas hoidumine tähendab keeldu või on asutusel läbi riskide hindamise ja riski aktsepteerimise siiski lubatud pilveteenust kasutada, isegi kui esineb vähemalt üks loetletud asjaolu. Registrite ja Infosüsteemide Keskuse hinnangul oleneb tagajärg paljuski kaalukusest, et mis juhtub, kui astus eirab asjaolu. Tagajärjed võivad olla tähtsusetud või katastroofilised. Seletuskirjas kasutatakse sõna „vältima“, mis lubaks tunnetuslikult pilveteenust kasutada, isegi kui esineb üks asjaoludest. Tuleks luua selgus mõistetes, kas hoidumine/vältimine võrdub või ei võrdu keeluga. Määruse § 2 lg 6 p 4 luuakse asjaolu „esineb muu põhjus, mille aset leidmisel võib tekkida oht riigi julgeolekule, avalikule korrale või isikute eraelu puutumatusele või ei ole võimalik hinnata A: Lubja 4, Tallinn 19081, Eesti, T: +372 663 6300, F: +372 646 0165, E: [email protected], I: Reg 70000310, K: 221023778606, W: www.rik.ee  eelnimetatud nõuetega seotud riskide esinemist.“ Registrite ja Infosüsteemide Keskuse hinnangul võiks asjaolu esineda ka olukorras, kus tekib oht kasvõi ühe isiku eraelu puutumatusele. 3. Eelnõu §-s 3 tuuakse esile tingimused, mis peavad olema täidetud, kui avaliku teabe töötlemisel otsustatakse kasutusele võtta pilveteenus. Määrus § 3 lg 4 sätestab RIA teavitamiskohustuse „Pilveteenuse kasutamise alustamisest teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit.“ Seletuskirjas kirjutatakse teavituse tegemisest pigem enne pilveteenuse kasutamist, määruse sõnastus viivitamata kasutamise alustamiseks. Seega ei ole õiguskindlust, kuna tuleb RIAt teavitada, kuna seletuskiri viitab justkui võiks seda teha ka pärast kasutamist, samas määrusest tuleneb viivitamata. Läbi teavituste koondub RIA kätte üldpilt asutustes kasutatavatest pilveteenustest. Samuti on RIAl olemas erinev teave pilveteenuste/pilvsüsteemide kohta. Seletuskirjas toodud mõte, et mõistlik on RIAl jagada seda teavet veebilehe kaudu asutustega, kes pilveteenust kasutavad või kasutuselevõtmist kavandavad, tuleb Registrite ja Infosüsteemide Keskuse hinnangul teostada. Info jagamine vähendab dubleerimist, kus mitu asutust korraga analüüsivad ühte ja sama pilveteenust, tõdemaks hiljem, et tegelikult selle teenuse kasutusele võtmist RIA ei toetagi. Vahetu kontakt oleks halduskoormav. 4. Määruse § 2 lg 1 on toodud pilveteenuse kasutusele võtmise eeldused. Määruse § 3 nõuded pilveteenuse kasutamise alustamisel. Määruse § 3 lg 1 p 6 võiks Registrite ja Infosüsteemide Keskuse hinnangul olla eelduste juures § 2 lg 1. Vältimaks olukorda, kus asutus teeb ära hindamise ja võtab vastu otsuse pilveteenuse kasutamiseks, kuid seejärel selgub, et selle punkti täitmine ei ole võimalik (nt pilveteenuse pakkuja ei kustuta andmeid). Kui pilvepakkuja peab andmed kustutama/üleandma arhiivipidajale (reguleeritakse lepingus), siis kas asutus peab selle üle kontrolli teostama? 5. Lahendamata on küsimus kui avalikku teavet soovitakse töödelda pilveteenuse pakkuja juures, kes ei osuta pilveteenust majandustegevuse raames, siis kas sellise pilveteenuse kasutusele võtmine avaliku teabe töötlemiseks on keelatud, võib kasutada E-ITSi alusel või kolmas variant? Küsimus ei puuduta riigipilve ega KOVi pilve, vaid näiteks Euroopa Komisjoni eTranslationi online masintõlke lahendust. 6. Mõiste „pilveteenus“. E-ITS räägib pilvteenusest. Registrite ja Infosüsteemide hinnangul võiks kasutada ühetaolist mõistet. Registrite ja Infosüsteemide Keskus peaks pilveteenuse kasutamisele võtuks hindamisel osalema koos teabeomanikega. Lugupidamisega Aive Normak /allkirjastatud digitaalselt/ Asedirektor direktori ülesannetes Koostajad: Strateegia asedirektor Ingmar Vali ([email protected]), arenduse asedirektor Aive Normak ([email protected]), infoturbe ja sisekontrolli tiimi infoturbe spetsialist Merle Vaab ([email protected]).