Kiri

Maret Ots Saatja: Karl Stern <[email protected]> Saatmisaeg: esmaspäev, 4. oktoober 2021 11:22 Adressaat: Mart Laas; Maret Ots; Raul Rikk; Raavo Palu Teema: teatis Manused: 2021604E.docx Tere Saadan Hispaania teatise 604 „Seadus viienda põlvkonna elektroonilise side võrkude ja teenuste turvalisuse tagamise nõuete kohta“. Ooteaeg lõpeb 20.12. Karl 1 TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat VIIENDA PÕLVKONNA ELEKTROONILISTE SIDEVÕRKUDE JA -TEENUSTE TURVALISUSE TAGAMISE NÕUDEID KÄSITLEVA SEADUSEELNÕU ESIALGNE PROJEKT Alates nende laialdasest kasutuselevõtust 1990. aastate lõpus 20. sajandil on mobiilsidevõrgud olnud telekommunikatsiooni arengu alustalaks ja aluseks infotehnoloogia kasutuselevõtule kõigis ühiskonnavaldkondades, seda nii tänu nende leviala järkjärgulisele laiendamisele kui ka eelkõige uute võimete arendamisele, mis on lisatud järgnevate põlvkondade mobiilsideteenustesse. Viimane neist, mida tuntakse viienda põlvkonna ehk 5G nime all, võib anda mobiilsidele ja traadita sidele uue mõõtme, luues mitmekülgsemaid virtuaalseid võrke, võttes kasutusele tehisintellekti teenuseid ja rakendusi ning pakkudes ühiskonnale tohutu lisaväärtusega teenuseid sellistes valdkondades nagu meditsiin, transport ja energeetika. Sel põhjusel edendavad Euroopa Liit ja Hispaania võrgustike kiiret kasutuselevõttu ning selliste projektide rakendamist, mis näitavad nende kasulikkust eri sektorites. Niisuguste täiustatud teenuste osutamine elanikkonnale ja tööstusele, mida toetab tehnoloogia, muutub reaalsuseks järgmise viie või kümne aasta jooksul. Selleks et 5G-võrgud saaksid arendada oma potentsiaali, tuleb siiski tekitada vajalik usaldus nende jätkuva toimimise ning kaitsmise vastu andmete või side lekete või muutmise eest. Ilma selle usalduseta ei kasuta üksikisikud ja üksused, kes võiksid kasutada 5G- võrkude pakutavaid võimalusi, niisuguseid võimalusi ära ja 5G tehnoloogia ei too kaasa oodatud kasu. 5G-võrkudel on eelmiste põlvkondadega võrreldes turvaeelised. Kuid need kujutavad endast ka spetsiifilisi riske, mis tulenevad näiteks nende 1  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat keerukamast võrguarhitektuurist, võimest transportida tohutul hulgal teavet ning võimaldada mitme inimese ja asja samaaegset suhtlemist. Nende ühendamine teiste võrkudega ja paljude ohtude riikideülene olemus mõjutavad nende julgeolekut ning nende võrkude prognoositav laiaulatuslik kasutamine majanduse ja ühiskonna jaoks oluliste funktsioonide täitmiseks suurendab nendega seotud turvaintsidentide võimalikku mõju. Riistvara ja tarkvara on eriti olulised 5G võrkudes, kuna nende iseloomulikud omadused, nagu perifeerne andmetöötlus või mitme võrgu segmenteerimine (network slicing), on suunatud andmetöötluse ja pilvandmetöötluse teenustele omastele paradigmadele, eemaldudes traditsioonilisest lähenemisviisist elektroonilise side võrguarhitektuuri suunas. Nende võrkude toimimine sõltub suurel määral IT-süsteemidest ja -teenustest, mida kolmandast isikust teenuseosutajad pakuvad operaatoritele (käesolevas seaduses ühiselt „teenuseosutajad“), tekitades neist sõltuvuse, mis võib suurendada võrke mõjutavat ohutaset. Eespool kirjeldatud 5G-võrkude arhitektuur ja uued turvanõuded eeldavad selliste traditsiooniliste strateegiate vajalikku arenemist, mis põhinesid nende kättesaadavuse, konfidentsiaalsuse ja terviklikkuse tagamisel väljastpoolt tulevate rünnakute vastu. Tehniline keerukus ja uus tehnoloogiline paradigma, mis tuleneb telekommunikatsioonituru ja 5G-tehnoloogia paljude teiste majandussektorite kaasamisest ja üldistumisest, tähendab, et 5G- võrkudega seotud turvaprobleeme ei saa täielikult lahendada 9. mai 2014. aasta seaduses 9/2014 (üldine telekommunikatsioon) sätestatud elektroonilise side võrkude turvalisust ja terviklikkust käsitlevate eeskirjadega ega 7. septembri 2018. aasta kuningliku dekreetseadusega 12/2018 võrkude ja infosüsteemide turvalisuse kohta. 2  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat Reguleeritud küsimus nõuab seadusandlikku dekreeti, kuna sellega kehtestatakse teatavad piirangud ettevõtlusvabadusele ja halduspädevusele, mis tuleb seadusega kehtestada. Need piirangud ja see pädevus selgitavad seda, kui oluline on ühiskonna jaoks tagada niisuguste oluliste teenuste korrapärane toimimine, mis võivad tulevikus sõltuda 5G- võrkudest. Võrgu avamine paljudele kasutusviisidele ja rakendustele suurendab võrgu ründamise punkte ning tarnijate rolli tähtsus selle arhitektuuris ja juhtimises soovitab võtta ettevaatusabinõusid, vältimaks nende toimimisest tulenevaid võimalikke intsidente. Seega puudutavad kavandatavad kohustused muu hulgas juurdepääsulubasid 5G-võrke toetavatele programmidele ja seadmetele, võrguressursside segmenteerimist või jagamist vastavalt nende eesmärgile, 5G-võrkude ja muude oluliste teenuste vastastikust sõltuvust ning tarneahelat. Sellega seoses kohaldatakse tarnijate suhtes rangeid turvakontrolle, et tagada nende tehniline usaldusväärsus ja sõltumatus välisest sekkumisest, mis toob kaasa riskianalüüsi ning meetmed, mida ettevõtjad ja valitsus peavad läbi viima. Tehnilisest küljest on esikohal Euroopa Parlamendi ja nõukogu 17. aprilli määruse (EL) 2019/881 (Euroopa Liidu Küberturvalisuse Ameti kohta) rakendamisest tulenevate rahvusvaheliste ja Euroopa standardite ja Euroopa sertifitseerimiskavade kohaldamine. Lisaks peaksid ettevõtjad kehtestama tarnijate mitmekesistamise strateegia, et minimeerida neid mõjutavate ettenägematute asjaolude riske ja mõju. Strateegilises valdkonnas uuritakse Hispaania kõige olulisemate 5G- võrgu- ja teenuseosutajate tarnijate riskiprofiili, eelkõige seoses nende kaitsmisega rünnakute eest ja nende ohustatusega välise sekkumise poolt; alternatiivide olemasolu arvestades võib kindlaks teha isegi selliste võrkude 3  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat alade, konkreetsete kasutajate või piiratud funktsioonide tuvastamise, kus kvalifitseeritud tarnijad ei saa tegutseda kõrge riskiga. Nende loomiseks ja 5G tööstuse tugevdamiseks Hispaanias edendatakse teadus- ja arendustegevust ning innovatsiooni 5G tehnoloogia, sealhulgas 5G küberturvalisuse valdkonnas. Selle seadusega kehtestatakse üksnes eri- või lisanormid, mis kehtivad muudes kohaldatavates turbeseadustes, sealhulgas 9. mai 2014. aasta seaduses nr 9/2014 (üldine telekommunikatsiooni seadus), 28. aprilli 2011. aasta seaduses 8/2011, millega kehtestatakse meetmed elutähtsate taristute kaitseks, 28. septembri 2015. aasta seadusess 36/2015 riikliku julgeoleku kohta, Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus), 5. detsembri 2018. aasta konstitutsioonilises seaduses 3/2018 isikuandmete kaitse ja digiõiguste tagamise kohta või 7. septembri 2018. aasta kuninglikus dekreetseaduses 12/2018 võrguturbe ja infosüsteemide kohta. Selle seaduse koostamisel võeti arvesse Euroopa Komisjoni 26. märtsi 2019. aasta soovitust (EL) 2019/534 5G-võrkude küberturvalisuse, liikmesriikide koordineeritud riskianalüüsi ja liikmesriikide vahel kokku lepitud töövahendite kohta, mis on ühine alus 5G tehnoloogia turvaliseks arendamiseks Euroopas. See seadus sisaldab peamisi soovitusi, mis on esitatud Euroopa Komisjoni 29. jaanuari 2020. aasta teatises „5G turvaline kasutuselevõtt ELis – ELi töövahendite rakendamine“ (COM/2020/50 final) liikmesriikidele töövahendite kasutamise kohta. Sellega seoses järgivad nii käesoleva seadusega seotud teemad kui ka selle kohaldamise eest vastutavad asutused võimalikult suures ulatuses ühenduse institutsioonidelt, Euroopa Küberturvalisuse Ametilt (ENISA) ning Euroopa Parlamendi ja nõukogu 6. juuli 2016. aasta direktiivi (EL) 4  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat 2016/1148 (Euroopa Liidu meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus) artikliga 11 loodud koostöörühmalt (Euroopa Liidu võrkude ja infosüsteemide turvalisuse ühtlaselt kõrge taseme tagamise meetmete kohta) saadud soovitusi ja teavet 5G tehnoloogia heade tavade kohta ning kõnealuse rühma ja CSIRTi võrgustiku kogutud häid tavasid käsitlevat teavet, nagu on sätestatud selle direktiivi artiklis 12. Arvesse on võetud ka riikliku julgeolekunõukogu poolt heaks kiidetud 2019. aasta riiklikus küberjulgeoleku strateegias (26. aprilli korraldus PCI/487/2019) sätestatud kriteeriume ja soovitusi. Valitsusele antakse kuningliku dekreediga võimalus täpsustada, millised kohustused on seaduses ette nähtud nii halduse enda kui ka operaatorite ja tarnijate jaoks, ning vajadus seda teha (võrkude ja teenuste 5G turvasüsteem) tuleb läbi vaadata vähemalt iga kuue aasta järel või siis, kui asjaolud seda nõuavad. Need asjaolud hõlmavad kahtlemata digitaalsete ökosüsteemi taristute ja eelkõige 5G-võrkudega seotud riskide Euroopa Liidu poolseid tulevasi läbivaatamisi või ühiseid soovitusi. Lõpetuseks väärib märkimist majandusküsimuste ja digitaalse ülemineku osakonna koordineeriv roll nii teadus- ja arendustegevuse edendamisel küberturvalisuse, inspekteerimise, auditi kontrolli ja riskianalüüsi valdkondades kui ka käesolevas määruses sätestatud sanktsioonide kehtestamise volitustes. Järgitakse vajalikkuse põhimõtet, kuna see seadus on kehtestatud, pidades silmas üldist huvi, nagu turvalisus ja usaldus elektrooniliste sideteenuste vastu; see on kooskõlas proportsionaalsuse põhimõttega, kuna meetmed vastavad iga juhtumi puhul kindlaks tehtud riskidele; see on kooskõlas õiguskindluse põhimõttega, sest tunnustatakse olemasolevat turvalisuse õigusraamistikku ning 5G-võrkude ainulaadsusele ja riskidele lisatakse ainult asjakohased nõuded ja kontrollid. Läbipaistvuse põhimõtet 5  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat järgitakse, kuna asjaomased isikud on saanud osaleda käesoleva seaduse koostamise menetluses. Viimaks on see kooskõlas tõhususe põhimõttega, kuna halduskoormus on piirdunud minimaalse vajaliku koormusega, et saavutada soovitud ohutuseesmärk. Käesoleva määruse suhtes kohaldati Euroopa Parlamendi ja nõukogu 9. septembri 2015. aasta direktiivis (EL) 2015/1535 ette nähtud tehnilistest standarditest ja eeskirjadest ning infoühiskonna teenuste eeskirjadest teatamise korda ning korda, mis sätestati 31. juuli 1999. aasta kuninglikku dekreedis 1337/1999, millega reguleeritakse tehniliste standardite ja eeskirjade ning infoühiskonna teenuste eeskirjade kohta teabe edastamist. I peatükk Üldsätted Artikkel 1 Ese. Selles seaduses on sätestatud elektrooniliste sidevõrkude kasutuselevõtu ja käitamise ning 5G-tehnoloogial põhinevate elektrooniliste sideteenuste osutamise turvanõuded. Artikkel 2 Eesmärgid. Seadusel on järgmised eesmärgid. a) Tugevdada 5G-võrkude käitamise ning mobiilside- ja traadita side teenuste ning muude 5G-võrkudel põhinevate teenuste osutamise turvalisust. b) Edendada piisavalt mitmekesist tarnijate turgu ja vältida sõltuvust kõrge riskiastmega tarnijatest. c) Vältida kolmandate isikute võimalikku sekkumist tarneahelasse. 6  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat d) Kaitsta riiklikku julgeolekut. e) Tugevdada tööstust ning edendada riikide küberturvalisuse alast teadus- ja arendustegevust ning innovatsiooni. Artikkel 3 Mõisted Seaduses kasutatakse järgmisi mõisteid järgmises tähenduses: a) „5G-võrgud“ või „5G-põhised võrgud“ – võrgutaristu elementide, riist- või tarkvara kogum, mis võimaldab mobiilset ja traadita ühenduvust ning lisandväärtusteenuste osutamist kasutajatele ja ettevõtjatele, kellel on täiustatud omadused, mis hõlmavad funktsioone ja võimalusi ning vastavad rahvusvahelise telekommunikatsiooni liidu soovituses M.2083 sätestatud kasutusjuhtudele. Nende tunnuste hulka kuuluvad muu hulgas suurte andmemahtude kiire edastamine, minimaalne side latentsusaeg, suur usaldusväärsus ja võime ühendada võrku tohutu hulk seadmeid või eriteenuste osutamine konkreetseteks kasutusviisideks või rakendusteks. Kõik asjaomased funktsioonid või võrkude osad, mida kasutatakse teenuste osutamiseks kindlaksmääratud suutlikkusega, loetakse 5G-võrkude osaks. 5G-võrgud võivad seega sisaldada eelmistel mobiilipõlvkondadel põhinevaid võrguelemente. b) „5G-teenused“ – elektroonilised sideteenused ja muud infoühiskonna teenused, mis pakuvad 5G-võrke. c) „operaator“ – 5G-võrke käitav füüsiline või juriidiline isik ja täielikult või osaliselt kõnealustel 5G-võrkudel põhinevate elektrooniliste sideteenuste osutaja. 7  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat d) „tarnijad“ – riist- ja tarkvara tarnijad ning teenuseosutajad 5G- võrkude või 5G-teenuste käitamiseks. e) „ärikasutaja“ – füüsiline või juriidiline isik, kes kasutab või taotleb ametialastel eesmärkidel 5G-teenuseid, mis ei ole avalikult kättesaadavad. f) „pädev organ“ – pädev asutus, kelle ülesanne on kohaldada ja kontrollida käesoleva seaduse sätete järgimist järgmises artiklis nimetatud kohustatud isikute poolt. Artikkel 4 Kohaldamisala. Käesolevat seadust kohaldatakse järgnevale: 1. 5G-tehnoloogial põhinevate elektrooniliste sidevõrkude ja -teenuste operaatorid; 2. tarnijad; 3. tootjad ja inimesed, kes viivad Hispaania turule lõppseadmeid ja ühendatud seadmeid; 4. ärikasutajad, kellel on õigus kasutada üldkasutatavat raadioruumi, mida nad kasutavad võrkude käitamiseks või 5G tehnoloogial põhinevate spetsiifiliste võimalustega iseteenindusteenuste osutamiseks. Artikkel 5 Elektrooniliste sidevõrkude turvalisuse ja terviklikkuse eeskirjade täiendav rakendamine. Kui käesolevas seaduses ei ole sätestatud teisiti, kohaldatakse selle asendamisel 9. mai 2014. aasta üldise telekommunikatsiooni seaduse 9/2014 ja selle rakendusmääruste sätteid. 8  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat II peatükk Riskianalüüs ja -juhtimine Artikkel 6 Operaatorite riskianalüüs. 1. Operaatorid analüüsivad 5G-võrkude ja -teenustega seotud riske, võttes arvesse nii 5G-võrkude olulisi osi ja funktsioone kui ka muid elektrooniliste sidevõrkudega seotud riske. Analüüsid tehakse vähemalt iga kahe aasta järel. 2. Riskianalüüsis võetakse konkreetselt arvesse järgmisi 5G-võrkude olulisi komponente ja funktsioone. a) Need, mis on seotud võrgu tuumfunktsioonidega. b) Juurdepääsuvõrk. c) Transpordi- ja ülekandefunktsioonid. d) Kontrolli- ja juhtimissüsteemid ning tugiteenused. e) Selle komponentide perifeersete andmetöötluse, võrgu virtualiseerimise ja orkestreerimise funktsioonid. f) Välisvõrkudes ja internetis toimuva liiklusega seotud küsimused. g) Muud olulised komponendid ja funktsioonid, mis on sel eesmärgil kindlaksmääratud 5G-võrgu ja teenuste turvalisuse kavas. 3. Analüüsides võetakse arvesse vähemalt järgmisi tegureid. a) Teatavate tarnijate või tarnijate sõltuvus võrgu olulistest osadest või funktsioonidest. b) Võrguelementide ja -funktsioonide parameetrite määramine ja konfigureerimine. c) Tarkvara terviklikkus ja ajakohastamine. d) Füüsilistele ja loogilistele varadele juurdepääsu lubamise strateegiad. 9  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat e) Välised tegutsejad, sealhulgas organiseeritud rühmitused, kes suudavad võrku rünnata. f) Võrguga ühendatud arvutiseadmed ja -tarvikud. g) 5G-võrguga ühendatud ärikasutajate ja välisvõrkude elemendid. h) Seos teiste ühiskonna jaoks oluliste teenustega. Artikkel 7 Tarnijate ohutustavade analüüs. Ettevõtjad uurivad oma tarnijate ohutustavasid, mis võivad mõjutada nende pakutavaid tooteid ja teenuseid, võttes arvesse käesolevas peatükis osutatud riskitegureid. Seda uurimist tuleks korrata vähemalt iga kahe aasta järel. Artikkel 8 Julgeolekuriskide juhtimise kohustus. 1. Operaatorid peavad võtma asjakohaseid tehnilisi ja korralduslikke meetmeid, et juhtida 5G-võrkude ja -teenustega seotud riske, lähtudes käesoleva seaduse sätetest ning lisaks 9. mai 2014. aasta seadusest nr 9/2014 ja selle rakendusmäärustest. Eelkõige tagavad nad ohutu käitamise ja järelevalve korra, võtavad vastu ranged nõuded juurdepääsuks olulistele võrguelementidele ja - funktsioonidele, minimeerivad väliste üksuste juurdepääsu ning tagavad ohutu käitamise ja järelevalvetoimingud. 2. Ettevõtjad juhivad oma tarnijate tegevusest tulenevaid riske ja nõuavad neilt ohutusstandardite järgimist alates toodete projekteerimisest kuni nende kasutuselevõtuni, samuti nõutakse neilt oma tarneahela kontrolli. 10  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat Nad rakendavad proportsionaalseid leevendusmeetmeid, nagu on üksikasjalikult kirjeldatud artiklis 14, võttes eelkõige aluseks tarnijatele antud riskiastme. 3. Nad peavad töötama välja tarnijate mitmekesistamise strateegia koos meetmetega, millega piiratakse sõltuvust ühest tarnijast või mitmest kõrge riskiastmega võrgufunktsioonist või osast, määrates sealhulgas tähtajad kõrge riskitasemega tarnijate olemasolu piiramiseks või välistamiseks niisugustes elementides ja funktsioonides. Eelmiste lõigete sätete kohaldamisel võtavad operaatorid vajaduse korral arvesse ja kohaldavad 5G-võrkude ning -teenuste riiklikus riskianalüüsis ja turvalisuse kavas sisalduvaid asjakohaseid elemente. Artikkel 9 Teave pädevale asutusele. 1. Ettevõtjad peaksid esitama majandusküsimuste ja digitaalse ülemineku ministeeriumile riskianalüüsi tulemused, nende leevendamiseks võetud tehniliste ja korralduslike meetmete kirjelduse ning aruande oma tarnijate turvatavade ja nende muudatuste kohta. 2. Ettevõtjad peavad esitama ministeeriumile oma tarnijate mitmekesistamise strateegia ja teavitama ministeeriumit igal aastal selle rakendamise seisust. III peatükk 5G võrkude ja teenuste turvalisuse kava Artikkel 10 5G võrkude ja teenuste turvalisuse kava. 11  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat 1. Valitsus võtab majandusküsimuste ja digitaalse ülemineku ministeeriumi ettepanekul kuningliku dekreediga vastu 5G võrgu- ja teenuse turvalisuse kava, et käsitleda riske, mis ilmnevad riiklikul tasandil tehtavate analüüside käigus. 2. Need on osa käesolevast analüüsist, sisaldades muu hulgas järgmist, - 5G-võrkude tarneahelaga seotud nõrkade kohtade uurimine. - Võrkude ja teenuste riskide üldine analüüs, võttes arvesse operaatoritelt eelmise artikli kohaselt kogutud teavet. - Kuni iga riikliku riskianalüüsi heakskiitmiseni kohaldatud turvameetmete hindamine, et leevendada sellise analüüsi käigus kindlaks tehtud riske. 3. Kõik operaatorid ja tarnijad, tootjad ja need, kes viivad turule lõppseadmeid ja ühendatud seadmeid, samuti ärikasutajad, teevad vajaduse korral koostööd, et teha riiklik riskianalüüs ja hinnata kohaldatavate turvameetmete tõhusust. 4. Valitsus teeb tihedat koostööd teiste liikmesriikide ja Euroopa Komisjoniga kõigis küsimustes, mis on seotud 5G-võrgu ja teenuste turvalisuse süsteemiga, tarnija riskiprofiili määratlemisega ja Euroopa Komisjoni edendatavate toetusmeetmete rakendamisega. 5. Valitsus võib jagada oma analüüsidega seotud teavet komisjoni ja teiste Euroopa Liidu liikmesriikidega, säilitades vastavalt seadusele analüüsi ettevalmistamisel kogutud teabe turvalisuse, ärihuvid ja konfidentsiaalsuse ning kasutades teavet, mille on talle saatnud teised riigid või Euroopa Liit. Komisjon võib neid analüüse teha ka koos teiste Euroopa Liidu liikmesriikidega. 6. Riiklik julgeolekunõukogu teavitab 5G-võrkude ja teenuste turvalisuse kavast ning vaatab selle läbi vähemalt iga kuue aasta järel või kui asjaolud seda nõuavad. 12  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat Artikkel 11 Tarneahela nõrkade kohtade analüüsimise kriteeriumid. 1. Valitsus uurib 5G-võrgu- ja teenuseoperaatoritest pakkujate riskiprofiili Hispaanias. Eelkõige võetakse arvesse tehnilisi tagatisi toimimisele ja kaitset rünnakute eest ning avatust välisele sekkumisele. Esimese analüüsi puhul võib hinnata standardite või tehniliste spetsifikatsioonide järgimisega seotud aspekte, tõendamist sertifitseerimissüsteemide abil või sõltumatute isikute läbiviidud testide või ohutusauditite sooritamist. Teise analüüsi puhul hinnatakse vähemalt järgmisi aspekte. a) Tarnijate ja nende tarneahela seosed kolmandate riikide valitsustega. b) Aktsiakapitali koosseis ja juhtorganite struktuur. c) Kolmanda riigi õigus avaldada survet ettevõtja tegevusele või asukohale. d) Selle kolmanda riigi poliitilise režiimi ja küberkaitsepoliitika eripära. e) Asjaomase kolmanda riigiga sõlmitud koostöölepingud julgeoleku, küberturvalisuse, küberkuritegevuse või andmekaitse kohta, samuti rahvusvahelised lepingud nendes küsimustes, mille osaline kõnealune riik on. f) Isikuandmete kaitse määruste vastavus Euroopa Liidu poolt vastu võetud isikuandmete kaitse üldmäärusele. 2. Valitsus liigitab ministrite nõukogu kokkuleppega, majandusküsimuste ja digitaalse ülemineku ministeeriumi ettepanekul ja pärast riikliku julgeolekunõukogu aruannet tarnijate riskiprofiili vastavalt haavatavuse analüüsi tulemustele madalaks, keskmiseks või kõrgeks ning täpsustab sellise kvalifitseerimise tagajärjed. 13  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat 3. Valitsus hindab tarnijate sõltuvust kõigist 5G-võrkudest ja -teenustest Hispaanias, võttes arvesse ettevõtjate esitatud riskianalüüsi ja tarnijate mitmekesistamise strateegiaid, samuti tarnijaid mõjutavatest majanduslikest, ärilistest või kaubanduslikest asjaoludest tingitud tarnekatkestuste ohtu. Artikkel 12 5G-võrkude ja teenuste turvalisuse põhjalik käsitlemine. Valitsus tagab 5G-võrkude ja -teenuste turvalisuse igakülgse käsitlemise, võttes arvesse iga 5G väärtusahela osaleja mõju, et tagada võrgu ning teenuste jätkuv ja turvaline toimimine. Sellest tulenevalt peab 5G-võrkude ja -teenuste turvasüsteem sisaldama 5G-võrke ja teenuseid mõjutavate riskide prioriseerimist ning töötama välja operaatorite poolt nende kõrvaldamiseks võetavad meetmed, tarnijate, lõppseadmete ja ühendatud seadmete suhtes kohaldatavad kohustused, 5G-võrkude ja -teenuste turvalisuse edendamise meetmed ning kõnealustel võrkudel põhinevate 5G-side ja -teenuste riigihangete nõuded. Artikkel 13 Riskide prioriseerimine 5G-võrkude ja teenuste turvalisuse kavas. 1. Võrkude ja teenuste 5G turvakavaga kehtestatakse riskihierarhia, mis põhineb operaatorite ja valitsuse tehtud riskianalüüsidel ning rakendatud meetmete tõhususe hindamise käigus tuvastatud puudustel. Samuti määratakse kindlaks ja prioriseeritakse turvalisusega seotud kohustused, mida pädevad asutused nende riskidega tegelemiseks nõuavad. Kooskõlas sellega võib komisjon kehtestada rakendamise maksimaalsed tähtajad ja võtta vastu rakendamise toetusmeetmed. 14  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat 2. Võrkude ja teenuste 5G turvalisuse kavas sätestatud kohustused ei piira 5G-võrgu- ja teenuseosutajatesse või Hispaania tarnijatesse tehtavate välismaiste otseinvesteeringute taustauuringute vahendite kohaldamist ega vajaduse korral Euroopa Komisjoni või riikliku turu- ja konkurentsikomisjoni teavitamist konkurentsivastasest käitumisest tarneturul. Artikkel 14 Ohutusega seotud kohustused operaatoritele ja tarnijatele. 1. 5G-võrkude ja -teenuste turvasüsteem võib muu hulgas arendada operaatorite järgmisi kohustusi. a) Kriteeriumid võrgu füüsilistele ja loogilistele varadele juurdepääsu valdavate isikute valimiseks ja tuvastamiseks ning juurdepääsuandmete säilitamiseks. b) Operaatori valduses olevale võrgule juurdepääsu andvate kasutajamandaatide hooldus. c) Teatava riskiastmega tarnijate seadmete, programmide või teenuste kasutamise tingimused, piirangud või keelud, sealhulgas kvootide või kasutusmäärade kehtestamine ning nende võrkudest kõrvaldamise tähtajad. d) Tingimused, piirangud või keelud tarnijate töötajatele juurdepääsuks 5G-võrgu elementidele või funktsioonidele, mis on olulised selle nõuetekohaseks toimimiseks. e) Kohustus kasutada 5G-võrkude või nende mis tahes osa käitamiseks ainult sertifitseeritud tooteid, teenuseid või süsteeme. f) Piirangud võrgu- ja turbehalduskeskuste asukohale ning neid toetavatele elementidele. g) Tegevuskohtade eraldamine ja ressursside jagamise piiramine vastavalt võrgufunktsiooni või teenuse tähtsusele, mille jaoks need on mõeldud. 15  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat h) Kohustus võtta vastu konkreetsed hädaolukorra lahendamise plaanid ja meetmed, et tagada muude 5G-võrkudest sõltuvate ühiskonna jaoks oluliste teenuste järjepidevus ning nende endi järjepidevus 5G- võrkude käitamise aluseks olevate oluliste teenustega seotud intsidentide korral. 2. 5G-võrkude ja -teenuste turvalisuse kavaga võib operaatoritele ja nende tarnijatele muu hulgas kehtestada järgmised turvakohustused. a) Võrkude ja infosüsteemide suhtes kohaldatavate standardite või tehniliste kirjelduste järgimine. b) 5G-võrkude käitamisel kasutatavate toodete, teenuste või süsteemide vastavus Euroopa sertifitseerimissüsteemidele, olenemata sellest, kas need on 5G tehnoloogiale omased. c) 5G-võrkude käitamiseks kasutatavate seadmete ja programmide allutamine akrediteeritud üksuse või asutuse välisauditile või - kontrollile. d) Käitaja või tarnija ohutusaudit nende omal kulul, mille viib läbi riigiasutus või akrediteeritud üksus või organ. e) Välis-, maksevõimelise ja sõltumatu üksuse poolt tehtava auditi läbimine või Euroopa ohutustunnistuse saamine, et võimaldada välismaistel tarnijatel Hispaanias tegutseda. 3. 5G-võrkude ja -teenuste turvalisuse kavas võib seada eesmärgid tarnijate mitmekesistamiseks operaatorite tarneahelas ja kogu riigi jaoks tervikuna, mille alusel võidakse kehtestada kogu võrgu, selle oluliste osade, teatavate klientide või territooriumi teatavates osades tarnijate asendamise või nende hulga suurendamise kohustused. 4. 5G-võrkude ja -teenuste turvakavaga võib ette näha üleminekutähtajad operaatoritele, tarnijatele, tootjatele, lõppseadmeid ja ühendatud seadmeid turule viivatele isikutele ning ärikasutajatele kohustuste täitmiseks, sõltuvalt muu hulgas varasemast tugevast sõltuvusest kõrge 16  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat riskiga tarnijatest, seadmete ajakohastamise tsüklitest või mitteautonoomsetele 5G-võrkude üleminekust. Artikkel 15 Sertifitseerimine 5G võrguelementides ning olulised nõuded lõppseadmetele ja ühendatud seadmetele. 1. Valitsus võib 5G-võrkude haldamisel väliste seadmete, programmide või teenuste kasutamise tingimuseks seada Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta määruse (EL) 2019/881 (mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet)) kohase sertifitseerimise. 2. Lõppseadmete ja ühendatud seadmete turuleviimine või kasutamine seoses 5G-võrkudega sõltub vastavusest kohaldatavatele olulistele küberturvalisuse nõuetele, mis on vastu võetud kooskõlas ühenduse õigusaktidega, eelkõige seoses isikuandmete kaitse, eraelu puutumatuse ja pettusevastase kaitsega. Artikkel 16 Igale riskile kohandatud rakendus. Pädevad asutused võivad kohaldada 5G-võrkude ja -teenuste turvalisuse kavas ja selle rakendusmäärustes sätestatud turvakohustusi kõigi operaatorite, tarnijate, lõppseadmete ja ühendatud seadmete tootjate või nende turuleviijate ning kõigi ärikasutajate suhtes. Nad võivad neid siiski kohaldada eristavalt ja erinevatel ajavahemikel või etappides nõuetekohaselt põhjendatud juhtudel, näiteks järgneva puhul. a) Operaatori kriitilise tähtsusega operaatoriks määramine. b) Võrgukomponendi tähtsus teenuse nõuetekohaseks osutamiseks. c) Teenuse 5G tehnoloogiast sõltumise määr või selle mõju tõsidus, mida võrgu talitlushäired võivad sellele teenusele avaldada. d) Konkreetse riskiastme omistamine tarnijale. 17  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat Lisaks võib teatavate võrkude ja saitide suhtes võtta erimeetmeid, kui seda õigustavad demograafilised, sotsiaalsed, majanduslikud ja julgeolekuga seotud põhjused. Artikkel 17 Toetus teadus- ja arendustegevusele ning innovatsioonile 5G küberturvalisuse valdkonnas 1. 5G-võrkude ja -teenuste turvalisuse kava sisaldab avaliku sektori toetuse põhisuundi ja prioriteete, mida võidakse nõuda 5G-võrkude ja neist sõltuvate teenuste turvalisust puudutava teadus- ja arendustegevuse edendamiseks ning spetsialistide koolitamiseks. 2. 5G-võrkude ja -teenuste turvalisuse kavaga edendatakse 5G võrguhaldusseadmete ja -programmide koostalitlusvõimet ning avaliku ja erasektori osalejate osalemist 5G-võrkude ja -teenuste käitamist käsitlevate rahvusvaheliste standardite väljatöötamisel. Artikkel 18 5G-võrgud ja teenused riigihangetes. Kui administratsioon sõlmib 5G tehnoloogiat kasutava side- või teenuslepingu, peab vajadusel olema lepingu sõlmimisel Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta määruse (EL) 2019/881 (mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet)) kohaselt heaks kiidetud Euroopa sertifitseerimissüsteemist tulenev sertifikaat, mis on lepingu eseme seisukohast asjakohane. Põhjendatud viisil võib riigihankelepingu puhul kehtestada tingimuse, mis välistab teatava riskiastmega tarnijate kasutamise. 18  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat IV peatükk Halduskontrolli ja karistuste määramise õigus Artikkel 19 5G-võrkude ja teenuste turvalisuse kava rakendamise pädevus. 1. Majandusküsimuste ja digitaalse ülemineku ministeerium on pädev kohaldama 5G-võrkude ja -teenuste turvasüsteemi lõppseadmete ja nendega ühendatud seadmete operaatoritele, tarnijatele ja tootjatele või neile, kes neid turule viivad. Kõigis kõrge riskitasemega tarnijaid mõjutavates küsimustes tegutseb ta riikliku julgeolekunõukogu koordineerimisel. Teised ministeeriumi osakonnad kohaldavad ärikasutajate suhtes 5G võrkude ja teenuste turvalisuse kavas sisalduvaid turvakohustusi. Majandusküsimuste ja digitaalse ülemineku ministeerium kooskõlastab oma tegevuse teiste pädevate asutustega, tagamaks 5G-võrkude ja teenuste turvalisuse kava järjepidev rakendamine, mis on kohustatud isikutele võimalikult koormav. Pädevad asutused kohandavad turvakohustuste ulatust ja intensiivsust vastavalt 5G-võrkude ja teenuste turvalisuse kavas antud prioriteedile asjaomase riski suhtes, samuti nende võimalikku mõju võrgu kasutuselevõtu kiirusele ja kuludele ning kasutajatele teenustele juurdepääsu võimaldamisele. 2. Pädevad asutused võivad käesoleva seaduse kohaldamiseks kasutada järgmisi volitusi. a) Anda välja ministri korraldusi, tehnilisi juhiseid ning suuniseid 5G- võrgu- ja teenuse turbesüsteemi sisu täpsustamiseks. b) Teha otsuseid, milles täpsustatakse iga operaatori või tarnija, tootja või lõppseadmeid või ühendatud seadmeid või nende kategooriaid 19  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat turule viiva isiku või ärikasutaja kohustusi, mis on vastuvõtjatele siduvad. c) Valmistada ette teabepäringuid. d) Edastada käesoleva seadusega seotud isikutele tegevust või tegevusetust puudutavaid ettekirjutusi tuvastatud puuduste kõrvaldamiseks. e) Viia läbi kontrolle ja auditeid või anda korraldusi neid läbi viia. f) Kontrollida lõppseadmeid ja ühendatud seadmeid. g) Kasutada karistuste määramise õigust. h) Anda riigiabi. i) Kasutada muid haldusõigusest tulenevaid volitusi. Artikkel 20 Ärakuulamine enne tehniliste juhiste, suuniste ja resolutsioonide vastuvõtmist. Pädevad asutused kuulavad ära õiguste ja õigustatud huvidega isikud, keda nende poolt välja antud tehnilised juhised, suunised ja resolutsioonid mõjutavad. Soodustatakse kodanike ja ettevõtjate osalemist tehniliste juhiste koostamisel. Artikkel 21 Kontrollide läbiviimise volitused. 1. Majandusküsimuste ja digitaalse ülemineku ministeerium kasutab käesoleva seaduse sätete kohaldamisel ja järelevalves kõiki 9. mai 2014. aasta seaduse nr 9/2014 VIII jaotises sätestatud kontrollifunktsiooni volitusi. 2. Eelkõige võib lõppseadmete ja ühendatud seadmete tootjatelt või neid turule viivatelt tootjatelt ning 5G-võrkude ja teenuste ärikasutajatelt nõuda teabe esitamist ja koostööd käesoleva seaduse kohaldamisalasse kuuluvate operaatorite ja tarnijate kontrollimisel. 20  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat 3. 5G-võrkude ja teenuste tarneahela turvalisuse tagamiseks võib majandusküsimuste ja digitaalse ülemineku ministeerium nõuda ka ettevõtjatelt teavet oma tarnijate, toodete või teenuste kohta, mille osas nad on sõlminud lepingu. Operaatorid teavitavad ministeeriumit kõigist asjaoludest või andmetest, mis võivad olla niisuguse analüüsi seisukohast olulised. Samuti teavitavad nad neid kõigist olulistest muudatustest, mida nad kavatsevad teha oma tarnijatega või nendega seoses. Artikkel 22 Karistused 1. Kohaldatakse 9. mai 2014. aasta seaduse 9/2014 VIII jaotises sätestatud karistuste määramise korda, välja arvatud käesolevas artiklis sätestatud erijuhtudel. 2. Lisaks liigitatakse järgmised süüteod. a) 5G-võrkude ja teenuste turvalisuse kavas sätestatud kohustuste täitmata jätmine, kui need on vahetult täitmisele pööratavad, mis kujutab endast rasket rikkumist b) Pädevate asutuste otsuste täitmata jätmine, mis kujutab endast rasket rikkumist. c) Pädevate asutuste esitatud teabe- ja koostöönõuete täitmata jätmine, mis on kerge rikkumine. Tegemist on raske rikkumisega, kui ettekirjutus on esitatud ettevõtjatele või tarnijatele ja täitmise tähtaja lõpust on möödunud üks kuu. 3. Rikkumiste eest määratavad karistused, mida kohaldatakse 5G-võrkude ja teenuste operaatorite, tarnijate ning vajaduse korral lõppseadmete ja ühendatud seadmete tootjate või nende turuleviijate ning ärikasutajate suhtes, on järgmised. 21  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat a) Väga raskete rikkumiste eest rahatrahv kuni 20 000 000 eurot. See võib sisaldada ka riigihankelepingute seaduse 9/2017 artiklis 71 sätestatud töölevõtmise keeldu. b) Raskete rikkumiste eest rahatrahv kuni 2 000 000 eurot. c) Kergemate rikkumiste korral hoiatus või rahatrahv kuni 100 000 eurot. Kui tehakse kindlaks, et karistatava tegevusega tekitatud kahju või saadud kasu ületab neid summasid, suurendatakse karistust vastava summani. 4. 5G-võrkude ja teenuste turvasüsteemi rakendamise eest vastutavad asutused vastutavad ka karistuskorra kohaldamise eest järelevalve alla kuuluvate isikute suhtes. Esimene lisasäte. Operaatorite riskianalüüsi ja tarnijate turvatavade suunamine majandusküsimuste ja digitaalse ülemineku ministeeriumile. 1. Võrguoperaatorid peavad esitama nelja kuu jooksul alates käesoleva seaduse vastuvõtmisest järgneva. a) Oma 5G-võrkude ja teenuste või järgmise kahe aasta jooksul kasutusele võetavate 5G-võrkude ja teenuste riskianalüüs ning aruanne nende leevendamiseks võetavate tehniliste ja korralduslike meetmete kohta. b) Kui nad juba osutavad 5G-teenuseid või on sõlminud selleks lepingud, siis aruanne tarnijate kohta, kes nendega töötavad või hakkavad töötama, samuti nende tarnitavate või pakutavate või kavatsetult tarnitavate või pakutavate teenuste ning nende tarnijate turvatavade kohta. 2. Võrguettevõtjad esitavad eelmises lõikes osutatud aruannete uuendused korrapäraselt nelja kuu jooksul pärast nende valmimist. 22  TELEKOMMUNIKATSIOONI JA DIGITARISTU MAJANDUSKÜSIMUSTE RIIGISEKRETARIAAT JA DIGITAALSE ÜLEMINEKU MINISTEERIUM Telekommunikatsiooni ja audiovisuaalsete sideteenuste haldamise peadirektoraat Teine lisasäte. Seaduse kohaldamine elektroonilise side järgnevate põlvkondade suhtes. Käesolevat seadust kohaldatakse viiendale põlvkonnale järgnevate põlvkondade elektroonilise side võrkude ja teenuste turvalisuse tagamiseks seni, kuni nende jaoks ei ole erireegleid. Üleminekusäte. Tarnijate riskiprofiiliga seotud kohustused. Kuni 5G-võrkude ja teenuste turvasüsteemi heakskiitmiseni on majandusküsimuste ja digitaalse ülemineku ministeeriumi juhil pärast riikliku julgeolekunõukogu aruannet õigus kehtestada artiklis 14 osutatud tarnijate riskiprofiiliga seotud kohustused. Esimene lõppsäte. Volituste andmine. Käesolev seadus on vastu võetud kooskõlas artikli 149 lõikega 1. Põhiseaduse artikkel 21, mis annab riigile üldise telekommunikatsiooni korra osas ainupädevuse. Teine lõppsäte. Luba õigusaktide vastuvõtmiseks. Valitsusel on õigus võtta vastu õigusakte, nagu on sätestatud käesolevas seaduses. Kolmas lõppsäte. Jõustumine Käesolev seadus jõustub järgmisel päeval pärast selle avaldamist ametlikus väljaandes Boletín Oficial del Estado. 23