Majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruse nr 53 „Küberintsidentide registri põhimäärus“ muutmise määruse eelnõu

Riigi Infosüsteemi Amet Andmekaitse Inspektsioon Meie 26.01.2026 nr 8-1/616-1 Statistikaamet Maa- ja Ruumiamet Rahvusarhiiv Majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruse nr 53 „Küberintsidentide registri põhimäärus“ muutmine Saadame kooskõlastamiseks majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruse nr 53 „Küberintsidentide registri põhimäärus“ muutmise määruse eelnõu. Ootame teie kooskõlastusi ja arvamusi hiljemalt 10 tööpäeva jooksul alates kirja kuupäevast. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisad: 1. Ministri määruse eelnõu 2. Ministri määruse seletuskiri Raavo Palu [email protected] Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898  MINISTRI MÄÄRUSE EELNÕU MINISTRI MÄÄRUS Majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruse nr 53 „Küberintsidentide registri põhimäärus“ muutmine Määrus kehtestatakse küberturvalisuse seaduse § 13 lõike 3 alusel. § 1. Majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruses nr 53 „Küberintsidentide registri põhimäärus“ tehakse järgmised muudatused: 1) paragrahv 2 sõnastatakse järgmiselt: „§ 2. Registri pidamise eesmärk Registri eesmärk on pidada arvestust küberintsidentide, küberohtude ja turvahaavatavuste üle ning analüüsida registrisse esitatud teavet küberintsidentide, küberohtude ja turvahaavatavuse ennetamiseks või lahendamiseks, ohuteadete edastamiseks ning järelevalvetoimingute tegemiseks.“; 2) paragrahvi 5 lõike 1 punkti 1 ning lõike 2 punkte 1 ja 2 täiendatakse pärast sõna „küberintsidendist“ tekstiosaga „, küberohust või turvahaavatavusest“; 3) paragrahvi 5 lõike 1 punkte 2 ja 8 täiendatakse pärast sõna „küberintsidendi“ tekstiosaga „, küberohu või turvahaavatavuse“; 4) paragrahvi 5 lõike 1 punkti 4 ja § 9 lõike 3 punkti 2 täiendatakse pärast sõna „küberintsident“ tekstiosaga „, küberoht või turvahaavatavus“; 5) paragrahvi 5 lõike 1 punktis 6 asendatakse tekstiosa „ja lahendaja“ tekstiosaga „, lahendaja ja käsitleja“; 6) paragrahvi 5 lõike 2 punkti 2 täiendatakse pärast sõna „lahendava“ tekstiosaga „ning küberohtu või turvahaavatavust käsitleva“; 7) paragrahv 6 sõnastatakse järgmiselt: „§ 6. Andmeandja Andmeandjaks on: 1) teenuseosutaja; 2) muu isik kui teenuseosutaja.“; 8) paragrahvi 7 lõige 4 tunnistatakse kehtetuks; 9) paragrahv 10 sõnastatakse järgmiselt: „§ 10. Registriandmete ja registritoimingute andmete säilitamise tingimused Andmed, mis on registrisse kantud, kuid ei ole vajalikud küberintsidendi, küberohu või turvahaavatavuse analüüsimiseks, võib kustutada enne seaduses sätestatud tähtaja saabumist.“. § 2. Määrus jõustub 1. veebruaril 2026. a. 1 Liisa-Ly Pakosta justiits- ja digiminister Tiina Uudeberg kantsler 2  13.01.2026 Majandus- ja infotehnoloogiaministri 17. augusti 2023. a määruse nr 53 „Küberintsidentide registri põhimäärus“ muutmise määruse eelnõu SELETUSKIRI 1. Sissejuhatus 1.1. Sisukokkuvõte Küberturvalisuse 2. direktiiv ehk NIS2-direktiiv võeti suuremas osas üle küberturvalisuse seaduse ja teiste seaduste muutmise seadusega (küberturvalisuse 2. direktiivi ülevõtmine, eelnõu 739 SE (edaspidi 739 SE)).1 Määrusega täiendatakse küberintsidentide registri põhimäärust, kuna Riigi Infosüsteemi Ametile esitatakse 739 SE kohaselt lisaks teabele küberintsidentide kohta ka teave küberohtude ja turvahaavatavuste kohta, mis kantakse samasse registrisse. Seetõttu tehakse muudatusi registri pidamise eesmärgis, registriandmete koosseisus ja andmekaitse järelevalveasutusele edastatavates andmetes. Lisaks eeltoodule tehakse samas määruses ka muid, tehnilisemaid muudatusi, kuna registriga seotud õigusnormid on viidud ka küberturvalisuse seadusesse. Siin kommenteeritav eelnõu halduskoormuse kasvu ette ei näe, tehtavad muudatused on seotud ennekõike ühe ametiasutuse (Riigi Infosüsteemi Ameti) töökoormusega. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse talituse küberturvalisuse õigusnõunik Raavo Palu ([email protected]). Eelnõu on keeleliselt toimetanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Inge Mehide ([email protected]). 1.3. Märkused Eelnõu on seotud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõuga 739 SE. Selle eelnõuga võetakse üle Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152) (edaspidi ka NIS2-direktiiv). Eelnõukohase määrusega muudetakse majandus- ja infotehnoloogiaministri 17. augusti 2023. a määrust nr 53 „Küberintsidentide registri põhimäärus“ (edaspidi määrus nr 53) (RT I, 24.08.2023, 3). Eelnõu on seotud 2025.–2027. aasta koalitsioonileppe riigikaitse ja julgeoleku valdkonna eesmärgiga „tagame Eesti digiühiskonna toimepidevuse nii, et teenused on küberturvaliselt 1 1 Eelnõude infosüsteemi toimikud 24-1266 ja 25-0926. Riigikogus olev eelnõu: https://www.riigikogu.ee/tegevus/eelnoud/eelnou/4429a2b9-e6e2-41cf-991d-f6955c6c4a69/kuberturvalisuse- seaduse-ja-teiste-seaduste-muutmise-seadus-kuberturvalisuse-2.-direktiivi-ulevotmine/. 1 kättesaadavad igas olukorras“ ning tõhusa asjaajamise valdkonna eesmärgiga „võtame Euroopa Liidu õiguse üle Eestile sobivaimal moel ja teeme Euroopas ettepanekud sobimatute normide muutmiseks, sealhulgas ettepanek lükata edasi kestlikkusaruandluse esitamine ja muuta need vabatahtlikuks“.2 Eelnõu väljatöötamise alus on Vabariigi Valitsuse tegevusprogrammi 2023– 20273 ELi direktiivide valdkonna all olev ülesanne „Eelnõu direktiivi (EL) 2022/2555 ülevõtmiseks (küberturvalisuse 2. direktiiv)“. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb kahest paragrahvist. Paragrahviga 1 muudetakse majandus- ja infotehnoloogiaministri 17. augusti 2023. a määrust nr 53 „Küberintsidentide registri põhimäärus“. Paragrahv koosneb üheksast punktist. Paragrahvis 2 tehtavad muudatused on ennekõike seotud asjaoluga, et 739 SE muudatuste tulemusena kantakse registrisse ka teave küberohtude ja turvahaavatavuste kohta. Seetõttu tehakse muudatusi registri pidamise eesmärgis (eelnõu § 1 punkt 1), registriandmete koosseisus (eelnõu § 1 punktid 2–6) ja andmekaitse järelevalveasutusele edastatavates andmetes (eelnõu § 1 punkt 4). Eelnõu § 2 punktides 5 ja 6 on lisatud asjakohastesse sätetesse sõna „käsitleja“ või „käsitleva“, kuna küberintsidente lahendatakse, kuid küberohte ja turvahaavatavusi käsitletakse. Paragrahvi 1 punktiga 7 muudetakse määruse nr 53 § 6 ehk andmeandja kohta käivat sõnastust. 739 SE kohaselt kantakse registrisse küberintsidendist, küberohust või turvahaavatavusest teataja andmed ning selle teataja kohta on kasutatud terminit „andmeandja“. Samuti tuleb määruses nr 53 määrata kindlaks, kes on andmeandja. Selle kohta saab lugeda 739 SE kohase küberturvalisuse seaduse § 13 lõikest 11 ja lõike 4 punktist 2. Teenuseosutajana mõistetakse 739 SE kohase küberturvalisuse seaduse § 3 lõigetes 2–5 nimetatud üksusi. Muude isikute all mõeldakse neid isikuid (sh üksusi), kes ei pea edastama Riigi Infosüsteemi Ametile küberintsidentide, küberohtude või turvahaavatavuse teavet. Selle kohta saab lugeda ka 739 SE kohase küberturvalisuse seaduse § 81 sisu ja selgitusi. Paragrahvi 1 punktiga 8 tunnistatakse määruse nr 53 § 7 lõige 4 kehtetuks, kuna registritoimingute andmete säilitamise tähtaeg reguleeritakse 739 SE kohaselt küberturvalisuse seaduse § 13 lõike 5 punktis 3. Selles punktis sätestatakse, et nende andmete säilitamise tähtaeg on kolm aastat, mis vastab kehtetuks tunnistatavas punktis olevale tähtajale. Paragrahvi 1 punktiga 9 muudetakse määruse nr 53 § 10 (registriandmete säilitamise tähtaeg) sõnastust. Muudatuse põhjuseks on asjaolu, et registriandmete säilitamise tähtajad reguleeritakse 739 SE kohaselt küberturvalisuse seaduse § 13 lõikes 5. Seetõttu hõlmab määruse nr 53 uuendatud § 10 ainult neid aspekte, mida on määruse tasandil võimalik täpsustada 739 SE kohase küberturvalisuse seaduse § 13 lõike 4 punkti 5 alusel (lauseosa Käesoleva paragrahvi lõikes 3 nimetatud määruses sätestatakse .. 5) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused). Kommenteeritava punktiga muudetava paragrahvi sisu säilitab määruse nr 53 § 10 lõike 3 sisu (lause Teabe, mis on registrisse kantud, kuid ei ole vajalik intsidendi analüüsimiseks, võib kustutada enne lõikes 1 sätestatud tähtaja saabumist). Registrisse kantavateks andmeteks on näiteks teave küberintsidendi küberohu või turvahaavatavuse kohta. Küberintsidendi puhul on vastava 2 https://valitsus.ee/valitsuse-eesmargid-ja-tegevused/valitsemise-alused/koalitsioonilepe-2025–2027 3 https://valitsus.ee/sites/default/files/documents/2023-05/VVTP%202023-2027_26.pdf 2 teavituse sisu ette nähtud küberturvalisuse seaduse § 8 lõike 8 alusel kehtestatavas määruses. Viidatud määruse eelnõu on hetkel ettevalmistamisel. Siinse muudatusega ei säilitata määruse nr 53 § 10 lõike 2 sisu (lause Säilitamise tähtaja saabumisel registriandmed kustutatakse), kuna vastav nõue on oma sisult olemas juba asjaolus, et küberturvalisuse seadus määratleb andmete säilitamise tähtajad, mille saabudes tuleb need kustutada. Sama nõue on isikuandmete puhul olemas näiteks isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis b sätestatud säilitamise piirangu põhimõttes. Paragrahviga 2 nähakse ette määruse jõustumise aeg, milleks on 1. veebruar 2026 (vt seletuskirja punkti 6). 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu järgib õigusnormide loomisel NIS2-direktiivi. Eelnõu vastab NIS2-direktiivile ning kuna direktiiv võeti ennekõike üle 739 SEga, on seaduseelnõu materjalide juures ka NIS2- direktiivi vastavustabel. Määruse eelnõu on abiks seaduseelnõu rakendamisel. 4. Määruse mõjud Eelnõuga tehtavad muudatused ei ole olulise mõjuga, kuna sisulisi muudatusi ei tehta. Riigi Infosüsteemi Ameti töökoormusega seotud mõjud on leitavad seletuskirja punktist 5. 5. Määruse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Eelnõuga tulusid ei prognoosita. Küberintsidentide registris ei ole kavandatud muudatuste jaoks lisaarendusi vaja teha, kuna registri funktsionaalsus juba toetab neid muudatusi. Kuna registri andmekoosseis muutub, peab Riigi Infosüsteemi Amet enne seda kooskõlastama dokumentatsiooni avaliku teabe seaduse § 433 lõike 3 järgi ja sama paragrahvi lõike 5 alusel kehtestatud määruse järgi riigi infosüsteemi haldussüsteemis4. Tegemist on ühekordse ülesandega ning see ei kasvata ameti töökoormust. 6. Määruse jõustumine Määrus jõustub 1. veebruaril 2026. Jõustumisaja puhul on lähtutud asjaolust, et see võimaldab Riigi Infosüsteemi Ametil kooskõlastada eelnõu riigi infosüsteemi haldussüsteemis paralleelselt siinse seletuskirjaga kaasneva kooskõlastusega. 7. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon 7.1. Enne eelnõu koostamist toimusid kaasamised seoses NIS2-direktiivi ülevõtmisega. Nende käigus sai anda tagasisidet muu hulgas ka siin kommenteeritava eelnõuga sätestatavate nõuete kohta. Sellekohane tagasiside ja vastused on leitavad 739 SE dokumentide juurest. Samuti on seletuskirjas asjakohasel juhul selgitatud märkusi, mis saabusid 739 SE kohta enne selle esitamist Riigikogule. 7.2. Eelnõu esitatakse eelnõude infosüsteemi kaudu arvamuse avaldamiseks Riigi Infosüsteemi Ametile, Andmekaitse Inspektsioonile, Statistikaametile, Maa- ja Ruumiametile ning Rahvusarhiivile. 4 https://www.riha.ee/Infos%C3%BCsteemid/Vaata/Register 3