Taimar Peterkop Teie 22.10.2024 nr 2-5/24-01641;
Riigikantselei MKM/24-1057/-1T
[email protected]
Stenbocki maja Rahukohtu 3 Meie 01.11.2024 nr 6-1/2670-2
15161, Tallinn
Ülevaade õigeaegselt ülevõtmata direktiivist
Austatud Taimar Peterkop
Vastavalt Riigikantselei 2024. aasta 22. oktoobri resolutsioonile esitame ülevaate Euroopa
Parlamendi ja nõukogu direktiivi (EL) 2022/2555, mis käsitleb meetmeid, millega tagada
küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014
ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148
(küberturvalisuse 2. direktiiv).
Vastavalt küberturvalisuse 2. direktiivi artiklile 44, tuli direktiiv riigisisesesse õigusesse üle võtta
hiljemalt 17. oktoobriks 2024.
Ülevõtmise hilinemine on seotud vastutava osakonna (riikliku küberturvalisuse osakond) suure
töökoormusega, mis on tingitud osakonnas olevate kolleegide vahetusest, puudu olevate
kolleegide teemade ja ülesannete katmisest, küberturvalisuse valdkonnaga seotud eelnõude
koostamisest ning teiste valitsusasutuste eelnõude koostamisel osalemisest kui ka muudest
kiireloomulistest, sh ettenägematutest ülesannetest. Eelnõu koostamist on pärssinud ka Euroopa
Komisjonilt küberturvalisuse 2. direktiivi üle võtmisega seonduvate suuniste järkjärguline
täpsustamine ja uute lisanduvate sektorite (näiteks energia-, tervishoiu- ja keemiasektorite)
täpsemate sõnastuste paika panek, mis viimati saabusid juulis 2024. a. Kuna ka eelnõu
tagasisidestamine ja täiendamine võtavad aega, teavitati 8. augustil 2024 Euroopa Komisjoni 2.
küberturvalisuse direktiivi ülevõtmise võimalikust viivitusest. Eestiga sarnases olukorras on ka
paljud teised Euroopa Liidu liikmesriigid.
Siiski tuleb mainida, et Eesti tegi juba esimese NIS direktiivi (Euroopa Parlamendi ja nõukogu
direktiiv (EL) nr 2016/1148) üle võtmisel rohkem kui esimene direktiiv nõudis ning 2022.
aastal jõustunud küberturvalisuse seaduse muudatused on tugevaks aluspinnaks küberturvalisuse
2. direktiiviga seotud muudatuste tegemisel. Seetõttu on täiendatud küberturvalisuse 2. direktiivi
ja selle nõuete üle võtmine Eesti õigusesse oluliselt lihtsam kui paljude teiste Euroopa riikide
jaoks. Potentsiaalselt suurim murekoht on see, et küberturvalisuse 2. direktiivi tulemusena laieneb
küberturvalisuse seaduse subjektide ring, mistõttu võtab küberturvalisuse 2. direktiivist tulenevate
nõuete rakendamine uutes organisatsioonides teatava aja ning panuse.
Paraku on ka küberturvalisuse 2. direktiivi üle võtva eelnõu tervikteksti koostamine ja direktiivi
Suur-Ameerika 1 / 10122 Tallinn / 625 6342 /
[email protected] / www.mkm.ee
Registrikood 70003158
ülevõtvate sätete analüüs olnud arvestatust ajamahukam. Eelkõige on tegemist
planeerimisvigadega, mida saab tulevikus vältida eelnõu varasema alustamisega. Samuti tuleb
edaspidiste hilinemiste vältimiseks tulevikus võimalusel rohkem aega varuda ja arvestada
ettenägematute olukordadega, mis eelnõu koostajate töökoormust mõjutavad.
Küberturvalisuse 2. direktiiv on kavas üle võtta ennekõike küberturvalisuse seaduse muutmisega,
kuid mõningates teistes seadustes1 tehakse väiksemaid muudatusi. Koos sellega tehakse ka
parandusi teatud Vabariigi Valitsuse või ministri määrustes. Oleme hetkel eelnõu koostamise faasis
ning enne käesoleva aasta lõppu soovime teha eelnõu avalikult kättesaadavaks eelnõude
infosüsteemi vahendusel. Pärast saadud tagasiside analüüsi, edastame eelnõu Vabariigi Valitsuse
vahendusel ka Riigikokku. See kõik toimub eelduslikult 2025. aasta I poolaastal.
Lugupidamisega
(allkirjastatud digitaalselt)
Ahti Kuningas
kantsler
Raavo Palu
[email protected]
1
Muudetakse e-identimise ja e-tehingute usaldusväärsuse seadust, Eesti Rahvusringhäälingu seadust, elektroonilise
side seadust, hädaolukorra seadust, lennundusseadust, raudteeseadust, sadamaseadust ning tervishoiuteenuste
korraldamise seadust; tegemist on esialgse nimekirjaga ning muudetavate õigusaktide nimekiri võib veel muutuda.
2 (2)