Hädaolukorra seaduse muutmine

Riigikantselei Justiitsministeerium Kliimaministeerium 15.11.2024 nr 2-2/2882-1 Regionaal- ja Põllumajandusministeerium Sotsiaalministeerium Eesti Linnade ja Valdade Liit Hädaolukorra seaduse muutmine Esitame kooskõlastamiseks ja arvamuse avaldamiseks hädaolukorra seaduse muutmise seaduse eelnõu. Palume Teie tagasisidet 30 päeva jooksul eelnõu avaldamisest eelnõude infosüsteemis. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisad: 1) eelnõu; 2) seletuskiri. Lisaadressaadid: Eesti Pank Riigi Infosüsteemi Amet Tarbijakaitse ja Tehnilise Järelevalve Amet Eesti Pangaliit Eesti Elektritööstuse Liit Eesti Jõujaamade ja Kaugkütte Ühing Eesti Gaasiliit Eesti Infotehnoloogia ja Telekommunikatsiooni Liit AS Eesti Varude Keskus Eesti Kaubandus-Tööstuskoda Eesti Toiduainetööstuse Liit Eesti Põllumajandus-Kaubanduskoda Eesti Transpordikütuste ühing Eesti Proviisorite Koda Eesti Apteekrite Liit Eesti Proviisorapteekide Liit Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  Eesti Vee-ettevõtete Liit Eesti Turvaettevõtete Liit Eesti Haiglate Liit Eesti Arstide Liit Eesti Perearstide Selts Eesti Kiirabi Liit Eesti Ravimihulgimüüjate Liit Ravimitootjate Liit Guido Pääsuke [email protected] 2 (2)  EELNÕU 13.11.2024 Hädaolukorra seaduse muutmise seadus Hädaolukorra seaduses tehakse järgmised muudatused: 1) paragrahvi 38 lõikes 14 asendatakse tekstiosa „§-s 41“ tekstiosaga „§ 41 lõikes 1“; 2) paragrahvi 41 lõige 2 muudetakse ja sõnastatakse järgmiselt: „(2) Kui elutähtsa teenuse toimepidevuse tagamiseks vajalikud andmed või seadmed asuvad välisriigis, peab elutähtsa teenuse osutaja tagama elutähtsa teenuse toimepidevuse dubleerivate vahendite ja tehnoloogiliselt alternatiivsete lahenduste abil ajal, kui välisriigis asuvatele andmetele või seadmetele juurdepääsuks kasutatav tavapärane elektroonilise side teenus või võrk ei toimi.“; 3) paragrahvi 45 lõike 1 punkt 3 muudetakse ja sõnastatakse järgmiselt: „3) haldus- või riiklikku järelevalvet käesoleva seaduse §-des 38–41, § 411 lõigetes 3 ja 4, § 412 lõikes 1 ning § 37 lõike 2 ja § 39 lõike 5 alusel kehtestatud nõuete täitmise üle teeb elutähtsa teenuse toimepidevust korraldav asutus või tema § 37 lõike 5 alusel määratud asutus, finantsjärelevalve subjektide suhtes teeb haldus- või riiklikku järelevalvet §-des 38–41, § 411 lõigetes 3 ja 4 ning § 37 lõike 2 ja § 39 lõike 5 alusel kehtestatud nõuete täitmise üle Finantsinspektsioon;“; 4) paragrahvi 45 lõike 1 punkt 4 tunnistatakse kehtetuks. Lauri Hussar Riigikogu esimees Tallinn, „…..“ ………………. 2024. a ________________________________________________ Algatab Vabariigi Valitsus „.....“ ....................... 2024. a nr….  13.11.2024 Hädaolukorra seaduse muutmise seaduse eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Eelnõukohase seadusega muudetakse hädaolukorra seaduse (edaspidi HOS) elutähtsa teenuse toimepidevust, sh kättesaadavust puudutavaid sätteid. Muudatuse kohaselt peab elutähtsa teenuse osutaja (edaspidi ETO), kelle osutatava elutähtsa teenuse toimimiseks vältimatult vajalikud andmed või seadmed asuvad välisriigis, teenuse toimimiseks ette nägema vähemalt kaks tehnoloogiliselt erinevat elektroonilise side teenust, et oleks tagatud ühendus välisriigiga. Teiseks kaotatakse eelnõuga Riigi Infosüsteemi Ameti (edaspidi RIA) kohustus teha järelevalvet alternatiivsete sideühenduste olemasolu üle ning antakse see ülesanne elutähtsa teenuse toimepidevust korraldavale asutusele (edaspidi ETKA). 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse teadus- ja tehnoloogiajuht Ilmar Vessin (e-post [email protected]) ja sama osakonna õigusnõunik Guido Pääsuke (e-post [email protected]) koostöös Riigikantselei julgeoleku ja riigikaitse koordinatsioonibüroo ametnikega. Eelnõu õigusliku ekspertiisi käigus esitas ettepanekuid Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass ([email protected]). Eelnõu ja seletuskirja on keeleliselt toimetanud Justiitsministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Merike Koppel (e-post [email protected]). 1.3. Märkused Eelnõu ei ole seotud ühegi muu menetluses oleva eelnõuga. Hea õigusloome ja normitehnika eeskirja § 1 lõike 2 punkti 5 kohaselt ei ole seaduseelnõu väljatöötamiskavatsus nõutav, kui seaduseelnõu seadusena rakendamisega ei kaasne olulist õiguslikku muudatust või muud olulist mõju. Eelnõukohase seadusega muudetakse hädaolukorra seadust (RT I, 08.10.2024, 27). Eelnõu seadusena vastuvõtmiseks on vaja Riigikogu poolthäälte enamust. 2. Seaduse eesmärk Seaduse eesmärk on ajakohastada elutähtsa teenuse toimepidevusega seotud nõudeid, arvestades uutest tehnoloogiatest tulenevaid väljakutseid ja võimalusi, parandades seeläbi toimepidevust, sealhulgas elutähtsa teenuse kättesaadavust kasutajatele. Uute tehnoloogiliste lahenduste kasutamise võimaldamine suurendab ka selle teenuse vastupidavust erinevatele rünnetele ja tagab selle parema toimimise ohuolukordades. 1 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb neljast punktist. HOS § 38 lõike 14 muudatusega täpsustatakse RIA osalust elutähtsa teenuse toimepidevuse tagamiseks sätestatud nõuete täitmise tähtaja määramises ettevõtja esmakordsel elutähtsa teenuse osutajaks määramise korral. Sätte kohaselt on ETKA-l või tema volitatud elutähtsat teenust korraldaval asutusel õigus küsida RIA arvamust tähtaja kohta, mille jooksul peab määratav ETO viima oma tegevuse kooskõlla muu hulgas küberturvalisuse seaduses ETO-le sätestatud küberturvalisuse nõuetega. HOS § 41 lõige 2. Sätte kehtivat versiooni1 rakendades on lähtutud paljuski põhimõttest, et teenuse toimepidevusega seotud andmed ja seadmed tuleb dubleerida Eestis, arvestades võimalusega Eesti ja välisriikide vahel toimuva võrguliiklus täieliku sulgemisega (2007. aastal toimunud küberrünnaku tõrjumisel kaalutud meede). ETO-d on välja toonud, et arvestades toimunud tehnoloogilisi arenguid ning Eesti sõltuvust väljaspool Eesti territooriumi asuvatest infotehnoloogilistest ressurssidest, ei ole Eestis absoluutne võrguliikluse välismaailmast eraldamine praktikas tõhus ega ka teostatav meede, kuna toob kaasa tõsisemaid tagajärgi kui seeläbi ära hoitav kahju. Kaitseks selliste rünnakute vastu on võimalik rakendada nutikamaid ja kaasaegsemaid kaitsemeetmeid, mis ründe mõju vähendavad. Samuti on täiustunud võrguarhitektuur, ajas on kasvanud välisühenduste kvaliteet ning paljusus ja teised tehnilised võimekused2. Senise praktika jätkamine toob omakorda kaasa majanduslikult ebamõistlikud investeeringud ja halduskulud. Mõnel juhul ei pruugi sätte täitmine olla teostatav, kuna juba praegu kasutatakse pilvepõhiseid lahendusi. Samuti ei võimalda kehtiv rakendus praktika kasutusele võtta uusi ja ajakohaseid lahendusi ning selle järgimine võib hoopis kaasa tuua teenuse kvaliteedi ja kättesaadavuse halvenemise. Teenuste dubleerimisel Eestisse võib tekkida hinnatõus teenusele ja teenuse lõpptarbijale. Kasutatavast praktikast lähtuvalt ei pruugi piisata ka Eestis asuvate infosüsteemide vastase füüsilise rünnaku ohustsenaariumi puhul. Enamik elutähtsaid teenuseid sõltub infotehnoloogiast. Seega peavad ETO-d valmistuma võrgu- ja infosüsteemide kompromiteerimise ja katkestuste olukordadeks ning nägema ette ka üksteisest sõltumatud toimimise alternatiivid, et teenus toimiks ka ettenägematus olukorras (küberründed, tavapäraste sideühenduste katkestused). Teenuste toimepidevuse tagamiseks tuleb kasutusele võtta kriisikindlamad infotehnoloogilised lahendused, mis aga ei peaks eeldama võrgu- ja infosüsteemi füüsilist paiknemist Eestis, kuid peaks siiski võimaldama muu hulgas pilvteenuste kasutamist. Elutähtsate teenuste toimepidevuse tagamiseks kasutatakse Eestis juba praegu füüsilisest asukohast sõltumatuid ajakohaseid võrgu- ja infosüsteeme. See toob omakorda esile vajaduse hoida välisriigis asuvate andmete ja seadmetega pidevat ühendust ning tõrgete (nt primaarse sideteenuse kompromiteerimine) ennetamine eeldab tehnoloogiliselt erinevate sideühendusete olemasolu. Erinevate tehnoloogiliste lahenduste kasutamise eesmärk sideühenduste puhul on tagada ühenduse toimivus ühe tehnoloogilise lahenduse äralangemise korral. Näiteks saab tehnoloogiliselt erinevateks lahendusteks pidada satelliitsidet ja kaabelühendusel põhinevaid sidelahendusi, kuna need kasutavad välisühenduse tagamisel erinevaid alustehnoloogiaid. Ühel juhul on selleks raadiolained ja sidesatelliidid, teisel juhul optilised kaablid ja valgussignaalid. Samas ei saa eelnõu tähenduses tehnoloogiliselt erinevateks pidada lahendusi, mis põhinevad 1 (2) Kui elutähtsa teenuse toimimist tagavad infosüsteemid asuvad välisriigis, tagab elutähtsa teenuse osutaja elutähtsa teenuse toimepidevuse ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest. 2 Eesti Pangaliidu 08.06.2022 kiri nr 25 kiri Riigi Infosüsteemi Ametile. 2 samal alustehnoloogial. Näiteks võivad üksteisest sõltumatud sideteenuse pakkujad kasutada välisriiki ühenduse pakkumise korral sama tehnoloogilist lahendust (nt sama merekaabel) ja selle purunedes katkeb ka mõlema sideteenuse pakkuja ühendus. ETO-l on vaja toimepidevuse riskianalüüsis ja plaanis hinnata, millistel tehnoloogilistel lahendustel olemasolev teenus põhineb ning milliseid sideühendusi kasutatakse. Elutähtsa teenuse osutaja, kelle teenuse toimimiseks vajalikud andmed või tehnoloogilised lahendused juba asuvad välisriigis ja kellele laieneb elutähtsa teenuse osutamise kohustus, saab jätkata olemasoleva süsteemi kasutamist ilma vajaduseta seda Eestis dubleerida. Piisab, kui teenuseosutaja korraldab ühenduse välisriigis asuvale süsteemile mitme sõltumatu sidelahenduse kaudu, mis võimaldab süsteeme kriitilistes olukordades kiirelt taastada ja ühendust hoida, vältides ebamõistlikku kulu ja keskendudes samal ajal teenuse toimepidevuse tagamisele. Mitmete dubleerivate, aga samas tehnoloogiliselt erinevate sidelahenduste (nt merekaabel ja satelliitside) kasutamine tagab süsteemide vajaliku paindlikkuse ja stabiilsuse, võimaldades elutähtsa teenuse osutajal säilitada oma teenuste katkematu toimimine ka üht liiki ühenduse katkemise korral. Juhul kui välisriigis asuvatele andmetele või seadmetele juurdepääsu ja teenuse toimimise tagamine alternatiivsete sidelahenduste kaudu ei ole tehniliselt võimalik või osutub äriliselt põhjendamatuks, on oluline kaaluda teenuse andmete dubleerimist ja teenuse toimimise tagamist nii, et sõltuvus välisriigis asuvatest andmetest või seadmetest oleks välistatud. Muudatusega ei kehtestata kohustust viia teenuste toimimise tagamine välisriiki, vaid antakse kõnealuse teenuse osutajatele võimalus hinnata oma vajadusi ja riske ning vajaduse korral rakendada lisameetmeid, mis võivad parandada teenuse kättesaadavust ja vähendada sõltuvust üksikutest asukohtadest. Selline paindlik lähenemisviis võimaldab elutähtsa teenuse osutajal ise otsustada, milline strateegia on tema konkreetse teenuse ja ärivajaduste jaoks sobivaim, olgu see siis alternatiivsete sidelahenduste kasutamine, lokaalne dubleerimine või muu tehniline lahendus, mis tagab teenuse toimivuse ja kättesaadavuse. Lisaks aitab see ettevõtjatel valida lahendusi, mis on majanduslikult mõistlikud ja kooskõlas nende äritegevuse ulatuse ning kasutatava taristu vajadustega, võimaldades tagada optimaalse kombinatsiooni ühenduse mitmekesisusest, turvalisusest ja majanduslikust elujõulisusest. Sätte muudatust tuleb vaadelda koosmõjus HOS-i § 38 lõike 3 punktidega 2 ja 3. Samas ei eelda eelnõuga lisatav säte, et ETO-l on omaenda dubleerivad vahendid (nt oma liinirajatis), vaid seab eeltingimuseks, et tal on võimalus kasutada välisriigis asuvate andmete või seadmetega ühenduse saamiseks vähemalt kahel erineval tehnilisel lahendusel põhinevat sideteenust. HOS-i § 45 lõike 1 punkt 4 kehtetuks tunnistamisega kaotatakse RIA ülesanne teha riiklikku ja haldusjärelevalvet HOS-i §-s 41 sätestatud nõuete täitmise üle. Viidatud HOS-i paragrahvi lõige 1 sätestab ETO kohustuse järgida küberturvalisuse seaduse nõudeid. Vastavalt küberturvalisuse seaduse § 14 lõikele 1 teeb järelevalvet seaduses ja selle alusel antud õigusaktides sätestatud nõuete täitmise üle RIA. Seega on see säte oma olemuselt korduv viide RIA ülesandele. Eelnõukohase seadusega muudetava HOS-i § 41 lõike 2 kohaselt (vt ka muutmise seletust eespool) peab ETO-l olema elutähtsa teenuse osutamiseks vältimatult vajalike välisriigis asuvate andmete või seadmetega ühenduse pidamiseks vähemalt kaks dubleerivat vahendit või tehnoloogiliselt alternatiivset lahendust. Kuna nõue puudutab elektroonilise side teenuse või võrgu olemasolu ega käsitle küberturvalisuse tagamist, ei ole eelduse täitmise kontrollimine RIA pädevuses. Eeltoodut arvestades on mõistlik säte kehtetuks tunnistada. 3 HOS-i § 45 1õike 1 punkti 3 muutmisega, jääb seoses RIA järelevalvekohustuse kaotamisega ülesande lõpetamisega järelevalve kohustus kõigi elustähtsa teenuse toimepidevusega seotud nõuete üle vastavalt ETKA-le või tema volitatud asutusele või Finantsinspektsioonile (vt ka HOS § 45 lõike 1 punkti 4 kehtetuks tunnistamise seletust). 4. Eelnõu terminoloogia Eelnõus ei kasutata uusi mõisteid ja termineid. 5. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on kooskõlas Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiivi (EL) nr 2022/2557, mis käsitleb elutähtsa teenuse osutajate toimepidevust ja millega tunnistatakse kehtetuks nõukogu direktiiv 2008/114/EÜ, artikli 1 lõikega 1, artikli 4 lõike 2 punktiga g ja artikli 9 punktiga 6. 6. Seaduse mõjud Eelnõukohane seadus mõjutab siseturvalisust, infotehnoloogia- ja infoühiskonda ning riigivalitsemist. 6.1. Välisriigis asuvate andmete või seadmetega ühenduse olemasolu nõue Seadusega kehtestatakse nõue, mille kohaselt peab elutähtsa teenuse osutaja juhul, kui elutähtsa teenuse toimepidevuse tagamiseks vajalikud andmed või seadmed asuvad välisriigis ning ajal, kui välisriigis asuvatele andmetele või seadmetele juurdepääsuks kasutatav tavapärane elektroonilise side teenus või võrk ei toimi, tagama elutähtsa teenuse toimepidevuse dubleerivate vahendite ja alternatiivsete tehnoloogiliste lahenduste abil. 6.1.1. Mõju valdkond: mõju siseturvalisusele (siseturvalisuse mõjuvaldkond) Mõju sihtrühm: ETO-d ja ühiskond Muudatus mõjutab elutähtsate teenuste ja ühiskonna kriisideks valmisolekut. Avalduv mõju ja mõju olulisus Muudatusega suurendatakse ETO-de võimalust kasutada erinevaid tehnoloogilisi lahendusi elutähtsa teenuse toimepidevuse tagamiseks, sealhulgas erinevates ohuolukordades. Järeldus mõju olulisuse kohta: mõju on oluline, sest seadus võimaldab kasutada elutähtsate teenuste osutamiseks ajakohaseid tehnoloogilisi lahendusi, suurendades seeläbi teenuste ja ühiskonna kriisikindlust (parem siseturvalisus). 6.1.2. Mõju valdkond: mõju elektroonilisele sidele ja teenustele (infotehnoloogia- ja infoühiskonna mõjuvaldkond) Mõju sihtrühm: ETO-d ja infotehnoloogiateenuste osutajad Muudatuse tulemusel suureneb ETO valikuvabadus elutähtsa teenuse osutamiseks kasutavate infotehnoloogiliste vahendite arendamisel ja kasutamisel. Samas võib eelnõu vähendada vajadust Eestis asuvate andmekeskuste andmehoidmisteenuste järele. 4 Avalduv mõju ja mõju olulisus Eelnõukohase seadusega ei kohustata elutähtsa teenuse osutajaid valima kindlat tehnoloogiat ega piirata teenuse osutamiseks ja toimepidevuse tagamiseks kasutatavate tehnoloogiate või muude alternatiivide valikut. Seega avaldab eelnõukohane seadus asjaomasele valdkonnale vähest mõju. Järeldus mõju olulisuse kohta: mõju on väike, sest elutähtsa teenuse osutajate haldus- ja töökoormus ei muutu, kuna muudatus pigem suurendab õigusselgust ja ettevõtjate õiguskindlust. 6.2. Riigi Infosüsteemi Ameti ülesannete muutmine Eelnõu seadusena jõustudes kaob RIA kohustus teha haldus- ja riiklikku järelevalvet HOS-i §- s 41 sätestatud nõuete üle ning vastav järelevalvekohustus läheb üle ETKA-le. Mõju valdkond: mõju keskvalitsuse korraldusele ning kohaliku omavalitsuse korraldusele ja finantseerimisele (riigivalitsemise mõjuvaldkond) Mõju sihtrühm: riigi- ja kohaliku omavalitsuse asutused Muudatus mõjutab RIA-t, ETKA-sid või nende volitatud elutähtsat teenust korraldavaid asutusi. Avalduv mõju ja mõju olulisus Muudatusega pannakse kogu ETO-de üle riikliku- ja haldusjärelevalve tegemise kohustus ETKA-le või tema volitatud elutähtsat teenust korraldavale asutusele. RIA-le jääb vaid ülesanne anda nõu küberturvalisuse nõuete rakendamise tähtaja kehtestamise küsimuses uue elutähtsa teenuse osutaja määramisel. Muudatuse tulemusel ei suurene ETKA-de töökoormus, kuivõrd ETO kirjeldab oma sõltuvust välisriigis olevatest andmetest või seadmetest ning nendega ühenduse pidamise lahendustest toimepidevuse riskianalüüsis ja plaanis, mis kooskõlastatakse ETKA või tema volitatud elutähtsat teenust korraldava asutusega. Samas võetakse RIA-lt kohustus teha järelevalvet, kuna sellega seotud vahetu kontroll (st selle kontrollimine, kas ühendus on reaalselt olemas ja toimiv) ei ole mõistliku pingutusega tehtav. Järeldus mõju olulisuse kohta: mõju on väike, sest asutuste töökoormus ei muutu, kuna muudatus pigem suurendab õigusselgust ja ettevõtjate õiguskindlust. 7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Eelnõu seadusena jõustumine ei eelda riigi ja kohaliku omavalitsuse asutustelt lisatoiminguid võrreldes hädaolukorra seaduse kehtiva versiooniga. Seega ei kaasne eelnõu seadusena jõustumise korral riigieelarvele ega kohaliku omavalitsuse üksuste eelarvele lisakulu ega -tulu. 5 8. Seaduse jõustumine Seadus jõustub üldises korras. Eelnõu seadusena jõustumine ei vaja üleminekuaega. Eelnõu jõustumisel seadusena ei eeldata jõustumise ajaks tööprotsesside ja dokumentide, sealhulgas haldusotsuste muutmist. 9. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu esitatakse eelnõude infosüsteemi kaudu kooskõlastamiseks Justiitsministeeriumile, Kliimaministeeriumile, Kultuuriministeeriumile, Regionaal- ja Põllumajandusministeeriumile, Riigikantseleile, Sotsiaalministeeriumile ning Eesti Linnade ja Valdade Liidule. Eelnõu saadetakse arvamuse avaldamiseks Eesti Pangale, Riigi Infosüsteemi Ametile, Tarbijakaitse ja Tehnilise Järelevalve Ametile, Eesti Pangaliidule, Eesti Turvaettevõtete Liidule, Eesti Haiglate Liidule, Eesti Arstide Liidule, Eesti Perearstide Seltsile, Eesti Vee-ettevõtete Liidule, Eesti Kiirabi Liidule, Eesti Ravimihulgimüüjate Liidule, Ravimitootjate Liidule, Eesti Proviisorapteekide Liidule, Eesti Apteekrite Liidule ja Eesti Proviisorite Kojale, Eesti Elektritööstuse Liidule, Eesti Jõujaamade ja Kaugkütte Ühingule, Eesti Gaasiliidule, Eesti Transpordikütuste Ühing, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Varude Keskusele, Eesti Kaubandus-Tööstuskojale, Eesti Põllumajandus-Kaubanduskojale ning Eesti Toiduainetööstuse Liidule. 6