Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel

. Hr Tiit Riisalo Teie 22.06.2023 nr 2-1/2023/3379 Majandus- ja Kommunikatsiooniministeerium Suur-Ameerika 1 Meie 24.07.2023 nr 5-6/23/2357 10122 TALLINN [email protected] Vabariigi Valitsuse määruse "Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel" eelnõu kooskõlastamine Austatud majandus- ja infotehnoloogiaminister Majandus- ja Kommunikatsiooniministeerium edastas kooskõlastamiseks Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõu ja seletuskirja. Kaitseministeerium kooskõlastab eelnõu järgmiste märkustega arvestamisel. 1. Teeme ettepaneku vältida eelnõu § 1 lõikes 1 viiteid teistele seadustele, eriti küberturvalisuse seaduse (KüTS) § 3 lõikele 4. Määruse kohaldamisala ulatus peab olema hoomatav ilma teiste õigusaktide abita. Samuti palume seletuskirja lk 5 selgitada lähemalt, millist valitsusasutuste loodavat ja töödeldavat teavet käsitletakse avaliku teabena ja millist mitte. Ka see võimaldab rakendajatel määruse kohaldamisala paremini mõista. Palume täpsemalt selgitada, miks on eelnõus piirdutud avaliku teabe (sh juurdepääsupiiranguga asutusesiseseks kasutamiseks teabe) töötlemisega ning miks ei soovita määrust kohaldata KüTS § 3 lõikes 1 loetletud teenuse osutajatele, kes ei töötle avalikku teavet, kuid kelle kasutatavad võrgu- ja infosüsteemid ning nendes töödeldav teave vajavad riigi julgeoleku seisukohalt samuti igakülgset kaitset. 2. Palume kaaluda võimalust asendada sõna „teabeomanik“ mõne selle sisu paremini edasi andva sõnaga nt „teabe töötleja“. Seletuskirjas on püütud selgitada, miks välistati sõna „teabevaldaja“ kasutamine. Kui selle kasutamist ei peeta võimalikuks, siis palume kaaluda eeltoodud alternatiivi. 3. Teeme ettepaneku sõnastada eelnõu § 1 lõike 3 punkt 2 järgmiselt: „2) riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele;“. Sellega viiakse erandi sõnastus kooskõlla samasisulise KüTS § 1 lõike 2 punktiga 1. 4. Eelnõu § 2 lõige 1 punkt 4 ja § 3 lõige 2 sisaldavad viidet toote ohutuse seaduse seadusele. Juhime tähelepanu, et toote ohutuse seadus on alates 01.05.2004 kehtetu, palume asendada toote ohutuse seadus "toote nõuetele vastavuse seaduse tähenduses" (kui just ei ole väljatöötamisel uus toote ohutuse seadus) ja samuti palume seletuskirjas eelnõu § 2 selgitavas Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502 väljatöötamisel uus toote ohutuse seadus) ja samuti palume seletuskirjas eelnõu § 2 selgitavas osas täpsustavat viidet sama seaduse § 3 lõike 4 punktile 1. 5. Eelnõu § 2 lõike 2 osas teeme ettepaneku täpsustada sõnastust, lisades auditi ja sertifikaadiga seoses konkreetsema ajalise piirangu, lisades sõnastusse "kehtiva". 6. Eelnõu § 3 lõike 1 punkti 3 puhul tuleks lisaks küberintsidentidest teavitamise tingimustele kindlaks määrata ka muudest teabe töötlemisega seotud intsidentides teavitamise tingimused. Seda põhjusel, et KüTS § 2 punkt 3 kohaselt on küberintsident süsteemis toimuv sündmus, mis ohustab või kahjustab süsteemi turvalisust, kuid süsteemis oleva teabega toimunud intsidentidest teavitamine on oluline teabe kaitse vaatest ning sellisel juhul tuleks samuti teavitada teabe avaldajat. 7. Teeme ettepaneku asendada eelnõu § 3 lõikes 4, § 5 lõikes 4 ja § 6 lõikes 3 sõnad „asjakohast julgeolekuasutust“ sõnadega „küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajat“. Sarnast sõnastust on kasutatud Vabariigi Valitsuse 09.12.2022 määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 3 lõikes 3. 8. Teeme ettepaneku täiendada eelnõu § 3 lõiget 5 punktiga 5 järgmises sõnastuses: "kas on teostatud hindamine käesoleva määruse § 2 lõike 1 alusel". See võimaldab teavitamisel Riigi Infosüsteemi Ametil või asjakohase julgeolekuasutusel hinnata, kas pilveteenuse kasutuselevõtmise eeldused täitmisega on arvestatud. 9. Teeme ettepaneku täiendada eelnõu § 5 lõiget 2 nõudega, mille kohaselt pilveteenuse pakkuja kohustub kinnitama avaliku teabe kustutamisest pilveteenuse kasutamise lõppemise korral. 10. Eelnõu § 1 lõige 3 punkt 3 toob sisse Kaitseministeeriumi valitsemisala erandi ja selle põhjused on välja toodud seletuskirja lk 7. Määrust ei kohaldata KüTS-i § 1 lõike 2 kohaselt teabele, mis on tunnistatud riigisaladuseks riigisaladuse ja salastatud välisteabe seaduse tähenduses, ja salastatud välisteabe töötlemisele ning Kaitseministeeriumi valitsemisalas rahvusvahelise sõjalise koostööga ja riigi sõjalise kaitse ettevalmistamisega seotud teabe töötlemisele. Antud erandiga nähakse eelnõus ette omakorda erisus, millega mitte avalikku teabe töötlemine koos muu avaliku teabega, on seega määruses esitatud põhimõtete järgimine kohustuslik. Käesoleval ajal ei ole Kaitseministeeriumi valitsemisalas võimalik selgelt eristada teenuseid ja teavet, mida ei ole tarvis rahvusvaheliseks sõjaliseks koostööks või riigi sõjalise kaitse ettevalmistamiseks. Eeltoodust tulenevalt oleme seisukohal, et määrus ei kohaldu Kaitseministeeriumi valitsemisalale. 11. Teeme ettepaneku täiendada eelnõu lisa " Näitlik kontrollküsimustik ja meetmete näidis" abistava maatriksiga, mille põhjal tekib ühetaoline arusaam, millisel juhul hindamise järgselt võib pilvetöötlusteenust kasutada, millisel juhul ei või ja millisel juhul kaaluda riskide aktsepteerimist. Lugupidamisega 2 (3) (allkirjastatud digitaalselt) Hanno Pevkur Minister Marju Müürisepp [email protected] Martin Sepp [email protected] 3 (3)