Andres Sutt Teie 10.05.2022 nr 2-1/2022/3387
Majandus- ja Kommunikatsiooniministeerium
[email protected] Meie 01.06.2022 nr 1-12/1036-2
Arvamus võrgu- ja infosüsteemide
küberturvalisuse nõuete määruse eelnõu kohta
Kultuuriministeerium kooskõlastab määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded“
eelnõu järgmiste märkustega.
Juhime tähelepanu, et määruse seletuskirjas on muuseumid arvatud asutuste hulka, kel puudub
auditeerimiskohustus. Otsust on põhjendatud hinnanguga, et muuseumid kuuluvad asutuste
hulka, kelle IKT korralduslikud vahendid on oluliselt piiratumad tulenevalt IKT vahendite
väiksemast olulisusest asutuse avalike ülesannete täitmisel, ja auditeerimiskulud on neile
asutustele majanduslikult koormavamad.
Täpsustame, et nüüdisaegsed muuseumid kasutavad ekspositsioonis järjest enam IKT vahendeid,
sh interaktiivseid ekraane, keerukaid audio- ja videolahendusi, mobiilirakendusi jms. Muuseumid
pakuvad ka virtuaalnäitusi ja veebituure. Muuseumides kasutatakse tehnoloogiliselt keerukaid
valve- ja lukustussüsteeme ning piletimüügi infosüsteeme koos elektrooniliste
sisenemisväravatega. Museaalid vajavad rangeid hoiustamistingimusi, mida automatiseeritakse ja
hallatakse samuti IKT abil. Seepärast on vähemalt suurematel muuseumidel peaaegu võimatu
ilma IKT vahenditeta avalikku teenust pakkuda.
Kuigi mitte volitatud töötlejatena, kasutavad muuseumid iga päev andmekogu MUIS, mis
sisaldab ligi 4 miljonit museaali, millest omakorda 1,9 miljonile on lisatud digikujutis. MUIS-i
abil peetakse arvestust ja hallatakse muuseumikogusid ning tehakse muuseumides leiduv
informatsioon kättesaadavaks nii erialaspetsialistidele kui ka kõigile teistele huvilistele.
Eelneva põhjal on Kultuuriministeerium seisukohal, et auditikohustuse erandite sätetest määruse
eelnõus ei ole võimalik välja lugeda seletuskirjas väljendatud põhimõtet, mille kohaselt hoolimata
kohustusliku auditi nõude puudumisest teatud asutustele auditi läbimist siiski soovitatakse.
Eelnõus auditikohustuse kohta kirjapandu õigusaktiks vormumine võib kaasa tuua otstarbetuid
vaidlusi, kui valitsusasutuse, hallatava asutuse või haldusala avalik-õigusliku juriidilise isiku
seisukohad auditi asjus erinevad. Sellega seoses võib kergesti tekkida keeruline olukord, kus
näiteks Eesti Rahva Muuseum või Rahvusooper Estonia on esimene muuseumina ja teine
etendusasutusena auditi kohustusest vabastatud, kuuludes samal ajal (esimene hallatava asutusena
ja teine avalik-õigusliku juriidilise isikuna) E-ITS rakendamise kohuslaste hulka.
Infoturbestandardi rakendamisele isegi pealiskaudse hinnangu andmine neis asutustes ilma
auditeerimata võib asutuste suurusest tulenevalt osutuda raskendatuks.
Lisaks toob Kultuuriministeerium esile, et seletuskirjas on viidatud muuseumidele kui
muuseumiseaduse § 1 lõigetes 2 ja 3 nimetatud asutustele. Kuna lõige 2 hõlmab ka riigi
Suur-Karja 23 / 15076 Tallinn / 628 2222 /
[email protected] / www.kul.ee / Registrikood 70000941
sihtasutuse muuseume, kuid KüTS-i 531 SE kehtestatavast E-ITSi kohaldamisalast on riigi
sihtasutused, sh näiteks SA Eesti Ajaloomuuseum ja SA Eesti Meremuuseum, välja jäetud, siis
võib kõigi muuseumide pelgalt auditeerimiskohustusest vabastamise säte tekitada segadust.
Juhime tähelepanu, et §-s 12 sätestatav loetelu avalike ülesannete täitmist oluliselt mõjutavatest
süsteemidest ei sisalda ühtegi kultuurivaldkonna infosüsteemi. Palume kaaluda loetelu
täiendamist, et kultuuripärandi olulist andmestikku muuseumide infosüsteemis (MUIS) saaks
varundada riigi pakutavasse välisriigis paiknevasse andmekeskusesse.
E-ITS kohaldamisala tekitab küsimusi ka pilvsüsteemi sätete juures. Praegusel kujul
kehtestatavana jäävad pilvsüsteemi sätete rakendajate hulgast välja ka sellised
Kultuuriministeeriumi valitsemisala asutused nagu Integratsiooni Sihtasutus ja Eesti Laulu- ja
Tantsupeo Sihtasutus, kes töötlevad suures ulatuses isikuandmeid. Kuna need asutused ei ole
KüTS-i 531 SE-st lähtudes kohustatud ka E-ITS infoturbestandardit rakendama, tuleks
Kultuuriministeeriumil teha täiendavaid pingutusi andmekaitsenõuete täitmise tagamiseks neis
asutustes.
Kokkuvõttes tekitab Kultuuriministeeriumile KüTS-i 531 SE-ga sätestatav infoturbestandardi ja
seeläbi ka pilvsüsteemi nõuete kohaldamisala avalikus sektoris ning kõnealuses määruses
kitsendatud auditeerimiskohustus probleeme infoturbe korraldusega haldusalas, mille asutuste
hulka kuulub teiste hulgas riigi asutatud 35 sihtasutust. Täiendavat segadust võib põhjustada
olukord, milles valitsusasutuse hallatavale riigiasutuselt eeldatakse infoturbestandardi E-ITS
rakendamist, kuid nende sekka kuuluvatelt muuseumidelt auditeerimist ei nõuta.
Palume välja toodud märkuste ja kitsaskohtadega määruse kehtestamisel arvestada.
Lugupidamisega
(allkirjastatud digitaalselt)
Tiit Terik
minister
Triin Nigul 5469 0062
[email protected]