Saatja: "MKM info"
Saaja: "MKM info"
Teema: FW: Toimik MKM/23-1602/01 infoturbestandardid
Kuupäev: 2023-12-22 11:44
From: Karl Stern <
[email protected] <mailto:
[email protected]> >
Sent: Wednesday, December 13, 2023 1:57 PM
To: Raavo Palu <
[email protected] <mailto:
[email protected]> >
Cc: Haidi Kanamäe <
[email protected] <mailto:
[email protected]> >
Subject: Toimik MKM/23-1602/01 infoturbestandardid
Tere, Raavo
Võtan ühendust seoses Eesti infoturbestandardite määruse muutmise
eelnõuga. See sisaldab hulgaliselt viiteid standarditele ja Eesti
Standardikeskuse eestvedamisel sai viidete korrektsus üle vaadatud.
Edastan keskuse üldised kommentaarid mailiga ja konkreetsed ettepanekud on
eraldi manuses. Kui tekib küsimusi, siis saame ilmselt ka kolmepoolse
kohtumise veebis teha. Olen sellel aastal ise veel tööl homme ja järgmisel
reedel.
Aga järgnevalt standardikeskuse üldised kommentaarid:
Kommentaarid puudutavad eelnõu seletuskirja ja lisasid ning nendes toodud
viiteid standarditele.
Paljud kommentaarid on seotud soovitusega kasutada võimalusel
standarditele viitamisel dateerimata viiteid, mis tagab kasutatavate
standardite kehtivuse koos kõigi hilisemate muudatustega. Lisaks
võimalusel mitte kasutada pealkirju, kuna standardi uustöötluste käigus
võivad pealkirjad muutuda. Lisateabe peatükkide all nimetatud standardite
lühendeid üldjuhul dokumendis selliselt ei ole kasutatud, seetõttu võiks
kaaluda lühendi ära jätta ning piirduda korrektse standardiviitega
(Manuses publikatsioonidega seotud ettepanekud).
Lisaks soovitame standardiviited läbivalt ühtlustada, viidates Eesti
standardina vastu võetud Euroopa (EN) või rahvusvahelisele standardile
(ISO või IEC), selle puudumisel viidata otse EN või ISO/IEC standardile.
Hetkel on viiteid kasutatud väga erinevalt (vastavad muudatused toodud
manuses).
Täpsemad muudatusettepanekud on lisatud manusesse.
Juhime ka tähelepanu, et toote nõuetele vastavuse seaduse § 42 lg (6)
kohaselt on tehnilises normis lubatud standardile kohustuslikku viidet
sätestada üksnes Eestile rahvusvahelisest õigusest või Euroopa Liidu
õigusaktist tulenevate kohustuste täitmisel, kui see on ainus võimalus
täita õigusaktist tulenevaid nõudeid.
Kuna seletuskirja põhjal ei ole infoturbestandardi puhul tegemist Eestile
rahvusvahelisest õigusest või Euroopa Liidu õigusaktist tulenevate
kohustuste täitmisega, palume kaaluda standarditele viitamisel kasutada
soovituslikku sõnastust. (KS kommentaar: õiguskantsler juhtis üle 10 a
tagasi tähelepanu sellele, et standardi järgimist ei saa kohustuslikus
teha, kuna see ei ole avalik dokument. Muutsime seetõttu ka toote nõuetele
vastavuse seaduses standarditele viitamise korda, nii et standardid saavad
kohustuslikud olla vaid juhul, kui kohustus tuleb Euroopast või
rahvusvaheliselt tasandilt). Hetkel jäid silma kohustuslikud
standardiviited järgmistes punktides:
lk 131 – OPS.1.2.2.M17 b)
lk 554 – INF.1.M14 a)
lk 555 - INF.1.M22 a)
lk 557 - INF.1.M34 b)
lk 564 - INF.2.M15 a)
lk 565 - INF.2.M28 a)
lk 569 - INF.5.M4 c)
lk 570 - INF.5.M8 a) ja INF.5.M15 b)
lk 574 - INF.6.M2 e)
lk 575 - INF.6.M8 a)
Tervitades
Karl
Eesti Infoturbestandardi eelnõu muudatusettepanekud täpsemalt: Seletuskiri Juhime tähelepanu, et märkuse 1 sõnastuses viidatud Eesti standardi 2017. a versioon EVS-EN ISO/IEC 27001:2017 on kehtetu ning on asendatud uustöötlusega EVS-EN ISO/IEC 27001:2023, mis võtab üle rahvusvahelise standardi ISO/IEC 27001:2022. Seetõttu soovitame sõnastada märkuse järgnevalt kasutades dateerimata viidet: „ 1 Koostajad on Rahvusvaheline Standardiorganisatsioon (ingl International Organization for Standardization , ISO) ja Rahvusvaheline Elektrotehnikakomisjon (ingl International Electrotechnical Commission , IEC). Standard on üle võetud Euroopa ja Eesti standardina EVS-EN ISO/IEC 27001 ning kehtiva standardi leiab ja seda on võimalik osta aadressilt https://www.evs.ee/et/evs-en-iso-iec-27001-2023 (19.10.2023). Lisaks on seletuskirja 1. leheküljel viidatud standardile EVS-ISO/IEC 27001:2014, mis on samuti kehtetu ning E- ITSi portaali kodulehe kohaselt on seal hetkel alusena viidatud ISO/IEC 27001:2017. Aga nagu eelpool mainitud, on ka see standard kehtetu. Seetõttu soovitame kasutada dateerimata viidet ning ilma pealkirjata, kuna standardi uustöötluse käigus võib muutuda ka pealkiri. Ettepanek on sõnastada lõik järgmiselt: „E-ITS põhineb Saksa etalonturbe süsteemil BSI IT- Grundschutz (BSIG) ja standardil EVS-EN ISO/IEC 27001 .“ Lisa 1 peatükk 12 – soovitame asendada standardiviite ISO/IEC 27001:2023 dateerimata viitega EVS-EN ISO/IEC 27001 , mis tagab, et lisateabe allikana kasutatakse standardi viimast kehtivat versiooni koos kõigi hilisemate muudatustega. Lisa 2 CON.2 , peatükk 4 Lisateave (lk 50) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju. Lühendi ja publikatsiooni võiks sõnastada: [ISO 27701] EVS-EN ISO/IEC 27701 CON.6.M14 a) (lk 61) – ISO/IEC 21964 puhul on tegemist standardisarjaga . K ui silmas on peetud konkreetset standardisarja osa, siis tuleks vastavalt täpsustada, nt ISO/IEC 21964-1, kui ei, siis lisada publikatsiooni standardiviite ette „standardisari“. CON.6, peatükk 4 Lisateave (lk 61) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju. Publikatsiooni võiks sõnastada: ISO/IEC 21964 (vt ka kommnetaari standardisarja kohta eelmises kommentaaris ) CON.8, peatükk 4 Lisateave (lk 74) – s oovitame kasutada dateerimata viiteid ja mitte kasutada pealkirju. Publikatsioonide standardiviited võiks sõnastada järgmiselt: EVS-ISO/IEC 25000 ISO/IEC 25001 ISO/IEC 25010 OPS.1.1.1, punkt 1.3 (Lk 85 ) – ISO 20000 standardiviide oleks korrektne sõnastada järgmiselt: „… või standardeid (standardisari EVS-ISO/IEC 20000 ) OPS.1.1.1 , peatükk 4 Lisateave (lk 93)- s oovitame võimalusel mitte kasutada standardi pealkirja, kuna standardi uustöötluste käigus võivad pealkirjad muutuda. Lühendi ja publikatsiooni võiks sõnastada jär g miselt: [ISO 20000] standardisari EVS-ISO/IEC 20000 OPS.2.3.M6 , punktid c, d ja e (lk 157)– korrektne standardiviide oleks: EVS-EN ISO/IEC 27001 DER.3.1 , peatükk 4 Lisateave (lk 194) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Publikatsioonid võiks sõnastada: EVS-EN ISO 19011 EVS-EN ISO/IEC 27007 DER.3.2 , punkt 1.3 (lk 195) – korrektne standardiviide oleks: EVS-EN ISO/IEC 27001 SYS.1.5.M27 punkt a (lk 333) - ISO/IEC 15408 puhul on tegemist standardisarjaga . K ui silmas on peetud konkreetset standardisarja osa, siis tuleks vastavalt täpsustada, nt EVS-EN ISO /IEC 15408 -1, kui ei, siis oleks korrektne standardivii d e „standardisar ja EVS-EN ISO /IEC 15408 kohaselt… “ . SYS.1.8.M26 , peatükk 4 Lisateave (lk 348 ) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju. Lühendi ja p ublikatsiooni võiks sõnastada: [ISO/IEC 27040] EVS-EN I SO/IEC 27040 SYS.4.3.M13 Sertifitseeritud operatsioonisüsteem , punkt a (lk 424) – tegemist on standardisarjaga, kui silmas on peetud konkreetset standardisarja osa, siis tuleks viidet vastavalt täpsustada, nt EVS-EN ISO/IEC 15408-1 . Kui kogu sarja, siis oleks korrektne viide „… tunnustatud standardi (nt standardisari EVS-EN ISO/IEC 15408) kohaselt hinnatud nõuetekohasele tasemele vastavaks.“ IND.1, peatükk 4 Lisateave (lk 463) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Lühendi ja publikatsiooni võiks sõnastada: [ISO 27019] EVS-EN ISO/IEC 27019 IND.2.7, peatükk 4 Lisateave (lk 475) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna nende standardite puhul ei ole tegemist rahvusvaheliste ISO standardiga, vaid IEC standardiga (kaks esimest üle võetud ka Euroopa ja Eesti standardiks) , siis on lühendite eesliide vastavalt muudetud. Lühendid ja publikatsioonid võiks sõnastada: [IEC 61508-2] EVS-EN 61508-2 [ IEC 61511] EVS-EN 61511-1 [IEC 62443] IEC 62443-2-1 NET.1.1, peatükk 4 Lisateave (lk 492) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Lühendi ja publikatsiooni võiks sõnastada: [ISO 27033-3] EVS-ISO/IEC 27033-3 NET.1.2, peatükk 4 Lisateave (lk 499) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Lühendi ja publikatsiooni võiks sõnastada: [ISO 27033-3] EVS-ISO/IEC 27033-3 NET.3.3 peatükk 4 Lisateave (lk 527) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Lühendi ja publikatsiooni võiks sõnastada: [ISO 27033-5] EVS-ISO/IEC 27033-5 INF.1.M14 Piksekaitsesüsteem, punkt a (lk 554) - tegemist on standardisarjadega, kui silmas on peetud konkreetset standardisarja osa, siis tuleks viidet vastavalt täpsustada. Ühtsuse mõttes asendada ka EN 62305 Eesti standardi viitega EVS-EN 62305 Kui silmas on peetud standardi sarj u , siis oleks korrekt sem viide „…riskianalüüsi tulemustest (standardisarjad EVS-EN 62305, EVS-HD 60364 ja EVS-EN 60099) “ . INF.1 peatükk 4 Lisateave (lk 558) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud teise standardi puhul standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Kuna tegemist ei ole rahvusvaheliste ISO standarditega, vaid Euroopa või IEC standardiga, siis on lühendite eesliide vastavalt muudetud. Lühendid ja publikatsioonid võiks sõnastada: [EN 1627] EVS-EN 1627 [IEC 62305-1] EVS-EN 62305-1 [EN 50518] EVS-EN 50518 INF.2, peatükk 4 Lisateave (lk 565) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud esimese standardi puhul standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Kuna nende standardite puhul ei ole tegemist rahvusvaheliste ISO standardiga, vaid Euroopa või IEC standardiga, siis on lühendite eesliide vastavalt muudetud. Lühendid ja publikatsioonid võiks sõnastada: [IEC 62305-4] EVS-EN 62305-4 [EN 50131] EVS-EN 50131-1 INF.5.M15 Pikse- ja liigpingekaitse , punkt b (lk 570) – kuna tegemist on standardisarjaga ja piksekaitsetsoonid on sarja esimeses osas, siis oleks korrektsem viide standardile: b. Tehnilise taristu ruum vastab vähemalt standardi EVS-EN 62305-1 piksekaitsetsoonile 2 (LPZ 2) INF.5, peatükk 4 Lisateave (lk 572) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna dokumendis on kasutatud kolmanda standardi puhul standardisarja erinevaid osasid, siis võiks selle välja tuua ka lühendi juures. Kuna nende standardite puhul ei ole tegemist rahvusvaheliste ISO standardiga, vaid Euroopa või IEC standardiga, siis on lühendite eesliide vastavalt muudetud. Lühendid ja publikatsioonid võiks sõnastada: [EN 1627] EVS-EN 1627 [EN 14041] EVS-EN 14041 [IEC 62305-4] EVS-EN 62305-4 INF.6, peatükk 4 Lisateave (lk 575) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Viite puhul on tegemist Euroopa (EN) mitte rahvusvahelise standardiga (ISO). Lühendi ja publikatsiooni võiks sõnastada: [EN 1627] EVS-EN 1627 INF.12, peatükk 4 Lisateave (lk 604) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju . Kuna nende standardite puhul ei ole tegemist rahvusvaheliste ISO standardiga, vaid Euroopa või IEC standardiga, siis on lühendite eesliide vastavalt muudetud. Lühendid ja publikatsioonid võiks sõnastada: [HD 60364] EVS-HD 60364 (kui silmas on peetud konkreetset standardisarja osa, tuleks see välja tuua, kui ei, siis lisada Eesti standardi viite ette „standardisari“) [EN 50173] EVS-EN 50173 (kui silmas on peetud konkreetset standardisarja osa, tuleks see välja tuua, kui ei, siis lisada Eesti standardi viite ette „standardisari“) [EN 50174] EVS-EN 50174 (kui silmas on peetud konkreetset standardisarja osa, tuleks see välja tuua, kui ei, siis lisada Eesti standardi viite ette „standardisari“) [EN 50310] EVS-EN 50310 INF.14, peatükk 4 Lisateave (lk 628) - s oovitame võimalusel kasutada dateerimata viiteid ja mitte kasutada pealkirju ( dokumendis viidatud 2020. aasta standardit ei eksisteeri ). Lühendi ja publikatsiooni võiks sõnastada: [ISO 16484] EVS-EN ISO 16484-1