Eelnõu esitamine Vabariigi Valitsuse istungile

Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ eelnõu seletuskirja lisa 1  08.09.2023 Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Avalike ülesannete täitmisel saadud teave ehk avalik teave peab olema kättesaadav ja töödeldav selleks õigustatud isikutele. Avaliku teabe töötlemiseks on mõistlik kasutada uusi tehnoloogiad ning erinevaid infotehnoloogiateenuseid, et toetada avaliku teabe töödeldavust mistahes ajahetkel. Üks võimalusi avaliku teabe töötlemiseks on kasutada erinevate andmetöötlusressursside kogumeid. Avaliku teabe töötlemine ei pea põhinema vaid avaliku teabe omaniku võrgu- ja infosüsteemidel, vaid teabe töötlemise efektiivsemaks muutmisel on mõistlik kasutada andmetöötlusressursside kogumeid, sh erinevaid pilvtöötlussüsteemide lahendusi (FaaS1, SaaS2, PaaS3, IaaS4 jne), olenevalt teabe töötlemise vajadusest. Eelnõuga tehakse järgmist: 1) sätestatakse eeldused ja nõuded andmetöötlusressursside kogumite kasutamiseks avaliku teabe töötlemisel; 2) tuuakse esile võrgu- ja infosüsteemide käitamise ning toimimisega seatud riskide halduse vajadus enne avaliku teabe (sealhulgas asutusesiseseks kasutamiseks mõeldud teabe ja andmekogudes töödeldava teabe) töötlemise alustamist andmetöötlusressursside kogumis ning andmetöötlusressursside kogumis töötlemise jooksul. Kui avaliku teabe töötlemisel kasutatakse andmetöötlusressursside kogumit, ei tohi see samas ohtu seada avalikke huve ja teabe töötlemise käigus saadud isikuandmete kaitset, eraelu puutumatust ega muid avalikke hüvesid ning kohustusi. Eelnõuga tekitatakse ühtne raamistik, kuidas pilvteenuseid kasutusele võtta ja kasutada. 1.2. Eelnõu eesmärk (i) Eelnõu eesmärk on luua ühtsed põhimõtted, mida avaliku ülesande täitja peab järgima (edaspidi ka teabeomanik), kui ta soovib avaliku ülesande täitmisel saadud avaliku teabe töötlemiseks võtta kasutusele pilvandmetöötlusteenuse või andmetöötlusressursside kogumi, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik (edaspidi avaliku sektori osutatav pilvteenus), olenemata sellest, millises ulatuses seda teenust kasutatakse. Avaliku teabe kaitse peab olema tagatud igas teabe töötlemise etapis, sealhulgas ka selle loomisel või elektroonsel teel edastamisel. (ii) Tehnoloogia areng ja sellega loodud lisavõimalused kannustavad avalikke ülesandeid täitvaid asutusi järjest enam võtma kasutusele eri pilvetehnoloogiaid mitmesuguste andmete töötlemiseks ja säilitamiseks. Põhjuseid selleks on mitu. Sageli on pilvandmetöötlusteenus või avaliku sektori osutatav pilvteenus (edaspidi koos pilvteenus) teabeomanikule soodsam kui selle analoogi käitamine oma taristul ja nõuab lõppkasutajalt haldamiseks vähem infotehnoloogia alaseid oskusi ja teadmisi. 1 funktsioon kui teenus (ingl function as a service, lühend FaaS) 2 tarkvara kui teenus (ingl software as a service, lühend SaaS), nt Gmail, Office’i veebiprogrammid jpt 3 platvorm kui teenus (ingl platvorm as a service, lühend PaaS) 4 taristu kui teenus (ingl infrastructure as a service, lühend IaaS) 1 Pilvteenuse kasutamisel on võimalik parendada avaliku teabe töötlemise kvaliteeti, sest heal tasemel teenus on kättesaadav suuremale hulgale kasutajatele. (iii) Vähem oluline ei ole infotehnoloogiateenuse osutajate ja tarkvara tootjate soov siduda kliendid oma teenuste ja toodete külge, lõpetades väljaostetava tarkvara põhise litsentside pakkumise ja tehes seda edaspidi pilvteenuse kaudu. Oluline on ka avaliku sektori üldine vajadus kasutada avaliku teabe töötlemisel ajakohaseid uusi infotehnoloogilisi lahendusi, et vältida avaliku sektori omandis olevate infotehnoloogiavahendite ja nende investeeringute suuremahulist kasvu avaliku teabe töötlemiseks ja kaitsemiseks. Kindlasti on teabeomanikule muutunud võimalikuks pilvteenuste puhul kasutada suurt arvutusvõimsust vajavaid masinõppel ja tehisintelligentsil põhinevaid teenuseid, mis oleksid neile muidu kättesaamatud. Seepärast on pilvteenused praegu teabeomanikele kättesaadavad, innovaatilise ja hea tasemega teenused ning see omakorda parandab avalike teenuste kättesaadavust. Lisaks on kompetentselt rakendades võimalik pilvteenuste puhul seirata nii kasutust kui ka turvet ning pilvepõhine infoturve võimaldab sageli kiiremat ja täpsemat reageerimist võimalikele infosüsteemide kompromiteerimistele, mis võivad viia küberintsidendini. (iv) Kuigi tehnoloogia pidev areng loob uusi võimalusi avaliku teabe töötlemiseks, muutes avalikud teenused elanikele ja ettevõtjatele kättesaadavamaks, loob see potentsiaali pilvepõhise turbe rakendamiseks ning võimaldab nimetatud turbe kasutusele võtmisel optimeerida kulu, mis kaasneb eraldiseisvate info- ja võrgusüsteemide loomise, nüüdisajastamise ning toimepidevuse tagamisega. Vajalik on märkida, et avaliku teabe töötlemisel tuleb arvestada ka muid asjaolusid kui vaid avaliku teabe avalikkusele kättesaadavus. Avalik teave on avaliku ülesande täitmisel jäädvustatud ja dokumenteeritud teave. Avalik teave koosneb paljudest teabekillukestest, mis puudutavad inimeste eraelulisi ja tundlikke andmeid (nt tervisseisundi andmeid), asutuste ja ettevõtjate tegevuse andmeid, riigi ja kohalike omavalitsuste ülesehitust ja korraldust puudutavaid andmeid, sh personaliandmeid, asutuste ja ettevõtjate erinevatele ohtudele reageerimise võimekust puudutavaid andmeid jne. Ka seda teavet on vaja kaitsta. (v) Pilvteenuse kasutamine avalikus sektoris on avalike teenuste jätkusuutlikkust ja e-riigi arendamist silmas pidades vältimatu. Kuid pilvteenuse kasutamine otseste avalike teenuste või tugiteenuste osutamisel peab toimuma küberturvalisust tagaval viisil. (vi) Avaliku teabe kaitse ühtlustamiseks on mõistlik ühtlustada riskide hindamise põhimõtteid. Seeläbi on võimalik suurendada koostööd avalikus sektoris võrgu- ja infosüsteemide avalike ülesannete täitmisel, otseste avalike teenuste ja tugiteenuste pakkumisel ning see omakorda loob soodsama keskkonna, et otsesed avalikud teenused on kättesaadavad ja läbipaistvad. (vii) Pilvteenuse kasutuselevõtmise tulemusel ei või saada kahjustada riiklikud huvid ja Euroopa Liidu tasemel kehtestatud isikuandmete kaitse nõuded, sh andmesubjektide õigused. Selleks peab pilvteenuse osutamine olema turvaline nii tehnoloogia kui ka pilvteenuse pakkuja poolest. (viii) Pilvteenuse kasutuselevõtmisel peab arvestama pilvteenuses töödeldava teabe puutumust riigi ja kohalike omavalitsuste ülesannete täitmisel ning teabe seotust riigi ja kohalike omavalitsuste tegevuse toimepidevuse tagamisega. Pilvteenuse kasutuselevõtmine ei tohi ohtu seada avaliku sektori ülesannete täitmist ja toimepidevust, riigi julgeolekut ega avalikku korda ja nende ülesannete täitmisega seotud isikute, sealhulgas andmesubjektide turvalisust. (ix) Pilvteenuse kasutamine ei tohi ohtu seada avalikku teavet, sealhulgas teavet, mille on teabeomanikule usaldanud füüsiline või juriidiline isik, teine avaliku ülesande täitja, välisriik või rahvusvaheline organisatsioon. 2 (x) Pilvteenuse kasutuselevõtmisega ei muutu teabeomaniku kohustused, mis eelkõige on seotud isikuandmete kaitse ning võrgu- ja infosüsteemide kaitsega – nende kohustuste täitmine tuleb tagada ka pilvteenuse kasutamisel. (xi) Tagamaks riigi ühtset taset avaliku teabe töötlemisel ja kaitsmisel, peaks enne pilvandmetöötlusteenuse kasutuselevõtmist olema selge, et teabeomaniku töödeldavat avalikku teavet ei ole võimalik nõuetekohaselt töödelda avaliku sektori üleselt pakutava andmete töötlemise võrgu- ja infosüsteemi kaudu või kasutades keskse hankija poolt hangitud võrgu- ja infosüsteemiteenust. (xii) Kuigi infotehnoloogiliste lahenduste laialdane kasutuselevõtmine parandab otseste avalike teenuste, tugiteenuste ja avaliku teabe kättesaadavust, peab teabeomanik teabe töötlemisel igal juhul vältima avalike huvide ja isikute õiguste kahjustamist, mistõttu peab pilvteenuse kasutuselevõtmisel teabeomanikul olema selge ettekujutus ja tegevusplaan olukorraks, kus pilvteenus ei tööta või pilvteenuse kasutamine tuleb lõpetada. (xiii) Avaliku teabe kaitse on vajalik, et tagada avaliku sektori kui partneri usaldusväärsus suhtluses Eesti elanike ja ettevõtjate ning teiste riikidega. Usaldusväärse partnerina on avalikul sektoril muu hulgas kohustus tagada suhtluse konfidentsiaalsus, talle usaldatud teabe säilimine ja teabe kaitse selle omavolilise kasutamise eest, sh selle jagamise eest ärilistel eesmärkidel. (xiv) Avaliku teabe kaitsel tuleb järgida, et õigustatud isikutele oleks teave kättesaadav ja pilvteenuse kasutamine ei või luua lisatakistusi avaliku teabe kättesaadavusele. Samas ei või pilvteenuse kättesaadavusega kaasneda teabe kättesaadavus selleks mitteõigustatud isikutele. (xv) Avaliku teabe sattumisega selleks mitteõigustatud isikute valdusesse ei kaasne kahju ainult teabeomanikule, vaid tulemuseks võib olla oluline mainekahju kogu avalikule sektorile, ohtu võivad sattuda eraisikute õigused, sealhulgas põhiõigused, või võib oluliselt raskeneda avalike ülesannete täitmine (nt keskkonnakaitse, julgeolek jms). (xvi) Pilvteenuse tehnoloogiate paljusus ning teabeomanike erinevad vajadused ning riskid nende valduses oleva avaliku teabe töötlemisel ei soodusta universaalsete hinnangute andmist iga üksiku pilvteenuse kasutuselevõtmise või välistamise toetamiseks. Sellest tulenevalt on pilvteenuse kasutusele võtmise otsustamisel oluline riski- ja ohuhinnangute arvestamine ning koostöö, sh teabevahetus, erinevate teabeomanike vahel ning koostöö küberturvalisusega ja isikuandmete kaitsega tegelevate asutustega. (xvii) Kehtestades pilvteenuse kasutuselevõtmiseks ühtsed nõuded, ei kaotata ära avaliku ülesande täitja kohustust korrapäraselt hinnata avaliku teabe töötlemisega, sealhulgas infotehnoloogia kasutamisega, seotud riske ja võtta vajaduse korral meetmeid teabe kaitse tõhustamiseks. Sealhulgas tuleb korrapäraselt hinnata pilvteenuse kvaliteeti ja vastavust selle kaudu töödeldava avaliku teabe töötlemise nõuetele. (xviii) Pilvteenuse kasutuselevõtmisel on oluline eri asutuste koostöö, mille tulemusel suureneb tõenäosus, et samaväärse avaliku teabe samaväärne kaitse on tagatud. Asutuste pidev koostöö pilvteenuse kasutuselevõtmisel või kasutatava pilvteenuse hindamisel muudab efektiivsemaks avaliku teabe töötlemisega seotud riskide hindamise, vähendab üksikute asutuste koormust hindamise tegemisel ja suurendab tõenäosust, et avaliku teabe töötlemine pilvteenuse kaudu ei kujuta ohtu avalike ülesannete täitmisele. (xix) Ühtsete reeglite kehtestamine pilvteenuse kasutusele võtmiseks ei vähenda küberturvalisusega ja isikuandmete kaitsega tegelevate asutuste kohustust toetada pilvteenuse kasutuselevõtmist erinevate riigi-, kohaliku omavalitsuse ja muude asutuste poolt ning neid asutusi nõustada. 3 Ühtlustamaks pilvteenuste kasutuselevõtmist on küberturvalisusega ja isikuandmete kaitsega tegelevatel asutustel võimalik avaldada oma veebilehel asjakohast teavet, mis lihtsustab pilvteenuste kasutuselevõtmise üle otsustamist ja pilvteenuse osutajate hindamist, sealhulgas võib avaldada asjakohaseid juhiseid või nõuandeid. (xx) Teabeomaniku kohustus kaitsta avalikku teavet saab olla tõhus, kui küberturvalisuse ning isikuandmete kaitse valdkonnas tegutsevad asjaomased asutused ja organid vahetavad omavahel teavet, millel on mõju avaliku teabe terviklusele, käideldavusele, konfidentsiaalsusele ja teevad selle, sealhulgas ohuhinnangud, õigeaegselt teatavaks või kättesaadavaks pilvteenuse kaudu avalikku teavet töötlevatele teabeomanikele või teabeomanikele, kellel on kavas pilvteenus kasutusele võtta. 1.3. Eelnõu ettevalmistaja ja märkused Eelnõu ja seletuskirja on koostanud Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse õigusnõunik Guido Pääsuke ([email protected]). Eelnõule tegi õigusliku analüüsi Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass ([email protected]). Eelnõu on keeleliselt toimetanud Justiitsministeeriumi õigusloomekorralduse talituse toimetaja Airi Kapanen ([email protected]). Eelnõu ei ole seotud muu menetluses oleva eelnõuga. Eelnõu kehtestatakse Vabariigi Valitsuse määrusena avaliku teabe seaduse § 43 lõike 3 ja küberturvalisuse seaduse § 7 lõike 5 punkti 3 alusel. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb kuuest paragrahvist. Eelnõu arvestab asjaoluga, et pilvteenuseid on erinevaid ning neis toimub avaliku teabe eri ulatusega töötlemine. Pilvteenus võib olla kasutusel vaid teabe töötlemise mõne etapina (nt teabe loomiseks ja edastamiseks), kui kogu teabeomaniku pakutav otsene avalik teenus5 või tugiteenus6 põhineb teabe töötlemisel pilvteenuse kasutamise kaudu. Pilvteenust võidakse kasutada ka ainult andmete hoidmise eesmärgil nii püsivalt kui ka lühiajaliselt. Mida ulatuslikum on pilvteenuse kasutamine, seda tõhusamalt on vajalik hinnata, kuidas on avalik teave teenuse kasutamise ajal kaitstud, ja pidevalt jälgida teenuse kasutamisega seonduvaid riske. Eelnõu §-s 1 tuuakse esile määruse kohaldamisala. Lõige 1. Määrust kohaldatakse avaliku teabe töötlemisele avaliku teabe seaduse (edaspidi AvTS) tähenduses. AvTS-i § 3 lõike 1 kohaselt on avalik teave mis tahes viisil ja mis tahes teabekandjale jäädvustatud ja dokumenteeritud teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites. Kuivõrd määrust rakendatakse pilvteenuse kasutamisel avaliku teabe töötlemisel, on määruse subjektid küberturvalisuse seaduse (edaspidi KüTS) § 3 lõike 4 kohaselt: 1) AvTS-i tähenduses andmekogu vastutav ja volitatud töötleja; 2) Arenguseire Keskus; 5 Otsene avalik teenus on teenus, mida asutus osutab füüsilisele või eraõiguslikule juriidilisele isikule (edaspidi isik) tema tahtel, sealhulgas eeldataval tahtel, teeninduskontakti kaudu mis tahes suhtluskanalis ja mis võimaldab isikul täita seadusest tuleneva kohustuse või kasutada seadusest tulenevat õigust. (Vabariigi Valitsuse määruse „Teenuste korraldamise ja teabehalduse alused“ § 2 lõige 2) 6 Tugiteenust osutab asutus enda või teise asutuse ametnikele või töötajatele. Tugiteenus toetab asutuse ülesannete täitmist. (Vabariigi Valitsuse määruse „Teenuste korraldamise ja teabehalduse alused“ § 2 lõige 5) 4 3) Eesti Pank; 4) kohaliku omavalitsuse üksus ja kohaliku omavalitsuse üksuste liit; 5) kohtuasutus; 6) riigi valimisteenistus; 7) Riigikogu Kantselei; 8) Riigikontroll; 9) Riigimetsa Majandamise Keskus; 10) seaduse alusel asutatud avalik-õiguslik juriidiline isik; 11) Vabariigi Presidendi Kantselei; 12) valitsusasutus ja valitsusasutuse hallatav riigiasutus; 13) valla või linna ametiasutus, valla või linna ametiasutuse hallatavale asutus, osavald, linnaosa, osavalla või linnaosa ametiasutus, osavalla või linnaosa ametiasutuse hallatava asutusele ning kohaliku omavalitsuse üksuste ühisamet ja -asutus; 14) Õiguskantsleri Kantselei. Oluline on märkida, et määrust kohaldatakse vaid siis, kui pilvteenuse kasutamise korral töödeldakse avalikku teavet. Kui loetletud asutusel või isikul on teavet, mida ei loeta avalikuks teabeks AvTS-i § 3 tähenduses, siis sellise teabe töötlemisele määrus ei kohaldu. Samas, kui avalikku teavet ja muud teavet, mis ei ole avalik teave AvTS tähenduses, ei ole võimalik eristada ühes võrgu- ja infosüsteemis, peab teabe töötlemiseks kasutatav süsteem vähemalt vastama määruse nõuetele, sest avaliku teabe töötlemisel pilvteenust kasutades peab järgima määruses sätestatut (vt eelnõu § 1 lõike 3 punkti 4). Kuna infotehnoloogia areng on pidev ja kiire, ei keskendu eelnõu pilvteenuste ja pilvteenuse osutajate regulatsioonile, vaid pöörab tähelepanu sellele, mida ja kellega on kavas pilvteenuse kasutuselevõtmisega jagada. Seepärast peetakse vajalikuks, et teabeomanik hindaks kasutatavate teenuste ja pilvteenuste osutajaid, säilitamaks avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse. Määrus antakse kahe seaduse alusel, mistõttu siinse määruse kohaldamisala ehk subjektide määratlemisel lähtuti ennekõike mõlema seaduse ühisosa mõttes olevatest subjektidest. Seetõttu ei kohaldata määrust ka näiteks KüTS-i § 3 lõikes 1 olevatele isikutele. Määrus on koostatud ennekõike ainult KüTS-i § 3 lõikes 4 nimetatud isikuid ja asutusi silmas pidades. Punkti 1 kohaselt on määrus kohaldatav juhul, kui teabeomanik soovib avaliku teabe töötlemiseks kasutusele võtta välise, kuid Eesti avaliku sektori enda pakutava IT-teenuse ehk andmetöötlusressursside kogumi, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu kohaliku omavalitsuse üksus või KüTS-i § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik. Nimetatud asutuseks või isikuks on vastavalt: valitsusasutus ja valitsusasutuse hallatav riigiasutus (punkt 12), valla või linna ametiasutus, valla või linna ametiasutuse hallatav asutus, osavald, linnaosa, osavalla või linnaosa ametiasutus, osavalla või linnaosa ametiasutuse hallatav asutus ning kohaliku omavalitsuse üksuste ühisamet ja - asutus (punkt 13). Arvestades nii KüTS-i kui ka õigusaktide üldist kohaldamist ei ole säte kohaldatav välisriikide kesk- või kohaliku omavalituse asutusele ning sellistel juhtudel on tegemist punktis 2 sätestatud pilvandmetöötlusteenuse osutajaga, seda ka olukorras, kus välisriigi ametiasutus soovib teenust pakkuda tasuta. Punkt 2. KüTS-i kohaselt on pilvandmetöötlusteenus infoühiskonna teenus, mis võimaldab juurdepääsu andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata.7 Säte viitab infoühiskonna teenusele, mis infoühiskonna teenuse seaduse (edaspidi InfoTS) kohaselt on teenus, mida osutatakse majandus- või kutsetegevuse raames teenuse kasutaja otsesel taotlusel ja mille puhul andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil, kusjuures 7 KüTS-i § 2 punkt 7 5 osapooled ei viibi üheaegselt samas kohas. Infoühiskonna teenus peab olema täielikult üle kantud, edastatud ja vastu võetud elektrooniliste sidevahendite abil. Infoühiskonna teenus ei ole faksi ega telefonikõne abil edastatud teenus ega televisiooni- või raadioteenus.8 KüTS-i termin on üle võetud Euroopa Parlamendi ja nõukogu direktiivist (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus 9 (edaspidi NIS-i direktiiv). Seega, kokkuvõtvalt on määrus kohaldatav ka juhul, kui avaliku teavet soovitakse töödelda pilveandmetöötlusteenuse pakkuja kaudu, kes osutab teenust majandustegevuse raames. Siinjuures ei ole vahet, kas teenust pakutakse tasu eest või tasuta. Lõige 2. Kuivõrd teabeomanik ei pea avalikku ülesannet täitma ise, vaid võib selle delegeerida mõnele teisele isikule (nt halduslepingu alusel avalikku teenust pakkuvale mittetulundusühingule), siis nähakse määruses ette kohustus avaliku ülesande üleandmisel tagada, et ülesande täitmisega tekkiva avaliku teabe töötlemisel pilvteenuse kaasabil, peab pilvteenust hindama, lähtudes määruse nõuetest. Määruse nõuetest kinnipidamise eest vastutab teabeomanik, kes kohustub ülesande üle andmise korral selle kohustuse täitmise ette nägema. Näiteks, halduslepingu sõlmimisel peab ette nägema vastava kohustuse avaliku teabe töötlemisel. Ülesande delegeerimine ei vabasta ülesande põhitäitjat kohustusest kontrollida, kas delegeeritud ülesande täitmise käigus tekkinud avalik teave on kaitstud. Samas on eelnõus arvestatud, et avaliku ülesande täitmise juures võib ette tulla olukordi, kus avaliku teabe töötlemiseks pakub tehnilist tuge ülesande eest vastutav asutus. Näiteks, avaliku teabe töötlemine andmekogus toimub teabeomaniku veebilehe kaudu või avaliku teabe töötlemiseks tohib kasutada vaid ülesande täitmise eest vastutava asutuse poolt antud infotehnoloogilisi vahendeid, sealhulgas loodud infosüsteeme. Lõikes 3 tuuakse esile erisused, millal andmetöötlusressursi kogumi hindamise kohustust ei ole avaliku teabe töötlemisel. Samas erisus ei tähenda, et avaliku teabe kaitset sellistel juhtudel ei ole tagatud, vaid on arvestatud, et sellistel juhtudel on andmete töötlemise nõuded on üldiselt rangemad, kui avaliku teabe töötlemisele üldiselt esitatud nõuded või tulenevad teabe töötlemise nõude välislepingust või Euroopa Liidu õigusaktist. Punkti 1 kohaselt ei kohaldata määrust juhul, kui avalikku teavet töödeldakse välislepingu10 alusel rahvusvahelise organisatsiooni või institutsiooni poolt pakutavas andmetöötlusressursside kogumis, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata. Selliseks teabeks võib olla nt Euroopa Liidu institutsioonidele esitatav teave. Erisuse kohaselt ei pea teabeomanik hakkama üle hindama rahvusvahelise organisatsioon pilvteenust enne kokkulepitud teabe esitamist. Erisust kohaldatakse vaid välislepingus piiritletud teabe esitamisele, mitte selle teabe siseriiklikule töötlemisele siseriiklikes võrgu- ja infosüsteemides. Lisaks on punktides 2 ja 3 õigusselgust silmas pidades esile toodud, et määrust ei kohaldata KüTS-i § 1 lõike 2 kohaselt teabele, mis on tunnistatud riigisaladuseks riigisaladuse ja salastatud välisteabe seaduse tähenduses, ja salastatud välisteabe töötlemisele ning Kaitseministeeriumi valitsemisalas rahvusvahelise sõjalise koostööga ja riigi sõjalise kaitse ettevalmistamisega seotud teabe töötlemisele. Samas, kui nimetatud teavet töödeldakse koos muu avaliku teabega, on määruses esitatud põhimõtete järgimine kohustuslik. 8 InfoTS-i § 2 punkt 1 9 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus 10 Välissuhtlemisseadus § 3 p 2: välisleping – Eesti Vabariigi ja välisriigi või rahvusvahelise organisatsiooni kahe- või mitmepoolne ühest või mitmest dokumendist koosnev kirjalik kokkulepe, mida reguleeritakse rahvusvahelise õigusega 6 Punkti 4 kohaselt ei kohaldata määrust ka avalikule teabele, mida töödeldakse andmetöötlusressursside kogumis, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning mis on mõeldud:  riigisaladuseks ja salastatud välisteabe töötlemiseks;  rahvusvahelise sõjalise koostööga ja riigi sõjalise kaitse ettevalmistamisega seotud teabe töötlemiseks. Erisuse tegemisel on arvestatud asjaoluga, et nimetatud teabe töötlemiseks kasutatavate süsteemide juures on rakendatud ulatuslikke meetmeid sealt töödeldava teabe kaitsmiseks ning avaliku teabe töötlemiseks ei ole vajalik täiendavate meetmete kasutusele võtmist. Ehk on järgitud põhimõtet, et avalikku teavet võib töödelda ka süsteemis, milles teabe töötlemisele esitatavad nõuded on rangemad, kui muidu avaliku teabe töötlemisele esitatavad nõuded. Eelnõu § 2 käsitleb eeldusi, mida peab arvestama enne, kui teabeomanik võtab avaliku teabe töötlemiseks kasutusele pilvteenuse. Pilvteenus hõlmab laia valdkonda, sealhulgas infoühiskonna teenused. Näiteks, lihtsamate serverite rentimise kõrval on hõlmab pilvteenusega ka tarkvaralahendusi, mille funktsioonid tuginevad pilvteenuse pakkuja andmetöötlusressurssidele ja mis pakuvad kitsamaid andmetöötlusfunktsioone, sest NIS-i direktiivi selgituspunktis 17 on mõistet laiendatav (direktiivi tõlkes skaleeritav) kirjeldatud just pilvteenuse pakkuja võimekusena vastavalt vajadusele ressursse ühe kasutaja jaoks laiendada. Samuti on Euroopa Komisjon täpsustanud, et pilvteenusena on käsitatav ka tarkvara kui teenus (ingl software as a service ehk SaaS). Teisisõnu võib pilvteenusena olla käsitatav ka tüüpiline kontoritarkvara, kui pakutav pilvteenus vastab loetletud kriteeriumitele. Pilvsüsteem on seega süsteem (ennekõike tarkvaralisel ja andmete kujul), mida peetakse pilvteenuse kaudu ehk selle pakutud andmetöötlusressursse kasutades. Pilvsüsteem võib olla nii pilves majutatav andmekogu kui ka KüTS-i subjekti teabevahetusprotsessi infovara. Pilvteenuste kasutuselevõtmisega seotud riske peab haldama. Luues soodsamaid pilvteenuseid, võivad pilvteenuse osutajad teha mõningaid kompromisse tehnoloogias, eelkõige võib neid esineda pilvteenuse-sisese turvalisuse (konfidentsiaalsuse) poolel. Nii näiteks, kui teabeomanikul on taristu ja tal on kõik andmete transportimiseks ja säilitamiseks vajalikud krüptovõtmed, siis pilvteenuste puhul on need enamjaolt pilvteenuse osutaja käes. Pilvteenuse kasutuselevõtmisel võib kerkida küsimus, kuidas tagada pilvteenuses olevate andmete ja kasutajate piisav eraldatus. Teabeomanikule kuuluva taristu puhul saab teabeomanik seda hõlpsasti teha, kuid pilvteenuste kasutamise korral töödeldakse eri klientide (teabeomanike) andmeid ühises jagatud keskkonnas. Et vältida ja hallata pilvteenuse kasutuselevõtmisega kaasnevaid riske avaliku teabe töötlemisel nähakse lõikes 1 ette vähemalt need asjaolud, mida peab hindama, kui avaliku teabe töötlemisel soovitakse kasutada pilvteenust. Sellised asjaolud on järgmised: 1) pilvteenuse kaudu töödelda kavatsetava avaliku teabe olemus ning riskid avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kahjustamise korral; 2) nõudeid pilvteenuse kaudu töödelda kavatsetava avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kohta; 3) avaliku teabe töötlemise etapp, milleks soovitakse kasutada pilvteenust; 4) pilvandmetöötlusteenuse pakkuja ja tema volitatud esindaja, importija või levitaja usaldusväärsus; 5) kasutatav tehnoloogia ja pilvteenuse toimemudel ning nende mõju olemasoleva võrgu- ja infosüsteemi arhitektuurile; ja 6) pilvteenuse turvalisus ja kasutatavad turvameetmed. Tegemist ei ole ammendava loeteluga. 7 Punkt 1. Pilvteenuse kaudu töödelda kavatsetava avaliku teabe olemuse kriteeriumi juures on ennekõike vaja mõelda, milline on see avalik teave, mis pilvteenuse kaudu liigub, näiteks, kas tegemist on avaliku ülesande täitmise seisukohalt avalikkust või isikut mõjutada võiva teabega, sealhulgas eriliiki isikuandmetega. Sellise teabe vaatlemisel ei peaks lähtuma vaid asutusesiseseks kasutamiseks mõeldud teabest AvTS-i tähenduses, vaid sellise teabena tuleks käsitada ka asutusesisest teabevahetust poliitika kujundamisel, järelevalve korraldamisel või muu avaliku ülesande täitmisega seotud teabevahetust, kui selle teabevahetuse sattumine kolmandate isikute valdusesse võib mõjutada avaliku ülesande täitmist või takistada kavandatavate eesmärkide täitmist või hoopis tuua kaasa avalike huvide olulise kahjustamise. Selliseks teabeks võib olla näiteks nii ametnike vahel arvamuste vahetamine e-posti teel kui ka kirjavahetus ametniku ja eraisiku vahel, et tuvastada võimalik rikkumine. Avalike ülesannete täitjate korral tuleb kindlasti jälgida ka seda, kas nende ülesannete käigus on saadud või kasutatud ka teistelt asutustelt saadud teavet. Nii näiteks ei pea Riigikontroll arvestama mitte üksnes seda, et teave on saadetud talle pandud ülesannete täitmiseks, vaid ka seda, et teave võib sisaldada teiste asutuste ülesannete täitmise seisukohalt kriitilist teavet jne. Teisalt kuuluvad sedasorti teabe hulka andmed, mis on avaliku ülesande täitja andmekogudes. Siinjuures tuleb vaadata näiteks, kas andmekogu andmed on põhiandmeteks muudele andmekogudele, ning kuidas sel juhul võib mistahes tõrge andmekogust avaliku teabe kättesaamisel mõjutada teisi pooli ja avalike ülesannete üldist täitmist. Näiteks olukorras, kus avalikul teabel on õiguslik tähendus, võib olla vajalik, et teave on saadaval ka juhul, kui puudub ühendus pilvteenusega. Teabega seotud riskide hindamine on seotud avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kahjustumisega seotud riskidega. Nimetatud riske tuleb korrapäraste ajavahemike järel hinnata. See on tavapärane riskide hindamine, kuid mis tehakse määruse järgi pilvemääruse kontekstis. Riskide hindamisel tuleb näiteks hinnata, mis laadi riske toob endaga kaasa olukord, kus pilvteenusesse viidav avalik teave kogumina moodustab tundliku teabe, sh millised on mõjud ja probleemid, kui midagi selle kogumiga juhtub (nt pole kättesaadav või saab kättesaadavaks juurdepääsuõiguseta isikule). Teabeomanik, kes lähtub oma tegevuses Eesti infoturbestandardist, saab siin mõningast abi selle nõuete dokumentatsiooni osaks olevast rakendusjuhendist 11 kui ka soovituslikust riskihaldusjuhendist.12 Punkt 2. Pilvteenuse kasutamise kavandamisel peab selgeks tegema, millised on nõuded töödeldava avaliku teabe terviklusele, käideldavusele ja konfidentsiaalsusele. Kui enamiku andmekogude juures on vastav hindamine tehtud, siis pilvteenuse kasutuselevõtmine eeldab samasuguse hinnangu andmist ka muule teabele (nt e-posti kasutamiseks). Ühtlasi, kui on mindud pilvteenuse kasutamisele, tuleb teabetöötlemiseks esitatud nõudeid tutvustada oma organisatsiooni teenistujatele ja käsitleda asutuste asjakohastes dokumentides. Eelnõu jõustumisel määrusena ei ole asutusel kohustus võtta kasutusele pilvteenuses ega ka kohustust viia kogu avaliku teabe töötlemine pilvteenusesse. Osa avaliku teabe kohta võib olla esitatud eri nõudeid ja võib tekkida olukord, kus sellist teavet ei ole pilvteenuse kaudu võimalik töödelda. Punkt 3. Arvestades eeltoodut tuleb hinnata, millist andmete töötlemist on kavas teha pilvteenuse kasutamise kaudu. Teabe töötlemise etappide puhul on arvestatud terminiga isikuandmete töötlemine, mis on sätestatud Euroopa Parlamendi ja nõukogu 27. aprilli 2016 määrusega (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 4 punktis 2.13 Eelnõuga ei välistata, et pilvteenust kasutatakse vaid avaliku teabe töötlemise mõnes etapis, kuid samas on arvestatud, et ka sellisel juhul võib avalikule teabele esineda riske. 11 https://eits.ria.ee/et/versioon/2022/juhendid/rakendusjuhend/ 12 https://eits.ria.ee/et/versioon/2022/juhendid/riskihaldusjuhend/ 13 „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata 8 Punktiga 4 nähakse ette kohustus hinnata pilvandmetöötlusteenust pakkuva isiku usaldusväärsust. Siinse sätte tulemusena toimub pilvandmetöötlusteenusega seotud tarneahela hindamine. Pilvandmetöötlusteenuse pakkuja (st eraõigusliku isiku) usaldusväärsuse hindamine on vajalik selleks, et hinnata temast või näiteks tema asukohariigist tulenevaid riske avalikule teabele ja seeläbi avaliku võimu teostamisele Eestis. Pilvandmetöötlusteenuse pakkuja asukoha puhul tuleb jälgida nii teenuse osutamise riiki, teenuse osutaja enda asukohta kui ka korporatiivse ettevõtja korral peakorteri asukohta. Kuigi usaldusväärsuse hindamisel on oluline osa sellel, millisest õigusruumist teenuse osutaja pärineb, ei saa usaldusväärsuse hindamisel jätta tähelepanu pööramata ka sellele, milline on olnud isiku käitumine teenuse pakkumisel ja kas tema või tema osutatavate teenuste suhtes võib esineda muid asjaolusid, mis seavad kahtluse alla pakutava teenuse turvalisuse ja kvaliteedi. Kuna pilvandmeetöötlusteenuse pakkuja ise ei pea olema pilvandmetöötlusteenuse vahetu müüja ja pilvandmetöötlusteenuse kättesaadavaks tegemiseks on võimalik kasutada vahendajaid, siis eelnõu kohaselt tuleb sel juhul hinnata importija, levitaja ja volitatud esindaja usaldusväärsust. Loetletud terminite kasutamisel on lähtutud toote nõuetele vastavuse seaduses14 sätestatust, mille kohaselt on: importija – Euroopa Liidus asuv isik, kes laseb toote kolmandast riigist liidu turule; levitaja – turustusahelas osalev isik, kes teeb toote turul kättesaadavaks, välja arvatud tootja või importija; volitatud esindaja – Euroopa Liidus asuv isik, kes on saanud tootjalt kirjaliku volituse tegutseda tema nimel kindlaksmääratud ülesannetes. Määruse kontekstis on „tootja“ all mõeldud isikut, kes on pilvandmetöötlusteenuse pakkuja. Punkti 5 kohaselt tuleb hinnata kasutatavat tehnoloogiat ja pilvteenuse toimemudelit. Siinse kriteeriumi puhul hinnatakse, milline pilvteenuse tehnoloogia ja toimemudel on sobivaim pilvteenusesse viidava avaliku teabe töötlemiseks. Siinjuures tasub tähele panna, et olukorras, kus samasse infrastruktuuri on paigutatud omavahel seoses olevad võrgu- ja infosüsteemid, siis nad saavad eeldada sarnaseid baasteenuseid ja -tingimusi: käideldavus- ja muud baasinfrastruktuuri lahendused, aga ka näiteks ühenduse kiirus ja latentsus. Seega tuleb uue pilvteenuse kasutusele võtmisel need eeldused üle hinnata ja vaadata kas seotud võrgu- ja infosüsteemid saavad toimida edasi samadel eeldustel ning tingimustel. Punkti 6 kohaselt tuleb enne pilvteenuse kasutusele võtmist hinnata pilvteenuse turvalisust ja kasutatavad turbemeetmeid. Nõude eesmärk on välistada, et ei võetaks kasutusele teadaolevalt puuduliku turvalisusega pilvteenust, või pilvteenust, mille kasutamise tingimused ei taga avaliku teabe töötlemise nõuetele vastavat turvalisust (vt punkt 2). Lõikes sätestatud hindamiskohustuse teostamisel võib kasutada: 1) olemasolevat teavet pilvteenuse kohta; 2) teiste asutuste (nt Riigi Infosüsteemi Ameti, andmekaitse järelevalveasutuste ja julgeolekuasutuste) koostatud hinnanguid ja ülevaateid võimalike ohtude ja riskide kohta; 3) muude tegevuste raames tehtud samaväärseid hinnanguid, millest nähtub asjaolud, millest lähtuvalt otsustati pilvteenuse kasutusele võtmine või selle kasutusele võtmata jätmine. Niisamuti võivad asutused riskide hindamisel koopereeruda, kuid otsuse pilvteenus kasutusele võtta või mitte teeb iga organisatsioon eraldi. Arvestades Riigi Infosüsteemi Ameti ja julgeolekuasutuste ülesandeid, mis on seotud erinevate riskide hindamisega ja ohuhinnangute koostamisega, on mõistlik, et nimetatud asutused jagavad toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine 14 Toote nõuetele vastavuse seadus–Riigi Teataja (31.08.2023) 9 pilvteenustega seotud teavet nende isikutega, kes pilvteenust kasutavad või kasutuselevõtmist kavandavad. Teabe jagamiseks võib kasutada mitmesuguseid variante, nagu vahetu kontakt, teabe avaldamine veebilehel või aastaraamatus. Samuti peaksid nimetatud asutused efektiivselt kaasa aitama, et pilvteenuse kasutuselevõtmine oleks võimalikult kaalutletud ja arvestaks riskidega. Seda on võimalik, nii nagu ohuhinnangute puhul, teha teabe jagamise kaudu (nt asjakohaste juhiste koostamine või neile viidete jagamisega veebilehel). Lõikega 2 tehakse erand usaldusvääruse hindamise kohustuses. Nimelt ei pea usaldusväärust hindama kui soovitakse kasutusele võtta avaliku sektori osutatav pilvteenus. Avaliku sektori osutatava pilvteenuse pakkuja saab eelnõu tähenduses olla vaid Eesti avalik-õiguslik juriidiline isik (riik, kohaliku omavalitsuse üksus). Samuti peab hindama avaliku sektori osutatava pilvteenuse raames pakutava pilveandmetöötlusteenuse pakkuja (allhange) usaldusväärust, sest selle on juba eelnõus toodud kriteeriumitest tulenevalt hinnanud avaliku sektori osutatava pilvteenuse pakkuja ise, ehk eelnõu ei tee erisust kui avaliku sektori osutatava pilvteenuse raames soovib pakkuja omakord kasutusele võtta pilveandmetöötlusteenust. Sellisel juhul ei ole enam tegemist vaid avaliku sektori osutatava pilvteenuse kasutamisega ja tuleb teha eelnõu kohane hindamine. Hindamise kaudu saavad avaliku sektori osutatava pilvteenuse kasuks otsustanud teabeomanikud kindlust, et jätkuvalt on tagatud avaliku teabe hoidmise usaldusväärsus. Näiteks, kui kohaliku omavalitsuse üksus soovib oma võrgu- ja infoteenuste osutamisel osaliselt või täielikult üle minna eraettevõtja pakutavale pilvandmetöötlusteenusele, peab tema allasutus koos kohaliku omavalitsusega hindama, kas allasutuse avalike ülesannete täitmisel tekkinud avalik teave on ka edaspidi nõuetekohaselt kaitstud ja töödeldav. Avaliku sektori osutatava pilvteenuse erandi juures võeti arvesse, et tegemist ei ole pilvandmetöötlusteenusega KüTS-i tähenduses, sest teenust ei osutata majandustegevusena ning teenus toimib Eesti avaliku sektori siseselt. Avaliku sektori osutatava pilvteenuse puhul rakendatakse avaliku sektori võrgu- ja infosüsteemile osaliselt või täielikult: a) Vabariigi Valitsuse 9. detsembri 2022. a määrust nr 132 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“15; b) ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määrust nr 101 „Eesti infoturbestandard“16; c) Vabariigi Valitsuse 25. mai 2017 määrust nr 88 „Teenuste korraldamise ja teabehalduse alused“17; ja d) Vabariigi Valitsuse 15. märtsi 2012 määrusest nr 26 „Infoturbe juhtimise süsteem“18. Lõikes 3 nähakse ette võimalus kasutada hindamisel muu hulgas pilvteenuse pakkuja või tema osutatava teenuse suhtes tehtud auditi tulemusi ja pilvteenuse pakkuja või tema osutatava teenuse kohta väljastatud rahvusvaheliselt ja Eestis tunnistatud sertifikaati või hindamist pilvteenuse pakkuja võrgu- ja infosüsteemide kohta. Sätte eesmärk on vähendada eraldi tegevuste kulu ning võtta arvesse juba tehtud ja ajakohaseid hindamisi. Näiteks, kui pilvteenuse pakkuja vastab auditi lõppraporti kohaselt Eesti infoturbestandardile või tal on olemas kinnitus rahvusvahelise standardiga ISO/IEC 27001 kehtestatud nõuetele vastavate turvameetmete rakendamisest, ei pea hindamist lisaks enam tegema ning hindamisraportisse märgitakse sertifikaadi olemasolu ja selle kohaldamise ulatus. Audit ja sertifikaat peavad olema kehtivad. Lõikes 4 tuuakse esile kohustus hinnata ka pilvandmetöötlusteenuse pakkuja poolt pilvandmetöötlusteenuse osutamisel kasutatavaid alltöövõtjaid ehk muid pilvteenuse pakkujaid, keda kasutab teabeomaniku lepingupartnerist pilvteenuse pakkuja ehk pilvteenuse põhipakkuja. Ka siinne säte on seotud pilvandmetöötlusteenuse tarneahela hindamisega. Alltöövõtjaid hinnatakse samade 15 RT I, 13.12.2022, 30 16 RT I, 21.12.2022, 34 17 Teenuste korraldamise ja teabehalduse alused–Riigi Teataja 18 Infoturbe juhtimise süsteem–Riigi Teataja 10 kriteeriumite alusel, mis pilvandmetöötlusteenuse põhipakkujat. Sätte eesmärk on saada teada, millised riskid kaasnevad avaliku teabe töötlemisele, kui pilvandmetöötlusteenuse põhipakkuja kasutab teenuse osutamisel alltöövõtjaid. Ka alltöövõtjast võivad tuleneda riskid, mida peamise pilvandmetöötlusteenuse pakkuja juures ei esine. Nii samuti ei pruugi peamine pilvandmetöötlusteenuse pakkuja ise hinnata alltöövõtjast tulenevaid riske. Samas kui ta on ise hinnanud alltöövõtjat ja see hindamine sobib ka teabeomanikule, on eelnõu kohaselt võimalik ka seda hindamist arvesse võtta. Samuti on võimalik kasutada ka muud olemasolevat teavet hindamise läbi viimiseks (vt eelmise lõike selgitusi) Lõikes 5 tuuakse esile, et määruse lisas on kontrollküsimustiku näidis, mida saab kasutada abivahendina lõikes 1 sätestatud hindamiskohustuse täitmisel. Küsimustikus on loetletud olulisemad asjaolud, mis peaksid olema teada enne pilvteenuse kasutusele võtmist. Samas ei ole välistatud olukorrad, kus kasutada tahetava pilvteenuse juures esineb asjaolusid, mida ei saa hinnata nende puudumisel, või on asjaolusid, mida küll ei ole loetletus, kuid avaliku teabe olemuse pärast on vajalik hinnata. Hindamistulemuse koostamine ei pea põhinema küsimustikul, vaid hindamine võib olla tehtud muude hindamiste raames ja asjakohane teave sisalduda teistes dokumentides. Oluline on, et teabeomanik on hindamise teinud ning teadlik, kus ja kuidas on hindamistulemused kättesaadavad. Lõikes 6 nähakse ette, et kõik lõikes 1 nõutavad hindamised peab olema tehtud enne kui otsustatakse pilvteenuse kasutamisele võtmine. Nõude eesmärk on tagada, et teabeomanik oleks kõik riskid eelnevalt läbi kaalunud ning pilvteenuse kasutusele võtmisega ei kaasneks riske avalikule teabele ja avalike ülesannete täitmisele. Teisena tuuakse esile, et hindamistulemuse võib dokumenteerida mõne muu võrgu- ja infosüsteemi hindamise osana või andmekaitsealase mõjuhinnangu juures. Sätte eesmärk on vältida samaväärsete hindamiste koostamist dubleerituna. Küll ei tuleb jälgida, et muu hindamise käigus ei unustatakse hinnata käesolevas eelnõus esitatud asjaolusid, kui vastava hindamise juures see nõutav ei ole. Hindamine peab olema tehtud kirjalikus või kirjalikult taasesitatavas vormis – näiteks eraldi kirjaliku analüüsina või elektrooniliselt infoturbe halduse tööriistas. Lõikes 7 esitatakse asjaolud, mille esinemise korral peab vältima pilvteenuse kasutuselevõtmist avaliku teabe töötlemisel. Need ajaolud on järgmised: 1) seaduse, selle alusel antud õigusakti, Euroopa Liidu õigusakti või välislepingu kohaselt ei ole pilvteenuse kasutamine avaliku teabe töötlemiseks lubatud; 2) pilvteenuse kasutuselevõtmise korral ei ole tagatud avaliku teabe nõuetekohane terviklus, käideldavus, konfidentsiaalsus, või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist; 3) on suur tõenäosus avaliku teabe teatavaks saamisest või avaliku teabe muutmiseks isikute poolt, kellel puudub teadmisvajadus või juurdepääsuõigus, või on suur tõenäosus, et nimetatud isikud võivad avalikku teavet muuta; 4) pilvteenuse pakkuja ei suuda tagada vajalikku pilvteenuse kättesaadavust; 5) esineb muu samalaadne põhjus, mille aset leidmisel võib tekkida oht riigi julgeolekule, avalikule korrale või isiku eraelu puutumatusele, või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist. Pilvteenuse kasutamisest hoidutakse, kui esineb vähemalt üks loetletud asjaolu. Punkti 1 kohaselt tuleb avaliku teabe töötlemisel vältida pilvteenuse kasutamist, kui Euroopa Liidu õigusakti, seaduse, selle alusel antud õigusakti või välislepingu kohaselt ei ole pilvteenuse kasutamine avaliku teabe töötlemiseks lubatud. Euroopa Liidu õigusakti all on mõeldud ennekõike Euroopa Liidu direktiive ja määrusi, mis reguleerivad, kuidas siinse määruse subjektid peavad või võivad oma avalikke ülesandeid täita. Need õigusaktid omakorda võivad reguleerida ka, kas või mil määral on võimalik pilvteenuseid kasutada. Nende õigusaktide all mõeldakse ka horisontaalseid õigusakte, mis kehtivad eri valdkondades – näiteks isikuandmete kaitse valdkonnas. Sarnased nõuded võivad tulla ka Eesti õigusaktidest või välislepingust. Punkti puhul saab siiski eristada, kas õigusaktis on keelatud 11 teavet töödelda väljaspool avalikku sektorit või on teabe töötlemine keelatud ka avaliku sektori sees. Näiteks, kui teavet on lubatud töödelda vaid avaliku sektori sees, siis on võimalik infotehnoloogia arendamisel arvestada avaliku sektori siseselt toimuvate teenuste konsolideerimisega jne. Punktide 2 ja 3 kohaselt tuleb avaliku teabe töötlemisel vältida pilvteenuse kasutamist, kui selle kasutamisel ei ole tagatud nõuetekohast teabe terviklust, käideldavust või konfidentsiaalsust; või kui ei ole võimalik hinnata eelmainitud nõuetega seotud riskide esinemist; või kui on suur tõenäosus, et teadmisvajaduseta isikud võivad avalikku teavet muuta. Seega, kui hindamise käigus selgub näiteks, et pilvteenuse kasutamise korral ei ole tagatud vajalikul ja nõutaval tööajal kasutamiskõlblike andmete õigeaegne ja hõlbus kättesaadavus selleks volitatud isikule või tehnilisele vahendile, või tekib konfidentsiaalsuse kahjustumise võimalus, siis tuleb pilvteenuse kasutamist vältida. Niisamuti tuleb vältida pilvteenuse kasutamist siis, kui avalike andmete õigsuse, täielikkuse ja ajakohasuse puudumine on ilmne ning ei ole selge andmete päritolu autentsus ja esineb volitamata muudatusi, või avalik teave on kättesaadav teistele, kui ainult selleks volitatud isikule või tehnilisele vahendile. Nimetatud riskid ei pea esinema vaid pilvteenuse juures, vaid võivad esineda ka pilvteenuse pakkuja juures. Pilvteenuse pakkuja juures on üks võimalik ohufaktor õigusruum, milles ta tegutseb. Nii näiteks olukorras, kus õigusruum paneb pilvteenuse pakkujale ametiasutusele teabe üleandmise kohustuse või ei ole talle kohalduvas õigusruumis arusaadav, millised on pilvteenuse pakkuja õigused ja kohustused Eesti teabeomanike poolt üle antava avaliku teabe töötlemisel, on kahtlus või tõenäosus, et pilvteenuse kasutamisel ei ole võimalik veenduda Eesti teabeomanike avaliku teabe tervikluses, käideldavuses ja konfidentsiaalsuses. Siinjuures võib tugineda ka asjaomaste asututuste või asjatundjate koostatud arvamustele, analüüsidele, ettepanekutele jne. Samas ei ole eelnõuga välistatud olukord, kus kavandatava pilvteenuse kasutusele võtmisel oli kavas töödelda erineva terviklus-, käideldavus- ja konfidentsiaalsusnõuetega avalikku teavet. On oluline, et avalikku teabe töötlemiseks võetakse kasutusele üksnes selline pilvteenus, mille nõudeid suudetakse teenuse kasutamisel järgida. Rangemate töötlemise nõuetega avaliku teabe puhul peab selle töötlemiseks sobimatut pilvteenust vältima. Punkti sisu ei tähenda uut keeldu, kuna samataoline nõue on sätestatud AvTS § 43 lõikes 1. Punkti 4 kohaselt peaks pilvteenuse kasutusele võtmisest hoiduma, kui selle teenuse pakkuja ei suuda tagada vajalikku kvaliteeti ehk teenus ei ole piisaval määral kättesaadav ja pidevalt esineb selle pakkumisel tõrkeid vms. Näiteks olukorras, kus avaliku teabe kasutamise või avaliku teenuse käideldavuse nõuded on rangemad kui pilvteenus võimaldab tagada. Punkti sisu ei tähenda uut keeldu, kuna samataoline nõue on sätestatud AvTS § 43 lõikes 1. Punktiga 5 nähakse ette, et pilvteenuse kasutuselevõtmist peaks vältima ka juhul, kui esineb muu põhjus, mille esinemise korral on suur tõenäosus, et esinevad põhjused või asjaolud, mille tulemusel või esinemisel võib tekkida oht riigi julgeolekule, avalikule korrale või isiku eraelu puutumatusele; või ei ole võimalik hinnata eelmainitud nõuetega seotud riskide esinemist. Eelnõu koostamisel on lähtutud eeldusest, et peale eelmistes punktides nimetatud olukordade võib esineda ka muid (seni määramata) olukordi, mis tingivad pilvteenuse mittekasutamise, sest selle tulemusel võib tekkida riigile või isikutele kahju või oht. Punkti sisu ei ole uus keeld, kuna samataoline nõue on põhimõtteliselt sätestatud AvTS § 38 lõikes 4 kui ka isikuandmete kaitse üldmääruse art 28 lõikes 1 ja art 35 lõikes 11 ning isikuandmete kaitse seaduse § 29 lõikes 3. Eelpool toodust nähtub, et pilvteenuse kasutusele võtmine eeldab riskipõhist lähenemist, ehk pilvteenuse ja avaliku teabega seotud riskide hindamisega tuleb alustada enne kui pilvteenust 12 kasutama hakatakse. Samas tuleb pilvteenuse, eriti pilvandmetöötlusteenuse, kasutusele võtmisel arvestada muude tingimustega, mis tulenevad muudest õigusaktidest kui käesolev eelnõu ja muud küberturvalisuse tagamisega seotud õigusaktid. Selliseks nõudeks võib olla ka näiteks riigihanke korraldamise kohustus, kui teenust ostetakse eraõiguslikult juriidiliselt isikult. Avaliku sektori osutatav pilveteenuse kasutusele võtmisel ei eeldata riigihanke korraldamist. Nõuete paljususe näitena on seletuskirja lisas 1 esitatud protsessijoonis pilvteenuse, eelkõige pilvandmetöötlusteenuse kasutuse võtmise etappidest. Eelnõu §-s 3 tuuakse esile tingimused, mis peavad olema täidetud, kui avaliku teabe töötlemisel otsustatakse kasutusele võtta pilvteenus. Lõige 1 näeb ette, et pilvteenuse kasutusele võtmisele avaliku teabe töötlemiseks peab eelnema kokkulepe (nt kirjalik leping, tüüptingimused jne) teenuse osutamiseks, milles peab nähtuma vähemalt järgmine: 1) pilvteenuse kaudu töödeldavale avalikule teabele rakenduvad käideldavuse, tervikluse ja konfidentsiaalsuse nõuded; 2) pilvteenuse osutamisel edastatud avaliku teabe juurdepääsu ja töötlemise tingimused, sealhulgas pilvteenuse pakkuja suhtes rakendatavad piirangud avaliku teabe töötlemisel; 3) teabeomaniku poolt pilvteenuse pakkujale töötlemiseks antud avaliku teabega või pilve pakkuja avaliku teabe töötlemiseks kasutava võrgu- ja infosüsteemiga seotud küberintsidentidest teavitamise tingimused; 4) pilvteenuse kaudu töödeldava avaliku teabe seiratavus, töötlemise toimingute tegemise tuvastamine ja vastava teabe kasutamine; 5) pilvteenuse raames kasutatavad muud pilvteenuse pakkujad; 6) pilvteenuse kasutamise ja avaliku teabe töötlemise lõpetamise tingimused, sealhulgas andmete arhiveerimise, üleandmise ja kustutamise nõuded ning avaliku teabe edasise kasutamise keeld. Punkt 1 sätestab, et teenuse osutamise kokkuleppest peab selgelt nähtuma, kuidas pilvteenuse pakkuja tagab tema poolt töödeldava avaliku teabe käideldavuse, tervikluse ja konfidentsiaalsuse. Sätte eesmärk on, et pilvteenuse kasutusele võtmisega oleks selge, et teenuse kasutamisel on tagatud avaliku teabe kaitsele seatud nõuete täitmine. Näiteks, andmekogudes olevate andmete hoidmisel ja töötlemisel pilves peab kokkulepe lähtuma andmekogu põhimääruses sätestatud turbeastmest ning turvaklassist jne. Punktis 2 sätestatu kohaselt peab kokkuleppest nähtuma, millised on pilvteenuse kasutamisel avaliku teabe juurdepääsu ja töötlemise tingimused, sealhulgas pilvteenuse pakkuja suhtes rakendatavad piirangud avaliku teabe töötlemisel. Sätte eesmärk on kohustada teabeomanikke läbi mõtlema, kuidas on avalik teave kaitstud. Kindlasti on vaja läbi mõelda, kes pääseb pilvteenuse kaudu ligi avalikule teabele: kas vaid teabeomaniku esindaja või ka pilvteenuse pakkuja esindaja või on ka tõenäoline, et pilvteenuse pakkuja kasutab teavet oma eesmärkide saavutamiseks ja seetõttu on juurdepääs ka kolmandatel isikutel. Näiteks kasutab pilvteenuse pakkuja teavet pilvteenuse arendamiseks või siis uute (pilv)teenuste loomiseks jne. Punkti 3 kohaselt peab kokkulepe sisaldama teavet selle kohta, kuidas toimub pilvteenuse pakkuja ja teabeomaniku vahel infovahetus selle kohta, milliseid küberintsidente teenuse kasutamise ajal esineb pilvteenuse osutamiseks kasutatavates võrgu- ja infosüsteemides, milles töödeldakse teabeomaniku avalikku teavet. Sätte eesmärk on teabeomanikule tagada õigeaegne ülevaade avaliku teabe töötlemisega seotud küberintsidentidest, et ta vajaduse korral võiks avaliku teabe töötlemise ümber korraldada. Siinse sättega tagatakse KüTS-i § 8 lõikes 11 teabeomaniku suhtes kehtiva nõude täitmine. Tolle nõude sisu, arvestades siinses määruses kasutatud sõnastusi, on järgmine: kui teabeomanik volitab võrgu- ja infosüsteemi haldamise teisele isikule või majutab võrgu- ja infosüsteemi teise isiku juures, vastutab teabeomanik selle eest, et teine isik teavitab teabeomanikku hiljemalt 24 tundi pärast KüTS-i § 8 lõikes 1 nimetatud küberintsidendist teadasaamist. 13 Punktiga 4 nähakse ette, et pilvteenuse kasutamise kokkuleppest peab nähtuma, kuidas avaliku teabe töötlemist seiratakse ja seiramise infot talletatakse (logitakse), ning kas teabeomanikul on võimalik selle teabega tutvuda, sh millises ulatuses. Selle sätte juures ei mõelda pilvteenuse pakkuja üldist lähenemist andmeseirele, vaid pilvteenust kasutava teabeomaniku poolt pilvteenuse pakkujale üle antud avalikku teavet, st teabe töötlemise mistahes etappi. Näiteks, kas ja kuidas jälgitakse mõne pilvteenuse kaudu kasutatava ametkondliku andmekogu kasutamist. Punkt 5. Muude pilvteenuse pakkujate esiletoomine on vajalik teadvustamaks, kes on seotud pilvteenuse kasutamisega (teisisõnu, et saada ülevaade andmetarneahelast), ja see võimaldab paremini hinnata teenuse kasutamisega seotud riske. Samuti on sellisel juhul võimalik efektiivsemalt reageerida, kui ilmnevad alltöövõtjaga seotud riskid. Juhul kui peamise pilvteenuse pakkuja alltöövõtjad muutuvad, tuleb hinnata neid ja nende mõju avaliku teabe töötlemisele (vt määruse § 4 lg 2). Siinse sätte olemus ei ole midagi uut – samasugune nõue on ka isikuandmete kaitse üldmääruse artikli 28 lõikes 2 ja isikuandmete kaitse seaduse § 29 lõikes 4. Punkti 6 kohaselt peab pilvteenuse kasutamisel olema selge, kuidas lõpetatakse pilvteenuse kasutamine (nt etteteatamise aeg, muud vastastikused õigused lõpetamisel). Juhul kui pilvteenuse kasutamisega kaasnes avaliku teabe hoiustamine, peab olema selge, kuidas see teave omanikule tagastatakse. Samuti peab lepingust nähtuma, et pilvteenuse osutaja ei töötle edasi tema valduses olnud avalikku teavet ja tagab selle kustutamise. Teabeomanik võib ette näha ka seda, et pilvteenuse pakkuja annab tema valduses oleva avaliku teabe üle teisele pilvteenuse pakkujale või näiteks arhiivipidajale, st andmed migreeritakse. Sellist võimalust võib vaja olla kasutada näiteks juhul, kui pilvteenust kasutati andmekogu tegevuse korraldamisel. Ent kui pilvteenust kasutati vaid tehnilise abivahendina (nt e-kirjade edastamine) ja teavet pilvteenuse pakkuja poolt ei säilitatud, ei ole lepingus vaja sätestada avaliku teabe üleandmisega seonduvat. Lõikes toodud tingimuste loetelu ei hõlma tavapärast lepingutega kaasnevaid tingimusi ja asjaolusid, milles osapooled on kokku leppinud lepingu täitmise tagamiseks. Sellisteks tingimusteks või asjaoludeks võivad olla vastastikune teavitamine, kontaktisikute info, leppetrahvid, vaidluste lahendamine jne. Lõike 2 kohaselt peab teabeomaniku ning pilvandmetöötlusteenuse pakkuja, toote nõuetele vastavuse seaduse tähenduses pilvandmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja poolt kokku lepitav teenuse osutamise kokkulepe olema kirjalikus vormis ja viisil, mis tagab selguse mõlema poole õigustest ja kohustustest. See tähendab, et enne teenuse kasutamise alustamist ei pea sõlmima kahepoolset kirjalikku lepingut selle traditsioonilises tähenduses. Teenuse kasutamine võib põhineda ka näiteks tüüptingimustel, millega teabeomanik on nõustunud. Volitatud esindaja, importija ja levitaja mõistete sisu on vastavalt selgitatud lõikes viidatud seaduse § 4 lõike 1 punktides 1, 3 ja 14. Vaata siin ka eelnõu § 2 lõike 1 punkti 4 ja tolle punkti selgitusi. Tüüptingimuste kasutamisel kokkuleppena tasub tähelepanelik olla, kas neis sisalduksid kõik kokkuleppe kohta lõikes 1 esitatud nõuded. Tüüptingimuste kasutamine ei võta teabeomanikult kohustust veenduda, mil viisil on reguleeritud tegevused, mida tüüptingimused ei kajasta. Nende kohta tasub pilvteenuse pakkujale esitada küsimused ja fikseerida vastused kirjalikus või kirjalikku taasesitamist võimaldavas vormis. Niisamuti ei ole välistatud mõningate sätete täpsustamine või pilvteenuse pakkuja nõusolekul tüüptingimustest erinevate nõuete kokkuleppimine. Lõike teise lause kohaselt peab ka juhul, kui avaliku teabe töötlemiseks võetakse kasutusele avaliku sektori osutatav pilvteenus olema teabeomaniku ja avaliku sektoris osutatava pilvteenuse pakkuja vaheline kirjalik dokument teenuse osutamisega seotud tingimustest. Selliseks dokumendiks võib olla näiteks koostöökokkulepe. 14 Lõikes 3 nähakse ette, et kui pilvteenus võetakse kasutusele pilvteenuse pakkuja volitatud esindaja, importija või levitaja vahendusel, siis peab ka nendega sõlmitud kokkulepe sisaldama lõikes 1 sätestatud asjaolusid ja olema sõlmitud kirjalikult taasesitatavas vormis. Sätte eesmärk on välistada olukorrad, kus vahendaja kaudu ostetud teenuse puhul jäetakse riskid hindamata, kuivõrd tegemist ei ole vahetu pilvteenuse pakkujaga. Lõige 4. Kui teabeomanik otsustab avaliku teabe töötlemisel kasutada pilvteenust, peab ta sellest teavitama järelevalveasutust ehk Riigi Infosüsteemi Ametit (vt KüTS-i § 14 lõige 1) või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat. KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat peab teavitama vaid julgeolekuasutus. Teavitamine on vajalik, et järelevalveasutusel tekiks ülevaade avaliku teabe töötlemisega seotud pilvteenustest ja seeläbi nende teenustega (kaudselt) kaasnevatest riskidest. Teavitamine annab võimaluse teha teabeomanike seas ennetustegevust, mille tulemusena vähendatakse näiteks riski avaliku teabe kuritarvitamiseks selleks mitteõigustatud isikute poolt või vähendatakse võrgu- ja infosüsteemide ründamise riski. Näiteks on järelevalveasutustel võimalik teabeomanikku teavitada, kui pilvteenuse pakkuja suhtes ilmneb kahtlus, ja teabeomanikul on pärast teavitamist võimalik kavandada oma tegevust, näiteks, liiga suurte riskide korral vahetada pilvteenuse pakkujat või võtta lisameetmeid. Või kui on teada mõne tehnoloogia turvanõrkused, mille ärakasutamine võib ohtu seada avaliku teabe tervikluse ja turvalisuse, on teabeomanikul võimalik sellele riskile ennetavalt reageerida. Samuti on võimalik teabeomanikul tegutseda, kui saabub teave, et pilvteenuse kättesaadavusega on probleeme (nt on Riigi Infosüsteemi Ametil võimalus teavitada teabeomanikku, kui avaliku teabe kättesaadavusega võib esineda probleeme). Teavitus on vajalik ka teabe käitlemise ja kübeturvalisuse tagamiseks tehtava järelevalve jaoks. Teavitus tuleb teha pigem siis, kui on tehtud otsus, et avaliku teabe töötlemisel hakatakse kasutama pilvteenust. Enne seda on teabeomanikul alati võimalik hindamise kestel konsulteerida järelevalveasutuse või muu asjaomase asutusega. Järelevalveasutustele esitatud teavitused on käsitletavad asutusesiseseks kasutamiseks mõeldud teabena AvTS § 35 lõike 1 punkt 10 tähenduses, sest sisaldab teavet tehnoloogiliste lahenduste kohta ning selle avalikuks tulek võib kahjustada teabevaldaja huve. Siinjuures tuleb arvestada ka asjaolu, et nt Riigi Infosüsteemi Ametile esitatud teave puudutab olulist osa avalikust sektorist, mistõttu koondteabe avalikustamine kahjustab oluliselt avaliku võimu huve ning suurendab pahatahtlike küberintsidentide ohtu avaliku teabe kätte saamiseks. Lõikes 5 sätestatakse Riigi Infosüsteemi Ameti või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegija teavitamisel vähim teave, mis tuleb esitada. Sätte kohaselt peab teavitusest nähtuma vähemalt järgmine: 1) millist pilvteenuse pakkujat ja tema volitatud esindajat, importijat või levitajat kasutatakse; 2) kas pilvteenuse pakkuja kasutab muu pilvteenuse pakkuja teenuseid; 3) millises ulatuses avaliku teabe töötlemisel pilvteenust kasutatakse; 4) kas pilvteenuse kasutamisel töödeldakse asutusesiseseks kasutamiseks ette nähtud teavet. Teavituse põhiküsimuste valikul on lähtutud eeldusest, et Riigi Infosüsteemi Ametil ja KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijal on olemas esmane teadmine, millised on avaliku teabe töötlemisega seotud riskid. Saadud teabe alusel on võimalik vajaduse korral võtta ennetavaid meetmeid või anda teabeomanikule asjakohaseid hoiatusi võimalikest ohtudest küberruumis. Näiteks, mõnda asutust tabanud küberintsidendi korral on võimalik edastada hoiatus teabeomanikele, kes kasutavad sama pilvteenuse pakkuja teenust. Lõikes 6 nähakse ette erisus teavituse sisus, kui teavitus esitatakse avaliku sektori osutatava pilvteenuse kasutusele võtmise kohta. Nimelt ei pea siis teavitusele lisama teavet alltöövõtu kohta. Kuna avaliku sektori osutatav pilvteenuse loomisel on kohustus hinnata määruses osalevaid asjaolusid kasutusele võetavate teenuste osas, siis ei ole teavituste dubleerimine mõistlik seda nii Riigi Infosüsteemi Ameti kui ka avaliku sektori osutatava pilvteenuse pakkuja vaates. 15 Eelnõu §-s 4 esitatakse muud nõuded, mida peab arvestama avaliku teabe töötlemise korral pilvteenuse kaudu. Need on nõuded, mis on seotud avaliku teabe ja selle kättesaadavusega kui ka pilvteenusega toimuvate muudatustega. Lõige 1 sätestab teabeomaniku kohustuse tagada, et pilvteenuse kasutamisel ei kannataks tema loodud avaliku teabe käideldavus, terviklikkus ja konfidentsiaalsus. Kui teabeomanik otsustab pilvteenuse kasutamise kasuks, on tal kohustus näha ette juhud, kus pilvteenust ei ole võimalik kasutada ega teavet käidelda, kuid avalik teave on vajalik avalike ülesannete täitmiseks. Nii näiteks võib teabeomanik lisaks pilvteenuse kasutamise lepingus sätestatule näha ette, et talle olulist teavet säilitatakse tema käsutuses olevates serverites. Või kui e-posti edastamisel kasutatakse pilvteenust, siis ette näha alternatiivi pilvteenuse katkemise korral jne. Teenuse kättesaadavuse hindamisel ei pea hindama mitte niivõrd andmetöötluse kiirust, vaid seda, kas teave on teatud mõistliku aja jooksul leitav ja kasutatav. Rõhutame, et avaliku teabe kättesaadavuse eest hoolitseb teabeomanik ja seda kohustust ei saa delegeerida pilvteenuse pakkujale. Seega peab pilvteenuse kasutuselevõtu korral olema selge, kuidas on tagatud teabe käideldavus ja millised on tegevused teenuse tõrke või katkemise korral – seda nii teabeomaniku kui ka pilvteenuse pakkuja vaates. Siinjuures ei tohi unustada, et kui pilvteenuse kasutamise korral avaliku teabe kättesaadavus katkeb, ei pruugi see olla põhjustatud vaid pilvteenuse katkemisest. Seejuures saab teabeomanik olla ja peabki olema pilvteenuse pakkujale nõudlik pool, et teabeomanik saaks täita talle pandud kohustust. Peale avaliku teabe käideldavuse peab teabeomanik pidevalt jälgima avaliku teabe tervikluse ja konfidentsiaalsuse nõuete täitmist ning vajaduse korral rakendama meetmeid nõuete täitmiseks. Näiteks juhtima pilvteenuse pakkuja tähelepanu puudustele või kaaluma mõne muu pilvteenuse pakkuja pilvteenuste kasutamist. Andmete käideldavuse nõuete rikkumise eest vastutab ennekõike teabeomanik, sest temale on andmeandjad usaldanud teabe. Pilvteenuse pakkuja vastutus teabeomaniku ees tuleneb üldjuhul pilvteenuse kasutamise kokkuleppe aluseks olevast dokumendist. Lõike 2 kohaselt peab teabe omanik hindama avaliku teabe töötlemisega seotud riske uuesti, kui pilvteenuse pakkuja poolt pakutavas pilvteenuses toimuvad muudatused. Selliseks muudatuseks võib olla näiteks tüüptingimuste muutmine, uue alltöövõtja kasutusele võtmine või muudatus pilvteenuse pakkuja omandisuhtes. Hinnata tuleb ennekõike muudatust ja selle mõju avaliku teabe töötlemisele. Kui hinnatavaks on uus alltöövõtja, siis tuleb ellu viia ka alltöövõtja hindamine. Samas kehtib ka siin põhimõte, et mis tahes hindamisel on võimalik lähtuda teadaolevast teabest, ning hindamise tulemus ja pilvteenuse pakkuja kasutamise otsus tuleb fikseerida kirjalikult. Hindamine tuleb teha enne muudatuse toimima hakkamist. Olukorras, kus muudatusest ei oldud enne selle toimumist teadlikud (näiteks, kui ilmnevad pilvteenuse turvalisust mõjutavad turvanõrkused), või nendest pole teatatud (näiteks ei ole teavitatud pilvteenuse pakkuja omanike muudatustest enne omandisuhte muutumist) või teabeomanik ei ole muudel põhjustel muudatusest teadlik, siis tuleb hindamine teha muudatusest teadasaamisest 30 päeva jooksul. Hindamise ajaks ei pea lõpetama pilvteenuse kasutamise lepingut ega katkestama pilvteenuse kasutamist. Ent juhul, kui hindamise tulemusel selguvad riskid, mille esinemisel ei oleks pilvteenust kasutusele võetud, tuleb mõelda pilvteenuse kasutamise lõpetamisele või mõne muu pilvteenuse pakkuja teenuse kasutamisele. Lõige 3. Nii, nagu peab avaliku teabe töötlemiseks pilvteenuse kasutusele võtmise korral teavitama järelevalveasutust (Riigi Infosüsteemi Ametit või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat), tuleb seda teha ka siis, kui pilvteenuses toimuvad muud muudatused, mis on loetletud eelnõu § 3 lõikes 5. Tegemist on olulise teabega järelevalve korraldamisel ja hilisemate teabe töötlemisega kaasnevate ohtude jälgimisel. Siinse lõike puhul kehtib jätkuvalt eelnõu § 3 lõige 6. Eelnõu § 5 käsitleb pilvteenuse kasutamise lõpetamist avaliku teabe töötlemisel. Lõiked 1 ja 2. Kuivõrd avalik teave ei kuulu pilvteenuse pakkujale, vaid see oli tema otseses või vahetus valduses teabeomanikule pilvteenuse osutamise tõttu, tuleb teabeomanikul pilvteenuse 16 kasutamise lõppemisel veenduda, et pärast lepingu lõppemist ei ole pilvteenuse pakkuja kasutuses avalikku teavet, milleks tal puudub õigus. Selleks peab pilvteenuse pakkuja kustutama talle teatavaks saanud või tema valduses olnud avaliku teabe. Seda tuleb teha viisil, mis välistab selle edasise töötlemise (nt teabe ülekirjutamine viisil, mis ei võimalda esialgse teabe taastamist, teabe salvestamiseks kasutatud seadmete kasutuselt kõrvaldamine ja hävitamine). Kohustus andmed kustutada ei laiene teabeomanikule. Kohustus avalik teave pilvteenuse kasutamise lõppemise korral kustutada tasub kindlaks määrata teenuse kasutamise lepingus või muus dokumendis. Kui pilvteenuse kasutamine põhineb tüüptingimustel, siis tuleb enne lepingusse asumist veenduda, et lepingu lõppemisega seotud tingimused toovad esile teenusepakkuja kohustuse andmete edasine töötlemine lõpetada, kui teabeomanikuga leping lõppeb. Siin vaata ka eelnõu § 3 lõike 1 punkti 6. Pilvteenuses avaliku teabe töötlemisel tuleb eristada kasutamise lõppemist ja lepingu lõppemist. Avaliku teabe kasutamise lõppemisena tuleb käsitleda olukorda, kus pilvteenuse kasutamine avaliku teabe töötlemiseks, v.a hoidmine ja kustutamine lõppeb. Lepingu lõppemisena käsitletakse olukorda, kus kogu avaliku teabe töötlemine lõppeb. Pilvteenuse kasutamise lõppemine ja lepingu lõppemine võivad kattuda või olla erinevad. Pilvteenuse kasutamisel pilvteenuse pakkujale teatavaks saanud või tema valdusesse antud avalik teave tuleb pilvteenuse kasutamise lõppemise korral kustutada pigem kohe. Kuna pilvteenuse pakkujal ei pruugi tehniliste lahenduste või süsteemide ülesehituse tõttu olla võimalik pilvteenuse kasutamise lõppemisel kohe kustutada tema valduses olnud teabeomanikule kuuluvat avalikku teavet, siis võib kustutamine olla kasutamise lõppemisest hilisem, arvestades lepingupoolte objektiivseid vajadusi. Samas ei tohi avaliku teabe kustutamisega viivitada kauem kui 90 päeva. Ka teabe kustutamise lõplik tähtaeg (lepingu lõppemine) on soovitatav lepingus fikseerida. 90 päevane tähtaeg on maksimaalne tähtaeg ehk kui tehniliste võimaluste tõttu on võimalik teabe töötlemine lõpetada varem ning puudub objektiivne vajadus oodata 90 päevase tähtaja lõpuni, siis pilvteenuse pakkuja lõpetab varem andmete töötlemise. Oluline on märkida, et lepingu lõppemisel peab olema avalik teave kustutatud. Siinsetes lõigetes olevad nõuded kehtivad ka olukorras, kus teabeomanik soovib andmed üle viia ühe pilvteenuse pakkuja juurest teise pilvteenuse pakkuja juurde. Sel juhul täidab siinsetes lõigetes olevaid nõudeid pilvteenuse pakkuja, kelle juurest andmed üle viidi. Lõige 3. Kuivõrd ka pilvteenuse pakkuja võib pilvteenuse kasutamisel kasutada muud pilvandmetöötlusteenuse pakkujat peab pooltele olema selge, et ka alltöövõtjal on kohustus kustutada tema valduses olev ja teabeomanikule kuuluv avalik teave viivitamata. Seda nii alltöövõtu lõppemisel põhilise pilvteenuse pakkujaga kui ka teabeomaniku ja pilvandmetöötlusteenuseteenuse pakkuja vahelise lepingu lõppemisel. Sätte üks eesmärke on tuletada teabeomanikule meelde, et avaliku teabe töötlemisega seonduvat tuleb kontrollida ning töötlemises osalevate lepingupartnerite kohustused peavad olema selged ka olukorras, kus lõppeb pilvteenuse kasutamine, mille käigus nad said töödelda teabeomanikule kuuluvat avalikku teavet. Ühtlasi lõppeb ka teise poole, sh alltöövõtja, õigus avalikku teavet edasi töödelda. Lõige 4. Nii, nagu peab avaliku teabe töötlemiseks pilvteenuse kasutusele võtmise korral teavitama järelevalveasutust (Riigi Infosüsteemi Ametit või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat), tuleb seda teha ka siis, kui pilvteenuse kasutamine lõpetatakse. Tegemist on olulise teabega järelevalve korraldamisel ja hilisemate teabe töötlemisega kaasnevate ohtude jälgimisel. Eelnõu §-s 6 on esile toodud määruse rakendamine. Kuna määrus rakendub üldises korras, see tähendab kolmandal päeval selle avaldamisest Riigi Teatajas, nähakse ette tegevused olukorraks, kus pilvteenus on avalike ülesannete täitmisel kasutusele võetud enne määruse jõustumist. Lõike 1 kohaselt tuleb järelevalveasutust (Riigi Infosüsteemi Ametit või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat) teavitada määruse kehtima hakkamisel kasutatavast pilvteenusest 1. veebruariks 2024. Üleminekuaja sätestamisel on arvestatud, et teabeomanik ei pruugi pilvteenuse 17 kasutuselevõtul või ka lepingu sõlmimisel olla hinnanud kõiki määruses esitatud asjaolusid või olla teadlik teavituses olevatest asjaoludest (nt alltöövõtust). Üleminekuaeg on piisav, et teabeomanik saaks hinnata, kas kasutatav pilvteenus vastab määruses esitatud nõuetele. Üleminekuaja määramisel on arvestatud ka määruse eeldatava jõustumisajaga, mis eelduslikult toimub oktoobris 2023. Juhul, kui teabeomanik on tuvastanud, et pilvteenuse kasutamine ei ole määruse nõuetega kooskõlas (nt on tegemata jäänud hindamine asutusesiseseks kasutamiseks mõeldud teabe asjus), siis lõike 2 kohaselt tuleb pilvteenuse kasutamine viia kooskõlla määruses sätestatuga 2024. aasta 1. aprilliks, see tähendab, et pilvteenuse kasutamisel esinevate puuduste kõrvaldamise viimane päev on 31. märts 2024. Lõiked 3 ja 4. Olukorras, kus pilvteenuse kasutamine määruse nõuetega kooskõlla viimine ei ole võimalik teabeomanikust (nt lepingust tulenevad kohustused ja piirangud, nõuete täitmiseks vajalike meetmete võtmise kestus jne), siis tuleb sellest teavitada järelevalveasutust (Riigi Infosüsteemi Ametit või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijat). See teavitus peab sisaldama ka tegevus- ja ajakava määruse nõuete täitmiseks, sealhulgas peavad olema kirjeldatud kavandatavad tegevused ning esile toodud täpne tähtaeg, millal teabeomanik tagab määruse nõuete täitmise, kui avaliku teabe töötlemiseks kasutatakse pilvteenust. Teavitus tuleb esitada Riigi Infosüsteemi Ametile või või KüTS-i § 14 lõikes 5 nimetatud haldusjärelevalve tegijale hiljemalt 1. märtsil 2024. Vastav teavitus tuleb esitada üks kuu enne lõikes 2 määratud tähtaega, et järelevalveasutusel oleks ülevaade teabevaldajatest, kes ei ole suutelised tähtajaks määruse nõudeid täitma. Lisaks võimaldab see järelevalveasutusel plaanida oma edasist tegevust ja ressursse 2024. ja 2025. aastaks. Teavituses esitatud üleminekutegevused peavad olema lõpetatud 31. märtsiks 2025. a (kaasa arvatud). Kui määruse nõudeid ei ole võimalik rakendada ja seeläbi tagada avaliku teabe töötlemise turvalisust, on teabeomanik kohustatud pilvteenuse kasutamise lõpetama hiljemalt 31. märtsil 2025. Tähtaegade määramisel on arvestatud vajadusega korrastada asutusesiseseid tegevusi, vaadata üle senised pilvteenused ja vajaduse korral leidma neile alternatiivsed lahendused. 3. Eelnõu terminoloogia Eelnõus ei ole kasutatud uusi termineid ning kasutatakse avaldatud õigusaktides esitatud mõisteid ja termineid. Eelnõu sõnaühendite lühendamisel on arvestatud valdkondlikku sõnakasutust ja terminivara.  Eelnõus, selle lisas ja seletuskirjas kasutatakse terminit võrgu- ja infosüsteem, mille mõiste on sisustatud KüTS-i § 2 punktis 1, mille kohaselt on elektroonilise side võrk elektroonilise side seaduse § 2 punkti 8 tähenduses seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine, või digitaalsed andmed, mida salvestatakse, töödeldakse, saadakse päringuga või edastatakse eelnimetatud komponentide poolt nende töö, kasutamise, kaitsmise või hooldamise jaoks. KüTS-is kasutatakse võrgu- ja infosüsteemi lühendina sõna süsteem.  Eelnõus, selle lisas ja seletuskirjas kasutatakse lühendit teabeomanik ega ole kasutatud terminit „teabevaldaja“ AvTS-i tähenduses. AvTS-i § 5 kohaselt on teabevaldaja või sellega võrdustatud isik: 1) riigi- ja kohaliku omavalitsuse asutus; 2) avalik-õiguslik juriidiline isik; 3) eraõiguslik juriidiline isik ja füüsiline isik, kui isik täidab seaduse, haldusakti või lepingu alusel avalikke ülesandeid, sealhulgas osutab haridus-, tervishoiu-, sotsiaal- või muid avalikke teenuseid, 18  4) ettevõtja, kes on kaubaturul valitsevas seisundis, omab eri- või ainuõigust või loomulikku monopoli – teabe osas, mis puudutab kaupade ja teenuste pakkumise tingimusi, hindu ja nende muudatusi; 5) füüsilisest isikust ettevõtja, mittetulundusühing, sihtasutus või äriühing, – teabe osas, mis puudutab riigi või kohaliku omavalitsuse eelarvest avalike ülesannete täitmiseks või toetusena antud vahendite kasutamist. AvTS-i termin „teabevaldaja“ hõlmab ka isikud, kelle töödeldav teave ei ole alati avalik teave, kuid kellele kohaldatakse AvTS-i sätteid (nt avalike vahendite kasutamine). Samas ei ole AvTS-i terminiga „teabevaldaja“ hõlmatud kõik KüTS-i § 3 lõikes 4 nimetatud asutused ja isikud. Seetõttu, kuna AvTS-i termini „teabevaldaja“ kasutamisel võib tekkida arusaamatusi määruse kohaldamisel, kasutatakse määruses KüTS-i § 3 lõikes 4 nimetatud isiku või asutuse tähistamiseks üldnimetust „teabeomanik“.  „Avalik teave“ eelnõu, selle lisa ja seletuskirja tähenduses on mis tahes viisil ja mis tahes teabekandjale jäädvustatud ja dokumenteeritud teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites (AvTS § 3 lõige 1).  Lühendi avaliku sektori osutav pilvteenus hulka on hõlmatud Eesti valitsusasutusi, valitsusasutuse hallatavaid riigiasutusi; valla või linna ametiasutusi, valla või linna ametiasutuse hallatavaid asutusi, osavalda, linnaosa, osavalla või linnaosa ametiasutusi, mis on loonud andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata ning võimaldavad sellele andmeressursside kogumi kasutamist teisele või teistele riigi- ja kohaliku omavalitsuse asutustele või nende struktuuriüksustele nende teabe töötlemiseks.  Pilvandmetöötlusteenus on eelnõu, selle lisa ja seletuskirja tähenduses infoühiskonna teenus, mis võimaldab juurdepääsu andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata (KüTS-i § punkt 7, vt ka § 1 lõike 1 punkti 2 selgitust).  Lühendi pilvteenus kasutamisel on arvestatud Eesti infoturbestandardis kasutatava sõnaga „pilvteenus“ ning eelnõus tähistatakse sellega samaväärsed teenused, mida on käsitletud Eesti infoturbestandardis.  Eelnõus, selle lisas ja seletuskirjas on kasutatud järgmiseid toote nõuetele vastavuse seaduse §-s 4 esitatud termineid: 1) importija – Euroopa Liidus asuv isik, kes laseb toote kolmandast riigist liidu turule; 2) levitaja – turustusahelas osalev isik, kes teeb toote turul kättesaadavaks, välja arvatud tootja või importija; 3) volitatud esindaja – Euroopa Liidus asuv isik, kes on saanud tootjalt kirjaliku volituse tegutseda tema nimel kindlaksmääratud ülesannetes. Määruse tähenduses on tootja all mõeldud isikut, kes on pilvandmetöötlusteenuse pakkuja.  Eelnõus, selle lisas ja seletuskirjas kasutatakse terminit turvameetmed, mis on sisustatud KüTS-i § 2 punktis 21: turvameetmed – rakendatavad organisatsioonilised, füüsilised ja infotehnilised toimingud või vahendid andmete ja võrgu- ja infosüsteemide turvalisuse saavutamiseks ning säilitamiseks.  Eelnõu lisas kasutatakse järgnevaid mõisteid, mis on sisustatud Vabariigi Valitsuse 25. mai 2017. a määruse nr 88 „Teenuste korraldamise ja teabehalduse alused“ § 2 lõigetes 2 ja 5: 1) otsene avalik teenus – teenus, mida asutus osutab füüsilisele või eraõiguslikule juriidilisele isikule (edaspidi isik) tema tahtel, sealhulgas eeldataval tahtel, 19  teeninduskontakti kaudu mis tahes suhtluskanalis (edaspidi kanal) ja mis võimaldab isikul täita seadusest tuleneva kohustuse või kasutada seadusest tulenevat õigust. 2) tugiteenus – seda osutab asutus enda või teise asutuse ametnikele või töötajatele. Tugiteenus toetab asutuse ülesannete täitmist. „Asutuse“ all on mõeldud valitsusasutust. 4. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on vastavuses järgmiste Euroopa Parlamendi ja nõukogu õigusaktidega: a) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus); b) Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, 27. aprill 2016, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK; c) Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148, 6. juuli 2016, meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus. 5. Määruse mõjud Määrusega kehtestatakse pilvteenuse kasutuselevõtmise korral avaliku teabe töötlemise ühtsed põhimõtted. Määrus mõjutab riigivalitsemist, infotehnoloogiat ja infoühiskonda ning määrusel on sotsiaalne mõju. 5.1. Mõju keskvalitsuse korraldusele ja kohaliku omavalitsuse korraldusele (riigivalitsemise mõjuvaldkond) Mõju sihtrühm: riigiasutused, kohaliku omavalitsuse asutused (edaspidi koos ka asutused) Eelnõuga tuuakse esile senisest selgemad tingimused ja põhimõtted, millal otseste avalike teenuste ja tugiteenuste parema kättesaamise eesmärgil võib kaaluda pilvteenuse kasutusele võtmist. Pilvteenuse kasutusele võtmisega võib ühtlustuda avaliku teenuse kvaliteet ja paraneda avalike teenuste kättesaadavus. Samuti soodustab eelnõu suhtlemist KüTS-i § 3 lõike 4 nimetatud asutuste vahel, julgustades neid vahetama pilvteenuste kohta teavet. Muu hulgas on eelnõu eesmärk suurendada küberturvalisuse ja isikuandmete kaitse valdkonnas asjakohaste ametiasutuste rolli pilvteenuste kasutusele võtmisel. Nimelt, eelnõu eeldab nimetatud ametiasutustelt pilvteenuste valikul ennetavat sekkumist, avaldades kehtivate nõuete kohaselt asjakohaseid juhiseid ja suuniseid. Nimetatud ametiasutused saavad pakkuda tuge pilvteenuse pakkuja valiku tegemisel, sealhulgas õigeaegsete hoiatustega (nt ohuteavitustega) ning soovituste ja suuniste koostamisega. Pilvteenuse kasutusele võtmisega võib pikemas perspektiivis kaasneda kulu kokkuhoid, võrreldes pilvteenuse kasutusele võtmata jätmisega. Samas, eelnõu kohaselt peab eelkõige arvestama vajadusega kaitsta avalikke huve ja avalikku teavet, sealhulgas isikuandmeid. Kuna eelnõuga ei kaasne kohustust võtta kasutusele pilvteenus ja välistatakse pilvteenuse kasutusele võtmine juhul, kui kaasneb ülemäärane risk avalikule teabele ja otseste avalike ülesannete täitmisele, on eelnõul mõjuvaldkonnale väike positiivne mõju. 20 Samas peavad asutused tähelepanu pöörama kasutusel oleva pilvteenuse kasutuse laiendamisele teenustele, mida esialgu pilvteenusega ei liidestatud. Sellise laiendamisega võib kaasneda täiendav kulu, millega ei arvestatud pilvteenuse kasutusele võtmisel. Selliste olukordade vältimiseks on asutustel kasulik reguleerida kasutatavale pilvteenusele oma teenuste juurde lisamise protsesse ja tagada, et enne täiendava teenuse lisamist oleks hinnatud ka kaasnev kulu. Siinjuures tuleb märkida, et täiendava teenuse lisamisel tuleb teha ka hindamine vastavalt määruses sätestatule, tagamaks avaliku teabe töötlemise käideldavus, terviklus ja konfidentsiaalsus. 5.2. Mõju infotehnoloogilistele arendustele, mõju e-riigile, mõju küberkeskkonnale ja küberhügieenile (infotehnoloogia ja infoühiskonna mõjuvaldkond) Mõju sihtrühm: asutused Pilvteenuste kasutusele võtmisega ei kaasne vajadust kasutusele võtta uusi infotehnoloogilisi lahendusi. Küll aga toob pilvteenuse kasutusele võtmine avaliku teabe käitlemiseks sellised võrgu- ja infosüsteemid, kus võrgu- ja infosüsteemi kaitse ei ole teabeomaniku mõjutada. See omakorda loob vajaduse suurendada teadlikkust küberturvalisusest, sealhulgas tekib vajadus parendada määruse subjektide teenistujate teadlikkust andmete töötlemisest ja seotud riskidest (nt vastava teabe ametiülesannete jaoks kasutamine ja edastamine elektroonselt). Pilvteenuste kasutusele võtmine ei vähenda asutuste kohustusi pidevalt monitoorida avaliku teabe töötlemisega seotud riske ja vajaduse korral leida avaliku teabe töötlemiseks muid lahendusi. Võimalik on samas olukord, kus riik või kohalik omavalitsus hindab ja monitoorib iseennast kui pilvteenuse pakkujat Kuna pilvteenuse kasutusele võtmisega ei teki asutustele vajadust täiendavate võrgu- ja infosüsteemide arendamiseks ega kao nende kohustust tagada avaliku teabe kaitse, siis mõju sihtrühmale on väike. 5.3. Mõju inimeste õigustele (sotsiaalsete mõjude mõjuvaldkond) Mõju sihtrühm: Eesti elanikkond Eelnõuga nähakse ette asjaolud, mida peab avaliku teabe töötlemisel arvesse võtta, kui soovitakse kasutusele võtta pilvteenus. Avalik teave sisaldab suurel määral ka isikuandmeid, sealhulgas eriliiki isikuandmeid. Pilvteenuse kasutusele võtmisel antakse isikuandmete töötlemine osaliselt pilvteenuse pakkujale. Pilvteenuse pakkujal puudub otsene seos avaliku ülesande täitmisega ja seega puudub tal ka iseseisev teadmisvajadus isikuandmete järele. Tagamaks, et pilvteenuse pakkuja ei kasuta isikuandmeid muudel eesmärkidel ega edasta isikuandmeid kolmandatele isikutele, nähakse eelnõuga ette teabeomaniku kohustus tagada pilvteenuse kasutamise alustamisel, et pilvteenuse pakkuja ei töötle isikuandmeid muul eesmärgil, kui on teenuse osutamise kokkuleppes sätestatud. Kui isikuandmete töötlemisega seotud riske ei ole võimalik maandada, siis eelnõu kohaselt sellist pilvteenust kasutusele ei või võtta. Samuti on eelnõuga välistatud pilvteenuse osutaja poolt isikuandmete säilitamine ilma kokkuleppeta. Kuigi sihtrühm on suur, on eelnõu mõju sihtrühmale vähene ning oht isikuandmete lubamatuks töötlemiseks ei ole suurem võrreldes teabeomaniku poolt isikuandmete töötlemisega. 6. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Eelnõu rakendamine ei too riigieelarvele kaasa lisakulu ega -tulu. 7. Määruse jõustumine Määrus jõustub üldises korras. 21 8. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Pilvteenuse kasutusele võtmisega seotud eelnõu eelmine kavand esitati ministeeriumitele kooskõlastamiseks 11. mail 2022 Vabariigi Valitsuse määruse eelnõu „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ osana (EIS-i toimik nr 22-0570). Tolle eelnõu kooskõlastamise käigus saadud tagasiside ja eelnõu koostamise käigus peetud arutelude tulemusel otsustati viidatud määrusest välja võtta käesoleva eelnõuga seotud sätted ning teha eelnõu uus kavand, mis lähtub avaliku teabe töötlemisest. Pilvteenuse kasutusele võtmisega seotud Vabariigi Valitsuse määruse eelnõu uue redaktsiooni väljatöötamise käigus on küsitud Kaitseministeeriumi, Andmekaitse Inspektsiooni, Riigi Infosüsteemi Ameti, Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse, Siseministeeriumi infotehnoloogia- ja arenduskeskuse, Tervise ja Heaolu Infosüsteemide Keskuse ning Rahandusministeeriumi Infotehnoloogiakeskuse arvamust regulatsiooni vajaduse ja ulatuse asjus. Eelnõu esitati eelnõude infosüsteemi kaudu kooskõlastamiseks ministeeriumitele, Riigikantseleile ning Eesti Linnade ja Valdade Liidule. Eelnõu saadeti arvamuse avaldamiseks Eesti Pangale, Riigikohtule, Vabariigi Presidendi Kantseleile, Riigikogu Kantseleile, Õiguskantsleri Kantseleile, Riigi Infosüsteemi Ametile, Andmekaitse Inspektsioonile, Riigi Info- ja Kommunikatsioonitehnoloogia Keskusele ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule. Eelnõu koostajad kohtusid Eesti Infotehnoloogia ja Telekommunikatsiooni Liiduga 31.08.2023. Kooskõlastusringil ja kohtumiselt saadu tagasiside on leitav seletuskirja lisas nr 2 olevast märkuste tabelist. 22  EELNÕU 22.09.2023 VABARIIGI VALITSUS MÄÄRUS Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel Määrus kehtestatakse avaliku teabe seaduse § 43 lõike 3 ja küberturvalisuse seaduse § 7 lõike 5 punkti 3 alusel. § 1. Kohaldamisala (1) Määrust kohaldatakse, kui küberturvalisuse seaduse § 3 lõikes 4 nimetatud asutus või isik (edaspidi teabeomanik) kasutab avaliku teabe seaduse § 3 lõikes 1 sätestatud avaliku teabe (edaspidi avalik teave) töötlemiseks: 1) andmetöötlusressursside kogumit, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik (edaspidi avaliku sektori osutatav pilvteenus); 2) pilvandmetöötlusteenust. (2) Kui teabeomanik annab avaliku ülesande täitmise üle teisele asutusele või isikule, peab teabeomanik tagama käesoleva määruse nõuete täitmise avaliku teabe töötlemisel. (3) Määrust ei kohaldata: 1) avaliku teabe töötlemisele andmetöötlusressursside kogumis, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu välislepingu alusel rahvusvaheline institutsioon või organisatsioon; 2) riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele; 3) Kaitseministeeriumi valitsemisalas rahvusvahelise sõjalise koostööga ja riigi sõjalise kaitse ettevalmistamisega seotud teabe töötlemisele; 4) avalikule teabe töötlemisele, kui seda töödeldakse andmetöötlusressursside kogumis, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning mis on mõeldud punktides 2 ja 3 nimetatud teabe töötlemiseks. § 2. Avaliku sektori osutatava pilvteenuse ja pilvandmetöötlusteenuse kasutusele võtmise eeldused (1) Teabeomanik, kes soovib avaliku teabe töötlemiseks kasutusele võtta avaliku sektori osutatava pilvteenuse või pilvandmetöötlusteenuse (edaspidi koos pilvteenus), peab hindama muu hulgas: 1) pilvteenuse kaudu töödelda kavatsetava avaliku teabe olemust ning riske avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kahjustamise korral; 1 2) nõudeid pilvteenuse kaudu töödelda kavatsetava avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kohta; 3) avaliku teabe töötlemise etappi, milleks pilvteenust kasutada soovitakse; 4) pilvandmetöötlusteenuse pakkuja ja toote nõuetele vastavuse seaduse tähenduses tema volitatud esindaja, importija või levitaja usaldusväärsust; 5) kasutatavat tehnoloogia ja pilvteenuse toimemudelit ning nende mõju olemasoleva võrgu- ja infosüsteemi arhitektuurile; 6) pilvteenuse turvalisust ja kasutatavaid turvameetmeid. (2) Lõike 1 punktis 4 sätestatud usaldusvääruse hindamist ei tehta avaliku sektori osutatava pilvteenuse pakkuja suhtes. (3) Lõike 1 punktides 4–6 sätestatu hindamisel võib muu hulgas arvesse võtta pilveteenuse pakkuja või tema osutatava teenuse suhtes tehtud kehtiva auditi tulemusi ning pilvteenuse pakkuja või tema osutatava teenuse kohta väljastatud rahvusvaheliselt ja Eestis tunnistatud kehtivat sertifikaati või hindamist pilvteenuse pakkuja võrgu- ja infosüsteemide kohta. (4) Kui pilvteenuse pakkuja kasutab pilvteenuse osutamiseks muud pilvandmetöötlusteenust, siis hinnatakse ka selle pilvandmetöötlusteenuse pakkujaga seonduvat, lähtudes lõigetes 1 ja 3 sätestatust. (5) Lõikes 1 sätestatud hindamise etappide raames hinnatavate asjaolude näitlik kontrollküsimustik ja meetmete näidis on esitatud määruse lisas. (6) Teabeomanik dokumenteerib lõikes 1 ette nähtud hindamise enne, kui hakkab pilvteenust kasutama. Teabeomanik võib dokumenteerimise teha muu õigusakti alusel koostatava dokumentatsiooni osana. (7) Pilvteenuse kasutusele võtmisest hoidutakse, kui teenuse hindamise tulemusel selgub, et esineb vähemalt üks järgmine asjaolu: 1) seaduse, selle alusel antud õigusakti, Euroopa Liidu õigusakti, või välislepingu kohaselt ei ole pilvteenuse kasutamine avaliku teabe töötlemiseks lubatud; 2) pilvteenuse kasutuselevõtmise korral ei ole tagatud avaliku teabe nõuetekohane terviklus, käideldavus, konfidentsiaalsus, või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist; 3) on suur tõenäosus, et avalik teave võib teatavaks saada isikutele, kellel puudub teadmisvajadus või sellele teabele juurdepääsu õigus, või on suur tõenäosus, et nimetatud isikud võivad avalikku teavet muuta; 4) pilvteenuse pakkuja ei suuda tagada pakutava pilveteenuse vajalikku kättesaadavust; 5) esineb muu põhjus, mille aset leidmisel võib tekkida oht riigi julgeolekule, avalikule korrale või isiku eraelu puutumatusele, või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist. § 3. Pilvteenuse kasutamise alustamine (1) Enne, kui avaliku teabe töötlemiseks võetakse kasutusele pilvteenus, määratakse kindlaks järgmine: 1) pilvteenuse kaudu töödeldavale avalikule teabele rakendatavad käideldavuse, tervikluse ja konfidentsiaalsuse nõuded; 2 2) pilvteenuse osutamisel edastatud avaliku teabe juurdepääsu ja töötlemise tingimused, sealhulgas pilvteenuse pakkuja suhtes rakendatavad piirangud avaliku teabe töötlemisel; 3) teabeomaniku poolt pilvteenuse pakkujale töötlemiseks antud avaliku teabega või pilvteenuse pakkuja avaliku teabe töötlemiseks kasutatava võrgu- ja infosüsteemiga seotud küberintsidentidest teavitamise tingimused; 4) pilvteenuse kaudu töödeldava avaliku teabe seiratavus, töötlemise toimingute tegemise tuvastamine ja vastava teabe kasutamine; 5) pilvteenuse osutamise raames kasutatavad muud pilvandmetöötlusteenuse pakkujad; 6) pilveteenuse kasutamise ja avaliku teabe töötlemise lõpetamise tingimused, sealhulgas andmete arhiveerimise, üleandmise ja kustutamise nõuded ning avaliku teabe edasise kasutamise keeld. (2) Lõikes 1 sätestatu fikseeritakse teabeomaniku ja pilvandmetöötlusteenuse pakkuja või tema volitatud esindaja, importija või levitaja poolt kirjalikult taasesitatavas vormis ning viisil, mis tagab selguse mõlema poole õigustest ja kohustustest. Teabeomaniku ja avaliku sektori pilvteenuse pakkuja vahel fikseeritakse lõikes 1 sätestatu viisil, mis tagab selguse mõlema poole õigustest ja kohustustest. (3) Kui pilvandmetöötlusteenuse pakkuja pilvandmetöötlusteenus võetakse kasutusele pilvandmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja vahendusel, kohaldatakse pilveteenuse kasutusele võtmisel nende suhtes ka lõigetes 1 ja 2 sätestatut. (4) Pilvteenuse kasutamise alustamisest teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit. Julgeolekuasutusest teabeomanik teavitab viivitamata küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve tegijat. (5) Lõikes 4 nimetatud teavitus peab sisaldama vähemalt järgmist: 1) millist pilveandmetöötlusteenuse pakkujat ja tema volitatud esindajat, importijat või levitajat või millist avaliku sektori osutatava pilvteenuse pakkujat kasutatakse; 2) teave selle kohta, kas pilvteenuse pakkuja kasutab muu pilvandmetöötlusteenuse pakkuja teenuseid; 3) millises ulatuses kasutatakse avaliku teabe töötlemisel pilvteenust; 4) kas pilvteenuse kasutamisel töödeldakse asutusesiseseks kasutamiseks mõeldud teavet. (6) Lõike 5 punktis 2 sätestatut ei kohaldata teavituse suhtes, mis esitatakse kasutatava avaliku sektori osutatava pilvteenuse pakkuja osas. § 4. Pilvteenuse kasutamise nõuded (1) Pilvteenuse kasutamise kestel jälgib teabeomanik avaliku teabe käideldavuse, tervikluse ja konfidentsiaalsuse nõuete täitmist ning rakendab nende täitmiseks asjakohaseid meetmeid. (2) Kui § 2 lõigetes 1, 3 ja 4 sätestatud asjaolud muutuvad, hinnatakse muutust ja selle mõju pilvteenuse kasutamisele. Muutust hinnatakse enne muutuse toimumist või 30 päeva jooksul muutusest teada saamisest arvates. (3) Paragrahvi 3 lõikes 5 sätestatud asjaolude muutumise korral teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit. Julgeolekuasutusest teabeomanik teavitab küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve tegijat. 3 § 5. Pilvteenuse kasutamise lõppemine (1) Pilvteenuse kasutamise lõppemise korral peab olema tagatud, et pilvteenuse pakkuja töödeldud avalik teave kustutataks viisil, mis välistab selle taastamise või edasise töötlemise pilvteenuse kaudu, sealhulgas pilveteenuse pakkuja enda või pilvandmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja poolt. (2) Kui pilvteenuse kasutamise lõppemisega samal ajal ei lõppe avaliku teabe töötlemine pilvteenuse pakkuja poolt, ei või avaliku teabe töötlemine kesta pikemalt kui 90 päeva pilveteenuse kasutamise lõppemisest arvates. (3) Kui pilvteenuse pakkuja kasutas pilvteenuse osutamisel muu pilvandmetöötlusteenuse pakkuja pilvandmetöötlusteenust, järgitakse pilvteenuse kasutamise lõppemise korral või pilvteenuse pakkuja poolt muu pilvteenuse pakkuja pilvandmetöötlusteenuse kasutamise lõppemise korral lõigetes 1 ja 2 sätestatut. (4) Pilveteenuse kasutamise lõppemisest teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit. Julgeolekuasutusest teabeomanik teavitab küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve tegijat. § 6. Määruse rakendamine (1) Käesoleva määruse jõustumise ajal kasutuses oleva pilvteenuse osas täidetakse § 3 lõikes 4 nimetatud teavitamiskohustus esmakordselt 1. veebruariks 2024. (2) Avaliku teabe töötlemisel pilveteenust kasutav teabeomanik viib avaliku teabe töötlemise käesoleva määrusega kooskõlla hiljemalt 1. aprilliks 2024. (3) Kui teabeomanikul ei ole võimalik viia avaliku teabe töötlemist kooskõlla lõikes 2 sätestatud tähtajaks, teavitab ta sellest Riigi Infosüsteemi Ametit või küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve tegijat hiljemalt 1. märtsil 2024. Teavitus peab sisaldama teabeomaniku tegevus- ja ajakava pilveteenuse kasutamise viimiseks kooskõlla käesoleva määruse nõuetega ning tähtajaks nõuete täitmata jätmisega seotud riskide ülevaadet. (4) Lõikes 3 nimetatud tegevus- ja ajakava viiakse ellu hiljemalt 31. märtsiks 2025. Kaja Kallas peaminister Tiit Riisalo majandus- ja infotehnoloogiaminister Taimar Peterkop riigisekretär Lisa Näitlik kontrolliküsimustik ja meetmete näidis 4  Vabariigi Valitsuse ………………….2023. a määrus nr … „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ lisa Näitlik kontrollküsimustik ja meetmete näidis I OSA Kontrollküsimustik 1. Avaliku teabe olemuse ja riskide hindamine 1.1. Avaliku teabe olemuse hindamise käigus hinnatakse avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse tagamiseks avaliku teabe: 1.1.1. sisu; 1.1.2. kättesaadavuse katkemise mõju otsestele avalikele teenustele ja tugiteenustele; 1.1.3. võimaliku väärkasutamise mõju otsestele avalikele teenustele ja tugiteenustele. 1.2. Avaliku teabe sisu hindamisel kirjeldatakse, millise avaliku ülesande täitmise raames kogutavat või loodud avaliku teavet soovitakse hakata töötlema pilvandmetöötlusteenuse või andmetöötlusressursside kogumi, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik (edaspidi koos pilvteenus), vahendusel, pöörates erilist tähelepanu avalikkust või isikut mõjutada võiva teabe, sealhulgas eriliiki isikuandmete töötlemisele. 1.3. Mõju otsestele avalikele teenustele ja tugiteenustele avaliku teabe kättesaadavuse katkemise korral on pilveteenuse katkemise mõju: 1.3.1. küberturvalisuse seaduse § 3 lõikes 4 nimetatud asutuse või isiku (edaspidi teabeomanik) avalike ülesannete täitmisele; 1.3.2. otseste avalike teenuste ja tugiteenuste kättesaadavusele, sealhulgas nii teabeomaniku pakutavatele teenustele kui ka teabeomanikust sõltuvatele muudele otsestele avalikele teenustele ning tugiteenustele. 1.4. Avaliku teabe võimaliku väärkasutamise mõju hindamisel otsestele avalikele teenustele ja tugiteenustele vaadeldakse, kuidas võib avaliku teabe kasutamine selleks mitteõigustatud isikute, sealhulgas pilvteenuse pakkuja poolt riivata või ohustada: 1.4.1. füüsiliste isikute õigusi, sealhulgas põhiõigusi; 1.4.2. juriidiliste isikute õigusi; 1.4.3. riigi julgeolekut; 1.4.4. teabeomaniku ja teise teabeomaniku töökorraldust. 1.5. Punktides 1.3 ja 1.4 nimetatud mõju hindamisel hinnatakse tegevusi või üldisi väärtusi, kus mõju esineb. Mõju võib jätta hindamata osas, mida töödeldav avalik teave ei hõlma. 1 2. Avaliku teabe terviklus, käideldavus ja konfidentsiaalsus 2.1. Avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse hindamisel tehakse kindlaks, millised on õigusaktidest tulenevad nõuded avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kohta. 2.2. Isikuandmete korral lähtutakse isikuandmete kaitse valdkonnas kehtivatest nõuetest (näiteks isikuandmete turvalisus ja nende andmete kaitse edastamisel kolmandatesse riikidesse; nõuded eriliiki isikuandmete töötlemisel; andmekaitsealase mõjuhinnangu koostamine enne isikuandmete töötlemise algust). 3. Avaliku teabe töötlemise etapp ja ulatus 3.1. Avaliku teabe töötlemise etapi ja ulatuse hindamisel hinnatakse: 3.1.1. kas avaliku teabe töötlemine pilvteenuse kasutamisel on automaatne või automatiseerimata toiming; 3.1.2. kas toiminguid tehakse üksikuna või kogumina; 3.1.3. milliseid toiminguid pilvteenuse kasutamisel tehakse (näiteks andmete kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, vaatamine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine). 4. Pilvandmetöötlusteenuse pakkuja ja tema volitatud esindaja, importija või levitaja usaldusväärsuse hindamine 4.1 Käesolevas punktis sätestatud usaldusvääruse hindamist ei tehta andmetöötlusressursside kogumi, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata ning millele pakub juurdepääsu kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik (edaspidi avaliku sektori osutatav pilvteenus) pakkuja suhtes. 4.2. Avaliku teabe töötlemiseks pilvandmetöötlusteenuse kasutusele võtmise kavatsuse korral hindab teabeomanik pilvandmetöötlusteenuse pakkuja ja tema volitatud esindaja, importija või levitaja suhtes esinevaid riske, muu hulgas seda, kas pilvandmetöötlusteenuse pakkuja või tema volitatud esindaja, importija või levitaja: 4.2.1. asukoht või peakontor on riigis (edaspidi asukohariik), mis on Euroopa Liidu, Põhja- Atlandi Lepingu Organisatsiooni või Majandusliku Koostöö ja Arengu Organisatsiooni liikmesriik; 4.2.2. asukohariigis järgitakse demokraatliku õigusriigi põhimõtteid ja austatakse inimõigusi; 4.2.3. asukohariigis kaitstakse Eesti isikute intellektuaalomandit, isikuandmeid ja ärisaladust; 4.2.4. asukohariik ei käitu küberruumis agressiivselt; 4.2.5. asukohariigile ei ole Euroopa Liit, Põhja-Atlandi Lepingu Organisatsioon või Majandusliku Koostöö ja Arengu Organisatsioon omistanud küberrünnakuid; 4.2.6. ei allu sõltumatu kohtuliku kontrollita asukohariigi või muu välisriigi valitsusele või riigiasutusele; 4.2.7. asukohariik või muu välisriik ei saa kohustada teda tegutsema Eesti Vabariigi julgeolekut ohustaval viisil; 4.2.8. majandustegevus järgib turupõhise konkurentsi põhimõtteid või kas tema asukohariigis on piisavad tingimused turupõhise konkurentsi põhimõtete järgimiseks; 2 4.2.9. omandistruktuur, organisatsiooniline ülesehitus ja juhtimisstruktuur on läbipaistev; 4.2.10. rahastamine on läbipaistev; 4.2.11. suhtes on määratud sanktsioone. 4.3. Lisaks punktis 4.2. sätestatule võib usaldusvääruse hindamisel võtta arvesse pilvandmetöötlusteenuse pakkuja või tema volitatud esindaja, importija või levitaja tegutsemise kestust ja perspektiivi valdkonnas. 5. Pilvteenuses kasutatava tehnoloogia ja pilvteenuse toimemudeli hindamine 5.1. Pilvteenuse tehnoloogia ja toimemudeli puhul hinnatakse, milline pilvteenuse tehnoloogia ja toimemudel on sobivaim, et pilvteenuses avaliku teavet töödelda. 5.2.Tarkvara kui teenus1 ja platvorm kui teenus2 pilvteenuste korral hinnatakse, kas ja kuidas on kasutatav pilvteenus jagatud teiste klientidega (teabeomanikega või pilvteenuse muude kasutajatega), sealhulgas, kas pilvteenus on oma olemuselt konkreetse kliendi jaoks loodud või on tegemist keskkonnaga, milles pilvteenuse eri klientide andmed on eraldatud loogiliselt. 5.3. Lisaks punktides 5.1 ja 5.2 sätestatule võib hindamisel võtta arvesse ka teavet pilvteenuse pakkuja poolt pakutavate muude infotehnoloogiliste toodete usaldusväärsuse ja toimimise kohta. 6. Pilvteenuse usaldusväärsuse hindamine 6.1. Pilvteenuse usaldusvääruse hindamisel võetakse arvesse järgmist: 6.1.1. pilvteenus ei sisalda teadaolevaid turvanõrkusi või nende kõrvaldamiseks on piisavalt rakendatud turvameetmeid; 6.1.2. pilvteenuse toimepidevuses ei esine järjepidevalt puudusi, välja arvatud vääramatu jõu tõttu; 6.1.3. kas pilvteenuse kasutamisel või kasutamise lõppemisel on tagatud avaliku teabe arhiveerimine, üleandmine ja kustutamine, lähtudes avaliku teabe olemusest tulenevatest nõuetest. 6.2. Pilvteenuse pakkuja ja pilvandmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja poolt avaliku teabe töötlemise korral hinnatakse pilvteenuse pakkuja ning pilvadmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja: 6.2.1. juurdepääsu töödeldavale avalikule teabele ja selle kasutamist enda määratud eesmärgil; 6.2.2. poolset avalikule teabele juurdepääsu võimaldamist kolmandale isikule. 7. Pilvteenuse kasutamine asutusesiseseks kasutamiseks mõeldud teabe töötlemiseks 7.1. Asutusesesiseseks kasutamiseks mõeldud teabeks käesoleva lisa kohaselt on: 7.1.1. avaliku teabe seaduse § 35 lõike 1 või 2 alusel või muu seaduse alusel asutusesiseseks kasutamiseks tunnistatud teave; 7.1.2. avaliku teabe seaduse § 431 lõike 1 tähenduses andmekogu andmed ja andmekogus andmete töötlemine; 7.1.3. teabeomaniku poolt e-posti edastamiseks ning vastuvõtmiseks või nimetatud tegevusi võimaldava võrgu- ja infosüsteemi töö korraldamine. 1 tarkvara kui teenus (ingl software as a service, lühend SaaS) 2 platvorm kui teenus (ingl platvorm as a service, lühend PaaS) 3 7.2. Kui asutusesiseseks kasutamiseks tunnistatud teavet soovitakse töödelda, kasutades pilvteenust, hinnatakse lisaks punktides 1–6 sätestatule muu hulgas, kas: 7.2.1. sellise teabe töötlemiseks kasutatav võrgu- ja infosüsteem asub Euroopa Liidu liikmesriigi, Põhja-Atlandi Lepingu Organisatsiooni või Majandusliku Koostöö ja Arengu Organisatsiooni liikmesriigi territooriumil; 7.2.2. pilvteenuse pakkujal või pilvandmetöötlusteenuse pakkuja volitatud esindajal, importijal või levitajal on võimalik asutusesiseseks kasutamiseks tunnistatud teabe töötlemisel teavet kasutada suuremas ulatuses, kui see on vajalik pilvteenuse osutamiseks. 4 II. OSA Meetmed 1. I osa punktides 4–7 sätestatud hindamisel võib kasutada pilvteenuse pakkuja, pilvandmetöötlusteenuse pakkuja volitatud esindaja, importija või levitaja või pilveteenuse: 1.1. avalikustatud teavet (ametkondlikud või erialased veebilehed, aruanded, analüüsid, ülevaated, ohuteavitused, turvanõrkuste teavitused jms); 1.2. asutusesiseseks kasutamiseks ettenähtud teavet, riigisaladust või salastatud välisteavet, sealhulgas teabeomaniku enda poolt muu ülesande täitmise raames kogutud teavet; 1.3. asjakohases andmekogus (äriregister või selle sarnased andmekogud jms) olevat teavet; 1.4. pädevate asutuste, sh julgeolekuasutuste ja komisjonide juhiseid ning soovitusi, sealhulgas kasutatava riist- või tarkvara kohta; 1.5. väljastatud rahvusvaheliselt ja Eestis tunnistatud sertifikaati või tema suhtes koostatud hindamise või auditi tulemusi. 2. Hindamisel võib kasutada mõne teise teabeomaniku tehtud hindamist või riskihinnangut. Teise teabeomaniku tehtud hindamist või riskihinnangut võib kasutada ka osaliselt, hinnates samas eraldi asjaolusid, mida kasutatavas hindamises või riskihinnangus ei ole käsitletud. 3. Avaliku sektori osutatav pilvteenuse hindamisel võib kasutada avaliku sektori osutatav pilvteenuse pakkuja poolt tema võrgu- ja infosüsteemide kohta tehtud hinnanguid. 4. Hindamistulemuste koostamisel on soovitav märkida lisaks hindamistulemusele või järeldustele ka asjaolud, miks mõnda asjaolu ei hinnata või miks hindamine ei ole võimalik või asjakohane. 5. Kui teabeomanikule ei ole kättesaadav teave mõne lisa esimeses osas käsitletud punkti kohta või esineb muu põhjus hindamata jätmiseks, võib jätta vastava punkti osas riski hindamata, märkides hindamata jätmise põhjuse. 6. Hinnata tuleb nii pilvteenust kui ka selle test- ja arenduskeskkonda, selle olemasolu korral. 7. Teabeomanik dokumenteerib hindamistulemused. Hindamistulemuse võib vormistada eraldi dokumendina või mõne muu dokumentatsiooni osana. 5  Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ seletuskirja lisa 2 Märkuste tabel nr Märkus Märkustega arvestamine Andmekaitse Inspektsioon 30.06.2023 nr 1.2-4/23/1550-2 Oleme varasemalt esitanud oma tähelepanekud eelnõu Arvestatud osaliselt tööversioonile mais 2023. Hea meel on tõdeda, et eelnõu tänane seletuskiri on saanud mitmeid praktilisi täiendusi, mis aitavad Seletuskirja täiendatud. eelnõu sisu avada. Teabeomanike kui avalike pilvteenuste Tähtaja määratlemisel on arvestatud olukordadega, kus aktiivsele võimalikel kasutajatel on ülimalt oluline aru saada, et teenuse pakkumise lõppemisele järgneb periood, mil pilveteenuse pilvemäärus kui selline ei ole iseseisvaks õiguslikuks aluseks osutamisega seotud teave antakse tagasi teabeomanikule või tema pilvteenuste kasutamisel. Järgida tuleb teabeomanike tööd näidatud isikule (sh muule pilvteenuse pakkujale) või kustutatakse. reguleerivaid teisi õigusakte sh isikuandmete kaitse Erinevatel pilvteenuse pakkujatel võib see võrgu- ja infosüsteemi regulatsiooni. (edaspidi süsteem) ülesehitust arvestades võtta aega erinevalt. 90 päeva on piisav periood, mil pilvteenuse pakkuja suudab oma süsteemi(de)s Küll aga ei anna seletuskiri piisavaid põhjendusi, miks eelnõu §- lõpetada avaliku teabe töötlemise. Tegemist on maksimaalse tähtajaga s 5 toodud nõue pilveteenuse pakkujal kustutada teave peale ehk kui tehniliste võimaluste tõttu on võimalik teabe töötlemine lõpetada lepingu lõpetamist peaks olema just 90 päeva. Palume seda varem ning puudub objektiivne vajadus oodata 90 päevase tähtaja aspekti täiendavalt seletuskirjas selgitada ja kaaluda lühema lõpuni, siis pilvteenuse pakkuja lõpetab varem andmete töötlemise. tähtajanõude kehtestamist. Kultuuriministeerium 06.07.2023 nr 1-11/967-2 1 nr Märkus Märkustega arvestamine 1. Eelnõu § 1 lõike 1 kohaselt kohaldatakse määrust, kui Antud seletus küberturvalisuse seaduse § 3 lõikes 4 nimetatud asutus või isik kasutab avaliku teabe seaduse § 3 lõikes 1 sätestatud avaliku Eelnõust tulenev kohustus hinnata pilvteenust ja pilvteenuse pakkujat ei teabe töötlemiseks pilvandmetöötlusteenust. Selline kohaldu sihtasutustele, kuivõrd neile ei kohaldata küberturvalisuse regulatsioon tõstatab probleemi, kuivõrd on määruse nõudeid seaduse § 3 lõike 4 tulenevalt küberturvalisuse seaduse sätteid. kohustatud täitma riigi asutatud sihtasutused, keda ei ole nimetatud küberturvalisuse seaduse § 3 lõikes 4. Samuti ei töötle See siiski ei tähenda, et sihtasutustel puudub võimalus iseseisvalt ja sellised asutused avalikku teavet tingimata seaduses või selle vabatahtlikult lähtuda määrusega reguleeritavatest nõuetest. alusel antud õigusaktides sätestatud avalikke ülesandeid täites, nagu avaliku teabe seaduse § 3 lõige 1 teabe avalikuks teabeks tunnistamiseks ette näeb. 2. Määruse § 2 lõige 2 ning lisa II p 1 on hetkel mõnevõrra erineva Arvestatud sisuga – lisas on põhjalikum loetelu hindamise alustest ja allikatest, kui on määruse § 2 lõikes 2 loetletud. Selguse huvides Määruse lisa on näitlik kontrollküsimustik, mistõttu määrusega ei peaksid mõlemas kohas allikad kattuma – nt võiks § 2 lõige 2 tekitata viidet lisale. Määruse § 2 lõiget 2 täiendatud sõnadega „muu sisaldada viidet määruse lisale. hulgas“. Sätte eesmärk on välja tuua, et teabeomanik võib pilvteenuse hindamisel võtta arvesse olemasolevaid sertifikaate, mis tõendavad turvalisuse auditite tegemist ja turvalisuse nõuetele vastavust. 3. Määruse § 2, määruse lisa punkt 4 ja II osa tekitavad küsimusi Antud seletus asutuste võimaluste ja võimekuse kohta. Esitatud kommentaariga sisuliselt soovitakse, et määrusega tekitatakse Hindamistingimustes on loetletud teadmisi ja pädevust, mida keskne pilvteenuse pakkujate hindamise mehhanism, kuid määruse asutus ei pruugi omada ehk pole kindel, kas igal pilveteenust volitusnormid seda ette ei näe. Määruse seletuskirjas on toonitatud kasutusele võtval asutusel on võimalik loetletud teavet hankida võimalust teha süsteemist tulenevate riskide hindamisel koostööd teiste või võimekus teabe usaldusväärsust hinnata. Osa asutustega, kasutada juba teadaolevat teavet vastava pilvteenuse kohta, hindamistingimustes mainitud teabest on arvatavasti tunnistatud sh asjaomaste asutuste soovitusi. Keskse hindaja loomisega suureneb asutusesiseseks kasutamiseks või isegi riigisaladuseks. oluliselt ressursivajadus ning võimalik on olukord, kus keskne hindajal Eelistaksime, et vähemalt laialt kasutusel olevate pilveteenuste ja teabeomanikul on sama ülesandega dubleerivad struktuurid. Samas ei nagu Microsoft Office hindamine oleks näiteks Riigi suuda keskne hindamine tagada hindamist teabeomanikule kuuluva Infosüsteemi Ameti või mõne teise riiklikult keskseid teenuseid teabe vaates. Näiteks hinnata, kas risk on maandatav või ei jms. Isegi, 2 nr Märkus Märkustega arvestamine osutava või pädevust omava asutuse kohustus. Vastasel korral kui pilvteenuse pakkuja võib olla sama, siis andmekoosseisud ja avaliku hindamist suure tõenäosusega kasvõi osaliselt dubleeritakse, mis teenusega seotud äriprotsessid- ja nõuded on erinevad. Määruse tähendab riigi ressursside ebaotstarbekat kasutamist, halvemal rakendaja peab omama ülevaadet teabe töötlemisega seotud riskidest juhul saavad asutused hindamisel erinevaid tulemusi, mis võib ning riskijuhtimise vastutus on vastava teabe teabeomanikul. asutuste vahelise teabevahetuse korral kaasa tuua liiga leebete meetmete rakendamise teabe töötlemisel. Eelnevast tulenevalt palume selgitada, kas ja kuidas Majandus- ja Kommunikatsiooniministeerium kavatseb asutustele pilveteenuste hindamisel tuge osutada või seda korraldada. 4. Määruse lisa punktis 6 on pilveteenuse usaldusväärsuse Arvestatud kinnitusena esile toodud nõue, et pilveteenus ei sisaldaks turvanõrkusi ja nende kõrvaldamiseks on piisavalt rakendatud Lisa I osa punkti 6.1.1. sõnatust muudetud „pilvteenus ei sisalda turvameetmeid. Oleme arvamusel, et turvanõrkuste olemasolu teadaolevaid turvanõrkusi või nende kõrvaldamiseks on piisavalt pole võimalik kunagi täielikult välistada - igal ajahetkel võib rakendatud turvameetmeid;“. pilveteenus sisaldada turvanõrkusi, millest teenusepakkuja pole veel teadlik või mida pole jõutud veel parandada. Seega võiks punkt 6 sisaldada paindlikumat sõnastust, mis sobiks tänapäeva tarkvaraarenduse ja turvaparanduste tavadega. 5. Palume täpsustada, kas määruse lisa punktis 7.1.2 on silmas Arvestatud peetud avaliku teabe seaduse § 431 lõike 1 tähenduses andmekogu andmeid ja andmekogus andmete töötlemist. Tegemist oli viitamisveaga. Viide parandatud. Riigikogu Kantselei 10.07.2023 nr 1-6/23-109/2 Määruse paremaks ja ühetaolisemaks rakendamiseks teeme Antud seletus ettepaneku, et Riigi Infosüsteemi Amet hindaks omalt poolt Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. 3 nr Märkus Märkustega arvestamine enamkasutatavate pilveteenuse pakkujate usaldusväärsust ning annaks soovitusi nende teenuste kasutamise kohta. Riigikohus 13.07.2023 nr 6-6/23-31 1. Kasutades järgnevas eelnõu seletuskirja terminoloogiat Arvestatud märgime, et meie arvates on vajalik täpsustada ja/või seletuskirjas täiendavalt selgitada, kes ja miks on määruse Seletuskirja on täiendatud. subjektid. Kui küberturvalisuse seadus (lühend - KüTS) on Määrus antakse kahe seaduse alusel, mistõttu siinse määruse kohaldatav kõigile KüTS paragrahvis 3 nimetatutele, siis määrus kohaldamisala ehk subjektide määratlemisel lähtuti ennekõike mõlema piiritleb subjekte vaid KüTS § 3 lõikes 4 nimetatutega ehk seaduse ühisosa mõttes olevatest subjektidest. Seetõttu ei kohaldata teabeomanikega (eelnõu § 1 lg 1). KüTS § 3 lõike 4 sõnastusest määrust ka näiteks KüTS § 3 lõikes 1 olevatele isikutele. Määrus on nähtub, et lõikes 4 on nimetatud üksnes need, kes ei ole juba koostatud ennekõike KüTS § 3 lõikes 4 nimetatud isikuid ja asutusi nimetatud või hõlmatud seaduse § 3 lõigetega 1-3, sest KüTS § silmas pidades. Selles osas on täiendatud määruse § 1 lõike 1 seletust. 3 lg 4 sisaldab subjektide määramisel sõna „ka“. Selline regulatsioon tähendab ’lisaks eeltoodule, täiendavalt’ ja üldjuhul KüTS-is olev volitusnorm ehk § 7 lõike 5 punkti 3 on sõnastuses tähistatakse selliselt nö lisanduvaid erisusi, kes ei ole hõlmatud „Vabariigi Valitsus või tema volitatud minister kehtestab määrusega põhiregulatsiooniga. Eelnõu § 1 lg 1 seevastu ütleb, et määrus on käesolevas paragrahvis sätestatud kohustuste täitmise ja süsteemide kohaldatav üksnes KüTS § 3 lõikes 4 toodutele. Seega, kui see küberturvalisuse tagamiseks: ongi eesmärk, siis tuleks seletuskirjas täiendavalt selgitada, miks 3) süsteemide turvameetmete erinõuded ja nende kohaldamise ulatuse.“. pilveteenust on vajalik reguleerida üksnes KüTS § 3 lõikes 4 Ehk see volitusnorm ei eelda olemuslikult, et määruse kohaldamisalas toodud subjektide osas, aga mitte KüTS § 3 lõigetes 1-3 peavad olema kõik KüTS-i subjektid. nimetatute või hõlmatute osas. Volitusnorm paneb kohustuse kehtestada nõuded kõikidele teenuseosutajatele. Kui seda on plaanis teha etapiviisiliselt alustades KüTS § 3 lõikes 4 nimetatutega või on käesolevaks ajaks selgunud, et kõik teenuseosutajad ei vaja täiendavat regulatsiooni, tuleks parema selguse huvides see seletuskirjas välja tuua. 4 nr Märkus Märkustega arvestamine 2. Märgime ühtlasi, et KüTS § 7 lg 5 sätestatud volitusnorm paneb Antud seletus Vabariigi Valitsusele või viimase volitusel valdkonna eest vastutavale ministrile kohustuse kehtestada KüTS §-s 7 teenuse Eelnõu § 1 lõikes 2 olev nõue kehtib mõeldud teabeomanikule ehk tema osutajale pandud kohustuste täitmiseks ja [teenuse osutaja] tagab olukorras, kus ta on enda avaliku ülesande üle andnud mõnele süsteemide küberturvalisuse tagamiseks: muule osapoolele, et määrusega ette nähtud nõuded on järgitud. Kuidas 1) infoturbe halduse nõuded üldnimetusega Eesti seda tagatakse, on teabeomaniku enda otsustada – siin ei ole soovi infoturbestandard; määrusega seda aspekti täpsustada. Seletuskirjas on toodud ühe näitena, 2) turvameetmete üldnõuded; et kui tegemist on halduslepinguga, siis neid asjaolusid saab tolles 3) süsteemide turvameetmete erinõuded ja nende kohaldamise lepingus ära määratleda, sh jätab avaliku ülesande üleandja endale ulatuse. õiguse kontrollida nende nõuete täitmist. Määruse jõustumise hetkel sõlmitud halduslepingute korral kohaldub määruse § 6 lg 2 ehk Meie arvates vajaks eelnõu § 1 lg 2 täpsustamist. Sätte paneb üleminekuperioodi lõpuks viiakse tegevus kooskõlla määrusega. Iseasi teabeomanikule kohustuse tagada ka avaliku ülesande täitmise on, et kuidas seda tehakse – kas tehakse halduslepingus muudatus (nt üleandmisel teisele asutusele või isikule määruse nõuete täitmine lepingu lisana) või määratletakse see muul viisil – siin jätab määrus avaliku teabe töötlemisel. teabeomanikule vabad käed. Lähtudes ka seletuskirjas toodust ei ole meie arvates selge, mida siiski selle sättega on mõeldud. Kas on mõeldud, et avaliku ülesande üleandmisel on selle üleandjal kohustus nt halduslepingus ette näha (kokku leppida), et ülesande täitja tagab avaliku teabe töötlemisel pilveteenuse abil pilveteenusele määrusega kehtestatud nõuete täitmise? Ning, et teabeomanikul ehk avaliku teenuse ülesande üleandjal on kohustus ette näha õigus nendest tingimustest kinnipidamist kontrollida ja reaalselt ka sellist kontrolli teostada. Seda tulekski sõnaselgelt sätestada ja seletuskirjas selgitada. Praegu saab seletuskirjale tuginedes aga tõlgendada ka nii, et teabeomanik peab ise hakkama mingite muude abinõudega, kui halduslepingu tingimustest kinnipidamise kontroll, seda tagama. Samas eelnõu seletuskirja mõjude osas (lk 17) on aga nenditud, Määrus on mõeldud erinevate olukordade reguleerimiseks, mille üheks et pilveteenuse kasutusele võtmine avaliku teabe käitlemiseks esmaseks eelduseks on teabeomaniku poolne selgus, et kas oma 5 nr Märkus Märkustega arvestamine tähendab selliste võrgu- ja infosüsteemide kasutuselevõttu, kus ülesannete täitmiseks või tegevuseks on vajalik kasutada pilvteenuseid võrgu- ja infosüsteemi kaitse ei ole teabeomaniku mõjutada. Kui (millest lähtuvalt tuleb ka siinse määruse nõudeid järgida). Määruse see on nii nö tavaolukorras, kus riigiasutus võtab kasutusele eesmärk ei ole reguleerida, kas mingit avalikku ülesannet soovitakse pilveteenuse, siis meie arvates tuleks tõsiselt kaaluda, kas teisele isikule üle anda. Seda enam, et seda temaatikat reguleerivad üleüldse näha ette võimalust avaliku ülesande üleandmist. teised seadused – näiteks reguleerib halduslepingut ennekõike haldusmenetluse seaduse 7. peatükk. Pigem tuleks kaaluda, kas mitte panna teatud ülesanded (nt § 2 lg 1 punkt 6) hoopis riigi kesksetele IT- ja infoturbe Keskse ülesande määramise osas vt Kultuuriministeeriumi esitatud professionaalsetele organisatsioonidele, mitte aga igale üksikule märkuse nr 3 suhtes antud vastust. teabeomanikele 3. Ebaselge on, kas ja kuivõrd tuleks eristada, kas pilveteenus on Arvestatud seotud otsese avaliku teenuse osutamisega seotud avaliku teabega või mistahes avaliku teabega. Määruse lisa on õigusakti Eelnõu lisa ja seletuskirja täiendatud. osa. Lisast nähtub, et selle p-d 1.1.2, 1.3., 1.3.2. ja 1.4. Vabariigi Valitsuse 25.05.2017. a. määrus nr 88 „Teenuste korraldamise kohalduvad üksnes otsestele avalikele teenustele. Kas see ja teabehalduse alused“ (edaspidi TKTA määrus) reguleerib teenuste tähendab aga ka seda, et seda tuleks kuidagi eristada ka määruse korraldamise ja arendamise nõuded, mis kehtivad valitsusasutustele ja põhiteksti osas - nt määruse § 2 lg 6 punkt 1 puhul tuleb samuti tema hallatavatele asutustele (vt TKTA määruse § 1 lõige 1 punkt 1, arvesse võtta, kas pilveteenuse kasutamine on seotud otsese lõige 2 ja lõige 4). TKTA määruse § 2 lõige 1 määratleb, mis tolle avaliku teenusega? Ka seletuskirjas on mitmetel juhtudel määruse tähenduses teenus – selleks on otsene avalik teenus ja rõhutatud just otseseid avalikke teenuseid pilveteenuste tugiteenus. Sama paragrahvi lõiked 2-4 sisustavad otseses avaliku kontekstis, kuid määruse regulatsioonist muus osas, välja teenuse (sh selle kahe ala-liigi) sisu ja lõige 5 määratleb tugiteenuse sisu. arvatud lisa eelviidatud punktid, ei nähtu kuidagi nende erisus. Kuna praktikas võidakse tugiteenuste osutamisel kasutada ka Kui tegelikult on kogu regulatsioon mõeldudki üksnes otseste pilvteenuseid, siis on eelnõu lisa ja seletuskirja õigusselguse huvides avalike osutamisel pilveteenuse kasutamisele, tuleks seda ka täiendatud läbivalt, et määrus on oma olemuselt seotud (TKTA määrus sõnaselgelt sätestada. Seda lubab ka eelnõule lisatud seletuskiri mõttes) otseste avalike teenuste kui ka tugiteenuste osutamisega. (lk 17), et eelnõuga tuuakse esile senisest selgemad tingimused ja põhimõtted, millal otseste avalike teenuste parema Eelnõu enda tekstis ei kasutata sõnastusi „otsene avalik teenus“ ja kättesaamise eesmärgil võib kaaluda pilveteenuse kasutusele „tugiteenus“, vaid on oma olemuselt lähtutud avaliku teabe töötlemisest, võtmist. mis on omakorda seotud avalike ülesannete täitmisega. Kommentaaris viidatud lisa punktid on seotud määruse § 2 lõige 1 punkti 1 hindamisega, mitte eelnõu § 2 lõike 7 (endine lõige 6) punkt 2 (endine 6 nr Märkus Märkustega arvestamine punkt 1) hindamisega. Samuti on eelnõu § 2 lõike 5 (endine lõige 4) kohaselt eelnõu lisa näitlik kontrollküsimustik, mis abistab sama paragrahvi lõikes 1 oleva hindamise tegemist. Vabariigi Presidendi Kantselei 13.07.2023 nr 2.1-4/1386-2 Vastavalt määruse eelnõu §-le 2 peab teabeomanik, kes soovib Antud seletus avaliku teabe töötlemiseks võtta kasutusele pilveteenuse, tegema ise pilveteenuse analüüsi, mis peab sisaldama muuhulgas Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. pilveteenuse turvalisust ja kasutatavaid turvameetmeid, arhitektuuri ja muid aspekte. Paraku puudub paljudel asutustel selleks piisav tehniline võimekus ja oskused eelnimetatud paragrahvis nõutud pilveteenuste hindamiseks. Tulenevalt eeltoodust teeme ettepaneku, et pilveteenuse kasutuse võtmisel teeks analüüsi pädev asutus, nt Riigi Infosüsteemi Amet või Tarbijakaitse ja Tehnilise Järelevalve Amet. Riigikantselei 14.07.2023 nr 7-2/23-01308-3 Vastavalt määruse eelnõu §-le 2 peab teabeomanik, kes soovib Antud seletus avaliku teabe töötlemiseks võtta kasutusele pilveteenuse, tegema ise pilveteenuse analüüsi, mis peab sisaldama muuhulgas Vt Kultuuriministeeriumi märkusele nr 3 antud vastust pilveteenuse turvalisust ja kasutatavaid turvameetmeid, arhitektuuri ja muid aspekte. Teeme ettepaneku muuta eelnõu selliselt, et Riigi Infosüsteemi Amet või Riigi Info- ja Kommunikatsioonitehnoloogia Keskus hindaks omalt poolt enamkasutatavate pilveteenuse (Microsoft 7 nr Märkus Märkustega arvestamine Office 365, Google Workspace, Atlassian jt) pakkujate usaldusväärsust ning annaks soovitusi nende teenuste kasutamise kohta. Vastasel korral hindamist suure tõenäosusega kasvõi osaliselt dubleeritakse, mis tähendab riigi ressursside ebaotstarbekat kasutamist, halvemal juhul saavad asutused hindamisel erinevaid tulemusi, mis võib asutustevahelise teabevahetuse korral kaasa tuua liiga leebete meetmete rakendamise teabe töötlemisel. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit 14.07.2023 nr 6.1-2/75-1 Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (edaspidi Kohtumine toimus 31.08.2023 Majandus- ja ITL) ei saa eelnõud kooskõlastamisele esitatud kujul toetada, Kommunikatsiooniministeeriumis. kuna see sisaldab mitmeid olulisi puudusi, mida alljärgnevalt käsitleme. Ühtlasi teeme ettepaneku korraldada enne eelnõuga edasiliikumist kohtumine, et arutada, kas ja millist pilvandmetöötlusteenuste regulatsiooni Eestis oleks vaja. Meie leiame, et tulevane regulatsioon peab soodustama arengut ja innovatsiooni, tagades samal ajal avaliku teabe töötlemisele seatud nõuete täitmise ning andmete turvalisuse. 1. ITL-i hinnangul on eelnõus järgmised puudused: 1.1 Eelnõu eesmärk on ebaselge, sest pilvandmetöötlusteenuste Antud seletus kasutamiseks selgete aluste loomise asemel piirab eelnõu oluliselt nende kasutamist; Eelnõuga sätestataksegi selgemad alused, mida tuleb hinnata pilvteenuse kasutusele võtmisel. Kuivõrd eelnõu on arvestab samaaegsel ka avaliku teabe kaitsemise eesmärki, siis nõuetest tulenevalt võivadki 8 nr Märkus Märkustega arvestamine ITL on seisukohal, et eelnõu eesmärk on arusaamatu. Eelnõud osad teenusepakkujad mittekvalifitseeruda, kuivõrd nende kaudu ei lugedes tekib küsimus, millist muutust püütakse sellega suudeta tagada avaliku teabe terviklust, konfidentsiaalsust ja saavutada. käideldavust. Mistahes teenuse hankimisel lähtutakse teenuse tellija vajadusest, mitte teenusepakkuja soovidest ja võimalustest. Meie järeldus on, et eelnõu vastuvõtmisega ei kaasne sisulist Teenusekasutamisega seotud riske peab hindama teenuse tellija muutust paremuse poole, mis soodustaks tehnoloogilist (teabeomanik). arengut. Selle asemel lisanduvad täiendavad kohustused avaliku sektori asutustele, kes soovivad avaliku teabe töötlemisel pilvandmetöötlusteenuseid (pilveteenuseid) kasutada. Nimelt kuigi eelnõu lubab avaliku teabe töötlemisel pilveteenuseid kasutada, seotakse see rangete tingimustega ning pilveteenuse kasutaja jaoks enda poolt hinnatavate riskidega. Eelnõu sätestab meetodi, mille järgi võib legaliseerida mistahes Jääb selgusetuks ITL ettepanek, et teabeomanik ei peaks tegelema pilveteenuse kasutuse, aga tegemist on meetodiga, mis sunnib: riskide hindamisega temale kuuluva teabe töötlemisel. Avalik teave on - sama teenuse vastavust samadele kättesaadavuse, tervikluse ja oluline teave, mille kontrollimatu töötlemine võib mõjutada avaliku konfidentsiaalsusnõuetele korduvalt hindama, ehk iga-asutus- võimu toimimist, eraisikute huve ja õigusi jne, mistõttu on oluline selle enda-eest meetodil töötama. Iga minisüsteemi või kasutatava töötlemise pidev seire. teenuse jaoks eraldiseisvalt tehtuna on sellised analüüsid ebaproportsionaalsed; - pilveteenuse kasutuselevõtjat tegema talle üle jõu käivat Eelnõuga ei panda teabeomanikule isikuandmete kaitsemise osas tööd, sest igaüks peab iseseisvalt hindama kõiki riske: milliseid täiendavaid nõudeid juhul, kui nad soovivad avaliku teabe, sealhulgas andmeid töötlema hakatakse, millised reeglid neile kehtivad (nt nende kasutuses olevaid isikuandmeid töödelda pilvteenuse kasutusele reeglid isikuandmete edastamisel kolmandatesse riikidesse pole võtmise kaudu. lõpuni selged ka 5 aastat pärast EL-i andmekaitse üldmääruse vastuvõtmist ja põhjustavad senini olulisi kohtuvaidlusi ning eriarvamusi (seejuures peab arvestama ka äsja vastu võetud kaitse piisavuse otsusega Euroopa Liidu ja Ameerika Ühendriikide andmekaitseraamistiku kohta), millised piirangud/lahendused juba olemas on, kas konkreetsel juhul võib üldse pilveteenust kasutada. Meie hinnangul asutused, kelle 9 nr Märkus Märkustega arvestamine kohustusi eelnõu kirjeldab, ei pruugi olla suutelised sellises mahus analüüse läbi viima ja kohati ei ole neil ilmselt ka võimekust selleks vajalikku infot kätte saada; - pilveteenuse kasutusele võtjaid seeläbi aktsepteerima riske, millest nad sisuliselt ei pruugi aru saada. See omakorda soodustab seda, et pilveteenuse kasutamisest loobutakse sootuks; - kasutuselevõtjat võtma pilveteenuste analüüsimisel kandva Vt ka Kultuuriministeeriumi märkusele nr 3 antud vastust. rolli ja vastutuse valdkonna piisavalt põhjaliku tundmise eest, kuna riigil puudub valmidus otsustada keskselt, milliseid teenuseid ning milleks võib kasutada. Nimelt puuduvad eelnõust volitusnormid, et usaldada otsustusteks teiste kesksete IT asutuste analüüse või hinnanguid (nt Riigi IT Keskus (RIT) teenuse vahendajana või Riigi Infosüsteemi Amet (RIA) järelevalveasutusena). Seega tundub eelnõu eesmärk olevat see, et avalikke Märkusest ei selgu, millises tähenduses kasutatakse mõisteid avalik pilv pilveteenuseid Eestis ei kasutaks, millele viitab ka eelnõule ja privaatpilv, mistõttu lähtume edaspidi teadmisest, kus avalik pilv on tehtud mõjuhinnang. Pilveteenus positsioneeritakse kui midagi pilvekorralduse mudel, kus teenused on tasu eest saadaval igale ekstra, mille kasutamise korral hüppeliselt kasvavad pilvteenuse kliendile. Privaatpilv on pilvekorralduse mudel, milles teenuseomaniku kohustused, mis olemuslikult on vale. Praktikas pilvteenuseid kasutab eranditult üksainus pilvteenuse klient ja ressursid on teenuseomanikul igas olukorras kohustus tagada teenuste on selle kliendi kontrolli all. turvalisus ja järjepidevus. Näiteks eelnõu §- is 2 sisalduvad nõuded on sellisel tasemel üldfilosoofilised, neid tuleb järgidaEelnõuga ei keelata nö avaliku pilve kasutamist ega erinevate alati ning pilveteenus pole siin mingi erand. Mulje jääb aga tehnoloogiliste lahendite kasutamist. Eelnõu koostamisel on selgelt oluliselt erinev. arvestatud teadmisega, et ka avalikul sektoril on valdkondi (sh teenuseid) kus avaliku pilve kasutamine on mõistlik (nt seletuskirja Seega vajalik on eelnõu sisu uuesti hinnata vastu tegelikku eelnõu eesmärgi osas punkti v). Samas tuuakse eelnõuga selgemalt välja, eesmärki. Seejuures võib eesmärk olla kas otsida põhjuseid miks et avalik sektor peab avaliku pilve kasutusele võtmisel arvestama ka ei saa ega pea pilveteenuseid kasutama või leida lahendusi, avalike huvidega ja tagama avaliku teabe kaitstus ning teenuse ostmisel 10 nr Märkus Märkustega arvestamine kuidas neid mõistlikult kasutada teiste teenuste kõrval lähtudes tuleb ka teenuse „sisse“ vaadata. Eelnõuga ei tekitata asutusele uut andmeklassist, käideldavuse, konfidentsiaalsuse ning riskide kohustust hinnata süsteemide turvalisust ja riske ning ei muudeta vaatest (s.h on risk see kui internet on maas või andmekeskus kohustust tagada avaliku teabe kaitse. saab ründe/tabamuse). ITL näeb eelnõu praeguses eesmärgis probleemi, sest see piirab Eelnõuga ei ole automaatselt välistatud ühtegi Eesti ega välisriigi innovatsiooni ja ekspordivõimekust, kui mõni tehnoloogia on tehnoloogiat. Küll võiks selline olukord tekkida, kui arvestada ITL-i kohalikul turul avaliku sektori poolt välistatud (või tehtud selle ettepanekut nr 2.2. tekitada keskne arvestus milliseid teenuseid ning kasutuselevõtmine sedavõrd keeruliseks, et kasutuselevõtjale on milleks võib kasutada. Eelnõu kohaselt peab uute tehnoloogiate lihtsam jääda kasutama senist lahendust, mis on juba kasutusele võtmisel arvestama avaliku teabe töötlemisel nii avalikkuse implementeeritud. See võib samas olla omakorda täiendav risk). kui ka isikute huve, kelle andmeid töödeldakse. Meie ettepanek on mitte kehtestada nõudeid, mille suhtes juba eos on teada, et neid on võimatu tagada (nt et iga asutus panna ise hindama turvalisust ja riske). 1.2. Eelnõu kohaldamisala on ebaselge ja seab era- ning avaliku Arvestatud osaliselt sektori teenused põhjendamatult erinevasse olukorda Eelnõu muudetud ning eelnõu § 1 lõike 1 punkti 1 kohaselt tuleb Leiame, et eelnõu tekstist on raske aru saada, mida pilveteenuse eelnõukohane hindamine teha ka nö riigi pakutava pilve/KOV all silmas peetakse ehk mis on selle eelnõu reguleerimisala. pilveteenusele. Küll nähakse eelnõuga ette, et riik või kohalik Nimelt kas reguleeritava pilveteenuse alla läheb ainult avalik omavalitsus ei pea hindama riigi või kohaliku omavalitsuse pilv või ka privaatpilv ning kuidas positsioneerub eelnõu usaldusväärust. (vt eelnõu § 2 lõike 2 selgitust) kontekstis riigipilv. Eelnõu seletuskirja lugedes on selgem, et eelnõu on mõeldud reguleerima erasektorist pärit teenuse osutajate pakutavaid pilveteenuseid. Samas jääb arusaamatuks, miks kavandatakse nõuded, mis ei kehti erasektori teenuse osutajale ja riigipilve/KOV pilveteenuse pakkujale ühteviisi. Kas see tähendab, et riigipilv loetakse automaatselt turvaliseks, mida tuleb usaldada, aga erasektori teenust peab enne auditeerima/sertifitseerima? ITL-i hinnangul jätab eelnõu tänasel kujul mulje, et riigipilve või enda loodud andmehalduse 11 nr Märkus Märkustega arvestamine lahendust kasutades teenuseosutaja ei vastuta andmeturbe eest ning analoogselt avalike pilve lahendustega riske hindama ja maandama ei pea. Riigipilve ja KOVi-pilve ei tohi meie hinnangul välistada eelnõust põhjusel, et tegemist ei ole pilveteenusega küberturvalisuse seaduse tähenduses, sest teenust ei osutata majandustegevusena. Kui eesmärgiks on avaliku teabe turvalisuse tagamine, siis peab ootus olema samasugune igale pilveteenuse pakkujale. Oleme seisukohal, et eelnõus sisalduval viisil luuakse oluline ja samas põhjendamatu eelisseisund riigi poolt pakutavatele pilveteenustele. See ei tohi kindlasti olla riigi poolt eelnõu eesmärgiks. Lisame, et see loob olukorra, kus tekivad õigusliku põhjendused, miks riik peab turuteenuste kasutamise asemel võtma endale täiendavaid teenuseosutaja funktsioone. Sellise olukorra tagajärjeks on vajadus avalikku sektorit kasvatada nii inimeste arvult kui eelarvelt. ITL teeb ettepaneku nõuete kehtestamisel panna need kehtima ühtemoodi riigipilvele ja erasektorile, kui toimub avaliku teabe töötlemine, mitte teha selliseid välistusi (riigipilvele eelis). Hetkel pole nõuded erasektori ja riigisisestele pilveteenustele samad ja samas on avalike pilvede esindajad korduvalt väljendanud ootust, et nõuded peavad olema samad. 1.3. Eelnõust puudub adekvaatne mõjuanalüüs Antud seletus 12 nr Märkus Märkustega arvestamine Esiteks on eelnõu seletuskirjast puudu mõju ettevõtetele. Eelnõu reguleerib vaid avaliku sektori poolt avaliku teabe töötlemisel Nimelt mõjutab see eelnõu seletuskirja kohaselt ainult avaliku pilvteenuse kasutusele võtmise tingimusi. Eelnõu ei kohusta avalikku sektori asutusi ja elanikke, kelle infot töödeldakse. Samas sektorit pilvteenust kasutusele võtma või kasutusele võttu vältima. mõjutab see kindlasti ka ettevõtteid, kes soovivad avaliku sektori Seetõttu vahetu mõju erasektorile puudub. asutustele pilveteenuseid pakkuda. Seejuures on mõju pilveteenuse osutajatele on väga otsene ja oluline, mistõttu on vajalik selle osas mõjuanalüüs läbi viia ning tulemused eelnõus kajastada. Teiseks on eelnõu seletuskirjast puudu majanduslik mõju Eelnõu ei kohusta avaliku sektorit pilvteenust kasutusele võtma. Samas avaliku sektori asutustele. Leiame, et kui pilveteenuste on riskide hindamine avaliku teabe töötlemisel või mistahes süsteemide lubamisel või mittelubamisel tõesti mingit majanduslikku mõju kasutamisel, uuendamisel või vahetamisel teabeomaniku kohustus ka pole, siis on see üsna vastuolus nende teenuste globaalse ilma eelnõuta, mistõttu eelnõuga ei kaasne vahetut majanduslikku mõju põhjendatusega. Nimelt arvatakse valdavalt, et pilveteenuste avalikule sektorile. Vt siin ka ITL-i märkusele nr 1.2. esitatud vastust. kasutamine loob majanduslikku säästu teatava iseseisvuse loovutamise hinnaga. Seda peetakse ausaks vahetuskaubaks ning see võiks ka seletuskirjast välja tulla. Praegune hinnang näitab pigem, et ei loodeta suurt edu pilveteenuste kasutuselevõtule selle eelnõu alusel ja sellest ka olematu majanduslik mõju. Lisaks tuleb eelnõu seletuskirja mõjude analüüsi peatükki lisada, kui koormavad on iga süsteemi kohta eraldiseisvana tehtud analüüsid avaliku teabe valdajatele. Seejuures soovitame mõjuhinnangutes arvestada ka kliima- ja rohe-eesmärkidega, sest pilveteenuste laiem kasutus oleks selles vaates positiivse mõjuga. Mõistame ka, miks eelnõu mõjusid on olnud nii raske hinna. Kuna eelnõu eesmärk ei ole läbi mõeldud, siis pole ka, mille vastu kaalutleda kohustuste proportsionaalsust ja muud. 2. ITL teeb järgmised ettepanekud: 13 nr Märkus Märkustega arvestamine 2.1. Korraldada arutelu eelnõuga seotud küsimuste arutamiseks; Kohtumine toimus 31.08.2023 Majandus- ja Kommunikatsiooniministeeriumis, kus anti ülevaade eelnõu tegemise Kuna hetkel on tegu eelnõuga, millel puuduvad nii eesmärk ja ka vajadustest ning selle sisust koos selgitustega, mida on kavas riigi adekvaatne mõjude analüüs, siis jääb mulje, et tegu on tasandil pilvevaldkonnas teha (sh nende tegevuste seosed eelnõuga). õigusloomega, mille tagajärjel väidetavalt midagi ei muutu, või halvemal juhul õigusloomega, mis väldib, et keegi kunagi avalikku pilve kasutaks. Leiame, et sellist õigusloomet pole vaja. Eelnõu eesmärk peab olema olukorra reaalselt parandamine, selleks aga tuleb ülal kirjeldatud olemuslikud probleemid lahendada. Seetõttu palume MKM-il korraldada kohtumine, kus eelnõuga seotud küsimusi saab huvigruppide osalusel arutada. Arutelu eesmärk peaks olema otsida viise, kuidas saab avaliku teabe töötlemisel pilveteenuseid kasutada, alustades selleks andmete klassifitseerimisest, riskide hindamisest ja sellest, kes selle eest vastutab. Soovitame seejuures tutvuda sellega, mis on teistes riikides antud teema reguleerimisel tehtud. Nimelt on edu saavutanud riigid kaasanud kõik osapooled, tegelenud oskuste arendamisega ja lahendanud andmete küsimusi koostöös erasektoriga. Seetõttu leiame, et ka Eestis on mõistlik tuua ühe laua taha nii era- kui ka avaliku sektori esindajad ja otsida lahendusi. 2.2. Analüüsida võimalust koostada riigiülene soovitus Antud seletus pilveteenuste kasutamiseks ja anda vastutus riskide hindamise eest ühele asutusele; Eelnõu lähtub avaliku teabe töötlemisest. Avaliku teabe töötlemisega seotud riske saab hinnata vaid teabeomanik. Küll on eelnõu eelduseks, Meie hinnangul võiks olla avaliku teabe töötlejatele abi sellest, et avaliku sektori asutused jagavad teineteisega teavet, parimaid kui mõni riigiasutus (näiteks RIA) koostaks ja haldaks keskset praktikaid ning erinevaid ohuhinnanguid. Samuti on hindamisel lubatud soovitusliku dokumenti sellest, milliseid avalikke pilveteenuseid kasutada asjakohaseid välisriikides tehtud hindamisi jms. 14  nr Märkus Märkustega arvestamine on erinevate kasutusjuhtude jaoks: - Sobiv kasutada (näiteks enamik registreid ja e-posti ning grupitöö); - Vajalik enne kasutamist analüüsida või küsida täiendavalt RIA seisukohta (näiteks terviseandmeid sisaldavad registrid); - Ei ole soovitav kasutada. Alternatiivselt võib kaaluda ka varianti, kus RIA teeb ühe riigiasutuse taotluse pärast heakskiitmist avalikuks ja kinnitab sellega pretsedendi najal, et see konkreetne pilveteenus selliste turvanõuetega andmete jaoks on heaks kiidetud ja seda võivad kasutada ka teised riigiasutused. Ei tundu mõistlik ega proportsionaalne näiteks see, kui iga KOV ja riigiasutus hakkaks eraldi AWS-i ja Microsoft 365-te auditeerima. Samuti kahtleme SaaS, PaaS ja IaaS lahenduste ühe meetodiga hindamise mõistlikkuses. Mõistame, et enne seda on vajalik kõrvaldada mitmed takistused. Näiteks anda mõnele riigiasutusele vastavad volitused ja lahendada küsimusi ka teistes õigusaktides. Samuti leida spetsialistid, kes neutraalselt vastavaid analüüsid suudavad läbi viia. Kõige selle juures on väga oluline arvestada, et Euroopa Liidus kehtib Euroopa Parlamendi ja nõukogu määrus (EL) 2018/1807, Eelnõu koostamisse kaasati Andmekaitse Inspektsiooni (vt seletuskirja mis käsitleb isikustamata andmete Euroopa Liidus vaba viimast lehekülge). liikumise raamistikku, ja äsja on saavutatud ka kokkulepe andmete liikumises EL-i ja USA vahel1 . Esimene neist sätestab, et andmed peavad liikuma liidu sees ning teine ka USA vahel. Seega tuleb tagada, et me ei lähe Eestis vastuollu EL-i õigusega. Selleks tuleb kaasata ka Andmekaitse Inspektsioon. 1 https://www.aki.ee/et/uudised/euroopa-komisjon-vottis-vastu-kaitse-piisavuse-otsuse-euroopa-liidu-ja-ameerika-uhendriikide 15 nr Märkus Märkustega arvestamine 2.3. Analüüsida täiendavalt eraldiseisva õigusakti vastuvõtmise Antud seletus vajalikkust Eelnõu ei dubleeri E-ITS nõudeid. Eelnõu sätestab Tänaseni on avaliku teabe omanikud pilveteenuste kasutamisel hindamiskriteeriumid juhuks, kus avaliku teabe töötlemiseks soovitakse lähtunud ISKE / E-ITS nõuetest, mis viitavad pilvteenuse sisse osta teenust erasektorist. Eelnõu eesmärk on tagada avaliku teabe kasutusse võtmise osas tänaseni Riigi Infosüsteemi Ameti poolt kaitse jätkuvus. 2019 väljatöötatud juhendile (RIA juhend „Juhend avalike pilveteenuste turvaliseks kasutamiseks avalikus sektoris“). Seetõttu jääb meile arusaamatuks, mis on tinginud selle eelnõu koostamise vajaduse - kas eelnõu eesmärk on asendada juhendit (mis oma olemuselt on selgem kui eelnõu ja eelnõu lisa)? Seega leiame, et ühe variandina tuleb kaaluda, kas uuendada Eelnõu koostamisel on arvestatud nii õigusselguse, kui ka õigusaktist ja ajakohastada RIA juhendit ning täpsustada E-ITS arusaadavuse printsiibiga. Kuivõrd eelnõu sisu ja osaliselt ka andmise meetmeid pilvteenuse kasutamise osas. See oleks alus erineb juba KüTS § 7 lõike 5 alusel kehtestatud määrustest on kasutajasõbralikum ja selgem selle asemel, et ühe olulise teema eelloetletud põhimõtteid silmas pidades korrektsem eraldiseisva osas peab E-ITS rakendaja minema eraldi määrust jm dokumente määruse kehtestamine pilvteenuse kasutusele võtmiseks avaliku teabe otsima. töötlemisel. Seda enam, et eelnõu kehtib nii neile isikutele, kes rakendavad E-ITS-i kui ka neile, kes rakendavad selle alternatiivi ehk Nende avaliku teabe töötlejate osas, kes ei ole kohustatud ISO/IEC 27001 standardi nõudeid. Kui piirduda ainult E-ITS’i rakendama E-ITSi või rakendavad ISO27001 vm, võib sel juhul pilvemooduli nõuete täiendamisega, siis ei ole tagatud samaväärne nõuete täitmiseks täiendada näiteks avaliku teabe seadust ja kohtlemine nende isikute suhtes, kes on eelviidatud ISO standardi märkida seal ära, et avaliku teabe töötlemiseks pilveteenuse kasutusele võtnud. kasutamisel tuleb tagada E-ITS "Pilveteenuse kasutamise" meetmete rakendamine. 2.4. Tegeleda süsteemselt ja teadlikult oskuste arendamisega; Võetud teadmiseks Leiame, et seni kuni ei ole süsteemselt tegeletud oskuste arendusega ning puuduvad selged nõuded, puudub ka oskus pilveteenuste targaks kasutamiseks. Praegused avaliku teabe 16 nr Märkus Märkustega arvestamine valdajate teadmised ei ole piisavad pilveteenuste kasutusele võtmiseks. Seetõttu võib tunduda lihtsam suhtuda pilveteenusesse kui millessegi halba, ebaturvalisse ja kallisse. Tegelikult aga lihtsalt puuduvad vajalikud oskused (infoturbest halduseni ja kõik seal vahepeal). Seejuures on oluline alustada andmete klassifitseerimise oskusest, et vältida seda, et teadmatustest pannakse andmetele rangem märge. Sellisel juhul ei teki võimalust teenuseid kasutada mõistlikult ning paratamatult on täiendav ressursside kulu üle klassifitseeritud andmete halduse, kaitse jm osas. Lõpetuseks rõhutame, et pilveteenuste puhul on oluline Võetud teadmiseks arvestada ka seda, et nende kasutamine aitab riske hajutada. Nimelt võimaldab riigi andmete ja teenuste paigutamine eri Avaliku teabe töötlemisega seotud riske, sealhulgas nende jaotamist riikidesse tagada nende toimimise mis iganes olukorras ja seda erinevate teenuse pakkujate vahel hindab teabeomanik. Eelnõuga ei ole on mõistnud Ukraina sõja valguses paljud riigid. On fakt, et mitme erineva pilvteenuse pakkuja teenuse kasutamist välistatud esmalt minnakse riigis olevate andmekeskuste kallale alates küberründest rakettideni. Kõike ühes kohas hoida ei ole mõistlik riskide maandus. Lisaks riigi enda andmekeskused kipuvad olema tihtipeale oluliselt rohkem häiritud kui avalikud. Andmesaatkond üksi ei aita, kui pole andmeid ei testitud ega töökorras teenust, mida kasutada. Ka skaleeritavus on täna probleem. Leiame, et pilveteenuste kasutamine aitab teostada ka riigi personaalset lähenemist. Lisaks aitab kaasa suuremale küberturvalisusele, sest AI ja kogutud teadmusbaasi sisaldavad teenused turbele, mis on läbi avalike pilvede nt Cloudflare, on kriitilise tähtsusega riigi toimimise seisukohast. Seega küsimusi, mida põhjalikult hinnata ja arutada on tegelikult väga palju. LISA – ITL-i tähelepanekud ja ettepanekud eelnõu lisa Antud seletus „Näitlik kontrollküsimustik ja meetmete näidis“ kohta 17 nr Märkus Märkustega arvestamine Kuna eelnõu lisaks oleva „Näitliku kontrollküsimustiku ja Lisa puhul on tegemist näitliku kontrollnimekirjaga, mis abistab meetmete näidise“ puhul peaks tegemist olema eelnõu teabeomanikku eelnõu § 2 lõikes 1 toodud asjaolude hindamist. rakendamist toetava dokumendiga, siis konkreetsus ja selgus peavad selle puhul olema märksõnad. Seetõttu esitame eelnõu lisa kohta alljärgnevad tähelepanekud ja ettepanekud. Punkt 1.1. "Avaliku teabe olemuse hindamise käigus hinnatakse Antud seletus avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse tagamiseks avaliku teabe: …" Tegemist on äriprotsessi omaniku otsusega kas ta hindab avaliku teabe Avaliku teabe olemuse hindamise kohta peab olemas olema ka olemust teabe või äriprotsessi raames. Teabeomanik peab olema teadlik, praktiline juhend (meetmete all - kus see täna puudub) avaliku milline on tema valduses oleva avaliku teabe eesmärk ja kuidas see teabe omanikele, kes seda hindamist peavad läbi viima. Muul suhestub avaliku võimu ülesannete täitmisesse laiemalt. juhul hakatakse andmetele omistama teenuse (või andmekogu, protsessi, rakenduse, või mis iganes tasemel organisatsioon on kaitsevajaduse määranud) käideldavuse, tervikluse ja konfidentsiaalsuse taset, mis omakorda muudab antud punkti täitmise küsitavaks, sest ei suudeta eristada andmeid n-ö suuremast tükist. Punkt 4.1 „Avaliku teabe töötlemiseks pilveteenuse kasutusele Antud seletus võtmise kavatsuse korral hindab teabeomanik pilveteenuse pakkuja ja tema volitatud esindaja, importija või levitaja suhtes Kommentaaris viidatud punkt aitab selgitada, mida on võimalik esinevaid riske, muu hulgas seda, kas pilveteenuse pakkuja või kontrollida pilvandmetöötlusteenuse pakkuja või tema volitatud tema volitatud esindaja, importija või levitaja:…“ esindaja, importija või levitaja usaldusväärsuse hindamisel (vt eelnõu Nimetatud punkt sätestab väga olulised piirangud § 2 lõike 1 punkti 4). Ettevõtja hindamine, kes soovib pakkuda tasulist ettevõtlusvabadusele. Nt annab aluse välistada mõne ettevõtte teenus avaliku teabe töötlemisel, ei piira mingil juhul ettevõtlusvabadust teenuse tarbimise, kuna ta asub teatud riigis. Sarnased alused on vaid tegemist on avaliku teabe kaitse ühe vahendiga, et välistada avaliku kirjas ka elektroonilise side seaduse § 873 lõikes 3, mis loetleb teabe töötlemiseks mittesobivad teenusepakkujad. asjaolud, mida tuleb arvestada sideteenuse osutamisel kastutatava riist- ja tarkvara kõrge riski hindamisel. Nimetatud loetelu kavandati ka kehtestada Vabariigi Valitsuse määrusega, aga menetluse käigus jõuti õiguskantsleri poolse tähelepanu 18 nr Märkus Märkustega arvestamine juhtimise tulemusena järeldusele, et taoline loetelu peab õigusselguse huvides olema kehtestatud seadusega. Antud juhul plaanitakse niivõrd olulisi piiranguid valikuõigusena rakendusakti lisas ning see ei ole korrektne. Punkt 6.1.1. "Pilveteenus ei sisalda turvanõrkusi ja nende Arvestatud osaliselt ja antud seletus kõrvaldamiseks on piisavalt rakendatud turvameetmeid" a. Selle sõnastuse esimene pool - 100% turvalisust 24/7 ei ole Eelnõu kohaselt hindab riske lähtuvalt avaliku teabe sisust teabe kunagi olemas (ei sisalda turvanõrkusi). Õigem oleks öelda, et omanik. Avaliku teabe raames võivad nõudes erineda, arvestades "Pilveteenuse osutaja tegeleb regulaarselt turvanõuete avaliku teabe sisu ja mõju avaliku võimu teostamisele ning isikute rakendamise ja turvanõrkuste ilmnemisel nende õigusetele, kelle andmeid võib avalik teave sisaldada. Nõustume, et kõrvaldamisega". ühegi süsteemi korral ei saa anda 100% turvalisus, mistõttu ongi b. Mis on "piisav"? hindamine jäetud teabevaldaja kohustuseks, kes saab otsustada kas pakutav teenus on piisavalt turvaline tema valduses oleva avaliku teabe töötlemiseks. Tolle punkti sõnastust muudeti Kultuuriministeeriumi märkuse nr 4 tõttu järgnevaks: „6.1.1. pilvteenus ei sisalda teadaolevaid turvanõrkusi või nende kõrvaldamiseks on piisavalt rakendatud turvameetmeid:“. Punkt 6.1.2. "Pilveteenuse toimepidevuses ei esine Vt punkti 6.1.1 selgitust järjepidevaid puudusi…." a. Kuidas defineerida "järjepidevaid" - kas see on 2 korda aastas? b. Mida mõistetakse "puuduse" all - vastuolu käesoleva määrusega? Teenuse katkestus nt tehnilise rikke tõttu? Või turvanõrkuste tuvastamist? Või…. jne? Lisaks vormistuslik märkus: Antud seletus Seda lisa nimetatakse kontrollküsimustikuks, aga see ei ole vormi poolest küsimustik. Küsimustik peaks olema küsimuste Kontrollküsimustik on väljatöötatud viisil, kus on toodud välja vormis, millele saab vastata JAH/EI. olulisemad teemad, mida peaks teabeomanik hindama, kui soovib 19 nr Märkus Märkustega arvestamine pilvteenuse kasutusel võtmist avaliku teabe töötlemise mõnes etapis. Tegemist on soovitusliku küsimuste loeteluga, mitte nö kohustusliku check list'iga. Punkt 5 "Hinnata tuleb nii pilveteenust kui ka selle test- ja Arvestatud osaliselt arenduskeskkonda." Punkti mõte on juhtida teabeomaniku tähelepanu asjaolule, et Sellisel kujul on see sisutühi ja ebavajalik punkt. Nende pilvteenusele võib olla ka eraldi pilvteenusega seotud test- ja keskkondade olemasolu ja nõuete täitmise kontroll vastavates arenduskeskkonnad. Kui sellised keskkonnad on olemas ja ka neisse keskkondades on nn baaskontroll, mille rakendamist auditite ajal võidakse viia teabeomaniku antud avalikku teavet, siis tuleb ka nende kontrollitakse. See on lihtsalt üks osa auditist. Kui see sõnastus keskkondadega seotud riske arvestada. oleks "Punktis 1.5 mainitu puudumisel tuleb hinnata pilveteenuse toodangu, test- ja arenduskeskkonda", siis oleks see Teadmata, kas kõikide pilvteenuste puhul on olemas taolised loogilisem. keskkonnad, siis muudeti punkti sõnastust järgnevalt: „5. Hinnata tuleb nii pilvteenust kui ka selle test- ja arenduskeskkonda, selle olemasolu korral.“. Punkt 6 "Hindamistulemuse (punktide 4-7 kohta) võib Arvestatud osaliselt ja antud seletus vormistada eraldi dokumendina või mõne muu dokumentatsiooni osana.“ Kontrollküsimustikus ei ole loobutud dokumenteerimise nõudest vaid öeldakse, et dokumenteerimise võib teha muust õigusaktist tuleneva Ettepanek kustutada. Ebaselge miks on vaja kirja panna dokumenteerimiskohustuse raames. Selguse huvides lisati sama punkti soovituslike asju (võib vormistada). Punktide 1-3 esimene lause, mis peegeldab eelnõu § 2 lõike 6 (endine lõige 5) sisu. hindamistulemuste (andmete konfidentsiaalsuse, käideldavuse ja tervikluse hindamist) vormistamist siin ei nõuta ja seda siin isegi Kommenteeritud punkti sõnastus on: kirjalikult ei soovitata. Samas eelnõu ise nõuab „6. Teabeomanik dokumenteerib hindamistulemused. dokumenteerimist. Hindamistulemuse võib vormistada eraldi dokumendina või mõne muu dokumentatsiooni osana.“. Eelnõu ja eelnõu lisa (Meetmed) tuleb vastavusse viia. Antud seletus Andmete omanikul on eelnõu §-ga 6 pandud kohustus dokumenteerida tervikuna § 2 lõige 1 kirjeldatud hindamine, aga 20 nr Märkus Märkustega arvestamine mitte eelnõu lisa II osas (meetmed). Viimases on ainult soovitus Lisa II osa punkt 6 ei ole vastuolus eelnõuga – vt siin ka eelmist ITL-i dokumenteerida pilveteenuse osutaja hindamistulemused, mitte kommentaari ja sellele antud vastust. Viidatud punkt ei näe ette avaliku teabe olemust ning riske avaliku teabe tervikluse, dokumenteerimisest loobumise võimalust vaid täpsustab, et kas käideldavuse ja konfidentsiaalsuse kahjustamise korral. Hetkel hindamine tehakse eraldi dokumendina või muus dokumendis, mis on jääb seega arusaamatuks, kumb siis on - soovituslik või koostatud samal eesmärgil, kuid mõne muu õigusakti alusel. Oluline on, kohustuslik. et teabe omanik teaks kus ja kuidas on määrusekohane hindamine kättesaadav. Hindamise tulemuse peab olema piisav, et teabeomanik Samuti on ebaselge, kui dokumenteerimine on kohustuslik, siis oleks teenuseosutajaga lepingusse asudes veendunud avaliku teabe kui detailselt ikkagi dokumenteerima peab (millele vastavust töötlemise nõuetele vastavuses ja teenuse turvalisuses ning suutma järelevalve rolli täitja, RIA või kes iganes vajadusel kontrollib). põhjendada ka oma otsust olukorras kus seda vaja läheb. Eelnõu ja juhised, sh lisa, peavad olema piisavalt selged ja Antud seletus arusaadavad, mitte kehtestama lihtsalt näitliku loetelu mingitest soovituslikest/hüpoteetilistest asjadest. Sellisel viisil, Ühtsete põhimõtete kehtestamine avaliku teabe töötlemisel aitab kaasa nagu täna esitatud, ei aita see kuidagi avaliku teabe turvalisele avaliku teabe turvalisuse kaitsele. käitlemisele kaasa. Seletuskirja täiendatud joonisega (vt lisa 1). Kui on soov kehtestada mõistlik regulatsioon, mis soodustab pilveteenuste kasutamist ja loob efektiivsust, siis tuleb alustada miinimumnõuete kirjeldamisest - luua hindamise protsessikirjeldus koos jooniste, dokumendivormide, näidiskaasustega jms. Organisatsioonil, kes seda eelnõud täitma peab hakkama, peab olema üheselt selge ja arusaadav juhis (nn tööriistakast) ees, mida ta tegema peab ja paigas/määratud „tugi“, kes abi ja nõu pakub. Hetkel välja pakutu kohaselt peaks igaüks omaette ja oma tarkusest otsuseid tegema ja seda valdkonnas, mis ei ole nende põhitegevus. Riigi Infosüsteemi Amet 17.07.2023 nr 1.1-20/23981 21 nr Märkus Märkustega arvestamine 1. Eelnõu § 1 sätestab määruse kohaldamisala. Lõikest 1 tuleneb, Antud seletus et määruse subjektid on küberturvalisuse seaduse (KüTS) § 3 lõikes 4 nimetatud asutused või isikud. Täiendavat analüüsi Eelnõu koostamisel on ennekõike lähtutud määruse subjektide ringi vajab aga küsimus, kas viidatud subjektide ring on piisav või määratlemisel KüTS § 3 lõikes 4 olevatest isikutest ja asutusest. Siin vt vajab täiendamist, nt avalikke ülesandeid täitvate eraõiguslike ka Riigikohtu esitatud märkuse nr 1 suhtes antud vastust. juriidiliste isikute näol, et katta kogu avaliku teabe töötlemine. Eelnõu § 1 lõige 2 käsitleb küll avaliku ülesande delegeerimist, kuid sätestatud nõude täitmine võib ülesande delegeerinud asutustele või isikutele praktikas probleemseks osutuda. Seda ka seetõttu, et teabe osas, mis hõlmab avalike ülesannete täitmist, on eraõiguslik isik eraldiseisev teabevaldaja ning talle laienevad AvTS-is sätestatud teabevaldaja kohustused, sh AvTS § 43 tulenev. 2. Täiendavat selgust vajab eelnõu § 2 kohase riskide hindamise Antud seletus praktiline pool, arvestades vajalikku kompetentsi, takistusi info saamisel ning seejärel positiivse või negatiivse otsuseni Riskide hindamise praktiliseks abivahendina saab käsitleda eelnõu lisa, jõudmine. Viimast võiks lihtsustada eelnõu § 2 lõikes 6 mis on näitlik küsimustik ning mis aitab teabeomanikku riskide nimetatud asjaoludega võrreldes konkreetsemad kriteeriumid, hindamisel. Kui teabeomanikul on juba juurutatud pilvteenuse mille järgi oleks pilveteenuse kasutuselevõttu kaaluval pakkujatega seotud riskide hindamise metoodika või kord, mis teabeomanikul selge, kas teenuse kasutamisest tuleb hoiduda või omakorda arvestab eelnõue § 2 lõikes 1 olevate hinnatavate asjaoludega, mitte. siis on ka võimalik seda kasutada. Arvestades asjaolu, et praktikas on erinevad olukorrad, millal pilvteenuseid võidakse kasutada, siis ei ole alati võimalik iga kasutusjuhtumi täpsusega määruse tasandil määratleda need olukorrad, mil tuleb pilvteenuse kasutamisest hoiduda või mitte. Sellest asjaolust lähtuvalt ongi lähtutud eelnõu § 2 lõike 7 (endine lõige 6) sisustamisel. 3. Samuti tuleks täpsustada RIA või asjakohase julgeolekuasutuse Antud seletus ülesandeid eelnõu § 3 lg 4-5 ja § 5 lg 4 kohaselt edastatud teavituste ning nende sisu haldamisel. Hetkel on seletuskirjas 22 nr Märkus Märkustega arvestamine viidatud üksnes tekkivale ülevaatele ning võimalusele teha Eelnõu volitusnorme arvestades ei ole võimalik ega vajalik määrusega ennetus- ja teavitustööd, kuid oluline on selge visioon määruse anda RIA-le või asjakohasele julgeolekuasutusele uusi ülesandeid. Kui jõustumisel kaasnevatest rollidest, tegevustest ja ülesannetest. neid asjaolusid eelnõus täpsustada, siis see ületaks määruse volitusnorme. Samuti peavad nendele asutustele tulevad ülesanded tulema ennekõike seadusest ning konkreetsel juhul ongi vastavad ülesanded olemas KüTS-is, konkreetsemalt selle seaduse 4. peatükist. Samuti on RIA-l KüTS § 12 lõike 3 alusel pädevus isikutele küberintsidendi ennetamiseks ja lahendamiseks ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid. RIA’l kui kübeturvalisuse järelevalve asutusel on juba oma ülesandest tuleneva kohustus aidata kaasa küberturvalisuse suurendamisele ja ohtude ennetamiseks. Tehes selleks koostööd erinevate asutusega ning avaldades selle kohast teavet, sealhulgas teavet võimalik ohtude kohta. Justiitsministeerium 18.07.2023 nr 8-2/4547 1. Õigusloome üheks põhimõtteks on, et uusi õigusakte luuakse Antud seletus juhul, kui olemasolevad ei võimalda tõusetunud probleemi lahendada. Esitatud eelnõu puhul ei selgu, millist seni Eelnõu koostamisel on lähtud eesmärgist, et ühtlustada avaliku teabe lahenduseta olnud probleemi saab eelnõu abil lahendada. töötlemisel kasutavaid nõudeid pilvteenuse kasutusele võtmisel. Küberturvalisuse seaduse (KüTS) § 7 kohustab teenuse osutajad rakendama alaliselt turvameetmeid küberintsidentide ennetamiseks, lahendamiseks ning sellega seotud mõjude hindamiseks. Eelnõu seletuskirjast ei selgu, mis takistab olemasolevas õiguslikus raamistikus pilveteenuse kasutamisega seotud mõjude ja riskide hindamist, teenuse kasutuselevõtmist ja vajalike turvameetmete rakendamist. Palume täiendada seletuskirja põhjendusega eelnõu vajalikkuse ehk eraldi määrusega lahendatava probleemi kohta. 23 nr Märkus Märkustega arvestamine 2. Eelnõu kohaselt antakse määrus AvTS § 43 lõike 3 ja KüTS Antud seletus § 7 lõike 5 punkti 3 alusel. Puudub põhjendus selle kohta, miks ei toetuta määruse andmisel KüTS § 7 lõike 5 punktile 2, mille KüTS § 7 lõige 5 punkt 2 ei ole piisav volitusnorm määruse andmiseks. alusel kehtestatakse määrusega turvameetmete üldnõuded See punkt on mõeldud nende asjaolude reguleerimiseks, mis kehtivad süsteemide küberturvalisuse tagamiseks. KüTS § 5 lõike 5 punkt kõikidele KüTS-i tähenduses teenuse osutajatele ehk isikutele ja 3 on erialuseks erinõuetele. Palume seletuskirjas põhjendada, asutustele, kes on loetletud KüTS § 3 lõikes 1 ja 4. KüTS § 7 lõike 5 miks on otsustatud kehtestada määrus vaid KüTS § 7 lõike 5 punkt 3 võimaldab kehtestada määruse, milles täpsustatakse võrgu- ja punkti 3 alusel. infosüsteemide turvameetmete erinõuded ja kohaldamise ulatus. Erinõuete all ongi siin mõeldud määruse põhiolemusega seotud nõudeid (mida peab arvestama ja järgima, kui avalikku teavet soovitakse viia erasektori pakutavasse pilve). Ulatuse all mõeldaksegi, et millistele subjektidele need nõuded kohalduvad. Sarnase olemusega volitusnormid on ka elektroonilise side seaduse § 873 lõigetes 5 ja 7. Nende lõigete alusel antud määruses on täpsustatud, millised sideettevõtjad peavad järgima riigi julgeoleku tagamisega seotud kohustusi täitma. 3. Eelnõuga luuakse normid KüTS § 3 lõikes 4 toodud Antud seletus asutustele või isikutele. Seletuskirjas selgitatakse, et eelnõu eesmärk on luua ühtsed põhimõtted. Samuti rõhutatakse, et Jääb selgusetuks, milliseid teisi „asutusi“ siin on mõeldud. Kui siin on tehnoloogia areng ja sellega loodud lisavõimalused kannustavad mõeldud KüTS § 3 lõikes 1 nimetatud isikuid, siis siin vt Riigikohtu avalikke ülesandeid täitvaid asutusi järjest enam võtma esitatud märkuse nr 1 suhtes antud vastust. kasutusele eri pilvetehnoloogiaid mitmesuguste andmete töötlemiseks ja säilitamiseks, võimaldades optimeerida kulusid. Lisaks tuuakse seletuskirjas välja, et lahenduste laialdane kasutuselevõtmine parandab avalike teenuste ja avaliku teabe kättesaadavust. Samas normid on eelnõuga kavandatud vaid KüTS § 3 lõikes 4 toodud asutustele või isikutele (andmekogu vastutavad töötlejad ja volitatud töötlejad, Arenguseire Keskus, Eesti Pank, kohtuasutused ja teised) ning seletuskirjast ei selgu, miks kavandatud hindamine pilveteenuste raames ei ole 24 nr Märkus Märkustega arvestamine asjakohane muudel juhtudel. Kui teisi asutusi puudutav pilveteenuse kasutusele võtmise küsimus on reguleeritud muudes rakendusaktides, palume sellele seletuskirja sissejuhatuses viidata. 4. Eelnõu §-s 1 sätestatud määruse kohaldamisala selge Antud seletus piiritlemine on kindlasti hea praktika, mis aitab õigusselgusele kaasa. Samas tuleks kohaldamisala siiski mõlema asjakohase Arhiivides olev teave on ka avalik teave AvTS-i tähenduses, mistõttu seaduse (AvTS ja KüTS) valguses sisuliselt üle vaadata ja laieneb määrus ka olukorrale, kui sedasorti teabe töötlemisel soovitakse koosmõjus seadustega ka seletuskirjas selgitada. Näiteks näeb kasutada pilvteenust. Sama on ka taaskasutatava teabe korral. AvTS § 2 lõige 2 ette, et seadust ei kohaldata salastatud teabe korral kuni salastatuse kustutamiseni (ehk seejärel kohalduks (AvTS § 2 lg 2 p 1)). Samuti jääb eelnõu kohaldamisala selgusetuks seoses arhiivinduse ja teabe taaskasutusega (AvTS § lg 2 p 2). Palume seletuskirjas selgitada eelnõu kohaldumist asjakohastes seadustes sätestatud erijuhtumite ja erandite suhtes. 5. Eelnõus on kasutatud ühisnimetajat „teabeomanik“. See Jäetud arvestamata loob juurde ebaselgust pädevustes ja vastutuses (st kes on pädev hindama ja otsustama pilveteenuse kasutusevõttu ja kohustatud Eelnõu ja seletuskiri ei ole vasturääkivad ning arvestades määruse rakendama selleks vajalikke nõudeid). Mõiste „teabeomanik“ ei volitusnorme, ei olnud võimalik kasutada AvTS-is olevat terminit sobi näiteks kasutamiseks isikuandmete kontekstis, tuues kaasa „teabevaldaja“. Kui kasutada sõna „teave“, siis ei ole arusaadav, mis asjatu selgitamiskoormuse (AvTS kasutab mõistet teabega on tegemist ning see tekitab ka vastuolu AvTS-is oleva „teabevaldaja“). Seletuskirjas on toodud, et eelnõu eesmärk on volitusnormiga (AvTS § 43 lõige 3), mille põhisisu on asutusesisese reguleerida nõudeid vaid KüTS § 4 lõikes 3 toodud asutuste ja teabe (mis on avaliku teabe üks ala-liikidest) kaitsega seotud meetmete isikute suhtes ja nende puhul teabevaldaja mõiste kasutus AvTS- määratlemine määrusega. Kuigi eelnõu ja seletuskiri ei ole i mõistes ei sobi. Eelnõu § 1 lõikes 1 sätestatakse, et määrust vasturääkivad, siis kommentaaris mainitud asjaolude tõele vastavuse kohaldatakse, kui küberturvalisuse seaduse § 3 lõikes 4 korral tekiks olukord, kus lühendi „teabetöötleja“ kasutamine määruses nimetatud asutus või isik (edaspidi teabeomanik) kasutab oleks kommentaaris toodud põhjustel sobimatu, kuna see tekitab avaliku teabe seaduse § 3 lõikes 1 sätestatud avalikku teabe segadust, kes „töötleb“ „teavet“ ning mil määral on see seotud (edaspidi avalik teave) töötlemiseks pilvandmetöötlusteenust isikuandmete kaitse valdkonnas kasutatava mõistega „isikuandmete (edaspidi pilveteenus). Seletuskirjas selgitatakse eelnõu § 1 töötleja“. Seetõttu ei muudeta määruses kasutatavat lühendit. 25 nr Märkus Märkustega arvestamine juures, et määrust kohaldatakse avaliku teabe töötlemisele avaliku teabe seaduse tähenduses (seletuskirja lk 4). Samas Seletuskirja punktis 3 selgitatud eelnõu terminoloogiat ja lühendeid. sedastab seletuskiri, et kohustatud asutuste ja isikute ringi puhul ei saanud lähtuda teabevaldaja AvTS-i mõistest, sest kõigi puhul see relevantne ei ole (vt seletuskirja lk 5).2 Seega on eelnõu sätted ja seletuskirja selgitused vasturääkivad. Palume eelnõu sõnastust ja seletuskirja põhjendusi muuta, kui eesmärgiks on hõlmata nii AvTS-i kui ka KüTS-i tegevused. Eksitavat mõistet „teabeomanik“ tuleks võimalusel vältida. Näiteks saaks kasutada sõnu „teave“ ja „teabetöötleja“, mis hõlmaks AvTS-i või teabe ja selle töötluse eriseaduste alusel. 6. Teabeomanikuks on eelnõu § 1 lõike 1 kohaselt KüTS § 3 lõikes Antud seletus 4 nimetatud kõik teenuse osutajad (see tähendab andmekogu vastutav töötleja, andmekogu volitatud töötleja, kohtuasutus, Märkuses kirjeldatud olukordades viib hindamise läbi teabeomanik. Kui valitsusasutus, valitsusasutuse hallatav asutus ja teised). Palume IKT-teenused on konsolideeritud, siis siin abistab teabeomanikku otsustuspädevuse selgitamiseks täiendada seletuskirja praktiliste konsolideeritud teenuse pakkuja. näidetega, kes ja mis alusel on pädev otsustama, kui soovitakse pilveteenust kasutusele võtta näiteks andmekogude tarbeks, arvutitöökoha teenuse puhul või hoopis mõnda erasektori poolt pakutavat mobiilset rakendust kasutusele võttes (WhatsApp, Signal vms). 7. Eelnõu § 2 lõike 6 kohaselt pilveteenuse kasutusele võtmisest Arvestatud hoidutakse, kui teenuse hindamise tulemusel selgub, et esineb vähemalt üks järgmine asjaolu: [---]. Kuna väljatoodud eeldused Seletuskirja on täiendatud. ei ole absoluutsed, on sätet sõnastades tõenäoliselt mõeldud Eelnõu koostamise käigus andsid osapooled sisendi, et määrus peab kaalutlusotsust lähtuvalt riskihinnangutest. Eelnõu § 2 lõikes 1 sisaldama sätteid, mis on toodud § 2 lõike 7 (endine lõige 6) ehk on sätestatud hindamiskohustus ja ulatus, mis peab olema asjaolud, millal hoiduda pilvteenuse kasutamisest avaliku teabe täidetud selleks, et kaaluda pilveteenuse kasutuselevõtuga töötlemisel. Tolles lõikes toodud asjaolud ehk keelud tulenevad muudest kaasnevaid riske. Seega on pilveteenuse kasutuselevõtu puhul õigusaktidest ehk siin ei tekitata määruse tasandil olevaid (uusi) tegemist igal juhul kaalutlusotsusega. Samuti on kehtivates keeldusid. 26 nr Märkus Märkustega arvestamine seadustes (AvTS, KüTS) ja otsekohalduvas määruses (IKÜM) reguleeritud kohustused ja töötleja vastutus. Keelunormid ei saa tuleneda määrusest eraldi ühele teenusele. Seda enam on küsitav, kas eelnõuga kavandatud § 2 lõige 6 on vajalik ja õiguspärane. Palume kaaluda eelnõu § 2 lõike 6 asjakohasust ning põhjendada seletuskirjas selle vajalikkust. Kui eelnõu § 2 lõige 6 on tingimata vajalik, siis palume sõnastada säte selliselt, et oleks üheselt selge, et ka pilveteenuse kasutusele võtmisest hoidumise puhul on tegemist kaalutlusõigusega, mitte keeluga. 8. Eelnõu § 3 lõike 4 kohaselt teavitab pilveteenuse kasutamise Jäetud arvestamata alustamisest teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit. Toetame ettepanekut Eelnõu kohaselt teeb teabeomanik enne kasutusele võtmise eelnõu koondada RIA-le tervikpilt asutustes kasutatavatest kohase hindamise. Selle käigus on tal ka võimalik küsida RIA või mõne pilveteenustest ja vastavat teavet asutustega jagada. See teise asjaomase asutuse arvamus pakutava pilvteenuse osas. Eelnõu vähendab dubleerimist, kus mitu asutust korraga analüüsivad lähtub eeldusest, et kui pilvteenus on välja valitud ja otsustatakse selle ühte ja sama pilveteenust. Palume sätte sõnastust täpsustada, et kasutamine, siis toimub eelnõu § 3 lõike 4 kohane teavitamine. oleks kõigile osapooltele selge, et vastav teavitus tehakse enne teenuse kasutuselevõtu otsust hetkel, mil puuduvad veel siduvad RIA lisanduvate ülesannete osas vt RIA esitatud märkuse nr 3 suhtes kohustused. antud vastust. RIA-l võib olla ka täiendavat teavet pilveteenusega seotud riskide kohta. Sellega seoses palume täiendada eelnõu RIA kohustusega jagada teabeomanikuga RIA-le teadaolevat teavet vastava pilvetöötlusega seotud riskide kohta enne pilveteenuse kasutusevõtu otsuse edastamist. 9. Eelnõu §-s 3 on toodud nõuded, mis peavad olema täidetud Jäetud arvestamata pilveteenuse kasutamise alustamisel. Eelnõu § 2 lõikes 1 on toodud pilveteenuse kasutusele võtmise eeldused. Eelnõu § 3 Kommentaaris mainitud § 3 lõike 1 punkti 6 sisu hinnatakse § 2 lõike 1 lõike 1 punkt 6 peaks asuma eelduste juures ehk eelnõu § 2 lõike punktis 2 – selle käigus peab ka hindama, kas pilvteenuse kasutamise 1 all. See aitab vältida olukorda, kus asutus teeb ära hindamise lõppemisel pilvteenuse pakkuja kustutab andmed ära või mitte ehk kas ja võtab vastu otsuse pilveteenuse kasutamiseks, kuid seejärel on tagatud andmete konfidentsiaalsus. 27 nr Märkus Märkustega arvestamine selgub, et eelnõuga kavandatud § 3 lõike 1 punkti 6 täitmine ei ole võimalik (nt pilveteenuse pakkuja ei kustuta andmeid). Juhul, kui pilvteenuse pakkuja on eksitanud teabeomanikku lepingu sõlmimisel ning tegelik teenus ei vasta kokkulepitud teenusele, tuleb sellise teenuse kasutamine viivitamatult lõpetada, et vähendada kahju, mis on tekkinud avaliku teabe töötlemisel. Samuti on teabeomanikul kohust rakendada kõiki meetmeid, et tagada lepinguparteri poolt lepingu täitmine juba üle antud avaliku teabe osas ning nõuda juba tema kasutusse antud avalik teave kustutamist. 10. Eelnõu § 5 lõike 1 kohaselt peab pilveteenuse kasutamise Arvestatud lõppemise korral olema tagatud, et pilvepakkuja töödeldud avalik teave kustutataks viisil, mis välistab selle taastamise või Eelnõu § 5 lõige 2 sõnatatud viisil, et oleks eritatav avaliku teabe edasise töötlemise muude isikute kui teabeomaniku, sealhulgas kasutamise lõppemine ja pilvteenuse kasutamise lõppemine (nt lepingu pilvepakkuja enda või tema volitatud esindaja, importija või lõppemine) levitaja poolt. Toodud sõnastusest tuleneb, et andmed tuleks „(2) Kui pilvteenuse kasutamisega ei lõppe samaaegselt avaliku teabe kustutada nii, et teatud isikutele siiski tagatakse juurdepääs. töötlemine pilvteenuse pakkuja poolt, ei või avaliku teabe töötlemine Samas juurdepääsu ei saa olla millelegi, mis kustutati. Kui sätte kesta pikemalt kui 90 päeva pilveteenuse kasutamise lõppemisest eesmärgiks on luua olukord, kus teenuse tarbimise lõpetamisel arvates.". tuleks vastavalt kokkuleppele andmed kas üle anda, kustutada vms, siis on võimalik vastavad tegevused sättes ka üles loetleda. Kui kavandatud sätte mõte oli kohustada mingil viisil andmete kustutamiseks, siis tuleks ka see selgelt välja kirjutada. Palume eelnõu § 5 lõike 1 sõnastust lähtuvalt selle sätte eesmärgist parandada. 11. Eelnõu § 5 lõike 2 kohaselt täidetakse lõikes 1 ette nähtud Arvestatud osaliselt kohustus viivitamata, kuid 90 päeva jooksul pilveteenuse kasutamise lõppemisest arvates. Praktikas ilmselt lepitakse Määruse sõnastust muudetud viisil, et selgemalt välja tuua pilvteenuse vastav tingimus lepingus kokku või lähtutakse tüüptingimustest kasutamise lõppemine ja lepingu lõppemine. ja tegemist ei ole iseseisva alusega andmetöötluseks. Teatud teenuste puhul (nt suurkorporatsioonid) võib eelnõuga 28 nr Märkus Märkustega arvestamine kavandatud nõude täitmine olla kaheldav või teostamatu. Eelnõu Ei saa nõustuda lõpliku tähtaja välja jätmisega avaliku teabe seletuskirjas selgitatakse, et saab lähtuda ka teenuse pakkuja kustutamiseks, kui puudub konkreetne maksimaalne ajaraam, siis see tüüptingimustest (seletuskirja lk 13), mis ei pruugi olla aga suurendab ebaselgust, mis ajahetkeks peab pilvteenuse pakkuja täpselt 90 päeva. Seega tuleks eelnõu § 5 lõike 2 tähtaja puhul töödeldud avalik teabe kustutatama. pigem hinnata tüüptingimuste sobivust või kokkuleppe korral see alati eraldi kokku leppida. See, milline on seejuures mõistlik aeg, võib sõltuda konkreetse kokkuleppe asjaoludest. Palume kaaluda eelnõu § 5 lõikest 2 piiranguna 90 päeva välja jätmist. 12 Eelnõus kasutatakse mõistet „pilveteenus“. Samas Eesti Arvestatud infoturbestandard (E-ITS) kasutab mõistet „pilvteenus“. Palume vastavate mõistete kasutamine ühtlustada. Võetud kasutusele lühend pilvteenus. Vt ka seletuskirja punktis 3 antud selgitust. 13. Eelnõu § 2 lõike 6 punkti 4 kohaselt hoidutakse pilveteenuse Arvestatud kasutusele võtmisest, kui teenuse hindamise tulemusel selgub, et esineb muu põhjus, mille aset leidmisel võib tekkida oht [---] Paragrahvi 2 lõike 7 punkt 5 muudetud (endine lõike 6 punkt 4). isikute eraelu puutumatusele [---]. Teeme ettepaneku vastavas sättes sõnastada „isikud“ ainsuses. Rahandusministeerium 20.07.2023 nr 1.1-11/4548-2 1. Palume lisada eelnõu § 1 lõike 3 loetelusse Maksu- ja Tolliameti Arvestatud osaliselt maksusaladust ja kriminaalmenetlust puudutava teabe, kuivõrd maksukorralduse seadus § 26 välistab Maksu- ja Tolliameti Eelnõu § 2 lõiget 7 (endine lõige 6) täiendatud sättega, et pilvteenuse andmete töötluse pilveteenustes. kasutamisest tuleb hoiduda, kui vastav piirang tuleneb seadusest või muuda õigusaktist. 29 nr Märkus Märkustega arvestamine 2. Eelnõu § 2, määruse lisa punkti 4 ja II osas teeme ettepaneku, et Antud seletus Riigi Infosüsteemi Amet hindaks keskselt enamkasutatavate pilveteenuse pakkujate usaldusväärsust ja annaks soovitusi. Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. 3. Teeme ettepaneku kehtestada § 2 lõike 3 osas erand peamise Jäetud arvestamata pakkuja sertifitseerituse osas. Kui pilveteenuse pakkuja on sertifitseeritud ISO27001 raames, siis läbi sertifikaadi on Määruse § 2 lõikes 2 on määratletud, et hindamise teostamisel võib tõendatud, et tal on olemas protsessid enda teenusepakkujate arvestada mh ka rahvusvaheliselt ja Eestis tunnustatud sertifikaati. usaldusväärsuse tagamiseks. 4. Palume hinnata, kas eelnõu § 3 lõike1 punktis 5 oleks otstarbekas Antud seletus viia läbi sertifitseerimiste vastutus teenuseosutaja juurde. Tarneahela ja alltöövõtjate turvalisus tagatakse läbi peamise Määrus reguleerib ka olukorda, kus teabeomanik kasutab pilvteenuse teenuseosutaja sertifitseerituse. pakkujat, kes ei ole ennast mingil põhjusel sertifitseerinud. Kui jätta kommentaaris mainitud punkt välja või viia sellega seotud vastutus pilvteenuse pakkuja juurde, siis ei ole õiguskindlust, et sellele aspektile tähelepanu pööratakse. 5. Teeme ettepaneku pikendada § 6 lõikes 1 toodud tähtaega ja Arvestatud osaliselt määrata selleks 1. juuli 2024. a. Arvestades ilma sertifikaatideta teenuseid ja nende pakkujate ning alltöövõtjate hindamisega Esmakordse teavitamise tähtaega muudetud ja uueks tähtajaks on seotud tegevusi, siis peame eelnõus toodud tähtaega 01.02.2024. Oleme seejuures arvestanud Vabariigi Valitsuse 09.12.2022 ebarealistlikuks. Mõistame, et on antud võimalus reegli mitte määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § täitmisest teavitada ja seda põhjendada, kuid ebamõistlik on 5 lõikest 1 tuleneva kohustusega kaardistada süsteemid ja nendega teavitamistega koormamine, kui juba praegu teame, et paljud seotud teenused või protsessid ning dokumenteerid süsteemile asutused ei jõua aasta lõpus teenuseid määruse nõuetega rakendatavad turvameetmed ja riskianalüüs. kooskõlla viia. Kaitseministeerium 24.07.2023 nr 5-6/23/2357 30 nr Märkus Märkustega arvestamine 1. Teeme ettepaneku vältida eelnõu § 1 lõikes 1 viiteid teistele Arvestatud osaliselt seadustele, eriti küberturvalisuse seaduse (KüTS) § 3 lõikele 4. Määruse kohaldamisala ulatus peab olema hoomatav ilma teiste Vabariigi Valitsuse 22.12.2011 määruse nr 180 „Hea õigusloome ja õigusaktide abita. Samuti palume seletuskirja lk 5 selgitada normitehnika eeskiri“ (edaspidi HÕNTE) § 8 lõike 3 kohaselt lähemalt, millist valitsusasutuste loodavat ja töödeldavat teavet nimetatakse kohaldamisala sättes nimetatakse isikud, esemed ja käsitletakse avaliku teabena ja millist mitte. Ka see võimaldab asjaolud, kelle või mille suhtes kavandatavat regulatsiooni kohaldatakse rakendajatel määruse kohaldamisala paremini mõista. Palume või ei kohaldata. täpsemalt selgitada, miks on eelnõus piirdutud avaliku teabe (sh Peame vajalikuks viidete kasutamist, et selgelt piiritleda isikute ring, kes juurdepääsupiiranguga asutusesiseseks kasutamiseks teabe) pilvteenuse kasutusele võtmise soovi korral peavad järgima määruses töötlemisega ning miks ei soovita määrust kohaldata KüTS § 3 sätestatud põhimõtteid. lõikes 1 loetletud teenuse osutajatele, kes ei töötle avalikku teavet, kuid kelle kasutatavad võrgu- ja infosüsteemid ning Siin vt ka Riigikohtu esitatud märkuse nr 1 suhtes antud vastust. nendes töödeldav teave vajavad riigi julgeoleku seisukohalt samuti igakülgset kaitset. 2. Palume kaaluda võimalust asendada sõna „teabeomanik“ mõne Jäetud arvestamata selle sisu paremini edasi andva sõnaga nt „teabe töötleja“. Seletuskirjas on püütud selgitada, miks välistati sõna Vt Justiitsministeeriumi esitatud märkuse nr 5 suhtes antud vastust. „teabevaldaja“ kasutamine. Kui selle kasutamist ei peeta võimalikuks, siis palume kaaluda eeltoodud alternatiivi. 3. Teeme ettepaneku sõnastada eelnõu § 1 lõike 3 punkt 2 Arvestatud järgmiselt: „2) riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele;“. Sellega viiakse erandi sõnastus kooskõlla samasisulise KüTS § 1 lõike 2 punktiga 1. 4. Eelnõu § 2 lõige 1 punkt 4 ja § 3 lõige 2 sisaldavad viidet toote Arvestatud ohutuse seaduse seadusele. Juhime tähelepanu, et toote ohutuse seadus on alates 01.05.2004 kehtetu, palume asendada toote ohutuse seadus „toote nõuetele vastavuse seaduse tähenduses“ (kui just ei ole väljatöötamisel uus toote ohutuse seadus) ja 31 nr Märkus Märkustega arvestamine samuti palume seletuskirjas eelnõu § 2 selgitavas osas täpsustavat viidet sama seaduse § 3 lõike 4 punktile 1. 5. Eelnõu § 2 lõike 2 osas teeme ettepaneku täpsustada sõnastust, Arvestatud lisades auditi ja sertifikaadiga seoses konkreetsema ajalise piirangu, lisades sõnastusse „kehtiva“. 6. Eelnõu § 3 lõike 1 punkti 3 puhul tuleks lisaks Jäetud arvestamata küberintsidentidest teavitamise tingimustele kindlaks määrata ka muudest teabe töötlemisega seotud intsidentides teavitamise Eelnõus olev loetelu on vähim teave, mis peab pilvteenuse kasutusele tingimused. Seda põhjusel, et KüTS § 2 punkt 3 kohaselt on võtmise kokkuleppes/lepingus olema nähtav. Eelnõu ei sea küberintsident süsteemis toimuv sündmus, mis ohustab või teabeomanikule piire ette näha ka muid tingimusi, arvestades töödeldava kahjustab süsteemi turvalisust, kuid süsteemis oleva teabega avaliku teabe sisu, ulatust vms. toimunud intsidentidest teavitamine on oluline teabe kaitse vaatest ning sellisel juhul tuleks samuti teavitada teabe avaldajat. 7. Teeme ettepaneku asendada eelnõu § 3 lõikes 4, § 5 lõikes 4 ja § Arvestatud 6 lõikes 3 sõnad „asjakohast julgeolekuasutust“ sõnadega „küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajat“. Sarnast sõnastust on kasutatud Vabariigi Valitsuse 09.12.2022 määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 3 lõikes 3. 8. Teeme ettepaneku täiendada eelnõu § 3 lõiget 5 punktiga 5 Jäetud arvestamata järgmises sõnastuses: „kas on teostatud hindamine käesoleva määruse § 2 lõike 1 alusel“. See võimaldab teavitamisel Riigi Teavituse eeldus on hindamise teostamine, seega määruse kohase Infosüsteemi Ametil või asjakohase julgeolekuasutusel hinnata, teavituse tegemisega kaude antakse ka teada, et hindamine on teostatud kas pilveteenuse kasutuselevõtmise eeldused täitmisega on ja selle tulemiks on pilvteenuse kasutusele võtmine. RIA ei hinda arvestatud. ühepoolselt eelduste täitmist vaid teabeomanikul lasub kohustus tõendada et ta on täitnud eeldused pilvteenuse kasutusele võtmiseks ja millise teabe alusel otsuseni jõuti. Pilvteenusest või pilvteenuse 32 nr Märkus Märkustega arvestamine pakkujast lähtuvalt võib otsuseni jõudmiseks kasutatava teabe hulk erineda. 9. Teeme ettepaneku täiendada eelnõu § 5 lõiget 2 nõudega Jäetud arvestamata pilveteenuse pakkuja kohustub kinnitama avaliku teabe kustutamisest pilveteenuse kasutamise lõppemise korral. Pilvteenuse kasutusele võtmisel võib teenuse tarbimise aluseks olla nii tüüpleping kui ka eraldi sõlmitud leping. Majandus- ja Kommunikatsiooniministeeriumi hinnangul on mistahes lepingulises suhtes tulenev kinnitus, et andmete töötlemine lõpetatakse ja andmed kohustatakse lepingu lõppemisel kustutama piisav. Eraldi kinnituse küsimata jätmine ei suurenda võimalust, et andmed jäetakse kustutamata. Pigem on tegemist täiendava tingimusega andmete kustutamiseks, mis suurendab võimalust, et andmete töötlemist jätkatakse kuni osapoolte poolt täiendava allkirja andmiseni. 10. Eelnõu § 1 lõige 3 punkt 3 toob sisse Kaitseministeeriumi Arvestatud osaliselt valitsemisala erandi ja selle põhjused on välja toodud seletuskirja lk 7. Määrust ei kohaldata KüTS-i § 1 lõike 2 Küberturvalisuse seadus põhineb Euroopa Liidu õigusel, millest kohaselt teabele, mis on tunnistatud riigisaladuseks tulenevalt ei ole võimalik kogu Kaitseministeeriumi ja tema riigisaladuse ja salastatud välisteabe seaduse tähenduses, ja valitsemisala asutuste tegevust liigitada Euroopa Liidu õigusega salastatud välisteabe töötlemisele ning Kaitseministeeriumi mittereguleeritud tegevuseks. Piiritlemiselt tuleb lähtuda vahetuste valitsemisalas rahvusvahelise sõjalise koostööga ja riigi sõjalise seosest, mitte kaudsest seosest. Nii näiteks ei hõlma sõjaline kaitse kaitse ettevalmistamisega seotud teabe töötlemisele. Antud personalitööd, poliitika kujundamist, õigusloomet, dokumendihaldust, erandiga nähakse eelnõus ette omakorda erisus, millega mitte riigihankeid, muuseumi tegevuse korraldamist või vabatahtlikku avalikku teabe töötlemine koos muu avaliku teabega, on seega tegevust jne. määruses esitatud põhimõtete järgimine kohustuslik. Kaitseministeerium juba seejuures juba osa määrusega hõlmatud teabest Käesoleval ajal ei ole Kaitseministeeriumi valitsemisalas andnud üle töötlemiseks teistele asutustele (nt Riigi Tugiteenuste võimalik selgelt eristada teenuseid ja teavet, mida ei ole tarvis Keskus, Kaitseressursside Amet) rahvusvaheliseks sõjaliseks koostööks või riigi sõjalise kaitse ettevalmistamiseks. Eeltoodust tulenevalt oleme seisukohal, et Eelnõusse on lisatud erisus, mille kohaselt ei kohaldata määrust määrus ei kohaldu Kaitseministeeriumi valitsemisalale. avalikule teabele, mida töödeldakse koos teabega, mille töötlemiseks 33 nr Märkus Märkustega arvestamine ettenähtud süsteemidele ei kohaldata KüTS-i. Erisuse tegemisel on arvestatud, et selliste süsteemide ja seal oleva teabe töötlemise nõuded on rangemad kui KüTS § 7 lõike 5 alusel kehtestatud määruste nõuded. 11. Teeme ettepaneku täiendada eelnõu lisa "Näitlik Jäetud arvestamata kontrollküsimustik ja meetmete näidis" abistava maatriksiga, mille põhjal tekib ühetaoline arusaam, millisel juhul hindamise Riigi Teatajas avaldatavasse õigusakti ei lisata maatrikseid. Lisa järgselt võib pilvetöötlusteenust kasutada, millisel juhul ei või ja ülesehitusel on arvestatud, et kasutaja saab kõigi lisa I osas olevate millisel juhul kaaluda riskide aktsepteerimist. punktide juures liikudes ülevalt poolt allapoole hinnata, kas vastavas punktis toodu on hinnatud või kas selline hindamine on antud olukorras asjakohane ning põhjendatud juhul võib hindamise tegemata jätta. Siseministeerium 26.07.2023 nr 1-7/152 1.1. Oleme jätkuvalt seisukohal, et määruse eelnõus tuleb ette näha Antud seletus keskselt pilveteenusepakkuja usaldusväärsuse hindamine. Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. Alternatiivina oleme nõus aktsepteerima, kui seda koordineerib Majandus- ja Kommunikatsiooniministeeriumi (edaspidi MKM), Riigi info- ja kommunikatsioonitehnoloogia keskus (edaspidi RIT) või Riigi Infosüsteemi Amet (edaspidi RIA). Leiame, et keskne hindamine hoiaks kokku ressursse ja välistaks info dubleerimise ning tagaks riigiülese ühtse seisukoha. Samuti hoiab ära tarbetut infovahetust ja koostööd olukorras, kus sellist hindamist on võimalk ühtlustada ja koondada. Lisaks juhime tähelepanu, et kõik asutused ei ole piisavalt pädevad iseseisvalt hindama kõiki määruses toodud riske, nt seda, kas asukohariik käitub küberruumis agressiivselt või kas asukohariik või muu välisriik võib kohustada pakkujat tegutsema Eesti julgeolekut ohustaval viisil. Sellist hinnangut saavad anda üksnes julgeolekuasutused, keda on vajalik kaasata hindamise protsessi. 34 nr Märkus Märkustega arvestamine Hindamisel võiks kasutada sarnast protsessi nagu sideteenuse pakkujate hindamisel, mida viib läbi RIA. Leiame, et sellist hindamist on võimalik teha mitme moel, näiteks kas koostada nimekirjad neist teenusepakkujatest, kelle turvalisuse osas on tõsiseid kahtlusi, koostada nimekirjad neist teenusepakkujatest, kes kvalifitseeruksid teatud ajahetke seisuga või koostada mõlemad nimekirjad. Samuti võiks olla teada, umbkaudne ajavahemik, millal nimekirja(de)s olijaid uuesti üle hinnatakse. 1.2. Tulenevalt küberturvalisuse seadusest (edaspidi KüTS) ja Antud seletus julgeolekuasutuste seadusest palume jätta välja lauseosa, mis on seotud julgeolekuasutuse teabeomaniku teavitamiskohustusega. Sarnase loogikaga õigusnorm on juba olemas - vt siin ka Seega teeme ettepanku sõnastada eelnõu § 3 lg 4, § 5 lg 4 ja § 6 Kaitseministeeriumi esitatud märkust nr 7 ja sellele antud vastust. lg 3 järgmiselt: 1.2.1. paragrahvi 3 lg 4: „(4) Pilveteenuse kasutamise alustamisest teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit“ 1.2.2. paragrahvi 5 lg 4: „(4) Pilveteenuse kasutamise lõppemisest ja § 3 lõikes 5 sätestatud asjaolude muutumisest teavitab teabeomanik, välja arvatud julgeolekuasutus, viivitamata Riigi Infosüsteemi Ametit.“ 1.2.3. paragrahvi 6 lg 3: „(3) Kui teabeomanikul ei ole võimalik viia avaliku teabe töötlemist kooskõlla lõikes 2 sätestatud tähtajaks, teavitab ta sellest Riigi Infosüsteemi Ametit hiljemalt 1. detsembril 2023. Teavitus peab sisaldama teabeomaniku tegevus- ja ajakava pilveteenuse kasutamise viimiseks kooskõlla käesoleva määruse nõuetega ja tähtajaks nõuete täitmata jätmisega seotud riskide ülevaadet.“ Eelnõu § 3 lg 4 ja § 5 lg 4 teise lause kohaselt peab julgeolekuasutusest teabeomanik teavitama viivitamata 35 nr Märkus Märkustega arvestamine asjakohast julgeolekuasutust. Eelnõu § 6 lg-s 3 on tähtaeg, mis ajaks tuleb teavitada kui teabeomanikul ei ole võimalik viia avaliku teabe töötlemist kooskõlla eelnõu toodud tähtajaks. Eelnõu seletuskirjas on märgitud, et julgeolekuasutust peab teavitama vaid julgeolekuasutus, mis tugineb KüTS § 14 lõikele 5. Seega teostab Välisluureamet enda ja Kaitsepolitseiamet enda süsteemide üle ise järelevalvet. Olukorras, kus julgeolekuasutus teostab ise enda süsteemide üle järelevalvet, on asjakohatud määruse § 3 lg 4 ja § 5 lg 4 nõuded julgeolekuasutuste kohta, sest praktikas tähendaks see seda, et julgeolekuasutus peab teavitama enda asutust. Juhul, kui julgeolekuasutus soovib kasutusele võtta või lõpetada pilveteenust avaliku teabe töötlemisel, siis vastavate majasiseste kooskõlastuste ja teavituste edastamine on reguleeritav asutuse sisekorraga ning taoline kohustus ei pea olema Vabariigi Valitsuse määruses. 1.3. Leiame, et määruse eelnõus on teabeomaniku kohustused Jäetud arvestamata kirjeldatud väga üldiselt, oluliselt detailsemalt on kohustused välja toodud määruse eelnõu lisana kinnitatavas Eelnõu lisa on teabeomanikku abistav materjal eelnõu § 2 täitmiseks. kontrollküsimustikus. Viimati nimetatu on aga näidis ning selle järgimine on soovituslik. Seejuures on lisas pandud teabeomanikule täiendavad kohustused (nt p 7 – pilveteenuse kasutamine juurdepääsupiiranguga teabe töötlemiseks). Teeme ettepaneku muuta vähemalt lisa I osa kontrollküsimustik kohustuslikuks. Selle kasuks räägib ka hindamise võimalikult sarnane läbiviimine. Kui kontrollküsimustikus toodud nõuded miinimumina kohustusena kehtestada, siis tagab see hindamise sarnasuse. Lisa teine osa, mis käsitleb meetmeid, võib jääda soovituslikuks 2.1. Teadaolevalt on RIT-il töös ka riigipilve loomine, milles on Antud selgitus võimalik töödelda ka asutusesiseseks kasutamiseks mõeldud 36 nr Märkus Märkustega arvestamine teavet. Antud eelnõus ega seletuskirjas ei ole käsitletud riigipilve Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. temaatikat ja kooskõlastamisel oleva eelnõu mõju sellele. Seetõttu teeme ettepaneku eelkõige seletuskirjas hinnata ka mõju tulevasele riigipilvele. 2.2. Soovitame MKM-il arvestada ka RIT-i kogutud avalike Antud selgitus pilveteenuste kasutamise onepageri vastustega. Ettepanek on riigis sarnast temaatikat käsitlevad dokumendid kokku koondada RIT-i kogutud küsimused on mõeldud pilvetemaatika laiemast MKM-i ja üheks tervikuks siduda. vaatenurgast, mille üheks osaks on ka eelnõu regulatsioon. 2.3. Leiame, et eelnõu seletuskirja kulude ja tulude osa tuleb Jäetud arvestamata täiendada. Seletuskirja p 1.2. (ii) on toodud, et sageli on pilveteenus tavakasutajale soodsam kui selle käitamine oma Eelnõuga ei kohustata ühtegi riigiasutust üle võtma pilvteenust. Kas taristus ning p 1.3 (iii) et see võimaldab optimeerida turbe kulu. avaliku teabe töötlemisel võtta kasutusele pilvteenus või kasutada on- Võimalik sääst tuleb seega välja tuua ka seletuskirja punktis 5. premise lahendeid avaliku teabe töötlemisel on teabeomaniku otsustada. Seejuures tuleb arvestada, et pilvandmetöötlusteenuse Küll on teadaolevalt turul erinevaid pakkumisi, kus sama toote hind kasutamisel võivad ärikriitilistemate infosüsteemide nõuete ja erineb uuenduste või pilvteenuse võimaluse korral oluliselt on-premise tingimuste tagamisel tõusta pakettide ja lahenduste hinnad tarkvara versiooni hinnast. Majandus- ja tavapärasemast kõrgemaks ja seetõttu võib olla majanduslik Kommunikatsiooniministeerium ei kogu teavet erinevates avaliku sääst esialgsest/oodatust mõnevõrra väiksem. Teiseks tekib sektori asutusel kasutusel olevate tarkvara ja riistvara kohta ning ei ärikriitiliste süsteemide puhul paratamatult varundamise teosta teenuste ülest hindade võrdlust. Teenuse ostmise või mitte ostmise küsimus, mis toob kaasa täiendava kulu (pilvelahendusele lisaks ja hinna üle otsustab teabeomanik teenuse hankimisel. Sellest tulenevalt on-premise lahendus või riigipilv). Juhime tähelepanu, et ei ole võimalik esitada ka tulu ja kulu osa Siseministeeriumi soovitud riigisektoris tervikuna ei ole tagatud IKT baasteenuste ning kujul. taristu jätkusuutlikkus ning vastavad lisavajadused on esitatud RES protsessi raames. Seega, kuigi pilveteenuse kasutamine on Eelnõu seletuskirjas on väljatoodud, et asutused võivad teenuste määruse kohaselt vabatahtlik, on asutused sundseisus ning hankimisel teha koostööd ning teha ühiseid hindamisi. Nii samuti on peavad otsima kokkuhoiukohti ning üheks võimaluseks on võimalik hankeprotsessis seada tingimusi, mis arvestavad eelnõus pilveteenuse kasutamine. Seda enam peame vajalikuks toodut (nt hanke tingimus, et teenusel on ISO-sertifikaat). Samuti on pilveteenuse pakkujate keskset hindamist, mis tagab ainult eelnõu juures arvestatud, et osad tegevused on võimalik teostada usaldusväärsete pakkujate kasutamise. Vähemtähtis ei ole ka samaaegselt Eesti infoturbestandardi hindamise käigus või muu hindamiseks kuluva ressursi kokkuhoid 37 nr Märkus Märkustega arvestamine seadusega ettenähtud hindamise käigus või kasutada nende hindamiste tulemit. Lisaks on võimalik võtta kasutusele mõne avaliku sektori asutuse poolt osutatav teenus, kus hindamiskohustus lasub avaliku sektori teenuse pakkujal. 2.4. Palume järgmiste eelnõu punktide osas kaaluda muutmist: Antud selgitus 2.4.1. Määruse eelnõu § 2 lg 6 p-s 4 nimetada loetelus eraldi Punktis toodud viide isiku eraelu puutumatusele hõlmab ka isikuandmete kaitse; isikuandmete kaitset. 2.4.2. Leiame, et määruse eelnõu § 2 lg 1 p 4–6 sätestatu Selline võimalus on sätestatud määruse § 2 lõikes 3 (endine lõige 2). hindamisel võib arvesse võtta pilvepakkuja või tema osutatava teenuse suhtes tehtud auditi tulemusi ning pilvepakkuja või tema osutatava teenuse kohta väljastatud rahvusvaheliselt ja Eestis tunnistatud sertifikaati või hindamist pilvepakkuja võrgu- ja infosüsteemide kohta. SIMil ja eelduslikult ka teistel ministeeriumitel puudub teave, et suurematele ettevõtetele tehakse sõltumatuid kolmanda osapoole auditeid/sertifikaate koos ligipääsuga taristule ja lähtekoodile; 2.4.3. sõnastada määruse eelnõu § 3 lg 1 p 3 järgmiselt: „3) Eelnõu eesmärk ei ole dubleerida Eesti infoturbestandardis sätestatud teabeomaniku poolt pilvepakkujale töötlemiseks antud nõudeid pilvteenuse kasutamise kohta. avaliku teabega või pilvepakkuja avaliku teabe töötlemiseks kasutatava võrgu- ja infosüsteemiga seotud küberintsidentidest, muudatustest ja turvanõrkustest teavitamise tingimused.“ Oluline on teada saada ka muudatustest ja turvanõrkustest, sest sellest võivad oleneda erinevate intsidentidele reageerimise kiirus ja selle lahendamine ning andmelekkega seotud turvaohud. 38 nr Märkus Märkustega arvestamine Samuti soovime täpsustada, kas kolmandate osapooltega avaliku info vahetus või päringutest teada andmine peaks olema ka eelnõus käsitletud, nt kolmandatele osapooltele logide edastamise tingimused turvaintsidentide lahendamisel vms; 2.5. Selgusetuks jääb määruse eelnõu § 3 lg 4 ja 5, milliste teenuste Antud selgitus kasutuselevõtmisel tuleb RIA- t teavitada. Kui täna kasutatakse mahukate failide jagamiseks RIA loodud ja riigipilves asuvat Teavitamiskohustus on vaid pilvteenuse osas, mille kasutusele võtmisele „Sahvrit“, mida saab sisuliselt kasutada igaüks, siis kas ka sellest eelnõus toodud sätteid kohaldatakse §-st 1 tulenevalt. peab eraldi RIA-t teavitama? Samuti ei ole selge, millist lisandväärtust annab see, kui pilveteenuse kasutamisest teavitatakse RIA-t juhul kui selles töödeldakse juurdepääsupiiranguta teavet. 2.6. Palume selgitada määruse eelnõu § 4 lg-st 1 tulenevat nõuet Antud selgitus kontrollida avaliku teabe käideldavuse, tervikluse ja konfidentsiaalsuse nõuete täitmist, eriti välismaiste või isegi § 4 lõike 1 kohaselt teabeomanik jälgib avaliku teabe käideldavuse, kolmandate riikide pilvede puhul. See, et mingi teave ei ole tervikluse ja konfidentsiaalsuse nõuete täitmist. Sätte eesmärk on välja lekkinud (või see fakt ei ole meile teada), ei pruugi tähendada, et tuua, et pilvteenuse kasutusele võtmisega ei vähene teabeomaniku kõik konfidentsiaalsusnõuded oleksid täidetud. vastutus. Seega veast teada saamisel on teabeomanikul ka kohustus reageerida. Selleks võib olla pilvteenuse pakkujalt selgituste küsimine, teenuse tingimuste üle vaatamine või äärmuslikumal juhul pilvteenuse kasutamise lõpetamine. Sarnane nõue on ka mitte pilvteenuse korral, kus samuti ei ole täielikku kindlust, et süsteemis ei esine tõrkeid. 2.7. Määruse eelnõu § 5 lg 1 puhul kaaluda, kuivõrd on asjakohane Antud selgitus lisada loetellu andmesubjekt teabe edasise töötlejana pärast pilvepakkuja töödeldud avaliku teabe kustutamist pilveteenuse Antud olukorras kehtib põhimõte pacta sunt servanda. Lepingu täitmata kasutamise lõppemist. Samuti seab määruse eelnõu § 5 lg 1–3 jätmisel on teabeomanikul võimalik kasutada erinevaid pilvandmetöötlusteenuse lõppemisel teabeomanikule kohustusi. õiguskaitsemeetmeid. Leiame, et seda ei ole võimalik kontrollida ja seetõttu soovitame 39 nr Märkus Märkustega arvestamine läbi mõelda, kuidas praktikas seda rakendada. Palume täiendada vajaduse korral seletuskirja. 2.8. Toome esile, et IKT ja küberturvalisuse riskid arenevad Antud selgitus võrdlemisi kiiresti, sh pilvandmetöötlusteenuste turvariskid ning käesolev määrus võib jääda ajakohastamata. Teeme ettepaneku, Ettepanekust ei selgu, millise sätte kohta ettepanek on esitatud. Eelnõu et eksisteeriksid mehhanismid või protsessid, mis tagaksid koostamisel on arvestatud tehnoloogia arenguga ja sellest tulenevate õigusakti regulaarse läbivaatamise ja vajadusel täiendamise ohtude kiirele muutumisega. Vabariigi Valitsuse määruse muutmisel vastavalt turu arengule ja uutele turvariskidele. tuleb arvestada hea õigusloome ja normitehnika eeskirjas HÕNTE ning Vabariigi Valitsuse reglemendis eelnõude koostamisele sätestatut. 3.1. Punkti 1.2 sõnastuses tuleb pöörata tähelepanu „tundliku teabe, Arvestatud sealhulgas eriliiki isikuandmete töötlemisele“. Avaliku teabe seadus ei sisusta „tundliku teabe“ terminit. Seega palume Lisas sõnastust muudetud „..pöörates erilist tähelepanu avalikkust või selgitada, mis on tundlik teave ning kuivõrd kattub see terminiga isikut mõjutada võiva teabe, sealhulgas eriliiki isikuandmete „asutusesiseks kasutamiseks tunnistatud teave“. Andmekaitse töötlemisele.“ Inspektsioon eristab isikuandmete kategooriatena tavalisi, tundlikke ja eriliiki isikuandmeid. Kuigi eelnõu koostaja on kasutanud terminit „tundlik teave“, mitte tundlikud isikuandmed, on ettepanek terminite kasutus üle vaadata ning kasutada õigusaktides kasutusel olevaid termineid või Andmekaitse Inspektsiooni kategooriaid. 3.2. Punkti 6.1.1 kohaselt „pilveteenus ei sisalda turvanõrkusi ja Antud selgitus nende kõrvaldamiseks on piisavalt rakendatud turvameetmeid“. Kliendil (EN kontekstis teabeomanikul) on tänasel päeval selles Kirjast ei selgu, mida koostaja peab adekvaatseks veendumuseks. väga keeruline kui mitte võimatu adekvaatselt veenduda. Eelnõu eeldab hindamist teabeomaniku võimaluste raames ja teadaoleva Seetõttu teeme ettepaneku need tingimused teabe alusel. Majandus- ja Kommunikatsiooniministeerium ei pea pilvandmetöötlusteenuse pakkujaga sõlmitavasse lepingusse vajalikuks eelnõu täiendamist ettepandud kujul, kuid juhib tähelepanu, lisada ja täiendada kontrollküsimustiku punkti vastavalt. et lepingu osapoolel on sellest hoolimata võimalik vastav säte lepingusse kirjutada. Vt siin ka Kultuuriministeeriumi märkusele nr 4 antud vastust. 40 nr Märkus Märkustega arvestamine 3.3. Punktis 7.2. kohaselt „pilveteenuse pakkujal või tema volitatud Antud selgitus esindajal, importijal või levitajal on võimalik asutusesiseseks kasutamiseks tunnistatud teabe töötlemisel teavet kasutada Lisas on mõeldud näiteks olukordi, kus pilvteenuse kasutaja on suuremas ulatuses, kui see on vajalik pilveteenuse osutamiseks“. tüüptingimustes jätnud võimaluse kasutada teavet oma toote/teenuse Palume seletuskirjas selgitada ja võimalusel tuua näide, miks arendamiseks või parendamiseks, või pakub teenuse raames nö peaks andmeid olema vaja suuremas ulatuses. Samuti palume mugavusteenuseid (nt keelekorrektor, mis samuti töötleb teavet jms). välja tuua konkreetsed meetmed, mis juhtudel võib Kui tegemist on asutusesiseseks kasutamiseks mõeldu teabega, siis pilvandmetöötlusteenuse pakkuja andmeid kasutada ja mis eelnõu kohaselt tuleks täiendavalt hinnata, kas sellise tegevusega võib asjaolud on takistavad kaasneda täiendavaid riske. Sotsiaalministeerium 28.07.2023 e-kiri 1. Eelnõu näeb ette pilveteenuste puhul iga asutuse poolt eraldi Antud selgitus hindamise läbiviimise. Meie hinnangul ei ole võimalik riigis läheneda pilvteenuse kasutuselevõtule erinevalt, kuna asutused Eeldusel, et teise asutuse andmete töötlemise all on mõeldud andmete kasutavad teineteise andmeid. Näiteks kui Sotsiaalministeerium ristkasutust märgime, et isikuandmete ristkasutuse näol ei ole tegemist kui tervise infosüsteemi andmete omanik hindab, et tervise teise asutuse andmete töötlemisega vaid isikuandmete töötlemisega, kus infosüsteemi andmeid või ka e-kirjad ei või pilveteenustes andmed kuuluvad isikule, kuid nende töötlemine on lubatud õigusaktide töödelda, siis ei tohiks ka teised asutused, kes samu andmeid alusel või isiku nõusolekul. kasutavad (nt haiglad, tervisekassa jne.), töödelda neid pilveteenustes. Antud probleem on riigis juba täna, kus asutused Eelnõu eesmärk on ühtlustada avalikus sektoris pilvteenuse kasutusele on võtnud või võtmas kasutusele pilveteenuseid, kuid töötlevad võtmise tingimusi. Toodud näite juures tuleb siiski eristada andmekogu teiste asutuste andmeid. ja andmekogust andmete küsimist. Andmekogust andmete väljastamiseks elektroonsel kujul on vastutaval töötlejal kohustus olla veendunud, et selline juurdepääs tagab andmekogus oleva teabe kaitstuse. Ei saa nõustuda väitega, et kui üks asutus otsustab vältida pilvteenuse kasutamist, siis asutus peab seda vältima ka teise asutus kellega võib olla 41 nr Märkus Märkustega arvestamine kontakte, sh e-kirja vahetust. Iga asutuse peab oma riske hindama ka komplektselt, kui asutus on veendunud, et asutuse e-kirjade koostamine ja edastamise süsteem kogumina on kaitstav, siis ei tähenda, et samal tasemel on kaitstav üksik väljasaadetud e-kiri. E-kirja saatja peab mistahes töötlemise piirangu (juurdepääsupiirangu) korral välja saadetud e-kirja märgistama. 2. Eelnõu seletuskirjas on öeldud järgmist: „(xviii) Teabeomaniku Antud selgitus kohustus kaitsta avalikku teavet saab olla tõhus, kui küberturvalisuse ning isikuandmete kaitse valdkonnas Vt Kultuuriministeeriumi esitatud märkuse nr 3 suhtes antud vastust. tegutsevad asjaomased asutused ja organid vahetavad omavahel teavet, millel on mõju avaliku teabe terviklusele, käideldavusele, konfidentsiaalsusele ja teevad selle, sealhulgas ohuhinnangud, õigeaegselt teatavaks või kättesaadavaks pilvteenuse kaudu avalikku teavet töötlevatele teabeomanikele või teabeomanikele, kellel on kavas pilveteenus kasutusele võtta.“ Eelnõu § 2 paneb kohustuse asutusele enne pilveteenuse kasutuselevõttu viia läbi riskide hindamine eelnõu lisas toodud näidise alusel. Seletuskirjas on öeldud, et asutused võiksid jagada omavahel riskide hindamiste teavet, kuid eelnõu ise paneb siiski kohustuse kõigile pilveteenuse kasutusele võtjatele riske hinnata. Leiame, et otstarbekuse vaatest tuleks pilvteenuse vahendajate riskide hindamist teha riigis keskselt (nt RIT) ning ühtlasi hoida keskselt lubatavate pilvteenuste nimekirja. 3. 3. Palume täpsemalt selgitada pilveteenuse kasutusest Antud selgitus loobumist. IKT teenuste elutsükli planeerimisel tuleb arvestada Mistahes sisse ostetava teenuse juures tuleb arvestada teenuse pilveteenuse kasutusest loobumist (nn väljumisplaan). Määruse lõppemisega, seda nii teenuse tähtaja saabumise tõttu, teenuse osutaja eelnõu seletuskirja kohaselt vastutab määruse nõuetest tegevuse lõppemine, teenuse osutamise katkemine, teenuse tingimuse kinnipidamise eest teabeomanik, kes kohustub ülesande üle muutumise tõttu jne. Samuti ei ole välistatud, et muutuvad 42  nr Märkus Märkustega arvestamine andmise korral selle kohustuse täitmise ette nägema. Näiteks, (organisatsiooni enda seatud) nõuded avalikule teabele, mille halduslepingu sõlmimisel peab ette nägema vastava kohustuse töötlemiseks pilvteenust kasutatakse. Samas peab olema tagatud osa avaliku teabe töötlemisel. Ülesande delegeerimine ei vabasta avaliku teabe säilimine (nt dokumendid, andmekogud jms). Seega peab ülesande põhitäitjat kohustusest kontrollida, kas delegeeritud teenuse sisse ostmisel arvestama ka riskiga, et teenuse kasutamine ei ole ülesande täitmise käigus tekkinud avalik teave on kaitstud. enam võimalik. Sellest tekib küsimus, kui teabeomanik otsustab teatud pilvteenuse kasutusest loobuda, siis kas institutsioonidel, kes töötlevad teabeomaniku andmeid selles samas pilvteenuses, on samuti kohustus sellest pilvteenusest loobuda. Antud olukorras oleks mõistlik riigis rakendada ühtset lähenemist. 4. Sõnastusliku täpsustusena palume kaaluda, kas eelnõus Jäetud arvestamata teabeomaniku mõiste kasutuselevõtt on vajalik või ühtse õiguskeele huvides võiks kasutada avaliku teabe seaduses Seletuskirja punktis 3 on selgitatud, miks ei ole võimalik kasutada toodud teabevaldaja mõistet. AvTS-i teabevaldaja mõistet. Tabel saadetud 08.09.2023. a e-kirjaga märkuste esitajatele. 43  Riigikantselei 02.10.2023 nr 2-1/2023/3379 Eelnõu esitamine Vabariigi Valitsuse istungile Esitame Vabariigi Valitsuse istungile määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Tiit Riisalo majandus- ja infotehnoloogiaminister Lisad: 1) eelnõu; 2) eelnõu lisa; 3) seletuskiri; 3) seletuskirja lisa 1; 5) seletuskirja lisa 2. Guido Pääsuke [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158