Eesti seisukohad EL küberalgatuste kohta

Riigikantselei 19.09.2023 nr 24.1-1/2023/2507-2 Eesti seisukohad Euroopa Liidu küberalgatuste kohta Esitan Vabariigi Valitsuse istungile Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse kohta, millega nähakse ette meetmed tugevdamaks liidus solidaarsust ja suurendada suutlikkust küberohtude ja -intsidentide avastamiseks, nendeks valmistumiseks ja neile reageerimiseks (Kübersolidaarsusakt), Eesti seisukohad Euroopa Parlamendi ja nõukogu määruse kohta, millega muudetakse määrust (EL) 2019/881 seoses hallatud turbeteenustega (Küberturvalisuse määruse muudatus) ning Eesti seisukohad komisjoni teatise kohta Euroopa Parlamendile ja nõukogule korvata küberturvalisuse valdkonna talendinappus edendamaks ELi konkurentsivõimet, majanduskasvu ja kerksust (Küberturbeoskuste akadeemia teatis). Lugupidamisega (allkirjastatud digitaalselt) Tiit Riisalo majandus- ja infotehnoloogiaminister Lisad: 1) protokolliline otsus; 2) seletuskiri; 3) Lisa 1. Kaasamise tabel. Astrid Valtna-Dvořák 5885 1070 [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  EELNÕU VABARIIGI VALITSUS ISTUNGI PROTOKOLL Tallinn, Stenbocki maja 21.09.2023. a nr Päevakorra punkt nr Eesti seisukohad Euroopa Liidu küberalgatuste kohta 1. Kiita heaks majandus- ja infotehnoloogiaministri esitatud seisukohad Euroopa Komisjoni 18.04.2023 järgmiste algatuste kohta: o Euroopa Parlamendi ja nõukogu määrus, millega nähakse ette meetmed, et tugevdada liidus solidaarsust ja suurendada suutlikkust küberohtude ja -intsidentide avastamiseks, nendeks valmistumiseks ja neile reageerimiseks COM(2023) 209 (Kübersolidaarsusakt), o Euroopa Parlamendi ja nõukogu määrus, millega muudetakse määrust (EL) 2019/881 seoses hallatud turbeteenustega COM(2023) 208 (Küberturvalisuse määruse muudatus) ning o Komisjoni teatis Euroopa Parlamendile ja nõukogule korvata küberturvalisuse valdkonna talendinappus edendamaks ELi konkurentsivõimet, majanduskasvu ja kerksust COM(2023) 207 (Küberturbeoskuste akadeemia teatis). Kübersolidaarsusakti eelnõu 1.1. Eesti toetab ühtsete EL küberturvalisuse nõuete ja sertifitseerimisskeemide väljatöötamist, et tagada küberettevõtetele tõhusamad tingimused siseturul teenuste pakkumiseks. 1.2. Euroopa Liidu kübersolidaarsusakt peab arvestama – ennekõike küberjulgeoleku intsidentide ülevaatemehhanismi ja küberturbeoskuste akadeemia osas – olemasolevate ning välja töötatavate platvormide ja strateegiatega ning mitte dubleerima juba olemasolevaid struktuure. 1.3. Toetame piiriüleste infoturbekeskuste loomist, mille ülesanded ning eesmärk peaksid täiendama, mitte dubleerima küberturvalisuse direktiivi alusel loodud ning juba toimiva intsidentide lahendamise üksuste (Computer Security Incident Response Team) võrgustiku tööd. 1.4. Eesti ei toeta seda, et küberreservist teenuseid hankiva ettevõtte kohta käivad küberintsidendi-alased andmed tuleks edastada Euroopa Komisjonile, ega operatiivvõimekuse loomist Euroopa Komisjoni juurde. Küberintsidentidest teavitamine peab toimuma jätkuvalt liikmesriikide pädevate siseriiklike üksuste koostöös. Euroopa Komisjon ei peaks vastutama küsimuste eest, mis puudutavad küberturvalisuse operatiivseid ja tehnilisi aspekte, arvestades, et tal puuduvad selleks tehnilised pädevused ning vajalik inimressurss. 1  1.5. Eesti toetab usaldusväärsete teenusepakkujate reservi loomist eeldusel, et selle tingimused soodustaksid ka väikeste ning keskmise suurusega ettevõtete ja teiste küberökosüsteemi osaliste kaasamist. Tingimused, mis võimaldavad kvalifitseeruda usaldusväärsete teenusepakkujate nimekirja, peavad olema ka Eesti kübervaldkonna ettevõtjatele soodsad. 1.6. Eesti leiab, et usaldusväärsete teenusepakkujate reservi peaksid kuuluma ka teised olulised ökosüsteemi osalised, näiteks ülikoolid ja teadusasutused (nt krüptograafia, kvantarvutuse, kvantside jt valdkondades) ning avaliku- ja erasektori organisatsioonide koostöövormid. 1.7. Leiame, et küberhädaolukorra mehhanismi peaksid saama kasutada ka kolmandad riigid ning nende kaasamise osas peab Euroopa Liidu liikmesriikidel olema kaasarääkimise võimalus. 1.8. Eesti hinnangul peaks Euroopa Komisjon enne õigusakti vastuvõtmist läbi viima mõjuhinnangu, kuna õigusakti vastuvõtmisega kaasnevad muudatused kogu digivaldkonna rahastusele. Mõjuhinnang peaks: 1.8.1. mh kirjeldama, kuidas loodav mehhanism sobitub eksisteerivasse küberökosüsteemi; 1.8.2. lähtudes Eesti varasematest seisukohtadest, kajastama hinnangut vajalikule minimaalsele küberkulutuste tasemele infotehnoloogiaalaste investeeringute kogusummast; 1.8.3. andma piisava sisendi, et hinnata komisjoni poolt liikmesriikidele seatud kohustuste mõju liikmesriikide eelarvetele, ning kaaluda võimalust nende rahastamiseks Euroopa Liidu eelarvest. Küber- ja infotehnoloogiavaldkonnas tuleks kaaluda erandeid Euroopa Liidu rahastuse kasutamisel, mis lubaksid kasutada seda raha põhjendatud juhtudel ka Euroopa Liidu õigusest tulenevate infosüsteemide ja teenuste ülalpidamiseks ja arendamiseks ehk mitte üksnes ühekordseks süsteemi rajamise investeeringuks. Küberturvalisuse määruse muutmine 1.9. Eesti toetab küberturvalisuse määruse muutmist, et luua õiguslik alus ettevõtete sertifitseerimiseks. Küberturbeoskuste akadeemia teatis 1.10. Toetame küberoskuste platvormi loomist eesmärgiga suurendada küberturbeoskustega inimeste arvu ja edendada sellega konkurentsivõimet Euroopa Liidus. 1.11. Eesti leiab, et praegusel kujul on mainitud küberoskuste platvormi nimetus eksitav ja Eesti ei toeta selle nimetamist „akadeemiaks“. Peame vajalikuks paremini piiritleda selle platvormi roll küberoskusi pakkuvate tsiviil- ja militaar sektori akadeemiliste õppeasutuste suhtes. 2. Eesti esindajatel Euroopa Liidu Nõukogu erinevatel tasanditel väljendada ülaltoodud seisukohti. 2 3. Majandus- ja kommunikatsiooniministeeriumil teha punktis 1 nimetatud seisukohad teatavaks huvirühmadele, kes olid kaasatud seisukohtade kujundamisesse. Riigikantseleil esitada punktis 1 nimetatud eelnõu ja ülaltoodud seisukohad Riigikogu juhatusele ja teha seisukohad teatavaks Eestist valitud Euroopa Parlamendi liikmetele ning Eestist nimetatud Euroopa Majandus- ja Sotsiaalkomitee ja Regioonide Komitee liikmetele. Kaja Kallas Taimar Peterkop Peaminister Riigisekretär 3  Vabariigi Valitsuse otsuse „Eesti seisukohad Euroopa Liidu küberalgatuste kohta“ seletuskiri 2022. aasta märtsis nõudsid EL telekomiministrid Venemaa agressiooni valguses EL küberhädaolukorra instrumendi loomist Euroopa komisjoni poolt. Vastuseks sellele avaldas Euroopa komisjon 18. aprillil 2023 küberalgatuste paketi, millesse kuulub kübersolidaarsusakti ettepanek, seda ettepanekut täiendav muudatusettepanek juba olemasolevasse küberturvalisuse määrusesse ning informatiivne küberturbeoskuste teatis. 1) Kübersolidaarsusakti (Cyber Solidarity Act) eesmärk on tõsta võimalikult kiiresti kriitilise infrastruktuuri vastupanuvõimet pidevatele küberrünnakutele ehk küberkerksust. ELi kübersolidaarsusaktiga luuakse Euroopa küberturbekilp ja küberhädaolukorra mehhanism, et suurendada liidu tasandil solidaarsust ning võimaldada olulisi ja laiaulatuslikke küberintsidente paremini avastada, nendeks valmistuda ja neile reageerida. Euroopa küberturbekilp on üleeuroopaline taristu, mis koosneks ELi eri riikides paiknevatest riiklikest ja piiriülestest infoturbekeskustest. Küberhädaolukorra mehhanismi loomine suurendab valmisolekut ja intsidentidele reageerimise suutlikkust ELis. Selle tarvis luuakse EL küberreserv, mis koondab usaldusväärsete teenuseosutajate pakutavaid küberintsidentidele reageerimise teenuseid. Kavandatava määrusega luuakse ka liidu küberkerksuse suurendamise jaoks mõeldud küberintsidentide läbivaatamise mehhanism, mis võimaldab vaadata läbi ja hinnata olulisi või laiaulatuslikke küberintsidente pärast nende toimumist, õppida saadud kogemusest ning anda vajaduse korral soovitusi liidu valmisoleku parandamiseks. 2) Küberturvalisuse määruse muudatus (Cyber Security Act), mis on vajalik selleks, et seada vastavusse küberturvalisuse määruses mainitavad „hallatud turbeteenused“ ning kübersolidaarsusaktis neid teenuseid osutavad „usaldusväärsed teenuseosutajad“. Küberturvalisuse määruse muudatus võimaldaks „hallatud turbeteenuseid“ pakkuvatel ettevõtetel läbida sertifitseerimisskeemi protsess ning pääseda tänu sellele uude loodavasse „usaldusväärsete teenusepakkujate“ platvormi. 3) EL küberturbeoskuste akadeemia teatis informeerib Euroopa komisjoni tehtavatest püüdlustest lahendada kübervaldkonna tööjõupuudust läbi EL küberturbeoskute akadeemia loomise. Akadeemia kujutab endast ühtset kontaktpunkti ja koostoimekeskust, mille abil arendatakse küberturvalisuse valdkonnas hariduse ja koolituste pakkumist, rahastamisvõimalusi ja erimeetmeid küberturbeoskuste arendamise toetamiseks. Algatuste mõju Eestile nähtub sellest, et Eestile (eelkõige Riigi Infosüsteemi Ametile) tekib kohustus kohanduda määruse alusel loodava infoturbekeskuste koostöömehhanismiga. Eesti peab oluliseks, et selle koostöömehhanismi raames loodavate piiriüleste infoturbekeskuste töö täiendaks, mitte ei hakkaks dubleerima juba olemasolevate küberturvalisuse direktiivi alusel loodud intsidentide lahendamise üksuste (Computer Security Incident Response Team) võrgustiku tööd. Eestil avaneb võimalus vajadusel EL küberreservist abi saada, et tõsta valmisolekut ja parandada reageerimist olulistele või ulatuslikele küberintsidentidele ning nendest vahetult taastuda. Samuti ka tõsiste küberohtude leevendamiseks ja vastastikuse abi andmiseks. Eesti peab oluliseks, et küberhädaolukorra mehhanismi saaks vastavalt LR-de kokkulepitud tingimustele kasutada ka kolmandad riigid (nt Ukraina). Eesti ootab, et ettepanekute mõjul saavad ka Eesti IKT ettevõtted tulevikus osaleda loodavas usaldusväärsete teenusepakkujate reservis ning eeldatavasti toetavad ELi võetavad meetmed ka Eestis kübervaldkonna tööjõupuuduse leevendamist. 1 1. Sissejuhatus 1.1. Kübersolidaarsusakt Kübersolidaarsusakti eesmärk on tõsta kiireloomuliselt EL liikmesriikide (LR) kriitilise taristu küberkerksust. Telekomiministrid nõudsid sellise hädaolukorrainstrumendi loomist komisjonilt 2022. aasta märtsis, mil Venemaa agressiooni valguses hinnati küberohtu ELile ja LRidele märkimisväärseks. Komisjon avaldas 18. aprillil 2023 määruse eelnõu, mille eesmärk on suurendada liidu institutsioonide, organite ja asutuste küberturvalisuse alast vastupidavusvõimet küberohtudele kooskõlas kehtivate õigusaktidega. Kübersolidaarsusaktiga tugevdatakse solidaarsust liidu tasandil, et paremini avastada küberohte ja -intsidente, nendeks paremini valmistuda ja neile paremini reageerida. Määruse eesmärgid on: a) parandada küberohtude ja -intsidentide ühist avastamist ja olukorrateadlikkust ELis ning suurendada sellega liidu tehnoloogilist suveräänsust küberturvalisuse valdkonnas; b) parandada kriitilise tähtsusega üksuste valmisolekut kõikjal ELis ja tugevdada solidaarsust, suurendades suutlikkust reageerida ühiselt olulistele või ulatuslikele küberintsidentidele, sealhulgas tehes intsidentidele reageerimiseks pakutava toetuse kättesaadavaks ka programmiga „Digitaalne Euroopa“ assotsieerunud kolmandatele riikidele; c) suurendada liidu vastupidavusvõimet ja edendada tõhusat reageerimist, vaadates läbi ja hinnates olulisi või ulatuslikke intsidente ning tehes selle põhjal järeldusi ja vajaduse korral esitades soovitusi. Need eesmärgid saavutatakse kübersolidaarsusaktiga seeläbi, et a) võetakse kasutusele üleeuroopaline infoturbekeskuste taristu (Euroopa küberkilp), et tagada ja parandada ühist avastamissuutlikkust ja olukorrateadlikkust, ning b) luuakse küberhädaolukorra mehhanism, et toetada liikmesriike valmistumisel olulisteks ja ulatuslikeks küberintsidentideks, neile reageerimisel ja neist vahetul taastumisel. Intsidentidele reageerimiseks pakutav toetus tehakse kättesaadavaks ka liidu institutsioonidele, organitele ja asutustele. c) luuakse Euroopa küberintsidentide läbivaatamise mehhanism, et vaadata läbi ja hinnata olulisi või ulatuslikke intsidente. Neid meetmeid toetatakse rahaliselt programmist „Digitaalne Euroopa“, mida käesoleva õigusaktiga muudetakse, et kehtestada eespool nimetatud meetmed, näha ette rahaline toetus nende arendamiseks ja selgitada selle toetuse saamise tingimusi. Õigusakti vastuvõtmiseks on nõukogus vaja kvalifitseeritud häälteenamust. Subsidiaarsustähtaeg on 21. juulil 2023. Määruse eelnõu menetlemine toimub nõukogu telekommunikatsiooni ja infoühiskonna töörühmas. 1.2. Küberturvalisuse määruse muudatus Kavandatud sihipärase muudatuse eesmärk on anda võimalus võtta komisjoni rakendusaktidega vastu Euroopa küberturvalisuse sertifitseerimise kavad küberturvalisuse määruse 2 kohaldamisalasse juba kuuluvatele info- ja tehnoloogiatoodetele, -teenustele ja -protsessidele (IKT-tooted, -teenused ja -protsessid) lisaks ka „hallatud turbeteenuste“ jaoks. Oma 23. mai 2022. aasta järeldustes Euroopa Liidu kübervaldkonna positsiooni arendamise kohta kutsus nõukogu liitu ja selle liikmesriike üles suurendama jõupingutusi üldise küberturvalisuse taseme tõstmiseks, ning seda ühe prioriteedina hõlbustades usaldusväärsete küberturbeteenuse osutajate teket. Hallatud turbeteenuste sertifitseerimine on tõhus vahend, millega suurendada usaldust nende teenuste kvaliteedi vastu ja hõlbustada seega usaldusväärse Euroopa küberturbeteenuste valdkonna väljakujunemist. Kübersolidaarsusaktis nimetatud „usaldusväärsed teenuseosutajad“ on vastavuses küberturvalisuse määruse kohaste „hallatud turbeteenustega“. Käesolev ettepanek võimaldab luua nende teenuste jaoks Euroopa küberturvalisuse sertifitseerimise kavad, et vältida hallatud turbeteenuste tingimuste killustumist liidus. Sätteid, mida ettepanekuga on kavas muuta, hinnatakse osana küberturvalisuse määruse korrapärasest hindamisest, mille komisjon viib läbi vastavalt küberturvalisuse määruse artiklile 67. Hindamise käigus analüüsitakse muu hulgas küberturvalisuse sertifitseerimise raamistiku mõju, tulemuslikkust ja tõhusust seoses eesmärgiga tagada IKT-toodete, -teenuste ja - protsesside piisav küberturvalisuse tase liidus ja parandada siseturu toimimist. Ettepanek sisaldab muudatust, millega tagatakse, et hindamine hõlmab ka hallatud turbeteenuseid. Komisjon edastab hindamisaruande koos oma järeldustega Euroopa Parlamendile, nõukogule ja ENISA haldusnõukogule ning teeb aruande järeldused avalikkusele kättesaadavaks. 1.3. Küberturbeoskuste akadeemia teatis Küberturbeoskuste akadeemia (edaspidi „akadeemia“) näol luuakse ühtne kontaktpunkt ja koostoimekeskus, mille abil arendada küberturvalisuse valdkonnas hariduse ja koolituse pakkumist ning rahastamisvõimalusi ja erimeetmeid küberturbeoskuste arendamise toetamiseks. Sellega hoogustatakse sidusrühmade algatusi sellise tasemeni, mis võimaldab tuua muutusi tööturul, sealhulgas kaitsevaldkonnas. Suurema mõjukuse saavutamiseks kujundatakse akadeemia tegevus ühiste eesmärkide ja valitud tulemusnäitajate järgi. Käesoleva teatisega pannakse paika ELi spetsialistide küberturbeoskuste edendamise uus lähenemisviis. Selle algatusega püütakse vähendada küberturbeoskuste nappust ja varustada ELi pidevalt muutuvatele ohtudele reageerimiseks vajaliku tööjõuga, aidata kaasa ELi küberrünnete eest kaitsmise meetmete väljatöötamisele ning luua uusi ärivõimalusi ja suurendada ELi konkurentsivõimet. Vajalike oskustega küberturvalisuse valdkonna töötajatest oleks kasu tsiviil-, kaitse-, diplomaatilisel ja õiguskaitsekogukonnal ja paraneks koostoime nende kogukondade vahel. Teatis sätestab järgnevad meetmed ja tegevuspõhimõtted: 1) Et vähendada kasvavaid riske, tuleks võtta kiiresti käsile töötajate puudulikud küberturbeoskused ja küberturbeoskustega töötajate nappus; 2) Koostoime ja koordineeritud meetmete abil küberturbeoskuste nappuse vastu; 3) Küberturbeoskuste akadeemia – ELi-ülene koordineeritud tegevus; 4) Teadmusloome ja koolitus: ELi küberturbekoolituse ühine lähenemisviis; 5) Sidusrühmade lubadused panustada küberturbeoskustega töötajate nappuse ületamisse; 3 6) Rahastus: maksimeerida parema koostoime abil küberturbeoskuste arendamiseks tehtavate kulutuste mõju ning 7) Edusammude mõõtmine: integreeritud aruandlus. Seisukohad ja seletuskirja koostasid Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna rahvusvahelise küberturvalisuse koostöö juht Kaido Tee ([email protected]), EL ja rahvusvahelise koostöö osakonna nõunik Astrid Valtna-Dvořák ([email protected]) ja nõunik Eesti alalise esinduse Euroopa Liidu juures küberpoliitika küsimustes Thorwald-Eirik Kaljo ([email protected]). Valdkonna eest vastutab Majandus- ja Kommunikatsiooniministeeriumi digiarengu asekantsler Luukas Kristjan Ilves ([email protected]). 2. Määruse eelnõu sisu ja võrdlev analüüs 2.1. Kübersolidaarsusakt Üldeesmärgid, reguleerimisese ja mõisted (I peatükk) I peatükis sätestatakse määruse eesmärk tugevdada solidaarsust liidu tasandil, et paremini avastada küberohte ja -intsidente, nendeks paremini valmistuda ja neile paremini reageerida. Samuti määratakse selles peatükis kindlaks meetmed, mille kaudu need eesmärgid saavutatakse: Euroopa küberkilbi, küberhädaolukorra mehhanismi ja küberintsidentide läbivaatamise mehhanismi kasutuselevõtu kaudu. Selles esitatakse ka õigusaktis kasutatavad mõisted. Euroopa küberkilp (II peatükk) II peatükiga nähakse ette Euroopa küberkilbi loomine ning määratakse kindlaks selle elemendid ja osalemistingimused. Kõigepealt sätestatakse Euroopa küberkilbi üldeesmärk, milleks on tagada liidu kõrgetasemeline suutlikkus avastada liidus esinevaid küberohte ja -intsidente ning analüüsida ja töödelda nende kohta saadud andmeid, ning konkreetsed tegevuseesmärgid. Selle peatükiga nähakse ette, et liidu vahendeid Euroopa küberkilbi jaoks rakendatakse kooskõlas programmi „Digitaalne Euroopa“ käsitleva määrusega. Edasi kirjeldatakse selles peatükis seda, millistest üksustest Euroopa küberkilp moodustatakse. Küberkilbi moodustavad riiklikud ja piiriülesed infoturbekeskused. Piiriülene infoturbekeskus on konsortsium, mis koosneb vähemalt kolmest liikmesriigist (keda esindavad riiklikud infoturbekeskused), kes on kohustunud tegema koostööd, et koordineerida oma tegevust küberohtude ja -intsidentide avastamise ja seire valdkonnas. II peatükis sätestatakse nõuded, mida kohaldatakse teabe jagamisel piiriüleses infoturbekeskuses osalejate seas, piiriüleste infoturbekeskuste vahel ja asjaomaste ELi üksustega. Piiriüleses infoturbekeskuses osalevad riiklikud infoturbekeskused jagavad üksteisega asjakohast küberohtudega seotud teavet. 4 Piiriülesed infoturbekeskused tagavad omavahelise kõrgetasemelise koostalitlusvõime. II peatüki lõpus määratakse kindlaks turvanõuded osalemiseks Euroopa küberkilbis. Küberhädaolukorra mehhanism (III peatükk) III peatükiga nähakse ette küberhädaolukorra mehhanismi loomine, et suurendada liidu vastupidavusvõimet tõsiste küberohtude suhtes, valmistuda olulisteks ja ulatuslikeks küberintsidentideks ja -kriisideks ning solidaarsuse vaimus leevendada nende intsidentide ja kriiside lühiajalist mõju. Küberhädaolukorra mehhanismi rakendamise meetmeid toetatakse rahaliselt programmist „Digitaalne Euroopa“. Mehhanismi kaudu antakse abi meetmete jaoks, millega toetatakse valmisolekut (sh ülikriitilise tähtsusega sektorites tegutsevate üksuste koordineeritud testimist), reageerimist olulistele või ulatuslikele küberintsidentidele ja neist vahetut taastumist, tõsiste küberohtude leevendamist ja vastastikuse abi andmist. Plaanis olevate intsidentidele reageerimise meetmete rakendamiseks nähakse käesoleva määrusega ette ELi küberreservi loomine. EL küberreserv hakkab hõlmama usaldusväärsete teenuseosutajate osutatavaid intsidentidele reageerimise teenuseid. Need teenusepakkujad valitakse määruses sätestatud kriteeriumide alusel. Küberreservi teenuste kasutajateks on liikmesriikide küberkriisiohje asutused ja CSIRTid ning liidu institutsioonid, organid ja asutused. Üldine vastutus küberreservi rakendamise eest lasub komisjonil. Komisjon võib usaldada küberreservi käitamise ja haldamise täielikult või osaliselt ENISA-le. ELi küberreservist toetuse saamise eelduseks on kasutajapoolsete meetmete võtmine leevendamaks intsidendi mõju, millega seoses toetust taotletakse. Määrusega nähakse ette ka hankepõhimõtted ja kvalifitseerimise tingimused ELi küberreservi usaldusväärsete teenuseosutajate jaoks. Kolmandad riigid võivad taotleda ELi küberreservist toetust, kui see on ette nähtud assotsieerimislepinguga, mis on sõlmitud seoses nende osalemisega programmis „Digitaalne Euroopa“. Selles peatükis kirjeldatakse sellise osalemise tingimusi ja korda. Küberintsidentide läbivaatamise mehhanism (IV peatükk) IV peatükk sätestab, et komisjoni, EU-CyCLONe või CSIRTide võrgustiku taotlusel peaks ENISA vaatama läbi ja hindama konkreetse olulise või ulatusliku küberintsidendiga seotud ohte, nõrkusi ja leevendusmeetmeid. ENISA peaks esitama läbivaatamise ja hindamise tulemused läbivaatamisaruande vormis CSIRTide võrgustikule, EU-CyCLONe-le ja komisjonile, et toetada neid nende ülesannete täitmisel. Kui intsident on seotud kolmanda riigiga, peaks komisjon jagama aruannet ka Liidu kõrge esindajaga. Lõppsätted (V peatükk) V peatükis sätestatakse programmi „Digitaalne Euroopa“ käsitlevasse määrusesse tehtavad muudatused ning komisjoni kohustus esitada Euroopa Parlamendile ja nõukogule korrapäraselt aruanne määruse hindamise ja läbivaatamise kohta. Komisjonil on õigus võtta kooskõlas artiklis 21 osutatud kontrollimenetlusega vastu rakendusakte. 5 3. Euroopa Liidu asja vastavus pädevuse andmise, subsidiaarsuse ja proportsionaalsuse põhimõtetele 3.1. Kübersolidaarsusakt 3.1.1. Õiguslik alus Käesoleva ettepaneku õiguslik alus on Euroopa Liidu toimimise lepingu (edaspidi „ELi toimimise leping“) artikli 173 lõige 3 ja artikli 322 lõike 1 punkt a. ELi toimimise lepingu artiklis 173 on sätestatud, et liit ja liikmesriigid tagavad liidu tööstuse konkurentsivõimeks vajalikud tingimused. Käesoleva määrusega püütakse suurendada Euroopa tööstus- ja teenuste sektori konkurentsivõimet kogu digimajanduses ning toetada nende digiüleminekut, tõstes digitaalsel ühtsel turul küberturvalisuse taset. Eelkõige püütakse määrusega suurendada kodanike, ettevõtjate ning elutähtsate ja olulise tähtsusega sektorites tegutsevate üksuste vastupidavusvõimet üha suurenevate küberohtude suhtes, millel võib olla laastav mõju ühiskonnale ja majandusele. Käesolev ettepanek põhineb ka ELi toimimise lepingu artikli 322 lõike 1 punktil a, sest see sisaldab assigneeringute ülekandmist käsitlevaid norme, millega tehakse erand Euroopa Parlamendi ja nõukogu määrusest (EL, Euratom) 2018/1046 (edaspidi „finantsmäärus“) . Usaldusväärse finantsjuhtimise tagamiseks ning võttes arvesse küberturbekeskkonna ja küberohtude prognoosimatust, erandlikkust ja eripära, tuleks küberhädaolukorra mehhanismi puhul ette näha teatav paindlikkus eelarve haldamisel, eeskätt võimaldada kanda määruses sätestatud eesmärkide nimel võetavate meetmete puhul kasutamata kulukohustuste ja maksete assigneeringud automaatselt üle järgmisesse eelarveaastasse. Kuna see uus õigusnorm tekitab küsimusi seoses finantsmäärusega, võidakse seda arutada läbirääkimistel, mida peetakse praegu uuesti sõnastatud finantsmääruse üle. Siiani on ELi kübervaldkonna õigusaktide aluseks võetud ELi toimimise leppe artikkel 114, mis puudutab siseturu toimimise tagamist, siis sel korral on komisjon valinud artikli 173, mis on oma sisult spetsiifilisem ning rohkem tööstuse toimepidevusele ja konkurentsivõimelisusele suunatud. Komisjoni ettepanek on osa meetmetest tõsta ELi kerksust seoses Venemaa täiemahulise invasiooniga Ukrainasse ning nende kaudsete mõjudega ELile ning selle liikmesriikidele. Arvestades neid tingimusi ning asjaolu, et komisjon ei ole koostanud ettepanekule mõjuanalüüsi, on õiguslikule alusele konkreetse hinnangu andmine keeruline. Samas ei näi olevat õigusliku aluse ning määruse sisu vahel suuri vastuolusid. 3.1.2. Subsidiaarsus Kuna küberohtudel on tugev piiriülene mõõde ning riske ja intsidente, mille mõju kandub üle piiri ning muudele sektoritele ja toodetele, on üha rohkem, ei suuda liikmesriigid üksi käesoleva sekkumismeetme eesmärke tulemuslikult saavutada, mistõttu on vaja ühiseid meetmeid ja solidaarsust liidu tasandil. Seda tagatakse peamiselt läbi võrgu- ja infosüsteemide turbe (NIS 2.0) direktiivi ning hetkel menetluses oleva EL-i küberkerksuse määrusega, mille loodud mehhanisme peaks käesolev õigusakt ära kasutama. 6 Ukraina-vastasest sõjast tulenevate küberohtude kõrvaldamisel saadud kogemused ning kogemused, mis saadi Prantsusmaa eesistumise ajal korraldatud küberturvalisuse õppuse (EU CyCLES) käigus, näitavad, et solidaarsuse saavutamiseks ELi tasandil tuleks arendada konkreetseid vastastikuse toetamise mehhanisme, eelkõige koostööd erasektoriga. Hetkel puuduvad ühtlased alused nii liikmesriikide omavahelise abistamise toetamiseks kui ka erasektori kaasamiseks intsidentidele reageerimise kontekstis. Seda arvesse võttes on nõukogu 23. mai 2022. aasta järeldustes Euroopa Liidu kübervaldkonna positsiooni arendamise kohta kutsunud komisjoni üles esitama ettepaneku uue küberturvalisuse kiirreageerimisfondi kohta. Liidu tasandi toetusel ja meetmetel, millega parandatakse küberohtude avastamist ning suurendatakse valmisolekut ja reageerimissuutlikkust, on lisaväärtus, eriti kui nendega välditakse jõupingutuste dubleerimist liidus ja liikmesriikides. Nende edukas rakendamine tooks kaasa olemasolevate vahendite parema kasutamise ning saadud kogemusi käsitleva teabe tõhusama koordineerimise ja vahetamise. Küberhädaolukorra mehhanismi kaudu kavatsetakse pakkuda ELi küberreservist toetust ka programmiga „Digitaalne Euroopa“ assotsieerunud kolmandatele riikidele. Toetus, mida pakutakse mitmesuguste liidu tasandil loodavate ja rahastatavate algatuste kaudu, täiendab, mitte ei dubleeri liikmesriikide suutlikkust küberohtude ja -intsidentide avastamise, olukorrateadlikkuse, valmisoleku ja reageerimise valdkonnas. 3.1.3. Proportsionaalsus Käesoleva määruse meetmed ei lähe kaugemale sellest, mis on vajalik määruse üld- ja erieesmärkide saavutamiseks. Meetmed ei piira liikmesriikide vastutust riikliku julgeoleku, avaliku julgeoleku ning süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise eest. Need ei mõjuta ka kriitilise ja ülikriitilise tähtsusega sektorites tegutsevate üksuste juriidilist kohustust võtta kooskõlas küberturvalisuse 2. direktiiviga küberturvalisuse meetmeid. Käesoleva määrusega ette nähtud meetmed täiendavad selliseid jõupingutusi ja meetmeid, toetades taristu loomist ohtude paremaks avastamiseks ja analüüsimiseks ning valmisoleku- ja reageerimismeetmeid oluliste või ulatuslike intsidentide korral. 3.1.4. Vahendi valik Ettepanek esitatakse Euroopa Parlamendi ja nõukogu määrusena. See on kõige sobivam vahend, sest vaid vahetult kohaldatavaid õigusnorme sisaldava määrusega saab tagada ühtsuse määral, mis on vajalik Euroopa küberkilbi ja küberhädaolukorra mehhanismi loomiseks ja käitamiseks, nähes ette programmist „Digitaalne Euroopa“ antava toetuse nende mehhanismide loomiseks ning selged tingimused selle toetuse eraldamiseks ja kasutamiseks. 4. Esialgse mõjude analüüsi kokkuvõte Ettepanek toob märkimisväärset kasu mitmesugustele sidusrühmadele. Euroopa küberkilp suurendab liikmesriikides küberohtude avastamise võimekust. Küberhädaolukorra mehhanism 7 täiendab liikmesriikide meetmeid erakorralise toetusega, mida antakse valmisoleku, reageerimise ja vahetu taastumise või oluliste teenuste toimimise taastamise jaoks. Nende meetmetega suurendatakse Euroopa tööstuse ja ettevõtjate konkurentsivõimet kogu digimajanduses ning toetatakse nende digiüleminekut, tõstes digitaalsel ühtsel turul küberturvalisuse taset. Eelkõige püütakse suurendada kodanike, ettevõtjate ja kriitilise või ülikriitilise tähtsusega sektorites tegutsevate ettevõtjate ja üksuste võimet pidada vastu üha suurenevatele küberohtudele, millel võib olla laastav mõju ühiskonnale ja majandusele. Selleks investeeritakse vahenditesse, mis toetavad küberohtude ja -intsidentide kiiremat avastamist ja kiiremat reageerimist, ning aidatakse liikmesriikidel paremini valmistuda olulisteks ja ulatuslikeks küberintsidentideks ja neile paremini reageerida. See peaks aitama suurendada ka liidu suutlikkust neis valdkondades, eriti mis puudutab küberohte ja -intsidente käsitlevate andmete kogumist ja analüüsimist. Kuna küberohtudel on üldjuhul tugev piiriülene mõõde ning riske ja intsidente, mille mõju kandub üle piiri ning muudele sektoritele ja toodetele, on üha rohkem, ei suuda liikmesriigid üksi käesoleva sekkumise eesmärke tulemuslikult saavutada, mistõttu on vaja ühiseid meetmeid ja solidaarsust liidu tasandil. Ukraina-vastasest sõjast tulenevate küberohtude kõrvaldamisel saadud kogemused ning kogemused, mis saadi Prantsusmaa eesistumise ajal korraldatud küberturvalisuse õppuse (EU CyCLES) käigus, näitavad, et solidaarsuse saavutamiseks ELi tasandil tuleks arendada konkreetseid vastastikuse toetamise mehhanisme, eelkõige koostööd erasektoriga. Seda arvesse võttes on nõukogu 23. mai 2022. aasta järeldustes Euroopa Liidu kübervaldkonna positsiooni arendamise kohta kutsunud komisjoni üles esitama ettepaneku uue küberturvalisuse kiirreageerimisfondi kohta. Liidu tasandi toetusel ja meetmetel, millega parandatakse küberohtude avastamist ning suurendatakse valmisolekut ja reageerimissuutlikkust, on lisaväärtus, sest nendega välditakse jõupingutuste dubleerimist liidus ja liikmesriikides. Need toovad kaasa olemasolevate vahendite parema kasutamise ning saadud kogemusi käsitleva teabe tõhusama koordineerimise ja vahetamise. Kuna ELis eksisteerivad juba mitmed koostööplatvormid (tehnilise koostöö jaoks CSIRTide võrgustik, operatiivkoostöö ning küberkriisihalduse jaoks EU CyCLONe ning strateegilise koostöö jaoks NIS koostöörühm), on komisjon Euroopa küberkilbi loomist põhjendanud asjaoluga, et selle kaudu saab keskselt välja arendada ning investeerida võimekuste suurendamisesse. Komisjoni hinnangul ei võimalda teiste platvormide õiguslikud alused seda teha, kuigi varasemalt on CSIRTide võrgustiku kaudu ELi vahendite eest hangitud ühiseid tööriistu (MeliCERTES projekt). Määruse kaudu tekiksid lisaülesanded peamiselt Riigi Infosüsteemi Ametile, mida saab täita olemasolevate vahenditega. Komisjoni selgituste põhjal saab kasutada juba loodud riiklikke CSIRTe Euroopa küberkilbi tegevustes, mis aitab vältida ka siseriiklikult dubleerivate struktuuride loomist. Samas loob õigusakt tingimused tugevdada CERT-EE võimekusi, kuna Euroopa küberkilbis osalevatele üksustele eraldatakse ELi eelarvelisi vahendeid nii inimressursi kui ka teenuste hankimise jaoks. Liikmesriikidele tekib läbi õigusakti ka võimalus olla keskses rollis küberhädaolukorra mehhanismi rakendamises, kus pädevad asutused otsustavad (heakskiidu peab andma ka komisjon), millised ettevõtted või üksused peaksid saama toetust kerksuse kasvatamiseks või intsidendist taastumiseks. Sellised ülesanded saab Eestis olemasoleva inimressursiga ära katta, 8 kuid täiendavad kulud tulenevad asjaolust, et ELi raha kasutamiseks on vaja liikmesriikidel tagada 50% ulatuses kaasrahastus. 5. Vabariigi valitsuse seisukoha selgitus 5.1. Kübersolidaarsusakt 5.1.1. Seisukoht Eesti toetab ühtsete EL küberturvalisuse nõuete ja sertifitseerimisskeemide väljatöötamist kübersolidaarsusakti raames, et tagada küberettevõttetele tõhusamad tingimused siseturul teenuste pakkumiseks. Selgitus: Seisukoht puudutab EL-i küberturvalisuse akti muudatust üldisemalt kui ka kübersolidaarsusakti artiklit 16. Kuna muudatuse eesmärk on luua ühtlustatud lähenemisviis küberturvalisuse sertifitseerimisskeemidele, saadakse ühtsemast raamistikust kasu kogu Euroopa Liidus. Oluline on, et nõuded kehtiksid ühetaoliselt nii EL-is tegutsevatele kui ka EL- i turule toodavatele IKT-toodetele, -teenustele. See neutraliseerib killustumise riski, mille põhjustavad üksikute liikmesriikide välja arendatavad sertifitseerimisskeemid. Samade nõuete kehtestamine maaletoojatele välistab koosmõjus küberkerksuse aktiga EL turul tegutsevate ettevõtete ebavõrdsesse olukorda panemise. Ühtlustamine edendab digitaalset ühtset turgu IKT- toodete, -teenuste, -protsesside ja hallatavate turbeteenuste jaoks, edendades küberturvalisuse valdkonnas tegutsevate üksuste koostalitlusvõimet ja usaldust. Muudatus on vajalik ja võimaldab ettevõttel vastavuses konkreetse küberturbe sertifitseerimisskeemiga teha IKT toodetele vastavushindamist, see protseduur on vastavuses NLF-iga ja ettevõtjatele tuttav. Toodetele kehtestavad nõuded täienevad eeldatavasti kolme kuni viie aasta jooksul põhjalikult ka EL-i küberkerksuse määruse rakendumisel, mistõttu tuleks neid nõudeid kübersolidaarsusakti raames juba võimalikult palju arvestada. 5.1.2. Seisukoht Euroopa Liidu kübersolidaarsusakt peab arvestama – ennekõike küberjulgeoleku intsidentide ülevaatemehhanismi ja küberturbeoskuste akadeemia osas – olemasolevate ning välja töötatavate platvormide ja strateegiatega ning mitte dubleerima juba olemasolevaid struktuure. Selgitus: Seisukoht puudutab artikleid 1, 3, 4 ja 18, mille puhul tuleks ära kasutada juba olemas olevaid lahendusi. Loodavad algatused – ennekõike küberjulgeoleku intsidentide ülevaatemehhanism ja küberturbeoskuste akadeemia – ei tohiks dubleerida olemasolevaid organisatsioone ja nende pädevusi. Näiteks on ka EL komisjon juba kinnitanud, et infoturbekeskuste – mis on osa 9 Euroopa küberkilbist - loomiseks võib ära kasutada riikliku CSIRTi (Computer Security Incident Response Team) taristut ning inimressurssi, panemata erinevaid piiranguid CSIRTide igapäevatöö korraldamisele. Arvestades Eesti aktiivset rolli EL tasandi infovahetuses tehnilistel ja operatiivplatvormidel, näeme lisandväärtust eelkõige partnerriikide poolse infovahetuse suurendamises ning tihedamas koostöös erasektoriga. 5.1.3. Seisukoht Toetame piiriüleste infoturbekeskuste loomist, mille ülesanded ning eesmärk peaksid täiendama, mitte dubleerima, küberturvalisuse direktiivi alusel loodud ning juba toimiva intsidentide lahendamise üksuste (Computer Security Incident Response Team) võrgustiku tööd. Selgitus: Seisukoht puudutab artikleid 3-6. Vältida tuleks piiriüleste infoturbekeskuste (SOC) kui CSIRT võrgustikule alternatiivi tekitamist. Oluline on selgus SOC-ide ja CSIRT’ide erinevates rollides ja pädevustes ning tagada CSIRT’ide täiendav ELi poolne rahastus CSIRT’ide võrgustiku võimestamiseks ja selles formaadis infovahetuse tõhustamiseks. Praeguselt määruse ettepanekult ootame SOC’ide kontseptsiooni selgemat määratlemist ja ühtlustamist. Arvestades, et piiriülestel infoturbekeskustel ei ole hetkel ette nähtud selget formaati või kuju, tekitavad väga eriilmelised infoturbekeskused pigem segadust, mitte ei too komisjoni taotletud kasu: tõhusamat infovahetust ja seeläbi suuremahuliste kahjude ennetamist, mille tingivad küberohud. Samuti ei ole praegusel hetkel kõik liikmesriigid avaldanud soovi saada piiriüleste infoturbekeskuste osaks. Liikmesriikidel on ka täna ilma täiendava regulatsioonita võimalik luua eraldi koostööformaate poliitiliste deklaratsioonide (Memorandum of Understanding) printsiibil. 5.1.4. Seisukoht Eesti ei toeta seda, et küberreservist teenuseid hankiva ettevõtte kohta käivad küberintsidendialased andmed tuleks edastada Euroopa Komisjonile, ega operatiivvõimekuse loomist Euroopa Komisjoni juurde. Küberintsidentidest teavitamine peab toimuma jätkuvalt liikmesriikide pädevate siseriiklike üksuste koostöös. Euroopa Komisjon ei peaks vastutama küsimuste eest, mis puudutavad küberturvalisuse operatiivseid ja tehnilisi aspekte, arvestades, et tal puuduvad selleks tehnilised pädevused ning vajalik inimressurss. Selgitus: Seisukoht puudutab artikleid 13, 14 ja 18. Eesti ei toeta lähenemist, mille alusel tuleb küberreservist teenuseid hankiva ettevõtte kohta käiv intsidendi-kohane info edastada Euroopa komisjonile. ELi ülese infovahetuse parandamiseks piisab, kui riiklik CSIRT edastab vastava info anonümiseeritud vormis ENISA-le, järgides NIS 2.0 kehtestavaid nõudeid. Arvestades Euroopa Liidu küberturvalisusega seotud organisatsioonideja regulatsioonide küllust, 10 suurendaks lisamehhanismi loomine segadust ja killustaks liialt EL kübermaastikku. Lisaks puudub komisjonile operatiivteabe edastamise täiendav lisandväärtus, mida teistes formaatides juba ei pakuta. Euroopa Komisjon kui EL-i täidesaatva võimu esindaja ei peaks vastutama küsimuste eest, mis puudutavad küberturvalisuse operatiivseid ja tehnilisi aspekte ning teiseks, komisjonil puuduvad tehnilised pädevused ning vajalik inimressurss. Liigne andmete edastamine EL tasandile kätkeb endas julgeolekuriske ning tekitab liigset halduskoormust nii ettevõtetele kui ka liikmesriikide pädevatele asutustele. Liikmesriikide vastastik toetamine EL-i toimimise lepingu art. 42 para. 7 ja art. 222 kontekstis tuleks määruses põhjalikumalt lahti seletada. Samuti, arvestada omavahelisi sõltuvusi, ning et küberruumis pole alati võimalik eristada tsiviilkriisi sõjalisest, peame Artikkel 15 lg 3 tuginedes oluliseks, et vajadusel ja võimalusel saab küberkriisi mehhanism ning loodav küberreservgi anda täiendavat abi ühise välis- ja julgeolekupoliitika ning ühise julgeoleku- ja kaitsepoliitikaraames. 5.1.5. Seisukoht Eesti toetab usaldusväärsete teenusepakkujate reservi loomist eeldusel, et selle tingimused soodustaksid ka väikeste ning keskmise suurusega ettevõtete ja teiste küberökosüsteemi osaliste kaasamist. Tingimused, mis võimaldavad kvalifitseeruda usaldusväärsete teenusepakkujate nimekirja, peavad olema ka Eesti kübervaldkonna ettevõtjatele soodsad. Selgitus: Seisukoht puudutab artiklit 16. Küberhädaolukorra mehhanismi ja usaldusväärsete teenusepakkujate nimekirja tekkimisega seoses vajavad täpsustamist mitmed aspektid. Näiteks kuidas on mõeldud tekkinud „küberreservi“ rahastamine? Kui jah, siis millistel tingimustel tuleb siiski hiljem mingi osa tagasi maksta? Kes ja kuidas hakkab tegema triaaži abivajaduste osas ehk millised tegevused kvalifitseeruvad nimetatud abile ja millised mitte? Kas abivajaja saab ise valida usaldusväärsete teenusepakkujata nimekirjast endale sobiva abiandja? Need küsimused on määrava tähtsusega kavandatava meetme vajaduse ja asjakohasuse tuvastamiseks. Samuti on meile oluline, et usaldusväärsete teenusepakkujate nimekirja kvalifitseeruksid ka Eesti (küber)ettevõtjad. See tähendab, et n-ö usaldusväärseks kvalifitseerumise tingimused peavad olema sellised, mis ka Eesti üksustele sobiksid. Juhul kui määrusega seatavad tingimused on liiga spetsiifilised ning koormavad, võib see välistada suure hulga väiksemaid ning keskmise suurusega ettevõtteid, kelle administratiivne võimekus ei ole võrreldav suurte rahvusvaheliste ettevõtetega. Meie hinnangul vajaks täiendavat analüüsi ka see, kas ja mis tingimustel tagatakse „oluliste julgeolekuhuvide“ kaitse olukorras, kus ettepaneku Artiklis 16 mainitud trusted providers alluvad kolmanda riigi õigusele või asuvad väljaspool EL-i. 11 5.1.6. Seisukoht Eesti leiab, et usaldusväärsete teenusepakkujate reservi peaksid kuuluma ka teised olulised ökosüsteemi osalised nagu näiteks ülikoolid ja teadusasutused (nt krüptograafia, kvantarvutuse, kvantside jt valdkondades) ning avaliku- ja erasektori organisatsioonide koostöövormid. Selgitus: Seisukoht puudutab artiklit 16. Tehisintellekti areng ja küberkuritegevuse tõus nõuab digioskuste ja -taibu elukestvat arendamist, millega tegelemine on küberjulgeoleku vaatest möödapääsmatu. Uute tehnoloogiate sisuline arendus (kvantvõrk, kvantarvutus, krüptograafia jne) tingib vajaduse kaasata usaldusväärsete teenusepakkujate reservi ka ülikoolid ja teised teadusasutused. Eesti kontekstis tegelevad nende valdkondade eestvedamisega jõudsalt teadusasutused. 5.1.7. Seisukoht Leiame, et küberhädaolukorra mehhanismi peaksid saama kasutada ka kolmandad riigid ning nende kaasamise osas peab Euroopa Liidu liikmesriikidel olema kaasarääkimise võimalus. Selgitus: Seisukoht puudutab artiklit 17. Koostöö olulisust suurendab kübervaldkonna piiriülene iseloom ja pahaloomuliste intsidentide ülekandeefekt (spillover efect). Küberohtudele vastamisel on partnerite (sh ka kolmandate riikide) vaheline teabevahetus ühise ohupildi loomisel hädavajalik. Määruse eelnõu rõhutab sarnaselt, et küberohtude ja -intsidentide maandamisel on infovahetuse kiiruse tõstmine kriitilise tähtsusega. Seetõttu peaksid küberhädaolukorra mehhanismis saama kasutada ka kolmandad riigid (nt UA). Samas peavad paigas olema kohased reeglid ja kriteeriumid välistamaks mehhanismi võimalikku kuritarvitamist. Hetkel välja toodud protsessi kohaselt otsustavad kolmandate riikide toetamise komisjon ning Euroopa välisteenistus (EEAS), kaasamata liikmesriike. Oleme arvamusel, et sellised otsused peaksid sündima koostöös liikmesriikidega, näiteks horisontaalses küberasjade töörühmas või NIS koostöörühmas. 5.1.8. Seisukoht Eesti hinnangul peaks Euroopa Komisjon enne õigusakti vastuvõtmist läbi viima mõjuhinnangu, kuna õigusakti vastuvõtmisega kaasnevad muudatused kogu digivaldkonna rahastusele. Mõjuhinnang peaks: 5.1.8.1. mh kirjeldama kuidas loodav mehhanism sobitub eksisteerivasse küberökosüsteemi; 12  5.1.8.2. kajastama - lähtudes Eesti varasematest seisukohtadest - hinnangut vajalikule minimaalsele küberkulutuste tasemele infotehnoloogiaalaste investeeringute kogusummast; 5.1.8.3. andma piisava sisendi, et hinnata komisjoni poolt liikmesriikidele seatud kohustuste mõju liikmesriikide eelarvetele ning kaaluda võimalust nende rahastamiseks Euroopa Liidu eelarvest. Küber- ja infotehnoloogiavaldkonnas tuleks kaaluda erandeid Euroopa Liidu rahastuse kasutamisel, mis lubaksid kasutada seda raha põhjendatud juhtudel ka Euroopa Liidu õigusest tulenevate infosüsteemide ja teenuste ülalpidamiseks ja arendamiseks ehk mitte üksnes ühekordseks süsteemi rajamise investeeringuks. Selgitus: Seisukoht puudutab kogu määruse ettepanekut. Eelnõu koostamise faasis ei ole komisjon kaasanud ei ELi kübervaldkonna sertifitseerimisgruppi (ECCG), EL-i nõukogu horisontaalset küberasjade töörühma ega eksperte laiemalt. Samuti puudub eelnõul kohane mõjuanalüüs. Põhimõttelisi muutusi ei saa läbi viia ilma kavandatavate muudatuste mõjusid hindamata. Mõjuhinnang on vältimatult vajalik kavandatavate muudatuste osas valikute tegemiseks. Leiame, et komisjoni ettepanekul on oluline mõju, kuivõrd nendel tingimustel hakatakse kübervaldkonna EL-i raha haldama käesoleval eelarveperioodil, mistõttu arvame, et ettepanekuga oleks pidanud kaasnema mõjuhinnang. Komisjoni ettepanekuga kaasneb eelarvevahendite ära võtmine Digitaalse Euroopa programmi (DEP) teistelt valdkondadelt, eelkõige digipädevuste (valdkond nr 4) ning tehisintellekti (valdkond nr 2) rakendamise tegevustelt. Need on varasemalt põhjalike mõjuanalüüside toel paika pandud vahendid ning selliste oluliste valdkondade tegevuste vähendamise mõju peab olema põhjalikult selgitatud. Eelnõu kohaselt jaotuvad DEP-i vahendid pärast muudatusi järgmiselt: „b) 1 776 956 000 eurot erieesmärgiks nr 2 – „Tehisintellekt“; c) 1 629 566 000 eurot erieesmärgiks nr 3 – „Küberturvalisus ja usaldus“; d) 482 347 000 eurot erieesmärgiks nr 4 – „Kõrgtasemel digioskused“. Seetõttu peame vajalikuks enne konkreetsete muudatusettepanekute fikseerimist läbirääkimise käigus vajaliku mõjuhinnangu korraldamist komisjoni poolt. Varasemalt on Vabariigi Valitsus vastu võtnud seisukohad vajaliku küberinvesteeringute taseme hindamiseks Euroopa Liidus. Majandus- ja kommunikatsiooniministeeriumi Memorandum küberkulutuste osakaalu kohta1 sätestab, et EL tasandil on vaja välja töötada rahvusvaheliselt tunnustatud küberinvesteeringute hindamise metoodika. Loodav investeeringute hindamise mudel peaks andma optimaalse küberturvalisuse investeeringute mahu sõltuvalt näiteks asutuse või organisatsiooni üldisest eelarvest või IT-eelarvest. Eelnevale analüüsile lisaks peaks mõjuanalüüsis sisalduma ülevaade selle kohta, millises mahus seab määruse ettepanek LRdele eelarvelisi kohustusi ning millistel juhtudel ning millises mahus oleks võimalik vastavast regulatsioonist tulenevaid kohustusi rahastada EL eelarvest. 1 Memorandum – EIS (valitsus.ee) 13 5.2. Küberturvalisuse määruse muudatus 5.2.1. Seisukoht Eesti toetab küberturvalisuse määruse (Cyber Security Act) muudatust kujul, mis loob õigusliku aluse ettevõtete sertifitseerimiseks. Selgitus: Seisukoht puudutab küberturvalisuse määruse muudatust, kus muudetakse artikleid 1, 8, 46 ja 47, 49, 51, 52, 53, 54, 56, 58, 59 ja 67. Muudatus on vajalik ja võimaldab ettevõttel vastavuses konkreetse küberturva sertifitseerimisskeemiga teha IKT toodetele vastavushindamist, see protseduur on vastavuses NLF-iga ja ettevõtjatele tuttav. Sertifitseerimisskemi protsessi läbimine võimaldab ettevõtetel pääseda uude loodavasse usaldusväärsete teenusepakkujate platvormi. Muudatuse ettepanekus on täpsemalt lahti kirjutatud ENISA ülesanded sertifitseerimisel. Muudatus hõlbustab sertifitseerimisskeemide kiiremat rakendamist. Põhjalikumad küberturvalisuse määruse muudatused peaksid kaasnema järgmisesse aastasse planeeritud määruse läbivaatusega. 5.3. Küberturbeoskuste akadeemia teatis 5.3.1. Seisukoht Toetame küberoskuste platvormi loomist, sh koordineeritud lähenemisviisi, mis aitab suurendada küberturbeoskustega inimeste arvu ja edendada sellega konkurentsivõimet Euroopa Liidus. Selgitus: Toetame EL komisjoni kavatsust panustada küberturbeoskuste arendamisse, sest küberturvalisuse spetsialistidest on puudus nii Eestis kui ka ELis. Tervikliku, süsteemse ja kaasava valdkondliku poliitika elluviimiseks on vaja koordineeritud lähenemisviisi. Euroopa komisoni teatises viidatakse, et 2022. aastal oli Euroopa Liidus puudu 260 000 kuni 500 000 küberturvalisuse spetsialisti. Riigisektori võimekuse (sh teadlikkuse) kasvatamise olulisust toonitab ka keskne strateegiline arengudokument Eesti digiühiskond 2030. Arengukava kohaselt tuleb akadeemiliste asutuste ja arenduskeskuste võimekust kasvatada, et viia ellu riiklikult olulisi küberturbe uurimis- ja arendusprojekte; suurendada spetsialiseerunud ekspertide hulka riigisektoris teemadel, mis on vajalikud kõrgel tasemel küberturvalisuse tagamiseks ja Eesti digiriigi alusteenuste toimimiseks. 5.3.2. Seisukoht 14 Eesti leiab, et praegusel kujul on mainitud küberoskuste platvormi nimetus eksitav ja Eesti ei toeta selle nimetamist „akadeemiaks“. Samuti peame vajalikuks formuleerida selle platvormi roll küberoskusi pakkuvate tsiviil- ja militaar sektori akadeemiliste õppeasutuste suhtes. Selgitus: Teatisest nähtub, et akadeemia koondab olemasolevad algatused veebiplatvormil (single point of entry), suurendades küberõppele kandideerijate hulka ja kasvatades seeläbi potentsiaalsete tulevaste küberspetsialistide arvu ELis. Ometi vajab „Küberoskuste akadeemia“ juhtimise kontseptsioon, konsortsiumi vormis, digioskuste ja töökohtade platvormi kontaktpunkti näol selgitamist ja täpsustamist. Hetkel pole arusaadav, millised on ootused liikmesriikidele ning kuidas saab tagatud, et väikeriigid ei jääks suurriikide varju ega pakutavatest võimalustest kõrvale. Samuti on oluline välja tuua millist puudujääki hakkaks „akadeemia“ küberkaitse hariduses teiste olemasolevate akadeemiliste õppeasutuste kõrval täitma. Kuna tegu ei ole siiski ülikooliga (akadeemilise teadusasutusega), millele nimi viitab, võib antud nimekuju võib olla eksitava iseloomuga. Samuti on vaja selgitust, mida ja milliseid asutusi akadeemia konkreetselt enda alla koondaks, missugust mandaati akadeemia omaks, mille tarbeks rahastust jagatakse ning milliseid küberjulgeolekualaseid distsipliine akadeemia alla kuuluvad väljaõpped endas hõlmavad. Toetame, et sektoriaalne kaetus oleks laiapindne ja sh arvestataks ka kaitsevaldkonnaga, nagu nt alampeatüki 4.3 all esimeses lõigus on märgitud, et õpiväljundid kattuvad tihtipeale nii tsiviil-, sõjalis-, õigus- kui ka diplomaatilises kogukonnas. Näiteks on oluline, et arvestades NATO küberkaitsekoostöö keskuse Tallinnas (CCDCOE) rolli väljaõppe pakkumisel keskuse liikmesriikide ning NATO vajadustele vastavalt, on oluline CCDCOE-d arvestada ühe osapoolena, kellega „Küberoskuste akadeemia“ loomisel. 6. Arvamuse saamine ning seisukohtade kooskõlastamine Majandus- ja Kommunikatsiooniministeerium on seisukohtade ettevalmistamisel küsinud sisendit Kaitseministeeriumilt, Siseministeeriumilt, Välisministeeriumilt, Haridus- ja Teadusministeeriumilt ning Riigikantselei Julgeoleku ja riigikaitse koordinatsioonibüroolt. Küberpakett saadeti arvamuse saamiseks ka järgnevatele asutustele ja organisatsioonidele: Eesti Elektroonikatööstuse Liit, Eesti Masinatööstuse Liit, Eesti Kaubandus- ja Tööstuskoda, Eesti Linnade ja Valdade Liit, Eesti Kohtuekspertiisi Instituut, Riigiprokuratuur, Andmekaitse Inspektsioon, Haridus- ja Noorteamet, Kaitseliit, Kaitsevägi, Politsei- ja Piirivalveamet, Kaitsepolitseiamet, Välisluureamet, Sihtasutus KredEx, Eesti Interneti Sihtasutus, Tarbijakaitse ja Tehnilise Järelevalve Amet, Riigi Infokommunikatsiooni Sihtasutus, Riigikantselei Julgeoleku ja riigikaitse koordinatsioonibüroo, Tallinna Tehnikaülikool, Tallinna Ülikool, Tartu Ülikool, e-Riigi Akadeemia, Rahvusvaheline Kaitseuuringute Keskus, NATO Küberkaitsekoostöö Keskus, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Kaitsetööstuse Liit, Eesti Infoturbe Assotsiatsioon, Eesti Pangaliit, Riigi Infosüsteemi Amet, Riigi IKT Keskus. 15 Arvamuse saatsid Siseministeerium, Välisministeerium, Kaitseministeerium, Haridus- ja Teadusministeerium, Riigi Infosüsteemi Amet, Riigikantselei julgeoleku ja riigikaitse koordinatsioonibüroo, Tarbijakaitse ja Tehnilise Järelevalve Amet, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Interneti Sihtasutus, Eesti Kaubandus- ja Tööstuskoda, Andmekaitse Inspektsioon, Kaitseliit. Saabunud sisendid on esitatud kaasamise tabelis (lisa 1). 16  Lisa 1. Arvamused Euroopa Liidu küberpaketi kohta Nr Ettepaneku sisu Arvestatud/ mittearvestatud/ selgitatud 1. Siseministeerium 1.1 1. Siseministeeriumi arvates on antud määrused ja algatused küberturvalisuse seisukohalt igati 1.) Arvestatud vajalikud. Eriti küberturvalisuse koostöös tekkiv küberreserv ja küberturvalisusega seotud 2.) Arvestatud inimeste värbamine läbi erinevate meetmete (st Cybersecurity Skill Academy). 3.) Teadmiseks 2. Hetkel on jäänud algatustest ebaselgeks, millised uued tingimused ja kohustused langevad võetud. liikmesriikide, sh kohalikele SOC-idele rakenduvad. Samuti on ebaselge teiste organisatsioonide kohustused, mis asuvad Siseministeeriumi vastutusalas. Samas on mõistlik erinevate inistatiivide puhul kindlustada, et ei looda uus organisatsioone, vältimaks dubleerimist ning ülemäärast halduskoormust. On võimalik, et algatustest lähtuvaid ülesandeid võib täita olemasoleva organisatsiooni raames (nt ENISA). 3. Eraldi ääremärkusena palume kindlustada, et EL ja liikmesriikide vaheline kompetentside jaotus oleks selgelt piiritletud ja hoitud, kuna EL sekkumine liikmesriigi sisejulgeolekupoliitikasse ei tohiks olla võimalik. 2. Välisministeerium 2.1 Välisministeerium toetab küberohte maandavaid ning -julgeolekut tõstvaid meetmeid Euroopa Liidu Arvestatud. tasemel. Oleme seisukohal, et ühine panustamine küberturvalisusse, investeeringud -kerksuse tõstmisse ja koostöö partneritega -ohtudele ning -intsidentidele vastamisel on tugeva digiühiskonna vältimatud osised. Koostöö samameelsete partneritega tagab vaba, avatud, turvalise ja stabiilse üleilmse küberruumi püsimise. Riigiülese koostöö olulisust suurendab kübervaldkonna piiriülene iseloom ja pahaloomuliste intsidentide ülekandeefekt (spillover efect). Küberohtudele vastamisel on partnerite vaheline teabevahetus ühise ohupildi loomisel hädavajalik. Teatis rõhutab sarnaselt, et küberohtude ja - intsidentide maandamisel on infovahetuse kiiruse tõstmine kriitilise tähtsusega. Teatis nendib, et vaatamata piiriülesusele, on riikide suutlikus ja soov küberohuteadmust jagada piiratud. Komisjoni plaan parandada infovahetust läbi loodavate ELi turvaoperatsioonikeskuste (Security Operations Centre, SOC) infrastruktuuri on tervitatav. Lisaks teabevahetuseks tarviliku infrastruktuuri arendamise on tarvilik tõsta ka riikide omavahelist usaldust kriitilise info jagamisel. Välisministeerium nõustub, et globaalsete küberohtude tõusule vastamiseks on möödapääsmatu tagada kvalifitseeritud tööjõu järelkasv. Nõustume teatises rõhutatuga, Euroopa Liit vajab kriitilise taristu kaitseks üha enam kübereksperte, kes suudaksid olemasolevat infot töödelda, ohte ennetada, tuvastada, maandada ja ohtudele efektiivselt vastu astuda. Niisamuti on küberekspertide järelkasv hädavajalik Euroopa Liidu konkurentsivõime säilitamiseks globaalses küberkeskkonnas. Teatises rõhutatakse, et erinevate uuringute alusel on Euroopa Liidu küberkerksuse säilitamiseks puudu suurusjärgus 500 000 eksperti. Tehisintellekti areng ja küberkuritegevuse tõus nõuab digioskuste ja -taibu elukestvat arendamist, millega tegelemine on küberjulgeoleku vaatest möödapääsmatu. Toetame initsiatiivi luua EL küberoskuste akadeemia, mille eesmärk on tõsta Euroopa Liidu küberkerksust olemasolevate väljaõppe- ja rahastusvõimaluste vahendamise teel. Teatisest nähtub, et akadeemia koondab olemasolevad algatused veebiplatvormil (single point of entry), suurendades küberõppele kandideerijate hulka ja kasvatades seeläbi potentsiaalsete tulevaste küberspetsialistide arvu ELis. Algatus on mh kooskõlas ELi digikümnendi poliitikaprogrammis sätestatuga1, mis näeb ühe eesmärgina ette, et aastaks 2030 on ELi tööturul vähemalt 20 miljonit IKT spetsialisti, fookusega naiste juurdepääsu digi- ja kübervaldkonnale parandamisega. Küberruumis toimuv mõjutab selgelt ka rahvusvahelisi suhteid. Rahvusvaheline õigus küberruumis, küberoperatsioonide roll tänapäevastes konfliktides ja riikide vastutustundlik käitumine küberruumis on teemad, mille tähtsus diplomaatilises suhtluses kasvab. Kiiresti arenevas tehnoloogilises keskkonnas on seetõttu oluline panustada ka küber- ja digidiplomaatia valdkonna laiemale teadvustamisele ja populariseerimisele. Loodame, et koostöös EL küberoskuste akadeemiaga on võimalik tuua valdkonnale väärilist tähelepanu. 3. Kaitseministeerium 3.1 A) COM(2023) 207 final, Communication from the Commission to the European Parliament and the A) Arvestatud Council on Closing the Cybersecurity Talent Gap to boost the EU’s Competitiveness, Growth, and B) Arvestatud Resilience („The Cybersecurity Skills Academy“) C) Arvestatud 1  1) Lähtuvalt Eesti seisukohtadest EL küberkaitsepoliitikatele (Euroopa Komisjoni ja Euroopa Välisteenistuse ühisteatis EL küberkaitsepoliitika kohta 09.11.2022), toetame Komisjoni ja EEAS püüdlusi küberkaitsealase kompetentsi kasvatamist EL-is. 2) See-eest peame oluliseks, et uued initsiatiivid nagu küberoskuste akadeemia annaksid lisandväärtust olemasolevatele. Hetkel ei ilmne teatise alusel piisavalt selgelt, millist puudujääki hakkaks akadeemia täitma. Dubleerimise vältimiseks peaks see pakkuma midagi täiendavat võrreldes nt olemasoleva Euroopa Julgeoleku- ja Kaitsekolledži raames antava väljaõppega. 3) Lk 4 peatüki 2 all on kirjeldatud osapooli, kelle vahel tuleks edendada sünergiate saavutamist, et ühiselt ning dubleerimata küberjulgeolekualaseid oskuseid liiduüleselt arendada. Arvestades NATO küberkaitsekoostöö keskuse (edaspidi CCDCOE) rolli väljaõppe pakkumisega keskuse liikmesriikide ning NATO vajadustele vastavalt, ja et haridus ja väljaõpe on üks valdkondades EL-NATO koostööst, peame oluliseks, et CCDCOE-gi oleks arvestatud ühe osapoolena, kellega küberoskuste akadeemia loomisel arvestada ning koostööd edaspidi teha. 4) Lk 5 peatüki 3.1 all on märgitud, et akadeemia toimiks nn single point of entry’na ning tagab sünergiaid küberjulgeolekualase väljaõppe, hariduse kui ka rahastusvõimaluste puhul. Siinkohal palume selgitust, mida ja milliseid asutusi akadeemia konkreetselt enda alla koondaks, missugust mandaati akadeemia omaks, mille tarbeks rahastust jagatakse ning milliseid küberjulgeolekualaseid distsipliine akadeemia alla kuuluvad väljaõpped endas hõlmavad. Toetame, et sektoriaalne kaetus oleks laiapindne ja sh arvestataks ka kaitsevaldkonnaga, nagu nt alampeatüki 4.3 all esimeses lõigus on märgitud, et õpiväljundid kattuvad tihtipeale nii tsiviil-, sõjalis-, õigus- kui ka diplomaatilises kogukonnas. B) COM(2023) 208 final, Proposal for a Regulation of the European Parliament and of the Council on amending Regulation (EU) 2019/881 as regards Managed Security Services, 2023/0108(COD) 1) Toetame küberturvalisuse teenusepakkujate hõlmamist Euroopa küberturvalisuse sertifitseerimise skeemi, et tagada nende teenuste standardiseerimine EL-üleselt. C) COM(2023) 209 final, Proposal for a Regulation of the European Parliament and of the Council on laying down Measures to strengthen Solidarity and Capacities in the Union to detect, prepare for and respond to Cybersecurity Threats and Incidents, 2023/0109(COD) 1) Toetame põhjenduses nr 21 väljatoodut, et küberkaitse vaatest on kasu tsiviilsektori paremast võimest ohte tuvastada ja kriitilist taristut seeläbi kaitsta. Samuti on oluline, et infovahetus tsiviil- ja kaitsekogukondade vahel oleks võimaldatud läbi ühildatavate lahenduste ning selle tagamiseks oleksid ka liikmesriigid kaasatud. Seeläbi peame oluliseks, et Artikkel 3 lg 1 märgitud ettepanekus SOC-ide tegevuse toetuseks arendatavad võimed arvestaksid olemasolevate lahenduste ühilduvuse tagamisega, millele omakorda viitab Artikkel 6 lg 3. 2) Meie hinnangul ei kohusta ettepanek eraõiguslikke üksuseid jagama SOC-idele infot ohtude või haavatavuste kohta, kuigi NIS-2 nõuab, et liikmesriigid hõlbustaksid vabatahtlikku teabe jagamist. Õigusaktid võiksid toimida ühtse süsteemina ning toetada teineteise rakendamist. Siinjuures võiks olla abiks näiteks täiendav analüüs õigusaktide vahelise sünergia kohta. 3) Seoses Artikkel 4 lg 2 ning Artikkel 5 lg 2 palume selgitust, mille alusel määratletakse võimevajadused (tools and infrastructure) ning kuidas on reguleeritud vastavad ühishanked. 4) Arvestades omavahelisi sõltuvusi ning küberruumis pole alati võimalik eristada tsiviilkriisi sõjalisest, peame Artikkel 15 lg 3 tuginedes oluliseks, et vajadusel ja võimalusel saab küberkriisi mehhanism ning loodav küberreservgi anda täiendavat abi ühise välis- ja julgeolekupoliitika ning ühise julgeoleku- ja kaitsepoliitikaraames. 5) Meie hinnangul vajaks täiendavat analüüsi ka see, kas ja mis tingimustel tagatakse „oluliste julgeolekuhuvide“ kaitse olukorras, kus ettepaneku Artiklis 16 mainitud trusted providers alluvad kolmanda riigi õigusele või asuvad väljaspool EL-i. 4. Haridus- ja Teadusministeerium 4.1 1. Toetame koordineeritud lähenemisviisi, mis aitab suurendada küberturbeoskustega 1.) Arvestatud inimeste arvu ja edendada sellega konkurentsivõimet, majanduskasvu ning kerksust Euroopa 2.) Osaliselt Liidus. arvestatud 3.) Osaliselt Selgitus: tervitame komisjoni kavatsust panustada küberturbeoskuste arendamisse, sest küberturvalisuse arvestatud spetsialistidest on puudus nii Eestis kui ka ELis. Tervikliku, süsteemse ja kaasava valdkondliku poliitika 4.) Teadmiseks elluviimiseks on vaja koordineeritud lähenemisviisi. Euroopa Komisoni teatises viidatakse, et 2022. aastal võetud oli Euroopa Liidus puudu 260 000 kuni 500 000 küberturvalisuse spetsialisti. Riigisektori võimekuse (sh teadlikkuse) kasvatamise olulisust toonitab ka keskne strateegiline arengudokument Eesti digiühiskond 2030. Arengukava kohaselt tuleb akadeemiliste asutuste ja arenduskeskuste võimekust kasvatada, et viia ellu riiklikult olulisi küberturbe uurimis- ja arendusprojekte; suurendada spetsialiseerunud ekspertide hulka 2 riigisektoris teemadel, mis on vajalikud kõrgel tasemel küberturvalisuse tagamiseks ja Eesti digiriigi alusteenuste toimimiseks. Väikeriigile omaselt Eestil oskustega spetsialiste napib. Eesti läbiviidud küberturbe valdkonna tööjõuvajaduse ja hariduse uuring ennustas, et aastaks 2023 vajame nii era- kui ka avalikus sektoris küberturbe valdkonda juurde 270–870 küberturbe kompetentsidega spetsialisti. Küberturvalisuse ettevõtted ja asutused hindasid tööjõu kasvuks umbes 10% aastas. Oskustega arendamiseks on hetkeseisuga Eestis 15 riikliku õppekavaga kirjeldatud 39 eriala, milles 18 on õppekava õpiväljundina sõnastatud ka IKT võimaluste ja ohtude tundmine. Infoturbe ja küberturvalisusega seonduvad teadmised ja oskused võib leida ainult info- ja kommunikatsioonitehnoloogia erialade riiklikust õppekavast. Küberoskused on eraldi pakutav mõnedes õppekavades valikmoodulites. Kutsestandardite digipädevuste lisas on 3 tasandit, kus erinevatel tasemetel on erineva kaaluga nn ohutuse temaatika. Algtasemel kasutaja on õppekavades reeglina tase 4 kutsestandard. Iseseisev ja vilunud kasutaja on õppekavades nii tase 4 kui tase 5 kutsestandard, olenevalt eriala sisust. 2. Eelistame akadeemia nimetuses konsortsiumi väljatoomist. Selgitus: Euroopa Komisjoni poolt välja pakutud ühtse kontaktpunkti ja koostoimekeskuse abil on võimalik paremini koordineerida küberturvalisuse valdkonnas hariduse ja koolituse pakkumist ning rahastamisvõimalusi ja erimeetmeid küberturbeoskuste arendamise toetamiseks. Siiski märgime, et ühtset kontaktpunkti ja koostoimekeskust ei ole mõistlik nimetada akadeemiaks, sest see hägustab mõiste „akadeemia“ kasutamist. Teatises tuuakse välja, et nn akadeemia toimib konsortsiumi vormis ning selle kontaktpunktiks on digioskuste ja töökohtade platvorm, mis on vahendajaks akadeemiliste ringkondade, koolitajate, ja ettevõtete vahel. Kuivõrd kirjeldatud akadeemia tegevused, nt „aitab luua suhteid, liikmesriikide küberlinnakutega“ (lk 9), „teeb koostööd sidusrühmadega, noorte kaasamiseks koolitustesse“ (lk 8), „toimib ühtse kontaktpunktina investeeringute mõju kasvatamisel“ (lk 13) eeldavad konkreetsemat juhtimissüsteemi, võiks ka algatuse nimetuses kajastuda sõna „konsortsium“. 3. Akadeemia juhtimine vajab selgitamist ja täpsustamist Selgitus: akadeemia juhtimise kontseptsioon konsortsiumi vormis digioskuste ja töökohtade platvormi kontaktpunkti kaudu vajab selgitamist ja täpsustamist. Hetkel pole arusaadav, millised on ootused liikmesriikidele ning kuidas saab tagatud, et väikeriigid ei jääks suurriikide varju ja pakutavatest võimalustest kõrvale. Ei ole selge, milliste oskustega seotud probleemi soovitakse akadeemia loomisega eelkõige lahendada - kas küberturvalisuse spetsialistide ja küberturbejuhtide nappust või nii seda kui ka laiemalt arendada valdkondlikku järelkasvu. Vaja oleks selgelt defineerida akadeemia eesmärk ja tegevused. Väikesel riigil nagu Eesti on keeruline leida täiendavat ressurssi kui ootused on sarnased nagu suurtel liikmesriikidel. Näiteks võib teatisest välja lugeda, et kui koordinatsioonikeskused on liikmesriikides, siis tuleb pakkuda idufirmadele ja VKEdele ning haldusasutustele küberturvalisega tegelevates asutustes ja küberturvalisusega tegelevates pädevuskeskustes töökohapõhist õpet ja praktikavõimalusi. Eesti VKED ja idufirmad on väikesed ja neil napib selleks ressursse. Samuti ei ole selge, millistel tingimustel saab tagatud konsortsiumis hääleõiguslik osalus ja milline peab olema liikmesriigi panus. Digikümnendi poliitika programm 2030 kohaselt puudub liikmesriigil, kes rahalist ega mitterahalist panust ei anna, hääleõigus. Täiendavad mõtted: Edusammude mõõtmine: komisjon on varem tulnud välja ettepanekuga EL ülese digioskuste mõõtmise osas (EDCS), mis baseeruks DIGCOMP-il, mille üheks mõõdetavaks valdkonnaks on ka turvalisus. See kajastab siiski vaid tavakasutaja taset. Küberturvalisuse teemadel oleks aga eraldi spetsialistide õpe vajalik ning selleks on ilmselt ka teatav IKT baasteadmiste tase vajalik, et sellesse õppesse üldse kvalifitseeruda. Küberkoolituste ja sertifitseerimise koostoime ja ülekantavus: selleks et aidata inimestel ja organisatsioonidel võrrelda nii erinevaid kvalifikatsioonisüsteeme kui ka selliste süsteemide kvalifikatsioonitasemeid on kehtestatud ühtne võrdlusraamistik. Euroopa võrdlusraamistikuna on Euroopa kvalifikatsiooniraamistik avatud kõigile kvalifikatsioonide liikidele ja tasemetele ning kujutab endast läbipaistvuse, ülekantavuse ja võrreldavuse ühist standardit. Euroopa kvalifikatsiooniraamistik on avatud sh mikrokvalifikatsioonitunnistustele ning teatises julgustatakse liikmesriike lisama küberturvalisuse mikrokvalifikatsioonitunnistused oma riiklikesse kvalifikatsiooniraamistikesse. Mikrokvalifikatsioonitunnistused kuuluvad kvalifikatsioonitunnistuse omanikule (õppija), kes võib neid hõlpsasti säilitada ja jagada, sealhulgas turvaliste digitaskute kaudu kooskõlas isikuandmete kaitse üldmäärusega. Erinevate EL algatustega kaasnevate sertifikaatide ja tunnistuste puhul on Euroopa Komisjon viidanud väga otse Europassi kasutamise olulisusele ja vajalikkusele. Käesolevas teatises viidatakse Euroopa digiidentiteedikukrule ning see võib EL kvalifikatsioonitunnistuste tunnustamise üldises lähenemises tekitada segadust. Eesti osalus konsortsiumis: 30 maiks pidi nimetama digitaristu konsortsiumi liikme. Kes sai Eesti poolelt nimetatud? Kas Eesti soovib konsortsiumiga ühineda, kes sinna Eestist kuuluks ja kas eelarve konsortsiumis osalemiseks on juba planeeritud? 3  5. Riigi Infosüsteemi Amet 5.1. Oleme koondanud oma tagasiside Kübersolidaasuse määruse (CSoA) ja küberturvalisuse määruse (CSA) Arvestatud muudatustele kokku kuivõrd nimetatud muudatused on teineteisega seotud. Esmalt tõstatus küsimus, et kas Komisjoni soovitud tulemuse saavutamiseks on just määrus ainuõige valik. Nimelt ei tulene praegusest Komisjoni ettepanekust mingeid väga selgeid ja konkreetseid kohustusi või reegleid EL liikmesriikidele järgimiseks, mis otsekohalduvate määruste puhul on üldiselt tavapärane. Pigem loovad Komisjoni ettepanekus olevad sätted pinnase erinevateks võimalusteks. Seega: kui EL õigusaktis sätestatakse eesmärk, mille kõik EL liikmesriigid peavad saavutama, siis võib seda samahästi reguleerida läbi direktiivi. Teine oluline tähelepanek on, et kindlasti ei tohi uus regulatsioon tekitada konflikte teiste küberturvalisusega seotud regulatsioonidega nagu näiteks NIS2, DORA, CER jt. Võimalik konflikt või dubleerimine on tänasesse ettepanekusse sisse kirjutatud näiteks regionaalsete SOC’ide näol, kus luuakse täiendav info vahetamise kiht ettevõtete, NIS pädevate asutuste jms subjektide vahele. RIA ettepanek on, et vältida tuleks regionaalsete SOC’ide kui CSIRT võrgustikule alternatiivi tekitamist. Liikmesriikidel on ka täna ilma täiendava regulatsioonita võimalik luua eraldi koostööformaate poliitiliste deklaratsioonide (Memorandum of Understanding) printsiibil. Arvestades, et regionaalsetel SOC’idel ei ole ette nähtud selget formaati või kuju, tekitavad väga eriilmelised SOC-id pigem segadust, mitte ei too komisjoni taotletud kasu – tõhusamat infovahetust ja seeläbi suuremahuliste kahjude ennetamist, mille tingivad küberohud. Eriti kuivõrd mitte kõik liikmesriigid ei ole tänase teadmise pinnalt regionaalsete SOC’ide osaks. Täiendavat rahastust tuleks pigem kasutada CSIRT võrgustiku võimestamiseks ja seal formaadis infovahetuse tõhustamiseks.Täiendavalt ei näe RIA põhjust, miks KOM vajab operatiivinfot ohtude/nõrkuste/intsidentide kohta. KOM-ile vastava info edastamise kohustuse sätestamine on ebavajalik Küberhädaolukorra mehhanismi ja usaldusväärsete teenusepakkujate nimekirja tekkimisega seoses vajavad täpsustamist mitmed aspektid. Näiteks kuidas on mõeldud tekkinud „küberreservi“ rahastamine? Kas see on abivajajale tasuta?Kui jah, siis millistel tingimustel tuleb siiski hiljem mingi osa tagasi maksta? Kes ja kuidas hakkab tegema triaaži abivajaduste osas ehk millised tegevused kvalifitseeruvad nimetatud abile ja millised mitte? Kas abivaja saab ise valida usaldusväärsete teenusepakkujata nimekirjast endale sobiva abiandja? Need küsimused on määrava tähtsusega kavandatava meetme vajaduse ja asjakohasuse tuvastamiseks. Vältida tuleb olukorda, kus luuakse liiga lai ja lihtsasti kasutatav turvavõrk, mis kultiveerib abitust ja põhjendamatult suurte riskide aktsepteerimise kultuuri. Niisiis tuleb vältida mõtteviisi tekkimist, et milleks üldse kulutada ressursse küberturvalisuse tagamiseks, kui tasuta abiga saab intsidendi järel kõik korda teha. Samas toetame, et küberhädaolukorra mehhanismi saaksid kasutada ka kolmandad riigid. Samuti on Eestile oluline, et usaldusväärsete teenusepakkujate nimekirja kvalifitseeruksid ka Eesti (küber)ettevõtjad. See tähendab, et n-ö usaldusväärseks kvalifitseerumise tingimused peavad olema sellised, mis ka Eesti ettevõtetele sobiksid. Sertifitseerimise puhul on hästi oluline küsimus, et mis on need sisulised võimekused, mida Euroopa vajab ja soovib. Sellest lähtuvalt tuleb ka sertifitseerimisskeemidele skoobid seada. Samuti tundub esmasel vaatlusel, et usaldusväärsete ettevõtete nimekirja piiramine üksnes äriühingutega on põhjendamatu ning kaaluda tuleks ka näiteks ülikoolide ja teadusasutuste skoopi panemist. Näiteks krüptograafia teadmus kõrgel tasemel on tihti esindatud just ülikoolide juures tegutsevates üksustes. EL küberoskuste akadeemia soovib RIA välja tuua, et akadeemia nimetus võib antud formaadil olla eksitava iseloomuga ja vajaks asjakohasemat nimetust. Alternatiivselt rohkem sisu, et akadeemia nimetust täidaks. Tasub kaaluda ka võimalust Eesti lahenduse – Digiriigi Akadeemia – integreerimist sellisesse lahendusse. 6. Riigikantselei julgeoleku ja riigikaitse koordinatsioonibüroo 6.1 Riigikantselei soovitab Euroopa Komisjoni algatatud küberpaketi seisukohtade kujundamisel lähtuda 1.) Arvestatud järgnevatest printsiipidest (punkt 1), Euroopa Liidu võrgu- ja infoturbe direktiivist (NIS2) (punkt 2) ja 2.) Arvestatud Euroopa Liidu elutähtsate teenuste toimepidevuse direktiivist (CER) (punkt 3): 3.) Arvestatud 1. Euroopa Liidu kübersolidaarsuse määrus peaks arvestama olemasolevate ning välja töötavate strateegiatega ning mitte dubleerima olemasolevaid struktuure. Loodavad algatused – ennekõike küberjulgeoleku intsidentide ülevaatemehhanism ja küberturbeoskuste akadeemia – ei tohiks dubleerida olemasolevaid organisatsioone ja nende pädevusi. Ühe elemendina loob Euroopa Liidu kübersolidaarsuse määrus küberjulgeoleku intsidentide ülevaatemehhanismi. Ülesanne liigub määruse järgi ENISA-le. Arvestades Euroopa Liidu juba loodud küberturvalisusega seotud organisatsioonide küllust, suurendab ENISA operatiivsem ära kasutamine Euroopa Liidu efektiivsust. Euroopa Liidu küberoskuste akadeemia on plaanitud töötama kui kõiki Euroopa Liiduküberoskusi õpetavaid initsiatiive kokku toov algatus. Küberoskuste akadeemia teatises märgitakse 4  ära, et seni on algatustel puudunud koordinatsioonimehhanism. Samal ajal on Euroopa Julgeoleku- ja Kaitsekolledžile on antud ülesandeks uurida võimalusi, kuidas suurendada parimate praktikate vahetamist ja sünergiate loomist sõjalise ja tsiviildomeeni küberoskuste vahel (JOIN(2022) 49 final). Riigikantselei ei ole veendunud, et uue akadeemia loomisega lahendataks koordinatsiooniprobleem efektiivsemalt, kui koordineeriva mandaadi andmisega mõnele olemasolevale õppeasutusele. Oleme seisukohal, et tuleb kaaluda juba mõne olemasoleva asutuse mandaadi laiendamist, mitte luua uut asutust. 2. Eesti seisukohad Euroopa Liidu kübersolidaarsuse määruse kohta peaksid olema kooskõlas Majandus- ja Kommunikatsiooniministeeriumi poolt läbi viidava küberturvalisuse revisjoni ja koostatava küberturvalisuse strateegiaga. Revisjoni käigus luuakse alus Euroopa Liidu võrgu- ja infoturbe direktiivi (Network and Information Systems Directive, NIS2) üle võtmiseks Eesti õigusruumi alates 18. oktoobrist 2024. Direktiivi rakendamine on oluline samm Euroopa Liidu integratsioonis küberturvalisuse sektoris. Riigikantselei soovitab arvestada selles aspektis Majandus- ja Kommunikatsiooniministeeriumi kui revisjoni läbi viiva asutuse sisendiga. NIS2 puudutava informatsiooni jagamisega seonduvad kaks probleemkohta: 2 (2) 1. NIS2 artikkel 22 järgi tekib raporteerimiskohustus NIS2 skoobi alla jäävatele sektoritele. Selle järgi peavad vastavad üksused edastama relevantse informatsiooni pädevatele asutustele, kes edastavad selle omakorda ENISA-le. ENISA loob ja haldab registrit üksustest ja pädevate asutuste ligipääsu. Informatsiooni jagamine ei ole aga seni olnud Euroopa Liidu liikmesriikides läbivalt ühtlane. 2. Kübersolidaarsuse määrus seab ENISA-le ülesandeks koostada meetmed, millega suurendada koostööd erasektoriga informatsiooni vahetamiseks. Erasektori kaasamisel võib tekkida küsimus informatsiooni turvalises käitlemises, sest nende ettevõtete töötajatele ei korraldata taustakontrolle. Samuti võib olla raskendatud usaldusväärse informatsiooni saamine ettevõtetelt, kuna ettevõtetel võib jääda arusaam, et seda võidakse kasutada nende vastu järelevalve menetluse algatamiseks. 3. Euroopa Liidu kübersolidaarsuse määruse ettepanekute rakendamine peaks arvestama 2023. aasta teises pooles Vabariigi Valitsusele esitatavat valmisolekuseadust ja selles olevaid nõudeid elutähtsate teenuste osutajatele. Samuti peaks arvestama elutähtsate teenuste toimepidevuse direktiiviga (CER). Euroopa Liidu kübersolidaarsuse määrus teeb ettepaneku suuremaks informatsiooni jagamiseks. Eesti seisukohast küberintsidente puudutava informatsiooni jagamisest lähtub vabatahtlikkuse alusel; samuti on küberintsidentide omistamine iga riigi suveräänne otsus ega nõua informatsiooni jagamist. Seoses 18. oktoobril 2024 Euroopa Liidu liikmesriikidesse üle kantava CER direktiiviga muutuvad elutähtsa teenuse osutajatele, sh digitaristu sektori alla kuuluvate sideettevõtjatele (muud digitaristu sektori alla kuuluvad ettevõtjad ei kvalifitseeru Eestis elutähtsa teenuse osutajateks CER mõistes) kohaldatavad nõuded info jagamise osas. Elutähtsa teenuse osutajatelt nõutakse CER direktiivi alusel, asjaomaste ja proportsionaalsete, tehniliste, tegevuslike ja korralduslike meetmete võtmist, et juhtida võrgu- ja infosüsteemide turvalisust ohustavaid riske, ning olulistest intsidentidest ja küberturvalisuse ohtudest teavitamist. Kuna võrgu- ja infosüsteemide turvalisust ähvardavatel ohtudel võib olla erinev päritolu, kohaldatakse direktiivi (EL) 2022/2555 kohaselt kõiki ohte hõlmavat lähenemisviisi, mis hõlmab võrgu- ja infosüsteemide ning nende süsteemide füüsiliste komponentide ja füüsilise keskkonna toimepidevust. Eesti näeb vajadust suurema informatsiooni jagamise osas kõigi CER direktiivis välja toodud 11 sektori teenuseosutajate puhul. 7. Tarbijakaitse ja Tehnilise Järelevalve Amet 7.1 Täname, et hoiate meid kursis küberturva regulatsiooni kavandavate muutustega Euroopas. Oleme töö Arvestatud käigus jõudumööda kommenteerinud MKM-i ja Eesti küberatašee poolt saadetud dokumente. Siin saadame lisaks vaid mõned üldised kommentaarid Euroopa Komisjoni algatatud kolmest osast koosnevale küberpaketile. Oleme ka edaspidi valmis koostööks. 1) Kübersolidaarsuse määrus ehk Cyber Solidarity Act, mille eesmärk on tõsta kiireloomuliselt kriitilise taristu küberkerksust on kindlasti vajalik, lisame väikese kommentaari. Määrusesse on punktis 29 sisse toodud ENISA koostöö BEREC-iga koordineeritud riskide hindamisel. Väga hea idee, kuid selle punkti sõnastus on pikk (üks lause on kirjas 15-l real) ja koosneb eelkõige viidetest. On raskesti arusaadav mida siin kahe organisatsiooni koostöö all mõeldakse. Kui see säte veel rahvuskeeltesse ära tõlgitakse kaob seadusandja mõte hoopis. Määruse selgitav osa peab olema kindlasti selgemalt kirja pandud. 2) Küberturvalisuse seaduse muudatus (Cyber Security Act), mis on vajalik selleks, et võimaldada teenuseid pakkuvatel ettevõtetel läbida sertifitseerimisskeemi protsess ning pääseda tänu sellele uude loodavasse usaldusväärsete teenusepakkujate platvormi. Muudatus on vajalik ja võimaldab ettevõttel vastavuses konkreetse küberturva sertifitseerimisskeemiga teha IKT toodetele vastavushindamist, see protseduur on vastavuses NLF-iga ja ettevõtjatele tuttav. Täpsemalt 5  on lahti kirjutatud ENISA ülesanded sertifitseerimisel. Muudatus hõlbustab sertifitseerimisskeemide kiiremat rakendamist. 3) EL küberoskuste akadeemia teatis, mis väljendab püüet lahendada kübervaldkonna tööjõupuudust. Kübervaldkonna tööpuuduse lahendamisele aitab kindlasti kaasa ka elanikkonna küberteadlikkuse tõstmine, mis peaks alguse saama juba koolipingist või veelgi varem. 8. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit 8.1 ITL-i arvamus Euroopa Komisjoni küberpaketi kohta 1. Arvamus 23.05.2023 teadmiseks võetud Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) on analüüsinud Euroopa Komisjoni algatatud 2. Arvamus küberpaketti, mille raames tehakse ettepanek võtta vastu kübersolidaarsuse määrus, küberturvalisuse teadmiseks määruse muudatus ja küberoskuste akadeemia teatis. Esitame arvamuse neist kahe viimase kohta. võetud 1. Küberturvalisuse määruse (Cyber Security Act) muutmise ettepanek (COM(2023) 208 final) 3. Arvestatud 1.1 Üldised kommentaarid osaliselt. Küberturvalisuse määruse 2019/881 (edaspidi CSA) muutmine tekitab ITL-I liikmetes kahesuguseid 4. Arvestatud mõtteid, kuna ühelt poolt saab kõnealuse regulatsiooni eesmärki toetada, kuna see teatud moel „korrastab“ osaliselt. turgu. Paljud suuremad ettevõtted rakendavad ettepanekus kirjeldatud meetmeid (nt pen-testid, turvaauditid 5. Arvamus jne) ka täna lähtudes oma riskihinnangutest. Raske on vastu vaielda, et seda võiksid teha ka teised ettevõtted. teadmiseks Teiselt poolt tekitab taaskord muret kavandatava regulatsiooni ebaselgus (sarnaselt menetluses oleva võetud. küberkerksuse õigusaktiga (CRA)), kuna ettepaneku sõnastusest ei loe välja, mida täpsemalt ja kuidas 2. Küberturvalisuse sertifitseerima plaanitakse hakata. Seetõttu on raske toetada uue üldise valdkonna lisamist, kus ENISA saaks oskuste akadeemia - pädevuse teenuseid sertifitseerida või vastavaid nõudeid ette anda. Seda enam, et arusaamatuks jääb, miks arvestatud see pädevus planeeritakse just ENISA-le anda. Näeme ettepanekus järgmisi murekohti: 1) Elutähtsa teenuse osutajatele ette kirjutades, milliseid väliseid partnereid nad küberturvalisuse teenuste puhul kasutada tohivad, ja ulatuslikke raporteerimiskohustusi kehtestades, võib tagajärjeks olla hoopis turvariski suurenemine, mitte vähenemine (kui kriitiliste teenuste haavatavused ja kaitsetegevused on teada). 2) Väheneb ettevõtlusvabadus, sest ettevõtete ärivõimalusi piiratakse. Seda nii küberturvalisuse teenuseid pakkudes kui ka tarbides. 3) Teenuse osutajatele lisanduvad täiendavad kulud (seoses sertifitseerimisega ettepanekus nimetatud teenuste osutajatele ja seoses kindlate teenuse pakkujate kasutamise nõudega teistele ettevõtetele). 4) Ei ole hinnatud mõjusid ettevõtetele, kes jäävad nii CRA kui CSA kohaldamisalasse. 5) Managed Security Services (MSS) osas eraldi nõuete kehtestamine CSA-s on samuti küsitav. CSA võiks anda üldised eesmärgid, nagu on selle artiklis 51 praegu. Ettepanekus pakutud artikkel 51a kehtestaks nõuded üksnes MSS osas, kuigi need on küllaltki üldised ja sobiks teatud osas kohaldamiseks ka teistele IKT teenustele. Miks on välja toodud eraldi nõuded vaid MSS osas, kuigi ettepanek räägib läbivalt nii IKT toodetest, teenustest ja protsessidest? Lisaks eelnevale kattuvad artiklis 51a pakutud nõuded osaliselt juba teiste olemasolevate normidega nii NIS1/2 kui ka isikuandmete kaitse üldmääruses (IKÜM), mida ettevõtted juba nagunii täidavad, mistõttu jäävad pakutud nõuded ebaselgeks. Lisame, et peame vajalikuks, et hoolikalt kaalutakse, kas CSA on üldse õige koht, kus selliseid nõudeid kehtestada. Äsja tegeleti NIS2 skoobi laiendamisega ja nõuete täiendamisega - miks mitte need NIS2 lisada? Samas on menetluses ka CRA, mille skoopi võiks laiendada nt MSS teenustega, mis puudutab ka litsenseerimist. Ehk ettevõte, kes pakub mitmesugust valikut IT teenuseid ja tooteid, saab varsti juurde väga palju uusi nõudeid, mis asetsevad killustunult laiali erinevates õigusaktides ja koostoimes võivad tuua kaasa suuri kulutusi. Seetõttu tasub kaaluda, et selguse huvides koondada erinevate teenustega seotud küberturvalisuse nõuded ühte õigusakti, kas CRA-sse või NIS2. Rõhutame, et ITL toetab endiselt vabatahtlikku sertifitseerimist. Näiteks vastavad mitmed ettevõtted vabatahtlikult ISO 27001 vm standardile ja on edukalt läbinud asjaomased auditid. Kas rangetele ISO 27001, E-ITS vm samalaadse standardi nõuetele auditeeritud ja auditi edukalt läbinud ettevõtted võiksid saada lihtsustatud režiimi seoses CSA kohase sertifitseerimisega? Teenusepakkujatel võiks olla valik, kas täita vabatahtlikult mõnda kõrget standardit (nt ISO/E-ITS) samalaadset standardit, mis on riikliku CIRT poolt heaks kiidetud, ja saavutada sellega asjaomane vastavus, kui vastav audit on edukalt läbitud. See oleks mõistlikum ka VKE-de seisukohast, kes saaksid asjaomaseid toiminguid teostada oma emakeeles, ettevõtte asukohas ja suure tõenäosusega ka väiksemate kuludega. Kui teatud põhjustel peetakse vajalikuks 6  kohustuslikku sertifitseerimist, siis nõuab see põhjalikku eeltööd, dialoogi turuosalistega ning läbipaistvust juba esimestest sammudest. Seetõttu teeb ITL ettepaneku Eesti riigi seisukohtades mitte toetada antud kujul küberturvalisuse määruse muutmist enne, kui on laual ka praktilised ettepanekud, milliseid sertifitseerimisskeeme soovitatakse ja kellele neid rakendama hakatakse. Üldise raamistiku kehtestamine on poolik lahendus, mida ei saa toetada. Lisame, et ITL-i liikmed peavad väga oluliseks, et ettevõttele pakutakse usaldusväärset taustakontrolli tegemise võimalust. Tegemist oleks meetmega, mis aitaks ettevõtetel tõsta oma turvalisuse taset. 1.2 Konkreetsed tähelepanekud 1.2.1 Ettepaneku art 1(2)(b) (millega lisatakse CSA-sse art 2 p 14a) on toodud näidisloetelu võimalikest teenustest, mis hakkavad regulatsiooni alla kuuluma. Kuna nimekiri ei ole ammendav, siis jääb normi kohaldamisala ebaselgeks. Kuna sertifitseerimiskohustust ei saa üldsõnalisena kehtestada, soovitame loetelu konkretiseerida ning näha ette ka konkreetsed sertifitseerimisskeemid. 1.2.2 Ettepaneku art 1(5) (CSA Art 46(2)) sätestab järgmist: „In addition, it shall attest that managed security services that have been evaluated in accordance with such schemes comply with specified security requirements for the purpose of protecting the availability, authenticity, integrity and confidentiality of data, which are accessed, processed, stored or transmitted in relation to the provision of those services, and that those services are provided continuously with the requisite competence, expertise and experience by staff with a very high level of relevant technical knowledge and professional integrity.“ Allajoonitud sõnastus „/.../ very high level of relevant technical /.../” on väga emotsionaalne ja ebamäärane. Alati ei ole vaja väga kõrgel tasemel oskusi asjade teostamiseks. Näiteks on mitmeid tegevusi, mis ei vaja kõrgeid tehnilisi oskusi, vaid olulisemad on hoopis sotsiaalsed oskused. Tegemist on valdavalt sotsio- tehnoloogiliste süsteemidega. Küberturvalisuses on oluline valida mõistlikud ja tõhusad lahendused, mitte alati kõige kõrgema taseme lahendused. 1.2.3 Ettepaneku art 1(9) (CSA Art 51(a)) juurde esitame sama kommentaari nagu eelmise punkti juures. Nimelt kasutatakse väljendeid "very high level" and "highest degree of“, aga meile ei tundu mõistlik selliseid sõnastusi õigusakti tasemel kasutada. Kui need siiski jäävad, siis tuleks neid selgitada. 2. Küberturvalisuse oskuste akadeemia (The Cybersecurity Skills Academy) teatise ettepanek (COM(2023) 207 final) ITL tervitab liiduülest koordineeritud lähenemist küberturvalisuse valdkonnas oskuste ja teadmiste tõstmiseks, spetsialistide kvalifitseerimiseks ja väljaõpetamiseks. Meie hinnangul tooks Eesti osalemine selles üleeuroopalises initsiatiivis endaga kaasa täiendavaid võimalusi nii Eesti (kõrg)haridusasutustele kui ka ettevõtetele küberturvalisuse valdkonna õppurite ning välisspetsialistide meelitamiseks ja siin hoidmiseks, aga ka kohaliku tööjõu kõrgtasemel spetsialiseerumiseks, ümber- ja täiendõppeks. Küberturvalisuse spetsialistide puudus on järjest kasvav ning kiireloomulisi lahendusi vajav nii Eestis (vt OSKA IKT raport 2021) kui ka kogu Euroopas. Seega, mida varem ja mida rohkem oskuste lünga täitmiseks samme astuda, seda parem. Vabariigi Valitsuse eesmärk on, et küberturvalisus oleks kooskõlas tehnoloogia arengu ja ohupildiga (Koalitsioonilepe 2023-2027) ja sellest veel enamgi, olla digiriigina rahvusvaheliselt tuntud eeskuju küberturvalisuse teemadel. Seetõttu leiame, et küberturvalisuse oskuste akadeemias osalemine pakub võimalusi nii enda vastavalt positsioneerimiseks ja nähtavaks tegemiseks kui ka teadlikkuse laiemaks tõstmiseks nii rahvusvahelisel kui kohalikul tasemel. Seega toetab ITL Eesti osalemist küberturvalisuse oskuste akadeemia loomisel ja arendamisel. Lõpetuseks loodame, et leiate võimaluse Eesti seisukohtade koostamisel arvestada ITL-i seisukohtadega. Palume meid hoida antud algatuste edasiste arengutega kursis. Ühtlasi avaldame soovi võimaluse korral tutvuda Euroopa Komisjoni küberpaketi kohta koostatavate Eesti riigi seisukohtadega. 9. Eesti Interneti Sihtasutus 9.1 Eesti Interneti SA põhitegevus ehk Eesti maatunnusega tippdomeeni .ee infrastruktuuri (DNS) haldamine, Osaliselt arvestatud arendamine ja turvalisuse tagamine ning domeeninimede registreerimise korraldamine langeb kaudselt määruste kohaldamisalasse ning Eesti Interneti SA tänab Majandus- ja Kommunikatsiooniministeeriumit võimaluse eest esitadaoma üldine arvamus antud teema kohta. Euroopa Komisjoni poolt välja pakutud küersolidaarususe määrus suhestub juba olemasolevate EL küberjulgeolekualaste õigusaktidega ning rõhutab veelkord NIS 2 ja CER direktiividega ettenähtut. Tuletades meelde, et NIS 2 direktiivi järgi on maatunnusega tippdomeeni registrid elutähtsa teenuse osutajad, tulenevad tippdomeeni registreid mõjutavad sätted just sellest aspektist. Kübersolidaaruse määrus pakub selles kontekstis välja erinevaid hädaolukordadele reageerimise meetmed ja oluliste ja kriitiliste üksuste suutlikkuse suurendamist, samuti kriitilise infrastruktuuri valmisoleku testimist suuremahulisteks intsidentideks. Ettepanekud on asjakohased ning täiendavate kontrollmeetmete loomine teretulnud. 7  Täpsustada tuleks, kuidas neid testimisi läbiviiakse ning kas need saavad osaks valdkonna turbestandardites, näiteks EITS-s või ISO-s. Euroopa Komisjoni poolt välja pakutud määruse parandus hallatud turvateenuste kohta käsitleb ühtlustatud sertifitseerimisskeemi. Tippdomeeni registrite jaoks on antud teema tähtis, kuna registrid võivad arendada ja kasutatda teenuseid, mis kuuluvad määrusega väljapakud sertifitseerimisskeemide ulatusse. Kuna muudatuse eesmärk on luua ühtlustatud lähenemisviis küberturvalisuse sertifitseerimisskeemidele, saavad tippdomeeni registrid kasu ühtsemast raamistikust kogu Euroopa Liidus. See neutraliseerib killustumise riski, mille põhjustavad üksikute liikmesriikide välja arendatavad sertifitseerimisskeemid. Ühtlustamine edendab digitaalset ühtset turgu IKT-toodete, -teenuste, -protsesside ja hallatavate turbeteenuste jaoks, edendades küberturvalisuse valdkonnas tegutsevate üksuste koostalitlusvõimet ja usaldust. Tippdomeeni registrite jaoks on ülioluline jälgida ja hinnata, kas nendes kasutatavad teenused ja tööriistad vastavad tulevastele küberturvalisuse sertifitseerimisskeemidele. Seda tehes saame me tagada, et hallatavad turvateenused, millele me tugineme ning klientidele pakume, vastavad vajalikele turbestandarditele ja maandavad võimalikke riske. Nõuetele vastavuse jälgimine aitab tagada meie tegevuse üldist turvalisust ja stabiilsust, tagades vastupidavuse küberohtudele, mis on eriti tähtis kriitilistel momentidel. Hallatavate turbeteenuste määruse parandustega ettenähtud meetmed on kokkuvõtvalt asjakohased, edendades interneti infrastruktuuri turvalisust. Täiendavate küsimuste korral on meie poolseks kontaktisikuks jurist Silver Sõrmus ([email protected]). 10. Eesti Kaubandus- ja Tööstuskoda 10.1 Eesti Kaubandus-Tööstuskoda soovib tänada Majandus- ja Kommunikatsiooniministeeriumit võimaluse Teadmiseks võetud eest avaldada arvamust Euroopa Liidu küberpaketi osas. Anname teada, et oleme paketis sisalduvate ettepanekutega tutvunud, kuid meil ei ole paketi osas kommentaare ega seisukohti. 11. Andmekaitse Inspektsioon 11.1 Andmekaitse Inspektsioon annab teada, et vaatasime saadetud EL Küberpaketi üle, kuid kuivõrd tegemist Teadmiseks võetud on eelkõige valdkonna administratiivse regulatsiooniga, ei leidnud me meid puudutavaid tegevusi. Sellest tulenevalt ettepanekud regulatsiooni sisule puuduvad. 12. Kaitseliit 12.1 Kaitseliit tutvus Teie poolt arvamuse avaldamiseks edastatud Euroopa Komisjoni algatatud küberpaketi Teadmiseks võetud eelnõuga. Käesoleval juhul Kaitseliidul ei ole esitada ettepanekuid ega täiendusi eelnõu kohta. 8