Arvamus määruse eelnõu kohta

Hr Tiit Riisalo Majandus- ja infotehnoloogiaminister Majandus- ja Kommunikatsiooniministeerium Teie 22.06.2023 nr 2-1/2023/3379 Suur-Ameerika 1 10122 TALLINN Meie 14.07.2023 nr 6.1-2/75-1 Arvamus määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõu kohta Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (edaspidi: ITL) analüüsis Teie poolt arvamuse avaldamiseks esitatud Vabariigi Valitsuse määruse „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel“ eelnõud (edaspidi: eelnõu). ITL ei saa eelnõud kooskõlastamisele esitatud kujul toetada, kuna see sisaldab mitmeid olulisi puudusi, mida alljärgnevalt käsitleme. Ühtlasi teeme ettepaneku korraldada enne eelnõuga edasiliikumist kohtumine, et arutada, kas ja millist pilvandmetöötlusteenuste regulatsiooni Eestis oleks vaja. Meie leiame, et tulevane regulatsioon peab soodustama arengut ja innovatsiooni, tagades samal ajal avaliku teabe töötlemisele seatud nõuete täitmise ning andmete turvalisuse. 1. ITL-i hinnangul on eelnõus järgmised puudused: 1.1. Eelnõu eesmärk on ebaselge, sest pilvandmetöötlusteenuste kasutamiseks selgete aluste loomise asemel piirab eelnõu oluliselt nende kasutamist; ITL on seisukohal, et eelnõu eesmärk on arusaamatu. Eelnõud lugedes tekib küsimus, millist muutust püütakse sellega saavutada. Meie järeldus on, et eelnõu vastuvõtmisega ei kaasne sisulist muutust paremuse poole, mis soodustaks tehnoloogilist arengut. Selle asemel lisanduvad täiendavad kohustused avaliku sektori asutustele, kes soovivad avaliku teabe töötlemisel pilvandmetöötlusteenuseid (pilveteenuseid) kasutada. Nimelt kuigi eelnõu lubab avaliku teabe töötlemisel pilveteenuseid kasutada, seotakse see rangete tingimustega ning pilveteenuse kasutaja jaoks enda poolt hinnatavate riskidega.  2 Eelnõu sätestab meetodi, mille järgi võib legaliseerida mistahes pilveteenuse kasutuse, aga tegemist on meetodiga, mis sunnib: - sama teenuse vastavust samadele kättesaadavuse, tervikluse ja konfidentsiaalsusnõuetele korduvalt hindama, ehk iga-asutus-enda-eest meetodil töötama. Iga minisüsteemi või kasutatava teenuse jaoks eraldiseisvalt tehtuna on sellised analüüsid ebaproportsionaalsed; - pilveteenuse kasutuselevõtjat tegema talle üle jõu käivat tööd, sest igaüks peab iseseisvalt hindama kõiki riske: milliseid andmeid töötlema hakatakse, millised reeglid neile kehtivad (nt reeglid isikuandmete edastamisel kolmandatesse riikidesse pole lõpuni selged ka 5 aastat pärast EL-i andmekaitse üldmääruse vastuvõtmist ja põhjustavad senini olulisi kohtuvaidlusi ning eriarvamusi (seejuures peab arvestama ka äsja vastu võetud kaitse piisavuse otsusega Euroopa Liidu ja Ameerika Ühendriikide andmekaitseraamistiku kohta), millised piirangud/lahendused juba olemas on, kas konkreetsel juhul võib üldse pilveteenust kasutada. Meie hinnangul asutused, kelle kohustusi eelnõu kirjeldab, ei pruugi olla suutelised sellises mahus analüüse läbi viima ja kohati ei ole neil ilmselt ka võimekust selleks vajalikku infot kätte saada; - pilveteenuse kasutusele võtjaid seeläbi aktsepteerima riske, millest nad sisuliselt ei pruugi aru saada. See omakorda soodustab seda, et pilveteenuse kasutamisest loobutakse sootuks; - kasutuselevõtjat võtma pilveteenuste analüüsimisel kandva rolli ja vastutuse valdkonna piisavalt põhjaliku tundmise eest, kuna riigil puudub valmidus otsustada keskselt, milliseid teenuseid ning milleks võib kasutada. Nimelt puuduvad eelnõust volitusnormid, et usaldada otsustusteks teiste kesksete IT asutuste analüüse või hinnanguid (nt Riigi IT Keskus (RIT) teenuse vahendajana või Riigi Infosüsteemi Amet (RIA) järelevalveasutusena). Seega tundub eelnõu eesmärk olevat see, et avalikke pilveteenuseid Eestis ei kasutaks, millele viitab ka eelnõule tehtud mõjuhinnang. Pilveteenus positsioneeritakse kui midagi ekstra, mille kasutamise korral hüppeliselt kasvavad teenuseomaniku kohustused, mis olemuslikult on vale. Praktikas on teenuseomanikul igas olukorras kohustus tagada teenuste turvalisus ja järjepidevus. Näiteks eelnõu §- is 2 sisalduvad nõuded on sellisel tasemel üldfilosoofilised, neid tuleb järgida alati ning pilveteenus pole siin mingi erand. Mulje jääb aga oluliselt erinev. Seega vajalik on eelnõu sisu uuesti hinnata vastu tegelikku eesmärki. Seejuures võib eesmärk olla kas otsida põhjuseid miks ei saa ega pea pilveteenuseid kasutama või leida lahendusi, kuidas neid mõistlikult kasutada teiste teenuste kõrval lähtudes andmeklassist, käideldavuse, konfidentsiaalsuse ning riskide vaatest (s.h on risk see kui internet on maas või andmekeskus saab ründe/tabamuse). ITL näeb eelnõu praeguses eesmärgis probleemi, sest see piirab innovatsiooni ja ekspordivõimekust, kui mõni tehnoloogia on kohalikul turul avaliku sektori poolt välistatud (või tehtud selle kasutuselevõtmine sedavõrd keeruliseks, et kasutuselevõtjale on lihtsam jääda kasutama senist lahendust, mis on juba implementeeritud. See võib samas olla omakorda täiendav risk). Meie ettepanek on mitte kehtestada nõudeid, mille suhtes juba eos on teada, et neid on võimatu tagada (nt et iga asutus panna ise hindama turvalisust ja riske).  3 1.2. Eelnõu kohaldamisala on ebaselge ja seab era- ning avaliku sektori teenused põhjendamatult erinevasse olukorda. Leiame, et eelnõu tekstist on raske aru saada, mida pilveteenuse all silmas peetakse ehk mis on selle eelnõu reguleerimisala. Nimelt kas reguleeritava pilveteenuse alla läheb ainult avalik pilv või ka privaatpilv ning kuidas positsioneerub eelnõu kontekstis riigipilv. Eelnõu seletuskirja lugedes on selgem, et eelnõu on mõeldud reguleerima erasektorist pärit teenuse osutajate pakutavaid pilveteenuseid. Samas jääb arusaamatuks, miks kavandatakse nõuded, mis ei kehti erasektori teenuse osutajale ja riigipilve/KOV pilveteenuse pakkujale ühteviisi. Kas see tähendab, et riigipilv loetakse automaatselt turvaliseks, mida tuleb usaldada, aga erasektori teenust peab enne auditeerima/sertifitseerima? ITL-i hinnangul jätab eelnõu tänasel kujul mulje, et riigipilve või enda loodud andmehalduse lahendust kasutades teenuseosutaja ei vastuta andmeturbe eest ning analoogselt avalike pilve lahendustega riske hindama ja maandama ei pea. Riigipilve ja KOVi-pilve ei tohi meie hinnangul välistada eelnõust põhjusel, et tegemist ei ole pilveteenusega küberturvalisuse seaduse tähenduses, sest teenust ei osutata majandustegevusena. Kui eesmärgiks on avaliku teabe turvalisuse tagamine, siis peab ootus olema samasugune igale pilveteenuse pakkujale. Oleme seisukohal, et eelnõus sisalduval viisil luuakse oluline ja samas põhjendamatu eelisseisund riigi poolt pakutavatele pilveteenustele. See ei tohi kindlasti olla riigi poolt eelnõu eesmärgiks. Lisame, et see loob olukorra, kus tekivad õigusliku põhjendused, miks riik peab turuteenuste kasutamise asemel võtma endale täiendavaid teenuseosutaja funktsioone. Sellise olukorra tagajärjeks on vajadus avalikku sektorit kasvatada nii inimeste arvult kui eelarvelt. ITL teeb ettepaneku nõuete kehtestamisel panna need kehtima ühtemoodi riigipilvele ja erasektorile, kui toimub avaliku teabe töötlemine, mitte teha selliseid välistusi (riigipilvele eelis). Hetkel pole nõuded erasektori ja riigisisestele pilveteenustele samad ja samas on avalike pilvede esindajad korduvalt väljendanud ootust, et nõuded peavad olema samad. 1.3. Eelnõust puudub adekvaatne mõjuanalüüs. Esiteks on eelnõu seletuskirjast puudu mõju ettevõtetele. Nimelt mõjutab see eelnõu seletuskirja kohaselt ainult avaliku sektori asutusi ja elanikke, kelle infot töödeldakse. Samas mõjutab see kindlasti ka ettevõtteid, kes soovivad avaliku sektori asutustele pilveteenuseid pakkuda. Seejuures on mõju pilveteenuse osutajatele on väga otsene ja oluline, mistõttu on vajalik selle osas mõjuanalüüs läbi viia ning tulemused eelnõus kajastada. Teiseks on eelnõu seletuskirjast puudu majanduslik mõju avaliku sektori asutustele. Leiame, et kui pilveteenuste lubamisel või mittelubamisel tõesti mingit majanduslikku mõju pole, siis on see üsna vastuolus nende teenuste globaalse põhjendatusega. Nimelt arvatakse valdavalt, et pilveteenuste kasutamine loob majanduslikku säästu teatava iseseisvuse loovutamise hinnaga. Seda peetakse ausaks vahetuskaubaks ning see võiks ka seletuskirjast välja tulla. Praegune hinnang näitab pigem, et ei loodeta suurt edu pilveteenuste kasutuselevõtule selle eelnõu alusel ja sellest ka olematu majanduslik mõju.  4 Lisaks tuleb eelnõu seletuskirja mõjude analüüsi peatükki lisada, kui koormavad on iga süsteemi kohta eraldiseisvana tehtud analüüsid avaliku teabe valdajatele. Seejuures soovitame mõjuhinnangutes arvestada ka kliima- ja rohe-eesmärkidega, sest pilveteenuste laiem kasutus oleks selles vaates positiivse mõjuga. Mõistame ka, miks eelnõu mõjusid on olnud nii raske hinna. Kuna eelnõu eesmärk ei ole läbi mõeldud, siis pole ka, mille vastu kaalutleda kohustuste proportsionaalsust ja muud. 2. ITL teeb järgmised ettepanekud: 2.1. Korraldada arutelu eelnõuga seotud küsimuste arutamiseks; Kuna hetkel on tegu eelnõuga, millel puuduvad nii eesmärk ja ka adekvaatne mõjude analüüs, siis jääb mulje, et tegu on õigusloomega, mille tagajärjel väidetavalt midagi ei muutu, või halvemal juhul õigusloomega, mis väldib, et keegi kunagi avalikku pilve kasutaks. Leiame, et sellist õigusloomet pole vaja. Eelnõu eesmärk peab olema olukorra reaalselt parandamine, selleks aga tuleb ülal kirjeldatud olemuslikud probleemid lahendada. Seetõttu palume MKM-il korraldada kohtumine, kus eelnõuga seotud küsimusi saab huvigruppide osalusel arutada. Arutelu eesmärk peaks olema otsida viise, kuidas saab avaliku teabe töötlemisel pilveteenuseid kasutada, alustades selleks andmete klassifitseerimisest, riskide hindamisest ja sellest, kes selle eest vastutab. Soovitame seejuures tutvuda sellega, mis on teistes riikides antud teema reguleerimisel tehtud. Nimelt on edu saavutanud riigid kaasanud kõik osapooled, tegelenud oskuste arendamisega ja lahendanud andmete küsimusi koostöös erasektoriga. Seetõttu leiame, et ka Eestis on mõistlik tuua ühe laua taha nii era- kui ka avaliku sektori esindajad ja otsida lahendusi. 2.2. Analüüsida võimalust koostada riigiülene soovitus pilveteenuste kasutamiseks ja anda vastutus riskide hindamise eest ühele asutusele; Meie hinnangul võiks olla avaliku teabe töötlejatele abi sellest, kui mõni riigiasutus (näiteks RIA) koostaks ja haldaks keskset soovitusliku dokumenti sellest, milliseid avalikke pilveteenuseid on erinevate kasutusjuhtude jaoks: - Sobiv kasutada (näiteks enamik registreid ja e-posti ning grupitöö); - Vajalik enne kasutamist analüüsida või küsida täiendavalt RIA seisukohta (näiteks terviseandmeid sisaldavad registrid); - Ei ole soovitav kasutada. Alternatiivselt võib kaaluda ka varianti, kus RIA teeb ühe riigiasutuse taotluse pärast heakskiitmist avalikuks ja kinnitab sellega pretsedendi najal, et see konkreetne pilveteenus selliste turvanõuetega andmete jaoks on heaks kiidetud ja seda võivad kasutada ka teised riigiasutused. Ei tundu mõistlik ega proportsionaalne näiteks see, kui iga KOV ja riigiasutus hakkaks eraldi AWS-i ja Microsoft 365-te auditeerima. Samuti kahtleme SaaS, PaaS ja IaaS lahenduste ühe meetodiga hindamise mõistlikkuses.  5 Mõistame, et enne seda on vajalik kõrvaldada mitmed takistused. Näiteks anda mõnele riigiasutusele vastavad volitused ja lahendada küsimusi ka teistes õigusaktides. Samuti leida spetsialistid, kes neutraalselt vastavaid analüüsid suudavad läbi viia. Kõige selle juures on väga oluline arvestada, et Euroopa Liidus kehtib Euroopa Parlamendi ja nõukogu määrus (EL) 2018/1807, mis käsitleb isikustamata andmete Euroopa Liidus vaba liikumise raamistikku, ja äsja on saavutatud ka kokkulepe andmete liikumises EL-i ja USA vahel1. Esimene neist sätestab, et andmed peavad liikuma liidu sees ning teine ka USA vahel. Seega tuleb tagada, et me ei lähe Eestis vastuollu EL-i õigusega. Selleks tuleb kaasata ka Andmekaitse Inspektsioon. 2.3. Analüüsida täiendavalt eraldiseisva õigusakti vastuvõtmise vajalikkust; Tänaseni on avaliku teabe omanikud pilveteenuste kasutamisel lähtunud ISKE / E-ITS nõuetest, mis viitavad pilvteenuse kasutusse võtmise osas tänaseni Riigi Infosüsteemi Ameti poolt 2019 väljatöötatud juhendile (RIA juhend „Juhend avalike pilveteenuste turvaliseks kasutamiseks avalikus sektoris“). Seetõttu jääb meile arusaamatuks, mis on tinginud selle eelnõu koostamise vajaduse - kas eelnõu eesmärk on asendada juhendit (mis oma olemuselt on selgem kui eelnõu ja eelnõu lisa)? Seega leiame, et ühe variandina tuleb kaaluda, kas uuendada ja ajakohastada RIA juhendit ning täpsustada E-ITS meetmeid pilvteenuse kasutamise osas. See oleks kasutajasõbralikum ja selgem selle asemel, et ühe olulise teema osas peab E-ITS rakendaja minema eraldi määrust jm dokumente otsima. Nende avaliku teabe töötlejate osas, kes ei ole kohustatud rakendama E-ITSi või rakendavad ISO27001 vm, võib sel juhul nõuete täitmiseks täiendada näiteks avaliku teabe seadust ja märkida seal ära, et avaliku teabe töötlemiseks pilveteenuse kasutamisel tuleb tagada E-ITS "Pilveteenuse kasutamise" meetmete rakendamine. 2.4. Tegeleda süsteemselt ja teadlikult oskuste arendamisega; Leiame, et seni kuni ei ole süsteemselt tegeletud oskuste arendusega ning puuduvad selged nõuded, puudub ka oskus pilveteenuste targaks kasutamiseks. Praegused avaliku teabe valdajate teadmised ei ole piisavad pilveteenuste kasutusele võtmiseks. Seetõttu võib tunduda lihtsam suhtuda pilveteenusesse kui millessegi halba, ebaturvalisse ja kallisse. Tegelikult aga lihtsalt puuduvad vajalikud oskused (infoturbest halduseni ja kõik seal vahepeal). Seejuures on oluline alustada andmete klassifitseerimise oskusest, et vältida seda, et teadmatustest pannakse andmetele rangem märge. Sellisel juhul ei teki võimalust teenuseid kasutada mõistlikult ning paratamatult on täiendav ressursside kulu üle klassifitseeritud andmete halduse, kaitse jm osas. 1 Vt näiteks: https://www.aki.ee/et/uudised/euroopa-komisjon-vottis-vastu-kaitse-piisavuse-otsuse-euroopa- liidu-ja-ameerika-uhendriikide  6 Lõpetuseks rõhutame, et pilveteenuste puhul on oluline arvestada ka seda, et nende kasutamine aitab riske hajutada. Nimelt võimaldab riigi andmete ja teenuste paigutamine eri riikidesse tagada nende toimimise mis iganes olukorras ja seda on mõistnud Ukraina sõja valguses paljud riigid. On fakt, et esmalt minnakse riigis olevate andmekeskuste kallale alates küberründest rakettideni. Kõike ühes kohas hoida ei ole mõistlik riskide maandus. Lisaks riigi enda andmekeskused kipuvad olema tihtipeale oluliselt rohkem häiritud kui avalikud. Andmesaatkond üksi ei aita, kui pole andmeid ei testitud ega töökorras teenust, mida kasutada. Ka skaleeritavus on täna probleem. Leiame, et pilveteenuste kasutamine aitab teostada ka riigi personaalset lähenemist. Lisaks aitab kaasa suuremale küberturvalisusele, sest AI ja kogutud teadmusbaasi sisaldavad teenused turbele, mis on läbi avalike pilvede nt Cloudflare, on kriitilise tähtsusega riigi toimimise seisukohast. Seega küsimusi, mida põhjalikult hinnata ja arutada on tegelikult väga palju. Käesoleva kirja lisast leiate meie tähelepanekud ja ettepanekud eelnõu lisaks oleva näitliku kontrollküsimustiku ja meetmete näidise kohta. Loodame, et leiate võimaluse meie ettepanekuid eelnõu edasises menetluses arvestada ja korraldate palutud kohtumise. Lugupidamisega /allkirjastatud digitaalselt/ Doris Põld Tegevjuht Lisa - ITL-i tähelepanekud ja ettepanekud eelnõu lisa „Näitlik kontrollküsimustik ja meetmete näidis“ kohta 2 lehel Keilin Tammepärg, [email protected] LISA – ITL-i tähelepanekud ja ettepanekud eelnõu lisa „Näitlik kontrollküsimustik ja meetmete näidis“ kohta Kuna eelnõu lisaks oleva „Näitliku kontrollküsimustiku ja meetmete näidise“ puhul peaks tegemist olema eelnõu rakendamist toetava dokumendiga, siis konkreetsus ja selgus peavad selle puhul olema märksõnad. Seetõttu esitame eelnõu lisa kohta alljärgnevad tähelepanekud ja ettepanekud. I OSA Kontrollküsimustik Punkt 1.1. "Avaliku teabe olemuse hindamise käigus hinnatakse avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse tagamiseks avaliku teabe: …" Avaliku teabe olemuse hindamise kohta peab olemas olema ka praktiline juhend (meetmete all - kus see täna puudub) avaliku teabe omanikele, kes seda hindamist peavad läbi viima. Muul juhul hakatakse andmetele omistama teenuse (või andmekogu, protsessi, rakenduse, või mis iganes tasemel organisatsioon on kaitsevajaduse määranud) käideldavuse, tervikluse ja konfidentsiaalsuse taset, mis omakorda muudab antud punkti täitmise küsitavaks, sest ei suudeta eristada andmeid n-ö suuremast tükist. Punkt 4.1 „Avaliku teabe töötlemiseks pilveteenuse kasutusele võtmise kavatsuse korral hindab teabeomanik pilveteenuse pakkuja ja tema volitatud esindaja, importija või levitaja suhtes esinevaid riske, muu hulgas seda, kas pilveteenuse pakkuja või tema volitatud esindaja, importija või levitaja:…“ Nimetatud punkt sätestab väga olulised piirangud ettevõtlusvabadusele. Nt annab aluse välistada mõne ettevõtte teenuse tarbimise, kuna ta asub teatud riigis. Sarnased alused on kirjas ka elektroonilise side seaduse § 873 lõikes 3, mis loetleb asjaolud, mida tuleb arvestada sideteenuse osutamisel kastutatava riist- ja tarkvara kõrge riski hindamisel. Nimetatud loetelu kavandati ka kehtestada Vabariigi Valitsuse määrusega, aga menetluse käigus jõuti õiguskantsleri poolse tähelepanu juhtimise tulemusena järeldusele, et taoline loetelu peab õigusselguse huvides olema kehtestatud seadusega. Antud juhul plaanitakse niivõrd olulisi piiranguid valikuõigusena rakendusakti lisas ning see ei ole korrektne. Punkt 6.1.1. "Pilveteenus ei sisalda turvanõrkusi ja nende kõrvaldamiseks on piisavalt rakendatud turvameetmeid" a. Selle sõnastuse esimene pool - 100% turvalisust 24/7 ei ole kunagi olemas (ei sisalda turvanõrkusi). Õigem oleks öelda, et "Pilveteenuse osutaja tegeleb regulaarselt turvanõuete rakendamise ja turvanõrkuste ilmnemisel nende kõrvaldamisega". b. Mis on "piisav"? Punkt 6.1.2. "Pilveteenuse toimepidevuses ei esine järjepidevaid puudusi…." a. Kuidas defineerida "järjepidevaid" - kas see on 2 korda aastas? b. Mida mõistetakse "puuduse" all - vastuolu käesoleva määrusega? Teenuse katkestus nt tehnilise rikke tõttu? Või turvanõrkuste tuvastamist? Või…. jne? Lisaks vormistuslik märkus: Seda lisa nimetatakse kontrollküsimustikuks, aga see ei ole vormi poolest küsimustik. Küsimustik peaks olema küsimuste vormis, millele saab vastata JAH/EI. II OSA MEETMED Punkt 5 "Hinnata tuleb nii pilveteenust kui ka selle test- ja arenduskeskkonda." Sellisel kujul on see sisutühi ja ebavajalik punkt. Nende keskkondade olemasolu ja nõuete täitmise kontroll vastavates keskkondades on nn baaskontroll, mille rakendamist auditite ajal kontrollitakse. See on lihtsalt üks osa auditist. Kui see sõnastus oleks "Punktis 1.5 mainitu puudumisel tuleb hinnata pilveteenuse toodangu, test- ja arenduskeskkonda", siis oleks see loogilisem. Punkt 6 "Hindamistulemuse (punktide 4-7 kohta) võib vormistada eraldi dokumendina või mõne muu dokumentatsiooni osana.“ Ettepanek kustutada. Ebaselge miks on vaja kirja panna soovituslike asju (võib vormistada). Punktide 1-3 hindamistulemuste (andmete konfidentsiaalsuse, käideldavuse ja tervikluse hindamist) vormistamist siin ei nõuta ja seda siin isegi kirjalikult ei soovitata. Samas eelnõu ise nõuab dokumenteerimist. Eelnõu ja eelnõu lisa (Meetmed) tuleb vastavusse viia. Andmete omanikul on eelnõu §-ga 6 pandud kohustus dokumenteerida tervikuna § 2 lõige 1 kirjeldatud hindamine, aga mitte eelnõu lisa II osas (meetmed). Viimases on ainult soovitus dokumenteerida pilveteenuse osutaja hindamistulemused, mitte avaliku teabe olemust ning riske avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kahjustamise korral. Hetkel jääb seega arusaamatuks, kumb siis on - soovituslik või kohustuslik. Samuti on ebaselge, kui dokumenteerimine on kohustuslik, siis kui detailselt ikkagi dokumenteerima peab (millele vastavust järelevalve rolli täitja, RIA või kes iganes vajadusel kontrollib). Eelnõu ja juhised, sh lisa, peavad olema piisavalt selged ja arusaadavad, mitte kehtestama lihtsalt näitliku loetelu mingitest soovituslikest/hüpoteetilistest asjadest. Sellisel viisil, nagu täna esitatud, ei aita see kuidagi avaliku teabe turvalisele käitlemisele kaasa. Kui on soov kehtestada mõistlik regulatsioon, mis soodustab pilveteenuste kasutamist ja loob efektiivsust, siis tuleb alustada miinimumnõuete kirjeldamisest - luua hindamise protsessikirjeldus koos jooniste, dokumendivormide, näidiskaasustega jms. Organisatsioonil, kes seda eelnõud täitma peab hakkama, peab olema üheselt selge ja arusaadav juhis (nn tööriistakast) ees, mida ta tegema peab ja paigas/määratud „tugi“, kes abi ja nõu pakub. Hetkel välja pakutu kohaselt peaks igaüks omaette ja oma tarkusest otsuseid tegema ja seda valdkonnas, mis ei ole nende põhitegevus. Saatja: Info Aadress <[email protected]> Saadetud: 14.07.2023 15:16 Adressaat: <"MKM info">; <=?iso-8859-1?Q?Guido_P=E4=E4suke?=> Koopia: Keilin Tammepärg <[email protected]> Teema: Arvamus määruse eelnõu kohta Manused: 14.07.2023_6.1-12_75-1_MKM_pilvemäärus.asice Tere Edastame Teile Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu 14.07.2023 kirja nr 6.1-2/75-1 "Arvamus määruse "Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvandmetöötlusteenuse kasutamisel" eelnõu kohta". Lugupidamisega Heleri Vahemäe Büroojuht Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Lõõtsa 2B 11415 Tallinn Mob 5115521 Tel 6177 145 [email protected] www.itl.ee