Pöördumine

Majandus- ja Kommunikatsiooniministeerium [email protected] [email protected] Meie: 10.07.2023 nr 32 Küberturvalisuse seaduse revisjon Täname Teid võimaluse eest osaleda ühisel arutelul seoses küberturvalisuse seaduse (KÜTS) revisjoniga ning edastada oma täiendavaid seisukohti. Seoses NIS2 direktiivi üle võtmisega ning DORA rakendamisega 2025 aastal leiame, et IKT-riski juhtimiseks pankadele nõuete kehtestamine KüTS raames oleks vastuolus Euroopa Liidu õiguse põhimõtetega, mis sätestava Euroopa Liidu õiguse ülimlikkuse. Palume MKM-l läbi viia täiendav õiguslik analüüs selles, kas ja mis ulatuses NIS2 direktiivi nõudeid saab rakendada pank adele, kus mh arvestada ka järgnevate argumentidega. 1. NIS2 preambula selgitab selle rakendamise erisusi, sh selle rakendamata jätmist erinevates valdkondades (vt nt punktid 23 ja 28). Nimetatud seisukohad on kajastatud ka õigusaktides endis. 2. NIS2 direktiivi art 4 p 1 kohaselt „Kui valdkondlikes liidu õigusaktides nõutakse elutähtsatelt või olulistelt üksustelt küberturvalisuse riskijuhtimismeetmete võtmist või olulistest intsidentidest teatamist ning kui need nõuded on vähemalt samaväärse toimega kui käesolevas direktiivis sätestatud kohustused, ei kohaldata selliste üksuste suhtes käesoleva direktiivi asjakohaseid sätteid, sealhulgas VII peatükis sätestatud järelevalve- ja täitmise tagamise sätteid.”. 3. DORA art 1 p 2 kohaselt „Mis puudutab finantssektori ettevõtjaid, keda käsitatakse elutähtsate või oluliste üksustena vastavalt riigisisestele õigusnormidele, millega on üle võetud direktiivi (EL) 2022/2555 artikkel 3, siis käesolevat määrust käsitatakse nimetatud direktiivi artikli 4 kohaldamisel valdkondliku liidu õigusaktina.”. 4. Meie andmetel finantsettevõtete välistamist NIS2 rakendamiseks loodava siseriikliku se aduse kohaldamisalast plaanivad nt Läti, Leedu, Taani. Meie kolleegid Lätist kinnitasid, et vestlused kaitseministeeriumi (NIS2) ja finantsettevõtete vahel on lõppenud otsusega, et DORA kohuslased arvatakse kohalikust küberturvalisuse seadusest välja. Uut/muudetud seadust neil veel kehtestatud ei ole. Sarnane kokkulepe on saavutatud ka Leedus, kuid vestlusringid riiklike osapoolte vahel kestavad veel. Ühtlasi juhime tähelepanu, et ka CER direktiiv tekitab küsimusi, kas ja mis määral plaanitavad muudatused hädaolukorra regulatsiooni reformimiseks, st plaanitav tsiviilkriiside ja riigikaitse seadus, on kooskõlas Euroopa Liidu õigusega: 1. CER preambula p 21 selgitab, et dubleerimise ja ebavajaliku halduskoormuse vältimiseks ei peaks direktiivi teatud sätteid finantsasutustele rakendama. Maakri 30, Tallinn 10145 T +372 611 6567 [email protected] pangaliit.ee  2. Tänane praktika kinnitab eelnimetatut ning ETO-pangad Eestis saavad siin üksnes kinnitada, et HOS alusel riskianalüüside ja toimepidevusplaanide koostamine täiendavalt pankadelt nõutavale tavapärasele talitluspidevuse juhtimisele on kaasa toonud ebamõistlikult koormava, kuid üksnes marginaalset lisandväärtust andva lisaülesande. 3. CER direktiivi art 8 sätestab üheselt, et „Liikmesriigid tagavad, et artiklit 11 ning III, IV ja VI peatükki ei kohaldata elutähtsa teenuse osutajate suhtes, kelle nad on identifitseerinud lisa tabeli punktides 3, 4 ja 8 esitatud sektorites (sh pangandus). Liikmesriigid võivad vastu võtta või säilitada liikmesriigi õigusnormid, millega saavutada kõnealuste elutähtsa teenuse osutajate toimepidevuse kõrgem tase, tingimusel et need õigusnormid on kooskõlas kohaldatavate liidu õigusenormidega.”. Lisaks teeme ettepaneku korraldada sügisel ühine kohtumine Riigikantselei, Rahandusministeeriumi, Riigi Infosüsteemi Ameti, Eesti Panga, Finantsinspektsiooni ja teiste oluliste koostööpartneritega, et omada paremat tervikpilti uute seaduste rakendamise või olemasolevate seaduste muudatustega seoses. Nimetatud ajaks on eeldatavalt ka Komisjon andnud täiendavad suunised NIS2 direktiivi art 4 kohaldamiseks. Loodame, et meie ettepanekud on konstruktiivsed. Oleme valmis andma täiendavaid selgitusi oma seisukohtadele. Lugupidamisega, /allkirjastatud digitaalselt/ Katrin Talihärm Tegevdirektor Saatja: Katrin Talihärm <[email protected]> Saadetud: 10.07.2023 23:20 Adressaat: <"MKM info">; <"Raavo Palu"> Teema: Pangaliidu pöördumine Manused: image001.png; PL MKMle 10.07.2023 Küberturvalisuse seaduse revisjon.asice Katrin Talihärm Eesti Pangaliit T +372 611 6569 M +372 50 60701