Vastus

Saatja: Stina Avvo - JUSTDIGI </O=EXCHANGELABS/OU=EXCHANGE ADMINISTRATIVE GROUP (FYDIBOHF23SPDLT)/CN=RECIPIENTS/CN=CEB7B834D3614CB8B327DC919CC43C3B-9B248276-23> Saaja: Kaisa Valk, Mait Heidelberg - JUSTDIGI, Tais Vakrõõm, Janar Pilve, Sander Pelisaar, Erika Adams, Raavo Palu - JUSTDIGI, Anna Mõtlik - JUSTDIGI Teema: RE: Küsimused seoses eIDAS 2.0-ga Lp Kaisa Valk! Täname pöördumise eest! Esmalt selgitame, et märgukirjale ja selgitustaotlusele vastamist reguleerib märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seadus <https://www.riigiteataja.ee/akt/118122024006?leiaKehtiv> (edaspidi MSVS). MSVS §-st 3 tulenevalt on Justiits- ja Digiministeeriumil kohustus anda õigusalaseid selgitusi Justiits- ja Digiministeeriumil poolt väljatöötatud õigusaktide, nende eelnõude ja asutuse tegevuse aluseks olevate õigusaktide ning asutuse pädevuse ja õigusloome tegevuse kohta. Õigusalaste selgituste andmine ei tähenda õigusabi andmist. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang. Seetõttu on meil Teie kirjale võimalik vastata ainult selles osas, mis jääb selgitustaotluse raamidesse, vastavalt Justiits- ja Digiministeeriumil pädevusvaldkonnale. Vastuseks Teie küsimustele, selgitame: 1. Teie esimeses küsimuses viidatud Euroopa Parlamendi ja Nõukogu määruse nr 910/2014, e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ <http://data.europa.eu/eli/reg/2014/910/2024-10-18> (edaspidi eIDAS) artikli 24 lõike 2 punkt a sätestab kvalifitseeritud usaldusteenuse osutajale teavitamiskohustuse enne mistahes muudatuse rakendamist oma kvalifitseeritud usaldusteenustes. Siin on mõeldud teenuse sisuga seotud kavandatavaid muudatusi, millest tuleb teavitada enne muudatuste tegemist. Selgitustaotluses ei ole E-identimise ja e-tehingute usaldusteenuste seaduse <https://www.riigiteataja.ee/akt/130122024006?leiaKehtiv> (edaspidi EUTS) osas täpsustatud, millist sätet mõeldakse. Kuid ilmselt olete siin mõelnud EUTS §-i 13 lõiget 1, mis käsitleb usaldusteenuse osutaja teavitamiskohustust seoses loa taotluses ja usaldusnimekirja kandmise taotluses esitatud andmete muutmisega. Nimetatud taotluses olevad andmed ei pruugi olla seotud teenuse sisuga, näiteks kui kvalifitseeritud usaldusteenuse pakkuja muudab oma ärinime. Seega need kaks viidatud sätet täiendavad teineteist selles osas. Olenevalt olukorrast, tuleks kohaldada vastavat sätet. Täiendavalt selgitame, et eIDAS on Euroopa Liidu määrus, mistõttu on see vahetult kohaldatav liikmesriikides. Sellest tulenevalt ei ole vaja eIDAS artikli 24 lõike 2 punkti a nõudeid EUTSi dubleerida. 2. Teie teises küsimuses viidatud eIDAS artikli 24 lõike 2 viimane säte ei sätesta järelevalvemenetlusele tähtaegu lisainfo küsimiseks ega ütle, mis hetkel tuleb lisainfot küsida. eIDAS artikli 24 lõike 2 viimane lõik sätestab, et järelevalveasutus võib nõuda täiendavat teavet lisaks esimese lõike (ilmselt mõeldud teist lõiget) punkti a kohaselt esitatud teabele või vastavushindamise tulemusi ning võib kehtestada tingimusi kvalifitseeritud usaldusteenustes kavandatud muudatuste tegemiseks loa andmiseks. Kui kolme kuu jooksul alates teate esitamisest ei ole kontrolli lõpule viidud, teavitab järelevalveasutus usaldusteenuse osutajat viivituse põhjustest ja ajavahemikust, mille jooksul kontroll lõpule viiakse. Seega viidatud sätte esimese lause mõte on see, et järelevalve asutusel on õigus küsida lisainfot kui saadakse teavitus muudatustest kvalifitseeritud usaldusteenustes. Teise lause mõte on teavitada usaldusteenuse osutajat kui kontrolltähtaeg pikeneb. eIDAS artikli 24 lõike 2 viimase lõigu tähtaja pikendamise võimalust tuleb iga kordselt eraldi järelevalveasutusel hinnata vastavalt asjaoludele ja põhistada. Usaldusteenusega seotud järelevalve toimingute tähtajad on sätestatud eIDAS määruses ja EUTSis. Menetlustoimingud viiakse läbi viivituseta, kuid mitte hiljem kui seaduses või määruses sätestatud tähtaja jooksul (vt haldusmenetluse seaduse § 5 lg-t 4). Meile teadaolevalt ei ole lisainfo küsimiseks eIDAS määruses 30 päeva sätestatud. EIDAS määruse artikli 24 lõike 2 viimase lõike nõudeid ei ole vaja Eesti õigusakti dubleerida, kuivõrd eIDAS määrus on vahetult kohaldatav liikmesriikides. Palusite ka infot, kas oskame anda indikatsiooni, milliste muudatuste puhul või millistes olukordades peaksite praktikas arvestama 3-kuulise menetlusajaga. Vastuseks märgime, et sellist üldist juhist ei ole võimalik anda Justiits- ja Digiministeeriumi poolt, kuivõrd see sõltub konkreetse järelevalve asjaoludest. 3. Teie kolmas küsimus on seotud Riigi Infosüsteemi Ameti teostatava järelevalve läbiviimisega, mistõttu Justiits- ja Digiministeeriumil on keeruline Ameti asemel esitatud küsimusele vastata. Vastab tõele, et kübeturvalisuse 2. direktiivi <http://data.europa.eu/eli/dir/2022/2555/2022-12-27> artikli 21 lõike 5 alusel kehtestatud rakendusmääruse (EL) 2024/2690 nõuete kehtivus on sõltuvuses rakendusmääruse aluseks oleva direktiivi üle võtmisest, kuid see siiski ei takista rakendusmääruses nimetatud üksustel (sh usaldusteenuse osutajatel) valmistuda rakendusmääruse nõuetele vastamiseks, sealhulgas kontrollida seda välise auditeerimise kaudu – isegi siis, kui tegemist ei ole veel usaldusteenuse osutaja suhtes kohalduvate küberturvalisuse nõuetega. Leiame, et Riigi Infosüsteemi Amet saab paremini selgitada, kas ja mil määral saab mainitud auditiga tuvastatud leiud vormistada ehk kas auditi raportis saab käsitada tuvastatud puudusi kui soovitusi (potential for improvement), mitte otseselt mittevastavustena. Lugupidamisega Stina Avvo Talituse juhataja Justiits- ja Digiministeerium 58851218 From: Erika Adams <[email protected]> Sent: Monday, May 19, 2025 4:32 PM To: Justiits- ja Digiministeerium <[email protected]> Cc: Mait Heidelberg - JUSTDIGI <[email protected]>; Stina Avvo - JUSTDIGI <[email protected]>; [email protected]; Kaisa Valk <[email protected]>; Tais Vakrõõm <[email protected]>; Janar Pilve <[email protected]>; Sander Pelisaar <[email protected]> Subject: FW: Küsimused seoses eIDAS 2.0-ga Tere Riigi Infosüsteemi Amet edastab alltoodud SK ID Solutions AS-i poolt esitatud selgitustaotluse Justiits-ja Digiministeeriumile, kui usaldusteenuse valdkonna õigusloome koordineerimise ja eelnõude väljatöötamise alal pädevale asutusele vastamiseks, kuivõrd esitatud küsimused puudutavad seadusloomet ja selle tõlgendamist. RIA omalt poolt saab kommenteerida küsimuse nr 2 väidet senise praktika kohta: eIDAS-e artikkel 24 p 2 viimane lõik ütleb, et järelevalvel on otsuse tegemiseks aega 3 kuud, mida võib pikendada, kui selleks on põhjus. EUTS otseselt ei ütle, mis aja jooksul muudatuse teavituse korral otsus tehakse, aga siiani on praktika olnud, et menetlusaeg on 30 päeva (ma ei ole hetkel kindel, kas see tuleb mõnest õigusaktist). Senine praktika usaldusteenuse osutamisega seotud asjaolude muutmisest teatamise osas on RIA oma toimingute tähtaegade osas lähtunud EUTS §-st 13 lõikest 2 ja 3. Muudatused, mis ei eelda EUTS §-s 7 nimetatud menetlust käsitletakse ära 14 päeva jooksul. See sisaldab muudatuse teavituse läbivaatamist; kaalutletud otsust kas muudatus eeldab §-s 7 nimetatud menetlust või mitte; vajadusel usaldusnimekirja muutmist ning vastuse saatmist muudatusest teavitanud teenuse osutajale (kas muudatuse teavitusega on kõik korras või tuleb minna EUTS §-7 sätestatud menetlusse ja esitada täiendavat infot). Muudatused, mis eeldavad EUTS §-s 7 nimetatud menetlust teavitame selle vajadusest 14 päeva jooksul ja korduva tegevusloa taotluse esitamise kättesaamisest menetletakse taotlus EUTS §-s 7 sätestatud tähtaegadega, st 50 päeva jooksul. Lugupidamisega Erika Adams Juhtivekspert +372 522 1328 [email protected] <mailto:[email protected]> Riigi Infosüsteemi Amet Küberturvalisuse keskus NCSC-EE Järelevalve Osakond Pärnu mnt 139a Tallinn 15169 www.ria.ee <http://www.ria.ee> From: Kaisa Valk <[email protected] <mailto:[email protected]> > Sent: Wednesday, May 14, 2025 2:25 PM To: Erika Adams <[email protected] <mailto:[email protected]> >; Tais Vakrõõm <[email protected] <mailto:[email protected]> > Subject: Küsimused seoses eIDAS 2.0-ga E-kiri saadeti väljastpoolt RIA-t. Kui Sa ei tunne saatjat, siis ära ava linke ega manuseid! Tere Mul on seoses uue eIDAS-ega tekkinud paar küsimust, mille osas sooviksin teiega konsulteerida. Nimelt: 1. eIDAS-e art 24 p 2(a) ütleb, et usaldusteenuse muudatustest tuleb teavitada vähemalt 30 päeva ette, EUTS aga ütleb, et teavitada tuleb viivitamata (jättes täpsustamata, millest alates viivitamata). Küsimus: a. Kummast nõudest antud juhul juhinduma peame? b. Kas ja kuidas on plaanis EUTS selle nõude osas eIDAS-ega joondada? 2. eIDAS-e artikkel 24 p 2 viimane lõik ütleb, et järelevalvel on otsuse tegemiseks aega 3 kuud, mida võib pikendada, kui selleks on põhjus. EUTS otseselt ei ütle, mis aja jooksul muudatuse teavituse korral otsus tehakse, aga siiani on praktika olnud, et menetlusaeg on 30 päeva (ma ei ole hetkel kindel, kas see tuleb mõnest õigusaktist). Küsimused: a. Võttes arvesse eelnevas punktis mainitud nõuet teavitada muudatustest ette vähemalt 30 päeva, eeldan, et n-ö tavapärane eIDASega ette nähtud menetlusaeg on siiski 30 päeva. 3 kuud või rohkem tuleb kõne alla siis, kui järelevalve küsib selle esimese 30 päeva jooksul lisainfot. Kas selline tõlgendus on teie arusaamaga kooskõlas? b. Kas ja kuidas on plaanis EUTSi see eIDASes sätestatud menetlusaja pikendamine sisse tuua? Küsimus tuleneb sellest, et praktikas on meil iga vastava muudatuse osas vaja oma plaanidesse sisse arvestada ka RIA menetlusaeg. On päris suur vahe, kas peame arvestama 30 päeva või 3 kuud (või isegi rohkem) ja kuidagi on meil vaja seda ka oma sisemistes protsessides kajastada. Iga muudatuse korral 3 kuud arvestada ei tundu mõistlik. Mingisuguse konkreetsuse saavutamiseks saame näiteks eeldada, et menetlusaja pikendamine on tõenäolisem pigem suuremate muudatuste puhul, kus tuleb nagunii esitada korduva loa taotlus või uus taotlus. Sellistel juhtudel näeb EUTS menetlusajaks ette vastavalt 50 või 80 päeva. Need tähtajad erinevad aga ikkagi eIDAS-e klauslis esitatud 3-le kuust. Ehk siis, kas oskate anda mingi indikatsiooni, milliste muudatuste puhul või millistes olukordades peaksime praktikas arvestama 3-kuulise menetlusajaga? 3. Uue eIDAS-e kohaselt (art 20.1 ja 21.1) peavad kvalifitseeritud usaldusteenusepakkujad olema auditeeritud NIS2 artikli 21 vastu. NIS2 näol on aga tegemist direktiiviga, mis tähendab, et see ei ole otsekohalduv. NIS2 rakendusaktis on küll öeldud, et see on justkui otsekohalduv, aga nii ei saa tegelikult olla. Eesti õigusesse ei ole aga praeguseks NIS2 üle võetud. Konsulteerisime märtsis/aprillis ITL-i kaudu selles küsimuses Justiits- ja Digiministeeriumiga. Ministeeriumi seisukoht on lühidalt kokku võttes, et NIS2 ja ja selle rakendusakt ei ole otsekohalduvad ja nendes sisalduvatele nõuetele otseselt ei pea enne NIS2 ülevõtmist Eesti õigusesse vastama. Seda arvesse võttes ja eeldusel, et meie auditi alguseks veel NIS2 Eesti õigusesse üle võetud ei saa, on meie ettepanek, et SK võtab siiski NIS2, selle rakendusakti ja praegu kehtiva KüTS-i nõuded oma sügisese usaldusteenuste re-sertifitseerimise auditi skoopi (st auditeeritakse ka nende nõuete vastu), kuid kõiki NIS2 nõudeid puudutavaid leide käsitletakse ja vormistatakse raportis soovitustena (potential for improvement), mitte otseselt mittevastavustena (kuna faktiliselt me nendele nõuetele veel vastama ei pea). Kas selline plaan sobib teile? Olen väga tänulik, kui leiate aega nende küsimuste osas oma mõtteis avaldada. Tervitades Kaisa Kaisa Valk Compliance Manager / Nõuetele vastavuse juht +372 5411 0270 SK ID Solutions AS • +372 610 1880 • [email protected] <mailto:[email protected]> Pärnu mnt 141, 11314 Tallinn, Estonia • skidsolutions.eu <https://www.skidsolutions.eu/>