Arvamus määruse "Küberintsidentide registri põhimäärus" eelnõu kohta

Saatja: Info Aadress <[email protected]> Saadetud: 14.06.2023 17:12 Adressaat: <"MKM info">; <=?iso-8859-1?Q?Guido_P=E4=E4suke?=> Koopia: Keilin Tammepärg <[email protected]> Teema: Arvamus määruse "Küberintsidentide registri põhimäärus" eelnõu kohta Manused: 14.06.2023_6.1-2_68-1_MKM_küberintsidentide registri määruse eelnõu.asice Tere Edastame Teile Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu 14.06.2023 kirja nr 6.1-2/68-1 "Arvamus määruse "Küberintsidentide registri põhimäärus" eelnõu kohta". Lugupidamisega Heleri Vahemäe Büroojuht Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Lõõtsa 2B 11415 Tallinn Mob 5115521 Tel 6177 145 [email protected] www.itl.ee Hr Tiit Riisalo Majandus- ja infotehnoloogiaminister Majandus- ja Kommunikatsiooniministeerium Teie 30.05.2023 nr 2-1/2023/2910 Suur-Ameerika 1 10122 TALLINN Meie 14.06.2023 nr 6.1-2/68-1 Arvamus määruse "Küberintsidentide registri põhimäärus" eelnõu kohta Täname teid võimaluse eest esitada arvamus määruse "Küberintsidentide registri põhimäärus" eelnõu (edaspidi: eelnõu) kohta. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) on eelnõud analüüsinud ja esitab käesolevaga selle kohta oma seisukohad ning ettepanekud. 1. Registri pidamise eesmärk on laialivalguv ja mittevastav volitusnormile ITL on seisukohal, et registri pidamise eesmärk on hoolimata varasematest ettepanekutest (vt ITL-i 02.02.2021 kiri nr 6.1-2/9-1 eelnõu varasema versiooni kohta, punkt 1) eelnõu §-is 2 endiselt laialivalguv. Samuti ei ole see küberturvalisuse seaduse (KüTS) §-is 13 sisalduva volitusnormiga kooskõlas. Eelnõus nimetatakse registri eesmärgina ka intsidentide tuvastamine, mida volitusnorm ei sisalda. Lisaks on kogu registri eesmärk meie hinnangul liiga laiaulatuslik ja küsitav (kahtleme endiselt, kas register ise aitab intsidente lahendada või neid analüüsida, samuti ohuteateid edastada). Pigem on tegemist andmekoguga, mis annab sisendit analüüsiks ja riskide tuvastamiseks riigi kui terviku vaates. Andmete edastajate vaates ei ole see register abiks. Pigem tekitab koondatuna täiendava riskikoha ja ohu andmetele volitamata ligipääsu korral. Kuna eelnõu § 2 seab kogu registri olemuse, teeme ettepaneku selle sõnastus veel kord üle vaadata ja hinnata selle selgust ning vastavust volitusnormile. Registri pidamise eesmärk peab olema arusaadav kõigile, kes määrust loevad. 2. Registri turvalisuse tase ei ole piisav ja vajab üle vaatamist Elutähtsa teenuse osutajate vaatest ei ole jätkuvalt vastuvõetav andmekogus sisalduva info osas turbeaste M (eelnõu § 6) ja turvaklass S2. Leiame, et elutähtsa teenuse osutajate turvanõrkuste, haavatavuste ja turvameetmete rakendamise üksiksasjade kohta registrisse info kokku kogumine muudab registris oleva info riigi turvalisuse vaates äärmiselt oluliseks. Seetõttu leiame jätkuvalt, et andmekogu turbeaste ja -klass peavad olema kõrgemad.  2 ITL-ina esitasime selle ettepaneku ka eelnõu eelmisele versioonile ((vt ITL-i 02.02.2021 kiri nr 6.1-2/9- 1, punkt 2), aga ei ole saanud ammendavat selgitust, miks sellele vastu ei soovita tulla. ITL-i kuuluvad ettevõtted soovivad andmeandjatena eelnevalt läbipaistvat koostööd andmete hoidmise ja andmekoosseisu üle. S2 taseme motiveeritus ei paista meile piisavalt motiveeritud ning lähtub ilmselt vaid RIA sisemisest hinnangust, kuid ei hõlma eri intsidentide käigus koguneva info väärtuse kasvu kombinatsioonis lähtuvalt andmeandjate riskihinnangutest. Lisame, et riskide minimiseerimiseks on hädavajalik, et registrist kustutatakse liigsed andmed koheselt peale intsidendi uurimise lõpetamist. Hetkel näeb eelnõu ette, et kõiki registrisse kantud andmeid säilitatakse selles viis aastat alates intsidendi lahendamisest (eelnõu § 12). Registri turvalisusega seonduvalt palume veelkord selgitada riigisaladusega seonduvat. ITL-i 02.02.2021 arvamusele antud tagasisides (eelnõu seletuskirja lisa lk 4) kinnitate, et registrisse ei kanta riigisaladusega kaitstud teavet. Vabariigi Valitsuse määruse „Riigisaladuse ja salastatud välisteabe kaitse kord“ § 8 lg 1 punkt 321 määratleb riigisaladusena muuhulgas ka seire-, järelevalvetoimingute ja küberintsidentide analüüsi käigus kogutud teabe elutähtsa teenuse osutaja võrgu- ja infosüsteemi turvanõrkuste ja rakendatavate turvameetmete kohta. Erandiks on teave, mille avalikuks tulek ei kahjusta Eesti Vabariigi julgeolekut. Kas saame õigesti aru, et info registrisse kandmisel saab määravaks küsimuseks, kas kaasneb oht riigi julgeolekule või mitte? Lisaks soovime välja tuua, et tervikvaade kõigist küberturvalisuse valdkonna muudatustest aitaks ettevõtetel paremini aru saada, millest tulenevalt mingeid muudatusi kavandatakse. Peame silmas KüTS-i revisjoni ja kavandatavaid muudatusi NIS2 ülevõtmisega seoses. Loodame, et peate võimalikuks ITL-i seisukohti ja ettepanekuid arvestada. Oleme valmis vajadusel oma seisukohti täiendavalt selgitama. Lugupidamisega /allkirjastatud digitaalselt/ Doris Põld Tegevjuht Keilin Tammepärg, [email protected]