Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruse nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ muutmine

MÄÄRUS 08.03.2023 nr 18 Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruse nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ muutmine Määrus kehtestatakse Vabariigi Valitsuse seaduse § 42 lõike 1 alusel. Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruses nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ tehakse järgmised muudatused: 1) paragrahvi 10 lõike 1 esimene lause sõnastatakse järgmiselt: „Ameti struktuuriüksused on küberturvalisuse keskus, riigi infosüsteemi teenistus, administratiivosakond, infoturbe osakond, kommunikatsiooniosakond, eriprojektide osakond, õigusosakond, personaliosakond, finantsosakond ning masinõppe- ja keeletehnoloogia osakond.“; 2) paragrahvi 10 lõike 2 esimest lauset ja § 17 lõike 1 esimest lauset täiendatakse pärast sõna „teenistus“ sõnadega „ja keskus“ vastavas käändes; 3) paragrahvi 13 lõike 1 sissejuhatavas lauseosas asendatakse sõna „teenistuse“ sõnaga „keskuse“; 4) paragrahvi 13 lõiget 1 täiendatakse punktiga 21 järgmises sõnastuses: „21) küberintsidendist lähtuva ohu avalikustamine, kui see on kooskõlastatud riigisisese või rahvusvahelise koostöö alusel;“; 5) paragrahvi 13 lõike 8 punkt 1 tunnistatakse kehtetuks; 6) paragrahvi 13 täiendatakse lõikega 15 järgmises sõnastuses:  2 „(15) Finantsosakonna põhiülesanne on finantsjuhtimise ja varahalduse korraldamine ning eelarve eelnõude koostamise koordineerimine.“. (allkirjastatud digitaalselt) Kristjan Järvan ettevõtlus- ja infotehnoloogiaminister (allkirjastatud digitaalselt) Ahti Kuningas kantsler  EELNÕU 06.03.2023 Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruse nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ muutmise määruse eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määrust nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ (edaspidi põhimäärus) on vaja muuta, arvestades vajadust teha muudatusi Riigi Infosüsteemi Ameti (edaspidi RIA) struktuuris ja ülesannetes. Määrusega tehakse järgmised muudatused: 1) nüüdisajastatakse küberturvalisust kui RIA põhivaldkonda juhtiva struktuuriüksuse nimetust, et rõhutada RIA rolli küberturvalisuse valdkonna kompetentsikeskusena; 2) luuakse uus struktuuriüksus – finantsosakond. Loodava osakonna pädevusesse antakse senised administratiivosakonna ülesanded, nagu finantsjuhtimise ja varahalduse korraldamine ning eelarve eelnõude koostamise koordineerimine; 3) lisatakse küberturvalisuse keskuse ülesannete hulka küberintsidendist lähtuva ohu avalikustamise ülesanne, kui see oht on riigisisese või rahvusvahelise koostöö korras kooskõlastatud. Muudatused toovad kaasa RIA rolli selguse riigisiseselt Eestis ja rahvusvahelises koostöös ning RIA tegevuse parema koordineerimise. 1.2. Eelnõu ettevalmistajad Määruse eelnõu ja seletuskirja koostasid Majandus- ja Kommunikatsiooniministeeriumi digiriigi arengu osakonna IT õiguse valdkonnajuht Mirjam Rannula (telefon 639 7625, e-post [email protected]) ja RIA õigusosakonna juhataja Silver Lusti (telefon 666 8833, e- post [email protected]). Eelnõu ja seletuskirja koostamisel osales ka Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse osakonna küberturvalisuse õigusnõunik Raavo Palu (telefon 639 7695, e-post [email protected]). Eelnõu juriidilist kvaliteeti kontrollis Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass (e-post [email protected]). Eelnõu ja seletuskirja on keeleliselt toimetanud Justiitsministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse keeletoimetaja Airi Kapanen (e-post [email protected]). 1.3. Märkused Eelnõu ei ole seotud muu menetluses oleva eelnõuga, Euroopa Liidu õiguse rakendamisega ega Vabariigi Valitsuse tegevusprogrammiga. Eelnõuga muudetakse põhimäärust avaldamismärkega RT I, 22.02.2022, 3. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu punktidega 1–3 muudetakse RIA struktuuri ja ühe struktuuriüksuse nimetust. RIA koosseisu luuakse uue struktuuriüksusena finantsosakond, kes hakkab täitma seni 1 administratiivosakonna pädevuses olnud ülesandeid. Küberturvalisuse teenistus kui struktuuriüksus, kes juhib RIA põhivaldkonda, nimetatakse küberturvalisuse keskuseks. Selle muudatuse eesmärk on tõsta esile RIA kandev roll Eestis kompetentsikeskusena küberturvalisuse valdkonnas ning seeläbi hoida ja edendada ka rahvusvahelist koostööd. RIA on küberturvalisuse valdkonnas rahvusvaheliselt kompetentsikeskusena tuntud juba praegu. Tõlkes kasutab RIA endale kui küberturvalisuse valdkonna üksusele viitamiseks sageli just sõna „keskus“ (ingl national cyber security centre) ja inglisekeelsete sõnade esitähtedest moodustatud lühendit NCSC, mille kasutamine on juurdunud rahvusvahelises praktikas ja Euroopa partnerasutustega lävimisel. Kui 2023. aastast on Lätis NCSC-LV, siis praegu on Eesti ainus riik Põhjala-Balti piirkonnas, kus puudub ametlikult end NCSC-na tähistav küberasutus. Leedus on NCSC-LT1, Soomes on NCSC-FI2, Rootsis on vastloodud NCSC-SE3 ja Taanis on küberturvalisuse keskus CFCS-DK4 (Centre for Cyber Security). Tabel. Küberturvalisuse keskuse ametlikud lühendid riigiti Läti Leedu Soome Rootsi Taani Holland NCSC-LV NCSC-LT NCSC-FI NCSC-SE CFCS-DK NCSC-NL Oluline on märkida, et RIA küberturvalisuse teenistuse nimetamisega küberturvalisuse keskuseks ehk NCSC-EEks ei kaasne suurt struktuurimuudatust, sest NCSC võib olla ka osa suuremast organisatsioonist. Näiteks Soome küberturvalisuse keskus NCSC-FI kuulub transpordi- ja kommunikatsiooniagentuuri Traficom5, kuid Traficomi enda struktuuris nimetatakse küberturvalisusega tegelevat üksust „riiklikuks küberturvalisuse keskuseks“ ja sellel üksusel on oma ka veebileht. Samuti nimetatakse Hollandis Justiits- ja Julgeolekuministeeriumi struktuuris tegutsevat küberturvalisuse valdkonna üksust küberturvalisuse keskuseks (NCSC-NL).6 Seega, rahvusvahelise valdkondliku praktika järgi on tavapärane, et küberturvalisuse keskus paikneb mõne teise nimetusega asutuse struktuuris. RIA küberturvalisuse teenistusel oleks kasulik end ametlikult identifitseerida kui küberturvalisuse keskus ja ametlikult võtta kasutusele tähistus NCSC-EE, sest see muudab RIA kui asutuse, kes on riiklik küberturvalisuse kontaktpunkt ning võrgu- ja infosüsteemide turbe vallas pädeva asutuse olemuse arusaadavaks Eesti sees ja üheselt mõistetavaks ka rahvusvaheliselt. Praeguse küberturvalisuse teenistuse koosseisus on ka Eesti küberturvalisuse valdkonna tööstuse, tehnoloogia ja teadusuuringute koordineerimisüksus, mis olemuselt ja rahvusvahelise identiteedi poolest on samuti omaette riiklik koordineerimiskeskus Euroopa Parlamendi ja nõukogu määruse (EL) 2021/887, millega luuakse küberturvalisuse valdkonna tööstuse, tehnoloogia ja teadusuuringute Euroopa pädevuskeskus ning riiklike koordineerimiskeskuste 1 Leedu küberturvalisuse keskus. https://www.nksc.lt/en/ 2 Soome küberturvalisuse keskus. https://www.kyberturvallisuuskeskus.fi/en/homepage 3 Rootsi küberturvalisuse keskus. https://www.ncsc.se/ 4 Taani küberturvalisuse keskus. https://www.cfcs.dk/ 5 Soome küberturvalisuse keskus. https://www.traficom.fi/en/ 6 Hollandi küberturvalisuse keskus (NCSC-NL). https://english.ncsc.nl/ 2 võrgustik (ELT L 202, 08.06.2021, lk 1–31)7 tähenduses. Arvestades, et küberohud ei tunne riigipiire, on Eesti riigi küberturvalisuse tagamiseks vajalik tõhus ja aktiivne rahvusvaheline koostöö. Kuna riigiti on küberökosüsteemid üles ehitatud erinevalt, aitab RIA-l kui riikliku küberturvalisuse kontaktpunktil rahvusvaheliselt välja paista universaalne ja küberturvalisuse valdkonnas üheselt mõistetav tähis NCSC-EE, samal ajal kui sõna keskus kasutamine RIA struktuuriüksuse nimetuses tagab senisest suurema selguse Eesti riigisiseses kasutuses. Rõhuasetus kompetentsikeskusele aitab nii riigisiseselt kui ka rahvusvaheliselt kinnistada sõnumit, et Eesti peab küberturvalisust endiselt oluliseks ja panustab selle valdkonna arengusse. 2022. aastal kasvas RIA küberturvalisuse teenistuse võimekus nii personali, tööliinide kui ka muude ressursside poolest märkimisväärselt ning asjatundmuse ja kompetentside kasv on kavas ka 2023. aastal. Lisandunud on uued tehnilised võimed ja organisatsioonilised muutused. Laialdasemaid muudatusi võimete kasvu tõttu ei ole põhimääruses viimaste aastate jooksul tehtud, kuna põhimääruses praegu kirjeldatud RIA põhiülesanded ja struktuuriüksuste ülesanded on kindlaks määratud piisavalt üldiselt ja detailide lisandumise korral on RIA eesmärk ülesannete vaates jäänud samaks. Vabariigi Valitsuse seaduse (edaspidi VVS) § 42 kohaselt peab põhimääruses sätestama ameti struktuuri ja struktuuriüksuste põhiülesanded, ent samas ei reguleeri VVS ameti ega inspektsiooni struktuuriüksuste nimetustega seonduvat. Sõna keskus valitsusasutuse struktuuriüksuse tähistamiseks on Eestis kasutusel ka praegu. Näiteks, Välisluureameti põhimääruse8 § 12 sõnastus viitab asutuse struktuuris olevatele keskustele. Lisaks on keskused kui asutuse struktuuriüksused eri valitsusasutuste osakondade koosseisus – näiteks Terviseametis9 ning Haridus- ja Noorteametis10. Seega, kuigi enamiku valitsusasutuste struktuuriüksusena on nende põhimäärusetes nimetatud osakonda, teenistust või bürood, on praktikas ka näiteid, kus struktuuriüksuse tähistamiseks on põhimääruses kasutatud sõna keskus. Eesti keele seletava sõnaraamatu kohaselt on keskus mingit tegevust, valdkonda juhtiv, koordineeriv, endasse koondav asutus, organisatsioon või selle allüksus.11 Sõna „teenistus“ on laialdaselt kasutatav termin asutuste struktuuriüksuste tähistamiseks, kuid sisult on see eelkõige organisatsiooni formaalsele osale viitav sõna. Seega, rõhutaks sõna „keskus“ kasutamine, et mõnes kindlas valdkonnas on asutus olemuselt kompetentsikeskus. RIA kui valitsusasutus on kahe kompetentsikeskuse ühendaja ja nende koosmõju koordineerija. Kokkuvõttes on vajadus tõsta esile aja jooksul RIA põhivaldkonnaga seoses lisandunud kompetentse. Eesmärk on anda edasi sõnumit, et RIA-sse on koondunud oma valdkonna tippeksperdid ja kübervaldkonna üksus on olemuselt kompetentsikeskus. Teise muudatusena lisatakse struktuuriüksuste loetelusse finantsosakond, kelle ülesanded tuuakse administratiivosakonna alt peadirektori otsealluvusse. Loodava finantsosakonna ülesannete hulka kuulub muu hulgas ka RIA juhtkonna juhtimisalane nõustamine strateegilistes küsimustes. Arvestades selle ülesande kaalukust, on oluline korraldada finantsjuhtimist ja 7 Euroopa Parlamendi ja nõukogu määrus (EL) 2021/887, 20. mai 2021, millega luuakse küberturvalisuse valdkonna tööstuse, tehnoloogia ja teadusuuringute Euroopa pädevuskeskus ning riiklike koordineerimiskeskuste võrgustik 8 Välisluureameti põhimäärus. https://www.riigiteataja.ee/akt/106072022004 9 Terviseameti põhimäärus. https://www.riigiteataja.ee/akt/129122022072 10 Haridus- ja Noorteameti põhimäärus. https://www.riigiteataja.ee/akt/109062022002 11 Eesti keele seletav sõnaraamat, 2009. [EKSS] „Eesti keele seletav sõnaraamat“ 2009 (eki.ee) 3 varahaldust ning koordineerida eelarve eelnõude koostamist kogu RIA-s keskselt peadirektori vahetul juhtimisel. Eelnõu punktiga 4 lisatakse küberturvalisuse keskuse ülesannete hulka ülesanne avalikustada küberintsidendist lähtuv oht12, kui avalikustamine on kooskõlastatud riigisisese või rahvusvahelise koostöö korras. Küberturvalisuse seaduse (edaspidi KüTS) § 12 lõike 1 kohaselt on RIA ülesanne koordineerida Eestis küberturvalisuse tagamist ning küberintsidendi ennetamist ja lahendamist. See hõlmab muu hulgas küberohtudest teavitamist. KüTS-i § 12 lõike 3 kohaselt edastab RIA isikutele küberintsidendi ennetamiseks ja lahendamiseks ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid. Seejuures peab RIA arvestama teenuse osutaja või digitaalse teenuse osutaja ärihuvidega ning juhinduma ärisaladuse hoidmise kohustusest (KüTS § 12 lõige 5). Praktikas teavitab RIA küberintsidendist kõigepealt neid isikuid, kes vastava teenuse, seadme, tarkvara või muu lahenduse eest vastutavad, võimaldades neil võtta meetmed ohu kõrvaldamiseks. Seejärel teavitatakse ohust avalikkust. Kokkuvõtteks, kuigi kirjeldatud sisuga ülesanne on RIA-le pandud seadusega, on õigusselguse tagamiseks vaja see ülesanne sätestada ka põhimääruses. Eelnõu punktiga 5 tunnistatakse kehtetuks põhimääruse § 13 lõike 8 punkt 1. Muudatus on tingitud uue osakonna, finantsosakonna loomisest. Uus osakond hakkab täitma seni administratiivosakonna pädevuses olnud ülesannet korraldada finantsjuhtimist ja varahaldust ning koordineerida eelarve eelnõude koostamist. Nimetatud muudatuse tõttu on vastavalt vaja muuta ka administratiivosakonna põhiülesandeid. Eelnõu punktiga 6 lisatakse põhimääruse §-s 13 sätestatud struktuuriüksuste ülesannete loetelusse finantsosakond, mille põhiülesanne on finantsjuhtimise ja varahalduse korraldamine ning eelarve eelnõude koostamine. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõul ei ole puutumust Euroopa Liidu õigusega. 4. Määruse mõjud Määruse muutmisega ei kaasne mõjusid. 5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Määruse rakendamine ei too kaasa lisakulusid. Muudatuste rakendamine tähendab RIA sisese töö ümberkorraldamist, millega ei kaasne lisakulusid. 6. Eelnõu kooskõlastamine Lähtudes Vabariigi Valitsuse reglemendi § 6 lõikest 2 eelnõu kooskõlastamisele ei esitatud. 12 ingl coordinated vulnerability disclosure. Nii nagu on tehtud Hollandis, koostab ka RIA ohu avalikustamise kohta ka juhendi, vt https://english.ncsc.nl/publications/publications/2019/juni/01/coordinated-vulnerability- disclosure-the-guideline (11.02.2020) 4 7. Määruse jõustumine Määrus jõustub üldises korras. 5 -864235 -144145 0 0 Määrus delta_regDateTime \* MERGEFORMAT 08.03.2023 nr delta_regNumber \* MERGEFORMAT 18 delta_docName \* MERGEFORMAT Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruse nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ muutmine Määrus kehtestatakse Vabariigi Valitsuse seaduse § 42 lõike 1 alusel. Majandus- ja kommunikatsiooniministri 25. aprilli 2011. a määruses nr 28 „Riigi Infosüsteemi Ameti põhimäärus“ tehakse järgmised muudatused: 1) paragrahvi 10 lõike 1 esimene lause sõnastatakse järgmiselt : „ Ameti struktuuriüksused on küberturvalisuse keskus, riigi infosüsteemi teenistus , administratiivosakond, infoturbe osakond, kommunikatsiooniosakond, eriprojektide osakond, õigusosakond, personaliosakond , finantsosakond ning masinõppe- ja keeletehnoloogia osakond. “; 2) paragrahvi 10 lõike 2 esimest lauset ja § 17 lõike 1 esimest lauset täiendatakse pärast sõna „teenistus“ sõnadega „ja keskus“ vastavas käändes; 3) paragrahvi 13 lõike 1 sissejuhatavas lauseosas asendatakse sõna „teenistuse“ sõnaga „keskuse“; 4) paragrahvi 13 lõiget 1 täiendatakse punktiga 2 1 järgmises sõnastuses: „2 1 ) küberintsidendist lähtuva ohu avalikustamine , kui see on kooskõlastatud riigisisese või rahvusvahelise koostöö alusel;“; 5 ) paragrahvi 13 lõike 8 punkt 1 tunnistatakse kehtetuks; 6 ) paragrahvi 13 täiendatakse lõikega 15 järgmises sõnastuses: „(1 5 ) Finantsosakonna põhiülesanne on finantsjuhtimise ja varahalduse korraldamine ning eelarve eelnõude koostamise koordineerimine. “ . (allkirjastatud digitaalselt) delta_signerName \* MERGEFORMAT Kristjan Järvan delta_signerJobTitle \* MERGEFORMAT ettevõtlus- ja infotehnoloogiaminister (allkirjastatud digitaalselt) delta_secondsignerName \* MERGEFORMAT Ahti Kuningas delta_secondsignerJobTitle \* MERGEFORMAT kantsler