Küberintsidentide registri põhimäärus

Kaitseministeerium Siseministeerium Välisministeerium Meie 19.01.2021 nr 2-1/20-0384/360 Justiitsministeerium Andmekaitse Inspektsioon Riigi Infosüsteemi Amet Statistikaamet Väliskaubandus- ja infotehnoloogia ministri määruse "Küberintsidentide registri põhimäärus" eelnõu Esitame kooskõlastamiseks ja arvamuse avaldamiseks väliskaubandus- ja infotehnoloogia ministri määruse "Küberintsidentide registri põhimäärus" eelnõu. Tagasisidet palume 10 tööpäeva jooksul. Lugupidamisega (allkirjastatud digitaalselt) Raul Siem väliskaubandus- ja infotehnoloogiaminister Lisad: Ministri määruse eelnõu ja seletuskiri Arvamuse andmiseks: Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Eesti Infoturbe Assotsiatsioon Martin Sepp [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  EELNÕU 29.12.2020 VÄLISKAUBANDUS- JA INFOTEHNOLOOGIAMINISTER MÄÄRUS Küberintsidentide registri põhimäärus Määrus kehtestatakse küberturvalisuse seaduse § 13 lõike 3 alusel. 1. peatükk Üldsätted § 1. Andmekogu asutamine ja selle nimetus Määrusega asutatakse andmekogu nimetusega „Küberintsidentide register“ (edaspidi register). § 2. Registri pidamise eesmärk Registri eesmärk on küberintsidentide üle arvestuse pidamine küberintsidentide tuvastamiseks, analüüsimiseks, lahendamiseks, ohuteadete edastamiseks ja järelevalve teostamiseks. § 3. Registri vastutav töötleja Registri vastutav töötleja on Riigi Infosüsteemi Amet (edaspidi vastutav töötleja). § 4. Andmete õiguslik tähendus Registri andmetel on informatiivne tähendus. § 5. Registri pidamine Registrit peetakse ja andmeid säilitatakse elektroonilisel kujul. § 6. Registri turvalisus Registri turvaklass on K1T1S2 ja turbeaste on M. 2. peatükk Andmete koosseis ja andmete esitamine registrisse § 7. Registri andmete koosseis (1) Registrisse kantakse andmed küberintsidendi ja andmeandja kohta. (2) Küberintsidendi kohta kantakse registrisse järgmised andmed: 1) mõjutatud võrgu- ja infosüsteemi haldaja; 2) mõju ulatus; 3) avastamise, eeldatava tekkimise ja lahendamise aeg; 4) loetelu võrgu- ja infosüsteemidest, mida küberintsident mõjutab või võib mõjutada; 5) tekkepõhjuste kirjeldus; 6) andmeandja ja lahendaja; 7) lahendamiseks kulunud aeg ja rakendatud turvameetmete kirjeldus; 8) tuvastamiseks, analüüsimiseks ning lahendamiseks edastatud lingid, failid ja logid. (3) Andmeandja ja lahendaja kohta kantakse registrisse: 1) juriidilise isiku nimi või nimetus, tema esindaja ees- ja perenimi ning kontaktandmed; 2) füüsilise isiku nimi ja kontaktandmed. § 8. Andmeandja Registrisse esitab andmeid: 1) teenuse osutaja küberturvalisuse seaduse tähenduses; 2) riigi- või kohaliku omavalitsuse üksuse asutus; 3) muu isik, kes esitab vastutavale töötlejale teabe küberintsidendist. § 9. Andmete registrisse kandmine Andmed kannab registrisse vastutav töötleja andmeandja edastatud teavituse või raporti alusel. 3. peatükk Andmete kaitse § 10. Juurdepääs andmetele (1) Vastutav töötleja määrab isikud, kellel on õigus töödelda registriandmeid töö- või teenistusülesannete täitmiseks ning nende õiguste ulatuse. (2) Vastutav töötleja peab arvestust kellele, millisel eesmärgil, millal, millisel viisil ja missuguseid andmeid registrist väljastatakse. (3) Iga registrisse tehtud päringu või kande, andmete lisamise, muutmise, sulgemise või kustutamise kohta säilitatakse vähemalt järgmised andmed: 1) päringu või kande tegija andmed; 2) päringu või kande tegemise sisu, kuupäev ja kellaaeg. § 11. Andmete õigsus (1) Andmeandja vastutab tema poolt vastutavale töötlejale edastatud andmete õigsuse eest. (2) Kui vastutav töötleja teeb kindlaks, et registris on ebaõiged andmed, võtab ta tarvitusele vajalikud meetmed andmete parandamiseks. § 12. Andmete säilitustähtaeg Registri andmeid säilitatakse viis aastat alates intsidendi lahendamisest või viis aastat alates intsidendi registreerimisest, kui intsidendil pole mõju. Registri logisid säilitatakse üks aasta. 4. peatükk Registri finantseerimine ja likvideerimine § 13. Registri finantseerimine Registri pidamist rahastatakse riigieelarvest Riigi Infosüsteemi Ameti eelarve kaudu. § 14. Registri likvideerimine Registri likvideerimine toimub seaduse alusel. Registri likvideerimisel otsustatakse andmete teise andmekogusse või avalikku arhiivi üleandmine või andmete hävitamisele kuulumine ja nende üleandmise või hävitamise tähtaeg. (allkirjastatud digitaalselt) Raul Siem (allkirjastatud digitaalselt) väliskaubandus- ja infotehnoloogiaminister Ando Leppiman kantsler  29.12.2020 Väliskaubandus- ja infotehnoloogiaministri määruse „Küberintsidentide registri põhimäärus“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Määruse eelnõu kohaselt asutatakse riigi infosüsteemi mitte kuuluv andmekogu ametliku nimetusega küberintsidentide register ning kehtestatakse selle pidamise põhimäärus. Määrus kehtestatakse küberturvalisuse seaduse (edaspidi KüTS) § 13 lõike 3 alusel. KüTS § 13 kohaselt on küberintsidentide register Riigi Infosüsteemi Ameti peetav andmekogu, kuhu kantakse küberintsidenti kirjeldavad andmed eesmärgiga pidada küberintsidentide üle arvestust nende tuvastamiseks, analüüsimiseks, lahendamiseks, ohuteadete edastamiseks ja järelevalve teostamiseks. Küberintsidentide register koondab endas informatiivset teavet Eesti arvutivõrkudes toimuvate ja Riigi Infosüsteemi Ametile edastatud või Riigi Infosüsteemi Ameti tuvastatud võrgu- ja infosüsteemides küberintsidentide kohta. Eelnõuga sätestatakse muu hulgas registri nimetus, eesmärk, registri vastutav töötleja, registri andmed, registriandmete kaitse, registriandmete säilitamine, registri finantseerimine ja likvideerimine. 1.2. Ettevalmistajad Määruse eelnõu ja seletuskirja on koostanud ning keeletoimetuse teinud Riigi Infosüsteemi Ameti õigusnõunik Silver Lusti ([email protected]) ning Majandus- ja Kommunikatsiooniministeeriumi küberturvalisuse õigusnõunik Kea Kohv ([email protected]). Eelnõu juriidilise ekspertiisi teostas Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ave Henberg. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb neljast peatükist ja 14-st paragrahvist. Eelnõu 1. peatükis on üldsätted. Paragrahvis 1 sätestatakse Riigi infosüsteemi Ameti loodava andmekogu nimetus, milleks on „Küberintsidentide register“. Paragrahvis 2 nähakse ette registri pidamise eesmärk. Registri pidamisel ja andmete töötlemisel lähtutakse avaliku teabe seaduse (edaspidi AvTS) §-s 431 ja KüTS §-s 13 sätestatud 1 eesmärgist, mille kohaselt on küberintsidentide registri puhul tegemist Riigi Infosüsteemi Ameti peetava ja infosüsteemis töödeldava korrastatud andmete kogumiga, kuhu kantakse küberintsidenti kirjeldavad andmed, eesmärgiga pidada küberintsidentide üle arvestust ning analüüsida neid nende lahendamiseks, ohuteadete edastamiseks ja järelevalvetoimingute läbiviimise toetamiseks. Küberintsident käesoleva põhimääruse mõistes on vastavalt KüTS § 2 punktile 3 süsteemis toimuv sündmus, mis ohustab või kahjustab süsteemi turvalisust. Paragrahvis 3 sätestatakse registri vastutav töötleja ehk registripidaja, kelleks on Riigi Infosüsteemi Amet. Vastavalt AvTS § 434 lõikele 1 korraldab vastutav töötleja andmekogu kasutusele võtmist ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. KüTS § 13 lõike 1 kohaselt on tegemist Riigi Infosüsteemi Ameti peetava andmekoguga. Riigi Infosüsteemi Amet majutab küberintsidentide registrit ning korraldab registri teenuste ja tehnoloogilise keskkonna haldamise. Registril ei ole volitatud töötlejat. Paragrahvis 4 kohaselt on andmekogusse kantud andmetel informatiivne tähendus. Paragrahvis 5 sätestatakse andmete säilitamise kord, millega nähakse ette registri pidamine ja andmete säilitamine elektroonilisel kujul. Paragrahvis 6 sätestatakse registri turvaklass ja turbeaste. Registri turvaklass ja turbeaste on määratud vastavalt Vabariigi Valitsuse 20. detsembri 2007. a määrusele nr 252 „Infosüsteemide turvameetmete süsteem”. Turvaosaklassid on määratud järgnevalt: andmete käideldavuse alusel K1, kuivõrd töökindlus peab olema tagatud vähemasti 90% ulatuses; terviklikkuse alusel T1, kuivõrd info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad; konfidentsiaalsuse alusel S2, kuivõrd info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele ja juurdepääs teabele on lubatav üksnes juurdepääsu taotleva isiku õigustatud huvi korral. Registri turbeaste on seega vastavalt ISKE rakendusjuhendile keskmine (M). Eelnõu 2. peatükis on reguleeritud andmete koosseis ja andmete esitamine registrisse. Paragrahv 7 lõige 1 sätestab, et küberintsidentide registrisse kantakse andmed küberintsidendi ja andmeandja kohta. Lõige 2 sätestab registris sisalduda võivate andmete loetelu. Tegemist on ammendava loeteluga registris sisalduda võivatest andmetest. Samas ei ole kõik loetelus olevad andmed kohustuslikud, kuna alati ei pruugi olla iga loetelus oleva punkti kohta informatsiooni. Lõikes 3 sätestatakse registrisse sisestatav informatsioon küberintsidendi andmeandja ja lahendaja kohta. Paragrahvis 8 sätestatakse küberintsidentide kohta vastutavale töötlejale teavet esitavate isikute ehk andmeandjate ring. Andmeandjateks ehk küberintsidendist teatajaks on teenuse osutaja KüTS-i tähenduses või riigi- või kohaliku omavalitsuse üksus või muu isik, kes esitab vastutavale töötlejale teavet küberintsidendi kohta. Küberintsidendist teatanud isik ei pruugi tingimata olla ise mõjutatud isik. Andmeandjaks saab pidada ka Riigi Infosüsteemi Ametit 2 (vastutav töötleja), kelle poolt küberintsidentide ennetamiseks teostatav seire võib välja tuua teavet küberintsidentide registri eesmärgipäraseks toimimiseks. Paragrahv 9 sätestab vastutava töötleja kohustuse kanda registrisse kõik temale esitatud teavitused või raportid küberintsidentide kohta. Teatiste ja raportite esitamise vorminõuet ei ole senini teadlikult sisustatud selleks, et kogu vajalik teave küberintsidentide toimumise ja lahendamise osas jõuaks viivitamatult vastutava töötlejani ning teatamise kohustuslik vorm takistuseks ei muutuks, näiteks juhtudel, kui teatatakse telefoni või e-maili teel. Vastavalt KüTS § 8 lõikele 8 võib teavitamise korra ja raporti vormi võib kehtestada valdkonna eest vastutav minister määrusega, kuid kehtestamine pole kohustuslik. Raporti esitamise kohustus tuleneb KüTS § 8 lõikest 7, mille järgi teenuse osutaja on olulise mõjuga küberintsidendi lahendamisel kohustatud edastama Riigi Infosüsteemi Ametile raporti, mis sisaldab informatsiooni küberintsidendi tekkepõhjuste, selle lahendamiseks kulunud aja ja rakendatud abinõude ning küberintsidendi mõju kohta. Seega raportit eristab teavitusest see, et raport esitatakse peale intsidendi lahendamist ja raportis peab sisalduma kindlasti informatsioon tekkepõhjuste, lahendamiseks kulunud aja, rakendatud abinõude kohta ja küberintsidendi mõju. Neid ei pruugita intsidendi alguses teada, kui küberintsidendist teavitatakse. Registrisse kantakse kõik CERT-il jõudnud teave. Selline teave on registris oluline, et teha laiapindsemaid järeldusi üht või teisti liiki intsidentide leviku osas periooditi/regionaalselt/domeeni kaupa või mis iganes muul moel liigitatud kujul. See võimaldab näiteks anda aimu sihitud rünnetest. Eelnõu 3. peatükis sätestatakse registri andmete kaitse. Registriandmed on mõeldud asutusesiseseks kasutamiseks lähtudes eelkõige avaliku teabe seaduse § 35 lõike 1 punktides 2 ning 9-12 sätestatud juurdepääsupiirangute alustest. Registriandmed võivad sisaldada teavet poolelioleva järelevalvemenetluse, turvasüsteemide või turvameetmete kirjelduse või tehnoloogiliste lahenduste kohta. Samuti võib registrisse kantud teave sisaldada isikuandmeid. Olenevalt küberintsidendi asjaoludest võib olla juurdepääsupiirangu seadmine põhjendatud ka muudel alustel kooskõlas avaliku teabe seadusega. Kuna tegemist on piiratud juurdepääsuga registriga, on juurdepääs registriandmetele teatud kindlatel kasutajate gruppidel, kellel on selleks seadusest või seaduse alusel antud õigusaktist tulenev õigus ja õigustatud huvi. Paragrahv 10 sätestab andmetele juurdepääsu. Lõike 1 kohaselt määrab vastutav töötleja isikud, kellel on õigus töödelda registriandmeid töö- või teenistusülesannete täitmiseks. Samuti määratakse nende isikute kasutajakonto õiguste klass. Reeglina saadakse lihtkasutaja õigused, kuid kindlatel isikutel on ka eeliskasutaja õigused. 3 Lõige 2 sätestab vastutava töötleja kohustuse pidada arvestust registrist väljastatud andmete üle, säilitades andmed kellele, millisel eesmärgil, millal, millisel viisil ja missuguseid andmeid registrist väljastatakse. Lõigk 3 kohaselt säilitades iga registrisse tehtud päringu või kande, andmete lisamise, muutmise, sulgemise või kustutamise kohta vähemalt päringu või kande tegija andmed, päringu või kande tegemise sisu, kuupäeva ja kellaaja kohased andmed. Paragrahvis 11 sätestatakse lõikega 1, et andmeandjad vastutavad küberintsidentide registrisse esitatud andmete õigsuse eest. Lõike 2 kohaselt võtab vastutav töötleja küberintsidentide registris andmete ebaõigsuse kindlaks tegemisel kasutusele vajalikud meetmed ebaõigete andmete parandamiseks. Paragrahv 12 määrab andmete säilitamise tähtajaks viis aastat alates intsidendi lahendamisest või viis aastat alates intsidendi tuvastamisest, kui intsidendil pole mõju. Mõjuta intsident on sündmus, mille eesmärk on avaldada mõju süsteemi käideldavusele, terviklusele või konfidentsiaalsusele, aga see ei ole õnnestunud. Näiteks õngitsuskirjad, mille ohvriks ei ole keegi langenud. Registri logisid säilitatakse üks aasta. Eelnõu 4. peatükk on reguleeritud registri finantseerimine ja likvideerimine. Paragrahv 13 kohaselt rahastatakse registri pidamist riigieelarvest Riigi Infosüsteemi Ameti eelarve kaudu. Tänaseni on registri arendus- ja hooldustöödeks kaasatud osaliselt struktuurifondide (SF) või Euroopa ühendamise (CEF) rahastust, kuid pidades silmas registri olulisust kogu riigi küberturvalisuse tagamise vaatest, on mõistlikum ja jätkusuutlikum rahastada registri arendus- ja hooldustöid ning pidamist riigieelarvelistest vahenditest Riigi Infosüsteemi Ameti eelarve kaudu. Paragrahvis 14 sätestatu kohaselt toimub registri likvideerimine seaduse alusel. Likvideerimisel tuleb otsustada andmete teise andmekogusse või avalikku arhiivi üleandmise või andmete hävitamisele kuulumine ja nende üleandmise või hävitamise tähtaeg. Seadusest tulenevalt teostab registri pidamise üle järelevalvet Andmekaitse Inspektsioon, mistõttu seda määruses ei korrata. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on vastavuses Euroopa Liidu õigusega. 4. Määruse mõjud Määruse kehtestamisega ei kaasne otsest sotsiaalset ega demograafilist mõju, olulist mõju riigi julgeolekule ega välissuhetele, majanduslikku mõju ega mõju elu- ja looduskeskkonnale, 4 regionaalarengule, riigiasutuste ja kohaliku omavalitsuse korraldusele ega muud otsest ja kaudset mõju. Eelnõu rakendamisega võib ette näha mõju riigiasutuste ja kohaliku omavalitsuse korraldusele, täpsemalt Riigi Infosüsteemi Ametile. Kaasnev mõju: mõju riigiasutuste ja kohaliku omavalitusese korraldusele Sihtrühm: Riigi Infosüsteemi Ameti teenistujad Mõju ulatus: Tuvastatud mõju on väike. Määrust rakendab Riigi Infosüsteemi Amet ehk registripidaja. Märkimisväärseid muutusi töös ei toimu. Mõju avaldumise sagedus: mõju avaldumise sagedus sõltub sellest, kui palju küberintsidentidest teatatakse ja kui palju küberintsidente registripidaja ise tuvastab. Hetkel on saadav ja tuvastatav küberintsidentide arv hallatav. Ebasoovitavate mõjude risk: väike, kuna negatiivset mõju andmete esitamisega ei kaasne. 5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Määruse rakendamine ei too kaasa täiendavaid kulusid ega tulusid. Määrust rakendatakse olemasolevate ressursside raames. Eelnõu ei puuduta registrite arendamist, kasutusele võtmist või likvideerimist, mis tooksid kaasa rahalisi mõjusid. 6. Määruse jõustumine Määrus jõustub üldises korras ehk kolmandal päeval pärast Riigi Teatajas avaldamist. 7. Määruse eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Määruse eelnõu saadetakse kooskõlastamiseks Kaitseministeeriumile, Siseministeeriumile, Justiitsministeeriumile, Välisministeeriumile, Andmekaitse Inspektsioonile, Riigi Infosüsteemi Ametile, Statistikaametile ning arvamuse andmiseks Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule ja Eesti Infoturbe Assotsiatsioonile. 5