Pr Liisa-Ly Pakosta Justiits- ja digiminister Justiits- ja Digiministeerium Teie 09.06.2026 nr 8-1/4502-1 Suur-Ameerika 1 10122 TALLINN Meie 2.07.2026 nr 6.1-2/48-2

Arvamus küberturvalisuse seaduse rakendusakte muutva eelnõu kohta

Eesti Infotehnoloogia ja Telekommunikatsiooni liit (ITL) tänab kaasamise eest Vabariigi Valitsuse määruse „Vabariigi Valitsuse 23. detsembri 1996. a määruse nr 319 „Justiits- ja Digiministeeriumi põhimääruse kinnitamine“, Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning Vabariigi Valitsuse 3. jaanuari 2024. a määruse nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ muutmine“ eelnõu (edaspidi: eelnõu) menetlusse.

Avaldame ITL-ina toetust eelnõu muudatustele (§ 2 punktid 4 ja 5), millega leevendatakse teenuseosutajatele kehtivaid nõudeid selliselt, et ettenähtud standardeid tuleb rakendada vähemalt selle teenuse, tegevusala või valdkonna puhul, mida pakkuv või milles tegutsev teenuseosutaja kuulub küberturvalisuse seaduse kohaldamisalasse. Tegemist on olulise muudatusega, mis pakub oodatud leevenduse NIS2 direktiivi ülevõtmisega organisatsioonipõhisele lähenemisele üleminekuga kaasnenud fookuse hajumisele ja lisanduvale koormusele. Toetame, et standardeid kui kõige mahukamat küberturvalisuse seaduse alusel kehtestatud kohustust tuleb rakendada ainult küberturvalisuse seaduses loetletud tegevusaladega seotud süsteemidele, mitte kogu ettevõtte tegevustele.

Teeme ettepaneku lihtsustada eelnõu § 2 punktiga 9 määrusesse „Võrgu- ja infosüsteemide küberturvalisuse nõuded” lisatava § 5 lg 11 sõnastust järgmiselt: „Riskianalüüs peab sisaldama vähemalt süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu ning selles tuleb kindlaks määrata riskide realiseerumise tagajärgede raskusaste ja kirjeldada riskijuhtimismeetmeid.“

2

ITL-i ettepanek on jätta sättest välja „küberintsidente põhjustavate“, sest see on ebavajalik ja segadust tekitav täiendus. Süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu ütleb kõik, sest ühe või teise riski realiseerumine võibki põhjustada küberintsidenti.

Lugupidamisega /allkirjastatud digitaalselt/

Doris Põld Tegevjuht Keilin Tammepärg, [email protected]

Pr Liisa-Ly Pakosta Justiits- ja digiminister Justiits- ja Digiministeerium Teie 09.06.2026 nr 8-1/4502-1 Suur-Ameerika 1 10122 TALLINN Meie 2.07.2026 nr 6.1-2/48-2

Arvamus küberturvalisuse seaduse rakendusakte muutva eelnõu kohta

Eesti Infotehnoloogia ja Telekommunikatsiooni liit (ITL) tänab kaasamise eest Vabariigi Valitsuse määruse „Vabariigi Valitsuse 23. detsembri 1996. a määruse nr 319 „Justiits- ja Digiministeeriumi põhimääruse kinnitamine“, Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning Vabariigi Valitsuse 3. jaanuari 2024. a määruse nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ muutmine“ eelnõu (edaspidi: eelnõu) menetlusse.

Avaldame ITL-ina toetust eelnõu muudatustele (§ 2 punktid 4 ja 5), millega leevendatakse teenuseosutajatele kehtivaid nõudeid selliselt, et ettenähtud standardeid tuleb rakendada vähemalt selle teenuse, tegevusala või valdkonna puhul, mida pakkuv või milles tegutsev teenuseosutaja kuulub küberturvalisuse seaduse kohaldamisalasse. Tegemist on olulise muudatusega, mis pakub oodatud leevenduse NIS2 direktiivi ülevõtmisega organisatsioonipõhisele lähenemisele üleminekuga kaasnenud fookuse hajumisele ja lisanduvale koormusele. Toetame, et standardeid kui kõige mahukamat küberturvalisuse seaduse alusel kehtestatud kohustust tuleb rakendada ainult küberturvalisuse seaduses loetletud tegevusaladega seotud süsteemidele, mitte kogu ettevõtte tegevustele.

Teeme ettepaneku lihtsustada eelnõu § 2 punktiga 9 määrusesse „Võrgu- ja infosüsteemide küberturvalisuse nõuded” lisatava § 5 lg 11 sõnastust järgmiselt: „Riskianalüüs peab sisaldama vähemalt süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu ning selles tuleb kindlaks määrata riskide realiseerumise tagajärgede raskusaste ja kirjeldada riskijuhtimismeetmeid.“

2

ITL-i ettepanek on jätta sättest välja „küberintsidente põhjustavate“, sest see on ebavajalik ja segadust tekitav täiendus. Süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu ütleb kõik, sest ühe või teise riski realiseerumine võibki põhjustada küberintsidenti.

Lugupidamisega /allkirjastatud digitaalselt/

Doris Põld Tegevjuht Keilin Tammepärg, [email protected]