Tere!

Edastan Välisministeeriumi tagasiside pilvetehnoloogiate ja tehisaru arendamise määruse ettepaneku kohta (CADA)

Üldine seisukoht

CADA eelnõu eesmärgid on Eestile strateegiliselt sobilikud, kuid eelnõu vajab olulisi täpsustusi riikliku julgeoleku pädevuse, kolmandate riikide usaldusväärsuse, välisesinduste, rakendustähtaegade ja väikeriigi halduskoormuse osas.

Eesti toetab Euroopa Liidu pilve- ja tehisaruvõimekuse, tehnoloogilise suveräänsuse ning digitaalsete tarneahelate toimepidevuse tugevdamist. Toetame ühtset riskipõhist pilvesuveräänsuse raamistikku, teenusepõhist hindamist, Euroopa-ülest tunnustamist, avatud standardite ja avatud lähtekoodi edendamist ning liikmesriikide vabatahtlikku ühishanget ja taristu jagamist. Riskihindamine annab võimaluse kasutada pilvetehnoloogiaid ja tehnoloogiaid selliselt, et turbeeesmärgid ei jääks tahaplaanile ja ka moodsad tehnoloogilised lahendused saaksid efektiivselt kasutatud.

Samas peab CADA rakendama avatud strateegilise autonoomia põhimõtet. Euroopa Liidu võimekuse kasvatamine ei tohiks tähendada usaldusväärsete partnerite, sealhulgas NATO liitlaste ja ELi lähedaste partnerite põhjendamatut kõrvaldamist. Nõuded peavad olema riskipõhised, proportsionaalsed ja tehnoloogianeutraalsed. Avatud lähtekoodi nõue annab võimaluse usaldusväärstust paremini hinnata.

Liikmesriigi välis-, kaitse- ja julgeolekupoliitika, salastatud teabe kaitse valdkondades peab riskihinnangute lõplik otsustusõigus jääma liikmesriigile. Samuti tuleb arvestada välisteenistuste eripäraga: liikmesriikide saatkonnad, konsulaadid ja kriisimeeskonnad tegutsevad väljaspool Euroopa Liitu ning peavad suhtlema ka vähem tehnoloogiliselt usaldusväärsete partneritega.

Enne siduvate hanke- ja migratsioonikohustuste rakendumist peab olema olemas piisav arv tunnustatud teenuseid, toimiv audititurg, keskregister ning realistlik üleminekuperiood. Selleks tuleb viia eelnõu tähtajad mõjuhinnanguga kooskõlla: artikli 7 lõikes 5 sätestatud riikliku strateegia kolmeaastane hindamistsükkel tuleks asendada viieaastase põhitsükliga, artikli 29 lõikes 1 sätestatud riskihindamise kaheaastane tsükkel nelja-aastase põhitsükliga ning artikli 29 lõikes 6 sätestatud 12-kuuline migratsiooniperiood riskipõhise, keerukate süsteemide puhul vähemalt 24–36-kuulise üleminekuperioodiga. Artiklis 48 tuleb ette näha etapiviisiline rakendumine, mille kohaselt artiklite 29 ja 30 kohustused rakenduvad alles pärast seda, kui keskregister, auditikord ja piisav tunnustatud teenuste pakkumine on tegelikult olemas. Olemasolevatele lepingutele tuleb kehtestada eraldi üleminekukord.

Välisministeerium toetab järgmisi ettepanekuid:

1. ELi pilve- ja AI-võimekuse suurendamist ning sõltuvuse vähendamist üksikutest kolmandate riikide teenusepakkujatest.
2. Neljatasemelist ja kasutusjuhtumipõhist suveräänsusraamistikku. See on parem kui ühetaoline „kõik peab olema Euroopa pilves” nõue, sest välisteenistused töötavad ka kolmandates riikides.
3. Teenuse, mitte üksnes teenusepakkuja hindamist. Ühel pakkujal võivad olla erineva suveräänsustasemega teenused.
4. Ühekordse auditi tunnustamist kogu ELis ja keskse tunnustatud teenuste registri loomist.
5. Kolmanda riigi õigusest, välisriigi ligipääsust, sanktsioonidest, teenuse katkestamisest ja tarnijalukust tulenevate riskide käsitlemist.
6. Mitme tarnija ja mitme pilve strateegia hindamist.
7. Euroopa avaliku sektori vabatahtlikku ühishanget ja EuroCloud Federationit, eriti kui see parandab väikeriikide läbirääkimispositsiooni.
8. Avatud standardeid, läbipaistvat tarkvara tarneahelat, SBOM-i ning turvalise ja hooldatud avatud lähtekoodi kasutamist. Avatud lähtekoodi kasutamine suurendab tarkvara tarneahela läbipaistvust ja võimaldab teenusepakkuja kinnituste kõrval teha sõltumatut ning automatiseeritud koodikontrolli. Lähtekoodile ja sõltuvusteabele saab rakendada staatilist koodianalüüsi, tarkvarakomponentide analüüsi, haavatavuste ja saladuste skaneerimist, litsentsikontrolli ning SBOM-i kontrollimist. See aitab haavatavusi ja soovimatuid sõltuvusi varem tuvastada ning vähendab sõltuvust ühe teenusepakkuja kinnisest tehnoloogiast. Avatud lähtekood ei ole siiski automaatselt turvaline: eelduseks on selge hooldusvastutus, turvauuendused, kontrollitud väljalasked ja jätkusuutlik rahastus.
9. Andmekeskuste energiatõhususe, jääksoojuse kasutamise ja regionaalse tasakaalu parandamist.
10. EFTA riikide ja kandidaatriikide võimalikku osalemist ühishangetes, kui tagatud on samaväärsed julgeoleku- ja hanketingimused.

Välisministeerium ei peaks praegusel kujul toetama järgmisi lahendusi:

1. Komisjoni võimalust liikmesriigi riikliku julgeoleku riskihinnangut sisuliselt asendada. Riiklik julgeolek jääb Euroopa Liidu lepingu artikli 4 lõike 2 kohaselt liikmesriigi ainuvastutuseks ning komisjonil ei tohiks olla õigust riigisaladust, kaitset või muid riikliku julgeoleku funktsioone puudutavat liikmesriigi hinnangut alandada või asendada. Komisjon võib anda metoodilisi juhiseid ja nõuda põhjendusi, kuid lõplik otsustusõigus peab jääma liikmesriigile.
2. Artiklis 18 sätestatud liiga absoluutseid kolmanda riigi tunnustamise tingimusi. Nõue, et kolmandal riigil ei tohi olla ühtegi teenuse katkestamist, tehnoloogia piiramist või sanktsioonide rakendamist võimaldavat meedet, võib välistada ka NATO liitlased ja teised lähedased partnerid. Absoluutsete tingimuste asemel tuleb hinnata konkreetseid õiguslikke, tehnilisi ja organisatsioonilisi kaitsemeetmeid, tõhusaid õiguskaitsevahendeid, vastastikkust ning tegelikku riski. Tunnustamine peab olema võimalik ka ELi ja kolmanda riigi siduva lepingu alusel.
3. 12-kuulist maksimaalset migratsioonitähtaega. Keerukate ja kriitiliste infosüsteemide migratsioon hõlmab rakenduste kohandamist, andmete ülekandmist, integratsioonide ümbertegemist, turvatestimist ja teenuse toimepidevuse tagamist. Mõjuhinnang modelleerib migratsioone viie aasta jooksul ning hindab suure ministeeriumi migratsioonikulu 16,6–18,6 miljonile eurole. Liiga kiire migratsioon võib ise põhjustada suurema toimepidevus- ja julgeolekuriski. Seetõttu tuleb võimaldada riskipõhist, keerukate süsteemide puhul vähemalt 24–36-kuulist perioodi koos vahe-eesmärkide ja ajutiste maandamismeetmetega.
4. Kohustust määrata vähemalt üks andmekeskuse kiirendusala kuue kuu jooksul sõltumata riiklikust vajadusest. Kiirendusala loomine sõltub riigi ruumilisest planeerimisest, elektrivõrgu võimsusest, maa ja vee kättesaadavusest, keskkonnamõjust ning julgeolekuhinnangust. Mõjuhinnangu järgi võib menetlus Tallinnas kesta 6–24 kuud ja üle 10 MW võrguühendus 1–3 aastat või enam. Kiirendusala määramine peab sõltuma riiklikust vajadusest ja strateegiast ning selleks tuleb anda vähemalt 18 kuud.
5. Määratlemata 25% eesmärki innovaatiliste VKEde hangetele. Eelnõus puuduvad „innovaatilise VKE” määratlus, mõõtmisperiood ja selgus, kas osakaalu arvestatakse lepingute arvu või rahalise väärtuse järgi. Väikesel turul võib jäik osakaal põhjustada hangete kunstlikku killustamist, vähendada konkurentsi või sundida valima teenuse, mis ei vasta toimepidevus- ja julgeolekunõuetele. Eesmärk peab olema soovituslik või seda tuleb hinnata mitme aasta keskmisena koos põhjendatud eranditega.
6. „AI first” põhimõtet juhul, kui seda käsitatakse AI kasutamise vaikimisi kohustusena. Kõik protsessid ja andmed ei vaja AI-põhist töötlemist ning AI kasutamine ei pruugi olla põhjendatud andmete juurdepääsupiirangu, töötlemise eesmärgi, kvaliteedi, selgitatavuse, maksumuse või riskihinnangu tõttu. Põhimõte tuleks sõnastada kujul „AI where appropriate”, säilitades võimaluse põhjendatult AI-d mitte kasutada.
7. Eeldust, et ELi kodakondsus iseenesest tõendab personali usaldusväärsust. Juurdepääs Eesti riigisaladusele sõltub Eesti õigusest, julgeolekukontrollist, teadmisvajadusest ja pädeva Eesti asutuse otsusest. Salastatud välisteabele juurdepääs sõltub lisaks teabe avaldaja tingimustest ja asjakohasest julgeolekukokkuleppest. Teise liikmesriigi julgeolekukontroll ei tohi automaatselt anda juurdepääsu Eesti riigisaladusele. Kodakondsuse asemel tuleb lähtuda tegelikust ligipääsust, julgeolekukontrollist, teadmisvajadusest ja riigi julgeolekuasutuse või riikliku julgeolekuasutuse nõusolekust.

Välisministeeriumi hinnangul tuleks täpsustada:

1. Mõistete „avalik kord”, „riiklik julgeolek”, „väga kriitiline kasutusjuhtum” ja „tundlik teave” piirid.
2. CADA suhe liikmesriigi juurdepääsupiiranguga teabe, sealhulgas riigi välissuhtlemist kahjustada võiva teabe, riigisaladuse ja salastatud välisteabe töötlemise ning julgeolekukontrolli nõuetega vajab selget määratlemist. Eelkõige tuleb säilitada liikmesriigi iseseisev otsustusõigus oma riigisaladuse töötlemise, töötlemiskoha, töötlemiseks kasutatava taristu ja isikute juurdepääsu üle. Salastatud välisteabe puhul tuleb järgida teabe avaldaja kehtestatud piiranguid ja kohaldatavaid rahvusvahelisi kokkuleppeid.
3. Kas komisjon saab artikli 29 lõike 5 alusel liikmesriigi määratud taset nii tõsta kui ka langetada.
4. Millises ulatuses tuleb riskihinnangu tulemusi komisjonile edastada ja kuidas kaitstakse salastatud või operatiivselt tundlikku teavet.
5. Välisesinduste, konsulaatide ja kriisimeeskondade ELi-välise andmetöötluse käsitlemine.
6. Välisesindus asub vastuvõtva riigi territooriumil ning teenusele välisesindusest ligipääs või seal toimuv lokaalne töötlus võib tähendada andmete töötlemist kolmandas riigis. CADA peab eristama teenusepakkuja pilvetaristus toimuvat töötlemist kasutajapoolsest ligipääsust ja välisesinduses vältimatult toimuvast lokaalsest töötlusest. Liikmesriigi kontrolli all olev turvaline ligipääs või lokaalne töötlus välisesinduses ei tohiks automaatselt põhjustada kogu pilveteenuse tunnustustaseme kaotamist, kui rakendatud on riskile vastavad tehnilised ja korralduslikud meetmed.
7. Täpsustada kolmanda riigi või pilveteenuse tunnustamise, peatamise, taastamise ja kehtetuks tunnistamise menetlus. Määrus peab sätestama otsuse alused, etteteatamise, teenusepakkuja ja kasutaja ärakuulamise, vaidlustamisvõimaluse, keskregistri uuendamise tähtaja ning otsuse mõju olemasolevatele lepingutele. Kui tunnustuse kaotamine ei tulene vahetust julgeolekuohust, tuleb võimaldada kriitiliste teenuste toimepidevust säilitav üleminekuperiood ja ajutised maandamismeetmed.
8. „Innovaatilise VKE” definitsioon ning 25% eesmärgi arvutamine lepingu arvu või rahalise väärtuse põhjal.
9. Rakendumise sidumine tunnustatud teenuste registri, auditivõimekuse ja vajalike rakendusaktide tegeliku valmimisega.
10. Lisa II punkti 3.1(g) viide artiklile 19 peaks tõenäoliselt olema viide artiklile 18 ning artikli 30 lõikes 4 on kaks alapunkti tähistatud tähega „a”.

Eesti ja Välisministeeriumi spetsiifilised asjaolud:

1. VM-il on ülemaailmne välisesinduste võrk. Osa turvalisest lokaalsest töötlemisest, tehnilisest toest ja kriisiühendusest võib vältimatult toimuda väljaspool ELi.
2. Juurdepääsupiiranguga teave või välissuhtlemisteave, konsulaarsuhtluse või -teenuse käigus edastatavad isikuandmed, eriliigilised isikuandmed, sanktsioonidega seotud info, kriisiohje ja riigisaladust sisaldav teave vajavad tavalisest avalikust haldusest erinevaid kontrollimehhanisme.
3. Välispartnerilt saadud teabele võivad kehtida päritoluriigi või rahvusvahelise organisatsiooni edasikasutuse piirangud ehk originator control.
4. Eesti jt väiksemate liiskmesriikide pilve- ja audititurg on kasin. Mõjuhinnangu eeldus, et pädeva asutuse ülesannete täitmiseks piisab 0,2 täistööajast liikmesriigi kohta, ei ole artiklites 17 ja 25–28 kirjeldatud ülesannete juures usutav.
5. Mõjuhinnang hindab esialgse suveräänsusriskide analüüsi mahuks ligikaudu 10 täistööaastat ja kordushindamise mahuks 5 täistööaastat.
6. Eesti andmekeskuste puhul hindab mõjuhinnang menetlusajaks 6–24 kuud ning suure ühendusvõimsuse puhul elektrivõrguga liitumiseks 1–3 aastat. Seetõttu ei ole 12-kuuline absoluutne menetlustähtaeg alati riigi kontrolli all.
7. Eesti avalik sektor juba kasutab avatud lähtekoodi ja avatud standardeid, sealhulgas X-teed. Seda saab tuua positiivse näitena, kuid avatud lähtekoodiga peab kaasnema jätkusuutlik hooldus ja turvavastutus.
8. Mõjuhinnang
9. VM-i kasutusjuhtude võimalik indikatiivne jaotus
10. See ei asenda artikli 29 riskihindamist, kuid aitab põhjendada, miks üks tase ei sobi kogu VM-ile. St artikkel 29 osas tuleks veel eraldi riskianalüüs vms sooritada.

Eraldi tuleb määratleda välisesinduse erand: VM peab saama kasutada turvalist lokaalset töötlemist ja tuge ELi-välises esinduses, ilma et kogu teenus kaotaks seetõttu automaatselt oma tunnustustaseme.

1. Avalikud veebid, avalik info ja madala kriitilisusega teenused
2. Tavapärased haldus- ja koostööteenused, milles puudub juurdepääsupiiranguga teave või välissuhtlemisteave või riigisaladust sisaldav teave.
3. Juurdepääsu piiranguga teave ja isikuandmetega konsulaarinfo, kriisiohje tugiteenused ning kõrgema toimepidevusvajadusega teenused
4. Salastatud teave, kõige kriitilisemad riikliku julgeoleku ja kaitsega seotud funktsioonid;  tõenäoliselt eraldatud riiklik või privaatpilv või on-premises lahendus.

Viis kõige olulisemat läbirääkimisprioriteeti

1. Riikliku julgeoleku riskihinnangu lõplik otsustusõigus ja tundlike tulemuste konfidentsiaalsus.
2. Realistlik, partnerluspõhine artikkel 18 usaldusväärsete kolmandate riikide kohta.
3. Selge erikord välisesindustele, konsulaarteenustele ja ELi-välisele kriisitegevusele, kus kolmandate riikidega suhtlemine pole nende välditav isegi kui usaldushinnang on madal.
4. Rakendustähtajad, migratsiooniperioodid ja halduskoormus tuleb viia mõjuhinnanguga kooskõlla.
5. Kõrgete suveräänsustasemete tehnilised vastuolud tuleb parandada, sealhulgas riistvara, audiitorite rotatsioon ja personali usaldusväärsus.

Parimat

Virko Vaht

1. büroo direktor | IT osakond

+372 637 7342 | +372 53 880 171

Välisministeerium

Islandi väljak 1 | 15049 Tallinn

www.vm.ee | @MFAestonia