Kommentaarid finantskriisi ennetamise ja lahendamise seaduse eelnõule



TEEMA / MUUDATUS
SEISUKOHT / KOMMENTAAR
Ebaselgus seoses halduskaristuste laienemisega DORA määruse1 artikli 19 lg-s 2 toodud vabatahtliku raporteerimiskohustuse täitmatajätmisele
DORA määruse artikkel 19 näeb tõsistest IKT intsidentidest teavitamise kohustuse kõrval ette ka finantssektori ettevõtjate poolt vabatahtlikult olulistest küberohtudest teavitamise võimaluse. Seejuures viitab määruse artikli 19 pealkiri, selle lg 2, samuti määruse asjaomased põhjenduspunktid (24) ja üldsätted (sh artikli 1 lg 1 punkt a alapunkt ii), ning ka eelnõu enese seletuskiri läbivalt sellele, et küberohtudest teavitamine finantssektori ettevõtjate poolt toimub vabatahtlikkuse alusel. Kuigi eelnõu kohaselt ei plaanita asjaomase teavitamisvõimaluse kajastamisel eri finantssektori ettevõtjate tegevust reguleerivates eriseadustes (nt nagu krediidiasustuste seadus, investeerimisfondide seadus, kindlustustegevuse seadus jne) viidata selgelt vabatahtlikkusele, vaid teavitamise vabatahtlikkusele viidatakse mõnevõrra kaudsema sõnastusega („kui [asjaomane finantssektori ettevõtja] otsustab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 19 lõike 2 kohaselt teavitada /---/“), on määruse mõte ja seega peaks olema ka eelnõu mõte sätestada olulistest küberohtudest teavitamine just võimaluse ja mitte kohustusena.

Sellest hoolimata on erinevate finantssektori ettevõtjate tegevust reguleerivate õigusaktide vastutust reguleerivate sätete muudatused eelnõu kohaselt kavandatud selliselt, et halduskaristusi digitaalse tegevuskerksuse nõuete rikkumise eest on võimalik kohaldada ka DORA määruse artikli 19 lg-s 2 toodud vabatahtlikkuse alusel täidetava raporteerimiskohustuse mittetäitmise korral, täpsemalt hõlmavad vastavad vastutuse sätted muu hulgas DORA määruse artikli 19 lg-d 1-5 s.t ka lg-s 2 sätestatud vabatahtliku teavitamisvõimaluse.

On arusaadav, et DORA määruse mõttega on enim kooskõlas ning selle eesmärke aitab parimal võimalikul määral saavutada olukord, kus määruse nõuetega hõlmatud finantssektori ettevõtjad teavitavad pädevat asutust ka DORA määruse artikli 19 lg-s 2 nimetatud olulistest küberohtudest. Teisalt näeb DORA määrus vastava teavitamise (erinevalt olulistest IKT intsidentidest teavitamisele) selgelt ette vabatahtlikuna, mistõttu ei ole võrdväärsete halduskaristuste kohaldamise võimaluse ettenägemine kõnealuse vabatahtliku teavitamisvõimaluse mittekasutamise puhul ebaloogiline ning ka ebaproportsionaalne. Võimalik, et eelnõu ettevalmistajate eesmärgiks on olnud võimaliku sanktsioneeritava kohustusena määruse artikli 19 lg 2 kontekstis hõlmata vaid see, kui asjaomane finantssektori ettevõtja teavitab vabatahtlikult oluliselt küberohust Finantsinspektsiooni, kuid jätab seejuures täitmata kohustuse edastada teavitus ka Riigi Infosüsteemide Ametile, siis kõnealusel juhul see plaanitavate sätete sõnastusest ega ka seaduse seletuskirjast meie hinnangul piisavalt selgelt välja ei tule. Seetõttu soovitame kaaluda määruse artikli 19 lg-s 2 viidatud kohustuse välja jätmist asjaomastest vastutuse sätetest või kajastada vähemalt seaduse seletuskirjas selgelt, et vastavate sätete eesmärgiks ei ole sanktsioneerida vastava vabatahtliku raporteerimisvõimaluse kasutamatajätmist. Vastasel korral ei ole antud raporteerimisvõimalus sanktsiooni kohaldamise võimaluse läbi vabatahtlik, vaid kohustuslik.