kommentaarid finantskriisi ennetamise ja lahendamise seaduse ning teiste seaduste muutmise seaduse eelnõule

Maakri 30, Tallinn 10145 T +372 611 6567 [email protected] pangaliit.ee

Rahandusministeerium [email protected] Koopia: [email protected] [email protected]

Teie: 09.11.2023 nr 13-1.1/6798-1

Meie: 7.12.2023 nr 58 Pangaliidu kommentaarid finantskriisi ennetamise ja lahendamise seaduse ning teiste seaduste muutmise seaduse eelnõule Austatud Mart Võrklaev Käesolevaga esitame Pangaliidu kommentaarid finantskriisi ennetamise ja lahendamise seaduse ning teiste seaduste muutmise seaduse eelnõu (edaspidi Eelnõu) osas.

1. Ettepanekud seoses CER direktiiviga

Eelnõu seletuskirjas on korrektselt viidatud, et lisaks NIS2 direktiivile mõjutab DORA ka CER direktiivi

kehtivusala (vt SK p 2.5., lk 14-16). Samas ei ole aga eelnõus rakendussätteid, mis toetaks eelnimetatu

rakendamist krediidiasutuste suhtes õigusaktide tasandil.

Alltoodud ettepanekud põhinevad kättesaadaval informatsioonil, et nii hädaolukorra seaduse

muudatused kui ka uue tsiviilkriisi ja riigikaitse seaduse eelnõu sätted ei näe krediidiasutustele ette

erisusi võrreldes teiste elutähtsate teenuste osutajatega (ETO). Samuti, et Eesti Pank jätkab

finantsteenuste osas elutähtsa teenuse korraldava asutuse (ETKA) rolli.

2. Koostöö elutähtsate teenuste toimivuse valdkonnas

Teeme ettepaneku lisada Finantsinspektsiooni seadusesse koostöö kohta Eesti Panga ja Riigikantseleiga

analoogne lisandus nagu Eelnõus pakutud § 47.11. Nimelt kehtiv ja meie andmetel ka jätkuv lahendus

on, et finantsteenuste osas on ETKA-ks Eesti Pank ning üldiseks kriisideks valmistumise korraldajaks

Riigikantselei, järelevalve teostajaks pankade üle aga Finantsinspektsioon. Koostöö nimetatud asutuste

vahel, eelkõige aga ka info vahetamine, on sellise lahenduse efektiivse toimimise võtmeküsimus. Senine

praktika on siinkohal näidanud vajakajäämisi, mis mh on krediidiasutustele kaasa toonud täiendava

halduskoormuse sama teabe topelt esitamise kohustuse tõttu. Kindlasti võivad sellised vajakajäämised

mõjutada ka üldist kriisijuhtimise kvaliteeti riigi tasandil.

3. Krediidiasutuste seaduse nõuded operatsiooniriski juhtimisele

Teeme ettepaneku lisada krediidiasutuste seadusesse analoogne lisandus nagu Eelnõus pakutud § 82.4

lg 3, kuid seda seoses hädaolukorra seaduse / tsiviilkriisi ja riigikaitse seaduse teatud sätete

mitterakendamisega ETO-pankadele.

Ettepaneku ajendiks on CER põhjenduspunkt 21 ja artikkel 8 ning DORA preambula punktid 19, 22 ja

23 ning artikkel 1 p 2. Oleme esitanud analoogse ettepaneku ka Riigikantseleile, kelle vastutusalas on

hädaolukorra seaduse / tsiviilkriisi ja riigikaitse seaduse kujundamine selliselt, et see vastaks CER

direktiivi nõuetele.

Nõustume, et seoses kriisideks ettevalmistamise vajadusega on vajalik krediidiasutuste kaasamine

ettevalmistustegevustesse. Kuid nagu ka CER-s ja DORA-s sätestatud, tuleks seda teha ebavajalikku

halduskoormust vältides. Oleme valmis täiendavalt kaasa mõtlema, kuidas seda saavutada kõige

efektiivsemal moel.

1. Ettepanek VV määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (VVm)

muutmiseks

Täna kohaldub VVm nr 121 ka finantssektori ettevõtjatele. DORA ja VVm nr 121 koosmõjul kohalduks Eestis tegutsevatele finantssektori ettevõtjatele küberturvalisuse valdkonnas kaks vastavuskohustust ning kaks järelevalvet teostavat asutust. Palun viia VVm kooskõlla Eelnõuga, määruse (EL) 2022/2554 ning direktiiviga (EL) 2022/2555) välistamaks finantssektorile kaasnevad riskid, tarbetu kordus ja täiendav halduskoormus. Üheks võimalikuks lahenduseks võib olla VVm nr 121 täiendamine §-i 3 lõikega 4 järgmises sõnastuses:

„(4) määruse (EL) 2022/2554) kohaldamisalasse kuuluvatele ettevõtjatele ei kohaldata lõike 1 ja lõike 2 alusel kehtestatud nõudeid.“

1.1. Finantssektori ettevõtjatele kohalduvad eriseadusest tulenevad küberturvalisuse nõuded VVm nr 121 näeb ette, et teenuse osutaja tõendab oma süsteemi turvameetmete vastavust järelevalveasutusele rakendades E-ITS-i või alternatiivselt ISO/IEC 27001 standardile vastavaid turvameetmeid ning esitab seejuures ka kehtiva ISO/IEC 27001 vastavussertifikaadi. VVm nr 121 on kehtestatud küberturvalisuse seaduse (KüTS) alusel, mis omakorda kehtestab NIS ja NIS2-s nõutud turvameetmete rakendamise ja küberintsidentidest teavitamise nõuded olulise teenuse ja digitaalse teenuse osutajatele.

Määrus (EL) 2022/2554 (DORA) on finantssektori ettevõtjatele kohalduv eriseadus, mis kehtestab spetsiifilised küberturvalisuse nõuded. Direktiivi (EL) 2022/2555 (NIS2) ei kohaldata finantssektori ettevõtjate suhtes ulatuses, mida reguleerib DORA.

NIS2 põhjenduspunkti 28 kohaselt tuleb DORA-t käsitada finantssektori ettevõtjate suhtes valdkondliku liidu õigusaktina. NIS2 artikli 4 kohaselt ei tuleks kohaldada finantssektori ettevõtjate suhtes NIS2-st tulenevaid sätteid (sh nt järelevalve- ja täitmise tagamise sätteid), kuna need nähakse ette valdkondlikes õigusaktides.

DORA põhjenduspunkti 16 kohaselt kehtestatakse DORA-ga finantssektori ettevõtjate suhtes rangemad nõuded võrreldes NIS2-ga. Seega tuleb DORA-t käsitleda finantssektori ettevõtjate suhtes valdkondliku liidu õigusaktina ning mitte kohaldada finantssektori ettevõtjate suhtes NIS2-e.

Eelnõu peatükk 2.5 möönab, et liikmesriigid ei tohiks kohaldada NIS2 direktiivi sätteid, mis käsitlevad küberturvalisuse riskijuhtimist ja teatamiskohustust, järelevalvet ja täitmise tagamist DORA määruse kohaldamisalasse jäävate finantssektori ettevõtjate suhtes. Eelnõu märgib, et Finantsinspektsioon (FI) ja Euroopa Keskpank (EKP) on pädevateks asutusteks teostamaks krediidiasutuse ja finantsturutaristu järelevalvet. Tõsistest IKT-intsidentidest teavitatakse ka RIA-t. Koostöösätetega tagatakse, et FI teeb RIA-ga koostööd, mh seoses finantsasutuste ohuteabel põhinevate läbistustestimistega.

Eesti naaberriigid (Läti, Leedu, Soome ja Rootsi) käsitlevad DORA’t finantssektori ettevõtjate suhtes kehtiva valdkondliku liidu õigusaktina. Naaberriigid ei näe ette finantssektori ettevõtjatele kohustust vastata, lisaks DORA-le siseriiklikule või rahvusvahelisele infoturbestandardile, kuna DORA sätestab rangemad ja ühtsed valdkondlikud reeglid. Ühtlasi ei ole naaberriikides audiitorid ega sertifitseerimisasutused pädevad kontrollima finantssektori ettevõtjate vastavust DORA nõuetele vaid on üheselt täheldanud, et selliste ettevõtjate üle teostab järelevalvet DORA’s sätestatud pädev asutus.

1.2. Täiendus välistab kaasuvad riskid, tarbetu korduse ja halduskoormuse

DORA kohaldamisalasse jäävate finantssektori ettevõtjate suhtes teostab järelevalvet vaid artikli 31 alusel määratud järelevalveasutus vastavalt kehtestatud korrale. Eestis on selliseks pädevaks asutuseks FI ja oluliste krediidiasutuste osas EKP. Seevastu E-ITS-i ja ISO/IEC 27001 kohaselt teostaks järelevalvet RIA ja audiitor vastavalt E-ITS-is või ISO/IEC kohaselt kehtestatud nõuetele. Siseriikliku või rahvusvahelise infoturbestandardi audiitor või sertifitseerimisasutus ei ole pädev teostama järelevalvet finantssektori ettevõtjate üle küberturvalisuse valdkonnas.

Kohaldades E-ITS-i või alternatiivselt ISO/IEC 27001 nõudeid DORA kohaldamisalasse jäävate finantssektori ettevõtjate suhtes, on finantssektori ettevõtjad kohustatud üheaegselt ning ühest ja samast küberturvalisuse aspektist lähtuvalt: 1.3. täitma valdkondliku liidu õigusakti DORA ja samaaegselt ka E-ITS-i või ISO/IEC 27001 nõudeid; 1.4. osalema nii valdkondliku liidu õigusakti DORA alusel kui ka E-ITS-i või ISO/IEC 27001 standardi

alusel teostatavatel audititel; 1.5. esitama auditite järeldusotsuseid nii valdkondliku liidu õigusakti DORA alusel määratud juhtivale

järelevalveüksusele kui ka RIA-le.

Täiendavate nõuete ja järelevalve kohaldamine ei taga tõhusamat nõuete täitmist, järelevalvet ega vastutuse jaotust. See võib kaasa tuua täiendavad riskid digitaalse tegevuskerksuse ja küberturvalisuse tagamisel finantssektoris. Dubleerivad nõuded pole kooskõlas hea halduse põhimõttega. Teised Euroopa Liidu liikmesriigid ei näe finantssektori ettevõtjatele ette sarnaseid dubleerivaid nõudeid.

Pangaliit on valmis andma täiendavaid selgitusi esitatud ettepanekutele. Lugupidamisega, /allkirjastatud digitaalselt/ Katrin Talihärm Juhatuse liige