Hädaolukorra seaduse muutmine

EELNÕU

13.11.2024

Hädaolukorra seaduse muutmise seadus

Hädaolukorra seaduses tehakse järgmised muudatused:

1) paragrahvi 38 lõikes 14 asendatakse tekstiosa „§-s 41“ tekstiosaga „§ 41 lõikes 1“;

2) paragrahvi 41 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Kui elutähtsa teenuse toimepidevuse tagamiseks vajalikud andmed või seadmed asuvad

välisriigis, peab elutähtsa teenuse osutaja tagama elutähtsa teenuse toimepidevuse dubleerivate

vahendite ja tehnoloogiliselt alternatiivsete lahenduste abil ajal, kui välisriigis asuvatele

andmetele või seadmetele juurdepääsuks kasutatav tavapärane elektroonilise side teenus või

võrk ei toimi.“;

3) paragrahvi 45 lõike 1 punkt 3 muudetakse ja sõnastatakse järgmiselt:

„3) haldus- või riiklikku järelevalvet käesoleva seaduse §-des 38–41, § 411 lõigetes 3 ja 4, § 412

lõikes 1 ning § 37 lõike 2 ja § 39 lõike 5 alusel kehtestatud nõuete täitmise üle teeb elutähtsa

teenuse toimepidevust korraldav asutus või tema § 37 lõike 5 alusel määratud asutus,

finantsjärelevalve subjektide suhtes teeb haldus- või riiklikku järelevalvet §-des 38–41, § 411

lõigetes 3 ja 4 ning § 37 lõike 2 ja § 39 lõike 5 alusel kehtestatud nõuete täitmise üle

Finantsinspektsioon;“;

4) paragrahvi 45 lõike 1 punkt 4 tunnistatakse kehtetuks.

Lauri Hussar

Riigikogu esimees

Tallinn, „…..“ ………………. 2024. a

________________________________________________

Algatab Vabariigi Valitsus

„.....“ ....................... 2024. a nr….

1

13.11.2024

Hädaolukorra seaduse muutmise seaduse eelnõu seletuskiri

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõukohase seadusega muudetakse hädaolukorra seaduse (edaspidi HOS) elutähtsa teenuse

toimepidevust, sh kättesaadavust puudutavaid sätteid. Muudatuse kohaselt peab elutähtsa

teenuse osutaja (edaspidi ETO), kelle osutatava elutähtsa teenuse toimimiseks vältimatult

vajalikud andmed või seadmed asuvad välisriigis, teenuse toimimiseks ette nägema vähemalt

kaks tehnoloogiliselt erinevat elektroonilise side teenust, et oleks tagatud ühendus välisriigiga.

Teiseks kaotatakse eelnõuga Riigi Infosüsteemi Ameti (edaspidi RIA) kohustus teha

järelevalvet alternatiivsete sideühenduste olemasolu üle ning antakse see ülesanne elutähtsa

teenuse toimepidevust korraldavale asutusele (edaspidi ETKA).

1.2. Eelnõu ettevalmistaja

Eelnõu ja seletuskirja on koostanud Majandus- ja Kommunikatsiooniministeeriumi riikliku

küberturvalisuse osakonna küberturvalisuse teadus- ja tehnoloogiajuht Ilmar Vessin (e-post

[email protected]) ja sama osakonna õigusnõunik Guido Pääsuke (e-post

[email protected]) koostöös Riigikantselei julgeoleku ja riigikaitse

koordinatsioonibüroo ametnikega. Eelnõu õigusliku ekspertiisi käigus esitas ettepanekuid

Majandus- ja Kommunikatsiooniministeeriumi õigusosakonna õigusnõunik Ragnar Kass

([email protected]). Eelnõu ja seletuskirja on keeleliselt toimetanud Justiitsministeeriumi

õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Merike Koppel (e-post

[email protected]).

1.3. Märkused

Eelnõu ei ole seotud ühegi muu menetluses oleva eelnõuga.

Hea õigusloome ja normitehnika eeskirja § 1 lõike 2 punkti 5 kohaselt ei ole seaduseelnõu

väljatöötamiskavatsus nõutav, kui seaduseelnõu seadusena rakendamisega ei kaasne olulist

õiguslikku muudatust või muud olulist mõju.

Eelnõukohase seadusega muudetakse hädaolukorra seadust (RT I, 08.10.2024, 27).

Eelnõu seadusena vastuvõtmiseks on vaja Riigikogu poolthäälte enamust.

2. Seaduse eesmärk

Seaduse eesmärk on ajakohastada elutähtsa teenuse toimepidevusega seotud nõudeid,

arvestades uutest tehnoloogiatest tulenevaid väljakutseid ja võimalusi, parandades seeläbi

toimepidevust, sealhulgas elutähtsa teenuse kättesaadavust kasutajatele. Uute tehnoloogiliste

lahenduste kasutamise võimaldamine suurendab ka selle teenuse vastupidavust erinevatele

rünnetele ja tagab selle parema toimimise ohuolukordades.

2

3. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb neljast punktist.

HOS § 38 lõike 14 muudatusega täpsustatakse RIA osalust elutähtsa teenuse toimepidevuse

tagamiseks sätestatud nõuete täitmise tähtaja määramises ettevõtja esmakordsel elutähtsa

teenuse osutajaks määramise korral. Sätte kohaselt on ETKA-l või tema volitatud elutähtsat

teenust korraldaval asutusel õigus küsida RIA arvamust tähtaja kohta, mille jooksul peab

määratav ETO viima oma tegevuse kooskõlla muu hulgas küberturvalisuse seaduses ETO-le

sätestatud küberturvalisuse nõuetega.

HOS § 41 lõige 2. Sätte kehtivat versiooni1 rakendades on lähtutud paljuski põhimõttest, et

teenuse toimepidevusega seotud andmed ja seadmed tuleb dubleerida Eestis, arvestades

võimalusega Eesti ja välisriikide vahel toimuva võrguliiklus täieliku sulgemisega (2007. aastal

toimunud küberrünnaku tõrjumisel kaalutud meede). ETO-d on välja toonud, et arvestades

toimunud tehnoloogilisi arenguid ning Eesti sõltuvust väljaspool Eesti territooriumi asuvatest

infotehnoloogilistest ressurssidest, ei ole Eestis absoluutne võrguliikluse välismaailmast

eraldamine praktikas tõhus ega ka teostatav meede, kuna toob kaasa tõsisemaid tagajärgi kui

seeläbi ära hoitav kahju. Kaitseks selliste rünnakute vastu on võimalik rakendada nutikamaid

ja kaasaegsemaid kaitsemeetmeid, mis ründe mõju vähendavad. Samuti on täiustunud

võrguarhitektuur, ajas on kasvanud välisühenduste kvaliteet ning paljusus ja teised tehnilised

võimekused2. Senise praktika jätkamine toob omakorda kaasa majanduslikult ebamõistlikud

investeeringud ja halduskulud. Mõnel juhul ei pruugi sätte täitmine olla teostatav, kuna juba

praegu kasutatakse pilvepõhiseid lahendusi. Samuti ei võimalda kehtiv rakendus praktika

kasutusele võtta uusi ja ajakohaseid lahendusi ning selle järgimine võib hoopis kaasa tuua

teenuse kvaliteedi ja kättesaadavuse halvenemise. Teenuste dubleerimisel Eestisse võib tekkida

hinnatõus teenusele ja teenuse lõpptarbijale. Kasutatavast praktikast lähtuvalt ei pruugi piisata

ka Eestis asuvate infosüsteemide vastase füüsilise rünnaku ohustsenaariumi puhul.

Enamik elutähtsaid teenuseid sõltub infotehnoloogiast. Seega peavad ETO-d valmistuma

võrgu- ja infosüsteemide kompromiteerimise ja katkestuste olukordadeks ning nägema ette ka

üksteisest sõltumatud toimimise alternatiivid, et teenus toimiks ka ettenägematus olukorras

(küberründed, tavapäraste sideühenduste katkestused). Teenuste toimepidevuse tagamiseks

tuleb kasutusele võtta kriisikindlamad infotehnoloogilised lahendused, mis aga ei peaks

eeldama võrgu- ja infosüsteemi füüsilist paiknemist Eestis, kuid peaks siiski võimaldama muu

hulgas pilvteenuste kasutamist. Elutähtsate teenuste toimepidevuse tagamiseks kasutatakse

Eestis juba praegu füüsilisest asukohast sõltumatuid ajakohaseid võrgu- ja infosüsteeme. See

toob omakorda esile vajaduse hoida välisriigis asuvate andmete ja seadmetega pidevat ühendust

ning tõrgete (nt primaarse sideteenuse kompromiteerimine) ennetamine eeldab tehnoloogiliselt

erinevate sideühendusete olemasolu.

Erinevate tehnoloogiliste lahenduste kasutamise eesmärk sideühenduste puhul on tagada

ühenduse toimivus ühe tehnoloogilise lahenduse äralangemise korral. Näiteks saab

tehnoloogiliselt erinevateks lahendusteks pidada satelliitsidet ja kaabelühendusel põhinevaid

sidelahendusi, kuna need kasutavad välisühenduse tagamisel erinevaid alustehnoloogiaid. Ühel

juhul on selleks raadiolained ja sidesatelliidid, teisel juhul optilised kaablid ja valgussignaalid.

Samas ei saa eelnõu tähenduses tehnoloogiliselt erinevateks pidada lahendusi, mis põhinevad

1 (2) Kui elutähtsa teenuse toimimist tagavad infosüsteemid asuvad välisriigis, tagab elutähtsa teenuse osutaja

elutähtsa teenuse toimepidevuse ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest. 2 Eesti Pangaliidu 08.06.2022 kiri nr 25 kiri Riigi Infosüsteemi Ametile.

3

samal alustehnoloogial. Näiteks võivad üksteisest sõltumatud sideteenuse pakkujad kasutada

välisriiki ühenduse pakkumise korral sama tehnoloogilist lahendust (nt sama merekaabel) ja

selle purunedes katkeb ka mõlema sideteenuse pakkuja ühendus. ETO-l on vaja toimepidevuse

riskianalüüsis ja plaanis hinnata, millistel tehnoloogilistel lahendustel olemasolev teenus

põhineb ning milliseid sideühendusi kasutatakse.

Elutähtsa teenuse osutaja, kelle teenuse toimimiseks vajalikud andmed või tehnoloogilised

lahendused juba asuvad välisriigis ja kellele laieneb elutähtsa teenuse osutamise kohustus, saab

jätkata olemasoleva süsteemi kasutamist ilma vajaduseta seda Eestis dubleerida. Piisab, kui

teenuseosutaja korraldab ühenduse välisriigis asuvale süsteemile mitme sõltumatu

sidelahenduse kaudu, mis võimaldab süsteeme kriitilistes olukordades kiirelt taastada ja

ühendust hoida, vältides ebamõistlikku kulu ja keskendudes samal ajal teenuse toimepidevuse

tagamisele. Mitmete dubleerivate, aga samas tehnoloogiliselt erinevate sidelahenduste (nt

merekaabel ja satelliitside) kasutamine tagab süsteemide vajaliku paindlikkuse ja stabiilsuse,

võimaldades elutähtsa teenuse osutajal säilitada oma teenuste katkematu toimimine ka üht liiki

ühenduse katkemise korral.

Juhul kui välisriigis asuvatele andmetele või seadmetele juurdepääsu ja teenuse toimimise

tagamine alternatiivsete sidelahenduste kaudu ei ole tehniliselt võimalik või osutub äriliselt

põhjendamatuks, on oluline kaaluda teenuse andmete dubleerimist ja teenuse toimimise

tagamist nii, et sõltuvus välisriigis asuvatest andmetest või seadmetest oleks välistatud.

Muudatusega ei kehtestata kohustust viia teenuste toimimise tagamine välisriiki, vaid antakse

kõnealuse teenuse osutajatele võimalus hinnata oma vajadusi ja riske ning vajaduse korral

rakendada lisameetmeid, mis võivad parandada teenuse kättesaadavust ja vähendada sõltuvust

üksikutest asukohtadest. Selline paindlik lähenemisviis võimaldab elutähtsa teenuse osutajal ise

otsustada, milline strateegia on tema konkreetse teenuse ja ärivajaduste jaoks sobivaim, olgu

see siis alternatiivsete sidelahenduste kasutamine, lokaalne dubleerimine või muu tehniline

lahendus, mis tagab teenuse toimivuse ja kättesaadavuse. Lisaks aitab see ettevõtjatel valida

lahendusi, mis on majanduslikult mõistlikud ja kooskõlas nende äritegevuse ulatuse ning

kasutatava taristu vajadustega, võimaldades tagada optimaalse kombinatsiooni ühenduse

mitmekesisusest, turvalisusest ja majanduslikust elujõulisusest.

Sätte muudatust tuleb vaadelda koosmõjus HOS-i § 38 lõike 3 punktidega 2 ja 3. Samas ei eelda

eelnõuga lisatav säte, et ETO-l on omaenda dubleerivad vahendid (nt oma liinirajatis), vaid seab

eeltingimuseks, et tal on võimalus kasutada välisriigis asuvate andmete või seadmetega

ühenduse saamiseks vähemalt kahel erineval tehnilisel lahendusel põhinevat sideteenust.

HOS-i § 45 lõike 1 punkt 4 kehtetuks tunnistamisega kaotatakse RIA ülesanne teha riiklikku

ja haldusjärelevalvet HOS-i §-s 41 sätestatud nõuete täitmise üle.

Viidatud HOS-i paragrahvi lõige 1 sätestab ETO kohustuse järgida küberturvalisuse seaduse

nõudeid. Vastavalt küberturvalisuse seaduse § 14 lõikele 1 teeb järelevalvet seaduses ja selle

alusel antud õigusaktides sätestatud nõuete täitmise üle RIA. Seega on see säte oma olemuselt

korduv viide RIA ülesandele.

Eelnõukohase seadusega muudetava HOS-i § 41 lõike 2 kohaselt (vt ka muutmise seletust

eespool) peab ETO-l olema elutähtsa teenuse osutamiseks vältimatult vajalike välisriigis

asuvate andmete või seadmetega ühenduse pidamiseks vähemalt kaks dubleerivat vahendit või

tehnoloogiliselt alternatiivset lahendust. Kuna nõue puudutab elektroonilise side teenuse või

võrgu olemasolu ega käsitle küberturvalisuse tagamist, ei ole eelduse täitmise kontrollimine

RIA pädevuses. Eeltoodut arvestades on mõistlik säte kehtetuks tunnistada.

4

HOS-i § 45 1õike 1 punkti 3 muutmisega, jääb seoses RIA järelevalvekohustuse kaotamisega

ülesande lõpetamisega järelevalve kohustus kõigi elustähtsa teenuse toimepidevusega seotud

nõuete üle vastavalt ETKA-le või tema volitatud asutusele või Finantsinspektsioonile (vt ka

HOS § 45 lõike 1 punkti 4 kehtetuks tunnistamise seletust).

4. Eelnõu terminoloogia

Eelnõus ei kasutata uusi mõisteid ja termineid.

5. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõu on kooskõlas Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiivi (EL)

nr 2022/2557, mis käsitleb elutähtsa teenuse osutajate toimepidevust ja millega tunnistatakse

kehtetuks nõukogu direktiiv 2008/114/EÜ, artikli 1 lõikega 1, artikli 4 lõike 2 punktiga g ja

artikli 9 punktiga 6.

6. Seaduse mõjud

Eelnõukohane seadus mõjutab siseturvalisust, infotehnoloogia- ja infoühiskonda ning

riigivalitsemist.

6.1. Välisriigis asuvate andmete või seadmetega ühenduse olemasolu nõue

Seadusega kehtestatakse nõue, mille kohaselt peab elutähtsa teenuse osutaja juhul, kui elutähtsa

teenuse toimepidevuse tagamiseks vajalikud andmed või seadmed asuvad välisriigis ning ajal,

kui välisriigis asuvatele andmetele või seadmetele juurdepääsuks kasutatav tavapärane

elektroonilise side teenus või võrk ei toimi, tagama elutähtsa teenuse toimepidevuse

dubleerivate vahendite ja alternatiivsete tehnoloogiliste lahenduste abil.

6.1.1. Mõju valdkond: mõju siseturvalisusele (siseturvalisuse mõjuvaldkond)

Mõju sihtrühm: ETO-d ja ühiskond

Muudatus mõjutab elutähtsate teenuste ja ühiskonna kriisideks valmisolekut.

Avalduv mõju ja mõju olulisus

Muudatusega suurendatakse ETO-de võimalust kasutada erinevaid tehnoloogilisi lahendusi

elutähtsa teenuse toimepidevuse tagamiseks, sealhulgas erinevates ohuolukordades.

Järeldus mõju olulisuse kohta: mõju on oluline, sest seadus võimaldab kasutada elutähtsate

teenuste osutamiseks ajakohaseid tehnoloogilisi lahendusi, suurendades seeläbi teenuste ja

ühiskonna kriisikindlust (parem siseturvalisus).

6.1.2. Mõju valdkond: mõju elektroonilisele sidele ja teenustele (infotehnoloogia- ja

infoühiskonna mõjuvaldkond)

Mõju sihtrühm: ETO-d ja infotehnoloogiateenuste osutajad

Muudatuse tulemusel suureneb ETO valikuvabadus elutähtsa teenuse osutamiseks kasutavate

infotehnoloogiliste vahendite arendamisel ja kasutamisel. Samas võib eelnõu vähendada

vajadust Eestis asuvate andmekeskuste andmehoidmisteenuste järele.

5

Avalduv mõju ja mõju olulisus

Eelnõukohase seadusega ei kohustata elutähtsa teenuse osutajaid valima kindlat tehnoloogiat

ega piirata teenuse osutamiseks ja toimepidevuse tagamiseks kasutatavate tehnoloogiate või

muude alternatiivide valikut. Seega avaldab eelnõukohane seadus asjaomasele valdkonnale

vähest mõju.

Järeldus mõju olulisuse kohta: mõju on väike, sest elutähtsa teenuse osutajate haldus- ja

töökoormus ei muutu, kuna muudatus pigem suurendab õigusselgust ja ettevõtjate

õiguskindlust.

6.2. Riigi Infosüsteemi Ameti ülesannete muutmine

Eelnõu seadusena jõustudes kaob RIA kohustus teha haldus- ja riiklikku järelevalvet HOS-i §-

s 41 sätestatud nõuete üle ning vastav järelevalvekohustus läheb üle ETKA-le.

Mõju valdkond: mõju keskvalitsuse korraldusele ning kohaliku omavalitsuse korraldusele ja

finantseerimisele (riigivalitsemise mõjuvaldkond)

Mõju sihtrühm: riigi- ja kohaliku omavalitsuse asutused

Muudatus mõjutab RIA-t, ETKA-sid või nende volitatud elutähtsat teenust korraldavaid

asutusi.

Avalduv mõju ja mõju olulisus

Muudatusega pannakse kogu ETO-de üle riikliku- ja haldusjärelevalve tegemise kohustus

ETKA-le või tema volitatud elutähtsat teenust korraldavale asutusele. RIA-le jääb vaid ülesanne

anda nõu küberturvalisuse nõuete rakendamise tähtaja kehtestamise küsimuses uue elutähtsa

teenuse osutaja määramisel.

Muudatuse tulemusel ei suurene ETKA-de töökoormus, kuivõrd ETO kirjeldab oma sõltuvust

välisriigis olevatest andmetest või seadmetest ning nendega ühenduse pidamise lahendustest

toimepidevuse riskianalüüsis ja plaanis, mis kooskõlastatakse ETKA või tema volitatud

elutähtsat teenust korraldava asutusega. Samas võetakse RIA-lt kohustus teha järelevalvet, kuna

sellega seotud vahetu kontroll (st selle kontrollimine, kas ühendus on reaalselt olemas ja toimiv)

ei ole mõistliku pingutusega tehtav.

Järeldus mõju olulisuse kohta: mõju on väike, sest asutuste töökoormus ei muutu, kuna

muudatus pigem suurendab õigusselgust ja ettevõtjate õiguskindlust.

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad

kulud ja tulud

Eelnõu seadusena jõustumine ei eelda riigi ja kohaliku omavalitsuse asutustelt lisatoiminguid

võrreldes hädaolukorra seaduse kehtiva versiooniga. Seega ei kaasne eelnõu seadusena

jõustumise korral riigieelarvele ega kohaliku omavalitsuse üksuste eelarvele lisakulu ega -tulu.

6

8. Seaduse jõustumine

Seadus jõustub üldises korras. Eelnõu seadusena jõustumine ei vaja üleminekuaega. Eelnõu

jõustumisel seadusena ei eeldata jõustumise ajaks tööprotsesside ja dokumentide, sealhulgas

haldusotsuste muutmist.

9. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

Eelnõu esitatakse eelnõude infosüsteemi kaudu kooskõlastamiseks Justiitsministeeriumile,

Kliimaministeeriumile, Kultuuriministeeriumile, Regionaal- ja Põllumajandusministeeriumile,

Riigikantseleile, Sotsiaalministeeriumile ning Eesti Linnade ja Valdade Liidule.

Eelnõu saadetakse arvamuse avaldamiseks Eesti Pangale, Riigi Infosüsteemi Ametile,

Tarbijakaitse ja Tehnilise Järelevalve Ametile, Eesti Pangaliidule, Eesti Turvaettevõtete Liidule,

Eesti Haiglate Liidule, Eesti Arstide Liidule, Eesti Perearstide Seltsile, Eesti Vee-ettevõtete

Liidule, Eesti Kiirabi Liidule, Eesti Ravimihulgimüüjate Liidule, Ravimitootjate Liidule, Eesti

Proviisorapteekide Liidule, Eesti Apteekrite Liidule ja Eesti Proviisorite Kojale, Eesti

Elektritööstuse Liidule, Eesti Jõujaamade ja Kaugkütte Ühingule, Eesti Gaasiliidule, Eesti

Transpordikütuste Ühing, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Varude

Keskusele, Eesti Kaubandus-Tööstuskojale, Eesti Põllumajandus-Kaubanduskojale ning Eesti

Toiduainetööstuse Liidule.

Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee

Registrikood 70003158

Riigikantselei

Justiitsministeerium

Kliimaministeerium

Regionaal- ja

Põllumajandusministeerium

Sotsiaalministeerium

Eesti Linnade ja Valdade Liit

15.11.2024 nr 2-2/2882-1

Hädaolukorra seaduse muutmine

Esitame kooskõlastamiseks ja arvamuse avaldamiseks hädaolukorra seaduse muutmise seaduse

eelnõu. Palume Teie tagasisidet 30 päeva jooksul eelnõu avaldamisest eelnõude infosüsteemis.

Lugupidamisega

(allkirjastatud digitaalselt)

Liisa-Ly Pakosta

justiits- ja digiminister

Lisad: 1) eelnõu;

2) seletuskiri.

Lisaadressaadid: Eesti Pank

Riigi Infosüsteemi Amet

Tarbijakaitse ja Tehnilise Järelevalve Amet

Eesti Pangaliit

Eesti Elektritööstuse Liit

Eesti Jõujaamade ja Kaugkütte Ühing

Eesti Gaasiliit

Eesti Infotehnoloogia ja Telekommunikatsiooni Liit

AS Eesti Varude Keskus

Eesti Kaubandus-Tööstuskoda

Eesti Toiduainetööstuse Liit

Eesti Põllumajandus-Kaubanduskoda

Eesti Transpordikütuste ühing

Eesti Proviisorite Koda

Eesti Apteekrite Liit

Eesti Proviisorapteekide Liit

2 (2)

Eesti Vee-ettevõtete Liit

Eesti Turvaettevõtete Liit

Eesti Haiglate Liit

Eesti Arstide Liit

Eesti Perearstide Selts

Eesti Kiirabi Liit

Eesti Ravimihulgimüüjate Liit

Ravimitootjate Liit

Guido Pääsuke

[email protected]