Arvamuse edastamine

Paldiski mnt 80 / 15092 Tallinn / 612 1360 / [email protected] / www.sotsiaalkindlustusamet.ee / registrikood 70001975

Sotsiaalministeerium [email protected] Suur-Ameerika 1 10122, Tallinn

Teie 09.12.2024 nr 1.2-3/3139-1/

Meie 21.01.2025 nr 5.2-2/36913-2

Eelnõu tagasiside

Sotsiaalkindlustusametile (SKA) on esitatud arvamuse avaldamiseks küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõu. SKA tutvus eelnõuga ja esitab selle kohta järgmise arvamuse.

1. Üldine tähelepanek. Palume võimalusel täpsustada eelnõu terminoloogiat, kuna eelnõus on direktiivist üle võetud keerulised mõisted ja alamõisted (nt üksus, keskvalitsuse/kohaliku tasandi avaliku halduse üksus, elutähtis üksus), mis raskendavad regulatsioonide arusaadavust. Seejuures võiks seaduse rakendamise lihtsustamiseks kaaluda seletuskirja täiendamist asjakohaste näidetega, lähtudes direktiivi loomisel tõusetunud teemadest ja Eesti senisest praktikast.

2. Eelnõu § 1 punkt 24 (KüTS § 61). Küberturvalisuse koolitused on kahtlemata olulised, kuid meie hinnangul võiks valitusasutuste puhul kaaluda, kas sellisete koolituste väljatöötamine/koordineerimine võiks olla mõne pädeva IT valdkonna asutuse juhtida. Tõenäoliselt aitaks see nii säästlikumalt kasutada koolituste korraldamisele kuluvaid ressursse kui ka ühtlustada üldist teadmiste taset. Ühtlasi palume eelnõu seletuskirjas selgitada, keda peetakse silmas teenuse osutajate juhtorgani all? Kuivõrd lõikes 3 räägitakse nii töötajatest kui ka ametnikest, jääb ebaselgeks, kas ja kuidas tuleks antud regulatsiooni kohaldada riigiasutuste puhul, kus juriidiliseks isikuks on Eesti Vabariik. Seejuures võiks kaaluda, kas lõige 3 on vajalik, kuna selle sisu kordab eelnõu § 1 punkt 26 (KüTS § 7 lõige 2 punkt 9).

3. Eelnõu § 1 punkt 52 (KüTS § 14 lõige 9 punkt 2, lõige 10 punkt 4). KüTS § 14 lõike 9 punkti 2 kohaselt võib RIA haldusjärelevalve käigus viia teenuse osutaja suhtes läbi sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või auditeeritava teenuse osutaja tehtud riskihindamisel või muul kättesaadaval riskialasel teabel. Sellise sihipärase turvaauditi kulud kannab auditeeritav teenuse osutaja, välja arvatud juhul, kui Riigi Infosüsteemi Amet otsustab põhjendatul juhul teisiti (KüTS § 14 lõige 10 punkt 4). Kuivõrd RIA sihipäraseid turvaauditeid võidakse viia läbi ka valitsusasutuste suhtes, siis teeme ettepaneku täpsustada eelnõu sõnastust või näha ette selliste turvaauditite kulude kandmise osas ette eriregulatsioon. Nimelt võiksid valitusasutuste puhul jääda haldusjärelevalve teostamise kulud haldusjärelevalve teostaja kanda. Seda põhjusel, et esiteks ei ole pakutud sõnastuses kulude prognoosimine läbipaistev. Teiseks ei oleks see ka mõistlik kui üks riigiasutus rahastab oma põhitegevust teiste riigiasustuste eelarvete kaudu olukorras, kus teistel riigiasutustel ei ole võimalik selliseid kulusid ette prognoosida (juhtida). Juhul kui viidatud sätete sõnastust ei muudeta, siis võib sellega kaasneda SKA-le eelarveline mõju, mis vajab katteallikaid.

2

Lugupidamisega (allkirjastatud digitaalselt) Maret Maripuu peadirektor Andrus Jürgens 57833628, [email protected] Marge Mägi 54720389, [email protected] Ivari Õunapuu 53620373, [email protected]