Arvamuse edastamine




Liisa-Ly Pakosta
Justiits- ja digiminister
Justiits- ja digiministeerium Teie: 09.12.2024 Meie: 27.01.2025 nr 116-2B


Arvamuse avaldamine eelnõu kohta

Täname, et esitasite Eesti Haiglate Liidule (edaspidi EHL) kooskõlastamiseks ja arvamuse avaldamiseks küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõu.

Oleme eelnõu koostöös haiglate intoturbejuhtidega läbi vaadanud ning esitame alljärgnevalt oma tähelepanekud ja muudatusettepanekud.

1. Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (edaspidi NIS2) artikkel 21 lõige 2(d) käsitleb küberturvalisuse riskijuhtimise meetmeid, mida elutähtsad ja olulised üksused peavad rakendama. NIS2 kohustab elutähtsaid ja olulisi üksuseid rakendama kõiki ohte hõlmaval lähenemisviisil asjakohaseid ja proportsionaalselt tehnilisi, tegevuslikke ja korralduslikke meetmeid, et juhtida riske, mis ohustavad nende üksuste tegevuses või teenuste osutamisel kasutatavate võrgu- ja infosüsteemide turvalisust, et ennetada või minimeerida intsidentide mõju nende teenuste saajatele ja muudele teenustele.
NIS2 rõhutab riskide juhtimist ja proportsionaalsust, samas kui küberturvalisuse seaduse eelnõu § 7 lõige 2 punkt 6 kehtestab turvameetmete rakendamisel üldise kohustuse “Tagama süsteemi tarneahela turvalisuse”.
Meie hinnangul võib nõue olla ebarealistlik, sest teenuse osutajal ei pruugi olla alati täielikku kontrolli kogu tarneaheale üle, eriti kui tegemist on suuremahuliste ja keerukate tarneahelatega. Tarnijate ja koostööpartnerite regulaarne hindamine suurendab ka teenuseosutajate halduskoormust ja võib põhjustada tarnekatkestusi, kui tarnijad ei vasta kehtestatud turbenõuetele.
Teeme ettepaneku muuta eelnõu § 7 lõige 2 punkte 1 ja 6 alljärgnevalt:
(2) Teenuse osutaja on turvameetmete rakendamisel kohustatud:
1) koostama ja kehtestama infoturvariskide kaalutlemise metoodika ja protseduurid (sh rakendama proportsionaalseid riskijuhtimise meetmeid süsteemi tarneahela turvalisuse tagamiseks);
6) tagama koostööpartnerite vahelistes lepetes turvameetmetega seotud aspektide regulaarse ülevaatuse ning ajakohastamise;

Ettepanekus välja toodud täpsustus “proportsionaalsed riskijuhtimise meetmed” muudab nõude paindlikumaks ja võimaldab teenuse osutajatel kohandada riskijuhtimise meetmeid vastavalt oma suurusele, riskitasemele ja ressurssidele. Samuti vähendab muudatus ebarealistlikke ootusi, mille kohaselt peab teenuse osutaja turvameetmete rakendamisel “tagama süsteemi tarneahela turvalisuse”. Lisaks suurendab muudatus vastavust NIS2 direktiivi artikli 21 nõuetega, mis rõhutavad proportsionaalsust ja riskipõhist lähenemist.
Eelnõu § 7 lõike 2 punkti 6 täpsustus keskendub konkreetsele tegevusele ja vähendab üldistust ning suunab tegevust paremini.

2. Tähelepanekud seoses paragrahvi 14 lõigetega 9-10, mis on eelnõus sõnastatud järgmiselt:
(9) Riigi Infosüsteemi Ametil on riikliku ja haldusjärelevalve läbi viimisel õigus teha:
2) teenuse osutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või auditeeritava teenuse osutaja tehtud riskihindamisel või muul kättesaadaval riskialasel teabel;
(10) Käesoleva paragrahvi lõike 9 punktis 2 nimetatud sihipärase turvaauditi:
4) kulud kannab auditeeritav teenuse osutaja, välja arvatud juhul, kui Riigi Infosüsteemi Amet põhjendatul juhul otsustab teisiti.

Juhime tähelepanu, et eelnõu § 14 lõike 10 punkt 2 ei arvesta teenuse osutaja suurust ega ressursse, määrates vaikimisi kõik auditi kulud automaatselt teenuse osutaja kanda, välja arvatud juhul kui Riigi infosüsteemide Amet otsustab teisiti. Selline nõue võib olla väiksemate haiglatele või organisatsioonidele liialt koormav, eriti kui auditid on ulatuslikud ja kulukad. Kulude prognoosimatus raskendab eelarve planeerimist ja võib piirata organisatsiooni võimekust investeerida ennetusmeetmetesse.

3. Tähelepanekud seoses paragrahvi 14 lõigetega 13-14, mis on eelnõus sõnastatud järgmiselt:
(13) Kui elutähtis üksus ei kõrvalda puudusi või ei täida Riigi Infosüsteemi Ameti nõudeid käesoleva paragrahvi lõike 12 alusel määratud tähtajaks, on Riigi Infosüsteemi Ametil õigus nõuda ettekirjutusega:
1) elutähtsa üksuse kõigi või mõnede osutatavate asjaomaste teenuste või tegevuste sertifikaadi või loa ajutist peatamist loa väljastajalt, või vastava pädevuse olemasolul teha ise nimetatud toiminguid;
2) elutähtsa üksuse nõukogult või osanikelt juhatuse liikme volituste ajutist peatamist.
(14) Käesoleva paragrahvi lõike 13 punktides 1 ja 2 sätestatud meetmeid:
1) kohaldatakse seni, kuni kõnealune elutähtis üksus võtab kasutusele vajalikud meetmed puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks.

Meie hinnangul võib eelnõu § 14 lõike 13 punkt 1 takistada haiglate poolt osutatavate elutähtsate teenuste osutamist ja mõjutada otseselt ühiskonna toimimist. Kui tervishoiuasutuse (nt haigla) teenused peatatakse, võib see ohustada patsientide elu ja tervist. Teenuste ajutine peatamine võib põhjustada pikaajalisi häireid, mille taastamine võib olla ressursimahukas ja tuua tervishoiuasutustele kaasa ettenägematuid kulutusi.
Eelnõu § 14 lõike 13 punkt 2 võib tekitada juhtimislünki, eriti väiksemates asutustes, kus juhtimisstruktuuride asendusmaatriks on kirjeldamata või asendusmaatriksi olemasolu ei ole võimalik tagada.
Eelnõu § 14 lõike 14 punkt 1 võib kaasa tuua olukorra, kus teenuste ajutine peatamine võib häirida elutähtsate funktsioonide osutamist. Küberturvalisuse meetmete rakendamine (sh puuduste kõrvaldamine) võib olla tehniliselt keerukas, kulukas ja ajamahukas ning seda eriti väiksemate asutuste puhul. Piiratud ressurssidega organisatsioonidel võib puuduste kõrvaldamiseks kuluda oluliselt rohkem aega, mis pikendab teenuste või volituste peatamise perioodi ja võib kaasa tuua täiendavat finantskoormust ja mainekahju. Lisaks tekib ebaselgus, kuidas tagada asutuses turvameetmete rakendamine ja puuduste kõrvaldamine olukorras, kus asutuse vastutava juhi volitused on peatatud.

Palume arvestada meie esitatud tähelepanekute ja muudatusettepanekutega, et tagada küberturvalisuse seadusandluse selgus ja rakendatavus.


Lugupidamisega

/allkirjastatud digitaalselt/

Urmas Sule
Juhatuse esimees




Liisa-Ly Pakosta
Justiits- ja digiminister
Justiits- ja digiministeerium Teie: 09.12.2024 Meie: 27.01.2025 nr 116-2B


Arvamuse avaldamine eelnõu kohta

Täname, et esitasite Eesti Haiglate Liidule (edaspidi EHL) kooskõlastamiseks ja arvamuse avaldamiseks küberturvalisuse seaduse ja teiste seaduste muutmise seaduse (küberturvalisuse 2. direktiivi ülevõtmine) eelnõu.

Oleme eelnõu koostöös haiglate intoturbejuhtidega läbi vaadanud ning esitame alljärgnevalt oma tähelepanekud ja muudatusettepanekud.

1. Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (edaspidi NIS2) artikkel 21 lõige 2(d) käsitleb küberturvalisuse riskijuhtimise meetmeid, mida elutähtsad ja olulised üksused peavad rakendama. NIS2 kohustab elutähtsaid ja olulisi üksuseid rakendama kõiki ohte hõlmaval lähenemisviisil asjakohaseid ja proportsionaalselt tehnilisi, tegevuslikke ja korralduslikke meetmeid, et juhtida riske, mis ohustavad nende üksuste tegevuses või teenuste osutamisel kasutatavate võrgu- ja infosüsteemide turvalisust, et ennetada või minimeerida intsidentide mõju nende teenuste saajatele ja muudele teenustele.
NIS2 rõhutab riskide juhtimist ja proportsionaalsust, samas kui küberturvalisuse seaduse eelnõu § 7 lõige 2 punkt 6 kehtestab turvameetmete rakendamisel üldise kohustuse “Tagama süsteemi tarneahela turvalisuse”.
Meie hinnangul võib nõue olla ebarealistlik, sest teenuse osutajal ei pruugi olla alati täielikku kontrolli kogu tarneaheale üle, eriti kui tegemist on suuremahuliste ja keerukate tarneahelatega. Tarnijate ja koostööpartnerite regulaarne hindamine suurendab ka teenuseosutajate halduskoormust ja võib põhjustada tarnekatkestusi, kui tarnijad ei vasta kehtestatud turbenõuetele.
Teeme ettepaneku muuta eelnõu § 7 lõige 2 punkte 1 ja 6 alljärgnevalt:
(2) Teenuse osutaja on turvameetmete rakendamisel kohustatud:
1) koostama ja kehtestama infoturvariskide kaalutlemise metoodika ja protseduurid (sh rakendama proportsionaalseid riskijuhtimise meetmeid süsteemi tarneahela turvalisuse tagamiseks);
6) tagama koostööpartnerite vahelistes lepetes turvameetmetega seotud aspektide regulaarse ülevaatuse ning ajakohastamise;

Ettepanekus välja toodud täpsustus “proportsionaalsed riskijuhtimise meetmed” muudab nõude paindlikumaks ja võimaldab teenuse osutajatel kohandada riskijuhtimise meetmeid vastavalt oma suurusele, riskitasemele ja ressurssidele. Samuti vähendab muudatus ebarealistlikke ootusi, mille kohaselt peab teenuse osutaja turvameetmete rakendamisel “tagama süsteemi tarneahela turvalisuse”. Lisaks suurendab muudatus vastavust NIS2 direktiivi artikli 21 nõuetega, mis rõhutavad proportsionaalsust ja riskipõhist lähenemist.
Eelnõu § 7 lõike 2 punkti 6 täpsustus keskendub konkreetsele tegevusele ja vähendab üldistust ning suunab tegevust paremini.

2. Tähelepanekud seoses paragrahvi 14 lõigetega 9-10, mis on eelnõus sõnastatud järgmiselt:
(9) Riigi Infosüsteemi Ametil on riikliku ja haldusjärelevalve läbi viimisel õigus teha:
2) teenuse osutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või auditeeritava teenuse osutaja tehtud riskihindamisel või muul kättesaadaval riskialasel teabel;
(10) Käesoleva paragrahvi lõike 9 punktis 2 nimetatud sihipärase turvaauditi:
4) kulud kannab auditeeritav teenuse osutaja, välja arvatud juhul, kui Riigi Infosüsteemi Amet põhjendatul juhul otsustab teisiti.

Juhime tähelepanu, et eelnõu § 14 lõike 10 punkt 2 ei arvesta teenuse osutaja suurust ega ressursse, määrates vaikimisi kõik auditi kulud automaatselt teenuse osutaja kanda, välja arvatud juhul kui Riigi infosüsteemide Amet otsustab teisiti. Selline nõue võib olla väiksemate haiglatele või organisatsioonidele liialt koormav, eriti kui auditid on ulatuslikud ja kulukad. Kulude prognoosimatus raskendab eelarve planeerimist ja võib piirata organisatsiooni võimekust investeerida ennetusmeetmetesse.

3. Tähelepanekud seoses paragrahvi 14 lõigetega 13-14, mis on eelnõus sõnastatud järgmiselt:
(13) Kui elutähtis üksus ei kõrvalda puudusi või ei täida Riigi Infosüsteemi Ameti nõudeid käesoleva paragrahvi lõike 12 alusel määratud tähtajaks, on Riigi Infosüsteemi Ametil õigus nõuda ettekirjutusega:
1) elutähtsa üksuse kõigi või mõnede osutatavate asjaomaste teenuste või tegevuste sertifikaadi või loa ajutist peatamist loa väljastajalt, või vastava pädevuse olemasolul teha ise nimetatud toiminguid;
2) elutähtsa üksuse nõukogult või osanikelt juhatuse liikme volituste ajutist peatamist.
(14) Käesoleva paragrahvi lõike 13 punktides 1 ja 2 sätestatud meetmeid:
1) kohaldatakse seni, kuni kõnealune elutähtis üksus võtab kasutusele vajalikud meetmed puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks.

Meie hinnangul võib eelnõu § 14 lõike 13 punkt 1 takistada haiglate poolt osutatavate elutähtsate teenuste osutamist ja mõjutada otseselt ühiskonna toimimist. Kui tervishoiuasutuse (nt haigla) teenused peatatakse, võib see ohustada patsientide elu ja tervist. Teenuste ajutine peatamine võib põhjustada pikaajalisi häireid, mille taastamine võib olla ressursimahukas ja tuua tervishoiuasutustele kaasa ettenägematuid kulutusi.
Eelnõu § 14 lõike 13 punkt 2 võib tekitada juhtimislünki, eriti väiksemates asutustes, kus juhtimisstruktuuride asendusmaatriks on kirjeldamata või asendusmaatriksi olemasolu ei ole võimalik tagada.
Eelnõu § 14 lõike 14 punkt 1 võib kaasa tuua olukorra, kus teenuste ajutine peatamine võib häirida elutähtsate funktsioonide osutamist. Küberturvalisuse meetmete rakendamine (sh puuduste kõrvaldamine) võib olla tehniliselt keerukas, kulukas ja ajamahukas ning seda eriti väiksemate asutuste puhul. Piiratud ressurssidega organisatsioonidel võib puuduste kõrvaldamiseks kuluda oluliselt rohkem aega, mis pikendab teenuste või volituste peatamise perioodi ja võib kaasa tuua täiendavat finantskoormust ja mainekahju. Lisaks tekib ebaselgus, kuidas tagada asutuses turvameetmete rakendamine ja puuduste kõrvaldamine olukorras, kus asutuse vastutava juhi volitused on peatatud.

Palume arvestada meie esitatud tähelepanekute ja muudatusettepanekutega, et tagada küberturvalisuse seadusandluse selgus ja rakendatavus.


Lugupidamisega

/allkirjastatud digitaalselt/

Urmas Sule
Juhatuse esimees