Vastus selgitustaotlusele

Tere!

Edastan selgitused teie 26. jaanuari pöördumises esitatud küsimustele:

1. Kas oskate öelda, mida tähendab „andmetöötlusressursside kogum, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata“? Mõni näide mida selle all mõeldakse?

2. Kas kuskil on lahti kirjutatud pilvandmetöötlusteenuse mõiste? Kui mitte, siis mis on selle sisu? Kas see, et saadame oma andmeid mõnest enda infosüsteemist kuhugi pilveteenusesse, seal midagi toimub nende andmetega/luuakse väärtus/töödeldakse ja toome siis oma rakendusse tagasi? Või tähendab see midagi muud?

Vastus kahele eelnevale küsimusele:

Küberturvalisuse seaduse § 2 punkt 7 pakub pilvandmetöötlusteenuse definitsiooni, mille kohaselt on see infoühiskonna teenus, mis võimaldab juurdepääsu andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata. Tegemist on teenusega, mille puhul andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil, seejuures osapooled ei viibi üheaegselt samas kohas. KüTS-i termin on üle võetud Euroopa Parlamendi ja nõukogu direktiivist (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus (edaspidi NIS-i direktiiv,  vt nt põhjenduspunkt 17). 

KÜTS-i seletuskirjas on terminit „andmetöötlusressursside kogumile, mis on paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata“ täiendavalt selgitatud: „Andmetöötlusressursid hõlmavad selliseid ressursse nagu võrgud, serverid või muu taristu, hoidlad, rakendused ja teenused. Mõistet „paindlik kogum“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt nõudlusele, et kiiresti suurendada või vähendada kättesaadavaid ressursse vastavalt töökoormusele. Mõistet „jagatav“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse paljudele kasutajatele, kellel on ühine juurdepääs teenusele, kuid andmete töötlemine toimub eraldi iga kasutaja jaoks, kuigi teenust osutatakse samade elektrooniliste seadmete abil.“

Seega on määruse termin „andmetöötlusressursside kogum, mis on paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata“ ning ’pilveandmetöötlusteenus’ sisult sama teenus, vahe määruse mõistes seisneb selles, et lg 1 juhul pakub seda „kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik“ ja lg 2 juhul erapakkuja. Seega, kokkuvõtvalt on määrus kohaldatav igas olukorras, kus andmed edastatakse pilveteenusesse, kui tegemist on avaliku teabega, sh juhul, kui avaliku teavet soovitakse töödelda pilveandmetöötlusteenuse pakkuja kaudu, kes osutab teenust majandustegevuse raames. Siinjuures ei ole vahet, kas teenust pakutakse tasu eest või tasuta.

3. Nüüd selleks, et mõista, kas ja millistele meie enda infosüsteemidele see määrus kohaldub, siis lugedes § 1 (1) 1) kohta on öeldud, et see tähendab avaliku sektori osutatavat pilvteenuse kasutamist. Kas siia alla läheb see: 

1. kui me tahame andmeid töödelda KOV või riigi  osutatavas pilves olevas lahenduses/infosüsteemis? 

Jah, §1 lg 1 punkti üks all on mõeldud andmetöötlusressursside kogumeid, millele pakub juurdepääsu kohaliku omavalitsuse üksus või KüTS-i § 3 lõike 4 punktides 12 ja 13 nimetatud asutus või isik.

2. Või hoopis see, et kui me oleme ise loonud infosüsteemi ja hoiame/tahame hoidma hakata seda näiteks Azure pilves? 

 Tegemist on pilvandmetöötlusteenuse kasutusele võtmisega avaliku teabe töötlemiseks, see läheb § 1 lg1 punkti 2 alla.

4. § 1 (3) 1) – kas see hoopiski tähendab, et kui me kasutame mingite infosüsteemide majutamiseks Azure pilve, siis neile infosüsteemidele määrus ei kohaldu ehk neist infosüsteemidest ei ole vaja teavitada? 

Ei, selline andmetöötlus kuulub § 1 lg 1 p 2 alusel määruse kohaldamisalasse. Lõikes 3 punktis 1 on peetud silmas välislepinguid välissuhtlemisseadus § 3 p 2 tähenduses („Eesti Vabariigi ja välisriigi või rahvusvahelise organisatsiooni kahe- või mitmepoolne ühest või mitmest dokumendist koosnev kirjalik kokkulepe, mida reguleeritakse rahvusvahelise õigusega“). Näiteks võib siin tuua EL või NATO poolt pakutava juurdepääsuga andmeresursside kogumid.   Azure on erasektori pakutav teenus ja selle kasutamiseks ei ole sõlmitud riikidevahelisi lepinguid.

Lugupidamisega

www.ria.ee