Vastuskiri

Pikk 61 / 15065 Tallinn / 612 5008 / [email protected] / www.siseministeerium.ee

Registrikood 70000562

Majandus- ja Kommunikatsiooniministeerium Teie: 30.05.2023 nr MKM/23-0714/-1K

Meie: 19.06.2023 nr 1-7/125-4

Vastuskiri

Väliskaubandus- ja infotehnoloogia minister esitas kooskõlastamisele määruse "Küberintsidentide registri põhimäärus" eelnõu.

Siseministeerium kooskõlastab eelnõu märkustega.

Küberintsidentide registri põhimäärus luuakse küberturvalisuse seaduse (KüTS) § 13 alusel. Seaduses ja määruses on sätestatud eesmärkideks küberintsidentide üle arvestuse pidamine ja intsidentide analüüsimine nende lahendamiseks, ohuteadete edastamiseks ning järelevalve -

toimingute teostamiseks. Siseministeeriumi hinnangul on register ka meie haldusala asutustele nii kuritegevuse kui sisejulgeoleku ohtude tõkestamiseks potentsiaalselt väga oluliseks

tööriistaks.

1. Kui andmekogu, antud juhul register, asutatakse seaduse alusel siis ei ole tegu

andmetega, millel on informatiivne tähendus. Andmeid kasutatakse ja edastatakse lisaks RIA enda ülesannete täitmiseks ka teiste asutuste ülesannete täimiseks (§ 11 lg 3 ja 5).

Siseministeeriumi hinnangul on väga oluline see, et eelnõus on julgeolekuasutuste ja politseiasutuste õigus registrist teavet saada väga oluline ning seetõttu on selle selge

sõnastus väga tervitatav. Eelnõu märkuste tabeli punkti 5 juures on märkusega arvestamise selgituses toodud, et eelnõus sätestatud julgeolekuasutuste ja

politseiasutuste õigus saada registris teavet päringute põhiselt, kui teave on vajalik nende ülesannete täitmiseks.

Siseministeeriumi hinnangul on päringute põhiselt teabe saamine segadusttekitav. Seda seetõttu, et eelnõust endast see välja ei tule. Selguse huvides palume päringute põhiselt

teabe saamist täpsemalt selgitada. Lisaks peab Siseministeerium oluliseks välja tuua, et päringute põhine teabe saamine ei taga Siseministeeriumi hinnangul operatiivset ja laiaulatuslikku teabevahetust.

2. Siseministeerium palub selgitada, milliseid infoturbemeetmeid rakendatakse antud

registrile? Küsimus on tingitud asjaolust, et tegemist on keskmisest tunduva lt konfidentsiaalsema registriga ja kogu riigi info on ühes kohas koos.

3. Käesoleva määruse eelnõu § 9 lg 1 ja lg 3 on toodud loetelu registritoimingutest ja andmetest mida toimingute kohta kogutakse. Eelnõu § 9 lg 4 sedastab, et

registritoimingute kohta kogutud andmeid säilitatakse üks aasta. Eelnõu seletuskirjas on

2 (3)

selgitatud, et täpsem teave registritoimingute säilitamise kohta on reguleeritud asutuse sisemistes töökorralduse dokumentides ja säilitamise peamiseks eesmärgiks on andmete õiguspärase kasutamise kontroll.

Juhul, kui registriandmetega on tehtud toiming (mh. kandmine, vaatamine, muutmine)

siis andmed vastava toimingu kohta kustutatakse 1 aasta pärast ja sellest hetkest hilisem kontroll ei võimalda enam tuvastada mis toimingut on toestatud, kelle poolt ja kas see oli ka põhjendatud.

Siseministeerium leiab, et 1 aasta registritoimingu kohta andmete säilitamine ei ole

piisav selleks, et teostada registris hoitavate andmete õiguspärase kasutamise kontrolli ning tagada konfidentsiaalsus.

Arvestades, et andmeid intsidendi kohta hoitakse registris 5 aastat teeb Siseministeerium ettepaneku hoida intsidendiga seotud toimingute andmeid vähemalt 1

aasta peale intsidendi registrist kustutamist. Nii on tagatud andmed kõikidest toimingutest, mis on seotud registrikandega/intsidendiga.

4. Arvestades registris hoitavate andmete konfidentsiaalsust ja väärtust, teeb Siseministeerium ettepaneku kehtestada pikem säilitustähtaeg, kui seda on eelnõu

§ 12 lõikes 1 sätestatud viis aastat. Erinevalt seletuskirjas toodule ei ole Siseministeeriumi hinnangul viis aastat piisavalt pikk aeg, et olulisemad seosed võiksid välja tulla ning sellest teabest lähtuvalt saab anda täiendavaid ohuhinnanguid või teha

ohuteateid.

5. Siseministeeriumi hinnangul jääb küsitavaks, kuidas hakkab toimuma andmete sisestamine registrisse. Senise praktika valguses edastab asutus e-kirja teel info RIA aadressile [email protected] ja siis RIA töötaja kannab (copy/paste) need registrisse.

Siseministeeriumi hinnangul on küsitav, kas selline käsitöö on jätkusuutlik?

Eelnõus ei ole ettenähtud, et loodav register oleks liidestatud infosüsteemide

andmevahetuskihiga (edaspidi X-tee). Märkuste tabelis toodud selgituse kohaselt on register mõeldud ametkondlikuks kasutamiseks ehk eelkõige RIA ülesanne te

täitmiseks. Tegemist on töövahendiga, mis lihtsustab RIA ülesannete täitmist, mistõttu selle X-teega liidestamine ei ole vajalik. Siseministeeriumi hinnangul muudaks regis tri X-teega liidestamine tehtavate toimingute tegemise turvalisemaks. Sellega seoses palub

Siseministeerium täiendavalt hinnata ja kaaluda registri X-teega liidestamist. Siseministeerium palub selgitust, kui leitakse, et registri X-teega liidestamine ei ole vajalik.

6. Siseministeerium palub selgitada eelnõu § 7 lg 1 p 5 osas, kui detailselt teavet kantakse

toodud sätte puhul registrisse?

Lugupidamisega

(allkirjastatud digitaalselt)

Lauri Läänemets siseminister

3 (3)

Viljar Kalvik 6125018

[email protected]