Arvamuse edastamine



Pr. Liisa-Ly Pakosta
justiits- ja digiminister
Justiits- ja Digiministeerium Meie 02.02.2026 nr 15/1-4




Eesti Põllumajandus-Kaubanduskoja seisukoht määruse „Küberintsidendist teavitamisel esitatavad andmed ja teavitamise kord“ eelnõule

Täname võimaluse eest esitada tagasisidet määruse „Küberintsidendist teavitamisel esitatavad andmed ja teavitamise kord“ eelnõule, mis kehtestatakse küberturvalisuse seaduse alusel.
Mõistame vajadust sätestada küberintsidentidest teavitamise kord selgete ja üheselt mõistetavate tingimuste alusel. See on eriti oluline arvestades, et küberintsidente on viimastel aastatel esinenud kõikides sektorites sh ka põllumajanduse ja toidutootmisega tegelevates ettevõtetes. Toidutootjad, kes sõltuvad ulatuslikest IT-süsteemidest, automatiseeritud tootmisprotsessidest ning andmevahetusest, peavad uutele nõuetele vastamiseks pöörama senisest enam tähelepanu küberturvalisuse tagamisele, mis omakorda toob kaasa täiendavaid ja märkimisväärseid kulusid.
Kuigi peame küberturvalisuse tagamist oluliseks ning mõistame vajadust saada asjakohast teavet toimunud intsidentide kohta, soovime juhtida tähelepanu mitmele probleemile, mis puudutavad eelnõus sätestatud teavituskohustuse ulatust ja selgust.
Esiteks jääb eelnõust ebaselgeks, millistele konkreetsetele kriteeriumidele vastavat intsidenti tuleb käsitada „olulise küberintsidendina“. Määratlus on liiga üldine ega võimalda ettevõtjatel ja asutustel piisava kindlusega hinnata, millisel juhul teavitamiskohustus tekib. Selline ebaselgus võib praktikas viia kas ületeavitamiseni või vastupidi – tahtmatute rikkumisteni.
Teiseks tekitab küsimusi eelnõus ette nähtud mitmekordne teavitamiskohustus ühe ja sama intsidendi kohta. Ei ole arusaadav, miks on vajalik esitada sama intsidendi puhul mitu eraldiseisvat teadet eri etappides, eriti olukorras, kus intsidendi sisu ja mõju ei pruugi vahepeal sisuliselt muutuda. Selline lähenemine suurendab põhjendamatult halduskoormust ega toeta küberturvalisuse tõhusat juhtimist.

Leiame, et ühekordne, sisuline ja hästi struktureeritud teavitus oleks piisav ning eesmärgipärasem. Samuti peaks lõpparuande koostamine ja intsidendi põhjalikum analüüs olema selgelt määratletud Riigi Infosüsteemi Ameti vastutusalasse kuuluvaks, mitte täiendavaks kohustuseks teavitajale.

Kokkuvõtvalt peame vajalikuks teavituskohustuse selgemat määratlemist ning selle mahu vähendamist, et vältida põhjendamatut bürokraatiat ja tagada regulatsiooni praktiline ning proportsionaalne rakendatavus.

Lugupidamisega
/allkirjastatud digitaalselt/


Meeli Lindsaar
Toiduvaldkonna juht
Eesti Põllumajandus-Kaubanduskoda



Pr. Liisa-Ly Pakosta
justiits- ja digiminister
Justiits- ja Digiministeerium Meie 02.02.2026 nr 15/1-4




Eesti Põllumajandus-Kaubanduskoja seisukoht määruse „Küberintsidendist teavitamisel esitatavad andmed ja teavitamise kord“ eelnõule

Täname võimaluse eest esitada tagasisidet määruse „Küberintsidendist teavitamisel esitatavad andmed ja teavitamise kord“ eelnõule, mis kehtestatakse küberturvalisuse seaduse alusel.
Mõistame vajadust sätestada küberintsidentidest teavitamise kord selgete ja üheselt mõistetavate tingimuste alusel. See on eriti oluline arvestades, et küberintsidente on viimastel aastatel esinenud kõikides sektorites sh ka põllumajanduse ja toidutootmisega tegelevates ettevõtetes. Toidutootjad, kes sõltuvad ulatuslikest IT-süsteemidest, automatiseeritud tootmisprotsessidest ning andmevahetusest, peavad uutele nõuetele vastamiseks pöörama senisest enam tähelepanu küberturvalisuse tagamisele, mis omakorda toob kaasa täiendavaid ja märkimisväärseid kulusid.
Kuigi peame küberturvalisuse tagamist oluliseks ning mõistame vajadust saada asjakohast teavet toimunud intsidentide kohta, soovime juhtida tähelepanu mitmele probleemile, mis puudutavad eelnõus sätestatud teavituskohustuse ulatust ja selgust.
Esiteks jääb eelnõust ebaselgeks, millistele konkreetsetele kriteeriumidele vastavat intsidenti tuleb käsitada „olulise küberintsidendina“. Määratlus on liiga üldine ega võimalda ettevõtjatel ja asutustel piisava kindlusega hinnata, millisel juhul teavitamiskohustus tekib. Selline ebaselgus võib praktikas viia kas ületeavitamiseni või vastupidi – tahtmatute rikkumisteni.
Teiseks tekitab küsimusi eelnõus ette nähtud mitmekordne teavitamiskohustus ühe ja sama intsidendi kohta. Ei ole arusaadav, miks on vajalik esitada sama intsidendi puhul mitu eraldiseisvat teadet eri etappides, eriti olukorras, kus intsidendi sisu ja mõju ei pruugi vahepeal sisuliselt muutuda. Selline lähenemine suurendab põhjendamatult halduskoormust ega toeta küberturvalisuse tõhusat juhtimist.

Leiame, et ühekordne, sisuline ja hästi struktureeritud teavitus oleks piisav ning eesmärgipärasem. Samuti peaks lõpparuande koostamine ja intsidendi põhjalikum analüüs olema selgelt määratletud Riigi Infosüsteemi Ameti vastutusalasse kuuluvaks, mitte täiendavaks kohustuseks teavitajale.

Kokkuvõtvalt peame vajalikuks teavituskohustuse selgemat määratlemist ning selle mahu vähendamist, et vältida põhjendamatut bürokraatiat ja tagada regulatsiooni praktiline ning proportsionaalne rakendatavus.

Lugupidamisega
/allkirjastatud digitaalselt/


Meeli Lindsaar
Toiduvaldkonna juht
Eesti Põllumajandus-Kaubanduskoda