Eesti lisab küberõigusesse napilt toimumata intsidentid ja 3-aasta auditid

Eesti küberturvalisuse seadus on saanud uue sõnavara peaaegu toimunud intsidentide jaoks ning uued auditivolitused nende üksuste üle, kes seisakut kõige vähem endale lubada saavad.

Konsolideeritud akt, mis on avaldatud aadressil https://www.riigiteataja.ee/akt/106102026002, määratleb uuesti mõiste "küberintsident"Riigiteataja. Kui vana määratlus hõlmas mis tahes sündmust võrgu- ja infosüsteemis, mis ohustab või kahjustab selle turvalisustRiigiteataja, hõlmab uus sündmust, mis kahjustab salvestatavate, edastatavate või töödeldavate andmete või võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste kättesaadavust, autentsust, terviklust või konfidentsiaalsustRiigiteataja. Selle kõrvale tuleb uus määratletud mõiste "napilt toimumata jäänud küberintsident"Riigiteataja: sündmus, mis oleks võinud sellist kahju põhjustada, kuid mis õnnestus ära hoida või mis ei tekkinudRiigiteataja.

Napilt toimumata jäänud intsidentide kategooria läbib seaduse koostöö- ja registripidamise mehhanisme. Teenuseosutajad ja muud isikud võivad nüüd Riigi Infosüsteemi Ametit napilt toimumata jäänud küberintsidentidest vabatahtlikult teavitada intsidentide, turvahaavatavuste ja ohtude kõrvalRiigiteataja uue vabatahtliku teavitamise § 8¹ alusel; amet menetleb neid teateid §§ 8 ja 12 korras. Ameti kvartaalne koondaruanne Euroopa Liidu Küberturvalisuse Ametile hõlmab nüüd samuti napilt toimumata jäänud küberintsidente. Ameti peetav intsidentide register kajastab napilt toimumata jäänud küberintsidente sama eesmärgi, teataja andmete ja säilitamisloogikaga nagu muid intsidenteRiigiteataja ning amet vahetab nende kohta teavet elutähtsat teenust korraldavate asutuste, Päästeameti ja Riigikantseleiga ning teiste seaduses nimetatud asutustega. Teenuseosutajad ja muud isikud võivad napilt toimumata jäänud intsidentide teavet omavahel vabatahtlikult vahetada samadel tingimustel nagu muud küberturvalisuse teavet.

Ülioluliste üksuste järelevalve saab kaks auditiinstrumenti.Riigiteataja Riigi Infosüsteemi Amet võib üliolulise üksuse suhtes tellida vajaduspõhise turvaauditiRiigiteataja, mille ajendiks võib muu hulgas olla olulise mõjuga küberintsident või seaduses, selle alusel või direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuete rikkumine. Amet saab ka õiguse teha üliolulise üksuse suhtes regulaarseid turvaauditeid kord kolme aasta jooksul, välja arvatud juhul, kui üksus on juba kohustatud regulaarselt auditeerima § 7 lõike 5 alusel kehtestatud küberturvalisuse nõuete täitmise raames.Riigiteataja Ülioluliste üksuste varasem pisteline järelevalve muutub pisteliseks kontrolliks, auditi ajendid liiguvad uude vajaduspõhise auditi punkti. Mõiste "sihipärane turvaaudit" nimetatakse ümber mõisteks "turvaaudit", sisu säilib, mõiste "turvalisuse kontroll" määratlus kustutatakse ning paragrahvi number jääb tühjaks.

Kaks viidet langeb ära § 7 lõike 7 kustutamisega – lõige, mis suunas määratud teenuseosutajad direktiivi (EL) 2022/2555 artikli 21 lõike 5 alusel vastu võetud rakendusaktile. Ülioluliste ja oluliste üksuste karistussätted, mis näevad § 7 lõigete 1, 2, 3, 5 või 7 rikkumise eest ette rahatrahvi vastavalt kuni 10 miljonit ja 7 miljonit eurot, viitavad nüüd § 7 lõigetele 1, 2, 3 või 5, nii et kustutatud lõike rikkumine ei kuulu enam rahatrahvi ulatusse.

Eesti kohaldamisalasse kuuluvate teenuseosutajate vastavustiimide jaoks on praktilised tagajärjed kolmekordsed: viige intsidentide liigitus vastavusse kahjupõhise määratlusega ning hakake ärahoitud sündmusi napilt toimumata jäänud intsidentidena logima, millest saab vabatahtlikult teavitada; arvestage, et teavitusele järgnevad registri- ja teabevahetuse tagajärjed kohalduvad ka neile napilt toimumata jäänud intsidentidele; ning ülioluliste üksuste puhul planeerige võimalikke kolmeaastaseid auditeid koos vajaduspõhise auditi võimalusega pärast olulise mõjuga intsidenti või nõuete rikkumist.

Õiguslik alus: Küberturvalisuse seadus, §§ 2–3 (mõisted), § 7 lõike 7 kustutamine, §§ 8–8¹ teavitamiskohustused, § 13 register ning järelevalve- ja karistussätted konsolideeritud kujul aadressil https://www.riigiteataja.ee/akt/106102026002; direktiiv (EL) 2022/2555, artiklid 21 lõige 5 ja 23 lõige 11.