20 § muudetud+4126 sõna lisatud−2096 sõna eemaldatud
§ 1Seaduse reguleerimis- ja kohaldamisalamuudetud
(1) Käesolev seadus sätestab: 1) ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste, sealhulgas avaliku sektori üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ja järelevalve ning järelevalve; 2) küberintsidentide ennetamisekäsitlemise alused ja nõuded turvahaavatavuse ning küberohtudega tegelemiseks; 3) ulatusliku küberintsidendi ja kriisi ennetamise ning lahendamise alusednõuded; 4) küberturvalisuse valdkonnas toimuva koostöö, teabevahetuse ja vastastikuse hindamise nõuded; 5) küberturvalisuse valdkonna pädevad asutused ja piiriüleste elektrivoogude valdkonnas küberturvalisuse järelevalvet tegeva pädeva asutuse määramise nõuded.
(2) Käesolevat seadust ei kohaldata: 1) riigisaladuse ja salastatud välisteabe töötlemisele ning sellise teabe töötlussüsteemide pidamisele; 2) Kaitseministeeriumi valitsemisalas rahvusvaheliseks sõjaliseks koostööks ja riigi sõjalise kaitse ettevalmistamiseks vajalike süsteemide pidamisele.
(; 3) Käesolevat seadust ei kohaldata digitaalse teenuse osutajale, kellel on majandusaasta jooksul keskmiselt alla 50 töötajaEesti Vabariigi diplomaatilistele
§ 2Terminidmuudetud
Käesolevas seaduses kasutatakse termineid järgmises tähenduses: 1) võrgu- ja infosüsteem (edaspidi süsteem)andmekeskusteenus – elektroonilise side võrk elektroonilise side seaduse § 2 punkti 8 tähendusesteenus, seademillega pakutakse selliseid struktuure või omavahel ühendatud või seotud seadmete rühmstruktuurirühmi, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsetemis on ette nähtud andmete automaatne töötleminetalletamiseks, või digitaalsed andmedtöötlemiseks ning edastamiseks kasutatavate infotehnoloogia- ja võrguseadmete keskseks majutamiseks, mida salvestatakseomavahel sidumiseks ja käitamiseks, töödeldakse, saadakse päringuga või edastatakse eelnimetatud komponentide poolt nende töö, kasutamise, kaitsmise või hooldamise jaoks
§ 3Teavitamiskohustus ja nimekirimuudetud
(1) TeenuseTeenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab Riigi Infosüsteemi Ametile käesoleva seaduse tähenduses on isik, kes kasutab süsteemi järgmiseltparagrahvi lõikes 2 nimetatud nimekirja koostamiseks vähemalt järgmise teabe: 1) hädaolukorra seaduses sätestatud elutähtsa teenuse osutaja elutähtsa teenuse osutamiselnimi ja registrikood; 2) raudteeseaduses sätestatud raudteetegevuskoha aadress ja ajakohased kontaktandmed, sealhulgas e-ettevõtjaposti aadressid, kes majandab avalikku raudteeinfrastruktuuri või kelle kaubaveo või reisijateveo turuosa on vähemalt 20 protsenti kaubaveo või reisijateveo turuosast avaliku raudtee toimimise ning raudteeveointernetiprotokolli aadresside vahemikud ja avaliku reisijateveo toimimise teenuse osutamiseltelefoninumbrid
§ 4Nõuete ja kohustuste esmakordne täitminemuudetud
(1) DigitaalseTeenuseosutaja ja domeeninimede registreerimise teenuse osutaja täidab käesoleva seaduse tähenduses on infoühiskonna teenuse seaduses§ 31 lõikes 1 sätestatud infoühiskonnakohustuse kolme kuu jooksul teenuseosutaja või domeeninimede registreerimise teenuse osutaja, kes: 1) pakub internetipõhist kauplemiskohta; tunnustele vastavuse tekkimisest arvates.
(2) pakub internetipõhist otsimootorit või 3) osutab pilvandmetöötlusteenustDigitaalse teenuse osutaja täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates.
(23) Eestis teenust osutavTeenuseosutaja, kuid väljaspool Euroopa Liitu asutatud
§ 5Piiriüleste elektrivoogude valdkonna küberturvalisuse järelevalvet tegev pädev asutusmuudetud
(1) Euroopa Parlamendi ja nõukoguKomisjoni delegeeritud määruse (EL) 20212024/8871366, millega luuakse küberturvalisuse valdkonna tööstuse, tehnoloogia ja teadusuuringutetäiendatakse Euroopa pädevuskeskusParlamendi ja nõukogu määrust (EL) 2019/943 ning riiklike koordineerimiskeskuste võrgustikkehtestatakse võrgueeskiri piiriüleste elektrivoogude küberturvalisust käsitlevate sektoripõhiste normide kohta (ELT L 202, 082024/1366, 24.0605.
§ 6Teenuseosutaja juhatuse liikme kohustusedmuudetud
Küberturvalisuse tagamisel arvestatakse järgmisi põhimõtteid: (1) isiklikkuse põhimõte – süsteemi turvalisuse tagamist korraldab teenuse osutaja; Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest. Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja asjaomase juhatuse liikme või juhatuse liikmete nime ja kontaktandmed. Vastutava juhatuse liikme määramise kohustust ei kohaldata teenuseosutajale, kellel on üks juhatuse liige.
(2) tervikliku kaitse põhimõte – teenuse osutaja teeb kindlaks võimalikud ohud süsteemile ning rakendab süsteemi kaitseks kohaseid korralduslikkeKäesoleva paragrahvi lõikes 1 nimetatud teenuseosutaja juhatuse liige läbib korrapäraselt koolitusi eesmärgiga omandada piisavad teadmised ja tehnilisi abinõusid; 3) kahjuliku mõju vähendamise põhimõte – teenuse osutaja rakendab küberintsidendi korral vajalikku hoolsust ja abinõusidoskused, et vältida küberintsidendi mõju laienemistmõista ja võimalikku levikut teisele süsteemilehinnata riske, nende mõju teenuseosutaja teenustele
§ 7Teenuseosutaja süsteemi turvameetmedmuudetud
(1) Teenuse osutaja peab rakendamaTeenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et: 1) küberintsidendi ennetamisekshallata riske, mis ohustavad teenuseosutaja tegevuses või teenuse osutamisel kasutatava süsteemi turvalisust, sealhulgas koostab vastava riskianalüüsi; 2) ennetada või minimeerida küberintsidendi lahendamiseksmõju teenuseosutaja osutatava teenuse saajale ja muule teenusele; 3) küberintsidendi tõttu teenuse toimepidevuseleennetada küberintsidenti või süsteemi turvalisusele avalduva mõju ennetamisekssee tuvastada ja leevendamiseks või teise sõltuva teenuse toimepidevusele või süsteemi turvalisusele avalduda võiva mõju ennetamiseks ja leevendamisekslahendada
§ 8Vabatahtlik teavitaminemuudetud
(1) Teenuse osutaja teavitab Riigi Infosüsteemi Ametit viivitamata, kuid hiljemalt 24 tundi pärast teada saamist küberintsidendistvõib: 1) millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju; 2) mille oluline mõju süsteemi turvalisusele või teenuse toimepidevusele ei ole ilmne, kuid seda võib mõistlikult eeldada. 1 (1¹) Kui teenuse osutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuse osutaja selle eest, et teine isik teavitab teenuse osutajat hiljemalt 24 tundi pärast käesoleva paragrahvi lõikes 1 nimetatudteenuseosutaja teavitada küberintsidendist teada saamist.
(2) Küberintsidendil on oluline mõju, kui on täidetud vähemalt üks järgmistest tingimustest: 1) küberintsidendi mõju on käesoleva seaduse § 7 lõike 2 punkti 1 alusel koostatud süsteemi riskianalüüsis määratud tagajärgede raskusastme kohaselt vähemalt rasketurvahaavatavusest ja küberohust; 2) küberintsidendi tõttu ei ole teenuse osutamist võimalik jätkata teenustaseme kokkuleppes või teenuse toimepidevuse nõuetes sätestatud teenuse maksimaalse lubatud katkestuse aja möödumisel; 3) küberintsidendi tõttu on häiritud teise teenuse osutaja teenuse toimepidevus; 4) küberintsidendi lahendamiseks tuleb rakendada käesoleva seaduse § 7 lõike 2 punkti 1 alusel koostatud süsteemi riskianalüüsis või selle olemasolul muus teenuse toimepidevuse või süsteemi turvalisuse taastamist kirjeldavas dokumendis toodud erakorralisi abinõusid; 5) teenuse osutajale, teise teenuse osutajale või teenuse kasutajatele on küberintsidendi tõttu tekkinud või võib tekkida märkimisväärne kahju.
(3) Kui küberintsidendi tagajärjel on teenuse või teise teenuse osutamine häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati
§ 10Digitaalse teenuse osutaja süsteemi turvameetmedmuudetud
(1) Digitaalse teenuse osutaja on kohustatud tegema kindlaks riskid, mis ohustavad süsteemi turvalisust, ja neid analüüsima ning rakendama riskide juhtimiseks kohaseid korralduslikke ja tehnilisi meetmeid.
(2) Süsteemi turvalisuse tagamise meetmete valikul tuleb arvestada: 1) tehnilise taristu turvalisust; 2) küberintsidendi ennetamist, tuvastamist ja lahendamist; 3) toimepidevuse haldamist; 4) seiret, auditeerimist ja testimist; 5) rahvusvahelistele standarditele vastavust.
(3) Käesoleva paragrahvi lõike 2 rakendamisel on digitaalse teenuse osutaja kohustatud juhinduma Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 artikli 16 lõike 8 alusel antud Euroopa Komisjoni rakendusmäärusest.
(4) Digitaalse teenuse osutaja rakendab asjakohaseid meetmeid, et võimalikult vähendada küberintsidendi mõju osutatava teenuse toimepidevusele.
(1) Digitaalse teenuse osutaja teavitab pädevat asutust või küberturbe intsidentide lahendamise üksust küberintsidendist, millel on oluline mõju osutatavale digitaalsele teenusele, viivitamata pärast küberintsidendist teada saamist.
(2) Teade tuleb esitada selle liikmesriigi pädevale asutusele või küberturbe intsidentide lahendamise üksusele, kus on: 1) digitaalse teenuse osutaja asutatud; 2) kontserni puhul asutatud kontserni emaettevõtja või 3) kolmandast riigist pärit ettevõtja määratud esindaja.
(3) Küberintsidendist teavitamisel lähtutakse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 artikli 16 lõike 8 alusel antud Euroopa Komisjoni rakendusmääruses sätestatud kriteeriumidest.
(4) Teade peab sisaldama teavet, mis võimaldab pädeval asutusel või küberturbe intsidentide lahendamise üksusel küberintsidendi piiriülest mõju kindlaks teha.
(5) Kui küberintsidendil on oluline mõju digitaalse teenuse toimepidevusele teises liikmesriigis, teavitab Riigi Infosüsteemi Amet digitaalse teenuse osutaja esitatud teabe põhjal mõjutatud liikmesriiki.
(6) Kui küberintsidendi ennetamiseks või käimasoleva küberintsidendi lahendamiseks ja avalikes huvides on vajalik avalikkuse teavitamine, võib Riigi Infosüsteemi Amet pärast digitaalse teenuse osutaja informeerimist teavitada küberintsidendist avalikkust või kohustada seda tegema digitaalse teenuse osutajat.
(7) Käesoleva paragrahvi lõiget 1 ei kohaldata, kui digitaalse teenuse osutajal puudub küberintsidendi mõju olulisuse tuvastamiseks teave.
§ 12Ulatusliku küberintsidendi ja kriisi ennetamine ning lahendaminemuudetud
(1) Küberturvalisuse tagamist ningUlatusliku küberintsidendi ja kriisi ennetamisele ning lahendamisele kohaldatakse käesoleva seaduse §-s 12 ning muudes kriisi ennetamist ja lahendamist käesolevas seaduses sätestatud ulatuses koordineerib Riigi Infosüsteemi Ametreguleerivates valdkondlikes seadustes sätestatut.
(2) Riigi Infosüsteemi Amet teostab küberturvalisuse tagamiseks Eesti internetiprotokolli aadressiruumis olevate: 1) koostab ning Eesti maatunnusega seotud domeenide vaatlust, analüüsib süsteemide turvalisust ohustavaid riske ning nende mõju riigile, ühiskonnalevõtab vastu ulatuslike küberintsidentide ja süsteemide turvalisusele.
kriiside lahendamise kava (3edaspidi kava) Riigi Infosüsteemi Amet edastab isikutele küberintsidendi ennetamiseks ja lahendamiseks ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid.
§ 14Riikliku ja haldusjärelevalve tegeminemuudetud
(1) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides sätestatud nõuete täitmise üle teeb riiklikku ja haldusjärelevalvet Riigi Infosüsteemi Amet.
(2) Riiklikku järelevalvet digitaalse teenuse osutajale käesoleva seaduse §-dega 10 ja 11 kehtestatud nõuete täitmise üle tehakse juhul, kui Riigi Infosüsteemi Ametit teavitatakse, et nimetatud nõudeid ei täida: 1) digitaalse teenuse osutaja, kes on asutatud Eestis; 2) kontserni kuuluv digitaalse teenuse osutaja, kelle emaettevõtja on asutatud Eestis; 3) kolmanda riigi digitaalse teenuse osutaja, kellel on Eestis esindaja.
(3) 4
(4) Tarbijakaitse ja Tehnilise Järelevalve Amet teeb riiklikku ja haldusjärelevalvet Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 58 lõikes 7 sätestatud ulatuses.
(5) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides julgeolekuasutuse süsteemidele sätestatud nõuete täitmise üle teeb haldusjärelevalvet asjakohane julgeolekuasutus. Haldusjärelevalvet tegevale julgeolekuasutusele kohaldatakse käesoleva seaduse § 17 lõikeid 11–3.
(6) Riigi Infosüsteemi Amet: 1) võib järelevalve tegemisel prioriseerida käesolevas seaduses sätestatud ülesannete täitmist, arvestades riski- või ohuprognoosipõhist lähenemisviisi; 2) teeb üliolulise üksuse suhtes riiklikku ja haldusjärelevalvet; 3) teeb olulise üksuse suhtes riiklikku ja haldusjärelevalvet järelkontrollina, kui järelevalveasutusel on alust arvata, et oluline üksus ei järgi käesolevas seaduses ning ennekõike käesoleva seaduse §-des 7 ja 8 sätestatud nõudeid.
(7) Riikliku ja haldusjärelevalve meetme kohaldamisel võetakse arvesse iga üksikjuhtumi asjaolusid, ennekõike: 1) rikkumise raskust ja rikutud nõuete olulisust; 2) rikkumise kestust; 3) asjaomase teenuseosutaja varasemaid asjasse puutuvaid rikkumisi; 4) põhjustatud varalise või mittevaralise kahju, sealhulgas rahalise või majandusliku kahju mõju teistele teenustele; 5) rikkumisest mõjutatud isikute arvu; 6) rikkumise toimepanija tahtlust või hooletust; 7) turvameetmeid, mida teenuseosutaja on võtnud varalise või mittevaralise kahju ennetamiseks või vähendamiseks; 8) kinnitatud tegevusjuhendite järgimise või kinnitatud sertifitseerimismehhanismide rakendamise seisu; 9) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse ning teenuseosutaja vahelist koostööd.
(8) Raskeks rikkumiseks käesoleva paragrahvi lõike 7 punkti 1 tähenduses loetakse järgmised rikkumised: 1) korduv rikkumine; 2) teenuseosutaja poolt käesoleva seaduse § 8 lõikes 1 sätestatud kohustuse täitmata jätmine; 3) olulise mõjuga küberintsidendi korral teenuseosutaja poolt intsidendi lahendamiseks turvameetmete kasutamata jätmine; 4) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse ettekirjutuses osutatud puuduste kõrvaldamata jätmine; 5) rikkumise tuvastamise järel käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse tellitud auditi tegemise või riikliku või haldusjärelevalve takistamine; 6) valeandmete või lubamatult ebatäpsete andmete esitamine seoses käesoleva seaduse §-s 7 sätestatud turvameetmete rakendamisega ja §-s 8 sätestatud olulise mõjuga küberintsidendist teatamisega.
§ 15Riikliku järelevalve erimeetmedmuudetud
(1) Korrakaitseorgan võib käesolevas seaduses sätestatud riikliku järelevalve tegemiseks kohaldada korrakaitseseaduse §-des 30, 31, 32, 49, 50 ja 51 sätestatud riikliku järelevalve erimeetmeid korrakaitseseaduses sätestatud alusel ja korras.
(2) Käesoleva seaduse §-de 7 ja 8 ning nende alusel kehtestatud õigusaktide või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuete täitmise üle riikliku järelevalve tegemisel võib korrakaitseorgan kohaldada lisaks käesoleva paragrahvi lõikes 1 nimetatud erimeetmetele ka korrakaitseseaduse §-s 52 sätestatud riikliku järelevalve erimeedet korrakaitseseaduses sätestatud alusel ja korras.
§ 16Riikliku järelevalve erisusedmuudetud
(1) Riigi Infosüsteemi Amet võib küberintsidendi korral vahetu kõrgendatud ohu tõrjumiseks või korrarikkumise kõrvaldamiseks süsteemi kasutamist või süsteemile juurdepääsu piirata, kui esinevad kõik järgmised tingimused: 1) küberintsident ohustab või kahjustab teise süsteemi turvalisust; 2) süsteemi haldaja ei saa või ei saa õigel ajal ise küberintsidendist lähtuvat kõrgendatud ohtu tõrjuda või korrarikkumist kõrvaldada; 3) küberintsidendist lähtuvat kõrgendatud ohtu ei saa tõrjuda ega korrarikkumist kõrvaldada vähem riivava meetmega; 4) küberintsidendist lähtuva kõrgendatud ohu tõrjumisega või korrarikkumise kõrvaldamisega ei tekitata isikule ebaproportsionaalset kahju. 1 (1¹) Riigi Infosüsteemi Ametil on riikliku järelevalve ülesannete täitmisel õigus teha: 1) teenuseosutaja suhtes kohapealset kontrolli ja kaugjärelevalvet, lähtudes käesoleva seaduse § 14 lõike 6 punktidest 2 ja 3, sealhulgas teha üliolulise üksuse suhtes pistelist järelevalvet, mis võib olla muu hulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõude rikkumisest; 2) teenuseosutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või auditeeritava teenuseosutaja tehtud riskihindamisel või muul kättesaadaval riskiteabel ning mille kulu kannab muudel kui käesoleva paragrahvi lõike 12 alusel kehtestatud määruses nimetatud juhtudel teenuseosutaja; 3) vajaduse korral koostöös asjaomase teenuseosutajaga objektiivsetel, mittediskrimineerivatel, õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle; 4) teenuseosutajale hoiatus, kui teenuseosutaja rikub käesolevat seadust, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet; 5) ettekirjutus, millega nõutakse ettekirjutuse saajalt sellise tegevuse või tava lõpetamist, millega rikutakse käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet, ning sama tegevuse või tava kasutamisest hoidumist; 6) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse §-s 7 sätestatud ning selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 alusel vastu võetud rakendusaktis sätestatud nõuete järgimist, ning käesoleva seaduse §-s 8 sätestatud teate esitamist nimetatud paragrahvis viidatud viisil ja määratud tähtajal; 7) ettekirjutus, millega nõutakse ettekirjutuse saajalt teavituse tegemist üksusele, kui üksusele ettekirjutuse saaja poolt pakutavat teenust või tegevust võib mõjutada oluline küberoht, esitades teavituses info olulise küberohu kohta ja võimaluse korral selgitused, millised meetmed saab mõjutatud üksus küberohule reageerimiseks kasutusele võtta; 8) ettekirjutus, millega nõutakse ettekirjutuse saajalt turvaauditi põhjal antud soovituste rakendamist mõistliku aja jooksul; 9) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõude rikkumise asjaolude avalikustamist ettekirjutuses ette nähtud viisil; 10) üliolulisele üksusele ettekirjutus, millega nõutakse, et ettekirjutuse saaja määraks konkreetseks perioodiks vastavushalduri, kes jälgib, kas ettekirjutuse adressaat täidab käesoleva seaduse §-des 7 ja 8 ning nende alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet. 1 (1²) Käesoleva paragrahvi lõike 11 punktis 2 nimetatud sihipärase turvaauditi korraldamise täpsemad tingimused ja korra, sealhulgas loetelu olukordadest, mille puhul Riigi Infosüsteemi Amet hüvitab teenuseosutajale turvaauditi kulu, ning turvaauditi kulu hüvitamise korra sätestab riikliku küberturvalisuse valdkonna eest vastutav minister määrusega. 1 (1³) Käesoleva paragrahvi lõike 11 punktis 5 nimetatud üliolulisele üksusele tehtud ettekirjutus võib sisaldada ka küberintsidendi ennetamiseks või heastamiseks ette nähtud turvameetmeid ning nõudeid turvameetmete rakendamise tähtaja ja rakendamisest teavitamise kohta.
(14) Kui käesoleva paragrahvi lõike 11 punktides 4–6 ja 8 nimetatud järelevalvemeede üliolulise üksuse suhtes ei anna tulemust, määrab Riigi Infosüsteemi Amet üliolulisele üksusele uue tähtaja puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks.
(15) Kui ülioluline üksus ei kõrvalda puudusi või ei täida Riigi Infosüsteemi Ameti nõudeid käesoleva paragrahvi lõike 14 alusel määratud tähtajaks, on Riigi Infosüsteemi Ametil õigus nõuda ettekirjutusega: 1) loa väljastajalt üliolulise üksuse kõigi või mõne osutatava asjaomase teenuse või tegevuse sertifikaadi või loa ajutist peatamist või vastava pädevuse olemasolul teha ise nimetatud toiminguid; 2) ülioluliselt üksuselt juhatuse liikme volituste ajutist peatamist.
(16) Käesoleva paragrahvi lõike 15 punktides 1 ja 2 sätestatud meetmeid kohaldatakse seni, kuni asjaomane ülioluline üksus võtab vajalikud meetmed puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks.
(17)
§ 17Vastastikune hindaminemuudetud
(1) Tarbijakaitse ja Tehnilise Järelevalve Amet lahendab Euroopa Parlamendi ja nõukogu määrusedirektiivi (EL) 20192022/8812555 artiklis 6319 sätestatud kaebuse hiljemalt 90vastastikuses hindamises (edaspidi vastastikune hindamine) osalemine on vabatahtlik. päeval kaebuse saamisest arvates.
(2) Kui käesoleva paragrahvi lõikes 1 nimetatud kaebuse lahendamiseks on vaja teha koostööd teise riigi riiklikuVastastikuse hindamise käigus hoiavad osalevad küberturvalisuse sertifitseerimise asutusegavaldkonna eksperdid kolmandate isikute eest saladuses neile vastastikuse hindamise käigus teatavaks saanud teavet,
(1) Euroopa Parlamendi ja nõukoguKomisjoni delegeeritud määruse (EL) 20192024/8811366 artikli 53 lõikes 2 sätestatud tingimustele mittevastava vastavusdeklaratsiooni väljastamise eest või artikli 55 lõikes15 lõike 1 alusel nimetatud teabe korral sama artikli lõikes 2seadusliku esindaja poolt samas määruses sätestatud nõuete rikkumise eest –karistatakse rahatrahviga kuni 200300 trahviühikut.
(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –karistatakse rahatrahviga kuni 2032 000 eurot.
§ 19Menetlusmuudetud
(1) Käesoleva seaduse §-s 18des 182–185 sätestatud väärteoväärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet.
(2) Kui käesoleva seaduse §-s 18des 182–185 sätestatud väärtegu on seotud isikuandmete töötlemise nõuete rikkumisega, kohaldatakse väärteomenetluse puhul isikuandmete kaitse seadust.
(3) Käesoleva seaduse §-s 181 sätestatud väärteo kohtuväline menetleja on Tarbijakaitse ja Tehnilise Järelevalve Amet.
(4) Käesoleva seaduse §-des 182–184 sätestatud väärtegude aegumistähtaeg on kolm aastat.
§ 20Riigi Infosüsteemi Ameti ülesandedmuudetud
(1) Riigi Infosüsteemi Amet tuvastabkoostab käesoleva seaduse § 331 lõikes 32 nimetatud teenuse osutajad 2018nimekirja kuue kuu jooksul viidatud lõike jõustumisest arvates. aasta 9
(2) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 31 lõigetes 5–7 nimetatud teabe kuue kuu jooksul viidatud lõigete jõustumisest arvates. novembriks
(3) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 12 lõike 41 kohase esimese koondaruande kolme kuu jooksul viidatud lõike jõustumisest arvates.
§ 21muudetud
-–
§ 28Teenuseosutaja tegevuse kooskõlla viimine käesoleva seadusega seoses Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 ülevõtmisegamuudetud
[Käesolevast tekstist välja jäetud](1) Teenuseosutaja, kes vastas enne käesoleva seaduse § 31 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab nimetatud lõikes sätestatud kohustuse kolme kuu jooksul viidatud lõike jõustumisest arvates.
(2) Digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 4 lõike 7 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul käesoleva seaduse § 4 lõike 7 jõustumisest arvates.
(3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 31 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse kolme aasta jooksul viidatud lõike jõustumisest arvates. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab teenuseosutaja nimetatud lõigetes määratud tähtajal.
(4) Elutähtsa teenuse osutaja, kellel tekkis esmakordselt käesoleva seaduse järgimise kohustus pärast 2024. aasta 18. oktoobrit ja kes vastas enne käesoleva seaduse § 31 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa teenuse osutaja nimetatud lõigetes määratud tähtajal.
kelle aasta bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades mikro
konsulaaresindustele kolmandates riikides ning nende võrgu
- ja
väikeste ettevõtjate määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-
infosüsteemidele
,
väikeste ja keskmise suurusega ettevõtjate määratlemise kohta (ELT L 124, 20
kui sellised süsteemid asuvad esinduse ruumides või kui neid käitatakse kolmanda riigi kasutajate jaoks
.
05.2003, lk 36–41
2 (2¹
)
Käesoleva paragrahvi lõikes 2 sätestatud erisust ei kohaldata usaldusteenuse osutajale
.
(
3)
4
(4
) Kui
teenuseosutaja
võrgu- ja infosüsteemi pidamise
ning küberintsidendist teavitamise
nõuded on
samaväärselt käesolevas seaduses sätestatuga
reguleeritud välislepinguga
, Euroopa Liidu õigusaktiga
või muu seadusega, kohaldatakse käesolevat seadust välislepingust
, Euroopa Liidu õigusaktist
või muust seadusest tulenevate erisustega.
(5) Käesolevas seaduses sätestatud haldusmenetlusele kohaldatakse haldusmenetluse seaduse sätteid, arvestades käesoleva seaduse erisusi.
sealhulgas kõiki elektrivarustuse ning majutuskeskkonna kontrolliga seotud vahendeid ja taristuid
; 2)
süsteemi turvalisus
digitaalse teenuse osutaja
–
süsteemi võime osutada vastupanu mis tahes tegevusele
üldnimetus
,
mis ohustab süsteemis töödeldavate andmete või
mille all mõeldakse domeeninimede
süsteemi
kaudu osutatavate või juurdepääsetavate teenuste käideldavust
teenuse osutajat
,
autentsust
tippdomeeninimede registri pidajat
,
terviklust ja konfidentsiaalsust; 2¹) turvameetmed – rakendatavad organisatsioonilised
vahendid andmete ja süsteemide turvalisuse saavutamiseks ning säilitamiseks
sotsiaalmeediaplatvormi pakkujat
; 3)
küberintsident – süsteemis toimuv sündmus, mis ohustab või kahjustab süsteemi turvalisust; 4)
digitaalse teenuse osutaja esindaja (edaspidi esindaja) – Euroopa Liidus asuv füüsiline või juriidiline isik, kes on määratud tegutsema väljaspool Euroopa Liitu asuva digitaalse teenuse osutaja nimel ja kelle poole võib
liikmesriigi pädev asutus või küberturbe intsidentide lahendamise üksus
Riigi Infosüsteemi Amet
pöörduda
seoses
digitaalse teenuse osutaja
asemel seoses digitaalse
kohustustega; 4) domeeninimede registreerimise
teenuse osutaja
kohustusega
– tippdomeeninimede registri pidaja või selle registri pidaja nimel tegutsev isik
,
mis tuleneb käesolevast seadusest
näiteks registreerimisega seotud privaatsusteenuse või proksiteenuse osutaja või edasimüüja
; 5)
internetipõhine kauplemiskoht
domeeninimede süsteem
–
infoühiskonna teenus
hierarhiline ja hajus nimesüsteem
, mis võimaldab
tarbijakaitseseaduse tähenduses tarbijal
tuvastada internetiteenuseid
ja
kauplejal sõlmida internetipõhise müügi
-
või
ressursse, tehes lõppkasutaja seadmetel võimalikuks kasutada internetimarsruutimise ning ühenduvuse teenuseid, et jõuda nende teenuste ja ressurssideni; 6) domeeninimede süsteemi
teenuse
osutamise lepingu
osutaja – üksus, kes osutab interneti lõppkasutajatele üldsusele kättesaadavat domeeninime rekursiivse teisendamise teenust või kes osutab kolmandatele isikutele kasutamiseks mõeldud domeeninime autoriteetse teisendamise teenust, välja arvatud juurnimeserveri teenust; 7) haldusteenuse osutaja – üksus, kes osutab teenuseid, mis on seotud IKT-toodete, võrkude, taristu, rakenduste või muude võrgu- ja infosüsteemide paigaldamise, haldamise, käitamise või hooldamisega toe või aktiivse haldamise kaudu
kas
internetipõhise kauplemiskoha veebisaidil
kliendi ruumides
või
kaupleja veebisaidil
kaugjuhtimise teel; 8) IKT-protsess – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881
, mis
kasutab internetipõhise kauplemiskoha pakutavat andmetöötlusteenust
käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse määrus) (ELT L 151, 07.06.2019, lk 15–69), artikli 2 punktis 14 määratletud IKT-protsess
;
6
9
)
internetipõhine otsimootor
IKT-teenus
–
infoühiskonna
Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 13 määratletud IKT-
teenus
; 10) IKT-toode – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 12 määratletud IKT-toode; 11) infoturbeteenuse osutaja – haldusteenuse osutaja
,
kes viib ellu riskide juhtimist või pakub selleks tuge; 12) interneti sõlmpunkt – ühenduspunkt,
mis võimaldab
kasutajal teha otsingut kõikidel veebisaitidel või konkreetses keeles veebisaitidel
rohkem kui kahe sõltumatu võrgu omavahelist ühendamist ja internetiliiklust nende vahel; see võimaldab üksnes autonoomsete süsteemide omavahelist ühendamist ega nõua, et internetiliiklus kahe osaleva autonoomse süsteemi vahel toimuks mõne kolmanda autonoomse süsteemi kaudu, ei muuda sellist liiklust ega sekku sellesse mingil muul viisil; 13) internetipõhine kauplemiskoht – internetipõhine kauplemiskoht tarbijakaitseseaduse tähenduses; 14) järelkontroll – järelevalve,
mis
tahes teemal võtmesõna
on seotud küberintsidendile tagantjärele reageerimisega või küberintsidendi tekkimise vahetu ohu täiendava kontrolliga
,
fraasi
lähtudes tõenditest, vihjetest
või
teabest, millega on juhitud järelevalveasutuse tähelepanu küberintsidendile või selle tekkimise vahetule ohule, avalikult kättesaadavast teabest või teabest, mis on saadud või loodud järelevalveasutuse
muu
sisendi vormis päringu alusel
ülesande täitmisel; 15) keskvalitsuse avaliku halduse üksus – Eesti Pank, kohtuasutus, riigi valimisteenistus, Riigikogu Kantselei, Riigikontroll, Vabariigi Presidendi Kantselei, valitsusasutus, valitsusasutuse hallatav riigiasutus ja Õiguskantsleri Kantselei; 16) kohaliku omavalitsuse avaliku halduse üksus – kohaliku omavalitsuse üksus, valla või linna ametiasutus, valla või linna ametiasutuse hallatav asutus, osavald, linnaosa, osavalla või linnaosa ametiasutus, osavalla või linnaosa ametiasutuse hallatav asutus
ning
saadab vastuseks lingid
kohaliku omavalitsuse üksuste ühisamet ja -asutus; 17) kvalifitseeritud usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257
,
kust
28.08.2014, lk 73–114) artikli 3 punktis 20 määratletud kvalifitseeritud usaldusteenuse osutaja; 18) küberintsidendi käsitlemine – toimingud ja menetlused, mille eesmärk on küberintsidenti ennetada, tuvastada, analüüsida, ohjata või lahendada ja sellest taastuda; 19) küberintsident – võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja infosüsteemi turvalisust; 20) küberintsidentide käsitlemise üksus – ekspertide grupp, kelle ülesanne on teha küberintsidendi käsitlemist toetavaid toiminguid; 21) küberoht – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 8 määratletud küberoht; 22) küberturvalisus – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 1 määratletud küberturvalisus; 23) oluline küberoht – küberoht, mille tehniliste näitajate põhjal on võimalik eeldada, et sellel
võib
leida teavet taotletud sisu kohta
olla suur mõju üksuse võrgu- ja infosüsteemile või üksuse võrgu- ja infosüsteemi kasutajatele, tekitades märkimisväärset varalist või mittevaralist kahju
;
7
24
) pilvandmetöötlusteenus – infoühiskonna teenus, mis võimaldab
juurdepääsu andmetöötlusressursside kogumile
nõude põhjal hallata skaleeritavaid ja paindlikke jagatavaid andmetöötlusressursse ning ulatuslikku kaugpääsu neile
,
sealhulgas juhul, kui need ressursid paiknevad hajutatult eri kohtades; 25) risk – küberintsidendist tingitud kahju või häire tekke võimalus,
mis
väljendub kahju või häire ulatuse ja küberintsidendi esinemise tõenäosuse kombineeritud näitajana; 26) sihipärane turvaaudit – võrgu- ja infosüsteemi andmike ja toimingute sõltumatu läbivaatus ning uurimine, et kontrollida võrgu- ja infosüsteemi turvameetmete adekvaatsust ning vastavust kehtivale infoturvapoliitikale ja tööprotseduuridele, avastada turvarikkeid ning soovitada võimalikke järelduvaid meetme-, poliitika- ja protseduurimuudatusi; 27) sisulevivõrk – geograafiliselt hajutatud serverite võrk, mille eesmärk
on
paindlikult jagatav
tagada digisisu ja infoühiskonna teenuste laialdane kättesaadavus, juurdepääsetavus või kiire edastamine internetikasutajatele sisu- ja teenusepakkujate nimel; 28) sotsiaalmeediaplatvorm – platvorm, mis võimaldab lõppkasutajatel vastastikku ühendust pidada, sisu jagada, teavet otsida
ning
laiendatav süsteemi ennast muutmata
suhelda mitme seadme kaudu, eelkõige vestluste, postituste, videote ja soovituste vormis
;
8
29
)
küberturbe intsidentide lahendamise
teadusasutus –
üksus
, kelle peamine tegevus on teha rakendusuuringuid või tootearendust eesmärgiga kasutada selliste uuringute või arenduste tulemusi ärilistel eesmärkidel, kuid kes ei ole haridusasutus; 30) tippdomeeninimede registri pidaja
–
ekspertide grupp
üksus
, kelle
ülesandeks
vastutusel
on
küberintsidendi tuvastamist
Eesti maatunnusega seotud tippdomeen ning kes vastutab selle tippdomeeni haldamise eest
,
analüüsimist
sealhulgas tippdomeeni alamdomeeninimede registreerimise eest
ja
ohjeldamist
tippdomeeni tehnilise toimimise eest, sealhulgas nimeserverite käitamise ja andmebaaside hooldamise eest
ning
küberintsidendile reageerimist toetavad
tippdomeeni tsoonifailide jaotamise eest nimeserverite vahel, olenemata sellest, kas mõne neist toimingutest teeb üksus ise või ostetakse mõni toiming sisse, kuid välja arvatud juhul, kui registri pidaja kasutab tippdomeeninimesid ainult enda tarbeks; 31) turvahaavatavus – IKT-toote või IKT-teenuse nõrkus, vastuvõtlikkus või viga, mida küberoht võib ära kasutada; 32) turvalisuse kontroll – võrgu- ja infosüsteemi tehniline ning korralduslik uurimine, et tuvastada võrgu- ja infosüsteemi turvahaavatavust või võrgu- ja infosüsteemi turvameetmete nõuetele mittevastavust; 33) turvameetmed – rakendatavad organisatsioonilised, füüsilised ja infotehnilised
toimingud
või vahendid andmete ning võrgu- ja infosüsteemide turvalisuse saavutamiseks ning säilitamiseks; 34) ulatuslik küberintsident – küberintsident, mille põhjustatud häired on niivõrd laialdased, et üks Euroopa Liidu liikmesriik ei suuda nendega toime tulla, või millel on märkimisväärne mõju vähemalt kahele Euroopa Liidu liikmesriigile; 35) usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 3 punktis 19 määratletud usaldusteenuse osutaja; 36) veebipõhine otsingumootor – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/1150, mis käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks (ELT L 186, 11
.
07.2019, lk 57–79), artikli 2 punktis 5 määratletud veebipõhine otsingumootor; 37) võrgu- ja infosüsteem (edaspidi süsteem) – elektroonilise side võrk elektroonilise side seaduse § 2 punkti 8 tähenduses, seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine, või digitaalsed andmed, mida eelnimetatud komponendid nende töö, kasutamise, kaitsmise või hooldamise jaoks salvestavad, töötlevad, saavad päringuga või edastavad; 38) võrgu- ja infosüsteemi turvalisus (edaspidi süsteemi turvalisus) – süsteemi võime osutada vastupanu mis tahes sündmusele, mis ohustab süsteemis töödeldavate andmete või süsteemi kaudu osutatavate või juurdepääsetavate teenuste käideldavust, autentsust, terviklust ja konfidentsiaalsust; 39) üksus – juriidiline isik, kes on asutatud ja keda tunnustatakse tema tegevuskohajärgse riigi õiguse kohaselt ning kellel võivad olla õigused ja kohustused, või füüsiline isik; 40) üldkasutatav elektroonilise side teenus – üldkasutatav elektroonilise side teenus elektroonilise side seaduse tähenduses; 41) üldkasutatav elektroonilise side võrk – üldkasutatav elektroonilise side võrk elektroonilise side seaduse tähenduses.
; 3)
lennundusseaduses sätestatud lennuvälja käitaja, kelle käitatav lennuväli on avatud rahvusvaheliseks regulaarseks lennuliikluseks, samuti Tallinna lennuinfopiirkonnas lennuliikluse teenindamist tagav aeronavigatsiooniteenuse osutaja lennuvälja toimimise
asjakohasel juhul Euroopa Parlamendi
ja
aeronavigatsiooni toimimise teenuse osutamisel; 4
nõukogu direktiivi (EL
)
sadamateenuse osutaja
2022/2555
,
kes on sadamaseaduse tähenduses sellise sadama pidaja või sellise sadamarajatise valdaja,
mis
teenindab 500-se ja enama kogumahutavusega laevu või rahvusvahelises meresõidus sõitvaid reisilaevu sadama toimimise teenuse osutamisel; 5) elektroonilise side seaduses sätestatud sideettevõtja
käsitleb meetmeid
,
kes osutab kaabelleviteenust
millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus
,
mida tarbib vähemalt 10 000 lõppkasutajat,
ja
ringhäälinguvõrgu teenuse osutaja kaabelleviteenuse või ringhäälinguvõrgu teenuse osutamisel; 6
millega muudetakse määrust (EL
)
tervishoiuteenuste korraldamise seaduses sätestatud haiglavõrku kuuluvate piirkondliku haigla
2018/1972 ning tunnistatakse kehtetuks direktiiv (EL
)
Eesti maatunnusega seotud tipptaseme domeeninimede registri haldaja registri pidamiseks kasutatava süsteemi
2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152), I või II lisas osutatud asjakohane sektor
ja
tipptaseme nimeserveri teenuse osutamisel
allsektor
;
9
4
)
kriitilise tähtsusega side-
asjakohasel juhul nende riikide loetelu
,
mereraadioside
kus ta osutab Euroopa Parlamendi
ja
operatiivraadiosidevõrgu teenuse osutaja elektroonilise side seaduse tähenduses nende teenuste osutamisel; 10
nõukogu direktiivi (EL
)
Eesti Rahvusringhääling Eesti Rahvusringhäälingu seaduse § 5 lõike 1 punktis 10 sätestatud ülesande täitmisel
2022/2555 kohaldamisalasse kuuluvaid teenuseid
.
(2)
Riigi Infosüsteemi Amet koostab iga kahe aasta järel teenuseosutajate ja domeeninimede registreerimise teenuse osutajate nimekirja.
(3)
Käesoleva paragrahvi lõikes
1
2
nimetatud
teave on asutusesiseseks kasutamiseks mõeldud teave avaliku teabe seaduse tähenduses.
(4) Teenuseosutaja ja domeeninimede registreerimise
teenuse
osutajat
osutaja teavitab kõigist käesoleva paragrahvi lõike 1 kohaselt esitatud teabe muudatustest viivitamata
,
kes tegutseb
kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva Riigi Infosüsteemi Ametit.
(5) Riigi Infosüsteemi Amet teatab iga kahe aasta järel
Euroopa
Komisjonile ning Euroopa
Parlamendi ja nõukogu direktiivi (EL)
2016
2022
/
1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus
2555 artiklis 14 nimetatud koostöörühmale
(
ELT L 194, 19.07.2016, lk 1–30
edaspidi koostöörühm
)
,
iga sama direktiivi I või
II lisas
esitatud sektorites, loetakse olulise teenuse operaatoriks
osutatud sektori ja allsektori kohta käesoleva paragrahvi lõikes 2
nimetatud
direktiivi tähenduses
nimekirja kantud teenuseosutajate arvu
.
(
3
6
) Riigi Infosüsteemi Amet
tuvastab
esitab
iga kahe aasta
tagant käesoleva seaduse kohaldamisalas olevad teenuse osutajad
järel Euroopa Komisjonile teabe üksuste kohta
, kes
tegutsevad
on
Euroopa Parlamendi ja nõukogu direktiivi (EL)
2016
2022
/
1148 II lisas esitatud sektorites
2555 artikli 2 lõike 2 punktide b–e alusel ülioluline üksus ja oluline üksus
.
(
4
7
)
Käesolevas seaduses teenuse osutaja kohta sätestatut kohaldatakse ka: 1) andmekogu vastutavale töötlejale
Käesoleva paragrahvi lõike 6 alusel esitatavaks teabeks on üksuste arv, teave Euroopa Parlamendi
ja
volitatud töötlejale; 2
nõukogu direktiivi (EL
)
Arenguseire Keskusele; 3) Eesti Pangale; 4) kohaliku omavalitsuse üksusele
2022/2555 I
ja
kohaliku omavalitsuse üksuste liidule; 5
II lisas osutatud sektori ja allsektori kohta ning asjaomaste teenuseosutajate osutatavate teenuste liik koos teabega, milline Euroopa Parlamendi ja nõukogu direktiivi (EL
)
kohtuasutusele; 6) riigi valimisteenistusele; 7) Riigikogu Kantseleile;
2022/2555 artikli 2 lõike 2 punktidest b–e on alus pidada üksust ülioluliseks või oluliseks käesoleva seaduse tähenduses.
(
8)
Riigikontrollile;
Euroopa Komisjoni taotluse korral võib Riigi Infosüsteemi Amet edastada komisjonile käesoleva paragrahvi lõikes 6 osutatud teenuseosutajate nimed.
(
9)
Riigimetsa Majandamise Keskusele; 10) seaduse alusel asutatud avalik-õiguslikule juriidilisele isikule; 11) Vabariigi Presidendi Kantseleile; 12) valitsusasutusele
Teenuseosutaja
ja
valitsusasutuse hallatavale riigiasutusele; 13) valla või linna ametiasutusele, valla või linna ametiasutuse hallatavale asutusele, osavallale, linnaosale, osavalla või linnaosa ametiasutusele, osavalla või linnaosa ametiasutuse hallatavale asutusele ning kohaliku omavalitsuse üksuste ühisametile
domeeninimede registreerimise teenuse osutaja võib käesoleva paragrahvi lõikes 1 sätestatud kohustuse täitmisel juhinduda asjaomastest Euroopa Komisjoni suunistest
ja
-asutusele; 14) Õiguskantsleri Kantseleile
vormidest
.
sealhulgas
digitaalse teenuse osutaja
peab määrama esindaja Eestis või mõnes teises Euroopa Liidu liikmesriigis
,
kus ta teenust osutab,
viib oma tegevuse käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse
ning
tegema püsivalt avalikult kättesaadavaks esindaja kontaktandmed
täidab käesolevast seadusest ja selle alusel kehtestatud õigusaktidest tulenevad kohustused kolme aasta jooksul teenuseosutaja, sealhulgas digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates
.
Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab teenuseosutaja nimetatud lõigetes määratud tähtajal.
(4) Olenemata käesoleva paragrahvi lõikes 3 sätestatust peab elutähtsa teenuse osutaja oma tegevuse viima vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa teenuse osutaja nimetatud lõigetes määratud tähtajal.
(5) Käesolevat paragrahvi ei kohaldata sellistele teenuseosutajatele, kellele kohaldatakse käesoleva seaduse § 281.
2021, lk 1–31
2024
), artikli
12 tähenduses
4 lõikes 1 nimetatud pädeva asutuse nimetab riikliku
küberturvalisuse valdkonna
tööstuse, tehnoloogia ja teadusuuringute Euroopa pädevuskeskuse nõukogu esindaja ja asendusliikme nimetab valdkonna
eest vastutav minister käskkirjaga.
(2)
Käesoleva paragrahvi lõikes 1 nimetatud pädeva asutuse nimetamisel arvestatakse
Euroopa
Parlamendi ja nõukogu
Komisjoni delegeeritud
määruse (EL)
2021
2024
/
887
1366
artikli
6 tähenduses riikliku koordineerimiskeskuse ülesandeid täidab Eesti küberturvalisuse valdkonna tööstuse, tehnoloogia
4 lõikes 3
ja
teadusuuringute koordineerimisüksus
halduskoostöö seaduses sätestatud nõuetega
.
(3)
Käesoleva paragrahvi
Vabariigi Valitsus võib Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 39
lõikes
2 nimetatud koordineerimisüksuse määrab
1, artikli 40 lõikes 4 ning artikli 41 lõigetes 1
ja
tema ülesannete
2 viidatud ülesande
täitmise
korra kehtestab valdkonna eest vastutav minister määrusega
edasi volitada Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles käsitletakse elektrienergia siseturgu (ELT L 158, 14
.
06.2019, lk 54–124), artikli 35 kohaselt asutatud piirkondlikule koordineerimiskeskusele, arvestades halduskoostöö seaduses sätestatud nõudeid.
ning
teavitab küberintsidendist
riskide juhtimise viise.
(3) Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget, kohaldatakse
käesolevas
seaduses
paragrahvis
sätestatud
järelevalveasutust;
kohustusi kõigile juhatuse liikmetele.
(
4)
koostööpõhimõte – küberturvalisuse tagamisel ja küberintsidentide lahendamisel teevad osalised koostööd ja võtavad vajaduse korral arvesse süsteemide ja teenuste omavahelist seotust ning sõltuvust
Kui teenuseosutajal ei ole oma juriidilise vormi või struktuuri tõttu juhatuse liiget, kohaldatakse juhatuse liikme kohta käivat ka muule isikule, kes on seaduse, põhimääruse või muu õigusakti kohaselt määratud asjaomase teenuseosutaja juures juhtimisülesandeid täitma
.
Kui teenuseosutaja on füüsilisest isikust ettevõtja, kohaldatakse teenuseosutaja juhatuse liikme kohustuste kohta sätestatut asjaomasele füüsilisele isikule.
.
(2)
Teenuse osutaja on turvameetmete
Turvameetmete
rakendamisel
kohustatud
arvestatakse
: 1)
koostama süsteemi riskianalüüsi, milles tuleb esitada süsteemi turvalisust
teenuseosutaja vajadusi
ja
teenuse toimepidevust mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määrata riskide realiseerumisel tekkiva küberintsidendi tagajärgede raskusaste ning kirjeldada küberintsidendi lahendamise abinõusid
turvanõudeid
; 2)
tagama dokumenteeritud süsteemi riskianalüüsi, turvaeeskirjade
ajakohaseid ning asjakohasel juhul Euroopa
ja
turvameetmete rakendamise kirjelduse olemasolu ja ajakohasuse
rahvusvahelisi standardeid
; 3)
tagama süsteemi turvalisust ohustava tegevuse või tarkvara tuvastamiseks süsteemi seire ja edastama teavet süsteemi turvalisust ohustava tegevuse või tarkvara kohta Riigi Infosüsteemi Ametile
turvameetmete rakendamise kulusid
; 4)
võtma kasutusele abinõud küberintsidendi mõju
turvameetmete rakendamise proportsionaalsust, mille hindamisel võetakse muu hulgas arvesse teenuseosutaja riskidele avatuse määra, teenuseosutaja suurust, küberintsidentide esinemise tõenäosust
ja
leviku vähendamiseks
nende tõsidust
, sealhulgas
vajaduse korral piirama süsteemi kasutamist või juurdepääsu süsteemile.
küberintsidentide ühiskondlikku ja majanduslikku mõju;
5)
6)
ohte süsteemselt ja terviklikult hõlmavat lähenemisviisi, mille eesmärk on kaitsta süsteeme ja nende süsteemide füüsilist keskkonda küberintsidentide eest.
(3) Kui
teenuse osutaja
teenuseosutaja
volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab
teenuse osutaja
teenuseosutaja
selle eest, et teine isik tagab süsteemi turvameetmete rakendamise.
(4) 5
(5) Vabariigi Valitsus või tema volitatud minister kehtestab määrusega käesolevas paragrahvis sätestatud kohustuste täitmise ja süsteemide küberturvalisuse tagamiseks: 1) infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard; 2) turvameetmete üldnõuded; 3) süsteemide turvameetmete erinõuded ja nende kohaldamise ulatuse .
(6) Käesoleva paragrahvi lõike 5 alusel kehtestatud määruses võib täpsustada alalisi asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ja korralduslikke turvameetmeid ning rakendamise nõudeid ja tingimusi, sealhulgas võib võtta arvesse käesoleva seaduse § 3 lõigetes 2–5 nimetatud tegevusalasid.
(7) Teenuseosutaja, kes on nimetatud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõikes 5 osutatud rakendusaktis, millega sätestatakse tehnilised, metoodilised ja vajaduse korral valdkondlikud nõuded turvameetmete rakendamiseks teenuseosutaja poolt, lähtub rakendusaktis sätestatud teenuse puhul sama rakendusaktiga kehtestatud nõuetest.
muu isik kui teenuseosutaja teavitada
olulise mõjuga
küberintsidendiks.
(4) Käesoleva paragrahvi lõikes 1 sätestatud kohustus ei piira teenuse osutaja õigust teavitada Riigi Infosüsteemi Ametit
küberintsidendist,
millel ei ole käesoleva paragrahvi lõikes 2 sätestatud olulist mõju
turvahaavatavusest ja küberohust
.
(
5
2
)
Teenuse osutaja on kohustatud teavitama mõistliku aja jooksul isikut, keda olulise mõjuga küberintsident võib mõjutada,
Potentsiaalsest turvahaavatavusest
või
avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada.
(6) Kui teenuse osutaja ei täida käesoleva paragrahvi lõikes 5 sätestatud teavitamiskohustust mõistliku aja jooksul, võib Riigi Infosüsteemi Amet mõjutatud isikut
turvahaavatavusest teavitav füüsiline
või
avalikkust ise teavitada, informeerides teavitamisest ka teenuse osutajat
juriidiline isik võib esitada teate anonüümselt
.
(7) Teenuse osutaja
Teate esitaja isiku andmed
on
olulise mõjuga küberintsidendi lahendamisel kohustatud edastama Riigi Infosüsteemi Ametile raporti, mis sisaldab informatsiooni küberintsidendi tekkepõhjuste, selle lahendamiseks kulunud aja ja rakendatud abinõude ning küberintsidendi mõju kohta
asutusesiseseks kasutamiseks mõeldud teave avaliku teabe seaduse tähenduses
.
(
8
3
)
Küberintsidendist teavitamise korra ja raporti vormi võib kehtestada valdkonna eest vastutav minister määrusega.
(9) Teenuse osutaja on kohustatud teavitama
Riigi Infosüsteemi
Ametit digitaalse teenuse osutajat puudutava küberintsidendi olulisest mõjust oma teenuse toimepidevusele, kui tema teenus sõltub
Amet menetleb
käesoleva
paragrahvi lõike 1 alusel esitatud teateid käesoleva
seaduse §-
s 4 määratletud digitaalse teenuse osutaja teenusest
des 8 ja 12 sätestatud korras
.
arvestades Euroopa Parlamendi ja nõukogu direktiivi
(
EL) 2022/2555 artikli 9 lõikes
4
sätestatud nõudeid; 2
)
Riigi Infosüsteemi Ametil on õigus välisriigile või
teavitab
Euroopa
Liidu Võrgu- ja Infoturbeametile
Komisjoni kolme kuu jooksul kava vastuvõtmisest
või
muule organisatsioonile edastada küberintsidendi ennetamise ja lahendamisega seotud teavet käesoleva seaduse §-s 5 sätestatud ülesannete või
vastu võetud kava muudatustest ning esitab
Euroopa
Liidu õigusest tuleneva kohustuse täitmiseks või välislepinguga ettenähtud juhtudel
Komisjonile
ja
korras
Euroopa küberkriisiga tegelevate kontaktasutuste võrgustikule kolme kuu jooksul pärast kava vastuvõtmist asjakohase teabe
,
kui edastatav teave ei kahjusta riigi julgeolekut või kriminaalmenetlust
mis on seotud nimetatud kavaga
.
(
5
3
)
Teabe edastamisel arvestab Riigi Infosüsteemi Amet teenuse osutaja või digitaalse teenuse osutaja ärihuve ja juhindub ärisaladuse hoidmise kohustusest
Kava võib koostada muu õigusakti alusel koostatava dokumendi osana
.
Tarbijakaitse ja Tehnilise Järelevalve Amet võib riikliku järelevalve tegemiseks rakendada Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 58 lõikes 8 sätestatud meetmeid.
(2) Käesolevas paragrahvis sätestatud meetme kohaldamisest tuleb adressaati
ja käesoleva seaduse § 3 lõike 1 punktis 1 sätestatud teenuse osutaja puhul ka elutähtsa teenuse toimepidevust korraldavat asutust
esimesel võimalusel teavitada.
(3) Käesolevas paragrahvis sätestatud meetme protokollimine on kohustuslik.
on Tarbijakaitse
kui seadus ei sätesta samaväärset saladuses hoidmise kohustust.
(3) Riikliku küberturvalisuse valdkonna eest vastutav minister võib kehtestada määrusega vastastikuses hindamises osalemise täpsemad tingimused
ja
Tehnilise Järelevalve Ametil õigus pikendada kaebuse läbivaatamise tähtaega aja võrra
korra
,
mis on vajalik asutuse arvamuse ärakuulamiseks
sealhulgas vastastikuse hindamise korralduse nõuded, selles osalevate asutuste ülesanded ja vastastikuses hindamises osalevad isikud