Küberturvalisuse seadus

(2) Riigi Infosüsteemi Amet teeb igakülgset koostööd elutähtsat teenust korraldava asutuse või tema poolt hädaolukorra seaduse § 37 lõike 5 alusel määratud asutuse, Päästeameti ja Riigikantseleiga ning vahetab nendega teavet elutähtsa teenuse osutajaks määramise ja elutähtsa teenuse osutaja teatatud riskide, küberohtude, küberintsidentide ja olulise mõjuga küberintsidentide kohta ning elutähtsa teenuse osutajana käsitatavaid üliolulisi üksusi mõjutavate muude asjaomaste olukordade kui riskide, küberohtude ja küberintsidentide kohta ning selliste riskide, ohtude ja intsidentide lahendamiseks võetud meetmete kohta. Lisaks teavitab Riigi Infosüsteemi Amet nimetatud asutust, kui Riigi Infosüsteemi Amet rakendab riikliku või haldusjärelevalve käigus elutähtsa teenuse osutaja suhtes järelevalvemeedet. Sama asutus võib asjakohasel juhul taotleda Riigi Infosüsteemi Ametilt riikliku või haldusjärelevalve menetluses ette nähtud järelevalvemeetme rakendamist elutähtsa teenuse osutaja suhtes.

(3) Riigi Infosüsteemi Amet teavitab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 artikli 32 lõike 1 kohaselt asutatud järelevalvefoorumit, kui Riigi Infosüsteemi Amet rakendab riikliku järelevalve käigus järelevalvemeedet, et tagada käesoleva seaduse kohaldamisalasse kuuluva ja nimetatud määruse artikli 31 alusel kriitilise tähtsusega kolmandast isikust IKT-teenuse osutajaks määratud teenuseosutaja vastavus käesolevas seaduses või käesoleva seaduse alusel kehtestatud nõuetele.

(4) Riigi Infosüsteemi Amet ja käesoleva paragrahvi lõike 1 punktides 2, 4, 6 ja 8 nimetatud asutused vahetavad korrapäraselt asjakohast teavet, sealhulgas asjaomaste küberintsidentide ja küberohtude kohta.

(5) Riigi Infosüsteemi Amet täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 8 lõike 1 alusel määratud pädeva asutusena sidepidamisfunktsiooni, et tagada Eesti ametiasutuste piiriülene koostöö küberturvalisuse valdkonnas teiste Euroopa Liidu liikmesriikide asjaomaste pädevate asutustega ning asjakohasel juhul ka Euroopa Komisjoni ja Euroopa Liidu Küberturvalisuse Ametiga.

(6) Teabe vahetamisel tagatakse edastatava teabe turvalisus ja asjakohasel juhul kasutatakse kokku lepitud teabevahetusprotokolle, sealhulgas valgusfoorprotokolli.

§ 17⁵. Küberturvalisusalase teabevahetuse kokkulepped

(1) Teenuseosutajad ja muud isikud võivad omavahel vabatahtlikult vahetada asjakohast teavet küberturvalisuse kohta, sealhulgas teavet, mis on seotud küberohtude, turvahaavatavuse, meetodite ja menetluste, turvarikkemärkide, kahjulike taktikate, üksikute ohusubjektide ja küberturvalisuse hoiatustega ning soovitustega küberturvalisuse vahendite konfigureerimise kohta küberrünnete tuvastamiseks, kui selline teabevahetus:

1) toimub küberintsidentide ennetamise, tuvastamise, lahendamise või nende tagajärgede leevendamise eesmärgil või

2) aitab suurendada küberturvalisust, eelkõige suurendades teadlikkust küberohtudest ja piirates või takistades kõnealuste ohtude levikut ning toetades mitmesuguseid kaitsevõimalusi, turvahaavatavuse vähendamist ja avalikustamist, ohu tuvastamise, ohjamise ning ennetamise meetodeid, leevendusstrateegiaid, lahendamis- ja taastamisetappe ning avaliku ja erasektori üksuste koostöös toimuvat küberohtude uurimist.

(2) Käesoleva paragrahvi lõikes 1 nimetatud teabevahetus toimub küberturvalisusalase teabevahetuse kokkuleppe (edaspidi teabevahetuse kokkulepe) alusel. Teabevahetuse kokkuleppeid võib olla rohkem kui üks.

(3) Teabevahetuse kokkuleppes võib täpsustada teabevahetuse korraldusega seotud tegevuste sisu, sealhulgas sihtotstarbeliste info- ja kommunikatsioonitehnoloogia platvormide ja automatiseerimisvahendite kasutamist ning muud sisu ja tingimusi, arvestades jagatava teabe konfidentsiaalsust.

(4) Riigi Infosüsteemi Amet võib enda poolt teabevahetuse kokkuleppe alusel kättesaadavaks tehtud teabele seada tingimusi, kui teabevahetuse kokkuleppes osaleb keskvalitsuse avaliku halduse üksus või kohaliku omavalitsuse avaliku halduse üksus.

(5) Teenuseosutaja teavitab Riigi Infosüsteemi Ametit, kui teenuseosutaja on ühinenud teabevahetuse kokkuleppega või kui teabevahetuse kokkuleppest taganemine on jõustunud.

§ 17⁶. Vastastikune hindamine

(1) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 19 sätestatud vastastikuses hindamises (edaspidi vastastikune hindamine) osalemine on vabatahtlik.

(2) Vastastikuse hindamise käigus hoiavad osalevad küberturvalisuse valdkonna eksperdid kolmandate isikute eest saladuses neile vastastikuse hindamise käigus teatavaks saanud teavet, kui seadus ei sätesta samaväärset saladuses hoidmise kohustust.

(3) võib kehtestada määrusega vastastikuses hindamises osalemise täpsemad tingimused ja korra, sealhulgas vastastikuse hindamise korralduse nõuded, selles osalevate asutuste ülesanded ja vastastikuses hindamises osalevad isikud.

5. peatükk Vastutus

§ 18. Seaduse nõuete rikkumine

§ 18¹. Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 nõuete rikkumine

(1) Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 53 lõikes 2 sätestatud tingimustele mittevastava vastavusdeklaratsiooni väljastamise eest või artikli 55 lõikes 1 nimetatud teabe korral sama artikli lõikes 2 sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 200 trahviühikut.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 20 000 eurot.

§ 18². Seaduse nõuete rikkumine üliolulise üksuse poolt

(1) Käesoleva seaduse § 7 lõikes 1, 2, 3, 5 või 7 või § 8 lõikes 1, 1¹, 4¹, 4², 4³, 5, 7 või 8¹ sätestatud nõuete rikkumise eest üliolulise üksuse poolt, kui puudub käesoleva seaduse §-s 18⁴ sätestatud väärteokoosseis, –

karistatakse rahatrahviga kuni 10 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üliolulise üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest olenevalt sellest, kumb summa on suurem.

§ 18³. Seaduse nõuete rikkumine olulise üksuse poolt

(1) Käesoleva seaduse § 7 lõikes 1, 2, 3, 5 või 7 või § 8 lõikes 1, 1¹, 4¹, 4², 4³, 5, 7 või 8¹ sätestatud nõuete rikkumise eest olulise üksuse poolt, kui puudub käesoleva seaduse §-s 18⁴ sätestatud väärteokoosseis, –

karistatakse rahatrahviga kuni 7 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 7 000 000 eurot või kuni 1,4 protsenti olulise üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest olenevalt sellest, kumb summa on suurem.

§ 18⁴. Seaduse nõuete rikkumine piiriüleste elektrivoogude valdkonna üksuse poolt

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 2 lõikes 1 nimetatud üksuse poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 10 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest olenevalt sellest, kumb summa on suurem.

§ 18⁵. Seaduse nõuete rikkumine piiriüleste elektrivoogude valdkonna üksuse seadusliku esindaja poolt

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 15 lõike 1 alusel nimetatud seadusliku esindaja poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 300 trahviühikut.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 32 000 eurot.

§ 19. Menetlus

(1) Käesoleva seaduse §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet.

(2) Kui käesoleva seaduse §-des 18²–18⁵ sätestatud väärtegu on seotud isikuandmete töötlemise nõuete rikkumisega, kohaldatakse väärteomenetluse puhul isikuandmete kaitse seadust.

(3) Käesoleva seaduse §-s 18¹ sätestatud väärteo kohtuväline menetleja on Tarbijakaitse ja Tehnilise Järelevalve Amet.

(4) Käesoleva seaduse §-des 18²–18⁴ sätestatud väärtegude aegumistähtaeg on kolm aastat.

6. peatükk Rakendussätted

§ 20. Riigi Infosüsteemi Ameti ülesanded

(1) Riigi Infosüsteemi Amet koostab käesoleva seaduse § 3¹ lõikes 2 nimetatud nimekirja kuue kuu jooksul viidatud lõike jõustumisest arvates.

(2) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 3¹ lõigetes 5–7 nimetatud teabe kuue kuu jooksul viidatud lõigete jõustumisest arvates.

(3) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 12 lõike 4¹ kohase esimese koondaruande kolme kuu jooksul viidatud lõike jõustumisest arvates.

§ 21.

–

§ 28.

[Käesolevast tekstist välja jäetud.]

§ 28¹. Teenuseosutaja tegevuse kooskõlla viimine käesoleva seadusega seoses Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 ülevõtmisega

(1) Teenuseosutaja, kes vastas enne käesoleva seaduse § 3¹ lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab nimetatud lõikes sätestatud kohustuse kolme kuu jooksul viidatud lõike jõustumisest arvates.

(2) Digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 4 lõike 7 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul käesoleva seaduse § 4 lõike 7 jõustumisest arvates.

(3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 3¹ lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse kolme aasta jooksul viidatud lõike jõustumisest arvates. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab teenuseosutaja nimetatud lõigetes määratud tähtajal.

(4) Elutähtsa teenuse osutaja, kellel tekkis esmakordselt käesoleva seaduse järgimise kohustus pärast 2024. aasta 18. oktoobrit ja kes vastas enne käesoleva seaduse § 3¹ lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 1³ punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa teenuse osutaja nimetatud lõigetes määratud tähtajal.

§ 29. Seaduse jõustumine

(1) Käesolev seadus jõustub Riigi Teatajas avaldamisele järgneval päeval.

(2) Käesoleva seaduse § 3 lõike 1 punkt 8, § 3 lõige 3, § 9 ning § 23 punkt 3 jõustuvad 2020. aasta 1. jaanuaril.

(3) Käesoleva seaduse § 3 lõike 1 punktid 7 ja 10, § 21 ning § 28 punktid 1 ja 5 jõustuvad 2022. aasta 1. jaanuaril.