Eestis võetav küberturvalisuse direktiiv paneb küberohtude kaitseks tuhandeid ettevõtteid ja asutusi, sh perearste, kes peavad trahvi ähvardusel oma süsteemid korda tegema. Perearstid, nagu dr Reet Laidoja, peavad trahvimäärasid ebarealistlikeks ja muretsevad pankroti võimalikkuse pärast. Justiitsministeeriumi õigusnõunik Raavo Palu rahustab, et maksimumtrahve oleks vähetõenäoline rakendada. Kaubanduskoja hinnangul on ebaselge, keda täpselt seadus mõjutab. Kuigi väiksemad asutused ei pea välisauditit tellima, jääb see kohustus suurematele ettevõtetele, mille kulud võivad olla märkimisväärsed.

Ühed, kes peavad seadusemuudatuse tagajärjel trahviähvardusel oma kübermajapidamise korda tegema, on näiteks perearstid. Haldustrahvide maksumäärad on seejuures soolased: elutähtsatel asutustel on maksimaalne trahv kümme miljonit eurot (või 2% üleilmsest käibest) ja lihtsalt „olulistel asutustel“ kuni seitse miljonit. 

„Need uued trahvimäärad on perearstikeskuste jaoks ebarealistlikud ning nende rakendamine võib viia pankrotini,“ selgitab Linnamõisa perearstikeskuse perearst dr Reet Laidoja, kes kuulub ka perearstide seltsi juhatusse. 

Perearstid on mures, et isegi juhul, kui praktikas trahvi täismäära ei rakendata, oleks sanktsiooni ulatus perearstikeskusele etteaimamatu oht.

floating_list

Esimese ropsuga miljonilist trahvi ei määrata

Justiits- ja digiministeeriumi küberturvalisuse õigusnõunik Raavo Palu rahustab maksimumtrahvide pärast muretsejaid. Eesti õigusse võetakse need nii suurtena üle, sest seda nõuab Euroopa Liidu küberturvalisuse 2. direktiiv. „Liikmesriikidel ei ole võimalik neid väiksemana kehtestada, aga trahvide ülemmäära suurused ei tähenda, et tegemist on iga rahatrahvi puhul ette määratletud summaga,“ ütles Palu.

Ka direktiiv eeldab, et trahvi määramisel võetakse arvesse iga üksikjuhtumi asjaolusid. Need võivad olla näiteks rikkumise raskus ja rikutud sätete olulisus, rikkumise kestus, varasemad rikkumised ning rikkumise toimepanija tahtlus või hooletus.

„On üsna tõenäoline, et maksimummääras trahvimine oleks Eestis erandlik ja vähetõenäoline, arvestades nii seda, et Riigi Infosüsteemi Amet peab igal juhul hindama, kas väärteomenetluse läbiviimine ning trahvi määramine on konkreetse rikkumise olemust ja iseloomu arvestades vajalik ja proportsionaalne, kui ka Eestis tegutsevate ettevõtete majandustegevuse mahtu ja ulatust,“ lausus Palu oma kirjalikus kommentaaris.

Linnamõisa perearstikeskuse perearsti dr Reet Laidoja sõnul võivad liiga suured trahvid viia keskused pankrotini. Foto: Tiit Blaat /Delfi Meedia / Scanpix

Perearstid möönavad, et loomulikult haldavad nad väga olulisi andmeid ja infoturbenõuded on vajalikud. „Samas soovime, et need oleksid jõukohased, sihitud ja arvestaksid sektori tervikpilti,“ ütles Laidoja.

Perearstidele jääb nimelt mõistetamatuks, kuidas nad terve sektoriga, iga viimse külaperearstipunktini küberturve mõttes oluliste asutuste sekka sattusid, eriti kui muude seadustega on täiesti paigas, millised meditsiinikeskused on näiteks elutähtsa teenuse osutajad. 

„Uute nõuete kohaldamine perearstikeskustele, mis ei ole elutähtsa teenuse osutajad või keskmise suurusega või siis suuremad ettevõtted, ei ole põhjendatud. Praegune regulatsioon ei võimalda teha erandeid, kuid erandite tegemine oleks vajalik,“ tõdes Laidoja.

Ka sotsiaalministeerium üritas veenda kolleege justiitsministeeriumist, et nõuded võiksid laieneda ikkagi elutähtsa teenuse osutajatele, kelleks on mõned perearstid, aga kõigile perearstidele samaväärsete küberturvalisuse nõuete kehtestamine ei ole mõistlik. 

„Seega palume eemaldada küberturvalisuse seadusest kohustused perearstide kohta, kes ei ole elutähtsa teenuse osutajaks“ seisab sotsiaalministeeriumi kooskõlastuskirjas. Tulemuseks oli see, et teatavaid turbenõudeid väiksematele asutustele küll vähendati, aga perearstide kõrvaljäämist ei pidanud justiitsministeerium eurodirektiivist lähtuvalt võimalikuks.

Väikesed perearstikeskused on lihtsalt näide sellest, kui hüppeliselt ja etteaimamatult võivad küberturbe nõuded uue seadusega mingitele ettevõtetele või asutustele laieneda. Küberturvalisuse seaduse nõudeid peab praegu järgima umbes 3500 subjekti ning eelnõuga lisandub neid esialgsel hinnangul veel umbes 3000. 

Kes täpselt, see jääb kaubanduskoja hinnangul pisut arusaamatuks. „Hetkel on ettevõtjatel väga keeruline mõista ja hinnata, kas nad hakkavad olema seaduse subjektid või mitte. Subjektide kindlakstegemine eeldab mitmetasandiliste kriteeriumide arvestamist ning teiste Euroopa Liidu õigusaktide tundmist,“ kirjutas koda riigikogu riigikaitsekomisjonile.

Teine probleem on koja hinnangul see, et seaduse subjektiks võib sattuda suhteliselt poolkogemata: näiteks võib tööstusettevõte muutuda seaduse subjektiks üksnes seetõttu, et ta osutab kõrvaltegevusena väikesemahulist pilveteenust või toodab elektrit päikesepaneelide kaudu.

Küsimus on nimelt selles, et siis ei pea hakkama mitte lihtsalt kontrollima, kas elektritootmisega seotud osa tootmisest on igati küberturvaline, vaid vajadus kontrollida kõikivõimalikke riskikohti ja võimalikke ründevektoreid laieneb üle kogu ettevõtte, mis muidu võib olla ei olekski suurem küberilma keskpaik, aga saab nüüd direktiiviga ühetaolise kohustuse. Säärast organisatsiooni, mitte kitsalt tegevuspõhist lähenemist, peab koda küll võrdlemisi mõistlikuks, aga mingi proportsionaalsus võiks ju jääda.

Raavo Palu justiitsministeeriumist kinnitab, et nemad pöördusid isegi kahe advokaadibüroo poole, et tagada direktiivi miinimumtasemel ülevõtmine ehk nii, et ettevõtjatele ei tekiks mingit täiendavat koormust. Aga organisatsioonipõhisest lähenemisest tema sõnul loobuda ei saa. 

„Nii näiteks peab tööstusettevõte, mis otsustab pakkuda oma töötajatele ka toitlustusteenust, täitma toiduhügieeni nõudeid. Niisamuti peab ettevõtja, kes on elektritootja, järgima elektrivaldkonnaga seotud nõudeid, sh asjakohasel juhul ka küberturvalisuse nõudeid,“ võrdleb ta.

Kolmeaastane audit iga kolme aasta tagant

Küsimus sellest, kas tulevase seaduse nõuded laienevad ettevõttele või mitte, ei ole kaugeltki niisama. Suurematel ettevõtetel tuleb tellida väline audit. Ka muidu tuleb igat masti kontrolle juurde, kui palju täpselt, on raske esmapilgul hoomata. „Majanduslik mõju igale subjektile on väga erinev ning seda ei ole eelnõuga võimalik mõistlikult hinnata,“ tõdetakse eelnõu seletuskirjas.

Kaubanduskoda igatahes leiab, et nii suure mõjuga eelnõu suhtes on hädavajalik teha majandusliku mõju analüüs, et näha, kuidas ja kas ettevõtted suudavad seaduse nõuetega toime tulla ning kuidas nende nõuete täitmine hakkab ettevõtete tegevust üleüldiselt mõjutama.

Üks oluline seadusega kaasnev nõu on see, et selle normi subjektid peavad rakendama Eesti infoturbestandardit. Selle hulka kuulub Eesti infoturbestandardi vastavusauditi tegemine iga kolme aasta järel, mis on aga eelduslikult ühe suurema kulu allikas uutele subjektidele. Seaduse kooskõlastamisringi ajal hinnati, et see kolmeastmeline audit, mida iga kolme aasta järel tehakse, võib maksta 4500 kuni 20 000 eurot iga korra eest.

See oli ka üks küsimustest, mis perearstidel algul juuksed täiesti püsti ajas, kuid vähemalt väiksemad asutused võivad nüüd rahulikumalt hingata. Õigusnõunik Palu juhib tähelepanu, et 1. oktoobril jõustusid muudatused, mis vähendasid välise auditeerimise kohustust, arvestades asutuste ning ettevõtjate võrgu- ja infosüsteemide mõju ühiskonna toimimisele, üldisele turvalisusele ja avalikule korrale.

Ehk siis, mikro- ja väikeettevõtted, kellel aastakäive või bilansimaht ei ületa 10 miljonit eurot, kohaliku omavalitsuste hallatavad asutused (välja arvatud üldhariduskoolid), riigimuuseumid ning kohaliku omavalitsuse üksuste liidud seda auditit tellima ei pea. Need 10miljonise bilansiga ettevõtted, mis näiteks oma päikesepaneelidega satuvad oluliste asutuste sekka, see-eest küll.

Palju muuta ei saa, aga selgust tahaks rohkem

Kaubandus- ja tööstuskoja jurist Ireen Tarto tõdes Äripäevale antud kommentaaris, et palju seaduseelnõus küsimusitekitavast tuleneb otse Euroopa seadusandlusest, aga selgust võiks olla rohkem.

„Uute ettevõtete lisamine seaduse mõistes oluliste üksuste nimekirja tähendab, et mõningad ettevõtted, kes varem seaduse subjektide hulka ei kuulunud, peavad nüüd rakendama turvameetmeid vastavalt direktiivi nõuetele. See ei tähenda automaatselt, et iga ettevõtte turvalisus tõuseb täpselt samas tempos, kui uued kohustused tekivad, kuid kindlasti suurendab see üldist teadlikkust ja küberturvalisust,“ ütles ta.

Subjektide määratlemine sõltub mitmest kriteeriumist, sh ettevõtte suurusest, tegevusest ja sellest, kas see osutab direktiivis nimetatud teenuseid. Peamine on see, et direktiiv sisaldab organisatsioonipõhist lähenemist, mis tähendab, et küberturvalisuse meetmeid tuleb rakendada kogu ettevõtte tegevuses, kui ettevõte osutab vähemalt üht direktiivis loetletud teenust. Kehtiva korra kohaselt tuli rakendada KüTSist tulenevaid kohustusi ainult süsteemidele, mida kasutati seaduses nimetatud teenuste osutamiseks.

Kokkuvõttes: kulud ja halduskoormus tõusevad Tarto sõnul, kuid samas suureneb ka ettevõtete teadlikkus ja turvalisus. Kuna nõuded tulenevad ELi direktiivist, ei ole meil Eestis võimalik seaduse sisu oluliselt muuta, kuid eesmärk on, et nõuded ja tingimused oleksid võimalikult selged.

Küberdirektiiv ähvardab Eesti ettevõtteid suurte trahvide ja halduskoormuse kasvuga

Justiitsminister Liisa Pakosta. Foto: Liis Treimann

Eestis ülevõetav küberturvalisuse direktiiv sunnib end küberohtude eest kaitsma tuhandeid ettevõtteid ja asutusi, kuid kaasnevad trahvid panevad nii mõnegi väiksema tegija judisema. 

UUS AUDIO: Kogemus: kuidas töötab Eesti parim IT-juht ning mida vajab tööturg?

Veamäär toodangus (Production Bug Rate)

Tsükliaeg (Cycle Time)

Küberründe ohvriks on langenud iga viies kaupmees. „Teadlikkus kasvab alles kogemuse kaudu“

UUS AUDIO: Küberturvalisus ei alga IT-st, vaid juhtkonnast

IT juhi mõõdikukomplekt

Eesti IT-firma soovitused värbamiseks: too välja palgavahemik ja võimalik karjäär

UUS VIDEO: Tehisaru kasutamise eelduseks organisatsioonis on korras andmed

ELi uus andmemäärus pakub võimalust kasutada andmeid uuenduslike teenuste loomiseks

UUS VIDEO: Mida peab teadma tehisintellektist?

IT-alal pidurdab riigihangetes innovatsiooni intellektuaalomandi kuuluvus

UUS AUDIO: Finantskuritegude tõkestaja pettustest: isegi pereringis tuleks salasõna kokku leppida

5 olulist küsimust, mida küsida oma ettevõttes AI-lahenduste kasutamise kohta

UUS AUDIO: Statistikaamet lihtsustas andmete kogumist

UUS VIDEO: Kas juurutame tehisintellekti ilma eraldi osakonda loomata?

Eesti äpp saab isikusamasuse tõendamise funktsiooni

UUS VIDEO: Kuidas tehisintellekt muudab IT-äri?

I KVARTAL | Infos-sides oli nii vähe vabu ametikohti viimati üle 10 aasta tagasi

Euroopa Liidu ligipääsetavuse direktiiv aitab ettevõtte viia enamate klientideni

UUS AUDIO: Riigi digivärava arendused lihtsustavad ettevõtete suhtlemist riigiga

Mais suletakse riigi failivahetuskeskkond, andmed ja kontod kustutatakse

UUS AUDIO: Digiteenuste edu võti on kasutajakogemuse audit

Ära usalda mitte kedagi – mis on Zero Trust ja kuidas see aitab kaugtöökohtadega sisevõrku kaitsta?

Riigikogu arutas Hiina luure ligipääsu Eesti elanike andmetele

AKI sai mullu 184 teavitust andmekaitse nõuete rikkumistest. Vaata näiteid!

Millest alustada ettevõtte küberturvalisuse tõstmist?

UUS AUDIO: IT-turbe tõstmist survestatakse direktiiviga

UUS AUDIO: IT-ekspert: AI teeb petukirjad nii heaks, nagu oleks kirjutanud inimene

Riik lihtsustab Amazoni ja Microsofti pilvteenuste kasutust: hankeid pole enam vaja

UUS AUDIO: Küberkuritegevust hakkab piirama uus määrus: küsimus pole, kas küberintsident juhtub, vaid millal juhtub

1200 organisatsiooni vajab aasta lõpuks infoturbe auditit

Eestist sai üleilmse internetivabaduse koalitsiooni juht

AUDIO: Kuidas muuta Eesti ja Euroopa IKT-sektor konkurentsivõimelisemaks?

Riigi IT-majad mängisid läbi küberkriisi. „Igas organisatsioonis on kasutusel eri süsteemid“

Uued teemad IT juhtimise teabevaras

Teenuse osutamisele esitatavad nõuded

Ekspert: automaatne küberkaitse on odav, ent tekitab petliku turvatunde

UUS AUDIO: Miks on Eesti riigi IT juhtimine nii kehvasti korraldatud?

UUS AUDIO: Säästlikud pilvelahendused väikeettevõttele

Infoühiskonna teenuse mõiste

Riik paneb transpordi ja logistika digitaliseerimisse 5 miljonit. Hüvitatakse 90% kulust

Infoühiskonna teenused

ITL otsib ettevõtteid, kus hinnata tehisintellekti kasutamise riske

UUS AUDIO: Riik ei tohiks IT-teenuste osas erasektoriga liigselt konkureerida

UUS AUDIO: Pane tähele, millised riskid kaasnevad tehisaru kasutamisega

Jõustusid ELi tehisintellekti määruse nõuded. Osa riske on vastuvõetamatud

UUS AUDIO: Mida peab teadma enne äpi loomist?

RIA pakub ülevaadet IT-toodete ja -teenuste tellimise parimatest tavadest

Uuring: iga kolmas Eesti ettevõte on küberkaitseta

UUS AUDIO: Kuivõrd toetab digitaalne identiteet meid ELis piiriüleses äris?

Riik pakub ettevõtetele tuge reaalajamajanduse lahenduste arendamiseks ja juurutamiseks

Advokaat: suur osa AI kasutajaid ei taju selle ohte ega tagajärgi

UUS AUDIO: Infoturbestandard – kellele kohustuslik ja millal rakendada seda vabatahtlikult?

Riigikogu muudab finantssektori regulatsiooni, et vähendada küberriske

UUS AUDIO: Uus tehnoloogia hirmutab? Madalal rippuvad digiõunad toovad kiire võidu

Tehisintellekt viib küberkelmused hirmutavale tasemele

UUS AUDIO: Tehisarule pannakse päitsed pähe

UUS AUDIO: Jätkusuutlik tarkvaraarendus - miks, kuidas ja kellele?

Uuring: küberturbe tagamine Eesti ettevõtetes on märkimisväärselt vähenemas

Riik toetab ettevõtete digitaliseerimist viie miljoni euroga

Meilikonto sulgemise ja kustutamise reeglid

Küberkuriteod Eestis: vargused Paypalist ja Itella serverist, Põhja-Korea häkkerid

Kogemuslugu: masinõppe arengud Suurbritanniast vaadatuna

ChatGPT kasutuskogemuste mitmekesisus: küsitlusest selgub

UUS AUDIO: Robotid murravad koolitustesse: AI jälgib videotunnis takerdumiskohti

Koostööleping ja kontrollküsimused tarkvara juurutamiseks

KÜSITLUS: Kuidas ja kui tihti kasutad ChatGPT-d?

Värske uuring: alla kolmandiku eestlastest usaldab AI-l põhinevaid lahendusi

Tulemuslikkuse võtmenäitajad

UUS AUDIO: Kaks õpetlikku kogemuslugu andmete kasutamisest äris

Tööturu ennustused 2024. aastaks: palgašokk, iduvaimustus kahaneb, AI inimest ei asenda

Intsident ja probleem

KÜSITLUS: ChatGPT kasutamine

UUS AUDIO: Iduettevõtte digilahendus päästab toitu ja vähendab süsiniku jalajälge

Eksimus isikuandmete töötlemisel võib tuua kaasa ajutise või alalise andmetöötluse keelu

EL kohustab tõstma paljudel ettevõtetel küberturbe taset. Ilves: vajame kiireid samme

UUS  AUDIO: IT-firma juht avaldas, kuidas pääseda Microsofti-suguste jutule

OpenAI ChatGPT-4 ja DALL-E 3 ehk „Auto on ainult nii kiire kui selle kõige nõrgem rehv“

IGALE JUHILE | Riigi infosüsteemi ameti 11 soovitust ettevõttes küberturbe tagamiseks

UX-disain kiiresti muutuvas ärimaailmas

UUS AUDIO: Digiriigist personaalse riigini - mis hakkab muutuma?

Kolm Eesti ettevõtet lubasid teadlikult end häkkeritel rünnata. Loe, mis edasi juhtus

Millal ehitada üles oma arendustiim, mis olukorras võtta appi IT-partner?

UUS AUDIO: Värbaja tehnoloogiasektori palkadest: ralli on läbi, aga maraton jätkub

CGI uuring: vaid viiendik firmajuhte peab oma ärimudelit piisavalt agiilseks

Tarkvaratellimuse dokumenteerimine

Juulis küberrünnete tõttu varasemast enam teenusekatkestusi. Vaata, keda rünnati

UUS AUDIO: Tehisaru – sinu äripartner või tulevane ülemus?

UUS AUDIO: Tehisintellekt on masin, ära usalda seda pimesi

Küberrünnakute hulk on kasvanud plahvatuslikult viimase aastaga, ütles Elisa

UUS AUDIO: Digipööre ettevõttes loob võimalusi, aga ole valmis ka üllatusteks

Iga küberidu saab RIA ja Tehnopoli kiirendis 50 000 eurot, kuid peab täitma kindla tingimuse

Konkurentsipiirangu kokkuleppe näidis

UUS AUDIO: Iga teine andmeauditisse tulev andmekogu on vananenud, poolik või segane

Helmese arendusjuht: autonoomia ei tähenda vabakasvatust

Ideekonkurss

Sama tavaline kui arvutioskus. Ekspert: algteadmisi tehisintellektist peab omama iga juht

UUS AUDIO: Eksperdid: andmeid ja seadmeid tuleb küberohtude vältimiseks „vaktsineerida“

Uuring (2023): uude tehnoloogiasse investeeritakse Eestis lähiajal oluliselt vähem kui mujal maailmas

UUS AUDIO: Kolm müüti pilveteenustest: odav, kallis, ebaturvaline

KÜSITLUS | Eesti IT-ettevõtted prognoosivad kasumlikkuse kahanemist

„Kümme korda rohkem käivet“ ehk kuidas kasutajakogemuse ja -liidese disain äri edendab 

UUS AUDIO: Maanda turvariske veebis: soovitused, kuidas luua ettevõttele turvaline ja kiire ühendus

RIA: 2022. aasta küberründed ületasid aprillirahutuse aegseid sajakordselt

Maksuamet: äpi kaudu teenitud tulu tuleb deklaratsioonil kindlasti välja tuua

Millised riskid kaasnevad pilvelahenduse pimesi usaldamisega?

30% firmadest peab enda IT-turvalisust rahuldavaks. Asjatundjad: liigne optimism

UUS AUDIO: Koondamine IKT-sektoris? „Tööturul hakkab toimuma korrektsioonˮ

Tooteomaniku 8 suurimat viga

Valitsus kiitis heaks uue infoturbestandardi: „Nii era- kui ka avalikule sektorile loodud tööriistˮ

Diiselmootoriga sõidukeid ähvardab kasutusest kõrvaldamine

Eesti teadlaste kolm läbimurret. Enam pole tehnoloogilist takistust anda arvutile käsklusi

UUS AUDIO: Pipedrive’i tehnoloogiajuht: oleme häkkeritelt palju abi saanud

Infoturbejuht: ainuisikulise vastutuse asemel on vajalik laiapõhjaline küberturbe juhtimine

UUS AUDIO: Tehnoloogialuure eksperdid: piiluge ja võtke teistelt võimalikult palju üle

Vastuseks sagenenud rünnetele tugevdab Eesti EL-i miljonite eest Balkani riikide küberturvet

Kas tehisintellekt juba suudab küberturvalisust tagada?

Näited küberrünnetest: Eesti ettevõte langes neli korda lunavararünnaku ohvriks

UUS AUDIO: Delfi Meedia juht digitaliseerimisest: karisid on seal palju

Vaata IT-firmade uusi projekte, mida riik asus toetama. Suurim toetus üle miljoni euro

Viis küsimust, valimaks robotiseerimisele minevaid protsesse

Riik pani oksjonile 5G sagedusala, mis sobib maapiirkondadesse parema levi viimiseks

UUS AUDIO: Eestis on häbi mitte küberründe alla jääda, vaid seda hiljem eitada

Avaliku traadita interneti leviala loomine ja haldus

Elisa soovitus: kuidas vältida firmas olukorda, kus toote-teenuse rikkest teavitab sind klient

UUS AUDIO: Kaks aastat üleilmset kiibikriisi: kuidas mõjutab see Eesti ettevõtteid?

Hoolduslepingu näidis

Ekspert: iga ettevõte võiks kulutada 2% aastakäibest küberturbeks

Andres Sutt kinnitas järgmise, maapiirkondadele sobiva 5G konkursi tingimused

VIDEOPEATÜKK: Kuidas panna töötajad küberriskivabalt käituma?

Rekordiline hüpe: info ja side valdkonda lisandus aasta alguses tuhandeid uusi töötajaid

Mis on äriprotsesside väärtuspõhine analüüs

Eesti valmistub 5Gst sõltuva taristu küberkaitseks, kahjustamata reaalseid süsteeme

UUS AUDIO: Küberründeks tuleb valmis olla iga päev

Küberturbes on paranoilisus praegu pigem kasulik

Kuidas luua ettevõtte küberkaitse strateegiat Zero Trust arhitektuuri alusel?

Küberründed Ukraina vastu on valdavalt primitiivsed, ent see võib muutuda

Eesti riigivõrk sai uue tulemüüri, mis iga päev tuvastab tuhandeid rünnakukatseid

Kuhu jäi kübersõda Ukraina vastu või on see alles ees? Toome välja levinumad teooriad

Kui krüptoräkit koputab uksele: mida teha, et väljapressimistarkvara kahju ei teeks?

RIA: uut tüüpi libakirjad kasutavad ära sõda Ukrainas, annetusi küsitakse krüptorahas

Valdkonnauudis

Küberdirektiiv ähvardab Eesti ettevõtteid suurte trahvide ja halduskoormuse kasvuga