Tere tulemast kuulama, podcast 'i kriitiline intsident. Kuigi eelmise saate lõpus ma lubasin kuulajatele välja, et kohtun teiega uuesti kahe nädala pärast, siis nii nagu te teate, seda ei juhtunud. Nii et minu suured ja siirajad vabandused selle eest, teadupärast septembrikuu algus on selline hästi hektiline ja kiire, loodan, et andestate mulle. Ja et ei oleks väga pahased, olen ma tänases saatesse palunud väga palju külalisi ja väga ühel huvitaval teemal ka. Nimetame nüüd täna teemaks Eesti küberturvalisuse seadus, millel on ilus ja suupärane lühend, erinevalt neist paljudest teistest lühenditest, mis meil varem siin saatest on kõlanud, selleks lühendiks on küts. Ja mina isiklikult küll hakkan nüüd saates siin kasutama seda lühendit, sest et hakata kogu aeg seda pikka lohisevat asja välja ütlema, on väga keeruline ja ka kuulajatele raske. Kütsiga seoses on toimumas suured muudatused, mis vajavadki meil üksipulgi lahti harutamist, rääkimist, vaatamist, et keda, mida, millal see mõjutab, keda see ei mõjuta ja mis üldse kõik see tulevik meile ette toob. Nii, aga kuna stuudios on meil kolm külalist, nii nagu sai juba öeldud, siis juhata nad sisse, hakkame juba asjaga pihta. Meil on külas Justiits - ja Digiministeeriumi riikliku küberturvalisuse talituse juhataja Taavi Viilukas. Tere.
Samuti on Justiits - ja Digiministeeriumist külas küberturvalisuse õigusnõunik Raavo Palu. Tere.
Ja Riigi Infosüsteemi Ametist on ka järelevalve osakonna juht Ilmar Toom.
Mina olen saatejuht Ronald Liive. Nii esmalt selline hea lihtne küsimus teile. Mitte keegi teist ei teadnud, ma hakkan sellist asja küsima. Te kõik olete avalikus sektoris juba mõned aastad siin töötanud. Palun mulle väga detailne ülevaade, millal see küts üldse meile esmalt tuli ja miks meil Eestis oli kunagi aastaid tagasi vajadus sellise seaduse järele? Oskab keegi öelda?
No küberturvalase seadus ise esimene kord või noh, ütleme see praegune kehtiv seadus tuli kaks tuhat kuusteist ja põhjus oli see, et tähendab, ta tuli kaks tuhat kaheksateist jõustus, kaks tuhat kuusteist tuli esimene Euroopa ülene direktiiv, mis võetigi siis küberturvalase seadusena üle. Ja selle mõte oligi nii -öelda panna paika need põhinõuded, reeglid ja kes neid reegleid peavad järgima nii -öelda küberimaailma mõttes, olgu see siis avalikus või erasektoris. Et selle jaoks, et oleks mingi kord ja selgus, kes ja mida peavad tegema.
See tähendab, et selleks ajaks oli tegelikult sellest nii -öelda pronksiööst, kui oli selline suurem küberintsident, mis meid kõiki mõjutas siin Eestis juba kuskil kaksteist aastat möödunud, umbes niimoodi. No ütleme puusalt tulistades, et üle kümne aasta oli möödunud, ehk see vajadus ei tulenenud sellest reaalsest elust, vaid see vajadus noh, see tulenes, aga mitte sellest intsidendist, vaid siis Euroopa Liit ütles ette, et kuulge, et nüüd me peame kõik üheskoos sellise asja peale mõtlema.
No enne nii -öelda selle kübe, kütsi, kasutame lühendit, et enne kütsi tulekut tegelikult ei olnud ju tühi maa. Selles mõttes oli avaliku teabe seaduse alusel nii -öelda sakslaste eeskujul tehtud ISKE, kolmas meil oli etalon -turbe infosüsteem, etalon -turbe süsteem ja see on juba selle aeg ja taust ja ajalugu on tunduvalt pikem kui küts ise. Et kui küts tuli, siis ISKE olemus ja sisu kodeeriti sinna sisse. Tänaseks ajaks on jah, ISKE juba nii -öelda ajaloo teed läinud, aga ja on uued nii -öelda standardid ja nõuded peale tulnud. Et ta ei olnud nii -öelda ainult Euroopa pool. Jah, Euroopa pool hakkas üle -euroopaliselt reguleerima, aga enne seda juba Eesti poole pealt ma nüüd nii täpselt kõiki neid algpõhjuseid ei tea, aga ma arvan ka tõesti, et see kaks tuhat seitse olukord oli ka üks indikaatoritest ja mõjudest, miks ja kuidas hakati siis Eestis küberit reguleerima ja täpsustama.
Ja selle ISKE asemel on meil nii, nagu meie saatekuulajad teavad, siis tänaseks päevaks Eesti Infost ehk E -ITS lühendiga.
Eesti Infoturbe Standard, jah.
Just, mulle neid lühendeid meeldib rohkem koos olla.
Kellele lühendid, kellele, kellele siis pikad nimed, mina ise taas tellistan pikka nime eest, et alati mul läheb mingi aeg, kui ma pean hakkama desinfitseerima, et mida siis seal öeldi. Aga kui me räägime sellest kütsist, siis ju noh, täna me tegelikult räägime siin niis kahest, siis tegelikult ju kütsi ellukutseks oligi niis üks. Et, et selles suhtes, et kui me vaatame ajaloos tagasi, räägime kütsist, algul rääkisime niis ühest, nüüd räägime niis kahest. Et võib -olla ühel peal räägime ka niis kolmest.
Ehk siis see lühend, see niis kaks on taaskord siis Euroopa Liidu poolt tulev direktiiv, mis meile ütleb ette, mida ja kuidas me peame tegema. Mida, kuidas me peame siis tegema, mis muudatusi me, mis muudatused meid ees ootavad?
No võib -olla kui me räägime sellest NIS2 -st, et siis, et hästi palju on, on, mida ma ise kuulen, et hirmul on suured silmad ja, ja nähakse sellist järjekordset Euroopa Liidu poolt suurt tonti tulemas. Ja kui me korraks tuleme tagasi sinna, mõtleme üldse, et noh, miks siis see Nice kaks tuli, eks ju, et noh, mida ta siis tahab, eks ju. Tegelikult ta tahab väga, eesmärk on väga õilis, et ühiskondade sellise toimimisel olulised teenused oleksid küberkaitstud. Ja ma arvan, et kui me mõtleme sellele, et see on eesmärk ja lähtub oma tegevustest sellest eesmärgist, siis ma ütlen, et see on väga õilis eesmärk. Nüüd on küsimus, et kuidas me siis läheme, eks ju. Noh, me oleme võtnud ise seisukoha, et me võtame selle minimaalselt üle. Et noh, siin on ka küsitud, eks ju, et, et aga mida siis noh, kui me ütleme minimaalselt võtame üle, mida siis tähendab maksimaalselt ülevõtmine. Noh, esimene kord, kui ma seda küsimust üldse kuulsin, siis me tõesti mõtleme, et mis asi on maksimaalselt ülevõtmine. Ja jõudsin ise siis iseenda nii -öelda dialoogis siis tulemuseni, et kui minimaalselt tähendab seda, et Euroopa Liit ütleb meile tegelikult valdkonnad, kes siis peavad nii -öelda olema kaitstud küberohtude eest, et siis maksimaalne oleks vist see, kui me ütleme kogu äriregistrile kõik ettevõtted peavad hakkama rakendama, see oleks vist see maksimaalne. Aga seda ei juhtu, me oleme võtnud, võtame üle minimaalselt ehk siis täpselt see, mida Euroopa Liit tahab.
Seda ei juhtu nüüd täna praegu,
ei saa rääkida sellest, mis juhtub siin viie ja kümne ja nii edasi aasta pärast.
See, mis juhtub seal juba seal kümme pluss aasta pärast, ma arvan, et me keegi ei tea, eks ju, et noh, ma inimestele alati ütlen, et oleks keegi viis aastat tagasi ennustanud nii suurt populaarsust. Et keegi ei oleks osanud sellele tulla, see juhtub viis aastat tagasi, nüüd kui me vaatame tulevikku kümme aastat, eks ju, kes räägib kvantarvutitest, kes millestki muust, ma arvan, et me ei peaks tõesti minema sinna, et hakkame nüüd mõtlema, mis tulevik toob. Aga täna on siis see, et täna on siis niis kaks ja võtame selle minimaalselt üle. Need valdkonnad, mis seal on öeldud, need me üle võtame ja rohkem ei taha võtta.
Lähme natuke numbritesse, mida see minimaalselt ülevõtmine ikkagi tähendab. Meil on mingi kogum ettevõtteid, kes, kui sa tegutsed selles valdkonnas, kui su käive on just täpselt nii suur, siis sina pead hakkama nüüd üksipulgi seda küberturulise seadust läbi lugema ja viima oma tegevust sellega vastavusse. Kui palju neid ettevõtteid on?
Praeguste teadmiste juures ütleme, et ma nüüd, ma tean, et see ei ole niisugune hea vastus, aga ma ütleks kaks kuni kolm tuhat. See kolm tuhat tähendab siis seda, et me tegelikult saame öelda selle lõpliku versiooni siis, kui see seadus on vastu võetud, kui ta läheb Riigikogust lugemisse, seal võib tulla muudatusi ja sellepärast oleks, ma hoian meelega sellist teatud sellist vabadust. Aga see suurusjärk on selline ja valdavalt on need eraettevõtted.
Täpsustan Taavi vastust, et need on need, kes juurde tulevad.
tulevad jah, selle muudatusega juurde.
Just, just ette oled juurde, et siis praegu on neid suurusjärk kolm tuhat viissada ja sellele lisandub siis see. Ehk
kokku tuleb sinna kuue tuhande midagi
ja kas need nõuded, mis tulevad neile ettevõtetele nüüd lisaks, on siis üks -ühele samad, mis juba praegu siis kehtivad ja see ongi lihtsalt, et nüüd laiendatakse uutele ettevõtetele.
Ja kui me vaatame nüüd neid olemasolevaid subjekte, kes juba on, siis peavad täitma neid, noh nendele tuleb juurde tõesti minimaalselt, et seal oli vist juhtkonnakoolitus, seal tuli siis etapiline teavitus ja Raavo aita mind ütleb, midagi oli seal veel.
Jah, juhtkonna koolitus on üks, see ehk siis see etapilüli, etapiviisiline teavitus on siis küberintsidendi, küberintsidendist teavitamine. Konkreetsel juhul on siis see, et kui praegu kehtiv seadus ütleb, et RIA -le tuleb anda, Riigi Infosüsteemi Ametile tuleb anda teada kahekümne nelja tunni jooksul, kui midagi juhtub, siis direktiivi enda loogika on see, et tehakse etapiviisiliselt kahekümne nelja tunni jooksul esmane teade. Midagi juhtus ja siis info, mis on olemas tol hetkel, seitsekümmend kaks tundi täpne intsidenditeade, antakse kogu info, mis on tol hetkel olemas. Kuu aja jooksul tehakse see lõppraport ja kui RIA küsib või on mingi vajadus, näiteks asi läheb pikemaks, asja lahendamine, siis tehakse vahearuanne nii -öelda ja seesama lõppraport on vahearuanne, aga. Aga
kõige suurem muutus, mis sealt tuleb, kui me räägime nüüd nii -öelda mõju olemasolevatele siis subjektidele, on siis see, et avalikus sektoris olid juba eelnevalt juba kõik asutused olid juba siis terve asutuse suhtes pidid täitma siis küberturiduse nõudeid. Siis erasektoril oli varasemalt see teenusepõhine. Nüüd tõesti siis suur muudatus, mis tuleb, mis kahega on see, et enam ei ole mitte teenusepõhine, vaid terve siis ettevõtte või organisatsioon. See on üks suur muutus ja, ja see on saanud ka väga palju sellist tagasisidet, et miks nüüd nii, et see on nüüd noh, nüüd me võtame küll nagu järjekordselt rohkem üle. Me tegelikult oleme lasknud isegi advokaadibüroodel nii -öelda teha enda siis õigusanalüüs, et kas me, kas leidub viis, et me saaksime ainult minna teenuse põhjal jätkata. Vastus on, et ei saa, et see ongi Euroopa Liidu siis ja nii -öelda siis nägemus, et terve organisatsioon peab siis küberturvalisuse nõudeid hakkama rakendama. Ta toob põhjenduses ka välja selle, et kui nüüd ta ei rakenda kogu organisatsioonile, vaid ainult selle konkreetse teenusele, et siis endiselt jääb üle, jääb üles selline ründevektor ehk siis ta kasutab siis mitteolulisi teenuseid nende oluliste teenuste ründamiseks. Et see on nende põhjus ja, ja tänane seis on see, et see on tõesti olemasolevate siis subjektidele kõige suurem muudatus.
Toome vestlusesse ka Riigi Infosüsteemi Ameti esindaja sisse, et kui mina nii -öelda pelgalt, kui ma lugesin seda eelnõud ja vaatasin, siis minu peas lõi, et nagu peaaegu nii -öelda topelttööd saate ju juurde põhimõtteliselt. Samas kui me oleme hästi nii -öelda küberkaitstud ja meie ettevõtted on küberhügieeni järgivad, siis loodetavasti juhtub midagi, no reaalsus on ju meil midagi muud. Kuidas RIA kõigeks selleks valmis on?
Ja et RIA on tegemas erinevaid tegevusi, neid on palju ja mitmeid ja nagu siin ka varem läbi käis, et, et ega ju olemasolevatele see muutus ei ole nii radikaalne. Ja, ja samamoodi on see, et, et ka täna Riia tegeleb juba rohkemate üksuste või ettevõtete ja organisatsioonidega, kui, kui päris nii -öelda otseselt GÜTSi subjektid on. Ehk et me püüame katta ka nii -öelda laiemat osa ühiskonnast ja elanikkonnast ja see, et nüüd üks osa neist tuleb ka siis GÜTSi subjektiks ja on nii -öelda asjade loomulik käik, mille siis niis kahe ülevõtmine on tinginud. Ja, ja nüüd meil on, ütleme, tegevusi on, on tõesti erinevaid ja mitmeid, alates pihta teadlikkuse tõstmisest, mida RIA teeb pidevalt ja, ja päris suurel määral. Meil on erinevaid kampaaniaid erinevatele sihtgruppidele. Samamoodi tooks välja, eks ole, siis standardi uuendamise, mis käib ka ajaga kaasas ja kogu aeg arvestab siis uute lisanduvate ohtudega. Arvestab muud muudatustega õigusruumis ja, ja nii edasi, et, et selles mõttes on, ka standard käib ajaga kaasas. Samamoodi tegeleme kriitilise infra kaitsmisega. Samamoodi me arvestame neid asju tulevikus nüüd järelevalves. Kui me teeme ka täiendavaid koolitusi või muud teadlikkuse tõstmise üritusi. Ning kindlasti ka meie CERT on, on see, kes hoiab oma silmad pärani lahti ja seirab meie viiperuumi.
Käis läbi see erinevad sihtgrupid, kui ma seda eelnõud lugesin, siis ma toon võrdluse GDPR -i maailmast, ehk siis juhatusel on isiklik vastutus, siis nüüd selle muudatusega täpselt samamoodi. Minu teada praegu RIA näiteks teeb neid küberteste. Kas need praegu ka saadetakse ettevõtete juhatuse liikmetele ja öeldakse, et kuuled, et nüüd olge head, tehke või see ongi see, mis tänu sellele muudatusele te hakkate laiendama?
Need, kes praegu teevad kübertesti, siis see saadetakse ikkagi tervele organisatsioonile. Ja nemad
ise siis otsustavad, et kes nüüd meie seast hakkab seda tegema.
Just. Võib -olla mainiks siinkohal ära ka selle, et kui siin oli sellest juhtkonna koolitamisest juttu, et siis tegelikult see juhtkonna koolitamine on ka tänases ehituses sees ja, ja meie arvates ja meie vaates on see hästi oluline. Et, et juhtkond oleks siis kursis asjadega, et nad oleksid teadlikud, saaksid aru, mida tähendab küberturvalisus ja kuidas see nende organisatsiooni osutatavaid teenuseid võib mõjutada. See on hästi oluline selleks, et aidata neid teenuseid siis toimida.
Kas mõnes mõttes siis tänu e -itsile me oleme juba teinud siin Eestis omal algatusel nii -öelda rohkem ja enamat, kui meilt varem nii -öelda Euroopa Liidu poolt oodati ja nüüd NIS kahe kaudu tulevad meile mingid nõuded, millele tegelikult me oleme juba kõik need tööd oleme ära teinud, saame linnukese kirja panna ja kõik eluga edasi minna.
Ja kindlasti on, on seal ka selliseid elemente, aga teiseks on ka neid uusi asju, et ma arvan üldse, et, et kogu see meie küts, mis kaks tuhat kaheksateist jõustus, oli tegelikult noh, toona juba nii -öelda tugevalt üle võetud. Ehk et me võtsime, mis, mis üks ise natukene nagu nõudis vähem, aga, aga Eesti kui, kui hästi digimaailmale orienteeritud riik ja, ja kuna meie ühiskondlikud sõltuvused on e -teenustest hästi suured, siis seetõttu on ka meie vajadus oma e -teenuseid kaitsta suur ja seetõttu osutati sellele juba rohkem tähelepanu. Ja nagu Raaboga varem ütles, et Iske oli meil siis Eitsi eelkäija. Ja tegelikult see kehtis meil juba aastast kaks tuhat neli. Me oleme juba üle kahekümne aasta olnud tegelikult infoturbe rakendamise rajal.
Hästi palju igasugu lühendeid ja, ja kõike sellist väga, minu jaoks väga huvitavat juttu, aga üritame siis kuulata, tõmmata ka neid kuulajaid tagasi, kelle jaoks see on teema võib -olla natukene võõras veel. Räägime trahvidest. Sellest saavad kõik aru või? Kui sa ületad kiirust, saad trahvi. Kui nüüd minu ettevõte, ütleme, et peab järgima seda kütsi ja ma ei tee seda, siis kuidas, kelle käest, kui palju ma trahvi võin saada? Mis need trahvimäärad on ja kõike seda?
Ja et ka siin NIS2 annab meil tegelikult need piirid ilusti ette. Ja ega siin palju nende läbirääkimist meil ei ole. Ehk siis üliõuline üksus, mis siis on ära defineeritud NIS2 -s, on kuni kümme miljonit või nii kui, või kuni kaks protsenti käibest. Ja on olemas siis teine mõiste, oluline üksus ja siis kuni seitse miljonit või kuni üks koma neli protsenti käibest. Ja need summad on öeldud, et on liiga suured, aga me ei saa seda siinkohas kitsendada. Et need on siis, me saame tõsta, kui me tahaksime, aga seda me ei tee. Et see on nüüd jälle see miinimum versus siis maksimum, eks ju.
Ja seda ma kujutan ette, et siis on, et esmalt kahekümne nelja tunni jooksul pead teavituse tegema, siis seitsmekümne kahe tunni jooksul selle detailsema. Ja kui sa nii -öelda need kaks asja juba jätad tegemata, siis pane oma rahakott valmis.
No jah, tõesti nendest trahvidest rääkides ma alati pean ütlema, et see trahv on ikkagi äärmuslik meede. Pahatihti loetakse, seda kuulatakse kümme miljonit, mõeldakse, et nüüd ma pean kohe kümme miljonit maksma. Noh, alustame ikkagi sellest, et kõigepealt on need nõuded on täitmiseks, kui sa neid nõudeid täidad, siis ei peaks seda trahvi summa siin üldse huvitama. Ja trahvi summaga ja seal taga, kui me jõuame sinna, Ilmar saab parandada mind, aga see on ikkagi pahatahtlik, korduvalt ignoreeritud siis ettekirjutistele, et see ei ole nüüd see, et kohe tuleme trahviga. Miskipärast meile jah, meeldib nagu mõelda, et kui on trahv, et siis justkui kõik kirjutame selle oma järgmise aasta eelarvesse sisse, no ei ole see nüüd.
Ilmar, kui palju hetkel Eestis selliseid ettevõtteid on, mis, mille puhul nagu küll nii -öelda nimekiri on arvutis paigas, et vot nüüd ma ootan seda kuupäeva, kui see küts on jõustunud ja siis me läheme ja teeme ära.
Meil ei ole sellist nimekirja, et juba ette tehtud, et vot nüüd me sinna läheme, et kindlasti vastab tõele see, mis Taavi ütles, et trahv ei ole eesmärk, trahv on tõesti see nii -öelda tagumine vahend, millega siis mõjutada asutusi ja ettevõtteid. Et eeskätt me tegeleme ikkagi sellega, et vaatame, kas nõuded on täidetud või mitte, kui nad ei ole täidetud, uurime, mis põhjusel nad ei ole täidetud ja laseme need asjad korda teha. Ja, ja selles mõttes ka nagu sa tõid sisse selle intsidendi teema, et intsidendist teavitamine kindlasti ei ole see, et, et siis me teame, kellele trahvi teha. Intsidendi teavitamise põhjused on ikkagi hoopis teised, alates siin trendide jälgimisest ja, ja teiste hoiatamisest ja nii edasi. Sellel, selles mõttes otsene puutumus, mis järelevalve ka puudub ja, ja ka järelevalve poole peal on see, et see trahv on ju tõesti see kõige tagumine meede, mis kaasneb nagu väärteomenetlusega. Et kui me räägime haldusmenetlusest, siis seal on haldus ja riiklik järelevalve ja seal me räägime siis, kui siis sunnirahast riikliku järelevalve puhul.
Ja nii palju võin lohutuseks kuulajatele öelda, et olles hoidnud kätt pulsil GDPR -i või siis eesti keele ICUM -i toimetamistel, tegemistel, siis seal on ju samuti väga suured trahvimäärad. Kui minu mälu mind ei peta, Eestis pole seda kordagi rakendatud ja kõik, mida Andmekaitse Inspektsioon on üritanud teha, on kohtus vaidlustatud ja alles värskelt tuli ka üks kohtuotsus, kus tühistati Andmekaitse Inspektsiooni trahvimäära otsus, nii et meil võib olla küll selline karm regulatsioon mitmete miljonitega, aga praktika võib midagi muud olla. No
kui me korraks veel trahvidelt mõtleme, siis ma ise alati olen palunud inimestel mõelda korraks, et noh, kui me räägime niis kahest, eks ju, mis, kes tahab või mis tahab ühtlustada siis Euroopa seda ruumi. Me ei ole ju huvitatud sellest, et Eestisse tuleksid ettevõtted, kes teadlikult vilistavad igasugusele kübertule nõuetele ja nad tulevad siia Eestisse, sellepärast nende teades siin trahvirahad on väiksed, et seda me ei taha, korraks mõtleme, et need on trahvirahad, määrad kehtivad kogu Euroopa Liidus. Et võib -olla see natuke aitab inimesi kaasa. Ja huvitaval kombel ma jäin nagu mõtlema, et see ei ole esimene, kes toob just sellesamase näite, et aga nüüd ma jätsin selle intsidendi teavituse tegemata, et kas nüüd mul tuleb siis see suur trahv. Et noh, ütleme see intsidendi teavitus ja kübernõuete siis mittetäitmine, need on selles suhtes on, ma ütleks väga erineva kaaluga, et kindlasti seda ei tasu nüüd ju karta. See ei tähenda seda, et ma nüüd kutsun üles, et ärge nüüd teavitusi tehke, ei kindlasti mitte. Et teavitus on jällegi põhjusega, et riik oleks kursis, et me teaksime, suudaksime ennetada ka teid, nii -öelda ütleme siis, et me saaksime kasutada kellegi õppetundi teiste siis harimiseks.
Kas me saame natukene rääkida sellest ka, et millised ettevõtted ikkagi selle alla kuuluvad, kas on, mis see lävend on, kui palju mu käive peab olema, millistes valdkondades ma pean tegutsema? No mulle endale lihtsalt jäi meelde, kuna ma ei tea, mis põhjusel, mulle kuidagi tundus nagu natukene kummaline, et Eesti Rahvusringhääling on ka nüüd see kohuslane ja varem nad ei olnud. Samas nende kohustus on see, et kui meil läheb siin midagi väga hullust ja nemad peaksid inimesi ju teavitama koheselt, et kuulge, nüüd on vot see oht, on ta siis nende telekanal, raadiokanal, mis iganes, nemad peaksid seda informatsiooni edastama. Aga kui nemad ei ole ise nii -öelda küberturvatud, küberkaitstud, siis neil seda väga raske teha. Selles mõttes on mul väga hea meel, et nad seal on, aga see oli nagu natukene kummastav mulle, et alles nüüd siis.
Pean parandama, nad on praegugi kütsis. Nad on nii nagu öeldud, nad on ainult teatud teenuse osas. Jah, nüüd nad muutuvad tervikuna, kui vaadata, kui ütleme kaks tuhat kakskümmend kaks me tegime kütsis muudatusi. Tolle käigus me tegime ka selle muudatuse, et ERR -i puhul see oli nagu pikemaajalisem muudatus, kas see oli kakskümmend kuus või kakskümmend seitse aasta algus, oli see mõte, et nad tulevad terve organisatsioonina, aga kuna nüüd. Me läheme juba selle NIS2 enda loogika, terve organisatsioon tuleb sisse, siis me juba teeme selle muudatuse NIS2 -ga ära nii -öelda enne seda, kui too muudatus oli mõeldud nii -öelda. Aga küsimus on, et kes sinna sisse tulevad või niimoodi, et natukene tehnilist detaili, juriidikat, ehk siis. Liskaks ise räägib sellistest tegelastest nagu elutähtis üksus ja oluline üksus. Eelnõus me oleme kasutanud vastavalt siis ülioluline üksus ja oluline üksus. Ja miks on see vahetegu? Ütleme niimoodi, et need määratakse, me paneme seaduse tasandile need täpselt paika, kes need on. Ja ütleme nende kahe grupi erinev erisus on järelevalve liik natuke ja need samad, mis me just rääkisime, trahvide määrad nii -öelda. Aga kes need sinna alla tulevad, et kui vaadata seda esimest gruppi üliolulised, et siis mõned näited, et noh, ütleme riigisektor ehk siis keskvalitsused ja omavalitsused tulevad sinna. Ja paljud, paljud ka need, kes on juba praegu kütsis endas juba sees, olgu see siis kriitilise tähtsusega side teenuse osutajad, side teenuse osutaja nii -öelda või näiteks elutähtsa teenuse osutajad hädaolukorra seaduse alusel. Et kes siis, kelle teenuseta ilmselt elu nii lihtsalt ei toimi, ütleme siis niimoodi. Aga, ja tippdomini nimed ja registrid näiteks, ehk siis Eesti interneti sihtasutus põhimõtteliselt. Aga kes sinna veel tulevad, kvalifitseeritud usalduse teenuse osutajad näiteks. Ja no ütleme, sinna subjektide ringi, olgu see siis üliolulise alla või olulise alla, on kahel viisil. Üks on need, kes on nii, nii lihtsalt öeldes saba ja karvadega ehk siis kogu organisatsioonina. Ja teatud tegelased või organisatsioonid tulevad niimoodi, et kui tal on teatud kriteeriumid täidetud, lisaks sellele tegevusalale, mis ta tegeleb. Ja see kriteerium on siis Euroopa ühe komisjoni soovitusega keskmise suurusega ettevõtja. On see kohe ei ütle midagi, aga ütleme esmane niisugune kõige lihtsam näide, et kui su miinimumlävendid selle jaoks on viiskümmend töötajat ja siis aastakäive või aasta bilanss on kümme miljonit eurot siis. Et kui on näiteks kuuskümmend töötajat, siis oled ja kui tegeled selle valdkonnaga, mis selle keskmise suurusega ettevõtjaga on seotud, siis tuled sisse. Nii,
aga mul tuli nüüd üks mõte. Eestlastele meeldib nagu natuke skeemitada. Ma teen ettevõtte, loodan, et sellist ettevõtet ei eksisteeri, ütleme, ma ei tea, ütlen uks OÜ. Okei, kindlasti on olemas. Ja mul on seal nelikümmend üheksa toötajat ja siis ma teen tütarettevõtte Aken OÜ. Ja seal on, mul on ka tead, nelikümmend üheksa töötajat näiteks. Kas, kas ma siis nii -öelda pääsen sellest läbi, et ma ei ole siis kütsikohuslane, kuna minu, nad on ju erinevad ettevõtted, okei, nad on küll üks on nii -öelda tütarettevõte, aga mõlemas on alla viiekümne töötaja.
Siin on mitu detaili, üks asi on töötajate kriteerium, mida just praegu selgitasid, aga nagu ma ütlesin, on finantskriteerium juures, ehk siis aasta bilanss ja aastakäive. Et kui sealt tulevad üle mõlemad näiteks need üle kümne miljoni on, siis ei ole küsimust, siis oled sees. Jah, me vaatleme ka emaettevõtet, tütarettevõtet eraldi, ehk siis aga seal tuleb ka need detailid tulevad juurde, et kuidas need seosettevõtted omavahel seostuvad ja kui palju nende infosüsteemid nagu omavahel nagu üksteisest sõltuvad, et kui palju näiteks üks. Ma ei tea, emaettevõte näiteks osutab IT -teenust, tütarele, tütarettevõttele ka, et kui palju nende infosüsteemide asjad on seotud, et, et saada aru, et nad on ikkagi üks asi on juriidiliselt, teine asi on nagu faktiliselt ja sisuliselt ka päris lahus nii -öelda. Et see on, detailid on selle kohta olemas, ütleme, see on üsna detailne see ja nüansirohke olukord, aga need, selle kohta on ka täpsemad selgitused ja selles samas me paneme ka kodulehele asjad need ülesse, kas siis justiitsministeerium või RIA, et me täpselt lepime kokku. Aga need selgitused, asjad nagu on juba varasemalt juba valmistatud ja mida me siis taaskasutame sellesama selgitamiseks, et kes see siis on, see keskmise suurusega. Ja üks eraldi detail on ka see, et noh, ütleme minimaalne on see keskmise suurusega ettevõtja. Nüüd see, et kas ta läheb üliolulise alla või läheb olulise alla, hakkab ka sellest, et teatud valdkonnad on, kui ta on suurettevõtja, see on siis kakssada viiskümmend töötajat. Ja nüüd ma võin eksida, kumba pidi ta oli, kontrollin üle igaks juhuks, et kui tegemist on selle finants ja näitajad on natuke erinevad, üks oli viiskümmend miljonit, teine nelikümmend kolm miljonit, et aga sama kontseptsioon on ja sama loogika on. Ja need, kes on see suurettevõtjad, need lähevad kõik siis ülioluliste alla ja kui sealt jäävad väiksemad ja teatud valdkonnad on ka eraldiseisvalt. Kui ta on keskmisemad, siis ta lähevad oluliste alla. Et see vahetegu on kõik puhtalt direktiivi enda tõttu.
Ma ise ka enda ütlust mainisin oluline ja ülioluline, et võib -olla sa selgitad ka ära, mis vahe neil on?
Põhimõtteliselt nende kahe vahe ongi siis seesama nii -öelda nimekirjade erinevus natukene. Ja mis nende mõju on või noh, ütleme kumba nimekirja satud, sõltubki sellest, et kuidas järelevalu kord on. Ehk siis kas, kas tehakse ennetavat järelevalvet või mitte, on see põhiküsimus ja teine on seesama trahvide asi ehk siis trahvide ülemmäärad, mitte siis igakordne trahv, et rõhutan, nagu eelnev jutt oli, et see, see on trahvi ülemmäär, mitte igakordse trahvi suurus.
Ehk siis, kuhu ma tahtsin jõuda, nõuded on samad, küberduse nõuded on samad?
Jah, küberi need põhinõuded on samad, mis me enne ka rääkisime turvameetmetest, rääkisime Ace 'ist korraks. Et enne kogu seda Nice kahe muudatusi on meil ministeeriumil koostöös RIA -ga ja väga suure RIA abiga on meil ette valmistatud nii -öelda esmased turvameetmed. lühendina veits, mis RIA kasutab, AC portaalis on need üleval. Selle mõte on see, et kõik, kes teevad, kõik, kes on kütsi subjektid, olgu siis täna või siis nii -öelda peale selle eelnõu jõustumist. Kõik teevad seda, neid baasasju ehk siis esmaseid turvameetmeid ja detailsus hakkab nüüd sellest, et järgmine aste ongi siis see Ace või ISO, mis on praegugi alternatiivina ISO kakskümmend seitse tuhat. Ja see detailsus nagu siis paneme nagu sellesama eelnõuga paika, et see muudatus, mis ma praegult just räägin, see soov on jõustada enne selle aasta lõppu, et siin sügisel planeeritud on siis oktoobri algus nii -öelda.
Ja ma tahtsin just lisada, et, et see nii -öelda siis võrgu infosüsteemide turvameetmed, eks ju, et noh, me ise nimelt, kuna see nimi on pikk ja lohakas või lohisev, siis me ise kasutame määrust sada kakskümmend üks. Et tavaliselt, kui ma teen ettekannet kusagil, siis ma alati ütlen, et te ju kõik teate, mis on määrus sada kakskümmend üks. Kõik naeravad, aga ma olen kindel, et iga kord, kui ma selle oma nii -öelda ettekande on lõpetanud, siis kõik teavad väga täpselt, mis on sada kakskümmend üks. Me oleme plaaninud siis tõesti selle jõustumiseks oktoobrikuu. See ma ütlen ära, et see plaanimine on, on, on väga oluline seal ees, et me täna, ma ei saa öelda, et ta jõustub, aga me plaan, oleme plaaninud siis, et ta jõustub oktoobris.
Selle aasta oktoobrist, aga, aga nii -öelda.
Ja seal on ja ütleme, mis on selle kogu see eesmärk, ongi ikkagi siis vähendada seda halduse töökoormust, ehk siis neile kehtib selline kindlasti tulevikus, praegu on seal vist, kui ma ei eksi, oli viiskümmend kaks erinevat meedet, me oleme kokku leppinud, et sinna jääb alati alla saja meetme. Ma ütleks, et see on küll kõikidele jõukohane, et kui me räägime siin sellest, et, et noh, järjekordselt tuleb riik, teeb mingid muudatused, siis see muudatus teeb hoopis, mina ütleks, teeb lihtsamaks. Ja küsimus, et noh, kui ma ütlen nagu lihtsamaks, jällegi kõlab nagu valesti, ma annan justkui nagu vale signaali, et, et kas siis tuleb nõuetes alla? Ei, et tegelikult see põhjus on ju selles, et kui me nõudsime Eesti infoturbe standardi täitmist tegelikult siis ettevõttel puudus, siis vastav kompetentsi, teadmine, kogemus, siis ei ole ju mõtet ette neile kirjutada, et nad peavad tegema seda, toda ja kolmandat. Selle mõte ongi siis selles, et nüüd see, kel puudub, aidata neid olema küberturvaline. Need viiskümmend kaks meedet on ilusti detailis, väga täpsed juhised, mida nad tegema peavad. Ja RIA enda kodulehel ka paneb juurde ka selgitavad tekstid, et kõik saaksid aru. Noh, see klassikaline näide on, eks ju, et ma võin ju öelda, et mis turvaline parool, parool, eks ju. Aga noh, mis siis see on turvaline pool, kas kala üks, kaks, kolm on turvaline, on ju. Esimene täht on suur täht, numbreid kasutan ka, justkui tuleb see nii -öelda tähtede arv ka täis. Ehk siis väga konkreetsed juhised, et noh, mis on siis see turvaline parool.
Kas see tähendab seda, et RIA hakkab üks hetkel tegema nii -öelda parooli generaatorit, et ennetada seda, et meie ettevõtted ei langeks ohvriks?
Parooli generaatoreid on kõik kohad täis, neid me ei pea hakkama juurde tootma. Pigem on oluline, et need rakendajad saaksid aru selle olulisusest ja vajadusest. Ja, ja nagu siin oli ka juttu nendest erinevatest standarditest või nõuete kogumistest, siis võib -olla ka ära mainida seda, et lisaks on RIA valmimas ka üks tugirakendus, mis aitab siis mõlema standardit. Mitte küll rakendada otseselt, küll aga saada aru, mida on vaja teha ja, ja kusmaal ollakse, et võluri nimeline ja see on ka portaalis olemas juba esialgsel kujul. Ja ma tahtsin korra võib -olla täpsustada ka või täiendada seda skeemitamise teemat, et, et jah, muidugi, et alati on, on võimalik konstrueerida erinevaid skeeme ja, ja punuda mingeid mõtteid, et kuidas mingist nõudest kõrvale nihverdada. Aga, aga siin on mõistlik korraga ikkagi nagu aru saada sellest, et, et need nõuded ei ole tegelikult mõeldud siin ettevõtete kiusamiseks ja nende elu raskemaks tegemiseks. Vaid tulenevalt meie siin muutunud olukorrast ja, ja kogu selle digimaailma arengust ongi oluline, et teenused oleksid turvalised. Et selles mõttes on, on need nõuded ka ikkagi selle ettevõtja enda huvides ja, ja kui ta siis jõuab mingile niisugusele küpsustasemele, et ta saab sellest aru, et siis ta võib -olla ka ei, ei kipu nii väga nihverdama sellest ära ja saab aru, et, et tänu nendele turvameetmetele saab tema organisatsioon, tema ettevõte, tema teenus ja toode saavad turvalisemaks. Ja see teeb teda ennast ju õnneliku.
Ehk siis just mängi kuulama, räägime turvalisusest, aga tegelikult me räägime toimepidevuse tagamisest küberri vaates ja see on oluline. Et kui me räägime, et ettevõte, kes tahab nihverdada, noh, see kõlab natuke ka sellise oksa saagimise peal, kus sa ise istud. Ehk seesamane toimepidevus, kuidas tagada see, et see teenus, mida ta pakub, teenus toimiks ja oluline on nüüd üks on toimimine ja teine nüüd see, et ta toimiks turvaliselt, et minu andmed ei lekiks.
Kui ma kuulan ikkagi seda ministeeriumi poole pealt siit tulevat juttu, siis mulle jääb ikkagi arusaam ja tegelikult ka Ilmari enda juttu, et Riigi Infosüsteemi Amet saab kuhjaga tööd juurde. Just seesama osakond, mida te juhite, et ma ei tea, kui palju teil praegu töötajaid on, võite täpsustada ja nüüd tänu sellele te peate, ma ei tea, kümme, kakskümmend, viiskümmend, sada tuhat inimest juurde võtma.
Meil ei ole plaani tervet maja järelevalvajaid täis värvata, et seda kindlasti mitte. Ning on ka üsna selge, et jah, tõepoolest me ei jõua iga kütsi subjekti juurde siin lähemal ajal. Ja, ja ma arvan, et see ei ole ka vajalik, aga oluline ongi see, et, et nendega tegeletakse erinevatel siis tasanditel, et järelevalve ei ole ainukene, vaid meil on ka, eks ole, ennetus ja, ja kõik, kõik muud teemad. Ning see, kuidas, kuidas me oma järelevalve tööplaanidega liigume mingisuguste ettevõtete juurde, noh, see on terve pikk temaatika, aga oluline siin on see, et me seame oma prioriteete, meil on ohuprognoosid, mille alusel me siis valime, ütleme, hindama neid erinevaid sektoreid ja erinevaid viise, mis neid võivad ohustada. Selle tulemusel siis valime need, kelle juurde me kõige -kõige esimeses järjekorras läheme, et kelle juures on, on reaalne koht, et seal võib olla mingisugune mure, mis vaja kaasa aitab, aidata.
Ehkki RIA tuleb mängu siis, kui te üritate ennetada või kui asi on juba kehvaks läinud. Aga kelle ülesanne on see, et teada, et vot see ettevõte on kütsikohuslane. Kas see on selle ettevõtja enda vaja teada, et kui sa oled juba selline, selline, sellise ettevõtte loonud, sa oled tegutsev, sa pead olema Eesti seadusandlusega kursis ja kui seal on kirjas, et nii peab olema, siis nii peab olema või on see ministeerium või RIA või keegi kolmas, kes saadab sulle üldmeilile kirja, kuule, vot sinul on täidetud need, need tingimused. Palun loe seda seadust, ole kursis, me ei tee sulle midagi, me lihtsalt praegu teavitame, et sa oleksid teavitatud.
No nüüd küsimus lõppes juba vastusega ära, et tõesti selline plaan on koostöös siis ka ITL -iga, et need subjektid saaksidki siis teada, et neil on, need on määratud, nad kuuluvad sinna ja mida nad tegelikult tegema peavad. Küsimus ei ole nüüd ainult selles, et paneme teada, et sa oled nüüd kütsi subjekt, vaid mida see tähendab, mis on need sammud, mida ta peab tegema. Ja tulevikus on plaan ka see, et eesti .ee portaalist saab iga ettevõtja saab kontrollida, kas ta on see kütsi subjekt või mitte. Et sellised plaanid on ja ma usun, et, et see on jällegi see poole, kus noh, riik ei, ei kehtesta nüüd jälle nõudeid vaikselt kusagil omaette, vaid me tõesti anname ka siis subjektidele teada. Ma olen uurinud siit põhjanaabrite käest, et kuidas nemad on plaaninud teha teavitust, siis noh, nemad on küll, ütlesid, et mitte mingisugust teavitust. Kas nad on oma meelt muutunud, mul puudub see, see teadmine, aga meie näeme küll seda teed, et, et mõistlik on anda teada.
Kas see teavitus tuleb üks kord, tuleb ära ja rohkem mitte või on mingi meeletuletus ka niimoodi kord aastas vähemalt või midagi taolist?
Praeguste plaanide kohaselt on nii, et, et kõigepealt tuleb üks ühine teavituskampaania, siis koostöös ITL -iga ja, ja hiljem on see, et RIA -l on valmimas ka üks tugirakendus, mis siis peaks subjektidele teada andma, et nad on subjektid. Ja nagu Taavi ütles, siis eesti .ee kodanikuportaali vahendusel, ehk et nii kui nad sinna ettevõtja rollis sisse logivad, on seal olemas siis juba see nii -öelda suure bännerina teavitus, et vot lugupeetud OÜ nii ja naa, et te olete siis kütsi subjekt ja sellega kaasnevad sellised kohustused koos viitega, et kus siis nüüd edasi lugeda ja rohkem infot saada selle kohta, et mida, mida see siis ikkagi tähendab ja kust nüüd siis pihta peaks hakkama.
Kas te olete mõelnud ka selle peale, et teha koostööd näiteks Maksu - ja Tolliametiga, et kui see ettevõtja logib just Maksu - ja Tolliameti sisse, et ka seal oleks analoogne teavitus, sest võib -olla ta satub sinna rohkem kui eesti .ee -sse.
Ma arvan, et me oleme avatud erinevatele viisidele, võimalustele, kuidas seda teavet nende tulevaste subjektideni võimalikult hästi ja palju viia.
Kuna siin sai juba viidatud veebilehtedele, mis veel vist alles natukene valmivad, kus saab detailsemalt kõige selle kohta lugeda, siis ma teen ka reklaami. See on küll kõik üks uhke suur geeniuse podcast ikkagi, aga senimaani, kuni see lehekülg veel valmis ei ole, siis geeniuse lehekülg on valmis. , mis meie digibüroo portaalis saate ka artiklit lugeda, kus on mõned, ma ütlen, mõned nii -öelda valdkonnad nimetatud, mida see siis puudutab, tippige sisse oma otsingumootorist. Eesti seisab silmitsi küberturvalisuse reformiga ja küll te siis selle artikli üles leiate. Aga ma lähen edasi, vot sellise küsimusega. Ma ei tea, kas ma, ma ütlen, et Raavo, palun. Oskate vastata sellele, et et seal minu teada eelnõus oli küll jah, et ta teil jõustub, see kuupäev käis läbi, aga see ei ole päris nii, et nüüd vot see kuupäev kukkus ja kõik on, vaid te annate mingi see nagu ülemineku aja vist ka oli.
Just nii, ehk siis igal eelnõul peab olema konkreetne jõustumiskuupäev, aga see ei tähenda, et kõik asjad peavad selleks ajaks valmis olema. Need on kaks eraldi teemat ja praegu on planeeritud eelnõu ise jõustuma. Soovime saata see Riigikokku ja et seal menetleks ära esimene jaanuar kaks tuhat kakskümmend kuus. Küll aga millal need konkreetsed kütsi subjektid, üksused, oma asjad kõik hakkavad korda tegema? Üldreegel kolm aastat, et siis, kui ütleme need vanad subjektid saavad ka oma tegevuste, asjade kordategemiseks kolm aastat, ehk siis kehtiva seaduse subjektid, siis uued põhimõtteliselt on ka kolm aastat, erisus on mõlema konteksti, tähendab uute, ainuke erisus on elutähtsa teenuse osutajad, see on seotud ühe teise õigusaktiga ehk siis hädaolukorra seadusega. Seal muutus see loogika, kuidas neid elutähtsaid teinud suusatajaid ehk siis etosid, kasutame jälle lõendit. Et kuidas neid määratakse, et loogika on nüüd see, et tehakse haldusakt. Ja kui need, kellel tehti nüüd peale järgmise, eelmise aasta ehk siis kaks tuhat kakskümmend neli oktoobrit, kui too seaduse muudatused jõustusid. Kui on tehtud haldusakt, siis nemad lähtuvad sealsest korrast, et seal võib anda kuni viis aastat selles samas haldusaktis üleminekuperioodiks selle, selles kontekstis. Aga need, kes olid enne seda oktoobrit, eelmist aastat elu, elutähtsa teenuse osutajad, siis neil on seesama üldreegel kolm aastat.
Kas see üleminekuperiood on ka üle Euroopa Liidu ühene või siin on erisusi?
Siin ei ole me nii -öelda, ütleme, siin on seinast seina selle kohta, ühtset reeglit ei ole, ütleme niimoodi, see on lühike lause ja vastus, see on see, mis me oleme Eesti poole pealt otsustanud, et.
Ehk siis siit tuleb ikkagi mängu see, et kui Taavi ütles, et, et ei taha, et tekiks see olukord, et ettevõte tehakse justkui nagu juriidiliselt Eestis, tegelikult tegevus toimub kuskil mujal, meil on need trahvimäärad on väiksemad, kõike seda, et kui trahvimääru üle liidu on üks seesama,
samas kui see üleminekuperiood on erinev, siis jutt juures jälle saab skeemitada.
Skeemitada saab, ma ei ütle, et tuleb skeemitada, aga ütleme see, mis on siis need nõuded, nagu me rääkisime. Esmalt järeleval asutus, ütleme praegusel juhul Eesti puhul RIA -le teavitame oma andmetest, mis skeemitamist seal saab teha, no siin kolm aastat sa ei anna seda infot teada. Selle jaoks on ka isegi ülemineku säte, on loogika see, et kolme kuu jooksul, kui saad, ütleme kui tuleb RIA kaudu info või. Seesama ettevõtja saab aru, et ma tegelen teemaga, mis kütsi alla tuleb, ma annan ise teada. Järgmine asi on seesama intsidentides teavitamise asi, noh kui ta teab, et ta peab sinna teavitama, mis game 'it ja mis siin saab olla. Ja kolmas on seesama, mis on see kõige suurem blokk ja mis on see murekoht, alati on olnud see turvameetmed ja nende rakendamine. Jah, seal on seda küpsuse taseme saavutamine, tegelikult see ongi see üleminekuperioodi jaoks on see mõeldud. Aga noh, ütleme, kui juba hakatakse, need, kes teavad, et nad tulevad kütsi alla, minu üleskutse on, et hakake juba praegu tegelema, et ärge oodake, kuni küts jõustub. Ärge, kui on selgelt näha, et te tulete sinna alla, et noh oleme, sest riigikogus võib muutuda seadus, me ei saa, seda me ei saa ju muud nii -öelda ette prognoosida, mis seal toimub. Aga kui vaadata praegult seda, mis on direktiivi enda nii -öelda need organisatsioonid, kes sisse tulevad, on needsamad, kes praegult eelnõus on. Ja no kui nad juba teavad, et tegelevad sellise või tolle valdkonnaga ühe või teisega, nad võivad juba praegu tegelema hakata.
Ja ma tõsiselt tahaks loota, et need ettevõtted, kes sinna tulevad, tegelikult ma räägin, et suurettevõtetest juba tegutsevad selles valdkonnas. Aga ma ütlen selle skeemitamise vastu, et mis siis alternatiiv on, et esimesel jaanuaril ütleme seadus jõustub ja siis teisel veebruaril tuleb Ilmar sisse, ütleb, et nüüd kümme miljonit. Et see üleminekuperiood, seda on varem rakendatud ja ma usun, et see on mõistlik, et me võtame tegelikult läheme edasi nii -öelda Eesti tavas, nii nagu meil on olnud tavaks.
Ma jätaks lõpetuseks sellise väga lihtsa küsimuse, on see, meil on see teavitamine on läbi käinud, need kõik need kakskümmend neli tundi, seitsekümmend kaks tundi. Aga kuidas, kas lihtsalt info, et riia .ee, kuulge, midagi juhtus appi, kõik maja põleb noh, mitte füüsilises mõttes maja ei põle, vaid, vaid mul tead IT -süsteemidesse saadi sisse ja tehti seda teiste kolmandate kõike niimoodi või on teil mingi teistsugune süsteem tulemas või on juba olemas?
kõige levinum viis teavitamiseks on spetsiaalsete kanalite kaudu ja üheks peamiseks võimaluseks on raport .cert .ee on üks niisugune lihtne veebivorm, kus mõnede väljade äratäitmise järel, järgselt saabki juba selle teavituse ära teha. Muidugi CERT, kes neid teavitusi vastu võtab, on ka ütelnud, et nad võtavad need vastu nii -öelda igal võimalikul viisil, et oluline on, et info jõuaks kohale, infot on võimalik siis analüüsida, vahetusel ka küsida küsimusi juurde ja, ja nii et, et pigem seal oleme ka paindlikud nende kanalite ja viiside suhtes, oluline on, et info liiguks.
Ja meeletuletuseks, et CERT -i puhul see on mehitatud kakskümmend neli seitse, ehk siis kui sul ka see intsident juhtub öösel ja sa mingil põhjusel soovidki kohe ka öösel teavitada, sa võid selle teha ja see, kui öösel midagi muud parasjagu käsil ei ole, siis sellega hakatakse kohe ka töötama.
Ja on reaalne inimene, kes võtab selle info vastu ja hakkab tegelema, jah. .
See, mis puudutab nüüd teavitusi ja NIS kahte, et siis see on nüüd küll see koht, kus ma ei häbene ütlemast, et mulle tundub, et siin reguleeriti üle. Et meil on olemas seesamune raport .ee, meil on üks teavitus ja tegelikult nüüd kui me NIS kaks direktiivi loeme sõna -sõnalt maha, et siis selgub, et me peaksime tegelikult tegema mitu teavitust ja kõigepealt tuleb esmane hoiatus, siis tuleb teavitus, siis tuleb järelteavitus ja lõpuks lõppraport. Ja me lasime tegelikult sellele nii -öelda siis niis kahe ülevõtmise eelnõule teha ka sellise miinimumvastavuse hinnangu. Ja me saime päris neid punkte, mis puudutasid teavitus, oli neli -viis kohta, kus meil öeldi, et me oleme võtnud nüüd rohkem kui minimaalses mahus üle. Aga see alternatiiv oleks olnud siis see, et esmane teavitus on üks teavitumisvorm, siis tuleb see nii -öelda teavitus, intsidendi teavitus, see on teine vorm, siis tuleb vahearuanne on kolmas vorm ja siis tuleb lõppraport, mis on neljas vorm. See üks vorm tegelikult on väga hea, seda just samat ühte vormi saab lihtsalt neli korda täita, et nii kui info juurde tuleb. Et see on nüüd üks tõesti koht, kus ma ütlen, et siis me saime selle tagasiside nii -öelda advokaadibüroolt õiguste analüüsist, et me oleme siis võtnud mitte minimaalses mahus üle. Aga me ei pea nii -öelda kõike siis nii asju nii keeruliseks ajama.
Aga ärme saa asju keeruliseks. Paneme meie tänasele salvestusele punkti. Juttu jätkuks meile tõesti kauemaks. See tundub väga huvitav ja, ja paeluv teema, see hakkab meid väga paljusid mõjutama.
Ja ma tahtsin öelda, et kui nüüd see saade hakkas, siis ma jäin kuulama, et meil on väga huvitav teema, et väga mõnus oli kuulata, meil on huvitav teema.
Ja meil oli tõesti huvitav teema ja võime veel kunagi tulevikus siin kohtuda, kui meil tuleb esimene kümne miljoni eurone trahv ära ja rääkida, et miks see niimoodi juhtus, sest et tegelikult IT -maailmas ju tehakse neid post -nortumeid, vaadatakse sisse, et miks nii läks. Et õppetundidest vigadest saab õppida ja loodame, et ei juhtu midagi sellist, aga elu näitab.
Võib -olla teeme siis niimoodi, et võib -olla ärme vaata Eesti konteksti, et vaatame siis kogu Euroopat, et kui kusagil Euroopas tuleb see kümme miljonit, et siis tuleme istume siia maha ja arutame, mis seal siis juhtus.
Teeme nii, selline sai sellekordne kriitiline intsident. Nagu te kuulsite, siis kütsi muudatusest hästi üksipulgi rääkisime, ma usun, et suur hulk inimesi on nüüd palju targemad. Ettevõtjad teavad, mida nüüd teha ja kui nad veel ei tea, siis nad kohe oma IT -poistele, IT -meestele, IT -naistele ütlevad, et kuulge, nüüd kuula see saade ära ja, ja me peame midagi ette võtma. Stuudios oli külas Justiits - ja Digiministeeriumi riikliku küberturvalisuse talituse juhataja Taavi Viilukas. Samuti Justiits - ja Digiministeeriumist küberturvalisuse õigusnõunik Raavo Palu ja Riigi Infosüsteemi Ameti Järelevalve osakonna juht Ilmar Toom. Mina olin saatejuht Ronald Liive, aitäh, et kuulasite. Kui sulle see saade meeldis, jaga seda oma sõpradega, kolleegidega, tuttavatega. Saad subscribe 'ida või tellida ka meie podcast 'i oma lemmik Taskuhäälingu äpist rakendusest. Ja mina ütlen teile, et kuulmiseni järgmisel korral.
[ TRANSKRIPTSIOONI LÕPP ]