Jah, juhtkonna koolitus on üks, see ehk siis see etapilüli, etapiviisiline teavitus on siis küberintsidendi, küberintsidendist teavitamine. Konkreetsel juhul on siis see, et kui praegu kehtiv seadus ütleb, et RIA -le tuleb anda, Riigi Infosüsteemi Ametile tuleb anda teada kahekümne nelja tunni jooksul, kui midagi juhtub, siis direktiivi enda loogika on see, et tehakse etapiviisiliselt kahekümne nelja tunni jooksul esmane teade. Midagi juhtus ja siis info, mis on olemas tol hetkel, seitsekümmend kaks tundi täpne intsidenditeade, antakse kogu info, mis on tol hetkel olemas. Kuu aja jooksul tehakse see lõppraport ja kui RIA küsib või on mingi vajadus, näiteks asi läheb pikemaks, asja lahendamine, siis tehakse vahearuanne nii -öelda ja seesama lõppraport on vahearuanne, aga. Aga
Toome vestlusesse ka Riigi Infosüsteemi Ameti esindaja sisse, et kui mina nii -öelda pelgalt, kui ma lugesin seda eelnõud ja vaatasin, siis minu peas lõi, et nagu peaaegu nii -öelda topelttööd saate ju juurde põhimõtteliselt. Samas kui me oleme hästi nii -öelda küberkaitstud ja meie ettevõtted on küberhügieeni järgivad, siis loodetavasti juhtub midagi, no reaalsus on ju meil midagi muud. Kuidas RIA kõigeks selleks valmis on?
Pean parandama, nad on praegugi kütsis. Nad on nii nagu öeldud, nad on ainult teatud teenuse osas. Jah, nüüd nad muutuvad tervikuna, kui vaadata, kui ütleme kaks tuhat kakskümmend kaks me tegime kütsis muudatusi. Tolle käigus me tegime ka selle muudatuse, et ERR -i puhul see oli nagu pikemaajalisem muudatus, kas see oli kakskümmend kuus või kakskümmend seitse aasta algus, oli see mõte, et nad tulevad terve organisatsioonina, aga kuna nüüd. Me läheme juba selle NIS2 enda loogika, terve organisatsioon tuleb sisse, siis me juba teeme selle muudatuse NIS2 -ga ära nii -öelda enne seda, kui too muudatus oli mõeldud nii -öelda. Aga küsimus on, et kes sinna sisse tulevad või niimoodi, et natukene tehnilist detaili, juriidikat, ehk siis. Liskaks ise räägib sellistest tegelastest nagu elutähtis üksus ja oluline üksus. Eelnõus me oleme kasutanud vastavalt siis ülioluline üksus ja oluline üksus. Ja miks on see vahetegu? Ütleme niimoodi, et need määratakse, me paneme seaduse tasandile need täpselt paika, kes need on. Ja ütleme nende kahe grupi erinev erisus on järelevalve liik natuke ja need samad, mis me just rääkisime, trahvide määrad nii -öelda. Aga kes need sinna alla tulevad, et kui vaadata seda esimest gruppi üliolulised, et siis mõned näited, et noh, ütleme riigisektor ehk siis keskvalitsused ja omavalitsused tulevad sinna. Ja paljud, paljud ka need, kes on juba praegu kütsis endas juba sees, olgu see siis kriitilise tähtsusega side teenuse osutajad, side teenuse osutaja nii -öelda või näiteks elutähtsa teenuse osutajad hädaolukorra seaduse alusel. Et kes siis, kelle teenuseta ilmselt elu nii lihtsalt ei toimi, ütleme siis niimoodi. Aga, ja tippdomini nimed ja registrid näiteks, ehk siis Eesti interneti sihtasutus põhimõtteliselt. Aga kes sinna veel tulevad, kvalifitseeritud usalduse teenuse osutajad näiteks. Ja no ütleme, sinna subjektide ringi, olgu see siis üliolulise alla või olulise alla, on kahel viisil. Üks on need, kes on nii, nii lihtsalt öeldes saba ja karvadega ehk siis kogu organisatsioonina. Ja teatud tegelased või organisatsioonid tulevad niimoodi, et kui tal on teatud kriteeriumid täidetud, lisaks sellele tegevusalale, mis ta tegeleb. Ja see kriteerium on siis Euroopa ühe komisjoni soovitusega keskmise suurusega ettevõtja. On see kohe ei ütle midagi, aga ütleme esmane niisugune kõige lihtsam näide, et kui su miinimumlävendid selle jaoks on viiskümmend töötajat ja siis aastakäive või aasta bilanss on kümme miljonit eurot siis. Et kui on näiteks kuuskümmend töötajat, siis oled ja kui tegeled selle valdkonnaga, mis selle keskmise suurusega ettevõtjaga on seotud, siis tuled sisse. Nii,
Kui ma kuulan ikkagi seda ministeeriumi poole pealt siit tulevat juttu, siis mulle jääb ikkagi arusaam ja tegelikult ka Ilmari enda juttu, et Riigi Infosüsteemi Amet saab kuhjaga tööd juurde. Just seesama osakond, mida te juhite, et ma ei tea, kui palju teil praegu töötajaid on, võite täpsustada ja nüüd tänu sellele te peate, ma ei tea, kümme, kakskümmend, viiskümmend, sada tuhat inimest juurde võtma.
Just nii, ehk siis igal eelnõul peab olema konkreetne jõustumiskuupäev, aga see ei tähenda, et kõik asjad peavad selleks ajaks valmis olema. Need on kaks eraldi teemat ja praegu on planeeritud eelnõu ise jõustuma. Soovime saata see Riigikokku ja et seal menetleks ära esimene jaanuar kaks tuhat kakskümmend kuus. Küll aga millal need konkreetsed kütsi subjektid, üksused, oma asjad kõik hakkavad korda tegema? Üldreegel kolm aastat, et siis, kui ütleme need vanad subjektid saavad ka oma tegevuste, asjade kordategemiseks kolm aastat, ehk siis kehtiva seaduse subjektid, siis uued põhimõtteliselt on ka kolm aastat, erisus on mõlema konteksti, tähendab uute, ainuke erisus on elutähtsa teenuse osutajad, see on seotud ühe teise õigusaktiga ehk siis hädaolukorra seadusega. Seal muutus see loogika, kuidas neid elutähtsaid teinud suusatajaid ehk siis etosid, kasutame jälle lõendit. Et kuidas neid määratakse, et loogika on nüüd see, et tehakse haldusakt. Ja kui need, kellel tehti nüüd peale järgmise, eelmise aasta ehk siis kaks tuhat kakskümmend neli oktoobrit, kui too seaduse muudatused jõustusid. Kui on tehtud haldusakt, siis nemad lähtuvad sealsest korrast, et seal võib anda kuni viis aastat selles samas haldusaktis üleminekuperioodiks selle, selles kontekstis. Aga need, kes olid enne seda oktoobrit, eelmist aastat elu, elutähtsa teenuse osutajad, siis neil on seesama üldreegel kolm aastat.
Skeemitada saab, ma ei ütle, et tuleb skeemitada, aga ütleme see, mis on siis need nõuded, nagu me rääkisime. Esmalt järeleval asutus, ütleme praegusel juhul Eesti puhul RIA -le teavitame oma andmetest, mis skeemitamist seal saab teha, no siin kolm aastat sa ei anna seda infot teada. Selle jaoks on ka isegi ülemineku säte, on loogika see, et kolme kuu jooksul, kui saad, ütleme kui tuleb RIA kaudu info või. Seesama ettevõtja saab aru, et ma tegelen teemaga, mis kütsi alla tuleb, ma annan ise teada. Järgmine asi on seesama intsidentides teavitamise asi, noh kui ta teab, et ta peab sinna teavitama, mis game 'it ja mis siin saab olla. Ja kolmas on seesama, mis on see kõige suurem blokk ja mis on see murekoht, alati on olnud see turvameetmed ja nende rakendamine. Jah, seal on seda küpsuse taseme saavutamine, tegelikult see ongi see üleminekuperioodi jaoks on see mõeldud. Aga noh, ütleme, kui juba hakatakse, need, kes teavad, et nad tulevad kütsi alla, minu üleskutse on, et hakake juba praegu tegelema, et ärge oodake, kuni küts jõustub. Ärge, kui on selgelt näha, et te tulete sinna alla, et noh oleme, sest riigikogus võib muutuda seadus, me ei saa, seda me ei saa ju muud nii -öelda ette prognoosida, mis seal toimub. Aga kui vaadata praegult seda, mis on direktiivi enda nii -öelda need organisatsioonid, kes sisse tulevad, on needsamad, kes praegult eelnõus on. Ja no kui nad juba teavad, et tegelevad sellise või tolle valdkonnaga ühe või teisega, nad võivad juba praegu tegelema hakata.
Teeme nii, selline sai sellekordne kriitiline intsident. Nagu te kuulsite, siis kütsi muudatusest hästi üksipulgi rääkisime, ma usun, et suur hulk inimesi on nüüd palju targemad. Ettevõtjad teavad, mida nüüd teha ja kui nad veel ei tea, siis nad kohe oma IT -poistele, IT -meestele, IT -naistele ütlevad, et kuulge, nüüd kuula see saade ära ja, ja me peame midagi ette võtma. Stuudios oli külas Justiits - ja Digiministeeriumi riikliku küberturvalisuse talituse juhataja Taavi Viilukas. Samuti Justiits - ja Digiministeeriumist küberturvalisuse õigusnõunik Raavo Palu ja Riigi Infosüsteemi Ameti Järelevalve osakonna juht Ilmar Toom. Mina olin saatejuht Ronald Liive, aitäh, et kuulasite. Kui sulle see saade meeldis, jaga seda oma sõpradega, kolleegidega, tuttavatega. Saad subscribe 'ida või tellida ka meie podcast 'i oma lemmik Taskuhäälingu äpist rakendusest. Ja mina ütlen teile, et kuulmiseni järgmisel korral.
[ TRANSKRIPTSIOONI LÕPP ]