Cybersecurity Act Amendment: reporting of near-miss cyber incidents 897 SE

EELNÕU

Küberturvalisuse seaduse muutmise seadus

Küberturvalisuse seaduses tehakse järgmised muudatused:

1) paragrahvi 2 punkt 19 muudetakse ja sõnastatakse järgmiselt:

”19) küberintsident – sündmus, mis kahjustab salvestatavate, edastatavate või töödeldavate andmete või võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste kättesaadavust, autentsus, terviklust või konfidentsiaalsust;”;

2) paragrahvi 2 täiendatakse punktiga 221 järgmises sõnastuses:

”221) napilt toimumata jäänud küberintsident – sündmus, mis oleks võinud kahjustada salvestatavate, edastatavate või töödeldavate andmete või võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste kättesaadavust, autentsust, terviklust või konfidentsiaalsust, kuid mis õnnestus ära hoida või mis ei tekkinud;”;

3) paragrahvi 2 punkt 26 muudetakse ja sõnastatakse järgmiselt:

”26) turvaaudit – võrgu- ja infosüsteemi andmike ja toimingute sõltumatu läbivaatus ning uurimine, et kontrollida üksuse võrgu- ja infosüsteemi turvameetmete adekvaatsust ning vastavust kehtivale infoturvapoliitikale ja tööprotseduuridele, avastada turvarikkeid ning soovitada võimalikke järelduvaid meetme-, poliitika- ja protseduurimuudatusi;”;

4) paragrahvi 2 punkt 32 tunnistatakse kehtetuks;

5) paragrahvi 7 lõige 7 tunnistatakse kehtetuks;

6) paragrahvi 81 lõike 1 punkti 1 täiendatakse pärast sõna ”teavitada” tekstiosaga ”napilt toimumata jäänud küberintsidendist,”;

7) paragrahvi 81 lõike 1 punkti 2 täiendatakse pärast sõna ”teavitada” tekstiosaga ”napilt toimumata jäänud küberintsidendist, küberintsidendist,”;

8) paragrahvi 12 lõiget 41 täiendatakse pärast sõna ”küberohtude” tekstiosaga ”, napilt toimumata jäänud küberintsidentide”;

9) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt:

”(1) Küberintsidentide register (edaspidi register) on Riigi Infosüsteemi Ameti peetav andmekogu, kuhu kantakse napilt toimumata jäänud küberintsidendi, küberintsidendi ja olulise mõjuga küberintsidendi toimumist ning küberohte ja turvahaavatavust kirjeldavad andmed eesmärgiga hallata ja analüüsida registrisse esitatud teavet napilt toimumata jäänud küberintsidentide, küberintsidentide, olulise mõjuga küberintsidentide, küberohtude ja turvahaavatavuste kohta, et neid ennetada või vastavalt kas lahendada või kõrvaldada, ohuteateid edastada ning järelevalvetoiminguid teha.”;

10) paragrahvi 13 lõikes 11 asendatakse tekstiosa ”küberintsidendist,” tekstiosaga ”napilt toimumata jäänud küberintsidendist, küberintsidendist, olulise mõjuga küberintsidendist,”;

11) paragrahvi 13 lõike 5 punkti 1 täiendatakse pärast sõna ”andmeid” sõnadega ”küberintsidentide ja olulise mõjuga”;

12) paragrahvi 16 lõike 11 punkt 1 ja § 17 lõike 11 punkt 1 muudetakse ning sõnastatakse järgmiselt:

”1) teenuseosutaja suhtes kohapealset kontrolli ja kaugjärelevalvet, lähtudes käesoleva seaduse § 14 lõike 6 punktidest 2 ja 3, sealhulgas teha üliolulise üksuse suhtes pistelist kontrolli;”;

13) paragrahvi 16 lõiget 11 ja § 17 lõiget 11 täiendatakse punktiga 11 järgmises sõnastuses:

”11) üliolulise üksuse suhtes vajaduspõhist turvaauditit, mis võib olla muu hulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõude rikkumisest;”;

14) paragrahvi 16 lõiget 11 ja § 17 lõiget 11 täiendatakse punktiga 21 järgmises sõnastuses:

”21) üliolulise üksuse suhtes regulaarseid turvaauditeid üks kord kolme aasta jooksul, välja arvatud juhul, kui ülioluline üksus on kohustatud regulaarselt auditeerima käesoleva seaduse § 7 lõike 5 alusel kehtestatud küberturvalisuse nõuete täitmise raames.”;

15) paragrahvi 174 lõike 2 esimene lause muudetakse ja sõnastatakse järgmiselt:

”Riigi Infosüsteemi Amet teeb igakülgset koostööd elutähtsat teenust korraldava asutuse või tema poolt hädaolukorra seaduse § 37 lõike 5 alusel määratud asutuse, Päästeameti ja Riigikantseleiga ning vahetab nendega teavet elutähtsa teenuse osutajaks määramise ja elutähtsa teenuse osutaja teatatud riskide, küberohtude, napilt toimumata jäänud küberintsidentide, küberintsidentide ja olulise mõjuga küberintsidentide kohta ning elutähtsa teenuse osutajana käsitatavaid üliolulisi üksusi mõjutavate muude asjaomaste olukordade kui riskide, küberohtude ja küberintsidentide kohta ning selliste riskide, ohtude ja intsidentide lahendamiseks võetud meetmete kohta.”;

16) paragrahvi 174 lõikes 4 asendatakse sõnad ”küberintsidentide ja” tekstiosaga ”napilt toimumata jäänud küberintsidentide, küberintsidentide ja olulise mõjuga küberintsidentide ning”;

17) paragrahvi 175 lõike 1 sissejuhatavat lauseosa täiendatakse pärast sõna ”küberohtude” tekstiosaga ”, napilt toimumata jäänud küberintsidentide”;

18) paragrahvi 182 lõikes 1 ja § 183 lõikes 1 asendatakse tekstiosa ”3, 5 või 7” tekstiosaga ”3 või 5”.

Lauri Hussar Riigikogu esimees

Tallinn, 2026

Algatab riigikaitsekomisjon 04.05.2026.

(allkirjastatud digitaalselt) Kalev Stoicescu Riigikaitsekomisjoni esimees