Subject: Tagasiside pilvetehnoloogiate ja tehisaru arendamise määruse ettepaneku kohta (CADA)
From: "Virko Vaht" <[email-masked]>
To: "Justiits- ja Digiministeerium" <[email-masked]>
Cc: "Riho Lodi" <[email-masked]>, "rasmus.lumi" <[email-masked]>
Date: Tue, 11 Aug 2026 16:54:46 +0300

Tere!

Edastan Välisministeeriumi tagasiside pilvetehnoloogiate ja tehisaru
arendamise määruse ettepaneku kohta (CADA)

Üldine seisukoht

CADA eelnõu eesmärgid on Eestile strateegiliselt sobilikud, kuid eelnõu
vajab olulisi täpsustusi riikliku julgeoleku pädevuse, kolmandate riikide
usaldusväärsuse, välisesinduste, rakendustähtaegade ja väikeriigi
halduskoormuse osas.

Eesti toetab Euroopa Liidu pilve- ja tehisaruvõimekuse, tehnoloogilise
suveräänsuse ning digitaalsete tarneahelate toimepidevuse tugevdamist.
Toetame ühtset riskipõhist pilvesuveräänsuse raamistikku, teenusepõhist
hindamist, Euroopa-ülest tunnustamist, avatud standardite ja avatud
lähtekoodi edendamist ning liikmesriikide vabatahtlikku ühishanget ja
taristu jagamist. Riskihindamine annab võimaluse kasutada
pilvetehnoloogiaid ja tehnoloogiaid selliselt, et turbeeesmärgid ei jääks
tahaplaanile ja ka moodsad tehnoloogilised lahendused saaksid efektiivselt
kasutatud.

Samas peab CADA rakendama avatud strateegilise autonoomia põhimõtet.
Euroopa Liidu võimekuse kasvatamine ei tohiks tähendada usaldusväärsete
partnerite, sealhulgas NATO liitlaste ja ELi lähedaste partnerite
põhjendamatut kõrvaldamist. Nõuded peavad olema riskipõhised,
proportsionaalsed ja tehnoloogianeutraalsed. Avatud lähtekoodi nõue annab
võimaluse usaldusväärstust paremini hinnata.

Liikmesriigi välis-, kaitse- ja julgeolekupoliitika, salastatud teabe
kaitse valdkondades peab riskihinnangute lõplik otsustusõigus jääma
liikmesriigile. Samuti tuleb arvestada välisteenistuste eripäraga:
liikmesriikide saatkonnad, konsulaadid ja kriisimeeskonnad tegutsevad
väljaspool Euroopa Liitu ning peavad suhtlema ka vähem tehnoloogiliselt
usaldusväärsete partneritega.

Enne siduvate hanke- ja migratsioonikohustuste rakendumist peab olema
olemas piisav arv tunnustatud teenuseid, toimiv audititurg, keskregister
ning realistlik üleminekuperiood. Selleks tuleb viia eelnõu tähtajad
mõjuhinnanguga kooskõlla: artikli 7 lõikes 5 sätestatud riikliku
strateegia kolmeaastane hindamistsükkel tuleks asendada viieaastase
põhitsükliga, artikli 29 lõikes 1 sätestatud riskihindamise kaheaastane
tsükkel nelja-aastase põhitsükliga ning artikli 29 lõikes 6 sätestatud
12-kuuline migratsiooniperiood riskipõhise, keerukate süsteemide puhul
vähemalt 24–36-kuulise üleminekuperioodiga. Artiklis 48 tuleb ette näha
etapiviisiline rakendumine, mille kohaselt artiklite 29 ja 30 kohustused
rakenduvad alles pärast seda, kui keskregister, auditikord ja piisav
tunnustatud teenuste pakkumine on tegelikult olemas. Olemasolevatele
lepingutele tuleb kehtestada eraldi üleminekukord.

Välisministeerium toetab järgmisi ettepanekuid:

1.	ELi pilve- ja AI-võimekuse suurendamist ning sõltuvuse vähendamist
üksikutest kolmandate riikide teenusepakkujatest.
2.	Neljatasemelist ja kasutusjuhtumipõhist suveräänsusraamistikku.
See on parem kui ühetaoline „kõik peab olema Euroopa pilves” nõue, sest
välisteenistused töötavad ka kolmandates riikides.
3.	Teenuse, mitte üksnes teenusepakkuja hindamist. Ühel pakkujal
võivad olla erineva suveräänsustasemega teenused.
4.	Ühekordse auditi tunnustamist kogu ELis ja keskse tunnustatud
teenuste registri loomist.
5.	Kolmanda riigi õigusest, välisriigi ligipääsust, sanktsioonidest,
teenuse katkestamisest ja tarnijalukust tulenevate riskide käsitlemist.
6.	Mitme tarnija ja mitme pilve strateegia hindamist.
7.	Euroopa avaliku sektori vabatahtlikku ühishanget ja EuroCloud
Federationit, eriti kui see parandab väikeriikide läbirääkimispositsiooni.
8.	Avatud standardeid, läbipaistvat tarkvara tarneahelat, SBOM-i ning
turvalise ja hooldatud avatud lähtekoodi kasutamist. Avatud lähtekoodi
kasutamine suurendab tarkvara tarneahela läbipaistvust ja võimaldab
teenusepakkuja kinnituste kõrval teha sõltumatut ning automatiseeritud
koodikontrolli. Lähtekoodile ja sõltuvusteabele saab rakendada staatilist
koodianalüüsi, tarkvarakomponentide analüüsi, haavatavuste ja saladuste
skaneerimist, litsentsikontrolli ning SBOM-i kontrollimist. See aitab
haavatavusi ja soovimatuid sõltuvusi varem tuvastada ning vähendab
sõltuvust ühe teenusepakkuja kinnisest tehnoloogiast. Avatud lähtekood ei
ole siiski automaatselt turvaline: eelduseks on selge hooldusvastutus,
turvauuendused, kontrollitud väljalasked ja jätkusuutlik rahastus.
9.	Andmekeskuste energiatõhususe, jääksoojuse kasutamise ja
regionaalse tasakaalu parandamist.
10.	EFTA riikide ja kandidaatriikide võimalikku osalemist
ühishangetes, kui tagatud on samaväärsed julgeoleku- ja hanketingimused.

Välisministeerium ei peaks praegusel kujul toetama järgmisi lahendusi:

1.	Komisjoni võimalust liikmesriigi riikliku julgeoleku
riskihinnangut sisuliselt asendada. Riiklik julgeolek jääb Euroopa Liidu
lepingu artikli 4 lõike 2 kohaselt liikmesriigi ainuvastutuseks ning
komisjonil ei tohiks olla õigust riigisaladust, kaitset või muid riikliku
julgeoleku funktsioone puudutavat liikmesriigi hinnangut alandada või
asendada. Komisjon võib anda metoodilisi juhiseid ja nõuda põhjendusi,
kuid lõplik otsustusõigus peab jääma liikmesriigile.
2.	Artiklis 18 sätestatud liiga absoluutseid kolmanda riigi
tunnustamise tingimusi. Nõue, et kolmandal riigil ei tohi olla ühtegi
teenuse katkestamist, tehnoloogia piiramist või sanktsioonide rakendamist
võimaldavat meedet, võib välistada ka NATO liitlased ja teised lähedased
partnerid. Absoluutsete tingimuste asemel tuleb hinnata konkreetseid
õiguslikke, tehnilisi ja organisatsioonilisi kaitsemeetmeid, tõhusaid
õiguskaitsevahendeid, vastastikkust ning tegelikku riski. Tunnustamine
peab olema võimalik ka ELi ja kolmanda riigi siduva lepingu alusel.
3.	12-kuulist maksimaalset migratsioonitähtaega. Keerukate ja
kriitiliste infosüsteemide migratsioon hõlmab rakenduste kohandamist,
andmete ülekandmist, integratsioonide ümbertegemist, turvatestimist ja
teenuse toimepidevuse tagamist. Mõjuhinnang modelleerib migratsioone viie
aasta jooksul ning hindab suure ministeeriumi migratsioonikulu 16,6–18,6
miljonile eurole. Liiga kiire migratsioon võib ise põhjustada suurema
toimepidevus- ja julgeolekuriski. Seetõttu tuleb võimaldada riskipõhist,
keerukate süsteemide puhul vähemalt 24–36-kuulist perioodi koos
vahe-eesmärkide ja ajutiste maandamismeetmetega.
4.	Kohustust määrata vähemalt üks andmekeskuse kiirendusala kuue kuu
jooksul sõltumata riiklikust vajadusest. Kiirendusala loomine sõltub riigi
ruumilisest planeerimisest, elektrivõrgu võimsusest, maa ja vee
kättesaadavusest, keskkonnamõjust ning julgeolekuhinnangust. Mõjuhinnangu
järgi võib menetlus Tallinnas kesta 6–24 kuud ja üle 10 MW võrguühendus
1–3 aastat või enam. Kiirendusala määramine peab sõltuma riiklikust
vajadusest ja strateegiast ning selleks tuleb anda vähemalt 18 kuud.
5.	Määratlemata 25% eesmärki innovaatiliste VKEde hangetele. Eelnõus
puuduvad „innovaatilise VKE” määratlus, mõõtmisperiood ja selgus, kas
osakaalu arvestatakse lepingute arvu või rahalise väärtuse järgi. Väikesel
turul võib jäik osakaal põhjustada hangete kunstlikku killustamist,
vähendada konkurentsi või sundida valima teenuse, mis ei vasta
toimepidevus- ja julgeolekunõuetele. Eesmärk peab olema soovituslik või
seda tuleb hinnata mitme aasta keskmisena koos põhjendatud eranditega.
6.	„AI first” põhimõtet juhul, kui seda käsitatakse AI kasutamise
vaikimisi kohustusena. Kõik protsessid ja andmed ei vaja AI-põhist
töötlemist ning AI kasutamine ei pruugi olla põhjendatud andmete
juurdepääsupiirangu, töötlemise eesmärgi, kvaliteedi, selgitatavuse,
maksumuse või riskihinnangu tõttu. Põhimõte tuleks sõnastada kujul „AI
where appropriate”, säilitades võimaluse põhjendatult AI-d mitte kasutada.
7.	Eeldust, et ELi kodakondsus iseenesest tõendab personali
usaldusväärsust. Juurdepääs Eesti riigisaladusele sõltub Eesti õigusest,
julgeolekukontrollist, teadmisvajadusest ja pädeva Eesti asutuse otsusest.
Salastatud välisteabele juurdepääs sõltub lisaks teabe avaldaja
tingimustest ja asjakohasest julgeolekukokkuleppest. Teise liikmesriigi
julgeolekukontroll ei tohi automaatselt anda juurdepääsu Eesti
riigisaladusele. Kodakondsuse asemel tuleb lähtuda tegelikust ligipääsust,
julgeolekukontrollist, teadmisvajadusest ja riigi julgeolekuasutuse või
riikliku julgeolekuasutuse nõusolekust.

Välisministeeriumi hinnangul tuleks täpsustada:

1.	Mõistete „avalik kord”, „riiklik julgeolek”, „väga kriitiline
kasutusjuhtum” ja „tundlik teave” piirid.
2.	CADA suhe liikmesriigi juurdepääsupiiranguga teabe, sealhulgas
riigi välissuhtlemist kahjustada võiva teabe, riigisaladuse ja salastatud
välisteabe töötlemise ning julgeolekukontrolli nõuetega vajab selget
määratlemist. Eelkõige tuleb säilitada liikmesriigi iseseisev
otsustusõigus oma riigisaladuse töötlemise, töötlemiskoha, töötlemiseks
kasutatava taristu ja isikute juurdepääsu üle. Salastatud välisteabe puhul
tuleb järgida teabe avaldaja kehtestatud piiranguid ja kohaldatavaid
rahvusvahelisi kokkuleppeid.
3.	Kas komisjon saab artikli 29 lõike 5 alusel liikmesriigi määratud
taset nii tõsta kui ka langetada.
4.	Millises ulatuses tuleb riskihinnangu tulemusi komisjonile
edastada ja kuidas kaitstakse salastatud või operatiivselt tundlikku
teavet.
5.	Välisesinduste, konsulaatide ja kriisimeeskondade ELi-välise
andmetöötluse käsitlemine.
6.	Välisesindus asub vastuvõtva riigi territooriumil ning teenusele
välisesindusest ligipääs või seal toimuv lokaalne töötlus võib tähendada
andmete töötlemist kolmandas riigis. CADA peab eristama teenusepakkuja
pilvetaristus toimuvat töötlemist kasutajapoolsest ligipääsust ja
välisesinduses vältimatult toimuvast lokaalsest töötlusest. Liikmesriigi
kontrolli all olev turvaline ligipääs või lokaalne töötlus välisesinduses
ei tohiks automaatselt põhjustada kogu pilveteenuse tunnustustaseme
kaotamist, kui rakendatud on riskile vastavad tehnilised ja korralduslikud
meetmed.
7.	Täpsustada kolmanda riigi või pilveteenuse tunnustamise,
peatamise, taastamise ja kehtetuks tunnistamise menetlus. Määrus peab
sätestama otsuse alused, etteteatamise, teenusepakkuja ja kasutaja
ärakuulamise, vaidlustamisvõimaluse, keskregistri uuendamise tähtaja ning
otsuse mõju olemasolevatele lepingutele. Kui tunnustuse kaotamine ei
tulene vahetust julgeolekuohust, tuleb võimaldada kriitiliste teenuste
toimepidevust säilitav üleminekuperiood ja ajutised maandamismeetmed.
8.	„Innovaatilise VKE” definitsioon ning 25% eesmärgi arvutamine
lepingu arvu või rahalise väärtuse põhjal.
9.	Rakendumise sidumine tunnustatud teenuste registri,
auditivõimekuse ja vajalike rakendusaktide tegeliku valmimisega.
10.	Lisa II punkti 3.1(g) viide artiklile 19 peaks tõenäoliselt olema
viide artiklile 18 ning artikli 30 lõikes 4 on kaks alapunkti tähistatud
tähega „a”.

Eesti ja Välisministeeriumi spetsiifilised asjaolud:

1.	VM-il on ülemaailmne välisesinduste võrk. Osa turvalisest
lokaalsest töötlemisest, tehnilisest toest ja kriisiühendusest võib
vältimatult toimuda väljaspool ELi.
2.	Juurdepääsupiiranguga teave või välissuhtlemisteave,
konsulaarsuhtluse või -teenuse käigus edastatavad isikuandmed,
eriliigilised isikuandmed, sanktsioonidega seotud info, kriisiohje ja
riigisaladust sisaldav teave vajavad tavalisest avalikust haldusest
erinevaid kontrollimehhanisme.
3.	Välispartnerilt saadud teabele võivad kehtida päritoluriigi või
rahvusvahelise organisatsiooni edasikasutuse piirangud ehk originator
control.
4.	Eesti jt väiksemate liiskmesriikide pilve- ja audititurg on kasin.
Mõjuhinnangu eeldus, et pädeva asutuse ülesannete täitmiseks piisab 0,2
täistööajast liikmesriigi kohta, ei ole artiklites 17 ja 25–28 kirjeldatud
ülesannete juures usutav.
5.	Mõjuhinnang hindab esialgse suveräänsusriskide analüüsi mahuks
ligikaudu 10 täistööaastat ja kordushindamise mahuks 5 täistööaastat.
6.	Eesti andmekeskuste puhul hindab mõjuhinnang menetlusajaks 6–24
kuud ning suure ühendusvõimsuse puhul elektrivõrguga liitumiseks 1–3
aastat. Seetõttu ei ole 12-kuuline absoluutne menetlustähtaeg alati riigi
kontrolli all.
7.	Eesti avalik sektor juba kasutab avatud lähtekoodi ja avatud
standardeid, sealhulgas X-teed. Seda saab tuua positiivse näitena, kuid
avatud lähtekoodiga peab kaasnema jätkusuutlik hooldus ja turvavastutus.
8.	Mõjuhinnang
9.	VM-i kasutusjuhtude võimalik indikatiivne jaotus
10.	See ei asenda artikli 29 riskihindamist, kuid aitab põhjendada,
miks üks tase ei sobi kogu VM-ile. St artikkel 29 osas tuleks veel eraldi
riskianalüüs vms sooritada.

Eraldi tuleb määratleda välisesinduse erand: VM peab saama kasutada
turvalist lokaalset töötlemist ja tuge ELi-välises esinduses, ilma et kogu
teenus kaotaks seetõttu automaatselt oma tunnustustaseme.

1.	Avalikud veebid, avalik info ja madala kriitilisusega teenused
2.	Tavapärased haldus- ja koostööteenused, milles puudub
juurdepääsupiiranguga teave või välissuhtlemisteave või riigisaladust
sisaldav teave.
3.	Juurdepääsu piiranguga teave ja isikuandmetega konsulaarinfo,
kriisiohje tugiteenused ning kõrgema toimepidevusvajadusega teenused
4.	Salastatud teave, kõige kriitilisemad riikliku julgeoleku ja
kaitsega seotud funktsioonid;  tõenäoliselt eraldatud riiklik või
privaatpilv või on-premises lahendus.

Viis kõige olulisemat läbirääkimisprioriteeti

1.	Riikliku julgeoleku riskihinnangu lõplik otsustusõigus ja tundlike
tulemuste konfidentsiaalsus.
2.	Realistlik, partnerluspõhine artikkel 18 usaldusväärsete
kolmandate riikide kohta.
3.	Selge erikord välisesindustele, konsulaarteenustele ja
ELi-välisele kriisitegevusele, kus kolmandate riikidega suhtlemine pole
nende välditav isegi kui usaldushinnang on madal.
4.	Rakendustähtajad, migratsiooniperioodid ja halduskoormus tuleb
viia mõjuhinnanguga kooskõlla.
5.	Kõrgete suveräänsustasemete tehnilised vastuolud tuleb parandada,
sealhulgas riistvara, audiitorite rotatsioon ja personali usaldusväärsus.

Parimat

Virko Vaht

1. büroo direktor | IT osakond

+372 637 7342 | +372 53 880 171

Välisministeerium

Islandi väljak 1 | 15049 Tallinn

 <http://www.vm.ee/> www.vm.ee |  <https://twitter.com/MFAestonia>
@MFAestonia