Subject: Re: Küsimused pilvteenuse kasutamise määruse osas
From: "Liina Lumiste" <[email-masked]>
To: "Ave Metsla" <[email-masked]>
Date: Sat, 24 Feb 2024 10:45:25 +0200

Tere!

Edastan selgitused teie 26. jaanuari pöördumises esitatud küsimustele:

1.	Kas oskate öelda, mida tähendab „andmetöötlusressursside kogum, mis on 
paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata“? 
Mõni näide mida selle all mõeldakse?
2.	Kas kuskil on lahti kirjutatud pilvandmetöötlusteenuse mõiste? Kui mitte, 
siis mis on selle sisu? Kas see, et saadame oma andmeid mõnest enda 
infosüsteemist kuhugi pilveteenusesse, seal midagi toimub nende 
andmetega/luuakse väärtus/töödeldakse ja toome siis oma rakendusse tagasi? 
Või tähendab see midagi muud?

Vastus kahele eelnevale küsimusele:

Küberturvalisuse seaduse § 2 punkt 7 pakub pilvandmetöötlusteenuse 
definitsiooni, mille kohaselt on see infoühiskonna teenus, mis võimaldab 
juurdepääsu andmetöötlusressursside kogumile, mis on paindlikult jagatav 
ning laiendatav võrgu- ja infosüsteemi ennast muutmata. Tegemist on 
teenusega, mille puhul andmeid töödeldakse, säilitatakse ja edastatakse 
digitaalkujul andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste 
vahendite abil, seejuures osapooled ei viibi üheaegselt samas kohas. KüTS-i 
termin on üle võetud Euroopa Parlamendi ja nõukogu direktiivist (EL) 
2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide 
turvalisuse ühtlaselt kõrge tase kogu liidus (edaspidi NIS-i direktiiv,  vt 
nt põhjenduspunkt 17).

KÜTS-i seletuskirjas on terminit „andmetöötlusressursside kogumile, mis on 
paindlikult jagatav ning laiendatav võrgu- ja infosüsteemi ennast muutmata“ 
täiendavalt selgitatud: „Andmetöötlusressursid hõlmavad selliseid ressursse 
nagu võrgud, serverid või muu taristu, hoidlad, rakendused ja teenused. 
Mõistet „paindlik kogum“ kasutatakse selliste andmetöötlusressursside 
kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt 
nõudlusele, et kiiresti suurendada või vähendada kättesaadavaid ressursse 
vastavalt töökoormusele. Mõistet „jagatav“ kasutatakse selliste 
andmetöötlusressursside kirjeldamiseks, mida pakutakse paljudele 
kasutajatele, kellel on ühine juurdepääs teenusele, kuid andmete töötlemine 
toimub eraldi iga kasutaja jaoks, kuigi teenust osutatakse samade 
elektrooniliste seadmete abil.“

Seega on määruse termin „andmetöötlusressursside kogum, mis on paindlikult 
jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata“ ning ’pilveandmetöötlusteenus’ 
sisult sama teenus, vahe määruse mõistes seisneb selles, et lg 1 juhul pakub 
seda „kohaliku omavalitsuse üksus või küberturvalisuse seaduse § 3 lõike 4 
punktides 12 ja 13 nimetatud asutus või isik“ ja lg 2 juhul erapakkuja. 
Seega, kokkuvõtvalt on määrus kohaldatav igas olukorras, kus andmed 
edastatakse pilveteenusesse, kui tegemist on avaliku teabega, sh juhul, kui 
avaliku teavet soovitakse töödelda pilveandmetöötlusteenuse pakkuja kaudu, 
kes osutab teenust majandustegevuse raames. Siinjuures ei ole vahet, kas 
teenust pakutakse tasu eest või tasuta.

3.	Nüüd selleks, et mõista, kas ja millistele meie enda infosüsteemidele see 
määrus kohaldub, siis lugedes § 1 (1) 1) kohta on öeldud, et see tähendab 
avaliku sektori osutatavat pilvteenuse kasutamist. Kas siia alla läheb see:

a.	kui me tahame andmeid töödelda KOV või riigi  osutatavas pilves olevas 
lahenduses/infosüsteemis?

Jah, §1 lg 1 punkti üks all on mõeldud andmetöötlusressursside kogumeid, 
millele pakub juurdepääsu kohaliku omavalitsuse üksus või KüTS-i § 3 lõike 4 
punktides 12 ja 13 nimetatud asutus või isik.

b.	Või hoopis see, et kui me oleme ise loonud infosüsteemi ja hoiame/tahame 
hoidma hakata seda näiteks Azure pilves?

 Tegemist on pilvandmetöötlusteenuse kasutusele võtmisega avaliku teabe 
töötlemiseks, see läheb § 1 lg1 punkti 2 alla.

4.	§ 1 (3) 1) – kas see hoopiski tähendab, et kui me kasutame mingite 
infosüsteemide majutamiseks Azure pilve, siis neile infosüsteemidele määrus 
ei kohaldu ehk neist infosüsteemidest ei ole vaja teavitada?

Ei, selline andmetöötlus kuulub § 1 lg 1 p 2 alusel määruse 
kohaldamisalasse. Lõikes 3 punktis 1 on peetud silmas välislepinguid 
välissuhtlemisseadus § 3 p 2 tähenduses („Eesti Vabariigi ja välisriigi või 
rahvusvahelise organisatsiooni kahe- või mitmepoolne ühest või mitmest 
dokumendist koosnev kirjalik kokkulepe, mida reguleeritakse rahvusvahelise 
õigusega“). Näiteks võib siin tuua EL või NATO poolt pakutava juurdepääsuga 
andmeresursside kogumid.   Azure on erasektori pakutav teenus ja selle 
kasutamiseks ei ole sõlmitud riikidevahelisi lepinguid.

Lugupidamisega

Liina Lumiste

Õigusnõunik

+372 5561 7734

[email-masked] <mailto:[email-masked]>

Riigi Infosüsteemide Amet

Küberturvalisuse keskus NCSC-EE

Pärnu maantee 139a, Tallinn 15169

www.ria.ee <http://www.ria.ee>

From: Ave Metsla <[email-masked]>
Date: Friday, 26. January 2024 at 11:24
To: ria <[email-masked]>, Automaatvastus <[email-masked]>
Subject: Küsimused pilvteenuse kasutamise määruse osas

E-kiri saadeti väljastpoolt RIA-t. Kui Sa ei tunne saatjat, siis ära ava 
linke ega manuseid!

Tere

Riigi Teatajas on avaldatud Vabariigi Valitsuse 03.01.2024 määrus nr 1 
„Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus 
pilvteenuse kasutamisel <https://www.riigiteataja.ee/akt/109012024025> “, 
mis kohaldub ka RMK-le.

Kuna määrus on minu jaoks üsna segane, siis loodan, et osakate asutusena, 
keda tuleb hakata pilvteenuse kasutuselevõtmisest teavitama, mõningaid 
küsimusi  täpsustada. Võimalik, et need on väga algeliselt aga kuna ka 
erinevad IT tehnilised inimesed ei mõista neist aru saada, siis loodan, et 
teie abiga saan määrusest paremini aru.

1.	Kas oskate öelda, mida tähendab „andmetöötlusressursside kogum, mis on 
paindlikult jagatav ja laiendatav võrgu- ja infosüsteemi ennast muutmata“? 
Mõni näide mida selle all mõeldakse?
2.	Kas kuskil on lahti kirjutatud pilvandmetöötlusteenuse mõiste? Kui mitte, 
siis mis on selle sisu? Kas see, et saadame oma andmeid mõnest enda 
infosüsteemist kuhugi pilveteenusesse, seal midagi toimub nende 
andmetega/luuakse väärtus/töödeldakse ja toome siis oma rakendusse tagasi? 
Või tähendab see midagi muud?
3.	Nüüd selleks, et mõista, kas ja millistele meie enda infosüsteemidele see 
määrus kohaldub, siis lugedes § 1 (1) 1) kohta on öeldud, et see tähendab 
avaliku sektori osutatavat pilvteenuse kasutamist. Kas siia alla läheb see:

a.	kui me tahame andmeid töödelda KOV või riigi  osutatavas pilves olevas 
lahenduses/infosüsteemis?
b.	Või hoopis see, et kui me oleme ise loonud infosüsteemi ja hoiame/tahame 
hoidma hakata seda näiteks Azure pilves?

4.	§ 1 (3) 1) – kas see hoopiski tähendab, et kui me kasutame mingite 
infosüsteemide majutamiseks Azure pilve, siis neile infosüsteemidele määrus 
ei kohaldu ehk neist infosüsteemidest ei ole vaja teavitada?

Heade soovidega,

Ave Metsla

RMK infoturbejuht

Toompuiestee 24, Tallinn 10149

+372 523 6585

www.rmk.ee <http://www.rmk.ee/>

www.loodusegakoos.ee <http://www.loodusegakoos.ee/>