Aitäh! Suur tänu selle arupärimise eest! Nimetatud küsimusele on tõepoolest tähelepanu juhtinud oma viimatistes aastaraamatutes mitu riigiasutust. Ma usun, et kõik need inimesed, kes on ettevalmistavat tööd teinud, on väga rahul sellega, et Riigikogu saalis sellel teemal ka detailsem arutelu toimub. Nii et ma väga tänan arupärimise esitajaid.
Vastan küsimustele järjest. Esimene küsimus: "Milliseid meetmeid on riigis rakendatud, et vähendada Hiina tehnoloogia ja rakenduste kaudu toimuvat Eesti elanike andmete kogumist?" Kõigepealt, ma pean selle küsimuse kohta ütlema, et ma ei saaks päris niimoodi väita, et kui meil on Hiina tehnoloogia või rakendus, siis selle kaudu alati toimub Eesti elanike andmete kogumine. Seda saaks ühemõtteliselt väita siiski pärast vastavat uurimist ja kohtuotsust.
Üldiselt, nii nagu te oma sissejuhatavas osas välja tõite, Eesti on ju tegelikult väike riik, me oleme avatud turu põhimõttel tegutsenud ja paljudel Eesti inimestel on kodus erinevaid seadmeid, mis on toodetud eri riikides. Nii et tehnoloogia areng, mis on toonud Eesti elanike kasutusse seadmed, mis koguvad moel või teisel inimestega seotud andmeid, olgu need kas või nutikellad, on selline, et mõned seadmed tõesti suudavad tarkvara kaudu tõenäoliselt ka laiemalt andmeid vahetada. Euroopa Liidus tervikuna ja Eestis konkreetselt on andmekaitse üldmääruse ja andmekaitse seaduste järgi ikkagi ära reguleeritud, et isikuandmete töötlemine ja andmete vaba liikumine peab toimuma ainult niimoodi, et isikuandmete kogumisest ja selle kogumise eesmärgist tuleb inimest teavitada.
Samal ajal me teame, et mõned ebademokraatlikud riigid seda põhimõtet ei järgi. Nad ei ole oma ettevõtete seadmetesse sellist teavitust korrektselt pannud. Ja on ka teada, et riiklike huvide raames võib tõesti toimuda selline teabe kogumine.
Eesti on korduvalt pöördunud Euroopa Liidu poole, et ühtlaselt kehtestada vastavad impordi- või müügikeelud, kus need on põhjendatud just selliste seadmete suhtes, mis on toodetud kaudse eesmärgiga omandada, koguda ja analüüsida Eesti kodanike, aga ka teiste Euroopa Liidu kodanike tegevust. Mõnikord on võimalik koguda teavet ka näiteks meelsuse kohta.
Õiguslik raam on Eestis vaatamata sellele siiski üsna põhjalik. 2022. aastast on meil elektroonilise side seaduses nõue, et sideteenuse osutaja peab sidevõrkudes kasutatava riist- ja tarkvara jaoks saama nõusoleku Tarbijakaitse ja Tehnilise Järelevalve Ametilt.
Teine ja võib-olla kõige olulisem säte on see, et küberturvalisuse seadus § 6 sätestab paljudele avaliku sektori asutustele ja kriitilistes valdkondades tegutsevatele ettevõtjatele tervikliku kaitse põhimõtte järgimise kohustuse. See tähendab seda, et iga asutus ja iga ettevõte peab ise tegema kindlaks võimalikud ohud oma võrgu- ja infosüsteemile ning rakendama süsteemi kaitseks kohaseid korralduslikke ja tehnilisi abinõusid. Muu hulgas tuleb vältida ebaseaduslikku andmekorjet kasutavaid seadmeid või selle võimaldamist.
Lisaks on meil olemas küberturvalisuse seadus. Seal on toodud terve rida kohustusi ja nende kohustuste täitmiseks on välja töötatud Eesti infoturbestandard. See infoturbestandard näeb asutustele ja ettevõtjatele ette kohustuse hinnata nii riist- kui ka tarkvara tarneahela riske. Tarneahel tähendab seda, et tuleb jälgida, kust mida ostetakse ja kas eri etappides, kus konkreetne seade on toodetud, on kõik olulised riskid maandatud. Ja loomulikult, need tarneahela riskid võivad olla seotud Hiina tehnoloogia, seadmete ja rakenduste kasutamisega.
Kokku võttes saab öelda seda, et meil on avalikus sektoris ja ettevõtjate jaoks olemas andmete kaitse regulatsioon. Aga küsimus on ju pigem selles, kui efektiivselt me suudame olemasolevaid nõudeid rakendada. Hea uudis on see, et kuigi me kõik oleme siin mures, on Eesti küberturvalisuse poolest nii avalikus kui ka erasektoris siiski üks edukamaid riike maailmas. Nii et meil on palju asju läinud õigesti ja hästi.
Siiski tasub nimetada, et eraisikust tarbija puhul, kes peaks ise hindama riske ja ise ennast kaitsma kahjuliku tegevuse eest, mis võib olla seotud ebasõbralikes riikides toodetud tehnoloogiliste seadmetega, nende ostmisega või nende turvamata jätmisega, on see riigi vaates keerulisem. Me oleme lahendanud seda teavituskampaaniate kaudu. Justiits- ja Digiministeerium on teinud ka ettepanekuid Haridus- ja Teadusministeeriumile. Minu hinnangul tõesti peaks olema algklassides, umbes 3. või 4. klassis, terve aastane kursus selle kohta, kuidas tulla toime selles tehnoloogiamaailmas, kus me elame, et juba lapsed saaksid aru, kus võimalikud riskid on, kuidas neid riske vältida, kuidas ohutult käituda, kuidas oma vaimset tervist hoida ning kuidas vältida tehnoloogia hoolimatut kasutamist ja tõsta üldist ohuteadlikkust. Me ei oleks sellise õppekavaga sugugi esimesed maailmas. Nii nagu üldiselt on tavaks, et me peamistest ohtudest noortele räägime, võiks see olla koht, kus me saame teadlikkust parandada.
Teine küsimus: "Kas valitsus kaalub sarnaselt teiste lääneriikidega meetmeid, sealhulgas TikToki ja teiste Hiina rakenduste piiranguid või keelustamist riigiasutustes?" Nagu ma enne ütlesin, kui oleks üldise keeluga tegemist, siis see peaks tulema Euroopa Liidu tasemel. Eesti on valinud selle suuna, et ettevõtjad ja riigi- või kohaliku omavalitsuse asutused ise otsustavad oma konkreetsete riskide ja riski maandamise meetmete üle. Ehk süsteemi omanik vastutab.
Meil on terve rida ohuhinnanguid ja soovitusi, mida riik on jaganud. Seda on teinud nii Riigi Infosüsteemi Amet kui ka julgeolekuasutused avalikult. Vabariigi Valitsus on 2022. aastal ja täpsustatult 2023. aastal andnud soovituse eelkõige avaliku võimu toimimisega seotud olulistes süsteemides vältida kõrge riskiga seadmete ja tehnoloogia kasutamist.
Ministeeriumid on teinud oma valitsemisalas riskihinnanguid ja keelanud töötajatele antavates seadmetes kahtlaste ja tööks mitte vajalike rakenduste kasutamise. Näiteks Justiits- ja Digiministeeriumi valitsemisala ametnikele antavates tööarvutites ja telefonides ei ole TikTokki võimalik kasutada. Aga sama keeld ei laiene näiteks eratelefonidele. Me ei ole keelanud inimestel eraisikutena oma isiklikus telefonis seda kasutada, isegi sellisel juhul mitte, kui sama telefoni kasutatakse näiteks e-kirjade lugemiseks. Ja samal ajal, veel kord, eespool nimetatud õigusaktid annavad selle regulatsiooni. Iga organ, sealhulgas näiteks Riigikogu, saab ise teha oma otsused, kuidas on õige kõige turvalisemalt käituda.
Kolmas küsimus: "Milliseid samme on astutud, et tõhustada järelevalvet Eestis kasutatava tehnoloogia ja tarneahela usaldusväärsuse üle?" Lisan eespool mainitule 2024. aastal vastu võetud Euroopa Liidu küberkerksuse määruse, mis paneb paika digielementide ja internetti ühendatud seadmete, nagu nutitelerite ja kodukaamerate küberturvalisuse nõuded. Selle määruse eesmärk on tagada, et digikomponentidega tooted püsiksid turvalised kogu tarneahela ulatuses ja kogu oma elutsükli ajal.
Mis me veel teeme? Tuleb avaliku sektori info- ja kommunikatsiooniteenuste konsolideerimine, et veel paremini kasutada neid väheseid ressursse, mis meil on, ja hoida senist küberturvalisuse taset. Lisaks on meil Riigi Infosüsteemi Amet, kes pakub süsteemide komponente, mis on kõikjal põhimõtteliselt ühetaolised, rahuldavad samasugust vajadust, ja RIT ehk Riigi Info- ja Kommunikatsioonitehnoloogia Keskus pakub arvutitöökoha teenust. Meie eesmärk ei ole olnud mitte järelevalve suurendamine, vaid asutuste vahelise koostöö suurendamine, kesksed teenused, mida on lihtne keskselt juba algusest peale õigesti hallata ja pakkuda.
Neljas küsimus: "Kas valitsusel on plaanis algatada seadusandlikke muudatusi, et kaitsta Eesti kodanikke ja riigiasutusi Hiina küberohtude eest?" Jah, meil on Riigikokku tulemas küberturvalisuse teise direktiivi ülevõtmise seadus, mis laiendab küberturvalisuse nõudeid. Samuti tegeleme juba nimetatud Euroopa Liidu küberkerksuse määruse rakendamise küsimustega. Me peame mõistlikuks seda, et niisugused suured küberturvalisuse küsimused on keskselt lahendatud. Eesmärk on suurendada keskselt hallatavate teenuste kasutamist.
Kuigi me tuleme uute asjadega välja, peab ütlema, et ka seni kehtivad nõuded on meil olnud ulatuslikud. Me oleme küberturvalisuse reegleid seadnud rangemalt, kui Euroopa Liit on ette näinud. Ja me oleme võtnud eesmärgiks selle, et ettevõtjad ja riigiasutused saaksid ka teie viidatud ohtudele võimalikult lihtsasti ja kiiresti reageerida. Need nõuded ei tulene mitte ainult küberturvalisuse valdkonnast, vaid on seotud ka isikuandmete kaitse, julgeoleku ja elektroonilise side valdkonnaga. Ma ütleksin, et olulisem kui seadused, mis on meil päris head, on see, kuidas neid nõudeid praktikas rakendatakse.
Viies küsimus on teil selline: "Kuidas tagatakse, et Eesti elutähtsa taristu ja kriitiliste teenuste haldamisel ei kasutataks kõrge riskiga Hiina tehnoloogiat?" Kordan jälle sedasama vastust, et iga kord on vajalik riskianalüüsi koostamine ning küberturvalisuse tagamise põhimõtete jälgimine ja järgimine. On äärmiselt oluline, et kõikides asutustes ja organisatsioonides oleks juba juhtkond teadlik võimalikest riskidest ja nende maandamise vajalikkusest.
Nagu öeldud, elektroonilise side seaduse kaudu oleme muudatusi teinud ja praegu on ministeeriumides kooskõlastusel eelnõu, millega soovitakse sarnaselt elektroonilise side seadusega kehtestada nõue võrguettevõtjatele. Veel kord ütlen, et isikuandmete kaitse reeglistik on paigas. Arvestada tuleb andmekaitsealaste trahvidega rikkumise korral. Iga organisatsioon peab tagama selle, et isikuandmed on kaitstud. Aga ikkagi rõhutan üle, et ainuüksi tehnoloogia päritoluriik ei tähenda seda, et automaatselt selle kasutamisega kaasneks kõrge risk. Kui mõnele tootele on peale kirjutatud Made in China, siis see ei tähenda võrdusmärgina kõrget riskitaset.
Riskitase kindlasti tõuseb kohe, kui me räägime internetti ühendatud seadmetest ja sellisest võimalusest, et internetti ühendatud seadme kaudu saavad andmed edasi liikuda ebademokraatlikku riiki. Ja kui on samal ajal mõnel asutusel, näiteks riigiasutusel või mõnes kodus Hiina päritolu kaamera, aga see on täiesti nõuetekohaselt paigaldatud, selle tarkvara on uuendatud, sobilikud turvameetmed on kasutusele võetud, siis ei pruugi risk olla üldse suurem kui mõnest teisest riigist soetatud tehnoloogia puhul. Seda on praegusel juhul vast oluline rõhutada.
Sellega ma lühidalt lõpetaksin selle vastuse. Nagu ma alguses ütlesin, on erinevad riigiasutused samale asjale tähelepanu pööranud. Tõesti, alates julgeolekupoliitika alustest 2023. aastal, ja põhjaliku ülevaate leiate Sisekaitseakadeemia viimasest teadusartiklite kogumikust, kus on Märt Läänemetsa artikkel "Hiina "Suur plaan" ja selle mõju Eesti sisejulgeolekule". Seal on toodud põhjalik ülevaade riigi strateegiadokumentidest, otsustest ja tähelepanu juhtimistest sellelesamale teemale. Ma ei hakka seda ette lugema. Aitäh!