KüTS Art. 17Haldusjärelevalve meetmed

(1) Riigi Infosüsteemi Amet on haldusjärelevalve tegemisel volitatud pääsema ligi süsteemile ning piirama süsteemi kasutamist või süsteemile juurdepääsu, kui esinevad kõik järgmised tingimused:

1) küberintsident ohustab või kahjustab teise süsteemi turvalisust;

2) süsteemi haldaja ei saa või ei saa õigel ajal ise küberintsidendist lähtuvat ohtu tõrjuda või küberintsidenti kõrvaldada;

3) küberintsidendist lähtuvat ohtu ei saa tõrjuda ega küberintsidenti kõrvaldada isiku suhtes vähem riivava meetmega;

4) küberintsidendist lähtuva ohu tõrjumisega või küberintsidendi kõrvaldamisega ei tekitata isikule ebaproportsionaalset kahju.

(1¹) Riigi Infosüsteemi Ametil on haldusjärelevalve ülesannete täitmisel õigus teha:

1) teenuseosutaja suhtes kohapealset kontrolli ja kaugjärelevalvet, lähtudes käesoleva seaduse § 14 lõike 6 punktidest 2 ja 3, sealhulgas teha üliolulise üksuse suhtes pistelist kontrolli;

1¹) üliolulise üksuse suhtes vajaduspõhist turvaauditit, mis võib olla muu hulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõude rikkumisest;

2) teenuseosutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või auditeeritava teenuseosutaja tehtud riskihindamisel või muul kättesaadaval riskiteabel ning mille kulu kannab muudel kui käesoleva paragrahvi lõike 1 2 alusel kehtestatud määruses nimetatud juhtudel teenuseosutaja;

2¹) üliolulise üksuse suhtes regulaarseid turvaauditeid üks kord kolme aasta jooksul, välja arvatud juhul, kui ülioluline üksus on kohustatud regulaarselt auditeerima käesoleva seaduse § 7 lõike 5 alusel kehtestatud küberturvalisuse nõuete täitmise raames;

3) vajaduse korral koostöös asjaomase teenuseosutajaga objektiivsetel, mittediskrimineerivatel, õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle;

4) teenuseosutajale hoiatus, kui teenuseosutaja rikub käesolevat seadust, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet;

5) ettekirjutus, millega nõutakse ettekirjutuse saajalt sellise tegevuse või tava lõpetamist, millega rikutakse käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet, ning sama tegevuse või tava kasutamisest hoidumist;

6) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse §-s 7 sätestatud ning selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 alusel vastu võetud rakendusaktis sätestatud nõuete järgimist, ning käesoleva seaduse §-s 8 sätestatud teate esitamist nimetatud paragrahvis viidatud viisil ja määratud tähtajal;

7) ettekirjutus, millega nõutakse ettekirjutuse saajalt üksusele teavituse tegemist, kui üksusele ettekirjutuse saaja poolt pakutavat teenust või tegevust võib mõjutada oluline küberoht, esitades teavituses info olulise küberohu kohta ja võimaluse korral selgitused, millised meetmed saab mõjutatud üksus küberohule reageerimiseks kasutusele võtta;

8) ettekirjutus, millega nõutakse ettekirjutuse saajalt turvaauditi põhjal antud soovituste rakendamist mõistliku aja jooksul;

9) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõude rikkumise asjaolude avalikustamist ettekirjutuses ette nähtud viisil;

10) üliolulisele üksusele ettekirjutus, millega nõutakse ettekirjutuse saajalt kindlaks määratud perioodiks vastavushalduri määramist, kes jälgib, kas ettekirjutuse adressaat täidab käesoleva seaduse §-des 7 ja 8 ning nende alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuet.

(1²) Käesoleva paragrahvi lõike 1 1 punktis 2 nimetatud sihipärase turvaauditi korraldamise täpsemad tingimused ja korra, sealhulgas loetelu olukordadest, mille puhul Riigi Infosüsteemi Amet hüvitab teenuseosutajale turvaauditi kulu, ning turvaauditi kulu hüvitamise korra sätestab riikliku küberturvalisuse valdkonna eest vastutav minister ./../vaheleht.html määrusega.

(1³) Käesoleva paragrahvi lõike 1 1 punktis 5 nimetatud üliolulisele üksusele tehtud ettekirjutus võib sisaldada ka küberintsidendi ennetamiseks või heastamiseks ette nähtud turvameetmeid ning nõudeid turvameetmete rakendamise tähtaja ja rakendamisest teavitamise kohta.

(2) Käesolevas paragrahvis sätestatud meetme kohaldamisest tuleb adressaati esimesel võimalusel teavitada.

(3) Käesolevas paragrahvis sätestatud meetme protokollimine on kohustuslik.