Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohalda Art. 2Avaliku sektori osutatava pilvteenuse ja pilvandmetöötlusteenuse kasutusele võtmise eeldused

(1) Teabepidaja, kes soovib avaliku teabe töötlemiseks kasutusele võtta avaliku sektori osutatava pilvteenuse või pilvandmetöötlusteenuse (edaspidi koos pilvteenus ), peab hindama muu hulgas:

1) pilvteenuse kaudu töödelda kavatsetava avaliku teabe olemust ning riske avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kahjustamise korral;

2) nõudeid pilvteenuse kaudu töödelda kavatsetava avaliku teabe tervikluse, käideldavuse ja konfidentsiaalsuse kohta;

3) avaliku teabe töötlemise etappi, milleks pilvteenust kasutada soovitakse;

4) pilvandmetöötlusteenuse pakkuja ja toote nõuetele vastavuse seaduse tähenduses tema volitatud esindaja, importija või levitaja usaldusväärsust;

5) kasutatavat tehnoloogia ja pilvteenuse toimemudelit ning nende mõju olemasoleva võrgu- ja infosüsteemi arhitektuurile;

6) pilvteenuse turvalisust ja kasutatavaid turvameetmeid.

(2) Lõike 1 punktis 4 sätestatud usaldusväärsuse hindamist ei tehta avaliku sektori osutatava pilvteenuse pakkuja suhtes.

(3) Lõike 1 punktides 4–6 sätestatu hindamisel võib muu hulgas arvesse võtta pilvteenuse pakkuja või tema osutatava teenuse suhtes tehtud kehtiva auditi tulemusi ning pilvteenuse pakkuja või tema osutatava teenuse kohta väljastatud rahvusvaheliselt ja Eestis tunnustatud kehtivat sertifikaati või hindamist pilvteenuse pakkuja võrgu- ja infosüsteemide või usaldusväärsuse kohta.

(4) Lõike 1 punktides 4–6 sätestatu hindamise võib jätta tegemata, kui avalik teave antakse teisele asutusele või isikule üle avaliku ülesande täitmise ühekordseks toetamiseks avaliku teabe taaskasutamise eesmärgil avaliku teabe seaduse § 3 1 lõike 1 tähenduses.

(5) Kui pilvteenuse pakkuja kasutab pilvteenuse osutamiseks muud pilvandmetöötlusteenust, siis hinnatakse ka selle pilvandmetöötlusteenuse pakkujaga seonduvat, lähtudes lõigetes 1 ja 3 sätestatust.

(6) Lõikes 1 sätestatud hindamise etappide raames hinnatavate asjaolude näitlik kontrollküsimustik ja meetmete näidis on esitatud määruse lisas.

(7) Teabepidaja dokumenteerib lõikes 1 ette nähtud hindamise enne, kui hakkab pilvteenust kasutama. Teabepidaja võib dokumenteerimise teha muu õigusakti alusel koostatava dokumentatsiooni osana.

(8) Pilvteenuse kasutusele võtmisest hoidutakse, kui teenuse hindamise tulemusel selgub, et esineb vähemalt üks järgmine asjaolu:

1) Eesti või Euroopa Liidu õigusakti või välislepingu kohaselt ei ole pilvteenuse kasutamine avaliku teabe töötlemiseks lubatud;

2) pilvteenuse kasutuselevõtmise korral ei ole tagatud avaliku teabe nõuetekohane terviklus, käideldavus, konfidentsiaalsus või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist;

3) on suur tõenäosus, et avalik teave võib teatavaks saada isikutele, kellel puudub teadmisvajadus või sellele teabele juurdepääsu õigus, või on suur tõenäosus, et nimetatud isikud võivad avalikku teavet muuta;

4) pilvteenuse pakkuja ei suuda tagada pakutava pilvteenuse vajalikku kättesaadavust;

5) esineb muu põhjus, mille tõttu võib tekkida oht riigi julgeolekule, avalikule korrale või isiku eraelu puutumatusele, või ei ole võimalik hinnata eelnimetatud nõuetega seotud riskide esinemist.