Subject: FW: Küsimused seoses eIDAS 2.0-ga
From: "Erika Adams" <[email-masked]>
To: "Justiits- ja Digiministeerium" <[email-masked]>
Cc: "Mait Heidelberg - JUSTDIGI" <[email-masked]>, "Stina Avvo - JUSTDIGI" <[email-masked]>, <[email-masked]>, "Kaisa Valk" <[email-masked]>,Tais Vakrõõm <[email-masked]>, "Janar Pilve" <[email-masked]>, "Sander Pelisaar" <[email-masked]>
Date: Mon, 19 May 2025 16:32:29 +0300

Tere

Riigi Infosüsteemi Amet edastab alltoodud SK ID Solutions AS-i poolt
esitatud selgitustaotluse Justiits-ja Digiministeeriumile, kui
usaldusteenuse valdkonna õigusloome koordineerimise ja eelnõude
väljatöötamise alal pädevale asutusele vastamiseks, kuivõrd esitatud
küsimused puudutavad seadusloomet ja selle tõlgendamist.

RIA omalt poolt saab kommenteerida küsimuse nr 2 väidet senise praktika
kohta: eIDAS-e artikkel 24 p 2 viimane lõik ütleb, et järelevalvel on
otsuse tegemiseks aega 3 kuud, mida võib pikendada, kui selleks on põhjus.
EUTS otseselt ei ütle, mis aja jooksul muudatuse teavituse korral otsus
tehakse, aga siiani on praktika olnud, et menetlusaeg on 30 päeva (ma ei
ole hetkel kindel, kas see tuleb mõnest õigusaktist).

Senine praktika usaldusteenuse osutamisega seotud asjaolude muutmisest
teatamise osas on RIA oma toimingute tähtaegade osas lähtunud EUTS §-st 13
lõikest 2 ja 3. Muudatused, mis ei eelda EUTS §-s 7 nimetatud menetlust
käsitletakse ära 14 päeva jooksul. See sisaldab muudatuse teavituse
läbivaatamist; kaalutletud otsust kas muudatus eeldab §-s 7 nimetatud
menetlust või mitte; vajadusel usaldusnimekirja muutmist ning vastuse
saatmist muudatusest teavitanud teenuse osutajale (kas muudatuse
teavitusega on kõik korras või tuleb minna EUTS §-7 sätestatud menetlusse
ja esitada täiendavat infot). Muudatused, mis eeldavad EUTS §-s 7
nimetatud menetlust teavitame selle vajadusest 14 päeva jooksul ja korduva
tegevusloa taotluse esitamise kättesaamisest menetletakse taotlus EUTS §-s
7 sätestatud tähtaegadega, st 50 päeva jooksul.

Lugupidamisega

Erika Adams

Juhtivekspert

+372 522 1328

[email-masked]

Riigi Infosüsteemi Amet

Küberturvalisuse keskus NCSC-EE

Järelevalve Osakond

Pärnu mnt 139a Tallinn 15169

www.ria.ee

From: Kaisa Valk <[email-masked]>
Sent: Wednesday, May 14, 2025 2:25 PM
To: Erika Adams <[email-masked]>; Tais Vakrõõm <[email-masked]>
Subject: Küsimused seoses eIDAS 2.0-ga

E-kiri saadeti väljastpoolt RIA-t. Kui Sa ei tunne saatjat, siis ära ava
linke ega manuseid!

Tere

Mul on seoses uue eIDAS-ega tekkinud paar küsimust, mille osas sooviksin
teiega konsulteerida. Nimelt:

1.	eIDAS-e art 24 p 2(a) ütleb, et usaldusteenuse muudatustest tuleb
teavitada vähemalt 30 päeva ette, EUTS aga ütleb, et teavitada tuleb
viivitamata (jättes täpsustamata, millest alates viivitamata). Küsimus:

a.	Kummast nõudest antud juhul juhinduma peame?
b.	Kas ja kuidas on plaanis EUTS selle nõude osas eIDAS-ega joondada?

2.	eIDAS-e artikkel 24 p 2 viimane lõik ütleb, et järelevalvel on
otsuse tegemiseks aega 3 kuud, mida võib pikendada, kui selleks on põhjus.
EUTS otseselt ei ütle, mis aja jooksul muudatuse teavituse korral otsus
tehakse, aga siiani on praktika olnud, et menetlusaeg on 30 päeva (ma ei
ole hetkel kindel, kas see tuleb mõnest õigusaktist). Küsimused:

a.	Võttes arvesse eelnevas punktis mainitud nõuet teavitada
muudatustest ette vähemalt 30 päeva, eeldan, et n-ö tavapärane eIDASega
ette nähtud menetlusaeg on siiski 30 päeva. 3 kuud või rohkem tuleb kõne
alla siis, kui järelevalve küsib selle esimese 30 päeva jooksul lisainfot.
Kas selline tõlgendus on teie arusaamaga kooskõlas?
b.	Kas ja kuidas on plaanis EUTSi see eIDASes sätestatud menetlusaja
pikendamine sisse tuua? Küsimus tuleneb sellest, et praktikas on meil iga
vastava muudatuse osas vaja oma plaanidesse sisse arvestada ka RIA
menetlusaeg. On päris suur vahe, kas peame arvestama 30 päeva või 3 kuud
(või isegi rohkem) ja kuidagi on meil vaja seda ka oma sisemistes
protsessides kajastada. Iga muudatuse korral 3 kuud arvestada ei tundu
mõistlik. Mingisuguse konkreetsuse saavutamiseks saame näiteks eeldada, et
menetlusaja pikendamine on tõenäolisem pigem suuremate muudatuste puhul,
kus tuleb nagunii esitada korduva loa taotlus või uus taotlus. Sellistel
juhtudel näeb EUTS menetlusajaks ette vastavalt 50 või 80 päeva. Need
tähtajad erinevad aga ikkagi eIDAS-e klauslis esitatud 3-le kuust.

Ehk siis, kas oskate anda mingi indikatsiooni, milliste muudatuste puhul
või millistes olukordades peaksime praktikas arvestama 3-kuulise
menetlusajaga?

3.	Uue eIDAS-e kohaselt (art 20.1 ja 21.1) peavad kvalifitseeritud
usaldusteenusepakkujad olema auditeeritud NIS2 artikli 21 vastu. NIS2 näol
on aga tegemist direktiiviga, mis tähendab, et see ei ole otsekohalduv.
NIS2 rakendusaktis on küll öeldud, et see on justkui otsekohalduv, aga nii
ei saa tegelikult olla. Eesti õigusesse ei ole aga praeguseks NIS2 üle
võetud.

Konsulteerisime märtsis/aprillis ITL-i kaudu selles küsimuses Justiits- ja
Digiministeeriumiga. Ministeeriumi seisukoht on lühidalt kokku võttes, et
NIS2 ja ja selle rakendusakt ei ole otsekohalduvad ja nendes sisalduvatele
nõuetele otseselt ei pea enne NIS2 ülevõtmist Eesti õigusesse vastama.

Seda arvesse võttes ja eeldusel, et meie auditi alguseks veel NIS2 Eesti
õigusesse üle võetud ei saa, on meie ettepanek, et SK võtab siiski NIS2,
selle rakendusakti ja praegu kehtiva KüTS-i nõuded oma sügisese
usaldusteenuste re-sertifitseerimise auditi skoopi (st auditeeritakse ka
nende nõuete vastu), kuid kõiki NIS2 nõudeid puudutavaid leide
käsitletakse ja vormistatakse raportis soovitustena (potential for
improvement), mitte otseselt mittevastavustena (kuna faktiliselt me
nendele nõuetele veel vastama ei pea). Kas selline plaan sobib teile?

Olen väga tänulik, kui leiate aega nende küsimuste osas oma mõtteis
avaldada.

Tervitades

Kaisa

Kaisa Valk

Compliance Manager / Nõuetele vastavuse juht

+372 5411 0270

SK ID Solutions AS   •   +372 610 1880   •    <mailto:[email-masked]>
[email-masked]

Pärnu mnt 141, 11314 Tallinn, Estonia   •
<https://www.skidsolutions.eu/> skidsolutions.eu