KORKS käsiraamat

Elutähtsa teenuse osutaja (ETO) põhiülesanne on tagada elutähtsa teenuse toimepidevus, sh teenuse järjepidev toimimine ning selle võimalikult kiire taastamine häire või katkestuse korral (§ 83 lg 11 p 1).

Selleks peab ETO juba enne ohu realiseerumist hindama teenuse toimimist ohustavaid riske ning kavandama meetmed nende mõju vähendamiseks. Riskianalüüsis tuleb kaardistada teenuse osutamiseks vajalikud kriitilised tegevused, ressurss, taristu ja sõltuvused ning hinnata ohu võimalikku mõju teenuse toimimisele. Riskianalüüs ja kriisiplaan koostatakse kooskõlas KORKS-i §-des 18 ja 20 sätestatud nõuetega ning lähtudes elutähtsa teenuse toimepidevuse korraldaja kehtestatud toimepidevuse nõuetest.

ETO peab koostama toimepidevuse riskianalüüsi hiljemalt üheksa kuu jooksul pärast ETO-ks määramist ning kriisiplaani hiljemalt kümne kuu jooksul pärast määramist (§ 83 lg 4 p 1). Riskianalüüs ja kriisiplaan peavad olema ajakohased ning kajastama nii teenuse toimepide-vuse tagamist kui ka teenuse taastamist erisuguste häirete ja katkestuste korral.

ETO-le määratud toimepidevuse ja küberturvalisuse nõuete täitmiseks võib määrata erinevad tähtajad, kuid seaduses nimetatud tehnoloogiliste alternatiivide ja dubleerivate lahenduste rakendamise tähtaeg ei või olla pikem kui viis aastat ETO-ks määramisest (§ 83 lg 4 p 3).

Elutähtsa teenuse toimepidevuse tagamiseks tuleb hinnata ja juhtida ristsõltuvust teiste teenustega. Näiteks võib sideettevõtja sõltuda elektrivarustusest, vedelkütusest või transporditeenustest ning haigla energiast, sideühendustest või toitlustusteenustest. Seetõttu peab ETO vähendama nii palju kui võimalik sõltuvust teistest elutähtsatest teenustest, tarnijatest, lepingupartneritest ja infosüsteemidest dubleerivate lahenduste, alternatiivsete töökorralduste, varu ja muude toime-pidevusmeetmete abil (§ 83 lg 11 p 4).

ETO peab tagama teenuse osutamiseks vajaliku personali, asendused, side- ja IT-võimekuse ning taastamiseks vajalikud vahendid ja varu. Samuti tuleb tagada, et teenuse osutamiseks vajalikud andmed või tehnilised lahendused oleksid kasutatavad ka olukorras, kus tavapärased side- või andmesideühendused ei toimi (§ 83 lg 11 p 5).

Valmisoleku loomine ei piirdu dokumentide koostamisega. ETO peab korraldama õppusi, kontrollima kriisiplaanide rakendatavust ja taastamislahenduste toimimist ning hindama õppuste tulemusel ilmnenud puudusi ja parendusvajadusi (§ 22 ja § 83 lg 11 p 6).

ETO peab regulaarselt koolitama töötajaid ning suurendama nende teadlikkust toimepidevusest, kriisirollidest ja elanikkonnakaitsest (§ 83 lg 11 p 10). Häirete ja katkestuste edukas lahendamine sõltub suurel määral sellest, kuivõrd hästi mõistavad töötajad ülesandeid ning on valmis neid täitma ka häiritud oludes.

Elutähtsa teenuse toimepidevuse tagamine põhineb koostööl. ETO peamine avaliku sektori partner toimepidevuse tagamisel on elutähtsa teenuse toimepidevuse korraldaja (ETKA), kes kehtestab toimepidevuse nõuded, kinnitab riskianalüüsi ja kriisiplaani, teeb järelevalvet ning juhib elutähtsa teenuse ulatusliku katkestuse või selle ohu lahendamist. Koostöö eesmärk on tagada ühine arusaam riskidest, sõltuvustest ja vajalikest toimepidevusmeetmetest ning valmistuda häireteks ja katkestusteks ühtsete põhimõtete alusel.

Häire, katkestuse või kriisiolukorra ajal tegutseb ETO püsiva kriisiülesande täitjana ning lähtub nii kriisiplaanist, toimepidevuse nõuetest kui ka vajaduse korral ETKA ettekirjutustest. Selleks rakendatakse kriisiplaan, aktiveeritakse kriisijuhtimise korraldus ning hinnatakse pidevalt olukorra mõju teenuse osutamisele. Vajadusel kasutatakse alternatiivseid lahendusi, varuvõimeid ja täiendavat ressurssi, et säilitada vähemalt teenuse nõutud minimaalne tase.

ETO peab jälgima teenuse toimivust ja võimalikke riske ning hindama häirete mõju. Olulistest katkestustest, selle ohust või muudest toimepidevust häirivatest sündmustest tuleb ETKA-d teavitada viivitamata, kuid mitte hiljem kui 24 tunni jooksul pärast sündmusest teada saamist. Üksikasjalik aruanne tuleb esitada ühe kuu jooksul pärast sündmuse lõppemist (§ 83 lg 11 p 2).

Pärast häire, katkestuse või kriisiolukorra lahendamist taastatakse tavapärane teenuse osutamine, hinnatakse kriisi mõju ning analüüsitakse rakendatud meetmete tõhusust. Saadud õppetund tuleb vajadusel arvesse võtta riskianalüüsi, kriisiplaani ja teiste toimepidevusmeetmete ajakohastamisel, et suurendada organisatsiooni valmisolekut tulevasteks kriisideks.

CER-direktiivi artikli 13 lõike 1 punkti e kohaselt tuleb elutähtsa teenuse osutajal tagada töötajate turvalisuse piisav haldamine, sh nende isikute kategooriate määramine, kellelt nõutakse taustakontrolli läbimist. Direktiivi artikli 14 kohaselt peavad liikmesriigid täpsustama tingimused, mille alusel on elutähtsa teenuse osutajatel lubatud nõuetekohaselt põhjendatud juhtudel ja liikmesriigi riskianalüüsi arvesse võttes esitada direktiivi artikli 13 lõike 1 punktiga e nõutud taustakontrolli tegemiseks taotlusi. Seejuures näeb direktiiv taustakontrolli võimalust töötajate suhtes:

1. kes täidavad elutähtsa teenuse osutaja juures või tema jaoks tundlikke ülesandeid, eelkõige seoses elutähtsa teenuse osutaja toimepidevusega;
2. kellel on õigus saada otsene või kaudne juurdepääs elutähtsa teenuse osutaja rajatistele, teabele või kontrollisüsteemidele, sh seoses elutähtsa teenuse osutaja turvalisusega;
3. kelle puhul kaalutakse töölevõtmist punktis a või b sätestatud kriteeriumidele
   vastavatele ametikohtadele.

Taustakontroll peab olema proportsionaalne ja piirduma rangelt vajalikuga. Taustakontrolli tohib teha üksnes selleks, et hinnata võimalikku julgeolekuriski asjaomasele elutähtsa teenuse osutajale (direktiivi artikli 14 lõige 2). Taustakontroll peab direktiivi artikli 14 lõike 3 kohaselt minimaalselt hõlmama:

1.  isikusamasuse kontrolli;
2. isiku karistusregistri andmeid seoses süütegudega, mis võiksid olla ametikoha
   seisukohast olulised.

Et kontrollida taustakontrolli subjekti isikusamasust, on direktiivi põhjenduspunkti 32 kohaselt asjakohane nõuda isikut tõendavat dokumenti, nt passi, riiklikku isikutunnistust või digitaalset isikut tõendavat dokumenti.

KORKS-i mõistes on ETO taustakontrolli eesmärk tagada nende isikute usaldusväärsus, kes täidavad lepingu või muul alusel olulisi ülesandeid, mis on seotud:

1. elutähtsa teenuse toimepidevust tagava infosüsteemi, samuti toimepidevust tagava taristu läbipääsu- või valvesüsteemi arendamise või haldamisega;
2. elutähtsa teenuse toimepidevuse tagamiseks vajalikule territooriumile, ehitistele, teabele või kontrollisüsteemidele ligipääsuga;
3. elutähtsa teenuse toimepidevuse planeerimise, investeeringute või riskihaldusega.

Ülesannete loetelu ei ole KORKS-is sõnastatud kinnisena ehk teisisõnu on elutähtsa teenuse osutajal kohustus teenust puudutavate riskide hindamisel (riskianalüüsi koostamisel) tuvastada, millised on tööd, mis on seotud eelnevalt loetletud punktidega ja vastavad nendele.
ETO ülesanne on tagada mh inimfaktorist tulenevate riskide maandamine, mistõttu on eesmärgipärane isiku karistatuse andmete töötlemine, et otsustada isikule elutähtsa teenuse toimepidevuse tagamisega seotud olulise ülesande andmine.

Elutähtsa teenuse osutaja on kohustatud elutähtsa teenuse toimepidevuse riskianalüüsis täpsemalt kindlaks määrama elutähtsa teenuse toimepidevuse tagamise seisukohalt olulised ülesanded, mida täitva füüsilise isiku suhtes on taustakontrolli tegemine eesmärgipärane. Seega peab elutähtsa teenuse osutaja juures töötava isiku taustakontrolli vajadus tulenema selgelt teenuseosutaja toimepidevuse riskianalüüsist. Teenuseosutajad ei selgita riskianalüüsis välja konkreetseid füüsilisi isikuid (taustakontrolli subjekte või adressaate), vaid on kohustatud kindlaks määrama need ülesanded, mida täitvate isikute suhtes on taustakontrolli tegemine seadises sätestatud korras eesmärgipärane.

Taustakontrolli tegemisel kontrollitakse isikut tõendava dokumendi alusel isikusamasust ja andmeid isiku karistatuse kohta. Elutähtsa teenuse osutaja on kohustatud andmeid kontrollima enne, kui inimene asub täitma ülesannet, ja ülesande täitmise ajal iga kahe aasta tagant. Kaheaastane tähtaeg on seotud elutähtsa teenuse osutaja toimepidevuse riskianalüüsi uuendamise sammuga. Kui teenuseosutaja uuendab riskianalüüsi ja seal olevaid taustakontrolli kohustusega ülesandeid, tuleb teenuseosutajal uuesti teha taustakontroll. Seetõttu korratakse taustakontrolli iga kahe aasta tagant. Taustakontrollis on lubatud kontrollida isiku karistatuse andmeid ehk kas isik on toime pannud KORKS-i § 86 lõigetes 1 ja 2 nimetatud kuriteo, mille kohta on karistusregistris kehtivad andmed. Elutähtsa teenuse osutajal on ühtlasi kohustus kontrollida andmeid uuesti juhul, kui isikule usaldatakse kahe aasta jooksul elutähtsa teenuse osutaja juures mõni muu, kuid jätkuvalt § 85 lg 1 toodud ülesanne, kuigi karistusandmed on varem (st eelmise ülesande andmise usaldamisel) juba kontrollitud.

Taustakontrolli teeb elutähtsa teenuse osutaja. Taustakontrolli tegemiseks vajalike isikuandmete saamise õiguse võib elutähtsa teenuse osutaja volitada ka enda lepingupartnerile, kelle töötaja täidab elutähtsa teenuse osutaja juures riskianalüüsis kindlaksmääratud ülesandeid.

Taustakontrolli võib teha ka sagedamini kui kahe aasta tagant, kuid üksnes põhjendatud kaht-luse korral, et inimene ei vasta enam taustakontrolli nõuetele, või kui suureneb tema vastutus ülesannete täitmisel.

Elutähtsa teenuse osutaja peab kontrollitavat inimest teavitama taustakontrolli alusest ja eesmärgist enne karistusandmete kontrollimist. Andmesubjekti teavitamiskohustus ning selle detailsem regulatsioon tuleneb isikuandmete kaitse üldmääruse artiklitest 13 ja 14. Isiku suhtes õiglase ja läbipaistva andmete töötlemise tagamiseks kohustatakse elutähtsa teenuse osutajat teavitama isikut taustakontrolli alusest ja eesmärgist enne isiku karistatuse andmete kohta päringute tegemist. Isikule tuleb selgitada lisaks taustakontrolli eesmärgile muid taustakontrolli tegemise olulisi asjaolusid, nt õigust kontrollida karistusandmeid ka töötamise ajal.

Elutähtsa teenuse osutaja kontrollib taustakontrolli tegemise eesmärgil karistatuse andmeid, kasutades taustakontrolli teenust. Taustakontrolli teenus ei ole eraldiseisev andmekogu, vaid tehniline lahendus, mis võimaldab elutähtsa teenuse osutajal kontrollida taustakontrolli eesmärgil isiku karistatuse andmeid. Taustakontrolli teenus töötleb isiku üldandmeid, töökoha andmeid, karistatuse andmeid ja karistusregistrist päringu tegemiseks vajalikke andmeid, mis on sätestatud karistusregistri seaduse § 15 lõikes 2. Taustakontrolli teenus tagab, et päringuid isikuandmete saamiseks teeb selleks õigustatud isik (elutähtsa teenuse osutaja või tema volitatud isik). Samuti tagab tehniline lahendus, et karistatuse andmeid päritakse üksnes seadusekohase taustakontrolli tegemise eesmärgil. Taustakontrolli teenuse vastutav töötleja on Riigikantselei.

Taustakontrolli teenus on keskkond, mille kaudu saab teha asjakohase taotluse teiste liik-mesriikide kodanike suhtes (ja ka kolmandatest riikidest pärit kodanike suhtes) ja Euroopa karistusregistrite infosüsteemi (ECRIS – ingl European Criminal Records Information System) andmevahetuskanali kaudu esitada päringu sellesse liikmesriiki, kellelt infot soovitakse. ECRIS-i kaudu edastavad kõik Eesti kodaniku suhtes kriminaalasjas süüdimõistva kohtuotsuse teinud riigid isiku karistusandmed meie karistusregistrisse. Samamoodi saadab Eesti iga teise liikmeriigi kodaniku siin mõistetud kriminaalkaristuse selle kodaniku kodakondsusriigi karistusregistrisse. Tulevikus on võimalik ECRIS-TCN-st (kolmandate riikide kodanike ja kodakondsuseta isikute Euroopa karistusregistrite infosüsteem, kuhu kantakse kesksesse infosüsteemi selliste isikute liikmesriikides mõistetud karistused) kontrollida hõlpsamini kolmandatest riikidest pärit isikule teistes liikmesriikides mõistetud karistusi, ilma et oleks enam vaja esitada kõikidesse liikmesriikidesse eraldi päringuid. Kõikide isikute kohta, keda liikmesriigid on karistanud, saadetakse andmed kesksesse infosüsteemi, kuhu keskasutus saab teha päringu selle kohta, millises riigis on isikul karistusi, saamata detailseid karistusandmeid. Saades vastuse, et isikul on Prantsusmaal karistus, tuleb selle täpsustamiseks esitada tavapärane päring ECRIS-i kaudu Prantsusmaale. ECRIS-i kaudu ei saa kontrollida kolmandates riikides mõistetud karistusi, nt Eesti kodaniku või teise liikmesriigi kodaniku või kolmanda riigi kodaniku Venemaal, Ukrainas, Tais, Ameerika Ühendriikides vms mõistetud karistusi. Selliseid andmeid ei sisalda ka ECRIS-TCN keskne süsteem.

ECRIS-i päringu puhul ei saabu vastus teenuseosutajale automaatselt, vaid selle saadab teenuseosutajale liikmesriik enda määratud menetlustähtaja jooksul. CER-direktiivi artikli 14 lõike 3 kohaselt peab liikmesriik tagama, et päringutele vastatakse 10 tööpäeva jooksul.

Taustakontrolli kohta sätestatut kohaldatakse ka elutähtsa teenuse osutajaga lepingulises suhtes oleva juriidilise isiku töötajale, kes usaldatakse täitma KORKS-i § 85 lg 1 kirjeldatud ja riskianalüüsis toodud ülesannet. Elutähtsa teenuse osutajal on taustakontrolli tegemiseks õigus saada temaga lepingulises suhtes oleva juriidilise isiku töötaja isikusamasuse kontrollimiseks vajalikke üldandmeid ja õigus teha päringuid karistatuse andmete kontrollimiseks.

KORKS-i § 86 lõigetes 1 ja 2 sätestatud asjaolude ilmnemisel on elutähtsa teenuse osutajaga lepingulises suhtes oleval juriidilisel isikul võimalik anda ülesande täitmine elutähtsa teenuse osutaja juures teisele töötajale või lahendada lepingu täitmine muul kohasel viisil, nt leppida tellijaga kokku, et ülesannet täidab kolmas juriidiline isik.

Alltöövõtjate puhul tuleb arvestada, et kui hankijast elutähtsa teenuse osutaja soovib KORKS-is nimetatud ülesannete täitmise tellida teenusena, tuleb lähtuda riigihangete seadusest, mis ei võimalda teenuse osutajat riigihankelt kõrvale jätta seetõttu, et ta ei läbi mõnes muus eriseaduses ette nähtud taustakontrolli. Vajaliku taustakontrolli läbimise kohustuse saab sellisel juhul sätestada nt hankelepingu täitmise tingimusena ning panna pakkujale kohustus asendada need teenust osutavad isikud, kes taustakontrolli ei läbi.

Elutähtsa teenuse osutajal on õigus volitada alltöövõtjat taustakontrolli eesmärgil KORKS-i § 134 lõikes 1 sätestatud isikuandmete volitatud töötlejaks. Olles elutähtsa teenuse osutaja volitatud töötleja, on alltöövõtjal enda töötajate kohta õigus saada KORKS-i § 134 lõikes 1 sätestatud isikuandmeid ja teha andmete päring karistusregistrisse elutähtsa teenuse osutaja nimel. Vaatamata sellele on lõppvastutus taustakontrolli tegemisel elutähtsa teenuse osutajal, mitte alltöövõtjal. Samuti otsustab üksnes elutähtsa teenuse osutaja kontrolli tulemuse põhjal, kellele ja milliseid ülesandeid võib täitmiseks usaldada.

Taustakontrolli eesmärgi saavutamiseks on elutähtsa teenuse osutajal õigus saada:

1. kontrollitava isiku isikut tõendava dokumendi andmed ja üldandmed (nimi, isikukood, sugu, kodakondsus, kontakt, sh aadress, emakeel), sh õigus saada andmeid elutähtsa teenuse osutajaga lepingulises suhtes olevalt isikult, kelle töötaja täidab riskianalüüsis kindlaksmääratud ülesannet. Andmed on vajalikud isikusamasuse kontrollimiseks, karistusregistrist päringute tegemiseks ja isikuandmete kaitse üldmääruses sätestatud andmesubjekti õiguste tagamiseks (nt teavitamiskohustus);
2. karistusregistrist andmeid inimese karistatuse kohta.

Karistusseadustiku 8. ja 15. peatükis nimetatu puhul väljastatakse karistusregistrist üksnes teave kehtiva karistuse olemasolu kohta ehk kas isikut on vastava kuriteo toimepanemise eest karistatud ja selle kohta on karistusregistris kehtivad andmed. Arhiivi kantud andmeid ei töödelda ja nende saamise õigust ei ole. Kui isikul on karistusregistris karistusseadustiku 8. ja 15. peatükis nimetatud kuritegude andmed, siis edasine kontroll peatub, kuna juba on alust
isikule ülesannet mitte anda.

Ka § 86 lõikes 2 nimetatud kuritegude puhul väljastatakse karistusregistrist üksnes teave kehtiva karistuse olemasolu kohta ning arhiivi kantud karistusandmeid ei kuvata. Lähtudes isikuandmete töötlemise üldistest põhimõtetest sätestatakse, et elutähtsa teenuse osutaja ei või teha veel üht päringut muude karistusandmete olemasolu kontrollimiseks juhul, kui juba on ilmnenud, et isiku kohta on karistusregistris kehtivad karistusseadustiku 8. ja 15. peatükis nimetatud kuritegude andmed. Sellisel juhul ei ole päringu tegemine enam vajalik ja päring oleks vastuolus eesmärgikohasuse põhimõttega.

Elutähtsa teenuse osutaja võib isikult nõuda dokumendi esitamist selle kohta, kas välisriigi õiguskaitseorgan on teda kriminaalkorras karistanud, kui see on vajalik KORKS-i § 86 lõigetes 1 ja 2 sätestatud asjaolude kontrollimiseks.

KarRS-i § 6 p 7 kohaselt kantakse karistusregistrisse mh isiku karistusandmed jõustunud süüdimõistva välisriigi kohtuotsuse alusel kriminaalasjas Eesti kodaniku või Eesti elamisloa 
või elamisõigusega välismaalase suhtes, kelle karistusandmed on välisriik edastanud või kelle süüdimõistvat kohtuotsust on Eesti kohus tunnustanud. Päringute tegemist teise liikmesriigi registrisse on reguleeritud KarRS-i §-s 30, mille lg 1 p 9 kohaselt on Registrite ja Infosüsteemide Keskusel õigus esitada päring teise liikmesriigi keskasutusele karistusregistris sisalduvate andmete kohta, kui andmeid soovib tööandja isiku tööle või teenistusse võtmisel isiku seadusega sätestatud nõuetele vastavuse kontrollimiseks.