KORKS käsiraamat

Kokkuvõtvalt saab finantssektori osaliste kohustused KORKS-i mõttes jagada kahte etappi: kriisiolukorraks valmistumine ja kriisiolukorra lahendamine. See on illustreerivalt kokku võetud järgmises tabelis.

Tabel 37. Põhilised finantssektori ülesanded kriisiolukorraks valmistumisel ja kriisiolukorra ajal

Finantssektori vaatest on oluline tähele panna, et KORKS ei asenda valdkondlikke regulat-sioone, nagu finantskriiside ennetamise ja lahendamise seadust (FELS) ja Euroopa Liidu nn IT-turvalisuse ja kübervastupidavuse määrust 2022/2554 (DORA), vaid lisab neile riigikaitse ja ühiskonna toimepidevuse perspektiivi. Seetõttu peavad ETO-d arvestama, et lisaks tavapärasele operatsioonilise vastupidavuse juhtimisele tuleb tagada ka maksete ja teiste kriitiliste finantsteenuste toimimine kriisiolukorras.

KORKS-i § 1 lg 4 sätestab negatiivse kohaldumisala mõnda finantssektori osalist puudutava finantskriisiga seoses. Finantssektoris on eelkõige krediidiasutuste ja investeerimisühingute finantskriisi ennetamise ja lahendamise meetmed väga ulatuslikult juba reguleeritud FELS-iga. FELS põhineb EL-i õigusel (direktiivil 2014/59) ja vastav direktiiv on EL-i tasemel reaktsioon 2008. aastal aset leidnud globaalsele finantskriisile. Kuna maksevõimetute pan-
kade ja investeerimisühingute kriisilahendusraamistik juba eksisteerib, välistatakse KORKS-i kohaldumisalast nn tavapärane finantskriisi olukorra ennetamine ja lahendamine (EL-i ühtse kriisilahendusorgani SRB ja Finantsinspektsiooni koostöös toimuv kriisilahendusmenetlus).
Seda juhul, kui kriisiolukorra põhjustab konkreetset krediidiasutust või investeerimisühingut puudutav finantsmajanduslik olukord (nt likviidsusraskused, olulised vead finantsettevõtja riskijuhtimises jmt). KORKS-i ei kohaldata FELS-is ettenähtud meetmetele, kui finantsolukorra halvenemine on tekkinud põhjusel, mis ei ole seotud KORKS-i §-de 26, 28 või 30 alusel väljakuulutatud olukor-raga või selle tekke ohuga. Kui tegemist on riigiülese kriisiolukorraga, mis on seotud ka muude finants-sektori väliste valdkondadega, kohaldub suure tõenäosusega juba KORKS.

Kriisiolukorraks valmistumine finantssektoris

Püsiv kriisiülesanne osutada elutähtsat teenust KORKS-is ja selle alusel kehtestatud nõuete kohaselt tähendab lühidalt:

1. valmistuda häireteks ja kriisiolukordadeks;
2. tagada määratletud teenuse toimepidevus.

Üks kõige olulisem kohustus ettevalmistumise mõttes on koostada elutähtsa teenuse toimepi-devuse riskianalüüs ja kriisiplaan (KORKS § 12 lg 9) ning neid ajakohastada. Riskianalüüs peab

olema koostatud üheksa kuu ja kriisiplaan kümne kuu jooksul ETO-ks määramisest arvates
(KORKS § 83 lg 4 p 1).

Riskianalüüsis tuleb muu hulgas:

1. tuvastada ohud, mis võivad katkestada või oluliselt häirida elutähtsa teenuse osutamist;
2. hinnata ohtude tõenäosust ja mõju;
3. määrata kindlaks kriitilised tegevused, milleta teenust osutada ei saa;
4. hinnata teenuse sõltuvust (nt elektrist, sideühendustest, pilveteenustest, maksesüsteemidest, alltöövõtjatest);
5. hinnata, kui kaua võib teenus olla häiritud enne, kui mõju muutub ühiskonnale
   vastuvõetamatuks.

Lisaks näeb KORKS ette, et riskianalüüsis tuleb täpsemalt kindlaks määrata teenuse toimimi-seks vajalik kriitiline ressurss ja sõltuvus, et kaitsmiseks oleks võimalik rakendada sobivaid meetmeid.

Eelkõige krediidiasutuste, kuid ka makseasutuste ja e-raha asutuste puhul tähendab see järg-miste funktsioonide/süsteemide ülevaatamist ja alternatiivide kavandamist, kui neis esineb tõr-keid või kui need lakkavad töötamast: TARGET ja STEP2 ühendused, kaardimaksesüsteemid, internetipanga platvormid, ATM-võrgustik, andmekeskused, pilveteenused ja sideoperaatorite pakutavad teenused.

Riskianalüüsi põhjal tuleb koostada konkreetne kriisiplaan, milles kirjeldatakse:

1. kuidas häire või katkestus tuvastatakse avastatakse;
2. kes teeb otsuseid;
3. kuidas teenust jätkatakse;
4. kuidas taastatakse teenuse tavapärane tase;
5. kuidas toimub klientide ja ametiasutuste teavitamine;
6. millised on alternatiivsed töökorraldused.

Eeltoodu on sisuliselt iga püsiva kriisiülesande kohustuse saanud ettevõtte kriisiplaan elu-tähtsa teenuse jaoks. Kuigi KORKSi jõustumisega muutub hädaolukorra seadus kehtetuks (HOS-i), jääb toimepidevuse plaani koostamise loogika sisuliselt samaks ning rakendusaktides sätestatakse selle täpse-mad nõuded.

Kui üldiselt tuleb iga kriisiplaani osana määrata kindlaks kriitilised infosüsteemid, töötajad, hooned, seadmed, lepingupartnerid ja tarneahelad, siis konkreetsemalt krediidiasutuste ja muude püsiva kriisiülesandega finantssektori asutuste puhul tähendab see nt tabelis näidatud valdkondade kaardistamist.

Tabel 38. Makseteenuste toimepidevuseks vajalik kriitiline ressurss

Kokkuvõtvalt tuleb sõltuvus nendest valdkondadest dokumenteerida ja hinnata nende katkestamise mõju, sh kas on olemas alternatiiv nii lühi- kui ka pikemaajaliste katkestuste korral. Riskide maandamiseks tuleks dokumenteerida järgmised meetmed – varuserverid, geograafiliselt eraldatud andmekeskused, generaatorid, varuside, alternatiivsed maksekanalid, regulaarne varundamine, alternatiivsed tööruumid, võtmetöötajate asendatavus jms. See tähendab, et toimepidevus peab olema tegelikult tagatud, mitte üksnes dokumenteeritud.

Finantssektorile on oluline, et KORKS sätestab üldise raamistiku. Konkreetseid toimepidevuse nõudeid võib Eesti Pank elutähtsa teenuse toimepidevuse korraldajana (ETKA-na) KORKS-i § 82 lg 5 p 1 kohaselt täpsustada, näiteks: 

1. millisel tasemel peavad makseteenused kriisi ajal toimima;
2. kui kiiresti tuleb teenus taastada;
3. milline peab olema sularaha kättesaadavus;
4. milliseid toimepidevuse teste tuleb teha;
5. milliseid aruandeid tuleb esitada.

Lisaks kehtestab KORKS-i § 21 finantssektorile erisätte, mille kohaselt riskianalüüsi ja kriisiplaani finantssektorit puudutavas osas tuleb arvestada KORKS-i §-s 39 sätestatut. Näiteks tuleks riskianalüüsi koostamisel arvestada KORKS-i § 39 lg 1 p 2 Vabariigi Valitsusele antud õigust, mis näeb ette, et valitsus saab kehtestada investeeringute tegemise tingimused, sh kohustuse osta riigi emiteeritavaid võlakirju. Valitsus ei saa selle käigus kehtestada tingimusi finantsjärelevalve subjektile kohalduvate usaldatavusnormatiivide, kõlblike kohustuste minimaalse taseme nõude ja muude selliste nõuete täitmiseks vajalike investeeringute tegemise kohta.

KORKS näeb ette ka toimepidevuse testimise. Kriisiplaani tuleb:

1. regulaarselt harjutada;
2. testida;
3. vajaduse korral ajakohastada.

Praktikas tähendab see nt lauaõppusi, tehnilisi taastamiskatseid, varukeskuse käivitamist, maksesüsteemi katkestuse simulatsiooni ja küberturbe õppusi (KORKS § 83 lg 11 punktid 6 ja 10).

KORKS annab aluse kontrollida, kas toimepidevuse nõudeid tegelikult täidetakse. Selle tarvis võib Eesti Pank või Finantsinspektsioon tellida sõltumatu auditi (KORKS-i § 90 kohaselt). See tähendab, et toimepidevuse korraldaja (Eesti Pank) või Finantsinspektsioon võib hinnata:

1. kas riskianalüüs on piisav;
2. kas kriisiplaan on ajakohane;
3. kas nõutud meetmed on rakendatud;
4. kas testimised on toimunud.

Seega peavad elutähtsa teenuse osutajad olema valmis sõltumatuteks hindamisteks ja audititeks. Toimepidevuse tagamise osa on ka kohustus teavitada toimepidevuse korraldajat (KORKS § 83 lg 11 p 9 ja 11):

1. olulistest katkestustest;
2. teenuse osutamist ohustavatest sündmustest;
3. olulistest häiretest

FIantssektoris on see seotud ka DORA määruse ning krediidiasutuste seaduses (KAS) ja MERAS-is info- ja kommunikatsioonitehnoloogiaga (IKT) seotud intsidentide teatamise süs-teemiga, et vältida dubleerivat aruandlust. Dubleerimise vältimiseks on täiendatud KAS-is ja MERAS-is intsidendist ja küberohust teavitamist nii, et kui ETO-st krediidiasutus, makseasutus või e-raha asutus teavitab tõsisest IKT-intsidendist Finantsinspektsiooni ning Riigi Infosüsteemi Ametit (vastavalt KAS-i §-le 924 või MERAS-i §-le 636), ei pea ta enam KORKS-i § 83 lg 11 p 2 kohaselt vastavat teavitust tegema. Kui sündmus ei liigitu tõsiseks IKT-intsidendiks, liigub tea-vitamine siiski KORKS-i. Lisaks vastavalt Finantsinspektsiooni seaduse § 4711 lg 1 punktile 3 võivad Finantsinspektsioon ja Riigi Infosüsteemide Amet vahetada omavahel muuhulgas teavet küberintsidentide ja küberohtude kohta ning muudes küsimustes, mis puudutavad elutähtsaid teenuseid osutavaid finantsjärelevalve subjekte.

KORKS näeb ette, et püsiva kriisiülesandega isik peab määratlema ka kriisiülesandega seotud töökohad, see kehtib ka finantssektori osapooltele (KORKS-i 13. ptk). Krediidiasutuse puhul võiksid sellisteks ametikohtadeks olla näiteks: 

1.  kriisijuhtimise meeskonna liikmed;
2. maksesüsteemide operaatorid;
3. sularaharingluse eest vastutavad töötajad;
4. infoturbe- ja küberturbespetsialistid;
5. andmekeskuste administraatorid;
6. võrgu- ja infrastruktuuriinsenerid;
7. maksete ja arvelduste võtmespetsialistid.

Näiteks ei ole kriisiülesandega seotud tavapärane turundusspetsialisti või personalikonsultandi
ametikoht, kui nende roll ei ole otseselt vajalik püsiva kriisiülesande täitmiseks.

Elutähtsa teenuse osutaja finantssektoris peab (KORKS-i § 83 lg 11 p 12 kohaselt) määrama ülesannete täitmiseks kontaktisiku ning edastama tema kontaktandmed Eesti Pangale.

Elutähtsa teenuse toimepidevuse korraldaja võib ettekirjutusega kohustada ETO-d osutama teenust kehtestatud nõuetest erineval viisil ja erinevas ulatuses teatud tingimustel ka väljas-pool kriisiolukorda (erineb HOS-i regulatsioonist), vastavalt KORKS-i § 82 lõikele 11.

Samuti näeb KORKS § 85 uue kohustusena ETO-dele ette teha taustakontrolli teatud isikute suhtes elutähtsa teenuse toimepidevuse tagamisel. Lihtsustatult peavad ETO-d tegema taustakontrolli isikute suhtes, kes täidavad olulisi ülesandeid seoses toimepidevust tagavate infosüsteemide või läbipääsu- ja valvesüsteemide arendamise ja haldamisega, kriitilisele territooriumile, ehitistele, teabele või kontrollisüsteemidele ligipääsuga ning toimepidevuse planeerimise, investeeringute või riskihaldusega. Kontrollida tuleb isikusamasust ja karistatuse andmeid enne ülesande täitmisele asumist ja seejärel iga kahe aasta tagant, kasutades Riigikantselei hallatavat taustakontrolli teenust. Riskianalüüsis tuleb täpsemalt kindlaks määrata need elutähtsa teenuse toimepidevuse tagamise seisukohalt olulised ülesanded, mida täitva füüsilise isiku suhtes on taustakontrolli tegemine eesmärgipärane.

Kriisiolukorra lahendamine, kui see puudutab finantssektorit

Kui n-ö tavapärases finantskriisiolukorras on juhtroll Finantsinspektsioonil või seoses makse-teenuste osutamise või sularaha kättesaadavuse tagamise puhul teatud ulatuses Eesti Pangal, siis ulatusliku finantskriisi puhul (ehk eriolukorra, erakorralise seisukorra ja sõjaseisukorra ajal), mis võib mõjutada ka finantssektorit, on erivolitus vajalike meetmete rakendamiseks antud Vaba-riigi Valitsusele. KORKS-i §-s 39 on sätestatud meetmed olulise avaliku hüve kaitseks. Oma olemuselt on tegemist ultima ratio meetmega, mida rakendatakse ainult äärmise vajaduse korral, kui tegemist on avalikule korrale ja julgeolekule täiesti ebatüüpilise ohuolukorraga, mida seadusandja ega täitevvõim ei ole suuteline tavaolukorras ette nägema.

Krediidiasutuste puhul tuleb arvesse võtta, et vastav järelevalve ja (mitme) krediidiasutusega seotud finantskriisi lahendamine kuulub Euroopa Keskpanga (ECB) ja EL-i keskse kriisilahendusorgani (SRB) pädevusse; temaga teeb koostööd Finantsinspektsioon. KORKS-i § 39 annab mh võima-luse valitsuse otsusega tagada teatud meetmetega finantssektori stabiilsus, kui nt ECB suuni-sed ja otsused viibivad. Tähele tuleb panna, et meetmed, mida valitsus võib otsustada, peavad olema asjakohases olukorras sobivad, mõõdukad, vajalikud ning rakendatavad tingimusel, et finantssektori stabiilsust ja usaldusväärsust või kriitiliste funktsioonide jätkuvust ülemäära
ei kahjusta. Eriolukorra väljakuulutamine ei too valitsusele kaasa õigust kõiki §-s 39 nimeta-tud meetmeid rakendada. Kui on välja kuulutatud erakorraline seisukord, kuid see ei puuduta kuidagi finantssektori stabiilsust, ei ole tarvilik ega ka seaduslik seaduses toodud meetmeid finantssektorile kohaldada. Aga kui eriolukord või erakorraline seisukord mõjutab ulatuslikult elutähtsa teenuse – elektriga varustamise – osutamist ning mõjutab olulisel määral kredii-diasutuste tööd, võib olla vajalik sektori stabiilsuse säilitamiseks meetmeid rakendada.

Valitsuse otsustusõigust illustreerib järgmine joonis.

Joonis 12. Finantssektorit mõjutav ulatuslik kriisiolukord

Valitsuse võimalus meetmeid rakendada eeldab ulatusliku kriisiolukorra eksisteerimist
KORKS-i tähenduses ja peab puudutama mh finantssektorit. Iga kriisiolukord ega erikord ei pea ilmtingimata tooma kaasa vajadust muuta finantssektori tavapärast toimimist ja järelevalve-mudelit. Finantsinspektsioon (või Euroopa Keskpank) saab ka praegu ise rakendada üksikute pankade või muude finantsjärelevalve subjektide puhul samu ulatuslikke meetmeid – piirata teatud tehingute/toimingute tegemist (vt krediidiasutuste seaduse § 104) või võtta panga juhti-mine üle (vt FELS-i §-d 36–37).