Vabariigi Valitsus — Vabariigi Valitsuse 8. juuli 1999. a määruse nr 216 "Riigisaladuse kaitse korra ja riigisaladusele juurdepääsu loa andmise korra kinnitamine" muutmine — RT I, 36, 236

Määrus kehtestatakse «Riigisaladuse seaduse» (RT I 1999, 16, 271; 82, 752; 2001, 7, 17; 100, 643; 2002, 53, 336; 57, 354; 63, 387; 2003, 13, 67; 23, 147) § 12 lõike 2 ja § 27 lõike 2 alusel. § 1. Vabariigi Valitsuse 8. juuli 1999. a määrusega nr 216 «Riigisaladuse kaitse korra ja riigisaladusele juurdepääsu loa andmise korra kinnitamine» kinnitatud «Riigisaladuse kaitse korras» (RT I 1999, 61, 622; 2000, 85, 539; 2001, 66, 384; 2002, 7, 32; 2003, 28, 168) tehakse järgmised muudatused: 1) punkti 1 alapunktid 1 ja 4 sõnastatakse järgmiselt: « 1) nõuded riigisaladust valdavale asutusele, institutsioonile ning juriidilisele isikule riigisaladuse kaitse korraldamiseks ning elektrooniliseks teabeturbeks.»; « 4) nõuded julgeolekuasutuste ja Kaitsejõudude Peastaabi töökorraldusele riigisaladuse seadusega neile pandud kontrolli teostamisel.»; 2) punkti 2 alapunkt 1 sõnastatakse järgmiselt: « 1) riigisaladusele juurdepääsu korra järgimise ja elektroonilise teabeturbega;»; 3) punkti 6 täiendatakse alapunktidega 8–16 järgmises sõnastuses: « 8) jälgima elektroonilise teabeturbe nõuete täitmist ning edastama Teabeametile sellekohast teavet, sealhulgas nimetatud nõuete rikkumise või rikkumise kahtluse korral; 9) dokumenteerima vastavalt turvanõuete rakendamise juhendile teabe riigisaladuse automatiseeritud infotöötlussüsteemide ning nende osade kohta; 10) tagama asutuse juhi ülesandel personali koolituse elektroonilise teabeturbe alal; 11) töötama koostöös süsteemi- ja võrguhalduritega välja süsteemi turvanõuete rakendamise juhendi ning tagama nimetatud juhendi tutvustamise ja kättesaadavuse; 12) määrama kindlaks isikud, kes omavad juurdepääsuõigust süsteemile või selle osale, ning juurdepääsuõiguste sisu ja ulatuse; 13) väljastama salasõnu ja muid teabele juurdepääsu andvaid füüsilisi ja elektroonilisi vahendeid ning tagama nimetatud vahendite perioodilise vahetamise ja nende üle arvestuse pidamise; 14) jälgima ja dokumenteerima süsteemide hooldamist ja remontimist ning nende konfiguratsiooni muutmist; 15) pidama arvestust salajast teavet sisaldavate süsteemi osade, sealhulgas diskettide ja muude teisaldatavate salvestuskandjate ja nende kasutajate üle ning kontrollima perioodiliselt nimetatud salvestuskandjate tegelikku olemasolu, sisu, hoiutingimusi ja märgistust; 16) selgitama välja sündmuse või protsessi mittetoimumise või süsteemi volitustevastase kasutamise asjaolud.»; 4) punkti 50 alapunkt 1 sõnastatakse järgmiselt: « 1) sõrendatud paksus kirjas, suurtähtedega (suurusega 16 punkti) või»; 5) punkt 63 sõnastatakse järgmiselt: « 63. Riigisaladust sisaldav andmekogum või teisaldatav salvestuskandja märgistatakse läbivalt suurtähtedega sõrendatud paksus kirjas (suurusega 16 punkti) või punast värvi suurtähtedega. Andmekogumi märgistamisel kohaldatakse punktide 57–62 nõudeid.»; 6) punkti 76 täiendatakse lausega järgmises sõnastuses: «Automatiseeritud infotöötlussüsteemi piires säilitatakse ja hoitakse riigisaladust andmekogumina elektrooniliselt esitatavas vormis, sealhulgas teisaldataval salvestuskandjal.»; 7) punkt 116 sõnastatakse järgmiselt: « 116. Krüpteerimata kujul võib riigisaladust (välja arvatud tasemega «täiesti salajane») telekommunikatsioonivahendi kaudu edastada ainult hädaolukorras riigisaladust valdava riigiasutuse juhi ühekordsel eraldi loal. Riigisaladust valdava riigiasutuse juht võib anda loa, kui riigisaladuse kiire edastamine on möödapääsmatu ja riigisaladuse krüpteerimine ei ole aja või vastavate vahendite puudumise tõttu võimalik. Riigisaladuse krüpteerimata edastamisest teatatakse esimesel võimalusel Kaitsepolitseiametile ja Teabeametile.»; 8) «Riigisaladuse kaitse korra» IV osa pealkiri sõnastatakse järgmiselt: «IV OSA. JULGEOLEKUASUTUSTE JA KAITSEJÕUDUDE PEASTAABI TÖÖKORRALDUS RIIGISALADUSE KAITSE KORRALDAMISEL 9) punkti 117 täiendatakse kolmanda lausega järgmises sõnastuses: «Teabeamet teostab kontrolli Eesti välisesindustes ning väljaspool riigi territooriumi asuvates kaitseväeüksustes.»; 10) «Riigisaladuse kaitse korda» täiendatakse punktiga 117 1 järgmises sõnastuses: « 117.1 Elektroonilist teabeturvet korraldab ja kontrollib Teabeamet.»; 11) punkti 118 täiendatakse pärast sõna «Kaitsepolitseiamet» sõnaga «, Teabeamet»; 12) punkti 119 täiendatakse pärast sõna «siseministri» sõnaga «, kaitseministri»; 13) punkti 120 täiendatakse pärast sõna «Kaitsepolitseiametil» sõnaga «, Teabeametil»; 14) punkti 122 täiendatakse teise lausega järgmises sõnastuses: «Teabeameti poolt teostatavat kontrolli viivad läbi selleks Teabeameti peadirektori poolt volitatud ametnikud.»; 15) punkti 123 täiendatakse pärast sõna «Kaitsepolitseiametil» sõnaga «, Teabeametil»; 16) punkti 126 täiendatakse pärast sõna «Kaitsepolitseiametil» sõnaga «, Teabeametil»; 17) punkti 127 täiendatakse pärast sõnu «Kaitsepolitseiameti peadirektor» sõnadega «, Teabeameti peadirektor»; 18) punkti 136 täiendatakse pärast sõna «Kaitsepolitseiamet» sõnaga «, Teabeamet»; 19) korda täiendatakse VI osaga järgmises sõnastuses: «VI OSA. ELEKTROONILINE TEABETURVE. 17. peatükk. Kasutatavad mõisted 140. Käesolevas korras kasutatakse mõisteid järgmises tähenduses: 1) riigisaladuse automatiseeritud infotöötlussüsteemid (edaspidi süsteemid) – mis tahes tehnilised vahendid, mida kasutatakse riigisaladuse automatiseeritud töötlemiseks, sealhulgas tark- või riistvara, telekommunikatsioonivõrk, -liin või -seade, nende liides või kogum; 2) elektrooniline teabeturve – teabe (riigisaladuse) käideldavuse, salajasuse ja terviklikkuse olemasolu tagamine riigisaladuse automatiseeritud infotöötlussüsteemides; 3) andmekogum – teabe elektrooniline vorm; 4) käideldavus – teabe kasutamise ja teabele juurdepääsu võimalus volitatud isiku nõudel; 5) salajasus – teabe volitamata isikutele mittekättesaadavus või mittearusaadavus; 6) terviklikkus – teabe omadus olla volitamata isikute poolt muutmata, täiendamata või hävitamata; 7) oht – tegur, mille toimel teave või selle kaitsmist toetavad süsteemitoimingud ja -vahendid võivad kahjustuda, kaduda, avalikuks saada või neid saab varastada või kopeerida; 8) turvarike – olukord, kus teave või selle kaitsmist toetavad süsteemitoimingud ja -vahendid on varguse, sabotaaži, terrorismiaktide, muu lubamatu tegevuse või turvaaukude tõttu kaotanud salajasuse, terviklikkuse või käideldavuse (sealhulgas teabe kadumine, volitamata isikutele teatavakssaamine, volitamata isikute poolt muutmine või hävitamine või rünne süsteemi suhtes); 9) turvarisk – turvarikke esinemise tõenäosus; 10) riskihaldus – ohtude, turvariski ja turvaaukude analüüs, mille põhjal määratakse kindlaks turvameetmed teabele ja selle kaitsmist toetavatele süsteemitoimingutele ja -vahenditele. Riskihaldus hõlmab meetmete planeerimist, korraldamist, suunamist ja kontrollimist eesmärgiga vältida riski väljumist vastuvõetavatest piiridest; 11) turvaauk – turvariket võimaldav või hõlbustav tegur, tingituna süsteemi tehnilistest puudustest, süsteemi üle kontrolli puudumisest või muudest asjaoludest; 12) haavatavuse analüüs – süsteemi üksikasjalik kontrollimine, selgitamaks välja süsteemi turvaaugud, ohud süsteemis töödeldava teabe salajasusele, terviklikkusele ja käideldavusele ning süsteemi vastuvõtlikkus mis tahes ründele või ohule; 13) mitmetasemeline akrediteerimine – süsteemi analüüs eesmärgiga määrata kindlaks, kas ja millises ulatuses on süsteem võimeline kaitsma eri salastatuse tasemega riigisaladust ning eristama süsteemi kasutajaid eri juurdepääsuõiguste põhjal; 14) süsteemi turvanõuete loetelu – süsteemi suhtes kohustuslike turvanõuete täielik ja selge loetelu, mis alusdokumendina näitab, kuidas piisav turvalisus saavutada ja kuidas teabe turvalisust süsteemis hallata ja kontrollida; 15) süsteemi turvanõuete rakendamise juhend – dokument, mis kirjeldab detailselt süsteemi turvanõuete loetelus ettenähtud turvanõuete täitmise korda ning asutuse iga konkreetse töötaja ülesandeid teabe turvalisuse tagamisel. 141. Süsteem, milles töödeldakse riigisaladust, peab võimaldama: 1) tuvastada ja registreerida isikud, kes omasid või võisid omada juurdepääsu riigisaladusele ja selle kaitsmist toetavatele süsteemitoimingutele ja -vahenditele; 2) juurdepääsu teabele ja selle kaitsmist toetavatele süsteemitoimingutele ja -vahenditele üksnes põhjendatud teadmisvajaduse olemasolul; 3) kontrollida teabe ning selle kaitsmist toetavate süsteemitoimingute ja -vahendite salajasust, terviklikkust, käideldavust, samuti nende päritolu, usaldatavust ja ühendusi; 4) saavutada olukorra, kus elektroonilise teabeturbe kaitsemehhanismid toimivad nõuetekohaselt süsteemi kogu käitlusaja jooksul; 5) ära hoida ning kõrvaldada turvarikkeid ning vältida või vähendada nende tekkimisega kaasnevat kahju; 6) turvarikete käsitlemist, mille käigus määratakse kindlaks ja registreeritakse süsteemile või selle osale avaldunud ohud ja nende tagajärjel teabele tekkinud kahju ning nende kõrvaldamiseks kasutusele võetud meetmed. 142. Süsteemides töödeldava riigisaladuse kaitse (teabe turvalisus) saavutatakse käesolevas korras ja teistes õigusaktides sätestatud elektroonilise teabeturbe, samuti riigisaladuse kaitseks kehtestatud muude nõuete täitmise ning selle korraldamise ja kontrollimisega. Elektroonilise teabeturbe tagamisel kasutatakse arvuti-, andmevahetus-, kiirgus- ja krüptoturbe meetmeid, mis hõlmavad süsteeme ähvardavate ohtude ja turvaaukude vältimist, avastamist, dokumenteerimist ja nimetatud ohtudele adekvaatset reageerimist. 18. peatükk. Süsteemi akrediteerimine 143. Süsteemi akrediteerimise, sealhulgas auditeerimise eesmärk on tagada piisav veendumus, et süsteem vastab elektroonilise teabeturbe tagamiseks kehtestatud nõuetele. Teabeamet akrediteerimise tulemuste põhjal vastavalt: 1) tunnistab süsteemi akrediteerituks ja väljastab sellele vastavussertifikaadi; 2) väljastab süsteemile ajutise kasutusloa koos tähtaja ja tingimuste määramisega süsteemi uuesti akrediteerimisele esitamiseks; 3) keeldub süsteemi akrediteerimast ja keelustab selle kasutamise riigisaladuse töötlemiseks koos tingimuste määramisega süsteemi akrediteerimiseks. 144. Teabeamet lähtub süsteemide akrediteerimise üle otsustamisel: 1) süsteemi tehnilisest kirjeldusest ning süsteemi ühendustest teiste süsteemidega; 2) süsteemi riskide analüüsi tulemustest; 3) süsteemi turvanõuete loetelust; 4) süsteemi turvanõuete rakendamise juhendist; 5) teabest elektroonilise teabeturbe tagamise kohta riigisaladust valdava asutuse, institutsiooni või juriidilise isiku poolt; 6) süsteemi jääkriskide analüüsist ning vastuvõetava riski ulatusest; 7) süsteemi võimekusest avastada ja tõkestada juurdepääsuõigustele mittevastav tegevus, avastada ja tõkestada süsteemi lubamatu sissetungimine, võimaldada süsteemi haavatavuse analüüside teostamist ning võimaldada süsteemi konfiguratsioonihaldust. 145. Riigisaladust valdav asutus, institutsioon ja juriidiline isik on kohustatud esitama Teabeametile viimase nõudel viivitamatult andmed punktis 144 sätestatud asjaolude kohta ning tagama Teabeametile tööajal pideva ning puhkepäevadel ja riiklikel pühadel eelnevalt kokku lepitud juurdepääsu võimaluse tema valduses oleva süsteemi osadele, sõltumata nende paiknemiskohast. 146. Üksikasjalikud turvameetmed konkreetse süsteemi suhtes nähakse ette süsteemi turvanõuete loetelus ja turvanõuete rakendamise juhendis, lähtudes käesolevas korras ja teistes õigusaktides, samuti välislepingutes ettenähtud põhimõtetest ja normidest. 147. Süsteemid kuuluvad mitmetasemelisele akrediteerimisele juhul, kui: 1) süsteemis töödeldakse tasemega «täiesti salajane» või välislepingute kohaselt täiendavat kaitset vajavat salastatud teavet või 2) süsteemis töödeldakse «konfidentsiaalse» või kõrgema salastustasemega teavet ja süsteem on ühendatud üldkasutatava telekommunikatsioonivõrgu või Internetiga. Mitmetasemeline akrediteerimine nähakse ette süsteemi turvanõuete loetelus. 19. peatükk. Süsteemi turvanõuete loetelu 148. Süsteemi turvanõuete loetelu tüübid on: 1) süsteemi turvanõuete loetelu kokkuühendatud süsteemidele; 2) süsteemi turvanõuete loetelu üksiksüsteemidele; 3) süsteemide kokkuühendamise turvanõuete loetelu. 149. Süsteemi turvanõuete loetelu töötab välja süsteemi projekteerija või ehitaja koos riigisaladust valdava asutuse, institutsiooni või juriidilise isikuga ning kooskõlastab loetelu Teabeametiga enne uue süsteemi ehitamisele asumist või enne uue süsteemi teiste süsteemidega kokkuühendamist. 150. Kasutusel oleva süsteemi turvanõuete loetelu või süsteemi kokkuühendamise turvanõuete loetelu töötab välja riigisaladust valdav asutus, institutsioon või juriidiline isik ning kooskõlastab selle Teabeametiga. 151. Süsteemi turvanõuete loetelu või süsteemi kokkuühendamise turvanõuete loetelu kooskõlastab riigisaladust valdav asutus, institutsioon või juriidiline isik täiendavalt Kaitseministeeriumiga, kui süsteemi kaudu töödeldakse teise riigi või rahvusvahelise organisatsiooni salastatud teavet. 152. Süsteemi turvanõuete loetelu ja selle muudatused kehtestab riigisaladust valdava asutuse, institutsiooni või juriidilise isiku juht pärast kooskõlastuste saamist. 153. Süsteemi turvanõuete loetelu täpsustatakse regulaarselt süsteemi ehitamise ja ekspluateerimise käigus, sealhulgas juhtudel, kui muutub süsteemi kasutusotstarve, struktuur, ilmnevad uued olulised ohud või muutub süsteemis töödeldava riigisaladuse tase. Süsteemi turvanõuete loetelu kõik muudatused kooskõlastatakse Teabeametiga. 154. Süsteemi turvanõuete loetelu kõik muudatused kooskõlastatakse täiendavalt Kaitseministeeriumiga, kui süsteemi kaudu töödeldakse teise riigi või rahvusvahelise organisatsiooni salastatud teavet. 20. peatükk. Süsteemi turvanõuete rakendamise juhend 155. Süsteemi turvanõuete rakendamise juhend sisaldab vähemalt järgmisi osi: 1) süsteemi turvalisuse haldamise ja korraldamise põhimõtted; 2) elektroonilise teabeturbe meetmed; 3) tegevuskavad eriolukorra, erakorralise seisukorra ja hädaolukorra puhuks; 4) süsteemi konfigureerimise ja ümberkonfigureerimise nõuded; 5) süsteemi ühendamine üldkasutatava telekommunikatsioonivõrgu ja Internetiga. 156. Süsteemi turvanõuete rakendamise juhendi töötab välja riigisaladust valdav asutus, institutsioon või juriidiline isik koostöös süsteemi projekteerija või ehitajaga, lähtudes süsteemi turvanõuete loetelust, ja kooskõlastab juhendi Teabeametiga enne, kui alustatakse süsteemi abil riigisaladuse töötlemist. Süsteemi turvanõuete rakendamise juhend kooskõlastatakse täiendavalt Kaitseministeeriumiga, kui süsteemi kaudu töödeldakse teise riigi või rahvusvahelise organisatsiooni salastatud teavet. Süsteemi turvanõuete rakendamise juhendi ning selle muudatused kehtestab riigisaladust valdava asutuse, institutsiooni või juriidilise isiku juht pärast kooskõlastuste saamist. 21. peatükk. Riskihaldus 157. Süsteemi riskihaldus käsitleb riski ohjamist, sealhulgas riski vähendamist, kõrvalejuhtimist, vältimist ning lubatavas ulatuses aktsepteerimist. 158. Süsteemi riskihaldus seisneb meetmete otstarbekas planeerimises, suunamises ja kontrollimises, tagamaks, et riski ja kulude suhe on optimaalne. 159. Riskihalduse käigus analüüsitakse eeskätt järgmisi põhiküsimusi: 1) teabe ohustatus süsteemis; 2) millised on võimalikud toimed ja tagajärjed, kui süsteemi turvaauke volitamata isikute poolt lubamatult ja edukalt ära kasutatakse; 3) stiihilised ohud süsteemi ja selles töödeldava teabe suhtes. 160. Süsteemi riskide analüüs hõlmab järgmisi etappe: 1) riskianalüüsi ulatuse ja eesmärgi kindlaksmääramine; 2) süsteemi olulise riist- ja tarkvara koosseisu ja väärtuse kindlaksmääramine; 3) ohustatud teabe väärtuse kindlaksmääramine avaldamise ja avalikustumise, lubamatu muutmise, käideldamatuks muutumise ja hävimise suhtes; 4) süsteemi paiknemiskeskkonnale avalduvate ohtude ning võimalike turvaaukude kindlaksmääramine; 5) olemasolevate turvameetmete kindlaksmääramine; 6) vajalike turvameetmete valimine ja olemasolevate turvameetmetega võrdlemine. 161. Vajalike turvameetmete valimisel ja olemasolevate turvameetmetega võrdlemisel võetakse arvesse: 1) riski elimineerimist – vastumeetmete rakendamine nende maksumusest sõltumata, eesmärgiga täielikult kõrvaldada reaalsed või potentsiaalsed ohud ning turvaaugud; 2) salastatud teabe ja riistvara kaotsimineku ärahoidmist – eesmärgiks rakendada turvameetmeid selleks, et vältida või võimalikult suurel määral ära hoida kaotsiminekut, võttes arvesse, et mõnda riski ei ole tehnilistel põhjustel või süsteemi laadi tõttu võimalik täielikult kõrvaldada; 3) salastatud teabe ja riistvara kaotsimineku ulatuse piiramist – eesmärgiks rakendada turvameetmeid, et risk piirduks vastuvõetava tasemega; 4) salastatud teabe ja riistvara kaotsimineku riski aktsepteerimist – võimalus otsustada, et risk on aktsepteeritav, kuna kaotsimineku mõju ei ole oluline või selle tõenäosus on piisavalt väike või vastumeetmete kulud on oluliselt suuremad kaotsimineku tagajärjel tekkivatest kuludest; 5) turvameetmete ja jääkriskide kirjeldust riskihalduse aruandes. 162. Pärast esialgse riskianalüüsi lõpetamist hoitakse kogutud teave alles ning seda kasutatakse edasises riskihalduses vastavalt süsteemi turvanõuete loetelus ettenähtule. 22. peatükk. Krüptotoodete, krüptoalase riistvara ja krüptoteabe turvalisus. Kiirgusturbe meetmed 163. Teavet riigisaladuse kaitseks kasutatavate krüptotoodete ja riistvara kohta kaitstakse täiendavate turvameetmetega vastavalt süsteemi turvanõuete rakendamise juhendile. 164. Krüptotoodete, krüptoalase riistvara ja krüptoteabe kaitseks kasutatavate meetmete olemasolu ja toime peab mis tahes ajal olema kontrollitav ning proportsioonis võimaliku kahjuga, mis võib tekkida meetmete puudulikkuse tõttu. 165. Riigisaladuse kaitseks rakendatavad soovimatu elektroonilise kiirguse kahandamise meetmete olemasolu ja toime peab mis tahes ajal olema kontrollitav ja proportsioonis võimaliku kahjuga, mis võib tekkida nende meetmete puudulikkuse tõttu. 23. peatükk. Teabeameti pädevus 166. Elektroonilise teabeturbe korraldamisel ja kontrollimisel Teabeamet: 1) nõustab ja juhendab riigisaladust valdavaid asutusi, institutsioone või juriidilisi isikuid teabe turvalisuse tagamisel elektroonilise teabeturbe küsimustes; 2) nõustab ja juhendab riigisaladust valdavaid asutusi, institutsioone või juriidilisi isikuid elektroonilise teabeturbe nõuete rikkumise või selle kahtluse väljaselgitamisel, osaleb tekitatud kahju hindamisel, annab soovitusi parandusmeetmete kohta ning esitab välisriikidele või rahvusvahelistele organisatsioonidele rikkumise kohta ettekande rahvusvahelistes lepingutes ettenähtud alustel ja korras; 3) riigisaladust valdava asutuse, institutsiooni või juriidilise isiku taotlusel või oma äranägemisel algatab süsteemi akrediteerimise ja määratleb selle tingimused, kooskõlastab konkreetse süsteemi turvanõuete loetelu ning süsteemi turvanõuete rakendamise juhendi; 4) peadirektori käskkirjaga annab välja või tunnistab kehtetuks süsteemide vastavussertifikaadid või ajutised kasutusload; 5) määrab vastavalt akrediteeritava süsteemi turvanõuete rakendamise juhendile kindlaks tingimused ja tähtaja, millistel juhtudel nimetatud süsteem peab olema taasakrediteeritud; 6) süsteemile ajutise kasutusloa andmisel määrab Teabeamet kindlaks nõuded, mille rakendamine on vastavussertifikaadi väljastamise eelduseks; 7) teeb koostööd välisriikide ja rahvusvaheliste organisatsioonide asjaomaste asutuste ja institutsioonidega elektroonilise teabeturbe valdkonnas, sealhulgas süsteemide piiriülesel kokkuühendamisel ja nende ühilduvuse tagamisel; 8) korraldab ja kontrollib salastatud teabe kaitseks kasutatavate krüptosüsteemide, krüptotoodete, sealhulgas krüptovõtmete käitlemist, hoidmist ja väljastamist ning annab nende käitlemiseks vajalikke tehnilis-tehnoloogilisi juhiseid ja teavet; 9) teeb vahetu turvarikke või ohu korral süsteemi suhtes vältimatuid toiminguid ja rakendab teabe turvalisuse taastamiseks vajalikke tehnilisi turvameetmeid. 167. Enne süsteemi või süsteemide kokkuühendamist teise süsteemi või süsteemidega, sealhulgas Interneti või üldkasutatava telekommunikatsioonivõrguga, Teabeamet: 1) annab loa süsteemi kokkuühendamiseks, määrates kindlaks nõuded loodava ühenduse turvalisuse perioodiliseks testimiseks; 2) kooskõlastab kasutatava riskijuhtimise ja -analüüsi meetodid ja mahu; 3) kooskõlastab süsteemi riskianalüüsi tulemused; 4) määrab vajadusel elektroonilise teabeturbe täiendavad tingimused. 168. Teabeamet pärast süsteemi akrediteerimist: 1) teeb perioodiliselt süsteemi haavatavuse analüüse, mille tulemustest teavitab riigisaladust valdavat asutust, institutsiooni või juriidilist isikut süsteemi turvameetmete ebapiisavuse korral; 2) teabe ebapiisava turvalisuse või elektroonilise teabeturbe tagamiseks kehtestatud nõuete rikkumise korral võib tunnistada süsteemi vastavussertifikaadi kehtetuks ja keelustada süsteemi edasise kasutamise riigisaladuse töötlemiseks. 169. Süsteeme, mis töötlevad salajast teavet tasemega «salajane» või «täiesti salajane», kontrollib Teabeamet vähemalt üks kord kaheksateistkümne kuu jooksul, sealhulgas teeb süsteemi haavatavuse analüüsi. Nimetatud kontrollimise eesmärgiks on veenduda, et süsteem on jätkuvalt turvaline ja vastab süsteemi turvanõuete loetelu tingimustele. 24. peatükk. Süsteemi haavatavuse analüüs 170. Süsteemi haavatavuse analüüsi tüübid ja ulatus on järgmised: 1) makrotasandi haavatavuse analüüs, mis hõlmab süsteemi ülesehitust ja funktsionaalseid teenuseid käsitlevate dokumentide läbivaatamist ning kahjulikeks rünneteks sobivate punktide ja teekondade kindlaksmääramist; 2) 1. astme haavatavuse analüüs, mis lisaks ülalmärgitule hõlmab süsteemi turvanõuete loetelu ja turvanõuete rakendamise juhendi läbivaatamist ja hindamist, konfiguratsioonihalduse kontrolli, vestlusi riigisaladust valdava asutuse, institutsiooni või juriidilise isiku personaliga, sealhulgas riigisaladuse kaitset korraldava isiku, juhtkonna ning vastavate võrgu- ja süsteemihalduritega ning turvanõuete täitmise vahetut jälgimist riigisaladust valdava asutuse, institutsiooni või juriidilise isiku asukohas; 3) 2. astme haavatavuse analüüs, mis lisaks ülalmärgitule hõlmab süsteemi ja selle osade vahetut kaardistamist, süsteemi ja selle osade turvalisuse vahetut testimist ning süsteemihaldustarkvara vahetut testimist; 4) 3. ja 4. astme haavatavuse analüüsid lähtuvad punkti 170 alapunktides 1–3 ettenähtud haavatavuse analüüside tulemustest ja hõlmavad kontrollitava süsteemi suhtes tehniliste vahendite ja meetmete aktiivset kasutamist, et vahetult välja selgitada vastava süsteemi turvaaugud, ohtude ulatus ja nende võimalikud tagajärjed. 171. 1.–3. astme haavatavuse analüüs ning makrotasandi haavatavuse analüüs teostatakse koostöös riigisaladust valdava asutuse, institutsiooni või juriidilise isiku personaliga. 4. astme haavatavuse analüüsi teostamisest teavitab Teabeamet riigisaladust valdava asutuse, institutsiooni või juriidilise isiku juhti.» § 2. Vabariigi Valitsuse 8. juuli 1999. a määrusega nr 216 «Riigisaladuse kaitse korra ja riigisaladusele juurdepääsu loa andmise korra kinnitamine» kinnitatud «Riigisaladusele juurdepääsu loa andmise korras» (RT I 1999, 61, 622; 2000, 85, 539; 2001, 66, 384; 2002, 7, 32; 2003, 28, 168) tehakse järgmised muudatused: 1) punkt 2 sõnastatakse järgmiselt: « 2. Käesolevas korras ettenähtud riigisaladusele juurdepääsu lubade (edaspidi juurdepääsuluba) taotlemiseks esitatavaid avaldusi vaatab läbi, teostab asjakohast julgeolekukontrolli ja annab juurdepääsulubasid Kaitsepolitseiamet, välja arvatud punktides 3 ja 31 nimetatud juhtudel.»; 2) korda täiendatakse punktiga 31 järgmises sõnastuses: « 31. Teabeamet vaatab läbi Teabeameti teenistusse kandideerivate ja teenistuses olevate isikute juurdepääsulubade taotlemiseks esitatavaid avaldusi, teostab nimetatud isikute suhtes asjakohast julgeolekukontrolli ning annab neile juurdepääsulubasid.»; 3) punkt 9 sõnastatakse järgmiselt: « 9. Taotlejale juurdepääsuloa andmise või selle kehtivuse pikendamise otsustamiseks viib julgeolekukontrolli teostav asutus läbi julgeolekukontrolli. Julgeolekukontrolli läbiviimiseks algatab julgeolekukontrolli teostav asutus taotleja avalduse alusel jälitusmenetluse jälitustegevuse seaduse (RT I 1994, 16, 290; 1995, 15, 173; 1996, 49, 955; 1997, 81, 1361; 93, 1557; 1998, 47, 698; 50, 753; 51, 756; 61, 981; 98/99, 1575; 101, 1663; 1999, 16, 271; 31, 425; 95, 845; 2000, 35, 222; 40, 251; 102, 671; 2001, 3, 9; 7, 17; 58, 353; 2002, 56, 350; 61, 375) või teabe kogumise menetluse julgeolekuasutuste seaduse (RT I 2001, 7, 17; 100, 643; 2002, 61, 375; 2003, 23, 147) alusel.»; 4) punkt 10 sõnastatakse järgmiselt: « 10. Kaitsepolitseiamet viib julgeolekukontrolli läbi julgeolekuasutuste seaduse alusel, eriseadustes sätestatud juhtudel jälitustegevuse seaduse alusel. Kaitsejõudude Peastaap viib julgeolekukontrolli läbi jälitustegevuse seaduse alusel. Teabeamet viib julgeolekukontrolli läbi julgeolekuasutuste seaduse alusel.»; 5) punkt 13 sõnastatakse järgmiselt: « 13. Juurdepääsuloa andmise või selle kehtivuse pikendamise või nendest keeldumise otsustab julgeolekukontrolli teostanud asutus riigisaladuse seaduses sätestatud tähtaja jooksul nõuetekohase avalduse esitamisest arvates.» Peaminister Siim KALLAS Kaitseminister Sven MIKSER Riigisekretär Aino LEPIK von WIRÉN