1) paragrahvi 23 pealkirja täiendatakse pärast sõna „struktuuriüksuse” sõnadega „ja infoturbejuhi”;

2) paragrahvi 23 täiendatakse lõikega 1¹ järgmises sõnastuses:

„(1¹) Töötlussüsteemi eest vastutava töötleva üksuse infoturbejuht peab osalema töötlussüsteemi:
1) turvariskide hindamisel;
2) oluliste muudatuste planeerimises;
3) turbejuhendi ja kasutusjuhendi väljatöötamises.”;

3) paragrahvi 23 täiendatakse lõikega 3 järgmises sõnastuses:

„(3) Töötlussüsteemi eest vastutava töötleva üksuse infoturbejuhil peab olema töötlussüsteemis töödeldava teabe kõrgeimale salastatuse tasemele vastav juurdepääsuõigus.”;

4) paragrahvi 104 täiendatakse punktiga 18 järgmises sõnastuses:

„18) kaasaskantav töötlusseade – töötlussüsteemiks või selle osaks olev seade, mida saab töötlussüsteemi teiste osadega füüsiliselt ühendamata kasutada töötlussüsteemis oleva teabe töötlemiseks.”;

5) paragrahvi 106 täiendatakse lõigetega 2¹–2⁵ järgmises sõnastuses:

„(2¹) Täpsemad nõuded töötlussüsteemile, sealhulgas sellega seotud töötlevatele üksustele ja selle kasutajatele, on esitatud lisas 14. Välisluureamet võib lähtuvalt turbehinnangust seada töötlussüsteemile täiendavaid nõudeid.

(2²) Töötlev üksus võib rakendada lisas 14 esitatud nõuetest rangemaid nõudeid.

(2³) Töötlev üksus võib lisas 14 esitatud nõuet rakendada osaliselt või jätta rakendamata erandina üksnes juhul, kui sellest tulenevad riskid on kirjeldatud töötlussüsteemi riskianalüüsis, seda kompenseerivad turvameetmed on kirjeldatud töötlussüsteemi turbejuhendis ja Välisluureamet on need töötlussüsteemi akrediteerimisel heaks kiitnud.

(2⁴) Lisaks lõikes 2³ sätestatule võib töötlev üksus jätta lisas 14 esitatud nõude rakendamata juhul, kui rakendamine on töötlussüsteemi väiksuse või ülesehituse tõttu võimatu, seda on kirjeldatud töötlussüsteemi turbejuhendis ja Välisluureamet on selle töötlussüsteemi akrediteerimisel heaks kiitnud.

(2⁵) Kui lisas 14 esitatud nõude rakendamine nõuab töötlevalt üksuselt regulaarseid toiminguid, peab nende sagedus olema kirjeldatud töötlussüsteemi turbejuhendis ning vastama töötlussüsteemi kasutusintensiivsusele.”;

6) määrust täiendatakse §-dega 106² ja 106³ järgmises sõnastuses:

„§ 106². Töötlussüsteemi eest vastutav eriõigustega kasutaja

(1) Töötlussüsteemi eest vastutaval eriõigustega kasutajal peab olema vähemalt töötlussüsteemis töödeldava teabe kõrgeimale salastatuse tasemele vastav juurdepääsuõigus.

(2) Salastatud välisteabe töötlemiseks akrediteeritud töötlussüsteemi eest vastutava eriõigustega kasutaja puhul tuleb lisaks lõikes 1 sätestatule arvestada salastatud välisteabe avaldaja esitatud nõudeid.

(3) Töötlussüsteemi eest vastutavad eriõigustega kasutajad määrab töötleva üksuse juht või tema volitatud isik kirjalikult.

(4) Töötlussüsteemi eest vastutava eriõigustega kasutaja määramisest või vahetumisest teavitatakse viivitamata kirjalikult Välisluureametit ning Kaitsepolitseiametit. Üks julgeolekuasutus ei teavita süsteemi eest vastutava eriõigustega kasutaja määramisest või vahetumisest teist julgeolekuasutust.

§ 106³. Juurdepääs töötlussüsteemile

(1) Töötlussüsteemi kasutaja võib olla teise töötleva üksuse juurdepääsuõiguse ja teadmisvajadusega töötaja või ametnik, kui see on vajalik teise töötleva üksuse ülesannete täitmiseks.

(2) Töötlussüsteemi osad võivad asuda teise töötleva üksuse otseses valduses ning töötlussüsteemi eest vastutav eriõigustega kasutaja võib olla teise töötleva üksuse töötaja või ametnik, kui on tagatud § 106 lõikes 2 ja lisas 14 sätestatud nõuete täitmine.”;

7) paragrahvi 126 lõike 1 punkt 2 sõnastatakse järgmiselt:

„2) isiku juurdepääsuloa või muu riigisaladusele juurdepääsu õigust kinnitava dokumendi või selle koopia, välja arvatud juhul, kui taotleja on julgeolekuasutus.”;

8) paragrahvi 138¹ täiendatakse lõikega 9 järgmises sõnastuses:

„(9) Vastutava üksuse infoturbejuhi ülesandeid täitev isik peab vastama § 23 lõikes 3 sätestatud nõudele hiljemalt 1. jaanuaril 2025. a.”;

9) määrust täiendatakse lisaga 14 „Nõuded salastatud teabe töötlussüsteemile” (lisatud).