Võrgu- ja infosüsteemide küberturvalisuse nõuded Art. 5Turvameetmete dokumentatsioon

(1) Teenuseosutaja kaardistab süsteemid ja nendega seotud teenused või protsessid ning dokumenteerib süsteemile rakendatavad turvameetmed ja riskianalüüsi.

(1¹) Riskianalüüs peab sisaldama vähemalt:

1) süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu;

2) riskide realiseerumise mõju kirjeldust ja tagajärgede raskusastmeid;

3) riskihaldusmeetmete kirjeldust.

(2) Teenuseosutaja säilitab lõikes 1 nimetatud dokumentatsiooni vähemalt seitse aastat alates selle koostamisest ning teeb selle Riigi Infosüsteemi Ametile taotluse korral kättesaadavaks.

(3) Julgeolekuasutus säilitab lõikes 1 nimetatud dokumentatsiooni vähemalt seitse aastat alates selle koostamisest ning teeb selle küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajale taotluse korral kättesaadavaks.

(4) Käesolevas jaos ette nähtud dokumendid võib koostada muu õigusakti alusel koostatava dokumendi osana.