Leping

MIS auditeerimise teenuse osutamise leping Veeteede Amet (edaspidi tellija või pool), mida esindab põhimääruse alusel peadirektori ülesannetes Marek Rauk ja Elnit OÜ (edaspidi töövõtja või pool), mida esindab põhikirja alusel juhatuse liige Elin Nurges, sõlmisid käesoleva lepingu (edaspidi leping) alljärgnevas: 1. Lepingu ese 1.1. Tellija tellib ja töövõtja kohustub tegema Meremeeste Infosüsteemi (edaspidi MIS) ISKE vastavusauditi (edaspidi töö) järgides lepingus ja selle lisades sätestatud tingimusi ning Riigi Infosüsteemi Ameti ISKE auditeerimise juhendit. 2. Töö teostamise tähtaeg 2.1. Töövõtja teostab punktis 1.1 nimetatud töö perioodil 01. oktoober kuni 31. detsember, 2020 vastavalt auditi plaani (lisa 2) ajakavale. 3. Lepingu hind 3.1. Lepingu hind on 2 360 eurot (kaks tuhat kolmsada kuuskümmend eurot), millele ei lisandu käibemaks. 3.2. Lepingu hind on tellijale lõplik, sisaldades kõiki töövõtja kulutusi, mis tekivad seoses lepingu täitmisega, arvestades lepingu alusdokumente. 4. Maksmine 4.1 Töövõtja esitab tellijale arve e-arvete keskkonnas pärast töö vastuvõtmist tellija poolt. 4.2. Tellija tasub arve neljateistkümne (14) päeva jooksul arve saamisest. 4.3. Arve esitamine eeldab töövõtja kõigi lepinguliste kohustuste täitmist ning tellija poolt töö vastuvõtmist ja üleandmise-vastuvõtmise akti allakirjutamist. 4.4. Arve tasumisega viivitamise korral üle kokkulepitud maksetähtaja on töövõtjal õigus nõuda hilinenud summa pealt viivist seadusega sätestatud määras. 5. Töö vastuvõtmine 5.1. Töö vastuvõtmise all mõistetakse töövõtja poolt töö üleandmist tellijale kirjalikku taasesitamist võimaldavas vormis ja tellija poolset kinnitust, et töö on teostatud vastavalt lepingule. 5.2. Punktis 2.1 sätestatud tähtajaks esitab töövõtja tellijale teostatud töö tulemused elektrooniliselt koos kirjalikult vormistatud üleandmise-vastuvõtmise aktiga, millele kirjutavad alla mõlemad pooled. 5.3. Töö tähtaegselt üle andmata jätmisel loetakse, et töövõtja ei ole lepingust tulenevaid kohustusi täitnud, kui tellija ja täitja ei ole kokku leppinud teisiti. 5.4. Töö üleandmise ajast alates on tellijal viis (5) tööpäeva aega töö üle vaatamiseks, töövõtjale oma pretensioonide esitamiseks või töö vastuvõtmiseks ning üleandmise-vastuvõtmise akti allkirjastamiseks. 5.5. Töö üleandmise-vastuvõtmise akti saatmine tähendab töövõtja poolt antud kirjalikku kinnitust, et tehtud töö vastab lepingu tingimustele. 5.6. Kui tellija tuvastab töövõtja poolt esitatud töös puudusi, võib ta töö vastuvõtmisest keelduda. Vastuvõtmisest keeldumisel esitab tellija kirjaliku põhjenduse, näidates ära töös esinevad puudused, puuduste olemuse ning annab puuduste kõrvaldamiseks mõistliku tähtaja lepingust tulenevate kohustuste nõuetekohaseks täitmiseks. Juhul, kui töövõtja ei täida lepingust tulenevaid kohustusi tellija poolt antud täiendava tähtaja jooksul või ei täida neid nõuetekohaselt, loetakse, et töövõtja on lepingut oluliselt rikkunud. 6. Kvaliteedi tagamine 6.1. Töövõtja täidab lepingulised kohustused vastavalt lepingus ja selle lisades sätestatud  tingimustele. 6.2. Tellijal on õigus töö teostamise käigus igal ajal kontrollida töövõtja poolt teostatava töö kvaliteeti ja lepingu tingimustest kinnipidamist. 6.3. Mittekvaliteetse töö või lepingule mittevastava töö avastamisel informeerib tellija kirjalikult taasesitamist võimaldavas vormis koheselt töövõtjat. 6.4. Tellija koostab akti mittekvaliteetse või lepingule mittevastava töö kohta vastavalt lepingu punktile 5.6. 6.5. Töövõtjal on kohustus teavitada viivitamatult tellijat probleemidest, mis segavad lepingu Lisas 2 toodud konkreetse auditi/töö etapi teostamist ja tähtajast kinnipidamist ning õigus esitada tellija kontaktisikule ettepanekuid auditi/töö etapi ja/või etappide tähtaja ja/või tähtaegade muutmiseks. 7. Sanktsioonid 7.1. Töövõtja vastutab lepingu tingimuste rikkumise või tekitatud otsese varalise kahju eest. 7.2. Auditi plaanist kõrvalekaldumise korral pole töövõtjal õigust nõuda kahjude korvamist, kui see on töövõtja nõuetekohase tegevusega välditav ja kahjud ei ole tekkinud tellija otsesel süül. 7.3. Kui Töövõtja viivituse põhjustab tellija, on töövõtjal õigus nõuda mõistlikku ajapikendust ja põhjendatud lisakulude hüvitamist. Töövõtja peab tellijat viivitusest ning sellest tulenevatest tagajärgedest koheselt kirjalikult informeerima. 7.4. Tellija võib lepingust taganeda kui töövõtja ei täida lepingut. 7.5. Töövõtja võib peatada töö tegemise kas osaliselt või lepingu üles öelda, kui: 7.5.1. tellija ei täida lepingut; 7.5.2. töövõtja lepinguliste kohustuste õigeaegset ja korrektset täitmist segab asjaolu, mille eest vastutab tellija. 7.6. Juhul, kui töövõtja ei anna tööd tellijale üle kokkulepitud ajal ja tingimustel, on tellijal õigus nõuda leppetrahvi 0,2% ulatuses viibinud töö maksumusest päevas iga üleandmisega viivitatud päeva eest, kuid mitte rohkem kui 20% viivitatud töö maksumusest. 7.7. Pooled peavad esitama lepingust tuleneva leppetrahvi nõude kohustusi rikkunud poolele mõistliku aja jooksul, kuid mitte hiljem kui ühe kuu jooksul arvates päevast, mil poolel tekkis leppetrahvi nõude esitamise õigus. 8. Personal 8.1. Lepingus kirjeldatud tööd teostavad ISKE auditi juhendi nõuete kohaselt kvalifitseeritud isikud. Töövõtja võib lepingus toodud vastutavaid spetsialiste (võtmeisikuid) ning allhankijaid asendada ainult tellija kirjalikul nõusolekul. 8.2. Töövõtja vastutab tellija otstarbeka kaasamise eest. 8.3. Töövõtja poolt lepingu täitmiseks esitatud isikud ei tohi olla tellija teenistuses. 8.4. Pooltevahelise koostöö korraldamise eest vastutavad poolte kontaktisikud: 8.4.1. Tellija kontaktisik korralduslikes küsimustes ning töö üleandmise-vastuvõtmise aktile allakirjutamise õigusega on Heli Jaago, tel:+372 5346 5633, e-post:[email protected]; 8.4.2. Töövõtja kontaktisik lepingulistes küsimustes, igapäevastes projektijuhtimise küsimustes ja turvameetmete auditeerimisel on Elin Nurges, tel +37256243814, e-post [email protected]. 9. Konfidentsiaalsus 9.1. Pooled peavad lepingu täitmise käigus saadud informatsiooni konfidentsiaalseks ega anna seda edasi kolmandatele isikutele ilma teise poole kirjaliku nõusolekuta, välja arvatud seadustes ettenähtud juhtudel. 9.2. Pooled täidavad kõiki kehtivaid andmekaitsealaseid ja infoturvet puudutavaid õigusakte. 9.3. Töövõtja ja tellija edastavad konfidentsiaalset informatsiooni ainult nendele töötajatele, kes on lepingu täitmisega otseselt seotud, ja kindlustavad, et need töötajad on teadlikud ja täidavad  konfidentsiaalsuse nõuet. 9.4. Konfidentsiaalsusnõue kehtib nii lepingu täitmise ajal kui ka pärast seda tähtajatult. 10. Avalikud suhted ja reklaamtegevus 10.1. Töövõtjal puudub volitus tegeleda lepingu raames avalike suhetega ning anda teateid pressile, elektroonilisele meediale, üldsusele või teistele auditooriumidele, välja arvatud tellija eelneval kirjalikul nõusolekul. 10.2. Töövõtja paneb käesolevas punktis sätestatu kohustuseks kõikidele kolmandatele isikutele, keda ta kasutab oma lepinguliste kohustuste täitmisel jäädes samas ise vastutavaks nimetatud kohustuste täitmise eest. 11. Lepingu muutmine 11.1. Pooled võivad sõlmitud lepingu muutmises kokku leppida juhul, kui muutmise tingivad objektiivsed asjaolud, mida pooltel ei olnud võimalik lepingu sõlmimise ajal ette näha ja lepingu muutmata jätmise korral satuks täielikult või olulises osas ohtu lepinguga taotletud eesmärgi saavutamine. 11.2. Lepingu tingimusi võib muuta ainult mõlemapoolselt allkirjastatud lepingu lisana. 11.3. Lepingu tingimuste muutmise kirjaliku ettepaneku saanud pool on kohustatud ettepaneku läbi vaatama ja vastama kirjalikult neljateistkümne (14) kalendripäeva jooksul, arvates ettepaneku saabumise päevast. 11.4. Lepingu muudatused jõustuvad nende allkirjastamisel mõlema poole poolt või allkirjastatud lepingu lisas määratud tähtajal. 12. Infovahetus 12.1. Lepinguga seotud teated edastatakse pooltele lepingus märgitud aadressidele. Informatiivsete teadete edastamisel lähtutakse vormivabaduse printsiibist. Lepingus sätestatud kirjaliku teate nõue loetakse täidetuks ning kirjalik teade kätte antuks digitaalallkirjaga kinnitatud elektroonilise teate saatmisel, tähitud kirja saatmisel postiasutuse kaudu kui postitamisest on möödunud viis (5) kalendripäeva või teate üleandmisel allkirja vastu. 12.2. Tellija varustab töövõtjat tema käsutuses oleva mistahes informatsiooni ja dokumentatsiooniga, mis võib olla lepingu täitmiseks oluline või mida töövõtja mõistlikkuse piirides lepingu täitmiseks nõuda võib. 12.3. Töövõtja informeerib tellijat viivitamatult olemasolevatest puudustest töös ja riskidest lepinguliste kohustuste täitmisel, s.h viivitusse sattumise riskist. 12.4. Kõigist muudatustest poolte kontaktandmetes teatatakse teisele poolele kahe (2) tööpäeva jooksul muudatuste tegemisest arvates. Kui üks pool rikub käesolevat sätet, siis on kohaselt saadetud teade, mille teine pool on edastanud lepingus märgitud aadressile. 13. Vääramatu jõu asjaolud 13.1. Lepingust tulenevate kohustuste mittetäitmist või mittenõuetekohast täitmist ei loeta lepingu rikkumiseks, kui selle põhjuseks olid asjaolud, mille saabumist pooled lepingu sõlmimisel ei näinud ette ega võinud ette näha (vääramatu jõu asjaolud). 13.2. Pool, kelle tegevus lepinguliste kohustuste täitmisel on takistatud vääramatu jõu asjaolude tõttu, on kohustatud teist poolt sellest koheselt kirjalikult teavitama. 14. Lepingu kestus ja lõpetamine 14.1. Leping jõustub selle allakirjutamisest ning lõpeb kõikide lepinguliste kohustuste korrektse täitmisega. Mõlemal poolel on õigus lepingust taganeda või leping üles öelda lepingus ja seaduses toodud alustel. 14.2 Kumbki pool ei tohi käesolevast lepingust tulenevaid õigusi ja kohustusi anda üle kolmandale isikule ilma teise poole nõusolekuta. 14.3. Töövõtjal on õigus leping üles öelda, teatades sellest tellijale kirjalikult ette vähemalt kaks (2)  nädalat alljärgnevatel juhtudel, kui: 14.3.1. Tellija ei anna töövõtjale õigeaegselt töö valmistamiseks vajalikku informatsiooni, dokumente, jooniseid, materjale jms; 14.3.2. Tellija keeldub või hoiab kõrvale nõuetekohaselt valmistatud töö vastuvõtmisest ja/või nende eest tasu maksmisest. 14.4. Ülaltoodud alustel lepingu üles ütlemisel on töövõtjal õigus tellijalt sisse nõuda tasu lepingu lõpetamise hetkeks faktiliselt tehtud töö eest. 14.5. Lepingu täitmisel tekkivad vaidlused ja lahkarvamused lahendavad pooled läbirääkimiste teel. Kokkuleppe mittesaavutamisel pöörduvad pooled lahenduse saamiseks kohtu poole. 14.6. Leping tühistab kõik varasemad poolte vahelised suulised ja kirjalikud kokkulepped, mis puudutavad lepinguga ettenähtud töö teostamist. 14.7. Käesolev leping on koostatud elektrooniliselt ja allkirjastatud digitaalselt. 15. Lisad 15.1. Lepingu lahutamatuteks lisadeks on: 15.1.1. Lisa 1 Auditi ülesehitus 15.1.2. Lisa 2 Auditi ajakava 16. Poolte kontaktandmed ja allkirjad Tellija: Töövõtja: Nimi: Veeteede Amet Elnit OÜ Registrikood: 70002414 14334779 Aadress: Valge 4 E.Vilde tee 142-69 11413 Tallinn Tallinn Harjumaa 12915 Tel nr: +371 620 5500 +372 56243814 E-post: [email protected] [email protected] /allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/ Marek Rauk Elin Nurges peadirektori ülesannetes Juhatuse liige Lisa 1 – Auditi ülesehitus ISKE audit koostatakse lähtudes ISKE auditi juhendi versioonist 1.4 Auditi lõppraport esitatakse digiallkirjastatult, auditi raport esitatakse PDF kujul ning lisana esitatakse Exceli fail, kus on toodud auditeeritavad meetmed, audiitoripoolne hinnang rakendatusele ja soovitused. 1. Auditi lõppraportis annab audiitor hinnangu järgmistele asjaoludele: a. kas teostatud infovarade inventuur on viidud läbi vastavalt ISKE rakendusjuhendis esitatud nõuetele, st hinnatakse seoste olemasolu infovarade ja andmekogude vahel, kontrollitakse dokumentatsioonis kajastatud infovarade vastavust tegeliku olukorraga jne; b. kas andmekogu(de)le on turvaklassid/turbeaste määratud asjakohaselt, st intervjueeritakse andmekogude omanikke täpsustamaks seadustest, lepingutest, muudest sisemiste protsessidest ning tagajärgede kaalukusest nõudeid andmekogule. Samuti kontrollitakse turvaklassi määramise ja perioodilise ülevaatamise protseduure jne; c. kas rakendamisele kuuluvad turvameetmed on valitud korrektselt ja vastavalt ISKE rakendusjuhendis esitatud nõuetele, st kontrollitakse, kas vastavalt infovaradele on meetmete maandamiseks valitud asjakohased ISKE tüüpmoodulid ning meetmete valik on õige ning täielik jne; d. kas rakendamisele kuuluvad turvameetmed on rakendatud, st rakendamise kontrollimiseks viiakse läbi intervjuusid, uuritakse asutuses loodud dokumentatsiooni ja viiakse läbi testimisi. Iga kontrollitud meetme staatus koos audiitori hinnanguga dokumenteeritakse. 2. Täiendavalt toob audiitor ISKE auditi lõppraportis välja rakendamata ja/või osaliselt rakendamata turvameetmed, mille mitte rakendamisest ja/või osalisest mitte rakendamisest tulenevad kõrge riskiastmega riskid andmekogu pidamisel. Audiitori soovitused puuduste osas on antud järgmisest skaalast lähtudes: a. Kõrge - puudused, mis nõuavad kohest reaktsiooni (kriitilised või süstemaatilised puudujäägid, mis võivad põhjustada olulist finantskahju, seadustele mittevastavust või maine kahjustumist; olulised kõrvalekalded juhtkonna suunistest, kehtestatud protseduuridest ja reeglitest või õigusaktidest, mis ähvardavad olulise finantskahju või mainekaotusega). b. Keskmine - puudused, mis nõuavad lähemal ajal tähelepanu (nõrkused meetmetes, mis võivad mitmete asjaolude kokkulangemisel põhjustada rahalist kahju, õigusaktide sätete rikkumist või maine kahjustumist; olulised kõrvalekalded hea tava kohastest protseduuridest, mille likvideerimine ei nõua märkimisväärseid lisaressursse). c. Madal - puudused, mis väärivad tähelepanu, kui olulisemad puudujäägid on kõrvaldatud (pole avastatud nõrkusi, mis võiks põhjustada märkimisväärset rahalist kahju, õigusaktide sätete rikkumist või maine kahjustumist; juhtkond ja personal on teadlikud valdkonna riskidest ja kontrollidest, kontrolliprotseduurid toimivad, kuid vähese ressursikuluga on siiski võimalik kontrollikeskkonda täiustada). 3. Iga puudusega turvameetme kohta annab audiitor soovituse ja/või soovitusi, kuidas tuleks nimetatud meetmeid rakendada. 4. ISKE auditi lõppraporti lisana on kõigi auditeeritud turvameetmete tabel, milles on audiitori poolt muuhulgas iga turvameetme järgi märgitud, kas turvameede on rakendatud, on osaliselt rakendatud, ei ole rakendatud, ei saa rakendada, ei rakendata. 5. Juhul kui vastutav töötleja on otsustanud mõnda turvameedet mitte rakendada s.t. eelmises punktis nimetatud staatus “ei rakenda”, siis audiitor hindab selle turvameetme mitterakendamise põhjenduse piisavust ning selle mitterakendamisest tulenevaid riske ja annab seejärel oma hinnangu, kas turvameetme mitterakendamine on põhjendatud. 6. Iga osaliselt rakendatud turvameetme järgi kirjutab audiitor puuduse(d), mis osas on turvameede rakendamata ja esitab soovitused puudus(t)e likvideerimiseks. 7. ISKE auditi lõppraporti lisadesse pannakse auditi käigus loodavad muud dokumendid ja tähelepaneku ning soovituse korral viidatakse asitõenditele, millele soovitus või tähelepanek tugineb nt. testimiste ja vaatluste tulemused, intervjuud, läbitöötatud juhendid ja protseduurireeglid jmt, mille alusel audiitor hinnangu andis. 8. Audit viiakse läbi dokumentatsiooni, intervjuude ja kohapealsete vaatluste/testide.Kui kohapealset kontrolli ei ole võimalik teostada, siis võib audiitor tugineda teenuse osutaja dokumentide ja turvasertifikaatide kontrolliga. 9. Auditi läbiviimiseks ja dokumentide vormistamiseks kasutatavate rakenduste ja tööriistade loetelu: Microsoft Teams, Word, Excel, MS Outlook, Atlassian Confluence. Dokumentide krüpteerimiseks kasutatakse DigiDoc4 krüpteerimislahendust. Lisa 2 - Auditi ajakava Allpool on toodud orienteeruv ajakava, kuid sõltuvalt materjalide hulgast, kvaliteedist ja algusajast võib olla auditi lõpptähtaeg muutuda. Ajakava on tehtud arvestusega, et auditi käigus on võimalik teha kohapealseid kontrolle, juhul kui riigis kehtestatakse eriolukord, võib see tingida ajakavas ootamatuid muudatusi. Maksumus Tegevus MIS ajakulu käibemaksuta Orienteeruv algus Orienteeruv lõpp tundides EUR Esmakohtumine Avakohtumine, lähteinfo kogumine ja auditeeritava eelduste hindamine ISKE auditi edukaks läbimiseks. Valimi koostamine 01.10.2020 01.10.2020 0,50 20.- Veeteede Ameti poolt materjalide kokku panemine 01.10.2020 05.10.2020 Tutvumine materjalidega: -Turvaklasside ja turbeastme määramise kontroll -Infovarade inventuuri vastavuse kontroll -Rakendamisele kuuluvate turvameetmete valimise kontroll -Rakendamisele kuuluvate turvameetmete rakendamise kontroll 06.10.2020 13.10.2020 20,00 800.- Intervjuud, kohapealsed kontrollid -Turvaklasside ja turbeastme määramise kontroll -Infovarade inventuuri vastavuse kontroll -Rakendamisele kuuluvate turvameetmete valimise kontroll -Rakendamisele kuuluvate turvameetmete rakendamise kontroll 14.10.2020 16.10.2020 6,00 240.- Intervjuude tulemuste kirjeldamine auditi töötabelis 16.10.2020 26.10.2020 24,00 960.- Täiendavad intervjuud, kohapealsed vaatlused, auditi töödokumendi täiendamine 27.10.2020 30.11.2020 8,00 320.- Veeteede Ameti poolt auditi mustandiga tutvumine 01.12.2020 09.12.2020 Auditi lõppraport ja kohtumine 11.12.2020 11.12.2020 0,50 20.- Kokku: 59 tundi 2360.-