Märgukiri auditi tulemuste kohta

Liisa-Ly Pakosta Meie 31.08.2026 nr 2-1/80174/2 Justiits- ja Digiministeerium justiits- ja digiminister Märgukiri auditi „Riigiasutuste infotehnoloogia majutusteenused“ tulemuste kohta Austatud justiits- ja digiminister Riigikontroll viis 2026. aasta märtsist juunini läbi riigiasutuste infotehnoloogia majutusteenuste auditi (nr 80174), mille eesmärk oli hinnata, kas riigiasutuste IT-majutusteenuste korraldus on eesmärgistatud ja riskipõhine ning kas püstitatud eesmärgid saavutatakse. Auditi toimingute läbiviimisel selgus, et IT-majutusteenuste korralduses on mitmeid olulisi probleeme ja püstitatud eesmärkide täitmiseni tähtaegselt ei jõuta, mistõttu lõpetab Riigikontroll auditi märgukirjaga. Auditi menetlustoimingute tulemusena leidis Riigikontroll infotehnoloogia majutusteenuse korralduses järgmised puudused: 1. Kriitiliste infosüsteemide määratlemine ja käitlemine väljaspool Eestit ei ole edenenud nagu eesmärgiks seatud. 1.1. Vabariigi Valitsuse tegevusprogrammi eesmärk – „2027. aasta I kvartaliks peavad kriitilised andmekogud ja infosüsteemid olema käideldavad väljaspool Eestit“ – ei ole saavutatav. Seoses julgeoleku olukorraga püstitati eesmärk paigutada kriitilised andmekogud ja infosüsteemid väljapoole Eestit. Kriitiliste andmekogude nimekirja arvatud 122 infosüsteemist on 2026. aasta juuni seisuga 13 ehk umbes 11% käideldavad väljapool Eestit. Kolmes valitsemisalas 10-st (Kaitseministeeriumi valitsemisala ei onud auditis vaatluse all) ei ole teada, kui palju on vaja raha infosüsteemide majutamiseks välismaal. 18–20 infosüsteemis tuleb teha arendusi, et muuta need pilvekõlblikuks. Samuti napib vajalike teadmistega IT-töötajaid, et täita eesmärk tähtajaks. Kahes valitsemisalas ei ole aga veel väljapoole Eestit majutatavad infosüsteemid kindlaks määratud, arutelud käivad, kuid puudub selge teadmine, milliseid süsteeme lisada. Riigikontrolli soovitus justiits- ja digiministrile: selgitada koostöös valitsemisaladega välja ressursid, mis on vajalikud püstitatud eesmärgi tähtaegseks saavutamiseks, ja koostada tegelikkusele vastav tegevuskava koos rahastamisplaaniga. Kui püstitatud eesmärk ei ole saavutatav, siis määrata olulisuse tasemest lähtudes andmekogud ja infosüsteemid, mille käideldavus väljaspool Eestit on võimalik saavutada määratud tähtajaks. Kiriku 2/4, 15013 Tallinn. Tel +372 640 0700, www.riigikontroll.ee, [email protected], reg-nr 74000056.  1.2. Kriitiliste infosüsteemide väljaselgitamiseks puudub ühtne metoodika. Ühtse metoodika puudumine tähendab, et eri ministeeriumites ja allasutustes saadakse mõistest „kriitiline“ erinevalt aru ja seetõttu võidakse arvata loetellu infosüsteeme, mis seal ei peaks olema, või loetelust võib jääda välja infosüsteeme, mis seal peaksid olema. See omakorda tähendab, et mitte kõigile kriitilistele infosüsteemidele ei tagata käideldavust välismaal ja seetõttu ei saa need kriisisituatsioonis toimida. Lisaks võib see tekitada põhjendamatuid kulusid ja suurendada andmekaitsega seotud riske. Soovitus: töötada välja ühtne metoodika, mida asutused saavad kasutada kriitiliste infosüsteemide määramiseks. 1.3. Vabariigi kriitiliste infosüsteemide loetelus olevatele infosüsteemidele ei ole nende omanikud määranud välismaalt toimimise teenustaseme ja toimepidevuse nõudeid. Teenustaseme ja toimepidevuse (nt infosüsteemi välismaal toimimise nõuded, käivitamise aja nõuded, nõuded varundamisele, taastamisele ja testimisele) nõuete puudumisel eksisteerib risk, et vajalikud infosüsteemid ei toimi kriisisituatsioonis. Samuti võidakse kulutada liigselt ressursse selliste infosüsteemide teenustasemete ja toimepidevuse tagamiseks, mille teenustase võib olla eeldatust madalam. Riigikontrolli soovitus justiits- ja digiministrile: määrata koostöös infosüsteemide omanikega kriitiliste infosüsteemide loetelus olevatele infosüsteemidele teenustaseme ja toimepidevuse nõuded. 2. Justiits- ja Digiministeeriumil puudub keskne IT-majutusteenuste riskianalüüs ja ohustsenaariumite kirjeldus. Puudulik arusaam võimalikest ohustsenaariumitest (nt ühe andmekeskuse teenuste pikaajaline katkestus, elektrivarustuse pikaajaline katkemine, andmesideühenduste katkemine, kommertspilve teenuse või regiooni andmeside ühenduste ulatuslik katkestus, ulatuslik küberrünnak) ja nende mõjudest võib kaasa tuua olukorra, kus kriitiliste infosüsteemide toimepidevus ei ole ulatuslike häirete või kriiside korral tagatud ning riigil puudub terviklik ülevaade erinevate IT- majutuslahendustega seotud riskidest. Samuti raskendab see riigi tasemel IT-majutusteenuste korraldamisel prioriteetide seadmist, investeeringute kavandamist ja toimepidevuse meetmete rakendamist. Riigikontrolli soovitus justiits- ja digiministrile: kirjeldada riigi tasemel IT-majutusteenuste ohustsenaariumid, koostada riskianalüüs (sh rakendatavad meetmed ja aktsepteerivad riskid) ning kinnitada see ministeeriumi juhtkonna poolt. 3. IT-majades puuduvad erinevate IT-majutuslahenduste kohta kulude arvutused ja teadmine nende lahenduste kogukulust. Kui enne IT-majutuslahenduste kasutuselevõttu ei tehta eri lahenduste kulude arvutusi, siis võib juhtuda, et välja ei valita kõige kulutõhusamat lahendust. Auditi käigus ütlesid mõned IT-majad (nt RMIT, KeMIT), et nad hindavad eri IT-majutuslahenduste kulusid, kuid dokumenteeritud kujul kuluarvutusi ükski IT-maja ei suutnud esitada. -2- Riigikontrolli soovitus justiits- ja digiministrile: kehtestada ministeeriumitele ja IT- majadele nõue, et enne IT-majutuslahenduste kasutuselevõttu või enne olemasolevate lahenduste olulist uuendamist tuleb analüüsida kulusid ja dokumenteerida see analüüs. Vajaduse korral küsida IT-majutuslahenduste kulude arvutamisel abi riigi IT-keskusest. 4. Riigipilve teenuseid kasutatakse suhteliselt vähe ja enam selgust vajavad andmekogude välismaale paigutamiseks pilvelahenduste valiku kriteeriumid. 4.1. Riigipilve teenuste kasutus on jätkuvalt suhteliselt madal. Riigipilv loodi 2017. aastal ja selle loomise eesmärk oli koondada riigi IT-baastaristu keskse, turvalise ja paindliku juhtimise, arendamise ja haldamise alla. Kuivõrd selle teenuste kasutus on jätkuvalt suhteliselt vähene, ei ole saavutatud serveri baastaristu teenuste konsolideerimisest loodetud baastaristu teenuste kõrgemat kvaliteeti ja kulude kokkuhoidu. Riigikontrolli soovitus justiits- ja digiministrile: kui on seatud eesmärk konsolideerida serveri baastaristu teenused, siis seada konkreetsed eesmärgid ja töötada välja vajalik tegevuskava koos rahastamisplaaniga nende eesmärkide saavutamiseks. 4.2. Puuduvad kriteeriumid ja juhised, mille alusel asutused saaksid otsustada, millise pilvelahenduse (andmesaatkond, Microsoft Azure, Amazon Web Services vm) nad kasutusele võtavad. Ühtsete kriteeriumite puudumisel tehakse pilvelahenduse valikuid ebaühtlaselt ja ebapiisava analüüsi alusel, mis võib tuua kaasa täiendavad kulud, probleemid ühilduvuse ja turvalisusega. Ei ole määratud, millistel juhtudel peaksid asutused eelistama riigipilve välismaa osa ning millistel juhtudel kommertspilveteenuseid (MS Azure, AWS vm). Riigikontrolli soovitus justiits- ja digiministrile: töötada välja ja kehtestada ühtsed kriteeriumid ja juhised pilvelahenduste valikuks, et tagada otsuste läbipaistvus, lahenduste turvalisus ning kulutõhusus. Palume Teie kirjalikku vastust märgukirjas tehtud soovituste kohta hiljemalt 22. septembriks 2026. Lugupidamisega /allkirjastatud digitaalselt/ Ines Metsalu-Nurminen peakontrolör Toomas Viira [email protected] -3-