Eesti infoturbestandard

25.08.2026 Justiits- ja digiministri määruse „Eesti infoturbestandard“ eelnõu SELETUSKIRI 1. Sissejuhatus 1.1. Sisukokkuvõte Eelnõukohase määrusega uuendatakse Eesti infoturbestandardit. Eesti infoturbestandardi (edaspidi E-ITS) siht on hoida ning edendada küberturvalisuse seaduse subjektide ehk teenuseosutajate infoturvet. E-ITSis on esitatud nõuded, mis aitavad organisatsioonil saavutada oma vajadustega sobivat infoturbe taset, arvestades Eesti ja Euroopa Liidu õigusaktides sätestatut. Uuendatud E-ITS suurendab teenuseosutaja vastutust infoturbe eest ning vähendab riigipoolset keskset ettekirjutuste andmist. Muudatustega soovitakse edendada teenuseosutaja äriprotsessist lähtuvat infoturvet ja parandada nõuete arusaadavust. Nõuete detailsuse vähendamisega soovitakse anda nii teenuseosutajale kui ka riigile võimalus adekvaatsemalt ja kiiremalt reageerida uutele tehnoloogilistele lahendustele ja infoturvalisust ohustavatele sündmustele. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja ettevalmistamist ning koostamist on korraldanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse talitus ([email protected]) koostöös Riigi Infosüsteemi Ametiga, lähtudes ameti ettepanekust. Vastutav ametnik on nimetatud talituse õigusnõunik Guido Pääsuke. Eelnõu ja seletuskirja on keeleliselt toimetanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Merike Koppel ([email protected]). 1.3. Märkused Eelnõu ei ole seotud ühegi teise menetluses oleva eelnõuga ega jõustunud seadusemuudatusega. Eelnõu on kooskõlas Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiivi (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (edaspidi küberturvalisuse 2. direktiiv), artikliga 21. Eelnõukohase määrusega asendatakse ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määrus nr 101 „Eesti infoturbestandard“ (RT I, 28.08.2025, 12) (edaspidi määrus nr 101). 2. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb 14 paragrahvist, mis on jaotatud nelja peatüki vahel järgmiselt: 1. peatükk – üldsätted, § 1; 2. peatükk – infoturbe haldus, §-d 2–8; 3. peatükk – seire, §-d 9 ja 10; 1 4. peatükk – Eesti infoturbestandardi tugi ja rakendamine, §-d 11–14. E-ITS on osutunud tõhusaks abivahendiks Eesti turvalise digiühiskonna tagamisel ning aidanud kaasa IT-teadlikkuse kasvule. Määrusega nr 101 kehtestatud E-ITS on mahukas õigusakt, mis on tekitanud palju küsimusi selle rakendamise kohta, sealhulgas meetmete kohaldatavuse ja ulatuse kohta. Kehtivas määruses on meetmed põhjalikult rakendajatele lahti kirjutatud, mille tõttu on õigusloomeprotsess osutunud takistuseks kiirele reageerimisele uutele riskidele ning tehniliste lahenduste kasutuselevõtmisele. See tähendab, et mõned nõuded aeguvad kiiremini, kui neid kehtestada jõutakse. Praktikutelt saadud tagasisidest lähtuvalt on eelnõus võrreldes E-ITSi kehtiva versiooniga vähendatud soovitatavate meetmete, riski ulatuse ja infotehnoloogia (edaspidi IT) vahendite või neid toetava taristuga seotud ohtude, riskide ja vastumeetmete põhist ette kirjutamist. Eelnõukohase määrusega peaks turvameetmete rakendamine eeldatavasti muutuma arusaadavamaks, vajaduspõhiseks ning kohanduma paremini rakendaja äriprotsessidega. Eesti infoturbestandardit uuendades peeti muu hulgas silmas järgmist: i. Eesti avaliku korra ja ühiskonna toimimine ning turvalisusega seotud olulised valdkonnad on suurel määral seotud ITga. IT-l on ka üsna suur roll Eesti residentide igapäevategevustes. Mistahes süsteemid on mõjutatavad või pakuvad oma suure mõju tõttu huvi isikutele, kes võivad olla vaenulikud või pahatahtlikud nii ühiskonna kui ka indiviidi vastu. Seetõttu on vajalik üldine, koordineeritud ja pidev võrgu- ja infosüsteemide kaitse ning võimalike riskide hindamine ja maandamine. ii. Infotehnoloogia ning küberkeskkond arenevad kiirelt, mis eeldab ka kiiret ning paindlikku reageerimist võimalikele või tuvastatud ohtudele. iii. Küberturvalisuse 2. direktiivi artikli 21 lõike 1 esimese lõigu järgi tagavad liikmesriigid, et üliolulised ja olulised üksused võtavad asjakohased ja proportsionaalsed tehnilised, tegevuslikud ja korralduslikud meetmed, et juhtida riske, mis ohustavad nende üksuste tegevuses või teenuste osutamisel kasutatavate võrgu- ja infosüsteemide turvalisust, ning et ennetada või minimeerida intsidentide mõju nende teenuste saajatele ja muudele teenustele. iv. Küberturvalisuse seaduse (edaspidi KüTS) §-st 7 tulenevalt: 1. peab teenuseosutaja rakendama alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et: 1.1. hallata riske, mis ohustavad teenuseosutaja tegevuses või teenuse osutamisel kasutatava süsteemi turvalisust, sealhulgas koostab vastava riskianalüüsi; 1.2. ennetada või minimeerida küberintsidendi mõju teenuseosutaja osutatava teenuse saajale ja muule teenusele; 1.3. ennetada küberintsidenti või see tuvastada ja lahendada; 2. arvestatakse turvameetmete rakendamisel: 2.1. teenuseosutaja vajadusi ja turvanõudeid; 2.2. ajakohaseid ning asjakohasel juhul Euroopa ja rahvusvahelisi standardeid; 2.3. turvameetmete rakendamise kulusid; 2.4. turvameetmete rakendamise proportsionaalsust, mille hindamisel võetakse muu hulgas arvesse teenuseosutaja riskidele avatuse määra, teenuseosutaja suurust, küberintsidentide esinemise tõenäosust ja nende tõsidust, sealhulgas küberintsidentide ühiskondlikku ja majanduslikku mõju; 2.5. ohte süsteemselt ja terviklikult hõlmavat lähenemisviisi, mille eesmärk on kaitsta süsteeme ja nende süsteemide füüsilist keskkonda küberintsidentide eest. 2 v. KüTSi § 7 lõike 5 kohaselt kehtestab Vabariigi Valitsus või tema volitatud minister määrusega eeltoodu tagamiseks muu hulgas: 1. infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard; 2. turvameetmete üldnõuded. vi. Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (edaspidi määrus nr 121) 3. peatükk sätestab turvameetmete nõuded. Määruse nr 121 § 3 annab üleriigilise küberturvalisuse tagamise korraldamise eest vastutavale ministrile volituse kehtestada Eesti infoturbestandard. Samas paragrahvis on osutatud ka teenuseosutajatele, kellele laieneb lisaks määruse nr 121 3. peatükis sätestatud turvameetmete nõuetele ka E-ITS. Siinjuures tasub toonitada, et E-ITS hõlmab ka esmaste turvameetmete puhul nõutut, mistõttu E-ITSi rakendades ei ole teenuseosutajal kohustust eristada esmaseid turvameetmeid ja E-ITSi rakendamisega kaasnevaid lisameetmeid. vii. Arvestades eeltoodut on määruse eesmärk luua avalikku sektorit, avalikku korda ning ühiskonna toimimist olulisel määral mõjutavate teenuste osutamisel kasutatavate võrgu- ja infosüsteemide, sealhulgas neis töödeldava teabe kaitseks kasutatavate meetmete ühtne raamistik. Arvestades eeltoodut, ei põhine eelnõukohase määruse jõustudes kehtima hakkav E-ITS enam Saksa etalonturbe süsteemil BSI IT-Grundschutz (BSIG) ja standardil EVS-ISO/IEC 27001:2014 „INFOTEHNOLOOGIA. Turbemeetodid. Infoturbe halduse süsteemid. Nõuded“ (27001). Uue E-ITSi puhul on arvestatud rakendajatelt saadud tagasisidega ning eesmärgiga vähendada rakendamisega kaasnevat koormust. Standardmeetmete kihi kaotamisega muutub asjakohaste meetmete väljaselgitamine ja rakendamine eeldatavalt kiiremaks. E-ITSi põhiosad on: äriprotsesside ja varade kaitsetarbe kaardistus; vastendamine; riskihaldus ja talitluspidevus, testimine ja kontroll. E-ITSi lahtisidumine eespool nimetatud dokumentidest loob parema võimaluse minna valdkonnaspetsiifiliselt regulatsioonilt üle üldisemale. Võrreldavusest loobumisega soovitakse parandada nõuete arusaadavust ka isiku jaoks, kes iga päev ei puutu kokku IT, võrgu- ja infosüsteemide haldusega ning sellest tulenevalt ka erialase sõnavaraga. Eelnõu koostamisel on arvesse võetud Riigi Infosüsteemi Ametile ning Justiits- ja Digiministeeriumile laekunud tagasisidet E-ITSi kehtiva versiooni rakendamise kohta. E-ITSi muutmise kontseptsiooni on tutvustatud ministeeriumitele (v.a Kaitseministeerium). 1. peatükk: üldsätted Paragrahvis 1 nähakse ette määruse üldsätted. Lõikes 1 sätestatakse E-ITSi käsitlusala. E-ITS käsitleb võrgu- ja infosüsteemi infoturbe haldust ja infoturbe halduse meetmete auditeerimist. Võrreldes määrusega nr 101 E-ITSi käsitlusala ei muutu. Lõikes 2 esitatakse viide nendele määruse nr 121 sätetele, kus on sätestatud teenuseosutajatele E-ITSi järgimise ulatus. E-ITS on kehtestatud Vabariigi Valitsuse antud volituse alusel ning Vabariigi Valitsusel on KüTSist tulenevalt õigus näha ette ka turvameetmete üldnõuded, mille puhul arvestatakse võrgu- ja infosüsteemide olulisuse ja mõjuga. Seetõttu on Vabariigi Valitsus määrusega nr 121 ka ette näinud erandid E-ITSi rakendamisel. E-ITSi meetmeid ei pea rakendama: 3  1. teenuseosutaja, kelle rakendatud turvameetmed vastavad rahvusvahelise standardiga ISO/IEC 27001 või Eesti standardiga EVS-EN ISO/IEC 27001 kehtestatud nõuetele ning seda kinnitav vastavussertifikaat on kehtiv ja esitatud Riigi Infosüsteemi Ametile. Tasub tähele panna, et see erand kehtib vaid osas, millele on eelnimetatud standardi kohane sertifikaat antud. Sertifikaadiga hõlmamata jäänu suhtes peab teenuseosutaja rakendama siiski E-ITSi; 2. teenuseosutaja, kellel on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle aastane bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades väikeettevõtjate määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.05.2003, lk 36–41). Siinjuures ei ole oluline, kes on teenuseosutaja omanikud. See tähendab, et avaliku sektori osalus ei välista erandi tegemist. Kuna see erand on seotud ettevõtlusega, siis ei laiene see automaatselt avaliku sektori asutustele, kes võiks oma töötajate arvu ja eelarveaasta näitajatega kehtestatud kriteeriumite alusel erandi kohaldamisalasse kuuluda; 3. teenuseosutaja, kes on valla või linna ametiasutuse hallatav asutus ja osavalla või linnaosa ametiasutuse hallatav asutus, välja arvatud üldhariduskool, ja kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; 4. riigimuuseumist teenuseosutaja, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; 5. kohaliku omavalitsuse üksuste liidust teenuseosutaja, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja. Ülaltoodud erand ei kehti punktides 2–4 nimetatud teenuseosutajale, kui ta on avaliku teabe seaduse kohane andmekogu vastutav või volitatud töötleja, sest KüTSi § 3 lõike 4 punkti 1 järgi on andmekogu vastutav töötleja ja volitatud töötleja avaliku teabe seaduse tähenduses (vt § 431 ja § 434) oluline üksus. See tähendab, et tekkinud kohustus tuleneb erandina andmekogust endast, mitte teenuseosutaja tegevusvaldkonnast. Oluline on vahet teha, et andmekogu vastutav ja volitatud töötleja ei ole sama mis andmete vastutav või volitatud töötleja isikuandmete kaitse üldmääruse tähenduses. Vabariigi Valitsus on lisaks E-ITSi rakendamise kohustusest vabastamisele ette näinud ka E-ITSi osalise rakendamise võimaluse. Osalise rakendamise korral on jätkuvalt kohustuslik välise isiku poolne infoturbe halduse meetmete auditeerimine. Vabariigi Valitsus on auditeerimiskohustusest vabastanud: 1. riigimuuseumi, avalik-õigusliku isiku muuseumi, valla või linna ametiasutuse, valla või linna ametiasutuse hallatava asutuse, osavalla või linnaosa ametiasutuse, osavalla või linnaosa ametiasutuse hallatava asutuse ning kohaliku omavalitsuse üksuste ühisameti ja -asutuse, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga; 2. Haridus- ja Teadusministeeriumi hallatava asutusena tegutseva põhikooli ja gümnaasiumi, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga avaliku teabe seaduse tähenduses. Kuna infoturbe valdkonnas tähistatakse sõnaga „organisatsioon“ mistahes üksust (asutus, ettevõtja, struktuuriüksus jne), mis infoturvameetmeid rakendab, siis kasutatakse eelnõus arusaadavuse huvides sõnalühendina sama sõna, see tähendab, et eelnõukohases määruses viidatakse sõnaga organisatsioon KüTSi subjektile ehk teenuseosutajale. Lõikes 3 esitatakse määruse kehtestamise eesmärk (vt seletuskirja p 2 sissejuhatav osa). Lõikes 4 määratletakse äriprotsessi mõiste. 4 Sõna äriprotsess on lisaks IT valdkonnale kasutusel ka planeerimisel, eelarvestamisel, kvaliteedijuhtimise, personalitöö jne valdkonnas. Kõnesolevas eelnõus on sellel laiem tähendus kui üldkeeles. Äriprotsess ei ole ka ettevõtlus äriseadustiku tähenduses. Äriprotsess on organisatsiooni (ettevõtja või riigi või kohaliku omavalitsuse asutus) organisatsiooni põhitegevuste või eesmärkide saavutamiseks vajalike tegevuste kogum, mille käigus kasutatakse aega, raha, töövahendeid ning inimeste tööpanust (edaspidi koos ressurss) teenuse, toote või muu väärtust loova tulemuse pakkumiseks. Avalik sektor pakub avalikku teenust ja igal asutusel on oma eesmärk, mille täitmiseks ta on loodud. 2. peatükk: infoturbe haldus Paragrahvis 2 selgitatakse infoturbe halduse süsteemi olemust. Võrreldes määrusega nr 101 on välja jäetud infoturbe halduse süsteemi toimimist kirjeldav osa (määruse nr 101 lisa 1) ning haldussüsteemile olemuslikud olulisemad üksikasjad sätestatakse määruses endas. Infoturbe halduse süsteem on kokkuvõtvalt riskide hindamisel, käsitlemisel ja aktsepteerimisel põhinev teenuseosutaja süsteemse kaitsmise ning infoturbe rajamise, teostamise, seire, läbivaatamise ja täiustamise süstemaatilise käsitlemise viis. Lõikes 1 kirjeldatakse asjaolusid, mida organisatsioon peab infoturbe halduse süsteemi puhul arvesse võtma. Nendeks on organisatsiooni:  tegevusvaldkond, eesmärgid, protsessid (sh äriprotsessid), protseduurid ja tavad;  õigusaktidest ning lepingutest tulenevaid õigused ja kohustused;  keskkond, kus tegutsetakse, ressursid (sh personal) ja vara. Toimiva infoturbe halduse süsteemi ülesanne on tagada organisatsiooni jätkusuutlikkus ja kvaliteetne teenuste osutamine. Turve keskendub teabe ja äriprotsesside kaitsmisele, millest tuleneb vajadus kaitsta äriprotsesside toimimist tagavat infotöötlust ja ITd. Organisatsioon peab tuvastama teenuse osutamiseks vajalikud äriprotsessid, nendega seotud varad ning määrama kindlaks äriprotsessi ja vara kaitsetarbe, mille alusel saab riskihalduse jaoks kokku leppida riskikriteeriumid ja neile vastavad meetmed. Infoturbe halduse süsteemi protsesse ja sooritatavaid tegevusi on kujutatud joonisel 1. Tegevusi võib sooritada vajadusel korraga. Infoturbe täiustamise käigus naastakse iga kord protsessi algusesse. 5 Joonis 1. Infoturbe halduse süsteemi elutsükkel Allikas: Riigi Infosüsteemi Amet Võrreldes E-ITSi kehtiva versiooniga on loobutud erinevatest skaaladest (nt kõrge, keskmine, madal), sest normiga ei ole võimalik piiritleda kõikvõimalikke olukordi ja lahendusi, mis võivad organisatsioonides esineda. Organisatsioonil võib olla erinevaid kohustusi, need võivad tuleneda erinevatest õigusaktidest. Neist mõnes on võib olla juba kirjeldatud ka riskihalduse nõudeid, mistõttu ei ole mõistlik E-ITSiga neid nõudeid sätestada. Seega jäetakse edaspidi organisatsiooni enda otsustada, kuidas riske hinnata ja millist skaalat kasutada. Võrreldes kehtiva versiooniga on alles jäetud vaid kaitsemeetmed ja infoturbe halduse süsteemi raamistik ning loobutud on haldussüsteemi detailsest kirjeldamisest, küll aga on Riigi Infosüsteemi Ametile jäetud võimalus avaldada seni määruse nr 101 lisas 1 olnud teave samas ulatuses juhendmaterjalina veebilehel. Lõikes 2 nimetatakse olulisemad tegevused, millega peab arvestama toimiva infohalduse süsteemi üles ehitamisel ja töös hoidmisel. Ühegi tegevuse juures ei ole eeldatud, et seda peab ellu viima sama ametinimetusega töötaja, vaid tegemist on tegevustega, millega organisatsioon peab arvestama. Need tegevused on:  vara kasutusele võtmine – vara kogu elutsükli ulatuses infoturbe riskide tuvastamine ja hindamine, turvameetmete planeerimine ja rakendamine sealhulgas meetmete planeerimine uue vara ja teenuste hankimise etapis või selle kavandamise käigus;  vara kasutamine – kasutusse antud vara kasutamise korra järgimine, infoturbekoolituste regulaarne läbimine, intsidentidele kokkuleppekohane reageerimine, sealhulgas küberintsidentidest teavitamine;  vara haldamine – kaitsetarbe määramise korraldamine ja kaitsetarbe saavutamiseks vajalike meetmete rakendamise regulaarne seire;  andmekaitse – organisatsiooni andmete või organisatsioonile usaldatud andmete kaitse korraldamine. 6 Siinjuures olgu öeldud, et andmekaitse ei tähenda kõnesolevas eelnõus vaid isikuandmete kaitset. Igal organisatsioonil on andmed (teave), mis vajavad kaitset juba selleks, et organisatsioon toimiks ja saavutaks oma eesmärgid. Näiteks ärisaladus, asutusesiseseks kasutamiseks mõeldud teave või mistahes muu teave, mille kolmandatele isikutele kättesaadavaks tegemine võib kahjustada organisatsiooni või temast kõrgemal seisva institutsiooni huve. Organisatsioonile teiste isikute usaldatud teabe või muu õiguspäraselt kogutud teabe, sh isikuandmete kaitse tagamine on iseenesestmõistetav. Seega on andmekaitsel eelnõukohases määruses laiem tähendus kui vaid isikuandmete kaitse. Andmekaitsega samas tähenduses on valdkonnas kasutatud ka sõna teabekaitse. Määruse nr 121 § 5 lõike 1 kohaselt peab organisatsioon kaardistama võrgu- ja infosüsteemid ning nendega seotud teenused või protsessid ja dokumenteerima süsteemidele rakendatavad turvameetmed ja riskianalüüsi. Sellest tulenevalt nähakse lõikes 3 ette infoturbe halduse süsteemiga seotud teave, mis tuleb säilitada. Säilitamise kohustus nähakse ette osas, mis on seotud võrgu- ja infosüsteemi turvameetmete rakendamisega ning riskide ja nende vastumeetmete rakendamisega, seega tuleb säilitada järgmisi andmeid ja dokumente:  infoturbe halduse süsteemi alusdokumendid ja otsuste kulg;  infoturvasündmused ja organisatsiooni reaktsioon neile;  infoturvameetmete rakendamise plaan ja selles sisalduvad riskikäsitlusviisid. Määruse nr 121 § 5 lõike 2 kohaselt säilitatakse dokumentatsiooni vähemalt seitse aastat alates selle koostamisest. Paragrahvis 3 sätestatakse organisatsiooni juhatuse roll infoturbe halduse süsteemi toimimise korraldamises. Organisatsiooni äriprotsesside toimimise eest vastutab juhatus, sellest tulenevalt vastutab juhatus ka äriprotsesse ohustavate sündmuste käsitlemise, sh infoturbe halduse süsteemi toimimise eest (lõige 1). Juhatuse kaasatus tagab infoturbe lõimituse kaitseala kõigisse protsessidesse ja infoturbe jätkusuutlikkuse ning juhatusel on õigus määrata prioriteete, kehtestada poliitikaid ja eraldada ressursse. Juhatuse all tuleb lähtuvalt KüTSi §-st 61 mõista eraõigusliku juriidilise isiku või avalik- õigusliku isiku juhtorganit, kohaliku omavalitsuse üksuse täitevorganit (valla- või linnavalitsus), riigi ametiasutuse juhti, kohaliku omavalitsuse üksuse ametiasutuse juhti, valitsusasutuse hallatava asutuse juhti, valla või linna ametiasutuse hallatava asutuse juhti, sihtasutuse juhatust, riigi tulundusasutuse juhtimisorganit ja füüsilisest isikust ettevõtjat. Kui juhatus on mitmeliikmeline, siis on mõistlik, et põhivastutus pannakse kokkuleppel ühele liikmele. Infoturbe halduse süsteemi rakendamise korraldamisel on juhatusel ka õigus jaotada ära infoturbe halduse süsteemi toimimiseks vajalikud tegevused (vt ka § 2 lg 2 selgitus) ning vastutusalad konkreetsemalt (edasivolitamine, ülesannete kehtestamine jne). Juhatusel on õigus organisatsiooni tööd korraldava organina ka otsustada, milliseid rakendusplaanis kavandatud meetmete rakendamata jätmisest tulenevaid riske aktsepteeritakse ja milliseid mitte, arvestades võimalikku mõju äriprotsessi kaitsetarbele (lõige 2). Selleks, et juhatus saaks täita talle antud ülesannet infoturbe halduse süsteemi korraldamisel, peab juhatusele olema tagatud regulaarne ja vajadusel operatiivne juurdepääs järgmisele teabele:  riskid ning nende võimalik mõju ja kulu;  toimunud küberintsidentide mõju äriprotsessidele;  õigusaktidest ja lepingutest tulenevad nõuded ja nende muudatused;  infoturbe hetkeseis ja infoturvameetmete rakendamise plaani täitmine. 7 Teabe liikumise protseduurid kehtestab organisatsioon ise (lõige 3). Küberturvalisuse 2. direktiivi preambuli põhjenduse 137 kohaselt on direktiivi eesmärk ka tagada kõrgel tasemel vastutus küberturvalisuse riskijuhtimismeetmete rakendamise ja teatamiskohustuse täitmise eest elutähtsate ja oluliste üksuste tasandil. Seepärast peaksid elutähtsate ja oluliste üksuste juhtorganid kiitma küberturvalisuse riskijuhtimismeetmed heaks ja jälgima nende rakendamist. Sellest tulenevalt on eelnõukohases määruses toonitatud organisatsiooni juhatuse vastutust. KüTSi § 61 lg 1 kohustab samas määrama vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest. See isik või isikud on organisatsiooni sees peamised valdkonna koordineerijad, võimaldades teistel juhatuse liikmetel keskenduda muudele valdkondadele organisatsiooni juhtimisel. Kuid sellega ei võeta juhatuselt õigusaktidega ettenähtud kollektiivset vastutust, millele viitab ka sama paragrahvi lõige 3, sätestades: Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget, kohaldatakse käesolevas paragrahvis sätestatud kohustusi kõigile juhatuse liikmetele. Paragrahvi 4 lõikes 1 käsitletakse infoturvapoliitikat. Infoturvapoliitika (inglise keeles information security policy) koosneb organisatsiooni väärtuste ja varade kaitse juhtpõhimõtetest. See sisaldab infoturbe põhimõtteid ja kohustumust: miks ja millistel põhimõtetel kaitstakse organisatsiooni varasid, sh andmeid ning võrgu- ja infosüsteeme küberohtude eest. Infoturvapoliitika määrab kindlaks infoturbe lähtealused, infoturbe üldised eesmärgid (inglise keeles security goal), sellega seotud rollid ja vastutusalad, turbe rakendamise korralduslikud alused, intsidentide käsitlemise ning turbeprotsessi hindamise ja täiustamise põhimõtted ning uuendamise regulaarsuse. Infoturvapoliitika alusel luuakse täpsemad alampoliitikad, eeskirjad, juhendid, protseduurireeglid ja tehnilised lahendused. Infoturvapoliitika ei pea olema koondatud vaid ühte dokumenti, kuid põhidokument peaks selguse huvides sisaldama viiteid seotud dokumentidele. Organisatsiooni selleteemaline tekst ei pea kohustuslikus korras kandma pealkirja „infoturvapoliitika“, vaid seda võib nimetada ka muud moodi või see võib ka olla muu dokumendi osa. Joonis 2. Infoturvapoliitika põhilised elemendid Allikas: Riigi Infosüsteemi Amet Organisatsiooni kaitstavad väärtused tuletatakse üldisest keskkonnast ja organisatsiooni põhieesmärkidest. Põhieesmärgid tulenevad ettevõtte puhul ärieesmärkidest, avaliku sektori asutuse puhul põhikirjast või põhimäärusest. Organisatsiooni väärtustena võetakse arvesse vähemalt järgmist: 8 a) toimingute, sh teabekäitluse usaldatavus (käideldavus, terviklus, konfidentsiaalsus, autentsus); b) organisatsiooni sisemine ja väline maine; c) investeeringud tehnoloogiasse, teabesse, tööprotsessidesse ja teadmusesse; d) töödeldava informatsiooni väärtus ja kaitse vajadus, sh isikuandmed; e) õigusaktide, eeskirjade, lepingute ja standardite järgimisel dokumendis esitatud nõuete täitmine; f) inimeste füüsiline ja vaimne heaolu. Organisatsiooni väärtused on aluseks kaitsetarbe määramisele. Organisatsiooni infoturvapoliitika koostamisel tuleks arvestada: a) organisatsiooni eesmärke ja strateegiat; b) organisatsiooni kaitseala; c) organisatsiooni struktuuri; d) organisatsiooni olemasolevaid haldussüsteeme, nt kvaliteedihaldus, riskihaldus, keskkonnahaldus; e) õigusalaseid raamtingimusi, sh kohalikud ja rahvusvahelised õigusaktid, valdkondlikud määrused; f) klientide, tarnijate, partnerite ja muude huvipoolte nõudeid, sh lepingulisi; g) tegevusala turvastandardeid ja -praktikaid. Infoturvapoliitika kinnitab juhtkond. Infoturvapoliitika on soovitatav teha teatavaks töötajatele ning vajadusel teistele huvipooltele. Infoturvapoliitika tuleks vähemalt korra kalendriaastas või oluliste muudatuste korral üle vaadata ja vajadusel ajakohastada. Lõikes 2 ette nähtud iga- aastase ülevaatamise kohustus on tingitud teadmisest, et IT-valdkond muutub kiirelt, mistõttu peaks organisatsioon vähemalt korra aastas mõtlema, kas infoturbe halduses tuleb midagi muuta või ei. Säte ei eelda, et iga aasta kinnitatakse uus infoturvapoliitika või selle muudatused. Muudatust ei ole vaja teha, kui on selge, et selle järele puudub vajadus. Paragrahv 5. KüTSi § 7 lõikest 1 tulenevalt peab organisatsioon rakendama asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et: 1) hallata riske, mis ohustavad tema tegevuses või teenuse osutamisel kasutatava võrgu- ja infosüsteemi turvalisust, sealhulgas koostama vastava riskianalüüsi; 2) ennetada või minimeerida küberintsidendi mõju osutatava teenuse saajale ja muule teenusele; 3) ennetada küberintsidenti või see tuvastada ja lahendada. See tähendab, et organisatsioonis peab olema toimiv riskihaldus. Organisatsioon otsustab ise oma vara ja teabe (isikuandmed ja ärisaladus, sh tundlikud tehnoloogiad ja muu intellektuaalomand) kaitsmise vajaduse ja meetmed ohtudest avalduva riski alusel. Mistahes meetmete rakendamisel jääb mingi risk alati alles ning organisatsioon peab otsustama, kas selline tuvastatud jääkrisk on aktsepteeritav või ei, st kas ta on nõus sellist riski taluma. Seejuures tuleb arvestada, et organisatsiooni riskitaluvus võib eri olukordades olla erinev. Riskihaldus hõlmab ka rohkemate kaitsemeetmete kavandamist tulevikus tekkida võiva riski maandamiseks, näiteks tehnoloogilist arengut silmas pidades. Ühtlasi tuleb kehtestada kahju vähendamise meetmed juhuks, kui vara või teavet ei ole enam võimalik kaitsta. Riskihalduse üldised etapid ja tegevused on esitatud tabelis 1. 9 Tabel 1. Riskihaldus Riskihalduse etapp Tegevus Ohuhinnang Millised ohud organisatsioonile avalduvad? Kelle või mille eest kaitstakse? Riskihinnang Millist kahju vara või teabe kahjustamine põhjustab? Millisel tasemel tuleks vara või teavet kaitsta? Kaitsemeetmed Millised peavad olema kaitsemeetmed üldiselt? Millised peavad olema kaitsemeetmed konkreetsel juhul? Jääkrisk Millised riskid jäävad pärast meetmete rakendamist alles? Kas maandamata risk on aktsepteeritav? Lisameetmed Kuidas tulevikus tekkida võivaid riske maandada? Millised kahju vähendamise meetmed on vajalikud? Protsessi kordamine Kas ohu- või riskihinnang on muutunud või muutub tulevikus? Milliseid uusi kaitsemeetmeid tuleb kasutusele võtta või kavandada? Allikas: Justiits- ja Digiministeerium Lõikes 1 sätestatakse, et enne riskihaldusmetoodika koostamist peab organisatsioonis tuvastama äriprotsessile olulised varad (sh IT-vara) ja määrama kindlaks nende kaitseala. Kaitseala tuleb kindlaks määrata ning vajaduse korral ajakohastada ka jooksvalt soetatava vara puhul. Sätte eesmärk on selgemalt ära märkida, et kaitsealasse kuuluvad kaitstavad äriprotsessid ja nendega seotud varad. Kaitsealast võib välja jätta näiteks selliste teenustega seotud äriprotsessid, mida ei rakendata KüTSi § 3 lõigetes 2–5 nimetatud tegevusaladel. Samuti võib välja jätta äriprotsessidega mitte seotud varad (nt kontoris asuvad muusika- ja spordiseadmed). Välja jätmise eelduseks on, et need kaitsealasse mitte kuuluvad varad ei ohusta KüTSi § 3 lõigetes 2–5 nimetatud tegevusaladega seotud varasid. Lõike 2 järgi seotakse turvariskihaldus äririskide halduse protsessiga. Riskihaldusmetoodika peab sisaldama vähemalt järgmist:  äriprotsessidele mõju avaldavate riskide tuvastamine ja hindamine, arvestades teabe konfidentsiaalsust, autentsust, terviklust, käideldavust;  vara ja protsessi vastendamine infoturbekataloogi moodulitega;  infoturvameetmete rakendamise plaani täitmise otsused, sealhulgas riskide hindamine. Organisatsiooni riskihaldusmetoodika peab tagama protsessi korratavuse ja võrreldavuse, võimaldades ülevaadet rakendatud meetmete seisust ning infoturvariskide haldamisest tervikuna. 10 Mistahes riskihinnang hakkab aeguma kohe pärast selle koostamist, mistõttu on riskihaldus pidev protsess. Seega peab organisatsioon regulaarselt uuesti läbi mõtlema, milliste ohtude eest, millisel määral ja milliste kaitsemeetmetega end ja oma teavet kaitsta. Konsolideeritud teenuste (nt ministeeriumite valitsemisalade IT-majad) puhul võib organisatsioon meetmete väljatöötamise ja rakendamise jätta teenusepakkuja kohustuseks – see tähendab, et ka nendest teenustest lähtuvate meetmetega seotud riskihalduse saab delegeerida teenusepakkujale (vt ka paragrahvi 10 selgitused). Paragrahvis 6 kirjeldatakse infoturbekataloogi olemust. Infoturbekataloog on organisatsiooni kahjustada võivate ohtude kaitseks võetavate meetmete loend moodulite kaupa. Infoturbekataloogi moodulid on jaotatud protsessimooduliteks ja süsteemimooduliteks. Organisatsioon määrab igale kaitstavale varale või varade koondile turvameetmed. Infoturbekataloog on esitatud määruse lisas. Võrreldes kehtiva E-ITSi määrusega on märgatavalt vähendatud kataloogi detailsust, jättes sellega organisatsioonidele suurema vabaduse asjakohaste ja efektiivsete meetmete valimisel ning organisatsiooni tegevusest lähtuvate riskide kirjeldamisel. Paragrahvis 7 käsitletakse infoturvameetmete rakendamise plaani. Infoturvameetmete rakendamise plaan (edaspidi ka IMR) on ühest või mitmest dokumendist koosnev kava, milles kirjeldatakse, kuidas organisatsioonis teavet ja vara kaitsta ning võimalikke riske ennetada. IMRis esitatakse kokkulepitud turvameetmed ja vastutajad ning käitumisjuhised erinevateks olukordadeks. IMRi võib hallata riskiregistris. Lõiked 1–6. IMRi koostatakse infoturbekataloogi abil, valides välja asjakohased osad ning kirjeldades kaitsemeetmeid. Organisatsioon võib riskihalduse põhjal lisada uusi meetmeid. Erinevalt E-ITSi kehtivast versioonist töötab organisatsioon välja oma meetmed ja hindab nende rakendamist ning mõju ise ilma määrusepoolse ettekirjutuseta. See võimaldab organisatsioonil välja töötada sobivaima meetmete komplekti, mis vastab organisatsiooni kaitsevajadustele. Kasutatavad protsessimoodulid ja süsteemimoodulid lõimitakse organisatsiooni infoturbe haldusse. Kaitseala varasid vastendatakse süsteemimoodulitega ja luuakse neile turvameetmete komplektid. Protsessimoodulite meetmed lõimitakse organisatsiooni igapäevasesse töökorraldusse. Organisatsioon määrab meetmete rakendamise prioriteedid kaitsetarbe, turbeviisi, meetmete ja varade omavahelise sõltuvuse, vara elutsükli ja infoturbe eesmärkide alusel. Riski kaalutlemise tulemusel lisanduvaid riskikäsitlusmeetmeid kirjeldatakse IMRis. IMRi pidev haldus on riskihalduse protsessi osa. Ülevaade IMRist ja meetmete rakendamise hetkeseisust on osa juhtkonnale regulaarselt esitatavatest aruannetest. Kui üksiku meetme rakendamata jätmisest tulenev risk ei ületa organisatsioonis kehtivat riskitaluvuspiiri või on risk maandatud alternatiivsete või kompenseerivate turvameetmetega, on lubatav jätta infoturbekataloogi meede rakendamata ja sellest tulenevat riski aktsepteerida. Riski aktsepteerimise otsused dokumenteeritakse IMRis ja vaadatakse regulaarselt üle. Lõigetes 7–9 on võrreldes E-ITSi kehtiva versiooniga selgemalt sätestatud organisatsiooni kohustus hinnata ka sõltuvust välistest isikutest teenuse osutamisel või äriprotsessides (organisatsiooniväline tarneahel). Ka sellisel juhul peab organisatsioon võtma kasutusele mõistlikud meetmed, et olla teadlik tarneahelaga seotud riskidest. Näiteks veendumaks, et ka tarnija rakendab turvameetmeid, võib küsida asjakohase sertifikaadi olemasolu või 11 enesehindamise tulemusi. Kui välise isiku puhul ei ole selge, milliseid meetmeid ta rakendab või kas tema teenust on hinnatud, siis tasub organisatsioonil kaaluda välise isiku vahetust või kasutatava teenuse puhul rohkemate riskimeetmete rakendamist, sh teenuse kasutusulatuse piiramist. Eelnõukohane määrus ei näe ette, et tegemist peab olema lõpliku riski (jääkriski) aktsepteerimisega. Küll võib lugeda tegevuskava olemasolu soovitavate meetmete rakendamiseks riskide aktsepteerimisel, näidates tegevuskavas ära, kuidas toimub riski järkjärguline maandamine, mille kaudu saavutatakse kas riski minimeerimine või tase, mille puhul jääkrisk on aktsepteeritav. Paragrahvis 8 nähakse ette personali turvameetmete rakendamise alase koolitamise vajadus. Organisatsioon peab kooskõlas infoturvapoliitika eesmärkidega tagama kõigi töötajate, sh juhatuse liikmete infoturbealase koolitamise ja teadmiste täiendamise. Koolitusel lähtutakse töötaja ülesannetest ja seotusest rakendatavate turvameetmetega. Regulaarsete infoturvet käsitlevate koolituste eesmärk on motiveerida töötajaid järgima infoturvanõudeid, käsitlema teavet ja käsitsema töövahendeid korrektselt, vältima riskikäitumist ja asjakohaselt reageerima mistahes intsidentidele, sealhulgas teadma, kuidas intsidente ennetada ja avastada. Koolitus ei pea olema loengupõhine, lubatud on kasutada ka muid meetodeid, näiteks perioodiliste testide tegemist. Koolitus ei pea olema kogu personalile samasugune, vaid koolitamisel võib lähtuda töötaja rollist, seotusest võrgu- ja infosüsteemi ning selle kaitsega jne. 3. peatükk: seire Paragrahv 9. Eelnõu koostamise käigus vaadati üle määruse nr 101 lisas sätestatud auditeerimiseeskiri. Võrreldes E-ITSi kehtiva versiooniga ei ole enam auditi osana sätestatud eelauditit, vaheauditit ega järelauditit. Nimetatud osade asemel nähakse eelnõus (lõige 1) ette organisatsioonisisene hindamine. Organisatsioonisisene hindamine on organisatsiooni pidev kontroll, mille käigus hinnatakse, kas organisatsioonis on: 1) kindlaks määratud äriprotsessid; 2) kaardistatud äriprotsessidega seotud varad; 3) tuvastatud välised infoturvanõuded, sealhulgas õigusaktid ja lepingud; 4) tuvastatud ja hinnatud äriprotsessidele mõju avaldavad riskid; 5) vastendatud infoturbekataloogi moodulid kaitseala varaga; 6) kehtestatud riskihaldusmetoodika; 7) koostatud infoturvameetmete rakendamise plaan; 8) rakendatud ja seiratud infoturvameetmeid vastavalt infoturvameetmete rakendamise plaanis esitatud tähtaegadele; 9) kõrvaldatud auditite ja hindamiste käigus tuvastatud puudused. Järelauditi asemel peab organisatsioon auditi lõpparuandest tulenevalt kavandama parandusmeetmete rakendamise, määrama vastutajad ja tähtajad. Parandusmeetmete rakendamist ja infoturvameetmete rakendamise plaani ajakohastamist koordineerib infoturbe eest vastutav isik. Organisatsioonisisese hindamise käigus hinnatakse kavandatud meetmete rakendamist ja tulemuslikkust. Eelnõukohase määrusega ei piirata organisatsiooni võimalust soovi korral audiitorettevõttelt auditi järeldusotsuse auditileidude kõrvaldamisel uue järeldusotsuse tegemist tellida (nö järelaudit), kui leidude puhul on asjakohased meetmed rakendatud. See võimaldab 12 organisatsioonil vältida seda, et kuni järgmise korralise auditini kehtib järeldusotsus koos kõrge riskitasemega leidudega. Ka selline järeldusotsus tuleks esitada järelevalveasutusele. Lõige 2. Organisatsioonisisest hindamist võib teha organisatsiooniga töö- või teenistussuhtes olev isik või organisatsiooniväline isik. Muudatus võimaldab organisatsioonil lähtuda oma võimalustest ja vajadustest. Näiteks võib organisatsioon kasutada hindamiseks siseaudiitorit või kui organisatsiooni suurus või ülesehitus ei võimalda hindajat palgal hoida, siis on võimalik ka teenust sisse osta. Sealhulgas ei ole välistatud, et hindamist tehakse kahasse kahe või enama organisatsiooniga, kes on oma olemuselt seotud. Oluline on, et hindaja ise ei ole turvameetmete rakendaja, st on selle suhtes erapooletu. Lõikes 3 sätestatakse, et organisatsioonisisese hindamise käigus tuvastatud puudused ning eelmise auditi järel kavandatud parandusmeetmed peaksid olema vastavalt kas kõrvaldatud või rakendatud ning riskid aktsepteeritud. Sealhulgas arvatakse selle hulka ka infoturvameetmete rakendamata jätmisest tulenevate riskide põhjendatud aktsepteerimine (vt ka § 7 lõigete 7–9 selgitus). Välise isiku hinnang annab organisatsiooni klientidele ja partneritele teavet organisatsiooni infoturbe halduse süsteemi jätkusuutlikkuse ja infoturvalisuse ohtudele vastupanuvõime kohta. Näiteks rahvusvahelise standardi ISO/IEC 27001 järgimine eeldab auditeerimist, mille tulemusel väljastatakse vastav sertifikaat. Selle sertifikaadi olemasolu võivad eeldada võimalikud koostööpartnerid enne koostöö alustamist. Samas võib sertifikaat kehtida vaid kindla teenuse või tegevuse kohta. Paragrahvis 10 kirjeldatakse auditeerimise eesmärki, mis seni oli nimetatud kehtiva E-ITSi määruse lisas. Auditeerimine on osa turvameetmete rakendamise protsessist, mille käigus väline isik annab sõltumatu hinnangu tehtule ja kirjeldab avastatud puudujääke. Auditi võib teha koos teise organisatsiooniga. Ühisaudit või teise organisatsiooni nimel auditi tellimine on ennekõike asjakohane juhul, kui eri organisatsioonide info- ja kommunikatsioonitehnoloogia (edaspidi IKT) taristu haldamine ja majutamine on üle antud kesksele organisatsioonile. Samas ei ole välistatud ka muud võimalused ühishanget teha. Küll aga peab auditi lõpparuanne sisaldama teavet iga auditi subjekti kohta. IKT-taristu haldamine ja majutamine kolmanda organisatsiooni kaudu ei mõjuta auditi subjekti kohustust E-ITSi järgida, mille täitmist audit kontrollib. Konsolideeritud teenuste puhul, kui turvameetmete väljatöötamine ja rakendamine on jäetud teenuseosutaja kohustuseks saab organisatsioon kontrollide meetmete täitmist kontrollida teenuseosutaja vastavusauditi kaudu. Organisatsioonipoolset auditi tellimist, auditiga kaasnevaid kohustusi, auditi kvaliteedi hindamist ning audiitoripoolset auditi kavandamist, tegemist ja selle kohta aruande koostamist on kirjeldatud auditeerimiseeskirjas, mis kehtestatakse määruse lisana. Auditeerimiseeskiri on eelkõige mõeldud reguleerima määruse nr 121 § 4 lõigetes 1 ja 11 sätestatud auditi tegemist, piiramata samas organisatsiooni vabadust kasutada eeskirja organisatsiooni vajadustest lähtuvalt osaliste auditite tegemisel. Peatükis kirjeldatud tegevuste ajajoon on esitatud joonisel 3. 13  Seire tegevused organisatsioonisisene hindamine selgitada välja, kas puudused, sh eelmisest auditist tulenevad puudused, on kõrvaldatud või jääkrisk aksepteeritud audit 1. aasta 2. aasta 3. aasta 4. aasta/ 1. aasta > Joonis 3. Seire ajajoon Allikas: Justiits- ja Digiministeerium 4. peatükk: Eesti infoturbestandardi tugi ja rakendamine Eelnõuga kavandatakse märgatavalt vähendada määruse nr 101 regulatiivset osa, suurendades seeläbi info- ja võrgusüsteemide turvameetmete rakendamise paindlikkust ning parandades ka nende efektiivsust, võimaldades organisatsioonil ise valida ja kujundada asjakohaseid turvameetmeid. Eri organisatsioonid vajavad siiski endiselt tuge ja nõu meetmete rakendamisel võrgu- ja infosüsteemide kaitseks. Selleks nähakse paragrahvis 11 ette riigi tugitegevused E- ITSi rakendamisel. Küberturvalisuse valdkonnas teeb riiklikku ja haldusjärelevalvet Riigi Infosüsteemi Amet. Eelnõukohases määruses sätestatakse, et E-ITSi rakendamise toetamiseks ja ühtlustamiseks loob amet asjakohase veebilehe või rakenduse. Veebilehe loomise nõue ei ole uus, sest ka kehtiva E-ITSi rakendamise toetamiseks on Riigi Infosüsteemi Amet loonud rakendamist toetava veebikeskkonna.1 Veebilehel saab amet avaldada ajakohaseid juhiseid turvameetmete rakendamiseks või selgitada, kuidas, miks ja millele tähelepanu pöörata. Veebileht toetab määrust, kuid sel ei ole iseseisvat õigusjõudu. Seal avaldatud teave toetab organisatsioone, kuid samas jääb igale organisatsioonile vabadus rakendada soovitatust erinevat meedet või võtta kasutusel mõni teine organisatsiooni äriprotsessidega sobivam meede või jätta meede üldse rakendamata, kui selleks puudub vajadus. Veebileht võimaldab Riigi Infosüsteemi Ametil kiiremini teavitada organisatsioone uutest ohtudest ja riskidest, pakkuda uusi tehnoloogilisi lahendusi jne. Eelnõukohane määrus sätestab ka E-ITSi järgimist toetavate rakenduste kasutusele võtmise võimaluse. Kavandatav rakendus peaks parandama eelkõige väiksemate organisatsioonide võimekust omada ülevaadet oma võrgu- ja infosüsteemide kaitsega seotud riskidest ning puudujääkidest, sest erinevalt suurtest organisatsioonidest puudub väiksemates organisatsioonides sageli ainult infoturbega tegelev töötaja (infoturbejuht) või ostetakse infoturbeteenust sisse. Näiteks Riigi Infosüsteemi Amet arendab Eesti infoturbestandardi järgimiseks tugirakendust, mis aitab rakendajal luua vajaduspõhist turvameetmete rakendamise plaani, seejuures vähendada vigu meetmete valimisel, ja suunab rakendaja kohe meetmeid rakendama.2 1 https://eits.ria.ee/ 2 https://eits.ria.ee/et/abimaterjalid/tugirakendus 14 Paragrahv 12. Eelnõukohase määrusega tunnistatakse kehtetuks E-ITSi kehtiv versioon, mistõttu nähakse ette üleminekuperiood. Turvameetmete rakendamine ja riskide hindamine on pidev protsess, seega on ka organisatsioonipoolne meetmete kohandamine pidev protsess ning nende uuendamisel on soovitatav järgida juba eelnõukohases määruses sätestatut. Dokumentatsiooni ülevaatamiseks, sealhulgas auditi eelduseks oleva organisatsiooni hindamise korraldamiseks nähakse ette kolmeaastane periood. Perioodi pikkuse määramisel on arvestatud senise auditeerimise välbaga, mis on sätestatud määruses nr 121. Kuna dokumentide ülevaatamine ja uuendamine toimub organisatsioonisisese hindamise käigus, on üleminekuperiood piisav. Eelnõukohase määruse jõustumise korral ei ole ühelgi organisatsioonil kohustust alustada kohe turvameetmete ülevaatamist või jätta pooleli juba toimuv audit või koostada uusi dokumente. Eelnõukohase määrusega väheneb asjaomaste sätete hulk, kuid ei muudeta vajadust kaitsta võrgu- ja infosüsteeme. Seega on kehtiva määruse alusel tehtud audit ja rakendatud turvameetmed asjakohased ka pärast uue määruse kehtima hakkamist. Paragrahvis 13 nähakse ette määruse nr 101 (RT I, 28.08.2025, 12) kehtetuks tunnistamine eelnõukohase määruse jõustumisel. Määrus jõustub paragrahvi 14 kohaselt 1. septembril 2026 (vt ka seletuskirja p 7 „Määruse jõustumine“). Eelnõul on kaks lisa: lisa 1 „Infoturbekataloog“, lisa 2 „Auditeerimiseeskiri“. 3. Eelnõu terminoloogia Eelnõukohases määruses esitatakse ühe kasutatava termini määratlus: äriprotsess – organisatsiooni põhitegevuste või eesmärkide saavutamiseks vajalike tegevuste kogum, mille käigus kasutatakse aega, raha, töövahendeid ning inimeste teenuse, toote või muu väärtust loova tulemuse pakkumiseks. 4. Eelnõu vastavus Euroopa Liidu õigusele Määrus vastab Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiivi (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv), artiklile 21. Eelnõu ei ole seotud Euroopa Liidu õiguse ülevõtmisega. 5. Määruse mõjud Eelnõukohane määrus mõjutab majanduskeskkonda, riigivalitsemist ning infotehnoloogiat ja infoühiskonda. Eelnõukohase määruse jõustumisel väheneb olulisel määral nende võrgu- ja infosüsteemide infoturvet kirjeldavate sätete hulk, mille arvestamist või arvestamata jätmist peab põhjendama. 5.1. Mõjuvaldkond: halduskoormus (majanduslik), mõju kohaliku omavalitsuse korraldusele ja finantseerimisele ning keskvalitsuse korraldusele (riigivalitsemine) 15 Mõju sihtrühm: KüTSi subjektid, kellel on määrusest nr 121 tulenev kohustus rakendada E- ITSi. Avalduv mõju ja mõju olulisus Eelnõukohase määruse jõustumisel keskendub E-ITS turvameetmete vormikohasuse asemel senisest enam nende ajakohasusele, mille tulemusena muutub organisatsioonide küberturbe korraldamine efektiivsemaks ning vajaduspõhisemaks. Organisatsioonidel on edaspidi paremad võimalused keskenduda asja- ja ajakohaste meetmete rakendamisele. Pikemas perspektiivis peaks eelnõukohase määruse rakendamine vähendama organisatsioonide haldus- või töökoormust, sest uue määrusega vähendatakse välise auditi kasutamise kohustuse ulatust ning ettekirjutavate normide hulka. Järeldus mõju olulisuse kohta: eelnõukohase määruse jõustumisel suureneb paindlikkus võrgu- ja infosüsteemide turvameetmete valimisel ja rakendamisel. See võimaldab kiiremini reageerida tehnoloogiamuutustele ja võimalikele kaasnevatele riskidele. Muudatus toetab eeldatavalt efektiivsemalt digiühiskonna toimimist. Seega määruse üldine mõju on positiivne, kuid üksiku organisatsiooni seisukohast siiski väike, sest ei eelda vahetult uusi tegevusi ega sea ka uusi kohustusi. 5.2. Mõjuvaldkond: küberkeskkond ja küberhügieen (infotehnoloogia ja infoühiskond) Mõju sihtrühm: ühiskonna toimimise seisukohast ülioluliste ja oluliste teenuste kasutajad (Eestis resideeruvad juriidilised ja füüsilised isikud). Avalduv mõju ja mõju olulisus Eelnõukohase määrusega vähendatakse keskselt ettekirjutatud regulatsiooni, jättes samaks üldised eesmärgid küberkeskkonna ja küberhügieeni osas. Ettekirjutatud regulatsiooni vähendamise tulemusel peaks muutuma ülioluliste ja oluliste teenuseosutajate võrgu- ja infosüsteemide kaitse senisest paindlikumaks ja looma võimalused kiiremaks reageerimiseks süsteeme ohustavatele sündmustele ja riskidele. Järeldus mõju olulisuse kohta: eelnõukohase määruse jõustumisega kaasnev muudatus toetab turvalisuse küberkeskkonna toimimist ülioluliste ja oluliste teenuste osutamisel, tagades kasutajatele seeläbi nende teenuste jätkuva kättesaadavuse vähemalt senisel tasemel. Seega määruse üldine mõju on positiivne, kuid kasutaja seisukohast siiski oluline. 6. Määruse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Eelnõukohase määrusega ei kehtestata organisatsioonidele uusi kohustusi, küll aga võib see tänu auditeerimisprotsessi muudatustele veidi vähendada kulu. Eelnõukohase määruse jõustumisega ei kaasne riigi ja kohaliku omavalitsuse üksuse eelarvele lisakulu ega -tulu. 7. Määruse jõustumine Määrus jõustub 1. septembril 2026. Jõustumisaja kehtestamisel on arvestatud Riigi Infosüsteemi Ameti vajadust vaadata üle haldus- ja riikliku järelevalvega seotud dokumentatsioon ning avaandmed ning viia need muudatustega kooskõlla. Riigi Infosüsteemi Amet peab ka ajakohastama oma veebilehel oleva teabe ning tegema selle kättesaadavaks rakendajatele. 16 8. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon 8.1. Eelnõu esitati eelnõude infosüsteemi kaudu kooskõlastamiseks ministeeriumitele, Riigikantseleile ning Eesti Linnade ja Valdade Liidule. 8.2. Eelnõu saadeti arvamuse avaldamiseks Riigikogu Kantseleile, Vabariigi Presidendi Kantseleile, Riigikohtule, Eesti Pangale, Finantsinspektsioonile, Riigi Infosüsteemi Ametile, Riigi Info- ja Kommunikatsioonitehnoloogia Keskusele, Andmekaitse Inspektsioonile ning Registrite ja Infosüsteemide Keskusele. 8.3. Eelnõu saadeti arvamuse avaldamiseks Eesti Haiglate Liidule, Eesti Perearstide Seltsile, Eesti Vee-ettevõtete Liidule, Eesti Kiirabi Liidule, Ravimitootjate Liidule, Eesti Proviisorapteekide Liidule, Eesti Apteekrite Liidule, Eesti Elektritööstuse Liidule, Eesti Jõujaamade ja Kaugkütte Ühingule, Eesti Gaasiliidule, Eesti Transpordikütuste Ühingule, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Kaubandus-Tööstuskojale, Eesti Põllumajandus-Kaubanduskojale, Eesti Esmatasandi Tervisekeskuste Liidule ja Eesti Infosüsteemide Audiitorite Ühingule. 8.4. Eelnõu kooskõlastasid märkusteta Kultuuriministeerium ja Välisministeerium. 8.5. Eelnõu toetasid Finantsinspektsioon ja Riigikogu Kantselei. 8.6. Eelnõu kohta esitasid märkusi Kliimaministeerium, Rahandusministeerium, Majandus- ja Kommunikatsiooniministeerium, Siseministeerium, Sotsiaalministeerium, Eesti Linnade ja Valdade Liit, Andmekaitse Inspektsioon, Registrite ja Infosüsteemide Keskus, Riigi Info- ja Kommunikatsioonitehnoloogia Keskus, Eesti Haiglate Liit, Eesti Infosüsteemide Audiitorite Ühing, Eesti Kaubandus-Tööstuskoda, Eesti Vee-ettevõtete Liit ja Eesti Energia AS. Märkustega arvestamise tabel on esitatud seletuskirja lisas. 17  Justiits- ja digiministri määruse „Eesti infoturbestandard“ eelnõu seletuskirja lisa Märkuste tabel Märkus Märkusega arvestamine Kliimaministeerium 29.06.2026 e-kiri 1. Riskide aktsepteerimine (§ 8 lg 6) Antud selgitus Praegune sõnastus võib jätta mulje, et kui riski maandamistegevus kavandatakse kaugemale tulevikku kui järgmine regulaarne riskide Eelnõukohase määruse teksti § 7 lg 7 mõtte kohaselt (end § 8 lg 7), tuleks meetme rakendamise tähtaeg kehtestamisel lugeda ülevaatus, tuleb risk igal juhul aktsepteerida. Praktikas võivad aktsepteeritud riskiks. Säte ei näe ette, et tegemist peab olema suure organisatsiooni taristuprojektid kesta üle aasta, kuid see ei lõpliku riski (jääkriski) aktsepteerimisega. Küll on ka tegevuskava tähenda, et risk oleks sisuliselt tingimusteta aktsepteeritud. soovitavate meetmete rakendamiseks riskide aktsepteerimine, Palume täpsustada, et üle ühe aasta kestva maandamistegevuse samal ajal näidates ära kuidas toimub riski järk-järguline puhul ei loeta riski automaatselt lõplikult aktsepteerituks, vaid risk maandamine, mille kaudu saavutatakse kas riski peab olema käsitletud riskihalduses koos põhjendatud minimaliseerimine või saavutatakse tase, millel jääkrisk on maandamiskava, ajutiste kompenseerivate meetmete, vastutaja ja aktsepteeritav. tähtajaga. Kui jääkriski otsustatakse taluda kuni maandamistegevuse elluviimiseni, peab otsus olema dokumenteeritud ja regulaarselt üle vaadatud. 2. Organisatsioonisisese hindamise puuduste kõrvaldamine Arvestatud enne auditit (§ 10 lg 3 ja lisa 2 p 5.1) Kehtiv sõnastus on liiga absoluutne, sest ka madala riskiga Määruse teksti ja lisa täiendatud viitega, et ka infoturvameetmete rakendamata jätmisest tulenevad riskid peavad olema formaalne puudus võib takistada auditi alustamist. aktsepteeritud. Palume kaaluda sõnastust, mille kohaselt võib auditeerimist alustada juhul, kui kõrvaldamata puudused on madala riskitasemega või nende kohta on kinnitatud põhjendatud 1  Märkus Märkusega arvestamine parandusplaan ning need ei mõjuta oluliselt auditi teostatavust ega tulemuste usaldusväärsust. 3. Audiitorettevõttele seatavad infoturbenõuded (lisa 2 p 4.8 ja Antud selgitus 4.9) Audiitor saab auditi käigus ligipääsu võrguskeemidele, logidele, Määrusega ei ole lubatud Eesti infoturbestandardi (edaspidi E- ITS) järgimise kohustuse panemist ettevõtjale, kellel seadusest õiguste näidetele, dokumentatsioonile ning potentsiaalselt tulenevalt vastav kohustus puudub. Küll on organisatsioonil, kellel tundlikule IT- ja OT-teabele. Praegused nõuded piirduvad on Eesti infoturbestandardi järgmise auditeerimise kohustus peamiselt konfidentsiaalsuse, sõltumatuse ja parimate tavadega. võimalik auditeerimise teenuse hankimisel või ostmisel lisada Teeme ettepaneku kehtestada audiitorettevõttele minimaalsed tingimustesse audiitorettevõtte minimaalsed infoturbenõuded või infoturbenõuded või nõuda audiitorettevõttelt infoturbestandardile nõuda audiitorettevõttelt infoturbestandardile vastavuse kinnitust. vastavust. 4. Teenusepakkujate infoturbe hindamine (lisa 2 p 5.10) Arvestatud Paljudel praktilistel, eriti väiksematel või OT-teenusepakkujatel ei pruugi olla ISO/SOC/E-ITS sertifikaati ega selle rakendamise Lisa punkti 5.10. täiendatud ettepanekust lähtuvalt. kohustust. Kui hindamine tugineb üksnes sertifikaatidele ja Hinnangu kujundamisel võib arvesse võtta ka lepingulisi vastavusaudititele, võib see muuta teenuste sisseostmise mõnes infoturbenõudeid, organisatsioon koostatud riskihinnangut sektoris ebamõistlikult keeruliseks või kalliks. Palume lisada, et teenuseandja teenuse kohta ja riskihinnangust lähtuvate teenusepakkuja hindamisel võib arvesse võtta ka lepingulisi meetmete rakendamist. infoturbenõudeid, kliendi tehtud riskihinnangut ja kompenseerivaid meetmeid. 5. Kõrge riskiga leidude kõrvaldamise tähtaeg (lisa 2 p 7.3) Arvestatud Kõrge riski maandamine võib suure organisatsiooni puhul eeldada hanget, arhitektuurimuudatust, eelarvet, tarnija arendust või OT- Punkti 7.3 täiendatud lausega: Kui auditeeritaval ei õnnestu kuue seisakute planeerimist. Seetõttu võib kuue kuu tähtaeg olla teatud kuu jooksul seda riski kõrvaldada, koostab ta riski käsitlemise juhtudel ebarealistlik. Palume lisada võimalus põhjendatud tähtaja plaani, milles kirjeldab riski vähendamiseks rakendatud meetmeid pikendamiseks juhul, kui kõrge riski kõrvaldamine eeldab hanget, ja riski kõrvaldamiseks rakendatavaid ajutisi meetmed ning arhitektuurimuudatust, eelarveotsust, tarnija arendust või määrab plaani rakendamise eest vastutaja. tehnoloogilist seisakut ning kui auditeeritav on rakendanud Lisa täiendatud uue punktiga 7.5. 2  Märkus Märkusega arvestamine ajutised maandamismeetmed, kinnitanud tegevusplaani, 7.5. Punktis 7.3 sätestatud tegevusplaani koostamisest teavitab määranud vastutaja ja teavitanud sellest järelevalveasutust. auditeeritav järelevalve asutust 14 päeva jooksul tegevusplaani koostamisest, kuid mitte hiljem kui kuue kuu möödumisest auditi järeldusotsuse ja auditi lõpparuande saamisest arvates. 6. Auditi käsitlusala määratlemine (lisa 2 p 3.1) Arvestatud sisuliselt Eelnõu lisa punkt kohaselt määrab auditeeritav auditit tellides või hankides käsitlusala. Siin on oht, et käsitlusala määratakse liiga Punkti täiendatud lausega: kitsalt ning audit ei kata organisatsiooni olulisemaid riske. Käsitlusala peab hõlmama vähemalt küberturvalisuse seaduse § Palume täpsustada, et auditi käsitlusala ei tohi olla määratud viisil, 3 lõigetes 2–5 nimetatud tegevusaladega seotud võrgu- ja mis jätab põhjendamatult välja organisatsiooni olulised või infosüsteeme. kriitilised äriprotsessid, nende toimimiseks vajalikud varad, tegevuskohad, välised teenusepakkujad või kõrgema Viitamine eelmärk on tagada, et auditi tehakse vähemalt võrgu- ja kaitsetarbega süsteemid. Audiitor peab hindama käsitlusala infosüsteemide osas, mis on seotud teenustega, mille osutamise piisavust ning märkima olulised piirangud auditi lõpparuandes ja kaudu on organisatsioon KüTS subjekt. vajaduse korral järeldusotsuses. Samas juhime tähelepanu, et auditeerimiseeskiri on eelkõige mõeldud kasutamiseks eelnõukohases määruses sätestatud infoturbehalduse meetmete audit tellimiseks või hankimiseks, auditi tegemiseks. Eelnõukohase määrusega ei ole piiratud organisatsiooni vabadust tellida samu põhimõtteid järgides iseseisvaid auditeid või osalisi auditeid. 7. Auditi lõpparuande kaitse (lisa 2 p 6.18) Antud selgitus Kui auditi järeldusotsuses on üks või mitu kõrge tasemega riski, tuleb järelevalveasutusele esitada ka auditi lõpparuanne. See võib Riigi Infosüsteemi Amet tagab dokumendi kaitse lähtuvalt sisaldada väga tundlikku teavet. organisatsiooni poolt ettenähtud kaitsetasemele. Kui Palume määruses selgemalt välja tuua, kuidas auditi lõpparuannet organisatsioon on märkinud järeldusotsuse ärisaladuseks või kaitstakse, märgistatakse, edastatakse ja säilitatakse, kui see asutusesiseseks kasutamiseks mõeldud teabeks, peab Riigi sisaldab juurdepääsupiiranguga või muud tundlikku teavet, sh infot Infosüsteemi Amet tagama ka teabe sellisel kujul hoidmise ning süsteemiarhitektuuri, turvanõrkuste, logide, õiguste või OT/IT kaitse jne. keskkonna kohta. 3  Märkus Märkusega arvestamine 8. OT kohaldamisala täpsustamine Jäetud arvestamata E-ITS 2026 määratleb OT jaoks SYS.7 mooduli, kuid ei täpsusta, et OT keskkonnale võivad kohalduda ka muud moodulid (nt võrk, Soovime vältida määruses liigset detailsust arvestades tarneahel, intsidentide käsitlus). tehnoloogia kiiret arengut. Täpsemaid ajakohaseid juhiseid on Ettepanek: Täpsustada, et OT-le tuleb rakendada kõiki kavas avaldada Riigi Infosüsteemi Ameti veebilehel. asjakohaseid mooduleid. 9. OT kaughoolduse nõuete konkretiseerimine Jäetud arvestamata SYS.7.6 nõuab turvalist kaughooldust, kuid miinimumnõuded puuduvad. Soovime vältida määruses liigset detailsust arvestades Ettepanek: Lisada nõuded (MFA, ajutised ligipääsud, logimine, tehnoloogia kiiret arengut. Täpsemaid ajakohaseid juhiseid on eraldatud kanalid). kavas avaldada Riigi Infosüsteemi Ameti veebilehel. 10. Riskihindamise skaalade kaotamine Antud selgitus Ühtsete skaalade kaotamine vähendab võrreldavust organisatsioonide vahel. Riigi Infosüsteemi Ametil on jooksvalt kavandatud veebilehel Ettepanek: Luua soovituslik riiklik metoodika ja minimaalne skaala. avaldada riskihindamist abistavaid rakendusi ehk nö tööriistu. 11. CIA vs OT (Safety) Jäetud arvestamata CIA mudel ei kata piisavalt OT ohutusriske. Ettepanek: Lisada Safety eraldi kaitstava väärtusena. Soovime vältida määruses liigset detailsust arvestades tehnoloogia kiiret arengut. Täpsemaid ajakohaseid juhiseid on kavas avaldada Riigi Infosüsteemi Ameti veebilehel. 12. Infoturbepoliitika OT käsitlus Jäetud arvestamata Poliitikad on sageli IT-kesksed ja ei kata OT-d piisavalt. Ettepanek: Nõuda OT käsitlemist poliitikas. Soovime vältida määruses liigset detailsust arvestades tehnoloogia kiiret arengut. Täpsemaid ajakohaseid juhiseid on kavas avaldada Riigi Infosüsteemi Ameti veebilehel. 13. Ühtne riskihaldusmetoodika Antud selgitus 4  Märkus Märkusega arvestamine Ilma ühtse metoodikata puudub võrreldavus. Ettepanek: kehtestada ühine metoodika. Eelnõu § 11 näeb ette E-ITS rakendamisel Riigi Infosüsteemi Ameti poolsed tugitegevused. Tugitegevustena on ära näidatud veebilehe loomine, millel avaldatakse juhendmaterjale E-ITS rakendamise toetamiseks ja ühtlustamiseks Vaata ka Siseministeeriumi märkusele nr 1 ja Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse märkusele nr 3 antud vastust. 14. Juhendmaterjalide vajadus Antud selgitus Vähenenud detailsus võib tekitada tõlgendamisprobleeme. Ettepanek: RIA peaks avaldama standardiseeritud juhised ja Eelnõu § 11 näeb ette E-ITS rakendamise Riigi Infosüsteemi näidised. Ameti poolsed tugitegevused. Vaata ka Eesti Infosüsteemide Audiitorite Ühingu märkusele nr 1 antud vastust. Majandus- ja Kommunikatsiooniministeerium 10.06.2026 e-kiri Majandus- ja kommunikatsiooniministeerium edastab Eesti Arvestatud Standardimis- ja Akrediteerimiskeskuse tähelepanekul kommentaari seoses EIS-s kommenteerimisel oleva eelnõuga „Eesti infoturbestandard“ (EIS-i toimik JDM/26-608) Kommentaar puudutab eelnõu seletuskirja. Seletuskirja § 5 lõike 1 selgituses (lk 8) on välja toodud, et organisatsiooni väärtustena tuleks kindlasti arvesse võtta ka õigusaktide, eeskirjade, standardite ja lepingute nõuete täitmist. 5  Märkus Märkusega arvestamine Mainitud sõnastusest tuleneb üldine standardite järgimise kohustus. Kuna standardite järgimine on üldjuhul vabatahtlik, siis teeme ettepaneku sõnastada standardite nõuete täitmise osa soovituslikuna, nt ühe võimaliku sõnastusena: e) õigusaktide, eeskirjade, lepingute ja standardite järgimisel standardite nõuete täitmine Rahandusministeerium 08.07.2026 kiri nr 1.1-11/2256-2 1. Eelnõu § 4 kasutab mõistet „organisatsiooni juhatus“, kuigi määrus Jäetud arvestamata kohaldub küberturvalisuse seaduse tähenduses teenuseosutajatele, kelle hulka kuuluvad ka riigiasutused, kohaliku Eelnõu arvestab küberturvalisuse seadusega (edaspidi KüTS). omavalitsuse üksused ja muud organisatsioonivormid, millel Näiteks nimetatud seaduse § 61 sätestab juhatuse liikme klassikaline juhatus puudub. Kuigi seletuskirjas on selgitatud, et kohustused. juhatuse all peetakse silmas organisatsiooni kõrgeimat juhtimistasandit (nt asutuse juht, täitevorgan vms), ei tulene see üheselt määruse tekstist. Teeme ettepaneku täpsustada § 4 sõnastust, kasutades neutraalsemat terminit, nt „organisatsiooni kõrgeim juhtimistasand“, või defineerida „juhatus“ § 2 terminina selliselt, et see hõlmab kõiki küberturvalisuse seaduse subjektide juhtimisvorme. 2. Eelnõus kasutatud mõistete valik ei ole piisavalt ühtne ja pigem on Arvestatud sisuliselt segadust tekitav. Kuigi § 3 lõike 2 kohaselt kasutatakse mõistet „infoturbejuht“, ei kasutata seda mõistet järjepidevalt ei eelnõus Rollid asendatud tegevustega, mida on vaja arvestada infoturbe tervikuna ega seletuskirjas, kus on kasutatud ka teistsugust halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse väljendust „infoturbe eest vastutav isik“. Samuti jääb ebaselgeks, hõlmab organisatsiooni kui ka organisatsioonile usaldatud miks on valitud just mõiste „hankejuht“, kuigi seletuskirjas on 6  Märkus Märkusega arvestamine selgitatud, et vastavaid ülesandeid võivad täita erinevad rollid jääb andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab ikkagi ebaselgeks, miks on vajalik eraldiseisva mõiste kasutamine ka isikuandmete kaitset organisatsiooni poolt, kes neid töötleb. eelnõus. Palume eelnõus kasutatud mõisted tervikuna üle vaadata ning tagada nende ühtne ja põhjendatud kasutus. Mõistete valikul tuleb lähtuda kehtivast terminoloogiast ning vältida olukorda, kus sama sisu kirjeldamiseks kasutatakse erinevaid või sisult ebaselgeid mõisteid. 3. Eelnõu § 8 lõike 8 eesmärk on toetada organisatsiooni kohustust Jäetud arvestamata hinnata organisatsioonivälise tarneahelaga seotud riske (§ 8 lg 7). Kehtiv sõnastus annab organisatsioonile õiguse nõuda Eelnõukohase määrusega sätestatakse nõuded vaid KüTS teenusepakkujalt tõendusmaterjali, kuid ei rõhuta piisavalt, et subjektidele, sh teenuseosutajatele (organisatsioonid). hinnangu andmiseks peab organisatsioonil olema ligipääs Teenuseosutaja lepingulistele või muudele partneritele ei ole asjakohasele ja piisavale teabele. võimalik määrusega kohustusi kehtestada. Teenuseosutaja ja tema lepinguliste partnerite (st väliste teenuste osutajatega) suhe Teeme ettepaneku sõnastada säte järgmiselt: (8) põhineb vastastikustel lepingutel (sh tüüplepingud), milles Organisatsioonivälise tarneahela kaitse vajaduse hindamiseks on sätestatakse muuhulgas ka teenuseosutaja võimalused saada organisatsioonil õigus nõuda väliselt osapoolelt kaitsetarbele teavet osutatava teenuse kohta. vastavate turvameetmete rakendamist tõendavat teavet, sealhulgas seirearuandeid, asjakohase käsitlusalaga auditi järeldusotsuseid, turvasertifikaate, enesehindamise tulemusi või muud asjakohast teavet. 4. Määruse lisa 2 punkt 2.4 seab kaugtöö vormis tehtavatele Arvestatud sisuliselt auditiprotseduuridele 30 protsendi ülempiiri. Pilvteenuste, SaaS- lahenduste, hajustaristu ja väliste teenusepakkujate puhul ei Lisa 2 punkt 2.4. sõnastatud järgmiselt: pruugi füüsiline kohalkäik alati anda parimat tõendusväärtust. 2.4. Auditi tegemine plaanitakse koostöös auditeeritava Mõnel juhul on kvaliteetsem tõendus kättesaadav hoopis turvalise kontaktisikuga, kes tagab vajalike andmete ja isikute kaugjuurdepääsu, ekraanijagamise, konfiguratsiooni läbivaatuse, kättesaadavuse auditi ajal. Põhjendatud juhtudel ja eelneval logianalüüsi või dokumenteeritud kontrolljälje kaudu. Meie kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel 7  Märkus Märkusega arvestamine hinnangul peaks auditi vorm lähtuma tõendusmaterjali piisavusest, juhul kajastatakse see fakt auditi lõpparuandes ja auditi mitte jäigast protsendipiirist. Seega teeme ettepaneku asendada järeldusotsuses koos kaugtöö vormis tehtud auditi käsitlusala 30 protsendi piir riskipõhise käsitlusega. kirjeldusega. Võimalik sõnastus: „Auditiprotseduure võib teha kaugtöö vormis, kui auditi eesmärk, käsitlusala, riskid ja tõendusmaterjali laad seda võimaldavad ning audiitor saab kujundada piisava ja asjakohase hinnangu. Füüsiline paikvaatlus tehakse ulatuses, mis on vajalik füüsiliste, keskkonna- ja tegevuskohapõhiste kontrollide hindamiseks. Pilvteenuste, hajustaristu ja väliste teenusepakkujate kontrollimisel võib kasutada kaugprotseduure, kui need annavad piisava tõendusväärtuse. Kaugtöö vormis tehtud auditiprotseduurid, nende põhjendus ja piirangud kajastatakse auditiaruandes.“. Lõpetuseks märgime, et on tervitatav, et eelnõuga lihtsustatakse Võetud teadmiseks nõudeid ning muudetakse neid erinevatele organisatsioonidele paremini rakendatavaks. Samas peame oluliseks, et Riigi Infosüsteemi Amet hoiaks ka edaspidi ajakohasena ja kättesaadavana E-ITS rakendamist toetavad juhendmaterjalid, sealhulgas etalonturbe kataloogi moodulites esitatud detailsema käsitluse, mis hõlmab turvameetmete kirjeldusi, tüüpilisi ohte ning soovituslikke lahendusi. Siseministeerium 14.07.2026 kiri nr 1-7/160-6 1. E-ITS lahti sidumine ISO standardist Antud selgitus Seletuskirjas rõhutatakse E-ITSi lihtsustamist ja nõuete arusaadavuse parandamist. Samas toob ISO standardist Eelnõukohase määruse koostamisel on arvesse võetud, et eemaldumine kaasa ühe rahvusvaheliselt tunnustatud organisatsioonidel säilib võimalus kasutada rahvusvahelist 8  Märkus Märkusega arvestamine võrdlusraamistiku kadumise. See võib praktikas muuta nõuete standardit ISO/IEC 27001 või Eesti standardit EVS-EN ISO/IEC tõlgendamise ja rakendamise keerukamaks, mitte lihtsamaks. 27001. Seetõttu ei ole mõistlik kehtestada samasisulist nõuet riigi Selgema arusaadavuse tagamiseks ning koostöö hõlbustamiseks poolt. E-ITSi kehtiva versiooni rakendamine on paljudele (sh rahvusvaheliste partnerite, audiitorite ja teenuseosutajatega) organisatsioonidele osutunud koormavaks, sealhulgas on tõstnud oleks otstarbekas lisada E-ITSi ja ISO/IEC 27001 põhimõtete esile küsimusi selle rakendamise kohta ja meetmete vaheline vastendamine või suunav juhendmaterjal. Samuti võib kohaldatavuse ning ulatuse kohta. Samuti on senine ISO vastavustabeli või juhendite puudumine kaasa tuua standardiga seotus loonud olukorra, kus nõuded aeguvad organisatsioonides dubleerivat tööd, näiteks: nõuete kiiremine kui neid suudetakse ajakohastada ning õigusloome tõlgendamisel, turvameetmete valikul ja rakendamisel, protsess on osutunud ka takistuseks ennetava vaate teenuslepingute tingimuste kujundamisel. rakendamisel. Eelnõukohase määrusega seatakse esile eesmärgid ja põhimõtted, mida tuleb võrgu- ja infosüsteemi turvalisuse tagamisel silmas pidada. Samas vähendatakse ettekirjutatud meetmete hulka. Meetmete õigusaktiga reguleerimisel tuleb silmas pidada, et KüTS subjekte on ligikaudu 3000. See tähendab, et meetme kavandamisel (sh uuendamisel) tuleb arvestada kõigu nende võrgu- ja infosüsteemide eripäradega, muutes sellega meetme väljatöötamise aeganõudvaks ja hetkel kui meede kehtestatakse võib see juba mõne subjekti osas osutada piiravaks või ebaproportsionaalseks jne. Samas ei ole ka rahvusvahelist standardi ISO/IEC 27001 rakendamine olnud ühtlane, ehk standardit ei ole rakendatud organisatsiooni põhiselt vaid osadele teenustele. Küberturvalisuse 2. direktiivi ülevõtmisega nähti ette organisatsioonipõhine turvameetmete rakendamine. Küll ei ole jätkuvalt mõistlik nõuda organisatsioonipõhiselt ühtselt kõrgemate meetmete rakendamist ja auditeerimist. Seetõttu on lubatud KüTS subjektide organisatsiooniüleselt rakendada võrgu- ja infosüsteemide kaitseks erineval tasemel meetmeid, kuid kõik KüTS subjektid peavad turvameetmete rakendamisel alustama esmaste turvameetmete rakendamisest, millele vajadusel järgneb 9  Märkus Märkusega arvestamine osutatavtest teenustest tulenevate nõuete rakendamine. Arvestades ülaltoodut, ei ole üldine vastendamine asjakohane. Eelnõukohases määruses nähakse ette Riigi Infosüsteemi Ameti õigus avaldada veebilehel E-ITS rakendamist toetavaid juhiseid ja rakendusi. Selliste juhiste ja rakenduste kaasabil toimib ka nõuete rakendamise ühtlustumine ja ajakohane rakendamine. 2. Ohupilt ja dünaamiline küberturvalisuse keskkond Antud selgitus Tänapäevase kiiresti muutuva ohupildi kontekstis võiks standard käsitleda senisest selgemalt dünaamilist ohuteavet ja selle Nõustume, et organisatsioonide vaheline koostöö ja asjaomaste kasutamist. See hõlmab eelkõige: institutsioonide avaldatud teabe kasutamine küberturbe a. CERT-EE hoiatuste ja ohuhinnangute süsteemsemat korraldamisel on mõistlik ning ka ressursse kokkuhoidev. Samas kasutamist, jääme seisukohale, et puudub vajadus eelnõukohases määruses b. tarkvara ja teenuste tarneahela küberturvalisuse riske sellise tegevuse sätestamiseks. Organisatsioonil ja selle (sealhulgas arvestades, et sertifikaadid üksi ei pruugi olla juhtkonnal on õigus leida neile sobiv lahend, arvestades eelnõus piisavad), sätestatut. c. pilveteenustega seotud spetsiifilisi riske, d. tehisintellekti kasutamisega kaasnevaid riske ja muutusi Riigi Infosüsteemi Amet teostab KüTS nõuete täitmise üle riiklikku- küberkeskkonnas. ja haldusjärelevalvet. Korrakaitseorgani üks ülesandeid on ka ohu Kuigi eelnõu on tehnoloogianeutraalne, on tehisintellekti mõju ennetamine, mis hõlmab ka teavitustegevust ja ohuhinnangute küberdomeenis juba märkimisväärne ning selle käsitlemine andmist. Riigi Infosüsteemi Ameti põhimääruse kohaselt kuulub vähemalt põhimõttelisel tasemel suurendaks regulatsiooni põhisülesannete hulka ka koolitamis- ja nõustamistegevus, ajakohasust. Samuti võiks tugevamalt rõhutada organisatsioonide ennetustöö ja avalikkuse ohtudest teavitamise korraldamine. vahelise koostöö rolli, sealhulgas koostööd CERT-EE-ga. 3. Auditeerimise tsükkel Antud selgitus Kehtivas määruses on kasutusel mõiste „audititsükkel“. Uues määruse eelnõus ei ole seda mõistet otseselt sätestatud ega E-ITSi auditeerimise ajatsükkel on kindlaks määratud Vabariigi piisavalt selgitatud. Kuigi seletuskirjas on auditeerimise loogika Valitsuse 9.12.2022. a määruse nr 121 „Võrgu- ja infosüsteemide osaliselt esitatud skeemina, ei ole kolmeaastane tsükkel küberturvalisuse nõuded“ § 4 lõigetes 1 (üldreeglina kolm aastat) normatiivsel tasandil üheselt arusaadav. Selline ebamäärasus võib ja 11 (elutähtsa teenuse osutajate puhul peab esmakordselt 10  Märkus Märkusega arvestamine praktikas kaasa tuua erinevaid tõlgendusi. Ettepanek on sätestada tegema hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud audititsükkel selges ja üheselt mõistetavas vormis kas määruses korras määratud tähtaja jooksul). või auditeerimiseeskirjas. 4. Eelnõus nimetatud rollid Arvestatud Eelnõu § 3 lõige 2 sätestab, et infoturbe halduse süsteemi toimimiseks tuleb määrata sealsamas punktides 1-4 nimetatud Rollid asendatud tegevustega, mida on vaja arvestada infoturbe rollid, milleks on „hankejuht“, „infoturbejuht“, „kasutaja“ ja halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse „äriüksuse juht“. Rollidega külgnevalt on eelnõu seletuskirja lk 6 hõlmab organisatsiooni kui ka organisatsioonile usaldatud kolmandas ja neljandas lõigus selgitatud, et „Roll ei tähenda, et andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab seda peab täitma sama ametinimetusega töötaja, vaid tegemist on ka isikuandmete kaitset organisatsiooni poolt, kes neid töötleb. tegevustega, millega organisatsioon peab arvestama.“ ning „Hankejuhi all ei mõisteta eelnõus ostujuhti või riigihanke eest vastutajat. Hankejuhi ülesanne on kontrollida, kas turvameetmed on planeeritud kogu elutsüklis (nii teenuste kui ka varade puhul), enne kui mõni uus teenus kasutusele võetakse või võrgu- ja infosüsteemi turvalisuse tagamisega seotud tegevusi tehakse. Näiteks peab ta välja selgitama vajaduse tulekustutussüsteemi järele serveriruumis, nii et õnnetuse korral ei oleks tagatud mitte ainult tuleohutus, vaid ka teabe säilimine. Hankejuhi rollis ei pea olema üks töötaja, vaid seda rolli võib täita mitu töötajat.“. SIM nõustub seletuskirjas toodud käsitlusega, et eelnõus nimetatud roll ei peaks tähendama, et seda peab täitma sama ametinimetusega töötaja. SIM mõistab eelnõuga taotletavat eesmärki selliselt, et infoturbe süsteemi toimimise tagamiseks on eeskätt tähtis, et organisatsioon on siseselt läbi mõelnud ja paika pannud, kes antud organisatsioonis täidab rollide juures kirjeldatud tegevusi. Hetkel see eelnõu tekstist selliselt välja ei tule vaid üksnes seletuskirjast. Ühtlasi leiame, et eelnõu § 3 lõike 2 punktis 1 kirjeldatud tegevuste eest vastutavale rollile antud nimetus „hankejuht“ on rollile määratud tegevusi silmas pidades eksitav. 11  Märkus Märkusega arvestamine Kuigi seletuskirjas on toodud, et eelnõus ei mõisteta rolli „hankejuht“ all ostujuhti või riigihanke eest vastutajat, siis märgime, et tavapäraselt seostub avalikus sektoris sõnaga „hankejuht“ just riigihangete valdkonna töötaja ehk riigihanke menetluste läbiviija. Ülaltoodust lähtuvalt palume üle vaadata, kas piisab kui eelnõus jätta välja rollide nimetused ja sätestada organisatsioonile üksnes kohustus siseselt määrata, kes täidab eelnõu § 3 lõike 2 punktides 1-4 toodud tegevusi. Või alternatiivselt, üle vaadata eelnõus kasutatud rollide nimetused ning seejuures tagada, et ka eelnõust endast tuleb välja, et roll ei tähenda, et seda peab täitma sama ametinimetusega töötaja. 5. Isikuandmete kaitse käsitluse täpsustamine Arvestatud sisuliselt Eelnõu lisas 1 on eraldi protsessimoodulina ette nähtud GRC.4 „Isikuandmete kaitse“, kuid määruse normatiivses osas ei ole Seletuskirjas selgitatud andmekaitse alast tegevust. selgitatud, kuidas see moodul suhestub infoturbe halduse süsteemiga ning isikuandmete kaitset reguleerivatest õigusaktidest tulenevate kohustustega. Erinevate tõlgenduste vältimiseks võiks seletuskirjas või juhendmaterjalis selgitada, et GRC.4 eesmärk ei ole luua organisatsioonis eraldiseisvat andmekaitse juhtimissüsteemi, vaid toetada Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 (IKÜM) tulenevate kohustuste täitmist tehniliste ja korralduslike meetmete rakendamisel ning andmekaitse lõimimisel organisatsiooni üldisesse riskijuhtimisse. Riskihaldus ja andmekaitsealane mõjuhinnang Antud selgitus Eelnõus käsitletakse infoturberiskide hindamist, kuid ei selgitata selle seost IKÜM artikli 35 kohase andmekaitsealase Eelnõukohases määruses ei nähta ette, et andmekaitse on vaid mõjuhinnanguga. Seletuskirjas võiks selgitada infoturberiskide isikuandmete kaitse. Igal organisatsioonil on andmeid (teavet), hindamise ja andmekaitsealase mõjuhinnangu omavahelist seost. mis vajab kaitsmist juba organisatsiooni oma eesmärkide 12  Märkus Märkusega arvestamine Praktikas viiakse mõlemad hinnangud sageli läbi sama projekti või kaitsmiseks. Näiteks ärisaladus, asutusesiseseks kasutamiseks infosüsteemi arendamise käigus. Juhised nende omavaheliseks mõeldud teave või mistahes muu teave, mille kolmandatele sidumiseks aitaksid vältida dubleerimist ning toetaksid terviklikku isikutele kättesaadavaks tegemine võib kahjustada riskijuhtimist. Samal ajal võiks selgitada ka nende hinnangute organisatsiooni või tema kõrgemal seisva institutsiooni huve. erinevat eesmärki ja fookust, et oleks arusaadav, millised riskid ja Muidugi tuleb mõelda kuidas kaitsta organisatsioonile teiste asjaolud kuuluvad infoturbe riskihindamise ning millised isikute poolt usaldatud teavet või muud õiguspäraselt kogutud andmekaitsealase mõjuhinnangu käsitlusalasse. teavet, sh isikuandmeid. Seega andmekaitse on eelnõukohases määruses laiem kui vaid isikuandmete kaitse. Küll ei ole keelatud mõne muu õigusliku kohustuse raames tehtud hinnangut taaskasutada organisatsiooni riskihindamises. 7. Muud täpsustavad kommentaarid Võetud teadmiseks Määruse seletuskirja lk 6 alguses olev lõik „Võrreldes E-ITSi kehtiva versiooniga on loobutud erinevatest skaaladest (nt kõrge, keskmine, madal), sest normiga ei ole võimalik piiritleda kõikvõimalikke olukordi ja lahendusi, mis võivad organisatsioonides esineda. Organisatsioonil võib olla erinevaid kohustusi, need võivad tuleneda erinevatest õigusaktidest. Neist mõnes on võib olla juba kirjeldatud ka riskihalduse nõudeid, mistõttu ei ole mõistlik E-ITSiga neid nõudeid sätestada. Seega jäetakse edaspidi organisatsiooni enda otsustada, kuidas riske hinnata ja millist skaalat kasutada“ on segane ja mitmeti mõistetav, kuna ei saa üheselt aru kas see lõik käib ainult riskihindamise kohta või ka kaitsetarbe hindamise kohta? Kui ainult riskide kohta, siis kuidas siduda kaitsetarbe hindamine asutuse enda rakendatud riskikäsitlusega? Kuidas hinnata kaitsetarbe mõju riskikäsitluses. Lisanduvas juhendis võiks olla need lahti seletatud koos soovitusliku riskikäsitlusega. Määruse väljasttellimise ja nõuetega on küsimus, kuidas lähtuda Antud selgitus E-ITSi meetmest „OPS.2.1.M7.a Infoturbe meetmete rakendatust 13  Märkus Märkusega arvestamine tõendab teenuseandja välise audiitori poolt väljastatud E-ITS auditi Märkus edastatud Riigi Infosüsteemi Ametile veebilehel oleva järeldusotsusega või akrediteeritud“ kui E-ITS ei põhine enam ISO teabe ülevaatamiseks. Eelnõukohase määruse lisa 1 OPS 2.1. vastavusel. Kuidas sellest punktist lähtuda, et partneri asutuses Väljasttellimine üldiselt kohaselt peab organisatsioon esitama olevast ISO-st piisab. Kuidas on tagatud tellija E-ITS-ist lähtuvate meetmed väljasttellitava teenuse turvaeesmärkide saavutamise nõuete katmine, kui teenuseandja lähtub oma asutuses ISO tagamiseks kogu allhanke kestel. Ehk organisatsioon peab olema rakendamisel enda asutuse vajadustest ja teenuslepetes ei eelnevalt läbimõelnud, millist teavet ta allhankijalt vajab ning reguleerita seetõttu piisavalt täpselt tellija nõudeid. kuidas ta reageerib allhankest tulenevatele riskidele. Näiteks kui avalikus sektoris tegutsev organisatsioon on riigihankes sätestanud, et pakkuja peab teenuse pakkumisel ja kogu teenuse Praktikas võib tekkida olukord, kus teenuseandja rakendab ISO kasutamise perioodil omama teenuse osas rahvusvahelist standardit oma organisatsiooni vajadustest lähtudes, kuid standardi ISO/IEC 27001 või Eesti standardi EVS-EN ISO/IEC teenuslepingutes ei ole tellija spetsiifilised E-ITSi nõuded piisava 27001 sertifikaati, siis sertifikaadi olemasolu saab juba lugeda täpsusega sätestatud. Ettepanek on täpsustada kuidas peab tellija üheks meetmeks. tagama E-ITS-i nõuete katvuse (all)hanke- ja lepingulistes suhetes. Sotsiaalministeerium 26.06.2026 kiri nr 1.2-3/1355-6 1. Meetmete struktuuri muutus ja mõju auditeerimistsüklile Arvestatud osaliselt Eelnõuga muudetakse senise E-ITSi meetmete struktuuri olulisel määral. Kuigi toetame eesmärki muuta standard paindlikumaks ja Riigi Infosüsteemi Amet avaldab E-ITS rakendamist toetavad riskipõhisemaks, võib muudatus praktikas tähendada, et raames juhendmaterjalid oma veebilehel. olemasolevaid rakendusplaane, vastendusi ja auditeerimise ettevalmistusi ei ole võimalik uue mudeliga üks-ühele seostada. § 12 (end 13) tekst sõnastatud järgmiselt: Seetõttu võib paljudel organisatsioonidel tekkida vajadus teha (1) Enne käesoleva määruse jõustumist Eesti infoturbestandardi järgimiseks rakendatud turvameetmed, mis ei ole vastuolus järgmise auditi eel sisuliselt uuesti kogu vastendamise ja määrusega, kehtivad kuni nende rakendamise lõppemiseni või infoturvameetmete rakendamise plaani koostamise töö. ajakohastamiseni. Palume kaaluda vana ja uue meetmestruktuuri ametliku (2) Enne käesoleva määruse jõustumist Eesti infoturbestandardi vastavustabeli koostamist, pikema üleminekuperioodi sätestamist järgimiseks koostatud dokumentatsioon kehtib kuni kolm aastat ning võimalust lugeda olemasolevad vastendused ja põhjendused määruse jõustumisest. 14  Märkus Märkusega arvestamine teatud ulatuses ülekantuks. See aitaks vältida (3) Lõikes 2 sätestatud dokumentatsiooni uuendamisel määruses ebaproportsionaalset topelttööd ning suunaks organisatsioonide sätestatud korras enne lõikes 2 sätestatud tähtaja möödumist ressursi tegeliku infoturbe parandamisele. kehtib dokumentatsioon ettenähtud korra kohaselt. Justiits- ja Digiministeerium arvestab Vabariigi Valitsuse poolt kehtestatud audititsüklit seetõttu ei toeta ülemineku aja muutmist. 2. Auditeerimise üleminekusätete täpsustamine Antud selgitus Eelnõu üleminekusätted näevad ette üleminekuperioodi olemasolevate dokumentide kasutamiseks, kuid eelnõust ei selgu Võrgu- ja infosüsteemide auditeerimise kohustus, sh tähtaeg piisavalt, kuidas viiakse üleminekuajal läbi auditeid. Praktikas on tuleneb Vabariigi Valitsuse 9.12.2022. a määruse nr 121 „Võrgu- oluline, et nii organisatsioonidele kui ka audiitoritele oleks selge, ja infosüsteemide küberturvalisuse nõuded“§ 3 lõikes 1. Selle millises ulatuses võib tugineda kehtiva E-ITSi alusel koostatud kohaselt tuleb auditeerida iga kolme aasta järel. Seega nt aastal dokumentatsioonile, millal muutub uue struktuuri täielik 2025 tehtud auditi korral ei ole vaja eelnõu kohase määruse jõustumisel teha uut auditit enne 2028. aastat. rakendamine auditi eelduseks ning kuidas välditakse olukorda, kus organisatsioonid peavad samaaegselt haldama nii vana kui ka uut raamistikku. Palume täiendada eelnõu või auditeerimisega seotud juhiseid selliselt, et üleminekuajal kohaldatavad nõuded oleksid üheselt arusaadavad nii rakendajatele kui ka audiitoritele. 3. Dokumenteerimiskohustuste proportsionaalsus Võetud teadmiseks Toetame eelnõu eesmärki vähendada bürokraatiat ja suurendada organisatsioonide paindlikkust. Samas võivad § 3 lõikes 3 Eelnõu koostajate hinnangul ei kaasne eelnõukohase määruse sätestatud dokumenteerimis- ja säilitamisnõuded mõnes osas jõustumisel uut bürokraatiat ja dokumenteerimise kohustust tekitada täiendavat halduskoormust ilma selge lisandväärtuseta. Eelkõige vajab täiendavat põhjendamist infoturvasündmustele organisatsiooni reaktsiooni säilitamise kohustus ning infoturvameetmete rakendamise plaani säilitamise kohustus ulatuses, milles see ei ole vajalik juhtimise, tõendamise või õigusliku vastutuse seisukohast. 15  Märkus Märkusega arvestamine Leiame, et säilitada tuleks eelkõige sellist teavet, millel on selge juhtimis-, tõendamis- või õiguslik väärtus. Vastasel juhul võib dokumenteerimiskohustus kujuneda sisuliselt auditi tarbeks loodavaks lisakoormuseks, mis ei pruugi parandada organisatsiooni tegelikku infoturvet. 4. Mõiste „äriprotsess“ sobivus avalikus sektoris Antud selgitus Eelnõu keskne mõiste on „äriprotsess“. Avalikus sektoris on aga laialdaselt kasutusel teenusepõhine juhtimis- ja Sõna „äriprotsess“ on lisaks infotehnoloogia valdkonnale eelarvestamisloogika. Tegevuspõhise riigieelarve metoodika kasutusel ka planeerimisel eelarvestamisel, kvaliteedijuhtimise, kohaselt on asutused kaardistanud teenused, sidunud kulud personalitöö jne valdkonnas. Äriprotsessi sisu hõlmab rohkemalt teenustega ning loonud teenuste loetelud ja teenuskaardid. Kui E- kui selle kõnekeelne tähendus. Äriprotsess ei ole ettevõtlus ITS nõuab lisaks eraldi „äriprotsesside“ kaardistamist ja äriseadustiku tähenduses. Äriprotsess on organisatsiooni (st nii ettevõtjate kui ka riigi või kohaliku omavalitsuse asutuste) kaitsetarbe määramist, võib see tekitada paralleelse kirjeldus- ja põhitegevuste või eesmärkide saavutamiseks vajalike tegevuste juhtimiskihi, mis on ressursimahukas, dubleeriv ning võib auditis kogum, mille käigus kasutatakse aega, raha, töövahendeid ning põhjustada tõlgendusriski. inimeste tööpanust teenuse, toote või muu väärtust loova Palume kaaluda eelnõus ja lisades mõiste „äriprotsess“ tulemuse pakkumiseks. Avalik sektor pakub avalikku teenust ja asendamist mõistega „teenus või protsess“ või „teenuse osutamise igal asutusel on oma erinev eesmärk, mille osutamiseks ta on protsess“. Avaliku sektori asutuse puhul peaks olema selgelt loodud. lubatud tugineda olemasolevale teenuste loetelule, teenuskaartidele ja nendega seotud varadele. Sama muudatus tuleks teha läbivalt ka lisades, sealhulgas nendes kohtades, kus räägitakse näiteks pilvteenuse, X-tee turvaserveri või mobiilirakenduse seotusest äriprotsessiga. 5. Kaitsetarbe mõiste ja skaala täpsustamine Antud selgitus Kaitsetarve on E-ITSi rakendamise ja auditeerimise keskne mõiste, kuid eelnõu terminite hulgas seda ei defineerita. Samas Infoturbe halduse süsteemi toimimist korraldab organisatsiooni sõltuvad kaitsetarbest meetmete valik, prioriteedid, tähtajad, juhatus, mis määrab ka kaitsetarbe, sh organisatsioonis tarneahela nõuded ja auditi valim. Kui kaitsetarbe mõiste ja skaala 16  Märkus Märkusega arvestamine ei ole piisavalt ühesed, suureneb rakendajate ja audiitorite rakendatavad tasemed. Keskne skaala ei ole otstarbekas, tõlgenduserinevus. arvestades KüTS subjektide arvu. Palume lisada eelnõu § 2 terminite hulka „kaitsetarve“ ning täpsustada kaitsetarbe määramise skaala või miinimumnõuded skaalale. Võimalik definitsioon oleks järgmine: kaitsetarve on teenuse, protsessi, teabe, andmete või vara kaitsevajadus, mis tuleneb konfidentsiaalsuse, tervikluse või käideldavuse rikkumise võimalikust mõjust organisatsiooni ülesannete täitmisele, teenuse osutamisele, isikute õigustele või avalikule huvile. Kui kaitsetarbe skaala jäetakse organisatsiooni otsustada, peaks riskihalduse metoodikas olema kohustuslikult kirjeldatud vähemalt kaitsetarbe määramise skaala, kriteeriumid, otsustaja ja dokumenteerimise viis. Lisaks palume täpsustada eelnõus äriprotsessile või teenusele määratava kaitsetarbe ning Vabariigi Valitsuse 9. detsembri 2022. a määruses nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ andmekogudele määratava turvaklassi omavahelist seost. Praegune paralleelne käsitlus võib rakendajates tekitada segadust, kuna eri asutused käsitlevad turvaklassi ja kaitsetarbe määramist oma infoturbeprotsessides erinevalt. Palume kaaluda, kas määruse tasandil tuleks turvaklass ja kaitsetarve omavahel võrdsustada või sätestada selgelt, et andmekogudele tuleb määrata eraldi kaitsetarve sõltumata teenuse või protsessi kaitsetarbest. Samuti tuleks hinnata, kas sellisel juhul on põhjendatud senise turvaklassi määramise kohustuse säilitamine või tuleks regulatsiooni vastavalt muuta. Peame oluliseks, et andmekogude kaitsetarve või turvaklass oleks määratud eraldi, et vältida olukorda, kus andmekogule rakendatakse automaatselt sama kaitsetarvet, mis on määratud teenusele või protsessile, mille varade hulka andmekogu kuulub. 17  Märkus Märkusega arvestamine 6. Riskihalduse regulatsiooni selgus ja auditeeritavus Antud selgitus Riskide hindamine on organisatsiooni juhtimise tööriist ning vastutus riskide juhtimise eest jääb organisatsioonile sõltumata Juhtkond kehtestab ise organisatsioonisisese metoodika. Kuna kasutatavast metoodikast. Seetõttu peaks riskihalduse KüTS subjekte on ligikaudu 3100, ei ole mõistliku aja jooksul regulatsioon jääma piisavalt põhimõtteliseks ega tohiks liigselt ette võrdlevat ja samas ajakohast skaalat võimallik koostada. kirjutada organisatsiooni sisemist töökorraldust. Samas peab riskihaldusmetoodika olema auditeeritav, korratav ja võrreldav. Praegune sõnastus ei pruugi anda piisavat selgust, millised miinimumelemendid peavad metoodikas olema, kes on riskiomanik, kes hindab riski ja kes võib riski aktsepteerida. See võib põhjustada olukorra, kus metoodika on formaalselt olemas, kuid auditis ei ole võimalik järjepidevalt hinnata riskide käsitlemise piisavust. Palume kaaluda § 6 täpsustamist selliselt, et õigusaktis oleks sätestatud üksnes vajalikud miinimumnõuded. Metoodika peaks sisaldama vähemalt riskikriteeriume, mõju ja tõenäosuse hindamise loogikat või muud põhjendatud hindamisviisi, riskitaluvuse piire, kaitsetarbe määramise seost riskihaldusega, riskiomaniku määramist ning riski aktsepteerimise otsustustaset. Täpsemad metoodilised ja korralduslikud juhised võiksid jääda juhendmaterjalidesse. 7. Riskide aktsepteerimise võimalus sisehindamise ja auditi Arvestatud kontekstis Eelnõu § 10 lõike 3 kohaselt tuleb sisehindamise käigus tuvastatud Paragrahvi 9 (end § 10) lõige 3 sõnastatud järgmiselt: puudused kõrvaldada auditeerimise alguseks. Samas on (3) Lõikes 1 nimetatud hindamise käigus tuvastatud puudused seletuskirjas nõuet selgitatud paindlikumalt, märkides, et puuduste tuleb kõrvaldada ja infoturvameetmete rakendamata jätmisest kõrvaldamise või parandusmeetmete rakendamise hulka võib tulenevad riskid aktsepteerida auditeerimise alguseks. Vaata ka Kliimaministeeriumi märkust nr 2. 18  Märkus Märkusega arvestamine kuuluda ka riskide põhjendatud aktsepteerimine. Sellest tulenevalt võib eelnõu sätte ja seletuskirja vahel tekkida sisuline ebaselgus. Õigusselguse tagamiseks palume täpsustada eelnõu ja auditeerimiseeskirja selliselt, et riskide põhjendatud aktsepteerimise võimalus kajastuks sõnaselgelt ka õigusakti tekstis. Kui organisatsioon on puudusega seotud riski hinnanud, põhjendanud, juhtkonna tasandil aktsepteerinud ning vajaduse korral näinud ette leevendavad või kompenseerivad meetmed, ei peaks sellist olukorda käsitama samamoodi nagu kõrvaldamata ja käsitlemata puudust. Võimalik sõnastus oleks järgmine: „Hindamise käigus tuvastatud puudused tuleb auditeerimise alguseks kõrvaldada või nende kohta peab olema dokumenteeritud riskikäsitluse otsus, sealhulgas põhjendatud jääkriski aktsepteerimine, kompenseeriv meede või kinnitatud tegevuskava.“ 8. Rollide paindlikum ja avalikule sektorile sobiv käsitlemine Arvestatud sisuliselt Palume kaaluda § 3 lõikes 2 nimetatud rollide käsitlemist pigem täidetavate funktsioonidena, mitte eraldiseisvate ametikohtadena. Rollid asendatud tegevustega, mida on vaja arvestada infoturbe Väiksemates organisatsioonides täidab üks inimene sageli mitut halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse funktsiooni ning rollide formaalne nimetamine ei pruugi anda hõlmab organisatsiooni kui ka organisatsioonile usaldatud täiendavat turbeväärtust. Oluline on, et vastutus oleks selgelt andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab määratud ja ülesanded täidetud. ka isikuandmete kaitset organisatsiooni poolt, kes neid töötleb. Eraldi palume kaaluda mõiste „äriüksuse juht“ asendamist avaliku sektori konteksti paremini sobiva mõistega. Riigiasutustes, hallatavates asutustes ja kohaliku omavalitsuse üksustes kasutatakse pigem mõisteid „asutuse juht“, „struktuuriüksuse juht“, „teenuse omanik“, „protsessi omanik“ või „vastutusala juht“. Kaitsetarbe määramisel peab olema selge, kes sisuliselt vastutab teenuse, protsessi, vara ja andmete kirjelduse õigsuse eest. 19  Märkus Märkusega arvestamine Võimalik sõnastus oleks järgmine: „teenuse omanik või struktuuriüksuse juht – korraldab tema vastutusalas oleva teenuse või protsessi ja vara kaardistuse, kaitsetarbe määramise ning vajalike meetmete rakendamise regulaarse seire.“ Eelnõu § 3 lõikes 2 konkreetsete rollide määratlemine võib tekitada segadust ka seetõttu, et organisatsioonides on sarnaste ülesannetega rollid juba määratletud organisatsiooni struktuurist ja töökorraldusest lähtudes. Selguse huvides võiks rollide asemel reguleerida vajalikke tegevusi ja vastutusi, jättes organisatsioonile võimaluse otsustada, millise ametikoha või struktuuriüksuse kaudu neid ülesandeid täidetakse. Eraldi palume kaaluda mõiste „äriüksuse juht“ asendamist avaliku sektori konteksti paremini sobiva mõistega. Riigiasutustes, hallatavates asutustes ja kohaliku omavalitsuse üksustes kasutatakse pigem mõisteid „asutuse juht“, „struktuuriüksuse juht“, „teenuse omanik“, „protsessi omanik“ või „vastutusala juht“. Kaitsetarbe määramisel peab olema selge, kes sisuliselt vastutab teenuse, protsessi, vara ja andmete kirjelduse õigsuse eest. Võimalik sõnastus oleks järgmine: „teenuse omanik või struktuuriüksuse juht – korraldab tema vastutusalas oleva teenuse või protsessi ja vara kaardistuse, kaitsetarbe määramise ning vajalike meetmete rakendamise regulaarse seire.“ 9. Rollide ja vastutuse auditeeritavus Antud selgitus Eelnõus on nimetatud üksnes piiratud arv rolle, kuid puudub selge vastutuse jaotus selle kohta, kes kirjeldab teenuse või protsessi, Infoturbe toimimist korraldab juhatus, kellel on õigus kehtestada kes määrab kaitsetarbe, kes kinnitab kaitsetarbe, kes nõustab organisatsioonisisene metoodika või volitada edasi metoodika infoturbe vaatest, kes rakendab tehnilised meetmed, kes kehtestamine ja võrreldavuse tagamine. aktsepteerib riski ja kes peab olema teavitatud. Auditis peab neid vastutusi olema võimalik tõendada. 20  Märkus Märkusega arvestamine Palume lisada seletuskirja või rakendusjuhisesse minimaalne vastutusmudel, näiteks RACI-põhine mudel. E-ITSi puhul võiks miinimumnõue olla, et organisatsioonil on kaitsetarbe määramise, riskide aktsepteerimise ja infoturvameetmete rakendamise plaani täitmise kohta rollide ja vastutuste jaotus taasesitatavas vormis olemas. Samuti palume selgitada, kas senises E-ITS-is kasutatud rollid jäävad rakendamisel kehtima juhendmaterjali või rakenduspraktika tasandil või on need teadlikult infoturbe halduse süsteemi rollimudelist välja jäetud. Kui need rollid jäetakse määrusest välja, tuleks seletuskirjas või rakendusjuhises esitada vastavustabel seniste ja uute rollide vahel. Eriti vajab täpsustamist IT talituse, IT-juhi või IT-teenuse vastutaja roll, sest praktikas on see tehniliste meetmete rakendamise, IT- varade halduse, muudatuste, seire, logihalduse, varunduse ja tehniliste intsidentide lahendamise võtmeroll. 10. Tarneahela nõuete proportsionaalsus Arvestatud Toetame tarneahela riskide käsitlemise tugevdamist. Samas palume täpsustada, et väliselt osapoolelt nõutavad tõendid ja Seletuskirja täiendatud. kinnitused peavad olema riskipõhised ja proportsionaalsed. Vastasel juhul võib tekkida olukord, kus väiksemate või standardsete teenuste puhul kujuneb tarnijate hindamise halduskoormus ebamõistlikult suureks võrreldes tegeliku riskiga. Palume täiendada eelnõu või seletuskirja selliselt, et tarneahela hindamisel lähtutakse teenuse olulisusest, töödeldavate andmete olemusest, sõltuvuse ulatusest ning võimalikust mõjust organisatsiooni teenustele ja protsessidele. 11. Sisehindaja erapooletus ja hindamise mõiste Antud selgitus 21  Märkus Märkusega arvestamine Seletuskirjas on rõhutatud, et sisehindaja peaks olema erapooletu ega tohiks olla hinnatavate turvameetmete vahetu rakendaja. Seletuskirja täiendatud ettepanekust lähtuvalt. Eelnõu § 10 tekstis seda põhimõtet sõnaselgelt ei sisaldu. Säte, et organisatsioonisisest hindamist võib teha ka Sisehindamise usaldusväärsuse tagamiseks palume lisada organisatsiooni väline isik on lisatud tagasisidest lähtuvalt. Nimelt eelnõusse nõue, et hindamine peab olema korraldatud objektiivselt ei pruugi väiksematel organisatsioonidel olla siseaudiitori või ning võimaluse korral viisil, mis väldib huvide konflikti. muud ametikohta, mis täidaks hindaja rolli. Seetõttu lisati säte, et Lisaks märgime, et mõiste „organisatsioonisisene hindamine“ võib seda tööd võib teha ka personali mitte kuuluv isik. Välise isiku kaasamine ei muuda tegevust olemuslikult organisatsiooni olla ebatäpne, kuna eelnõu järgi võib hindamist teha ka väliseks hindamiseks, sest isik lähtub töös etteantud nõuetest. Nii organisatsiooniväline isik. Palume kaaluda mõiste „organisatsiooni näiteks kui organisatsioon peab tagama töötajale asjakohased korraldatav hindamine“ kasutamist või täpsustada, et hindamise töötingimused, siis remonditeenuse sisse ostmine ei muuda seda korraldab organisatsioon, kuid selle võib läbi viia sõltumatu kellegi teise kohustuseks. sisemine või väline hindaja. 12. Audiitorettevõtte rotatsiooninõue Võetud teadmiseks Auditeerimiseeskirjas kavandatud piirang, mille kohaselt ei või sama audiitorettevõte teha sama asutuse auditit üle kahe korra järjest, võib Eesti piiratud IT-auditi turul takistada kvalifitseeritud pakkujate leidmist ja hangete läbiviimist. Eriti võib see mõjutada suuremaid või keerukamaid organisatsioone, kelle auditeerimine eeldab spetsiifilist valdkondlikku teadmist ja varasemat kogemust. Palume kaaluda rotatsiooninõude kehtestamist audiitorettevõtte asemel juhtivaudiitorile. Alternatiivina võiks kaaluda audiitorettevõtte rotatsiooniperioodi pikendamist või erandi sätestamist olukordadeks, kus turul puudub piisav arv kvalifitseeritud pakkujaid. 13. Kõrge tasemega riskide kõrvaldamise tähtaeg Arvestatud sisuliselt Auditeerimiseeskirja kohaselt tuleb kõrge tasemega riskid kõrvaldada kuue kuu jooksul alates auditi lõpparuande saamisest. Paragrahvi 9 (end § 10) lõike 3 sõnastust muudetud järgmiselt: Praktikas võib see tähtaeg osutuda ebapiisavaks juhtudel, kus 22  Märkus Märkusega arvestamine puuduse kõrvaldamine eeldab näiteks uue tarkvaralahenduse (3) Lõikes 1 nimetatud hindamise käigus tuvastatud puudused hankimist, infosüsteemi ümberarendamist, arhitektuurimuudatusi tuleb kõrvaldada ja infoturvameetmete rakendamata jätmisest või muid ajamahukaid tegevusi. tulenevad riskid aktsepteerida auditeerimise alguseks. Palume muuta nõuet paindlikumaks ning lisada võimalus, et objektiivsete takistuste korral võib kuuekuulise kõrvaldamiskohustuse asemel koostada juhtkonna kinnitatud riskide leevendamise tegevuskava. Tegevuskava peaks sisaldama realistlikke tähtaegu, ajutisi kompenseerivaid meetmeid ning vastutajaid. Selline lahendus võimaldaks kõrge tasemega riske sisuliselt juhtida ka olukorras, kus nende täielik kõrvaldamine ei ole kuue kuu jooksul objektiivselt võimalik. 14. Terminoloogia ja sõnastuse ühtlustamine Eelnõule on koostöös valdkonna spetsialistidega tehtud Palume eelnõus ja lisades terminoloogiat ühtlustada. Eelnõus keeletoimetus. Eelnõu läbib keeletoimetuse ka enne selle kasutatakse läbivalt nii „infoturbe“ kui ka „infoturva-“ vorme, näiteks allkirjastamist määrusena. „infoturbe halduse süsteem“, „infoturbekataloog“, „infoturvameetmed“, „infoturvasündmus“, „infoturvapoliitika“, „infoturvaoht“ ja „infoturvaintsident“. Rakendaja jaoks ei pruugi olla selge, kas vormidel on sisuline tähenduserinevus või on tegemist üksnes keelelise liitsõnamoodustusega. Palume terminikasutus ühtlustada või lisada seletuskirja terminoloogiline märkus, et sisulist tähenduserinevust ei ole. Samuti palume kaaluda mõiste „organisatsiooni juhatus“ asendamist mõistega „organisatsiooni juhtorgan või asutuse juht“, kuna avaliku sektori asutustes ei pruugi „juhatus“ olla korrektne ega üheselt mõistetav mõiste. Mõiste „hankejuht“ võib avalikus sektoris seostuda eelkõige riigihanke või ostumenetlusega. Kuna seletuskirja järgi ei mõisteta selle all üksnes ostujuhti või riigihanke eest vastutajat, palume kaaluda täpsemat rollinimetust, näiteks „vara või teenuse 23  Märkus Märkusega arvestamine kasutuselevõtu eest vastutav isik“ või „soetuse ja kasutuselevõtu turvanõuete eest vastutav roll“. Auditeerimiseeskirjas kasutatud mõiste „teenuseandja“ võib minna segi KüTS-i tähenduses teenuseosutaja või organisatsiooni mõistega. Kui mõeldakse välist IT-teenuse osutajat, pilvteenuse tarnijat või tarneahela osalist, palume kasutada läbivalt mõistet „väline teenuseosutaja“ või „tarneahela osaline“ ning eristada see selgelt KüTS-i tähenduses teenuseosutajast. Lisaks palume ühtlustada eelnõu ja seletuskiri autentsuse käsitlemise osas. Eelnõu § 6 nimetab konfidentsiaalsust, terviklust ja käideldavust, kuid seletuskirjas on samas kontekstis lisatud ka autentsus. Kui autentsus peab olema kohustuslik hindamiskriteerium, tuleks see lisada normiteksti. Kui kohustuslikuks jäävad konfidentsiaalsus, terviklus ja käideldavus, võiks autentsust käsitleda seletuskirjas näitliku lisakriteeriumina. Kokkuvõttes toetame Eesti infoturbestandardi uuendamise eesmärki, kuid peame oluliseks, et eelnõu rakendamine ei tooks kaasa ebaproportsionaalset üleminekukoormust ega liigset formaalset dokumenteerimist. Palume eelnõu ja sellega seotud auditeerimise regulatsiooni täiendada viisil, mis tagab õigusselguse, riskipõhisuse, proportsionaalsuse ning rakendajatele ja audiitoritele üheselt arusaadavad üleminekureeglid. Andmekaitse Inspektsioon 02.06.2026 kiri nr 2.3-4/26/2161-2 Eelnõu § 3 lg-s 2 nimetatakse asutusesisesed rollid, mis on Arvestatud sisuliselt vajalikud infoturbe halduse süsteemi toimimiseks. Seletuskirjas selgitatakse, et roll ei tähenda, et seda peab täitma sama Rollid asendatud tegevustega, mida on vaja arvestada infoturbe ametinimetusega töötja, vaid tegemist on tegevustega, millega halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse 24  Märkus Märkusega arvestamine organisatsioon peab arvestama. Inspektsioon teeb ettepaneku hõlmab organisatsiooni kui ka organisatsioonile usaldatud lisada rollide loetellu ka andmekaitsespetsialisti rolli, sest EITS andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab meetmete komplekt (GRC.4 Isikuandmete kaitse) puudutab ka see ka isikuandmete kaitset organisatsiooni poolt, kes neid isikuandmete kaitset. töötleb. Registrite ja Infosüsteemide Keskus 25.06.2026 e-kiri 1. Eelnõukohase määruse paragrahvis 3 lõikes 2 nimetatakse rollid, Arvestatud sisuliselt mis on vajalikud infohalduse süsteemi toimimiseks. RIKi hinnangul jääb määruses arusaamatuks toodud rollide eesmärgipärasus. Rollid asendatud tegevustega, mida on vaja arvestada infoturbe Eelnõu seletuskirjas on toodud, et roll ei tähenda, et seda peab halduse süsteemi toimimisel. täitma sama ametinimetusega töötaja, vaid tegemist on tegevustega, millega organisatsioon peab arvestama. Lähtudes seletuskirjas toodust võiks ka määruses olla tegemist pigem tegevustega, mille organisatsioon peab tagama, mitte rollipõhise jaotusega. Eeltoodust tulenevalt tuleks muuta ka eelnõukohase määruse paragrahvi 4 lõiget 2 punkti 1, mille kohaselt juhatus infoturbe halduse süsteemi toimimiseks määrab organisatsiooni sees rollid ja vastutajad, määramata rollide eest vastutab juhatus ise. Juhul kui paragrahvis 3 lõikes 2 nimetatakse tegevused, siis edastame paragrahvi 4 lõike 2 punkti 1 muudatusettepanekuna sõnastuse: „määrab organisatsiooni sees tegevustele vastutajad, määramata vastutajatega tegevuste eest vastutab juhatus;“. RIKi hinnangul välistaks tegevuse nimetamine olukorra, kus toodud rollides isikuid on raske määratleda või kasutakse rollinimetusi, millel on klassikalises mõistes hoopis teistsugused ülesanded. 2. Eelnõukohase määruse paragrahvis 4 sätestatakse Antud selgitus organisatsiooni juhatuse roll infoturbe halduse süsteemi korraldamises. Valitusasutused peavad infoturbe tagamisel 25  Märkus Märkusega arvestamine lähtuma Vabariigi Valitsuse 15.03.2012 määrusest nr 66 infoturbe Eelnõu koostamisel on arvestatud kooskõlaga viidatud Vabariigi juhtimise süsteem, kas Vabariigi Valitsuse määrus on plaanitud Valitsuse määrusega. Eelnõukohase määruse infoturbe nõuded tulevikus kehtetuks muuta või ühtlustada määruste sõnastused. on üldisemad. Vabariigi Valitsuse määrus täpsustab infoturbe juhtimise nõudeid valitsusasutuste osas. Näiteks eelnõukohase määruses ei nähta ette infoturbe juhi ametikoha loomist, siis Vabariigi Valitsuse määrus sätestab, et valitsusasutus peab määrama infoturbe juhi. Nii samuti määrab nt Vabariigi Valitsus ministeeriumi ja hallatavate riigiasutuste infoturbe rakendamise eest vastutavaks ministeeriumi kantsleri, mis tähendab et ministeeriumite osas ei saa juhtkond teisiti otsustada jne. 3. Eelnõukohase määruse paragrahvis 7 kirjeldatakse Arvestatud sisuliselt infoturbekataloogi olemust. Paragrahvis 7 lõikes 1 sätestatakse, et määruse lisas 1 sätestatud infoturbekataloog on organisatsiooni kahjustada võivate ohtude kaitseks võetavate meetmete loend. Määruse lisa 1 on moodulite loend, sellele vihjavad ka lisa 1 tabelite pealkirjad „Protsessimoodulid“ ja „Süsteemimoodulid“. Mooduli põhised meetmed asuvad E-ITS portaalis. Eeltoodust tulenevalt tuleks RIKi hinnangul asendada paragrahvis 7 lõikes 1 ja 2 sõna „meetmed“ sõnaga „moodulid“. 4. Eelnõukohase määruse paragrahvis 11 kirjeldatakse auditeerimise Antud selgitus eesmärki, mis seni oli nimetatud kehtiva E-ITSi määruse lisas. Määrusest on välja jäetud auditeerimise ajatsükkel. Peatükis E-ITSi auditeerimise ajatsükkel on kindlaks määratud Vabariigi kirjeldatud tegevuste ajajoon on esitatud küll seletuskirjas, kuid Valitsuse 9.12.2022. a määruse nr 121 „Võrgu- ja infosüsteemide selleks, et tegemist oleks kohustusega tegevusi teatud ajaperioodi küberturvalisuse nõuded“ § 4 lõigetes 1 (üldreeglina kolm aastat) jooksul teha peaks see olema sätestatud määruse tasandil. RIK ja 11 (elutähtsa teenuse osutajate puhul peab esmakordselt esitab eeltoodust tulenevalt ettepaneku määrust täiendada tegema hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud tegevuste ajaperioodiga. korras määratud tähtaja jooksul). 5. Eelnõukohase määruse lisas 2 „Auditeerimiseeskiri“ termini Antud selgitus „teenuseandja“ selgituses kasutatakse mõistet „digielement“. 26  Märkus Märkusega arvestamine Mõiste „digielement“ on Eesti õigusruumis täiesti uus mõiste Lisas 2 on teenuseandja termini juures võetud eeskujuks Euroopa (lisaks ei ole mõistet ka AKITis), mistõttu jääb selgusetuks, kes on Parlamendi ja nõukogu 23.10.2024 määruse 2024/2847, mis teenuseandja. käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrusi (EL) nr 168/2013 ja (EL) 2019/1020 ning direktiivi (EL) 2020/1828 (küberkerksuse määrus) artikkel 3 punkti 13 mõiste „tootja“. Küll on eelnõus asendatud parema arusaadavuse eesmärgil ja kehtivat Eesti infoturbestandardit arvestades küberkerkuse määruse sõna „tootja“ sõnaga „teenuseandja“. Seega tuleb digielemendi puhul lähtuda otsekohalduvast Euroopa Liidu määrusest. 6. Eelnõukohase määruse lisas 2 „Auditeerimiseeskiri“ kasutatakse Arvestatud sõna „äriprotsess“ mitmuses (nt punktid 3.1., 5.5.1., 6.6.3., 6.6.4.). Määruse lisas 2 tuleks kasutada ainsust, mis hõlmaks olukordi, kus äriprotsesse on üks või mitu. Käesolevas sõnastuses tekib küsitavus, et kui orginatsioonil on ainult üks äriprotsess, siis kas sellisel juhul ei ole vajalik auditit läbi viia. 7. Eelnõukohase määruse lisas 2 „Auditeerimiseeskiri“ punktis 2.4. Arvestatud sisuliselt on sätestatud, et audititöödeks ei tohi kaugtöötundide osakaal ületada 30% kavandatud tundide koguarvust. Sedavõrd Lisa 2 punkt 2.4 sõnastatud järgmiselt: konkreetse protsendi paika panemise eesmärgipärasus jääb 2.4. Auditi tegemine plaanitakse koostöös auditeeritava arusaamatuks ja soovitame sätestada pigem kohustus kontaktisikuga, kes tagab vajalike andmete ja isikute kohapealseks kontrolliks konkreetsete meetmete/moodulite osas – kättesaadavuse auditi ajal. Põhjendatud juhtudel ja eelneval näiteks on arusaadav, miks füüsilise turbe kontrolli ei ole võimalik kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel kaugtöö vormis teostada. Kaugtöötundide osakaalu määramine juhul kajastatakse see fakt auditi lõpparuandes ja auditi 30% ei ole eesmärgipärane olukordades, kus füüsilise turbe järeldusotsuses koos kaugtöö vormis tehtud auditi käsitlusala kontroll ei hõlma 30%. Punktis 2.4. on sätestatud, et põhjendatud kirjeldusega. juhtudel ja eelneval kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel juhul kajastatakse see fakt auditiaruandes, mistõttu peaks juba see lause tagama, et näiteks füüsilist turbe 27  Märkus Märkusega arvestamine kontrolli ei teostata kaugtöö vormis ning konkreetse protsendi sätestamise vajadus puudub. Täiendavalt on punktis 5.8. toodud, et auditi tõendusmaterjali võib audiitorile kas väljastada, kohapeal näidata või selgitada intervjuu käigus, mis tähendab, et auditeeritav võib ise valida kolme variandi vahel. Kelle kohustus on seejuures järgida, et kaugtöötundide osakaal ei ületa 30%, kuna kui auditeeritav valib tõendusmaterjali väljastamise (enamus/suur hulk tõendusmaterjale on digitaalses vormis) või selgituste andmise intervjuu käigus, siis need viisid on teostavad samaväärselt kaugtöö vormis. 8. Eelnõukohase määruse lisa 2 punkti 3.5. kohaselt võib auditi tellida Antud selgitus või hankida mitmele auditeeritavale korraga. Kui auditeeritavad tuginevad samale infoturbe halduse süsteemile (nt on neil ühine Seletuskirjas on toodud üks näide, millal võib mõelda ühisauditile. infoturbe organisatsioon, infoturvapoliitika ja infoturbe Seletuskirjas on välja toodud ka, et võib esineda ka muid olukordi, dokumentatsioon), võib ühe auditi käsitlusala laiendada mitmele kus organisatsioonid leiavad, et ühisauditi tegemine on mõistlik. auditeeritavale. Seejuures käsitletakse auditiaruandes ja Auditis tuleb näidata organisatsiooni põhiseid erisusi, kui need järeldusotsustes vajaduse korral auditeeritavate erisusi. esinevad (nt kaitseala osas või siis osas kus on rakendatud Eelnõukohase määruse paragrahvi 11 kohta öeldakse erinevaid meetmeid). Lõpparuaruandest peab selguma millise seletuskirjas, et auditi võib teha teise organisatsiooniga ning organisatsiooni kohta milline otsus tehti. ühisauditi või teise organisatsiooni nimel auditi tellimine on ennekõike asjakohane juhul, kui eri organisatsioonide info- ja kommunikatsioonitehnoloogia taristu haldamine ja majutamine on üle antud kesksele organisatsioonile. Eelnõukohase määruse lisa 2 punkt 2 ja paragrahvi 11 kohta seletuskirjas öeldu ei katu, mistõttu tuleks sõnastused ühtlustada. Käesolevas sõnastuses jääb selgusetuks, millisel juhul on ühisauditi või teise organisatsiooni nimel auditi tellimine lubatud. 9. Eelnõukohase määruse lisas 2 „Auditeerimiseeskiri“ punktis 5.5.5. Antud selgitus sätestatakse, et kontrollitavate meetmete valimisel lähtub audiitor varasemate infoturbe auditite leidudest ning läbivaatuste 28  Märkus Märkusega arvestamine aruannetes esitatud tähelepanekutest ja soovitustest. On Audiitor peab vajalikud allikmaterjalid auditeeritavalt küsima auditi selgusetu, millistest infoturbe auditite leidudest ning läbivaatuste käigus. Seejuures tuleb ka audiitoril endal teha riskihinnang aruannetes peab audiitor lähtuma. Kui tegemist on varasemate E- tulenevalt keskkonnast. Teenuse andja turbe puhul lähtub audiitor ITS audititega, siis audiitor saab lähtuda üksnes organisatsiooni lisa 2 punktis 5.10. sätestatust. lõppotsusest ning kui organisatsioon kasutab teisi teenusepakkujaid, siis sellisel juhul on audiitorile üksnes esitada teiste organisatsioonide järeldusotsuseid. RIKi hinnangul tuleks selgelt sätestada, millistest dokumentidest peab audiitor lähtuma, arvestades seejuures, millised dokumendid on konfidentsiaalsed või sisaldavad asutusesiseseks kasutamiseks mõeldud teavet. 10. Eelnõukohase määruse lisas 2 „Auditeerimiseeskiri“ punktis 5.10 Arvestatud sätestatakse, et auditeeritava teenuseandjate infoturbe hindamisel tugineb audiitor oma hinnangut kujundades teenuseandja (nt Loetellu lisatud ka auditi järeldusotsus. pilvteenuse tarnija) esitatud auditi käsitlusala hõlmavatele ja turvameetmete rakendatust kinnitavatele sertifikaatidele ning vastavusauditite aruannetele. Kas vastavusauditite aruannete all on mõeldud E-ITSi, sellisel juhul saab audiitor üksnes tugineda teenuseandja järeldusotsusele, kuna lõpparuanded on konfidentsiaalsed või sisaldavad asutusesiseseks kasutamiseks mõeldud teavet. Kui on mõeldud üldisemaid aruandeid, siis selguse loomiseks võiks lisada E-ITS auditite osa, milles on hindamisel üksnes võimalik tugineda järeldusotsustel. Riigi Info- ja Kommunikatsioonitehnoloogia Keskus 26.06.2026 kiri nr 8-1/26-184-2 1. Terminid Antud selgitus Selguse huvides palume täpsustada määruse eelnõus kasutatavate terminite „kaitseala“ ja „käsitlusala“ omavahelist 29  Märkus Märkusega arvestamine seost ning vajadusel lisada vastavad definitsioonid mõistete Kaitseala on organisatsiooni enda määratletud infoturbe haldusele loetellu (§ 2). allutatud osa. Auditi käsitlusala on auditi ulatus, mis ei pruugi Praegu kasutatakse mõistet „kaitseala“ määruse eelnõu kaitsealaga kattuda. sisutekstis mitmes sättes (nt § 6, § 8 ja § 10), kuid selle sisu ei ole eelnõus eraldi avatud. Samal ajal kasutatakse Kaitseala on organisatsiooni infoturbe halduse rakendamise auditeerimiseeskirjas mõistet „auditi käsitlusala“, mis on käsitlusala. Organisatsioon liigitab kaitsealasse kaitstavad varad auditeerimiseeskirjas (lisa 2) terminina avatud. ehk sihtobjektid, mida turbeprotsess hakkab edaspidi kaitsma. Õigusselguse tagamiseks palume kaaluda määruse ja auditeerimiseeskirja mõistete kooskõlla viimist. See aitaks vähendada tõlgendusruumi ning toetaks ühtset praktikat moodulite valikul, riskihalduses ja auditi läbiviimisel. 2. Infoturbekataloog Jäetud arvestamata Praeguses sõnastuses viitab eelnõu § 7, et lisa 1 sisaldab meetmete loendit, kuid sisuliselt koosneb lisa 1 moodulite loetelust. Samuti ei ole lisas 1 ega määruse eelnõus otsest viidet sellele, kust leiab moodulite rakendamiseks mõeldud detailsemad meetmed. Selguse huvides palume täpsustada määruse lisa 1 ja E-ITS infoturbekataloogi veebilahenduses esitatud meetmete omavahelist seost. Õigusselguse ja rakendamise ühtsuse huvides palume kaaluda määruse ja seletuskirja sõnastuse kooskõlla viimist ning lisada selgitus, kas infoturbe meetmete rakendusplaan (IMR) peab lähtuma moodulitest üldtasandil või sisaldama konkreetseid meetmeid detailtasandil. Samuti aitaks täpsustus selgitada, mille alusel toimub auditi käigus vastavuse hindamine – kas moodulite eesmärkide täitmise või E- ITS veebikataloogis kirjeldatud meetmete rakendamise kaudu. 3. Kaitsetarbe määramise metoodika Antud selgitus Selguse huvides palume täpsustada kaitsetarbe määramise põhimõtteid või viidata sobivale metoodilisele raamistikule. 30  Märkus Märkusega arvestamine Eelnõu näeb ette kaitsetarbe määramise kohustuse, kuid jätab Eelnõukohase määruse jõustumisel jätkab Riigi Infosüsteemi organisatsioonile ulatusliku kaalutlusruumi selle osas, kuidas ja Amet oma veebilehel ajakohaste juhiste ja rakenduste esitamist, millise metoodika alusel see toimub. sh ka soovituslikke juhiseid kuidas määrata kaitsetarvet. Ühtse rakenduspraktika toetamiseks võiks kaaluda vähemalt Otsustusõigus jääb siiski organisatsioonile, arvestades miinimumnõuete või lähteprintsiipide kirjeldamist, et tagada organisatsiooni enda eripärasid ja tegevusest tulenevaid vajadusi. võrreldav ja põhjendatud lähenemine erinevates Organisatsioon peab oma vara hindamisel olema teadlik, mida ja organisatsioonides. mis määral soovib kaitsta (käideldavus, autentsus, terviklus ja konfidentsiaalsus). Eelnõu koostamisel ei peetud vajalikuks kindla skaalade kirjeldamist, kuivõrd senise praktika kohaselt paljusel juhtudel ei lähtutud kaitsevajadusest vaid olemasolevatest ressurssidest turvameetmete rakendamisel. 4. Kohustuslikud rollid (§ 3 lg 2) Arvestatud sisuliselt Selguse huvides palume täpsustada eelnõu § 3 lõike 2 eesmärki ning viia määruse ja seletuskirja sõnastus omavahel paremini Eelnõu § 2 lõike 2 (end § 3 lg 2) sõnastust muudetud. Viide kooskõlla. rollidele asendatud infoturbe halduse toimimiseks vajalike Määruse sõnastusest võib järeldada, et organisatsioonil tuleb tegevustega. määrata konkreetsed rollid, samas kui seletuskirjas selgitatakse, et rollide all peetakse silmas eelkõige tegevusi või funktsioone, mida organisatsioon peab katma, sõltumata ametinimetusest. Õigusselguse huvides võiks täpsustada, kas normi eesmärk on formaalne rollide määratlemine või sisuline ülesannete täitmise tagamine. See aitaks vältida erinevaid tõlgendusi ning toetaks normi ühetaolist rakendamist. Eesti Linnade ja Valdade Liit 29.06.2026 kiri nr 2-3/138-2 1. Eelnõu seletuskirjas on kirjeldamata üleminekuprotsessid kehtivalt Arvestatud standardi versioonilt uuele. Kas uute nõuete rakendamiseks antakse üleminekuaeg või peab neile üle minema koheselt uue Seletuskirja täiendatud. 31  Märkus Märkusega arvestamine standardi kehtima hakkamisel (eeldatavasti 1. augustil 2026), näiteks auditi läbiviimist puudutavate muudatuste osas? Palume seletuskirja vastavalt täiendada, sest pole piisavalt selge, kas organisatsioonid peavad samaaegselt täitma nii kehtivat kui uut standardit. 2. Ühtlasi juhime tähelepanu, et riskipõhine lähenemine eeldab Võetud teadmiseks organisatsioonidelt suuremat kompetentsi infoturberiskide hindamisel ning võib väiksematele omavalitsustele tuua täiendava töö- ja ressursikoormuse, eelkõige riskihindamise, dokumenteerimise ja infoturbe juhtimise korraldamise osas. Seetõttu peame oluliseks, et riik tagaks kohalikele omavalitsustele piisava metoodilise toe, juhendmaterjalid ja koolitused, et tagada eelnõu nõuete ühtlane ja kvaliteetne rakendamine. Eesti Haiglate Liit 22.06.2026 kiri nr 232-2B 1. Eelnõu § 3 lg 2 sätestab kohustuse määrata infoturbe halduse Arvestatud sisuliselt süsteemis rollid (hankejuht, infoturbejuht, äriüksuse juht ja kasutaja). Selline rollipõhine lähenemine vajab meie hinnangul Eelnõu § 2 lõike 2 ( end § 3 lg 2) sõnastust muudetud. Viide ümbervaatamist. Kuigi see lähenemine on sarnane ISO/IEC 27001 rollidele asendatud infoturbe halduse toimimiseks vajalike standardis kasutatavale praktikale, ei ole Eesti õigusloomes tegevustega. tavapärane sätestada organisatsioonisiseseid rolle normatiivse kohustusena. Määruse tasandil tuleks sõnastada asutuse kohustused ja vastutused infoturbe halduse süsteemi toimimise tagamiseks. Sellise detailsusastmega rollide lahti kirjeldamine tekitab praktikas märkimisväärseid probleeme, kuna need rollid on asutustes juba laiemalt või kitsamalt defineeritud ja juhul, kui ei ole juba defineeritud, siis määruse praegune sõnastus seab rollidele liiga suured piirangud. Teeme ettepaneku eemaldada paragrahv 3 32  Märkus Märkusega arvestamine lõige 2 sellises sõnastuses, sest asutusesisesed rollid võivad olla praktikas väga erinevad. Teeme ettepaneku § 3 lõige 2 ümber sõnastada selliselt, et selles sätestataks asutuse kohustused ja vastutused, mitte konkreetsed organisatsioonisisesed rollid. Rollimõistet võiks kasutada üksnes kirjeldavas tähenduses. 2. Eelnõu § 3 lg 2 sätestab rollina hankejuhi. Praktikas on hankejuht Arvestatud sisuliselt sageli eraldiseisev ametikoht ning organisatsioonides kasutatakse paralleelselt ka muid nimetusi (nt hankespetsialist, hankejurist), Eelnõu § 2 lõike 2 ( end § 3 lg 2) sõnastust muudetud. Viide mistõttu võib selline regulatsioon tekitada ebaselgust. rollidele asendatud infoturbe halduse toimimiseks vajalike Ettepanek: täpsustada sätte sõnastust selliselt, et välistada tegevustega. vastuolud organisatsioonides kehtivate ametikohtade süsteemiga ning sätestada kohustus rakendada infoturbe meetmeid hangete läbiviimisel asutuse hankekorra alusel, mitte rollipõhiselt. 3. Eelnõu § 3 lg 2 sätestab rollina kasutaja. Ettevõtluspraktikas ei Arvestatud sisuliselt käsitleta kasutajat iseseisva juhtimisfunktsioonina ning vastava rolli kehtestamine ei ole otstarbekas, kuna see hõlmab sisuliselt Eelnõu § 2 lõike 2 ( end § 3 lg 2) sõnastust muudetud. Viide kõiki organisatsiooni töötajaid. rollidele asendatud infoturbe halduse toimimiseks vajalike Ettepanek: eemaldada § 3 lg 2-st kasutaja roll. tegevustega. 4. Eelnõu § 3 lg 2 sätestab rollidena infoturbejuhi ja äriüksuse juhi. Arvestatud sisuliselt Infoturbejuhi roll on eelnõu kohaselt kirjeldatud pigem nõustavana, samas kui äriüksuse juhile on omistatud ülesanded (nt Äriüksuse juhi ja infoturbe juhi roll eelnõu tekstist välja jäetud kaitsemeetmete määramine ja rakendamise seire), mis kuuluvad oma olemuselt infoturbejuhi ning juhtorgani pädevusse tulenevalt küberturvalisuse seaduse § 6¹ lg-st 1. Ettepanek: täpsustada sätte sõnastust selliselt, et infoturbejuhi ja äriüksuse juhi ülesanded oleksid selgelt eristatavad ning kooskõlas küberturvalisuse seaduse § 6¹ lg-ga 1. 33  Märkus Märkusega arvestamine 5 Eelnõu § 4 lg 2 p 4 kohaselt on kogu juhatusele pandud vastutus Antud selgitus aktsepteerida riske meetmete rakendamata jätmise korral. Nimetatud säte on vastuolus küberturvalisuse seaduse § 6¹ lg-ga Eelnõu ei ole vastuolus küberturvalisuse seaduse § 61 lg 1. 1, mille kohaselt on vastav kohustus määratud ühele juhatuse Küberturvalisuse seaduse § 61 lg 1 eeldab, et vähemalt üks liikmele. juhatuse määratakse isikuks, kes kiidab heaks turvameetmed, Ettepanek: viia § 4 lg 2 p 4 kooskõlla küberturvalisuse seaduse § jälgib nende rakendamist ja vastutab selle eest. 6¹ lg-ga 1. Samas viidatud seaduse paragrahvi lõige 3 sätestab järgmist: (3) Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget, kohaldatakse käesolevas paragrahvis sätestatud kohustusi kõigile juhatuse liikmetele. Seega on seaduses sätestatud, et juhatus korraldab võrgu-ja infosüsteemide turvameetmete rakendamist, sh infoturbe halduse süsteemi toimimist. Ka ühe oma liikmete määramine peamiseks vastutajaks on osa korraldamisest. 6. Eelnõu § 6 lg 1 („Riskihaldusmetoodika kasutuselevõtmise eeldus Arvestatud on organisatsiooni varade arvelevõtmine ja nende kaitseala kindlaksmääramine“) on esitatud kirjeldavas vormis ega vasta normitehnilistele nõuetele, kuna ei kehtesta otsest kohustust. Ettepanek: sõnastada § 6 lg 1 järgmiselt: „Organisatsioon peab võtma arvele varad ning määrama kindlaks kaitseala.“ 7. Auditeerimiseeskirja peatüki 2 „Auditi üldine korraldus“ punkt 2.4 Arvestatud sisuliselt sisaldab sõnastust: „Kaugtöötunnid ei tohi ületada 30% audititööks kavandatud tundide koguarvust. Erandiks on auditeeritav, kes Lisa 2 punkt 2.4. sõnastatud järgmiselt: kasutab ainult virtuaalseid töökohti.“ Nimetatud piirang ei ole 2.4. Auditi tegemine plaanitakse koostöös auditeeritava praktikas põhjendatud, kuivõrd see piirab auditeerimistoimingute, kontaktisikuga, kes tagab vajalike andmete ja isikute sealhulgas intervjuude läbiviimist kaugtöövahendite abil. kättesaadavuse auditi ajal. Põhjendatud juhtudel ja eelneval Arvestades asjaolu, et auditeeritavad asutused (sh haiglad) kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel paiknevad geograafiliselt üle Eesti ning auditeerivad ettevõtted juhul kajastatakse see fakt auditi lõpparuandes ja auditi 34  Märkus Märkusega arvestamine asuvad valdavalt Tallinnas, toob nimetatud piirang kaasa järeldusotsuses koos kaugtöö vormis tehtud auditi käsitlusala põhjendamatult suure ajakulu ning märkimisväärse täiendava kirjeldusega. rahalise koormuse seoses transpordi- ja majutuskuludega. Sellest tulenevalt ei ole kehtestatud piirang proportsionaalne ega eesmärgipärane. Ettepanek: muuta punkti 2.4 sõnastust selliselt, et kaugtöö piirang ei hõlmaks auditi intervjuude läbiviimist virtuaalkoosolekute vormis Eesti Infosüsteemide Audiitorite Ühing 26.06.2026 kiri 8-1/4143-1 1. Turvameetmete sisu nihkumine siduvast õigusaktist Antud selgitus mittesiduvasse juhendisse Eelnõu lisa 1 (infoturbekataloog) on esitatud moodulite kaupa, Eelnõukohase määrusega soovitakse asendada vastavusauditi kusjuures iga mooduli all on üksnes ühelauseline riskipõhise auditile ja võimaldada organisatsioonidele eesmärgikirjeldus (näiteks „NET.1.3. Raadiokohtvõrk: Esitada vajaduspõhist paindlikkust. Riigi Infosüsteemi Ameti ülesanne on raadiokohtvõrgu rajamise ja turvalise käitamise juhised“). Sisulised turvameetmete süsteemi arendamise ja rakendamise toetamine. turvameetmed kataloogist puuduvad. Eelnõu § 12 kohaselt võib Justiits- ja Digiministeerium ei pea vajalikuks Riigi Infosüsteemi Riigi Infosüsteemi Amet anda rakendamist toetavaid soovituslikke Ametile meetmete avaldumise kataloogi avaldamist ja juhiseid. ajakohastamist järgmistel põhjustel: Senised E-ITS ja ISKE olid etalonturbe metoodikad, mille puhul oli  kohustuslike meetmete kehtestamine eeldab asjakohaste suur osa meetmete väljatöötamise tööst keskselt ette tehtud. Kui osapoolte ja huvigruppide arvamuse ära kuulamist, mis meetmete sisu nihkub siduvast määrusest RIA mittesiduvasse muudab nende kehtestamise ajakulukaks. Senine praktika juhendmaterjali, tähendab see ühingu hinnangul kahte olulist on näidanud, et nõuete kehtestamine jääb jalgu uute probleemi: nõuete kehtestamise vajadusele. Seetõttu on soovituste — Etalonturbe põhimõte säilib üksnes praktikas (veebilehel), kuid koostamine kiirem meede võimalikele ohtudele kaob õigusaktist endast. Juhendi olemasolu, ulatus ega reageerimisel jättes samas organisatsioonile ajakohasus ei ole õiguslikult tagatud, kuna § 12 sõnastus on „võib“. tegevusvabaduse; Riigi Eesti ettevõtlusmaastik koosneb valdavalt mikro- ja  seadusega ei ole ministrile antud õigust edasi volitada Riigi Infosüsteemi Ametile turvameetmete kehtestamise õigust; 35  Märkus Märkusega arvestamine väikeettevõtjatest, kelle jaoks adekvaatsete meetmete iseseisev  Riigi Infosüsteemi Amet on küberturvalisuse seaduses ja konstrueerimine eeldab pädevust, mida turul napib. selle alusel antud õigusaktides sätestatud nõuete täitmise — Tekib auditeeritavuse probleem. E-ITSi järgimise audit on oma üle riiklikku ja haldusjärelevalvet teostav asutus, mistõttu olemuselt vastavusaudit — eelnõu § 11 lõike 1 kohaselt nõuete kehtestamine sama asutuse poolt on vastuolus hinnatakse, kas rakendatud meetmed vastavad 2. peatüki sõltumatu järelevalve põhimõttega. nõuetele. Kui sisulised meetmed ei sisaldu enam siduvas õigusaktis, jääb ebaselgeks, mille vastu audiitor vastavust hindab. Soovituslikud juhised ei oma kohuslikkuse momenti, kuid need Mittesiduva juhendi vastu vastavuse hindamine ei ole aitavad organisatsioonidel, eriti väiksematel organisatsioonidel, vastavusaudit tavapärases tähenduses ning loob aluse auditite aru saada turvameetmete süsteemist ja abistavad rakendamisel. ebaühtlaseks kvaliteediks ja tõlgenduseks. Ühtlasi annavad juhised ülevaate riigi vaatenurgast Soovime rõhutada üht põhimõttelist tagajärge. Etalonturbe väärtus turvameetmete rakendamisel, kuid ei seo organisatsioone seisneb selles, et see võimaldab organisatsioonil teatava nendega kui õigusaktides sätestatud eesmärgid on saavutatavad kaitsetarbeni toime tulla ilma pideva, kuluka ja kõrget pädevust muul viisil. Juhiste kaudu saab Riigi Infosüsteemi Amet edastada nõudva riskihalduseta — kuna alusohte arvestav riskihaldus on ka organisatsioonidele teavet turvameetmete parima praktika kohustuslikes põhimeetmetes juba ette tehtud. Meetmed ja nende kohta või anda teada võimalikest ohtudest. aluseks olevad ohud moodustavad lahutamatu paari. Hetkel, mil alusohte arvestavaid meetmeid ei rakendata enam täies mahus, see paar katkeb: rakendatud meetmed ei kata enam tõendatavalt tegelikke riske ning ainus, mis selle lünga taas sulgeb, on organisatsiooni enda läbiviidav täiemahuline riskihaldus. Eelnõu eeldab seega vaikimisi, et iga kohuslane suudab kohe asuda läbi viima riskihaldust tasemel, mille etalonturve seni keskselt tagas. Enamiku mikro- ja väikeorganisatsioonide puhul ei ole see eeldus realistlik, mistõttu praktiline tagajärg on infoturbe taseme langus — vastuolus määruse enda deklareeritud eesmärgiga. Ettepanek: sätestada selgelt, kas ja millises ulatuses RIA infoturbekataloogi meetmed avaldab, ning kuivõrd need on auditi käigus vastavuse hindamise aluseks. Kaaluda § 12 sõnastuse muutmist „võib“ asemel kohustavaks osas, mis puudutab meetmete kataloogi avaldamist ja ajakohastamist, et tagada auditeeritavuse ja etalonturbe põhimõtte säilimine. 36  Märkus Märkusega arvestamine 2. Eel-, vahe- ja järelauditi kaotamine ning sõltumatu Antud selgitus kindlustunde vähenemine Eelnõu asendab senise eelauditi, vaheauditi ja järelauditi struktuuri Eelnõukohase määrusega soovitakse suurendada organisatsioonisisese hindamisega (§ 10) ja perioodilise organisatsiooni enda vastutust turvameetmete rakendamisel. välisauditiga. Kõrge tasemega riski korral ei järgne enam Niisamuti peab organisatsioon pidevalt hindama oma sõltumatut järelauditit, vaid auditeeritav teavitab järelevalveasutust turvameetmete rakendamist. Auditi eesmärk on hinnata, kas riski kõrvaldamisest (lisa 2 punktid 7.3–7.4). Sõltumatu järelkontroll auditeeritava organisatsiooni infoturbe halduse süsteem ja selle asendub sisuliselt enesedeklaratsiooniga. raames rakendatud meetmed vastavad nõuetele ning kaitsevad Ühing peab seda murekohaks kahel põhjusel: organisatsiooni äriprotsesse ja eesmärkide täitmist. Seega — Järgmine sõltumatu kontroll võib olla kuni kolm aastat eemal. puudub täiendav vajadus auditeerida kas organisatsioon on E-ITSi vastavusauditi välp on määruse nr 121 § 4 lõike 1 kohaselt valmis auditiks (eelaudit) ja kas organisatsioon on (põhi)auditis kolm aastat. Vaheauditi kaotamisega võib varem ligikaudu aasta toodud puudused likvideerinud. Muudatuse tulemusel suureneb jooksul nõutav tegevus venida kuni kolmeaastase tsükli lõpuni, organisatsiooni oma vastutus kuidas ja milliste meetmetega ilma vahepealse sõltumatu kontrollita. rakendamisega reageeritakse auditis väljatoodud puudustele. — Eelauditi kadumisega jõuab auditisse tõenäoliselt rohkem suurema hulga lahknevustega organisatsioone. Kui klient esitab Eelnõukohane määrus ei piira organisatsiooni õigust kasutada teenusepartnerile või kliendile „punase“ järeldusotsuse, tekib organisatsioonisisese hindamise käigus välist abi, kui küsimus, millisel alusel saab usaldada, et riskidega on tegelikult organisatsioon seda vajalikuks peab ja endal vastav kompetents tegeletud, kui sõltumatu järelkontroll puudub. Jääb ebaselgeks, puudub. kas ja kuidas kujundab järelevalveasutus oma seisukoha organisatsiooni enda teavituse põhjal. Arvestades, et küberturvalisuse seaduse § 7 nõuete (mida E-ITS rakendab) rikkumisega võivad kaasneda olulised haldussanktsioonid, ei ole sõltumatu järelkontrolli asendamine enesedeklaratsiooniga ühingu hinnangul pelk menetluslik lihtsustus, vaid see nõrgendab tõenduslikku alust just seal, kus tagajärjed on kõige tõsisemad. Ettepanek: kaaluda kõrge tasemega riski korral sõltumatu järelkontrolli (nt sihitud järelauditi) säilitamist enesedeklaratsiooni asemel või selle kõrval, ning täpsustada, kuidas järelevalveasutus kõrvaldamise tõendatust hindab. Samuti tasub kaaluda mehhanismi, mis võimaldab 37  Märkus Märkusega arvestamine vahepealset sõltumatut kontrolli kolmeaastase tsükli jooksul olukordades, kus tuvastatud lahknevuste tase seda õigustab. 3. Kaugtöö 30% piirang (auditeerimiseeskiri punkt 2.4) Arvestatud sisuliselt Lisa 2 punkti 2.4 kohaselt ei tohi kaugtöötunnid ületada 30% audititööks kavandatud tundide koguarvust. Ühing leiab, et see Lisa 2 punkt 2.4 sõnastatud järgmiselt: piirang ei teeni oma eesmärki ega tõsta auditite kvaliteeti. 2.4. Auditi tegemine plaanitakse koostöös auditeeritava Enamik audititoiminguid — intervjuud, dokumentatsiooni kontaktisikuga, kes tagab vajalike andmete ja isikute läbivaatus ja aruandlus — on tänapäevaste digitaalsete kättesaadavuse auditi ajal. Põhjendatud juhtudel ja eelneval töövahenditega tehtavad tõhusalt ja kvaliteeti kaotamata. Auditite kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel ebaühtlase kvaliteedi juurpõhjus ei ole kohapeal veedetud tundide juhul kajastatakse see fakt auditi lõpparuandes ja auditi vähesus, vaid pigem audiitori pädevus ja kohusetunne ning tellija järeldusotsuses koos kaugtöö vormis tehtud auditi käsitlusala teadlikkus. Kaugtöö piiramine tõstab tarbetult auditi maksumust kirjeldusega. (transport, sellele kuluv aeg, majutus) ning koormab nii auditeeritavat kui audiitorit, ilma vastava kvaliteedivõiduta. Märgime ühtlasi, et kohustuslik paikvaatlus on juba tagatud lisa 2 punktiga 5.7.3. Ettepanek: loobuda kaugtöö 30% piirangust. Auditi kvaliteedi tagamiseks on tulemuslikum: (a) säilitada kohustuslik paikvaatlus auditi osana (juba punkt 5.7.3); (b) luua võimalus auditite kvaliteedi (pistelisteks) järelkontrollideks, sealhulgas eeskirja mittejärgivate audiitorite ja juhtivaudiitorite suhtes meetmete rakendamiseks; ning (c) toetada auditi tellijat nõuga ja võimaldada audiitori vahetust, kui ilmneb, et teenuse kvaliteet ei ole nõuetekohane. 4. Auditiprotseduuride 60% miinimum (auditeerimiseeskiri Jäetud arvestamata punktid 3.8 ja 5.7) Lisa 2 punktide 3.8 ja 5.7 kohaselt peab auditiprotseduuridele kuluvate tundide arv moodustama vähemalt 60% auditiks Ettepanek auditeerimisprotsesside piiritlemiseks saadud kehtiva kavandatud töötundide koguarvust. Sarnaselt eelmise punktiga E-ITSi rakendamise tagasisidena rakendajatelt. peab ühing seda ettekirjutust ebavajalikuks ja vähetõhusaks. 38  Märkus Märkusega arvestamine Kohusetundlik, eeskirja järgiv audiitor teostab auditiprotseduurid niikuinii korrektselt; protsendi ettekirjutamine ei taga kvaliteeti. Kvaliteeti aitavad tagada punktis 3 nimetatud meetmed, mitte tundide jaotuse normimine. Ettepanek: kaaluda punktides 3.8 ja 5.7 sätestatud 60% miinimumi väljajätmist ning auditi kvaliteedi tagamist sisuliste meetmete kaudu (kvaliteedikontroll, sanktsioonid, tellija toetamine). 5. Auditi aruande dokumenteerimise tähtaeg Jäetud arvestamata (auditeerimiseeskiri punkt 6.12) Lisa 2 punkti 6.12 kohaselt esitatakse auditi järeldusotsuse ja Eelnõukohase määrusega vähendatakse auditi ulatust, jättes lõpparuande kavand auditeeritavale seitsme päeva jooksul pärast välja kohustuse teha eelaudit, vaheaudit ja järelaudit. Seeläbi auditiprotseduuride lõppemist. See tähtaeg näib olevat üle võetud väheneb ka audiitorite töökoormus võimaldades neil keskenduda ISO/IEC 27001 sertifitseerimisauditite praktikast, kus aruandluse auditile (end põhiaudit) põhjalikumalt. maht on E-ITSi auditiga võrreldes väiksem. Praktikas, kus auditeid tehakse hooajaliselt suurel hulgal korraga ja hinnakonkurentsi tingimustes, surub lühike tähtaeg kahes suunas: kas vähendada aruande põhjalikkust või planeerida „viimane auditiprotseduur“ kunstlikult hetke, kus suurem osa dokumenteerimisest on juba tehtud. Juhime tähelepanu, et ebapiisav põhjalikkus on RIA enda poolt nimetatud E-ITSi ja ISO/IEC 27001 auditite probleemina. Lühike dokumenteerimistähtaeg töötab seega osaliselt reformi enda deklareeritud eesmärgi vastu. Ettepanek: pikendada järeldusotsuse ja lõpparuande kavandi esitamise tähtaega või siduda see auditi mahuga, et tagada aruandluse põhjalikkus ilma kunstliku ajaplaneerimiseta. 6. Üleminek ja kehtivad hankelepingud Antud selgitus Eelnõu näeb ette kolmeaastase üleminekuperioodi. Jääb siiski ebaselgeks, mis saab kehtivatest kolmeaastastest 39  Märkus Märkusega arvestamine hankelepingutest, milles vaheauditid on hanke tulemina juba Eelnõukohases määruses ei ole volitusnormist tulenevalt lubatud defineeritud ja eraldi tööna eelarvestatud. Eelnõu ja seletuskiri ei reguleerida riigihangete seadusest ja selle alusel antud käsitle, kuidas neid lepingulisi kohustusi uue auditistruktuuriga õigusaktides sätestatut või lepinguõigust. Eelnõukohase määruse ühildatakse. jõustumisel on organisatsioonidel vabadus üle vaadata oma Ettepanek: täpsustada seletuskirjas või rakendussätetes, lepingud ning hinnata lepingu täitmise võimalikkust või võimatust kuidas käsitletakse enne määruse jõustumist sõlmitud eelpool nimetatud õigusaktides ja omavahelistes lepingutes hankelepinguid, milles vaheauditid on eraldi tööna kokku sätestatust lähtuvalt. Samas on Justiits- ja Digiministeerium lepitud. ülemineku aja sätestamisel arvestanud senise kolme aastase auditi välbaga ja sellest tulenevate võimalike vastastikuste lepinguliste kohustustega. Eelnõukohase määruse jõustumisel ei keelata organisatsioonidel E-ITS seni kehtivas versioonis sätestatud vaheauditite läbi viimist lepingu täitmise raames ja vastavat auditit on võimalik käsitleda organisatsioonisisese hindamisena. 7. Sõnastuslikud ja terminoloogilised ebatäpsused määruse Eelnõule ja seletuskirjale on tehtud keetoimetajate poolt koostöös tekstis valdkondlike spetsialistidega keeleline ja terminoloogiline Lisaks eeltoodud sisulistele märkustele juhib ühing tähelepanu, et ülevaatus. Enne eelnõu esitamist määrusena allkirjastamiseks eelnõu teksti keelt on kohati sedavõrd lihtsustatud ja optimeeritud, korratakse kontrolli. et selle tehniline tähendus on muutunud eksitavaks. Kuna E-ITS on auditeeritav normdokument, on sätete täpne ja üheselt mõistetav sõnastus auditeeritavuse otsene eeldus. Toome alljärgnevalt illustreerivad näited — tegemist ei ole ammendava loeteluga: /…/ Ettepanek: viia läbi eelnõu teksti põhjalik keeleline ja terminoloogiline ülevaatus, pöörates tähelepanu tegijate eristamisele, käände- ja reemakasutusele ning põhiterminite üheselt mõistetavusele. Eeltoodud näited on illustreerivad, mitte ammendavad 40  Märkus Märkusega arvestamine — § 1 lõige 1 sätestab, et E-ITSi rakendamine „seisneb … Antud selgitus infoturbe halduses ja infoturbe halduse meetmete auditeerimises“. Rakendamise teostab organisatsioon, kuid auditeerimise teostab Infoturbe süsteemi haldus hõlmab ka turvameetmetele sellest sõltumatu väline isik (§ 11 ja lisa 2). Rakendamine ei saa rakendamise seiret. Seire üks osa on auditeerimine. Eesti määratluse järgi hõlmata auditeerimist, kuna tegemist on eri Infosüsteemide Audiitorite Ühing on õigesti välja toonud, et tegijatega. Soovitame sättes tegijad eristada. auditeerimise juures eeldatakse välise osapoole hinnangut, kuid see ei tähenda, et tegemist oleks infoturbe süsteemi haldusest eraldiseisva tegevusega. Auditeerimise eraldi välja toomisega sooviti just rõhutada seda kui ühte halduse osa. — § 1 lõige 3 punkt 1 kasutab terminit „avalik“. Küberturvalisuse Antud selgitus 2. direktiivi mõiste „public“ ja eestikeelse vaste „avalik“ tähendus ei pruugi kattuda — arvestades avaliku teabe seaduse Viidatud punktis ei kasutada sõna „avalik“ eraldiseisvana vaid mõistekasutust, võib „avalik“ hõlmata ka mitteavalikke või tegemist on „avaliku ülesandega“. juurdepääsupiiranguga osi, eelkõige kriitiliste süsteemide kontekstis. Üks määruse põhitermineid jääb seetõttu tõlgendusele avatuks. Palume täpsustada, mida mõeldakse mõiste „avalik“ all. — § 2 (infoturbe halduse süsteemi määratlus) sõnastus „riskide Arvestatud hindamisel, käsitlemisel ja aktsepteerimisel põhinev“ jätab mulje, justkui tuleks iga risk alati aktsepteerida. Sama määruse § 4 lõike Termini lahti kirjutus määruse tekstist välja jäetud. 2 punktist 4 ja § 8 lõikest 9 nähtub, et riski aktsepteerimine on otsustuskoht, mitte vältimatu samm. Soovitame sõnastust täpsustada. — § 2 lõige 1 punkt 4 — ingliskeelne vaste „(inglise keeles Arvestatud business process)“ paikneb fraasi „toode või teenus“ järel, mistõttu säte loeb nii, nagu oleks „toode või teenus“ ingliskeeli business Viide inglise keelsele vastele määruse tekstist välja jäetud. process. Ingliskeelne vaste peab paiknema vahetult tõlgitava termini („äriprotsess“) järel. Ühing märgib ühtlasi, et ingliskeelsete vastete lisamine määruse teksti sisse väärib üldisemat kaalumist. 41  Märkus Märkusega arvestamine — § 3 lõige 2 punkt 1 — sõnastus „turvameetmed on vara kogu Antud selgitus elutsükli ulatuses plaanitud uue vara ja teenuste hankimise etappi“ on eksitav nii käände- kui ka reemakasutuse poolest. Hankimise Meetmete rakendamine võib alata juba enne uue vara kasutusele etapis meetmeid plaanitakse, kuid ei rakendata. Soovitame võtmist. See hõlmab ka vara kasutusele võtmiseks vajalike sõnastada näiteks „turvameetmed on plaanitud vara kogu elutsükli tingimuste loomist ja rakendamist, sh ka katsetamist. ulatuses“. — § 6 lõige 1 — sõnastus „varade arvelevõtmine ja nende Arvestatud kaitseala kindlaksmääramine“ seostab kaitseala varadega. Tegemist on kategooriaveaga: kaitseala ei kuulu varadele, vaid § 5 lg 1 (end § 6 lg 1) sõnastust muudetud järgmiselt: infoturbe halduse süsteemile (vrd RIA seletav sõnaraamat). Enne riskihaldusmetoodika kasutuselevõtmist peab organisatsioon Soovitame sõnastust parandada nii, et kaitseala seostatakse õige tuvastama kaitseala äriprotsessile olulised varad. . objektiga. — § 10 (loetelu) kasutab võõrkeelset, ümberpööratud süntaksit: Võetud teadmiseks „kas tal on kindlaks määratud äriprotsessid“ selle asemel, et öelda „kas ta on äriprotsessid kindlaks määranud“. Ümberpööramine nihutab rõhku (reemat) ja muudab loetelupunktide tehnilist tähendust — tekivad parasiittähendused nagu „kaardistatud äriprotsess“, „vastendatud infoturbekataloog“ ja eelkõige „koostatud infoturvameetmed“ (vastandina ülevõetud, mitte ise koostatud meetmetele). Viimane näide seostub otseselt käesoleva kirja punktis 1 tõstatatud küsimusega: sõnastus jätab lahtiseks, kas meetmed on organisatsiooni enda koostatud või mujalt üle võetud, mis on auditeeritavuse seisukohast oluline. Soovitame loetelu sõnastada tegevuspõhiselt. Eesti Kaubandus-Tööstuskoda 29.06.2026 kiri nr 4/121 42  Märkus Märkusega arvestamine Eelnõu § 3 lg 2 näeb ette kohustuse määrata infoturbe halduse Arvestatud sisuliselt süsteemi toimimiseks konkreetsed rollid (hankejuht, infoturbejuht, kasutaja ja äriüksuse juht). Rollid asendatud tegevustega, mida on vaja arvestada infoturbe Leiame, et sätte praegune sõnastus vajab täpsustamist. Kuigi halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse seletuskirja lk 6 kohaselt ei tähenda nimetatud rollid tingimata hõlmab organisatsiooni kui ka organisatsioonile usaldatud konkreetseid ametikohti, vaid kirjeldavad tegevusi, loob eelnõus andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab kasutatud sõnastus ettevõtjatele mulje, et organisatsioonis tuleb ka isikuandmete kaitset organisatsiooni poolt, kes neid töötleb. formaalselt määrata just selliste nimetustega rollid. See vähendab õigusselgust ning võib praktikas tekitada vastuolu ettevõtjate olemasoleva juhtimis- ja vastutusmudeliga. Eriti problemaatiline on mõiste „hankejuht“, millel on ettevõtluspraktikas väljakujunenud tähendus kui hangete läbiviimise eest vastutaval spetsialistil. Eelnõu § 3 lg 2 p 1 kohaselt aga hankejuht jälgib, et vara ja teenuste turvameetmed on kogu nende elutsükli ulatuses plaanitud uue vara ja teenuste hankimise etappi juba selle kavandamise käigus. Seega eelnõus kirjeldatud ülesanded ei vasta hankejuhi rolli tavapärasele sisule. Samuti on küsitav „kasutaja“ käsitlemine eraldiseisva rollina, kuna sisuliselt hõlmab see kogu organisatsiooni personali. Kaubanduskoda leiab, et määruse tasandil tuleks sätestada eelkõige organisatsiooni kohustused ja vastutusalad infoturbe halduse süsteemi toimimiseks, mitte detailsed organisatsioonisisesed rollid või ametinimetused. Organisatsioonile peab jääma paindlikkus otsustada, kuidas ja kelle kaudu neid ülesandeid täidetakse. Kui rollide loetelu siiski säilitatakse, teeme ettepaneku kasutada praktikaga paremini kooskõlas olevaid ja funktsioonipõhiseid mõisteid. Kaubanduskoja ettepanek: Teeme ettepaneku sõnastada eelnõu § 3 lg 2 ümber selliselt, et selles sätestataks organisatsiooni kohustus tagada infoturbe halduse süsteemi toimimiseks vajalike ülesannete täitmine ja vastutusalade määramine, jättes organisatsioonile 43  Märkus Märkusega arvestamine paindlikkuse otsustada, kuidas ja kelle kaudu neid ülesandeid täidetakse. Konkreetsete rollide ja ametinimetuste loetelu tuleks sättest eemaldada. Eesti Vee-ettevõtete Liit 27.06.2026 e-kri Meile jõudis kooskõlastamisele justiits- ja digiministri määruse Selgitame: "Eesti infoturbestandard" eelnõu. Tuleb eristada küberturvalisuse seaduse subjekte ja neile kohalduvaid nõudeid. Turvameetmete rakendamisel eristatakse Eelnõu kohaselt ei pea E-ITSi meetmeid rakendama subjekte tegevusvaldkonnast või subjekti olemusest. teenuseosutaja, kellel on majandusaasta jooksul keskmiselt alla Turvameetmete rakendamisel ei eristata kas ettevõtja on ülioluline 50 töötaja ja kelle aastane bilansimaht või aastakäive ei ületa 10 ja oluline üksus. Erisused ja Eesti infoturbestandardi rakendamise miljonit eurot, arvestades väikeettevõtjate määratlusi Euroopa kohustuse ulatus on sätestatud Vabariigi Valitsuse 9.12.2022 Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise määruses nr 121 „Võrgu- ja infosüsteemide küberturvalisuse suurusega ettevõtjate määratluse kohta. Siinjuures ei ole oluline, nõuded“ (edaspidi määrus nr 121). kes on teenuseosutaja omanikud. See tähendab, et avaliku sektori osalus ei välista erandi tegemist. See erand ei kehti 1. Eesti infoturbestandardi rakendamisest teenuseosutajale, kui ta on avaliku teabe seaduse kohane Määruse nr 121 § 21 punktist 1 lähtuvalt ei ole Eesti andmekogu vastutav või volitatud töötleja. Oluline on vahet teha, infoturbestandardi rakendamise kohustust teenuseosutajal, kellel et andmekogu vastutav ja volitatud töötleja ei ole sama mis on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle andmete vastutav või volitatud töötleja isikuandmete kaitse aastane bilansimaht või aastakäive ei ületa 10 miljonit eurot, üldmääruse tähenduses. arvestades väikeettevõtjate määratlusi Euroopa Komisjoni soovituses. Palun Teie seisukohta, kas vee-ettevõtted, kelle töötajate arv on alla 50 inimese ja aastakäive on alla 10 mln euro lähevad E-ITSi Sätte juures tuleb arvesse võtta järgmist: erandi alla või mitte. Võite selgituse anda konkreetse vee-ettevõtte 1) säte kohaldub vaid eraõiguslikule juriidilisele isikule, kes on näitel, nt Paide Vesi. kantud äriregistrisse. Sätet ei kohaldata valitsusasutuse või kohaliku omavalitsuse hallatavale asutusele, mis on kantud riigi- Palun seda selgitust, kuna vee-ettevõtteid nõustavad küberturbe ja kohaliku omavalitsuse asutuste riikliku registrisse. spetsialistid on andnud seisukoha, et kõik vee-ettevõtted 44  Märkus Märkusega arvestamine sõltumata suurusest peavad E-ITSi nõudeid rakendama ja auditi 2) töötajate arvu ja aastast bilansimahtu või aastakäivet tegema. Lisaks viitavad nad oma kirjas, et KüTS § 3 lg 2 p vaadatakse kolme aasta lõikes, See tähendab, et kui kolmest 2 määratleb elutähtsa teenuse osutaja ülioluliseks üksuseks viimaset aastast jääb vähemalt kahel aastal kriteeriumid komisjoni sõltumata töötajate arvust või finantsnäitajatest. Suuruse soovituses toodud piiridesse, siis loetakse isik vastavalt mikro- või kriteerium (50+ töötajat) on lisatingimuseks vaid teatud spetsiifiliste väikeettevõtjaks. teenuseosutajate puhul (nt KüTS § 3 lg 2 p 8 sideettevõtjad). Sellist 3) teenuse osutaja ei ole samal ajal andmekogu vastutav töötleja seisukohta ma eelnõust välja ei lugenud, mistõttu sooviksin ka või andmekogu volitatud töötleja vastavalt avaliku teabe seaduse selles osas Teie seisukohta. § 434 lõike 1 tähenduses või § 434 lõike 2 tähenduses. 4) teenuseosutaja ei kuulu korporatsiooni, mille kogu näitajad Lisaks palun selgitage, kui ettevõte haldab infosüsteeme, siis kas ületavad Euroopa komisjoni soovituses toodud väikeettevõtja ja millisel juhul tuleks vee-ettevõtja lugeda avaliku teabe seaduse määratlust. Siinjuures ei loeta korporatsiooniks kohalikku kohaseks andmekogu vastutavaks või volitatud töötlejaks. omavalitsust. Jään ootama Teie tagasisidet, kuna siiani oli meil seisukoht, et 2. Andmekogu väikesed vee-ettevõtted E-ITSi kohaldama ei pea. Määruse nr 121 kohaselt on andmekogu vastutav või volitatud töötleja kohustatud Eesti infoturbestandardit rakendama, kui tegemist on andmekoguga avaliku teabe seaduse (edaspidi AvTS) tähenduses. AvTS § 431 lõike 1 kohaselt on andmekogu riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Avalikku ülesanne täitvaks isikuks loetakse eraõiguslik isik, kelle avalik ülesanne on pandud seadusega (nt Liikluskindlustuse fond) või antud halduslepinguga (nt tehnoülevaatus). Siinjuures selgitame, et andmekoguks on antud juhul vaid avaliku ülesande täitmiseks loodud andmekogu, kuid avaliku ülesande täitmise väliseid andmete kogumeid ei loeta andmekoguks AvTS 45 Märkus Märkusega arvestamine tähenduses. Elutähtsa teenuse osutamiseks kasutavad andmete kogumid (nt kliendiandmebaas) ei ole ka andmekogud AvTS tähenduses Eeltoodust lähtuvalt saab asuda seisukohale, et andmekogu all ei mõelda määruses nr 121 igasugust andmete kogumit vms, vaid sellist, mis on asutamine ja kasutamine eesmärk on õigusaktis sätestatud. 3. Vastutav töötleja Avaliku teabe seaduse § 434 lõikes 1 on andmekogu vastutav töötleja (haldaja) defineeritud kui „riigi- või kohaliku omavalitsuse asutus, muu avalik-õiguslik juriidiline isik või avalikke ülesandeid täitev eraõiguslik isik, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist. Andmekogu vastutav töötleja vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest.“ 4. Volitatud töötleja AvTS § 434 lõikes 1 on andmekogu vastutav töötleja (haldaja) defineeritud kui „riigi- või kohaliku omavalitsuse asutus, muu avalik-õiguslik juriidiline isik või avalikke ülesandeid täitev eraõiguslik isik, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist. Andmekogu vastutav töötleja vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest.“ Sama paragrahvi lõike 2 kohaselt võib andmekogu vastutav töötleja „volitada andmete töötlemise ja andmekogu majutamise teisele riigi- või kohaliku omavalitsuse asutusele, avalik- õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses“. 46 Märkus Märkusega arvestamine Tegemist on siis volitatud töötlejale vastava ülesande volitamisega. Andmekaitse Inspektsioon on oma andmekogude juhendis volitatud töötleja ja tema rolli kohta märkinud: „volitatud töötleja võib olla nii vastutava töötleja kontrolli all tegutsev andmekogu igapäevane haldaja kui ka teenuste osutaja näiteks andmekogu majutaja või arendajana. Sellist volitatud töötleja rolli täidavad paljude andmekogude suhtes IT-asutused nagu RIK ja SMIT. Teenuse osutajaid ei ole vajalik põhimääruses nimepidi loetleda, piisab nende ülesannete nimetamisest“. See tähendab et andmekogu volitatud töötleja all avaliku teabe seaduse kontekstis on mõeldud ennekõike volitatud töötlejat, kes majutab konkreetset andmekogu ja vajaduse korral tegeleb selle andmekogu arendamise ja ülalpidamisega. Andmekogu volitatud töötleja all ei ole siinjuures mõeldud näiteks andmeandjat avaliku teabe seaduse tähenduses (vt AvTS § 435 lõige 2) ega ka mitte igasugust isikuandmete volitatud töötlejat isikuandmete kaitse üldmääruse või isikuandmete kaitse seaduse tähenduses. Volitatud töötlejaks ei loeta isikut kes seadusest tuleneva kohustuse täitmiseks esitab iseseisvalt andmeid riiklikku või kohaliku omavalitsuse üksuse asutud registrisse (nt teabe esitamine töötamise registrisse, majandustegevuse registrisse või äriregistrisse). 5. AS Paide Vesi näide 5.1. Näite sisustamisel oleme arvesse võtnud vaid avalikult kättesaadavat teavet, mis on avaldatud äriregistris, Riigi Teatajas ja AS Paide Vesi veebilehel (www.paidevesi.ee): 5.1.1. AS Paide Vesi on kantud äriregistrisse, õiguslik vorm aktsiaselts; 47  Märkus Märkusega arvestamine 5.1.2. AS Paide Vesi keskmine töötajate arv aastatel 2022-2024 on vähem kui 50; 5.1.3. AS Paide Vesi aastane bilansimaht või aastakäive ei ületa aastatel 2022-2024 10 miljonit eurot; 5.1.4. Riigi Teatajas ei ole avaldatud õigusakti, millest nähtuks, et AS Paide Vesi oleks määratud mõne riikliku või kohaliku omavalitsuse andmekogu vastutavaks või volitatud töötlejaks; 5.1.5. äriregistrist ei nähtu AS Paide Vesi kuulumine laiemasse korporatsiooni. Arvestades punktis 5.1. toodut võib asuda seisukohale, et AS Paide Vesi on väiksem kui keskmise suurusega ettevõtja, kes ei ole ka samas andmekogu vastutav või volitatud töötleja. Seetõttu ei ole sellel vee-ettevõtjal määruse nr 121 kohaselt Eesti infoturbestandardi rakendamise kohustust. Küberturvalisuse seaduse subjektina peab AS Paide Vesi oma võrgu- ja infosüsteemide kaitseks esmaseid turvameetmeid. Ettevõtja võib vabatahtlikult rakendada täiendavalt Eesti infoturbestandardi meetmeid, ilma et sellega kaasneks standardi rakendamise, sealhulgas auditeerimise kohustus. Eesti Energia AS 25.06.2026 kiri 1. Teeme ettepanku viia E-ITS määruse eelnõu § 3 lõike 2 punktides Arvestatud sisuliselt 1 ja 4 olevad mõisted „hankejuht“ ja „äriüksuse juht“ ühe mõiste alla, mis võiks olla „vara omanik“. „Hankejuhi“ mõiste omab Rollid asendatud tegevustega, mida on vaja arvestada infoturbe praktikas väga kindlat tähendust - tegemist on hagete läbiviimist halduse süsteemi toimimisel. Lisatud andmekaitse. Andmekaitse toetava spetsialisti või hankeüksuse juhiga, kellel ei ole volitusi hõlmab organisatsiooni kui ka organisatsioonile usaldatud otsustamaks, kas midagi hankida (praktikas on tegemist rolliga, andmete kaitse kavandamist ja korraldamist. Muu hulgas hõlmab kes teab, kuidas hankida). Seega sellele mõistele praktikast ka isikuandmete kaitset organisatsiooni poolt, kes neid töötleb. 48  Märkus Märkusega arvestamine erineva tähenduses andmine E-ITS määruses tekitab pigem ebaselgust ning seletuskirjas kirjeldatud rolli organisatsioonis tavaliselt hankejuht ei täida. Lähtudes mõlema mõiste sisust, siis sellist rolli organisatsioonis täitab üldjuhul „vara omanik“, kellel on olemas vajalikud ressursid (nt rahalised vahendid), et tagada vastavate tegevuste ellu viimine. See mõiste on valdkonna praktikutele ühesemalt arusaadavam. Seetõttu teeme ettepaneku kasutada „hankejuhi“ ja „äriüksuse juhi“ asemel ühtset mõistet ja rolli - „vara omanik“, mida saab defineerida järgmiselt: vara omanik - korraldab vara kaardistuse, kaitsetarbe määramise ja vajalike meetmete rakendamise regulaarse seire ning jälgib, et turvameetmed on vara kogu elutsükli ulatuses plaanitud uue vara ja teenuste hankimise etappi juba selle kavandamise käigus. Märkuste tabel edastatud märkuste esitajatele tutvumiseks e-kirjaga 30.07.2026 49  MINISTRI MÄÄRUS 25.08.2026 nr 30 Eesti infoturbestandard Määrus kehtestatakse küberturvalisuse seaduse § 7 lõike 5 ning Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded” § 3 lõike 1 alusel. 1. peatükk Üldsätted § 1. Määruse reguleerimisala ja eesmärk (1) Eesti infoturbestandardi rakendamine seisneb võrgu- ja infosüsteemi infoturbe halduses ja infoturbe halduse meetmete auditeerimises. (2) Teenuseosutajate (edaspidi organisatsioon) Eesti infoturbestandardi rakendamise kohustus ja ulatus on sätestatud Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded” 2. peatükis. (3) Eesti infoturbestandardi kehtestamise eesmärk on: 1) tagada avalike ning ühiskonna toimimiseks vajalike, sealhulgas oluliste ja kriitiliste ülesannete täitmiseks kasutatavate võrgu- ja infosüsteemide kõikehõlmav kaitse ning saavutada infoturbe ühtlane tase kõigis nende osades kogu elutsükli jooksul; 2) luua süsteemne raamistik, mis aitab teenuseosutajal kaitsta oma äriprotsesse, varasid, võrgu- ja infosüsteemi ning ennetada ohte ja hallata riske. (4) Äriprotsess on organisatsiooni põhitegevuste või eesmärkide saavutamiseks vajalike tegevuste kogum, mille käigus kasutatakse aega, raha, töövahendeid ja tööjõudu (edaspidi koos ressursid) teenuse, toote või muu väärtust loova tulemuse pakkumiseks. 2. peatükk Infoturbe haldus § 2. Infoturbe halduse süsteem (1) Infoturbe halduse süsteemi raames vaadatakse organisatsiooni: 1) tegevusvaldkonda, eesmärke, protsesse, protseduure ja tavasid; 2) õigusaktidest ning lepingutest tulenevaid õigusi ja kohustusi; 3) keskkonda, ressursse ja vara. (2) Infoturbe halduse toimimiseks tuleb korraldada vähemalt järgmisi tegevusi: 1) vara kasutusele võtmine – vara kogu elutsükli ulatuses infoturbe riskide tuvastamine ja hindamine, turvameetmete planeerimine ja rakendamine, sealhulgas meetmete planeerimine uue vara ja teenuste hankimise etapis või selle kavandamise käigus; 2) vara kasutamine – kasutusse antud vara kasutamise korra järgimine, infoturbekoolituste regulaarne läbimine, intsidentidele kokkuleppekohane reageerimine, sealhulgas küberintsidentidest teavitamine; 3) vara haldamine – kaitsetarbe määramise korraldamine ja kaitsetarbe saavutamiseks vajalike meetmete rakendamise regulaarne seire; 4) andmekaitse – organisatsiooni andmete või organisatsioonile usaldatud andmete kaitse korraldamine. (3) Taasesitatavas vormis säilitatakse vähemalt järgmist teavet: 1) infoturbe halduse süsteemi alusdokumendid ja otsuste kulg; 2) infoturbesündmused ja organisatsiooni reaktsioon neile; 3) infoturbe meetmete rakendusplaan ja selles sisalduvad riskikäsitlus viisid. § 3. Organisatsiooni juhatuse tegevus (1) Infoturbe halduse süsteemi toimimist korraldab organisatsiooni juhatus. (2) Infoturbe halduse süsteemi toimimiseks juhatus: 1) määrab organisatsiooni siseselt § 2 lõikes 2 sätestatud tegevuste eest vastutajad või jätab vastutuse juhatusele; 2) eraldab vajalikud ressursid; 3) määrab kindlaks infoturbe eesmärgid, kehtestades infoturvapoliitika; 4) otsustab infoturvameetmete rakendamise plaanis kavandatud meetmete rakendamata jätmisest tulenevate riskide aktsepteerimise üle, arvestades võimalikku mõju äriprotsessile. (3) Infoturbe halduse süsteemi korraldus peab võimaldama juhatusel saada regulaarseid ja operatiivseid ülevaateid: 1) riskidest ning nende võimalikust mõjust ja kulust; 2) toimunud küberintsidentide mõjust äriprotsessidele; 3) õigusaktides ja lepingutes sätestatud nõuetest ja nende muudatustest; 4) infoturbe hetkeseisust ja infoturvameetmete rakendamise plaani täitmisest. § 4. Infoturvapoliitika (1) Infoturvapoliitikas esitatakse vähemalt: 1) turbe üldised eesmärgid ja põhimõtted, sealhulgas riskihalduse alused; 2) rollide ja vastutusalade jaotus; 3) küberintsidentide käsitlemise ja infoturbe halduse süsteemi hindamise alused; 4) viited seotud dokumentidele, sealhulgas näiteks alampoliitikad, korrad, tegevuse dokumentatsioon. (2) Infoturvapoliitika vaadatakse üle ja vajaduse korral muudetakse vähemalt kord kalendriaastas. § 5. Riskihaldusmetoodika (1) Enne riskihaldusmetoodika kasutuselevõtmist peab organisatsioon tuvastama kaitseala äriprotsessile olulised varad. (2) Organisatsioon peab kehtestama riskihaldusmetoodika, mis on seotud organisatsiooni üldise riskihaldusega ja koosneb vähemalt järgmisest: 1) äriprotsessidele mõju avaldavate riskide tuvastamine ja hindamine, arvestades konfidentsiaalsust, autentsust, terviklust ja käideldavust; 2) vara ja äriprotsessi vastendamine infoturbekataloogi moodulitega; 3) infoturvameetmete rakendamise plaani täitmise otsused, sealhulgas riskide hindamine. § 6. Infoturbekataloog (1) Infoturbekataloog (lisa 1) on organisatsiooni kahjustada võivate ohtude kaitseks võetavate meetmete loend. (2) Lõikes 1 nimetatud meetmed jaotatakse protsessi- ja süsteemimoodulitesse. 2 § 7. Infoturvameetmete rakendamise plaan (1) Infoturvameetmete rakendamise plaan on organisatsioonikeskne struktureeritud ühest või mitmest dokumendist koosnev juhend turvameetmete haldamiseks. (2) Infoturvameetmete rakendamise plaanis esitatakse asjakohased infoturbekataloogiga seotud meetmed. Riskihalduse põhjal lisatakse kõnealusesse rakendusplaani vajaduse korral lisameetmeid, mis on tarvilikud kaitsetarbe saavutamiseks. (3) Infoturbekataloogi süsteemimoodulite meetmeid rakendatakse kõigile kaitseala varadele kooskõlas infoturbemeetmete rakendamise plaaniga. (4) Infoturbekataloogi protsessimoodulite meetmed lõimitakse igapäevasesse töökorraldusse. (5) Infoturbekataloogi meetmete rakendamise prioriteetide ja tähtaegade määramisel lähtutakse kaitsetarbest, varade omavahelisest sõltuvusest ja vara elutsükli etapist. (6) Infoturvameetmete rakendamise plaanis võib ette näha infoturbekataloogi mooduli meetme asendamise muu samaväärse meetmega või meetme rakendamata jätmise, kui: 1) kaitsetarve on täidetud; 2) organisatsioon on riski aktsepteerinud. (7) Meetme rakendamise tähtaeg ja tegevuste regulaarsus peab tagama kaitsetarbe saavutamise mõistliku aja jooksul. Kui meetme rakendamise tähtaeg ületab ühte aastat, tuleb seda käsitleda riskihalduses kui aktsepteeritud riski. (8) Kui äriprotsess sõltub organisatsioonivälisest tarneahelast, hinnatakse sellega kaasnevaid riske. (9) Organisatsioonivälise tarneahela kaitse vajaduse hindamiseks on organisatsioonil õigus nõuda väliselt osapoolelt kaitsetarvet tagavate turvameetmete rakendamist, sealhulgas seirearuandeid, asjakohase käsitlusalaga auditi järeldusotsuseid, turvasertifikaate, enesehindamise tulemusi või muud asjakohast teavet. (10) Kui riski ei saa infoturvalisuse tagamise tõttu aktsepteerida, tuleb kaaluda alternatiivseid meetmeid või välise osapoole vahetust. § 8. Personali koolitamine Organisatsioon korraldab personalile järjepidevalt koolitusi eesmärgiga: 1) parandada ja tõsta turvateadlikkust; 2) tagada teabe turvalise töötlemise ja töövahendite turvalise käitlemise oskused; 3) ennetada riskikäitumist; 4) suurendada teadlikkust küberintsidentide ennetamisest, tuvastamisest ja neile reageerimisest ning täiendada sellealaseid oskusi. 3. peatükk Seire § 9. Organisatsioonisisene hindamine (1) Organisatsioon hindab regulaarselt, kas tal on: 1) kindlaks määratud äriprotsessid; 2) kaardistatud äriprotsessidega seotud varad; 3) kindlaks tehtud välised infoturvanõuded, sealhulgas õigusaktid ja lepingud; 4) tuvastatud ja hinnatud äriprotsessidele mõju avaldavad riskid; 5) vastendatud infoturbekataloogi moodulid kaitseala varaga; 6) kehtestatud riskihaldusmetoodika; 7) koostatud infoturvameetmete rakendamise plaan; 8) rakendatud ja seiratud infoturvameetmeid vastavalt infoturvameetmete rakendamise plaanis seatud tähtaegadele; 9) kõrvaldatud auditite ja hindamiste käigus tuvastatud puudused. 3 (2) Lõikes 1 nimetatud hindamist võib teha organisatsiooniväline isik. (3) Lõikes 1 nimetatud hindamise käigus tuvastatud puudused tuleb kõrvaldada ja infoturvameetmete rakendamata jätmisest tulenevad riskid aktsepteerida auditeerimise alguseks. § 10. Auditeerimine (1) Auditeerimise eesmärk on hinnata, kas auditeeritava organisatsiooni infoturbe halduse süsteem ja selle raames rakendatud meetmed vastavad 2. peatüki nõuetele ning kaitsevad organisatsiooni äriprotsesse ja eesmärkide täitmist. (2) Organisatsioonivälise audiitori sõltumatu hinnang annab organisatsioonile, selle klientidele ja partneritele teavet auditeeritava infoturbe halduse süsteemi jätkusuutlikkuse ja infoturvalisuse ohtudele vastupanuvõime kohta. (3) Organisatsioonipoolset auditi tellimist, auditiga kaasnevaid kohustusi, auditi kvaliteedi hindamist ning audiitoripoolset auditi kavandamist, tegemist ja selle kohta aruande koostamist on kirjeldatud auditeerimiseeskirjas (lisa 2). 4. peatükk Eesti infoturbestandardi tugi ja rakendamine § 11. Eesti infoturbestandardi rakendamise tugitegevused (1) Eesti infoturbestandardi rakendamise toetamiseks ja ühtlustamiseks loob Riigi Infosüsteemi Amet asjaomase veebilehe või rakenduse. (2) Riigi Infosüsteemi Amet võib lõikes 1 sätestatud veebilehel või rakenduses anda Eesti infoturbestandardi rakendamist toetavaid soovituslikke juhiseid ning esitada muud rakendamist toetavat ajakohast teavet. § 12. Enne määruse jõustumist rakendatud turvameetmete ja koostatud dokumentatsiooni kehtivus (1) Enne käesoleva määruse jõustumist Eesti infoturbestandardi järgimiseks rakendatud turvameetmed, mis ei ole vastuolus määrusega, kehtivad kuni nende rakendamise lõppemiseni või ajakohastamiseni. (2) Enne käesoleva määruse jõustumist Eesti infoturbestandardi järgimiseks koostatud dokumentatsioon kehtib kuni kolm aastat määruse jõustumisest. (3) Lõikes 2 sätestatud dokumentatsiooni uuendamisel määruses sätestatud korras enne lõikes 2 sätestatud tähtaja möödumist kehtib dokumentatsioon ettenähtud korra kohaselt. § 13. Määruse kehtetuks tunnistamine Ettevõtlus- ja infotehnoloogiaministri 16. detsembri 2022. a määrus nr 101 „Eesti infoturbestandard“ tunnistatakse kehtetuks. § 14. Määruse jõustumine Määrus jõustub 1. septembril 2026. a. (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister (allkirjastatud digitaalselt) Tiina Uudeberg kantsler 4  Justiits- ja digiministri 25.08.2026 määruse nr 30 „Eesti infoturbestandard“ lisa 1 Infoturbekataloog Tabel 1. Protsessimoodulid Protsessimoodulid GRC. Turbehaldus GRC.1. Infoturbe haldus Esitada infoturbe halduse süsteemi rajamise ja täiustamise üldiselt meetmed ning turbekontseptsiooni väljatöötamise juhised Esitada meetmed infoturbe korralduse sobitamiseks GRC.2. Infoturbe organisatsiooniga ning infoturbe haldamiseks. Käsitletakse korraldus infoturbeprotsesside haldust ja infoturbeülesandeid organisatsioonis Esitada meetmed, mis tagavad organisatsiooni varade kaitse ja GRC.3. Varade haldus halduse kogu vara elutsükli vältel ning toetavad varade tervikluse säilitamist ja asutuse turvalist toimimist GRC.4. Isikuandmete Esitada meetmed füüsilise isiku kui andmesubjekti põhiõiguste kaitse kaitseks isikuandmete töötlemisel Esitada krüptograafilise vahendi kasutamise korralduslikud GRC.5. Krüptograafia meetmed ning krüptokontseptsiooni koostamise juhised Esitada organisatsiooni eesmärkidel, õigusaktidel, lepingutel ja GRC.6. Vastavuse haldus poliitikatel põhinevate turvanõuete kehtestamise ja järgimise meetmed Esitada infoturbe auditi ja sõltumatu läbivaatuse tegemise üldised juhised, et täiustada organisatsiooni infoturvet, vältida soovimatuid GRC.7. Audit ja läbivaatus suundumusi valdkonnas ja optimeerida turvameetmeid ja - protsesse ORP. Organisatsioon ja personal ORP.1. Identiteedi- ja õiguste haldus Esitada identiteedi- ja õiguste halduse korraldamise meetmed. Nii ORP.1.1. Identiteedi- ja kasutajad kui infotehnoloogia (edaspidi IT) komponendid peavad õiguste haldus üldiselt saama juurdepääsu üksnes vajalikele IT-ressurssidele ja teabele ORP.1.2. Esitada meetmed, mis tagavad, et organisatsiooni ametlike Sotsiaalmeediakonto sotsiaalmeediakontode loomine, haldamine ja kasutamine toimub haldus turvaliselt ühtse korra alusel Esitada meetmed, mille abil personaliosakond ja juht tagavad, et ORP.2. Personali haldus nii oma kui ka välised töötajad tegutsevad organisatsiooni turvaeesmärke silmas pidades ORP.3. Töötaja Esitada töötaja turvateadlikkuse tõstmise ja töötaja koolitusplaani infoturvateadlikkuse koostamise meetmed, arvestades organisatsiooni spetsiifikat ja tõstmine töötaja vajalikke teadmisi ja oskusi Esitada meetmed andmete turvalisuse tagamiseks töötaja ORP.4. Välislähetuse välislähetuses viibimisel ning abistada vastutavaid isikuid infoturve välislähetuste turvameetmete kehtestamisel 1  Esitada organisatsiooni ja välise poole vahelise turvalise ORP.5. Teabevahetus teabevahetuse meetmed Esitada kaugtöö raames talletatava, töödeldava ja edastatava teabe ORP.6. Kaugtöö kaitse meetmed ORP.7. IT-vahendi turvaline kasutamine ORP.7.1. IT-vahendi Esitada meetmed, et tagada organisatsiooni töövahendi turvaline kasutamine üldiselt kasutamine, mis on kooskõlas infoturvanõuetega Esitada meetmed, et tagada organisatsioonis isikliku töövahendi (nt ORP.7.2. Isikliku seadme isiklik mobiiltelefon, tahvelarvuti, sülearvuti, nutikell, isiklikud kasutamine kõrvaklapid) turvaline kasutamine, mis on kooskõlas infoturvanõuetega ORP.7.3. Mobiiltelefoni Esitada meetmed mobiiltelefoni turvaliseks kasutamiseks kasutamine ORP.8. Raadioside turvaline kasutamine Esitada meetmed, et tagada organisatsioonis kasutatava raadiosidetehnoloogia (nt WiFi, Bluetooth, NFC, RFID ja muud ORP.8.1. Raadioside lühimaa raadioside protokollid) turvaline kasutamine, vältides kasutamine üldiselt volitamata juurdepääsu, andmeside pealtkuulamist ja seadmete manipuleerimist Esitada organisatsiooni WiFi-võrgu kavandamise ja turvalise ORP.8.2. WiFi kasutamine käitamise meetmed, et vältida volitamata juurdepääsu sidevõrgule ja andmeleket Esitada meetmed, et tagada organisatsioonis lähiväljaside ORP.8.3. Lähiväljaside tehnoloogia turvaline kasutamine, mis on kooskõlas kasutamine organisatsiooni infoturvanõuetega Esitada meetmed, et tagada Bluetoothi tehnoloogia turvaline ORP.8.4. Bluetoothi kasutamine organisatsioonis, vältides volitamata sidumisi, kasutamine andmeleket, seadmete ülevõtmist ning muid lähiväljasidega seotud riske OPS. IT haldus OPS.1. IT valdkonna põhitööd Kehtestada infoturvameetmed lahutamatu osana kõigist IT halduse põhiaspektidest (IT-varade haldamine, IT-hanked, IT käitamine, OPS.1.1. IT haldus üldiselt muudatuste haldus, seire, intsidentide haldus ja IT-vahendite kasutusest kõrvaldamine) Esitada organisatsiooni tarkvarauuendite ja IT-süsteemide OPS.1.2. Muudatusehaldus muudatusehalduse protseduuri kohaldamise, juhtimise ja optimeerimise meetmed Esitada organisatsioonis töödeldavate andmete varunduse OPS.1.3. Andmevarundus korraldamise meetmed OPS.1.4. Andmete Esitada digitaalsete dokumentide muutumatul kujul pikaajalise, digitaalne arhiveerimine turvalise ja ennistatavalt säilitamise meetmed OPS.1.5. Turvasündmus Esitada logiandmete turvalise kogumise, talletamise ja logimine nõuetekohase analüüsimise ja kõrvaldamise meetmed OPS.1.6. Tarkvara Esitada mistahes tarkvararakenduse või -süsteemi testimise ja testimine ja kasutuselevõtt kasutuselevõtu meetmed OPS.1.7. Arvutikellade Esitada meetmed täpse ajaarvestuse tagamiseks IT-komponentide sünkroniseerimine töös 2 OPS.1.8. IT-süsteemi Esitada IT-süsteemi turvalise kaughoolduse korraldamise meetmed kaughooldus OPS.1.9. Kaitse Esitada kahjurprogrammi vastase kaitse korraldamise meetmed kahjurprogrammide eest Esitada infotehnoloogiliste turvanõrkuste haldamise protseduuride OPS.1.10. Turvanõrkuste väljatöötamise meetmed koos juhistega, et minimeerida haldus küberrünnete mõju OPS.1.11. Andmete Esitada andmete turvalise kustutamise ja andmekandja hävitamise turvaline kustutamine meetmed OPS.2. IT haldus teenusena OPS.2.1. Väljasttellimine Esitada meetmed väljasttellitava teenuse turvaeesmärkide üldiselt saavutamise tagamiseks kogu allhanke kestel OPS.2.2. Pilvteenuse Esitada meetmed pilvteenuse kavandamiseks ja turvaliseks integratsioon käitamiseks organisatsiooni äriprotsessi toetamise eesmärgil äriprotsessiga Esitada meetmed mistahes sisseostetava teenuse kvaliteedi OPS.2.3. Teenuseleping tagamise lepete sätestamiseks teenuse osutamise lepingus (inglise välise teenuseosutajaga keeles service level agreement, lühend SLA) Esitada infoturbe haldamise meetmed tarneahela nõutava OPS.2.4. Tarneahela turvataseme hoidmiseks, lähtudes tarneahela osalistelt nõutavatest infoturve meetmetest Esitada X-tee andmeteenuse turvalise kasutamise ja kaitse meetmed. X-tee turvaserveriga liidestatud IT-süsteem ei tohi OPS.2.5. X-tee ohustada X-tee taristut ega sattuda X-teega liidestatuse tõttu ise andmeteenus haavatavasse olukorda. Samuti peab andmete liikumine eri organisatsioonide ja üksuste vahel põhinema selgetel õiguslikel alustel OPS.3. Süsteemide haldus Esitada mistahes süsteemina käsitatava keskkonna turvalise OPS.3.1. Süsteemi haldus halduse meetmed. Kuna süsteemi haldamiseks on vaja eeliskontot, üldiselt tuleb rakendada meetmeid selle võimaluse väärkasutuse tõkestamiseks OPS.3.2. Mobiilseadmete Esitada mobiilseadmete halduse kavandamise ja turvalise keskhaldus käitamise meetmed DER. Avastamine ja reageerimine Esitada turvasündmusega seotud andmete kogumise, seostamise ja DER.1. Turvaintsidendi hindamise meetmed, et tagada turvaintsidendi terviklik ja avastamine õigeaegne avastamine DER.2. Turvaintsidentide haldus DER.2.1. Turvaintsidendi Esitada turvaintsidendi süstemaatilise käsitlemise meetmed käsitlus Esitada meetmed infoturvaintsidendi kriminalistika DER.2.2. IT-kriminalistika võimaldamiseks oluliste ettevalmistuste kaudu IT-süsteemi võimaldamine projekteerimise ja käigushoiu etappides DER.2.3. Ulatusliku Esitada ulatusliku turvaintsidendi lahendamise meetmed turvaintsidendi lahendamine 3 DER.3. Turvatestimine ja Esitada infoturbe nõuetelevastavuse testimise ja infoturbeõppuse õppus korraldamise meetmed Esitada meetmed infoturbe ja talitluspidevuse tagamiseks DER.4. Talitluspidevus avariiolukorras 4 Tabel 2. Süsteemimoodulid Süsteemimoodulid INF. Taristu Esitada meetmed, mis käsitlevad organisatsiooni tüüphoone INF.1. Hoone tehnilisi ja korralduslikke turvaaspekte INF.2. Hoone ruumid Esitada infoturvameetmed, mis on kohaldatavad bürooruumile INF.2.1. Bürooruum (nt kontor, ladu või muu ruum, kus asub arvutitöökoht) ja bürootöökohale INF.2.2. Serveriruum ja Esitada serveriruumi ja andmekeskuse turvaliste ja jätkusuutlike andmekeskus käidutingimuste loomise ja säilitamise meetmed INF.2.3. Tehnilise taristu Esitada tehnilise taristu ruumi või tehnilise taristu kapi ruum turvalisuse tagamise meetmed Esitada andmekandjate arhiivi ja arhiveeritaval andmekandjal INF.2.4. Arhiiviruum oleva teabe kaitse meetmed INF.2.5. Koosoleku-, Esitada koosoleku-, ürituse- ja koolitusruumis töödeldava teabe ürituse- ja koolitusruum ja neis ruumides olevate IT-seadmete kaitse meetmed Esitada mobiilsele töökohale kohaldatavad korralduslikud, tehnilised ja personali käsitlevad meetmed, mida arvestatakse ja INF.3. Mobiilne töökoht täidetakse siis, kui töötaja töötab väljaspool organisatsiooni ruume Esitada meetmed organisatsiooni teabe kaitseks ja turvalise INF.4. Kodutöökoht taristu rajamiseks kodutöökohas Esitada organisatsiooni mehitatud ja mehitamata, sh isejuhtiva INF.5. Sõiduki IT- sõiduki infoturvameetmed juhul, kui sõiduk (nt mootor-, vee- komponendid või õhusõiduk) on varustatud tänapäevaste infotehnoloogiliste komponentidega Esitada meetmed hoone elektritoite kaitseks rikete, häirete ja INF.6. Elektrikaabeldus manipuleerimise eest INF.7. Tehnosüsteemid Esitada hoone või hoonete tehnoseadmete ja -süsteemide (nt INF.7.1. Hoone kütte-, jahutus-, ventilatsiooni-, konditsioneerimis-, vee-, tehnosüsteemide haldus valgustus-, tulekaitse- ja nõrkvoolusüsteemid; inglise keeles üldiselt technical building management, lühend TBM) kavandamise ja turvalise käitamise meetmed Esitada hooneautomaatikasüsteemi (inglise keeles building INF.7.2. automation and control system, lühend BACS) kavandamise ja Hooneautomaatikasüsteem turvalise käitamise meetmed Esitada puhvertoiteallika kavandamise ja turvalise käitamise INF.7.3. Puhvertoiteallikas meetmed NET. Andme- ja kõneside NET.1. Arvutivõrk NET.1.1. Võrguhaldus Esitada turvalise võrguhalduse rajamise ja käigus hoidmise ning üldiselt turvalise andmeside tagamise meetmed NET.1.2. Kohtvõrk Esitada võrgu arhitektuuri ja võrgulahenduse infoturvameetmed NET.1.3. Raadiokohtvõrk Esitada raadiokohtvõrgu rajamise ja turvalise käitamise juhised NET.1.4. Virtuaalne Esitada virtuaalse privaatvõrgu kavandamise ja turvalise privaatvõrk käitamise meetmed 5 NET.2. Sidevõrgu Esitada meetmed sidekaabelduse kaitseks rikete, häirete ja kaabeldus manipuleerimise eest NET.3. Võrgukomponendid NET.3.1. Esitada arvutivõrgu mistahes komponendi turvalise käitamise Võrgukomponent üldiselt meetmed Esitada tulemüüri või tulemüürisüsteemi turvalise hankimise, NET.3.2. Tulemüür rajamise, konfigureerimise ja käitamise meetmed NET.3.3. Marsruuter Esitada ruuteri turvalise käitamise meetmed NET.3.4. Kommutaator Esitada kommutaatori turvalise käitamise meetmed NET.3.5. Raadiokohtvõrgu Esitada raadiokohtvõrgu komponendi turvalise käitamise pääsupunkt meetmed NET.4. Võrguühenduse Esitada võrguseadme turvalise konfigureerimise ja käitamise automaatne seadistus meetmed Esitada meetmed arvutivõrgu klientseadme võrkupääsu NET.5. Võrkupääsu reguleerimise (inglise keeles network access control, lühend reguleerimise süsteem NAC) süsteemi kavandamise ja turvalise käitamise meetmed SYS. IT-süsteemid SYS.1. Serverid Esitada serverina kasutatavas IT-komponendis töödeldavate SYS.1.1. Server üldiselt andmete ning sellega seotud rakenduste kaitse meetmed Esitada Microsoft Windowsi operatsioonisüsteemiga serveri SYS.1.2. Microsoft turvalise käitamise ja serverisüsteemis töödeldavate andmete Windowsi server ning protsesside kaitsmise meetmed Esitada Linuxi ja UNIXi operatsioonisüsteeme kasutava SYS.1.3. Linuxi server serverisüsteemi ja selles töödeldavate andmete ning protsesside kaitse meetmed SYS.1.4. Riistvaraline Esitada riistvaralise serverisüsteemi turvalise käitamise server meetmed Esitada virtualiseeritud serverisüsteemi turvalise käitamise SYS.1.5. Virtuaalserver meetmed Esitada konteinertehnoloogia kavandamise ja turvalise käitamise SYS.1.6. Konteinerdus meetmed Esitada meetmed konteinerduse haldamiseks ja andmete SYS.1.7. Kubernetes kaitsmiseks Kubernetese keskkonnas SYS.2. Lõppkasutaja tööjaamad Esitada meetmed tööjaamas töödeldavate andmete kaitseks olenemata arvuti tüübist või selles kasutatavast SYS.2.1. Tööjaam üldiselt operatsioonisüsteemist ning suurendada teadlikkust seadme spetsiifilistest ohtudest SYS.2.2. Microsoft Esitada Microsoft Windowsi operatsioonisüsteemi kasutava Windowsi tööjaam tööjaama andmete kaitse meetmed Esitada Linuxi operatsioonisüsteemi kasutava tööjaama andmete SYS.2.3. Linuxi tööjaam kaitse meetmed SYS.2.4. Apple macOSi Esitada macOSi operatsioonisüsteemi kasutavas tööjaamas tööjaam talletatud andmete kaitse meetmed Esitada meetmed sülearvuti turvaliseks kasutamiseks SYS.2.6. Sülearvuti organisatsioonis ja suurendada teadlikkust seadme spetsiifilistest ohtudest 6  Esitada irdandmekandja (inglise keeles removable media) SYS.2.7. Irdandmekandja turvalise kasutamise meetmed Esitada serverisõnumiploki (inglise keeles server message SYS.2.8. block, lühend SMB ) andmesideprotokolli kavandamise ja Failijagamisteenus turvalise käitamise meetmed SYS.3. Mobiilseadmed SYS.3.1. Mobiilseade Esitada meetmed tööülesannete täitmiseks kasutatava üldiselt nutitelefoni ja tahvelarvuti jaoks Esitada Androidi operatsioonisüsteemiga mobiilseadme SYS.3.2. Google Android turvalise haldamise meetmed Esitada iOSi ja iPadOSi operatsioonisüsteemiga mobiilseadme SYS.3.3. Apple iOS turvalise haldamise meetmed SYS.4. Muud võrgustatud seadmed SYS.4.1. Esemevõrgu Esitada esemevõrgu (inglise keeles internet of things, lühend seade üldiselt IoT) seadme turvalise haldamise meetmed SYS.4.2. Printer ja Esitada võrgustatud printeri ja kontorikombaini turvalise kontorikombain haldamise ja kasutamise meetmed Esitada sardsüsteemi (inglise keeles embedded system) turvalise SYS.4.3. Sardsüsteem kasutamise meetmed SYS.5. Serveriteenused SYS.5.1. Serveriteenus Esitada mistahes serveriteenuse turvalise seadistamise ja üldiselt haldamise meetmed SYS.5.2. Failiserver Esitada failiserveri turvalise käitamise meetmed SYS.5.3. Esitada andmebaasisüsteemi kavandamise ja turvalise käitamise Andmebaasiserver ning andmebaasides töödeldava teabe kaitsmise meetmed Esitada veebirakenduse turvalise töötamise ning töödeldava SYS.5.4. Veebirakendus teabe kaitsmise meetmed Esitada meetmed ajaserveri turvaliseks seadistamiseks SYS.5.5. Ajaserveri teenus usaldusväärse ja täpse kellaaja tagamise eesmärgil kõigis seotud IT-süsteemides Esitada organisatsioonis kasutatava domeeninimesüsteemi SYS.5.6. (inglise keeles domain name system, lühend DNS) Domeeninimesüsteem serveriteenuste turvalise käitamise meetmed Esitada veebiserveri ja veebiserveri kaudu juurdepääsetava SYS.5.7. Veebiserver teabe kaitse meetmed Esitada andmesalvestilahenduse kavandamise, turvalise SYS.5.8. Andmesalvesti käitamise ja kasutuselt kõrvaldamise meetmed Esitada terminaliserveri kavandamise ja turvalise käitamise SYS.5.9. Terminaliserver meetmed Esitada e-posti serveri turvalise seadistamise ja käitamise SYS.5.10. E-posti server meetmed SYS.5.11. Microsoft Esitada Microsoft Exchange’i rühmatarkvaralahenduse Exchange kavandamise ja turvalise käitamise meetmed Esitada kataloogiteenuse kavandamise, turvalise käitamise ja SYS.5.12. Kataloogiteenus kõrvaldamise ning kataloogiteenuse andmete kaitsmise meetmed SYS.5.13. Microsoft Active Esitada meetmed Microsoft Active Directory Domain Services’i Directory Domain Services tavakasutuse turbeks, kui Active Directory teenust kasutatakse 7  Microsoft Windowsi süsteemidest koosneva taristu ja keskse autentimis- ja autoriseerimislahenduse haldamiseks Esitada X-tee turvaserveri kaitse meetmed, et tagada SYS.5.14. X-tee andmevahetuse tõendusväärtus ja X-teega seotud äriprotsesside turvaserver usaldusväärsus Esitada meetmed tehisarusüsteemi turvaliseks SYS.5.15. Tehisarusüsteem kasutuselevõtmiseks ja käitamiseks organisatsioonis SYS.5.16. IP-telefonside Esitada VoIP-põhise sidesüsteemi komponendi ja IP-telefoni server kõneedastuse turvalisuse tagamise meetmed SYS.5.17. Esitada serveri virtualiseerimiskeskkonna turvalisuse tagamise Virtualiseerimissüsteem meetmed Esitada virtuaaltöölaua taristu (inglise keeles virtual desktop SYS.5.18. Töölaua infrastructure, lühend VDI) kavandamise ja turvalise käitamise virtualiseerimine meetmed SYS.5.19. Elektrooniline Esitada digitaalsete andmete arhiveerimise süsteemi arhiivisüsteem kavandamise ja turvalise käitamise meetmed SYS.5.20. Keskne Esitada keskse logitaristu kavandamise ja käitamise meetmed logitaristu SYS.6. Pilvandmetöötlus SYS.6.1. Pilvandmetöötlus Esitada pilvandmetöötluse kavandamise ja turvalise käitamise üldiselt meetmed Esitada pilvrakenduse turvalise seadistamise ja käitamise SYS.6.2. Pilvrakendus meetmed SYS.7. Käidutehnoloogia Esitada korralduslikud ja kontseptuaalsed meetmed SYS.7.1. Käidutehnoloogia käidutehnoloogia (inglise keeles operational technology, lühend üldiselt OT) turvaliseks kasutamiseks organisatsioonis Esitada tööstusautomaatikasüsteemi (inglise keeles industrial automation and control system), sh protsessijuhtimissüsteemi SYS.7.2. (inglise keeles industrial control system, lühend ICS) ja Tööstusautomaatika SCADA-süsteemi komponentide turbe meetmed, olenemata komponentide valmistajast, arhitektuurist, otstarbest ja paigalduskohast Esitada autonoomse süsteemi, sh nutika anduri, andurina töötava SYS.7.3. seadmestiku ja robotseadme turbe meetmed, olenemata selle Autonoomnesüsteem valmistajast, otstarbest, arhitektuurist või asukohast SYS.7.4. Esitada infoturvameetmed ohutusautomaatika süsteemi Ohutusautomaatika turvaliseks kasutuselevõtmiseks ja käitamiseks Esitada programmeeritava kontrolleri (inglise keeles SYS.7.5. Programmeeritav programmable logic controller, lühend PLC) turvalise kontroller kasutuselevõtmise ja käitamise meetmed, olenemata nende valmistajast, otstarbest, arhitektuurist või asukohast Esitada käidutehnoloogia komponentide turvalise kaughoolduse SYS.7.6. Käidutehnoloogia meetmed. Käidutehnoloogia koosneb tavaliselt eri tootjate komponentide riistvara- ja tarkvarakomponentidest, mille käigushoidmiseks ja kaughooldus hooldamiseks tuleb tagada volitatud hoolduspersonali kaugjuurdepääs APP. Lõppkasutaja rakendused 8  Esitada lõppkasutaja tööjaamas kasutatava tarkvara ja tarkvaraga töödeldavate andmete turbe meetmed, sh tarkvara APP.1. Tarkvara üldiselt kasutuselevõtmise, hankimise, kasutamise ja kasutuselt kõrvaldamise meetmed Esitada meetmed andmete kaitsmiseks tööjaama veebilehitseja APP.2. Veebilehitseja kaudu realiseeruda võivate ohtude eest, hõlmates nii tsentraalselt kui ka iseseisvalt hallatavaid töökeskkondi APP.3. E-posti klient Esitada e-posti kliendi töödeldavate andmete kaitse üldmeetmed Esitada kontoritarkvaras töödeldavate andmete kaitsmise ja APP.4. Kontoritarkvara kontoritarkvara turvalise haldamise meetmed Esitada ühendatud side- ja koostöölahenduse (inglise keeles APP.5. Rühmatarkvara unified communication and collaboration, lühend UCC) turvalise kasutamise meetmed Esitada äriprotsessi toetavas mobiilirakenduses töödeldavate APP.6. Mobiilirakendus andmete kaitse meetmed DEV. Tarkvaraarendus Esitada organisatsiooni tellitud või organisatsioonis arendatava DEV.1. Tarkvaraarendus tarkvaralahenduse infoturbe haldamise ja tarkvara turvalisuse üldiselt tagamise meetmed Esitada organisatsiooni individuaalseks kasutusotstarbeks välja DEV.2. töötatud või organisatsiooni tarbeks oluliselt kohandatud Tarkvaraarendusprojekt rakenduste projektipõhise arendamise meetmed Esitada dünaamilise (muutuva sisuga) veebirakenduse turvalise DEV.3. Veebirakenduse arendamise ja veebirakenduses töödeldavate andmete kaitsmise arendus meetmed DEV.4. Integreerimine Eesti e-riigi teenustega Esitada meetmed elektroonilise identiteedi (eID) komponendi ja DEV.4.1. eID komponent sellega seotud teenuste rakendamiseks organisatsioonis 9  Justiits- ja digiministri 25.08.2026 määruse nr 30 „Eesti infoturbestandard“ lisa 2 Auditeerimiseeskiri 1. Terminid Käesolevas lisas kasutatakse järgmisi termineid: audiitor – (inglise keeles auditor) audiitorettevõttele auditi raames tööd tegev isik; audiitorettevõte – (inglise keeles auditing entity) juriidiline isik, kes osutab võrgu- ja infosüsteemide auditeerimise teenust; audit – auditeerimine määruse § 10 lõikes 1 sätestatud eesmärgil; auditeeritav – (inglise keeles auditee) teenuseosutaja (edaspidi organisatsioon) või selle osa, keda või mida auditeeritakse, või auditi tellinud organisatsioon; auditi käsitlusala – (inglise keeles audit scope) auditi või läbivaatuse ulatus ja piirid, millega määratakse muu hulgas kindlaks auditeeritavad või läbivaadatavad tegevuskohad, organisatsiooni üksused, protsessid, funktsioonid, süsteemid, varad ja tarneahela haldus; auditirühm – audiitorettevõtte poolt auditi tegemiseks audiitoritest ja tehnilistest ekspertidest moodustatud rühm; juhtivaudiitor – (inglise keeles lead auditor) auditirühma juhtiv audiitor; teenuseandja – füüsiline või juriidiline isik, kes teeb digielemente sisaldava toote tarbijale vahetult või kellegi kaudu turul tasuta või tasu eest kättesaadavaks või kes annab tarbijale vahetult või kellegi kaudu tasuta või tasu eest digielemente sisaldava tootega seotud teenuse. 2. Auditi üldine korraldus 2.1. Auditi tegemiseks sõlmitakse audiitorettevõttega auditeerimisleping ja konfidentsiaalsusleping. 2.2. Auditi riski vähendamiseks ei tohi audiitorettevõte ja juhtivaudiitor teha järjest üle kahe sama organisatsiooni auditi. 2.3. Auditeeritav määrab auditi tegemise ajaks kontaktisiku või -isikud. 2.4. Auditi tegemine plaanitakse koostöös auditeeritava kontaktisikuga, kes tagab vajalike andmete ja isikute kättesaadavuse auditi ajal. Põhjendatud juhtudel ja eelneval kokkuleppel võib auditiprotseduure teha kaugtöö vormis, sellisel juhul kajastatakse see fakt auditi lõpparuandes ja auditi järeldusotsuses koos kaugtöö vormis tehtud auditi käsitlusala kirjeldusega. 3. Auditi tellimine või hankimine 3.1. Auditit tellides või hankides kirjeldab auditeeritav üheselt ja arusaadavalt auditi käsitlusala, sealhulgas auditeeritavat äriprotsessi, sellele määratud kaitsetarvet ning äriprotsessi erisusi. Käsitlusala peab hõlmama vähemalt küberturvalisuse seaduse § 3 lõigetes 2–5 nimetatud tegevusaladega seotud võrgu- ja infosüsteeme. 3.2. Auditeeritav esitab audiitorettevõttele rakendamisele määratud infoturbekataloogi moodulite nimekirja, andmetöötluse tegevuskohad, kasutatavad töökeeled, arvutikasutajate arvu, infotehnoloogia (edaspidi IT) meeskonna suuruse, IT-taristu lühikirjelduse ja väljasttellitavate IT-teenuste loendi. 3.3. Kui auditi käsitlusalasse kuuluvaid andmeid töödeldakse mitmes auditeeritava tegevuskohas, esitab auditeeritav lepingus minimaalse tegevuskohtade arvu, mille suhtes audit tehakse. Tegevuskohtade valik ja tegevuskohtade arv peab tagama kõikide tegevuskohatüüpide proportsionaalse esindatuse. Kui andmeid töödeldakse kolmes või vähemas tegevuskohas, välja arvatud pilvteenuse tarnija tegevuskoht, tehakse auditiprotseduurid kõigis tegevuskohtades. 1 3.4. Auditeeritav märgib auditit tellides või hankides ära, kui tegevuskohas ei ole võimalik kohapeal auditiprotseduure teha (nt õigusaktidest või teenuseandjaga sõlmitud kokkulepetest tulenevalt). 3.5. Auditi võib tellida või hankida mitmele auditeeritavale korraga. Kui auditeeritavad tuginevad samale infoturbe halduse süsteemile (nt on neil ühine infoturbe organisatsioon, infoturvapoliitika ja infoturbe dokumentatsioon), võib ühe auditi käsitlusala laiendada mitmele auditeeritavale. Seejuures käsitletakse auditiaruandes ja järeldusotsustes vajaduse korral auditeeritavate erisusi. 3.6. Kui auditeeritav vahetab audiitorettevõtet, lisab ta hankedokumentatsiooni kehtiva auditi järeldusotsuse. 3.7. Auditi hankedokumentatsiooni või tellimuse põhjal peab audiitorettevõttel olema võimalik adekvaatselt hinnata auditiprotseduuride tegemisega seotud tööaega ja kulu. Auditi eest küsitava tasu määramisel tugineb audiitorettevõte muu hulgas punktis 3.8 sätestatule. 3.8. Audiitorettevõte esitab auditipakkumuses audiitori töömahu prognoosi ja eeldatava ajaplaani. Soovitav on lisada ka auditeeritava töötajatele auditiga kaasneva töömahu prognoos. Auditiprotseduuridele kuluvate tundide arv moodustab vähemalt 60% auditiks kavandatud töötundide koguarvust. 4. Nõuded audiitorile 4.1. Auditeerimist juhib vastava kutseoskusega juhtivaudiitor. Juhtivaudiitor vastutab auditi käigus tehtavate tööde eest ning allkirjastab auditi lõpparuande ja järeldusotsuse. 4.2. Juhtivaudiitoril peab auditi tegemise ajal kehtima vähemalt üks järgmine kutsetunnistus: 4.2.1. ülemaailmse IT-professionaale ühendava organisatsiooni ISACA välja antud infosüsteemide audiitori (inglise keeles Certified Information Systems Auditor, lühend CISA) kutsetunnistus; 4.2.2. kvaliteediinstituudi (inglise keeles Chartered Quality Institute) rahvusvahelise kutsetunnistusega audiitorite registri (inglise keeles International Register of Certificated Auditors, lühend IRCA) välja antud infoturbe halduse süsteemide ISO/IEC 27001 kohase sertifitseerimisskeemi põhine juhtivaudiitori kutsetunnistus; 4.2.3. ametialase hindamise ja kutsetunnistuste andmise nõukogu PECB välja antud infoturbe halduse süsteemide ISO/IEC 27001 kohase sertifitseerimisskeemi põhine juhtivaudiitori kutsetunnistus. 4.3. Juhtivaudiitor peab auditile eelnenud kolme aasta jooksul olema audiitorina osalenud vähemalt kolmes infoturbe või IT-süsteemide halduse auditis, nt Eesti infoturbestandardi auditis. Juhtivaudiitoril peab olema vähemalt nelja-aastane IT auditi, IT juhtimise või infoturbealane töökogemus. 4.4. Auditirühma kaasatud audiitoritel peab olema vähemalt kahe-aastane IT auditi, IT juhtimise või infoturbealane töökogemus. 4.5. Auditirühma kaasatud tehnilistel ekspertidel peab olema auditi käsitlusala spetsiifikale vastav tehniline kvalifikatsioon või vähemalt kahe-aastane IT halduse või infoturbealane töökogemus. 4.6. Auditirühma liikmed peavad olema auditeeritavast sõltumatud ja ei tohi olla osalenud auditeeritava infoturbe halduse süsteemi kavandamises või rakendamises, sh auditeeritava konsulteerimises auditeeritavas valdkonnas, auditi alguskuupäevale eelnenud kolme aasta jooksul. 4.7. Auditirühma liikmete sõltumatus peab olema kinnitatud allkirjastatud deklaratsiooniga. 4.8. Auditirühma liikmed peavad tagama oma kohustuste täitmise käigus teatavaks saanud teabe hoidmise teadmisvajaduspõhiselt ning mitte jagama teavet auditeeritava nõusolekuta. Auditeeritava esitatud isikuandmete töötlemisel, sh isikuandmeid sisaldavate dokumentide läbivaatamisel ning logiandmete ja tuvastussüsteemide andmete kasutamisel, järgib audiitor muu hulgas andmekaitsealaste õigusaktide nõudeid. 4.9. Audiitor peab auditi tegemisel järgima tunnustatud auditeerimisstandardeid ja -suuniseid, infoturbe parimaid tavasid ja audiitori kutse-eetika koodeksit (nt ISACA kutse-eetika koodeks). 2 4.10. Audiitor peab auditi kavandamisel ja tegemisel juhinduma auditi käsitlusalast, määruse 2. peatüki nõuetest ja õigusaktidest. Auditiprotseduuride tegemisel ja meetmete valimi koostamisel arvestatakse infoturvaohtudest lähtuvaid riske ja auditeeritava kaitsetarvet ning nende alusel hinnatakse asjakohaste infoturbekataloogi meetmete rakendatust. 5. Audit 5.1. Auditi alguseks peavad organisatsioonisisese hindamise käigus tuvastatud puudused olema kõrvaldatud ja infoturvameetmete rakendamata jätmisest tulenevad riskid aktsepteeritud. Puuduste kõrvaldamata jätmise korral on audiitorettevõttel õigus nõuda auditi alguse edasi lükkamist. 5.2. Enne auditi algust koostatakse ja kooskõlastatakse auditeeritavaga auditi plaan. Auditi plaan aitab tagada, et kriitilistele infoturbevaldkondadele pööratakse auditi käigus piisavalt tähelepanu ja auditiprotseduurid tehakse õiges järjekorras. Olude muutudes või ootamatute asjaolude ilmnedes muudetakse vastavalt ka auditi plaani. 5.3. Auditi käigus hinnatakse: 5.3.1. organisatsiooni infoturbe halduse süsteemi vastavust määruse 2. peatüki nõuetele; 5.3.2. infoturbe dokumentatsiooni aja- ja asjakohasust; 5.3.3. infoturvameetmete rakendamise asjakohasust, riskipõhisust ning proportsionaalsust. 5.4. Infoturbe dokumentatsiooni asjakohasuse ja meetmete proportsionaalsuse hindamisel võetakse igakülgselt arvesse auditeeritava riskidele avatuse määra, organisatsiooni suurust ning intsidentide esinemise võimalikkust ja nende tõsidust, sealhulgas nende ühiskondlikku ja majanduslikku mõju. 5.5. Audiitor hindab infoturvameetmete rakendamise plaani alusel meetmete rakendatust ning moodulite väljajättude asjakohasust ja proportsionaalsust auditi käsitlusala ulatuses. Meetmete rakendamist kontrollitakse valikuliselt, vastavalt kinnitatud auditi plaanile. Kontrollitavate meetmete valimisel lähtub audiitor: 5.5.1. äriprotsessile mõju avaldavatest ohtudest ja riskidest; 5.5.2. mooduliga seotud ohtude olulisusest organisatsiooni kontekstis; 5.5.3. auditeeritavas organisatsioonis teostatud infoturvariskide kaalutlemise tulemustest; 5.5.4. organisatsioonis toimunud infoturvaintsidentidest; 5.5.5. varasemate infoturbe auditite leidudest ning läbivaatuste aruannetes esitatud tähelepanekutest ja soovitustest; 5.5.6. auditeeritavale eelnevalt tutvustatud meetmetest valimi moodustamise metoodikast. 5.6. Audiitor lähtub oma hinnangutes riskipõhisuse printsiibist. Audiitori tähelepanek võib põhineda ühe või mitme meetme mitterakendamisel või meetmete osalise rakendamise koosmõjul. 5.7. Hinnangu kujundamiseks teeb auditirühm auditiprotseduure, mille maht moodustab vähemalt 60% auditi kogumahust ja mis hõlmab vähemalt järgmisi protseduure: 5.7.1. intervjuud; 5.7.2. meetmete tõhususe kontroll, sh tehniline kontroll; 5.7.3. paikvaatlused; 5.7.4. dokumentatsiooni ja tõendusmaterjali läbivaatus. 5.8. Auditi tõendusmaterjali võib auditeeritav audiitorile kas väljastada, kohapeal näidata või selgitada intervjuu käigus (nt võrguskeem, logide analüsaator, tulemüüri reeglid, õiguste süsteemi selgitamisel reaalsed isikupõhised näited). 5.9. Kui tõendusmaterjalidega tuleb tutvuda kohapeal, tagatakse audiitorile selleks vajalik töökoht ja töötingimused. 5.10. Auditeeritava teenuseandja infoturbe hindamisel tuginetakse hinnangut kujundades teenuseandja (nt pilvteenuse tarnija) esitatud auditi käsitlusala hõlmavatele ja turvameetmete rakendatust kinnitavatele sertifikaatidele ning vastavusauditite aruannetele. Hinnangu kujundamisel võib arvesse võtta ka lepingulisi infoturvanõudeid, organisatsiooni koostatud riskihinnangut teenuseandja teenuse kohta ja riskihinnangust lähtuvate meetmete rakendamist. 3 5.11. Audit lõpeb auditi lõpparuande ja järeldusotsuse esitamisega auditeeritavale. 6. Auditi lõpparuanne ja auditi järeldusotsus 6.1. Lõpparuanne koosneb kahest eraldi ja juhtivaudiitori digiallkirjastatud elektroonilisest dokumendist: auditi järeldusotsusest ja auditi lõpparuandest. 6.2. Auditi järeldusotsus peab sisaldama vähemalt järgmist: 6.2.1. auditeeritava ametlik nimetus ning auditi käsitlusalasse kuuluvate organisatsioonide ametlik nimetus ja registrikood; 6.2.2. auditi tegemise aeg ja kestus; 6.2.3. käsitlusala; 6.2.4. üldhinnang organisatsiooni infoturbe halduse süsteemi toimimisele. Üldhinnang sisaldab muu hulgas teavet, kas ja kui palju leiti auditi käigus lahknevusi ja sellest tulenevaid kõrge tasemega riske; 6.2.5. audiitorettevõtte ametlik nimetus ja auditi teinud auditirühma liikmete nimed. 6.3. Auditi järeldusotsus ei või sisaldada juurdepääsupiiranguga teavet. 6.4. Auditi lõpparuanne peab sisaldama vähemalt järgmist: 6.4.1. auditi kokkuvõte, mis sisaldab juhtivaudiitori nime, auditi tegemise aega, auditi tulemuste lühikokkuvõtet ning auditirühma üldhinnangut infoturbe halduse süsteemi toimimisele. Auditi kokkuvõttes esitatakse ka auditi käigus kinnitust saanud positiivsed aspektid; 6.4.2. auditi käsitlusala, sh äriprotsesside loend ja nende peamised ohud; 6.4.3. auditi metoodika, ajaplaan, auditeeritud tegevuskohad ja auditi tegemisel esinenud piirangud; 6.4.4. auditis osalenud auditeeritava töötajate ja auditirühma liikmete nimekiri ning nende rollide kirjeldused; 6.4.5. auditirühma hinnang IT-riskide haldusele; 6.4.6. auditirühma hinnang infoturvameetmete rakendamisele; 6.4.7. auditi leiud koos lahknevuste kirjelduste ja auditirühma lisatud riskihinnangutega; 6.4.8. auditi lõpparuande lisadena vormistatud asjakohane tõendusmaterjal. 6.5. Mitmele auditeeritavale korraga ühise auditi tegemisel käsitlevad auditi järeldusotsus ja lõpparuanne vajaduse korral ka auditeeritavate erisusi. Kokkuleppel võib iga auditeeritava kohta koostada eraldi lõpparuande ja järeldusotsuse, viidates otsuses auditi ühisele käsitlusalale. 6.6. Infoturbe halduse süsteemi hindamisel peab audiitorettevõte arvestama vähemalt järgmisi aspekte: 6.6.1. süsteem vastab määruse 2. peatüki nõuetele; 6.6.2. organisatsioonis on määratud infoturbe eest vastutajad ja infoturbele on eraldatud piisavad ressursid; 6.6.3. organisatsioonis on määratud kaitseala ja äriprotsessiga seotud varad; 6.6.4. organisatsioonis on tuvastatud ja hinnatud äriprotsessi nõuetelevastavust rikkuda võivad ohud ja riskid; 6.6.5. organisatsioonis on teostatud infoturbe haldus, sh valitud meetmed vastavad riskihaldusmetoodikale, et leevendada organisatsiooni äriprotsessi toimimisele mõju avaldavate riskide kahjulikke tagajärgi. 6.7. Aruandes esitatakse iga sellise auditileiu kirjeldus, lahknevus infoturbe halduse süsteemi nõuetest, leiuga kaasneva riski kirjeldus ja auditirühma soovitus riski käsitlemiseks: 6.7.1. millest tulenevad ühele või mitmele äriprotsessile madala tasemega riskid; 6.7.2. millest tulenevad ühele või mitmele äriprotsessile kõrge tasemega riskid; 6.7.3. mille riskid üksikult võttes on madala tasemega, kuid mille puhul võib leidude koosmõju tõttu asjaolude ebasoodsal kokkusattumisel kaasneda kõrge tasemega risk ühele või mitmele äriprotsessile. 6.8. Auditirühm analüüsib meetmete mitterakendamise põhjendusi ning hindab meetmete rakendamata jätmisest või osalisest rakendamisest tulenevaid riske järgmiselt: 6.8.1. kõrge tasemega risk – oluline lahknevus meetmetes kirjeldatu ja tegeliku olukorra vahel. Meetmete rakendamata jätmisest tulenevate riskide realiseerumine võib tekitada suurt kahju 4  organisatsiooni varadele ja tegevusele. Kahju põhjustab lepingute ja õigusaktide täitmata jätmist ning võib ähvardada äriprotsesside jätkusuutlikkust või auditeeritava olemasolu; 6.8.2. madala tasemega risk – väheoluline lahknevus meetmetes kirjeldatu ja tegeliku olukorra vahel. Riskide realiseerumine võib tekitada piiratud ja ohjatavat kahju auditeeritava varadele ja tegevusele (nt lühiajalised töökatkestused). 6.9. Auditi lõpparuandes esitatakse loend auditi käigus: 6.9.1. tehtud auditiprotseduuridest ja kogutud tõendusmaterjalidest; 6.9.2. kontrollitud moodulistest. 6.10. Auditi leidude kohta on auditirühmal olemas tõendusmaterjal, auditi kontrollid peavad olema korratavad. 6.11. Kui auditi tegemisel tuginetakse varasema infoturbe halduse süsteemi auditi tulemustele, märgitakse auditi aruandes selgelt, millisele auditi aruandele auditirühm on tuginenud ja mil määral. 6.12. Auditi järeldusotsuse ja auditi lõpparuande kavand esitatakse auditeeritavale seitsme päeva jooksul pärast auditiprotseduuride lõppemist. 6.13. Auditeeritaval on õigus esitada 14 päeva jooksul kavandi kohta audiitorettevõttele kirjalikult taasesitatavas vormis vaidlustus, sealhulgas täiendavaid tõendusmaterjale. 6.14. Vaidlustuse arvestamise korral teeb audiitorettevõte 14 päeva jooksul kavandis asjakohased parandused. Vaidlustuse arvestamata jätmise korral lisab audiitorettevõte auditi lõpparuandele vaidlustuse ja selle arvestamata jätmise põhjenduse. 6.15. Auditi järeldusotsus ja auditi lõpparuanne esitatakse auditeeritavale hiljemalt 14 päeva jooksul pärast vastavalt punktis 6.13 või 6.14 sätestatud tähtaja möödumist. Auditeeritav kinnitab auditi lõpparuande vastuvõtmise kirjalikult taasesitatavas vormis. 6.16. Kokkuleppel auditeeritavaga võib audiitorettevõte tutvustada auditi lõpparuannet auditeeritava juhtkonnale. 6.17. Auditeeritav esitab järelevalveasutusele auditi järeldusotsuse hiljemalt 14 päeva jooksul pärast auditi järeldusotsuse ja auditi lõpparuande saamist. 6.18. Kui auditi järeldusotsuses on viidatud ühele või mitmele kõrge tasemega riskile, tuleb auditeeritaval esitada järelevalveasutusele ka auditi lõpparuanne. 6.19. Organisatsioon võib Vabariigi Valitsuse 19. detsembri 2022. a määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 4 lõikes 1 sätestatud auditite vahelisel perioodil esitada järelevalveasutusele uuendatud auditi järeldusotsuse. 7. Auditijärgsed tegevused 7.1. Auditeeritav kavandab parandusmeetmete rakendamise, määrab vastutajad ja tähtajad. Parandusmeetmete rakendamist ja infoturvameetmete rakendamise plaani ajakohastamist koordineerib infoturbe eest vastutav isik. 7.2. Auditeeritav kõrvaldab auditi lõpparuandes viidatud madala tasemega riski või määrab käsitlusviisi hiljemalt järgmise auditi alguseks. 7.3. Kõrge tasemega riski on auditeeritav kohustatud kõrvaldama kuue kuu jooksul auditi järeldusotsuse ja auditi lõpparuande saamisest arvates. Kui auditeeritaval ei õnnestu kuue kuu jooksul seda riski kõrvaldada, koostab ta riski käsitlemise plaani, milles kirjeldab riski vähendamiseks rakendatud meetmeid ja riski kõrvaldamiseks rakendatavaid ajutisi meetmed ning määrab plaani rakendamise eest vastutaja. 7.4. Punktis 7.3 sätestatud kohustuse täitmisest teavitab auditeeritav järelevalveasutust 14 päeva jooksul kohustuse täitmisest arvates. 5 7.5. Punktis 7.3 sätestatud plaani koostamisest teavitab auditeeritav järelevalveasutust 14 päeva jooksul plaani koostamisest arvates, kuid hiljemalt kuue kuu pärast auditi järeldusotsuse ja auditi lõpparuande saamisest arvates. 7.6. Kui auditi aruannete säilitamise tähtaeg ei tulene muust õigusaktist või eeskirjast, säilitab auditeeritav auditi aruandeid turvaliselt vähemalt seitse aastat. 7.7. Audiitorettevõte säilitab auditi aruandeid ja seotud dokumente turvaliselt ning vastavalt pooltevahelisele kokkuleppele. Juurdepääs dokumentidele on üksnes vastava teadmisvajadusega isikul. 6