Tegevuskava

10.06.2024 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Riigihanke number 270230 Sisukord Mõisted ............................................................................................................................................................................................... 3 Sissejuhatus ....................................................................................................................................................................................... 4 1. Avalikud pilvteenused Eestis ja oodatud muutused ..................................................................................................... 6 1.1. Mõiste ja trendid ........................................................................................................................................................ 6 1.2. Avalike pilvteenuste juhtimine Eestis ...............................................................................................................10 1.3. Avalike pilvteenuste kasutamise hetkeseis ja ootused ..............................................................................14 2. Strateegilised valikud ja juhtimismudel ...........................................................................................................................18 2.1. Peamised strateegilised valikud .........................................................................................................................18 2.2. Juhtimismudeli tervikülevaade............................................................................................................................21 2.3. Rollikirjeldused juhtimismudelis.........................................................................................................................25 3. Tegevuskava juhtimismudeli elluviimiseks .....................................................................................................................30 3.1. Avalike pilvteenuste teekaart ..............................................................................................................................30 3.2. Avalike pilvteenuste strateegilise juhtimise tegevuskava detailsemalt ...............................................32 3.3. RITi kujunemine avalike pilvteenuste kompetentsikeskuseks detailsemalt.......................................33 Kokkuvõte ........................................................................................................................................................................................39 Lisa 1. Kaasamise ja koostöö ülevaade .................................................................................................................................43 Lisa 2. Pilvekontseptsioon jõustamise esialgne ettepanek ...........................................................................................45 2 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Mõisted Mõiste Selgitus Avalikud pilvteenused Avalikkusele kättesaadavad pilverakendused (SaaS), platvormid sh. andmebaasid (PaaS), masinad sh. salvestusruum (IaaS), ja muud ressursid, mida saab iga soovija kasutada Hübriidpilv Pilvteenus, mille puhul on kasutusel vähemalt erinevate pilvelahenduste kombinatsioon IaaS (Infrastructure as a Service) Taristu kui teenus, mis annab teenusekasutajale juurdepääsu serveriressurssidele ilma, et nad peaksid ise riistvara ostma või haldama IT-maja Avaliku sektori asutus (või struktuuriüksus), kuhu on koondatud ühe või mitme ministeeriumi valitsemisala IT-alane kompetents. IT-maja pakub tavapäraselt teenuseomanikele info- ja kommunikatsioonitehnoloogia teenuste arendamise, haldamise ja pakkumise teenuseid. KEMIT Keskkonnaministeeriumi Infotehnoloogiakeskus Keskvalitsus Valitsusasutused ja valitsusasutuste hallatavad asutused MKM Majandus- ja Kommunikatsiooniministeerium On-prem Oma riistvaraline taristu (vastandina avaliku pilve lahendusele) PaaS (Platform as a Service) Platvorm kui teenus, mis võimaldab luua, käitada ja hallata rakendusi, mis on vajalikud e-teenuste arendamiseks või käitamiseks. Pilvemäärus Vabariigi Valitsuse 03.01.2024 määrus nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ Privaatpilv Pilvteenus, mille puhul ei ole pakutav taristu ja teenused kättesaadavad avalikult, vaid ainult selleks ettenähtud osapooltele. Privaatpilve võib asutus/organisatsioon ehitada iseseisvalt või kasutada selleks teenusepakkujat. RIA Riigi Infosüsteemi Amet Riigipilv Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse poolt hallatav ja arendatav privaatpilve teenus. RIT Riigi Info- ja Kommunikatsioonitehnoloogia Keskus RmIT Rahandusministeeriumi Infotehnoloogiakeskus SaaS (Software as a Service) Tarkvara kui teenus, mis on kasutajate jaoks kõige mugavam teenusmudel, kuna sisaldab lisaks IaaSi ja PaaSi elementidele ka kasutusvalmis rakendustarkvara, mis on saadav kasutajatele üle interneti. SMIT Siseministeeriumi Infotehnoloogia- ja Arenduskeskus Teenuseomanik Käesoleva kontseptsiooni raames roll (vastutav struktuuriüksus, ameti- või töökoht), kes vastutab teenuse arendamise, haldamise ja kvaliteedi eest1. Eesti õigusruumis kasutusel mõiste teenuse osutaja, kui räägitakse laiemalt teenuse juhtimisest organisatsiooni tasemel. Täpsemalt kasutusel mõiste teabevaldaja/teabepidaja kui keskendutakse info- ja küberturbe valdkonda puudutavate vastutuste kirjeldamisele. TEHIK Tervise ja Heaolu Infosüsteemide Keskus 1 Analoogselt Vabariigi Valitsuse määrusega ”Teenuse korraldamise ja teabehalduse alused”. 3 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Sissejuhatus Avalike pilvteenuste kasutamine avalikus sektoris on kriitilise tähtsusega tagamaks Eesti digiriigi kaasaegsus ja jätkusuutlikkus - nii nenditi juba 2015. aastal Majandus- ja kommunikatsiooniministeeriumi (edaspidi MKM) koostatud Riigipilve kontseptsioonidokumendis2. Strateegilises vaates juhib Eestis avalike pilvteenuste kasutuselevõttu digiühiskonna arengukava (edaspidi DÜAK3), milles on seatud kõrge ambitsioon viia digiriik pilve aastaks 2030. Selle eesmärgi täitmine toetab ka teiste digiühiskonna eesmärkide saavutamist, nagu näiteks tulevikukindluse ja innovatsiooni tagamine, tehisintellekti aktiivsem kasutuselevõtt ja agar katsetamine. Arengukavas on pilv nimetatud horisontaalse prioriteedina, kuid seni on puudunud praktiline tegevuskava, kuidas pilvteenuste aktiivsemat kasutuselevõttu tagatakse, soodustatakse või juhitakse. Selgitamaks, et avalike pilvteenuste kasutamine on Eesti avalikus sektoris õiguslikult lubatud, võeti 2024. aasta algul vastu määrus „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“ (edaspidi Pilvemäärus). Määruse eesmärk oli kõrvaldada kõik takistused avaliku sektori pilvekasutusele ning liikuda julgemalt avalike pilvteenuste kasutamise suunas. Pilvemäärus annab ülevaate nõuetest, millega pilvteenuste kasutamisel tuleb arvestada. Uue nõudena tuleb pilvteenuste kasutamise alustamisest teavitada Riigi Infosüsteemi Ametit (edaspidi RIA). Pilvemäärus ei kohusta pilvteenuseid kasutama. Pilvteenuste kasutamise otsustab teenuseomanik4, kes vastutab konkreetse teenuse arendamise, haldamise ja kvaliteedi eest. Praktikas on tal aga iseseisvalt väga keeruline asjatundlikult otsustada, sest valikut tehes peab arvestama paljude muutujatega: nii strateegiliste eesmärkidega kui ka õigusliku korraldusega, lühi- ning pikaajaliste vajadustega, tehnilise valmisolekuga aga ka tava- ja kriisiolukorraga. Muutuse asjakohaseks kaalumiseks, õigeaegseks ettevõtmiseks ja prioriseerimiseks vajavad teenuseomanikud selgeid ootuseid ja suuniseid nii poliitikakujundajatelt, valitsemisalalt kui ka neid IT kompetentsikeskusena toetavatelt asutustelt või struktuuriüksustelt (edaspidi IT-majad). Tuleb arvestada, et Eesti avaliku sektori e-teenuste arendamisel on viimased kolmkümmend aastat lähtutud seisukohast, et andmete turvalise käitlemise huvides tuleb tagada nende säilitamine ja töötlemine Eesti riigi territooriumil (või erandjuhtudel ka andmesaatkonnas5). Aastakümnete jooksul juurdunud arusaamade muutmist ja kogu valitsemisala puudutavat muutust ei ole asjakohane oodata teenuseomanikelt iseseisvalt ja sõltumatult. Avalike pilvteenuste kasutuselevõtt, nagu iga teine seni tavapärase IT-baastaristu lahenduse muudatus, on pikaajaline muutus, mis nõuab ümberkorraldusi terve ministeeriumi valitsemisala (edaspidi valitsemisala) tarkvara arendamise ja haldamise protsessides, võimekuste juhtimises, aga ka organisatoorses korralduses kuni eelarve struktuurini välja. Tänaseks on Eestis esimesed üksikud näited, kus avalikud pilvteenused on kasutusele võetud. Tuntuimad neist on Tervisekassa6 ja Riigi Info- ja 2 Riigipilve kontseptsioon. Kättesaadav: https://riigipilv.ee/files/Eesti_riigipilve_kontseptsioon.pdf 3 Digiühiskonna arengukava 2023. Kättesaadav: https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna-arengukava- 2030 4 Määruses kasutusel termin teabepidaja. 5 Umbes 10 aastat tagasi algasid arutelud leidmaks lahendust, kuidas tagada andmete säilimine ka eriolukorras, kus näiteks Eesti territoorium on rünnaku all. Lahendusena loodi 2018. aastal andmesaatkond Luksemburgi, kuhu 2019. aasta alguses varundati ka olulisemate registrite andmeid. Andmesaatkonna võimsus ei toeta massilisemat kasutust. 6 Terviskassa blogi. Kättesaadav: https://www.tervisekassa.ee/blogi/pilvetehnoloogia-kasutuselevotul-pole-kusimus-kas- vaid-millal 4 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Kommunikatsioonitehnoloogia Keskuse (edaspidi RIT) pakutav töökoha teenus7. Nende kogemused on ka olulised õppekohad. Mõlema näite korral võttis muudatuse läbiviimine umbes 2-3 aastat aega, mis on praktiline tõestus, et senine korraldus on administratiivselt keeruline ja koormav. Ootuspäraselt kasvab RITi ja Tervisekassa eeskujul avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, mil määral on plaanis avalike pilvteenuste kasutamist keskselt koordineerida ja soodustada. Avalike pilvteenuste kasutuselevõtu kontseptsiooni ja tegevuskava (edaspidi pilvekontseptsioon) eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Pilvekontseptsioon teenib järgmiseid alameesmärke: 1. avalike pilvede teadmiste tõstmine avalikus sektoris, sealhulgas kujundada ja ühtlustada arusaama avalike pilvede olemusest ja lubatusest avalikus sektoris, 2. avalike pilveteenuste kasutuselevõtu lihtsustamine ja toetamine läbi keskse avalike pilvede kompetentsikeskuse loomise ning selle ülesannete täpsustamise, 3. kompetentsikeskuse käivitamisele ja teadlikkuse tõstmisele suunatud tegevuskava loomine. Pilvekontseptsioon on jaotatud järgmisteks peatükkideks. • „1. Avalikud pilvteenused Eestis ja oodatud muutused“ tutvustab avalike pilvteenuste olemust ja trende, hetkeolukorda Eestis ja erinevate osapoolte ootuseid. Ülevaade on antud eelkõige taristu ja platvormi (nö IT baastaristu) vajadustest lähtuvalt. Soovitame seda lugejale, kellel on vähesed teadmised avalikest pilvteenustest ja/või Eesti senisest IT baastaristu korraldusest. • „2. Strateegilised valikud ja juhtimismudel“ selgitab valikuid avalike pilvteenuste kasutuselevõtu juhtimisel. Lahenduse loomisel võeti arvesse senist Euroopa kogemust avaliku pilve strateegiliste seisukohtade kujundamisel, Eesti riigi infosüsteemi toimemudelit ja juhtimiskorraldust, teenuseomanike ja muude turuosaliste ootuseid ja praktilisi kogemusi avaliku pilve tegevuskavade elluviimisest. See on kontseptsiooni kõige olulisem osa, mis sõnastab Eestile soovitatava valitsusasutuste ja nende poolt hallatavate asutuste (edaspidi keskvalitsuse) juhtimismudeli koos vastutajate ja rollide kirjeldustega lähemaks 5-10 aastaks. • „3. Tegevuskava juhtimismudeli elluviimiseks“ selgitab juhtimismudeli juurutamiseks vajalikku tegevuskava kuni aastani 2026. See on ootuspäraselt periood, kui enamik Eesti keskvalitsuse asutusi teevad esimesed sammud avalike pilvteenuste kasutusele võtul. Selles ajaaknas on võimalik efektiivselt juurutada juhtimismehhanisme ning otsustada tsentraliseerituse tasemel üle, mis tagaks pikas perspektiivis tõhususe avalike pilvteenuste kasutamisel. Tegevuskava 2024-2026 aastateks sisaldab tegevuskava eelkõige MKMi valitsemisala jaoks ning kirjeldab detailselt RITi kujunemisest pilvteenuste kompetentsikeskuseks. Kontseptsioon loodi perioodil veebruar–juuni 2024 vastavalt hankelepingule, mis on sõlmitud riigihanke “Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ (270230) tulemusena. Kontseptsioon valmis Gofore Estonia OÜ, Gofore Plc, RITi, MKMi ning RIA ekspertide tihedas koostöös. Töösse andsid regulaarselt ja järjepidevalt oma panuse Keskkonnaministeeriumi Infotehnoloogiakeskus (KEMIT), Küberväejuhatus, Rahandusministeeriumi Infotehnoloogiakeskus (RmIT), Siseministeeriumi Infotehnoloogia- ja Arenduskeskus (SMIT), Tervise ja Heaolu Infosüsteemide Keskus (TEHIK), Tervisekassa ja Töötukassa. Täpsem kaasamise ülevaade on esitatud töö lisas (Lisa 1. Kaasamise ja koostöö ülevaade). 7 RIT arvutitöökoha teenus. RITi koduleht: https://rit.ee/teenused/arvutitookoht/arvutitookohateenused 5 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1. Avalikud pilvteenused Eestis ja oodatud muutused 1.1. Mõiste ja trendid Mõiste Soovitame pilvteenuste defineerimisel lähtuda rahvusvahelisest praktikast ja tugineda NIST definitsioonile8. Selle kohaselt: „Pilvandmetöötlus on mudel, mis võimaldab üldlevinud, mugavat ja vajadusepõhist (on- demand) võrgujuurdepääsu konfigureeritavate andmetöötlusressursside jagatud kogumile (nt võrgud, serverid, salvestusruum, rakendused ja teenused).“ Eelnev definitsioon on kooskõlas Pilvemääruse mõttega, kuigi määrus ise otseselt pilvteenuseid ei defineeri. Avaliku pilvandmetöötluse omadused on järgmised: • lahendust pakutakse teenusena, • kasutuspõhine tasumudel (kasutustasu, pay per use), • teenus põhineb infotehnoloogilise ressursi jagatud kasutamisel, • teenust osutatakse interneti vahendusel, • teenus on skaleeritav. Avalikud pilvteenused võivad hõlmata taristu (IaaS), platvormi (PaaS) ja tarkvara (SaaS) kihte. Järgnev joonis ilmestab teenuskihte ning nende kasutamisel vahetult mõjutatud ja kasusaavate osapoolte seoseid. Joonis 1. Avalike pilvteenuste kihid ja enamlevinud kasud. Teenusena kasutatava lahenduse valik sõltub esmalt organisatsiooni vajadustest, nõutavast funktsionaalsusest ja töötajate oskustest. SaaS lahendusi on tavaliselt tehniliselt kõige lihtsam kasutusele võtta, teisalt pakuvad need vähem paindlikkust. Sobilikeks näideteks on arvuti töökohateenus, kontori- või raamatupidamistarkvara, mille kasutamiseks on tarvis vaid sisse logida ning puudub vajadus tarkvara kohaldamise, paigalduse, turvapaikade paigalduse või litsentsihalduse järele. PaaSi kiht pakub näiteks arenduskeskkondi ja hallatavaid teenuseid, mida organisatsioon saab kasutada ja konfigureerida oma eesmärkidel. Näiteks Azure App Service või AWS Elastic Beanstalk on platvormteenused, mille puhul arendajatel piisab vaid koodi üleslaadimisest ning platvormteenuse vastutus on kogu ülejäänud osa 8 Mell, P. and Grance, T. (2011) The NIST Definition of Cloud Computing, NIST Special Publication 800-145, Kättesaadav: http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf (Loetud: 04.09.2024). 6 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava protsessist: tarne, ressursside ja koormusjaoturi loomine, automaatne skaleerimine ja rakenduse monitoorimine. IaaS pakub virtuaalset infrastruktuuri ja seetõttu asendab vajaduse riistvara ostmise, asendamise ja hooldamise, ning ka serveriruumi haldamise järele. IaaS kihis on heaks näiteks Amazon EC2 või Azure Virtual Machine teenus, mis pakub turvalist ja konfigureeritavat arvutusvõimsust (serverit) pilves, mille puhul puudub kasutajal vajadus soetada füüsilist riistvara, mis vajaduse kadumisel jääks lihtsalt kasutult seisma. Kõik mainitud teenuspõhised mudelid võimaldavad anda teatud osa IT haldusülesannetest teenusepakkujale. See aitab organisatsioonil keskenduda oma põhitegevusele. Käesolev pilvekontseptsioon keskendub eelkõige IaaS ja PaaS taseme analüüsile, sest need on kihid, mis on ärihuvidest veidi kaugemal ja kus on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa. Avalikud pilvteenused kui megatrend Avalikud pilvteenused on näide teenusmajanduse levikust, kus turuteenused asendavad senise riistvara hankimise ja haldamise ning tarkvaraarenduse ja -halduse. Avalikud pilvteenused märgiti megatrendina ära juba enam kui 10 aastat tagasi ning on seni jätkanud jõudsat kasvu. 2022. aastal hinnati avaliku pilve kulutuste kasvu maailmas olevat ligikaudu 20% ja sarnast kasvutempot prognoositakse ka 2024. aastaks ning 2028. aastaks muutub avalik pilv äri oluliseks osaks9. Harvard Business Review 2022. aasta uuringu10 kohaselt väitsid 67% küsitletud tippjuhtidest, et nende organisatsioon on viimase poole aastaga oma pilve kasutuselevõtu plaane kiirendanud. Avalike pilvede kasutamisel on hulk eeliseid, millest olulisimaks on võimalus keskenduda igal organisatsioonil oma põhitegevusele ja kasutada IT baasteenuste jaoks turuteenuseid. Avalike pilveteenuste turuliidrid11, kelle põhitegevuseks on IT baasteenuste turvalisuse ja kasutusmugavuse tõstmine, suudavad seda teha oluliselt kvaliteetsemalt. Muuhulgas on neil võimalik nende teenuste edasiarendamiseks rakendada olulisemalt suuremaid inim- ja eelarveressursse kui eestisuguse väikeriigi riigiasutustel. Pilvandmetöötlus võimaldab luua uusi ärimudeleid ja e-teenuseid, mida oma taristu ei toeta. Mõnede näidetena avalike pilvteenuste funktsionaalsustest võib välja tuua innovatsiooni võimendamise, skaleeritavuse ja avariitaaste (disaster recovery). • Innovatsiooni üheks oluliseks osaks on kindlasti teenusepakkujate teenuste kasutamine, mida ise on keeruline või ebaotstarbekas välja arendada. Pilveteenuse nõudepõhine teenuse osutamise mudel võimaldab uute tehniliste lahenduste efektiivsemat ja kiiremat arendamist katsetamist ning rakendamist, mis annab teenuseomanikele vahendid oma valdkonnas innovatsiooni 9 Gartner, Inc. (2023) Gartner Says Cloud Will Become a Business Necessity by 2028. Kättesaadav: https://www.gartner.com/en/newsroom/press-releases/2023-11-29-gartner-says-cloud-will-become-a-business- necessity-by-2028 (Loetud: 05.03.2024). 10 Harvard Business Review (2022) Accelerating Forward: The State of Cloud-Driven Transformation. Kättesaadav: https://hbr.org/resources/pdfs/comm/splunk/Acceleratingforward.pdf (Loetud: 05.03.2024) 11 Gartner (2023) Magic Quadrant for Strategic Cloud Platform Services. Kättesaadav: https://aws.amazon.com/resources/analyst-reports/gartner/global-mq-ardm-23-magic-quadrant-for-strategic-cloud- platform-services (Loetud: 02.04.2024). 7 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  kiirendamiseks ja avalike teenuste märkimisväärseks parendamiseks. Vastava võimekuse loomine privaatpilvena ei ole reeglina majanduslikult otstarbekas. • Skaleeritavuse vajaduse heaks näiteks on tuludeklaratsiooni esitamine digitaalselt. Sellisel puhul on vajalik omada märkimisväärset taristut ja suurt arvutusvõimsust lühiajaliselt. Skaleeritavus toetab suurt dünaamiliselt muutuvat arvutusvõimsust vajavate lahenduste loomist ja pakkumist (näiteks suurandmetöötlusel või tehisintellektil põhinevad lahendused) ilma, et sellega kaasneks vajadus investeerida suurtesse arvutusvõimsuse reservidesse, mis enamus aega seisaksid jõude. • Avariitaaste võimaldab säilitada andmeid ja hoida teenused töös ka looduskatastroofi, küberrünnaku vms ebasoodsa sündmuse puhul, hoides koopiaid andmetest ja teenustest mujal, sageli mõnes teises riigis asuvas andmekeskuses. Selliste teenuste kasutamine peab loomulikult olema korrektselt konfigureeritud. Avalike pilvteenuste kasutuselevõtt muudab kogu organisatsiooni korraldust, mitte vaid konkreetse taristu lahendust. Avalike pilvteenuste kasutuselevõtt on eraldiseisev muudatuste juhtimise projekt, mis vajab elluviimiseks asjakohaseid inim- ja eelarveressursse. Järgnevalt kirjeldame vajalikke muudatusi riskijuhtimises, tarkvaraarenduse ja halduse korralduses, kompetentsides ning organisatsiooni juhtimises. • Riskijuhtimise traditsiooniline IT turvalisuse käsitlus näeb ette perimeetripõhist lähenemist, mille eesmärk on hoida eemale ohuallikad kaitstes oma riistvara ja territooriumi, millel riistvara asub. Avatud pilvteenused on aga oma olemuselt teenused, kus teatud funktsioonide täitmisel tuleb usaldada teenuseosutajat. Seetõttu tuleb riskide maandamisel kasutada oluliselt erinevaid meetmeid. Enda poolt loodavate ja hallatavate lahenduste asemel tuleb tähelepanu suunata teenuseosutaja usaldusväärsuse hindamisele ning leida optimaalsed võimalused tarnijasõltuvusest tulenevate riskide juhtimiseks, näiteks tarnijast (pilvest) sõltumatu tehnoloogia kasutamine, pilvest väljumise strateegia loomine, hübriidpilve lähenemise kasutamine. • Uuemad tarkvaraarenduse ja halduse koostöö mudelid nagu DevOps ja pilvepõhine arendus aitavad organisatsioonidel infotehnoloogiast rohkem väärtust saada. Pilvteenuse pakkujad automatiseerivad paljusid süsteemihalduse ülesandeid ning võtavad üle taristu halduse ja taristu turbehalduse. See võimaldab teenuseomanikel koos oma IT meeskonnaga keskenduda suuremat äriväärtust loovatele tegevustele. Avalikud pilvteenused toetavad konteineritel ja mikroteenustel põhinevat arendust ja rakendusi, mistõttu vajab monoliitsete ja/või taakvara (legacy) süsteemide migreerimine avalikku pilve põhjalikku eeltööd. Samas on hilisem süsteemi arhitektuuri moderniseerimine pilveteenusel juba oluliselt lihtsam ülesanne kui seda traditsioonilisel infrastruktuuril. • Pilvteenuste kasutuselevõtt eeldab uute kompetentside ja võimekuste arendamist, aga loob ka uusi võimalusi. Pilvteenuste kasutuselevõttu lükkab tagant tööturg ja IKT valdkonna ekspertide ootused. Kaasaegsete tehnoloogiate (sealhulgas avalike pilvteenuste) kasutamine võimaldab avalikul sektoril säilitada oma atraktiivsust nii tööandja kui soovitud kliendina erasektori teenuseosutajatele. Pilvteenuste kasutamisest tulevate kasude ilmnemiseks on lisaks tehnilisele personalile vaja arendada ka teenuseomanikke, et nad oskaksid mõista uusi võimalusi oma teenuste kasutajamugavuse ja efektiivsuse tõstmiseks. • Avalike pilvteenuste kasutamine eeldab muudatusi organisatsiooni võimekustes ja eelarves. Pilvteenuste klassikaline tasumudel on kuiste maksetena ja kasutusepõhiselt. Eelarves tähendab see, et ootuspäraselt kulud kasvavad ning ideaalis vähenevad investeeringud (ja seotud kulum) ning personalikulu. Kulude optimeerimine pilvkeskkondades vajab lisaks oskusele operatiivselt kulusid juhtida ka asjakohaste arhitektuursete ja lisateenuste valikute tegemist. Pilv pakub 8 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  kulude läbipaistvust, kuid infrastruktuuri kogukulu vähendamine ei tohiks olla pilve kasutuselevõtu peamine tõukejõud. Reeglina avalduvad pilvteenuste kasud eelkõige äritegevuse paindlikkuses ja IT lahenduste arenduse ja halduse efektiivsuses. Kaasaegsete tööpraktikate (nt DevOps) juurutamisega on võimalik oluliselt suurendada arenduste kiirust, suurendada teenuste kvaliteeti ja toimekindlust ning vähendada muudatustega kaasnevaid riske. • Lisaks eelmiste üldiste võimekuste arendamisele, vajab iga teenuse migratsioon kavandamist ja teostamist, milleks on vaja nii eelarvet kui inimressursse. Optimeerimaks muudatuse juhtimisega kaasnevaid riske, alustavad paljud organisatsioonid üleminekut hübriidpilve lahendusest ning sageli selle juurde jäädakse, sest see võimaldab maandada erinevat tüüpi riske. Umbes 81% ettevõtetest on valinud lahenduseks hübriidpilve ja neist enamik (88%) väidab, et nad säilitavad selle strateegia ka lähitulevikus12. Toome lühidalt välja hübriidpilve lahenduse võrdluse puhtakujulise avalike pilvteenuste kasutamisega. • Hübriidpilve tugevusteks on võimekus maandada olemuslikult erinevaid toimepidevuse riske, hoida kõige tundlikumaid andmeid Eesti territooriumil ning ajatada või vältida muudatusi taakvarasüsteemides (jätkates nende haldamist senisel taristul). Turunõudlusele vastamiseks pakuvad ka avalike pilvteenuste turuliidrid kohandatud privaatpilve lahendusi (nö mikropilved, microclouds), näiteks Amazoni AWS Outpost ja Microsofti Azure Stack. • Hübriidpilv säilitab avalike pilvteenuste tugevusena välja toodud skaleeritavuse, paindlikkuse ja innovatiivsuse, kuigi oluliselt piiratumalt, kui see on võimalik avalikus pilveteenuses. • Hübriidpilve nõrkusteks on kulukus ja kasutamise keerukus. Kuna säilib vajadus hallata (vähemalt) kahte erinevat keskkonda, mis vajavad erinevaid kompetentse ja ressursse, siis ootuspäraselt vähenevad (või muutuvad olematuks) avalike pilvteenuste kasutamisest tulenevad võidud kulusäästule ja optimaalsusele. • Hübriidpilve kasutamine toob kaasa ka täiendavaid riske, kuna suureneb süsteemi keerukus ning vajadus hallata kahe erineva lahenduse koosvõimet nii konfiguratsiooni, turvalisuse kui ka vastutuste jagunemisega seotud küsimustes. Sellise koosvõime ja integratsioonide haldamine (ning muuhulgas töövõime regulaarne testimine) on täiendav tegevus ja kulu. 12 The Wall Street Journal (2019) 5 Trends Giving Cloud a Boost. Kättesaadav: https://deloitte.wsj.com/cio/5-trends-giving- cloud-a-boost-01571014927 (Loetud: 05.03.2024) 9 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1.2. Avalike pilvteenuste juhtimine Eestis Eesti riigi infosüsteemi juhtimise üldine korraldus ja Riigipilv Eesti riigi infosüsteem põhineb detsentraliseeritud lähenemisel, kus iga teenuseomanik on vastutav enda pakutavate e-teenuste ja infosüsteemide eest ning vaba valima tehnoloogiaid, mis aitavad tal kvaliteetset teenust pakkuda. Detsentraliseeritud teenuste osutamist toetavad hoolikalt valitud tsentraliseeritud teenused (keskse andmevahetuskihi tarkvara X-tee, riigi kesksed autentimisteenused13 jne), mis on taganud Eesti digiriigi efektiivsuse ja asjatute dubleerimiste vältimise. Kesksete teenuste korral on nende kasutuselevõttu juhitud kas läbi kohustuslikkuse (näiteks X-tee on riigi infosüsteemi kindlustava süsteemina avalikule sektorile andmevahetuseks kohustuslik14) või vabatahtlikkuse (näiteks RIA pakutavad kesksed autentimislahendused, RITi pakutav arvutitöökohateenus15). Viimastel aastatel on seni kasutatavat IT baastaristut konsolideeritud RITi. Baastaristu koosseisu kuulub nii taristu ülalhoid, majutusteenus kui ka Riigipilve teenus. Riigipilv 1.0 (käesoleva dokumendi kirjutamisel saadaolev versioon) on RITi poolt avaliku sektori asutustele pakutav baastaristu teenus. • Riigipilv kasutab taristu ressursina konkreetsete andmekeskuste infrastruktuuri (IaaS). Täpsemini Eesti territooriumil asuvaid andmekeskuseid, mida pakuvad nii avaliku kui ka erasektori osapooled. Lisaks Eesti territooriumil paiknevatele andmekeskustele on kriitiliste andmekogude korral valik tagada varundus andmesaatkonnas. Praeguseks realiseeritud Riigipilv on oma olemuselt privaatpilv, mille koosseisus ei pakuta ühegi avaliku pilve teenuseosutaja ressursse. • Piiratud mahus platvormteenuseid (PaaS) pakuvad Riigipilve koosseisus partnerid (nii erasektori kui ka avaliku sektori teenusepakkujad). Seevastu suuremate avalike pilvteenuste osutajate (nagu Amazon, Microsoft, Google, Oracle) vastav teenuskataloog koosneb sadadest erinevatest teenustest. Eesti riigi suurust ja andmekasutust arvestades on avalike pilvede teenusepakkujatega sarnases võimekuses platvormikihi väljaarendamine väga kulukas ja ebamõistlik. Seetõttu on ka otstarbekas keskenduda riigiülese juhtimise vaates IaaS ja PaaS kihile koosmõjus. Baastaristu kasutuselevõtu korral ei ole seni kohustuslikkust kasutatud. MKM on seni soodustanud Riigipilve laiemat kasutuselevõttu läbi eelarveliste otsuste. RITi pakutav Riigipilve teenus konkureerib turuteenustega ja igal teenuseomanikul on õigus kasutada oma nö isiklikus omandis olevat taristut. Avalike pilvteenuste osas puudub avalikult kokku lepitud seisukoht, kas seda peaks vahendama või juhtima tsentraalselt või mitte. Oma olemuselt täiendavad avalike pilvteenuste (IaaS ja PaaS) tase baastaristu portfelli ja seetõttu on põhjendatud ka nende vahendamine RITi poolt. Baastaristu sarnase juhtimise tagamiseks soovitame nii avalike pilvteenuste kui Riigipilve osas kasutada sarnast lähenemist, kus nende kasutuselevõtt jääb vabatahtlikuks kuid soodustatuks läbi eelarveliste otsuste. Rõhutame, et erinevate pilvlahenduste vahendamine RITi poolt ei taga nende omavahelist koosvõimet. 13 RIA poolt pakutavad kesksed autentimisteenused. RIA koduleht: https://www.ria.ee/riigi-infosusteem/elektrooniline- identiteet-ja-usaldusteenused/kesksed-autentimisteenused 14 Avaliku teabe seadus § 439 (5) kohaselt toimub andmevahetus riigi infosüsteemi kuuluvate andmekogudega ja riigi infosüsteemi kuuluvate andmekogude vahel läbi riigi infosüsteemi andmevahetuskihi. 15 RIT arvutiöökoha teenused. RITi koduleht: https://rit.ee/teenused/arvutitookoht/arvutitookohateenused 10 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalikud pilvteenused ja Eesti riigi strateegilised eesmärgid Kõiki digiühiskonna arenguid reguleerib Eestis Digiühiskonna arengukava (DÜAK16). Hetkel (2024. a märts) kehtiv DÜAK sisaldab lubadust viia digiriik pilve aastaks 2030. Lisaks viitavad avalike pilvteenuste aktiivsemale kasutuselevõtule ka muud lubadused, nagu näiteks tulevikukindluse ja innovatsiooni tagamine, tehisaru aktiivsem kasutuselevõtt ja agar katsetamine. DÜAK nimetab mitmeid murekohti, mida avalike pilvteenuste aktiivsem kasutamine aitaks leevendada. Oleme jaganud nii murekohad kui ka eesmärgid otsesteks ja kaudseteks (alljärgnevas tabelis). Kaudsed murekohad ja eesmärgid on olulised, sest kinnitavad positiivset suhtumist avalike pilvteenuste kasutamisse. Otsesed murekohad ja eesmärgid aitavad määrata, millises ulatuses või tempos tuleks pilvteenuste kasutuselevõttu plaanida. Tabel 1. DÜAKis nimetatud murekohad ja eesmärgid seoses pilvteenustega Murekohad Eesmärgid • Kuigi Eesti on maailmas hinnatud digiriik, läheb suurem osa • Eesti digiriigis võetakse agaralt Kaudsed tähelepanust ja ressurssidest olemasolevate digiteenuste kasutusele uut tehnoloogiat ja haldamisele ning edasiarendamisele. Selle tulemusel on lähenemisviise: Eesti on uute vähenenud uute lähenemisviiside, tehnoloogiate ja lahenduste rakendamisel maailmas katsetamise maht ehk raputavam innovatsioon digiriigis. teerajaja. • Ebaühtlane erasektorist teenuste sisseostmise tase, maht ja • Eesti digiriigi teenuste kvaliteet on suutlikkus. viidud koostöös erasektoriga uuele tasemele. • IT-alusteenused on praegusel hajutatud moel riigile liiga • Iga uus arendus on ehitatud Otsesed kulukad. Iga uus digiriigi teenus vajab servereid, pilvekõlblikuna ja iga vanem serveriruume, litsentse ja pädevat personali. digiteenus on viidud üle pilvetaristule, • Suur osa digiriigi baastaristust ei ole nüüdisaegne, näiteks on kui see pole infoturbe vaates tänapäevased pilvelahendused alakasutatud. Pilvepädevus on vastunäidustatud. avalikus sektoris kehv. Seetõttu on pärsitud ka avalike • Digiriigi taristu ühildub Euroopa ja teenuste kvaliteet (nt käideldavus ja kättesaadavus). teiste rahvusvaheliste piiriüleste • Avaliku sektori senine digiriigi arenduste viis ja algatustega, nt pilve- ja plokiahela teenusehalduse korraldus piiravad erasektori võimalusi teenuste taristud. pakkuda digiriigile komponente ja teenuseid, mida riik võiks sisse osta, selle asemel et neid ise arendada ja hallata. DÜAK on kõigile teenuseomanikele siduv strateegia, milles kirjeldatud eesmärkidest peavad kõik teenuseomanikud (sh IT-majad) lähtuma. Digiühiskonna arengukava (DÜAK 2030) kohaselt on avalike pilvteenuste aktiivsem kasutamine avalikus sektoris ootuspärane ja vajalik. Senine sõnastus jätab aga suhteliselt laia tõlgendusruumi, milliseid pilvteenuseid täpselt silmas peetakse ning millises ulatuses tuleks vanemaid digiteenuseid pilvetaristule migreerida. Seetõttu on ühtlane ellu rakendamine erinevate teenuseomanike poolt raskendatud. Täiendamist vajab tegevusplaan, mis selgitaks eesmärkide saavutamiseks vajalike tegevuste ja vastutuste jagunemist. 16 DÜAK: https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna-arengukava-2030 11 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalike pilvteenuste kasutamise õiguslik korraldus Iga avaliku sektori asutus vastutab oma teenuste korraldamise ja kvaliteedi eest. Selleks määrab ta igale teenusele teenuseomaniku, kes vastutab konkreetse teenuse arendamise, haldamise ja kvaliteedi eest17. Teenuseomanikel on kohustus tagada konkreetse teenuse operatiivne toimimine, aga tagada ka selle pikaajaline jätkusuutlikkus, efektiivsus ning kui ka kooskõla õigusruumiga (nt tagada andmekaitse ja küberturbe nõuete täitmine). Iga teenuseomanik peab hindama, milline on sobivaim lahendus konkreetse teenuse eesmärkidest lähtudes. Toome mõned näited, mis võivad kallutada kaalukaussi avalike pilvteenuste kasuks: • Pilvteenus võib pakkuda lahendusi, mis võimaldavad teatud vajalikke funktsionaalsuseid kiiresti ja efektiivselt realiseerida. • Pilvteenuse võib võimaldada kaasaegsete tehnoloogiliste lahenduste (näiteks tehisaru kasutamist). • Pilvteenuste kasutamine võib aidata kiirendada tarkvaraarenduse protsesse (ja seeläbi vähendada arenduskulusid). • Kriisiolukord riigis (näiteks sõjaline konflikt) tõstatab täiendavaid küsimusi ja vajadusi seoses riikliku tähtsust omavate andmete majutamise ja töötlemisega. Ühest küljest joonistub erilise tähtsusega välja vajadus tagada andmete turvalisus (näiteks olukorras, kus e-teenuste toimimiseks vajalikud andmekeskused saavad kahjustada rünnaku tõttu), kuid teisest küljest võib olulisemaks osutuda ligipääsu säilimine nendele andmetele (näiteks olukorras, kus riik peab vajalikuks välisühendus katkestada). Erinevate teenuseomanike (ja nende hallatavate erinevate infosüsteemide ja andmekogude) vajadused on erinevad. Konkreetsete nõuete vastu on võimalik leida sobivaim lahendus oma infosüsteemide majutamiseks või töötlemiseks. Samas kaasnevad avalike pilvteenuste kasutamisega täiendavaid kaalutlused ja kohustused, mis tulenevad konkreetselt teenuspõhimõttel teenuste hankimisest ja kasutamisest. Asjakohane õigusraamistik on alljärgnev. • Isikuandmete kaitse nõudeid kirjeldavad isikuandmete kaitse üldmäärus (edaspidi IKÜM) ja isikuandmete kaitse seadus. Teenuseomanik peab välja selgitama, kas seoses pilvteenuste kasutamisega on vajalikud muudatused volitatud töötajate koosseisus ja isikuandmete töötlemise tingimustes. • Avaliku teabe kaitse nõudeid kirjeldavad avaliku teabe seadus (edaspidi AvTS), Pilvemäärus ning eriseadused (nt sisaldus veel veidi aega tagasi ravimiseaduses keeld seotud andmekogu suhtes volitatud töötleja määramiseks, mis tänaseks on muudetud) ja teenuseomaniku või andmekogu põhimäärused. • Küberturbe nõudeid kirjeldavad küberturvalisuse seadus (edaspidi KüTS), Eesti Infoturbe Standard (edaspidi E-ITS) ja seonduvad rakendusaktid. Alternatiivselt E-ITSile on võimalik küberturvalisuse 17 Keskvalitsuse tasemel reguleerib teenusjuhtimist Vabariigi Valitsuse määrus ”Teenuste korraldamise ja teabehalduse alused”. Määruse kohaselt hinnatakse oluliste teenuste ja nende osutamise protsesside kvaliteeti vähemalt kord aastas ning muuhulgas määratakse kindlaks tehnoloogilised muudatus- ja arendusvajadused, nende prioriteedid ning nende elluviimisel tekkiv väärtus. Kohalike omavalitsuste teenusjuhtimine (ega ka e-teenuste juhtimine) ei ole keskselt reguleeritud. Samas peavad ka kohalike omavalituste infosüsteemid olema juhitud kooskõlas riiklike õigusaktidega (nt Küberturvalisuse seadus ja Eesti infoturbestandard E-ITS). 12 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  nõuete täitmiseks lähtuda ka turvameetmetest, mis on vastavuses rahvusvahelise standardiga ISO/IEC 27001 kehtestatud nõuetele, ning sellisel juhul on teenuseomanikul kohustus esitada RIA- le kehtiv vastavussertifikaat. Näiteks, on E-ITSs eraldi jaotis OPS.2.2, mis puudutab konkreetselt pilvteenuste kasutamist18 ning INF.Taristu, mille koosseisus on nõuded serveriruumidele ja andmekeskustele. Tagamaks ühtsemat taset avaliku teabe töötlemisel ja kaitsmisel tuleks Pilvemääruse seletuskirja kohaselt eelistada Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (edaspidi RIT) poolt pakutavaid lahendusi19. • Avalike pilvteenuste kui turuteenuste soetamist reguleerib riigihangete seadus (edaspidi RHS).Lisaks täpsustab töö tellimisega riskide maandamise etalonturbe meetmeid ka E-ITSi jaotis OPS.2.3 „Väljasttellimine“20. Avaliku pilvteenuse kasutamine ei ole Eesti avalikus sektoris õigusaktidega keelatud. Erandina peab elutähtsat teenust korraldav asutus (edaspidi ETKA) vastavalt hädaolukorra seadusele tagama elutähtsa teenuse järjepidevuse ka viisil ja vahenditega, mis ei sõltu välisriikides asuvatest infosüsteemidest. Ka hetkel kooskõlastusel oleva Tsiviilkriisi ja riigikaitse seaduse eelnõu praegune sõnastus näeb ette ka KüTSi täiendamise samasisulise kohustusega. Elutähtsa teenuse osutajate hulka kuuluvad ka näiteks mõned KOVid. Eelnõu seletuskirja kohaselt on eelnõu koostamisega paralleelselt alustanud MKM koostöös RIA, Riigikantselei ja julgeolekuasutustega selle sätte sisulise muutmise vajaduse analüüsimist, sest on teada rahvusvahelisi kogemusi, kus just kohalikud andmekeskused on vaenlasele strateegiliseks sihiks. Olenevalt analüüsi tulemustest võidakse kõnealuse sätte sõnastust muuta või kehtetuks tunnistada, kuid see muudatus plaanitakse teha KüTSi täiendava muutmise ehk revisjoni käigus. Kõik levinumad avalikud pilvteenuse osutajad kasutavad teenuse osutamiseks infosüsteeme, mis asuvad välisriikides. Sellest järeldub, et teatud teenuseomanikel (eelkõige ETKA- del) on hetkel kohustus tagada teenuste toimimine avalikest pilvteenustest sõltumatult. See ei tähenda siiski automaatselt, et ETKA-del oleks kindlasti keelatud avaliku pilvteenuse kasutamine, kuid võib tekitada küsimusi pilvteenuse kasutamise majanduslikus mõttekuses. 18 E-ITS: https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-kataloog/ops-kaeidutoeoed/ops2- kaeidutoeoed-teenusena/ops22-pilvteenuste-kasutamine/2-ohud 19 Pilvemääruse seletuskiri (1.2 (xi)): „Tagamaks riigi ühtset taset avaliku teabe töötlemisel ja kaitsmisel, peaks enne pilvandmetöötlusteenuse kasutuselevõtmist olema selge, et teabepidaja töödeldavat avalikku teavet ei ole võimalik nõuetekohaselt töödelda avaliku sektori üleselt pakutava andmete töötlemise võrgu- ja infosüsteemi kaudu või kasutades keskse hankija poolt hangitud võrgu- ja infosüsteemiteenust.“ 20 E-ITS: https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-kataloog/ops-kaeidutoeoed/ops2- kaeidutoeoed-teenusena/ops23-vaeljasttellimine/1-kirjeldus 13 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 1.3. Avalike pilvteenuste kasutamise hetkeseis ja ootused Teenuseomanike ja IT-majade hetkeolukord ja ootused Teenuseomanike huve esindasid pilvekontseptsiooni loomisel eelkõige avaliku sektori suuremad IT-majad ja valitud olulisemad teenuseomanikud (nt Tervisekassa ja Töötukassa). Hetkeolukorra ja ootuste kaardistamiseks küsiti neilt sisendit nii töötubade kui ka kirjaliku küsimustiku vormis. 2024. aastal tugineb Eesti digiriik reeglina oma taristule ja/või RITi poolt pakutavale Riigipilvele. Eesti avaliku sektori asutustes üldiselt ei ole kogemust avalike pilvteenuste kasutamisega ega nende turvalisuse tagamisega. Kuni senine lahendus toimib ja kuni senist lahendust nähakse kui poliitiliselt toetatud ja eelistatud lahendust, ei nähta nii suure muudatuse ettevõtmist kui prioriteetset ega hädavajalikku. Pikemas perspektiivis näevad teenuseomanikud ja IT-majad avalike pilvteenuste kasutuselevõttu kui hädavajadust, mis pakub lahendusi praktilistele ärivajadustele ning leevendab valdkonna ekspertide nappusest tulenevaid puudujääke. Enda poolt hallatav taristu ja platvormid ei suuda pidada ajaga sammu ja pakkuda jätkusuutlikku, skaleeritavat ning kuluefektiivset lahendust. Kuigi teoreetiliselt on nii enda taristul kui ka avalikel pilvteenustel eeliseid erinevate andme- ja küberturvalisusega seotud riskide maandamiseks, siis praktikas sõltub nende riskide maandamine siiski eelkõige oskustest ja eelarvelistest võimalustest. Erinevate hübriidlahenduste rakendamine võimaldab maandada olemuslikult erinevaid riske, kuid on eelarvele kõige kulukam nii vajatava personali koosseisu kui jooksevkulude vaates. Avalike pilvteenuste kasutamise peamisteks motiivideks on toime- ja järjepidevus (resilience, continuity) ning vaid avalikele pilvteenustele omaste funktsionaalsuste kasutamine. Teenuseomanikud ootavad avalike pilvteenuste laialdasemalt kasutuselevõtult ka mugavat jõudluse skaleerimist (vastavalt muutuvale kasutusaktiivsusele), uute tehniliste võimekuste/võimaluste loomist, asutusesiseste tegevuste optimeerimist ning kulude kokkuhoidu. Hetkel veel ei peeta teenuseomanike poolt oluliseks selliseid tavapäraseid pilvede tugevusi nagu arendusprotsesside kiirendamine (time-to-market), teenuste pakkumise paindlikkus, turvaarhitektuuri ja -kontrolli ajakohastamine või kasutajamugavuse suurendamine. Teenuseomanike jaoks on avalike pilvteenuste kasutuselevõtt keeruline eelkõige kahel põhjusel. Esiteks puudub teenuseomanikel kindlus, kuidas avalikud pilvteenused positsioneeruvad seni tugevalt eelistatud Riigipilve lahenduse suhtes. Ebakindluse tingimustes eelistatakse mahukaid investeeringuid ja muudatusi pigem edasi lükata, et vältida olukordi, kus ollakse sunnitud muudatusi tagasi pöörama või värskelt juurutatud lahendusi radikaalselt muutma. Teiseks kaasneb avalike pilvteenuste kasutuselevõtuga suur administratiivne koormus ning täiendav järelevalve teenuseomanike üle. Avalike pilvteenuste kasutuselevõtt on kompleksne muutus, mis eeldab muudatusi uute kompetentside ja võimekuste arendamisest kuni asutuse juhtimise ja eelarve struktuurini. Neid ebamugavusi on võimalik ära hoida avalike pilvteenuste kasutamist vältides. Teenuseomanike konkreetsemad ootused avalike pilvteenuste kasutuselevõtu juhtimisele on kokku võetud järgmistes punktides. 1. Teenuseomanikud ootavad pilvekontseptsioonilt konkreetsemaid juhiseid, mis positsioneeriksid avalikud pilvteenused Riigipilve lahenduse suhtes. Teenuseomanike hinnangul lihtsustaks ja kiirendaks avalike pilvteenuste kasutuselevõttu selge riiklik suunis ja eesmärk. Samas võib see kaasa tuua ka ebamõistlikku ning ebaefektiivset muudatuste juhtimist. Lihtsustatult ja üksmeelselt oodatakse selgust küsimuses, kas avalikke pilvteenuseid ja Riigipilve tuleks omavahel käsitleda kui võrdseid võimalusi või kas üks peaks olema eelistatud teise ees. 14 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  2. Teenuseomanikud ootavad avalike pilvteenuste kasutuselevõtu juhtimist nii, et see tagaks administratiivse koormuse optimeerimise ja dubleerimise vältimise. Soovitakse, et pilvteenuste hankimine ja pakkuja riskihindamine oleks pakutud/võimaldatud ühe keskse asutuse (eeldatavasti RITi) poolt. Keskne haldus aitaks teenuseomanikel saavutada paremat efektiivsust, nii ajaliselt kui ka rahaliselt, ning aitaks vältida dubleerimist, mida praeguses olukorras peaks näiteks analüüsi tegemisel ja riskide hindamisel suurel määral tegema. Administratiivne koormus on IT-majade hinnangul kõige olulisem takistus pilvteenuste kasutuselevõtul. Senisele vähesele kogemusele tuginedes on konkreetsete teenuste riski- ja andmete mõju analüüside tegemine aastate pikkune protsess – tulenevalt selge ja konkreetse protsessi puudumisest ning aegunud arusaamadest, kusjuures neid analüüse peab olema suutlikkus regulaarselt uuendada. 3. Teenuseomanikud ootavad praktilisi juhendmaterjale, mis aitaks neil efektiivselt tuvastada olukordi, millal peaks pilvteenuste kasutuselevõttu kindlasti kaaluma ja millal peaks seda vältima. Selliste juhendmaterjalide olemasolu peaks ootuspäraselt tagama üks keskne asutus, et tagada nende pidev ajakohasus ja kooskõla riikliku parima praktikaga. Kuigi peamine kompetentsikeskus võiks teenusepakkujate hinnangul olla keskne, peaksid organisatsiooni ja teenuse-spetsiifilisemad oskused ja teadmised arendatama välja teenuseomanike (või neid esindavate IT-majade) koosseisus. 4. Teenuseomanikud ootavad praktilisi soovitusi ja tehnilise teostuse juhiseid (nii-öelda konfiguratsioonijuhiseid) olukordades, kui avalikke pilvteenuseid otsustatakse kasutusele võtta. Soovitakse vältida, et teadmatusest tehakse eksimusi, mis nõrgestavad turvalisust või teenuste kuluefektiivset kasutust. Soovitakse suuremat selgust, millist järelevalvet plaanib RIA teha, et vältida teadmatusest tulenevaid eksimusi. Eelnevat arvestades on teenuseomanikele kasulik, kui neil on võimalik kasutada üleriigilisi mustreid ja parimaid praktikaid. Samas peaks teenuseomanikele jääma vabadus ja kohustus hallata organisatsioonispetsiifilisi konfiguratsioone, haldust ja riske. 5. Teenuseomanikud soovivad kindlustunnet, et avalike pilvteenuste kasutuselevõtuks vajalikud eelarve struktuuri muudatused leiavad heakskiidu. Kui seni ise loodud lahendused eeldasid eelkõige personalikulu ja investeeringuraha, siis teenuslahendused on reeglina käsitletavad kuluna. Kesksete osapoolte hetkeolukord ja ootused Kesksete osapooltena käsitletakse pilvekontseptsioonis MKM-i, RIT-i ja RIA-t. MKM on digiühiskonna poliitikakujundaja ja digiühiskonna arengukava omanik. MKMi põhimäärus21 sõnastab MKMi valitsemisalana riigi infosüsteemide arendamise koordineerimise ning tehnoloogiline arendustegevuse ja innovatsiooni. RIA on vastavalt Küberturvalisuse seadusele küberturbe intsidentide lahendamise üksus (§ 5), riikliku ja haldusjärelevalve teostaja infoturbe meetmete rakendamise üle ning E-ITS infoturbemeetmete väljatöötaja. RITi on konsolideeritud IT baastaristu teenused. Kesksete teenuseosutajate vaates on praegune olukord, kus iga teenuseomanik teeb täiesti sõltumatuid valikuid, pigem murettekitav. Kuna puuduvad riigispetsiifilised teadmised ja soovitused, siis on iga juurutus omamoodi jalgratta leiutamine. Ühiste kokkulepete puudumiste tõttu toimetab iga teenuseomanik oma parima äranägemise järgi, mis ei võimalda efektiivselt täita oma rolli järelevalve 21 Majandus- ja Kommunikatsiooniministeeriumi põhimäärus: https://www.riigiteataja.ee/akt/129122011157 15 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava teostajana ega IT baastaristu arendajana. Kuni puuduvad suunised ja arusaam riigi terviklikust visioonist, on kesksetel osapooltel raske planeerida ja kavandada oma ressursivajadust ja muudatusi seotud IT baastaristu teenustes. Kesksed teenusosutajad soovivad sarnaselt teenuseosutajatega selgemat avalike pilvteenuste positsioneerimist. Lisaks ootavad kesksed teenuseosutajad selgemaid ootuseid enda rollile ning asjakohaste ressursside eraldamist, mis võimaldavad täiendavaid ülesandeid täita. Poliitikakujundaja huvi on IT baastaristu jätkusuutlikkus ja turvalisus ning innovatsiooni toetamine ja elluviimine avalikus sektoris. Nende eesmärkide saavutamiseks on vajalik, et digiriik on võimeline kasutama baastaristuna avalikke pilvteenuseid ehk on nö pilvekõlbulikud. On ootuspärane, et avaliku pilve kasutuse osakaal avalikus sektoris suureneb olulisel määral. Neid arenguid tingivad nii funktsionaalsed kui ka riistavara vajadused, avalike pilvelahenduste eelised kui ka oskuste ja inimressursi kättesaadavus. Kuigi avalike pilvlahenduste kasutamine kasvab, siis avaliku sektori infrastruktuur saab olema hübriidlahendus, mis sisaldab erinevaid platvorme (privaatpilv, Riigipilv, avalik pilv). Küll aga saab neid ühendav joon olema pilvetehnoloogiate kasutus ning pigem suuremal kui vähemal määral ka avaliku pilve komponent. Seetõttu leiab MKM, et avaliku sektori asutused peaksid asuma pilvetehnoloogia, ja sealhulgas ka avalike pilve teenuste kasutuselevõtu teele juba täna. Uute rakenduste puhul kehtib juba täna arhitektuurne nõue ehitada neid pilvekõlbulikena. Samuti on vajalik hakata arendama organisatoorseid võimekusi (praktilised oskused ja kogemused, töökorraldus) avalike pilvteenusete kasutamiseks. Avalike pilvteenuste kasutuselevõtu kiiruse ja ulatuse prognoos Kõik IT-majad teevad ootuspäraselt perioodil 2024-2026 esimesed katsetused avalike pilvteenuste kasutusele võtuga (nö toimub piloteerimise ja katsetamise faas), mistõttu on ajakriitiline sõlmida loetud kuude jooksul kokkulepped avalike pilvteenuste kasutuselevõtu juhtimises ning need kokkulepped ka institutsionaliseerida, et tagada nende stabiilsus 5-10 aasta vaates. • Innovaatorina on teada Tervisekassa, kes on juba 100% üle läinud pilvteenuste kasutamisele IaaS ja PaaS kihis. • Varajaste omaksvõtjatena (early adopters) on 2 küsimustikule vastanud asutust andnud teada kavatsusest lähiaastatel (kuni 2026) enam kui 80% oma teenusportfellist viia pilvepõhiseks. • Enamus vastanutest (4 asutust) plaanib lähiaastatel võtta pilvteenused kasutusele 5-35% oma teenusportfelli haldamiseks. • Viivitajatena käituvad 2 vastanud asutust, kellel puuduvad igasugused plaanid avalike pilvteenustega lähiaastatel või puudutavad need plaanid vähemat kui 1% nende teenusportfellist. Esimesed katsetused lähtuvad seniste infrastruktuuri osakondade sisemistest vajadustest ning seetõttu keskenduvad need eelkõige infrastruktuuri teenustele ja haldust automatiseerivatele tugiprotsessidele (IaaS teenused). Reeglina alustatakse katsetamist näiteks pakktöötlusest (batch processing), andmesalvestusest (data storage) ja avariitaastest (disaster recovery). Avalikke pilvteenuseid võetakse aktiivsemalt kasutusele eelkõige olukordades, kus senine riistvara vajab uuendamist. Nendel hetkedel on oluline kaaluda riistvara soetamise asemel turuteenuste kasutamist. IaaS kihi vajadustest juhitud transformatsiooni korral on ka võidud avalike pilvteenuste kasutamisest tagasihoidlikumad, kuid lähtuvad DÜAKist, mis julgustab pilvlahendusi kasutama ning kohustab arendama uusi lahendusi pilvekõlblikuna. 16 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Hetkeolukorra ja ootuste kokkuvõte Tulenevalt eeltoodust on peamine ootus pilvekontseptsioonile, et tekiks pikaajaline kindlus (ca 5-10 a), kuidas avalikud pilvteenused positsioneeruvad Riigipilve suhtes Eesti digiühiskonnas. Seni parimaks praktikas peetud arusaam riist- ja tarkvara omamise osas on aegunud ning vajab muutmist. Samuti usutakse, et platvorme ja süsteeme, mis on ressursimahukad, keerulised ning samas pilveplatvormidel lihtsalt kättesaadavad ning ka vajalikul määral hallatud, ei peaks enam ise arendama. Puudub aga üksmeel, kes peaks vajalikke muutuseid eest vedama. Lisaks eestvedamise selgusele oodatakse, et pikaajaline nägemus sisaldaks juhtimismudelit, mis tagab avalike pilvteenuste efektiivse kasutuselevõtu. Kõik kaasatud osapooled näevad vajadust ühtse keskse teenuste hankija/vahendaja ning ühtlasi ka kompetentsikeskuse järele, mis aitaks vältida asjatut dubleerimist näiteks riskide hindamisel või muude pilvteenustele üleminekuga seotud tegevuste tegemisel. Üks olulisemaid õiguses kirjeldatud põhimõtteid on, et teenuseomanikel lasub ja säilib peamine vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Seda ka olukorras, kus teenuseomanik kasutab teenuse osutamiseks kesksete kompetentsikeskuste (nagu IT- majad või RIT) teenuseid või turuteenuseid. Sellega tuleb juhtimismudelit luues arvestada. On vajalik, et teenuseomanikule on kättesaadavad juhised ja nõustamine, millele tuginedes saaks ta a) avalikele pilvteenustele üleminekut õigeaegselt planeerida, b) muudatust efektiivselt juhtida ja c) kasutatavaid pilvelahendusi efektiivselt kuid detsentraliseeritult hallata. See vähendaks olulisel määral tegevuste dubleerimist ning perspektiivis ka ressursside kulu (raha, aeg, oskused). 17 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2. Strateegilised valikud ja juhtimismudel 2.1. Peamised strateegilised valikud Pilvteenuste aktiivsem kasutamine võimaldab lahendada erinevate osapoolte jaoks olulisi kitsaskohti. Näiteks riiklikul tasandil võimaldab avalike pilvteenuste kasutamine tõsta Eesti e-riigi jätkusuutlikkust ning säilitada selle kaasaegsust. Teenuseomaniku jaoks võimaldavad pilvteenused innovatsiooni kiirendada. IT-majad või IT-osakonnad võivad näha pilvteenustes võimalust IT töökorralduse optimeerimiseks või tõstmaks oma atraktiivsust nii tööandja kui erasektori kliendina. Visiooni seadmisel kaalutleti nelja põhimõttelise stsenaariumi valiku vahel lähtuvalt sellest, kes avalike pilvteenuste kasutuselevõttu eest veab. Avalike pilvteenuste kasutuselevõtt on 1. iga konkreetse teenuseomaniku juhitud muutus (nagu seni), 2. ministeeriumi valitsemisala poolt juhitud muutus, mida toetab keskne kompetentsikeskus, 3. keskse teenuseosutaja poolt juhitud muutus, kelle juhiste järgimine on kohustuslik või 4. avalike pilvteenuste kasutuselevõtt on riiklikult juhitud muutus. Selline järgnevus näitab ka võimalikke valikuid tsentraliseerituse osas, kus viimane on kõige kesksemalt juhitud ning esimene on kõige detsentraliseeritum muudatuse juhtimine. Stsenaariumide peamised erinevused ja sarnasused on esitatud alljärgnevas tabelis. Tabel 2. Avalike pilvteenuste kasutuselevõtu juhtimise stsenaariumid. Stsenaarium 1. Stsenaarium 2. Stsenaarium 3. Stsenaarium 4. Teenuseomaniku Ministeeriumi Keskse Riiklikult juhitud (äriomaniku) valitsemisala teenuseosutaja poolt muutus juhitud muutus juhitud muutus juhitud muutus Valitsemisala juhib avalike pilvteenuste Iga teenuseomanik Riiklikult juhitud kasutuselevõttu ja IT baasteenuste otsustab avalike kohustus avalike Stsenaariumi selgitab osutaja dikteerib pilvteenuste pilvteenuste lühikirjeldus teenuseomanikele, avalike pilvteenuste kasutamise kasutuselevõttu kas ja millal on kasutuselevõtu viisi sõltumatult prioriseerida mõistlik üleminekut planeerida Organisatoorne Riigi horisontaalsete efektiivsus ja huvide prioriseerimine IT baasteenuste vajadus keskenduda (innovatsiooni Peamised Konkreetse teenuse optimeerimine ja enam äriteenuse kiirendamine, motivaatorid hädavajadus juhtimine riigis kihile turuteenuste tervikuna (infrastruktuuri eelistamine, valmisolek haldamise asemel) eriolukorraks vms) Avalike pilvteenuste Riigipilve Avalikku pilve Avaliku pilve ja Riigipilve lahendused on positsioneerimine kasutatakse alati kasutatakse alati olemuslikult võrdsed alternatiivid senise Riigipilve esimese eelistusena esimese eelistusena lahenduse suhtes Tervisekassa Soome riigi keskne Islandi „avalik pilv RITi pakutav terviklik üleminek Näidis teenusosutaja esimesena“ (cloud-first) töökoha teenus avalikele „Valtori“ strateegia pilvteenustele 18 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Teenuseomaniku juhitud muutuse stsenaarium (stsenaarium 1) sai välistatud eelkõige järgmiste nõrkuste tõttu. • Teenuseomanikul (äriomanikul) puudub kompetents teha taristu kihiga seotud otsuseid. • Üksiku teenuse ärivajadused reeglina ei suuda põhjendada nii suurt muutust (muuhulgas uute kompetentside väljaarendamist). • Üksikute teenuste vajadustest lähtuv muutus ei võimalda piisavat ennustatavust, läbipaistvust ja järelevalvet. • Teenuseomaniku poolt juhtud pilvteenuste kasutuselevõtt on ebamõistlikult aeglane. Riiklikult keskselt juhitud muutus (stsenaarium 4) välistati järgmistel põhjustel. • Pilvekontseptsiooni loomise perioodil ei suudetud tuvastada konkreetseid vajadusi, mis sunniksid lähemal ajal (2024-2026) juhtima avaliku pilvteenuste migreerimise ulatust või kiirust. Liigse survestamisega on oht ebaefektiivseteks muudatusteks või põhjendamatuks avalike pilvteenuste kasutuseks. Näiteks, avalikud pilvteenused võimaldavad ja toetavad innovatsiooni, kuid ei taga seda. Innovatsiooni realiseerumiseks peab arengut vedama teenuseomaniku vajadus ning teenuseomanik peab hindama, milline on tema vajadustele vastav baastaristu lahendus. • Puudub vajadus avalike pilvteenuste kasutuselevõtu tempot keskselt juhtida. Näiteks ei suudetud pilvekontseptsiooni loomise käigus tuvastada tugevaid (muuhulgas numbrilisi) eesmärke, mille tõttu tuleks jõulisemalt asuda eelistama turuteenuseid, valmistuda kriisiolukorraks või vajadust vähendada koormust Riigipilve lahendusele. Sisuline valik tehti stsenaariumite 2 ja 3 vahel ning nende omavaheline võrdlus on esitatud tabeli kujul. Tabel 3. Võimalike stsenaariumide nõrkuste ja tugevuste võrdlus. Stsenaarium 2. Stsenaarium 3. Ministeeriumi valitsemisala juhitud muutus Keskse teenuseosutaja poolt juhitud muutus • Valitsemisalal on võimalik muudatuse • Efektiivne järelevalve ja IT baasteenuste juhtimisel tugineda oma valitsemisala sisesele juhtimine läbi tsentraliseerimise IT kompetentsile (lihtsustatult IT-majale) • Kompetentsi välja arendamine eelkõige • IT-majal on piisav info nii teenuse vajaduste vaid ühes asutuses (alternatiivina igale kui ka tehnilise võimekuse kohta, et mõjutada valitsemisalale) Tugevused kaalutletud otsuseid, millal ja kuidas • Võimekus muudatust (vajaduse tekkimisel) pilvteenuseid kasutusele võtta kiirendada • Teenuseomanik on vastutav enda teenust puudutavate muudatuse eest • Avalike pilvteenuste tehnilised kompetentsid • Ebapiisav informatsioon teenuste vajaduste vajalik välja arendada igas IT-majas. kohta, mis ei võimalda üleminekut • Iga IT-maja peab säilitama võimekuse hallata efektiivselt ja kulutõhusalt juhtida on-prem lahendusi, kuni need on • Hajutatud vastutus avalike pilvteenuste valitsemisalas kasutusel. kasutuselevõtul ja kasutamisel • Vähene võimekus muudatust (vajaduse tekkimisel) kiirendada Nõrkused • Vähene võimekus tagada efektiivset järelevalvet ja tsentraalselt prognoosida vajadusi IT baasteenuste järele Valiku tegemisel võeti arvesse järgmiseid aspekte, mis kirjeldavad hetkeolukorda ja eelistusi stsenaariumi valikul. Nende asjaolude muutumine võib kaasa tuua ka pikaajalise strateegia muutumise. • Hetkeolukord on innovatsiooni toetamise asemel tajutavalt kaldu keeldude ja kontrollide suunas. Sellest tingituna ei ole muudatustega vajalik tugevdada ega parendada kontrolli ega järelevalvet. 19 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  • Riskide maandamist hinnati olulisemaks kui jõuliselt kulutõhusaid lahendusi. Seetõttu eelistati stsenaariume, mis võimaldavad lahenduste paljusust ning taristu- ja platvormiotsuste langetamist iga teenuse vajadustest lähtuvalt. • Pilvekontseptsiooni koostamise hetkel ei tuvastatud keskset osapoolt, kellel oleks vajadus riiklikest huvidest lähtudes (näiteks eriolukorraks valmistumiseks või halduskulude ohjamiseks) transformatsiooni kiirendada. Seetõttu aktsepteeriti riski, et valitud juhtimismudel ei taga transformatsiooni keskset juhtimist ega kiirendamist. Eelnevat arvestades kujunes eelistatud stsenaariumiks ministeeriumi valitsemisala poolt juhitud muutus (stsenaarium 2). Selle korral tagab oma valdkonna pikaajalise taristuplaani loomise ja ellu viimise iga ministeerimi valitsemisala sõltumatult, kuid lähtudes digiühiskonna arengukavast. Ministeeriumid vastutavad valdkonna strateegilise juhtimise ning riigieelarve vahendite planeerimise eest, sealhulgas IT- baastaristu valdkonnas. Ministeeriumi oluliseks tegevuseks pilvteenuste kasutuselevõtul on sisulise vajaduse kaardistus, tagada valitsemisalas ühetaoline lähenemine ning olulistest põhimõtetest kinnipidamine ja lisaks strateegiliselt kaugeleulatuvate mõjudega otsuste jätkusuutlikkuse läbimõtlemine. Konkreetse teekaardi kavandamisel ja muudatuste ellu viimisel saab valitsemisala vahetut tuge oma valitsemisala siseselt IT kompetentsi üksuselt (IT-majalt), sest sinna on reeglina koondunud parim info nii teenuse vajaduste kui ka tehnilise võimekuse kohta. IT-maja ülesanne on selgitada teenuseomanikele, kas ja millal on mõistlik avalike pilvteenuste kasutamist kaaluda ja planeerida või kasutusele võtta. Tänu valitsemisala sisemistele kokkulepetele ja IT-maja toele saavad teenuseomanikud teha kaalutletud otsuseid IT-baastaristu küsimustes ning kanda vastutust oma teenuste eest. Ajalooliselt on aastaid tehtud tööd selle nimel, et konsolideerida senised baastaristu lahendused Riigipilve. Seetõttu on de facto eelistatud lahendus olnud Riigipilv ning teenuseomanikud ei teadvusta, et neil on õigus ja kohustus teha baastaristut puudutavaid valikuid. Selle stsenaariumi lahutamatuks osaks on, et avaliku pilve ja Riigipilve lahendused on olemuslikult võrdsed alternatiivid, mille vahel teenuseomanik (või valitsemisala laiemalt) peab teadlikke valikuid tegema. Harjumuste muutmiseks tuleb teadlikkuse tõstmisesse tuleb panustada mitmel tasandil. • Avalike pilvteenuste kasutuselevõtt peab olema avalikult toetatud läbi digiühiskonna strateegia täienduste ja asjakohase kommunikatsiooni. • Avalike pilvteenuste alast võimekust ja teadlikkust on vaja arendada nii äripoolel (teenuseomanik) kui tehnilisel poolel (IT-maja). Leevendamaks valitud stsenaariumi nõrkuseid ja tagamaks dubleerimise vältimist leiti, et muutuse toetamiseks on vajalik keskse kompetentsikeskuse loomine RITi. Avalike pilvede kompetentsikeskus peab tagama laiema teadmuse leviku ja kompetentsi tõusu avalikus sektoris. Kompetentsikeskus saab anda oma panuse, et keskselt lahendada minimaalsed disaini ja turvalisuse küsimused (nö ühised mustrid nagu näiteks andmete säilitamine vaid Euroopa Liidu piires). Samas jääb iga konkreetse lahenduse haldamine ja migreerimise korraldus valitsemisaladesse (nagu seni). RIT saab toetada avaliku sektori osapooli läbi pilvelahenduste vahendamise ja parimate praktikate jagamise, kuid RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvelahenduste turvalise juurutamise eest. Teenuste opereerimise ja arendamise vastutus säilib valitsemisalades. Seetõttu peab ka teenuseomanike nõustamist konkreetsetes küsimustes ning muudatuste elluviimist juhtima iga valitsemisala tasemel. 20 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2.2. Juhtimismudeli tervikülevaade Avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid Eestis Ülevaatlikkuse huvides on alusprintsiibid esitletud tabeli kujul, mis võimaldab täpsemalt selgitada, kas ja millist muutust alusprintsiibi sõnastamisega taotletakse. Tabel 4. Avalike pilvteenuste alusprintsiibid Alusprintsiip Selgitus 1. Avalike pilvteenuste Pilvekontseptsioon ei muuda oluliselt DÜAKis sõnastatud eesmärke ega aktiivsem kasutamine on strateegilisi suundi. Teenuseomanikud peavad tagama valmisoleku kasutada avalikus sektoris ootuspärane ja pilvteenuseid, sh avalikke pilvteenuseid. Pilvekontseptsioon soovitab avalikele vajalik. pilvteenustele migreerumise sihte ning organisatoorsete võimekuste arendamise eesmärke täpsemini sõnastada. Pilvteenuste kasutuselevõtuga seotud eesmärke peab toetama asjakohane tegevusplaan, kus tegevustele on lisatud vastutajad. Need täpsustused tagavad, et eesmärke tõlgendatakse erinevate teenuseomanike poolt sarnaselt ning arengukava alusel viiakse muudatused ka ellu. Pilvteenuste kasutuselevõtt peab olema avalikult toetatud läbi digiühiskonna arengukava täienduste ja asjakohase kommunikatsiooni. Selleks, et muuta ajalooliselt juurdunud seisukohti, kus parimaks lahenduseks peetakse Riigipilve lahendust, on vaja teadlikult kommunikatsiooni juhtida ja avaliku pilve asjakohaselt positsioneerida. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), mida ühendab läbiva joonena pilvetehnoloogiate kasutus ning pigem suuremal kui vähemal määral ka avaliku pilve komponent. Taktikalised otsused pilvteenustele migreerimise kiiruse ja määra osas on iga teenuseomaniku teha, kuid MKM julgustab teekonna ettevõtmist. 2. Oma valdkonna pikaajalise IT- Ministeeriumid vastutavad valdkonna strateegilise juhtimise ning riigieelarve baastaristu plaani loomise ja vahendite planeerimise eest, sealhulgas IT-baastaristu valdkonnas. Ministeeriumi ellu viimise tagab iga oluliseks tegevuseks pilvteenuste kasutuselevõtul on sisulise vajaduse kaardistus, ministeeriumi valitsemisala tagada valitsemisalas ühetaoline lähenemine ning olulistest põhimõtetest sõltumatult, kuid lähtudes kinnipidamine ja lisaks strateegiliselt kaugeleulatuvate mõjudega otsuste digiühiskonna arengukavast. jätkusuutlikkuse läbimõtlemine. Vajadusel sõnastatakse need põhimõtted ning luuakse oma haldusala teekaardid. Efektiivsuse ja kulutõhususe tagamiseks soovitame juhtida ka asjakohaseid organisatoorseid muudatusi ning võimekuste arendamist valitsemisala tasemel. 3. Teenuseomanikel on õigus ja Pilvekontseptsiooni kohaselt jäädakse truuks lähenemisele, kus avalike kohustus valida oma e-teenuste pilvteenuste kasutamine on iga teenuseomaniku valik. Samas rõhutatakse osutamiseks sobivaimaid vajadust teadliku ja kaalutletud IT baastaristu valiku järele nii, et riiklikult taristu- ja platvormiteenused. arendatav ja hallatav lahendus (nt Riigipilv) ei ole de facto eelistatud. Alusprintsiip selgitab, et teenuseomanik vajab suuniseid valitsemisala tasandilt ning praktilist tehnilist nõustamist valitsemisala IT-majalt, et teha kaalutletud valik avalike pilvteenuste ja Riigipilve lahenduste vahel või leida sobivaim lahendus nende kombinatsioonis. 21 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  Alusprintsiip Selgitus 4. RIT-st saab avalike Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis pilvteenuste keskne vastasel korral eeldaks kordamist kõigis avalike pilvteenuste taristu- või kompetentsikeskus. platvormiteenuseid kasutavates valitsemisalades. Keskseks kompetentsikeskuseks saab RITi, sest sinna on juba täna konsolideerimisel Eesti baasinfrastruktuuri lahendused. Kompetentsikeskuse ülesanded on järgmised. 1. Pilvteenuste kasutuselevõtu strateegiline koordineerimine IT baastaristu osana, mis sisaldab endas avalike pilvteenuste kontseptsiooni kaasajastamist ja tegevusplaani elluviimise koordineerimist. 2. Praktiliste juhendite koostamine ja levitamine, mis võimaldavad lihtsustada pilvteenuste esmast kasutuselevõttu nii ärilises kui tehnilises vaates. 3. Nõustamiskogukonna juhtimine, mis võimaldab jagada parimaid praktikaid, õppida Eesti avaliku sektori kogemusest ning korraldada vajadusel ühiseid treeningpäevi. 4. Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT neutraalse osapoolena. RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. Seega, RIT ei saa tagada erinevate pilvelahenduste koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada. 22 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Juhtimismudel lühidalt Avalike pilvteenuste juhtimismudeli fookus on valitsusasutuste ja valitsusasutuste hallatavate asutuste tasemel ning tegevused prioriseeritud tuginedes nende vajadustele IT baastaristu infra- (IaaS) ja platvormiteenuste (PaaS) kihtides. See on tasand, kus erinevate riigiasutuste vajadused ja huvid on piisavalt sarnased, et neid oleks mõistlik keskselt toetada. Juhtimismudeli loomisel lähtuti eelkõige kahest eesmärgist. 1. Püüti leida motivaatoreid, mis annaksid valitsemisaladele (sh IT-majadele ja teenuseomanikele) kindlustunde, et avalike pilvteenuste kasutamine on nii poliitikakujundaja kui ka järelevalve asutuste poolt lubatud ja aktsepteeritav tegevus. 2. Otsiti võimalusi administratiivse koormuse vähendamiseks ja avalike pilvteenuste turvalise kasutuselevõtu lihtsustamiseks läbi keskse kompetentsikeskuse ja hankija rolli defineerimise. Juhtimismudeli loomisel võeti arvesse järgmiseid rangeid nõudeid. • Avalike pilvede juhtimismudel ei muuda teenuseomaniku rolli ega vastutuse ulatust. Iga teenuseomanik kuulub ühe ministeeriumi valitsemisala koosseisu ja tugineb konkreetse valitsemisala IT-majale või struktuuriüksusele. • Pilvteenuseid ja pilvteenustega seotud konsultatsioone tuleb hankida kooskõlas Riigihangete seaduse ning asutuse hankekorraga. • Eestis tervikuna on huvi kasutada erinevate enamlevinud avalike pilvteenuste osutajate teenuseid. Konkreetsed tarkvarateenused arendatakse sobivaks konkreetse pilve platvormi võimalustest lähtuvalt. See tähendab, et teenuseomanik peab iga konkreetse teenuse osas saama määrata, kas ja millise avaliku pilve platvormi teenuseid kasutatakse. Kesksete osapoolte roll juhtimismudelis on järgnev. • MKM-l tuleb pilvekontseptsioon siduda digiühiskonna arengukava ja vastava tööplaaniga. Nii tagatakse pilvekontseptsiooni jõustamine ning tagatakse kindlus poliitikakujundaja pikaajalistes huvides. • Juhtimismudelit on vaja järjepidevalt ajakohastada ning koordineerida tegevuskava ellu viimist. Seda tööd sobib tegema osapool, keda soovitakse näha avalike pilvteenuste keskse kompetentsikeskusena (ehk RIT). • Järelevalveasutust (RIA) ega selle rolli ei ole plaanis pilvekontseptsiooniga muuta ega mõjutada, kuid ülevaatlikkuse huvides on nad mudelis kirjeldatud. Pilvteenuste hankimisest ja keskse hankimise fookusest üldiselt. • Pilvteenuste osutamisega seotud teenused võib olemuslikult jagada kolmeks: tehniline IaaS ja/või PaaS platvormi ressurss, pilvlahenduste kasutamisega seotud konsultatsioon (inimressurss), avalikul pilvteenusel põhinev integreeritud lahendus. RIT plaanib kesksete hangete kaudu leida partnerid nii avalike pilvteenuste ressurssi kui konsultatsiooniteenuste ostuks. • Keskne hankimine vähendab eelkõige hankimisega seotud administratiivset koormust teiste osapoolte jaoks. Keskse hankimise korral jääb iga kasutaja tasuma enda poolt tarbitavate teenuste eest. Turuosalistel on õigus hankida avalike pilvteenustega seotud teenuseid RIT-st sõltumatult. • Avalike pilvteenuste ressursi ostul peab keskne hankija olema võimeline vahendama vähemalt kahe suurima avaliku pilvteenuse pakkuja IaaS ja PaaS (ressursi) teenuseid (Microsoft Azure ja Amazon Web Services turuosa avalike pilvteenuste kasutusest on enam kui 50%). Hanget korraldades saab valida, kas ühe või mitme pakkujaga lahenduste vahel. Hankija valib lepingupartneri(d) pakkumuse teinud osapoolte vahelt. Hanketingimustega ei ole võimalik nõuda ega välistada edasimüüjate kasutamist. 23 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avaliku pilve IaaS ja PaaS ressursi keskse hankimisega seotud osapooled on esitatud alljärgneval joonisel. Joonis ei kajasta pilvteenustega seotud konsultatsioonide ega avalikel pilvteenustel põhinevate valmislahenduste osutamisega seotud osapooli. Joonis 2. Avalike pilvteenuste ressursi kasutamisega seotud osapooled Oodatud kasud kesksest hankekorraldusest on järgmised. 1. Aja ja tööjõu efektiivne kasutus vältides sarnast korduvat hankemenetlust. 2. Parem ülevaade avaliku sektori poolt kasutatavates pilvteenustest. 3. Mastaabisääst, mis võimaldab tellijal saada osa suuremast allahindlusest. 4. Võimalus toetada esmast kasutuselevõttu parimate praktikatega. 5. Avalike pilvteenuste positsioneerimine Riigipilvega võrdsena ka Pilvemääruse tähenduses22. 22 Kui avalike pilvteenuseid hangib RIT, siis kasutavad teenuseomanikud ka avalike pilvteenuste korral keskse hankija poolt hangitud infosüsteemiteenust sarnaselt Riigipilvega (Pilvemääruse tähenduses). See muutus positsioneerib avalikud pilvteenused samaväärseks lahenduseks Riigipilve lahenduse suhtes. 24 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 2.3. Rollikirjeldused juhtimismudelis Poliitikakujundaja roll Pakutud mudel loob MKMi jaoks ühe tugeva keskse partneri (RIT), kelle ekspertarvamusele saab avalike pilvteenuste poliitikakujundamisel tugineda. RIT saab koondada infot avaliku sektori vajaduste, võimaluste, riskide ja võimekuste kohta. RIT saab samuti pakkuda tehnilist kompetentsi ja kogemust, millised teenused ning riski maandamise võimalused on turutingimustel ja erasektori abil kasutatavad. MKMi ülesanded on järgmised. 1. Tagada pilvekontseptsiooni jõustamine läbi asjakohaste muudatuste sisse viimise digiühiskonna arengukavasse ja selle tegevusplaani. 2. RITi rolli defineerimine keskse kompetentsikeskusena algatades asjakohased muudatused nii õiguslikult (näiteks põhimääruse uuendamine, keskse hankija määramine) kui ka finantsiliselt. 3. RITi keskselt hangitud lahenduste ja teenuste laialdase kasutuselevõtu soodustamine läbi eelarveotsuste (näiteks riistvara soetamise vajaduse täiendava põhjendamisvajaduse lisamine). 4. Avalike pilvteenuste kasutamisega seotud struktuursete eelarvemuudatuste vajaduste selgitamine. 5. Avalike pilvteenuste normaliseerimine läbi positiivse kommunikatsiooni ja parimate praktikate jagamise. 6. Avalike pilvteenuseid puudutava õigusruumi seire ja turuosaliste asjakohane teavitamine muudatustest. Näiteks, euroopaülestest arengutes on ENISA on koostamas Euroopa küberturvalisuse sertifitseerimisskeemi pilvteenuse pakkujatele (EUCS23). Pakutud mudel loob MKMi jaoks ühe tugeva keskse partneri (RIT), kelle ekspertarvamusele saab avalike pilvteenuste poliitikakujundamisel tugineda. RIT saab koondada infot avaliku sektori vajaduste, võimaluste, riskide ja võimekuste kohta. RIT saab samuti pakkuda tehnilist kompetentsi ja kogemust, millised teenused ning riski maandamise võimalused on turutingimustel ja erasektori abil kasutatavad. Keskse kompetentsikeskuse roll Keskse kompetentsikesksusena nähakse RITi, kuhu juba täna on konsolideeritud Eesti baasinfrastruktuuri lahendused. Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis IaaS ja/või PaaS teenuseid kasutavates valitsemisalades. Keskse kompetentsikesksusena nähakse RITi, kuhu juba täna on konsolideeritud Eesti baasinfrastruktuuri lahendused. Kompetentsikesksusesse soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis IaaS ja/või PaaS teenuseid kasutavates valitsemisalades. Kompetentsikeskuse ülesanded on järgmised. 1. Pilvteenuste kasutuselevõtu strateegiline koordineerimine IT baastaristu osana, mis sisaldab endas avalike pilvteenuste kontseptsiooni kaasajastamist ja tegevusplaani elluviimise koordineerimist. 2. Praktiliste juhendite koostamine ja levitamine, mis võimaldavad lihtsustada pilvteenuste esmast kasutuselevõttu nii ärilises kui tehnilises vaates. 23 EUCD mustand: https://www.enisa.europa.eu/publications/eucs-cloud-service-scheme 25 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  3. Nõustamiskogukonna juhtimine, mis võimaldab jagada parimaid praktikaid, õppida Eesti avaliku sektori kogemusest ning korraldada vajadusel ühiseid treeningpäevi. Muuhulgas oodatakse, et keskne kompetentsikeskus teeb kättesaadavaks avalikus sektoris teostatud riskianalüüsid, mis vähendab märkimisväärselt IT-majade ja teenuseomanike ajakulu samade teenuste analüüsimisel. Personaalse nõustamisteenuse korraldamine, mis annab IT-majadele ja teenuseomanikele kiire ja efektiivse ligipääsu personaalsetele konsultatsioonidele avalike pilvede küsimustes. 4. Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. Rõhutame, et nende ülesannete täitmisel ei sekku RIT avaliku pilvteenuse kasutaja subjekti valitsemisala korraldamisse. Sellest tulenevalt jääb RIT isikuandmete ja teabe (AvTS tähenduses) volitatud töötlejaks ning ei teosta täidesaatvat riigivõimu subjekti suhtes. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT neutraalse osapoolena. Selleks, et vahendaval riigiasutusel puuduks huvi konkreetset lahendust (näiteks Riigipilve) eelistada on vajalik juhtida IT-baastaristu teenuste vahendamist keskselt ühest asutusest. Keskse IT-baastaristu vahendaja huvi on tagada, et tema poolt vahendatavad lahendused vastaksid enamike riigiasutuste nõudmistele ja vajadustele. Portfolio mitmekesistamine (avalike pilvelahendustega) täidab seda eesmärki RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. Seega, RIT ei saa tagada erinevate pilvelahenduste koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada Järelevalveasutuse roll RIA on vastavalt Küberturvalisuse seadusele küberturbe intsidentide lahendamise üksus (§ 5) ning riikliku ja haldusjärelevalve teostaja (§ 14). RIA põhimääruse kohaselt on RIA põhiülesanneteks: 1. järelevalve teostamine elutähtsa teenuse osutamiseks kasutatavate infosüsteemide ning nendega seotud infovarade turvameetmete alalise rakendamise üle; 2. järelevalve teostamine riigi infosüsteemi haldamist reguleerivatest õigusaktidest tulenevate nõuete täitmise üle; 3. riigi infosüsteemi ja Eesti kriitilise informatsiooni infrastruktuuri infoturbega seotud tegevuste korraldamine; 4. Eesti arvutivõrkudes toimuvate turvaintsidentide käsitlemine. Muuhulgas sisaldavad eelnevad ülesanded endas järelevalve teostamist Pilvemääruse nõuete täitmise üle. Selle järelevalve teostamiseks on kõik avalike pilvteenuste kasutajad kohustatud RIA-t kasutatavatest nõuetest teavitama (vastavalt Pilvemääruse § 3. lõige 4, § 4. lõige 3, § 5. lõige 4 ja § 6. lõige 3). 26 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Ministeeriumide valitsemisalade roll Konkreetseid ettevalmistusi ja tegevuskava pilvteenuste kastusule võtuks juhitakse ministeeriumide valitsemisalades. Ministeeriumid vastutavad valdkonna strateegilise juhtimise ning riigieelarve vahendite planeerimise eest. Ministeeriumi oluliseks tegevuseks pilvteenuste kasutuselevõtul on sisulise vajaduse kaardistus, tagada valitsemisalas ühetaoline lähenemine ning olulistest põhimõtetest kinnipidamine ja lisaks strateegiliselt kaugeleulatuvate mõjudega otsuste jätkusuutlikkuse läbimõtlemine. Avalike pilvede juhtimismudel ei muuda teenuseomaniku rolli ega vastutuse ulatust. Lõplik otsus ja vastutus avalike pilvteenuste turvalise rakendamise eest jääb teenuseomanikele, keda tavapäraselt toetab tehniliselt valitsemisala IT-kompetentsikesksus (lihtsustatult IT-maja). Nii teenuseomanikud kui IT-majad lähtuvad õigusruumist, riiklikest strateegiatest ning konkreetse valitsemisala täpsematest strateegiatest/poliitikatest. Üks olulisemaid õiguses kirjeldatud põhimõtteid on, et teenuseomanikel lasub ja säilib peamine vastutus tema avalikest ülesannetest tulenevate andmete töötlemise ja küberturbe nõuete täitmise üle. Seda ka olukorras, kus teenuseomanik kasutab teenuse osutamiseks kesksete kompetentsikeskuste (nagu IT-majad või RIT) teenuseid või turuteenuseid ning seda põhimõtet valitud juhtimismudel ei muuda. Organisatoorselt peavad valitsemisalad juhtima enda võimekust ja oskuseid konkreetseid pilvteenuseid turvaliselt ja kuluefektiivselt kasutada. Vaid valitsemisala siseselt on võimalik kavandada migratsioonide omavahelist järjekorda ning migratsioonide elluviimiseks vajalikke ressursse (aeg ja raha). Oleme järgnevas tabelis esitanud ülevaate peamistest juhtimisotsustest ja neid toetavates tegevustest, mis tavapäraselt on iga valitsemisala piires vajalikud. Tegevuste elluviimiseks on võimalik koostöös valitsemisalaga taotleda SF 2021-2027 vahendeid, mille täpsemad tingimused on välja toodud majandus- ja infotehnoloogiaministri 25.08.2023 käskkirjas nr 135 "Toetuse andmise tingimused valdkondlike digipöörete toetamiseks". Peame vajalikuks rõhutada, et iga konkreetse pilvlahenduse kasutamine eeldab muudatusi ka teenuseosutajate infosüsteemides, mistõttu on oluline, et nad osalevad pilvlahenduse valikul. Pilvtehnoloogia kasutuselevõtu võimaldamiseks ja eeliste kasutamiseks tuleb reeglina eelnevalt infosüsteeme kaasajastada. Tabel 5. Ministeeriumi valitsemisala tegevused avalike pilvteenuste kasutamiseks valmisoleku tagamiseks Tegevus Kirjeldus IT baastaristu strateegia Taristu- ja platvormikihi muudatused eeldavad erinevate teenuseomanike koordineeritud koostamine konkreetse koostööd. Soovitame, et valitsemisalad koostavad IT-baastaristu strateegia (või valitsemisala jaoks täiendavad asjakohast strateegiat), mis selgitab otsustuskohti ja sõltuvusi ning toetab teenuseomanike otsuste tegemist. Vastav strateegia peaks andma vastused ka levinumatele rakendusküsimustele nagu näiteks, • millistel juhtudel ja kuidas on vajalik andmete varundamine väljaspool konkreetse pilvteenuse pakkuja võimalusi (nt teise avaliku pilvteenuse osutaja juures, Riigipilves või lokaalses serveris), • millistel juhtudel (erinevat tüüpi eriolukordades) võivad erinevad IT baasteenuste valikud tuua kaasa teenuste katkemist ja millises ulatuses, • millised on soovituslikud või levinumad baastaristu kasutusmustrid konkreetses valitsemisalas. IT baastaristu strateegia on üks olulisemaid juhtimisinstrumente, mis tagab digiriigi jätkusuutlikkuse ja võimaldab DÜAKis seatud eesmärkide saavutamist. Seetõttu soovitame, et need kirjeldaksid teekonda, kuidas saavutatakse DÜAKis nimetatud eesmärgid olla pilvekõlbulik aastaks 2030. 27 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  Tegevus Kirjeldus Asutuse siseselt tuleb Avalike pilvteenuste olulisem organisatoorne muutus on liikumine turuteenuste kokku leppida avalike kasutamisele, mis eeldab tavapäraselt muudatusi ka organisatsiooni struktuuris, vajalikes pilvteenuste juhtimise kompetentsides ja eelarves. Lisaks võib tekkida vajadus kohandada või muuta korraldus ja seotud otsustusprotsesse, mis on seotud IT baastaristu kasutusega. ressursid Juhime tähelepanu, et baastaristu valik eeldab oskusteavet ning teenuseomanikul peab olema piisav kompetents kaalutletud valiku tegemiseks või ligipääs asjakohasele nõustamisele. Pilvteenuse strateegiat Praktiline tegevuskava on oluline osa tehnilise arhitektuuri juhtimisest, mis tagavad riiklike peab toetama praktiline kui valdkondlike strateegiate ellu rakendamise. Pikemaajalise tegevuskava olemasolu tegevuskava, mis võimaldab migratsioonide jaoks eraldada asjakohased ressursid (sh planeerida eelarvet), selgitab pilvteenuste mis on vajalikud nende oskuslikuks kavandamiseks ja ellu viimiseks. Samuti võimaldab see migreerimise oodatavat planeerida kasutuselevõttu sellises järjekorras, mis võimaldab seotud töötajatel oskuseid järjekorda ja omavahelisi omandada mõõdukaid riske võttes. Migreerimise kavandamine on tavapäraselt sõltuvusi. konkreetse valitsemisala IT-maja (või osakonna) vastutus. Asjatundliku strateegia ja Iga valitsemisala ülesanne on mõista, milliseid kompetentse neil on vaja arendada ning tegevuskava saavad läbi tegevuskava elluviimise ja keskse kompetentsikeskuse tegevuse (sh kogukond ja koostada ja ellu viia vaid koolitused) võimaldada asjakohastel töötajatel kogemusi omandada. Näiteks tavapäraselt asjatundlikud tuleb asuda suuremat tähelepanu pöörama pääsuõiguste korraldusele24, krüpteerimisele, eksperdid. Neid oskuseid sobivate teenustasemete valikule25 ning kulude juhtimisele. on vaja läbi kogemuste arendada. Tavapäraselt on ühe või mitme ministeeriumi valitsemisala IT-alane kompetents koondatud IT-majja (või osakonda). Nende ülesanne proaktiivselt teenuseosutajaid nõustada, muuhulgas IT baastaristu küsimustes. Seetõttu on nende vastutuses ka oma valitsemisala baastaristu proaktiivne juhtimine lähtudes nii valitsemisala kui ka DÜAKi ja muude riiklike strateegiate suunistest. IT-maja põhimäärustes nimetatud ülesanded erinevad veidi oma sõnastuses, kuid olemuslikult on baastaristu valikute juhtimine reeglina nende vastutuses. IT-majade (või osakondade) põhiülesanded IT baastaristu (sh avalike pilvteenuste) juhtimisega on lihtsustatult järgmised. 1. IKT strateegiline planeerimine. Näiteks korraldab ja koordineerib IT baastaristuga (sh avalike pilvedega) seotud strateegiate, arengukavade ja eelarve väljatöötamist, haldamist ja täitmist. Koordineerib digitaalarengut ja nõustab innovatsiooniga (sh avalike pilvteenustega) seotud küsimustes. Selleks, et kompetentsikeskus saaks IT-maju asjakohaselt toetada on vajalik, et IT- majad koostavad oma valdkonna pikaajalise taristuplaani ning jagavad vastavat infot RIT-ga, et lihtsustada ja tõhustada ühiste tegevuste kavandamist ja elluviimist. 2. Tehnoloogilise arhitektuuri juhtimine. Näiteks vastutab oma valdkonna infosüsteemide ja andmekogude arhitektuuri (sh IT baastaristu) tervikliku haldamise eest. Tagab IKT-teenuste osutamise ja nende toimepidevuse, lähtudes kokkulepitud tingimustest. 24 Avalike pilvteenuste osutajad vastutavad reeglina taristu eest ning turvalisuse tagamiseks pakuvad erinevaid vahendeid, näiteks krüpteerimine ja sellega seotud teenuseid - nende vahendite ja teenuste korrektne kasutus on iga teenuse kasutaja (teenuseomaniku) vastutus. Lisaks eelnevale tugineb turvalisus avalikus pilves autentimisele ja autoriseerimisele, keskendudes tuvastamisele, kes milliste varadega mida teha saab. 25 Avaliku pilvteenuse osutaja võib ise olla tõrke allikas või ründe sihtmärk (OPS 2.12). Kui pilvteenuse osutaja juures toimub IT-süsteemide tõrge, esinevad tõrked liidestuses või avaliku pilvteenuse pakkuja vastu sooritatakse edukas rünne, mõjutab see ka teenuseomanikku. Tuleb aktsepteerida fakti, et tõrke lahendamine on teenuseosutaja vastutus kooskõlas teenustaseme (SLA) tingimustega ning teenuseomanikul ei ole võimalik tõrke lahendamist ise juhtida ega kiirendada. Teenuseomanik peab teadlikult valima sobiva teenustasemega teenuse. 28 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  3. Taristu korraldamine ja haldamine. Näiteks tagab valitsemisala info- ja kommunikatsioonitehnoloogia teenindamiseks vajalikud taristu- ja platvormi teenused. Korraldab IT-baastaristu arendamiseks ja haldamiseks vajalike teenuste, tarkvara ja infosüsteemide hankimist, arendamist ja haldamist. Pilvekontseptsiooni loomisel teadvustati asjaolu, et teenusjuhtimise (sealhulgas e-teenuste ja IT- juhtimise) kvaliteet ja võimekus erinevates avaliku sektori asutustes on ebaühtlane. On ministeeriume ja valitsemisalasid, kus teenuseomanikel puudub piisav ligipääs tehnoloogilisele kompetentsile, mis on vajalik teenuse kvaliteetseks juhtimiseks. Paljudel kohalikel omavalitsustel napib nii teadmiseid kui ka eelarvelisi vahendeid IT-juhtimise kvaliteetseks korraldamiseks. Need on laiemad riikliku teenus- ja IT- juhtimise murekohad, mida ei ole võimalik adresseerida kitsama pilvekontseptsiooniga. 29 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3. Tegevuskava juhtimismudeli elluviimiseks 3.1. Avalike pilvteenuste teekaart Tegevuskava keskendub perioodile 2024-2026, kui seatakse sisse avalike pilvteenuste kasutuselevõttu toetav juhtimisstruktuur ja korraldus Eesti avalikus sektoris. Teekaart keskendub MKMi valitsemisalale ja avalike pilvteenuste kasutamise võimekuse arendamisele RIT-s. Loodetavasti arendatakse paralleelselt vastavaid oskuseid ka IT-majades, kus on soodsad eeltingimused oskusteabe omandamiseks mõistlike ressurssidega. Ootuspäraselt saavutavad suuremad IT-majad sel perioodil võimekuse avalike pilvteenuste valikut, kasutuselevõttu ja kasutamist juhtida. Kava on loodud kolmeks aastaks, mis võimaldab kiiresti muutuvas ja arenevas olukorras kiiremini ja paindlikumalt reageerida. Kuna seni puuduvad teekaardid ja tegevuskavad avalike pilvteenuste kasutamiseks konkreetsete teenuste korral, siis ei ole võimalik hinnata transformatsiooni elluviimiseks vajalikku tervik eelarvet. Eelarve vajadus sõltub paljudest tehnilistest valikutest, mida tehakse iga ministeeriumi valitsemisala tasandil. Oleme esitanud pilvteenuste kasutuselevõtu toetamiseks ellu viidavad tegevused kahe suure teemablokina. Neist esimene keskendub riigiülesele korraldusele, millega luuakse eeldused avalike pilvteenuste kasutamise hetkeolukorra seiramiseks ning juhtimiseks läbi kompetentsikeskuse loomise. Teiseks avame detailsemalt funktsionaalsusi, mille välja arendamise kaudu RIT keskse kompetentsikeskuse rolli täitma asub. Ülevaatlikult oleme mõlema teema tegevused kajastanud ajajoonel (järgnev tabel). Tabel 6. Avalike pilvteenuste haldusmudeli juurutamise teekaart 24 24 24 25 25 25 25 26 26 26 26 Tegevus Q2 Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 1. Pilvteenuste kasutuselevõtu strateegiline juhtimine IT baastaristu osana 1.1 Digiühiskonna arengukava (DÜAK) ja tööplaani ajakohastamine 1.2 kompetentsikeskuse loomine 1.3 avaliku pilve teenuste kasutuse valdkonna hetkeseisust ülevaate koostamine 1.4 avalike pilvede tegevuskava on uuendatud 1.5 avalike pilvede tegevuskava seire 1.6 avalike pilvteenuste tunnustamine 1.7 eelarve muudatuste toetamine 2. RITi areng kompetentsikeskuseks 2.1 Kompetentsikeskuse käivitamine 2.2 Praktiliste juhendite koostamine ja levitamine 2.3 Pilvteenuste kogukonna haldamine ja kompetentside arendamine 2.4 Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus 2.5 Avalike pilvteenuste tehniline vahendamine 2.6 Personaalse nõustamisteenuse korraldamine 30 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Tegevuskava aitab ellu eelkõige Digiühiskonna arengukava 2030 eesmärke. Tegevuskava elluviimist juhib ja seirab MKM. Juurutusperioodil on ootuspärane seire sagedus kord kvartalis. Tegevuskava täitmist koordineerib RIT kaasates vajadusepõhiselt IT-majade ja muude avalike pilvede valdkonnas oluliste asutuste ja võtmepartnerite esindajaid. Arvestades, et selles valdkonnas teeb avalik sektor oma esimesi samme, siis on soovitatav juhtimismudeli sobivust iga-aastaselt hinnata ja vajadusel korrigeerida / täpsustada. Näiteks, saab sel kujul adresseerida juurutamisel tekkinud kitsaskohti, korrigeerida muudatuste elluviimise tempot või laiendada kesksete (RITi ja IT-majade poolt pakutavate) teenuste kättesaadavust suuremale ringile teenuseomanikest. Alles siis kui IT-majad ja RIT on saavutanud esmase võimekuse ja kogemused avalike pilvteenustega on võimalik valida efektiivne viis, kuidas see oskusteave saaks levida ka teenuseomanikeni, keda konkreetsed IT-majad ei teeninda (sealhulgas kohalike omavalitususte tasand). Kord aastas antakse ülevaade kava elluviimisest Digiühiskonna arengukava juhtrühmale. Jooksvalt avalikustatakse RITi kodulehel ülevaade valdkonna hetkeseisust ja seotud arengutest. Vähemalt kord aastas antakse laiemale avalikkusele ülevaade tegevuste elluviimisest ja hetkeolukorrast. 31 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3.2. Avalike pilvteenuste strateegilise juhtimise tegevuskava detailsemalt Avalike pilvteenuste strateegilise juhtimise tegevused on ülevaatlikult esitatud alljärgnevas tabelis. Tabel 7. Avalike pilvteenuste strateegilise juhtimise tegevuskava Tulemus Vastutaja Tähtaeg Kommentaar Tegevus Digiühiskonna DÜAKis täpsustatud ootuseid ja MKM Vastavalt arengukava (DÜAK) eesmärke seoses avalike DÜAKi ja tööplaani pilvteenuste kasutamisega ning muutmise ajakohastamine vajadusel selgitatud avalike ajakavale pilvteenuste kasutuselevõtu juhtimist. Avalike pilvede RITi nimetamine avalike pilvede MKM Ettevalmistused Eelarvetaotlus kompetentsikeskuse kompetentsikeskuseks koos 2024 märtsis 2024 loomine vastavate muudatustega RITi põhimääruses ja eelarves. Avaliku pilve MKM, RIA Vajaduse Andmete kogumise teenuste kasutuse täpsustamine õigus tuleneb valdkonna 2024 kvartal 3 Pilvemäärusest, kuid hetkeseisust ülevaate seda tuleb täiendada omamine alustega andmete töötlemise eesmärkide osas. Avalike pilvede Vähemalt 1 kord aastas RIT Regulaarne Koostöös MKMi, IT- tegevuskava on (kord aastas) majade ja uuendatud olulisemate teenuseomanikega Avalike pilvede Regulaarselt seiratakse avalike MKM Regulaarne Koostöös MKMi ja tegevuskava seire pilvteenuste tegevuskava (kord kvartalis) elluviijatega elluviimist Avalike pilvteenuste Avalike pilvteenuste MKM, RIT Regulaarne Digiriigi kuukiri, normaliseerimine normaliseerimine läbi Clear Cloud Club, läbi positiivse kommunikatsiooni ja parimate arhitektuurinõukogu kommunikatsiooni praktikate tunnustamise (arhitektuuri paneelides ja ka laiemale avalikkusele). Eelarve muudatuste IT-majade toetamine struktuursete MKM Regulaarne Kaaluda SF toetamine eelarvemuudatustega, mis reeglina (kord aastas) vahendite kasutamist kaasnevad avalike pilvteenuste transformatsiooni kasutamisega. läbiviimiseks. Õigusloome Arutelud Tsiviilkriisi ja riigikaitse MKM 2024 Jälgida arenguid ja muudatuste analüüs seaduse eelnõu raames (võimalikud vajadusel uuendada lubamaks ETKA-del mõjud KüTS-le ja Hädaolukorra pilvekontseptsiooni. kasutada avalikke seadusele) pilvteenuseid Avalike pilvteenuste positsiooni muutumisest annab märku nende kasutamise mahu suurenemine. 32 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava 3.3. RITi kujunemine avalike pilvteenuste kompetentsikeskuseks detailsemalt Kompetentsikeskuse käivitamine ja juhtimine RIT peab detailselt määratlema ja ellu viima vajalikud organisatoorsed muudatused, mis võimaldavad täita oma rolli kompetentsikeskusena. RIT juhtimisalased ülesanded on järgmised. • Pilvteenuste juhtimismudeli ja tegevuskava kaasajastamine. • Avalike pilvteenuste kompetentsikeskuse loomine, mehitamine ja koostöö korraldamine. • Kompetentsikeskuse poolt pakutavate teenuste juhtimine. Praktiliste juhendite koostamine ja levitamine Praktiliste juhendite koostamise ja levitamise peamine eesmärk on lihtsustada pilvteenuste esmast kasutuselevõttu nii IT-majade/-osakondade kui ka teenuseomanike esindajate jaoks. Praktiliste juhendite koostamine ja levitamine sisaldab endas järgmiseid alamülesandeid: 1. tuvastamine, milliseid juhendeid turuosalised vajavad, 2. juhendite koostamine, 3. juhendite levitamiseks sobivate kanalite valik (ja vajadusel arendamine), 4. kommunikatsiooni korraldamine uutest juhenditest (või nende muutumisest) teavitamiseks, 5. juhendite regulaarne uuendamine. Pilvekontseptsiooni koostamise käigus tuvastati vajadus vähemalt järgmiste materjalide järele. • Parim praktika hindamaks, millal on vajalik kaaluda senise baastaristu lahenduse asendamist. • Parim praktika valimaks sobivaimat pilveteenust ja hindamaks toimemudeli sobivust (Pilvemääruse lisa26). • Parim praktika turvaliseks ja kuluefektiivseks IaaS ja PaaS kasutuseks (landing zone ja konfiguratsioon). • Parim praktika eelarve muudatuste (avalike pilvteenuste kasutuselevõtu) menetlemiseks. • Avalike pilvteenuse osutajate ja edasimüüjate usaldusväärsust ja lepingulisi riske puudutav riskihindamise dokumentatsioon. Praktiliste juhendite koostamisel on soovitatav tugineda erasektori teadmistele ja kogemustele ning luua vajalikud juhendmaterjalid koostöös. Eesmärk on saavutatud, kui teenuseomanike ja IT-majade/-osakondade jaoks kiireneb avalike pilvteenuste kasutuselevõtt (time-to-market). 26 Pilvteenuse tehnoloogia ja toimemudeli puhul hinnatakse, milline pilvteenuse tehnoloogia ja toimemudel on sobivaim, et pilvteenuses avalikku teavet töödelda. 33 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Nõustamiskogukonna juhtimine Nõustamiskogukonna töö eesmärk on maandada teenuseomaniku vähesest teadlikkusest tulenevaid riske. Lahenduseks on teadlikkuse tõstmine läbi kogemuste vahetamise, vajaliku personali koolitamise ning ligipääsu võimaldamine laia kogemusega ja sertifitseeritud usaldusväärsetele pilvteenuse konsultantidele. Nõustamiskogukonna juhtimise tegevused on ülevaatlikult esitatud alljärgnevas tabelis. Kõik tegevused on oma olemuselt regulaarsed ja järjepidevad. Tabel 8. RITi tegevused nõustamiskogukonna juhtimisel Tegevus Tulemus Regulaarselt toimiv avaliku pilve kogukond Vähemalt 8 kohtumist aastas on korraldatud. Jätkatakse senise Clear Cloud Club tegevust. Levinumate pilvteenuste usaldusväärsuse Keskne kompetentsikeskus teeb kättesaadavaks avalikus sektoris hindamise tulemuste levitamine ja teostatud riskianalüüsid, et vähendada märkimisväärselt IT-majade taaskasutamise soodustamine (vastavalt /-osakondade ja teenuseomanike poolt ajakulu samade teenuste Pilvemääruse lisale27). analüüsimisel ning võimaldada vältida või leevendada teadaolevaid nõrkuseid. IT baastaristu kasutajatega koostöö RIT haldab kontakte ja kommunikatsioonivahendeid, mis korraldamine võimaldavad infovahetust baastaristut puudutavates küsimustes ning kogemuste vahetamist. IT baastaristu teemadel koolitusvajaduse Kompetentsikeskus haldab ja juhib avalike pilvteenuste alase kaardistamine ja vastavate koolituste teadlikkuse kui tehniliste kompetentside arendamist läbiviimine Personaalse nõustamisteenuse korraldamine Personaalse nõustamisteenuse korraldamine (näiteks läbi avalike pilvteenuste kasutamisega tekkinud ühishangete), mis annab IT-majadele/-osakondade ja küsimuste lahendamiseks teenuseomanikele kiire ja efektiivse ligipääsu personaalsetele konsultatsioonidele avalike pilvede küsimustes. Kompetentsikeskuse eesmärk on saavutatud, kui avaliku sektori osapooled saavad avalike pilvteenuste kasutamisel tugineda juba omandatud kogemustele ning teavad, kuhu abi saamiseks pöörduda. Nõustamiskogukonna töös on RIT-l eelkõige korraldav ülesanne. Konkreetsete koolituste ja nõustamise korraldamisel on rõhuasetus erasektori turuosaliste poolt pakutavate teenuste vahendamisel või hankimise lihtsustamisel. Keskne ja/või ühishankimine ei takista teenuseomanike võimalusi hankida iseseisvalt oma konkreetsetele vajadustele vastavaid (integreeritud) lahendusi. 27 6.1. Pilvteenuse usaldusväärsuse hindamisel võetakse arvesse järgmist: 6.1.1. puuduvad teadaolevad turvanõrkused või on nende kõrvaldamiseks piisavalt rakendatud turvameetmeid; 6.1.2. toimepidevuses ei esine järjepidevalt puudusi, välja arvatud vääramatu jõu tõttu; 6.1.3. kasutamisel või kasutamise lõppemisel on tagatud avaliku teabe arhiveerimine, üleandmine ja kustutamine, lähtudes avaliku teabe olemusest tulenevatest nõuetest. 34 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava IaaS ja PaaS teenuste keskne hankimine ja seotud riskihinnangud RITi ülesandeks saab pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. Selleks, et kasud oleksid maksimaalsed, tuleb keskset hankimist kavandada võimalikult laiapindsena kasusaajate tähenduses ja võimalikult kontsentreerituna edasimüüjate tähenduses. Mida suuremal hulgal avaliku sektori teenusomanikest (sealhulgas näiteks kohalikel omavalitsustel28) tekib võimalus avalikke pilvteenuseid kasutada, seda suurem on rahaline sääst kesksest hankimisest. Seejuures on oluline, et lõppotsus, kas kasutada avalikku pilvteenust või mitte ning kui jah, siis millist, jääks teenuseomanikule. Just teenuseomanikul on kõige parem ülevaade oma hallatavatest andmestikest ning oma vajadustest pilvteenuse kasutamisel. Samuti jääb teenuseomanik vastutama enda hallatavate infosüsteemide turvalisuse eest, mistõttu peab tal olema viimane sõna ka konkreetse tehnilise lahenduse valikul. Keskne hankija saab aga otsustusprotsessi teenuseomaniku jaoks oluliselt lihtsustada, pakkudes ülalkirjeldatud kasusid, sh aidates teha kindlaks usaldusväärseid teenusepakkujaid ning aidates kaardistada teenusepakkujate teenuseid ning nende sisu. Teenuste ostmine peab toimuma läbi hankemenetluse. • Keskne hankija peab tagama konkurentsi ning võimekuse edasimüüjat vahetada (nö vältima põhjendamatut vendor lock-in teket). Selle saavutamiseks ei tohi avaliku pilvteenuse edasimüüjale panna põhjendamatuid ja ebatavalisi kohustusi. • Rahvusvaheliselt ei ole seni teada hankepraktikat, kus konkurentsi oleks piiratud vaid nö teenuseosutajatele ja välditud edasimüüjate osalust. Sellist konkurentsi piiramist tuleks hankeõiguslikult põhjendada kui vältimatut vajadust. Hankemenetlust korraldades ja sobivat hankemenetlust valides tuleb arvestada järgmiste asjaoludega. 1. Lepingu kestuse jooksul võib tekkida uusi tellija osapooli, kes soovivad lepinguga liituda. Lepingut on mõistlik sõlmida võimalikult pikaks perioodiks (4 a), et optimeerida menetlemise kulusid. Paratamatult ei ole kõiki sel perioodil ilmnevaid vajadusi ja osapooli pole võimalik ette näha. Seetõttu soovitame alustada vabatahtlikust kesksest hankimisest, mis võimaldab kiiremini jõuda toimiva lahendusi. Praktika pinnalt tekib info, kas keskset hankimist on mõistlik muuta kohustuslikuks. 2. Tuleb tagada võimekus esitada kasutuspõhiseid kuluarved teenuseomanikele (või neid esindavatele IT-majadele). RIT võib toimida arvete vahendajana või võib leida lahenduse, kus edasimüüja edastab arved kasutajatele otse. 3. Mastaabisäästu ilmnemiseks ja halduskoormuse minimeerimiseks on ühe teenuseosutaja avalike pilvteenuste korral soovitatav sõlmida leping eduka(te) pakkuja(te)ga, mis võimaldab läbirääkimistel saada osa suurimast allahindlusest. Halduse lihtsustamiseks tasub kaaluda 28 Riigihangete seadus § 11 lõige 1 punkt 21 vabastab riigihanke kohustusest, kui kokkulepe sõlmitakse keskse hankijaga riigihanke korraldamise teenuse või riigihanke tugiteenuse osutamise kohta või käesoleva seaduse § 43 lõikes 1 nimetatud kokkuleppe. 35 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  kaskaadmudelit29. Pilvekontseptsiooni loomise ajal ei ole teada senist praktikat kaskaadmudeli rakendamisel pilveressursside ostuks. Teoreetiliselt peaks see võimaldama maandada nö tarnijalukustuse (vendor lock-in) riske ning tugevdama tellija jõudu ootuseid seada ning nende täitmist nõuda. 4. Avalikelt pilvteenuste kasutamiselt saadav allahindluse määr sõltub kavandatud mahtudest ja kasutuse kestusest. Suuremate mahtude ja pikema kestusega kaasneb suurem allahindlus, aga ka kohustus (commitment) prognoosile vastata. 5. On edasimüüjaid, kes keskenduvad vaid ühe avaliku pilvteenuste osutaja lahenduste müümisele. Seetõttu soovitame konkurentsis parimate tingimuste saamiseks, korraldada eraldi menetlused (hanked või hanke osad) iga soovitud avalike pilvteenuste osutaja teenuste ostuks. 6. Hankemenetlust korraldades on kesksel hankijal õigus määratleda tingimused, millele hangitav teenus (hanke objekt) peab vastama. Kuna hankemenetluse korraldamisel on üheselt teada, et soovitakse hankida levinumate avalike pilvteenuste IaaS ja PaaS lahendusi, siis on hankijal õigus ka konkreetseid teenuseid (AWSi IaaS ja PaaS teenused, Azure IaaS ja PaaS teenused) osta. Teenuse kasutamise vajadust hindab teenuseomanik ning kesksel hankijal ei ole võimalik täpseid vajadusi hankimise hetkel hinnata. Teenusomanik peab saama valida sobivaima teenuseosutaja lähtuvalt oma olemasolevast tehnilisest lahendusest ja kompetentsist. 7. Hankimisel tuleb seada nõuded tehnilise tugiteenuse korraldusele. Eelistada tuleks infovahetust, kus vahendajate arv on minimeeritud, et tagada võimalikult operatiivne probleemide lahendamine. Samas tuleb arvestada asjaoluga, et teenusosutajate poolt standardlahendusena pakutav tugiteenus on tavapäraselt inglisekeelne. 8. Avalike pilvteenuste kasutamisel tuleb aktsepteerida riski, et avalike pilvteenuste osutajad on sageli kolmandate riikide (ehk mitte Euroopa Liidus asuvad) ettevõtjad. Hankimisel on õigus nõuda esindaja olemasolu Euroopa Liidu liikmesriigis (vastavalt Küberturvalisuse seaduse § 4). Hankelepinguga on vajalik maandada riskid, mis seonduvad vastutuse jagunemisega, teenuse osutamisega ja teenuse osutamise lõpetamisega. Samas tuleb arvestada, et avalike pilvteenuste osutajad kujundavad ühepoolselt teenuse tüüptingimused, millest erandeid ei tehta. Ka pilvteenuste edasimüüjate võimalused vastavaid läbirääkimisi pidada on piiratud. Seetõttu ei tohi ausa konkurentsi huvides panna edasimüüjatele lepingulisi kohustusi, mida nad realistilikult ei saa täita. Riskid ja maandamismeetmed, mida tuleb lepingus kajastada, on lühidalt esitatud alljärgnevas tabelis. 29 Kaskaadmudeli kohta võimalik lähemalt lugeda näiteks ITLi poolt koostatud “Tarkvaraarenduse riigihangete parimad praktikad” dokumendist, mis on kättesaadav aadressilt: https://itl.ee/wp-content/uploads/2022/11/ikt-arendushangete- parimad-praktikad-2111.pdf 36 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Tabel 9. Lepingute abil maandatavad pilvteenuste kasutamise riskid. Võimalik risk Maandamismeede Pilvteenuse edasimüüja teenuste kasutamise lõpetamise Pilvteenuste keskne hankija peab tagama võimekuse (teenusest väljumise) puudulik reguleerimine. vahetada edasimüüjat, kui saavad teatavaks asjaolud, mis Kui pilvteenuse osutaja tegevus peaks mingil põhjusel seavad kahtluse alla edasimüüja usaldusväärsuse. Selleks lõppema (nt maksejõuetuse tekkimisel) või tekib vajadus on vaja näha vastavad sätted ette lepingus ja olla valmis lõpetada mingil põhjusel leping (nt teenuseosutaja poolne ka praktikas edasimüüja vahetamist mõistlikus ajaraamis rikkumine, mis tekitab kahtlusi tema usaldusväärsuses, läbi viima. muutused teenuseosutaja tingimustes või õigusaktides, info Tehniliselt oluline tagada kontode haldus nii, et sobimatute allhankijate osas) peab olema võimalik leping edasimüüja vahetamine ei tingiks tehniliste süsteemide lõpetada ja jätkata pilvteenuste kasutamist teise migreerimist. Soovitame seada hankes range tingimuse, edasimüüja kaudu. et kasutajakontod peavad jääma hankija (või hankija esindaja) omandisse ning vältima olukorda, kus kontod on edasimüüja administratiivse kontrolli all. Erinevate õigussuhte poolte ülesannete määratlemine Ülesannete detailne määratlemine lepingus pilvteenuse jääb puudulikuks ja võib põhjustada turvaauke. edasimüüjaga ning asjakohases kokkuleppes Teenuseomanik jääb andmete vastutavaks töötlejaks ja teenuseomanikega. Eelkõige nendes osades, mis seega vastutab konkreetsete andmete turvalisuse eest. puudutab ligipääsude korraldust vahendatavates Keskne hankija peab korraldama, kuidas teenuseomanikud pilvteenustes. saavad tehnilise ligipääsu hangitud teenustele. Õigusselguse tagamine, et RIT vastutab valmisoleku eest Nii keskne hankija, edasimüüja kui pilvteenuse osutaja vahetada pilvteenuse edasimüüjat, kuid ei vastuta toimivad volitatud andmetöötlejana. valmisoleku eest vahetada pilvteenuse osutajat. Viimast saab tagada vaid teenuseomanik koostöös IT-majaga. Avalike pilvteenuste kasutamisel tuleb teatud funktsioonide elluviimisel usaldada teenuseosutajat ning tuleb aktsepteerida riski, et pilvteenuse pakkuja tegevuse üle (sh alltöövõtjate, kasutatavate tehnoloogiate jms) detailse kontrolli tegemine ei ole võimalik. Riski saab maandada korralikult teostatud eeltööga teenusepakkuja usaldusväärsuse hindamisel. Samuti on oluline märkida, et üldjuhul ei saa usaldusväärse teenusepakkuja puhul eeldada oma lepinguliste kohustuste rikkumist. Kooskõlas läbiviidavate hangetega olemusega on asjakohane, et keskne hankija viib läbi ka asjakohased usaldusväärsuse hindamised nii pilveteenuste osutaja kui ka edasimüüjate osas, kelle vahendusel teenuseid kasutatakse30. Teenuseomanikel on õigus saada ligipääs nendele riskianalüüsidele ja õigustatud ootus, et neid riskianalüüse lepingu kestuse jooksul regulaarselt uuendatakse. Teenuseomanikel puudub RITi poolt hangitud teenuse korral kohustus samu riskianalüüse korrata (Pilvemääruse § 2 lg 2) ning on õigus tugineda RITi koostatud usaldusväärsuse hinnangule (Pilvemääruse § 2 lg 3). Kompetentsikeskuse eesmärk on saavutatud, kui avaliku sektori osapooled saavad kasutada enamlevinud avalike pilvteenuste pakkujate IaaS ja PaaS teenuseid kasutades RITi poolt hallatavaid lepinguid. 30 Pilvemääruse § 2 lg 4 sõnastuses pilvandmetöötlusteenuse pakkuja ja tema levitaja usaldusväärsuse hindamine, mida selgitab Pilvemääruse lisa „Näitlik kontrollküsimustik ja meetmete näidis“ punkt 4 „Pilvandmetöötlusteenuse pakkuja ja tema volitatud esindaja, importija või levitaja usaldusväärsuse hindamine“ ja 6.2. 37 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Avalike pilvteenuste tehniline vahendamine RIT peab arendama võimekuse tehniliselt avalike pilvteenuseid vahendada ning hallata. RIT peab selle võimekuse arendamiseks realiseerima järgmised lahendused. 1. Looma tehnilise pilvekeskkonna (landing zone) koos esmaste kaitsemeetmetega (guardrail), et lihtsustada IT majadel pilvekeskkonna turvalist kasutuselevõttu. Tehnilised keskkonnad on vaja vaikeseadistada kõigi enamlevinud avalike pilvteenuste osutajate jaoks (minimaalselt Microsoft Azure ja Amazon Web Services). Konfiguratsiooni valikud peavad olema dokumenteeritud viisil, mis võimaldab lihtsasti saada ülevaadet, kuidas vaikeseadistatud konfiguratsioon toetab konkreetsete riskide maandamist. Mõned näited võimalikest vaikeseadistustest on järgmised. a. RIT peab tagama teenuse vahendamisel simultaanteeninduse võime (OPS 2.531, Pilvemääruse lisa punkt 5.232) nii, et erinevate teenuseomanike ressursid oleksid üksteisest piisavalt turvaliselt lahutatud. Samas peab RIT korraldama, kuidas saavad teenuseomanikud ligipääsud enda pilvkeskkondadele ja võimekuse ligipääsude infot ise hallata ja ajakohastada. b. Lihtsustamaks avalike pilvteenuste kasutamist asutusesiseseks kasutamiseks tunnistatud teabe töötlemiseks, on soovitatav seadistada eelistatud andmetöötlus tsoonid nii, et need asuksid Euroopa Liidu liikmesriigi, Põhja-Atlandi Lepingu Organisatsiooni või Majandusliku Koostöö ja Arengu Organisatsiooni liikmesriigi territooriumil (Pilvemääruse lisa punkt 7.2.1). Avalikud pilvteenused pakuvad mugavaid viise tagamaks andmete säilimist tagades koopiad erinevates asukohtades, kuid need tuleb korrektselt seadistada. c. Kuna andmed avalikus pilves liiguvad üle avaliku interneti ja tagatud peab olema andmete käideldavus ja terviklikkus, peavad andmed olema krüpteeritud nii salvestamisel (at rest) kui ka võrgus transportimisel (in transit). 2. Administreerima suhteid teenuseomanikega (näiteks läbi teenuslepingute ja volituste) nii, et eelmiste tegevuste ulatus ja osapoolte vastutused oleksid selgelt määratletud. Kui arveldamine ei käi otse teenuseomanike ja edasimüüjate vahel, siis peab RIT korraldama (eelistatult automatiseeritud) haldusprotsessid arveldamiseks ja aruandluseks. 3. Korraldama nii tehniliselt kui administratiivselt muudatusi, mis tulenevad edasimüüja vahetumisest. 31 E-ITS: https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/etalonturbe-kataloog/ops-kaeidutoeoed/ops2- kaeidutoeoed-teenusena/ops22-pilvteenuste-kasutamine/2-ohud 32 Tarkvara kui teenus ja platvorm kui teenus pilvteenuste korral hinnatakse, kas ja kuidas on kasutatav pilvteenus jagatud teiste klientidega (teabepidajaga või pilvteenuse muude kasutajatega), sealhulgas, kas pilvteenus on oma olemuselt konkreetse kliendi jaoks loodud või on tegemist keskkonnaga, milles pilvteenuse eri klientide andmed on eraldatud loogiliselt. 38 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Kokkuvõte Nii nagu nenditi juba 2015. aastal Majandus- ja kommunikatsiooniministeeriumis (edaspidi MKM) koostatud Riigipilve kontseptsioonidokumendis1, on avalike pilvteenuste kasutamine avalikus sektoris kriitilise tähtsusega, tagamaks Eesti digiriigi kaasaegsus ja jätkusuutlikkus. Vastasel korral on meie digiriigi areng isoleeritud ja piiratud. Avalike pilvteenuste kasutamisel on hulk eeliseid, millest olulisimaks on võimalus keskenduda igal organisatsioonil oma põhitegevusele ja kasutada IT baasteenuste jaoks juba olemasolevaid turuteenuseid. Avalike pilvteenuste kasutamine toetab innovatsiooni ning võimaldab luua uusi ärimudeleid ja e- teenuseid, mida asutuse oma taristu ei toeta. Pilvteenuste arvutusvõimsused ja funktsionaalsused on hädavajalikud tehisintellekti ja suurandmetöötlusel põhinevate lahenduste loomisel ja kasutusel. Üks oluline pilvteenuse funktsionaalsus on skaleeritavus, mis tagab teenuste toimimise ka siis, kui suur kasutuskoormus langeb lühiajalisele perioodile, näiteks eraisiku tulumaksu deklaratsioonide esitamine. Praeguseks on Tervisekassa Eestis esimese innovaatorina avalikud pilvteenused laialdaselt kasutusele võtnud. Ootuspäraselt kasvab tema eeskujul avaliku pilve kasutuse osakaal avalikus sektoris lähiaastatel olulisel määral. Seetõttu on praegu õige aeg teha otsuseid, kuidas pilvteenuste aktiivsemat kasutuselevõttu tagatakse, soodustatakse ja juhitakse. Avalike pilvteenuste kasutuselevõtu kontseptsiooni ja tegevuskava (edaspidi pilvekontseptsiooni) eesmärk oli välja selgitada, kes ja kuidas peaks juhtima avalike pilvteenuste efektiivset kasutuselevõttu Eesti avalikus sektoris. Pilvekontseptsioon 1. ühtlustab arusaama avalike pilvede olemusest ja lubatusest avalikus sektoris, 2. toetab avalike pilveteenuste kasutuselevõttu läbi avaliku sektori osapoolte rollide ja vastutuse selgitamise ning 3. kirjeldab sobivaima juhtimismudeli avalike pilvteenuste kasutuselevõtuks Eesti avalikus sektoris. Kontseptsiooni loomise käigus kirjeldati trendid Eesti avaliku sektori avalike pilvteenuste kasutamises, tuvastati soovitud muutused ning disainiti juhtimismudel, mis neid muutuseid efektiivselt toetaks. Pilvekontseptsioonil on aga ka järgmised piirangud. • Pilvekontseptsioon keskendub eelkõige taristu- ja platvormiteenuste (nö IT baastaristu) kasutamisele, sest nende osas on ootuspäraselt Eesti avaliku sektori teenuseomanike vajadustel suurem ühisosa ning seetõttu ka põhjust tsentraliseerimist põhjalikumalt kaaluda. • Juhtimismudel keskendub valitsusasutuste ja nende poolt hallatavate asutuste (keskvalitsuse) tasemele. Keskvalitsusel on piiratud võimalused toetada muudatuste elluviimist kohalike omavalitsuste IT-juhtimise tasemel. Erandina on võimalik Riigihangete seaduse § 11 lõige 1 punkt 21 alusel toetada keskse hankimisega ka kohalikke omavalitsusi. • Pilvekontseptsiooni loomisel teadvustati asjaolu, et teenusjuhtimise (sealhulgas e-teenuste ja IT- juhtimise) kvaliteet ja võimekus erinevates avaliku sektori asutustes on ebaühtlane – seda nii keskvalitsuse kui kohalike omavalitsuste tasemel. Paljudel kohalikel omavalitsustel napib nii teadmiseid kui ka eelarvelisi vahendeid IT-juhtimise kvaliteetseks korraldamiseks. On ka ministeeriumi valitsemisalasid, kus teenuseomanikel puudub liigpääs tehnoloogilisele kompetentsile, mis on vajalik teenuse kvaliteetseks juhtimiseks. Need on laiemad riikliku teenus- ja IT-juhtimise murekohad, mida ei ole võimalik adresseerida kitsama avalike pilvede kontseptsiooniga. 39 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  • Pilvekontseptsiooni koosseisus kirjeldatud tegevuskava keskendub MKMi valitsemisalale. Teiste ministeeriumide valitsemisalade detailsemad tegevused saab ja tuleb kavandada digiühiskonna arengukava ja selle tegevusplaani koostamise käigus. Eesti avalikus sektoris baastaristut puudutavate valikute tegemiseks on seni puudunud selgus, kuidas positsioneeritakse avalikke pilvteenuseid Riigipilve suhtes. Avalike pilvteenuste kasutuselevõtt on pikaajaline horisontaalne muutus, mis nõuab ümberkorraldusi nii tarkvara arendamises, organisatoorses korralduses, eelarve struktuuris aga ka kompetentside juhtimises. Sellise muutuse asjakohaseks kaalumiseks, õigeaegseks ettevõtmiseks ja selle elluviimiseks vajalikke ressursside eraldamiseks vajavad valitsemisalad ja teenuseomanikud selgeid ootuseid ja suuniseid poliitikakujundajatelt. Pilvekontseptsiooni kohaselt jääb avaliku sektori IT baastaristu kasutama erinevaid pilvetehnoloogiatel põhinevaid platvorme. Seejuures tuleb avalikke pilvteenuseid ja Riigipilve kui samaväärseid alternatiive, mille vahel või koostoimes peab iga teenuseomanik leidma endale sobiva. Iga avaliku sektori asutus vastutab oma teenuste korraldamise ja kvaliteedi eest. Selleks määrab ta igale teenusele teenuseomaniku, kes vastutab konkreetse teenuse arendamise, haldamise ja kvaliteedi eest33. Teenuseomanikel on kohustus tagada konkreetse teenuse operatiivne toimimine, aga tagada ka selle pikaajaline jätkusuutlikkus, efektiivsus ning kui ka kooskõla õigusruumiga (nt tagada riigihanke, andmekaitse ja küberturbe nõuete täitmine, sh E-ITSi rakendamine). Eesti õigusruumis on avalike pilvteenuste kasutamine iga teenuseomaniku valik ning selleks ka jääb. Pilvekontseptsioon aitab teadvustada, et teenuseomanikel on õigus ja kohustus teha baastaristut puudutavaid valikuid. Pilvekontseptsioon rõhutab valdkonna pikaajalise taristuplaani loomise34 ja ellu viimise tähtsust ministeeriumi valitsemisala tasemel. Valitsemisala siseselt tuleb selgitada teenuseomanikele, kas ja millal on mõistlik avalike pilvteenuste kasutamist kaaluda ja planeerida või kasutusele võtta ning kavandada muudatuste ellu viimist. Vaid valitsemisala toel saavad teenuseomanikud teha kaalutletud otsuseid ning kanda vastutust oma teenuste juhtimise eest kuni IT baastaristu kihini. Kaasaegsete tehnoloogiate tundmaõppimine ja rakendamine on hädavajalik digiarenguga sammu pidamiseks. Vastavalt kehtivale digiühiskonna arengukavale on juba varasemalt seatud ootus, et avaliku sektori asutused asuksid pilvetehnoloogia, ja sealhulgas ka avalike pilvteenuste, kasutuselevõtu teele. Vajalik on hakata arendama organisatoorseid võimekusi avalike pilvteenuste kasutamiseks – omandades praktilisi oskused ja kogemusi ning kohandada töökorraldust. Pilvekontseptsioon näeb ette keskse avalike pilvede kompetentsikeskuse loomise RITi, kuhu on juba täna konsolideerimisel Eesti baastaristu lahendused. RITi soovitakse koondada selliste ülesannete täitmine, mis vastasel korral eeldaks kordamist kõigis avalike pilvteenuste taristu- või platvormiteenuseid kasutavates valitsemisalades. Kompetentsikeskus tagab teadmuse leviku ja loob eelduseid avalike pilvteenuste kasutamiseks. 33 Keskvalitsuse tasemel reguleerib teenusjuhtimist Vabariigi Valitsuse määrus ”Teenuste korraldamise ja teabehalduse alused”. Määruse kohaselt hinnatakse oluliste teenuste ja nende osutamise protsesside kvaliteeti vähemalt kord aastas ning muuhulgas määratakse kindlaks tehnoloogilised muudatus- ja arendusvajadused, nende prioriteedid ning nende elluviimisel tekkiv väärtus. Kohalike omavalitsuste teenusjuhtimine (ega ka e-teenuste juhtimine) ei ole keskselt reguleeritud. Samas peavad ka kohalike omavalituste infosüsteemid olema juhitud kooskõlas riiklike õigusaktidega (nt Küberturvalisuse seadus ja Eesti infoturbestandard E-ITS). 34 E-ITSis on kasutusel termin pilvteenuste strateegia (OPS.2.2.M1) 40 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Kontseptsiooni kohaselt tehakse ettepanek sõnastada avalike pilvteenuste kasutuselevõtu juhtimise alusprintsiibid (5-10 a vaates) järgmiselt. 1. Avalike pilvteenuste aktiivsem kasutamine on avalikus sektoris ootuspärane ja vajalik. Pilvekontseptsioon ei muuda DÜAKi eesmärke ega strateegilisi suundi. Teenuseomanikud peavad tagama valmisoleku kasutada pilvteenuseid, sh avalikke pilvteenuseid. Pilvekontseptsioon soovitab avalikele pilvteenustele migreerumise sihte ning organisatoorsete võimekuste arendamise eesmärke DÜAKs täpsemini sõnastada. Pilvteenuste kasutuselevõtuga seotud eesmärke peab toetama asjakohane tegevusplaan, kus tegevustele on lisatud vastutajad. Need täpsustused tagavad, et eesmärke tõlgendatakse erinevate teenuseomanike poolt sarnaselt ning arengukava alusel viiakse muudatused ka ellu. 2. Oma valdkonna pikaajalise IT-baastaristu plaani loomise ja ellu viimise tagab iga ministeeriumi valitsemisala sõltumatult, kuid lähtudes digiühiskonna arengukavast. Ministeeriumi oluliseks tegevuseks pilvteenuste kasutuselevõtul on sisulise vajaduse kaardistus, et tagada valitsemisalas ühetaoline lähenemine ning olulistest põhimõtetest kinnipidamine ja lisaks strateegiliselt kaugeleulatuvate mõjudega otsuste jätkusuutlikkuse läbimõtlemine. Vajadusel sõnastatakse need põhimõtted ning luuakse oma haldusala teekaardid. Efektiivsuse ja kulutõhususe tagamiseks soovitame juhtida ka asjakohaseid organisatoorseid muudatusi ning võimekuste arendamist valitsemisala tasemel. 3. Teenuseomanikel on õigus ja kohustus valida oma e-teenuste osutamiseks sobivaimaid taristu- ja platvormiteenused. Pilvekontseptsiooni kohaselt jäädakse truuks lähenemisele, kus avalike pilvteenuste kasutamine on iga teenuseomaniku valik. Samas rõhutatakse vajadust teadliku ja kaalutletud IT baastaristu valiku järele nii, et riiklikult arendatav ja hallatav lahendus (nt Riigipilv) ei ole de facto eelistatud. Alusprintsiip selgitab, et teenuseomanik vajab suuniseid valitsemisala tasandilt ning praktilist tehnilist nõustamist valitsemisala IT-majalt, et teha kaalutletud valik avalike pilvteenuste ja Riigipilve lahenduste vahel või leida sobivaim lahendus nende kombinatsioonis. 4. Riigi Info- ja Kommunikatsioonitehnoloogia Keskusest (RIT) saab avalike pilvteenuste keskne kompetentsikeskus. RITi on juba täna konsolideerimisel Eesti baasinfrastruktuuri lahendused. Kompetentsikeskuse ülesanded on järgmised. 1. Pilvteenuste kasutuselevõtu strateegiline koordineerimine IT baastaristu osana, mis sisaldab endas avalike pilvteenuste kontseptsiooni kaasajastamist ja tegevusplaani elluviimise koordineerimist. 2. Praktiliste juhendite koostamine ja levitamine, mis võimaldavad lihtsustada pilvteenuste esmast kasutuselevõttu nii ärilises kui tehnilises vaates. 3. Nõustamiskogukonna juhtimine, mis võimaldab jagada parimaid praktikaid, õppida Eesti avaliku sektori kogemusest ning korraldada vajadusel ühiseid treeningpäevi. 4. Pilvteenuste partnerlussuhete ja IaaS/PaaS teenuslepingute haldus, mis sisaldab endas valitud edasimüüjate ja pilvteenuse osutajate riskianalüüside läbiviimist, kesksete riigihangete läbiviimist ning lepinguliste riskide maandamist. RIT tagab ressursside keskse hankimise ja vahendamise ning ühiste mustrite (nn „guardrails“) kasutuse. Avaliku sektori baastaristu jääb koosnema erinevatest platvormidest (privaatpilv, Riigipilv, avalik pilv), millest mitmeid saab vahendama RIT neutraalse osapoolena. RIT ise ei muutu avalike pilvelahenduste pakkujaks ega võta endale vastutust avalike pilvlahenduste turvalise juurutamise eest. Seega, RIT ei saa 41 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava tagada erinevate pilvelahenduste koosvõimet. Eelnev ei sea piiranguid valikutele, kas ja kuidas otsustatakse Riigipilve edasi arendada. Pilvekontseptsioon loodi perioodil veebruar – juuni 2024 vastavalt hankelepingule, mis on sõlmitud riigihanke “Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava“ (270230) tulemusena. Lahenduse loomisel lähtuti avalike pilvteenuste trendidest, tugineti Euroopa kogemustele avaliku pilve strateegiliste seisukohtade kujundamisel ja arvestati praktilisi kogemusi avaliku pilve tegevuskavade elluviimisest. Pilvekontseptsioon valmis Gofore Estonia OÜ, Gofore Plc, TGS Baltic Eesti, Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse, MKM, Riigi Infosüsteemi Ameti (RIA), Keskkonnaministeeriumi Infotehnoloogiakeskuse (KEMIT), Küberväejuhatuse, Rahandusministeeriumi Infotehnoloogiakeskuse (RMIT), Siseministeeriumi Infotehnoloogia- ja Arenduskeskuse (SMIT), Tervise ja Heaolu Infosüsteemide Keskuse (TEHIK), Tervisekassa ja Töötukassa tihedas koostöös arvestades riigi infosüsteemi toimemudelit ja juhtimiskorraldust. 42 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Lisa 1. Kaasamise ja koostöö ülevaade Pilvekontseptsiooni kujundamiseks kaasati erinevaid osapooli, kelle pädevuses oli anda vajalikku sisendit, teha otsuseid ning kiita heaks ühiselt välja töötatud lahendus. Kaasatud olid: • Juhtrühm, kelle pädevuses on töörühma tööst saadud tulemite valideerimine, otsustamine ning pilvekontseptsioonis kirjeldatud tegevuskava ellu viimine. • Töörühm, kelle pädevuses on kvaliteetse tulemite saavutamiseks vajaliku sisendi andmine. Töörühma kuulusid (töötubades osalesid): • Keskkonnaministeeriumi Infotehnoloogiakeskus (KEMIT), mis teenindab Kliimaministeeriumi valitsemisalasse kuuluvaid asutusi; • Küberväejuhatus, mis teenindab Kaitseministeeriumi vastutusalasse kuuluvaid asutusi sh Kaitsevägi; • Rahandusministeeriumi Infotehnoloogiakeskus (RmIT), mis teenindab peamiselt Rahandusministeeriumi valitsemisalasse kuuluvaid asutusi. • Riigi Info- ja Kommunikatsioonitehnoloogia Keskus (RIT), mis pakub ca 75-le avaliku sektori asutustele keskseid arvutitöökoha-, serveri alustaristu jm lisateenuseid; • Siseministeeriumi Infotehnoloogia- ja Arenduskeskus (SMIT), mis teenindab peamiselt Siseministeeriumi valitsemisalasse kuuluvaid asutusi; • Tervise ja Heaolu Infosüsteemide Keskus (TEHIK), mille kliendiks on mitmed Eesti tervishoiu- ja sotsiaalsüsteemi kuuluvad asutused nagu nt Ravimiamet, Terviseamet, Sotsiaalkindlustusamet, Tervisekassa Tervise Arengu Instituut jne; • Tervisekassa; • Töötukassa. Kaasamistegevuste lühiülevaade on esitatud alljärgnevas tabelis ning seejärel on avatud iga tegevuse täpsem osalejate nimekiri ja kaasamise eesmärk. Operatiivseid kohtumisi ja arutelusid juhtrühma liikmetega ei ole ülevaatlikkuse huvides kajastatud. Tabel 10. Kaasamistegevuste lühiülevaade Nr Periood Osapool Vorm Eesmärk Projekti seotud E-kiri töörühma Töörühma kuuluvate isikute 1 26.01.2024 osapooled organisatsioonidele tuvastamine. Huvide ja ootuste täpsustamine Töötuba MKM hetkeolukorra kaardistamiseks 2 07.02.2024 Töörühm ruumides ning tulevikuvisiooni kujundamiseks. Avaliku sektori asutuste pilvteenustele liikumise Töötuba Workland teekonna kaardistamine ning 3 21.02.2024 Töörühm ruumides sisendi kogumine tulevikukontseptsiooni loomiseks. 43 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  Nr Periood Osapool Vorm Eesmärk Veebipõhine küsimustik. MKM edastas e-kirja Hetkeolukorra kaardistamine, et töörühma liikmetele välja selgitada tänane 23.02.2024- Töörühm ja laiendatud 4 koos palvega edastada pilvteenustega seotud staatus 03.03.2024 ring seotud osapooli see IT-majade ning kasutatavad meetodid olulisematele infrastruktuuri osas. teenuseomanikele. Riigikantselei ootuste täpsustamine ning koostöö 5 01.03.2024 Riigikantselei E-kiri vajaduse täpsustamine kontseptsiooni loomisel. 6 06.03.2024 Töörühm Online töötuba RITi keskse rolli täpsustamine Tagasiside kogumine 08.03.2024- hetkeolukorra kirjeldusele, 7 Töörühm, MKM, RIA E-kiri ja jagatud tööfail 15.03.2024 ootustele ja kontseptsiooni peamistele aluspõhimõtetele. Osapoolte (MKM, RIT, IT-majad) rollide ja tegevuskava 8 20.03.2024 Töörühm Töötuba RITi ruumides valideerimine ning täpsustamine. Vahetulemite ja RITi oodatava Vahetulemite 9 20.03.2024 RITi töötajad rolli tutvustus ja tagasiside tutvustamine kogumine. Tagasiside kogumine 22.03.2024- 10 Töörühm, MKM, RIA E-kiri ja jagatud tööfail kavandavale juhtimismudelile ja 03.04.2024 tegevuskavale. Avalike pilvteenuste ja Riigipilve 11 03.04.2024 MKM, RIA, RIT Koosolek omavaheliste seoste arutelu (Riigipilve positsioneerimine). 1. Ministeeriumid 2. RITi kliendid 3. Erasektor - peamised Laiem avalik tagasiside 16.04.2024- avalike pilvede 12 E-kiri kogumine esialgsele 15.05.2024 pakkujad, Eesti kontseptsioonidokumendile. Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) 1. Ministeeriumid 2. RITi kliendid 3. Erasektor - peamised 17.05.2024- avalike pilvede Tagasisidele vastamine ja 13 E-kiri ja/või kohtumine 31.05.2024 pakkujad, Eesti vajadusepõhised arutelud. Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) 44 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava Lisa 2. Pilvekontseptsioon jõustamise esialgne ettepanek Alljärgnevas tabelis on antud esialgne ülevaade dokumentidest, mille muudatused võivad olla vajalikud pilvekontseptsiooni jõustamiseks. Tabel 11. Pilvekontseptsiooni jõustamisega seotud dokumendid (esialgne loetelu) Kinnitamise Nr Dokument Muudatuse sisu vorm Käskkiri MKM ministri 1 pilvekontseptsiooni Pilvekontseptsiooni kinnitamine. käskkiri kinnitamiseks Riigi Info- ja Ministri käskkiri Kommunikatsiooni- RITi rolli määratlemine avalike pilvede keskse 2 Riigieelarve tehnoloogia kompetentsikeskusena. protsess Keskuse põhimäärus Täpsustada ootuseid: 1. Avalike pilvteenuste aktiivsem kasutamine avalikus sektoris on ootuspärane ja vajalik. Digiühiskonna Vabariigi Valitsus 3 2. Teenuseomanikel on õigus ja kohustus valida oma e-teenuste arengukava kinnitab osutamiseks sobivaimaid taristu- ja platvormiteenused. 3. Taristu- ja platvormiteenuste valikut, üleminekut ja kasutamist juhivad valdkonnad iseseisvalt. Täpsustada ootuseid: - baastaristu valikuid teadlikult juhtida (ja vajadusel teekaardid Digiühiskonna koostada) 4 arengukava - avalike pilvede kasutamise võimekust arendada ja vajalikud tegevuskava 2025 tegevused kavandada - konkreetsemate ootuste seadmine RIT-le seoses avalike pilvede kompetentsikeskuse rolliga Nõustamiskogukonna tegevuse raames saadakse ootuspäraselt Ministri määrus teadlikumaks levinumate pilvteenuste riskide ja maandamise E-ITSi täiendamine 5 ”Eesti info- praktikatest. Sellest tulenevalt võib tekkida ettepankuid E-ITSi (valikuline) turbestandard” täiendamiseks. Ettepanekuid on võimalik saata aadressile [email protected] Pilvemäärus Vabariigi Valitsuse Võimalus kasutada kasutusstatistikat pilvevõimekuste loomise 6 (valikuline) määrus paremaks planeerimiseks. 45 Avalike pilvteenuste kasutuselevõtu kontseptsioon ja tegevuskava  Ministeeriumid Meie 17.06.2024 nr 9-1/1641-1 Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava Austatud soovime teid tänada väärtusliku tagasiside eest, mida jagasite meie "Avalike pilveteenuste kasutuselevõtu kontseptsioon ja tegevuskava" esialgse versiooni kohta. Teie arvamused ja ettepanekud on olnud meile suureks abiks. Oleme põhjalikult analüüsinud saadud tagasisidet ning arvestanud võimalikult paljude ettepanekutega. Oleme teinud vajalikud täiustused ja täpsustused, et tagada kontseptsiooni ja tegevuskava võimalikult suur asjakohasus ja efektiivsus. Nüüd on meil heameel teile edastada dokumentide lõplikud versioonid. Usume, et lõplik dokument peegeldab paremini teie ootusi ja vajadusi. Lõpliku versioonis tehtud soovitused ja ettepanekud kinnitatakse majandus- ja infotehnoloogiaministeri poolt. Täname teid veelkord koostöö ja panuse eest! Lugupidamisega (allkirjastatud digitaalselt) Madis Tapupere tehnoloogiate juht Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158 Allan Allmere 639 7621 [email protected] 2 (2)