Arvamus

Arvamus justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõu le Esitasite Registrite ja Infosüsteemide Keskusele (edaspidi RIK) arvamuse avaldamiseks justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõu. RIK annab eelnõule järgneva arvamuse: Määruse seletuskirja sisukokkuvõttes tuuakse esile, et eelnõukohase määrusega sätestatakse sihipärase turvaauditi korraldamise täpsemad tingimused ja kord. Määruse eesmärk on toetada küberturvalisuse taseme parandamist, kehtestades sihipäraste turvaauditite korraldamise ja auditikulude hüvitamise korra. Seletuskirja kohaselt peaks sihipärane turvaaudit aitama suurendada turvalisust ja tagama ühiskonna toimimise seisukohast kriitiliste teenuste toimepidavuse . Eelnõust ei tulene, aga ühtegi tingimust sihipärasele turvaauditile, mistõttu jääb arusaamatuks, kuidas kohustuslike osadeta turvaaudit määruse eesmärke tagab. Kui turvaauditile esitatavad täpsemad nõuded tulenevad eelnõu järgse määruse § 2 lg-st 1 reguleeritud Riigi Infosüsteemi Ameti (edaspidi RIA) poolt tehtavast haldusaktist, peaks õigusselguse huvides olema see reguleeritud ning tooma esile, milliseid nõudeid sihipärasele turvaauditile võib haldusaktiga kehtestada. Eelnõukohases määruse § 2 lg-s 3 reguleeritakse, et haldusaktiga võib ette näha ajavahemikul korduvad sihipärased turvaauditid. Määruse seletuskirjas on välja toodud, et NIS2-direktiiv näeb ette auditite regulaarsuse ülioluliste teenuste puhul. Seletuskirjast ei tulene, miks on määruses kasutatud sõna „regulaarne“ asemel sõna „korduv“, kuivõrd meie hinnangul ei ole tegemist samatähenduslike sõnadega. Lisaks ei ole reguleeritud kui regulaarselt võib korduvate sihipäraste turvaauditite tegemist haldusaktiga nõuda . Praktikas võib see tähendada olukorda, kus haldusaktiga nähakse ette sihipäraste turvaauditite tegemine näiteks igakuiselt ning kui see ei ole ilmselgelt mõistlik on teenuseosutaja ainuke võimalus haldusakt vaidlustada. Selgemate raamide ette nägemine võiks meie hinnangul suurendada õiguskindlust ja õigusselgust. Eelnõu järgse määruse § 2 lg-ga 4 sätestatakse teenuseosutaja kohustus kooskõlastada audiitorivalik RIAga . Seletuskirjas on toodud, et sätte eesmärgiks on tagada, et sihipärast turvaaudit teeb selleks pädev isik ning teenuseosutaja ei satuks olukorda, kus audit ei vasta nõuetele audiitori puuduliku kompetentsi tõttu. Meie hinnangul tagab seda eesmärki juba eelnõukohase määruse § 2 lg 2, milles on toodud välja nõuded audiitorile. Küsitavust tekitab, kuidas peaks hangetes (hange turvauditi tellimiseks) ette nägema tingimuse, et hankija peab saama kooskõlastuse RIAlt , arvestades eelkõige eelnõu järgse määruse § 2 lg 4 ls-t 2, mille järgib hindab RIA audiitori sobivust lähtudes sihipärase turvaauditi käsitlusalast. Kui hankija ei ole sätestanud hankes nõuet, mille alusel RIA kooskõlastuse andmata jätab, siis kuidas hankija peaks edasi käituma. Kas tegemist peaks olema vastavustingimusega, mille osas tekib küsimus, et kui pakkuja vaidlustab vastavusotsust, siis pöördub ta vaidlustuskomisjoni hankija vastu, kuid kui vastavus ei ole läbitud RIA otsusest tulenevalt, siis ei ole hankijal vaidlustuses täiendavaid argumente võimalik tuua. Arvestades haldusaktis sätestatavat tähtaega auditi esitamiseks võib 10 tööpäevane tähtaeg RIAle sobivuse hindamiseks olla ebamõistlikult pikk, kuivõrd hankemenetluse läbiviimine võib iseenesest olla pikk protsess , mis mõjutab ka haldusaktis ette nähtud turvaauditi tegemise tähtaega (hanke korraldamine, kooskõlastus, võimalik vaidlustus). Eelnõukohase määruse § 2 lg-s 5 nähakse ette kohustus auditi tulemused RIA-le teatavaks teha ilma viivituseta, kuid hiljemalt viie tööpäeva pärast. Kommenteeritav lõige haakub käesolevas arvamuses punktiga 1, milles oleme välja toonud, et nõudeid auditile ei ole määruses välja toodud. Sellisel juhul tekib küsimus, kas auditi tulemus võiks näiteks olla „ Kõik on suurepärane/ vajab tähelepanu/ halb/ei kõlba kuhugi “. Selleks, et määruse eesmärgid oleks tagatud peaks meie hinnangul olema määruses reguleeritud nõuded auditile vähemalt sellise täpsusega, mis annaks esialgsed nõuded, mida on võimalik täpsustada antavas haldusaktis. Eelnõu järgse määruse § 2 lg 6 sätestab, et audiitor tagab sihipärase turvaauditi kulu arvestuse arusaadavuse, õigsuse, üksikajalikkuse ja järjepidevuse. Määrusest ega määruse seletuskirjast ei tulene, mida peetakse silmas üksikasjalikkuse ja järjepidevuse all ning millise täpsusega peab kuluarvestus sellisel juhul tehtud olema. Koostajad: infoturbe spetsialist Merle Vaab ( [email protected] ), järelkontrolli spetsialist Aune Rumberg ( [email protected] ), õigusteenuse tiimi jurist Merle Sirje Tael-Ibrahimli ( [email protected] ) Saatja: "Justiits- ja Digiministeerium" <[email protected]> Saaja: "Justiits- ja Digiministeerium" <[email protected]> Teema: FW: Arvamus justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõule Kuupäev: 2026-10-06 13:56 From: Merle Sirje Tael-Ibrahimli - RIK <[email protected]> Sent: Tuesday, October 6, 2026 4:50 PM To: Raavo Palu - JUSTDIGI <[email protected]> Cc: Merle Vaab - RIK <[email protected]>; Aune Rumberg - RIK <[email protected]> Subject: Arvamus justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõule Tere Edastame manuses arvamuse justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõule. Lugupidamisega <https://www.rik.ee/> Merle Sirje Tael-Ibrahimli jurist Õigusteenuse tiim [email protected] <https://www.facebook.com/profile.php?id=100068614174252> <http://www.instagram.com/rikikad> <http://www.linkedin.com/company/centre-of-registers-and-information-syste ms> www.rik.ee Käesolev kiri võib sisaldada teavet asutusesiseseks kasutamiseks ning on mõeldud päises nimetatud adressaatidele. Kui olete saanud kirja ekslikult, palume sellest koheselt teavitada kirja saatjat ja kustutada kiri koos kõikide lisadega. Saatja: Justiits- ja Digiministeerium <[email protected]> Saadetud: 06.10.2026 16:56 Adressaat: Justiits- ja Digiministeerium <[email protected]> Teema: FW: Arvamus justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõule From: Merle Sirje Tael-Ibrahimli - RIK <> Sent: Tuesday, October 6, 2026 4:50 PMTo: Raavo Palu - JUSTDIGI <>Cc: Merle Vaab - RIK <>; Aune Rumberg - RIK <>Subject: Arvamus justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord eelnõule Tere Edastame manuses arvamuse justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord eelnõule. Lugupidamisega Merle Sirje Tael-IbrahimlijuristÕigusteenuse tiim Käesolev kiri võib sisaldada teavet asutusesiseseks kasutamiseks ning on mõeldud päises nimetatud adressaatidele.Kui olete saanud kirja ekslikult, palume sellest koheselt teavitada kirja saatjat ja kustutada kiri koos kõikide lisadega.