Arvamuse edastamine

Pr Liisa-Ly Pakosta Justiits- ja digiminister Justiits- ja Digiministeerium Teie 22.09.2026 nr 8-1/6793-1 Suur-Ameerika 1 10122 TALLINN Meie 6.10.2026 nr 6.1-2/151 Arvamus määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord” eelnõu kohta Eesti Infotehnoloogia ja Telekommunikatsiooni liit (ITL) tänab kaasamise eest justiits- ja digiministri määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord” eelnõu (edaspidi: eelnõu) menetlusse. ITL on seisukohal, et eelnõud on vaja täpsustada, et sihipärane turvaaudit kui NIS2 alusel kehtestatud järelevalvemeede oleks riskipõhine, proportsionaalne ja ettenähtav ning selle rakendamisega ei kaasneks teenuseosutajatele põhjendamatut kulu ega halduskoormust. ITL-i peamised ettepanekud on järgmised: 1) Võimaldada sihipärase turvaauditi kulu hüvitamist kõigile küberturvalisuse seaduse (KüTS) subjektidele ehk teenuseosutajatele; 2) Võimaldada sihipärase turvaauditi kulu hüvitamist ka juhul, kui auditi tulemusel puudusi ei tuvastata; 3) Võimaldada sihipärase turvaauditi kulu hüvitamist, kui viimase aasta jooksul on tehtud sama käsitlemisalaga muu turvaaudit, mitte ainult sihipärane turvaaudit; 4) Sätestada läbipaistvad reeglid audiitori valikule, hüvitatavatele kuludele ja turuhinna arvesse võtmisele; 5) Mitte lubada ühe haldusakti andmisega korduvaid sihipäraseid turvaauditeid. ITL-i konkreetsed muudatusettepanekud on järgmised: 1. Viia eelnõu reguleerimis- ja kohaldamisala kooskõlla volitusnormi sõnastusega. Teeme ettepaneku sõnastada eelnõu § 1 lõige 2 järgmiselt: „(2) Määrus sätestab sihipärase turvaauditi korraldamise täpsemad tingimused ja korra, sealhulgas olukorrad, mille puhul Riigi Infosüsteemi Amet hüvitab teenuseosutajale sihipärase turvaauditi kulu, ning kulu hüvitamise korra.“ Põhjendus: Eelnõu aluseks olev KüTS § 16 lõige 12 kohaselt sätestatakse määrusega sihipärase turvaauditi korraldamise täpsemad tingimused ja kord, sealhulgas loetelu olukordadest, mille puhul Riigi Infosüsteemi Amet hüvitab teenuseosutajale turvaauditi kulu, ning turvaauditi kulu hüvitamise kord. Selleks, et eelnõu § 1 lg 2 oleks täpselt kooskõlas volitusnormiga, teeme ettepaneku sõna  2 „põhjendatud“ sellest sättest välja jätta. Olukordade sisustamine toimub eelnõu §-s 3, seega pole vajalik eelnõu kohaldamisala piirata lisatingimusega. 2. Tagada audiitori kvalifikatsiooni läbipaistvus. Teeme ettepaneku sõnastada eelnõu § 2 lõige 2 järgmiselt: „(2) Lõikes 1 nimetatud sihipärast turvaauditit teeb teenuseosutajaväline sõltumatu isik (edaspidi audiitor), kellel on auditi tegemise ajal kehtiv rahvusvaheliselt tunnustatud infosüsteemide audiitori sertifikaat või tehnilist kvalifikatsiooni tõendav muu dokument.“ Põhjendus: Rahvusvaheliselt tunnustatud infosüsteemide audiitoritel on sertifikaadid, mitte kutsetunnistused. Eesti kutseseaduse § 21 lg 1 kohaselt on kutsetunnistus elektrooniline kanne kutseregistris ja selle alusel väljastatud dokument, mis tõendab isiku kompetentsuse vastavust kutsestandardis kehtestatud nõuetele. Rahvusvahelistel audiitoritel ei ole kutsetunnistust. Leiame, et teenuseosutaja peab enne lepingu sõlmimist teadma, millist kvalifikatsiooni peab RIA sihipärase turvaauditi teostamiseks piisavaks. Seetõttu teeme ettepaneku eelnõu seletuskirjas avada, millist kvalifikatsiooni RIA käsitleb käesoleva lõike nõuetele vastavana. Selged kriteeriumid vähendavad riski, et teenuseosutaja alustab hankimist või läbirääkimisi isikuga, keda RIA hiljem sobivaks ei pea. Seejuures peame oluliseks, et auditite turg jääks avatuks ja jääks võimalus kasutada ka valdkonna spetsiifilisema kvalifikatsiooniga vastavushindamisasutusi, keda meie riigis ega regioonis ei akrediteerita. Teiseks tuleb audiitorite kvalifikatsiooni osas arvestada, et ei ole vaid ISO lead audiitorid jms pädevad, vaid seda pädevust võivad omada ka spetsiifilisema akrediteeringuga asutused ja asutuste audiitorid. Näiteks usaldusteenuse osutajate eIDAS auditi raames tehakse ühtlasi ka NIS2 auditit (see on kohustuslik osa õigusaktide järgi) ning nende audiitorite kvalifikatsioon on väga spetsiifiline (eIDAS usaldusteenuste vastavushindamiseks). 3. Tagada korduvate sihipäraste turvaauditite ettenähtavus. Teeme ettepaneku kustutada eelnõu § 2 lõige 3. Põhjendus: Ühe haldusaktiga määramata arvu korduvate auditite ettenägemine jätab teenuseosutajale ebamäärase ja potentsiaalselt pikaajalise kulukohustuse. Iga uue auditi vajalikkus, käsitlusala, ajastus ja proportsionaalsus tuleb hinnata auditi määramise hetkel. Seetõttu teeme ettepaneku, et RIA väljastab korduva auditi korral uue haldusakti. See tagab ka, et teenuseosutajal on võimalik auditi kohustuse määranud haldusakti vaidlustada. Ühe haldusaktiga korduva turvaauditi ettenägemisel võib vaidlustustähtaeg olla möödunud hetkel, kui nõutakse taas järgmist turvaauditit. NIS2 nõue, et ülioluliste üksuste suhtes oleks võimalik teha korrapäraseid auditeid, ei eelda tähtajatu korduvkohustuse loomist ühe haldusaktiga. Vastasel korral ei oleks võimalik järelevalvemenetlusi lõpetada enne, kui haldusakt on täidetud ning seega hoiaks üks haldusakt elus menetlust väga pikka aega.  3 4. Täpsustada tulemuse kättesaadavaks tegemise tähtaja algust. Teeme ettepaneku sõnastada eelnõu § 2 lõige 5 järgmiselt: „(5) Auditeeritav teenuseosutaja tagab, et sihipärase turvaauditi tulemus tehakse Riigi Infosüsteemi Ametile kättesaadavaks viivituseta, kuid hiljemalt viie tööpäeva pärast audiitorilt lõppraporti kättesaamist.“ Põhjendus: Eelnõus kasutatud väljend „alates sellest teada saamisest“ on ebaselge. Tähtaja algus peab olema seotud kontrollitava sündmusega, milleks on audiitorilt lõppraporti kättesaamine. 5. Jätta eelnõust välja kuluarvestusele seatud nõuded. Teeme ettepaneku kustutada eelnõu § 2 lõige 6. Põhjendus: Audiitori tasu ja selle struktuur lepitakse tavapäraselt kokku enne auditi algust. Eelnõus sisalduvad üldised nõuded arusaadavusele, õigsusele, üksikasjalikkusele ja järjepidevusele jätavad ulatusliku tõlgendusruumi. Selline üldine kohustus tekitab segadust selles osas, mida tuleb RIA-le esitada. Audiitorid tegutsevad audiitortegevuse seaduse kohaselt ning vastavalt kutse eetikakoodeksile ja sellest võiks piisata. Kui Justiits- ja Digiministeerium ei pea eelnõu § 2 lg 6 kustutamist võimalikuks, siis peab kuluarvestusele esitatud nõuete sisu olema ette teada nii teenuseosutajale kui ka audiitorile. See ei tohi muuta teenuseosutajat vahendajaks audiitori ja RIA vahel. Seega meie alternatiivne ettepanek on sõnastada eelnõu § 2 lg 6 järgmiselt: „(6) Audiitor tagab sihipärase turvaauditi kulu arvestuse arusaadavuse, õigsuse, üksikasjalikkuse ja järjepidevuse. Riigi Infosüsteemi Amet avaldab oma veebilehel juhise, millele tuginevalt saab audiitor nimetatud nõudeid täita.“ 6. Laiendada sihipärase turvaauditi kulude hüvitamise õigust kõigile teenuseosutajatele Teeme ettepaneku kustutada eelnõust § 3 lg 3 ning sõnastada § 3 lõike 2 sissejuhatav osa järgmiselt: „(2) Riigi Infosüsteemi Amet hüvitab teenuseosutajale § 2 lõikes 1 nimetatud sihipärase turvaauditi kulu osaliselt või täielikult, kui esineb vähemalt üks käesolevas lõikes nimetatud alus.“ Põhjendus: ITL ei pea õiglaseks sihipärase turvaauditi kui koormava järelevalvemeetme kulude hüvitamist ainult eelnõu § 3 lg 3 nimetatud isikutele ehk ettevõtete puhul ainult väikeettevõtetele. Hüvitamise õiguse sidumine ettevõtte suuruse või asutuse liigiga välistaks keskmised ja suured ettevõtted ka olukorras, kus auditi määramine või selle tulemused selgelt õigustavad kulu kandmist riigi poolt. NIS2 jätab pädevale asutusele võimaluse teha igakülgselt põhjendatud juhtudel teistsugune otsus ega nõua erandi piiramist üksnes väikeste ettevõtjate ja eelnõus loetletud avaliku sektori asutustega. Oleme seisukohal, et kõigil KüTS-i kohuslastel peab olema võrdne võimalus taotleda hüvitist samadel sisulistel alustel. Me ei saa olla nõus ettevõtete ebavõrdse kohtlemisega. Suurematel ettevõtetel on KüTS nõuete alusel korralise turvaauditi kohustused, mida väikestel ettevõtetel alati ei ole. Seetõttu oleks suurte ja keskmiste ettevõtete puhul, kes on juba kandnud kulusid erinevate auditite osas, eriti ebaõiglane, et nende puhul võib RIA igal ajal sihipärast turvaauditit  4 nõuda, kuid selle kulusid ei hüvita, kui näiteks audit ei leidnud puudusi (tekitades samal ajal ettevõttele lisaks kulule ka suure halduskoormuse). Leiame, et hüvitise võimalus kõigile ettevõtetele eelnõus sätestatud tingimuste korral on oluline vahend tagamaks sihipärase turvaauditi kui järelevalvemeetme proportsionaalse ja eesmärgipärase kasutamise. See aitaks ennetada selle liiga kergekäelist kasutamist. 7. Lisada eelnõusse turvaauditi kulude hüvitamine, kui sellega ei avastatud puudusi. Teeme ettepaneku lisada eelnõu § 3 lõikesse 2 uus punkt 3 järgmises sõnastuses: „3) sihipärase turvaauditi lõppraporti kohaselt ei tuvastatud haldusaktiga määratud käsitlusalas puudusi ning ei ole tuvastatav, et puudused kõrvaldati pärast sihipärast turvaauditit kohustava haldusakti andmist.“ Põhjendus: Kulude hüvitamise alused on eelnõus liiga kitsad. Leiame, et hüvitamise aluste sätestamisel tuleks analüüsida ka teisi järelevalve valdkondi. Nii finants- kui ka keskkonnajärelevalves on põhimõte, et kulu ei jää järelevalvatava kanda, kui audit või kontroll ei tuvasta rikkumist ega kahju või kui järelevalve oli ennetav, üldise seire või avaliku huvi audit, mitte konkreetse kahtluse lahendamine. Oleme seisukohal, et kui järelevalveasutuse algatatud auditi käigus ei tuvasta puudusi, ei ole põhjendatud jätta järelevalvemeetme kulu teenuseosutaja kanda. Pakutud sõnastus väldib hüvitamist juhul, kui puudused kõrvaldati alles pärast haldusakti andmist, kuid enne auditi lõppu. 8. Täpsustada varasema turvaauditi arvestamist kulude hüvitamise alusena. Teeme ettepaneku täpsustada eelnõu § 3 lõike 2 punkti 2 järgmiselt: „2) viimase 12 kuu jooksul on tehtud turvaaudit, mille käsitlusala hõlmab täielikult või olulises osas uue sihipärase turvaauditi käsitlusala, ning varasema auditi käigus tuvastatud puudused on uue sihipärase turvaauditi määramise ajaks kõrvaldatud.“ Põhjendus: Hüvitamise alus peab hõlmama ka teise õigusliku aluse või standardi järgi tehtud võrreldavat turvaauditit, mitte üksnes varasemat sihipärast turvaauditit kui RIA järelevalvemeedet. Kui turvaauditite käsitlusalad kattuvad, siis ei ole dubleeriva järelevalve vajadust. Sellega välditakse olukorda, kus teenuseosutaja maksab lühikese aja jooksul sama käsitlusala korduva kontrollimise eest. 9. Täpsustada kulude hüvitamise seost sihipärase turvaauditi tingimustega. Teeme ettepaneku sõnastada § 3 lõige 6 järgmiselt: „(6) Sihipärase turvaauditi kulu hüvitamiseks peavad olema täidetud §-s 2 sätestatud turvaauditi korraldamise tingimused.“ Põhjendus: Eelnõu § 3 lg 6 on ebaselge. See viitab eelnõu § 2 lõikele 1, mis reguleerib, kuidas sihipärase turvaauditi kohustus teenuse osutajale esitatakse. Selguse huvides piisab meie hinnangul sellest, kui § 3 lg 6 viitab üldiselt §-is 2 sätestatud sihipärase turvaauditi korraldamise tingimustele.  5 10. Täpsustada nõudeid kulude hüvitamise taotluse dokumentidele. Teeme ettepaneku sõnastada eelnõu § 4 lõige 1 ja lg 2 järgmiselt: „(1) Teenuseosutaja esitab Riigi Infosüsteemi Ametile kulu hüvitamise taotluse koos järgmiste dokumentidega: 1) § 3 lõike 2 punktis 1 nimetatud juhul dokumendid, mis tõendavad teenuseosutaja võimetust kulu ise kanda; 2) § 3 lõike 2 punktis 2 nimetatud juhul varasema auditi aruanne või viide selle varasemale esitamisele ning kinnitus puuduste kõrvaldamise kohta; 3) § 3 lõike 2 punktis 3 nimetatud juhul sihipärase turvaauditi lõppraport; 4) arve ja makset tõendav dokument. (2) Riigi Infosüsteemi Amet võib nõuda üksnes selliseid lisadokumente ja selgitusi, mis on vajalikud taotluses märgitud hüvitamise aluse või turvaauditi tegemise kulu kontrollimiseks. Nõudes märgib Riigi Infosüsteemi Amet, millist asjaolu dokumendiga tõendada tuleb.“ Põhjendus: Taotluse lisad peavad sõltuma konkreetsest hüvitamise alusest. Praegusest sõnastusest võib jääda mulje, et teenuseosutaja peab alati esitama kõik tõendid. Teeme ettepaneku jätta välja nõue esitada kuludokumendid auditi etappide kaupa. Selliseid etappe ei ole eelnõus määratletud ning audiitorid esitavad praktikas sageli tervikhinnaga pakkumise. Kui on vajalik seada täpsemaid nõudeid kuludokumentidele, siis tuleb selleks koostada ja avaldada juhend. Lisadokumentide nõue peab olema eesmärgipärane ja proportsionaalne. 11. Täpsustada hüvitavate kulude sisu ja turvaauditi turuhinna arvestamise metoodikat. Teeme ettepaneku täpsustada eelnõu § 4 lg 3 järgmiselt: „(3) Riigi Infosüsteemi Amet hüvitab sihipärase turvaauditi tegemiseks vajaliku ja põhjendatud audiitori tasu ning auditi tegemisega otseselt seotud dokumenteeritud tööjõu- ja muud vältimatud kulud. Puuduste kõrvaldamise kulu, viivist ja leppetrahvi ei hüvitata. Riigi Infosüsteemi Amet arvestab muuhulgas samaväärse turvaauditi turuhinda. Turuhinna hindamisel arvestab RIA auditi käsitlusala, keerukust, audiitori kvalifikatsiooni, töömahtu ja tähtaega. Riigi Infosüsteemi Amet avaldab oma veebilehel hindamise metoodika.“ Põhjendus: Eelnõu § 4 lg 3 tekitab küsimusi, mida täpsemalt praktikas hüvitama hakatakse. Teeme ettepaneku, et hüvitatakse ka auditi tegemiseks vajalik tööjõukulu, kuna see ka see on oluline koormus teenuse osutajatele ja tuleb eelnõu § 2 lõikes 2 toodud juhtudel hüvitada. Lisaks teeme ettepaneku täpsustada turuhinna arvestamise metoodikat. Turuhinda ei saa hinnata ainult audiitorite tunnihindade võrdluse alusel, sest tehnilise ja organisatsioonilise auditi kompetents, keerukus ning kvaliteet erinevad.  6 Loodame, et leiate võimaluse meie ettepanekuid arvestada. Soovime Justiits- ja Digiministeeriumi esindajatega kohtuda, et oma ettepanekuid täiendavalt selgitada ning võimalikke lahendusi meie poolt tõstatatud murekohtadele arutada. Lugupidamisega /allkirjastatud digitaalselt/ Doris Põld Tegevjuht Keilin Tammepärg, [email protected]