E-ITS 2026: mis muutus

E-ITS on infoturbestandard, mida Eesti organisatsioonid peavad kohaldama küberturvalisuse seaduse (KüTS) alusel. Raamistiku seab Vabariigi Valitsus määrusega nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning vastutav minister annab standardi enda välja eraldi määrusena. Määruse nr 121 konsolideeritud tekst, mis kehtib alates 1. oktoobrist 2026, asub Riigi Teatajas (loetud 2026-11-08).

2026. aasta standard on justiits- ja digiministri määrus nr 30, mis võeti vastu 25. augustil 2026 ja avaldati kui RT I, 29.08.2026, 1. See jõustus 1. septembril 2026 ning tunnistas kehtetuks varasema määruse „Eesti infoturbestandard“ nr 101, 16. detsembrist 2022. RIA avaldab teksti oma E-ITS portaalis: E-ITS infoturbe juhtimissüsteemi nõuded (loetud 2026-11-08). Portaali avalehel on samuti märgitud, et uued nõuded ja 2026. aasta väljaanne kehtivad alates 1. septembrist 2026.

RIA enda kokkuvõtte kohaselt (E-ITS uudiste leht, loetud 2026-11-08) on eesmärk vähendada halduskoormust ja suurendada organisatsiooni enda vastutust. Peamised ülesehituse muudatused on järgmised:

• Määrus on lühem. Varasem eraldi dokument „infoturbe juhtimissüsteemi nõuded“ on nüüd määruse enda osa. Pikk meetmete pakett (RIA nimetab ligikaudu 700 lehekülge) ei ole enam määruse osa.
• Baasturve sai infoturbekataloogiks. Vanas kataloogis oli 109 moodulit ja 1802 meedet kümnes moodulirühmas. Uues kataloogis on 128 moodulit üheksas moodulirühmas. RIA nimetab oma uudiste lehel meetmete arvuks ligikaudu 1490 (eelnõu eri etappidel esines erinevaid arve, seega kontrollige kehtivat arvu portaalist).
• Meetmed ei ole enam määruse osa. Kataloog sätestab eesmärgi mooduli tasandil; RIA haldab meetmeid edasi portaalis koos tugirakendusega.
• Moodulirühmi korrastati. ISMS asendati rühmaga GRC (juhtimine, risk, vastavus); tarkvaraarendus sai oma rühma DEV; tööstus-IT rühm IND liideti rühmaga SYS; APP kitsendati lõppkasutaja rakendustele.
• Vähem elutsükli etappe. Meetmetel on nüüd kolm etappi: planeerimine, käitamine ja kasutuselt kõrvaldamine.
• E-ITS ei ole enam seotud BSI IT-Grundschutzi ega ISO/IEC 27001-ga. RIA sõnul võimaldab see Eesti oludele kohandatud lahendusi. See ei muuda reeglit, et kehtiv ISO/IEC 27001 sertifikaat võib vabastada E-ITS-i kohustusest (vt allpool).

Varasemates väljaannetes valis organisatsioon turvalähenemise: baas-, standard- või kõrgtaseme. RIA kinnitab, et see ei ole enam kohustus. Meetmete rakendamise prioriteedid tulenevad nüüd riskijuhtimisest, nii et jõupingutused suunatakse kõrgeima riskiga varadele ja protsessidele. Äriprotsesside varad seote endiselt kataloogi moodulitega, kuid meetmed võite valida ise: RIA portaalist, tarnijate soovitustest või muust asjakohasest heast tavast.

Praktikas on olulised kaks seotud punkti. Esiteks võib meetme rakendamata jätta või asendada samaväärsega vaid siis, kui kaitsevajadus on täidetud või organisatsioon on riski aktsepteerinud (määruse § 7 lg 6). Teiseks, kui meetme rakendamine võtab kauem kui aasta, tuleb seda riskijuhtimises käsitleda aktsepteeritud riskina (§ 7 lg 7). Rakendamata meetmete riskide aktsepteerimise otsustab juhtkond (§ 3 lg 2).

Täisstandardist eraldi sisaldab määrus nr 121 väikeorganisatsioonidele lühikest esmaste turvameetmete loetelu; vt viimast jaotist.

Kolm muudatust mõjutavad igapäevast tööd:

1. Samanimeline meede ei ole sama meede. RIA hoiatab, et meetme pealkiri võib 2024. ja 2026. aasta versioonis olla sama, kuid sisu erinev. 2024. aasta staatust üle võtta ei saa; kogu meede tuleb uuesti hinnata.
2. Riskijuhtimine läbib kõike. Seda kasutatakse varade kaardistamisel, tarneahela lepingutes, meetmete prioriseerimisel, intsidentide haldamisel, rakendamata meetmete hindamisel ja auditi tähelepanekutes. Määrus nõuab organisatsiooni üldise riskijuhtimisega seotud riskijuhtimise metoodikat (§ 5) ning juhtkond peab regulaarselt saama ülevaateid riskidest, intsidentidest ja rakenduskava edenemisest (§ 3 lg 3).
3. Tarneahel on fookuses. Kui äriprotsess sõltub välisest tarneahelast, hindate sellega seotud riske ning võite nõuda välispoolelt seirearuandeid, auditi järeldusotsuseid, turvasertifikaate või enesehindamise tulemusi (§ 7 lg 8-9). Kui riski ei saa aktsepteerida, kaaluge alternatiivseid meetmeid või partneri vahetamist (§ 7 lg 10).

RIA kokkuvõtte kohaselt oodatakse ka juhtkonna koolitust riskijuhtimise teemal. Töötajate koolitamine on määrusest tulenev kohustus (§ 8).

See on muudatus, mida kirjeldatakse kõige sagedamini valesti, seetõttu tasub olla täpne.

Mida määrus ütleb: § 9 „Organisatsioonisisene hindamine“ nõuab, et organisatsioon hindaks regulaarselt, kas ta on määratlenud oma äriprotsessid, kaardistanud varad, tuvastanud välisnõuded, hinnanud riske, seostanud kataloogi moodulid varadega, kehtestanud riskimetoodika, koostanud rakenduskava, rakendanud ja seirenud meetmeid graafiku kohaselt ning sulgenud varasemate auditite ja hindamiste tähelepanekud. Hindamist võib teha väline isik (§ 9 lg 2). Tähelepanekud tuleb kõrvaldada ja rakendamata meetmete riskid aktsepteerida auditi alguseks (§ 9 lg 3).

Mida RIA ütleb auditeerimistsükli kohta: varem sisaldas kolmeaastane tsükkel eelauditeid, vahekontrolle ja järelauditeid. Nüüd võtab organisatsiooni enda hindamine üle eelauditi ja vahekontrolli kohustuse, kuigi organisatsioon võib neid soovi korral jätkata. Põhiaudit jätkub kolmeaastase tsüklina. RIA märgib ka, et järelauditi asemel tuleb juhul, kui auditi järeldusotsuses viidatakse kõrgetasemelistele riskidele, saata RIA-le lisaks järeldusotsusele ka täielik auditiaruanne ning kõrvaldada puudused kuue kuu jooksul ja sellest teatada (vt ülal E-ITS uudiste leht ning auditeerimiseeskiri, loetud 2026-11-08).

Mida õigus endiselt nõuab: määruse nr 121 § 4 lg 1 kohaselt peab E-ITS-i kohustusega teenuseosutaja tagama E-ITS vastavusauditi iga kolme aasta järel ning saatma auditi järeldusotsuse RIA-le 30 päeva jooksul selle kättesaamisest (§ 4 lg 2). RIA rakendusjuhend, mis on soovituslik ja mitte siduv, lisab, et auditi viib läbi organisatsioonist sõltumatu väline auditeerimisettevõte ning et organisatsioonisisene hindamine tuleks teha vähemalt kord aastas.

Seega täpne kokkuvõte on: organisatsioonisisene hindamine asendab vahekontrolli töö, mitte auditit. Eraldi artiklis käsitletakse üksikasjalikult organisatsioonisisest hindamist ja välist auditit.

Tabeli allikad on RIA uudiste leht ja eespool viidatud määruse tekst. Veerg „2024. aasta väljaanne“ kirjeldab RIA kokkuvõtet sellest, mida vanem väljaanne sisaldas.

Määruse nr 30 § 12 sätestab üleminekureeglid:

• Enne 1. septembrit 2026 rakendatud meetmed, mis ei ole määrusega vastuolus, jäävad kehtima kuni rakendamise lõppemiseni või uuendamiseni.
• Enne jõustumist koostatud dokumentatsioon kehtib kuni kolm aastat alates 1. septembrist 2026, see tähendab meie lugemise järgi kuni 1. septembrini 2029.
• Kui uuendate seda dokumentatsiooni uute reeglite järgi enne tähtaega, kehtib uuendatud dokumentatsioon.

RIA praktiline nõuanne (E-ITS uudiste leht) on leida oma auditeerimistsükli lepingud ja tähtajad ning planeerida üleminek uuele versioonile hiljemalt praeguse tsükli lõpuks, mitte jätta üleminekut viimasele hetkele. RIA avaldas ka versioonimuundur (loetud 2026-11-08), mis teisendab 2024. aasta rakenduskava tabeli 2026. aasta tabeliks ja ekspordib versioonidevaheliste muudatuste logi.

Kahte erinevat „kolmeaastast“ perioodi on lihtne segi ajada. Ülalnimetatud kolmeaastane dokumentatsiooni kehtivus on E-ITS-ile omane. Eraldi teatas RIA 2. jaanuaril 2026, et NIS2 direktiivi ülevõtvad küberturvalisuse seaduse muudatused jõustusid 2026. aasta jaanuaris, et ligikaudu 3000 ettevõtet lisandub kohustuslike nõuete alla (kokku 6500) ning et üksustel on uute nõuetega kohanemiseks kolmeaastane üleminekuaeg (RIA, 2. jaanuar 2026). Selle ülemineku täpset õiguslikku alust me algtekstist ei kontrollinud, seega kontrollige oma tähtaega seadusest.

Kogu standardile ühtset tähtaega ei ole, sest see sõltub teie auditeerimistsüklist ja dokumentatsioonist. Mõistlik järjekord:

1. Veenduge, et E-ITS kehtib teie suhtes. Kontrollige kohaldamisala määruse nr 121 §-st 3: see kehtib süsteemidele, mis on seotud KüTS § 3 lõigetes 2-5 nimetatud sektoritega; sobiva ulatusega ja RIA-le esitatud kehtiv ISO/IEC 27001 sertifikaat vabastab teid; väikeorganisatsioonidele võivad piisata esmased meetmed.
2. Lugege 2026. aasta teksti ja kataloogi RIA portaalis ning käivitage versioonimuundur oma 2024. aasta kavaga.
3. Uuendage varade kaarti ja seostage uued moodulid (näiteks GRC.3 varahaldus ning uued pilve- ja sotsiaalmeedia moodulid) oma varadega.
4. Kontrollige oma riskimetoodikat. See peab hõlmama turvameetmeid, kaasama juhtkonda ja suunama rakenduskava prioriteete.
5. Hinnake uuesti meetmeid, mille pealkirjad paistavad muutumatud. Ärge kopeerige vana staatust.
6. Planeerige iga-aastane organisatsioonisisene hindamine ja tehke see enne auditi tellimist, sest sellega leitud puudused tuleb kõrvaldada enne auditi algust.
7. Fikseerige auditi kuupäev. Leidke oma auditeerimistsükli lepingud ja tähtajad ning püüdke olla 2026. aasta versioonil praeguse tsükli lõpuks.
8. Jätkake intsidentidest teavitamist. Teavitage intsidentidest CERT-EE-d ja saatke auditi järeldusotsus RIA-le 30 päeva jooksul.

Alates 1. oktoobrist 2025 ei kehti täielik E-ITS-i kohustus organisatsioonidele, kus töötab alla 50 inimese ja mille käive või bilansimaht on kuni 10 miljonit eurot, ning teatud kohaliku omavalitsuse asutustele; nemad kohaldavad selle asemel määruse nr 121 lisas loetletud esmaseid turvameetmeid (§ 3 lg 2^1 ja § 5^1). RIA selgitus on esmaste meetmete lehel (loetud 2026-11-08), kus on märgitud ka, et üldhariduskoolid jäävad E-ITS-i või ISO/IEC 27001 alla. Meetmed on alampiir, mitte E-ITS-i asendaja, ning kes juba järgib E-ITS-i või ISO/IEC 27001, ei pea midagi muutma. Täpsed erandid ja erisused on üksikasjalikud, seega kontrollige kehtivat määruse teksti.

InfoPol on vastavuse ja infoturbe juhtimise platvorm riskide, protsesside, varade, tarnijate, kontrollide, dokumentide, ülesannete, intsidentide ja koolituste jaoks, millel on muutmiskindel auditilogi. InfoPol toetab E-ITS-i: seadistate moodulid ja meetmed, mida soovite kasutada, kontrollidena. See sobib 2026. aasta lähenemisega, kus meetmed valite ja dokumenteerite ise. Vt E-ITS-i lehte ja hinnakirja.