Organisatsioonisisene hindamine on organisatsiooni enda regulaarne kontroll, et tema E-ITS programm toimib, ning väline audit on sõltumatu auditeerimisettevõtte kontroll iga kolme aasta järel, et te vastate nõuetele; esimene ei asenda teist, kuid see on ettevalmistus, mis teise läbimise võimaldab. Artikkel on kirjutatud infoturbejuhile, kes peab 2026. aasta väljaande alusel auditiks valmistuma. Õiguslikud väited on loetud 8. novembril 2026 ja viitavad algallikatele, kus neid oli võimalik lugeda. See on üldine juhis, mitte õigusnõu. Laiema pildi saamiseks vt E-ITS-i ülevaadet ja artiklit E-ITS 2026: mis muutus.
Artikkel
E-ITS organisatsioonisisene hindamine ja väline audit
E-ITS 2026 organisatsioonisisene hindamine ja väline audit: kes kumbagi teeb, kui tihti, mida kontrollitakse, kuidas need kokku sobivad ja kuidas tõendeid ette valmistada.
1.Organisatsioonisisene hindamine E-ITS 2026 alusel
Justiits- ja digiministri määruse nr 30 (RT I, 29.08.2026, 1) § 9 „Organisatsioonisisene hindamine“ nõuab, et organisatsioon hindaks regulaarselt, kas tema E-ITS programm on paigas. Hindamisel kontrollitakse, et organisatsioon on:
- määratlenud oma äriprotsessid ja kaardistanud neid toetavad varad;
- tuvastanud välisnõuded;
- hinnanud riske ja kehtestanud riskimetoodika;
- seostanud kataloogi moodulid oma varadega;
- koostanud rakenduskava;
- rakendanud ja seirenud meetmeid graafiku kohaselt;
- sulgenud varasemate auditite ja hindamiste tähelepanekud.
Kes seda teeb: organisatsioon. Määrus lubab hindamise teha välisel isikul (§ 9 lg 2). Kui tihti: määrus ütleb „regulaarselt“; RIA rakendusjuhend, mis on soovituslik ja mitte siduv, ütleb: vähemalt kord aastas. Mis tulemuseks on: määrus ei sätesta aruande vormi, mida me kinnitada suutsime, kuid tähelepanekud tuleb kõrvaldada ja rakendamata meetmete riskid aktsepteerida auditi alguseks (§ 9 lg 3). Praktikas tähendab see kuupäevastatud hindamisdokumenti, tähelepanekute loetelu koos vastutajate ja tähtaegadega ning juhtkonna riskiaktsepti dokumenti.
2.Väline audit
Vabariigi Valitsuse määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ § 4 lg 1 kohaselt peab E-ITS-i kohustusega teenuseosutaja tagama E-ITS vastavusauditi iga kolme aasta järel. Auditi järeldusotsus saadetakse RIA-le 30 päeva jooksul selle kättesaamisest (§ 4 lg 2). Konsolideeritud tekst asub Riigi Teatajas (loetud 2026-11-08).
RIA rakendusjuhend lisab, et auditi viib läbi organisatsioonist sõltumatu väline auditeerimisettevõte. RIA avaldab 2026. aasta väljaande osana auditeerimiseeskirja. Me ei suutnud 8. novembril 2026 eeskirja lehe teksti automaatse päringuga lugeda, seega ei esita me siin uuesti audiitori kvalifikatsiooninõudeid, auditi ulatuse määratlust ega auditiaruande vormi. Kontrollige neid seal enne auditi tellimist.
Mida RIA protsessi kohta uudiste lehel ütleb (loetud 2026-11-08): põhiaudit jätkub kolmeaastase tsüklina. Järelauditi asemel saadate juhul, kui järeldusotsuses viidatakse kõrgetasemelistele riskidele, RIA-le lisaks järeldusotsusele ka täieliku auditiaruande, kõrvaldate puudused kuue kuu jooksul ja teatate sellest.
Organisatsioonil võib olla ka sobiva ulatusega ja RIA-le esitatud kehtiv ISO/IEC 27001 sertifikaat, mis vabastab ta määruse nr 121 § 3 alusel E-ITS-ist. Sel juhul E-ITS audit teie suhtes ei kehti. Väikeorganisatsioonidele võivad piisata esmased turvameetmed. Vt kellele E-ITS kehtib.
3.Kuidas need kokku sobivad
Varasemates väljaannetes sisaldas kolmeaastane tsükkel eelauditeid, vahekontrolle ja järelauditeid. RIA sõnul võtab nüüd organisatsiooni enda hindamine üle eelauditite ja vahekontrollide kohustuse, kuigi organisatsioon võib neid soovi korral jätkata. Tsükkel näeb seega välja selline:
- Aasta-aastalt: organisatsioonisisene hindamine, tähelepanekute kõrvaldamine, riskiaktsepti fikseerimine, tõendite säilitamine.
- Enne auditit: viimane organisatsioonisisene hindamine, et puudused oleksid auditi alguseks kõrvaldatud (§ 9 lg 3).
- Audit: sõltumatu ettevõte kontrollib vastavust ja annab järeldusotsuse.
- Pärast auditit: järeldusotsus RIA-le 30 päeva jooksul; kui viidatakse kõrgetasemelistele riskidele, täielik aruanne RIA-le ja kuus kuud puuduste kõrvaldamiseks.
- Tagasi sammu 1 juurde. Auditi tähelepanekud on järgmise organisatsioonisisese hindamise sisend, sest hindamisel tuleb kontrollida, kas varasemad auditi tähelepanekud on suletud.
4.Võrdlus
| Aspekt | Organisatsioonisisene hindamine | Väline audit |
|---|---|---|
| Õiguslik alus | Määrus nr 30 § 9 | Määrus nr 121 § 4 |
| Kes teeb | Organisatsioon või tema kaasatud väline isik (§ 9 lg 2) | Organisatsioonist sõltumatu väline auditeerimisettevõte (RIA juhend) |
| Sagedus | Regulaarselt; RIA juhendi järgi vähemalt kord aastas (ei ole siduv) | Iga kolme aasta järel |
| Mida kontrollitakse | Kas programm on paigas: protsessid, varad, nõuded, riskid, moodulid, kava, meetmed graafiku kohaselt, varasemad tähelepanekud suletud | Vastavus E-ITS-ile; üksikasjad RIA auditeerimiseeskirjas |
| Tulemus | Tähelepanekud ja parandustegevused; ettenähtud vormi ei ole kinnitatud | Auditi järeldusotsus ja täielik aruanne |
| Teavitamine RIA-le | Läbi loetud allikate järgi ei nõuta | Järeldusotsus 30 päeva jooksul; täielik aruanne, kui viidatakse kõrgetasemelistele riskidele |
| Järeltegevus | Tähelepanekute kõrvaldamine ja jääkriski aktsepteerimine enne auditit | Kuus kuud puuduste kõrvaldamiseks, kui viidatakse kõrgetasemelistele riskidele, seejärel aruandmine |
| Asendab | Varasemad eelauditid ja vahekontrollid | Mitte midagi; põhiaudit jääb |
5.Kuidas ette valmistada
Tõendid. Hoidke neid selle meetme juures, mida nad toetavad, koos kuupäeva ja läbivaatamiskuupäevaga. Tüüpilised näited on poliitikad ja protseduurid, konfiguratsioonid ja logid, koolitusandmed, lepingud ja tarnijate kinnitused, intsidendiregistrid, riskiregistri kirjed ning juhtkonna otsus riski aktsepteerimise kohta. Jooksvalt kogutud tõendeid on lihtsam kaitsta kui auditieelsel nädalal tagantjärele kokku seatuid.
Kirjed. Pidage kirjalikku jada iga otsuse kohta, mida audiitor võib kahtluse alla seada:
- miks meede jäeti välja või asendati (§ 7 lg 6) ja kes riski aktsepteeris;
- iga meede, mille rakendamine võtab kauem kui aasta ja mida käsitletakse aktsepteeritud riskina (§ 7 lg 7);
- kuupäevastatud organisatsioonisisene hindamine, selle tähelepanekud ja see, kuidas igaüks suleti;
- juhtkonna regulaarsed ülevaated riskidest, intsidentidest ja kava edenemisest (§ 3 lg 3).
Rollid.
- Juhtkond otsustab rakendamata meetmete riskide aktsepteerimise (§ 3 lg 2) ja saab ülevaated.
- Infoturbejuht vastutab programmi eest ning viib organisatsioonisisese hindamise läbi või tellib selle.
- Igal meetmel on nimetatud vastutaja ja kuupäev.
- Kui kasutate hindamiseks välist isikut, hoidke ta lahus auditeerimisettevõttest, mille hiljem tellite; kas sama ettevõte tohib teha mõlemat, on küsimus, mis tuleb lahendada auditeerimisettevõtte ja RIA-ga, ning kummagi poole reeglit me kinnitada ei suutnud.
Ajastus. Leidke oma auditeerimistsükli kuupäevad ja lepingud, tehke organisatsioonisisene hindamine hästi enne auditi tellimist ning planeerige üleminek 2026. aasta versioonile praeguse tsükli lõpuks, nagu RIA nõustab. Meetmeid, mille pealkiri on 2024. ja 2026. aasta versioonis sama, tuleb uuesti hinnata, mitte kopeerida.
6.Tõendid ühes kohas
InfoPol toetab E-ITS-i: organisatsioonid seadistavad oma E-ITS meetmed InfoPolis kontrollidena ning platvorm hoiab kontrolle, tõendeid, ülesandeid, dokumente ja muutmiskindlat auditilogi ühes kohas, nii et organisatsioonisisene hindamine ja audit töötavad samade kirjete põhjal. Tehisintellekt võib koostada mustandeid, kuid iga muudatuse kinnitab inimene. InfoPol ei korralda auditeid; otsused, tõendid ja audit jäävad teie kanda.
7.Kinnitamata punktid
- Audiitori kvalifikatsiooninõuded ja üksikasjalik auditi ulatus RIA auditeerimiseeskirjas.
- Kas määrus ette näeb organisatsioonisisese hindamise kirje vormi.
- Kas sama väline osapool tohib teha nii organisatsioonisisest hindamist kui ka auditit.
8.Korduma kippuvad küsimused
- Kas organisatsioonisisene hindamine võib E-ITS auditi asendada?
- Ei. Määrus nr 121 nõuab E-ITS vastavusauditit iga kolme aasta järel ning RIA juhendi kohaselt teeb selle organisatsioonist sõltumatu väline auditeerimisettevõte. Organisatsioonisisene hindamine võtab üle varasemate eelauditite ja vahekontrollide rolli, mitte põhiauditi.
- Kui tihti tuleks organisatsioonisisest hindamist teha?
- Määruse nr 30 § 9 nõuab selle tegemist regulaarselt, intervalli nimetamata. RIA rakendusjuhend, mis on soovituslik ja mitte siduv, ütleb: vähemalt kord aastas.
- Kes võib organisatsioonisisest hindamist teha?
- Organisatsioon ise või väline isik (§ 9 lg 2). Hindamine ei ole audit, seega ei pea seda tegema auditeerimisettevõte.
- Mis saab auditi järeldusotsusest?
- Määruse nr 121 § 4 lg 2 kohaselt saadetakse järeldusotsus RIA-le 30 päeva jooksul selle kättesaamisest. RIA sõnul saadate juhul, kui järeldusotsuses viidatakse kõrgetasemelistele riskidele, ka täieliku auditiaruande, kõrvaldate puudused kuue kuu jooksul ja teatate sellest.
Vajad infoturbe juhtimisel tuge?
InfoPol aitab infoturbe nõudeid ühes kohas hallata, täita ja nende täitmist tõendada.