Kes peab Eestis E-ITS-i rakendama: küberturvalisuse seaduse kohaldamisala, väikeorganisatsioonide erand, esmased turvameetmed, ISO 27001 ja vabatahtlik kasutus.
Autor: Klaus JõgiAvaldatud:
E-ITS on kohustuslik organisatsioonidele, kes kuuluvad Eesti küberturvalisuse seaduse (KüTS) alla seal loetletud teenuste osutajatena, välja arvatud juhul, kui nad on piisavalt väikesed, et rakendada selle asemel esmaseid turvameetmeid, või kui neil on kehtiv ISO/IEC 27001 sertifikaat; kõik teised võivad seda kasutada vabatahtlikult. See artikkel selgitab, kuidas välja selgitada, millisesse rühma te kuulute. Kõik õiguslikud väited viitavad esmasele või ametlikule allikale ja on loetud 8. novembril 2026. Tagajärgedega otsuse jaoks lugege määrust ennast või küsige RIA-lt.
Kohustusel on kaks kihti. Küberturvalisuse seadus määrab, kes on kohaldamisalasse kuuluv teenuse osutaja ja mida peab ta oma võrkude ja infosüsteemide turvamiseks tegema. Valitsuse määrus nr 121, "Võrgu- ja infosüsteemide küberturvalisuse nõuded", ütleb kuidas: millised organisatsioonid rakendavad E-ITS-i, millised võivad rakendada kergemat lahendust ning millised auditi- ja aruandluskohustused sellest tulenevad. Määruse konsolideeritud tekst on Riigi Teatajas (loetud 2026-11-08). Standard ise on eraldi ministri määrus, mida käsitleb meie 2026. aasta artikkel.
Määruse nr 121 § 3 kohaselt kehtib E-ITS süsteemidele, mis on seotud KüTS §-s 3 nimetatud sektoritega. Me ei esita siin sektorite täielikku loetelu, sest see on pikk ja seda on laiendatud pärast NIS2 muudatuste jõustumist 2026. aasta jaanuaris. RIA teatas, et ligikaudu 3000 ettevõttele lisandusid kohustuslikud nõuded, kokku 6500-le (RIA, 2. jaanuar 2026, loetud 2026-11-08). Täpse sektorite ja organisatsioonitüüpide loetelu leiate KüTS §-st 3 Riigi Teatajast; kontrollige seal oma sektorit.
Kuulumine loetletud sektorisse või olemine loetletud tüüpi avaliku sektori asutus on esimene test. Suurus on teine.
2.Väikeorganisatsioonide erand
Alates 1. oktoobrist 2025 on valitsus väiksemate organisatsioonide nõudeid leevendanud. RIA teate (loetud 2026-11-08) kohaselt kinnitati määrus 25. septembril 2025 ja järgmised ei pea enam E-ITS-i ega ISO/IEC 27001 täismahus rakendama:
mikro- ja väikeettevõtjad, kus on alla 50 töötaja ning kelle aastane käive või bilansimaht on kuni 10 miljonit eurot;
kohalike omavalitsuste hallatavad asutused, välja arvatud üldhariduskoolid;
riigimuuseumid;
kohaliku omavalitsuse üksuste liidud.
RIA sõnul mõjutab muudatus ligikaudu 1200 ettevõtet ja kohaliku omavalitsuse asutust. Määruses on see konsolideeritud tekstis § 3 lg 2^1 ja § 5^1.
Kaks hoiatust. Esiteks, suuruse test ühendab töötajate arvu rahalise piiriga (käive või bilansimaht), seega lugege täpset sõnastust ja seda, kuidas loetakse seotud ettevõtjaid. Teiseks, leevendus ei ole tingimusteta: RIA sõnul võivad süsteeme, mis vajavad erilist kaitset, käitavad organisatsioonid vajada siiski enamat kui esmased meetmed, ning üldhariduskoolid, mis on avaliku teabe seaduse alusel andmete vastutavad või volitatud töötlejad, vajavad endiselt välist E-ITS-i auditit (sama RIA leht). Organisatsioonid, mis juba järgivad E-ITS-i või ISO/IEC 27001, ei pea midagi muutma.
3.Esmased turvameetmed
Esmased meetmed on miinimumtase organisatsioonidele, kes kuuluvad ülaltoodud erandi alla. RIA kirjeldab neid selge ja saavutatava miinimumina, mis käsitleb selliseid ohte nagu andmepüük, andmevargus ja lunavara, ning rõhutab, et need ei asenda E-ITS-i. Loetelu on määruse nr 121 lisas ja RIA selgitab seda oma esmaste turvameetmete lehel (loetud 2026-11-08).
Praktikas tähendab see: erandi alla kuuluv organisatsioon ei käita täielikku juhtimissüsteemi, riskimetoodikat, kataloogi kaardistamist ega kolmeaastast auditit, mida E-ITS nõuab. Selle asemel rakendab ta loetletud meetmeid. Kui olukord muutub, näiteks kasv üle piirmäärade või süsteem, mis vajab erilist kaitset, võib ka vastus muutuda.
4.ISO/IEC 27001 alternatiivina
Teenuse osutaja, kes rakendab turvameetmeid ISO/IEC 27001 alusel, võib saata RIA-le kehtiva sertifikaadi ja siis E-ITS-i nõuded temale ei kehti (määrus nr 121 § 3). RIA lehel auditi ja ISO sertifikaadi teadete kohta (loetud 2026-11-08) on öeldud, et sertifikaat saadetakse RIA-le e-posti teel pildifailina. Sertifikaadi ulatus peab katma süsteemid, mis muidu kuuluksid E-ITS-i alla.
5.Vabatahtlik rakendamine
Kohustusest väljaspool olev organisatsioon võib E-ITS-i siiski rakendada. Tüüpilised põhjused on klient või partner, kes soovib tunnustatud Eesti standardit, soov üles ehitada infoturbetöö kataloogi ümber või valmistumine tulevaseks kohaldamisalasse jõudmiseks. Vabatahtlik rakendaja valib ise, kui kaugele minna: ainuüksi rakendamisest ei teki õiguslikku kohustust auditeerida ega RIA-le aru anda. RIA positsioneerib E-ITS-i peamiselt suuremate ja küpsemate organisatsioonide jaoks, seega võib väikeorganisatsioonile olla esmased meetmed parem algus.
6.Kas see kehtib minule? Kontrollnimekiri
Vastake selles järjekorras:
Kas te osutate KüTS §-s 3 loetletud teenust või olete kohaldamisalasse kuuluv avaliku sektori asutus? Kui ei, siis õiguslikku E-ITS-i kohustust ei ole. Võite seda siiski vabatahtlikult kasutada.
Kas teil on kehtiv ISO/IEC 27001 sertifikaat, mille ulatus katab süsteemid, ja kas olete selle RIA-le saatnud? Kui jah, siis E-ITS teile ei kehti.
Kas teil on alla 50 töötaja ning käive või bilansimaht kuni 10 miljonit eurot? Kui jah, rakendate esmaseid meetmeid, välja arvatud juhul, kui kehtib üks allolevatest erandidest.
Kas olete kohaliku omavalitsuse asutus (mitte üldhariduskool), riigimuuseum või kohalike omavalitsuste liit? Sama erand, samad esmased meetmed.
Kas käitate süsteemi, mis vajab erilist kaitset, või olete üldhariduskool, mis on andmete vastutav või volitatud töötleja? Kontrollige, kas nõutav on täielik E-ITS või väline audit.
Ikka ebakindel? Küsige RIA-lt, kes nõustab ettevõtteid ja asutusi nõuete osas.
7.Võrdlustabel
Organisatsiooni tüüp
Kohustus
Mida rakendada
KüTS § 3 sektoris tegutsev organisatsioon, kes ei ole vabastatud (näiteks 50 või enam töötajat või üle rahalise piiri)
Õiguslik kohustus
Täielik E-ITS, väline audit iga kolme aasta järel, auditi järeldus RIA-le 30 päeva jooksul
Kohaldamisalasse kuuluv organisatsioon, kellel on kehtiv ISO/IEC 27001 sertifikaat, saadetud RIA-le
Õiguslik kohustus täidetud sertifikaadiga
ISO/IEC 27001; E-ITS ei kehti
Kohaldamisalasse kuuluv mikro- või väikeettevõtja (alla 50 töötaja, käive või bilansimaht kuni 10 mln eurot)
Vabastatud täielikust E-ITS-ist
Esmased turvameetmed
Kohaliku omavalitsuse asutus (mitte üldhariduskool), riigimuuseum, kohalike omavalitsuste liit
Vabastatud täielikust E-ITS-ist
Esmased turvameetmed
Üldhariduskool, mis on andmete vastutav või volitatud töötleja
Ei ole vabastatud
Väline E-ITS-i audit (RIA andmetel)
KüTS-ist väljaspool olev organisatsioon
Õiguslikku kohustust ei ole
Vabatahtlik: E-ITS, ISO/IEC 27001 või esmased meetmed
Kolmeaastane audit ja 30-päevane tähtaeg tulenevad määruse nr 121 §-st 4, nagu kirjeldatud meie 2026. aasta artiklis. Erijuhtumite puhul kontrollige määruse kehtivat teksti.
8.Kus InfoPol sobib
InfoPol on vastavuse ja infoturbe juhtimise platvorm. Sellel on natiivsed raamistikud esmaste turvameetmete (E9) ja ISO/IEC 27001 jaoks ning see toetab E-ITS-i: rakendatavad E-ITS-i meetmed seadistate kontrollidena. Vt hinnad.
Ei. Kohustus tuleneb küberturvalisuse seadusest (KüTS) ja Vabariigi Valitsuse määrusest nr 121 ning kehtib organisatsioonidele seaduses loetletud sektorites ja rollides. Paljud ettevõtted jäävad sellest välja ning mõned kohaldamisalasse kuuluvad on suuruse tõttu täielikust standardist vabastatud.
Mu ettevõttes on 30 töötajat. Kas mul on E-ITS-i vaja?
Tõenäoliselt mitte täielikku standardit. Määruse nr 121 kohaselt rakendavad organisatsioonid, kus on alla 50 töötaja ning kelle käive või bilansimaht on kuni 10 miljonit eurot, selle asemel esmaseid turvameetmeid. Erandil on tingimused, seega kontrollige määruse teksti ja kahtluse korral küsige RIA-lt.
Kas ISO/IEC 27001 sertifikaat asendab E-ITS-i?
Kohustatud organisatsiooni jaoks võib kehtiv sobiva ulatusega ISO/IEC 27001 sertifikaat, mis on esitatud RIA-le, määruse nr 121 (§ 3) alusel asendada E-ITS-i. Sertifikaadi ulatus peab katma vaadeldavad süsteemid.
Kas ma võin E-ITS-i kasutada, kui ma ei ole kohustatud?
Jah. Miski ei takista organisatsioonil E-ITS-i vabatahtlikult rakendada, näiteks kui klient või partner seda ootab. Auditi korraldamise ja RIA-le aruandmise kohustus on ainult õiguslikult kohustatud organisatsioonidel.
Kas esmased turvameetmed on vabatahtlikud?
Määrusega hõlmatud väikeorganisatsioonidele on esmased meetmed miinimum, mida nad täieliku E-ITS-i asemel rakendavad. Need on alampiir ega asenda E-ITS-i.