E-ITS: Eesti infoturbestandard

E-ITS on infoturbestandard, mida Eesti organisatsioonid peavad rakendama küberturvalisuse seaduse (KüTS) alusel. Õiguslik ahel koosneb kolmest lülist:

1. Seadus. KüTS sätestab kohustuse ning määrab kindlaks sektorid ja üksused, keda see hõlmab.
2. Vabariigi Valitsuse määrus nr 121, "Võrgu- ja infosüsteemide küberturvalisuse nõuded". See kehtestab raamistiku: kes E-ITS-i rakendab, audit iga kolme aasta järel ning erandid. 1. oktoobrist 2026 kehtiv konsolideeritud tekst on Riigi Teatajas (loetud 2026-11-08).
3. Standard ise. 1. septembrist 2026 on selleks justiits- ja digiministri 25. augusti 2026 määrus nr 30 "Eesti infoturbestandard", avaldatud kui RT I, 29.08.2026, 1. See tunnistas kehtetuks varasema 16. detsembri 2022 määruse nr 101. RIA avaldab teksti ja kataloogi oma E-ITS-i portaalis.

RIA sõnul tugines E-ITS Saksa BSI IT-Grundschutz meetodile ja ISO/IEC 27001-le (RIA, E-ITS-i ülevaade, leht uuendatud 25. märtsil 2026) ning standardit uuendatakse igal sügisel. 2026. aasta väljaanne ei ole enam ametlikult kummagagi seotud.

Praktikas on E-ITS-il kaks osa: infoturbe juhtimissüsteem (juhtimine, riskihaldus, rollid, koolitus, organisatsioonisisene hindamine) ning moodulite kataloog meetmetega, mille seote oma vara ja protsessidega.

Kohaldamisala on sätestatud määruse nr 121 §-s 3. Lühidalt:

• See kehtib süsteemidele, mis on seotud KüTS § 3 lõigetes 2-5 nimetatud sektoritega.
• Kehtiv sobiva ulatusega ISO/IEC 27001 sertifikaat, mis on esitatud RIA-le, vabastab E-ITS-ist.
• Alates 1. oktoobrist 2025 ei kehti täielik kohustus organisatsioonidele, kus on alla 50 töötaja ning kelle käive või bilansimaht on kuni 10 miljonit eurot, ning teatud kohaliku omavalitsuse asutustele. Nemad rakendavad selle asemel määruse nr 121 lisas loetletud esmaseid turvameetmeid (§ 3 lg 2^1 ja § 5^1). RIA selgitab seda esmaste turvameetmete lehel.

Erandid on seotud tingimuste ja erisustega. Näiteks märgib RIA, et üldhariduskoolide suhtes kehtib endiselt E-ITS või ISO/IEC 27001. Täielik analüüs on artiklis kellele E-ITS kehtib; kontrollige oma organisatsiooni jaoks ka määruse kehtivat teksti. Kui olete ebakindel, küsige enne väljaehitamist RIA-lt või nõustajalt.

2026. aasta väljaanne jõustus 1. septembril 2026. RIA uudistelehe järgi on eesmärk vähendada halduskoormust ja suurendada organisatsiooni enda vastutust. Peamised muudatused:

Kolm praktilist järeldust:

• Samanimeline meede ei ole sama meede. RIA hoiatab, et meetme pealkiri võib 2024. ja 2026. aastal olla sama, kuid sisu erinev. Hinnake see uuesti; ärge kopeerige vana staatust.
• Riskihaldus määrab prioriteedid. Vara seote endiselt kataloogi moodulitega, kuid valite riski põhjal, milliseid meetmeid ja mis järjekorras rakendada. Meetme võib välja jätta või asendada ainult siis, kui kaitsetarve on kaetud või risk on aktsepteeritud (§ 7 lg 6), ning nende riskide aktsepteerimise üle otsustab juhtkond (§ 3 lg 2).
• Tarneahel on fookuses. Kui äriprotsess sõltub välisest osapoolest, hindate riske ning võite küsida selle osapoole auditijäreldusi, sertifikaate või enesehindamise tulemusi (§ 7 lg 8-9).

Üleminek: enne 1. septembrit 2026 rakendatud meetmed, mis uue määrusega vastuolus ei ole, kehtivad kuni rakendamise lõppemise või uuendamiseni ning enne seda kuupäeva koostatud dokumentatsioon kehtib kuni kolm aastat (§ 12). RIA soovitab leida oma audititsükli tähtajad ja minna üle 2026. aasta versioonile hiljemalt käimasoleva tsükli lõpuks. RIA on avaldanud ka 2024. aasta rakendusplaanide jaoks versioonimuunduri. Täielik ülevaade on artiklis E-ITS 2026: mis muutus.

Allolev järjekord järgib standardi ülesehitust. See on töö järjekord, mitte õiguslik menetlus.

1. Veenduge, et E-ITS kehtib teile. Kontrollige kohaldamisala, ISO/IEC 27001 võimalust ja väikeorganisatsioonide erandit (eelmine jaotis). Otsustage see esimesena, sest see muudab kõik järgneva.
2. Saage juhtkond kaasa. Juhtkond aktsepteerib rakendamata meetmete riskid, saab korrapäraseid ülevaateid riskidest, vahejuhtumitest ja plaani edenemisest (§ 3) ning määrab vastutajad. Ilma nimetatud omanikuta tipus jääb ülejäänu soiku.
3. Määratlege äriprotsessid ja kaardistage neid toetav vara: teave, süsteemid, ruumid, inimesed ja välised osapooled. Iga vara seotakse ühe või mitme kataloogi mooduliga.
4. Kehtestage riskihindamise metoodika. Määruse § 5 nõuab metoodikat, mis on seotud organisatsiooni üldise riskijuhtimisega. Hinnake protsesside ja vara riske ning dokumenteerige, kes millise riski aktsepteerib.
5. Valige meetmed ja koostage rakendusplaan. Võtke meetmed kataloogist (või tarnijate soovitustest või muust asjakohasest heast tavast), määrake igaühele omanik ja tähtaeg ning dokumenteerige, miks te meetme välja jätsite või asendasite. Meedet, mille rakendamine võtab üle aasta, tuleb käsitleda aktsepteeritud riskina (§ 7 lg 7).
6. Rakendage ja säilitage tõendid. Poliitikad, seadistused, logid, koolituse andmed, lepingud. Tõendid peaksid olema seotud meetmega, mida need toetavad, koos ülevaatuse kuupäevaga.
7. Koolitage inimesi. Töötajate koolitus on määrusest tulenev kohustus (§ 8).
8. Korraldage vahejuhtumite käsitlus. Teatage vahejuhtumitest CERT-EE-le ja õppige neist.
9. Hinnake organisatsioonisiseselt vähemalt kord aastas. Vt järgmist jaotist.
10. Tellige audit sõltumatult audiitorettevõttelt ja kõrvaldage puudused enne selle algust.
11. Hoidke see ajakohasena. Standard muutub igal sügisel, seega vaadake kataloog igal aastal üle ja uuendage oma plaani.

Seda osa kirjeldatakse kõige sagedamini valesti, seega olgem täpsed.

Organisatsioonisisene hindamine (§ 9, "Organisatsioonisisene hindamine") tähendab, et organisatsioon kontrollib korrapäraselt, kas ta on määratlenud oma protsessid, kaardistanud vara, tuvastanud välised nõuded, hinnanud riske, kaardistanud moodulid, koostanud plaani, rakendanud ja seirenud meetmeid graafiku järgi ning sulgenud varasemad tähelepanekud. Seda võib teha ka väline isik. Puudused tuleb kõrvaldada ja rakendamata meetmete riskid aktsepteerida auditi alguseks. RIA rakendusjuhend, mis on soovituslik ja mitte siduv, ütleb, et hindamine tuleks teha vähemalt kord aastas.

Väline audit on endiselt nõutav. Määruse nr 121 § 4 kohaselt peab kohustatud teenuse osutaja tagama E-ITS-i nõuetele vastavuse auditi iga kolme aasta järel ning saatma auditi järelduse RIA-le 30 päeva jooksul pärast selle kättesaamist. RIA juhend lisab, et auditi teeb organisatsioonist sõltumatu väline auditeerimisfirma.

Muutus puudutab vahepealset tsüklit. Varem sisaldas kolmeaastane tsükkel eelauditeid, vahekontrolle ja järelauditeid. Nüüd asendab organisatsiooni enda hindamine eelauditid ja vahekontrollid (soovi korral võite need säilitada). Järelauditi asemel saadate RIA-le järelduse kõrval ka täieliku auditiaruande, kui järeldus viitab kõrge taseme riskidele, kõrvaldate puudused kuue kuu jooksul ja annate sellest teada (vt RIA auditeerimise eeskirja).

Seega lühidalt: organisatsioonisisene hindamine asendab vahekontrollide töö, mitte auditit. Rohkem infot on artiklis organisatsioonisisene hindamine ja väline audit.

Meie leitud allikate järgi ei nõua miski kindlat tööriista. Realistlikke võimalusi on kolm:

• RIA tugirakendus aitab määrata äriprotsesside kaitsetarvet, koostada rakendusplaani ja sirvida meetmete kataloogi. Kasutamine ei ole kohustuslik. RIA kirjeldab seda kui sobivat tagasisideks ja loogika mõistmiseks, lõplike otsuste jaoks "veel mitte". RIA ei kirjelda selle puhul mitme kasutaja koostööd, tõendite lisamist ega muudatuste ajalugu, seega käsitlege seda planeerimisabina esimeste sammude jaoks.
• Arvutustabelid ja dokumendid ei maksa litsentsitasu ja sobivad väikese ulatuse ja ühe vastutaja korral. Nõrgad kohad on auditijälg, koostöö, tõendite sidumine ja ülevaatuse meeldetuletused ning kuluks on töötajate aeg.
• Spetsiaalne vastavustarkvara hoiab meetmeid, omanikke, tõendeid, riske, vara ja ülesandeid omavahel seotud kirjetena koos muudatuste ajalooga. See maksab tellimustasu ja seadistamise, ning tasub end ära, kui tööd teeb mitu inimest, audit läheneb või E-ITS on kõrvuti ISO 27001, NIS2 või GDPR-iga.

Levinud tee on etapiviisiline: koostage plaan RIA tööriistas, viige see süsteemi, mida tegelikult kasutate, ja minge arvutustabelitelt tarkvarale üle siis, kui valu väljendub tähtaegade ületamises või kadunud tõendites. Kõrvutav võrdlus on artiklis E-ITS-i tarkvara ja RIA tugirakendus.

2026. aasta kataloogis on tehisaru jaoks eraldi moodul SYS.5.15 "Tehisarusüsteem" (2024. aasta versioonis oli see APP.EE.2). See käsitleb tehisaru süsteemina, mida tuleb planeerida, riskide osas hinnata, omanikule määrata ja seirata. Meetmete hulgas: määratleda eesmärk ja ulatus ning hinnata, kas avalikke suuri keelemudeleid võib teie andmetega kasutada (M1); hinnata riski ja mõju (M3); määrata andmeomanik ja tootaomanik (M4); arvestada õigusaktidega, sh ELi tehisintellekti määrus ja GDPR (M5); kontrollida tarnijaid (M16); kaitsta konfidentsiaalseid andmeid (M17, M22).

Kaks praktilist märkust. Esiteks, E-ITS ei keela töötajatel avalikke tehisaru tööriistu kasutada, kuid eeldab, et otsustate kirjalikult, milliseid andmeid kuhu võib sisestada. Teiseks, assistent, mis saab teie süsteemides kirjeid muuta, on tegutseja, mitte vestlusaken: piirake see ühe nimetatud kasutaja õigustega, nõudke iga muudatuse kinnitamist inimese poolt ja pidage logi. Täielik käsitlus, sh ISO/IEC 42001 ja ELi tehisintellekti määrus, on artiklis E-ITS ja tehisintellekt.

• 2024. aasta staatuse kopeerimine 2026. aastasse. Sama pealkiri, võimalik et erinev sisu. Hinnake uuesti.
• Alustamine ilma ulatuse otsuseta. Meeskonnad ehitavad üles täieliku E-ITS-i programmi ja saavad siis teada, et nad oleksid kvalifitseerunud esmaste meetmete rakendajaks või et ISO 27001 sertifikaat oleks neid katnud. Või vastupidi.
• Organisatsioonisisese hindamise käsitlemine auditina. See ei ole audit. Väline audit iga kolme aasta järel jääb.
• Omanikuta meetmed. Meede ilma omanikuta on soov. Nimetage inimene ja kuupäev.
• Tõendite kogumine alles enne auditit. Tõendeid on lihtsam hoida jooksvalt kui hiljem taastada. Lisage need meetmele ja märkige ülevaatuse kuupäev.
• Selgitamata väljajätud. Kui jätate meetme välja või asendate selle, kirjutage miks ja dokumenteerige, kes riski aktsepteeris. Audiitor küsib.
• Tarneahela eiramine. Protsessid, mis sõltuvad tarnijast, vajavad riskihindamist ja võimalusel selle tarnija tõendeid.
• 2026. aastale ülemineku jätmine viimasele hetkele. Dokumentatsioon kehtib piiratud aja. Planeerige üleminek oma audititsükli järgi.
• Tehisaru tööriistade reeglita jätmine. Töötajad otsustavad ise, kuhu andmed lähevad, kui te ei kirjuta lühikest reeglit.

InfoPol on vastavuse ja infoturbe juhtimise platvorm riskide, protsesside, vara, tarnijate, kontrollide, dokumentide ja poliitikate, ülesannete, vahejuhtumite ning lugemiskinnitustega koolituse jaoks. Iga muudatus kirjutatakse rikkumiskindlasse auditilogisse. InfoPol toetab E-ITS-i: rakendatavad moodulid ja meetmed seadistate kontrollidena ning haldate neid koos oma riskide, vara ja dokumentidega. See sobib 2026. aasta lähenemisega, kus valite ja dokumenteerite meetmed ise. InfoPolil on natiivsed raamistikud ISO 27001 ja esmaste turvameetmete jaoks, mis aitab, kui kannate rohkem kui üht kohustust.

InfoPol võimaldab ka oma tehisaru assistendil töötada MCP-serveri kaudu, kusjuures iga kirjutamise kinnitab inimene; vt tehisaru InfoPolis. Paketid ja hinnad on hinnalehel. InfoPol ei korralda auditeid ega muuda teie organisatsiooni iseenesest nõuetele vastavaks: otsused, tõendid ja audit jäävad teie hooleks.