Arvamus



Liisa-Ly Pakosta
Justiits- ja digiminister
Justiits- ja digiministeerium Teie: 25.05.2026 nr 8-1/4143-1 Meie: 22.06.2026 nr 232-2B

Arvamuse avaldamine


Täname, et saatsite Eesti Haiglate Liidule kooskõlastamiseks ja arvamuse avaldamiseks justiits- ja digiministeeriumi määruse „Eesti Infoturbestandard” eelnõu.

Kavandatud muudatused on tervikuna põhjendatud ning avaldavad positiivset mõju infoturbe halduse protsesside korraldusele. Positiivse aspektina tuleb esile tõsta asjaolu, et infoturbe halduse süsteem on määruses selgesõnaliselt määratletud ning sellele on lisatud seletuskiri. Nimetatu suurendab õigusselgust ning aitab kaasa regulatsiooni üheselt mõistetavale kohaldamisele, parandades seeläbi ka läbipaistvust ja arusaadavust.

Samas esineb eelnõu tekstis mitmeid ebakõlasid ning täpsustamist vajavaid asjaolusid, mis mõjutavad infoturbe halduse süsteemi rakendamist. Esitame alljärgnevalt vastavad märkused ja ettepanekud.

1. Eelnõu § 3 lg 2 sätestab kohustuse määrata infoturbe halduse süsteemis rollid (hankejuht, infoturbejuht, äriüksuse juht ja kasutaja). Selline rollipõhine lähenemine vajab meie hinnangul ümbervaatamist. Kuigi see lähenemine on sarnane ISO/IEC 27001 standardis kasutatavale praktikale, ei ole Eesti õigusloomes tavapärane sätestada organisatsioonisiseseid rolle normatiivse kohustusena. Määruse tsasandil tuleks sõnastada asutuse kohustused ja vastutused infoturbe halduse süsteemi toimimise tagamiseks. Sellise detailsusastmega rollide lahti kirjeldamine tekitab praktikas märkimisväärseid probleeme, kuna need rollid on asutustes juba laiemalt või kitsamalt defineeritud ja juhul, kui ei ole juba defineeritud, siis määruse praegune sõnastus seab rollidele liiga suured piirangud. Teeme ettepaneku eemaldada paragrahv 3 lõige 2 sellises sõnastuses, sest asutusesisesed rollid võivad olla praktikas väga erinevad. Teeme ettepaneku § 3 lõige 2 ümber sõnastada selliselt, et selles sätestataks asutuse kohustused ja vastutused, mitte konkreetsed organisatsioonisisesed rollid. Rollimõistet võiks kasutada üksnes kirjeldavas tähenduses.

2. Eelnõu § 3 lg 2 sätestab rollina hankejuhi. Praktikas on hankejuht sageli eraldiseisev ametikoht ning organisatsioonides kasutatakse paralleelselt ka muid nimetusi (nt hankespetsialist, hankejurist), mistõttu võib selline regulatsioon tekitada ebaselgust.
Ettepanek: täpsustada sätte sõnastust selliselt, et välistada vastuolud organisatsioonides kehtivate ametikohtade süsteemiga ning sätestada kohustus rakendada infoturbe meetmeid hangete läbiviimisel asutuse hankekorra alusel, mitte rollipõhiselt.
3. Eelnõu § 3 lg 2 sätestab rollina kasutaja. Ettevõtluspraktikas ei käsitleta kasutajat iseseisva juhtimisfunktsioonina ning vastava rolli kehtestamine ei ole otstarbekas, kuna see hõlmab sisuliselt kõiki organisatsiooni töötajaid.
Ettepanek: eemaldada § 3 lg 2-st kasutaja roll.

4. Eelnõu § 3 lg 2 sätestab rollidena infoturbejuhi ja äriüksuse juhi. Infoturbejuhi roll on eelnõu kohaselt kirjeldatud pigem nõustavana, samas kui äriüksuse juhile on omistatud ülesanded (nt kaitsemeetmete määramine ja rakendamise seire), mis kuuluvad oma olemuselt infoturbejuhi ning juhtorgani pädevusse tulenevalt küberturvalisuse seaduse § 6¹ lg-st 1.
Ettepanek: täpsustada sätte sõnastust selliselt, et infoturbejuhi ja äriüksuse juhi ülesanded oleksid selgelt eristatavad ning kooskõlas küberturvalisuse seaduse § 6¹ lg-ga 1.

5. Eelnõu § 4 lg 2 p 4 kohaselt on kogu juhatusele pandud vastutus aktsepteerida riske meetmete rakendamata jätmise korral. Nimetatud säte on vastuolus küberturvalisuse seaduse § 6¹ lg-ga 1, mille kohaselt on vastav kohustus määratud ühele juhatuse liikmele.
Ettepanek: viia § 4 lg 2 p 4 kooskõlla küberturvalisuse seaduse § 6¹ lg-ga 1.

6. Eelnõu § 6 lg 1 („Riskihaldusmetoodika kasutuselevõtmise eeldus on organisatsiooni varade arvelevõtmine ja nende kaitseala kindlaksmääramine“) on esitatud kirjeldavas vormis ega vasta normitehnilistele nõuetele, kuna ei kehtesta otsest kohustust.
Ettepanek: sõnastada § 6 lg 1 järgmiselt: „Organisatsioon peab võtma arvele varad ning määrama kindlaks kaitseala.“

7. Auditeerimiseeskirja peatüki 2 „Auditi üldine korraldus“ punkt 2.4 sisaldab sõnastust: „Kaugtöötunnid ei tohi ületada 30% audititööks kavandatud tundide koguarvust. Erandiks on auditeeritav, kes kasutab ainult virtuaalseid töökohti.“ Nimetatud piirang ei ole praktikas põhjendatud, kuivõrd see piirab auditeerimistoimingute, sealhulgas intervjuude läbiviimist kaugtöövahendite abil. Arvestades asjaolu, et auditeeritavad asutused (sh haiglad) paiknevad geograafiliselt üle Eesti ning auditeerivad ettevõtted asuvad valdavalt Tallinnas, toob nimetatud piirang kaasa põhjendamatult suure ajakulu ning märkimisväärse täiendava rahalise koormuse seoses transpordi- ja majutuskuludega. Sellest tulenevalt ei ole kehtestatud piirang proportsionaalne ega eesmärgipärane.
Ettepanek: muuta punkti 2.4 sõnastust selliselt, et kaugtöö piirang ei hõlmaks auditi intervjuude läbiviimist virtuaalkoosolekute vormis.

Täname veel kord võimaluse eest anda tagasisidet Eesti infoturbestandardile ja palume esitatud ettepanekuid eelnõu edasises menetluses arvesse võtta.


Lugupidamisega

/allkirjastatud digitaalselt/

Urmas Sule
Juhatuse esimees



Liisa-Ly Pakosta
Justiits- ja digiminister
Justiits- ja digiministeerium Teie: 25.05.2026 nr 8-1/4143-1 Meie: 22.06.2026 nr 232-2B

Arvamuse avaldamine


Täname, et saatsite Eesti Haiglate Liidule kooskõlastamiseks ja arvamuse avaldamiseks justiits- ja digiministeeriumi määruse „Eesti Infoturbestandard” eelnõu.

Kavandatud muudatused on tervikuna põhjendatud ning avaldavad positiivset mõju infoturbe halduse protsesside korraldusele. Positiivse aspektina tuleb esile tõsta asjaolu, et infoturbe halduse süsteem on määruses selgesõnaliselt määratletud ning sellele on lisatud seletuskiri. Nimetatu suurendab õigusselgust ning aitab kaasa regulatsiooni üheselt mõistetavale kohaldamisele, parandades seeläbi ka läbipaistvust ja arusaadavust.

Samas esineb eelnõu tekstis mitmeid ebakõlasid ning täpsustamist vajavaid asjaolusid, mis mõjutavad infoturbe halduse süsteemi rakendamist. Esitame alljärgnevalt vastavad märkused ja ettepanekud.

1. Eelnõu § 3 lg 2 sätestab kohustuse määrata infoturbe halduse süsteemis rollid (hankejuht, infoturbejuht, äriüksuse juht ja kasutaja). Selline rollipõhine lähenemine vajab meie hinnangul ümbervaatamist. Kuigi see lähenemine on sarnane ISO/IEC 27001 standardis kasutatavale praktikale, ei ole Eesti õigusloomes tavapärane sätestada organisatsioonisiseseid rolle normatiivse kohustusena. Määruse tsasandil tuleks sõnastada asutuse kohustused ja vastutused infoturbe halduse süsteemi toimimise tagamiseks. Sellise detailsusastmega rollide lahti kirjeldamine tekitab praktikas märkimisväärseid probleeme, kuna need rollid on asutustes juba laiemalt või kitsamalt defineeritud ja juhul, kui ei ole juba defineeritud, siis määruse praegune sõnastus seab rollidele liiga suured piirangud. Teeme ettepaneku eemaldada paragrahv 3 lõige 2 sellises sõnastuses, sest asutusesisesed rollid võivad olla praktikas väga erinevad. Teeme ettepaneku § 3 lõige 2 ümber sõnastada selliselt, et selles sätestataks asutuse kohustused ja vastutused, mitte konkreetsed organisatsioonisisesed rollid. Rollimõistet võiks kasutada üksnes kirjeldavas tähenduses.

2. Eelnõu § 3 lg 2 sätestab rollina hankejuhi. Praktikas on hankejuht sageli eraldiseisev ametikoht ning organisatsioonides kasutatakse paralleelselt ka muid nimetusi (nt hankespetsialist, hankejurist), mistõttu võib selline regulatsioon tekitada ebaselgust.
Ettepanek: täpsustada sätte sõnastust selliselt, et välistada vastuolud organisatsioonides kehtivate ametikohtade süsteemiga ning sätestada kohustus rakendada infoturbe meetmeid hangete läbiviimisel asutuse hankekorra alusel, mitte rollipõhiselt.
3. Eelnõu § 3 lg 2 sätestab rollina kasutaja. Ettevõtluspraktikas ei käsitleta kasutajat iseseisva juhtimisfunktsioonina ning vastava rolli kehtestamine ei ole otstarbekas, kuna see hõlmab sisuliselt kõiki organisatsiooni töötajaid.
Ettepanek: eemaldada § 3 lg 2-st kasutaja roll.

4. Eelnõu § 3 lg 2 sätestab rollidena infoturbejuhi ja äriüksuse juhi. Infoturbejuhi roll on eelnõu kohaselt kirjeldatud pigem nõustavana, samas kui äriüksuse juhile on omistatud ülesanded (nt kaitsemeetmete määramine ja rakendamise seire), mis kuuluvad oma olemuselt infoturbejuhi ning juhtorgani pädevusse tulenevalt küberturvalisuse seaduse § 6¹ lg-st 1.
Ettepanek: täpsustada sätte sõnastust selliselt, et infoturbejuhi ja äriüksuse juhi ülesanded oleksid selgelt eristatavad ning kooskõlas küberturvalisuse seaduse § 6¹ lg-ga 1.

5. Eelnõu § 4 lg 2 p 4 kohaselt on kogu juhatusele pandud vastutus aktsepteerida riske meetmete rakendamata jätmise korral. Nimetatud säte on vastuolus küberturvalisuse seaduse § 6¹ lg-ga 1, mille kohaselt on vastav kohustus määratud ühele juhatuse liikmele.
Ettepanek: viia § 4 lg 2 p 4 kooskõlla küberturvalisuse seaduse § 6¹ lg-ga 1.

6. Eelnõu § 6 lg 1 („Riskihaldusmetoodika kasutuselevõtmise eeldus on organisatsiooni varade arvelevõtmine ja nende kaitseala kindlaksmääramine“) on esitatud kirjeldavas vormis ega vasta normitehnilistele nõuetele, kuna ei kehtesta otsest kohustust.
Ettepanek: sõnastada § 6 lg 1 järgmiselt: „Organisatsioon peab võtma arvele varad ning määrama kindlaks kaitseala.“

7. Auditeerimiseeskirja peatüki 2 „Auditi üldine korraldus“ punkt 2.4 sisaldab sõnastust: „Kaugtöötunnid ei tohi ületada 30% audititööks kavandatud tundide koguarvust. Erandiks on auditeeritav, kes kasutab ainult virtuaalseid töökohti.“ Nimetatud piirang ei ole praktikas põhjendatud, kuivõrd see piirab auditeerimistoimingute, sealhulgas intervjuude läbiviimist kaugtöövahendite abil. Arvestades asjaolu, et auditeeritavad asutused (sh haiglad) paiknevad geograafiliselt üle Eesti ning auditeerivad ettevõtted asuvad valdavalt Tallinnas, toob nimetatud piirang kaasa põhjendamatult suure ajakulu ning märkimisväärse täiendava rahalise koormuse seoses transpordi- ja majutuskuludega. Sellest tulenevalt ei ole kehtestatud piirang proportsionaalne ega eesmärgipärane.
Ettepanek: muuta punkti 2.4 sõnastust selliselt, et kaugtöö piirang ei hõlmaks auditi intervjuude läbiviimist virtuaalkoosolekute vormis.

Täname veel kord võimaluse eest anda tagasisidet Eesti infoturbestandardile ja palume esitatud ettepanekuid eelnõu edasises menetluses arvesse võtta.


Lugupidamisega

/allkirjastatud digitaalselt/

Urmas Sule
Juhatuse esimees