Kiriku 2/4, 15013 Tallinn. Tel +372 640 0700, www.riigikontroll.ee, [email protected], reg-nr 74000056.

Liisa-Ly Pakosta

Justiits- ja Digiministeerium

justiits- ja digiminister

Meie 31.08.2026 nr 2-1/80174/2

Märgukiri auditi „Riigiasutuste infotehnoloogia majutusteenused“ tulemuste kohta

Austatud justiits- ja digiminister

Riigikontroll viis 2026. aasta märtsist juunini läbi riigiasutuste infotehnoloogia majutusteenuste

auditi (nr 80174), mille eesmärk oli hinnata, kas riigiasutuste IT-majutusteenuste korraldus on

eesmärgistatud ja riskipõhine ning kas püstitatud eesmärgid saavutatakse. Auditi toimingute

läbiviimisel selgus, et IT-majutusteenuste korralduses on mitmeid olulisi probleeme ja püstitatud

eesmärkide täitmiseni tähtaegselt ei jõuta, mistõttu lõpetab Riigikontroll auditi märgukirjaga.

Auditi menetlustoimingute tulemusena leidis Riigikontroll infotehnoloogia majutusteenuse

korralduses järgmised puudused:

1. Kriitiliste infosüsteemide määratlemine ja käitlemine väljaspool Eestit ei ole edenenud

nagu eesmärgiks seatud.

1.1. Vabariigi Valitsuse tegevusprogrammi eesmärk – „2027. aasta I kvartaliks peavad

kriitilised andmekogud ja infosüsteemid olema käideldavad väljaspool Eestit“ – ei

ole saavutatav.

Seoses julgeoleku olukorraga püstitati eesmärk paigutada kriitilised andmekogud ja infosüsteemid

väljapoole Eestit. Kriitiliste andmekogude nimekirja arvatud 122 infosüsteemist on 2026. aasta

juuni seisuga 13 ehk umbes 11% käideldavad väljapool Eestit. Kolmes valitsemisalas 10-st

(Kaitseministeeriumi valitsemisala ei onud auditis vaatluse all) ei ole teada, kui palju on vaja raha

infosüsteemide majutamiseks välismaal. 18–20 infosüsteemis tuleb teha arendusi, et muuta need

pilvekõlblikuks. Samuti napib vajalike teadmistega IT-töötajaid, et täita eesmärk tähtajaks. Kahes

valitsemisalas ei ole aga veel väljapoole Eestit majutatavad infosüsteemid kindlaks määratud,

arutelud käivad, kuid puudub selge teadmine, milliseid süsteeme lisada.

Riigikontrolli soovitus justiits- ja digiministrile: selgitada koostöös valitsemisaladega välja

ressursid, mis on vajalikud püstitatud eesmärgi tähtaegseks saavutamiseks, ja koostada

tegelikkusele vastav tegevuskava koos rahastamisplaaniga. Kui püstitatud eesmärk ei ole

saavutatav, siis määrata olulisuse tasemest lähtudes andmekogud ja infosüsteemid, mille

käideldavus väljaspool Eestit on võimalik saavutada määratud tähtajaks.

- 2 -

1.2. Kriitiliste infosüsteemide väljaselgitamiseks puudub ühtne metoodika.

Ühtse metoodika puudumine tähendab, et eri ministeeriumites ja allasutustes saadakse mõistest

„kriitiline“ erinevalt aru ja seetõttu võidakse arvata loetellu infosüsteeme, mis seal ei peaks olema,

või loetelust võib jääda välja infosüsteeme, mis seal peaksid olema. See omakorda tähendab, et

mitte kõigile kriitilistele infosüsteemidele ei tagata käideldavust välismaal ja seetõttu ei saa need

kriisisituatsioonis toimida. Lisaks võib see tekitada põhjendamatuid kulusid ja suurendada

andmekaitsega seotud riske.

Soovitus: töötada välja ühtne metoodika, mida asutused saavad kasutada kriitiliste

infosüsteemide määramiseks.

1.3. Vabariigi kriitiliste infosüsteemide loetelus olevatele infosüsteemidele ei ole

nende omanikud määranud välismaalt toimimise teenustaseme ja toimepidevuse

nõudeid.

Teenustaseme ja toimepidevuse (nt infosüsteemi välismaal toimimise nõuded, käivitamise aja

nõuded, nõuded varundamisele, taastamisele ja testimisele) nõuete puudumisel eksisteerib risk, et

vajalikud infosüsteemid ei toimi kriisisituatsioonis. Samuti võidakse kulutada liigselt ressursse

selliste infosüsteemide teenustasemete ja toimepidevuse tagamiseks, mille teenustase võib olla

eeldatust madalam.

Riigikontrolli soovitus justiits- ja digiministrile: määrata koostöös infosüsteemide

omanikega kriitiliste infosüsteemide loetelus olevatele infosüsteemidele teenustaseme ja

toimepidevuse nõuded.

2. Justiits- ja Digiministeeriumil puudub keskne IT-majutusteenuste riskianalüüs ja

ohustsenaariumite kirjeldus.

Puudulik arusaam võimalikest ohustsenaariumitest (nt ühe andmekeskuse teenuste pikaajaline

katkestus, elektrivarustuse pikaajaline katkemine, andmesideühenduste katkemine, kommertspilve

teenuse või regiooni andmeside ühenduste ulatuslik katkestus, ulatuslik küberrünnak) ja nende

mõjudest võib kaasa tuua olukorra, kus kriitiliste infosüsteemide toimepidevus ei ole ulatuslike

häirete või kriiside korral tagatud ning riigil puudub terviklik ülevaade erinevate IT-

majutuslahendustega seotud riskidest. Samuti raskendab see riigi tasemel IT-majutusteenuste

korraldamisel prioriteetide seadmist, investeeringute kavandamist ja toimepidevuse meetmete

rakendamist.

Riigikontrolli soovitus justiits- ja digiministrile: kirjeldada riigi tasemel IT-majutusteenuste

ohustsenaariumid, koostada riskianalüüs (sh rakendatavad meetmed ja aktsepteerivad

riskid) ning kinnitada see ministeeriumi juhtkonna poolt.

3. IT-majades puuduvad erinevate IT-majutuslahenduste kohta kulude arvutused ja

teadmine nende lahenduste kogukulust.

Kui enne IT-majutuslahenduste kasutuselevõttu ei tehta eri lahenduste kulude arvutusi, siis võib

juhtuda, et välja ei valita kõige kulutõhusamat lahendust. Auditi käigus ütlesid mõned IT-majad (nt

RMIT, KeMIT), et nad hindavad eri IT-majutuslahenduste kulusid, kuid dokumenteeritud kujul

kuluarvutusi ükski IT-maja ei suutnud esitada.

- 3 -

Riigikontrolli soovitus justiits- ja digiministrile: kehtestada ministeeriumitele ja IT-

majadele nõue, et enne IT-majutuslahenduste kasutuselevõttu või enne olemasolevate

lahenduste olulist uuendamist tuleb analüüsida kulusid ja dokumenteerida see analüüs.

Vajaduse korral küsida IT-majutuslahenduste kulude arvutamisel abi riigi IT-keskusest.

4. Riigipilve teenuseid kasutatakse suhteliselt vähe ja enam selgust vajavad andmekogude

välismaale paigutamiseks pilvelahenduste valiku kriteeriumid.

4.1. Riigipilve teenuste kasutus on jätkuvalt suhteliselt madal.

Riigipilv loodi 2017. aastal ja selle loomise eesmärk oli koondada riigi IT-baastaristu keskse,

turvalise ja paindliku juhtimise, arendamise ja haldamise alla. Kuivõrd selle teenuste kasutus on

jätkuvalt suhteliselt vähene, ei ole saavutatud serveri baastaristu teenuste konsolideerimisest

loodetud baastaristu teenuste kõrgemat kvaliteeti ja kulude kokkuhoidu.

Riigikontrolli soovitus justiits- ja digiministrile: kui on seatud eesmärk konsolideerida

serveri baastaristu teenused, siis seada konkreetsed eesmärgid ja töötada välja vajalik

tegevuskava koos rahastamisplaaniga nende eesmärkide saavutamiseks.

4.2. Puuduvad kriteeriumid ja juhised, mille alusel asutused saaksid otsustada, millise

pilvelahenduse (andmesaatkond, Microsoft Azure, Amazon Web Services vm) nad

kasutusele võtavad.

Ühtsete kriteeriumite puudumisel tehakse pilvelahenduse valikuid ebaühtlaselt ja ebapiisava

analüüsi alusel, mis võib tuua kaasa täiendavad kulud, probleemid ühilduvuse ja turvalisusega. Ei

ole määratud, millistel juhtudel peaksid asutused eelistama riigipilve välismaa osa ning millistel

juhtudel kommertspilveteenuseid (MS Azure, AWS vm).

Riigikontrolli soovitus justiits- ja digiministrile: töötada välja ja kehtestada ühtsed

kriteeriumid ja juhised pilvelahenduste valikuks, et tagada otsuste läbipaistvus, lahenduste

turvalisus ning kulutõhusus.

Palume Teie kirjalikku vastust märgukirjas tehtud soovituste kohta hiljemalt 22. septembriks 2026.

Lugupidamisega

/allkirjastatud digitaalselt/

Ines Metsalu-Nurminen

peakontrolör

Toomas Viira

[email protected]