1

HANKELEPING Nr 3-6/2025-368 Konkurentsiamet, registrikoodiga 70000303, asukohaga Tatari 39, 10134 Tallinn, keda esindab

põhimääruse alusel peadirektor Evelin Pärn-Lee (edaspidi Tellija),

ja

KPMG Baltics OÜ, registrikoodiga 10096082, asukohaga Ahtri tn 4, 10151 Tallinn, keda esindab

volituse alusel Mihkel Kukk, KPMG Baltics OÜ küberteenuste ja IT auditi juht (edaspidi Täitja), keda

koos nimetatakse Pooled ja eraldi nimetatakse Pool, sõlmisid käesoleva hankelepingu (edaspidi

Leping) alljärgnevas:

1. Lepingu objekt

1.1 Kooskõlas riigihanke „E-ITS rakendamise auditeerimisteenus Justiits- ja Digiministeeriumi

haldusalas“ (viitenumber 291334) tulemusel sõlmitud raamlepinguga nr 2/34-25 teostab Täitja

ühe E-ITS audititsükli ning vajadusel tellitavad lisatööd, vastavalt Lepingus ja nimetatu lisades

toodud nõuetele (edaspidi nimetatud Töö).

1.2 Pooled kinnitavad, et teevad kõik enesest oleneva, et täita Lepingu eesmärgid käesolevas

lepingus ja seonduvates õigusaktides sätestatud tingimustel ja mahus.

2. Lepingu dokumendid

2.1 Lepingu dokumendid koosnevad Lepingu tekstist, Lepingu lisadest, mis on lisatud Lepingu

allkirjastamisel ja lisadest, millistes võidakse kokku leppida pärast Lepingu allkirjastamist.

2.2 Lepingu allkirjastamisel on Lepingule lisatud järgmised lisad:

2.2.1 Lisa nr 1 Tehniline kirjeldus;

2.2.2 Lisa nr 2 Pakkumus.

3. Lepingu hind ja maksmine

3.1 Lepingu hind moodustub Lepingu alusel teostatud Töö hinnast.

3.2 Auditeerimistsükli läbiviimise hind on kokku 25 200 eurot (netosumma), mis sisaldab kõiki

E-ITS auditeerimistsükli läbiviimisega seotud kulusid ning mille sisse kuulub eelaudit,

põhiaudit ja kaks vaheauditit.

Auditite maksumused

Eelaudit 2025 maksumus 4 760 €

Põhiaudit 2025 maksumus 12 040 €

Vaheaudit 2026 maksumus 4 200 €

Vaheaudit 2027 maksumus 4 200 €

KOKKU 3-aastase auditi tsükli maksumus 25 200 €

2

3.3 Lisatööde tunnihind on 70 eurot (netosumma), mille alusel toimub E-ITS järelauditi, täiendavate

E- ITS vaheauditite ning auditi käsitlusala olulisest muutumisest tingitud lisatööde teostamine.

Käesolevas punktis loetletud lisatööde tellimine toimub E-ITS auditeerimisjuhendis sätestatud

alustel kirjalikku taasesitamist võimaldavas vormis Tellija kontaktisikult Täitja kontaktisikule. Täitja

alustab lisatöö teostamist hiljemalt 2 kuud pärast tellimuse edastamist, kui Pooled ei ole kokku

leppinud mõnda muud tähtaega.

3.4 Lepingu hinnas märgitud summad sisaldavad Täitja poolt Lepingu raames tehtavaid kõiki kulutusi

ja tasu autoriõiguste eest. Lepingu hinnale lisandub käibemaks.

3.5 Töö eest tasumine toimub etapiviisiliselt pärast iga Töö etapi vastuvõtmist. Töö etapiline jaotus on

toodud Lepingu punktis 7.1.

3.6 Täitja esitab Tellijale e-arve masinloetaval kujul pärast Töö etapi vastuvõtmise akti allkirjastamist

Tellija poolt.

3.7 Tellija tasub Täitja poolt esitatud arve arvel märgitud kuupäevaks. Maksetähtaeg ei tohi olla lühem

kui 30 (kolmkümmend) kalendripäeva.

3.8 E-arve peab sisaldama vähemalt alljärgnevaid andmeid:

3.8.1 info e-arve esitaja kohta;

3.8.2 info maksja kohta;

3.8.3 hankelepingu number;

3.8.4 käibemaksukohustuslase number;

3.8.5 vastuvõetud Töö nimetus ja kirjeldus;

3.8.6 käibemaks;

3.8.7 kogusumma.

3.9 Ettemakseid Tellija ei teosta.

3.10 Tellija poolt makstud mistahes summa, mis ületab Täitjale Lepingus ettenähtu, maksab Täitja

Tellijale tagasi 30 kalendripäeva jooksul pärast vastava teate saamist.

3.11 Lepingujärgse hinna tasumisega viivitamisel on Täitjal õigus nõuda Tellijalt viivist iga

maksmisega viivitatud kalendripäeva eest 0,15 (null koma viisteist) % maksmata summast

kalendripäevas.

4. Meeskond

4.1 Lepingus kirjeldatud Tööd teostavad Lepingu p-s 8.2 nimetatud ja Lepingus ning nimetatu lisades

toodud nõuetele vastavad isikud. Muudatusi tohib teha vaid Tellija kirjalikul nõusolekul.

4.2 Täitja asendab meeskonnaliikme viivitamatult Lepingu objekti täitmise seisukohast võrdväärse

kvalifikatsiooni ja kogemustega ning Tellijale vastuvõetava isikuga, kui:

4.2.1 isik ei ole võimeline teenuste osutamist jätkama haiguse, õnnetusjuhtumi või muu

temast tuleneva põhjuse tõttu;

4.2.2 juhtaudiitorile väljastatud ISACA poolt väljaantud infosüsteemide sertifitseeritud audiitori

CISA sertifikaat, IRCA poolt väljaantud ISO 27001 juhtiva audiitori sertifikaat või PECB

poolt väljaantud ISO 27001 juhtiva audiitori sertifikaat kaotab kehtivuse;

4.2.3 Lepingus nimetatud isik osutub Tellija põhjendatud arvamuse kohaselt lepingujärgsete

ülesannete täitmiseks ebakompetentseks või ebasobivaks või kui tema lepingujärgsete

3

ülesannete täitmine kahjustab pidevalt Lepingu korrektset ja õigeaegset täitmist.

4.3 Täitja kannab kõik punktis 4.2 nimetatud asendusest tulenevad või sellega kaasnevad kulud.

4.4 Täitja poolt Lepingu täitmiseks esitatud isikud ei tohi olla Tellija töötajad ning ei tohi olla osalenud

Tellija infoturbe halduse süsteemi kavandamises või rakendamises, sh Tellija konsulteerimises

auditeeritavas valdkonnas, auditi alguskuupäevale eelneva kolme aasta jooksul.

5. Tellija õigused ja kohustused

5.1 Tellijal on õigus kontrollida Täitja poolt esitatud Töö kvaliteeti. Puuduste ilmnemisel Töös on

Tellijal õigus nõuda Täitjalt puuduste kõrvaldamist.

5.2 Tellija on kohustatud vastu võtma Täitja poolt nõuetekohaselt teostatud lepingujärgsed Tööd.

5.3 Tellija kohustub tasuma Töö eest esitatud e-arve õigeaegselt.

5.4 Tellija kohustub esitama Täitjale kõik temal olemasolevad Töö teostamiseks vajalikud materjalid,

mis aitaksid Täitjal saavutada täpsemat, paremat ja kvaliteetsemat lõpptulemust.

5.5 Tööde teostamisel Tellija ruumides on Tellija kohustatud tutvustama töid teostavatele isikutele

Tellija töösisekorraeeskirja jm asutusesiseseid kordasid.

5.6 Tellija loob E-ITS auditi läbiviimiseks vajalikud eeldused ja vajadusel kõrvaldab tuvastatud

puudused omal kulul.

6. Täitja õigused ja kohustused

6.1 Täitja on kohustatud teostama kokkulepitud Töö, sh hankima kogu vajaliku tööjõu ja

töövahendid, et saavutada kokkulepitud tulemus.

6.2 Täitja on kohustatud teostama Töö Tellija jaoks võimalikult parimal viisil valdkonnas kehtivate

parimate praktikate ja kogemuste kohaselt Lepingus ja nimetatu lisades kindlaksmääratud

tähtaegadel, hindade ja kvaliteediga ning kooskõlas Lepingu teiste tingimustega ning andma

need Tellijale üle kokkulepitud ajal ja korras.

6.3 Puuduste ilmnemisel Töös on Täitja kohustatud puudused kõrvaldama 10 tööpäeva jooksul, kui

pooled ei ole kokku leppinud mõnda muud tähtaega.

6.4 Täitja garanteerib Tellijale kõigi Tellija poolt esitatud andmete ja materjalide konfidentsiaalsuse

ja tagastab Tellijale vajalikud materjalid pärast Töö valmimist.

6.5 Täitjal on õigus saada Tellijalt Lepingu alusel Tööde teostamise eest tasu vastavalt Lepingus

sätestatud tingimustele ja korrale.

7. Töö üleandmine ja vastuvõtmine

7.1 Tööde üleandmine toimub neljas etapis: (1) eelauditi teostamise järgselt, (2) põhiauditi

teostamise järgselt, (3) esimese vaheauditi teostamise järgselt ning (4) teise vaheauditi

teostamise järgselt. Lepingu punktis 3.3 loetletud lisatööde üleandmine toimub lisatöö valmimise

järgselt.

7.2 Töö etapi valmimise järgselt esitab Täitja selle üleandmise aktiga Tellijale vastuvõtmiseks.

Tellijal on 10 tööpäeva aega kontrollida vastuvõtmiseks esitatud Töö lepingutingimustele

vastavust.

7.3 Töö üleandmine Tellijale ei ole käsitatav selle vastuvõtmisena Tellija poolt.

4

7.4 Juhul, kui Tellija leiab, et Töö ei vasta lepingu tingimustele, on Tellija kohustatud teavitama

Täitjat Töös avastatud puudustest, keeldumisest Tööd enne puuduste kõrvaldamist vastu võtta

ja kirjeldama Töö puudused. Täitja on kohustatud puudused kõrvaldama 10 tööpäeva jooksul,

kui pooled ei ole kokku leppinud mõnda muud tähtaega. Puuduste kõrvaldamise kulud kannab

Täitja.

7.5 Puudustega üle antud Tööd ei loeta tähtaegselt üleantuks ning Tellijal on õigus nõuda sellise

lepingurikkumise korral Täitjalt leppetrahvi lepingus sätestatud korras ja määrades.

7.6 Juhul, kui Tellijal puuduvad vastuvõtmiseks esitatud Töö osas pretensioonid, allkirjastab ta Töö

vastuvõtmise akti.

7.7 Juhul, kui Tellija on esitanud puuduste kõrvaldamise nõude audiitori hinnangu või

järeldusotsuste kohta (edaspidi protest) ning Täitja sellega ei nõustu, lisab Täitja E-ITS auditi

aruande juurde protesti ja selle mitteaktsepteerimise põhjenduse. Tellija on kohustatud sellisel

juhul Töö vastu võtma.

8. Kontaktisikud ja meeskond

8.1 Tellija kontaktandmed on:

8.1.1 Tellija esindaja vastuvõtmise aktide, teadete jms lepinguga seonduvate dokumentide

allkirjastamisel on Siiri Viilipus, koostöö ja tugiteenuste teenistuse juht (tel: 667 253,

e-post: [email protected]) või tema ametlik asendaja.

8.1.2 Tellija kontaktisik Töö teostamise juhendamisel ning Täitjale vajaliku lähteinformatsiooni

ja tööülesannete täpsustamisel jmt. Siiri Viilipus, koostöö ja tugiteenuste

teenistuse juht (tel: 667 253, e-post: [email protected]) või tema

ametlik asendaja.

8.2 Täitja kontaktandmed on:

8.2.1 Täitja esindaja on Ivar Anton, (tel: +372 555 37363; e-post:[email protected]).

8.2.2 Täitja kontaktisik ja juhtaudiitor on Mihkel Sinisalu (tel: 626 8700; e-post: [email protected]).

8.2.2.1 Tööd teostavad järgmised isikud:

Taavi Toppi, E-ITSA audiitor

Ivar Anton, E-ITS audiitor

Vitali Jekimtsev, E- ITS audiitor

Silver Vainola, tehniline ekspert

Risto Jürisson, tehniline ekspert

Kadri Koit, tehniline ekspert

8.3 Pooltel on õigus vahetada oma kontaktisikut, teavitades sellest teist poolt kirjalikku

taasesitamist võimaldavas vormis. Taoline muudatus ei mõjuta mingil juhul töökirjelduses

eelnevalt kokkulepitut ega avalda mingit mõju Lepingu kehtivusele.

9. Kolmandad isikud

9.1 Täitja ei või oma lepingujärgseid kohustusi anda üle kolmandale isikule ega kaasata oma

lepingujärgsete kohustuste täitmiseks kolmandat isikut ilma Tellija sellekohase selgesõnalise

5

kirjaliku nõusolekuta.

9.2 Pooled võivad loovutada Lepingust tulenevaid rahalisi nõudeid kolmandatele isikutele. Pooled

on kohustatud teineteist nõude loovutamisest viivitamatult kirjalikult informeerima.

9.3 Pooled vastutavad kõigi isikute eest, keda nad kasutavad oma lepingujärgsete kohustuste

täitmisel.

10. Avalikud suhted

10.1 Täitja ei tegele seoses Lepinguga avalike suhetega ega anna teateid pressile, elektroonilisele

meediale, üldsusele või teistele auditooriumidele, välja arvatud Tellija eelneval kirjalikul

nõusolekul. Avaldada võib vaid teateid, mis on Tellijaga eelnevalt kooskõlastatud.

10.2 Kõik eelnimetatud kohustused kehtestab Täitja ka kõigile kolmandatele isikutele, keda ta

kasutab oma lepingujärgsete kohustuste täitmisel.

11. Poolte õiguskaitsevahendid

11.1 Lepingu see peatükk fikseerib Lepingu olulised rikkumised, menetluse rikkumisest teatamisel

ning Poolte vastutuse. See peatükk ei välista ega piira Poole õigust kasutada muude Lepingu

rikkumiste korral muid õigusaktidest tulenevaid õiguskaitsevahendeid, samuti kasutada

täiendavaid õiguskaitsevahendeid lisaks selles peatükis kokkulepitule.

11.2 Lepingust või seadusest tuleneva õiguse või õiguskaitsevahendi mittekasutamine või selle

kasutamisega viivitamine ei tähenda nimetatud õigusest või õiguskaitsevahendist või muudest

õigustest või õiguskaitsevahenditest loobumist. Lepinguga seotud mis tahes loobumised on

kehtivad ainult siis, kui need on selgesõnaliselt ja kirjalikult väljendatud.

11.3 Pooled vastutavad Lepinguga võetud kohustuste täitmata jätmise või mittekohase täitmise eest

Eesti Vabariigi õigusaktides ning Lepingus ettenähtud korras.

11.4 Oluliseks lepingurikkumiseks loetakse muu hulgas järgmisi rikkumisi:

11.4.1 kui Pool ei täida mis tahes Lepingust tulenevat kohustust teise Poole poolt Lepingust

tuleneva vastava kohustuse täitmiseks antud täiendava tähtaja jooksul;

11.4.2 Täitja rikkus kohustust tahtlikult või raske hooletuse tõttu;

11.4.3 Täitja rikub Meeskonnaga seonduvaid tingimusi;

11.4.4 Poolel või tema poolt kaasatud kolmandal isikul puuduvad Lepingu täitmiseks vajalikud

õigused (sealhulgas load, litsentsid, intellektuaalse omandi õigused);

11.4.5 Täitja suhtes on algatatud pankrotimenetlus, pankrot on välja kuulutatud, Täitja varad

arestitakse või Täitja finantsseisund halveneb Tellija põhjendatud hinnangul oluliselt ja

see halvenemine muudab vähetõenäoliseks Lepingu nõuetekohase täitmise;

11.4.6 Pool on rikkunud Intellektuaalse omandi õigusi ja nende kasutamise tingimusi;

11.4.7 Pool on rikkunud konfidentsiaalsus- ja/või isikuandmete töötlemisega seonduvat

kohustust;

11.4.8 Pool on rikkunud avalikustamise keelu kohustust;

11.4.9 Pool on rikkunud kolmandate isikutega seonduvaid kohustusi;

11.4.10 Tellija on viivituses Lepingus kokku lepitud maksetähtajaga rohkem kui kolmkümmend

(30) kalendripäeva;

11.5 Poolel on õigus nõuda Lepingu olulise rikkumise korral leppetrahvi tasumist kuni 30% Lepingu

maksimaalsest maksumusest iga vastava juhtumi korral. Juhul, kui leppetrahvi nõue on seotud

6

Töö etapi puuduliku teostamisega ja puudus ei sea ohtu Töö kui terviku nõuetekohast teostamist,

ei tohi leppetrahvi nõue ületada 30% teostatud või töös oleva etapi maksumusest.

11.6 Pool peab teavitama teist Poolt leppetrahvi nõudest mõistliku aja jooksul arvates ajast, mil ta sai

teada leppetrahvi nõudmise õiguse tekkimisest. Leppetrahvi nõude esitamisel on Pool

kohustatud märkima mõistliku tähtaja leppetrahvi tasumiseks, tähtaeg ei tohi olla lühem kui 30

kalendripäeva. Pool on kohustatud leppetrahvi tasuma nõudes märgitud tähtaja jooksul. Kui

Poole hinnangul on leppetrahvi nõue alusetu, on Pool kohustatud esitama oma vastuväited enne

leppetrahvi tasumise tähtaega. Leppetrahvi nõudmine ei mõjuta Poole õigust nõuda Poolelt

nõuetekohase Töö või selle osa teostamist ning kahju hüvitamist või kasutada muid seadusest

tulenevaid õiguskaitsevahendeid.

11.7 Lisaks leppetrahvi nõudele ja / või leppetrahvi asemel on Tellijal õigus nõuda Täitjalt Lepingu

mittenõuetekohasel täitmisel, et:

11.7.1 Täitja kõrvaldaks puudused;

11.7.2 oluliste puuduste, samuti puuduste kõrvaldamise ebaõnnestumise korral nõuda, et

Täitja teeks uue Töö või keelduda vastuvõtmisest ning Leping lõpetada;

11.7.3 võtta Täitja pakutud Töö vastu ning alandada vastavalt hinda.

11.8 Poolte rahaline koguvastutus on piiratud Lepingu maksimaalse maksumusega, välja arvatud

juhul, kui Pool rikkus kohustust tahtlikult või raske hooletuse tõttu.

11.9 Lepingust tulenevate leppetrahvide maksmine, samuti tekitatud kahju hüvitamine, ei vabasta

Lepingut rikkunud poolt Lepingujärgsete kohustuste täitmisest.

12. Konfidentsiaalsus ja isikuandmed

12.1 Pooled tagavad lepingueelsete läbirääkimiste ja Lepingu täitmise käigus teineteiselt ükskõik

mis vormis saadud teabe (sh andmed, isikuandmed, know-how) konfidentsiaalsuse ning ei

edasta ega võimalda sellele teabele juurdepääsu kolmandatele isikutele ilma teise poole

sellekohase selgesõnalise kirjaliku nõusolekuta.

12.2 Täitja kohustub mitte edastama lepingueelsete läbirääkimiste ja Lepingu täitmise käigus

ükskõik mis vormis saadud teavet (sh andmed, isikuandmed, know-how) väljapoole Euroopa

Liidu liikmesriikide ja Euroopa Majandusühendusse kuuluvate riikide territooriumit ilma Tellija

sellekohase selgesõnalise kirjaliku nõusolekuta.

12.3 Täitja kohustub kasutama ja töötlema lepingueelsete läbirääkimiste ja Lepingu täitmise käigus

Tellijalt ükskõik mis vormis saadud teavet (andmed, isikuandmed, know-how) üksnes lepingu

täitmiseks ja Tellija dokumenteeritud juhiste alusel, välja arvatud juhul, kui Täitja on kohustatud

teavet töötlema Täitja suhtes kohalduva õiguse alusel. Viimati nimetatud juhul teavitab Täitja

Tellijat vastava kohustuse olemasolust enne teabe töötlemist, kui selline teavitamine ei ole

olulise avaliku huvi tõttu Täitja suhtes kohalduva õigusega keelatud.

12.4 Pooled võimaldavad juurdepääsu konfidentsiaalsele teabele ainult nendele isikutele, kellel on

selleks oma tööülesannete täitmiseks vajadus ning tagavad, et need isikud on teadlikud ja

järgivad isikuandmete töötlemisalaseid nõudeid ja õigusakte, nad on saanud asjakohase

koolituse eelnimetatud nõuete kohta, on võtnud endale konfidentsiaalsuskohustuse või neile

kehtib asjakohane seadusest tulenev konfidentsiaalsuskohustus. Vastav

konfidentsiaalsuskohustus jääb kehtima pärast käesoleva Lepingu lõppemist.

7

12.5 Pooled täidavad kõiki kehtivaid isikuandmete töötlemisalaseid nõudeid, andmete turvalisust

puudutavaid ning isikuandmete kaitse alaseid Euroopa Liidu ja Eesti Vabariigi õigusakte ja muid

eeskirju.

12.6 Täitja kohustub rakendama vajalikke organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid

isikuandmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku hävimise, tahtliku

hävitamise, avalikustamise jms eest. Asutusesiseseks kasutamiseks tunnistatud teabe

edastamine toimub krüpteeritult või võimaldatakse teabega tutvumine Täitja ruumides.

12.7 Täitja kohustub teavitama Tellijat toimunud või põhjendatult kahtlustatavast käesoleva Lepingu

punktis 12.1 ja/või 12.2 sätestatud konfidentsiaalsuskohustuse rikkumisest, mis põhjustab, on

põhjustanud või võib põhjustada edastatavate, salvestatud või muul viisil töödeldavate

isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata

avalikustamise või neile juurdepääsu, kirjalikult viivitamata aga mitte hiljem kui 24 tundi pärast

sellest teada saamist.

12.8 Täitja kohustub Tellija nõudmisel lõpetama punktis 12.7 nimetatud rikkumise ja kohaldama

meetmeid rikkumise lahendamiseks, sh vajaduse korral rikkumise võimaliku kahjuliku mõju

kõrvaldamiseks või leevendamiseks.

12.9 Täitja kohustub kustutama talle Lepingu täitmisel teatavaks saanud asutusesiseseks

kasutamiseks tunnistatud teabe, sh isikuandmed ja nimetatute koopiad, kõigis teabe

hoiukohtades 30 kalendripäeva jooksul Lepingu lõppemisest, v. a juhul, kui poolte kokkuleppest

või õigusaktidest tuleneb teisiti.

12.10 Täitja kohustub tegema Tellijale kättesaadavaks kogu teabe, mida Tellija peab vajalikuks

käesolevas punktis sätestatud kohustuste täitmise tõendamiseks.

12.11 Täitja kohustub abistama võimaluse piires asjakohaste tehniliste ja korralduslike meetmete abil

Tellijat täita Tellija kohustust vastata taotlustele andmesubjekti õiguste teostamiseks ning

teostada nende õiguste teostamisest tulenevaid toiminguid (andmete parandamine, sulgemine,

kustutamine).

12.12 Täitja võimaldab Tellijal või Tellija poolt volitatud audiitoril teha auditeid ja kontrolle ning

panustab nendesse.

12.13 Lepingus sätestatud konfidentsiaalsuse nõue ei laiene teabe avaldamisele poolte audiitoritele,

advokaatidele ja/või järelevalveasutustele.

12.14 Käesolevas lepingu punktis sätestatud konfidentsiaalsuskohustuse nõue on tähtajatu ning

kehtib nii lepingu täitmise ajal kui ka pärast lepingu lõppemist.

12.15 Tulenevalt konfidentsiaalse informatsiooni laadist on Tellijal õigus seada täiendavaid nõudeid

ja/või juhiseid andmete töötlemiseks.

12.16 Kõik eelnimetatud kohustused kehtestab Täitja kõikidele kolmandatele isikutele, keda ta

kasutab oma lepingujärgsete kohustuste täitmisel. Kolmas isik on füüsiline või juriidiline isik või

riigi- või kohaliku omavalitsuse asutus, kes ei ole ei Tellija ega Täitja.

13. Intellektuaalomandi õigused

13.1 Lepingu allkirjastamisega kinnitab Täitja Tellijale, et talle kuuluvad Lepingu täitmiseks vajalikud

varalised autoriõigused, litsentsid ja muud intellektuaalse omandi õigused, mis on tarvilikud

8

Lepingu järgse Töö täielikuks teostamiseks ja loovutamiseks, ning et nende suhtes ei ole

kolmandatel isikutel nõudeid.

13.2 Täitja kinnitab, et ta on võtnud tarvitusele kõik meetmed autori isiklike õiguste realiseerimiseks

viisil, mis ei takista ega raskenda Töö (teose) kasutamist ja autori varaliste õiguste teostamist

Tellija poolt.

13.3 Täitja tagab, et tema töötajad on loobunud Eesti seadusega lubatud ulatuses oma õigusest

teostada isiklikke õigusi, et võimaldada autoriõiguste üleandmine Tellijale.

13.4 Kõik Täitja poolt Lepingu täitmise käigus koostatud dokumendid ja andmed kuuluvad Tellijale.

Täitja annab kõik nimetatud dokumendid ja andmed Tellijale üle.

13.5 Täitja loovutab Tellijale Töö tegemise käigus loodud teoste varalised autoriõigused ning annab

Tellijale teost puudutavate litsentsitavate autori isiklike õiguste osas tagasivõtmatu, loovutatava

ja all-litsentsitava ainulitsentsi. Nimetatud õigused kehtivad kogu autoriõiguste kehtivuse aja ja

nende kehtivuse territooriumiks on kogu maailm. Täitja loovutab Tellijale varalised õigused ning

annab ainulitsentsi isiklikele õigustele Töö üleandmise hetkel. Tasu autoriõiguste loovutamise

ning litsentsi andmise eest sisaldub Lepingu hinnas.

14. Lepingu tähtaeg, lepingu täitmise peatamine ja lepingu lõpetamine

14.1 Leping jõustub kui pooled on Lepingu mõlemapoolselt digitaalselt allkirjastanud ja kehtib kuni

lepingujärgsete kohustuste nõuetekohase täitmiseni.

14.2 Tellija võib peatada Täitjale lepingujärgselt makstavate summade maksmise kas osaliselt või

täielikult, kui:

14.2.1 Täitja ei täida Lepingut;

14.2.2 vastuvõtmise käigus avastatakse puudusi või muid Täitja poolseid kohustuste rikkumisi;

14.2.3 Täitja Lepingujärgsete kohustuste õigeaegset ja korrektset täitmist segab või ähvardab

segada muu asjaolu, mille eest vastutab Täitja.

14.3 Täitja võib peatada Tellijale teenuse osutamise kas osaliselt või täielikult, kui:

14.3.1 Tellija ei täida Lepingut;

14.3.2 Täitja Lepingujärgsete kohustuste õigeaegset ja korrektset täitmist segab või ähvardab

segada muu asjaolu, mille eest vastutab Tellija.

14.4 Juhul, kui pärast Lepingu sõlmimist võetakse vastu uus Eesti infoturbestandardi versioon, mis on

Pooltele täitmiseks kohustuslik ja mis muudab Poolte õigusi ja kohustusi Töö teostamisel, on

Tellijal õigus nõuda vastavate õiguste ja kohustuste osas Lepingu muutmist.

14.5 Tellija võib igal ajal Lepingu üles öelda, teatades sellest 1 (üks) kuu ette. Sellisel juhul on Täitjal

õigus nõuda tasu täidetud kohustuste eest. Täitjal ei teki Tellija vastu kahju hüvitamise nõude

esitamise õigust, nt saamata jäänud tulu.

14.6 Tellijal on õigus Leping erakorraliselt etteteatamata lõpetada Täitjapoolse olulise Lepingu

rikkumise korral. Lepingu lõpetamisel punktides 11.4 nimetatud juhtudel Täitja tehtud Tööd ei

tasustata.

14.7 Täitja võib Lepingu üles öelda Tellijapoolse olulise Lepingu rikkumise korral pärast vastava

9

hoiatuse saatmist, kui rikkumist ei ole kõrvaldatud 10 (kümne) tööpäeva jooksul peale hoiatuse

esitamist. Sellise Lepingu lõpetamise korral maksab Tellija Täitjale tasu täidetud kohustuste eest.

14.8 Lepingu lõppemisel on Täitja kohustatud Tellijale tagastama kõik Lepingu täitmiseks üleantu.

15. Lõppsätted

15.1 Käesoleva Lepingu allakirjutamisega kinnitavad Pooled, et on Lepinguga tutvunud ja on nõus

kõigi Lepingu tingimustega ning mõistavad täielikult enesele võetavate kohustuste sisu ning

nende tagajärgi.

15.2 Pooltevaheline suhtlus toimub selleks otstarbeks määratud poolte kontaktandmetel ja

aadressidel. Pooltevahelised lepinguga seotud teated peavad olema kirjalikku taasesitamist

võimaldavas vormis, välja arvatud juhtudel, kui teated on informatsioonilise iseloomuga, mille

edastamisel teisele poolele ei ole õiguslikke tagajärgi. Teade loetakse kättesaaduks, kui:

15.2.1 teade on üle antud allkirja vastu;

15.2.2 teade on edastatud tähitud kirjana poole postiaadressil ja teate postitamisest on

möödunud 5 (viis) kalendripäeva;

15.2.3 e-posti või telefoni teel saadud teate saamist on kinnitatud e-posti teel.

15.3 Lepingu Pooled teavitavad viivitamatult ja kirjalikku taasesitamist võimaldavas vormis teist Poolt

volitatud esindajate, kontaktisikute muutusest või meeskonnaliikmete muutmise vajadusest.

15.4 Kõik Lepingu muudatused, v.a kontaktisikute muudatus ja p-s 3.3 sätestatud lisatellimuste

esitamine, vormistatakse kirjalikult Lepingu lisadena, mis jõustuvad pärast nende allkirjastamist

Poolte poolt või Poolte poolt määratud tähtajal.

15.5 Lepingu suhtes rakendatakse Eesti seadusandlust. Kui mõni Lepingu säte osutub vastuolus

olevaks Eesti Vabariigi seadustega või muude kehtivate õigusaktidega, ei mõjuta see Lepingu

ülejäänud sätete kehtivust.

15.6 Käesolevast Lepingust tulenevad erimeelsused või vaidlused lahendavad Pooled läbirääkimiste

teel. Kokkuleppe mittesaavutamisel lahendatakse vaidlus Harju Maakohtus.

Tellija Täitja

/allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/

Evelin Pärn-Lee

peadirektor

Mihkel Kukk küberteenuste ja IT auditi juht

CONFIDENTIAL

Konkurentsiamet E-ITS auditi pakkumus

KPMG Baltics OÜ 29.08.2025

Document Classification: KPMG Confidential 2© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Täname Teid võimaluse eest esitada Konkurentsiametile E-ITS auditeerimisteenuse pakkumus.

Meie pakkumuse aluseks on Teie poolt esitatud hinnapäring (riigihanke viitenumber 291334, raamleping nr 2/34 - 25). Toetudes esitatud informatsioonile on meil kujunenud arusaam Teie ootustest ning teeme kõik endast sõltuva, et meie teenus oleks kooskõlas Teie soovidega.

Usume, et oleme õigesti mõistnud Teie vajadusi ning kinnitame, et meil on olemas vajalikud ressursid ja kogemused töö teostamiseks.

Hindame koostööd Konkurentsiametiga kõrgelt, oleme valmis pakkumust esitlema ning täiendavaid detaile arutama.

Pakkumus kehtib 60 päeva alates pakkumuse esitamisest.

Lugupidamisega

Mihkel Kukk KPMG küberturvalisuse, IT auditi ja IT riskihalduse juht KPMG Baltics OÜ

Lugupeetud Siiri Viilipus

Teenuse kirjeldus

Document Classification: KPMG Confidential 4© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Teenuse kirjeldus Hanke objekt ja eesmärk Hanke objektiks on Konkurentsiameti E-ITS vastavusauditi läbiviimine ühe auditi tsükli jooksul:  eelaudit 2025.a.  põhiaudit 2025.a.  I vaheaudit 2026.a.  II vaheaudit 2027.a.

E-ITS auditi eesmärk hinnata, kas Konkurentsiameti infoturbe halduse süsteem ning selle raames rakendatud meetmed on vastavuses kehtivate nõuetega (sh E-ITS nõuded infoturbe halduse süsteemile) ning on piisavad Konkurentsiameti äriprotsessi ja infosüsteemide kaitseks ning eesmärkide täitmiseks.

Tulemid  Auditi tulemusena antakse audiitori poolt sõltumatu hinnang

Konkurentsiameti infoturbe teostuse olukorra ja riskide realiseerumisel toimetuleku võimekuse kohta.

 Auditi tulemina antakse Konkurentsiametile E-ITS auditeerimisjuhendi nõuetele vastav aruanne iga auditeeritud etapi kohta (eelaudit, põhiaudit, 2 vaheauditit). Eraldi kokkuleppel vastavalt vajadusele järelauditi aruanne.

Tingimused  Auditeerimisel lähtume viimasest kehtivast RIA E-ITS portaalis

avaldatud auditeerimisjuhendist.  Intervjuud viiakse läbi kohapeal ja/või videosilla vahendusel

(varasemal kokkuleppel Tellijaga).  Eeldame, et Konkurentsiametil on olemas toimiv infoturbe

halduse süsteem vastavalt dokumendile E-ITS „ISMS. Nõuded“ (avaldatud E-ITS portaalis) ja E-ITS etalonturbe meetmete kataloog viimase 12 kuu jooksul avaldatud versioonile.

E-ITS auditi käigus hindab audiitor

 vastavust infoturbe halduse süsteeminõuetele;

 infoturbe dokumentatsiooni aja- ja asjakohasust;

 infoturbe meetmete asjakohasust, riskipõhisust ning proportsionaalsust.

Eeldused

Document Classification: KPMG Confidential 6© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Eeldused töö tellijale

Kättesaadavus Kõik osapooled tagavad omapoolse meeskonna kättesaadavuse ja vajaliku ajalise panuse projekti elluviimisesse.

Pühendumus Kõik asjassepuutuvad osapooled on pühendunud ning toetavad projekti täideviimist, toimub pidev infovahetus ning on kokkulepitud tegevuste kooskõlastamise protsess.

Ligipääs Vajalikku ligipääsu andmetele ning infosüsteemidele.

Projektijuhtimine Mõlemad pooled nimetavad projektijuhid, kelle ülesandeks on igapäevane operatiivne projektijuhtimine.

Koostöö Hea koostöö ja juhtimine kõigi asjassepuutuvate osapoolte vahel.

Töötajate kaasamine Spetsialistide ja töötajate kaasatus tööde teostamiseks selles ulatuses, mis on töö läbiviimiseks hädavajalik.

Projekti meeskond

Document Classification: KPMG Confidential 8© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Küberturvalisuse ja IT auditi sertifikaadid

Meie meeskonnaliikmed omavad erinevaid rahvusvaheliselt tunnustatud sertifikaate: GPEN, GMOB, GWAPT, GCCC, GSEC, GCFA, GXPN, GCPN, CISA, CGEIT, CRISC, CISM, CISSP, SSCP, OSEP, OSCP, CRTE OSWP, Security+, Network+, Server+, A+, Linux+, CCNA, CEH, CRTO, eWPT, eWPTX, eCPPT, NATO Cyber Security Professional, ISO27001 Lead Auditor, ISO22301 Lead Auditor, , ISO9001 Lead Auditor, CIPP, CCE, Microsoft Azure Security Technologies

Meie meeskonna liikmetel on kokku ligi 50 aastat IT juhtimise, nõustamise ja auditeerimise kogemust.

Document Classification: KPMG Confidential 9© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Projekti meeskond

Mihkel Sinisalu

E-ITS juhtaudiitor

Taavi Toppi E-ITS

audiitor

Ivar Anton E-ITS

audiitor

Vitali Jekimtsev

E-ITS audiitor

Silver Vainola Tehniline ekspert

Risto Jürisson Tehniline ekspert

Kadri Koit Tehniline ekspert

 KPMG auditi meeskonnaliikmed on auditeeritavast sõltumatud ja objektiivsed. Auditi meeskonnaliikmed ei ole auditeerimisele eelnenud kahe

aasta jooksul auditeeritavas asutuses töötanud või asutust konsulteerinud auditeeritavas (E-ITS) valdkonnas.

 Juhtaudiitor ja auditirühma kaasatud audiitorid ja eksperdid vastavad E-ITS auditeerimisjuhendi 8. peatükis toodud nõuetele.

 Auditi läbiviimisel järgime auditeerimise standardeid ja suuniseid, infoturbe parimaid tavasid ja audiitori kutse-eetika koodeksit (https://eisay.ee/kutse-

eetika-koodeks).

Document Classification: KPMG Confidential 10© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

• Juhtaudiitor, Mihkel Sinisalu – PECB Certified ISO 27001 Lead Auditor. Mihklil on infoturbe auditi töökogemus aastast 2016. • E-ITS audiitor, Ivar Anton - PECB Certified ISO 27001 Senior Lead Auditor. Ivaril on infoturbe auditi töökogemus aastast 2013. • E-ITS audiitor, Taavi Toppi – PECB Certified ISO 27001 Senior Lead Auditor. Taavil on infoturbe auditi töökogemus aastast 2020. • E-ITS audiitor, Vitali Jekimtsev – PECB Certified ISO 27001 Lead Auditor-. Vitalil on infoturbe auditi töökogemus aastast 2021. • Tehniline ekspert, Silver Vainola – PECB Certified ISO 27001 Lead Auditor. Silveril on infoturbe auditi töökogemus aastast 2024, varasemalt on Silver

töötanud erinevates asutustes IT-juhina ning vastutanud infoturbe eest. • Tehniline ekspert, Risto Jürisson – PECB Certified ISO 27001 Lead Auditor. Ristol on infoturbe auditi töökogemus aastast 2022. Ristol on enam kui 10

aastat kogemust IT ja infoturbe valdkonnas. • Tehniline ekspert, Kadri Koit – PECB Certified ISO 27001 Lead Auditor. Kadril on infoturbe auditi töökogemus aastast 2025, varasemalt on Kadri töötanud

telekommunikatsiooni valdkonnas ning nõustanud kliente infoturbe teenuste vajaduste väljaselgitamises.

 Juhtaudiitor M.Sinisalul on auditile eelneva kolme kalendriaasta jooksul osalenud vähemalt kolmes infoturbe halduse süsteemi auditis (vt KPMG referentsid). Juhtaudiitoril on alates 2016. aastast erinevate ettevõtetes ja asutustes IT auditite (ISKE, ISO 27001) läbiviimise kogemust ning töötab välise infoturbejuhina (CISO as a Service).

 Kõigil auditirühma kaasatud audiitoritel on vähemalt kahe-aastane IT auditi ja infoturbe alane töökogemus.

 Auditirühma kaasatud tehnilistel ekspertidel on kogemus infoturbe alal töötamisel ja/või auditeerimisel.

Auditi meeskonna sertifikaadid ja valdkonna kogemus

Document Classification: KPMG Confidential 11© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Tel +372 626 8700 [email protected]

Haridus • Mainori Kõrgkool, IT diplom 2007

Sertifikaadid • ISO 22301 Lead Auditor (2022) • ISO 27001 Lead Auditor (2020) • ISO 31000 Risk Manager (2024)

Töökogemus: • Mihkel liitus KPMG-ga 2016. aastal. • Tema erialad hõlmavad infoturbe haldust, IT-teenuste ja –süsteemide ning infoturbe halduse süsteemide rakendamist,, Eesti infoturbe standardi

E-ITS ja ISO27001 rakendamist ning auditeerimist, IT- ja infoturbeprotseduuride väljatöötamist ning vastava dokumentatsiooni koostamist ning seotud riskianalüüse.

• Mihkel on osalenud mitmetes avaliku sektori infosüsteemide analüüsi ja kokkuvõtete koostamise projektides. • Mihkel on teinud E-ITS auditeid avalikus sektoris ning andnud nõu E-ITS ja ISO27001 rakendamise osas. • Mihkel on osalenud mitmetes infoturbealastes konsultatsiooniprojektides nii era- kui avalikus sektoris. • Mihkel on osalenud finantsasutuse likvideerimisprotsessis, tegutsedes haldusjuhi ning IT-juhi ja turvaülemana. • Mihkel omab varasemat kogemust Smart-ID auditeerimisel Luminoris, SEB Balticsis ja Swedbankis.

Projektikogemus: • 03.2025 – Meo ApS ISO 27001 Surveillance audit • 10.2024 – 02.2025 Registrite ja Infosüsteemide Keskuse E-ITS põhiaudit • 10.2024 - Salv Technologies OÜ ISO 27001 Surveillance audit • 04.2024 – 08.2024 Riigikogu Kantselei riigi valmisteenistuse E-ITS põhiaudit • 05.2024 – 06.2024 PRIA ISO 27001:2022 certification audit • 02.2024 – 04.2024 EAS IT organization management audit • 08.2024 – 08.2024 Swedbank Smart-ID audit • 09.2023 – 11.2023 SK ID Solution AS, ISO 27001 järelaudit • 06.2023 – 07.2023 PRIA ISO järelaudit • 01.2023 – 03.2023 SAP Corporation ISO27001 järelaudit • 09.2022 - 10.2022 SK ID Solution AS, ISO 27001 järelaudit • 10.2022 – 11.2022 Tavexwise ISO 27001 audit (piiratud skoop) • 06.2022 – 08.2022 Swedbank Smart-ID audit • 09.2022 – 10.2022 RIA VIS3 ISKE audit • 03.2021 – 06.2021 PRIA ISO 27001 sertifitseerimisaudit

Mihkel Sinisalu Ametikoht Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 12© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Tel +372 626 8700 [email protected]

Haridus • Tallinna Tehnikaülikool, BA, ettevõtte

juhtimine (2007)

Sertifikaadid • PECB Certified ISO/IEC 27001 Senior

Lead Auditor & Senior Lead Implementer

• PECB Certified DORA Senior Lead Manager

• PECB Certified NIS2 Directive Senior Lead Implementer

• PECB certified trainer • CISM • CISA

Taust • Ivar liitus KPMG-ga 2021. aastal. Tema peamisteks ülesanneteks on IT auditi meeskonna juhtimine ja läbiviimine ning klientide nõustamine

tehnoloogia ja infoturbe alastes teemades. • Ivaril on pikaajaline infosüsteemide ja andmekaitse alaste auditite läbiviimise ja klientide konsulteerimise kogemus. • Ivar omab erialast kogemust järgmistes sektorites: avalik sektor, pangandus, kindlustus, IT, jaekaubandus, sertifitseerimisteenuste osutajad jt.

Eelnevad töökohad • 2017 – 2021 IT vanemaudiitor Inchcape Motors Group PLC Peamised ülesanded olid grupiüleste IT auditite planeerimine ja läbiviimine ning juhtkonna nõustamine mainitud teemades. Projektid: tarkvara juurutamisprojektide auditid (ERP ja Salesforce), talituspidevuse ja IT jätkusuutlikuse plaanide auditeerimine, äriprotsesside ja sisekontrollide auditid, andmekaitse auditid UK-s ja Euroopas (GDPR), Aasia, Uus-Meremaa, IT auditid ja infoturbe juhtimise auditid (ISO 27001). • 2013 – 2017 IT audit manager KPMG Baltics OÜ Klientidele teenuste pakkumiste koostamine ning auditite läbiviimine. Auditid ja nõustamisprojektid: infoturbe juhtimise auditid (ISO 27001), äriprotsesside auditid, andmekaitse auditid (GDPR), infosüsteemide vajaduste kaardistamine (AS-IS, TO-BE) ja uute süsteemide lahenduste koostamine, IT auditid (finantsauditite raames IT kontrollide testimine), talituspidevuse ja IT jätkusuutlikuse plaanide auditeerimine ning nõustamine. • 2011 – 2013 IT retail team manager at Nixor Eesti AS Meeskonna ressursside planeerimine ja juhtimine. Klientidele IT jaekaubandus teenuste ja tarkvara pakkumuste koostamine ja projektijuhtide nõustamine.

Projektikogemus • 2024 - 2025 Alexela AS ISO 27001 juurutamise konsultatsioon • 2024 - 2025 Rahandusministeeriumis ja RTKs E-ITS riskianalüüs ning juurutamine • 2024 - 2026 PRIA ISO 27001 sertifitseerimisaudit (2025 ja 2026 järelauditid) • 2023 RMK ISO 27001 eelaudit • 2021 – 2023 finantsauditi raames IT kontrollide testimine - avaliku sektori asutused (Tallinna Linn, Tallinna Sadam jm), erasektori organisatsioonid (laevandus, ehitus) • 2023 Salv Technologies OÜ ISO 27001 eelaudit • 2022 Tamro Baltikumi ülene ISO 27001 audit • 2022 Omniva Baltikumi ülene ISO 27001 audit ja tegevuskava välja töötamine • 2021 – 2022 Majandus- ja Kommunikatsiooniministeerium, e-valimiste turvalisuse ja protsesside audit • 2020 ERP lahenduse juurutamise projektiaudit (Eesti)

Ivar Anton Ametikoht IT auditi ja riskiteenuste juht Senior Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 13© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Mob +372 5666 5276 [email protected]

Haridus • Alates 2014. õpingud Tallinna

Tehnikaülikoolis küberkaitse erialal magistriõppes

• Eesti Infotehnoloogia Kolledž, bakalaureus, IT süsteemide administreerimine

Sertifikaadid • PECB ISO 27001 Senior Lead Auditor • PECB ISO 22301 Senior Lead Auditor • PECB ISO 9001 Senior Lead Auditor • IRCA ISO 9001 Internal Auditor, • PECB Certified Trainer

Taust • Taavi liitus KPMG-ga 2020. aastal. • Taavi peamiseks ülesandeks on infosüsteemide auditi, infoturbe ja IT juhtimisnõustamisega ning riskijuhtimisega seotud teenused. • Taavi on enam kui 15 aastat kogemust infoturbe valdkonnas.

Eelnevad töökohad • Kogemuste põhivaldkonnad on asutuse küberturbe- ning infoturbepoliitika korraldamine, turvaliste IT-protseduuride ning vastava

dokumentatsiooni koostamine ja selle pidev uuendamine, infoturbe audit, riskianalüüs, IT-süsteemide füüsiline julgeolek, erinevad infoturbe alased koolitused.

• Enne KPMG-ga liitumist töötas Taavi Riigi Infosüsteemi Ametis eksperdina, kus tema ülesanneteks oli infosüsteemide turvameetmete süsteemi ISKE arendamine, koolituste läbiviimine, analüüside koostamine ning turvatestimistel osalemine.

Projektikogemus • 05.2025 – 06.2025 QOCO OY ISO9001 3. aasta vaheaudit • 01.2025 – 04.2025 Ida-Tallinna Keskhaigla riskianalüüs E-ITS juurutamiseks • 01.2025 – 06.2025 Viljandi Linnavalitsuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 01.2025 – 06.2025 Mulgi Vallavalitsuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 06.2024 – 06.2025 Rahandusministeeriumi E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 06.2024 – 06.2025 Riigi Tugiteenuste Keskuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 08.2024 – 12.2024 Tartu Veevärk AS E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 07.2024 – 02.2025 Alexela AS infoturbe haldussüsteemi (ISO27001) nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 05.2024 – CISOaaS Mainor Ülemiste AS-s • 10.2023 – 12.2023 Keeleamet riskianalüüs E-ITS juurutamiseks (E-ITS juurutamise konsultatsioon). • 09.2022 – 04.2023 Statistikaamet küberturvalisuse riskianalüüs E-ITS rakendamiseks • 05.2024 – CISOaaS Ravimite hulgimüügi ettevõttes • 08.2022 – 10.2022 Maaeluministeeriumi Automaatkontrollide audit • 02.2022 – 12.2022 Sotsiaalministeeriumi Personaalmeditsiini projekti rakendamise mõjude analüüs

Taavi Toppi Ametikoht Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 14© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

+372 626 8700 [email protected]

Haridus • Eesti Lennuakadeemia,

rakenduskõrgharidus, andmeside ja infotöötlus, 2013

Sertifikaadid • CISSP; eWPT; CCSP; CISA; CISM;

CRISC; • PECB Certified ISO 27001 Lead

Auditor; • PECB Certified ISO 27001 Senior Lead

Implementor: • PECB Certified ISO 27032 Senior Lead

Cybersecurity Manager; • PECB Certified ISO 27005 Senior Lead

Risk Manager; • PECB Certified Trainer

Taust • Vitali liitus KPMG-ga 2021 aastal. • Vitali peamiseks ülesandeks on infosüsteemide auditi, infoturbe ja IT juhtimisnõustamisega ning riskijuhtimisega seotud teenused. • Vitalil on enam kui 10 aastat kogemust infoturbe valdkonnas.

Eelnevad töökohad • 2020 – 2021 Estonian Air Navigation Services.

Peamisteks ülesanneteks oli lennujuhtimise eesmärgil kasutatava sidesüsteemi arendamine ja haldus. • 2013 – 2020 Estonian Air Force.

Vitali on teeninud erinevatel positsioonidel Eesti Õhuväes. Peamisteks ülesanneteks olid IT ja side teenuste töö tagamine ja nende arendus; IKT üksuse juhtimine.

• Kogemuse põhivaldkonnad on asutuste IT süsteemide ja IP põhiste võrgulahenduste planeerimine, integreerimine, infoturbereeglitele vastavuse tagamine; lennundusspetsiifiliste sidelahenduste arendamine ja integreerimine.

• Vitalil on kogemust järgnevates valdkondades: avalik sektor, kaitsevägi, lennundussektor, IT arendus, analüüs ja haldus

Projektikogemus • 05.2024 – CISOaaS (asendus) kinnisvara arendus ettevõttes • 01.2025 – 04.2025 Ida-Tallinna Keskhaigla riskianalüüs E-ITS juurutamiseks • 06.2024 – 06.2025 Rahandusministeeriumi E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 06.2024 – 06.2025 Riigi Tugiteenuste Keskuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 08.2024 – 12.2024 Tartu Veevärk AS E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 07.2024 – 02.2025 Alexela AS infoturbe haldussüsteemi (ISO27001) nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 04.2024 – 01.2025 Registrite –ja Infosüsteemide keskus (RIK) E-ITS eel- ja põhiaudit • 10.2023 – 12.2023 Keeleamet riskianalüüs E-ITS juurutamiseks (E-ITS juurutamise konsultatsioon). • 09.2022 – 04.2023 Statistikaamet küberturvalisuse riskianalüüs E_ITS rakendamiseks • 10.2022 – 11.2022 SK ID ISO 27001 vaheaudit • 05.2022 – 10.2022 Ravimite hulgimüügi ettevõtte ISO27001 põhine infoturbe audit • 01.2022 – 03.2022 Omniva ISO 27001 hetkeolukorra analüüs ning juurutamise projekti tegevuskava koostamine • 10.2021 – 12.2024 SWIFT CSCF hindamised erinevates organisatsioonides • 07.2021 – 12.2024 Riigi Infosüsteemi Amet (RIA) ETO-de küberturvalisuse hindamise projektid

Vitali Jekimtsev Ametikoht Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 15© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Tel +372 5393 0088 [email protected]

Haridus • Estonian Business School, BBA,

rahvusvaheline ärijuhtimine (2008)

Sertifikaadid • PECB Certified ISO/IEC 27001 Lead

Auditor • PECB Certified Lead Cybersecurity

Manager • PECB Certified ISO/IEC 27032

Provisional Cybersecurity Manager

Taust • Silver liitus KPMG-ga 2024. aastal. Tema peamisteks ülesanneteks on IT auditi ja konsultatsiooniteenuste osutamine. • Silveril on pikaajaline IT administreerimise ja juhtimise ning suuremahuliste projektide läbiviimise kogemus. • Silver omab erialast kogemust järgmiste sektorite IT ja IT auditeerimise/nõustamise valdkondades: avalik sektor, tervishoid, finants, pangandus jt.

Eelnevad töökohad • 2023 – 2024 Grupi IT-juht / IT-juht teenusena / äriarendusjuht, OIXIO AS Peamisteks ülesanneteks nii grupi kui klientide vaatest olid pikemaajalise IT-strateegia planeerimine, pikemaajalise eelarve planeerimine, ERP- lahenduste valimine, protsesside juhtimine, suuremahulised IKT- ja arendusprojektid, hanked ja meeskonna koordineerimine. • 2021 – 2022 IT juht, Tallinna Lastehaigla IT osakonna igapäevatöö koordineerimine. Pikemaajalise IT-strateegia, sealhulgas IT infrastruktuuri ja haiglate infosüsteemide arendamise planeerimine. Suuremahuliste hangete, IKT- ja arendusprojektide läbiviimine. • 2017 – 2020 IT ja tehnilise toe juht, International Centre for Defence and Security (ICDS) IT analüüs, pikemaajalise strateegia koostamine, taristu arendamine ja eelarve haldamine. Organisatsiooni küberturvalisuse programmi juurutamine ja juhtimine.

Projektikogemus • 2025 Ida-Tallinna Keskhaigla riskianalüüs E-ITS juurutamiseks • 2025 Viljandi Linnavalitsuse (koos hallatavate asutustega) E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2025 Mulgi Vallavalitsuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2024-2025 Rahandusministeeriumi E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2024-2025 Riigi Tugiteenuste Keskuse E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2024 Tartu Veevärk AS E-ITS rakendamise nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2024 Alexela AS infoturbe haldussüsteemi (ISO27001) nõustamine standardi juurutamiseks ja riskianalüüsi läbiviimine • 2024 IT kontrollide testimine finantsauditite raames: Bondora AS, Ekspress Grupp AS, Holm Bank AS, Nordecon AS, Tallink Grupp AS • 2024 Ridango AS ISO/IEC 27001 siseauditi läbiviimine • 2023-2024 Grupiülese ühise turvalise infotehnoloogilise ruumi loomine (sh ISO/IEC 27001 standardile vastavate grupiüleste IT eeskirjade loomine) • 2022 Meditsiiniasutuse IKT-infrastruktuuri suuremahuline kaasajastamine • 2018-2020 Kaitseministeeriumi sihtasutusele Küberturvalisuse programmi käivitamine ja juhtimine

Silver Vainola Ametikoht IT audiitor Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 16© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Mob +372 584 54067 [email protected]

Haridus • Tallinna Tehnikaülikool, magister,

telekommunikatsioon, 2021

Sertifikaadid • CISA; CISM; CRISC; • PECB Certified ISO/IEC 27001 Lead

Auditor; • PECB Certified ISO/IEC 27001 Lead

Implementer; • PECB Certified ISO/IEC 27005 Lead

Risk Manager; • PECB Certified Cyber Threat Analyst; • PECB Certified ISO 9001 Lead Auditor;

Taust • Risto liitus KPMG-ga 2022 aastal. • Risto töötab KPMG-s peamiselt IT-audiitorina ning IT-riskihalduse spetsialistina. • Ristol on enam kui 10 aastat kogemust IT ja infoturbe valdkonnas.

Eelnevad töökohad • 2017 – 2022 Skywish OÜ (BlueIT), IT-juht.

Enne KPMG-ga liitumist töötas Risto IT-konsultatsiooni ja IT-juhtimise teenust pakkuvas ettevõttes Skywish OÜ (BlueIT), kus tema ülesanneteks oli äriklientide terviklik IT-olukorra ja vajaduste kaardistus ning lahenduste pakkumine. Serverite, võrguseadmete, tööjaamade haldus, võrgukaardistuste loomine, meiliserverite migratsioonid.

• 2014 – 2017 Telia Eesti AS, personaalhalduse spetsialist Enne Skywishi töötas Risto Telias personaalhalduse spetsialistina pakkudes valitud võtmeklientidele personaalset IT ja telko teenuste tuge ning juhtis nende klientide rikete lahendusi.

Projektikogemus • Risto on osalenud paljude suurte ettevõtete auditites inforiski hindamise spetsialistina. • 05.2025-06.2025 QOCO OY ISO 9001 3. aasta vaheaudit • 05.2024-09.2024 RIA Küberpööre (küberturvalisuse taseme kaardistamine ettevõtetel) • 04.2024 Greenergy andmekeskuse füüsiliste turvameetmete kontroll • 01.2024-05.2024 Tietoevry Katakri audit • 08.2023-09.2023 Elektrilevi OÜ füüsilise turvalisuse nõuded dokumentatsioon • 02.2023-05.2023 Riigikogu valimised 2023 elektroonilise hääletamise auditeerimine • 09.2022-10.2022 Tallinna Lennujaam AS IT audit • 08.2022-10.2022 Magnum Medical IT audit riskianalüüs • 08.2022-09.2022 Tamro Eesti OÜ infosüsteemide hetkeolukorra analüüs ISO27001 raamistiku baasil

Risto Jürisson Ametikoht Manager Küberturvalisuse ekspert / IT audiitor

Document Classification: KPMG Confidential 17© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Taust • Kadri liitus KPMG-ga 2025 aastal. • Kadri töötab KPMG-s peamiselt IT-audiitorina. • Kadril on enam kui 6 aastat kogemust infotehnoloogia valdkonnas.

Eelnevad töökohad • 2015 – 2024 Telia Eesti AS, kliendilahenduste müügijuht, konsultant.

Kadri peamised töökohustused olid kliendide IT-teenuste vajaduste analüüs ja neile kohandatud lahenduste loomine ja esitlemine, andmeside- ja IT-teenuste võimaluste tutvustamine, küberturvalisuse nõustamine, klientide teadlikkuse tõstmine kaasaegsetest IT-lahendustest ja küberohtudest, kliendisuhete loomine ja hoidmine, müügivõimaluste tuvastamine ja müügiprotsessi juhtimine.

Projektikogemus • 04.2025 – 05.2025 Pärnu Haigla E-ITS Siseaudit • 05.2025 – CARIAD Estonia infoturbe haldussüsteemi (ISO27001) nõustamine standardi juurutamiseks • 05.2025 – STV infoturbe haldussüsteemi (ISO27001) nõustamine standardi juurutamiseks • 07.2025 – Spectro Finance Siseaudit

Kadri Koit Advisor Küberturvalisuse spetsialist / IT audiitor

Mob +372 5650 2352 [email protected]

Haridus • Tartu Ülikool, magister, arvutiteaduste

instituut, 2024

Sertifikaadid • PECB ISO 27001 Lead Implementer • PECB ISO 27001 Lead Auditor

Document Classification: KPMG Confidential 18© 2025 KPMG Baltics OÜ, an Estonian limited liability company and a member firm of the KPMG global organization of independent member firms affiliated with KPMG International Limited, a private English company limited by guarantee. All rights reserved.

Tänan! Ivar Anton Head of IT audit and risk assurance [email protected]

KPMG Baltics OÜ Ahtri 4, 10151 Tallinn Estonia

Lisateabe saamiseks palun külastage: www.küberaudit.ee

Date of composing: 14.10.2024

Volikiri KPMG Baltics OÜ

pakkumuste ja lepingute

allkirjastamiseks

Power of Attorney to sign

proposals and contracts

on behalf of KPMG Baltics OÜ

KPMG Baltics OÜ (registrikood:

10096082) volitab KPMG töötajat

Mihkel Kukke (isikukood:

38609036019) allkirjastama KPMG

Baltics OÜ eest ja nimel küber- ja IT-

nõustamisteenuste pakkumusi ja

lepinguid.

KPMG Baltics OÜ (registry code: 10096082)

hereby authorizes KPMG employee Mihkel

Kukk (national identification number:

38609036019) to sign cyber and IT advisory

services proposals and contracts for and on

behalf of KPMG Baltics OÜ.

Volikiri kehtib allkirjastamise kuupäevast

alates tähtajatult kuni selle

tagasivõtmiseni.

This power of attorney is valid from the date

of signature for an indefinite period of time

unless revoked.

Andris Jegers

KPMG Baltics OÜ

juhatuse esimees

Chairman of the Board

/allkirjastatud digitaalselt/

/signed digitally/