Justiits- ja Digiministeerium Teie 22.09.2026 nr 8-1/6793-1
[email protected]
[email protected] Meie 06.10.2026 nr 4/171
Arvamuse esitamine justiits- ja digiministri määruse
„Sihipärase turvaauditi korraldamise täpsemad tingimused
ja kord“ eelnõu kohta
Lugupeetud Liisa-Ly Pakosta!
Eesti Kaubandus-Tööstuskoda (edaspidi: Kaubanduskoda) tänab Justiits- ja Digiministeeriumit võimaluse eest avaldada arvamust määruse „Sihipärase turvaauditi korraldamise täpsemad tingimused ja kord“ eelnõu kohta. Oleme eelnõuga tutvunud ning esitame järgnevalt Kaubanduskoja seisukohad ja ettepanekud.
1. Sihipärase turvaauditi kulu hüvitamise laiendamine kõigile ettevõtjatele
Eelnõu § 3 lõike 3 punkti 1 ja lõigete 4-5 kohaselt saavad sihipärase turvaauditi kulu hüvitamist taotleda üksnes teenuseosutajad, kellel on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle aasta bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades väikeettevõtjate määratlustkomisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.05.2003, lk 36–41). Seletuskirja lk 6 täpsustab, et hüvitise taotlemise õigus on teenuseosutajal, kes on väiksem kui keskmise suurusega ettevõtja vastavalt komisjoni soovitusele 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta. Seega suurtele ja keskmise suurusega ettevõtjatele kulu hüvitamise võimalust eelnõus ette nähtud ei ole.
Leiame, et järelevalvemeetmena teostatava sihipärase turvaauditi kulu panemine eelkõige ettevõtja kanda (eelnõu § 3 lg 1) ja hüvitise piiramine vaid väikeettevõtjatega loob ebavõrdse kohtlemise ning suurendab ebamõistlikult suuremate ettevõtjate kulusid. Sihipärane turvaaudit on haldusjärelevalve meede, mida tehakse lisaks tavapärasele auditeerimiskohustusele. Järelevalve läbiviimine ja sellega seotud kulud ei tohi kujuneda ettevõtjatele ebamõistlikuks ega täiendavaks koormaks, eriti olukorras, kus ettevõtja on oma kohustusi nõuetekohaselt täitnud.
Leiame, et kõigil ettevõtjatel peab olema võimalus kulu hüvitamisele sõltumata nende suurusest. Kui järelevalveasutus ehk Riigi Infosüsteemi Amet (RIA) määras sihipärase turvaauditi, kuid auditeerimise tulemusel ilmneb, et ettevõtja infosüsteemid on nõuetekohased ning olulisi puudusi ei esine, on tegemist olnud riigipoolse kontrolliga, mille kulu ei peaks jääma heauskse ettevõtja kanda.
Kaubanduskoja ettepanek:
Muuta eelnõu § 3 lõiget 3 selliselt, et kulu hüvitamise taotlemise õigus tagatakse kõigile teenuseosutajatele (sealhulgas keskmise suurusega ja suurtele ettevõtjatele).
2. Turvaauditi kulude hüvitamise alused
Eelnõu § 3 lg 2 kohaselt Riigi Infosüsteemi Amet hüvitab teenuseosutajale § 2 lõikes 1 nimetatud sihipärase turvaauditi kulu osaliselt või täielikult, kui: 1) teenuseosutaja tõendab, et ta ei ole võimeline sihipärase turvaauditi kulu ise kandma; või 2) varasem sihipärane turvaaudit tehti viimase 12 kuu jooksul ja selle käigus tuvastatud puudused on uue sihipärase turvaauditi määramise ajaks kõrvaldatud.
Kaubanduskoja hinnangul tuleb eelnõus laiendada turvaauditi kulude hüvitamise aluseid, sest hetkel on kulude hüvitamise alused sätestatud liiga kitsalt. Meie hinnangul peaks Riigi Infosüsteemi Amet hüvitama teenuseosutajale sihipärase turvaauditi kulud ka juhul, kui Riigi Infosüsteemi Amet algatatud turvaauditi käigus puudusi ei tuvastata. Näiteks finantssektoris kaetakse krediidiasutuste seaduse § 102 lg 6 kohaselt järelevalvemenetluses tehtud ekspertiisi või Finantsinspektsiooni algatusel läbiviidava erakorralise audiitorkontrolli kulud Finantsinspektsiooni eelarvest.
Peame ebamõistlikuks olukorda, kus teenuseosutaja peab kandma Riigi Infosüsteemi Auditi algatatud järelevalvemeetmena läbiviidud turvaauditi kulud ka juhul, kui auditi tulemusena ei tuvastata teenuseosutaja tegevuses puudusi ega nõuete rikkumisi. Sellisel juhul on turvaauditi tegemine eelkõige järelevalveasutuse algatatud meede ning põhjendatud oleks jätta sellega seotud kulud Riigi Infosüsteemi Ameti kanda.
Kaubanduskoja ettepanek:
Teeme ettepaneku täiendada eelnõu § 3 lg-t 2 uue punktiga 3, mille kohaselt hüvitab Riigi Infosüsteemi Amet teenuseosutajale sihipärase turvaauditi kulu osaliselt või täielikult, kui sihipärase turvaauditi lõppraporti kohaselt ei tuvastatud haldusaktiga määratud käsitlusalas puudusi.
3. Korduva turvaauditi määratlemine sama haldusaktiga
Eelnõu § 2 lõike 1 kohaselt tehakse sihipärase turvaauditi läbimise kohustus teenuseosutajale teatavaks haldusaktiga, milles määratakse muuhulgas kindlaks auditi konkreetne käsitlusala. Samal ajal eelnõu § 2 lõige 3 sätestab, et haldusaktiga võib üliolulisele üksusele ette näha kindla ajavahemiku, mille kestel tehakse sihipärast turvaauditit korduvalt.
Kaubanduskoda leiab, et sihipärase turvaauditi määramine peab igakordselt toimuma eraldiseisva haldusaktiga. Sihipärane turvaaudit on järelevalvemeede, mis peab tuginema järelevalveasutuse igakordsele ajakohasele riskihinnangule ning konkreetsetele asjaoludele. Haldusakt, mis annab ette üldise õiguse teha auditit korduvalt pikema ajavahemiku jooksul ilma igakordse põhjendamiseta, tekitab ettevõtjale õiguslikku ebaselgust. Juhul, kui tekib vajadus korduva või uue sihipärase auditi tegemiseks, tuleb selleks igal konkreetsel juhul anda uus haldusakt, kus on selgelt märgitud ja põhjendatud uue auditi vajadus ning täpne käsitlusala.
Kaubanduskoja ettepanek:
Jätta eelnõu § 2 lõige 3 eelnõust välja ja säilitada põhimõte, et iga sihipärane turvaaudit määratakse eraldiseisva ning põhjendatud haldusaktiga.
4. Turuhinna hindamise kriteeriumide ebamäärasus
Eelnõu § 4 lg 3 ütleb, et Riigi Infosüsteemi Amet teeb hüvitamisele kuuluva summa kindlaks lähtudes esitatud dokumentidest ja kantud kulu põhjendatusest, arvestades muuhulgas samaväärse auditi turuhinda. Lisaks ütleb eelnõu § 4 lg 4 p 3, et Riigi Infosüsteemi Amet võib otsustada hüvitada auditi kulu osaliselt, kui sihipärase turvaauditi hind ületab oluliselt samaväärse auditi turuhinda.
Leiame, et kuna auditite turg on piiratud ning spetsiifilisi ekspertteadmisi nõudvad auditid võivad hinnaklassilt märkimisväärselt erineda, tekitab „turuhinna“ hindamine RIA ainuisikulise kaalutluse alusel ettevõtjale olulise ettenägematuse.
Kaubanduskoja ettepanek:
Sätestada eelnõus selged alused või vaidlustusmehhanism juhuks, kui RIA hindab auditi maksumuse turuhinnast kõrgemaks, või tugineda hüvitamisel eelnevalt kooskõlastatud audiitori hinnapakkumisele.
5. Hüvitatavate kulude sisu
Eelnõu § 4 lg 3 ütleb, et Riigi Infosüsteemi Amet teeb hüvitamisele kuuluva summa kindlaks lähtudes esitatud dokumentidest ja kantud kulu põhjendatusest, arvestades muuhulgas samaväärse auditi turuhinda. Lisaks on öeldud sättes, et hüvitatakse vaid auditi tegemise kulud ning viiviseid ja leppetrahve ei hüvitata.
Kaubanduskoja hinnangul jääb eelnõu § 4 lg 3 sõnastuses hetkel arusaamatuks see, mis kulusid tegelikult hüvitama hakatakse. Leiame, et säte võiks sisaldada täpselt, milliseid kulusid hüvitatakse (nt tööjõukulu).
Kaubanduskoja ettepanek:
Teeme ettepaneku täiendada eelnõu § 4 lg-t 3 lausega, et Riigi Infosüsteemi Amet hüvitab sihipärase turvaauditi tegemiseks vajaliku ja põhjendatud audiitori tasu ning auditi tegemisega otseselt seotud dokumenteeritud tööjõu- ja muud vältimatud kulud.
6. Audiitori kvalifikatsiooninõuete täpsustamine
Eelnõu § 2 lg 2 ütleb, et sihipärast turvaauditit teeb teenuseosutajaväline sõltumatu isik, kellel on auditi tegemise ajal kehtiv rahvusvaheliselt tunnustatud infosüsteemide audiitori kutsetunnistusvõi tehnilist kvalifikatsiooni tõendav muu dokument.
Kaubanduskoja hinnangul vajavad täpsustamist eelnõu seletuskirjas audiitorile kehtestatud kvalifikatsiooninõuded. Eelnõu kohaselt peab audiitoril olema rahvusvaheliselt tunnustatud infosüsteemide audiitori kutsetunnistus või muu tehniline kvalifikatsioon, kuid ettevõtja jaoks ei pruugi olla selge, milliseid kvalifikatsioone käsitatakse nõuetele vastavana. Seega ei ole hetkel tagatud, et ettevõtja saaks enne audiitoriga lepingu sõlmimist piisava kindlusega veenduda, et audiitor vastab nõutud tingimustele. Seetõttu teeme ettepaneku eelnõu seletuskirjas avada, millist kvalifikatsiooni Riigi Infosüsteemi Amet käsitleb käesoleva lõike nõuetele vastavana. Selgemad kvalifikatsiooni- ja sobivuskriteeriumid annaksid teenuseosutajale suurema kindluse audiitori valikul ning vähendaksid riski, et ettevõtja alustab audiitori leidmiseks hanke- või läbirääkimisprotsessi isikuga, kelle Riigi Infosüsteemi Amet hiljem nõuetele mittevastavaks tunnistab.
Kaubanduskoja ettepanek:
Täpsustada eelnõu seletuskirjas, millistele kvalifikatsiooninõuetele peab audiitor vastama ning milliste kriteeriumide alusel hindab Riigi Infosüsteemi Amet audiitori sobivust.
7. Turvaauditi kättesaadavaks tegemine
Eelnõu § 2 lg 5 ütleb, et auditeeritav teenuseosutaja tagab, et sihipärase turvaauditi tulemus tehakse Riigi Infosüsteemi Ametile kättesaadavaks viivituseta, kuid hiljemalt viie tööpäeva pärast alates sellest teada saamisest.
Kaubanduskoja hinnangul on väljend „alates sellest teada saamisest“ ebamäärane ning võib tekitada erinevaid tõlgendusi selle kohta, millisest hetkest hakkab viie tööpäeva pikkune tähtaeg kulgema. Tähtaeg peaks olema seotud selgelt määratletava ja objektiivselt tuvastatava sündmusega.
Kaubanduskoja ettepanek:
Muuta eelnõu § 2 lg 5 sõnastust selliselt, et viie tööpäeva pikkune tähtaeg hakkab kulgema alates audiitorilt sihipärase turvaauditi lõppraporti kättesaamisest.
Lugupidamisega
/allkirjastatud digitaalselt/
Mait Palts
Eesti Kaubandus-Tööstuskoja peadirektor
Ireen Tarto
[email protected]