MINISTRI MÄÄRUSE EELNÕU MINISTRI MÄÄRUS

Justiits- ja digiministri 14. juuli 2026. a määruse nr 25

"Küberturbe taseme tõstmise toetuse andmise ja

kasutamise tingimused ja kord" muutmine

Määrus kehtestatakse riigieelarve seaduse § 531 lõike 1 alusel.

§ 1. Justiits- ja digiministri 14. juuli 2026. a määruses nr 25 „Küberturbe taseme tõstmise toetuse

andmise ja kasutamise tingimused ja kord“ tehakse järgmised muudatused:

1) paragrahvi 4 lõige 2 sõnastatakse järgmiselt: „(2) Teekaardi koostab ekspert, kes teekaardi koostamise ajal vastab vähemalt ühele järgmistest nõuetest: 1) ta on viimase viie aasta jooksul osalenud vähemalt kaheküberturbe taseme hindamise, vähemalt ühe infoturbe auditi või Eesti infoturbestandardi, ISO 27001 või muu samaväärse standardi rakendamise projekti elluviimisel;

2) tal on kehtiv rahvusvaheliselt tunnustatud infosüsteemide audiitori kutsetunnistus või muu

samaväärne küberturbe või infoturbe valdkonna sertifikaat.“;

2) paragrahvi 12 lõike 4 punkt 1 sõnastatakse järgmiselt:

„1) teekaardi koostaja käesoleva määruse § 4 lõikes 2 sätestatud nõuetele vastavust tõendavad

dokumendid;“;

3) paragrahvi 19 lõike 2 punkt 9 tunnistatakse kehtetuks.

§ 2. Määrust rakendatakse tagasiulatuvalt 24. juulist 2026. aastal. Liisa-Ly Pakosta

justiits- ja digiminister

Tiina Uudeberg

kantsler

Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898

Rahandusministeerium Justiits- ja digiministri 14. juuli 2026. a määruse nr 25 "Küberturbe taseme tõstmise toetuse andmise ja kasutamise tingimused ja kord" muutmine Esitame kooskõlastamiseks justiits- ja digiministri 14.07.2026 määruse nr 25 „Küberturvalisuse taseme tõstmise toetuse andmise ja kasutamise tingimused“ muutmise eelnõu. Ootame teie kooskõlastust hiljemalt 10 tööpäeva jooksul alates kirja kuupäevast. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisad:

1. määruse muutmise eelnõu 2. määruse muutmise eelnõu seletuskiri

Lisaadressaadid: Ettevõtluse ja Innovatsiooni SA Riigi Tugiteenuste Keskus Riigi Infosüsteemi Amet Natalja Zinovjeva [email protected]

Meie 22.10.2026 nr 8-1/7706-1

1

Justiits- ja digiministri määruse „Justiits- ja digiministri 14. juuli 2026. a määruse nr 25 „Küberturbe taseme tõstmise toetuse andmise ja kasutamise tingimused ja kord“

muutmine“ eelnõu

SELETUSKIRI

1. Sissejuhatus

Eelnõukohase määrusega muudetakse justiits- ja digiministri 14. juuli 2026. a määrust nr 25 „Küberturbe taseme tõstmise toetuse andmise ja kasutamise tingimused ja kord“.

Muudatuste eesmärk on täpsustada teekaardi koostaja kvalifikatsiooninõudeid ja nende täitmise tõendamist või kvalifikatsiooni tõendamist ning tunnistada kehtetuks toetuse saaja kohustus teavitada avalikkust toetuse päritolust. Teekaardi koostaja kvalifikatsiooninõuete muutmisega laiendatakse nõuetele vastavate ekspertide ringi, säilitades samal ajal nõude, et eksperdil peab olema teekaardi koostamiseks vajalik praktiline kogemus või kutsealast pädevust tõendav tunnistus või sertifikaat. Kvalifikatsiooni tõendavate dokumentide nõue viiakse muudetud kvalifikatsiooninõuetega kooskõlla.

Teekaardi koostaja nõuetele vastavust tõendavate dokumentidega seotud nõude täpsustamine ei muuda eeldatavasti toetuse taotlejate halduskoormust, kuna sellega ei kehtestata uut kohustust, vaid laiendatakse teekaardi koostamise teenuste võimalike pakkujate ringi. Avalikkuse teavitamise kohustuse kehtetuks tunnistamise eesmärk on vältida küberturvalisuse seaduse § 31 lõike 2 alusel koostatavas nimekirjas sisalduva asutusesiseseks kasutamiseks mõeldud teabe kaudset avalikustamist toetuse saajate kohta avaldatava teabe kaudu. Avalikkuse teavitamise kohustuse kehtetuks tunnistamine vähendab toetuse saajate halduskoormust, sest neil ei tule enam toetuse päritolu kohta teavet avaldada. Muudatused ei mõjuta üksikisikute ega vabaühenduste halduskoormust.

Määruse eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse talituse protsessijuht Natalja Zinovjeva ([email protected]). Eelnõu on keeleliselt toimetanud sama ministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Aili Sandre ([email protected]).

2. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb kahest paragrahvist. Eelnõu §-s 1 tehakse määruses kolm muudatust ning §-s 2 sätestatakse määruse tagasiulatuv rakendamine.

Eelnõu § 1 punktiga 1 sõnastatakse määruse § 4 lõige 2 uuesti. Kehtiva korra kohaselt peab teekaardi koostajal olema teekaardi koostamise ajal kehtiv rahvusvaheliselt tunnustatud infosüsteemide audiitori kutsetunnistus. Määruse rakendamisel on ilmnenud vajadus võimaldada teekaarti koostada ka eksperdil, kelle pädevus tuleneb asjakohasest praktilisest kogemusest või muust samaväärsest küberturbe- või infoturbevaldkonna sertifikaadist.

Muudetud lõike 2 punkti 1 kohaselt peab ekspert olema viimase viie aasta jooksul osalenud vähemalt kahe küberturbe taseme hindamise, vähemalt ühe infoturbe auditi või Eesti infoturbestandardi, ISO 27001 või muu samaväärse standardi rakendamise projekti elluviimisel. Viieaastane ajavahemik tagab, et arvesse võetakse piisavalt ajakohast praktilist kogemust. Loetletud tegevused hõlmavad küberturbe või infoturbe olukorra hindamist, auditeerimist või infoturbe juhtimissüsteemi ja turvameetmete rakendamist ning võimaldavad hinnata eksperdi suutlikkust koostada sisuline ja rakendatav teekaart.

Muudetud lõike 2 punkti 2 kohaselt võib teekaardi koostada ka ekspert, kellel on teekaardi koostamise ajal kehtiv rahvusvaheliselt tunnustatud infosüsteemide audiitori kutsetunnistus või muu samaväärne küberturbe- või infoturbevaldkonna sertifikaat. Sertifikaadi samaväärsuse hindamisel lähtutakse sellest, kas sertifikaadi saamiseks kontrollitavad teadmised ja oskused, sertifitseerimise ulatus, nõutav töökogemus ning sertifikaadi kehtivuse ja ajakohastamise tingimused tõendavad teekaardi koostamiseks vajalikku küberturbe- või infoturbealast pädevust. Samaväärsust hindab taotluse menetlemisel rakendusüksus taotleja esitatud dokumentide ja vajaduse korral täiendavate selgituste alusel.

Nõuded on alternatiivsed: eksperdi kvalifikatsioon peab teekaardi koostamise ajal vastama vähemalt ühele lõike 2 punktides 1 ja 2 sätestatud nõudest. Muudatus säilitab teekaartide kvaliteedi tagamiseks vajaliku pädevuslävendi, kuid vähendab põhjendamatuid piiranguid ekspertide valikul.

Eelnõu § 1 punktiga 2 sõnastatakse määruse § 12 lõike 4 punkt 1 uuesti. Taotlusele tuleb lisada teekaardi koostaja kvalifikatsiooni tõendavad dokumendid, mis kinnitavad vastavust määruse § 4 lõikes 2 sätestatud

2

nõuetele. Muudatus viib tõendamisnõude kooskõlla § 4 lõike 2 uue sõnastusega ning võimaldab tõendada nii praktilist kogemust kui ka kutsetunnistuse või sertifikaadi olemasolu.

Muudetud kvalifikatsiooninõudeid kohaldatakse ka enne muudatuse jõustumist esitatud taotlustele, mille kohta ei ole veel tehtud lõplikku otsust. Kui menetluses oleva taotluse juures esitatud andmed või dokumendid ei võimalda hinnata teekaardi koostaja vastavust muudetud nõuetele, annab rakendusüksus taotlejale võimaluse esitada vajalikud täiendavad andmed või dokumendid. Nii tagatakse menetluses olevate taotluste ühetaoline kohtlemine.

Eelnõu § 1 punktiga 3 tunnistatakse määruse § 19 lõike 2 punkt 9 kehtetuks. Selle punkti kohaselt peab toetuse saaja teavitama avalikkust toetuse päritolust toetuse saamisest arvates, viidates sellele, et projekti on rahastanud Eesti riik.

Küberturvalisuse seaduse § 31 lõike 2 kohaselt koostab Riigi Infosüsteemi Amet iga kahe aasta järel teenuseosutajate ja domeeninimede registreerimise teenuse osutajate nimekirja. Sama paragrahvi lõike 3 kohaselt on lõikes 2 nimetatud teave avaliku teabe seaduse tähenduses asutusesiseseks kasutamiseks mõeldud teave. Avalikkuse teavitamise kohustus võib võimaldada järeldada, et toetuse saaja kuulub nimetatud nimekirja, ning seeläbi tuua kaasa kaitstava teabe kaudse avalikustamise. Seetõttu tunnistatakse kõnealune teavitamiskohustus kehtetuks.

Eelnõu §-s 2 sätestatakse, et määrust rakendatakse tagasiulatuvalt 24. juulist 2026. a. Tagasiulatuv rakendamine laiendab taotlejate võimalusi teekaardi koostaja valikul ning vähendab toetuse saajate kohustusi. Meetme taotlusvoor avati 31. augustil 2026. a ning seletuskirja koostamise ajaks oli tehtud kaks taotluse rahuldamise otsust. Rakendusüksus (Ettevõtluse ja Innovatsiooni Sihtasutus) on kavandatud muudatusest teadlik ning nõustab sellest lähtudes hiljuti taotluse rahuldamise otsuse saanud toetuse saajaid. Seetõttu ei kahjusta tagasiulatuv rakendamine juba tekkinud õigusi ega õiguspärast ootust, vaid võimaldab kohaldada kõigile sama taotlusvooru taotlejatele ühetaolisi, leebemaid nõudeid alates muudetava määruse jõustumisest.

3. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõuga tehtavad muudatused puudutavad riigisisese toetusmeetme teekaardi koostaja kvalifikatsiooninõudeid, kvalifikatsiooni tõendamist ja toetuse päritolust teavitamise kohustust. Muudatustega ei võeta üle Euroopa Liidu direktiivi ega rakendata Euroopa Liidu määrust ning muudatused ei ole otseselt seotud Euroopa Liidu õiguse rakendamisega.

4. Määruse mõju

Teekaardi koostaja kvalifikatsiooninõuete täpsustamisel on positiivne mõju toetuse taotlejatele ja meetme rakendamisele. Alternatiivsete kvalifikatsiooninõuete kehtestamine laiendab nõuetele vastavate ekspertide ringi ning taotlejatel on lihtsam leida sobiv ekspert. Samal ajal säilib nõue tõendada teekaardi koostamiseks vajalikku ajakohast praktilist kogemust või kutsealast pädevust, mis toetab teekaartide kvaliteeti. Teekaardi koostaja nõuetele vastavust tõendavate dokumentidega seotud nõude täpsustamine ei muuda toetuse taotlejate halduskoormust, kuna sellega ei kehtestata uut dokumentide esitamise kohustust.

Kvalifikatsiooni tõendavate dokumentide nõude täpsustamine parandab õigusselgust ja võimaldab rakendusüksusel kontrollida eksperdi vastavust üheselt määruse § 4 lõikes 2 sätestatud nõuetele. Menetluses olevatele taotlustele täiendavate andmete või dokumentide esitamise võimaluse andmine aitab vältida olukorda, kus taotleja jääb muudatuse tõttu ebasoodsamasse olukorda.

Avalikkuse teavitamise kohustuse kehtetuks tunnistamine vähendab toetuse saajate halduskoormust, sest neil ei tule enam toetuse päritolu kohta teavet avaldada, ning aitab vältida küberturvalisuse seaduse § 31 lõikes 2 nimetatud nimekirjaga seotud asutusesiseseks kasutamiseks mõeldud teabe kaudset avalikustamist. Muudatus toetab seega küberturvalisuse seisukohalt tundliku teabe kaitset. Muudatused ei mõjuta üksikisikute ega vabaühenduste halduskoormust.

5. Määruse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud

Muudatus ei muuda küberturbe taseme tõstmise toetusmeetme eelarve mahtu. Rakendusüksus hindab taotluste menetlemisel teekaardi koostaja kvalifikatsiooni tõendavaid dokumente muudetud nõuete alusel ning annab vajaduse korral menetluses oleva taotluse esitanule võimaluse andmeid või dokumente täiendada. Sellega võib kaasneda vähene ühekordne menetluskoormus, mis kaetakse rakendusüksuse olemasolevate vahendite arvel. Kohaliku omavalitsuse üksustele muudatusega uusi ülesandeid, kulusid ega tulusid ei kaasne.

6. Määruse jõustumine

3

Määrust rakendatakse tagasiulatuvalt alates 24. juulist 2026. a. Muudatused on taotlejatele ja toetuse saajatele soodsamad ega kahjusta tekkinud õigusi ega õiguspärast ootust. Seletuskirja koostamise ajaks oli tehtud kaks taotluse rahuldamise otsust; rakendusüksus on muudatusest teadlik ja nõustab taotluse rahuldamise otsuse saanud toetuse saajaid. Selline rakendamine tagab kogu taotlusvoorus ühtsed tingimused.

7. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

Eelnõu esitatakse eelnõude infosüsteemi EIS vahendusel kooskõlastamiseks Rahandusministeeriumile, Riigikantseleile, Ettevõtluse ja Innovatsiooni Sihtasutusele, Riigi Infosüsteemi Ametile ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule.

Ettevõtluse ja Innovatsiooni Sihtasutus avaldab muudatuste kohta teabe oma veebilehel ning nõustab nii taotlejaid kui ka kahte toetuse saajat, kelle taotlus on juba rahuldatud. Menetluses olevate taotluste puhul saab vajaduse korral esitada kvalifikatsiooni hindamiseks lisaandmeid või dokumente.