Arvamuse avaldamine eelnõule

Lõõtsa 8a / 11415 Tallinn / [email protected] / www.rit.ee / Registrikood 77001613

Lp Liisa-Ly Pakosta Justiitsministeerium [email protected]

Teie 14.08.2025 nr 8-1/6499-1 Meie 14.08.2025 nr 1-5/25-263-2

Arvamuse avaldamine eelnõule

Täname, et saatsite arvamuse avaldamiseks majandus- ja infotehnoloogiaministri määruse „Ettevõtlus ja infotehnoloogiaministri 16. detsembri 2022. a määruse nr 101 „Eesti infoturbestandard“ muutmine“ eelnõu. 1. Teeme ettepaneku lisa 2 pealkirja lisada versiooni number, et oleks selgelt arusaadav, millise

versiooniga on tegu. Toome välja, et juhtaudiitorile esitatavate nõuete osas puudub selge kontrollimehhanism ning ei ole määratletud tagajärgi juhuks, kui hiljem ilmneb, et isik ei vastanud mõnele tingimusele. Samuti juhime tähelepanu riskile, et piiravad nõuded võivad audiitorite turgu liigselt piirata. Lisandunud on uued mõisted ja printsiibid, mille soovitame lahti kirjutada ja viidata või selgitada näidetega, et oleks üheselt mõistetav.

2. PEARO puhul soovitame muuta mõistet "aktsepteeritud risk", mis ei ole üheselt arusaadav. Praktikas viitab mõiste sõnastus see sellele, et on otsustatud meede jätta rakendamata, mitte, et risk ise oleks aktsepteeritud. Soovitame asendada või täiendada seda mõistet "otsustatud mitte rakendada" vms mõistega, mis ühtib praktikaga.

3. Uute alusohtude osas ei ole enam G-ga algavaid koode. Kuidas plaanitakse neid E-ITS meetmetega siduda? Millest tuleb lähtuda? Vastavustabelid on 2023 versiooni osas, aga 2024 puhul puuduvad.

4. Lisas 1 palume parandada grammatilised vead ja sõnastust järgnevalt: punkti 1.1 viimases lauses on kirjaviga (Eesti infoturbestandard ei korraldata riigisaladuse ega salastatud välisteabe turvet.), peab olema, “ei korralda”; punktis 2, termini 7 lühikese definitsiooni lahtris on ilmselt punkt puudu- “…on suunatud ärieesmärkide…” ees peab olema punkt. Terminis 22, samuti punkt vahelt puudu-“..E-ITSis kasutatakse..” ees. Punktis 5.2.6 on lause lõpus kaks punkti; punkti 2 mõiste 10 definitsiooni selgituses on kasutatud mõistet “turbekontseptsioon”. Ettepanek kasutada “infoturbe kontseptsioon”, mida lisa 1 punkt 4.1 ka edaspidi kasutab; mõiste 18- meetme teostatuse määr ei anna ette, milliseid määrasid kasutada saab/peab. Ettepanek need mõiste all välja tuua; punktis 7.2.6 ei ole lause sõnastus selge: „Väljajäetud põhimeetmetest ja standardmeetmetest põhjendatakse, lähtudes eelkõige riskide aktsepteerimise kriteeriumitest.“ Kas meetmete rakendamata jätmist põhjendatakse?

Lugupidamisega

(allkirjastatud digitaalselt)

2/2

Ergo Tars direktor