ISO 27001 siseaudit perioodiks 2025-2027

HANKELEPING nr 1-18/2026/5

(hiliseima digitaalallkirja kuupäev)

Riigimetsa Majandamise Keskus, registrikoodiga 70004459, asukohaga Mõisa/3, Sagadi küla,

Haljala vald, 45403 Lääne-Virumaa (edaspidi Tellija), keda esindab RMK 12.06.2020 otsuse nr 1-11/5 alusel siseaudititalituse juhataja Tarmo Hellat, ühelt poolt

ja KPMG Baltics OÜ, registrikoodiga 10096082, asukohaga Ahtri tn 4, 10151 Tallinn (edaspidi Täitja),

keda esindab volikirja alusel Mihkel Kukk,

keda edaspidi nimetatakse ka eraldi Pool või koos Pooled on sõlminud raamlepingu (edaspidi Leping)

alljärgnevas:

1. Üldsätted 1.1. Käesolev Leping sõlmitakse väikehanke „ISO 27001 siseaudit perioodiks 2025-2027“ (viitenumber

302747, DHS 1-47.3566) tulemusena.

1.2. Lepingu objektiks on RMK infoturbestandardi ISO27001:2022 vastavuse hindamiseks siseauditi läbiviimine (edaspidi Töö), st kindlustandva hinnangu andmine järgmises mahus:

1.2.1. RMK vastavuse hindamine nimetatud standardi nõuetele, võttes aluseks standardi versiooni (ISO27001:2022);

1.2.2. hetkeolukorra kaardistamine ja analüüsimine võrdlemaks juhtimissüsteemi tegeliku ja oodatava tulemuse lahknevusi;

1.2.3. Töö tulemusi kajastava aruande koostamine, milles on kirjeldatud vastavused ja

mittevastavused ning esitatud parendusettepanekud. 1.3. Täitja esitab RMK-le auditi läbiviimise kava vähemalt üks nädal enne auditi toimumist ja

kooskõlastab selle RMK-ga. 1.4. Kavas kajastatakse vähemalt järgnev:

1.4.1. siseauditi ajakava, sh tööde lühikirjeldus;

1.4.2. töö maht tundides; 1.4.3. auditi meeskonna liikmed ja nende töötamise aeg hankija juures kuupäevade kaupa;

1.4.4. RMK ametikohad, kes on auditi läbiviimiseks vajalikud; 1.4.5. auditi läbiviimisega seotud logistilised ja muud korralduslikud üksikasjad.

1.5. Auditid viiakse läbi kooskõlas auditeerimise hea tavaga ja eesti keeles. Auditi dokumendid

koostatakse eesti keeles. 1.6. Täitja koostab läbiviidud auditi põhjal aruande tööversiooni, mille esitab pärast auditi

lõpukoosolekut mõistliku aja (üldjuhul mitte hiljem kui 10 päeva) jooksul RMK-le kommenteerimiseks.

1.7. RMK edastab omapoolsed kommentaarid aruandele mõistliku aja (üldjuhul mitte hiljem kui 10 päeva) jooksul Täitjale.

1.8. Pärast RMK kommentaaride saamist koostab Täitja aruande lõppversiooni, mille esitab RMK-le

mõistliku aja (üldjuhul mitte hiljem kui 10 päeva) jooksul.

2. Tasumine 2.1. Töö kogumaksumus on 14 900,00 eurot, millele lisandub käibemaks.

2.2. Täitja esitab arved töö tegemise eest pärast vastava auditi aruande lõppversiooni esitamist RMKle

järgmiselt:

Töö Maksumus (käibemaksuta)

2.2.1 Esimene vaheaudit (2025/2026) 4900,00

2.2.2 Teine vaheaudit 2026. aastal 5000,00

2.2.3 Kolmas vaheaudit 2027. aastal 5000,00

2.3. Lepingu maksumus sisaldab nõuetekohase ja kvaliteetse töö tegemiseks kõiki vajalikke kulusid. Lepingus fikseeritud tasu on Täitja ainus tasu seoses lepinguga ning see ei ole seatud sõltuvusse

inflatsioonist, tööjõu või muude vahendite kallinemisest või mistahes muudest teguritest. Juhul

kui auditi maht muutub seoses Tellija organisatsioonis või juhtimissüsteemis toimunud oluliste

muudatuste tõttu, mis võivad mõjutada sertifitseeritud juhtimissüsteemi, teavitab Tellija sellest

Täitjat ja vajadusel vormistatakse vastav hankelepingu muudatus, milles fikseeritakse auditi uus maht ja maksumus.

2.4. RMK tasub tehtud auditite eest Täitja poolt esitatud arve(te) alusel. 2.5. Arve esitamise aluseks on Täitja poolt RMK-le esitatud auditi aruande lõppversioon.

2.6. Täitja esitab arve vaid elektrooniliselt. Arve esitamiseks tuleb kasutada elektrooniliste arvete

esitamiseks mõeldud raamatupidamistarkvara või raamatupidamistarkvara E-arveldaja, mis asub ettevõtjaportaalis https://www.rik.ee/et/e-arveldaja. Välismaine ettevõtja võib arve saata e-posti

aadressile [email protected]. 2.7. RMK tasub arvel oleva summa arvel näidatud pangakontole 14. päeva jooksul arve väljastamise

kuupäevast.

3. Tellija õigused ja kohustused

3.1. Tellijal on õigus: 3.1.1. igal ajal esitada küsimusi ja saada vastuseid töö teostamise sisendite, väljundite, töö

ajakava ja muude töö teostamist puudutavate asjaolude kohta; 3.1.2. osaleda töö ajakava koostamisel ning prioriteetide seadmisel;

3.1.3. saada kirjalikku taasesitamist võimaldavas vormis ülevaateid töö käigu kohta ja teavet töö

käigus kogutud dokumentide ja teabe kohta; 3.1.4. tugineda töö või selle muudatuste nõuetele mittevastavusele ka mõistliku aja jooksul pärast

tööde vastuvõtmist ning seda ka juhul, kui Tellija oleks võinud tööde mittevastavuse avastada ka tööde teostamise käigus või üleandmisel ja vastuvõtmisel.

3.2. Tellijal on kohustus: 3.2.1. anda Täitjale vajadusel analüüside jmt koostamiseks juurdepääs kogu vajaminevale

dokumentatsioonile ja teabele, sh infosüsteemidele;

3.2.2. järgida kõiki nõudeid ja sertifitseerimistingimusi, mis talle kui auditeeritavale asutusele kohalduvad, niivõrd kuivõrd need ei ole vastuolus lepingu ja riigihanke alusdokumentidega

ning allkirjastama vajadusel vastava kokkuleppe/kinnituse, mis on käesoleva lepingu lisaks (selline vajadus võib eelkõige olla tingitud Täitja töökorralduslikest protsessidest);

3.2.3. kui tööde käigus ei ole kokku lepitud teisiti, siis anda Täitja poolt Tellijale esitatud tulemite

osas tagasisidet 10 tööpäeva jooksul, andes vajadusel lisatähtaja täienduste tegemiseks; 3.2.4. teha Täitjaga igakülgselt koostööd lepingu eesmärgi saavutamiseks;

3.2.5. tasuda nõuetekohaselt teostatud tööde eest vastavalt lepingule.

4. Täitja õigused ja kohustused

4.1. Täitjal on õigus: 4.1.1. saada Tellijalt informatsiooni, dokumente ja teavet, mis on vajalik ja asjakohane lepingu

täitmiseks; 4.1.2. saada Tellijalt tagasisidet töö käigu, ajakava ja töö prioriteetide osas;

4.1.3. saada tasu nõuetekohaselt teostatud tööde eest. 4.2. Täitjal on kohustus:

4.2.1. teostada töö hankelepingus sätestatud tingimustel ja tähtaegadel ning lepingus

kokkulepitud tasu eest; 4.2.2. informeerida Tellijat viivitamatult töö teostamise takistustest;

4.2.3. esitada Tellijale tööde kirjaliku dokumentatsiooni ja töö teostamise käigus kogutud andmed jm dokumentatsiooni ja teabe, kokkulepitud tähtaegadel ja korras;

4.2.4. tagada kõigi Täitja meeskonna liikmete sõltumatuse ja huvide konflikti kontrolli. Juhul, kui

töö käigus peaks ilmnema huvide konflikt või muu sarnane Täitja meeskonna liikme sõltumatust kahtluse alla seadev asjaolu, teavitab Täitja Tellijat sellest viivitamatult ning

tagab meeskonna liikme välja vahetamise samaväärse kvalifikatsiooniga sõltumatu tippspetsialisti vastu;

4.2.5. hoida konfidentsiaalsena töö teostamisel kogutud Tellijat puudutavat informatsiooni, mis ei ole avalik teave.

5. Poolte vastutus 5.1. Lepingust tulenevate kohustuste täitmata jätmise või mittekohase täitmisega teisele poolele

tekitatud otsese varalise kahju eest vastutavad pooled selle kahju ulatuses, kuid mitte rohkem

kui kahekordse lepingu kogumaksumuse ulatuses, välja arvatud tahtliku pettuse, süüteo või

rahvusvaheliste standardite rikkumise korral. 5.2. Juhul, kui Täitja viivitab aruande lõppversiooni üleandmisega üle kokkulepitud tähtaja, on RMK-l

õigus nõuda leppetrahvi tasumist, mille suuruseks on 0,15% lepingu kohaselt Täitjale makstavast tasust iga üleandmisega viivitatud kalendripäeva eest, kuid kokku mitte rohkem kui 30% Täitjale

makstavast tasust. RMK-l on õigus auditeerimise eest tasumisel vähendada Täitjale makstavat

tasu leppetrahvi summa võrra. 5.3. Juhul, kui RMK viivitab Täitjale tasu maksmisega üle kokkulepitud tähtaja, on Täitjal õigus nõuda

viivist summas 0,15% tasumisega viivitatud summast iga tasumisega viivitatud kalendripäeva eest, kuid mitte rohkem, kui 30% tasumisega viivitatud summast.

5.4. Pooled kohustuvad hoidma konfidentsiaalsena kõik seoses lepingu täitmisega teatavaks saanud isikuandmed, samuti muud usalduslikud ja ärisaladusteks peetavad andmed.

5.5. Lepingust tulenevate kohustuste mittetäitmist või mittenõuetekohast täitmist ei loeta lepingu

rikkumiseks, kui selle põhjustab poolest mitteolenev ja poole tahtele mittealluv ettenägematu olukord või sündmus (vääramatu jõud). Vääramatu jõu asjaoludest kohustuvad pooled

viivitamatult kirjalikult teist poolt teavitama.

6. Konfidentsiaalsuskohustus

6.1. Täitja kohustub lepingu kehtivuse ajal ning pärast lepingu lõppemist määramata tähtaja jooksul hoidma konfidentsiaalsena kõiki talle seoses lepingu täitmisega teatavaks saanud andmeid, mille

konfidentsiaalsena hoidmise vastu on Tellijal eeldatavalt õigustatud huvi. 6.2. Olenemata sellest, mis vormis see on esitatud, loetakse konfidentsiaalseks informatsiooniks:

6.2.1. Täitjale ükskõik missugune töö teostamisel teada saanud teave, mis võib kolmandatele isikutele avaldatult kahjustada lepingus seatud eesmärgi täitmist;

6.2.2. muu teave, mis on Tellija poolt tunnistatud asutusesiseseks kasutamiseks või mille

konfidentsiaalsust nõuab seadus või mille kohta on Tellija teatanud, et tegemist on konfidentsiaalse informatsiooniga või mille kohta Täitja peaks põhjendatult arvama, et teine

pool peab seda konfidentsiaalseks või mis ei ole kolmandatele isikutele õiguspäraselt konfidentsiaalsuskohustuseta kättesaadav ning on Täitjale teatavaks saanud lepingu või

poolte vahel sõlmitud muu kokkuleppe ettevalmistamise, täitmise või rikkumise tõttu.

6.3. Konfidentsiaalset informatsiooni, mis saab Täitjale teatavaks elektrooniliselt või muul viisil kirjalikult, võib salvestada, paljundada või (elektrooniliselt) kopeerida ainult lepingus või tulevikus

sõlmitavates lepingutes fikseeritud eesmärkide täitmiseks. Tellija nõudel peab Täitja viivitamata tagastama või hävitama konfidentsiaalse informatsiooni, kui pooled ei lepi kokku teisiti.

6.4. Täitja ei avalda konfidentsiaalset informatsiooni kolmandatele isikutele ning teeb kõik endast

oleneva, et konfidentsiaalne informatsioon ei satuks kolmandate isikute valdusesse. Konfidentsiaalse informatsiooni avaldamine kolmandatele isikutele võib toimuda ainult seaduses

otseselt ettenähtud juhtudel või Tellija eelneval kirjalikul nõusolekul. Käesolev konfidentsiaalsusnõue ei laiene poolte pankadele, juriidilistele nõustajatele ja audiitoritele,

kindlustusandjatele ega Täitja ülemaailmsesse võrgustikku kuuluvatele juriidilistele isikutele või seltsingutele, alltäitjatele või teenusepakkujatele, kes on seotud konfidentsiaalsuskohustusega.

6.5. Täitja kohustub kasutama konfidentsiaalset informatsiooni ainult lepingu eesmärkide täitmiseks.

Konfidentsiaalsuskohustuse rikkumine ei ole õigusaktides ettenähtud juhtudel lepingut puudutava informatsiooni avaldamine selleks õigustatud riigi- ja valitsusasutustele.

6.6. Täitja kohustub tagama, et tema esindaja(d), töötajad, lepingupartnerid ning muud isikud, keda ta oma kohustuste täitmisel kasutab, oleksid käesolevas lepingus sätestatud konfidentsiaalsuse

kohustusest teadlikud ning nõudma nimetatud isikutelt selle kohustuse tingimusteta ja tähtajatut

täitmist. 6.7. Täitja kohustub tagama lepingu täitmise käigus isikuandmete töötlemise õiguspärasuse ning

vastavuse isikuandmete kaitse üldmääruses (EL 2016/679) ja teistes andmekaitse õigusaktides sätestatud nõuetele, sh täitma organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid

konfidentsiaalsete andmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku hävimise, tahtliku hävitamise, avalikustamise jms eest.

6.8. Kui Täitja ei täida käesolevas punktis kokku lepitud kohustust, on tegemist Täitja poolse lepingu

olulise rikkumisega. Iga rikkumise korral on Tellijal õigus nõuda lepingu rikkumisega tekitatud kahju hüvitamist täies ulatuses.

6.9. Konfidentsiaalsuskohustuse rikkumise korral kohustub Täitja rakendama kõiki mõistlikke abinõusid Tellijale tekitatud kahju vähendamiseks.

7. Autoriõigused

7.1. Töö omandiõigus ja töö teostamise raames loodud Täitja autoriõigusega teoste varalised õigused lähevad ilma ajaliste või geograafiliste piiranguteta töö üleandmise-vastuvõtmise akti

mõlemapoolse allkirjastamise hetkel üle Tellijale. 7.2. Täitja annab Tellijale tagasivõetamatu ainulitsentsi töö või selle osa kasutamiseks, muutmiseks,

teosele lisade lisamiseks ja teosest tuletatud teoste tegemiseks Tellija enda tarbeks.

7.3. Kõik töö käigus saadud, koostatud või kogutud andmed ning muud materjalid (näiteks küsimustikud, juhendid, lisaandmed) kuuluvad Tellijale. Pärast töö valmimist annab Täitja kõik

andmed ja materjalid Tellijale üle või hävitab need.

8. Poolte kontaktisikud 8.1. RMK kontaktisikuteks pooltevahelises asjaajamises on:

8.1.1. lepingulised küsimused – siseaudititalituse juhataja, Tarmo Hellat, tel: +372 5340 1823, e-

post [email protected]; 8.1.2. auditeerimise protsessiga seotud küsimused – kvaliteedi- ja teabehalduse juht, Ave Metsla,

tel: +372 523 6585, e-post [email protected]. 8.2. Täitja kontaktisikuks pooltevahelises asjaajamises on IT auditi ja riskiteenuste juht Ivar Anton,

tel: +372 5553 7363, e-post [email protected].

8.3. Pooled on kohustatud kirjalikult teatama oma nime, juriidilise aadressi, kontaktnumbrite (telefoni, e-posti aadressi), pangarekvisiitide, kontaktisiku või mõne muu olulise rekvisiidi muutumisest viie

päeva jooksul muudatuse toimumisest arvates. Vastasel korral on õigus eeldada, et kõik varem teada antud poolte rekvisiidid kehtivad ja nende kohaselt saadetud teated on pooled kätte

saanud.

9. Teadete edastamine

9.1. Lepinguga seotud teated edastatakse kirjalikku taasesitamist võimaldavas vormis ehk e-kirja teel lepingus märgitud e-posti aadressidele. Kontaktandmete muutusest on pool kohustatud koheselt

informeerima teist poolt. 9.2. Pooled kohustuvad teineteist teavitama mistahes lepinguga seotud olulistest asjaoludest, mille

vastu teisel poolel on äratuntav huvi.

9.3. E-kirja teel edastatud teated peetakse kätte saaduks alates teate edastamisele järgnevast tööpäevast.

9.4. Lepingust taganemise või lepingu ülesütlemise avaldused ning lepingu rikkumisel teisele poolele esitatavad nõudekirjad peavad olema kirjalikus vormis. Kirjaliku vormiga on võrdsustatud

digitaalselt allkirjastatud elektrooniline dokument.

10. Lepingu kehtivus

10.1. Leping jõustub selle mõlemapoolse allkirjastamise hetkel ja lõppeb pärast mõlema lepingupoole kõigi sellest lepingust tulenevate kohustuste täitmist.

10.2. RMK võib lepingu igal ajal olenemata põhjusest 30-päevase etteteatamistähtajaga üles öelda. Sellisel juhul on RMK kohustatud tasuma Täitjale lepingu ülesütlemise momendiks faktiliselt

tehtud töö eest.

10.3. Täitja võib Lepingu ennetähtaegselt üles öelda, kui Tellija on oluliselt lepingut rikkunud või, kui Tellijast tuleneval põhjusel ei ole lepingu eesmärgi saavutamine võimalik.

10.4. Juhul, kui Täitja ei ole auditi aruande tööversiooni RMK-le üle andnud hiljemalt kolme kuu möödumisel arvates kokkulepitud üleandmise tähtajast, on RMK-l õigus ilma Täitjale kokkulepitud

tasu maksmata lepingust ühepoolselt taganeda ja nõuda sisse lepinguga ettenähtud leppetrahv

ning tekitatud kahju. 10.5. Lepingu ennetähtaegsel lõpetamisel tuleb RMK-l tagastada kõik Täitja poolt väljastatud

sertifikaadid. Kõik viited sertifikaadile (nt sertifitseerimislogod reklaam- jm dokumentidel) tuleb viivitamatult kõrvaldada ja peatada.

11. Lõppsätted

11.1. Kõik lepingu muudatused jõustuvad pärast nende allakirjutamist mõlema poole poolt

allakirjutamise momendist või poolte poolt kirjalikult määratud tähtajal. 11.2. Lepingu täitmise keel on eesti keel. Erinevate rollide täitmiseks esitatud isikud peavad töötama

Tellija meeskonnaga eesti keeles ning Eesti õigusaktidega. Juhul, kui Täitja meeskonnaliikme

puhul ei ole täidetud eesti keele oskuse nõue, peab Täitja tagama omal kulul tõlkija olemasolu

suuliseks ja kirjalikuks suhtlemiseks vastava meeskonnaliikme ja Tellija vahel. 11.3. Lepingus nimetatud summadele lisandub käibemaks õigusaktides sätestatud juhul ja määras.

11.4. Kui mõni lepingu tingimus peaks osutuma osaliselt või täielikult kehtetuks või täitmisele mittepööratavaks, ei mõjuta see teiste lepingu tingimuste kehtivust ning lepingu ülejäänud

tingimused jäävad kehtima ja täitmisele pööratavaks. Sel juhul asendatakse kehtetu või täitmisele

mittepööratav tingimus õiguslikult kehtiva tingimusega, mis on sisult võimalikult lähedane poolte kavatsustele ja kehtetu tingimuse majanduslikule mõjule.

11.5. Lepinguga seonduvaid eriarvamusi ja vaidlusi lahendavad pooled eelkõige läbirääkimiste teel. Kui lepingust tulenevaid vaidlusi ei õnnestu lahendada poolte läbirääkimistega, lahendatakse vaidlus

õigusaktidega kehtestatud korras. 11.6. Leping on allkirjastatud digitaalselt.

Poolte rekvisiidid:

Tellija Täitja

Riigimetsa Majandamise keskus KPMG Baltics OÜ

Rg-kood: 70004459 Rg-kood: 10096082 Mõisa/3, Sagadi küla, Haljala vald, Ahtri tn 4, 10151 Tallinn

45403 Lääne-Virumaa Tel: +372 676 7500 Tel: +372 626 8700

E-post: [email protected] E-post: [email protected]

Tarmo Hellat Mihkel Kukk Siseaudititalituse juhataja

1

KONFIDENTSIAALSUSE TAGAMISE LEPING n 1-18/2026/5

(hiliseima digitaalallkirja kuupäev)

Riigimetsa Majandamise Keskus, edaspidi nimetatud RMK, keda esindab esindab RMK 12.06.2020 otsuse

nr 1-11/5/4.1 alusel siseaudititalituse juhataja Tarmo Hellat, ühelt poolt

ja KPMG Baltics OÜ, edaspidi nimetatud teabesaaja, teiselt poolt,

keda nimetatakse edaspidi käesolevas lepingus pool või koos poolteks, sõlmisid käesoleva

konfidentsiaalsuse tagamise lepingu, edaspidi nimetatud leping, alljärgnevas:

1. Lepingu eesmärgiks on fikseerida konfidentsiaalse informatsiooni edastamise, valdamise ja

kasutamise nõuded teabesaajale seoses tema tegevusega RMK ning KPMG Baltics OÜ vahel hanke „ISO 27001 siseaudit perioodiks 2025-2027“ (viitenumber 302747) tulemusel sõlmitud hankelepingust

nr … tulenevate kohustuste täitmisel audiitormeeskonna liikmena.

2. Teabesaaja on kohustatud hoidma saladuses konfidentsiaalset informatsiooni, teavet ja dokumente.

3. Konfidentsiaalne informatsioon on igasugune teave, dokument või andmed mistahes kujul või vormis,

mis on teabesaajale teatavaks saanud seoses tema punktis 1 nimetatud tegevustega, hõlmates sh, kuid mitte ainult:

3.1. mistahes lepingu tingimusi, majandustegevusega seotud andmeid, informatsiooni, dokumente vms, mida teabesaaja on enne või pärast lepingu sõlmimist teiselt poolelt teada saanud;

3.2. teavet RMK infotehnoloogiliste lahenduste ning tark- ja riistvara konfiguratsioonide kohta;

3.3. teavet, mis võib lihtsustada rünnete planeerimist (sh füüsilise, organisatoorse ja IT-turbe üldpõhimõtteid või detailsemat teavet);

3.4. teavet, mille avalikuks tulek võib kahjustada RMK hallatavaid infosüsteeme ja andmekogusid või mainet või usaldusväärsust;

3.5. teavet, millest nähtuvad süsteemide rakendamise või mitte rakendamisega seotud otsesed ja/või kaudseid

mõjud (sh rakendamise tähtajad, seotud finants-, hangetealane, vms sarnane teave); 3.6. kolmandate isikute ärisaladus, sh teave olemasolevate või kavandatavate finantsplaanide,

rahastamisallikate, maksetingimuste, ühikuhindade, tootmisprotsesside, tootmissisendite, äripartnerite, turunduskanalite, klientide, tarneahelate- ja tingimuste, IT lahenduste ja personali

kohta; 3.7. muu teave, mille konfidentsiaalsena hoidmist võib teabe olemust arvestades mõistlikult eeldada,

eelkõige selline teave, mille saladuses hoidmiseks on kolmas isik ise teinud pingutusi ja mille

avalikuks tulek võib kahjustada kolmanda isiku majandustegevust.

4. Teabesaaja on kohustatud: 4.1. kasutama konfidentsiaalset informatsiooni üksnes lepingus sätestatud eesmärgil ja raames ning mitte

avaldama seda kolmandatele isikutele;

4.2. mitte kopeerima, reprodutseerima või kasutama konfidentsiaalset informatsiooni väljaspool lepingu täitmisega otseselt seotud tegevusi, sh mitte kasutama konfidentsiaalset informatsiooni enda huvides.

5. Teabesaaja kinnitab, et hoiab konfidentsiaalset informatsiooni turvaliselt mistahes volitamata

juurdepääsu eest. Teabesaaja on kohustatud RMK-d viivitamatult teatama konfidentsiaalse informatsiooni sattumisest kolmandate isikute kätte.

6. Teabesaaja võib avaldada konfidentsiaalset informatsiooni RMK eelneval kirjalikku taasesitamist võimaldavas vormis antud loal. RMK annab nõusoleku konfidentsiaalse informatsiooni avaldamiseks

teabesaajale juhul, kui teabesaaja on õiguslikult kohustatud seda avaldama pädevatele organitele või isikutele seaduse või kohtu otsuse alusel.

7. Konfidentsiaalsuse tagamise nõuded ei kehti informatsioonile: 7.1. mis oli teada juba enne lepingu sõlmimise algust;

7.2. mis on saanud teatavaks nimetatud lepingust sõltumatult; 7.3. mille avalikustas õiguspäraselt kolmas isik käesoleva lepingu poolte tegevusest sõltumata;

2

7.4. mille avalikustamise kohustus tuleneb Eesti Vabariigis kehtivatest õigusaktidest.

8. Teabesaaja konfidentsiaalsuskohustus kehtib tähtajatult ka peale tööde teostamist ja lepingu

lõppemist.

9. Teabesaaja kohustub tagama lepingu täitmise käigus isikuandmete töötlemise õiguspärasuse ning

vastavuse isikuandmete kaitse üldmääruses (EL 2016/679) ja teistes andmekaitse õigusaktides sätestatud nõuetele, sh täitma organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid

konfidentsiaalsete andmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku hävimise, tahtliku hävitamise, avalikustamise jms eest.

10. Juhul, kui teabesaaja rikub lepingus kokkulepitud konfidentsiaalsuskohustust või kasutab konfidentsiaalset informatsiooni pahauskselt enda huvides ja sellega kaasneb kahju, on RMK-l õigus

nõuda kahju hüvitamist võlaõigusseaduse sätete alusel.

11. Lepinguga seonduvaid eriarvamusi ja vaidlusi lahendavad pooled eelkõige läbirääkimiste teel. Kui

lepingust tulenevaid vaidlusi ei õnnestu lahendada poolte läbirääkimistega, lahendatakse vaidlus õigusaktidega kehtestatud korras.

12. Käesolev leping ja kõik selle lepingu muudatused jõustuvad pärast nende allakirjutamist mõlema

poole poolt allakirjutamise momendist.

13. Leping on allkirjastatud digitaalselt.

Poolte andmed ja allkirjad

Riigimetsa Majandamise keskus KPMG Baltics OÜ

Rg-kood: 70004459 Rg-kood: 10096082

Mõisa/3, Sagadi küla, Haljala vald, Ahtri tn 4, 10151 Tallinn 45403 Lääne-Virumaa

Tel: +372 676 7500 Tel: +372 626 8700 E-post: [email protected] E-post: [email protected]

Tarmo Hellat Mihkel Kukk

Siseaudititalituse juhataja

1

KONFIDENTSIAALSUSE TAGAMISE LEPING n 1-18/2026/5

(hiliseima digitaalallkirja kuupäev)

Riigimetsa Majandamise Keskus, edaspidi nimetatud RMK, keda esindab esindab RMK 12.06.2020 otsuse

nr 1-11/5/4.1 alusel siseaudititalituse juhataja Tarmo Hellat, ühelt poolt

ja KPMG Baltics OÜ, edaspidi nimetatud teabesaaja, teiselt poolt,

keda nimetatakse edaspidi käesolevas lepingus pool või koos poolteks, sõlmisid käesoleva

konfidentsiaalsuse tagamise lepingu, edaspidi nimetatud leping, alljärgnevas:

1. Lepingu eesmärgiks on fikseerida konfidentsiaalse informatsiooni edastamise, valdamise ja

kasutamise nõuded teabesaajale seoses tema tegevusega RMK ning KPMG Baltics OÜ vahel hanke „ISO 27001 siseaudit perioodiks 2025-2027“ (viitenumber 302747) tulemusel sõlmitud hankelepingust

nr … tulenevate kohustuste täitmisel audiitormeeskonna liikmena.

2. Teabesaaja on kohustatud hoidma saladuses konfidentsiaalset informatsiooni, teavet ja dokumente.

3. Konfidentsiaalne informatsioon on igasugune teave, dokument või andmed mistahes kujul või vormis,

mis on teabesaajale teatavaks saanud seoses tema punktis 1 nimetatud tegevustega, hõlmates sh, kuid mitte ainult:

3.1. mistahes lepingu tingimusi, majandustegevusega seotud andmeid, informatsiooni, dokumente vms, mida teabesaaja on enne või pärast lepingu sõlmimist teiselt poolelt teada saanud;

3.2. teavet RMK infotehnoloogiliste lahenduste ning tark- ja riistvara konfiguratsioonide kohta;

3.3. teavet, mis võib lihtsustada rünnete planeerimist (sh füüsilise, organisatoorse ja IT-turbe üldpõhimõtteid või detailsemat teavet);

3.4. teavet, mille avalikuks tulek võib kahjustada RMK hallatavaid infosüsteeme ja andmekogusid või mainet või usaldusväärsust;

3.5. teavet, millest nähtuvad süsteemide rakendamise või mitte rakendamisega seotud otsesed ja/või kaudseid

mõjud (sh rakendamise tähtajad, seotud finants-, hangetealane, vms sarnane teave); 3.6. kolmandate isikute ärisaladus, sh teave olemasolevate või kavandatavate finantsplaanide,

rahastamisallikate, maksetingimuste, ühikuhindade, tootmisprotsesside, tootmissisendite, äripartnerite, turunduskanalite, klientide, tarneahelate- ja tingimuste, IT lahenduste ja personali

kohta; 3.7. muu teave, mille konfidentsiaalsena hoidmist võib teabe olemust arvestades mõistlikult eeldada,

eelkõige selline teave, mille saladuses hoidmiseks on kolmas isik ise teinud pingutusi ja mille

avalikuks tulek võib kahjustada kolmanda isiku majandustegevust.

4. Teabesaaja on kohustatud: 4.1. kasutama konfidentsiaalset informatsiooni üksnes lepingus sätestatud eesmärgil ja raames ning mitte

avaldama seda kolmandatele isikutele;

4.2. mitte kopeerima, reprodutseerima või kasutama konfidentsiaalset informatsiooni väljaspool lepingu täitmisega otseselt seotud tegevusi, sh mitte kasutama konfidentsiaalset informatsiooni enda huvides.

5. Teabesaaja kinnitab, et hoiab konfidentsiaalset informatsiooni turvaliselt mistahes volitamata

juurdepääsu eest. Teabesaaja on kohustatud RMK-d viivitamatult teatama konfidentsiaalse informatsiooni sattumisest kolmandate isikute kätte.

6. Teabesaaja võib avaldada konfidentsiaalset informatsiooni RMK eelneval kirjalikku taasesitamist võimaldavas vormis antud loal. RMK annab nõusoleku konfidentsiaalse informatsiooni avaldamiseks

teabesaajale juhul, kui teabesaaja on õiguslikult kohustatud seda avaldama pädevatele organitele või isikutele seaduse või kohtu otsuse alusel.

7. Konfidentsiaalsuse tagamise nõuded ei kehti informatsioonile: 7.1. mis oli teada juba enne lepingu sõlmimise algust;

7.2. mis on saanud teatavaks nimetatud lepingust sõltumatult; 7.3. mille avalikustas õiguspäraselt kolmas isik käesoleva lepingu poolte tegevusest sõltumata;

2

7.4. mille avalikustamise kohustus tuleneb Eesti Vabariigis kehtivatest õigusaktidest.

8. Teabesaaja konfidentsiaalsuskohustus kehtib tähtajatult ka peale tööde teostamist ja lepingu

lõppemist.

9. Teabesaaja kohustub tagama lepingu täitmise käigus isikuandmete töötlemise õiguspärasuse ning

vastavuse isikuandmete kaitse üldmääruses (EL 2016/679) ja teistes andmekaitse õigusaktides sätestatud nõuetele, sh täitma organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid

konfidentsiaalsete andmete kaitseks juhusliku või tahtliku volitamata muutmise, juhusliku hävimise, tahtliku hävitamise, avalikustamise jms eest.

10. Juhul, kui teabesaaja rikub lepingus kokkulepitud konfidentsiaalsuskohustust või kasutab konfidentsiaalset informatsiooni pahauskselt enda huvides ja sellega kaasneb kahju, on RMK-l õigus

nõuda kahju hüvitamist võlaõigusseaduse sätete alusel.

11. Lepinguga seonduvaid eriarvamusi ja vaidlusi lahendavad pooled eelkõige läbirääkimiste teel. Kui

lepingust tulenevaid vaidlusi ei õnnestu lahendada poolte läbirääkimistega, lahendatakse vaidlus õigusaktidega kehtestatud korras.

12. Käesolev leping ja kõik selle lepingu muudatused jõustuvad pärast nende allakirjutamist mõlema

poole poolt allakirjutamise momendist.

13. Leping on allkirjastatud digitaalselt.

Poolte andmed ja allkirjad

Riigimetsa Majandamise keskus KPMG Baltics OÜ

Rg-kood: 70004459 Rg-kood: 10096082

Mõisa/3, Sagadi küla, Haljala vald, Ahtri tn 4, 10151 Tallinn 45403 Lääne-Virumaa

Tel: +372 676 7500 Tel: +372 626 8700 E-post: [email protected] E-post: [email protected]

Tarmo Hellat Mihkel Kukk

Siseaudititalituse juhataja