Kehtima hakkavad uued infoturbenõuded - riik sekkub vähem, et ettevõtted ja asutused saaksid keskenduda päriselt küberturvalisuse tagamisele

Eesti kui maailmas enim e-teenuseid pakkuva riigi toimimine sõltub kriitiliselt infotehnoloogia ja selle turvalisuse tasemest. Uue standardi eesmärk on luua ühtsed ja tugevad küberkaitse reeglid nende võrgu- ja infosüsteemide kaitseks, mis mõjutavad meie igapäevast elu kõige enam. Uuendatud Eesti infoturbestandard ehk lühendatult E-ITS aitab organisatsioonidel tõhusamalt saavutada neile vajaliku infoturbe taseme, arvestades seejuures kõiki Eesti ja Euroopa Liidu õigusaktides sätestatud nõudeid.

Olulise muudatusena kaob ära senine jäik riigi kehtestatud meetmete kiht, mis muudab standardi rakendamise eeldatavalt märksa kiiremaks ja loogilisemaks. Edaspidi on infoturbe rakendamise põhilisteks osadeks hoopis äriprotsesside ja riistvara kaitsetarbe kaardistamine, reaalsete riskide kirjeldus ja haldamine ning süsteemide talitluspidevuse testimine ja kontroll. Riik ei ütle enam täpselt ette, millises skaalas riske hinnata, vaid jätab selle organisatsiooni enda otsustada.

Teise suurema muudatusena vähendatakse väliste auditite tellimise kohustust ning suurendatakse organisatsioonisisese hindamise rolli võrgu- ja infosüsteemide turvameetmete järgimisel.

Täielikult on E-ITSi rakendamisest ja välisest auditeerimisest vabastatud mikro- ja väikeettevõtjad, kellel on alla 50 töötaja ja kelle aastane käive/bilansimaht ei ületa 10 miljonit eurot.

Senise korraga võrreldes kaovad täielikult ära eelaudit, vaheaudit ja järelaudit - nende auditite asemel tuleb edaspidi läbi viia organisatsioonisisene hindamine, mida võib teha kas oma töötaja või sisseostetud teenusena väline isik.

"Uuenduse peamine siht on parandada nõuete arusaadavust, reageerimiskiirust ja panna teenuseosutajatele suurem vastutus oma infosüsteemide kaitsmisel, sest iga organisatsioon tunneb oma igapäevaseid vajadusi ise kõige paremini," selgitas justiits- ja digiministeeriumi digitaristu ja küberturvalisuse asekantsler Tõnu Grünberg.

Määrusega soovitakse saavutada olukord, kus õigusloome aeglus ja eeskirjade detailsus ei takista kiiret reageerimist uutele küberohtudele, tehisaru tormilisele arengule või muudele uutele tehnoloogilistele lahendustele. Kui varem pidi iga detaili näpuga määrusest taga ajama, siis nüüd on jäänud alles vaid üldised kaitsemeetmed ja haldussüsteemi raamistik.

Riigile ehk praegusel juhul Riigi Infosüsteemi Ametile (RIA) jääb seejuures ettevõtteid ja asutusi toetav roll ning amet pakub ka oma veebikeskkonnas vajalikke juhendmaterjale ning rakendusi.

See kõik tähendab, et Eesti riigi küberkaitse muutub paindlikumaks, asutuste ja ettevõtete halduskoormus väheneb ning fookus liigub vormikohasuse jälgimiselt päriselt turvalise digiühiskonna tagamisele.

Uus Eesti infoturbestandard jõustub 2026. aasta 1. septembril ja senistele turvameetmetele kehtib kolmeaastane üleminekuaeg.

Eesti infoturbestandard koos lisadega asub siin: https://www.riigiteataja.ee/et/akt/129082026001

RIA juhendmaterjalid asuvad siin: https://eits.ria.ee/et