Lühidalt
E-ITS (Eesti infoturbestandard) on RIA hallatav eestikeelne standard, mis annab riskipõhise infoturbe juhtimise meetmed, infoturbe kataloogi ja küpsuse hindamise tööriistad. 2026. aasta versioon ei ole enam otseselt seotud ISO/IEC 27001-ga ega anna ISO sertifikaati.
E-ITSi peavad rakendama organisatsioonid, kes täidavad avalikke ülesandeid; ettevõtted võivad seda vabatahtlikult kasutada. Küberturvalisuse seaduse teenuseosutajatele kehtivad seevastu esmased turvameetmed, kui määruses ei ole sätestatud teisiti.
Kellele E-ITS kohaldub
- Avalikud ülesanded: E-ITS on kohustuslik avalikke ülesandeid täitvatele organisatsioonidele nende infoturbe korraldamisel.
- Ettevõtted: E-ITS-i võib kasutada vabatahtlikult, et struktureerida infoturvet ja tõendada seda klientidele või partneritele.
- KüTS-i teenuseosutajad: lisaks kehtivad esmased turvameetmed, mis annavad miinimumtaseme; E-ITS-i meetmeid kasutatakse, kui baaskaitse ei ole piisav.
- NIS2 kontekst: E-ITS võib olla üks viis riskijuhtimise ja meetmete tõendamiseks, kuid kohustus ja selle ulatus tuleb alati siduda sinu sektori, rolli ja RIA juhistega.
E-ITS ei ole „üks dokument“, mille saab alla laadida ja allkirjastada. See on juhtimissüsteem: rollid, riskianalüüs, meetmete rakendusplaan, tõendid ja regulaarne ülevaatus.
Meetmekataloog ja moodulid
E-ITS ei ole üks kontrollnimekiri. Etalonturbe kataloog on jaotatud mooduliteks, mis katavad juhtimise, inimeste, IT-halduse, avastamise, arenduse, taristu, võrgu, süsteemide ja rakenduste tasandi.
- GRC – turbehaldus: infoturbe juhtimine, varad, isikuandmed, krüptograafia, vastavus ja audit.
- ORP – organisatsioon ja personal: rollid, töötajate teadlikkus, kaugtöö, seadmete kasutamine.
- OPS – IT-haldus: muudatushaldus, varundus, logimine, nõrkuste haldus, väljasttellimine.
- DER – avastamine ja reageerimine: intsidendid, forensika, talitluspidevus, õppused.
- DEV, INF, NET, SYS, APP: arendus, hooned, võrk, serverid ja rakendused.
Iga meede seotakse riskianalüüsiga: kataloog annab valikud, kuid rakendusplaan peab lähtuma sinu kaitsetarbest, mitte kõigi meetmete pimesi rakendamisest.
E-ITS vs ISO 27001
| Küsimus | E-ITS | ISO/IEC 27001 |
|---|---|---|
| Päritolu ja keel | Eesti standard, eestikeelne, Eesti õigusruumi kontekst | Rahvusvaheline standard, inglise keeles |
| Sertifitseerimine | Sõltumatu E-ITS audit ja hinnang; ei ole ISO sertifikaat | Akrediteeritud sertifitseerimisasutuse sertifikaat |
| Fookus | Infoturbe kataloog, meetmete rakendusplaan, riskihaldus ja küpsus | Infoturbe juhtimissüsteem ja pidev parendamine |
| Sobib kõige paremini | Avalik sektor, Eesti kohustused, kriitiline taristu | Rahvusvahelised kliendid, tarnijanõuded, sertifitseerimine |
2026. aastast ei ole E-ITS ISO/IEC 27001-ga otseselt seotud. Mõlemat saab kasutada paralleelselt, kuid E-ITS-i audit ei ole ISO sertifitseerimine ja ISO nõudeid tuleb hinnata eraldi. Kuni 2025. aasta versioonini oli seos ISO 27001-ga olemas; vana versiooni põhjendus ei kehti uue kohta.
Mida E-ITS audit hindab
E-ITS auditeerimiseeskiri kirjeldab auditit kui süsteemset, sõltumatut ja dokumenteeritud protsessi, mille käigus kogutakse tõendeid ja hinnatakse, kas auditikriteeriumid on täidetud. Audit ei ole pentest ega skanneri raport.
- Ulatus: millised teenused, süsteemid ja organisatsiooni osad on auditi sees; piirangud kirjutatakse välja.
- Tõendid: poliitikad, riskianalüüs, meetmete rakendusplaan, logid, testide ja õppuste tulemused, rollide kinnitused.
- Hinnang: vastavus kriteeriumidele ja puudujäägid; soovitused järgmiseks perioodiks.
- Sõltumatus: audiitor ei tohiks hinnata oma enda juurutatud lahendust ega olla huvide konfliktis.
2026. aasta versioon muutis auditi fookust: senised eel- ja vaheauditid kaotati ning organisatsioon hindab ise oma küpsust ja tõendeid. Põhiaudit jääb kolmeaastase tsüklina. Kõrge riskiga puudujääkide korral tuleb auditiaruanne esitada RIA-le ja puudujäägid kõrvaldada kuue kuu jooksul.
Auditi käigus võidakse küsida ka tehnilisi tõendeid, kuid E-ITS audit ise ei asenda süsteemi läbistustestimist. Kui eesmärk on teada, kas nõrkust saab päriselt ära kasutada, on vaja eraldi pentesti.
Milliseid tõendeid audit küsib
Audit ei tugine ainult väidetele. Iga meetme kohta oodatakse tõendit, mis on ajakohane, jälgitav ja seotud konkreetse süsteemi või protsessiga.
| Valdkond | Tõend | Levinud puudujääk |
|---|---|---|
| Riskijuhtimine | Riskiregister, mõju- ja tõenäosushinnang, kinnitatud riskijääk | Register on, kuid omanikud ja tähtajad puuduvad |
| Meetmete plaan | IMR, vastutajad, tähtajad, seis ja tõendiviide | Plaan on Excelis, edenemist ei jälgita |
| Ligipääsud | Rollimaatriks, perioodiline ülevaatus, MFA-poliitika | Ülevaatus on allkirjastatud, muudatusi ei tehtud |
| Varundus | Taastetesti logi, RPO/RTO, varunduse ligipääs | Varundus töötab, taastetesti ei ole |
| Intsidendid | Plaan, kontaktid, õppuse raport, otsustelog | Plaan on, kuid õppust ei ole tehtud |
| Tarneahel | Kriitiliste tarnijate loetelu, lepingud, hindamise tulemused | Tarnijad on loetletud, turvanõudeid ei hinnata |
Kui tõendit ei ole, on aus lugu „puudujääk plaanis“ – see on auditile parem kui olematu tõendi esitamine.
E-ITS ja NIS2
E-ITS ja NIS2 ei ole samad asjad. NIS2 on õiguslik nõue; E-ITS on standard ja meetmekataloog, mida saab kasutada riskijuhtimise ning meetmete tõendamise raamistikuna. E-ITS-i audit ei tõenda automaatselt NIS2 vastavust.
Kui oled NIS2 kohustuslane, seo E-ITS-i meetmed oma riskianalüüsi ja küberturvalisuse seaduse nõuetega: juhtimine, intsidendid, toimepidevus, tarneahel, haavatavuste haldus, krüpteerimine, ligipääs ja koolitus. Tõendid võivad kattuda, kuid vastavusjäreldus tuleb teha iga raamistiku kohta eraldi.
E-ITS 2026 ja üleminek
Kehtiv E-ITS versioon on 2026. RIA andmetel on uues versioonis üheksa mooduligruppi, 128 moodulit ja ligikaudu 1476 meedet. Kadus senine jäik riigi kehtestatud meetmete kiht ja etteantud kaitsetase: organisatsioon valib riskide põhjal ise meetmed ning hindab oma küpsust. E-ITS ei ole enam otseselt seotud BSI IT-Grundschutzi ega ISO/IEC 27001-ga.
RIA portaal pakub põhidokumente, kataloogi, auditeerimiseeskirja, küpsusmõõdikut ja versioonikonverterit, mis aitab liikuda 2024. aasta versioonilt 2026. aastale. Kui teie organisatsioonil on varasem juurutis, ärge alustage uuesti nullist: kaardistage olemasolevad meetmed, tõendid ja puudujäägid ning kasutage konverterit ja muutelugu ülemineku planeerimiseks. Dokumenteerige, millist versiooni ja milliseid meetmeid tegelikult rakendate.
Allikad: RIA E-ITS uudised ja versioonimärkused; E-ITS 2026 nõuded.
Kuidas ette valmistuda
- Määra ulatus: millised teenused ja süsteemid on auditi sees; mis jääb välja ja miks.
- Kaardista varad ja protsessid: kes sõltub millest, millised andmed on tundlikud ja millised on kriitilised tarnijad.
- Tee riskianalüüs: ohud, haavatavused, mõju ja tõenäosus; seo riskid meetmetega.
- Koosta meetmete rakendusplaan: vastutaja, tähtaeg, tõend ja seis. E-ITS-i tugirakendus aitab plaani koostada.
- Kogu tõendid: poliitikad, logid, testid, koolitused, õppused ja juhtkonna otsused – mitte ainult lingid kaustadele.
- Tee sisemine ülevaatus: leia puudujäägid enne audiitorit ja paranda need, mida jõuad.
Kui vajad välise pilgu abi, saame teha küberauditi, mis ei asenda E-ITS auditit, kuid aitab tõendeid ja puudujääke kaardistada.
Kuidas alustada 30 päevaga
Kui E-ITS on alles ees, ei ole mõistlik alustada kogu kataloogi lugemisest. Järgmine järjekord annab esimese kuu jooksul kasutatava aluse:
- Nädal 1 – ulatus ja varad: vali teenus või süsteem, millega alustad; kirjelda protsessid, andmed ja kriitilised tarnijad.
- Nädal 2 – riskid: hinda ohud ja mõju; otsusta, millised riskid nõuavad kohest meedet ja millised on aktsepteeritavad.
- Nädal 3 – meetmed ja tõendid: koosta IMR esimene versioon, määra vastutajad ja kogu olemasolevad tõendid.
- Nädal 4 – sisemine ülevaatus: kontrolli, kas plaan on usutav, kas tõendid on ajakohased ja mis jääb järgmisse kvartalisse.
See ei ole täielik juurutamine, vaid kontrollitav algus. Täpne ajakulu sõltub organisatsiooni suurusest, olemasolevast dokumentatsioonist ja sellest, kui palju meetmeid on juba rakendatud.
Küsimused E-ITS-i kohta
Kas E-ITS on kohustuslik kõigile ettevõtetele?
E-ITSi peavad rakendama organisatsioonid, kes täidavad avalikke ülesandeid. Ettevõtted võivad seda vabatahtlikult kasutada. Küberturvalisuse seaduse teenuseosutajatele kehtivad esmased turvameetmed, kui määruses ei ole sätestatud teisiti.
Kas E-ITS audit annab ISO 27001 sertifikaadi?
Ei. E-ITS audit on E-ITS-i kriteeriumide alusel tehtav sõltumatu hinnang. ISO 27001 sertifikaadi väljastab akrediteeritud sertifitseerimisasutus eraldi sertifitseerimisauditi järel.
Kas E-ITS või ISO 27001?
E-ITS sobib eelkõige avaliku sektori ja Eesti õigusruumi konteksti; ISO 27001 on rahvusvaheline sertifitseeritav juhtimissüsteem. 2026. aastast ei ole E-ITS ISO 27001-ga otseselt seotud, kuid mõlemad saab siduda NIS2 tõenditega. Kumbki ei asenda teist automaatselt.
Mis muutus E-ITS 2026 versioonis?
Kaotati eel- ja vaheauditid ning jäik etteantud meetmete kiht: organisatsioon valib riskide põhjal meetmed ja hindab ise küpsust. Põhiaudit jääb kolmeaastase tsüklina. Kõrge riskiga puudujääkide korral tuleb auditiaruanne esitada RIA-le ja puudujäägid kõrvaldada kuue kuu jooksul. Standard ei ole enam otseselt seotud ISO/IEC 27001-ga.
Kas E-ITS audit asendab pentesti?
Ei. E-ITS audit hindab juhtimissüsteemi ja meetmeid tõendite põhjal; pentest kontrollib, kas nõrkust saab päriselt ära kasutada. Tehniline testimine võib olla auditit toetav tõend, kuid ei asenda seda.