Mis on E-ITS? Eesti infoturbestandardi praktiline juhend

Enamasti algab E-ITSiga tutvumine sellest, et keegi väljastpoolt ütleb: see standard võib sulle kohalduda. Ja siis peab keegi majas välja selgitama, mida see päriselt tähendab.

Kolm küsimust tulevad tavaliselt kohe ja just selles järjekorras. Kas E-ITS meile üldse kohaldub? Kas rakendada E-ITSi või hoopis ISO/IEC 27001 standardit? Ja kust see töö õigupoolest algab?

See juhend on kirjutatud organisatsioonile, kes tahab E-ITSi rakendamist ise juhtida — vajaduse korral eksperdi toel, kuid ilma kogu programmi käest ära andmata. Kui rakendamine tellitakse tervikuna sisse, on lugeja küsimused hoopis teised ja siis on ka see tekst vale koht alustamiseks.

Üks hoiatus enne algust: kohaldumine on õiguslik küsimus. Siin kirjeldatud loogika aitab sul aru saada, mida kontrollida, aga lõpliku vastuse annab kehtiv seadus koos rakendusmäärusega ja vajaduse korral õigusnõu.

Mis on E-ITS?

Eesti infoturbestandard (E-ITS) on Eesti oma infoturbestandard, mille järgi organisatsioon rajab ja hoiab käigus infoturbe halduse süsteemi. Standard koosneb halduse süsteemi nõuetest ja etalonturbe kataloogist, mis kirjeldab konkreetsed meetmed moodulite kaupa. Standardi omanik ja uuendaja on Riigi Infosüsteemi Amet (RIA).

Oluline on see, mida E-ITS ei ole: see ei ole ISO/IEC 27001 tõlge. RIA kirjelduse järgi on tegu eestikeelse ja Eesti õigusruumile vastava infoturbe käsitlemise alusega, mis on ISO/IEC 27001-ga kooskõlas, kuid mille etalonturbe osa põhineb Saksa BSI IT-Grundschutzil. Praktikas tähendab see kaht kihti korraga: juhtimispõhimõtted tulevad ISO-maailmast, konkreetsed meetmed detailsest kataloogist.

E-ITS asendas varasema ISKE, mis kehtis 31. detsembrini 2022. Kui su majas on veel ISKE-aegne dokumentatsioon, siis see ei ole enam kehtiv alus — küll aga on see sageli hea lähtematerjal.

Standardi tekst ja kataloog on avalikud E-ITSi portaalis ning ülevaate leiab RIA E-ITSi lehelt.

Kellele E-ITS kohaldub?

E-ITSi kohustus ei tulene sellest, kas organisatsioon on avalik-õiguslik või eraõiguslik. Määravad on organisatsiooni roll, osutatav teenus, õigusaktis sätestatud kohaldamisala ja see, millise vastavustee organisatsioon valib.

Kontrolli seda kolmes sammus.

1. Kontrolli oma rolli. RIA sõnastab lähtepunkti otse: E-ITSi peavad rakendama kõik organisatsioonid, kes täidavad avalikke ülesandeid. Küsimus ei ole omandivormis, vaid selles, kas seadus on pannud sulle avaliku ülesande täitmise kohustuse.

2. Kontrolli osutatavat teenust ja käsitlusala. Teine tee kohustuseni jookseb küberturvalisuse seaduse kaudu. Kui organisatsioon on seaduse mõttes teenuseosutaja, tuleb tal muu hulgas esitada RIA-le teenuseosutaja teavitus ja rakendada turvameetmeid määruses „Võrgu- ja infosüsteemide küberturvalisuse nõuded” sätestatud ulatuses.

3. Kontrolli alternatiivset tõendamisteed. Sama määruse § 3 lõike 2 punkti 2 järgi saab teenuseosutaja turvameetmed rakendada ka ISO/IEC 27001 standardi järgi — sel juhul tuleb RIA-le saata kehtiv vastavussertifikaat. See ei ole vabastus, vaid teine tõendamisviis, ja see kehtib täpselt nõutud kaitseala piires.

Nende kolme kõrval on veel neljas rühm: organisatsioonid, kellele E-ITS ei ole kohustuslik, aga kes valivad selle vabatahtlikult. Põhjus on tavaliselt praktiline — eestikeelne mudel, valmis meetmete kataloog ja klientide või partnerite ootus näha tõendatud infoturbekorraldust.

Mida siin mitte eeldada: NIS2 kohaldumisalasse sattumine ei tee organisatsioonist automaatselt E-ITSi kohuslast. Kohaldamisala, erandid ja piirmäärad tulevad kehtivast seadusest ja määrusest, mitte üldistusest.

Mida E-ITS organisatsioonilt nõuab?

E-ITS nõuab organisatsioonilt kaht asja korraga: toimivat infoturbe halduse süsteemi ja selle raames valitud etalonmeetmete rakendamist. Praktikas tähendab see dokumenteeritud käsitlusala, kaardistatud äriprotsesse ja varasid, hinnatud kaitsetarvet, valitud meetmeid koos valiku põhjendustega, määratud vastutajaid, ajakohast rakendusplaani ja kogutud tõendusmaterjali.

Kõige kasulikum on vaadata neid nõudeid tulemitena — mis peab lõpuks olemas olema ja mis kujul:

käsitlusala ja kaitseala — dokumenteeritud ja põhjendatud piiritlus, mitte vaikimisi „kogu maja”;
äriprotsessid ja nende omanikud — kirjeldatud, mitte peast teada;
kaitsetarbe hinnang — konfidentsiaalsuse, tervikluse ja käideldavuse lõikes;
varade ja teenuseandjate register — seotud protsessidega, mitte eraldi seisev tabel;
riskihaldus — etalonturbest välja jäävate, uute ja kõrgendatud kaitsetarbega riskide käsitlus;
valitud moodulid ja etalonmeetmed — koos mittekohaldumise põhjendustega;
sisemeetmed ja vastutajad — kes mida ja mis sagedusega teeb;
infoturbe meetmete rakendusplaan (IMR) — staatuste ja tähtaegadega;
tõendusmaterjal — järjepidevalt kogutud, mitte auditi eel kokku pandud.

Üks aus lause vastavuse kohta: vastavus ei ole seisund, mille saab kord ära teha. See on küsimus, kas ülaltoodu on auditi hetkel olemas ja käigus. Projektina saab rajada süsteemi — vastavaks selle tulemusel ei „saada”.

E-ITS või ISO 27001 — kumba valida?

Mõlemad raamistikud rajavad riskipõhise infoturbe halduse süsteemi. E-ITS on eestikeelne, Eesti õigusruumile kohandatud ja detailse etalonturbe kataloogiga; ISO/IEC 27001 annab rahvusvaheliselt tuntud sertifikaadi. Valik sõltub õiguslikust kohustusest, käsitlusalast, klientide ootustest ja juba tehtud tööst.

E-ITSi tee on loomulik siis, kui kohustus tuleb avalikust ülesandest, kogu meeskond töötab eesti keeles ja detailne meetmete kataloog on pigem abi kui koorem. ISO/IEC 27001 tee on loomulik siis, kui äri on piiriülene, kliendid küsivad sertifikaati või sertifitseerimisprogramm on juba käimas.

Kaht raamistikku saab hallata ka paralleelselt. Kattuvate nõuete puhul töötavad samad sisemeetmed ja samad tõendid mõlema poole. Topelttöö ei teki sellest, et nõudeid on kaks — see tekib sellest, et neid hallatakse kahes eraldi süsteemis.

Kuidas E-ITS on üles ehitatud?

Kõige sagedasem esimene reaktsioon kataloogile on, et seda on liiga palju. See tunne kaob, kui saada aru standardi ehitusest.

E-ITS koosneb kahest osast. Esimene on infoturbe halduse süsteemi nõuded. Need ütlevad, kuidas infoturvet organisatsioonis juhitakse, kes selle eest vastutab ja mis hoiab süsteemi käigus. Teine on etalonturbe kataloog, mis on jaotatud mooduliteks. Praegu kehtivas 2024. aasta versioonis on kataloogis kümme moodulirühma ja 109 moodulit. Rühmad katavad turbehalduse, organisatsiooni ja personali, kontseptsioonid ja metoodikad, käidutööd, avastamise ja reageerimise, taristu, võrgud ja side, IT-süsteemid, rakendused ning tööstuse IT.

Kõiki neid sa ei rakenda. Moodulid valitakse kaitstavate sihtobjektide järgi ja meetmed valitakse kaitsetarbe järgi. Iga moodul jagab oma meetmed põhi-, standard- ja kõrgmeetmeteks; kõrgmeetmed tulevad mängu alles siis, kui kaitsetarve on kõrgendatud.

Siin on ka standardi kõige olulisem mõisteline vahe. Etalonmeede ütleb, mida saavutada. Organisatsiooni sisemeede kirjeldab, kuidas seda sinu majas päriselt tehakse — millise tööriistaga, kelle vastutusel, kui tihti ja millise tõendi vastu.

Ja just siin peitub kordisti, mis kataloogi mahu kokku surub: üks hästi kirjeldatud sisemeede katab tavaliselt korraga mitut etalonmeedet.

Võtame konkreetse näite. Kehtiva 2024. aasta versiooni moodulis SYS.2.1 „Klientarvuti üldiselt” on kokku 35 meedet: 6 põhimeedet, 17 standardmeedet ja 12 kõrgmeedet. Kui su organisatsioon võtab kasutusele keskse klientseadmete konfiguratsioonihalduse — etaloninstall, keskselt hallatavad turvaseaded, tarbetute komponentide väljalülitamine ja automaatsed uuendused — siis katab see üks töökorralduslik lahendus korraga meetmed SYS.2.1.M3, M15, M16, M30, M43 ja M44.

Kuus kataloogirida, üks sisemeede, üks omanik, üks tõendite komplekt. Sedasama loogikat korrates ei jää kataloogist alles sadu eraldi tegevusi, vaid kümnetes mõõdetav hulk päris kontrolle. Ja kui üks sisemeede katab kuut meedet, siis tähendab ka üks katkine sisemeede kuut auku korraga — see on sama mündi teine pool.

Seosahel, mille peale kogu süsteem püsib, näeb välja nii:

äriprotsess → vara või teenuseandja → risk → etalonmeede → sisemeede → ülesanne → tõend

Kui mõni lüli sellest ahelast puudub, hakkab see auditi ajal välja paistma — tavaliselt just tõendite otsast.

E-ITSi rakendamine seitsme sammuna

Rakendamine on järjestikune töö ja iga samm sõltub eelmise tulemusest. Kui mõni samm vahele jätta, tuleb hiljem tagasi tulla.

Määratle äriprotsessid. Pane kirja protsessid, mida organisatsioon oma eesmärkide täitmiseks vajab, ja määra igale omanik. Vaata pikemalt: kuidas määratleda E-ITS äriprotsesse.
Hinda äriprotsesside kaitsetarvet. Küsimus on võimalikus kahjus, kui konfidentsiaalsus, terviklus või käideldavus on rikutud. Kaitsetarve määrab hiljem, kas piisab põhi- ja standardmeetmetest või tuleb minna kõrgmeetmeteni.
Piiritle kaitseala ning kaardista varad ja teenuseandjad. Seo protsessid neid toetavate inimeste, teabe, rakenduste, IT-komponentide, taristu ja tarnijatega. Vaata pikemalt: kuidas luua varade ja teenusepakkujate register.
Korralda riskihaldus. Analüüsi riske, mida etalonturve ei kata: uued tehnoloogiad, ebatavalised sõltuvused ja kõrgendatud kaitsetarbega objektid.
Vali kohaldatavad moodulid ja etalonmeetmed. Dokumenteeri ka mittekohaldumise põhjendused — need on auditil sama tähtsad kui valitud meetmed.
Kujunda sisemeetmed ja määra omanikud. Kirjelda päris protsess: mida tehakse, millise tööriistaga, kui tihti, kes vastutab ja milline tõend tekib.
Koosta IMR ja hoia meetmed töös. Staatused, tähtajad, korduvad tegevused, tõendite kogumine ja puuduste parandamine.

Kui kaua see aega võtab, sõltub neljast asjast: mitu protsessi ja sihtobjekti kaitsealasse jääb, kui heas seisus on olemasolev dokumentatsioon, kui kättesaadavad on vastutajad ja kui küps on infoturbekorraldus praegu. Kaks sarnase suurusega organisatsiooni võivad nende tegurite tõttu kulutada väga erineva aja.

Miks E-ITSi rakendamine takerdub?

Enamik takistusi ei ole tehnilised, vaid struktuursed — need tekivad varastes sammudes ja paistavad välja alles lõpus.

Kaitseala võetakse alguses liiga laiaks. Kui piiritlust ei tehta teadlikult, satub kaitsealasse iga süsteem ja iga protsess. Moodulite arv kasvab, meetmete arv kasvab veel kiiremini ja töö muutub lõputuks. Ravi on kaitseala põhjendatud kitsendamine sammus 3 — mitte hiljem, kui valik on juba tehtud.

Mittekohaldumise põhjendused jäävad kirja panemata. Otsus, et mingi moodul või meede ei kohaldu, tehakse koosolekul ja ununeb. Auditil ei ole vahet, kas otsus oli sisuliselt õige, kui selle põhjendust ei ole kusagil. Ravi on põhjenduse kirjutamine samal hetkel, kui valik tehakse, mitte auditi eel.

Tõendeid hakatakse koguma alles auditi eel. See on kõige kallim viga, sest möödunud kuude tõendeid ei saa tagantjärele luua. Ravi on korduvad ülesanded: kui meede nõuab kvartaalset ülevaatust, tekib tõend kvartalis kord, mitte auditi kuul.

Milline E-ITSi versioon praegu kehtib?

Praegu on siduv E-ITSi 2024. aasta versioon, mis kehtib 25. augustist 2025 kuni 31. oktoobrini 2026, ja selle järgi tehakse ka auditeid. Alates 1. novembrist 2026 hakkab kehtima 2026. aasta versioon, mis kehtib kuni 31. detsembrini 2027.

See tähendab kaht praktilist asja. Esiteks: 2026. aasta versiooni meetmekoodid ei ole enne 1. novembrit auditi alus, isegi kui need on portaalis juba nähtavad. Kui su IMR viitab koodidele, kontrolli, millisest versioonist need pärinevad.

Teiseks: versioonivahetus ei nulli tehtud tööd. Enamik sisemeetmeid jääb samaks, sest need kirjeldavad sinu töökorraldust, mitte kataloogi. Üle tuleb vaadata seos — millised etalonmeetmed uues versioonis sama sisemeetme külge käivad ja kas mõni valik või mittekohaldumise põhjendus vajab uuendamist.

Kehtiva versiooni leiad alati E-ITSi portaalist, kus versioon on märgitud koos kehtivusajaga.

Mida E-ITSi auditil hinnatakse?

E-ITSi audit on sõltumatu ja dokumenteeritud hindamine, mis ei piirdu dokumentide olemasolu kontrolliga. Audiitorit huvitab, kas valitud meetmed on päriselt rakendatud ja kas selle kohta on järjepidevalt kogutud tõendusmaterjal.

Auditi eeldused on samad asjad, mis eelmistes jaotistes: piiritletud käsitlusala, kaardistatud varad, hinnatud kaitsetarve, valitud meetmed koos põhjendustega, määratud vastutajad, toimiv riskihaldus ja ajakohane IMR. Kui mõni neist puudub, ei ole audiitoril millegi vastu hinnata.

Praktikas eristab hästi ja halvasti ettevalmistunud organisatsiooni üks asi: kas tõendid tekkisid töö käigus või koguti need auditi eel kokku. Kvartaalse ülevaatuse kohta käiv tõend, mis on olemas nelja kvartali kohta, räägib meetme toimimisest. Sama tõend, mis on olemas ainult viimase kuu kohta, räägib millestki muust.

Auditi tulemusel tekkiv järeldusotsus ei jää majja. Määruse „Võrgu- ja infosüsteemide küberturvalisuse nõuded” § 4 järgi peab auditikohustusega teenuseosutaja saatma E-ITSi auditi järeldusotsuse RIA-le 30 päeva jooksul pärast selle kättesaamist. Auditi sagedus, esmaauditi tähtajad ja vaheauditite kord tulenevad kehtivast määrusest ja E-ITSi auditeerimiseeskirjast — need tasub üle kontrollida oma auditiplaani koostamise hetkel.

Millised töövahendid E-ITSi rakendamist toetavad?

E-ITSi rakendamist toetab kolm erinevat liiki töövahendit: RIA tasuta tugirakendus, dokumendipõhine lahendus Wordis ja Excelis ning eraldi GRC-tarkvara. Need täidavad erinevaid ülesandeid ja valik sõltub käsitlusala suurusest ning sellest, kui kaua tuleb meetmeid ja tõendeid käigus hoida.

RIA tugirakendus. RIA enda kirjelduse järgi aitab tugirakendus määrata äriprotsesside kaitsetarvet, luua meetmete rakendusplaani (IMR) tooriku ja sirvida turvameetmete kataloogi märksõnade abil. Rakendus töötab 2024. aasta versioonil, on saadaval eesti ja inglise keeles ning selle kasutamine ei ole kohustuslik. RIA ise märgib, et tööriist sobib rakenduse loogika mõtestamiseks ja tagasiside andmiseks, mitte veel lõplike otsuste tegemiseks.

Word, Excel ja olemasolevad tööhaldussüsteemid. Väikese kaitseala korral on see mõistlik algus ja sageli piisav. Piir tuleb ette seoste juures: kui meetmed, sisemeetmed, riskid, varad, omanikud, tähtajad ja tõendid elavad eri failides, tuleb iga muudatus käsitsi mitmesse kohta kanda. Mahu kasvades muutub see hooldamatuks kiiremini, kui enamik meeskondi arvestab.

Eraldi GRC-tarkvara. Selle kategooria mõte on hoida ülalkirjeldatud seosahelat ühes kohas: nõue on seotud sisemeetmega, sisemeede riskide, varade ja äriprotsessidega, sisemeede korduva ülesandega ja ülesanne tõendiga. Kõige neutraalsemat loetelu peab RIA ise. E-ITSi portaali kogukonna lehel on jaotis „Tööriistad”, kus on praegu kirjas Cybsis, Kordon, PlanPro, Trinidad Wisemani Atlassiani-põhine töövahend ja Eitsify. RIA lisab sealsamas kaks hoiatust: ta ei hinda ühegi lehel nimetatud materjali kvaliteeti ja valiku peab iga asutus tegema oma vajadust analüüsides.

Kategooria valikul on kasulik küsida neli asja:

Vajadus	RIA tugirakendus	Word ja Excel	GRC-tarkvara
Kataloogi sirvimine ja algne valik	tugev	käsitöö	sõltub lahendusest
Meetmete seos sisemeetmetega	piiratud	käsitsi	keskne funktsioon
Omanikud ja korduvad tegevused	ei ole põhiülesanne	eraldi töökorraldus	jah
Pidev tõendikogumine	ei ole põhiülesanne	käsitsi	jah

Kuidas Kordon E-ITSi rakendamist toetab?

Kordon on eestikeelne GRC-platvorm, kus E-ITSi raamistik ja nõuded on ette seadistatud — kataloogi ei ole vaja käsitsi sisse tuua.

Praktikas tähendab see järgmist:

üks sisemeede saab olla seotud mitme E-ITSi etalonmeetmega ja vajaduse korral mitme raamistikuga korraga, nii et ISO/IEC 27001 kattuvad nõuded ei nõua eraldi tööd;
sisemeetmed seotakse riskide, varade, teenuseandjate ja äriprotsessidega, mis hoiab seosahela ühes kohas;
korduvad ülesanded annavad tegevustele omaniku ja tähtaja ning koguvad tõendeid jooksvalt, mitte auditi eel;
audiitorile saab anda lugemisõiguse, nii et tõendeid ei ole vaja eraldi kokku pakkida;
E-ITSi andmeid saab välja eksportida toetatud CSV-vormingus.

Vaata, kuidas Kordon E-ITSi rakendamist toetab →

Korduma kippuvad küsimused

Mis vahe on E-ITSil ja ISKE-l? ISKE oli varasem Eesti infoturbe standardsüsteem, mis kehtis 31. detsembrini 2022. E-ITS asendas selle. Suurim sisuline muutus on see, et kaitstavate objektide ja protsesside valik on nüüd suuresti organisatsiooni enda otsustada, samal ajal kui ISKE turvaklasside loogika oli jäigem.

Kas E-ITS on erasektorile kohustuslik? Ei automaatselt. Kohustus tekib avaliku ülesande täitmisest või küberturvalisuse seaduse kohaldamisalasse kuuluva teenuse osutamisest — mitte omandivormist. Eraettevõte võib E-ITSi rakendada ka vabatahtlikult, kui soovib eestikeelset ja praktilist infoturbemudelit.

Kui tihti tuleb E-ITSi auditit teha? Auditi sagedus ja tähtajad tulenevad kehtivast määrusest „Võrgu- ja infosüsteemide küberturvalisuse nõuded” ning E-ITSi auditeerimiseeskirjast. Sama määruse § 4 järgi tuleb auditi järeldusotsus saata RIA-le 30 päeva jooksul pärast selle kättesaamist.

Kas E-ITSi asemel võib kasutada ISO 27001 standardit? Määruse § 3 lõike 2 punkti 2 järgi saab teenuseosutaja turvameetmed rakendada ISO/IEC 27001 standardi järgi ja saata RIA-le kehtiva vastavussertifikaadi. See kehtib nõutud kaitseala piires ja eeldab, et sertifikaat on kehtiv.

Kas E-ITSi rakendamiseks on olemas tarkvara? Jah. RIA tasuta tugirakendus aitab määrata kaitsetarvet ja luua IMR-i tooriku. Et meetmeid, riske, varasid ja tõendeid pidevalt hallata, kasutatakse eraldi GRC-tarkvara. Turul olevad töövahendid on loetletud E-ITSi portaali kogukonna lehel.

Milline E-ITSi versioon praegu kehtib? 2024. aasta versioon, mis kehtib 25.08.2025–31.10.2026. Alates 1. novembrist 2026 kehtib 2026. aasta versioon kuni 31.12.2027. Kehtiva versiooni saab alati üle kontrollida E-ITSi portaalist.

Kas E-ITSi kohta on olemas näidiseid ja malle? Jah. E-ITSi portaali kogukonna lehele on koondatud pilootrakendajate tehtud näidised: kaitsetarbe tööleht, riskimaatriks, sihtobjektide kaardistus ja hulk korra näidiseid. RIA hoiatab, et neid ei tohi läbi mõtlemata kopeerida. Kui kirjutad oma kordi, sobivad lähtepunktiks ka tasuta infoturbe dokumendimallid.

Kas E-ITS on olemas ka inglise keeles? Standard on eestikeelne ja eesti keeles on ka selle siduv tekst. RIA tugirakendus on saadaval nii eesti kui ka inglise keeles. Audit ja RIA-le esitatav suhtlus käivad eesti keeles, seega rahvusvahelise meeskonna puhul tasub tõlkevajadusega arvestada juba käsitlusala piiritlemisel.

Kõik E-ITSi juhendid leiad ühest kohast: E-ITSi rakendamise artiklid.