1. Kellele see kergem tee kehtib?

Vastus on meeldivalt konkreetne. Täismahus E-ITS-i või ISO 27001:2022 nõuet ei kohaldata teenuseosutajale, kellel on:

Sama leevendus kehtib ka teatud alla 50 töötajaga kohaliku omavalitsuse hallatavatele asutustele (nt lasteaiad ja raamatukogud), riigimuuseumidele ja KOV üksuste liitudele.

Üks oluline täpsustus, enne kui keegi valesti aru saab: see ei tähenda, et iga Eesti väikeettevõte peab midagi tegema. Jutt käib ainult nendest, kes on KüTS-i subjektid — ehk osutavad teenust, mis seaduse kohaldamisalasse kuulub. Kui sa ei tea, kas sinu ettevõte sinna kuulub, on see omaette küsimus ja sellest oleme kirjutanud siin.

2. Mida "esmased turvameetmed" tegelikult tähendavad?

Siin tuleb hea uudis: erinevalt E-ITS-ist, mis on standard koos kataloogide, moodulite ja tasemetega, on esmased turvameetmed konkreetne nimekiri. Määruse lisa ütleb üsna täpselt, mida sinult oodatakse — üheksas valdkonnas:

1. Infoturbe korraldus. Keegi peab vastutama. Mitte "IT-poiss tegeleb", vaid nimeliselt määratud inimene. Lisaks lihtsad turvareeglid, ülevaade IT-varadest ja regulaarne kontroll, et meetmed ka päriselt töötavad.

2. Kasutajate teadlikkus ja õigused. Töötajad teavad küberhügieeni põhitõdesid, igal kasutajal on isiklik konto (mitte "ühine parool seinal"), ja kui keegi lahkub, suletakse tema ligipääsud.

3. Andmete turve. Olulised andmed on kaitstud, varundatud ja neid näevad ainult need, kes peavad. Varukoopiate taastamist tuleb ka testida — varukoopia, mida ei saa taastada, on lihtsalt kallis illusioon.

4. Tarnijad ja partnerid. Sinu IT-partner, raamatupidamistarkvara ja pilveteenus ei tohi olla pime nurk. Turvanõuded tuleb kokku leppida kirjalikult — mitte "me rääkisime sellest kunagi telefonis".

5. Küberintsidentide haldus. Kui midagi juhtub, siis on teada, kes reageerib, keda teavitatakse ja kuidas edasi. RIA-t tuleb teavitada seaduses ette nähtud korras — ja selleks hetkeks on hilja hakata guugeldama, kuidas see käib.

6. Pilvteenused ja veebirakendused. Microsoft 365, Google Workspace, koduleht, e-pood. Kinnitatud brauserid, mõistlikud e-posti reeglid ja nimekiri pilvteenustest koos riskihinnanguga. See on valdkond, mille enamik väikeettevõtteid unustab — sest pilv tundub kellegi teise mure. Ei ole.

7. IT-seadmete kaitse. Sülearvutid, telefonid ja serverid on hallatud, uuendatud ja kaitstud. Igal seadmel on vastutav kasutaja ning tarkvarast ja litsentsidest on ülevaade.

8. Võrgu kaitse. WiFi, ruuterid, VPN ja tulemüür on kontrolli all. Olemas on võrguskeem — jah, päriselt joonistatud, mitte "see on Marguse peas".

9. Füüsiline turve. Ruumid, seadmed ja andmekandjad on kaitstud võõra ligipääsu eest. Ja keegi peab arvet võtmete, kaartide ja koodide üle.

"Aga meil ei ole serverit / kaugtööd / e-poodi"

Väga hea küsimus, ja määrus on siin üllatavalt mõistlik: meetme võib jätta rakendamata, kui see sinu organisatsioonis lihtsalt ei ole asjakohane. Aga — ja see on "aga", mis maksab — sa pead olema riski teadvustanud ja otsuse dokumenteerima. "Ei kohaldu" ilma põhjenduseta ei ole vastavus, vaid lünk.

3. Mida tuleb dokumenteerida?

Siin on koht, kus "kergem tee" lakkab olemast "olematu tee". Määruse järgi pead sa:

• kaardistama oma süsteemid ning nendega seotud teenused ja protsessid,
• dokumenteerima riskianalüüsi ja rakendatud turvameetmed,
• säilitama dokumentatsiooni vähemalt 7 aastat,
• esitama selle RIA-le, kui küsitakse.

Teisisõnu: sa ei pea ehitama katedraali, aga sul peab olema korralik maja, mille jooniseid saad vajadusel näidata.

Vaata lähemalt ka siit: tabelis on ära toodud, millised dokumendid on kohustuslikud, kui pead kohaldama ainult esmaseid turvameetmeid. Neid samu dokumente saad osta ka Defending Data poest.

4. Lihtne kokkuvõte: mida pead ja mida ei pea

5. Kuidas sellega mõistlikult algust teha?

1. Kontrolli, kas kuulud leevendatud gruppi. Alla 50 töötaja + kuni 10 mln € käive/bilansimaht + KüTS-i subjekt. Tee test siin.
2. Tee hetkeseisu kaardistus. Käi üheksa valdkonda läbi ja märgi ausalt: tehtud, puudu või ei kohaldu (koos põhjendusega). Vaata üle kontroll-leht – TASUTA dokumendimall.
3. Alusta kõige suurema riskiga aukudest. Tavaliselt on need ligipääsud, varundus ja intsidentideks valmisolek. Vajalikud dokumendid on välja toodud siin postituses ning neid saab soetada siit.
4. Dokumenteeri jooksvalt. Mitte tagantjärele, ööl enne RIA kirja.

6. KKK - korduma kippuvad küsimused - esmased turvameetmed

Kas väikeettevõte peab tegema täismahus E-ITS-i või ISO 27001:2022? 

Ei, kui ettevõttes on keskmiselt alla 50 töötaja ja aastakäive või bilansimaht ei ületa 10 miljonit eurot. Sel juhul piisab esmaste turvameetmete rakendamisest — aga ka need tuleb dokumenteerida.

Kas esmased turvameetmed on vabatahtlikud? 

Ei. Need on õiguslik kohustus, mis tuleneb Vabariigi Valitsuse 9. detsembri 2022 määrusest nr 121. "Kergem" ei tähenda "valikuline".

Mis juhtub, kui ma midagi ei tee? 

RIA võib dokumentatsiooni küsida ja järelevalvet teha. Aga ausalt — suurem risk kui trahv on intsident ise. Esmased turvameetmed on põhjusega just need üheksa valdkonda: seal juhtuvad päris kahjud.

Kui kaua dokumentatsiooni säilitama peab? 

Vähemalt 7 aastat.

Kust ma need dokumendid võtan? 

Võid need ise nullist kirjutada — see on täiesti tehtav, kui sul on aega ja keegi, kes teab, mida määrus täpselt ootab. Või võtad valmis mallid, kus iga dokument vastab konkreetsele määruse nõudele.

See artikkel on kirjutatud selgitamise, mitte õigusnõustamise eesmärgil. Iga ettevõte on erinev — kui kahtled, küsi inimeselt, mitte ainult internetist.