Eesti uuendab infoturbereegleid: fookus liigub bürokraatialt tegelikule kaitsele

Eestis jõustub 1. septembril uus infoturbestandard, mis vähendab riigi sekkumist ja annab ettevõtetele suurema vabaduse oma küberturvalisuse korraldamisel. Riik loobub jäikadest kohustuslikest meetmetest, soosides organisatsioonide sisest riskianalüüsi.

Eestis jõustub 1. septembril uus infoturbestandard (E-ITS), mis muudab märkimisväärselt viisi, kuidas asutused ja ettevõtted oma küberkaitset korraldama peavad. Riik vähendab senist detailset sekkumist ning delegeerib vastutuse turvameetmete valikul organisatsioonidele endile, eesmärgiga muuta süsteemid paindlikumaks.

Uuendatud raamistiku järgi ei pea organisatsioonid enam täitma riiklikult ette kirjutatud jäiku meetmeid, vaid keskenduvad äriprotsesside kaitsmisele, reaalsete riskide analüüsile ja talitluspidevuse tagamisele. Riigi Infosüsteemi Amet (RIA) jääb edaspidi nõuandvasse rolli, pakkudes juhendmaterjale, kuid loobudes otsesest dikteerimisest, kuidas riske hinnata.

Muudatused puudutavad eriti mikro- ja väikeettevõtjaid, kellel on alla 50 töötaja ja kelle aastakäive või bilansimaht ei ületa 10 miljonit eurot. Nemad on vabastatud E-ITSi kohustuslikust rakendamisest ja väliste auditite tellimisest. Varasemalt nõutud eelauditite, vaheauditite ja järelauditite süsteem asendatakse organisatsioonisisese hindamisega, mida saab teha ettevõtte oma töötaja või sisseostetud teenusepakkuja.

„Uuenduse peamine siht on parandada nõuete arusaadavust, reageerimiskiirust ja panna teenuseosutajatele suurem vastutus oma infosüsteemide kaitsmisel, sest iga organisatsioon tunneb oma igapäevaseid vajadusi ise kõige paremini,” selgitas justiits- ja digiministeeriumi digitaristu ja küberturvalisuse asekantsler Tõnu Grünberg.

Uutele nõuetele üleminekuks on kehtestatud kolmeaastane periood.