Vabariigi Valitsus määrus terviktekst avaldamine avaldatud 2022-12-09 RT I 2022-12-13 30 113122022030 2022-12-16 121 RT I2026-09-04202622104092026022 2026-10-01 1 2026-09-03 maarus_1_10.02.2010.xsd 104092026022 18 2026-09-03 Maret Mauer 1055322 Määruse raamskeem XML struktuuri koostamiseks Võrgu- ja infosüsteemide küberturvalisuse nõuded 1 2024-06-13 RT I 2024-06-19 6 119062024006 2024-07-01 2025-09-25 RT I 2025-09-27 1 127092025001 2025-10-01 2026-08-31 RT I 2026-09-04 16 104092026016 2026-09-07 , osaliselt 01.10.2026. Määruse tekstis, välja arvatud määruse § 4 lõikes 1ˇ1, asendatud sõnad „teenuse osutaja“ sõnaga „teenuseosutaja“ vastavas käändes. Määrus kehtestatakse § 7 lõike 5 alusel. 1 Üldsätted 1 Kohaldamisala 1 Määrusega volitatakse üleriigilise küberturvalisuse tagamise korraldamise eest vastutavat ministrit kehtestama Eesti infoturbestandardi ja kehtestatakse vastavalt küberturvalisuse seaduse §-le 7: 1 turvameetmete üldnõuded; 2 võrgu- ja infosüsteemide (edaspidi süsteem) turvameetmete erinõuded ja nende kohaldamise ulatus. RT I 2024-06-19 6 119062024006 2024-07-01 2 Määrust ei kohaldata: 1 isikule, kellele kohalduvad Euroopa Parlamendi ja nõukogu määruses (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79), sätestatud riskide juhtimise nõuded; 2 isikule, kellele kohalduvad Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 300/2008, mis käsitleb tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr 2320/2002 (ELT L 97, 09.04.2008, lk 72–84), ning Euroopa Parlamendi ja nõukogu määruses (EL) 2018/1139, mis käsitleb tsiviillennunduse valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008, (EL) nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL ning 2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr 552/2004 ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.08.2018, lk 1–122), sätestatud süsteemi turvalisuse nõuded. RT I 2025-09-27 1 127092025001 2025-10-01 2 Terminid Määruses kasutatakse termineid järgmises tähenduses: 1 andmekogu on andmekogu avaliku teabe seaduse § 43¹ lõike 1 tähenduses; 1 1) ]]> andmekogu vastutav töötleja on andmekogu vastutav töötleja avaliku teabe seaduse § 43⁴ lõike 1 tähenduses; RT I 2026-09-04 16 104092026016 2026-09-07 1 2) ]]> andmekogu volitatud töötleja on andmekogu volitatud töötleja avaliku teabe seaduse § 43⁴ lõike 2 tähenduses; RT I 2026-09-04 16 104092026016 2026-09-07 2 infoturve on süsteemile turvameetmete loomise, valimise ja rakendamise protsesside kogum; 3 pilvteenus on pilvandmetöötlusteenus või selliste andmetöötlusressursside kogumile juurdepääsu võimaldav teenus, mida saab paindlikult jagada ning laiendada võrgu- ja infosüsteemi muutmata ning mida pakub valitsusasutus, valitsusasutuse hallatav riigiasutus või kohaliku tasandi avaliku halduse üksus. RT I 2026-09-04 16 104092026016 2026-09-07 2 Eesti infoturbestandard 3 Eesti infoturbestandardi kehtestamise volitus 1 Eesti infoturbestandardi kehtestab määrusega. 1 1)]]> Teenuseosutaja rakendab lõike 1 alusel kehtestatud nõudeid vähemalt küberturvalisuse seaduse § 3 lõigetes 2–5 nimetatud tegevusaladega seotud süsteemidele. RT I 2026-09-04 16 104092026016 2026-09-07 2 Teenuseosutajale ei kohaldata lõike 1 alusel kehtestatud nõudeid, kui on täidetud kõik järgmised tingimused: 1 teenuseosutaja rakendatud turvameetmed vastavad rahvusvahelise standardiga ISO/IEC 27001 või Eesti standardiga EVS-EN ISO/IEC 27001 kehtestatud nõuetele ja valitud standardi käsitlusala hõlmab vähemalt küberturvalisuse seaduse § 3 lõigetes 2–5 nimetatud tegevusaladega seotud süsteeme; RT I 2026-09-04 16 104092026016 2026-09-07 2 teenuseosutaja on esitanud Riigi Infosüsteemi Ametile kehtiva vastavussertifikaadi, mis kinnitab punktis 1 sätestatud tingimuse täitmist. 2 1)]]> Lõikeid 1, 1¹ ja 2 ei kohaldata: RT I 2026-09-04 16 104092026016 2026-09-07 1 teenuseosutajale, kellel on majandusaasta jooksul keskmiselt alla 50 töötaja ja kelle aastane bilansimaht või aastakäive ei ületa 10 miljonit eurot, arvestades väikeettevõtjate määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.05.2003, lk 36–41); RT I 2026-09-04 16 104092026016 2026-09-07 2 valla või linna ametiasutuse hallatavale asutusele ja osavalla või linnaosa ametiasutuse hallatavale asutusele, välja arvatud üldhariduskool, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; 3 riigimuuseumile, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; 4 kohaliku omavalitsuse üksuste liidule, kellel on kalendriaasta jooksul keskmiselt alla 50 töötaja; RT I 2025-09-27 1 127092025001 2025-10-01 5 Eesti Lastekirjanduse Keskusele; RT I 2026-09-04 16 104092026016 2026-09-07 6 Võru Instituudile. RT I 2026-09-04 16 104092026016 2026-09-07 2 2)]]> Lõike 2¹ punktis 1 nimetatud teenuseosutaja puhul ei kohaldata üksuse töötajate arvu, aastase bilansimahu ja aastakäibe kindlakstegemisel Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4. RT I 2026-09-04 16 104092026016 2026-09-07 2 3)]]> Lõike 2¹ punktis 1 nimetatud teenuseosutaja puhul ei arvestata üksuse töötajate arvu, aastase bilansimahu ja aastakäibe kindlakstegemisel partner- või sidusettevõtja andmeid Euroopa Komisjoni soovituse 2003/361/EÜ tähenduses, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu. RT I 2026-09-04 16 104092026016 2026-09-07 3 Julgeolekuasutusele ei kohaldata lõike 1 alusel kehtestatud nõudeid, kui ta täidab lõike 2 punktis 1 sätestatud tingimuse ja esitab lõike 2 punktis 2 nimetatud vastavussertifikaadi küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajale. 4 Eesti infoturbestandardi järgimise auditeerimine 1 Teenuseosutaja, kellele kohalduvad § 3 lõike 1 alusel antud määrusega sätestatud kohustused, tagab Eesti infoturbestandardi tingimuste täitmise auditi läbi viimise iga kolme aasta järel. RT I 2025-09-27 1 127092025001 2025-10-01 1 1)]]> Elutähtsa teenuse osutaja, kellele kohalduvad § 3 lõike 1 alusel antud määrusega sätestatud kohustused, peab Eesti infoturbestandardi tingimuste täitmise auditi esmakordselt läbi viima kriisiolukorra ja riigikaitse seaduse § 83 lõike 4 punktis 3 sätestatud korras määratud tähtaja jooksul. RT I 2026-09-04 16 104092026016 2026-10-01 2 Teenuseosutaja edastab lõike 1 või 1¹ alusel läbi viidud auditi järeldusotsuse Riigi Infosüsteemi Ametile 30 päeva jooksul selle kättesaamisest. RT I 2025-09-27 1 127092025001 2025-10-01 3 Julgeolekuasutus edastab lõike 1 alusel läbi viidud auditi järeldusotsuse küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajale 30 päeva jooksul selle kättesaamisest. 4 Lõikes 1 sätestatut ei kohaldata: 1 kehtetu - RT I 2025-09-27 1 127092025001 2025-10-01 2 riigimuuseumile, avalik-õigusliku isiku muuseumile, valla või linna ametiasutusele, valla või linna ametiasutuse hallatavale asutusele, osavalla või linnaosa ametiasutusele, osavalla või linnaosa ametiasutuse hallatavale asutusele ning kohaliku omavalitsuse üksuste ühisametile ja -asutusele, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga; 3 teenuseosutajale, kes on täitnud § 3 lõikes 2 või 3 sätestatud tingimused; 4 Haridus- ja Teadusministeeriumi hallatava asutusena tegutsevale põhikoolile ja gümnaasiumile, kui tegemist ei ole andmekogu vastutava töötlejaga või volitatud töötlejaga. RT I 2025-09-27 1 127092025001 2025-10-01 3 Turvameetmete nõuded 1 Turvameetmete üldnõuded 5 Turvameetmete dokumentatsioon 1 Teenuseosutaja kaardistab süsteemid ja nendega seotud teenused või protsessid ning dokumenteerib süsteemile rakendatavad turvameetmed ja riskianalüüsi. 1 1)]]> Riskianalüüs peab sisaldama vähemalt: 1 süsteemi turvalisust ja toimepidevust mõjutavate riskide loetelu; 2 riskide realiseerumise mõju kirjeldust ja tagajärgede raskusastmeid; 3 riskihaldusmeetmete kirjeldust. RT I 2026-09-04 16 104092026016 2026-09-07 2 Teenuseosutaja säilitab lõikes 1 nimetatud dokumentatsiooni vähemalt seitse aastat alates selle koostamisest ning teeb selle Riigi Infosüsteemi Ametile taotluse korral kättesaadavaks. 3 Julgeolekuasutus säilitab lõikes 1 nimetatud dokumentatsiooni vähemalt seitse aastat alates selle koostamisest ning teeb selle küberturvalisuse seaduse § 14 lõikes 5 nimetatud haldusjärelevalve teostajale taotluse korral kättesaadavaks. 4 Käesolevas jaos ette nähtud dokumendid võib koostada muu õigusakti alusel koostatava dokumendi osana. RT I 2026-09-04 16 104092026016 2026-09-07 5 1. ]]> Esmased turvameetmed 1 Teenuseosutaja peab alalisse kasutusse võtma asjakohased esmased turvameetmed järgmistes turbevaldkondades: RT I 2026-09-04 16 104092026016 2026-09-07 1 infoturbe korraldus; 2 kasutajate teadlikkus, koolitus ja kasutajaõigused; 3 andmete turve; 4 väliste partnerite haldus; RT I 2026-09-04 16 104092026016 2026-09-07 5 küberintsidentide haldus; 6 pilvteenuste ja veebirakenduste kaitse; 7 infotehnoloogiaseadmete kaitse; 8 sideühenduste ja võrgu kaitse; 9 füüsiline turve. 2 Lõikes 1 sätestatud turbevaldkondade esmased turvameetmed on esitatud määruse lisas. RT I 2025-09-27 1 127092025001 2025-10-01 6 Riskianalüüsi ajakohastamine Teenuseosutaja ajakohastab riskianalüüsi: 1 viivitamata pärast olulise mõjuga küberintsidendi toimumist; 2 viivitamata pärast teenuse osutamiseks kasutatava süsteemi sellist muutust, mis mõjutab süsteemi turvalisust, või 3 hiljemalt kolme aasta möödumisel viimasest ajakohastamisest. 2 Turvameetmete erinõuded 1 Andmekogu 7 Turvameetmete nõuete erisused andmekogu pidamisel 1 Andmekogu vastutav töötleja korraldab andmekogu turbeastme ja andmete turvaklassi määramise, andmekogu andmete turvaklassi määramiseks andmete tähtsuse hindamise ning andmete turvalisuse puudumisest tuleneva kahjude hindamise. 2 Andmekogu andmetele määratud turvaklass ja andmekogu turbeaste kooskõlastatakse koos andmekogu registreerimiseks või andmekogu andmete ajakohastamiseks ettevalmistatava tehnilise dokumentatsiooniga avaliku teabe seaduse § 43⁹ lõike 1 punkti 6 alusel kehtestatud õigusaktis sätestatud korras. 3 Andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja rakendab turvameetmed andmekogu kasutusele võtmise ajaks. 4 Andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja rakendab andmekogu pidamisega seotud süsteemide turvameetmeid andmekogu turbeastmest lähtuvalt. RT I 2022-12-13 30 113122022030 2023-01-01 8 Andmekogu turbeastme määramine 1 Turbeaste võib olla kõrge (H), keskmine (M) või madal (L). 2 Andmekogu turbeaste määratakse lähtuvalt andmete turvaklassist. Kui andmete turvaklassi vähemalt üks osaklass vastab tasemele 3, on andmekogu turbeaste kõrge (H). Kui andmete turvaklassi vähemalt üks osaklass vastab tasemele 2, on andmekogu turbeaste vähemalt keskmine (M). Muul juhul on andmekogu turbeaste vähemalt madal (L). RT I 2022-12-13 30 113122022030 2023-01-01 9 Andmete turvaklassi määramine 1 Andmete turvaklassi määrab vastutav töötleja vastavalt infoturbe eesmärkidele tervikluse, konfidentsiaalsuse ja käideldavuse parameetrite kaudu. 2 Andmete käideldavus on vajalikul ja nõutaval tööajal kasutamiskõlblike andmete õigeaegne ning hõlbus kättesaadavus selleks volitatud isikule või tehnilisele vahendile. 3 Andmete terviklus on andmete õigsuse, täielikkuse ja ajakohasuse tagatus ning päritolu autentsus ja volitamatute muutuste puudumine. 4 Andmete konfidentsiaalsus on andmete kättesaadavus ainult selleks volitatud isikule või tehnilisele vahendile. 5 Andmete turvaklass on kombinatsioon andmete käideldavuse (K), tervikluse (T) ja konfidentsiaalsuse (S) turvaosaklasside tasemetest. Andmete turvaklassi tähis moodustatakse osaklasside tähistest nende järjestuses KTS (näiteks K2T3S1). RT I 2022-12-13 30 113122022030 2023-01-01 10 Andmete turvaosaklasside määramine 1 Andmete turvaosaklass on andmete tähtsusest tulenev infoturbe eesmärgi saavutamise nõutav tase. 2 Andmekogu vastutav töötleja määrab andmete käideldavuse, tervikluse ja konfidentsiaalsuse turvaosaklasside tasemed vastavalt käesolevas paragrahvis sätestatud skaalale. 3 Turvaosaklasside taseme määramisel lähtub andmekogu vastutav töötleja järgnevast: 1 andmetega seotud nõuded tulenevalt õigusaktidest ja lepingulistest kohustustest; 2 andmetega seotud nõuded tulenevalt pakutavate teenuste iseloomust; 3 küberintsidentidest tekkivate kahjude olulisus. 4 Andmete käideldavuse alusel määratakse turvaosaklass järgmisest skaalast: 1 K0 – töökindlus – pole oluline, jõudlus – pole oluline; 2 K1 – töökindlus – 90% (lubatud summaarne seisak nädalas ~ ööpäev), lubatav nõutava reaktsiooniaja kasv tippkoormusel – tunnid (1÷10); 3 K2 – töökindlus – 99% (lubatud summaarne seisak nädalas ~ 2 tundi), lubatav nõutava reaktsiooniaja kasv tippkoormusel – minutid (1÷10); 4 K3 – töökindlus – 99,9% (lubatud summaarne seisak nädalas ~ 10 minutit), lubatav nõutava reaktsiooniaja kasv tippkoormusel – sekundid (1÷10). 5 Andmete tervikluse alusel määratakse turvaosaklass järgmisest skaalast: 1 T0 – info allikas, muutmise ega hävitamise tuvastatavus ei ole olulised ja info õigsuse, täielikkuse ning ajakohasuse kontroll pole vajalik; 2 T1 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad ning info õigsuse, täielikkuse ja ajakohasuse kontroll erijuhtudel ning vastavalt vajadusele; 3 T2 – info allikas, selle muutmise ja hävitamise fakt peavad olema tuvastatavad ning vajalik on info õigsuse, täielikkuse ja ajakohasuse perioodiline kontroll; 4 T3 – info allikal, selle muutmise ja hävitamise faktil peab olema tõestusväärtus ning vajalik on info õigsuse, täielikkuse ja ajakohasuse kontroll reaalajas. 6 Andmete konfidentsiaalsuse alusel määratakse turvaosaklass järgmisest skaalast: 1 S0 – avalik info, juurdepääsu teabele ei piirata, lugemisõigus on kõigil huvitatutel ja muutmise õigus on määratud tervikluse nõuetega; 2 S1 – info asutusesiseseks kasutamiseks ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 3 S2 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajate gruppidele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral; 4 S3 – info asutusesiseseks kasutamiseks, info kasutamine on lubatud ainult teatud kindlatele kasutajatele ja juurdepääs teabele on lubatav juurdepääsu taotleva isiku teadmisvajaduse korral. 7 Turvaosaklassi määramisel lähtutakse andmestiku enim kaitset vajavate andmete infoturbe tasemest. RT I 2022-12-13 30 113122022030 2023-01-01 11 Turvameetmete rakendamine andmekogu turbeastmest lähtuvalt 1 Paragrahvi 7 lõikes 4 sätestatud kohustuse täitmiseks peab andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja lähtuma kaitsealast, mis hõlmab vähemalt kõiki andmekogu pidamisega seotud süsteeme, määrama kõikidele andmekogu pidamisega seotud süsteemidele ja teenustele vähemalt andmekogu turbeastmele vastava kaitsetarbe ning rakendama asjakohast turbeviisi. 2 Turbeastmele kõrge (H) vastav Eesti infoturbestandardi kaitsetarve on väga suur (VS), turbeastmele keskmine (M) vastav Eesti infoturbestandardi kaitsetarve on suur (S) ja turbeastmele madal (L) vastav Eesti infoturbestandardi kaitsetarve on normaalne (N). 3 Paragrahvi 7 lõikes 4 sätestatud kohustus loetakse täidetuks, kui andmekogu vastutav töötleja ja andmekogu majutav volitatud töötleja on täitnud § 3 lõikes 2 või 3 sätestatud tingimused. RT I 2022-12-13 30 113122022030 2023-01-01 2 Avalike ülesannete täitmist oluliselt mõjutavad süsteemid 12 Avalike ülesannete täitmist oluliselt mõjutavate süsteemide loetelu Loetelu süsteemidest, millel on oluline mõju riigi ja kohaliku omavalitsuse üksuse võimele täita avalikke ülesandeid, kehtestab . RT I 2024-06-19 6 119062024006 2024-07-01 13 Avalike ülesannete täitmist oluliselt mõjutavate süsteemide pidamise nõuded Paragrahvi 12 alusel kehtestatud loetelus nimetatud süsteemide tarkvara lähtekood, andmed ja taastejuhendid varundatakse keskselt välisriigiga sõlmitud rahvusvahelise lepingu alusel regulaarselt välisriigis asuvasse turvalisse andmekeskusesse. RT I 2024-06-19 6 119062024006 2024-07-01 4 Rakendussätted 14 Üleminek Eesti infoturbestandardile 1 Kui teenuseosutaja haldab riigi või kohaliku omavalitsuse üksuse süsteemi, eeldatakse süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust Eesti infoturbestandardile kuni 31. detsembrini 2022. a, kui teenuseosutaja kohaldab nimetatud süsteemi turvalisuse tagamisele avaliku teabe seaduse § 43⁹ lõike 1 punkti 4 alusel kehtestatud määruses sätestatud nõudeid. 2 Kui teenuseosutaja ei halda riigi või kohaliku omavalitsuse üksuse süsteemi, eeldatakse süsteemi turvalisuse tagamiseks rakendatud meetmete vastavust Eesti infoturbestandardile kuni 30. juunini 2023. a, kui teenuseosutaja rakendab, seirab ja ajakohastab turvameetmeid, millega nähakse ette vähemalt: 1 süsteemide juurdepääsuõiguste haldamine, süsteemi kasutajate identifitseerimine ja autoriseerimine; 2 teenuse osutamiseks vajalikest andmetest regulaarsete varukoopiate tegemine ja protseduurid andmete varukoopiatest taastamiseks; 3 süsteeme käitava ja süsteemides käideldava tarkvara ajakohasus; 4 süsteemides tehtavate toimingute logid toimingu tegija, liigi ja tegemise ajaga; 5 tarkvaralised ja riistvaralised lahendused süsteemide turvalisust ohustava tegevuse ning tarkvara tuvastamiseks ja tõrjumiseks; 6 protseduurid süsteemide turvalisuse või teenuse toimepidevuse taastamiseks. 15 Eesti infoturbestandardi järgimise auditeerimise tähtajad 1 Teenuseosutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 1 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditi, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditi läbi viima kahe aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 1 alusel läbi viidud turvameetmete süsteemi auditit. 2 Teenuseosutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 2 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditi, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditi läbi viima kolme aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 2 alusel läbi viidud turvameetmete süsteemi auditit, kuid hiljemalt kolm aastat pärast käesoleva määruse jõustumist. 3 Teenuseosutaja, kes on või oli 31. detsembri 2022. a seisuga Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 3 alusel kohustatud läbi viima turvameetmete süsteemi rakendamise auditi, on kohustatud esmakordse Eesti infoturbestandardi järgimise auditi läbi viima nelja aasta jooksul pärast viimast Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 252 „Infosüsteemide turvameetmete süsteem” § 9¹ lõike 3 alusel läbi viidud turvameetmete süsteemi auditit, kuid hiljemalt kolm aastat pärast käesoleva määruse jõustumist. 4 Lõigetes 1–3 nimetamata teenuseosutaja on kohustatud esmakordse Eesti infoturbestandardi järgimise auditi läbi viima kolme aasta jooksul alates Eesti infoturbestandardi järgimise auditeerimise kohustuse tekkimisest. 16 Määruse jõustumine Käesoleva määruse §-d 7–11 jõustuvad 1. jaanuaril 2023. a. 1 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152). RT I 2026-09-04 16 104092026016 2026-09-07 Lisa Esmased turvameetmed RT I 2026-09-04 16 104092026016 2026-09-07