Majandusminister — Nõuded riigihangete veebilehe veebirakendusele ja sellise veebilehe veebirakendusele kehtestatud nõuetele vastavuse hindamise kord — RTL, 85, 1183

Määrus kehtestatakse «Riigihangete seaduse» (RT I 2000, 84, 534; 2001, 40, 224; 50, 284) § 60 lõike 11 alusel. 1. peatükk Üldsätted § 1. Reguleerimisala Käesolevat määrust kohaldatakse riigihangete veebilehe veebirakendusele (edaspidi infosüsteem) ja sellise infosüsteemi kehtestatud nõuetele vastavuse hindamisele. § 2. Mõisted (1) Jälitatavus tähendab käesolevas määruses omadust, mis tagab, et mingi olemi toiminguid saab üheselt jälitada selle olemini. (2) Infoturvapoliitika tähendab käesolevas määruses eeskirju, juhiseid ja menetlusi, mis suunavad varade, sealhulgas tundliku teabe haldust, kaitset ja jaotamist infosüsteemi haldaja organisatsioonis ja infotehnoloogiasüsteemides. § 3. Nõuded infosüsteemile Infosüsteemi haldaja peab tagama vähemalt: 1) infoturvapoliitika, sealhulgas infoturbe programmi olemasolu, selle vastavuse nõuetele ja heale tavale ning infoturvapoliitikast kinnipidamise; 2) pääsu reguleerimise; 3) toimingute restruktureerimiseks ja jälitatavuse tagamiseks kontrolljälgede süsteemi olemasolu ja sellest kinnipidamise; 4) infosüsteemi muudatuste tegemist käsitlevate eeskirjade olemasolu ja sellest kinnipidamise; 5) infosüsteemi riist- ja tarkvara füüsilise kaitse olemasolu ja sellest kinnipidamise; 6) infosüsteemi toimimise pidevuse; 7) turvameetmed konfidentsiaalsuskao avastamiseks infoedastuse faasil ja nendest teatamiseks ning kõigi nendega seotud arvutiseansside õigeaegseks lõpetamiseks; 8) autentimise kordamise konfidentsiaalsuskao korral infoedastuse faasil; 9) infosüsteemi tarkvara konfidentsiaalsuse, käideldavuse ja tervikluse; 10) iseseisvalt nii infosüsteemi administreerimisfunktsioonide täitmise kui ka selle jälgimise teostamise; 11) riigihangete seaduse rakendumise infosüsteemi kaudu. 2. peatükk Infosüsteemi turvanõuded 1. jagu INFOTURBE PROGRAMM § 4. Infoturbe programm Infoturbe programmis peavad sisalduma vähemalt: 1) turvaeesmärgid õigusaktide nõudeid ja turvapoliitikat silmas pidades; 2) infoturbe nõuded, mis peavad tagama infosüsteemis oleva informatsiooni konfidentsiaalsuse, tervikluse, käideldavuse, jälgitavuse ja töökindluse; 3) organisatsiooni ja infosüsteemi toimimiseks oluliste tööde eest vastutava isiku kohustusi ja õigusi hõlmav infoturbe haldus; 4) organisatsioonis rakendatav riskihalduse metoodika; 5) meetodid, millega saab määrata turvameetmete evituse prioriteete; 6) kõik pääsu reguleerimise, sealhulgas nii loogilise pääsu reguleerimise kui ka füüsilise hoonetesse, ruumidesse, süsteemidesse ja informatsiooni pääsu reguleerimise üldreeglid; 7) lähenemisviis turvateadlikkuse ja -koolituse käsitluseks organisatsioonis ja kord, millega tagatakse infosüsteemi haldaja lepingupartnerite teadlikkus oma kohustustest infoturbe alal; 8) turvalisuse kontrollimise ja säilitamise protseduurid üldjoontes; 9) üldised personali turvaeeskirjad; 10) vahendid turvapoliitika teatamiseks kõigile asjaosalistele; 11) asjaolud, mille korral infoturvapoliitika tuleb läbi vaadata; 12) organisatsioonilised turvamudelid ja -protseduurid; 13) riskide piiritlus ja nõue infosüsteemi kaitsmiseks piisavate meetmete evituseks; 14) personali ja infosüsteemi haldaja lepingupartnerite infoturbealaste kohustuste määratlus; 15) turvateadlikkuse ja -koolituse kohustus; 16) infoturbe programmi eest vastutava isiku määramise kohustus ja sobivate turvatasemete spetsifitseerimise kohustus; 17) infoturbe intsidentide lahendamise ja neist teatamise kord, sealhulgas kirjalikud plaanid avariijärgseks tegevuse jätkamiseks; 18) infoturvapoliitikast ja sellest tulenevaist dokumentidest hälbimiste ja erandolukordade tuvastus ning protseduurid nende käsitluseks; 19) kohustus hinnata infoturbe programmi mõistlikkust ja infosüsteemi vastavust sellele; 20) revisjonipäevikute loomise ning kontrolljälgede seire kohustus. § 5. Infoturbe nõuetega hõlmatavad valdkonnad Infoturbe nõuded hõlmavad vähemalt: 1) andmesalvestust; 2) andmearhiivide pidamist; 3) andmekandjate transporti; 4) andmeedastust; 5) andmekandjate hävitamist; 6) infosüsteemi protseduuride, tarkvara ja konfiguratsioonide dokumentatsioone; 7) paroolide kasutamist; 8) pääsuõigusi; 9) ressursside reguleerimist; 10) riistvara ja tarkvara omandamist ja rentimist; 11) hoolde- ja remonditöid; 12) tarkvara vastuvõtmist ja selle dokumentaalset kinnitamist; 13) rakendustarkvara väljatöötamist; 14) andmete privaatsust; 15) viirusetõrje auditeerimist; 16) infosüsteemi perioodilist kontrolli selle rikkumiste ennetamiseks; 17) infoturvapoliitika rikkumiste käsitlust; 18) turvakoopiate tegemist ja haldust, sealhulgas hoidmist serveriruumist eraldi; 19) infosüsteemi haldaja personali. § 6. Infosüsteemi haldaja personal (1) Infosüsteemi haldaja peab määrama personali infosüsteemi ekspluatatsioonialase vastutuse ja isiku, kes vastutab infosüsteemi toimimiseks oluliste tööde eest. (2) Oluliste tööde eest vastutav isik peab koostama selliste tööde tegemise kirjeldused. (3) Ekspluatatsioonivastutus hõlmab muuhulgas järgmisi töid: 1) andmesisestus; 2) tööprotsessi plaanimine ja ettevalmistamine; 3) andmetöötlus; 4) väljundandmete järeltöötlus; 5) toimingute täitmise seire. (4) Organisatsioonis peab olema lahutatud infosüsteemi andmetöötluslik kasutamine, infosüsteemi administreerimisfunktsioonide täitmine ja infosüsteemi administreerimisfunktsioonide täitmise jälgimine. 2. jagu PÄÄS § 7. Pääsu reguleerimine Pääsu reguleerimiseks tuleb rakendada järgmisi turvameetmeid: 1) infosüsteemi kasutajatunnuse määramine; 2) infosüsteemi kasutaja autentimine staatiliste või dünaamiliste paroolide või digitaalsertifikaadi kasutamise kaudu; 3) sisselogimiskatsete piiramine; 4) mitut kasutajat toetava süsteemi olemasolu korral sellise pääsu reguleerimise tarkvara kasutamise spetsifitseerimine, mis suudab piirata iga isiku pääsu infosüsteemi, andes pääsu ainult infosüsteemi teatud osade juurde; 5) volitamata kasutajate hoiatamine nende tegude võimalike tagajärgede eest; 6) tulemüüri olemasolu tagamine. § 8. Pääsuõiguste dokumenteerimine Pääsuõiguste andmisel ja dokumenteerimisel tuleb kirjalikult fikseerida: 1) isiku ees- ja perekonnanimi; 2) isiku kasutajatunnus infosüsteemis; 3) isiku töökoht; 4) isiku elu- või asukoha ja kontaktandmed; 5) infosüsteemide piirkonnad, kuhu pääsuõigused anti või kust pääsuõigused ära võeti; 6) pääsuõiguste andmise ja äravõtmise aeg. § 9. Staatiline parool Staatilise parooli kasutamise korral peab infosüsteemi haldaja: 1) saama kasutajailt viivitamatut informatsiooni ilmsest või oletatavast parooli paljastumisest; 2) tagama, et infosüsteemi kasutaja peab saama igal ajal parooli muuta; 3) määrama algparooli, mille infosüsteemi kasutaja peab esimesel kasutamisel muutma; 4) tagama, et parooli pikkus oleks vähemalt kuus märki; 5) tagama paroolide perioodilise muutmise vähemalt iga 60 päeva järel; 6) peatama kasutajatunnusega seotud pääsuõiguste kehtivuse, kui parooli pole õigeaegselt muudetud; 7) tagama, et paroolid ei oleks ühised ega kättesaadavad või teistele isikutele teada; 8) tagama, et paroolid sisaldaksid nii täht- kui ka numberosi; 9) kaitsma parooli edastuse ajaks krüpteerimisega kasutades krüpteerimismehhanisme, mis väldivad krüpteeritud paroolide taaskasutuse krüpteeritud või krüpteerimata kujul; 10) välistama vähemalt kasutaja viimase nelja kasutusel olnud parooli taaskasutuse; 11) tagama paroolivahetuse keelu vähemalt üheks päevaks pärast eelmist parooli vahetust; 12) tagama, et sisestamisel ei oleks parool ekraanil nähtav; 13) tagama, et pärast kolme nurjunud paroolisisestuse katset sisestusmehhanism lukustub ja seda saab avada vaid infosüsteemi administraator või selleks volitatud töötaja; 14) tagama paroolide salvestamise pööramatult krüpteeritutena või krüptograafilise sõnumilühendina. § 10. Dünaamiline parool Dünaamilise parooli kasutamise korral peab infosüsteemi haldaja: 1) valima autentimistõendid, mis nõuavad kasutaja vahetatava isikunumbri (edaspidi PIN-tõendkood) või biomeetriliste andmete aktiveerimist; 2) tagama, et PIN-tõendkoodi pikkus oleks vähemalt neli märki; 3) lukustada tõend pärast väära PIN-koodi maksimaalselt kolmekordset sisestust; 4) tagama, et genereeritud parooli pikkus oleks vähemalt kuus märki; 5) tagama, et juhuslikena genereeritavaid paroole kasutataks ainult üks kord; 6) tagama, et võtmed ja muu autentimise jaoks vajalik informatsioon tõendis ja valideerimissüsteemis oleks krüpteeritud; 7) tagama, et turvatõendid oleksid sekkumis- ja dubleerimiskindlad; 8) tagama turvatõendite kontrollprogrammi toimimise. § 11. Digitaalsertifikaat Digitaalsertifikaadi kasutamise korral peab infosüsteemi haldaja: 1) täitma §-s 10 toodud nõudeid; 2) autentima informatsiooni sõnumiautentimis-koodiga või digitaalallkirjaga; 3) tagama sertifitseerimisteenuse olemasolu. § 12. Esemelised pääsutõendid Esemeliste pääsutõendite halduseks peab: 1) esemeliste pääsutõendite, nagu näiteks võtmed, kiipkaardid või magnetkaardid, väljaandmine, äravõtmine ning vastavate tegevuste dokumenteerimine olema tsentraliseeritud; 2) olema tagatud, et mitme ruumi või piirkonna avamisel ühe pääsutõendiga ei võimaldaks pääsutõend ühelgi inimesel pääsu sellistesse ruumidesse, kuhu talle pääsuõigust pole antud; 3) varuvõtmeid või muid pääsutõendeid hoidma kindlas, mitte rohkem kui kolmele selleks volitatud töötajale kättesaadavas kohas, soovitavalt raudkapis või rauduksega varustatud ruumis; 4) pääsutõendite jagamine personalile ja nende äravõtmine toimuma allkirja vastu ning peavad olema dokumenteeritud; 5) pääsutõendi kaotamisel muutma kuue tunni jooksul kaotatud pääsutõend mittetoimivaks kas programmeerides ümber magnet- või kiipkaardilugejad või vahetades lukkude muugisüsteemid või muul viisil; 6) töötaja tööülesannete muutmisel tagastatama need pääsutõendid, mille abil avatavatesse ruumidesse või piirkondadesse pole tal muutunud tööülesannete tõttu pääsuõigust enam tarvis; 7) töötaja lahkumisel töölt ta tagastama kõik talle väljastatud pääsutõendid, mis tuleb muuta mittetoimivateks. § 13. Krüpteerimine Kui krüpteerimine on vajalik, peab infosüsteemi haldaja tagama: 1) võtme genereerimise, kusjuures võti valitakse vastavalt kasutatavale algoritmile ja luuakse juhuarvude generaatori abil; 2) algvõtmete asendamise krüptovahendi installeerimisel; 3) võtme säilitamise, kusjuures võtmeid ei tohi säilitada süsteemides, mille turve pole piisav nende salastuse kaitseks; 4) käibelt kõrvaldatud võtmete kustutamise või hävitamise; 5) varuvõtmete erandolukordadeks säilitamise piiratud pääsuga seifides; 6) võtmete üleandmise krüptogrammist ajaliselt ja ruumiliselt lahus; 7) võtme perioodilise muutmise, kusjuures periood, mis sõltub kasutamise sagedusest, ohupotentsiaalist ja kohaliku säilituskeskkonna turbetasemest, tuleb määrata kindlaks infoturbe programmis; 8) võtme käibelt kõrvaldamise paljastamise kahtluse korral, kusjuures sellise võtmega loodud krüptogrammid tuleb dekrüpteerida ja uue võtmega krüpteerida; 9) krüpteerimisvõtmete genereerimise vahendiga võtme automaatse muutmise; 10) võtmete üldkasutavate sidevahendite, nagu näiteks telefon, faks või e-post, vahendusel krüpteerimata kujul edastamise keelu olemasolu. § 14. Kontrolljälgede süsteem Kontrolljälgede süsteem peab muu hulgas võimaldama: 1) infosüsteemi pääsuõiguste andmise ja äravõtmise dokumenteerimist; 2) esemeliste pääsutõendite väljaandmise ja äravõtmise dokumenteerimist; 3) infosüsteemi kasutamise aja, s.o infosüsteemi sisselogimise ja infosüsteemist väljalogimise aja, ning toimingute dokumenteerimist, kusjuures peab olema tagatud aja ja logifaili muutmise võimatus. 3. jagu INFOSÜSTEEMI FÜÜSILINE KAITSE § 15. Tehnovõrkude kaitse Infosüsteemi haldaja peab elektrivarustatuse ja andmesidevõrkude (edaspidi tehnovõrk) kaitseks tagama: 1) telekommunikatsiooniühenduste dubleerimise, nagu näiteks autonoomse töötamise võimalusega telefonijaam või raadioside; 2) vaid tehnovõrkude ehitamise, hooldamise ja kontrollimisega tegelevate isikute määramise; 3) serveri- ja sideruumile esitatavate nõuete täitmise; 4) tehnovõrkude tegelikele vajadustele vastavuse kontrolli, kusjuures see peab toimuma iga kolme kuu tagant või pärast igat infosüsteemi füüsilise konfiguratsiooni muutmist, mille käigus tuleb veenduda, et elektrisüsteem vastab tarbitavale maksimumkoormusele, andmesidevõrkude läbilaskevõime vastab infosüsteemi vajadustele ja andmesidevõrkude topoloogia on infosüsteemi vajadusi arvestades optimaalne; 5) kasutatavate kaablitüüpide vastavuse paigaldamiskoha tingimustele, tuleohutusele, magnet- ja elektriväljade lähedusele ning mehaanilistele vigastustele; 6) tehnovõrkude tegelikkusele vastavate ehitus- või mõõdistusprojektide olemasolu, kusjuures seal peavad sisalduma tehnovõrkude täpne asukoht kas hoone põhiplaanil ja hooneväliste rajatiste olemasolu korral maa-ala plaanil, millele peab olema märgitud ka kaabli kõrgus või sügavus põrandast või maapinnast ja paigaldusviis, kaablite tehnilised andmed, kaablite markeering, jaotusseadmete asukoht ja tüüp ning kaablite ja jaotusseadmete paigaldus- ja parandusajad; 7) tehnovõrkude, sealhulgas liinitrasside, tuleohutuse ja infosüsteemi toite katkestamiseks vajalike avariilülitite olemasolu; 8) ülepingekaitse vahendite olemasolu, kui ehitise väline piksekaitse ei kaitse hoones asuvat elektriseadmestikku, kusjuures täieliku ülepingekaitse korral peab olema tagatud hoone fiidri jäme kaitse, korruse jaotusseadmete keskmine kaitse ja üksikliinide täpne kaitse; 9) tagama elektrigeneraatori kaudu infosüsteemi elektrivarustuse katkemisel elektritoite vähemalt 24 tunniks; 10) tagama infosüsteemi puhvertoiteallikate (edaspidi UPS) olemasolu. § 16. Nõuded serveri- ja sideruumile (1) Serveri- ja sideruum peab olema: 1) ruumi seest pääsuteenistuse poolt turvakaameratega jälgitav; 2) varustatud avariivalgustusega ja laadimispistikute ning akulampidega. (2) Serveri- ja sideruumi seinad, põrandad, laed ja uksed peavad olema veekindlad ja vähemalt tulepüsivusklassiga A120. (3) Serveri- ja sideruumis peab olema vähemalt kaks autonoomset kliimaseadet ning niiskuse- ja temperatuurinäitajaid peab olema võimalik jälgida nii ruumis kohapeal kui ka eemalt. (4) Serveri- ja sideruumi seinad, põrandad ja laed peavad olema kivist või betoonist ja varjestatud. § 17. Tuleohutuse tagamiseks Infosüsteemi haldaja peab tuleohutuse eesmärgil tagama: 1) nõuetele vastavate käsitulekustutite olemasolu infosüsteemiga seotud ruumide, välja arvatud arhiivi- ja serveriruum, juures; 2) arhiivi- ja serveriruumides gaasikustutite ja suitsuandurite olemasolu; 3) suitsetamiskeelu infosüsteemiga seotud ruumides; 4) serveri- ja sideruumi elektri-, ventilatsiooni-, arvutivõrgu- ja sidekaablite ühenduste ja ruumidesse sisenemiste tulekindluse. § 18. Infosüsteemiga seotud ruumide kaitse Infosüsteemi haldaja peab infosüsteemiga seotud ruumide kaitseks tagama: 1) ruumide sellise paigutuse, et oleks tagatud infosüsteemi kaitse vee, vandalismi, sissemurdmise ja sabotaaþi eest; 2) erikaitset vajavate ruumide, nagu näiteks serveriruum, dokumendiarhiivid või andmekan djaarhiivid, turvauste olemasolu; 3) infosüsteemiga seotud ruumide varustamise lukustatava ukse või pääsuteenistuse kasutamise, kusjuures pääsuteenistuse kasutamise korral peab pääsuteenistus kontrollima iga ruumidesse siseneda üritavat isikut, lubama pääsuõigusi mitteomavaid inimesi pääsuteenistusruumidesse vaid koos pääsuõigusi omavate isikutega, omama efektiivset ja toimivat tegevusplaani juhuks, kui ruumidesse püütakse pääsuteenistusest mööda minnes tungida jõuga; 4) infosüsteemile pääsu selleks volitatud isiku puudumisel deponeerides töötaja kehtiva parooli pitseeritud ümbrikus, säilitades need turvakapis. § 19. Andmekandjate kaitse Infosüsteemi haldaja peab infosüsteemiga seotud andmete turvaliseks säilimiseks tagama: 1) teisaldatavate andmekandjate turvakappi või seifi lukustamise salvestamise ja transportimise vaheliseks ajaks; 2) turvakappide vastavuse tuleohutus- ja mehhaanilise tugevuse nõuetele, kusjuures serverikapp peaks soovitavalt olema varustatud lokaalse seadmete toidet katkestava tuletõrjesignalisatsiooniga; 3) andmete varukoopiate ja logiprinterite serveriga samasse turvakappi mittepaigutamise; 4) andmekandjate, mida enam ei vajata või mis on defektsed, kõrvaldamise nii, et ei saaks teha mingeid järeldusi neis talletatu kohta; 5) andmekandjate talletuskoha, säilitusperioodi ja volitatud kasutajate kohta andmete olemasolu. § 20. Infosüsteemi riistvara hooldus (1) Infosüsteemi riistvara hoolduse peab tagama vastutav isik või kindlad selleks määratud isikud. (2) Hooldustööde tegemise kohta peab olema koostatud eeskiri, milles peab sisalduma: 1) hooldustööde tegemise ajad, kusjuures hoodustööde korral, mille puhul tuleb infosüsteem seisata, peab hooldustööde tegemise aeg olema ajavahemikus 22.00¿7.00; 2) asjaomaste isikute, sealhulgas personali, hooldustöödest informeerimise kord, mis peab sisaldama ka hooldustööde tegemise teavet infosüsteemi veebilehel; 3) hooldetöid tegevate isikute kohustus tõendada oma isikut; 4) hooldetöid tegevate isikute poolt infosüsteemi pääsu vältimise kord, sealhulgas infosüsteemi andmekandjate eelnevat kõrvaldamist või kustutamist; 5) hooldetööde tegemise ajaks hooldetöid tegevatele isikutele pääsuõiguste andmise ja äravõtmise kord; 6) hooldetööde lõppemisel asjassepuutuvate paroolide vahetamise, viirusekontrollide sooritamise ja failide tervikluse kontrollimise kord; 7) hooldetööde dokumenteerimise kord, milles nähakse ette vähemalt hooldetööde ulatus, tulemused, aeg ja hooldetöötaja nimi; 8) hooldetööde tegemiseks vajalike infosüsteemi vahendite transportimise kord. 3. peatükk Infosüsteemi funktsionaalsusnõuded § 21. Registreerumine Infosüsteemi haldaja peab võimaldama: 1) ostjal registreeruda infosüsteemi kasutajaks, saades enda identifitseerimiseks unikaalse kasutajanime ja parooli; 2) pakkujal registreeruda infosüsteemi kasutajaks konkreetse riigihanke raames, saades enda identifitseerimiseks unikaalse kasutajanime ja parooli, tagades sellega ligipääsu konkreetsele riigihanke pakkumismenetlusele. § 22. Informatsiooni avalikustamine Infosüsteemi haldaja peab võimaldama: 1) avaldada ostjal pakkumise kutse ning soovi korral ka pakkumise kutse dokumendid; 2) vaadata kõikidel veebilehe külastajatel pakkumise kutseid ning salvestada avalikult välja pandud pakkumise kutse dokumente; 3) avaldada taotlejal ostjale pakkumise kutse dokumentide saamise soov; 4) juhul, kui pakkumise kutse dokumente saab kasutaja ainult eraldi tellides, avaldada ostjal pakkumise kutse dokumendid pakkujale või taotlejale, kes on avaldanud vastava soovi; 5) esitada pakkujal või taotlejal ostjale küsimusi pakkumise kutse ja pakkumise kutse dokumentide kohta, kusjuures juhul, kui pakkumise kutse dokumendid on avalikud, saavad küsimusi esitada kõik infosüsteemi kasutajad ning esitatud küsimused on kõigile nähtavad; 6) esitada pakkujal või taotlejal ostjale küsimusi pakkumise kutse ja pakkumise kutse dokumentide kohta juhul, kui pakkumise kutse dokumendid ei ole avalikud, vaid nende infosüsteemi kasutajate poolt, kes on ennast vastavalt registreerinud ja kellele on pakkumise kutse dokumendid edastatud ning küsimusi näevad ainult teised samale pakkumismenetlusele registreeritud pakkujad või taotlejad; 7) avaldada ostjal kõik vastused küsimustele, mis esitati pakkumise kutse või pakkumise kutse dokumentide kohta pakkujate poolt, kusjuures juhul, kui pakkumise kutse dokumendid on avalikud, näevad vastuseid kõik infosüsteemi kasutajad, ning juhul, kui pakkumise kutse dokumendid ei ole avalikud, vaid vastavalt registreerinud infosüsteemi kasutajad, kellele on pakkumise kutse dokumendid edastatud; 8) vaidlustuse korral ostjal teavitada asjaosalistele avaliku istungi toimumise aeg; 9) vaidlustuse korral edastada ostjal asjaosalistele vaidlustuse tulemuseks olev protokoll või motiveeritud otsus; 10) edastada ostjal konkursil osalenud pakkujatele teade eelnevalt peatatud riigihanke pakkumismenetluse jätkamise kohta. § 23. Pakkuja või taotleja minimaalsetele nõuetele vastavuse kontroll (1) Infosüsteemi haldaja peab võimaldama pakkuja või taotleja poolt sisestatud andmete põhjal teostada pakkuja või taotleja riigihangete seaduses sätestatud minimaalsetele kvalifitseerimise nõuetele vastavuse automaatset kontrollimist. (2) Automaatne kontroll toimub pakkuja või taotleja infosüsteemi kasutajaks registreerimisel ja pakkuja või taotleja kvalifitseerimise tähtpäeval. (3) Minimaalsetest pakkuja või taotleja kvalifitseerimise nõuetest tuleb pakkujat või taotlejat teavitada infosüsteemi registreerumisel, kusjuures pakkuja või taotleja mittevastavusel nõuetele peab talle saadetama automaatselt teade minimaalsetele kvalifitseerimisnõuetele mittevastavuse kohta ning sellist pakkujat või taotlejat ei tohi registreerida ning sellise pakkuja poolt esitatud pakkumine tuleb tagasi lükata. § 24. Pakkumise kutse dokumendid Infosüsteemi haldaja peab võimaldama: 1) edastada pakkujal ostjale täiendavad kvalifitseerimise dokumendid ja taotlus kvalifitseerimiseks; 2) avaldada ostjal pakkumise kutse dokumentide muutmise korral muutmise teade juhul, kui pakkumise kutse dokumendid olid avalikud, siis näevad seda teadet kõik veebilehe külastajad, ja juhul, kui kutse dokumendid olid kinnised, siis saavad muutmise teate dokumente tellinud kasutajad; 3) ostjal esitada infosüsteemi kaudu pakkumise kutse dokumendid. § 25. Pakkuja või taotleja vastavuse kontroll ostja kehtestatud nõuetele (1) Ostjal on õigus kehtestada täiendavaid nõudeid pakkuja või taotleja kvalifitseerimiseks. (2) Infosüsteemi haldaja peab võimaldama edastada ostjal pakkujale või taotlejale kvalifitseerimise otsus. § 26. Pakkumine Infosüsteemi haldaja peab võimaldama: 1) esitada pakkujal ostjale pakkumine, sealhulgas pakkumise maksumus nii, et pakkumise sisu ei saaks keegi peale pakkuja teada enne pakkumise avamise või pakkumiste maksumuse avamise tähtaega; 2) edastada ostjal pakkujale pakkumise vastuvõtmise tõend; 3) edastada pakkujal ostjale pakkumise tagasivõtmise teade ja pakkumine tagasi võtta, kusjuures pakkumise tagasivõtmisel kustutab rakendus vastava pakkumise oma andmebaasist; 4) edastada ostjal pakkujale pakkumise jõus olemise tähtaja pikendamise taotlus; 5) edastada pakkujal ostjale teade pakkumise jõus olemise aja pikendamise kohta; 6) ostjal teada saada pakkuja esitatud pakkumise andmed, välja arvatud pakkumise maksumus, pärast pakkumiste avamist; 7) ostjal teada saada pakkuja esitatud pakkumise maksumus pärast pakkumiste maksumuse avamist. § 27. Teated Infosüsteemi haldaja peab võimaldama: 1) vaidlustuse korral edastada ostjal pakkumismenetluse peatamise teade riigihanke pakkumismenetluses osalevatele pakkujatele; 2) edastada pakkumise ja pakkumise maksumuse avamise protokolli ärakirju selle riigihanke pakkumismenetluse pakkujatele; 3) edastada ostjal pakkujale pakkumise vastavuse otsus; 4) edastada ostjal vastavat soovi avaldanud pakkujale pakkumise tagasilükkamise alused; 5) edastada ostjal kõikidele pakkujatele, kes osalesid vastaval riigihanke pakkumismenetlusel, pakkumise edukaks tunnistamise teade; 6) ostjal saata parimale pakkujale kinnitus tema pakkumise väljavalimise kohta; 7) pakkujal näha ostja poolt saadetud kinnitust pakkumise parimaks tunnistamise kohta. § 28. Avalikud pakkumised (1) Infosüsteemi haldaja peab võimaldama infosüsteemi kasutajal avalikustada enda poolt müügiks pakutav teenus, ehitustöö või asi konkreetsel riigihanke pakkumismenetluses osalemata. (2) Ostja võib teostada väljakuulutamiseta läbirääkimistega pakkumismenetluse raames riigihanke infosüsteemi kasutaja poolt avalikustatud teenuste, ehitustööde või asjade seast. (3) Infosüsteemi kasutaja peab pakkumise avalikustamise korral sisestama infosüsteemi vähemalt: 1) asja, ehitustöö või teenuse nimetuse ja iseloomustuse ning asjale, ehitustööle või teenusele võimalikult täpselt vastava ühtse riigihangete objektide klassifikatsiooni koodi; 2) asja, ehitustöö või teenuse maksumuse; 3) asja, ehitustöö või teenuse koguse. (4) Infosüsteemi haldaja peab võimaldama infosüsteemi kaudu automaatselt ostjal otsida sobivat asja, ehitustööd või teenust, kusjuures infosüsteem peab abistama ostjat erinevate tunnussõnade ja ühtse riigihangete objektide klassifikatsiooni järgi asjade, ehitustööde või teenuste leidmisel ning samalaadsete asjade, ehitustööde või teenuste maksumuste hinnavõrdlusel. (5) Infosüsteemi haldaja peab võimaldama infosüsteemi kasutajal näha kõiki tema poolt infosüsteemi sisestatud asjade, ehitustööde või teenuste kohta tehtud tellimusi koos tarneaadresside ning maksmisviisidega. 4. peatükk Infosüsteemi nõuetele vastavuse hindamine § 29. Infosüsteemi nõuetele vastavuse tõendamine Infosüsteemi vastavust nõuetele peab tõendama infosüsteemi haldaja. § 30. Infosüsteemi auditi raport (1) Infosüsteemi nõuetele vastavust tõendab infosüsteemi auditi raport, mis peab sisaldama andmeid aasta jooksul teostatud auditi kohta. (2) Auditi raportis esitatakse vähemalt: 1) audiitori andmed; 2) auditi teostamise ajavahemik; 3) auditi teostamise käik, leiud, hinnangud ja järeldused, mis käsitlevad infosüsteemi vastavust nõuetele; 4) audiitori otsus infosüsteemi vastavuse kohta käesolevas määruses esitatud nõuetele. § 31. Komisjon (1) Infosüsteemi haldajana tegutseda sooviva ettevõtja «Riiklikusse erinõuetega tegevusaladel tegutsevate ettevõtjate registri» registreeringu tegemist otsustaval komisjonil (edaspidi komisjon) on õigus saada infosüsteemi haldajalt täiendavat informatsiooni. (2) Komisjonil on õigus kontrollida infosüsteemi vastavust infosüsteemi haldajalt saadud informatsioonile ette teatamata. Rahandusminister majandusministri ülesannetes Siim KALLAS Asekantsler kantsleri ülesannetes Signe RATSO