KüTS § 4: digitaalse teenuse osutajaga seonduvad erinõuded

Õiguslik alus (KüTS)

KüTS § 4 lg 1

> (1) Digitaalse teenuse osutaja esitab Riigi Infosüsteemi Ametile vähemalt järgmise teabe: 1) nimi ja registrikood; 2) asjakohasel juhul teave Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 I või II lisas osutatud asjakohase sektori, allsektori ja üksuse liigi kohta; 3) peamise tegevuskoha aadress ja Euroopa Liidus asuvate muude ametlike tegevuskohtade aadressid või juhul, kui tal Euroopa Liidus tegevuskohta ei ole või ta ei ole seal asutatud, oma esindaja tegevuskoha aadress; 4) enda ja asjakohasel juhul oma esindaja ajakohased kontaktandmed, sealhulgas e-posti aadress ja telefoninumber; 5) liikmesriik või liikmesriigid, kus teenust osutatakse; 6) internetiprotokolli aadresside vahemikud.

KüTS § 4 lg 2

> (2) Digitaalse teenuse osutaja peamiseks tegevuskohaks loetakse Eesti, kui asjaomase digitaalse teenuse osutaja turvameetmeid käsitlevad otsused tehakse valdavalt Eestis.

KüTS § 4 lg 3

> (3) Kui digitaalse teenuse osutaja peamist tegevuskohta ei ole võimalik käesoleva paragrahvi lõike 2 kohaselt kindlaks teha või kui selliseid otsuseid ei tehta Euroopa Liidus, loetakse asjaomase digitaalse teenuse osutaja peamiseks tegevuskohaks Eesti, kui Eestis toimub asjaomase digitaalse teenuse osutaja küberturvalisuse tagamise alane tegevus.

KüTS § 4 lg 4

> (4) Kui digitaalse teenuse osutaja peamist tegevuskohta ei ole võimalik käesoleva paragrahvi lõigete 2 ja 3 kohaselt kindlaks teha, käsitatakse digitaalse teenuse osutaja peamise tegevuskohana Eestit juhul, kui Eesti territooriumil asub digitaalse teenuse osutaja kõige suurema arvu töötajatega tegevuskoht Euroopa Liidus.

KüTS § 4 lg 5

> (5) Olenemata käesoleva paragrahvi lõigetes 2–4 sätestatust kohaldatakse käesolevat seadust digitaalse teenuse osutajale, kui tema esindaja tegevuskoht on Eestis või tema esindaja on asutatud Eestis.

KüTS § 4 lg 6

> (6) Digitaalse teenuse osutaja teatab kõigist käesoleva paragrahvi lõike 1 kohaselt esitatud teabe muudatustest viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva.

KüTS § 4 lg 7

> (7) Riigi Infosüsteemi Amet esitab käesoleva paragrahvi lõike 1 punktides 1–5 osutatud teabe põhjendamatu viivituseta Euroopa Liidu Küberturvalisuse Ametile.

KüTS § 4 lg 8

> (8) Riigi Infosüsteemi Amet võib esitada Euroopa Liidu Küberturvalisuse Ametile taotluse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 27 lõikes 1 nimetatud registrile juurdepääsu saamiseks.

KüTS § 4 lg 9

> (9) Digitaalse teenuse osutaja võib käesoleva paragrahvi lõikes 1 sätestatud kohustuse täitmisel juhinduda asjaomastest Euroopa Komisjoni suunistest ja vormidest.

KüTS § 4 lg 10

> (10) Eestis teenust osutav, kuid väljaspool Euroopa Liitu asutatud digitaalse teenuse osutaja peab määrama esindaja Eestis või mõnes teises Euroopa Liidu liikmesriigis, kus ta teenust osutab või kus ta on asutatud, ja tegema püsivalt avalikult kättesaadavaks esindaja kontaktandmed.

KüTS § 4 lg 11

> (11) Digitaalse teenuse osutaja esindaja määramine ei piira õiguslike meetmete võtmist digitaalse teenuse osutaja suhtes.

KüTS § 4 lg 12

> (12) Käesolevat seadust kohaldatakse ka Euroopa Liidu liikmesriigis esindaja määramise kohustust rikkuva digitaalse teenuse osutaja suhtes. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

KüTS § 4 tähendab lihtsas keeles seda, et digitaalse teenuse osutaja ei ole riigi jaoks nähtamatu — ta peab ennast Riigi Infosüsteemi Ametile (RIA) ise teatavaks tegema ja hoidma oma andmed ajakohasena. Säte loetleb miinimumi, mille peab RIA-le esitama:

• nimi ja registrikood;
• asjakohasel juhul teave asjakohase sektori, allsektori ja üksuse liigi kohta;
• peamise tegevuskoha aadress ja Euroopa Liidus asuvate muude ametlike tegevuskohtade aadressid või kui ettevõttel Euroopa Liidus tegevuskohta ei ole ega ta ei ole seal asutatud, siis oma esindaja tegevuskoha aadress;
• enda ja asjakohasel juhul esindaja ajakohased kontaktandmed, sealhulgas e-posti aadress ja telefoninumber;
• liikmesriik või liikmesriigid, kus teenust osutatakse;
• internetiprotokolli aadresside vahemikud.

Teine praktiline pool on küsimus „kas see seadus üldse minu kohta käib?“. Paragrahv annab selleks astmelise reegli. Peamiseks tegevuskohaks loetakse Eesti siis, kui turvameetmeid käsitlevad otsused tehakse valdavalt Eestis. Kui seda nii kindlaks teha ei saa või kui selliseid otsuseid ei tehta Euroopa Liidus, loetakse peamiseks tegevuskohaks Eesti juhul, kui Eestis toimub küberturvalisuse tagamise alane tegevus. Kui ka see ei anna vastust, käsitatakse peamise tegevuskohana Eestit siis, kui Eesti territooriumil asub kõige suurema arvu töötajatega tegevuskoht Euroopa Liidus. Nendest astmetest olenemata kohaldatakse seadust ka siis, kui ettevõtte esindaja tegevuskoht on Eestis või esindaja on asutatud Eestis.

Andmete esitamine ei ole ühekordne toiming. Kõigist esitatud teabe muudatustest tuleb teatada viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva. See tähendab, et aadressi vahetus, uue kontaktisiku määramine või IP-vahemike muutus käivitab teavitamiskohustuse.

Eraldi reegel puudutab väljaspool Euroopa Liitu asutatud, kuid Eestis teenust osutavaid ettevõtjaid: nemad peavad määrama esindaja Eestis või mõnes teises liikmesriigis, kus nad teenust osutavad või kus nad on asutatud, ning tegema esindaja kontaktandmed püsivalt avalikult kättesaadavaks. Esindaja määramine ei anna kaitset — see ei piira õiguslike meetmete võtmist teenuseosutaja enda suhtes ja seadust kohaldatakse ka sellele, kes esindaja määramise kohustust rikub. Esitatud teabega töötab edasi RIA: lõike 1 punktides 1–5 nimetatud teabe edastab ta põhjendamatu viivituseta Euroopa Liidu Küberturvalisuse Ametile ning võib taotleda juurdepääsu vastavale registrile.

Mida ettevõte peab tegema

Samm 1 — tehke kindlaks, kas peamine tegevuskoht on Eestis. Vaadake üle, kus tegelikult tehakse teie turvameetmeid käsitlevad otsused. Kui need tehakse valdavalt Eestis, ongi peamiseks tegevuskohaks Eesti. Kui otsustuskohta ei õnnestu üheselt tuvastada või otsuseid ei tehta Euroopa Liidus, kontrollige järgmisena, kas küberturvalisuse tagamise alane tegevus toimub Eestis, ja alles seejärel, kas Eestis asub teie kõige suurema arvu töötajatega tegevuskoht Euroopa Liidus. Kui olete asutatud väljaspool Euroopa Liitu, kontrollige eraldi, kas teie esindaja tegevuskoht on Eestis või esindaja on Eestis asutatud — sel juhul kohaldub seadus sõltumata eelnevatest astmetest. Vastutaja: juhatus koos infoturbe eest vastutava isikuga. Dokument: lühike kirjalik põhjendus koos otsuste tegemise kohta tõendavate materjalidega (juhatuse või turvakomitee protokollid, ametijuhendid).

Samm 2 — koostage ja esitage RIA-le andmekomplekt. Pange ühte dokumenti kokku kõik lõikes 1 nõutud väljad: nimi ja registrikood; asjakohasel juhul sektor, allsektor ja üksuse liik; peamise tegevuskoha aadress ning Euroopa Liidus asuvate muude ametlike tegevuskohtade aadressid (või esindaja tegevuskoha aadress, kui teil Euroopa Liidus tegevuskohta ei ole ega olete seal asutamata); enda ja asjakohasel juhul esindaja ajakohased kontaktandmed koos e-posti aadressi ja telefoninumbriga; liikmesriigid, kus teenust osutate; internetiprotokolli aadresside vahemikud. IP-vahemike osas kaasake võrguadministraator või teenusepakkuja, sest need andmed on tavaliselt IT-poolel, mitte juriidilises registris. Kohustuse täitmisel võite juhinduda asjaomastest Euroopa Komisjoni suunistest ja vormidest.

Samm 3 — pange püsti muudatuste jälgimise kord. Määrake nimeliselt üks vastutaja (nt vastavusjuht või infoturbejuht), kes hoiab RIA-le esitatud andmete koopiat ja kellele teatatakse igast muudatusest: aadressi vahetus, kontaktisiku või telefoninumbri muutus, uus teenuse osutamise liikmesriik, IP-vahemike muutus. Kirjutage sisekorda selgelt sisse, et muudatusest tuleb RIA-le teatada viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva, ning et teavitamine logitakse (kuupäev, sisu, esitaja).

Samm 4 — kui olete asutatud väljaspool Euroopa Liitu, vormistage esindaja. Määrake esindaja Eestis või mõnes teises liikmesriigis, kus teenust osutate või kus olete asutatud, fikseerige tema volitused kirjalikult ning tehke tema kontaktandmed püsivalt avalikult kättesaadavaks (nt veebilehe püsival alalehel, mitte ühekordses teates). Arvestage, et esindaja olemasolu ei piira õiguslike meetmete võtmist ettevõtte enda suhtes ning seadus kohaldub ka esindaja määramise kohustuse rikkumise korral — seega ei ole määramata jätmine praktiline valik. Kui mõne nõude täpne täitmisviis jääb ebaselgeks, lähtuge Riigi Infosüsteemi Ameti avaldatud juhistest.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.