KüTS § 4¹: nõuete ja kohustuste esmakordne täitmine (uuele üksusele)

Õiguslik alus (KüTS)

KüTS § 4¹ lg 1

> (1) Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja täidab käesoleva seaduse § 3 1 lõikes 1 sätestatud kohustuse kolme kuu jooksul teenuseosutaja või domeeninimede registreerimise teenuse osutaja tunnustele vastavuse tekkimisest arvates.

KüTS § 4¹ lg 2

> (2) Digitaalse teenuse osutaja täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates.

KüTS § 4¹ lg 3

> (3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib oma tegevuse käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse ning täidab käesolevast seadusest ja selle alusel kehtestatud õigusaktidest tulenevad kohustused kolme aasta jooksul teenuseosutaja, sealhulgas digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab teenuseosutaja nimetatud lõigetes määratud tähtajal.

KüTS § 4¹ lg 4

> (4) Olenemata käesoleva paragrahvi lõikes 3 sätestatust peab elutähtsa teenuse osutaja oma tegevuse viima vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 1 3 punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa teenuse osutaja nimetatud lõigetes määratud tähtajal.

KüTS § 4¹ lg 5

> (5) Käesolevat paragrahvi ei kohaldata sellistele teenuseosutajatele, kellele kohaldatakse käesoleva seaduse § 28 1 . [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

KüTS § 4¹ vastab ühele väga praktilisele küsimusele: millal hakkab uue üksuse jaoks kell tiksuma? Säte ei loo uusi sisulisi nõudeid, vaid ütleb, kui palju aega on ettevõttel, kes alles muutub seaduse mõistes teenuseosutajaks, digitaalse teenuse osutajaks või domeeninimede registreerimise teenuse osutajaks. Tähtaega ei arvestata mitte seaduse jõustumisest ega RIA kirjast, vaid hetkest, mil tekib vastavus vastava osutaja tunnustele — ehk mil ettevõtte tegevus hakkab tunnustele vastama.

Säte eristab kahte kiirust:

• Kolm kuud — teenuseosutaja ja domeeninimede registreerimise teenuse osutaja täidab seaduse § 3¹ lõikes 1 sätestatud kohustuse kolme kuu jooksul tunnustele vastavuse tekkimisest. Digitaalse teenuse osutajal on samasugune kolmekuuline tähtaeg seaduse § 4 lõigetes 1 ja 10 sätestatud kohustuste täitmiseks.
• Kolm aastat — teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib kogu oma tegevuse seaduse ja selle alusel kehtestatud nõuetega vastavusse ning täidab neist tulenevad kohustused kolme aasta jooksul tunnustele vastavuse tekkimisest.

Oluline nüanss: kolmeaastane üleminekuaeg ei pikenda kolmekuulisi tähtaegu. Seadus ütleb otsesõnu, et lõigetes 1 ja 2 nimetatud kohustused tuleb täita just nendes lõigetes määratud tähtajal. Ehk sisulise küberturbe küpsuse ülesehitamiseks on aega rohkem, kuid esimesed formaalsed sammud tuleb teha kiiresti.

Kaks erandit tasub meeles pidada. Elutähtsa teenuse osutaja puhul ei kehti kolmeaastane tähtaeg — tema viib oma tegevuse nõuetega vastavusse hädaolukorra seaduse § 38 lõike 1³ punktis 3 sätestatud korras määratud tähtajal; kolmekuulised kohustused kehtivad temalegi muutumatult. Ja § 4¹ ei kohaldu üldse neile teenuseosutajatele, kellele kohaldatakse seaduse § 28¹. Säte jõustus 1. jaanuaril 2026.

Mida ettevõte peab tegema

1. Fikseerige kuupäev, mil tunnustele vastavus tekkis. See on kogu sätte lähtepunkt ja ainus alus, millest mõlemat tähtaega arvestatakse. Määrake juhatuse otsuse või siseprotokolliga konkreetne kuupäev ning kirjeldage lühidalt, miks ettevõte sellest hetkest teenuseosutaja, digitaalse teenuse osutaja või domeeninimede registreerimise teenuse osutaja tunnustele vastab. Vastutaja on juhatus või tema määratud küberturvalisuse eest vastutav isik; dokumendiks sobib lühike vastavuse tuvastamise memo, mida hoitakse alles kontrolli tarbeks.

2. Pange kohe kalendrisse kolme kuu tähtpäev. Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja jaoks tähendab see § 3¹ lõikes 1 sätestatud kohustuse täitmist, digitaalse teenuse osutaja jaoks § 4 lõigetes 1 ja 10 sätestatud kohustuste täitmist — mõlemal juhul kolme kuu jooksul tunnustele vastavuse tekkimisest. Nende kohustuste täpse sisu ja praktilise täitmise korra leiate Riigi Infosüsteemi Ameti avaldatud juhistest; ärge lükake seda sammu kolmeaastase üleminekuaja arvele, sest seadus sätestab selgelt, et need täidetakse omal tähtajal.

3. Koostage kolmeaastane vastavusse viimise kava. Kaardistage, mida seadusest ja selle alusel kehtestatud õigusaktidest tulenevate kohustuste täitmine teie organisatsioonis eeldab, jagage tegevused etappideks ja määrake igale etapile omanik ja tähtaeg nii, et kogu tegevus oleks nõuetega vastavuses kolme aasta jooksul tunnustele vastavuse tekkimisest. Kava kinnitagu juhatus ja seda vaadatagu üle vähemalt kord aastas — nii on kontrolli korral näidata dokumenteeritud edenemine, mitte ainult lubadus.

4. Kontrollige kaht erisust. Kui ettevõte on elutähtsa teenuse osutaja, ei planeerige kolme aasta järgi, vaid selgitage välja hädaolukorra seaduse § 38 lõike 1³ punktis 3 sätestatud korras määratud tähtaeg ja lähtuge sellest; kolmekuulised kohustused jäävad kehtima muutmata kujul. Kui teie ettevõttele kohaldub seaduse § 28¹, siis § 4¹ teile ei kohaldu ja tähtaegade loogika on teine. Mõlemal juhul on õige koht täpsustamiseks RIA avaldatud juhised, mitte oletused.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.