KüTS § 12, § 12¹: Küberintsidendi ennetus ja ulatuslik kriis

Õiguslik alus (KüTS)

KüTS § 12 lg 1

> (1) Küberturvalisuse tagamist ning küberintsidendi ennetamist ja lahendamist käesolevas seaduses sätestatud ulatuses koordineerib Riigi Infosüsteemi Amet.

KüTS § 12 lg 2

> (2) Riigi Infosüsteemi Amet teostab küberturvalisuse tagamiseks Eesti internetiprotokolli aadressiruumis olevate ning Eesti maatunnusega seotud domeenide vaatlust, analüüsib süsteemide turvalisust ohustavaid riske ning nende mõju riigile, ühiskonnale ja süsteemide turvalisusele.

KüTS § 12 lg 3

> (3) Riigi Infosüsteemi Amet edastab isikutele küberintsidendi ennetamiseks ja lahendamiseks ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid.

KüTS § 12 lg 3¹

> (3 1 ) Riigi Infosüsteemi Amet esitab olulise mõjuga küberintsidendist teatanud üksusele võimaluse korral 24 tunni jooksul vastuse, mis sisaldab esialgset tagasisidet olulise mõjuga küberintsidendi kohta ja teate esitanud üksuse taotluse korral ka suuniseid olulise mõjuga küberintsidendi lahendamise meetmete kohta. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 12 lg 3²

> (3 2 ) Riigi Infosüsteemi Amet võib seada küberintsidendi lahendamisel käesoleva seaduse § 8 alusel esitatud teate menetlemise tähtsamale kohale § 8 1 alusel esitatud teate menetlemisest. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 12 lg 4

> (4) Riigi Infosüsteemi Ametil on õigus edastada välisriigile või Euroopa Liidu Küberturvalisuse Ametile või muule organisatsioonile küberintsidendi ennetamise ja lahendamisega seotud teavet käesoleva seaduse §-s 5 sätestatud ülesannete või Euroopa Liidu õigusest tuleneva kohustuse täitmiseks või välislepinguga ettenähtud juhtudel ja korras, kui edastatav teave ei kahjusta riigi julgeolekut või kriminaalmenetlust. Nimetatud teabe edastamine on kohustuslik ennekõike siis, kui olulise mõjuga küberintsident puudutab kahte või enamat Euroopa Liidu liikmesriiki, millisel juhul tuleb asjakohane olulise mõjuga küberintsidendi kohta käiv teave edastada puudutatud välisriigile ja Euroopa Liidu Küberturvalisuse Ametile. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 12 lg 4¹

> (4 1 ) Riigi Infosüsteemi Amet esitab Euroopa Liidu Küberturvalisuse Ametile iga kolme kuu tagant koondaruande, mis sisaldab anonüümseid koondandmeid küberohtude, küberintsidentide ja olulise mõjuga küberintsidentide kohta. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 12 lg 5

> (5) Riigi Infosüsteemi Amet edastab käesoleva paragrahvi lõigetes 4 ja 4 1 nimetatud teavet üksnes teabevahetuse eesmärgi seisukohast vajalikus ja proportsionaalses ulatuses, kaitstes teenuseosutaja turvalisust ja ärihuve ning juhindudes ärisaladuse hoidmise kohustusest. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 12¹ lg 1

> (1) Ulatusliku küberintsidendi ja kriisi ennetamisele ning lahendamisele kohaldatakse käesoleva seaduse §-s 12 ning muudes kriisi ennetamist ja lahendamist reguleerivates valdkondlikes seadustes sätestatut.

KüTS § 12¹ lg 2

> (2) Riigi Infosüsteemi Amet: 1) koostab ning võtab vastu ulatuslike küberintsidentide ja kriiside lahendamise kava (edaspidi kava ), arvestades Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 9 lõikes 4 sätestatud nõudeid; 2) teavitab Euroopa Komisjoni kolme kuu jooksul kava vastuvõtmisest või vastu võetud kava muudatustest ning esitab Euroopa Komisjonile ja Euroopa küberkriisiga tegelevate kontaktasutuste võrgustikule kolme kuu jooksul pärast kava vastuvõtmist asjakohase teabe, mis on seotud nimetatud kavaga.

KüTS § 12¹ lg 3

> (3) Kava võib koostada muu õigusakti alusel koostatava dokumendi osana. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

Need sätted ei pane ettevõttele otseseid kohustusi, vaid kirjeldavad, mida teeb Riigi Infosüsteemi Amet (RIA) küberintsidentide ennetamisel ja lahendamisel. Praktikas tähendab see, et Eestis on üks keskne asutus, kes koordineerib küberturvalisuse tagamist ning küberintsidentide ennetamist ja lahendamist seaduses sätestatud ulatuses. RIA vaatleb Eesti internetiprotokolli aadressiruumis olevaid ja Eesti maatunnusega seotud domeene ning analüüsib riske ja nende mõju riigile, ühiskonnale ja süsteemide turvalisusele — see tähendab, et ohupilt ei sünni ainult ettevõtte enda logidest, vaid ka riiklikust seirest.

Ettevõtte jaoks on kõige käegakatsutavam osa ohuteated ja tagasiside:

• RIA edastab isikutele küberintsidendi ennetamiseks ja lahendamiseks ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid.
• Kui üksus on teatanud olulise mõjuga küberintsidendist, esitab RIA võimaluse korral 24 tunni jooksul vastuse, mis sisaldab esialgset tagasisidet.
• Kui teate esitanud üksus seda taotleb, sisaldab vastus ka suuniseid olulise mõjuga küberintsidendi lahendamise meetmete kohta. Suunised ei tule automaatselt — neid tuleb küsida.

Sätted reguleerivad ka teabe jagamist väljapoole. RIA-l on õigus edastada küberintsidendi ennetamise ja lahendamisega seotud teavet, kui see ei kahjusta riigi julgeolekut ega kriminaalmenetlust, ning teabe edastamine on kohustuslik ennekõike siis, kui olulise mõjuga küberintsident puudutab kahte või enamat Euroopa Liidu liikmesriiki. Oluline on ettevõttele see, et RIA edastab sellist teavet üksnes teabevahetuse eesmärgi seisukohast vajalikus ja proportsionaalses ulatuses, kaitstes teenuseosutaja turvalisust ja ärihuve ning juhindudes ärisaladuse hoidmise kohustusest. Lisaks esitab RIA iga kolme kuu tagant koondaruande, mis sisaldab anonüümseid koondandmeid küberohtude, küberintsidentide ja olulise mõjuga küberintsidentide kohta — ehk statistikas ei ole üksikettevõte tuvastatav.

Paragrahv 12¹ katab ulatusliku küberintsidendi ja kriisi olukorra. Sellisel juhul kohaldatakse § 12 sätteid ja muudes kriisi ennetamist ja lahendamist reguleerivates valdkondlikes seadustes sätestatut. RIA koostab ja võtab vastu ulatuslike küberintsidentide ja kriiside lahendamise kava, mis võib olla koostatud ka muu õigusakti alusel koostatava dokumendi osana. Ettevõtte jaoks tähendab see, et suure, mitut osapoolt puudutava kriisi ajal ei improviseerita — riigil on kava, mille loogikaga tasub oma plaanid kokku viia.

Mida ettevõte peab tegema

1. Tehke ohuteadete vastuvõtmine töökindlaks. Kuna RIA edastab ohuteateid, mis võimaldavad rakendada küberintsidendi mõju vältivaid või vähendavaid abinõusid, peab ettevõttes olema kindel, et need teated jõuavad õige inimeseni ja neile reageeritakse. Määrake nimeline vastutaja (tavaliselt infoturbejuht või IT-juht) ja tema asendaja, kasutage isikustatud postkasti asemel jälgitavat rollipõhist kontaktaadressi ning hoidke RIA-le antud kontaktandmed ajakohasena. Kirjeldage lühidalt kord: kes teate avab, kes hindab mõju, kes otsustab abinõude rakendamise ja kuidas otsus dokumenteeritakse.

2. Planeerige ette 24 tunni vastus ja küsige suuniseid. Olulise mõjuga küberintsidendist teatanud üksusele esitab RIA võimaluse korral 24 tunni jooksul vastuse esialgse tagasisidega. Seadke oma intsidendi käsitlemise protsessis ootus, et selle aja jooksul on vaja olla kättesaadav ja reageerimisvõimeline — ka väljaspool tööaega. Kuna suunised lahendamise meetmete kohta antakse taotluse korral, lisage oma teatamise töövoogu selge samm: kui vajate tehnilist juhist, esitage taotlus kohe koos teatega, mitte hiljem. Fikseerige see nõue intsidendihalduse korras, et see ei sõltuks konkreetse valveinseneri mälust.

3. Valmistuge teabe jagamiseks ja kaitske oma ärisaladust. RIA võib edastada küberintsidendi ennetamise ja lahendamisega seotud teavet, sealhulgas kohustuslikult siis, kui olulise mõjuga küberintsident puudutab kahte või enamat Euroopa Liidu liikmesriiki. Seejuures edastatakse teavet üksnes vajalikus ja proportsionaalses ulatuses, kaitstes teenuseosutaja turvalisust ja ärihuve ning juhindudes ärisaladuse hoidmise kohustusest. Praktiline samm: märgistage juba intsidendi materjalide koostamisel selgelt, milline osa on ärisaladus, ja hoidke tehniline kirjeldus (ründevektor, indikaatorid) lahus tundlikust ärilisest sisust. Vastutajaks sobib infoturbejuht koos ettevõtte andmekaitse või dokumendihalduse eest vastutava isikuga.

4. Viige oma kriisiplaan riigi loogikaga kokku. Kuna RIA koostab ja võtab vastu ulatuslike küberintsidentide ja kriiside lahendamise kava ning ulatuslikule küberintsidendile ja kriisile kohaldatakse lisaks ka muudes kriisi ennetamist ja lahendamist reguleerivates valdkondlikes seadustes sätestatut, ei tohiks ettevõtte talitluspidevuse ja kriisiplaan olla RIA-st eraldiseisev dokument. Vaadake oma plaan üle juhatuse tasandil, määrake kriisiaegne juhtimisstruktuur ja sideahel RIA-ga ning harjutage seda õppusel vähemalt kord aastas. Kui plaani õigusliku poole täpsustamiseks on vaja tuge, lähtuge Riigi Infosüsteemi Ameti avaldatud juhistest.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.