KüTS § 13: küberintsidentide register — mis sinna kantakse

Õiguslik alus (KüTS)

KüTS § 13 lg 1

> (1) Küberintsidentide register (edaspidi register ) on Riigi Infosüsteemi Ameti peetav andmekogu, kuhu kantakse küberintsidendi toimumist, küberohte ja turvahaavatavust kirjeldavad andmed eesmärgiga pidada küberintsidentide, küberohtude ja turvahaavatavuste üle arvestust ning analüüsida registrisse esitatud teavet küberintsidentide, küberohtude ja turvahaavatavuse ennetamiseks või lahendamiseks, ohuteadete edastamiseks ning järelevalvetoimingute tegemiseks. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 13 lg 1¹

> (1 1 ) Registrisse kantakse küberintsidendist, küberohust või turvahaavatavusest teataja (edaspidi koos andmeandja ) nimi ja kontaktandmed. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 13 lg 2

> (2) Register on piiratud juurdepääsuga ja registriandmed on mõeldud asutusesiseseks kasutamiseks, kui õigusaktis ei ole sätestatud teisiti.

KüTS § 13 lg 3

> (3) Registri põhimääruse kehtestab valdkonna eest vastutav minister määrusega. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 13 lg 4

> (4) Käesoleva paragrahvi lõikes 3 nimetatud määruses sätestatakse: 1) andmete täpsem koosseis; 2) andmeandjad; 3) andmete õigsuse tagamise kord; 4) andmetele juurdepääsu tingimused; 5) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused; 6) registri rahastamine; 7) registriga seotud muud korralduslikud nõuded. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 13 lg 5

> (5) Registrisse kantud või registriga seotud andmeid säilitatakse järgmiselt: 1) registrisse kantud andmeid küberintsidentide kohta säilitatakse viis aastat arvates küberintsidendi lahendamisest; 2) registrisse kantud muid andmeid säilitatakse viis aastat arvates registrisse kandmisest; 3) registritoimingute andmeid säilitatakse kolm aastat. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026] 3 1 . peatükk Küberturvalisuse sertifitseerimine [ RT I, 06.08.2022, 2 - jõust. 16.08.2022]

Mida see praktikas tähendab

Küberintsidentide register on Riigi Infosüsteemi Ameti (RIA) peetav andmekogu. Sinna kantakse andmed, mis kirjeldavad küberintsidendi toimumist, küberohte ja turvahaavatavusi. Registri mõte ei ole pelgalt arhiveerimine: seaduse järgi peetakse selle abil intsidentide, küberohtude ja turvahaavatavuste üle arvestust ning analüüsitakse registrisse esitatud teavet, et küberintsidente, küberohte ja turvahaavatavusi ennetada või lahendada, edastada ohuteateid ja teha järelevalvetoiminguid.

Registrisse ei kanta ainult tehnilist kirjeldust. Sätte kohaselt kantakse registrisse ka küberintsidendist, küberohust või turvahaavatavusest teataja nimi ja kontaktandmed — teatajat nimetab seadus koondnimetusega andmeandja. Ettevõtte jaoks tähendab see, et teavituse esitanud isik ja tema kontaktid saavad registri püsivaks osaks.

Register on piiratud juurdepääsuga ja registriandmed on mõeldud asutusesiseseks kasutamiseks, kui õigusaktis ei ole sätestatud teisiti. Teisisõnu: teie esitatud info ei ole avalik andmekogu sisu, kuid seaduse alusel võib juurdepääs olla laiem, kui mõni õigusakt seda ette näeb.

Registri täpsemad reeglid ei ole seaduses lahti kirjutatud — registri põhimääruse kehtestab valdkonna eest vastutav minister määrusega. Just selles määruses sätestatakse andmete täpsem koosseis, andmeandjad, andmete õigsuse tagamise kord, andmetele juurdepääsu tingimused, registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused, registri rahastamine ning muud korralduslikud nõuded. Säilitamise põhitähtajad on aga seaduses endas: küberintsidentide kohta kantud andmeid säilitatakse viis aastat arvates küberintsidendi lahendamisest, muid registrisse kantud andmeid viis aastat arvates registrisse kandmisest ja registritoimingute andmeid kolm aastat.

Mida ettevõte peab tegema

Määrake selge andmeandja roll. Kuna registrisse kantakse teataja nimi ja kontaktandmed, peaks ettevõttes olema kokku lepitud, kes on ametlik teavitaja RIA suunas (tüüpiliselt infoturbe eest vastutav isik või IT-juht) ning kes on tema asendaja. Hoidke need kontaktandmed ajakohasena ja kirjalikult fikseerituna, näiteks intsidendihalduse korras või rollide ja vastutuse tabelis.

Pidage oma sisemist intsidentide ja haavatavuste arvestust. Registrisse kantakse küberintsidendi toimumist, küberohte ja turvahaavatavust kirjeldavad andmed, seega dokumenteerige samad elemendid ka enda poolel: mis juhtus, millal, millist ohtu või haavatavust see puudutab ja kuidas see lahendati. Fikseerige kindlasti küberintsidendi lahendamise kuupäev — just sellest hetkest hakkab jooksma viieaastane säilitustähtaeg registris ja sama pidepunkt aitab ka teie enda dokumentatsiooni korras hoida.

Kohandage oma andmete säilitamise ja konfidentsiaalsuse käsitlust. Arvestage sisemistes reeglites, et registriandmed on piiratud juurdepääsuga ja mõeldud asutusesiseseks kasutamiseks, kui õigusaktis ei ole sätestatud teisiti — ärge lubage klientidele ega partneritele, et teavituse sisu jääb igal juhul avalikustamata. Samuti tasub oma arhiveerimisreeglid seada nii, et intsidendimaterjal oleks kättesaadav vähemalt registri säilitustähtaegadega võrreldavas ajaraamis (viis aastat intsidendiandmete puhul, kolm aastat registritoimingute puhul), sest järelevalvetoimingud tuginevad samale teabele.

Jälgige registri põhimäärust. Kuna andmete täpsem koosseis, andmeandjad, juurdepääsutingimused ja säilitamise täpsemad tingimused kehtestatakse ministri määrusega, määrake vastutaja (nt vastavusjuht või infoturbejuht), kes hoiab silma peal põhimääruse ja RIA avaldatud juhiste muudatustel ning viib teie teavitusvormid ja -protsessi nendega kooskõlla.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.