NIS2 Eestis: kes on ülioluline ja oluline üksus?

Mis on KüTS ja keda see puudutab?

Eestis võtab NIS2-direktiivi (direktiiv (EL) 2022/2555) üle küberturvalisuse seadus (KüTS). Seadus sätestab ühiskonna toimimise seisukohast ülioluliste ja oluliste üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ja järelevalve (§ 1 lg 1).

Järelevalvet teostab Riigi Infosüsteemi Amet (RIA), kes täidab direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti ülesandeid (§ 5 lg 3).

Seaduse mõistes jaguneb teenuseosutaja kahte klassi (§ 3 lg 1):

• ülioluline üksus (ühiskonna toimimise seisukohast ülioluline üksus);
• oluline üksus (ühiskonna toimimise seisukohast oluline üksus).

Selle klassifikatsiooni järgi määratakse nii kohustuste ulatus kui ka võimalike sanktsioonide suurus. Esimene samm iga VKE-juhi jaoks on selgeks teha, kas ettevõte üldse kuulub kohaldamisalasse ja millisesse klassi.

Suuruskünnised: kuidas suurus mõjutab klassifikatsiooni?

KüTS kasutab Euroopa Komisjoni soovituse 2003/361/EÜ (mikro-, väikeste ja keskmise suurusega ettevõtjate määratlus) künniseid. Töötajate arvu, aastabilansimahu ja aastakäibe kindlakstegemisel ei arvestata partner- või sidusettevõtja andmeid, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (§ 3 lg 7).

Olulisemad künnised:

Oluline erisus: teatud üksused loetakse üliolulisteks või olulisteks sõltumata suurusest — näiteks elutähtsa teenuse osutaja, keskvalitsuse avaliku halduse üksus, kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja ja domeeninimede süsteemi teenuse osutaja (§ 3 lg 2). Ka usaldusteenuse osutaja (v.a kvalifitseeritud) loetakse oluliseks üksuseks sõltumata suurusest (§ 3 lg 4 p 7).

Kes on ülioluline üksus (essential entity)?

Ülioluline üksus on muu hulgas (§ 3 lg 2):

• domeeninimede süsteemi teenuse osutaja;
• elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kvalifitseeritud usaldusteenuse osutaja;
• tippdomeeninimede registri pidaja;
• kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja;
• üldkasutatava elektroonilise side võrgu või teenuse osutaja, kellel on 50+ töötajat ja aastabilansimaht või -käive üle 10 miljoni euro.

Lisaks loetakse üliolulisteks suuremad ettevõtted (250+ töötajat ja bilansimaht üle 43 mln € või käive üle 50 mln €) järgmistes valdkondades (§ 3 lg 3): energia (elekter, gaas, nafta, vesinik, kaugküte), transport (lennundus, raudtee, meretransport, sadamad), pangandus ja finantsturu taristu, tervishoid ja ravimitootmine, joogivesi ja reovesi, digitaristu (pilvandmetöötlus, andmekeskus, interneti sõlmpunkt) ning avaliku halduse teenused.

Täielik loetelu hõlmab 42 alaliiki (§ 3 lg 3) — kui su tegevus puudutab kriitilist taristut, tasub kogu nimekiri hoolikalt üle vaadata.

Kes on oluline üksus (important entity)?

Oluline üksus on muu hulgas (§ 3 lg 4):

• andmekogu vastutav ja volitatud töötleja avaliku teabe seaduse tähenduses;
• avalik-õiguslik juriidiline isik;
• kohaliku omavalitsuse üksuste liit;
• perearstiabi osutaja, kes ei ole elutähtsa teenuse osutaja;
• usaldusteenuse osutaja (v.a kvalifitseeritud);
• Arenguseire Keskus ja Riigimetsa Majandamise Keskus;
• üksus, kellel on 50+ töötajat ja bilansimaht või käive üle 10 mln €, kelle tegevusala on § 3 lg-s 3 nimetatud.

Lisaks loetakse oluliseks üksuseks 50+ töötajaga ja üle 10 mln € bilansi/käibega ettevõtted järgmistes valdkondades (§ 3 lg 5): jäätmekäitlus, kemikaalide tootmine ja turustamine, toidu hulgimüük ja töötlemine, meditsiiniseadmete tootmine, teatud tootmine (NACE C jao osad 26–30), internetipõhise kauplemiskoha pidaja, postiteenuse ja kulleriteenuse osutaja, sotsiaalmeediaplatvormi pakkuja, teadusasutus ning veebipõhise otsingumootori pakkuja.

Kuidas ise kindlaks teha, kas kuulud kohaldamisalasse?

Enesehindamiseks soovita järgmist kolme sammu:

1. Sektor. Kontrolli, kas su tegevusala on loetletud § 3 lg-tes 2–5. Sektorid järgivad direktiivi (EL) 2022/2555 I ja II lisa jaotust. 2. Suurus. Kui kuulud sektorisse, arvuta töötajate arv, aastabilansimaht ja aastakäive soovituse 2003/361/EÜ määratluste alusel (§ 3 lg 6 ja lg 7 erisustega). 3. Klass. Määra, kas oled ülioluline üksus (§ 3 lg 2 või lg 3) või oluline üksus (§ 3 lg 4 või lg 5).

Teavitamiskohustus: teenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed ning asjakohase direktiivi I või II lisa sektori ja allsektori (§ 3¹ lg 1). RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2). Andmete muudatustest tuleb teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lg 4).

Miks see oluline on? Klassifikatsioon määrab ka trahvi ülempiiri: üliolulise üksuse (juriidilise isiku) puhul kuni 10 000 000 eurot või kuni 2% ülemaailmsest aastasest kogukäibest (§ 18² lg 2) ning olulise üksuse puhul kuni 7 000 000 eurot või kuni 1,4% käibest (§ 18³ lg 2).

Selguse saamiseks kasuta meie tasuta scoping-/gap-tööriista, mis aitab su ettevõtte samm-sammult õige klassi alla paigutada.