NIS2 ja küberturvalisuse seadus (KüTS) toidu tootmise, töötlemise ja hulgimüügi ettevõtetele Eestis
Eesti õigus · KüTS
Lühivastus: jah, toidusektor on KüTS-i kohaldamisalas
Jah — toidu tööstuslik tootmine, tööstuslik töötlemine ja hulgimüük on Eestis NIS2 üle võtnud küberturvalisuse seaduse (KüTS) kohaldamisalas. Vastav säte on KüTS § 3 lõike 5 punkt 3, mis loeb sellised ettevõtjad oluliseks üksuseks, kui nad ületavad seaduses sätestatud suuruskünnised ja täidavad käibeosakaalu tingimuse.
Esimene samm on faktipõhine enesehindamine: kontrollige oma majandusaasta töötajate arvu, aastakäivet ja aastabilansimahtu ning seda, kas toidu tootmisest, töötlemisest või hulgimüügist saadav käive moodustab vähemalt poole kogukäibest. Kui vastus on jaatav, tuleb esitada Riigi Infosüsteemi Ametile (RIA) KüTS § 3¹ lõikes 1 loetletud andmed ja asuda rakendama § 7 turvameetmeid.
> Ebakindluse korral kasutage allpool linkjatud tasuta kohaldamisala- ja lünkade tööriista ning tuginege RIA avaldatud ametlikele juhistele.
Kuidas KüTS toidusektorit sõnastab (§ 3 lg 5 p 3)
Seadus ei kasuta üldsõnalist mõistet „toiduettevõte“, vaid kirjeldab tegevusi täpselt. KüTS § 3 lõike 5 punkt 3 nimetab ettevõtjat, kes tegeleb:
> „toidu hulgimüügi, tööstusliku tootmise või tööstusliku töötlemisega või mitmega neist, välja arvatud alkoholi hulgimüügi, tööstusliku tootmise ja tööstusliku töötlemisega, Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 178/2002, millega sätestatakse toidualaste õigusnormide üldised põhimõtted ja nõuded, asutatakse [Euroopa Toiduohutusamet ja kehtestatakse toidu ohutusega seotud menetlused] artikli 3 punktis 2 määratletud ettevõttes ning ühest või mitmest nimetatud tegevusest saadav aastakäive on vähemalt 50 protsenti tema aastakäibest“.
Sellest sõnastusest tuleneb kolm praktilist filtrit:
- Tegevuse liik — hulgimüük, tööstuslik tootmine või tööstuslik töötlemine (üks või mitu neist).
- Erand — alkoholi hulgimüük, tööstuslik tootmine ja tööstuslik töötlemine on sõnaselgelt välja jäetud.
- Käibeosakaal — nimetatud tegevustest saadav aastakäive peab olema vähemalt 50 protsenti ettevõtja aastakäibest.
KüTS § 3 lõike 8 kohaselt kehtestab toiduvarustuskindluse valdkonna eest vastutav minister määrusega § 3 lõike 5 punktis 3 nimetatud käitlemisvaldkondade ja toidugruppide täpsustatud loetelu. Kui vajate oma toodete või tegevuste täpset paigutust selles loetelus, tuginege RIA ja pädeva asutuse avaldatud ametlikule teabele.
Ülioluline või oluline üksus — millised künnised otsustavad
KüTS § 3 lõike 1 järgi on teenuseosutaja ülioluline üksus või oluline üksus.
Toidusektori tegevused on loetletud § 3 lõikes 5, mis määratleb olulise üksuse. Selle sätte kohaselt loetakse oluliseks üksuseks üksus, kellel on Euroopa Komisjoni soovituses 2003/361/EÜ esitatud keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot, ning kes tegeleb § 3 lg 5 p 3 kirjeldatud toidutegevustega.
| Tingimus | Nõue |
|---|---|
| Töötajate arv majandusaasta jooksul | 50 või rohkem |
| Aastabilansimaht või aastakäive | üle 10 miljoni euro |
| Toidutegevuste osakaal käibest | vähemalt 50% |
Kaks olulist arvutusreeglit:
- KüTS § 3 lõike 6 kohaselt ei kohaldata näitajate kindlakstegemisel soovituse 2003/361/EÜ lisa artikli 3 lõiget 4.
- KüTS § 3 lõike 7 kohaselt ei arvestata partner- või sidusettevõtja andmeid, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu.
Üliolulise üksuse loetelud on KüTS § 3 lõigetes 2 ja 3 — sinna kuulub näiteks elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses (§ 3 lg 2 p 2). Kui teie ettevõte kannab kõrvuti toidutegevusega mõnda § 3 lõigetes 2–3 nimetatud rolli, hinnake seda eraldi.
Põhikohustused: turvameetmed, juhtkonna roll ja RIA-le teavitamine
KüTS ei sätesta toidusektorile eraldi sektorispetsiifilisi turvanõudeid — seadus kohaldub kõigile teenuseosutajatele ühetaoliselt, arvestades proportsionaalsuse kriteeriume.
Turvameetmed (KüTS § 7). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske (sh koostab riskianalüüsi), ennetada või minimeerida küberintsidendi mõju teenuse saajatele ja muudele teenustele ning intsidenti ennetada, tuvastada ja lahendada (§ 7 lg 1). Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ning proportsionaalsust (§ 7 lg 2).
Allhange ja majutus. Kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse teise isiku juures, vastutab teenuseosutaja selle eest, et see teine isik turvameetmed tagab (§ 7 lg 3) — tehase ERP, laohaldus ja tootmisliini SCADA ei jää vastutusest välja.
Eesti infoturbestandard. Võrgu- ja infosüsteemi turvalisuse tagamiseks järgib teenuse osutaja Eesti infoturbestandardit (E-ITS) ja rakendab sellest tulenevaid turvameetmeid (E-ITS § 1 lg 1); üldnõuded kehtestatakse KüTS § 7 lg 5 alusel määrusega.
Sisuline meetmete kogum. Direktiivi (EL) 2022/2555 artikli 21 lõike 2 järgi hõlmavad meetmed vähemalt: riskianalüüsi ja infosüsteemide turbe põhimõtteid; intsidentide käsitlemist; talitluspidevust (varundushaldus, avariitaaste) ja kriisiohjet; tarneahela turvalisust; süsteemide hankimise, arendamise ja hoolduse turvalisust; meetmete tõhususe hindamise korda; küberhügieeni ja koolitust; krüptograafiat; personali turvalisust, juurdepääsukontrolli ja varade haldust; ning kohasel juhul mitmikautentimist ja turvalist sidet.
Juhtkonna vastutus. Direktiivi artikli 20 lõike 1 kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta.
Teavitamiskohustus ja nimekiri (§ 3¹). Teenuseosutaja esitab RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, IP-aadresside vahemikud, telefoninumbrid), asjakohasel juhul direktiivi I või II lisa sektori ja allsektori ning riikide loetelu (§ 3¹ lg 1). Andmete muutumisest tuleb teatada viivitamata, kuid hiljemalt kahe nädala jooksul (§ 3¹ lg 4). RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2).
Intsidendist teavitamine: 24 tundi, 72 tundi, üks kuu
Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1). Tähtajad:
| Samm | Tähtaeg | Säte |
|---|---|---|
| Esmane teade | viivitamata, hiljemalt 24 tundi pärast intsidendist teada saamist | § 8 lg 1 |
| Intsidenditeade (esmase teate ajakohastus) | viivitamata, hiljemalt 72 tundi pärast olulise mõjuga intsidendist teada saamist | § 8 lg 4¹ |
| Vahearuanne | RIA taotlusel enne lõppraportit | § 8 lg 4³ |
| Lõppraport | üks kuu intsidenditeate esitamisest | § 8 lg 7 |
Kui intsident ei ole lõppraporti esitamise ajaks lahendatud, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).
Teavitama peab nii intsidendist, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju, kui ka sellisest, mille oluline mõju ei ole ilmne, kuid seda võib mõistlikult eeldada (§ 8 lg 1 p‑d 1–2). Olulise mõju kriteeriumid on § 8 lõikes 2 — näiteks kui riskianalüüsis määratud tagajärgede raskusaste on vähemalt raske, kui teenust ei saa jätkata maksimaalse lubatud katkestuse aja möödudes, kui häiritud on teise teenuseosutaja teenus või kui tekkis või võib tekkida märkimisväärne kahju. Kui teenus on häiritud veel vähemalt ühes EL-i liikmesriigis, on intsident alati olulise mõjuga (§ 8 lg 3).
Allhanke korral vastutab teenuseosutaja selle eest, et süsteemi haldav või majutav isik teavitaks teda hiljemalt 24 tunni jooksul (§ 8 lg 1¹). Asjakohasel juhul tuleb teavitada ka mõjutatud isikuid või avalikkust (§ 8 lg 5).
Teavituskanal: raport.cert.ee või cert@cert.ee; RIA/CERT‑EE telefon +372 663 0299.
Trahvid ja järelevalve
KüTS § 7 turvameetmete ja § 8 teavituskohustuste rikkumise eest on ette nähtud:
- Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).
- Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2).
Enamik toidu tootmise, töötlemise ja hulgimüügi ettevõtteid liigitub § 3 lg 5 p 3 alusel oluliseks üksuseks, mistõttu kohaldub 7 000 000 euro / 1,4% määr.
Järelevalvet ja väärteomenetlust teeb Riigi Infosüsteemi Amet: RIA on pädev asutus ja ühtne kontaktpunkt, kriisiohje eest vastutav asutus, küberintsidentide käsitlemise üksus (CERT‑EE) ning turvahaavatavuse koordineeritud avalikustamise koordinaator (§ 5 lg 3); riiklikku ja haldusjärelevalvet teeb RIA (§ 14 lg 1) ning väärtegude kohtuväline menetleja on samuti RIA (§ 19 lg 1). Väärtegude aegumistähtaeg on kolm aastat (§ 19 lg 4).
Ametlik allikas ja kontakt: Riigi Infosüsteemi Amet, ria@ria.ee, +372 663 0200, https://www.ria.ee/. Palun kinnitage oma ettevõtte konkreetne staatus ja ajakohased nõuded RIA avaldatud juhiste põhjal.
👉 Kiireks esmaseks hinnanguks kasutage meie tasuta kohaldamisala- ja lünkade tööriista: see viib teid läbi künniste, käibeosakaalu ja § 21(2) meetmete kontrollnimekirja ning näitab, mis on veel puudu.
Tegevusalakoodid (NACE Rev. 2)
Selle sektori kirjed NIS2 lisades vastavad üksühele järgmistele NACE Rev. 2 tegevusaladele. Loend katab ainult ühemõttelised vasted — osa kirjeid on määratletud tegevuse enda, mitte tegevusalakoodi kaudu.
NACE 10 — Toiduainete tootmine
EMTAK 2025 tegevusalakoodid selles sektoris
Koodid on seotud automaatselt: sektori NACE Rev. 2 koodid on viidud Eurostati ametliku vastavustabeli kaudu NACE Rev. 2.1 klassidesse ja sealt EMTAK 2025 koodideni. Kui vaste ei ole üheselt selge, jääb kood loendist välja — loend on pigem kitsam kui laiem.
EMTAK 10111 — Liha, v.a linnuliha, töötlemine ja säilitamineEMTAK 10121 — Linnuliha töötlemine ja säilitamine, k.a sulgede töötlemineEMTAK 10131 — Liha- ja linnulihatoodete tootmineEMTAK 10201 — Kala, koorikloomade ja molluskite töötlemine ja säilitamineEMTAK 10311 — Kartuli töötlemine ja säilitamineEMTAK 10321 — Puu- ja köögiviljamahla tootmineEMTAK 10391 — Muu puu- ja köögivilja töötlemine ja säilitamineEMTAK 10411 — Õli ja rasva tootmineEMTAK 10421 — Margariini jms toidurasva tootmineEMTAK 10511 — Värske piima töötlemine, rõõsa koore tootmineEMTAK 10512 — Juustu ja kohupiima tootmineEMTAK 10519 — Muude piimatoodete, k.a või tootmineEMTAK 10521 — Jäätise ja muu toidujää tootmineEMTAK 10611 — Jahu ja tangainete tootmineEMTAK 10621 — Tärklise ja tärklisetoodete tootmineEMTAK 10711 — Leiva- ja saiatootmine; lühikese realiseerimisajaga pagaritoodete tootmineEMTAK 10721 — Kuivikute, küpsiste, pika realiseerimisajaga pagaritoodete tootmineEMTAK 10731 — Makarontoodete tootmineEMTAK 10811 — SuhkrutootmineEMTAK 10821 — Kakao, šokolaadi ja suhkrukondiitritoodete tootmineEMTAK 10831 — Tee ja kohvi töötlemineEMTAK 10841 — Maitseainete ja -kastmete tootmineEMTAK 10851 — Valmistoitude tootmineEMTAK 10861 — Homogeenitud toiduainete ja dieettoitude tootmineEMTAK 10891 — Mujal liigitamata toiduainete tootmineEMTAK 10911 — Valmissööda tootmine loomakasvatuseleEMTAK 10921 — Lemmikloomade valmistoidu tootmine
Korduma kippuvad küsimused
Kas väike toidutootja, kus töötab 20 inimest, kuulub KüTS-i alla?
KüTS § 3 lg 5 nõuab olulise üksuse staatuseks majandusaasta jooksul 50 või rohkem töötajat ning aastabilansimahtu või aastakäivet üle 10 miljoni euro. Kui need künnised ei ole täidetud ja ettevõte ei kuulu mõne muu KüTS § 3 lõigetes 2–4 nimetatud kategooria alla (näiteks elutähtsa teenuse osutaja § 3 lg 2 p 2 tähenduses), siis § 3 lg 5 p 3 alusel kohustusi ei teki. Künniste arvutamisel arvestage § 3 lõikeid 6 ja 7.
Kas alkoholitootjad ja -hulgimüüjad on kohaldamisalas?
KüTS § 3 lg 5 punkt 3 jätab sõnaselgelt välja alkoholi hulgimüügi, tööstusliku tootmise ja tööstusliku töötlemise. Kui ettevõtte tegevus koosneb üksnes nendest, siis see säte teda ei hõlma. Segatoodangu puhul on määrav 50-protsendiline käibeosakaalu tingimus ning muude KüTS-i sätete võimalik kohaldumine.
Kas toidusektorile kehtivad eraldi, rangemad turvanõuded?
Ei. KüTS § 7 turvameetmete ja § 8 teavitusnõuded kehtivad kõigile teenuseosutajatele ühtemoodi; erinevus tuleneb proportsionaalsusest (§ 7 lg 2) ning ülioluliste ja oluliste üksuste erinevatest trahvimääradest (§ 18² ja § 18³). KüTS § 7 lg 6 võimaldab määruses turvameetmeid täpsustada, arvestades § 3 lõigetes 2–5 nimetatud tegevusalasid.
Kellele ja kui kiiresti tuleb küberintsidendist teatada?
Riigi Infosüsteemi Ametile: esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul (§ 8 lg 1), intsidenditeade hiljemalt 72 tunni jooksul (§ 8 lg 4¹), vajadusel vahearuanne RIA taotlusel (§ 8 lg 4³) ja lõppraport ühe kuu jooksul intsidenditeate esitamisest (§ 8 lg 7). Teavituskanal on raport.cert.ee või cert@cert.ee.
Kontrolli oma NIS2-vastavust
Alusta tasuta NIS2 kohalduvuse kontrolli
Tee tasuta NIS2 enesehindamine Tee tasuta väline turvakontroll Kuidas see protsess toimib?
See artikkel on üldine info, mitte õigusnõustamine. Sinu konkreetse olukorra kohta pöördu kvalifitseeritud spetsialisti poole.
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 2c40a0f49b66).