NIS2 ja KüTS energiaettevõtetele Eestis: elekter, gaas, nafta ja kaugküte
Eesti õigus · KüTS
Lühivastus: kas energiaettevõte kuulub KüTS-i kohaldamisalasse?
Jah — energiavaldkonna ettevõtjad on Eesti NIS2-ülevõtuseaduses otsesõnu nimetatud. Küberturvalisuse seadus (KüTS) loetleb § 3 lõikes 3 eraldi elektri-, maagaasi-, nafta- ning kaugkütte- ja kaugjahutusvaldkonna tegevusalad; sama loetelu kaudu määratakse ka väiksemad ettevõtjad oluliseks üksuseks (KüTS § 3 lg 4 p 8).
See, kas teie ettevõte on ülioluline üksus või oluline üksus, sõltub tegevusalast ja ettevõtte suurusnäitajatest. Eraldi alus on KüTS § 3 lg 2 punkt 2: elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses on alati ülioluline üksus, sõltumata suurusest.
Esimene samm: tuvastage, milline KüTS § 3 lg 3 punkt teie tegevust katab, kõrvutage see töötajate arvu ning aastabilansimahu ja aastakäibega ning esitage Riigi Infosüsteemi Ametile (RIA) KüTS § 3¹ lg 1 kohased andmed.
Kuidas KüTS energiasektorit nimetab
Sektorisäte asub KüTS § 3 lõikes 3. Elektrivaldkonna sõnastus on seaduses järgmine:
> elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia müügiga, kaasa arvatud selle edasimüügiga elektrienergia hulgimüüjale või lõpptarbijale; > > 3) elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia tootmisega;
Sama lõige katab veel terve rea energiaettevõtjaid, muu hulgas:
- jaotusvõrguettevõtja elektrituruseaduse tähenduses (§ 3 lg 3 p 13) ja põhivõrguettevõtja elektrituruseaduse tähenduses (p 30);
- laadimispunkti käitaja elektrituruseaduse tähenduses (p 19) ning määratud elektriturukorraldaja (p 27);
- turuosaline, kes osutab agregeerimis-, tarbimiskaja- või elektrienergia salvestamise teenust elektrituruseaduse tähenduses (p 34);
- gaasiettevõtja maagaasiseaduse tähenduses (p 8) ning maagaasi, sealhulgas veeldatud maagaasi müügi ja edasimüügiga tegelev gaasiettevõtja (p 26);
- hoidlatevõrgu haldur (p 10), veeldatud gaasi terminali haldur (p 35), maagaasi rafineerimise ja töötlemise rajatise käitaja (p 25) ning maagaasi jaotamise (p 41) ja ülekandmise (p 42) ülesande täitjad;
- nafta tootmise, rafineerimise ja töötlemise rajatiste käitamise ning nafta hoiustamise ja ülekandmisega tegelev ettevõtja (p 28) ja vedelkütusevaru moodustamise ja haldamisega tegelev üksus vedelkütusevaru seaduse tähenduses (p 40);
- kaugkütte- ja kaugjahutussüsteemi käitaja kaugkütteseaduse tähenduses (p 14);
- vesiniku tootmise, hoiustamise ja ülekandmisega tegelev ettevõtja (p 38).
Määravaks ei ole ettevõtte enda äriline enesekirjeldus, vaid see, kas tegevus vastab mõne loetelupunkti sõnastusele.
Ülioluline või oluline üksus: klassid ja suuruskünnised
KüTS § 3 lg 1 järgi on teenuseosutaja ülioluline üksus või oluline üksus. Energiaettevõtte puhul otsustab klassi kombinatsioon tegevusalast ja suurusnäitajatest.
| Klass | Alus | Tingimused |
|---|---|---|
| Ülioluline üksus | KüTS § 3 lg 3 | § 3 lg 3 loetletud tegevusala ja majandusaasta jooksul 250 või rohkem töötajat ning aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro |
| Ülioluline üksus | KüTS § 3 lg 2 p 2 | elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses |
| Oluline üksus | KüTS § 3 lg 4 p 8 | ei ole ülioluline üksus, kuid tegevusala on nimetatud § 3 lõikes 3 ja 50 või rohkem töötajat ning aastabilansimaht või aastakäive üle 10 miljoni euro |
Suurusnäitajad tuletatakse Euroopa Komisjoni soovituses 2003/361/EÜ esitatud keskmise suurusega ettevõtja määratlusest. Kaks Eesti erisust tasub meeles pidada:
- soovituse lisa artikli 3 lõiget 4 ei kohaldata (KüTS § 3 lg 6);
- partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (KüTS § 3 lg 7).
Seega võib sama kontserni kuuluv, kuid IT-lahenduste poolest iseseisev tootmis- või võrguettevõte jääda künnise alla või sellest üle just oma näitajate alusel.
Põhikohustused: turvameetmed, juhtkonna vastutus ja RIA-le teatamine
KüTS ei kehtesta energiaettevõtetele eraldi turvameetmete kataloogi — seadus kohtleb kõiki kohaldamisalasse kuuluvaid teenuseosutajaid samadel alustel. KüTS § 7 lg 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et:
1. hallata süsteemi turvalisust ohustavaid riske, sealhulgas koostada riskianalüüs; 2. ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele; 3. ennetada küberintsidenti või see tuvastada ja lahendada.
Meetmete valikul arvestatakse ettevõtte turvavajadusi, ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust ning süsteemide füüsilise keskkonna kaitset (KüTS § 7 lg 2). Väljasttellimine vastutust ei kaota: kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse mujal, vastutab teenuseosutaja selle eest, et turvameetmed oleksid rakendatud (KüTS § 7 lg 3).
Sisuline meetmete raamistik tuleneb NIS2-direktiivi artikli 21 lõikest 2, mis hõlmab vähemalt riskianalüüsi ja infosüsteemide turbe põhimõtteid, intsidentide käsitlemist, talitluspidevust (varundushaldus, avariitaaste) ja kriisiohjet, tarneahela turvalisust, süsteemide hankimise, arendamise ja hoolduse turvalisust, meetmete tõhususe hindamise korda, küberhügieeni ja koolitust, krüptograafiat, personali turvalisust, juurdepääsukontrolli ja varade haldust ning kohasel juhul mitmikautentimist ja turvalist sidet. Eestis järgib teenuseosutaja võrgu- ja infosüsteemi turvalisuse tagamiseks Eesti infoturbestandardit (E-ITS) ja rakendab sellest tulenevaid turvameetmeid (E-ITS § 1 lg 1).
Juhtkonna roll. Direktiivi (EL) 2022/2555 artikli 20 lõike 1 järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ning neid üksusi võib võtta vastutusele rikkumise eest.
Registreerimine (teavitamiskohustus). KüTS § 3¹ lg 1 kohaselt esitab teenuseosutaja RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid), asjakohasel juhul direktiivi I või II lisa sektori ja allsektori ning riikide loetelu, kus teenuseid osutatakse. Andmete muudatustest tuleb teatada viivitamata, kuid hiljemalt kahe nädala jooksul (§ 3¹ lg 4). Üleminekusäte: teenuseosutaja, kes vastas tunnustele enne § 3¹ lg 1 jõustumist 01.01.2026, täidab teavitamiskohustuse kolme kuu jooksul (§ 28¹ lg 1). RIA koostab nimekirja iga kahe aasta järel ja see on asutusesiseseks kasutamiseks mõeldud teave (§ 3¹ lg 2 ja 3).
Küberintsidendist teavitamine: 24 tundi, 72 tundi, üks kuu
Teated esitatakse Riigi Infosüsteemi Ametile, kelle koosseisus tegutseb riiklik intsidentide käsitlemise üksus CERT-EE (KüTS § 5 lg 3 p 3). Teavituskanal on https://raport.cert.ee/ või cert@cert.ee.
- Esmane teade — viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist, kui intsidendil on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või kui oluline mõju ei ole ilmne, kuid seda võib mõistlikult eeldada (KüTS § 8 lg 1).
- Intsidenditeade — viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist; sellega ajakohastatakse esmase teate teavet (KüTS § 8 lg 4¹).
- Vahearuanne RIA taotlusel enne lõppraportit (KüTS § 8 lg 4³).
- Lõppraport ühe kuu jooksul intsidenditeate esitamisest. Kui intsident on lõppraporti esitamise ajaks lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (KüTS § 8 lg 7).
Millal on mõju „oluline"? KüTS § 8 lg 2 järgi piisab ühest tingimusest, näiteks: mõju on riskianalüüsis määratud tagajärgede raskusastme kohaselt vähemalt raske; teenuse maksimaalne lubatud katkestuse aeg on ületatud; häiritud on teise teenuseosutaja teenuse toimepidevus; lahendamiseks tuleb rakendada erakorralisi abinõusid; tekkinud või tekkida võib märkimisväärne kahju. Kui teenuse osutamine on häiritud veel vähemalt ühes ELi liikmesriigis, loetakse küberintsident alati olulise mõjuga küberintsidendiks (KüTS § 8 lg 3).
Asjakohasel juhul tuleb mõistliku aja jooksul teavitada ka mõjutatud isikuid või avalikkust (KüTS § 8 lg 5). Väljasttellimise puhul vastutab teenuseosutaja selle eest, et teenusepakkuja teda intsidendist hiljemalt 24 tunni jooksul teavitaks (KüTS § 8 lg 1¹). Teadete täpse andmekoosseisu ja korra kehtestab valdkonna eest vastutav minister määrusega (§ 8 lg 8) — ajakohase vormi leiate RIA avaldatud juhistest.
Trahvid ja järelevalve
KüTS § 7 turvameetmete ja § 8 teavituskohustuste rikkumise eest on ette nähtud järgmised rahatrahvid:
| Üksuse klass | Maksimaalne rahatrahv juriidilisele isikule | Säte |
|---|---|---|
| Ülioluline üksus | kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem | KüTS § 18² lg 2 |
| Oluline üksus | kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem | KüTS § 18³ lg 2 |
Järelevalvet ja pädeva asutuse ülesandeid täidab Riigi Infosüsteemi Amet (KüTS § 5 lg 3; riiklik ja haldusjärelevalve KüTS § 14 lg 1). RIA on ka nende väärtegude kohtuväline menetleja (KüTS § 19 lg 1) ning väärtegude aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).
Kontakt ametliku allika saamiseks: Riigi Infosüsteemi Amet, ria@ria.ee, +372 663 0200, https://www.ria.ee/. Kui mõni küsimus vajab siduvat tõlgendust, tuginege RIA avaldatud juhistele.
Tegevusalakoodid (NACE Rev. 2)
Selle sektori kirjed NIS2 lisades vastavad üksühele järgmistele NACE Rev. 2 tegevusaladele. Loend katab ainult ühemõttelised vasted — osa kirjeid on määratletud tegevuse enda, mitte tegevusalakoodi kaudu.
NACE 35.1 — Elektrienergia tootmine, ülekanne ja jaotusNACE 35.30 — Auru ja konditsioneeritud õhuga varustamineNACE 35.2 — Gaasitootmine; gaaskütuste jaotus magistraalvõrkude kauduNACE 06 — Toornafta ja maagaasi tootmineNACE 19.20 — Puhastatud naftatoodete tootmineNACE 49.50 — Torutransport
EMTAK 2025 tegevusalakoodid selles sektoris
Koodid on seotud automaatselt: sektori NACE Rev. 2 koodid on viidud Eurostati ametliku vastavustabeli kaudu NACE Rev. 2.1 klassidesse ja sealt EMTAK 2025 koodideni. Kui vaste ei ole üheselt selge, jääb kood loendist välja — loend on pigem kitsam kui laiem.
EMTAK 06101 — Toornafta tootmine ja põlevkivi kaevandamineEMTAK 06201 — Maagaasi tootmineEMTAK 19201 — Puhastatud naftatoodete ja fossiilkütusetoodete tootmineEMTAK 35111 — Elektrienergia tootmine taastumatutest energiaallikatestEMTAK 35121 — Elektrienergia tootmine hüdroenergiastEMTAK 35122 — Elektrienergia tootmine tuuleenergiastEMTAK 35123 — Elektrienergia tootmine päikeseenergiastEMTAK 35129 — Muu elektrienergia tootmine, k.a biomassistEMTAK 35131 — Elektrienergia ülekanneEMTAK 35141 — Elektrienergia jaotusEMTAK 35151 — Elektrienergia müükEMTAK 35161 — Elektrienergia salvestamineEMTAK 35211 — Gaasi (v.a biogaasi) tootmineEMTAK 35212 — Biogaasi tootmineEMTAK 35213 — Vesiniku tootmineEMTAK 35221 — Gaaskütuste jaotus magistraalvõrkude kauduEMTAK 35231 — Gaasimüük magistraalvõrkude kauduEMTAK 35301 — Auru ja konditsioneeritud õhuga varustamineEMTAK 35401 — Elektrienergia ja maagaasi maaklerite ja vahendajate tegevusEMTAK 49501 — Torutransport
Vaata ka sektori lehte: Energeetika
Korduma kippuvad küsimused
Kas väike elektri- või kaugkütteettevõte jääb KüTS-i alt välja?
Mitte automaatselt. Ülioluliseks üksuseks loetakse § 3 lg 3 tegevusalaga üksus, kellel on 250 või rohkem töötajat ning aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro. Oluline üksus on üksus, kes ei ole ülioluline, kuid kellel on 50 või rohkem töötajat ja aastabilansimaht või aastakäive üle 10 miljoni euro ning kelle tegevusala on § 3 lõikes 3 nimetatud (KüTS § 3 lg 4 p 8). Sõltumata suurusest on ülioluline üksus elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses (KüTS § 3 lg 2 p 2).
Kui kiiresti peab energiaettevõte küberintsidendist RIA-le teatama?
Esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul intsidendist teada saamisest (KüTS § 8 lg 1); intsidenditeade hiljemalt 72 tunni jooksul (§ 8 lg 4¹); RIA taotlusel vahearuanne (§ 8 lg 4³); lõppraport ühe kuu jooksul intsidenditeate esitamisest (§ 8 lg 7). Teated esitatakse Riigi Infosüsteemi Ametile, kanal https://raport.cert.ee/ või cert@cert.ee.
Kas gaasi-, nafta- või kaugküttesektorile kehtivad eraldi turvanõuded?
KüTS § 7 turvameetmete nõuded on kõigile kohaldamisalasse kuuluvatele teenuseosutajatele samad — sektori kaupa eraldi kohustusi seadus ei sätesta. KüTS § 7 lg 5 alusel kehtestatavas määruses võib turvameetmete nõudeid täpsustada ja seejuures arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid (§ 7 lg 6). Kui teenuseosutaja on nimetatud direktiivi (EL) 2022/2555 artikli 21 lõike 5 rakendusaktis, lähtub ta selle rakendusakti nõuetest (§ 7 lg 7).
Kas juhatus vastutab küberturvalisuse eest isiklikult?
Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks ja jälgivad nende rakendamist ning üksusi võib artikli rikkumise eest vastutusele võtta. Praktikas tähendab see, et riskianalüüs, meetmete plaan ja intsidendikord peavad olema juhtorgani poolt heaks kiidetud ja dokumenteeritud.
Kontrolli oma NIS2-vastavust
Alusta tasuta NIS2 kohalduvuse kontrolli
Tee tasuta NIS2 enesehindamine Tee tasuta väline turvakontroll Kuidas see protsess toimib?
See artikkel on üldine info, mitte õigusnõustamine. Sinu konkreetse olukorra kohta pöördu kvalifitseeritud spetsialisti poole.
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 89d271574f40).