NIS2 registreerimiskohustus Eestis: kes peab end RIA-le teavitama ja millal

Mis on NIS2 registreerimiskohustus Eestis?

NIS2 direktiiv (EL) 2022/2555 on Eestis üle võetud küberturvalisuse seadusega (KüTS). Seadus toob kaasa nn teavitamiskohustuse: iga üksus, kes kuulub seaduse kohaldamisalasse, peab andma endast teada pädevale asutusele.

KüTS § 3¹ lg 1 järgi esitab teenuseosutaja ja domeeninimede registreerimise teenuse osutaja Riigi Infosüsteemi Ametile (RIA) teabe, mille alusel RIA koostab teenuseosutajate nimekirja. See ongi Eesti "registreerimisnõue".

Oluline on mõista, et teavitamiskohustus ei ole vabatahtlik – see tuleb otse seadusest ja kehtib sõltumata sellest, kas RIA on teie ettevõttega ise ühendust võtnud. Vastutus enda kvalifitseerumise hindamise eest lasub üksusel endal.

Kes peab end teavitama? Üliolulised ja olulised üksused

KüTS § 3 lg 1 järgi on teenuseosutaja ülioluline üksus ja oluline üksus. Teavitamiskohustus (§ 3¹ lg 1) kehtib mõlemale, samuti domeeninimede registreerimise teenuse osutajale.

Ülioluline üksus (KüTS § 3 lg 2 ja lg 3) on muu hulgas:

• domeeninimede süsteemi (DNS) teenuse osutaja;
• elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kvalifitseeritud usaldusteenuse osutaja;
• tippdomeeninimede registri pidaja;
• suuremad energia-, side-, transpordi-, panganduse-, tervishoiu- ja veemajanduse valdkonna ettevõtjad, kes ületavad seaduses toodud suuruskünniseid.

Oluline üksus (KüTS § 3 lg 4 ja lg 5) on muu hulgas:

• andmekogu vastutav ja volitatud töötleja avaliku teabe seaduse tähenduses;
• avalik-õiguslik juriidiline isik;
• usaldusteenuse osutaja (v.a kvalifitseeritud);
• postiteenuse ja kulleriteenuse osutaja;
• internetipõhise kauplemiskoha pidaja, sotsiaalmeediaplatvormi pakkuja, veebipõhise otsingumootori pakkuja;
• teadusasutus, jäätmekäitleja, toidutööstuse ja teatud tootmisettevõtjad, kes ületavad seaduses sätestatud suurus- ja käibekünniseid.

Suuruskünnised on olulised: paljudel juhtudel loetakse üksus üliolulisena või olulisena üksuseks ainult siis, kui tal on majandusaasta jooksul 50 või rohkem töötajat ja aastabilansimaht või aastakäive ületab 10 miljonit eurot (KüTS § 3 lg 4 p 8 ja lg 5). Suuremate üliolulise üksuse künniste puhul (§ 3 lg 3) on lävendiks 250 töötajat ja bilansimaht üle 43 miljoni euro või käive üle 50 miljoni euro.

Kui te ei ole kindel, kas ja millisesse kategooriasse teie ettevõte kuulub, tasub teha struktureeritud enesehindamine – meie tasuta scoping-tööriist aitab kaardistada, kas kuulute KüTS-i kohaldamisalasse.

Kellele ja milliseid andmeid esitada?

Teavitus esitatakse Riigi Infosüsteemi Ametile (RIA), kes on KüTS § 5 lg 3 järgi Eesti pädev asutus ja ühtne kontaktpunkt.

KüTS § 3¹ lg 1 järgi tuleb nimekirja koostamiseks esitada vähemalt järgmine teave:

1. nimi ja registrikood; 2. tegevuskoha aadress ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli (IP) aadresside vahemikud ja telefoninumbrid; 3. asjakohasel juhul direktiivi (EL) 2022/2555 I või II lisas osutatud sektor ja allsektor; 4. asjakohasel juhul nende riikide loetelu, kus üksus osutab direktiivi kohaldamisalasse kuuluvaid teenuseid.

RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2). Nimekirja teave on asutusesiseseks kasutamiseks mõeldud teave avaliku teabe seaduse tähenduses (§ 3¹ lg 3).

Andmete esitamisel võib teenuseosutaja juhinduda asjaomastest Euroopa Komisjoni suunistest ja vormidest (§ 3¹ lg 9).

Kontakt: Riigi Infosüsteemi Amet, e-post ria@ria.ee, telefon +372 663 0200, veeb https://www.ria.ee/.

Mis tähtajaks tuleb end teavitada?

Üleminekutähtaeg on määrav neile, kes vastasid teenuseosutaja tunnustele juba enne § 3¹ lg 1 jõustumist. Selline teenuseosutaja täidab teavitamiskohustuse kolme kuu jooksul jõustumisest arvates. Kuna § 3¹ lg 1 jõustub 01.01.2026, on tähtaeg hiljemalt 01.04.2026.

RIA omakorda koostab esimese nimekirja kuue kuu jooksul vastava lõike jõustumisest (KüTS § 20 lg 1).

Andmete muudatused: kui esitatud teave muutub, tuleb sellest RIA-t teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (KüTS § 3¹ lg 4). See kohustus on jooksev – kontaktandmete, aadressi või teenuste ulatuse muutumisel tuleb nimekirja andmed ajakohastada.

Mis juhtub, kui kohustusi ei täideta?

KüTS näeb nõuete rikkumise eest ette olulised rahatrahvid. Trahvimäärad erinevad sõltuvalt sellest, kas tegemist on üliolulise või olulise üksusega:

Alused: KüTS § 18² lg 2 (ülioluline üksus) ja § 18³ lg 2 (oluline üksus). Need väärteokoosseisud puudutavad eelkõige turvameetmete (§ 7) ja intsidendist teavitamise (§ 8) nõuete rikkumist.

NB! Konkreetselt teavitamiskohustuse (§ 3¹) täitmata jätmise tagajärgi KB-kontekst eraldi ei kirjelda – selle täpsustab vajadusel [TÄPSUSTAB PARTNER-JURIST]. Selgus on siiski oluline: nimekirja kandmata jäämine ei vabasta ühestki muust KüTS-i kohustusest, nagu turvameetmed ja intsidenditeavitus.

Et vältida ebakindlust, alustage enda kvalifitseerumise ja andmenõuete kaardistamisest juba täna – kasutage meie tasuta gap-tööriista, et näha, mida teil on tähtajaks vaja RIA-le esitada.