NIS2 ja küberturvalisuse seadus (KüTS) tootmisettevõtetele Eestis
Eesti õigus · KüTS
Lühivastus: jah, tootmine on Eestis NIS2 kohaldamisalas
Jah — elektroonika-, masina-, sõiduki- ja meditsiiniseadmete tootmine on Eestis küberturvalisuse seaduse (KüTS) kohaldamisalas, kui ettevõte ületab seaduses sätestatud suuruse piirmäärad. Alus on KüTS § 3 lõike 5 punktid 4 ja 5, mille kohaselt loetakse selliste tegevusaladega ettevõtja oluliseks üksuseks, kui tal on majandusaasta jooksul 50 või rohkem töötajat ja tema aastabilansimaht või aastakäive ületab 10 miljonit eurot.
Esimene samm on lihtne: võrrelge oma töötajate arvu ja majandusnäitajaid nende piirmääradega ning kontrollige, kas teie tegevus vastab KüTS § 3 lõikes 5 nimetatud kirjeldusele. Kui vastus on jah, tuleb esitada Riigi Infosüsteemi Ametile (RIA) KüTS § 3¹ lõikes 1 nimetatud andmed ja alustada § 7 turvameetmete rakendamisega.
Kuidas seadus tootmissektorit nimetab (KüTS § 3 lg 5)
KüTS ei kasuta sõna „tootmissektor“ üldmõistena, vaid loetleb tegevusalad. Olulise üksuse loetelus (KüTS § 3 lg 5) on tootmise kohta sõnastatud järgmiselt:
- punkt 5 — „Euroopa Liidu majanduse tegevusalade statistilise klassifikaatori NACE Revision 2 C jao osades 26–30 osutatud majandustegevusega tegelev ettevõtja“;
- punkt 4 — „Euroopa Parlamendi ja nõukogu määruse (EL) 2017/745 [...] artikli 2 punktis 1 määratletud meditsiiniseadme tootja ning Euroopa Parlamendi ja nõukogu määruse (EL) 2017/746 [...] artikli 2 punktis 2 määratletud in vitro diagnostikameditsiiniseadme tootja, välja arvatud käesoleva paragrahvi lõike 3 punktis 6 osutatud meditsiiniseadme tootja“.
Meditsiiniseadmete tootjatele on lisatee: KüTS § 3 lg 3 punkt 6 nimetab üliolulise üksusena „määruse (EL) 2022/123 [...] artiklis 22 nimetatud rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja“.
Seaduse tekst ei sea tootmisele eraldi, sektorispetsiifilisi turvanõudeid — kohaldamisalasse kuuluvale ettevõttele kehtivad samad KüTS § 7 ja § 8 kohustused nagu teistele teenuseosutajatele. Küll võib KüTS § 7 lõike 5 alusel kehtestatud määruses arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid (§ 7 lg 6).
Ülioluline või oluline üksus? Piirmäärad, mis otsustavad
KüTS § 3 lg 1 kohaselt on teenuseosutaja kas ülioluline üksus või oluline üksus. Tootmisettevõtte jaoks tähendab see praktikas järgmist:
| Olukord | Klassifikatsioon | Piirmäär |
|---|---|---|
| Elektroonika-, masina-, sõiduki- või meditsiiniseadmete tootja (§ 3 lg 5 p 4 ja 5) | oluline üksus | 50+ töötajat ja bilansimaht või käive üle 10 mln € |
| Rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja (§ 3 lg 3 p 6) | ülioluline üksus | 250+ töötajat ja bilansimaht üle 43 mln € või käive üle 50 mln € |
| Sama tootja, kes jääb § 3 lg 3 piirmääradest allapoole (§ 3 lg 4 p 8) | oluline üksus | 50+ töötajat ja bilansimaht või käive üle 10 mln € |
Suuruse määramisel lähtutakse Euroopa Komisjoni soovitusest 2003/361/EÜ, kuid kahe olulise erisusega:
- selle soovituse lisa artikli 3 lõiget 4 ei kohaldata (KüTS § 3 lg 6);
- partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (KüTS § 3 lg 7).
Kontsernikuuluvusega tootjatel tasub see viimane punkt hoolikalt läbi vaadata — see võib otsustada, kas ettevõte üldse kohaldamisalasse jääb. Piiripealse juhtumi puhul on ametlik allikas Riigi Infosüsteemi Ameti avaldatud juhised ja teave (www.ria.ee).
Põhikohustused: turvameetmed, juhtkonna vastutus ja andmete esitamine
1. Turvameetmed (KüTS § 7). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske (sh koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju ning küberintsidenti ennetada, tuvastada ja lahendada (§ 7 lg 1). Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust, sealhulgas ettevõtte suurust ja riskidele avatuse määra (§ 7 lg 2). Vabariigi Valitsus või volitatud minister kehtestab määrusega Eesti infoturbestandardi (E-ITS) ja turvameetmete üldnõuded (§ 7 lg 5); E-ITS-i järgimine ja sellest tulenevate turvameetmete rakendamine on teenuse osutaja kohustus (Eesti infoturbestandard § 1 lg 1).
2. Allhanke ja majutuse vastutus (KüTS § 7 lg 3). Kui annate süsteemi halduse üle või majutate selle kellegi juures — mis on tootmises ERP-, MES- ja hooldusteenuste puhul tavaline —, vastutate ikkagi teie, et teenusepakkuja turvameetmeid rakendaks.
3. Riskijuhtimise sisu. NIS2 direktiivi (EL) 2022/2555 artikli 21 lõige 2 loetleb meetmete miinimumi: riskianalüüs ja infosüsteemide turbe põhimõtted; intsidentide käsitlemine; talitluspidevus (varundushaldus, avariitaaste) ja kriisiohje; tarneahela turvalisus; süsteemide hankimise, arendamise ja hoolduse turvalisus koos nõrkuste käsitlemisega; meetmete tõhususe hindamise kord; küberhügieen ja koolitus; krüptograafia; personali turvalisus, juurdepääsukontroll ja varahaldus; ning asjakohasel juhul mitmikautentimine ja turvaline side.
4. Juhtkonna vastutus. Direktiivi artikli 20 lõike 1 kohaselt kiidavad üksuse juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta. See ei ole IT-osakonna eraldiseisev projekt.
5. Andmete esitamine RIA-le (KüTS § 3¹). Teenuseosutaja esitab Riigi Infosüsteemi Ametile vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, IP-vahemikud, telefoninumbrid), asjakohasel juhul direktiivi lisas osutatud sektori ja allsektori ning riikide loetelu, kus teenuseid osutatakse (§ 3¹ lg 1). Kõigist muudatustest tuleb teatada viivitamata, kuid hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4). Ettevõte, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lõike 1 jõustumist 01.01.2026, pidi kohustuse täitma kolme kuu jooksul jõustumisest arvates (§ 28¹ lg 1). RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2).
Intsidendist teavitamine: 24 tundi, 72 tundi, üks kuu
Teated esitatakse Riigi Infosüsteemi Ametile (RIA), kelle koosseisus tegutseb intsidentide käsitlemise üksus CERT-EE (KüTS § 5 lg 3 p 3). Tähtajad on järgmised:
- Esmane teade — viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või mille olulist mõju võib mõistlikult eeldada (§ 8 lg 1).
- Intsidenditeade — viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist; sellega ajakohastatakse esmase teate teavet (§ 8 lg 4¹).
- Vahearuanne — RIA taotlusel enne lõppraportit (§ 8 lg 4³).
- Lõppraport — ühe kuu jooksul intsidenditeate esitamisest. Kui intsident on selleks ajaks lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).
Millal on mõju „oluline“? KüTS § 8 lg 2 loetleb tingimused, millest piisab ühest: mõju on riskianalüüsis määratud raskusastme kohaselt vähemalt raske; teenust ei saa jätkata pärast maksimaalse lubatud katkestuse aja möödumist; häiritud on teise teenuseosutaja teenus; tuleb rakendada erakorralisi abinõusid; on tekkinud või võib tekkida märkimisväärne kahju; või tegemist on Euroopa Komisjoni rakendusaktis sätestatud olulise intsidendiga. Kui teenuse osutamine on häiritud veel vähemalt ühes EL-i liikmesriigis, loetakse intsident alati olulise mõjuga intsidendiks (§ 8 lg 3).
Kui süsteemi haldab või majutab keegi teine, vastutate teie selle eest, et ta teavitaks teid hiljemalt 24 tunni jooksul (§ 8 lg 1¹). Asjakohasel juhul tuleb mõjutatud isikuid või avalikkust teavitada mõistliku aja jooksul (§ 8 lg 5).
Teavituskanal: https://raport.cert.ee/, e-post cert@cert.ee, telefon +372 663 0299 (CERT-EE jälgib Eesti küberruumi 24/7).
Trahvid ja järelevalve
KüTS § 7 turvameetmete ja § 8 teavituskohustuste rikkumise eest on ette nähtud rahatrahvid:
| Üksuse liik | Juriidilise isiku rahatrahv |
|---|---|
| Oluline üksus (§ 18³ lg 2) | kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem |
| Ülioluline üksus (§ 18² lg 2) | kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem |
Enamik tootmisettevõtteid kvalifitseerub oluliseks üksuseks, seega on asjakohane ülemine rida — kuid käibepõhine arvestus tähendab, et suure käibega eksportijal võib protsendimäär ületada eurosumma.
Järelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (KüTS § 14 lg 1) ja §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on samuti RIA (§ 19 lg 1). Väärtegude aegumistähtaeg on kolm aastat (§ 19 lg 4). RIA kontaktid: ria@ria.ee, +372 663 0200, https://www.ria.ee/.
Tegevusalakoodid (NACE Rev. 2)
Selle sektori kirjed NIS2 lisades vastavad üksühele järgmistele NACE Rev. 2 tegevusaladele. Loend katab ainult ühemõttelised vasted — osa kirjeid on määratletud tegevuse enda, mitte tegevusalakoodi kaudu.
NACE 26 — Arvutite, elektroonika- ja optikaseadmete tootmineNACE 27 — Elektriseadmete tootmineNACE 28 — Mujal liigitamata masinate ja seadmete tootmineNACE 29 — Mootorsõidukite, haagiste ja poolhaagiste tootmineNACE 30 — Muude transpordivahendite tootmineNACE 32.50 — Meditsiini- ja hambaraviinstrumentide ning materjalide tootmine
EMTAK 2025 tegevusalakoodid selles sektoris
Koodid on seotud automaatselt: sektori NACE Rev. 2 koodid on viidud Eurostati ametliku vastavustabeli kaudu NACE Rev. 2.1 klassidesse ja sealt EMTAK 2025 koodideni. Kui vaste ei ole üheselt selge, jääb kood loendist välja — loend on pigem kitsam kui laiem.
EMTAK 26111 — Elektronkomponentide tootmineEMTAK 26121 — Trükkplaatide tootmineEMTAK 26201 — Arvutite ja arvuti välisseadmete tootmineEMTAK 26301 — Sideseadmete tootmineEMTAK 26401 — Tarbeelektroonika tootmineEMTAK 26511 — Mõõte-, katse- ja navigatsiooniseadmete tootmineEMTAK 26521 — Ajanäitajate tootmineEMTAK 26601 — Kiiritus-, elektromeditsiini- ja elektroteraapiaseadmete tootmineEMTAK 26701 — Optikainstrumentide, magnet- ja optiliste andmekandjate ning fotoseadmete tootmineEMTAK 27111 — Elektrimootorite, -generaatorite ja trafode tootmineEMTAK 27121 — Elektrijaotusseadmete ja juhtaparatuuri tootmineEMTAK 27201 — Patareide ja akude tootmineEMTAK 27311 — Kiudoptilise kaabli tootmineEMTAK 27321 — Muu elektroonika- ja elektrijuhtmete või -kaabli tootmineEMTAK 27331 — Juhtmestiku tarvikute tootmineEMTAK 27401 — Valgustusseadmete tootmineEMTAK 27511 — Elektriliste kodumasinate tootmineEMTAK 27521 — Mitteelektriliste kodumasinate tootmineEMTAK 27901 — Muude elektriseadmete tootmineEMTAK 28111 — Mootorite ja turbiinide tootmine, v.a õhusõidukite, mootorsõidukite ja mootorrataste mootoridEMTAK 28121 — Hüdrauliliste ja pneumaatiliste jõuseadmete tootmineEMTAK 28131 — Muude pumpade ja kompressorite tootmineEMTAK 28141 — Muude kraanide ja ventiilide tootmineEMTAK 28151 — Laagrite, ajamite, hammasülekannete ja ülekandeelementide tootmineEMTAK 28221 — Tõste- ja teisaldusseadmete tootmineEMTAK 28231 — Kontorimasinate ja -seadmete tootmine, v.a arvutid ja arvuti välisseadmedEMTAK 28241 — Ajamiga käsi-tööriistade tootmineEMTAK 28251 — Tööstuslike kliimaseadmete tootmineEMTAK 28291 — Mujal liigitamata üldmasinate ja mehhanismide tootmineEMTAK 28301 — Põllumajandusmasinate tootmineEMTAK 28302 — Metsamajandusmasinate tootmineEMTAK 28411 — Metallistantside ja muude metallitööpinkide tootmineEMTAK 28421 — Muude tööpinkide tootmineEMTAK 28911 — Metallurgiamasinate tootmineEMTAK 28921 — Kaevandus-, karjääri- ja ehitusmasinate tootmineEMTAK 28931 — Toiduaine-, joogi- ja tubakatööstusmasinate tootmineEMTAK 28941 — Tekstiili-, rõiva- ja nahatööstusmasinate tootmineEMTAK 28951 — Paberi- ja papitööstusmasinate tootmineEMTAK 28961 — Plasti- ja kummitööstusmasinate tootmineEMTAK 28971 — Kihtlisandustootmise seadmete tootmineEMTAK 28991 — Mujal liigitamata erimasinate tootmineEMTAK 29101 — Mootorsõidukite tootmineEMTAK 29201 — Mootorsõidukikerede tootmineEMTAK 29202 — Haagiste, poolhaagiste ning konteinerite tootmineEMTAK 29311 — Mootorsõidukite elektri- ja elektroonikaseadmete tootmineEMTAK 30111 — Tsiviillaevade ehitusEMTAK 30112 — Tsiviilotstarbeliste ujuvkonstruktsioonide ehitusEMTAK 30121 — Lõbusõidu- ja sportpaatide ehitusEMTAK 30131 — Sõjalaevade ehitusEMTAK 30201 — Raudteevedurite ja -veeremi tootmineEMTAK 30311 — Tsiviilõhusõidukite ja -kosmosesõidukite jms seadmete tootmineEMTAK 30321 — Militaarõhusõidukite ja -kosmosesõidukite jms seadmete tootmineEMTAK 30401 — Militaarveokite tootmineEMTAK 30911 — Mootorrataste tootmineEMTAK 30921 — Jalgrataste ja invasõidukite tootmineEMTAK 30991 — Muude mujal liigitamata transpordivahendite tootmine
Vaata ka sektori lehte: Tootmine
Korduma kippuvad küsimused
Kas 40 töötajaga masinatehas kuulub KüTS-i alla?
KüTS § 3 lg 5 seab tingimuseks 50 või rohkem töötajat majandusaasta jooksul ja aastabilansimahu või aastakäibe üle 10 miljoni euro. Kui mõlemad tingimused ei ole täidetud, ei loeta ettevõtet selle sätte alusel oluliseks üksuseks. Arvestage siiski § 3 lg 6 ja lg 7 erisusi suurusnäitajate arvutamisel ning kontrollige, ega ettevõte ei kuulu kohaldamisalasse mõne muu KüTS § 3 loetelu punkti kaudu. Ametlik allikas ja juhised: Riigi Infosüsteemi Amet (www.ria.ee).
Kas meditsiiniseadmete tootja on ülioluline või oluline üksus?
Üldjuhul oluline üksus KüTS § 3 lg 5 punkti 4 alusel. Erandiks on määruse (EL) 2022/123 artiklis 22 nimetatud rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja, kes on § 3 lg 3 punkti 6 järgi ülioluline üksus, kui tal on 250 või rohkem töötajat ja bilansimaht üle 43 miljoni või käive üle 50 miljoni euro. Kui ta jääb neist piirmääradest allapoole, kohaldub § 3 lg 4 punkt 8 ja ta on oluline üksus.
Kas tootmisele kehtivad eraldi, sektoripõhised küberturvanõuded?
KüTS ei sätesta tootmisettevõtetele eraldi turvanõudeid — kohaldamisalasse kuuluvale ettevõttele kehtivad samad § 7 turvameetmete ja § 8 teavitamise nõuded nagu teistele teenuseosutajatele. KüTS § 7 lg 6 kohaselt võib § 7 lg 5 alusel kehtestatud määrus turvameetmeid täpsustada, võttes muu hulgas arvesse § 3 lõigetes 2–5 nimetatud tegevusalasid. Kehtivate määruste ja E-ITS-i redaktsiooni osas on ametlik allikas Riigi Infosüsteemi Ameti avaldatud juhised.
Mis juhtub, kui intsidendist ei teatata 24 tunni jooksul?
§ 8 lõikes 1 sätestatud nõude rikkumise eest saab olulisele üksusele määrata rahatrahvi kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest (§ 18³ lg 2) ja üliolulisele üksusele kuni 10 000 000 eurot või kuni 2% käibest (§ 18² lg 2), olenevalt sellest, kumb summa on suurem. Kohtuväline menetleja on Riigi Infosüsteemi Amet (§ 19 lg 1).
Kontrolli oma NIS2-vastavust
Alusta tasuta NIS2 kohalduvuse kontrolli
Tee tasuta NIS2 enesehindamine Tee tasuta väline turvakontroll Kuidas see protsess toimib?
See artikkel on üldine info, mitte õigusnõustamine. Sinu konkreetse olukorra kohta pöördu kvalifitseeritud spetsialisti poole.
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 17ca42b525c1).