KüTS § 18⁴/§ 18⁵: piiriüleste elektrivoogude üksuse rikkumised

Õiguslik alus (KüTS)

KüTS § 18⁴ lg 1

> (1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 2 lõikes 1 nimetatud üksuse poolt samas määruses sätestatud nõuete rikkumise eest – karistatakse rahatrahviga kuni 10 000 000 eurot.

KüTS § 18⁴ lg 2

> (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest olenevalt sellest, kumb summa on suurem. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 18⁵ lg 1

> (1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 15 lõike 1 alusel nimetatud seadusliku esindaja poolt samas määruses sätestatud nõuete rikkumise eest – karistatakse rahatrahviga kuni 300 trahviühikut.

KüTS § 18⁵ lg 2

> (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 32 000 eurot. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

Need kaks KüTS-i sätet seovad Eesti karistusõiguse Euroopa Komisjoni delegeeritud määrusega (EL) 2024/1366, mis kehtestab piiriüleste elektrivoogude valdkonnas küberturvalisuse nõuded. Sisulised kohustused tulenevad määrusest endast — KüTS § 18⁴ ja § 18⁵ ütlevad, mis juhtub siis, kui neid kohustusi ei täideta.

KüTS § 18⁴ puudutab üksust ennast — nimetatud määruse artikli 2 lõikes 1 nimetatud üksust. Kui selline üksus rikub samas määruses sätestatud nõudeid, on karistuseks rahatrahv kuni 10 000 000 eurot. Kui teo on toime pannud juriidiline isik, on karistuseks rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Praktikas tähendab see, et suure käibega kontserni puhul ei ole 10 miljonit eurot ülempiir, vaid alammäär — käibepõhine arvestus võib anda oluliselt suurema summa.

KüTS § 18⁵ puudutab seaduslikku esindajat — isikut, kes on nimetatud sama määruse artikli 15 lõike 1 alusel. Kui esindaja rikub määruses sätestatud nõudeid, karistatakse rahatrahviga kuni 300 trahviühikut. Kui rikkuja on juriidiline isik, on rahatrahv kuni 32 000 eurot. Seaduslik esindaja ei ole seega pelgalt kontaktpunkt paberil — tal on iseseisev vastutus, mis realiseerub temast endast lähtuva rahatrahvina.

Oluline on tähele panna kahte asja. Esiteks, vastutus on kahetasandiline: üksus ja tema seaduslik esindaja võivad vastutada eraldi, erinevas suurusjärgus. Teiseks, mõlemad sätted jõustusid 01.01.2026, mistõttu need on täna kehtiv õigus, mitte tulevikuplaan.

Mida ettevõte peab tegema

Esimene samm on selgus rolli osas. Ettevõte peab dokumenteeritult vastama küsimusele, kas ta on delegeeritud määruse (EL) 2024/1366 artikli 2 lõikes 1 nimetatud üksus. Vastus tuleb kirja panna — koos põhjendusega ja kuupäevaga — ning üle vaadata iga kord, kui muutub ärimudel, tegevusala või kontsernistruktuur. Vastutajaks sobib juhatuse liige koos vastavusjuhi või infoturbejuhiga; ainuüksi IT-osakonna sisehinnangust ei piisa, sest tegemist on juriidilise kvalifitseerimisega, millel on otsene rahaline mõju.

Teine samm on nõuete kaardistamine ja tõendatavus. Kuna KüTS § 18⁴ karistab "samas määruses sätestatud nõuete" rikkumise eest, tuleb ettevõttel koostada nõuete register: iga määrusest tulenev kohustus, selle täitmise viis, vastutav isik ja tõend (protseduur, logi, aruanne, testitulemus). Ilma tõendusmaterjalita on hilisemas menetluses raske näidata, et nõue oli täidetud. Registrit tasub hoida sama korra all nagu muudki juhtimisdokumenti — versioonihaldus, kinnitaja, ülevaatamise sagedus.

Kolmas samm puudutab seaduslikku esindajat. Kui ettevõte on määranud või peab määrama artikli 15 lõike 1 alusel seadusliku esindaja, tuleb see määramine vormistada kirjalikult ja anda esindajale reaalne ligipääs infole, mida ta oma ülesannete täitmiseks vajab. KüTS § 18⁵ järgi vastutab esindaja ise — kuni 300 trahviühikut, juriidilise isiku puhul kuni 32 000 eurot — seega peab esindaja rollikirjeldus, teavitusahel ja eskaleerimiskord olema paberil, mitte suulise kokkuleppena. Soovitatav on fikseerida ka see, kes esindajat asendab ning kuidas ta saab juhatusele puudujääkidest märku anda.

Neljas samm on juhtimistasandi teadlikkus. Kuna juriidilise isiku puhul võib trahv ulatuda 2 protsendini eelmise majandusaasta ülemaailmsest aastasest kogukäibest, on tegemist finantsriskiga, mis kuulub juhatuse ja nõukogu riskiregistrisse, mitte üksnes IT-eelarvesse. Arvutage riski suurusjärk läbi oma tegeliku kogukäibe pealt ja esitage see juhtimisorganile arusaadava numbrina. Kui tekib kahtlusi nõuete tõlgendamisel või rolli määratlemisel, tuginege Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele — RIA on Eestis pädev asutus ja tema juhendmaterjal on esimene koht, kust kontrollida oma tõlgenduse õigsust.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.