KüTS § 15: riikliku järelevalve erimeetmed (korrakaitseseaduse alusel)

Õiguslik alus (KüTS)

KüTS § 15 lg 1

> (1) Korrakaitseorgan võib käesolevas seaduses sätestatud riikliku järelevalve tegemiseks kohaldada korrakaitseseaduse §-des 30, 31, 32, 49, 50 ja 51 sätestatud riikliku järelevalve erimeetmeid korrakaitseseaduses sätestatud alusel ja korras.

KüTS § 15 lg 2

> (2) Käesoleva seaduse §-de 7 ja 8 ning nende alusel kehtestatud õigusaktide või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud nõuete täitmise üle riikliku järelevalve tegemisel võib korrakaitseorgan kohaldada lisaks käesoleva paragrahvi lõikes 1 nimetatud erimeetmetele ka korrakaitseseaduse §-s 52 sätestatud riikliku järelevalve erimeedet korrakaitseseaduses sätestatud alusel ja korras. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

KüTS § 15 vastab lihtsale küsimusele: milliseid vahendeid tohib järelevalve tegija kasutada, kui ta kontrollib teie ettevõtte küberturvalisuse nõuete täitmist? Seadus ise ei kirjuta neid vahendeid uuesti lahti, vaid viitab korrakaitseseadusele — see tähendab, et küberturvalisuse järelevalve toimub samade reeglite järgi nagu muu riiklik järelevalve Eestis. Ettevõtte jaoks on oluline järeldus: korrakaitseorganil (küberturvalisuse valdkonnas Riigi Infosüsteemi Amet, RIA) on olemas seaduses kirjeldatud erimeetmed, mida ta võib rakendada, kuid ainult korrakaitseseaduses sätestatud alusel ja korras — mitte suvaliselt.

Säte jaguneb kaheks tasandiks:

• Üldine tasand (lõige 1): kogu KüTS-i alusel tehtava riikliku järelevalve puhul võib korrakaitseorgan kohaldada korrakaitseseaduses loetletud erimeetmete kogumit.
• Laiendatud tasand (lõige 2): kui järelevalve puudutab konkreetselt KüTS-i §-des 7 ja 8 ning nende alusel kehtestatud õigusaktides sätestatud nõudeid — samuti nõudeid, mis tulenevad direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktist — siis lisandub veel üks korrakaitseseaduses sätestatud erimeede.

Praktikas tähendab see, et just küberturvalisuse riskijuhtimise ja intsidentidest teavitamise nõuete kontroll on kõige tugevamini varustatud järelevalvevahenditega. Kui teie ettevõte kuulub KüTS-i kohaldamisalasse, ei ole järelevalve pelgalt kirjavahetus — seadusandja on andnud korrakaitseorganile õiguse kasutada ka aktiivsemaid kontrollimeetmeid.

Tähtis on ka see, mida säte ei ütle: see ei kehtesta ise ühtegi uut kohustust ettevõttele, ei näe ette karistusi ega tähtaegu. Tegemist on niinimetatud volitusnormiga — see annab riigiasutusele tööriistakasti, mille sisu ja kasutamise korra määrab korrakaitseseadus.

Mida ettevõte peab tegema

1. Määrake vastutaja järelevalvesuhtluseks. Kuna KüTS § 15 lubab korrakaitseorganil kohaldada erimeetmeid, peab ettevõttes olema selge, kes RIA pöördumisele vastab ja kes on volitatud järelevalvetoimingu juures ettevõtet esindama. Tavaliselt on selleks infoturbejuht või IT-juht koos juhatuse liikmega. Fikseerige see rollijaotus kirjalikult — näiteks infoturbepoliitikas või juhatuse otsuses — ja hoidke kontaktandmed ajakohasena.

2. Seadke prioriteediks KüTS §-de 7 ja 8 valdkond. Lõige 2 annab korrakaitseorganile just nende sätete ning nende alusel kehtestatud õigusaktide täitmise kontrollimisel täiendava erimeetme. See on selge signaal, kuhu suunata sisemine ettevalmistus: dokumentatsioon peab olema esitatavas seisus ilma pika otsimiseta. Koostage lihtne registrikaust, kust leiab riskihinnangu, turvameetmete kirjelduse, intsidentide logi ja vastutajate nimekirja.

3. Valmistuge tõendite esitamiseks, mitte vaidlemiseks. Kuna erimeetmeid kohaldatakse korrakaitseseaduses sätestatud alusel ja korras, on ettevõtte parim kaitse korrektne dokumentatsioon ja koostöövalmidus. Harjutage läbi stsenaarium: kes annab ligipääsu, milline info väljastatakse, kuidas fikseeritakse toimingu käik ettevõtte poolt. Soovitatav on pidada lühikest protokolli iga järelevalvekontakti kohta.

4. Kontrollige nõuete tõlgendust ametlikest juhistest. Kui tekib kahtlus, kas mõni teie meede vastab nõuetele või milline on erimeetme täpne kohaldamise kord, tuginege Riigi Infosüsteemi Ameti avaldatud juhistele ja selgitustele — need on autoriteetne allikas nii küberturvalisuse nõuete kui ka järelevalvepraktika kohta. Määrake üks inimene, kes jälgib RIA juhiste uuendusi ja viib muudatused ettevõtte dokumentidesse.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.