KüTS § 13¹/§ 13²: sertifitseerimis- ja vastavushindamisasutused

Õiguslik alus (KüTS)

KüTS § 13¹ lg 1

> Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 58 lõike 1 tähenduses riiklik küberturvalisuse sertifitseerimise asutus on Tarbijakaitse ja Tehnilise Järelevalve Amet. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

KüTS § 13² lg 1

> Vastavushindamisasutusena tegutsemisele ja vastavushindamisasutusele tegevusloa andmisele kohaldatakse toote nõuetele vastavuse seaduse §-e 22–31 ja 33 ning § 35 lõiget 1, arvestades Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artiklites 60 ja 61 ning artikli 61 alusel vastu võetud Euroopa Komisjoni rakendusaktis ning sama määruse lisas toodud erisusi. [ RT I, 06.08.2022, 2 - jõust. 16.08.2022] 4. peatükk Riiklik ja haldusjärelevalve

Mida see praktikas tähendab

Need kaks sätet ei pane ettevõttele otseseid turvameetmeid, vaid määravad ära, kes Eestis küberturvalisuse sertifitseerimise ja vastavushindamise valdkonnas tegutseb ja kelle loal. Lihtsalt öeldes: sätted vastavad küsimusele „kelle poole sertifitseerimise asjus pöörduda ja kes tohib üldse vastavushindamist teha“.

Esimene säte ütleb selgelt, et Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 58 lõike 1 tähenduses riiklik küberturvalisuse sertifitseerimise asutus on Tarbijakaitse ja Tehnilise Järelevalve Amet (TTJA). See tähendab, et küberturvalisuse sertifitseerimise raamistikuga seotud riiklik roll on ühe konkreetse asutuse käes, mitte hajutatud mitme asutuse vahel. Sätte redaktsioon on jõustunud 01.01.2026.

Teine säte reguleerib vastavushindamisasutusi – ehk organisatsioone, kes hindavad ja kinnitavad toodete või teenuste vastavust nõuetele. Nende tegutsemisele ja neile tegevusloa andmisele kohaldatakse toote nõuetele vastavuse seaduse §-e 22–31 ja 33 ning § 35 lõiget 1. Seejuures tuleb arvestada erisusi, mis tulenevad määruse (EL) 2019/881 artiklitest 60 ja 61, artikli 61 alusel vastu võetud Euroopa Komisjoni rakendusaktist ning sama määruse lisast.

Praktiline järeldus tavalisele ettevõttele:

• Vastavushindamine ei ole vaba tegevus – selleks on vaja tegevusluba ja tuleb vastata toote nõuetele vastavuse seaduses sätestatud nõuetele.
• Küberturvalisuse sertifikaat ei sünni „iseenesest“ – selle taga on riiklikult määratud asutus (TTJA) ja loa saanud vastavushindamisasutused.
• Kui teie ettevõte ise vastavushindamisega ei tegele, puudutab säte teid eelkõige tarnija ja partneri valiku kaudu – kas see, kes teile hindamis- või sertifitseerimisteenust pakub, on selleks õiguspäraselt pädev.

Mida ettevõte peab tegema

1. Selgitage välja, kummal poolel te olete. Esimene samm on ühelauseline otsus: kas ettevõte soovib ise tegutseda vastavushindamisasutusena või on ta pelgalt sertifitseerimis- ja hindamisteenuse tellija. Vastutajaks sobib juhatuse liige või vastavusjuht (compliance-juht) ning tulemus tuleks fikseerida kirjalikult – näiteks lühikese märkusena ettevõtte vastavuse ülevaates või infoturbe halduse dokumendis.

2. Kui soovite tegutseda vastavushindamisasutusena, kaardistage nõuded, mis tulenevad toote nõuetele vastavuse seaduse §-dest 22–31 ja 33 ning § 35 lõikest 1, ning nendega koos määruse (EL) 2019/881 artiklites 60 ja 61, artikli 61 alusel vastu võetud Euroopa Komisjoni rakendusaktis ja määruse lisas toodud erisused. Praktiline väljund on tegevusloa taotlemise ettevalmistus: nõuete loetelu, vastutav isik iga nõude kohta ning tõendusmaterjali kaust (pädevus, sõltumatus, protseduurid). Riiklik küberturvalisuse sertifitseerimise asutus on Tarbijakaitse ja Tehnilise Järelevalve Amet, mistõttu sertifitseerimisraamistikuga seotud suhtluses on tema see asutus, kelle avaldatud korraldusest lähtuda.

3. Kui olete teenuse tellija, lisage hankeprotsessi ja tarnijalepingutesse kontrollküsimus vastavushindamisasutuse õiguspärase staatuse kohta – kas partneril on tegevusluba ja millises ulatuses ta hindamist teha tohib. Vastutajaks on hangete või ostude eest vastutav isik koos infoturbe eest vastutava isikuga; dokumendiks sobib tarnijate register või tarnija hindamise kontrollleht, kuhu märgitakse partneri staatus ja selle kontrollimise kuupäev.

4. Ärge tõlgendage sätteid omal käel üle. Need paragrahvid on menetlus- ja pädevusnormid, mille sisustamine käib viidatud seaduse ja määruse kaudu. Kui tekib kahtlus, kas mingi tegevus loetakse vastavushindamiseks või kas sertifikaat on nõutav, tuginege Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele ning uuendage nende alusel oma sisemist vastavuse ülevaadet.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.