KüTS § 28¹: tegevuse kooskõlla viimine NIS2 ülevõtmisega

Õiguslik alus (KüTS)

KüTS § 28¹ lg 1

> (1) Teenuseosutaja, kes vastas enne käesoleva seaduse § 3 1 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab nimetatud lõikes sätestatud kohustuse kolme kuu jooksul viidatud lõike jõustumisest arvates.

KüTS § 28¹ lg 2

> (2) Digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 4 lõike 7 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul käesoleva seaduse § 4 lõike 7 jõustumisest arvates.

KüTS § 28¹ lg 3

> (3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 3 1 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse kolme aasta jooksul viidatud lõike jõustumisest arvates. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab teenuseosutaja nimetatud lõigetes määratud tähtajal.

KüTS § 28¹ lg 4

> (4) Elutähtsa teenuse osutaja, kellel tekkis esmakordselt käesoleva seaduse järgimise kohustus pärast 2024. aasta 18. oktoobrit ja kes vastas enne käesoleva seaduse § 3 1 lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 1 3 punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa teenuse osutaja nimetatud lõigetes määratud tähtajal. [ RT I, 30.12.2025, 4 - jõust. 01.01.2026]

Mida see praktikas tähendab

KüTS § 28¹ on üleminekusäte. See ei lisa uusi sisulisi turvanõudeid, vaid ütleb, kui palju aega on nendel ettevõtetel ja asutustel, kes juba enne uute sätete jõustumist vastasid seaduses sätestatud teenuseosutaja tunnustele. Lihtsalt öeldes: kui sinu organisatsioon oli juba varem seaduse mõistes teenuseosutaja, ei pea sa kõike tegema jõustumise päeval — seadus annab selgelt piiritletud üleminekuaja. Säte jõustus 1. jaanuaril 2026.

Tähtajad jagunevad kaheks erinevaks kiirusklassiks:

• Kolm kuud — teenuseosutaja, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lõike 1 jõustumist, täidab selles lõikes sätestatud kohustuse kolme kuu jooksul viidatud lõike jõustumisest arvates (lg 1).
• Kolm kuud — digitaalse teenuse osutaja, kes vastas tunnustele juba enne § 4 lõike 7 jõustumist, täidab § 4 lõigetes 1 ja 10 sätestatud kohustused kolme kuu jooksul § 4 lõike 7 jõustumisest arvates (lg 2).
• Kolm aastat — teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib oma tegevuse seaduse ja selle alusel kehtestatud nõuetega vastavusse kolme aasta jooksul § 3¹ lõike 1 jõustumisest arvates (lg 3).

Oluline nüanss: pikem, kolmeaastane tähtaeg ei pikenda lühemaid tähtaegu. Lõige 3 ütleb otsesõnu, et lõigetes 1 ja 2 sätestatud kohustused tuleb täita nendes lõigetes määratud tähtajal. Praktikas tähendab see kahetasandilist ajakava: kõigepealt teatud vormilised kohustused kolme kuu jooksul, seejärel sisuline vastavusse viimine kuni kolme aasta jooksul.

Eraldi reegel kehtib elutähtsa teenuse osutajale, kellel tekkis esmakordselt selle seaduse järgimise kohustus pärast 2024. aasta 18. oktoobrit ja kes vastas teenuseosutaja tunnustele juba enne § 3¹ lõike 1 jõustumist. Tema puhul ei kohaldu kolmeaastane tähtaeg, vaid tegevus viiakse nõuetega vastavusse hädaolukorra seaduse § 38 lõike 1³ punktis 3 sätestatud korras määratud tähtajal. Ka temal tuleb lõigetes 1 ja 2 nimetatud kohustused täita nendes lõigetes määratud tähtajal.

Mida ettevõte peab tegema

Esimene samm — tuvasta, kas § 28¹ üldse puudutab sind. Võtmeküsimus on ajaline: kas organisatsioon vastas seaduses sätestatud teenuseosutaja tunnustele juba enne § 3¹ lõike 1 (digitaalse teenuse osutajal § 4 lõike 7) jõustumist? Kui vastus on jaatav, kohaldub sulle üleminekurežiim. Kui organisatsioon hakkas tunnustele vastama alles hiljem, ei saa sa nendele üleminekutähtaegadele tugineda. Vormista see hinnang lühikese kirjaliku märkmena — kuupäev, tunnustele vastavuse põhjendus ja järeldus — et hiljem oleks võimalik näidata, millisest tähtajast lähtusid.

Teine samm — pane paika kaks kuupäeva ja kanna need juhtkonna kalendrisse. Arvuta välja (a) kolme kuu tähtaja lõpp asjakohase lõike jõustumisest arvates ning (b) kolme aasta tähtaja lõpp § 3¹ lõike 1 jõustumisest arvates. Elutähtsa teenuse osutaja, kellel tekkis kohustus esmakordselt pärast 2024. aasta 18. oktoobrit, märgib pikema tähtaja asemel selle tähtaja, mis määratakse hädaolukorra seaduse § 38 lõike 1³ punktis 3 sätestatud korras. Vastutus tuleks määrata nimeliselt — tüüpiliselt juhatuse liige koos infoturbe eest vastutava isikuga — sest kolme kuu tähtaeg möödub kiiresti ja seda ei saa kolmeaastase tähtajaga edasi lükata.

Kolmas samm — koosta üleminekukava. See on üks dokument, mis sisaldab: nimekirja lõigetes 1 ja 2 nimetatud kohustustest koos lühema tähtajaga; ülevaadet praegusest olukorrast võrreldes seaduse ja selle alusel kehtestatud nõuetega; puuduste kaupa vastutajat, eelarvet ja valmimise kuupäeva pikema tähtaja sees; ning vahe-eesmärke, et kolmeaastane tähtaeg ei kuluks ootamisele. Vaata kava juhtkonnas üle regulaarselt ja säilita versioonid — need tõendavad, et vastavusse viimine toimus tähtaja jooksul järjepidevalt.

Neljas samm — kontrolli tõlgendus üle ametliku juhise vastu. Kui tekib kahtlus, millal täpselt tunnustele vastavus tekkis või milline tähtaeg konkreetselt kohaldub, tugine Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele ja selgitustele ning vajaduse korral pöördu täpsustava küsimusega RIA poole. Dokumenteeri saadud vastus koos üleminekukavaga samasse kausta.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.