Eesti NIS2 seadus (KüTS): täielik juhend ettevõtte juhile

Mis on küberturvalisuse seadus (KüTS) ja millal see jõustub?

Eesti riiklik NIS2-raamistik on küberturvalisuse seadus (KüTS), mis võtab üle Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv). Seadus sätestab ühiskonna toimimise seisukohast ülioluliste ja oluliste üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve (§ 1 lg 1).

Oluline osa KüTS-i ajakohastatud sätetest jõustus 01.01.2026 (RT I, 30.12.2025, 4), sealhulgas teavitamiskohustuse (§ 3¹), turvameetmete (§ 7) ja intsidenditeavituse (§ 8) täpsustatud regulatsioon.

Seadust ei kohaldata teatud valdkondadele, näiteks:

• riigisaladuse ja salastatud välisteabe töötlemisele ning selliste süsteemide pidamisele;
• Kaitseministeeriumi valitsemisalas rahvusvaheliseks sõjaliseks koostööks ja riigi sõjalise kaitse ettevalmistamiseks vajalike süsteemide pidamisele;
• Eesti diplomaatilistele ja konsulaaresindustele kolmandates riikides.

Usaldusteenuse osutajale neid erisusi ei kohaldata (§ 1 lg 2¹).

Kes kuulub kohaldamisalasse? Ülioluline ja oluline üksus

KüTS eristab kahte kategooriat (§ 3 lg 1):

• ülioluline üksus (essential) — ühiskonna toimimise seisukohast ülioluline üksus;
• oluline üksus (important) — ühiskonna toimimise seisukohast oluline üksus.

Ülioluliseks üksuseks loetakse muu hulgas (§ 3 lg 2):

• domeeninimede süsteemi teenuse osutaja;
• elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kvalifitseeritud usaldusteenuse osutaja;
• tippdomeeninimede registri pidaja.

Lisaks loetakse üliolulise üksuseks § 3 lg 3 loetletud tegevusalade (nt elektri-, gaasi-, panga-, tervishoiu-, transpordi- ja pilvandmetöötlussektor) üksus, kellel on 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot.

Oluliseks üksuseks loetakse muu hulgas (§ 3 lg 4):

• andmekogu vastutav ja volitatud töötleja avaliku teabe seaduse tähenduses;
• avalik-õiguslik juriidiline isik;
• usaldusteenuse osutaja (v.a kvalifitseeritud usaldusteenuse osutaja);
• üksus § 3 lg 3 tegevusalal, kellel on 50 või rohkem töötajat ning aastabilansimaht või aastakäive ületab 10 miljonit eurot.

Lisaks loetakse oluliseks üksuseks § 3 lg 5 loetletud sektorite (nt jäätmekäitlus, toidutööstus, postiteenus, teadusasutused, internetipõhised platvormid) üksus, kellel on 50 või rohkem töötajat ning aastabilansimaht või aastakäive ületab 10 miljonit eurot.

Oluline nüanss suuruse arvestamisel: partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (§ 3 lg 7).

Teavitamiskohustus RIA-le ja selle tähtaeg

Eesti "registreerimisnõue" on sätestatud § 3¹-s. Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab Riigi Infosüsteemi Ametile (RIA) nimekirja koostamiseks vähemalt järgmise teabe (§ 3¹ lg 1):

• nimi ja registrikood;
• tegevuskoha aadress ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid;
• asjakohasel juhul direktiivi (EL) 2022/2555 I või II lisas osutatud sektor ja allsektor;
• asjakohasel juhul nende riikide loetelu, kus üksus osutab direktiivi kohaldamisalasse kuuluvaid teenuseid.

RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2); nimekiri on asutusesiseseks kasutamiseks mõeldud teave (§ 3¹ lg 3). Kõikidest esitatud teabe muudatustest tuleb RIA-t teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lg 4).

Üleminekutähtaeg: teenuseosutaja, kes vastas tunnustele enne § 3¹ lg 1 jõustumist (01.01.2026), täidab teavitamiskohustuse kolme kuu jooksul jõustumisest arvates — st hiljemalt 01.04.2026. RIA koostab esimese nimekirja kuue kuu jooksul viidatud lõike jõustumisest (§ 20 lg 1). Andmete esitamisel võib juhinduda Euroopa Komisjoni suunistest ja vormidest (§ 3¹ lg 9).

Riskijuhtimismeetmete kümme valdkonda — kontroll-loend

KüTS § 7 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, sealhulgas koostab riskianalüüsi (§ 7 lg 1). Meetmete valikul arvestatakse muu hulgas ajakohaseid standardeid, rakendamise kulusid ja proportsionaalsust (§ 7 lg 2).

Direktiivi (EL) 2022/2555 art 21(2) loetleb kõiki ohte hõlmava lähenemisviisi alusel meetmed, mis peavad hõlmama vähemalt järgmist. Kasuta seda kontroll-loendina:

• a) riskianalüüs ja infosüsteemide turbe põhimõtted;
• b) intsidentide käsitlemine;
• c) talitluspidevus, näiteks varundushaldus ja avariitaaste, ning kriisiohje;
• d) tarneahela turvalisus, sealhulgas suhted otseste tarnijate ja teenuseosutajatega;
• e) võrgu- ja infosüsteemide hankimise, arendamise ja hooldamise turvalisus, sealhulgas nõrkuste käsitlemine ja avalikustamine;
• f) tööpõhimõtted ja menetluskord riskijuhtimismeetmete tõhususe hindamiseks;
• g) küberhügieeni põhitavad ja küberturvalisuse koolitus;
• h) krüptograafia ja, kui kohane, krüpteerimise kasutamise põhimõtted ja menetlused;
• i) personali turvalisus, juurdepääsukontrolli põhimõtted ja varade haldus;
• j) kui kohane, mitmikautentimise või pidevautentimise lahendused, turvaline hääl-, video- ja tekstiside ning turvalised hädaolukorra sidesüsteemid.

Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja ise selle eest, et teine isik tagab turvameetmete rakendamise (§ 7 lg 3).

Kui üksus leiab, et ta ei järgi art 21(2) meetmeid, peab ta põhjendamatu viivituseta võtma kõik vajalikud, asjakohased ja proportsionaalsed parandusmeetmed (art 21(4)).

Intsidenditeavituse kohustused ja tähtajad

Olulise mõjuga küberintsidendist teavitamine käib Riigi Infosüsteemi Ameti (RIA) kaudu. KüTS § 8 tähtajad on järgmised:

Esmane teade tuleb esitada nii intsidendi puhul, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju, kui ka juhul, kui oluline mõju ei ole ilmne, kuid seda võib mõistlikult eeldada (§ 8 lg 1).

Küberintsidendil on oluline mõju muu hulgas siis, kui riskianalüüsis määratud tagajärgede raskusaste on vähemalt raske, kui teenuse osutamist ei saa jätkata lubatud katkestuse aja möödumisel, kui häiritud on teise teenuseosutaja teenuse toimepidevus või kui on tekkinud või võib tekkida märkimisväärne kahju (§ 8 lg 2). Kui intsident on häirinud teenust veel vähemalt ühes ELi liikmesriigis, loetakse see alati oluliseks (§ 8 lg 3).

Kui lõppraporti esitamise ajaks ei ole intsidenti veel lahendatud, käsitatakse raportit vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7). Vajaduse korral teavitab teenuseosutaja ka mõjutatud isikuid või avalikkust (§ 8 lg 5).

Trahvid ja juhtkonna vastutus

KüTS-i nõuete rikkumise eest — sealhulgas § 7 turvameetmed ja § 8 teavituskohustused — on ette nähtud järgmised rahatrahvid:

• Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2).
• Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).

Juhtkonna vastutus. Direktiivi (EL) 2022/2555 art 20(1) kohaselt peavad üksuse juhtorganid kiitma heaks küberturvalisuse riskijuhtimismeetmed, jälgima nende rakendamist, ning neid üksusi võib võtta vastutusele art 21 rikkumise eest. See tähendab, et küberturvalisus on juhi teema, mitte üksnes IT-osakonna ülesanne.

Järelevalveasutus RIA ja mida järelevalve tähendab

Eesti NIS2/KüTS pädev asutus ja järelevalveasutus on Riigi Infosüsteemi Amet (RIA). KüTS § 5 lg 3 järgi täidab RIA direktiivi (EL) 2022/2555:

• artikli 8 pädeva asutuse ja ühtse kontaktpunkti ülesandeid;
• artikli 9 ulatuslike küberintsidentide ja kriiside ohjamise eest vastutava pädeva asutuse ülesandeid;
• artikli 10 küberintsidentide käsitlemise üksuse (CSIRT) ülesandeid;
• artikli 12 turvahaavatavuse koordineeritult avaldamise koordinaatori ülesandeid.

Eesti riiklik CSIRT on CERT-EE — RIA intsidentide käsitlemise osakond, mis täidab art 10 CSIRT-i ülesandeid (§ 5 lg 3 p 3) ja on küberintsidendi teadete adressaat (§ 8 lg 1). Teavituskanal on https://raport.cert.ee/ (e-post cert@cert.ee, telefon +372 663 0299); CERT-EE jälgib Eesti küberruumi ööpäev läbi.

RIA on ka KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja. Praktikas tähendab järelevalve seda, et üksus peab suutma tõendada oma riskianalüüsi ja turvameetmete olemasolu (§ 7), täitma teavitamiskohustust (§ 3¹) ja intsidenditeavitust (§ 8) ning reageerima RIA teabepäringutele.

Kontakt: Riigi Infosüsteemi Amet, e-post ria@ria.ee, telefon +372 663 0200, veeb https://www.ria.ee/.

Kust alustada: tee kiire kohaldamisala- ja lünga-analüüs

Juhi jaoks on esimene samm kindlaks teha, kas ja millisesse kategooriasse teie ettevõte kuulub — ülioluline üksus või oluline üksus (§ 3) — ning kas kehtib teavitamiskohustuse üleminekutähtaeg 01.04.2026 (§ 28¹ lg 1).

Soovitatav tegevuskava:

1. Klassifitseeri ettevõte § 3 sektorite ja suuruskünniste (töötajate arv, käive/bilansimaht) alusel. 2. Registreeri end RIA-le § 3¹ lg 1 kohaselt ja hoia kontaktandmed ajakohasena (muudatustest teata 2 nädala jooksul). 3. Kaardista riskijuhtimismeetmed art 21(2) kümne valdkonna kontroll-loendi alusel ja tuvasta lüngad. 4. Valmista ette intsidenditeavituse protsess (24h / 72h / 1 kuu) koos vastutavate isikute ja kanaliga raport.cert.ee. 5. Kaasa juhtkond — art 20(1) järgi vastutab juhtorgan meetmete heakskiitmise ja jälgimise eest.

Alustamiseks kasuta meie tasuta scoping- ja lünga-tööriista, mis aitab kiiresti hinnata teie kohaldamisala ja valmisolekut. Konkreetsete õiguslike hinnangute puhul soovitame kaasata ka partner-juristi.