NIS2 teekaart joogivee sektorile Eestis: seitse sammu küberturvalisuse seaduse järgi
Teekaart koosneb seitsmest sammust ja tugineb küberturvalisuse seadusele (KüTS), mille üle teeb järelevalvet Riigi Infosüsteemi Amet. Seadus eristab kahte klassi: ülioluline üksus ja oluline üksus (KüTS § 3 lg 1). Joogiveega varustaja ja selle jaotaja on nimetatud KüTS § 3 lõike 3 punktis 37.
Tasuta kohalduvuse kontroll võtab umbes kolm minutit. Täielik NIS2 dokumendipakett valmib tavaliselt tunni jooksul pärast maksmist — mitte päevade või nädalatega.
See juhend kirjeldab seaduse nõudeid üldisel tasemel ega ole õigusnõuanne. Kohalduvus sõltub ettevõtte profiilist (sektor, suurus, teenused) — tasuta kohalduvuse kontroll näitab, kas ja millises ulatuses seadus sinu ettevõttele kohaldub.
1. Kohalduvuse kontroll: kas ettevõte on ülioluline või oluline üksus
Küberturvalisuse seaduse § 3 lõike 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. KüTS § 3 lõike 3 punkt 37 nimetab joogiveega varustajat ja selle jaotajat veeseaduse § 17 lõike 1 tähenduses, jättes välja jaotaja, kelle jaoks joogivee jaotamine on muude tarbekaupade tarnimise kõrval vähetähtis osa. Sama lõike sissejuhatava osa kohaselt on selline üksus ülioluline üksus, kui tal on majandusaasta jooksul 250 või rohkem töötajat ning bilansimaht üle 43 miljoni euro või käive üle 50 miljoni euro. KüTS § 3 lõike 4 punkt 8 loeb oluliseks üksuseks lõikes 3 nimetatud tegevusalaga üksuse, kes ei ole ülioluline üksus ning kellel on 50 või rohkem töötajat ja bilansimaht või käive üle 10 miljoni euro.
EMTAK 36001 — Veekogumine, -töötlus ja -varustusEMTAK 36002 — Olmeveega varustamine
Vaata ka sektori lehte: Joogivesi · NIS2 üksuseklassid — Eesti
2. Juhtorgani vastutus ja koolitus
Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist. Sama säte näeb ette, et üksust saab artiklis 21 sätestatu rikkumise eest vastutusele võtta. Küberhügieeni põhitavad ja küberturvalisuse koolitus kuuluvad direktiivi artikli 21 lõike 2 punkti g järgi meetmete hulka, mida üksus rakendab. KüTS § 7 lõike 3 järgi jääb süsteemi halduse teisele isikule volitamise või teise isiku juures majutamise korral vastutus turvameetmete rakendamise eest teenuseosutajale.
3. Riskianalüüs kui meetmete alus
KüTS § 7 lõike 1 punkt 1 kohustab teenuseosutajat haldama oma tegevuses või teenuse osutamisel kasutatava süsteemi turvalisust ohustavaid riske ja koostama selleks riskianalüüsi. Analüüsi ulatuse ja sügavuse juures arvestatakse KüTS § 7 lõike 2 kohaselt muu hulgas üksuse turvavajadusi, ajakohaseid standardeid, meetmete kulusid ja proportsionaalsust. Riskianalüüsi tulemus mõjutab ka teavituskohustust, sest KüTS § 8 lõike 2 punkti 1 järgi loetakse mõju oluliseks, kui see vastab riskianalüüsis määratud vähemalt raskele tagajärgede astmele. Eesti infoturbestandardi § 1 lõike 1 järgi järgib teenuse osutaja süsteemi turvalisuse tagamisel E-ITS-i ja sellest tulenevaid turvameetmeid.
Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
4. Turvameetmete kataloog
KüTS § 7 lõike 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid riskide haldamiseks, küberintsidendi mõju ennetamiseks või vähendamiseks ning intsidendi ennetamiseks, tuvastamiseks ja lahendamiseks. Direktiivi (EL) 2022/2555 artikli 21 lõige 2 loetleb meetmete miinimumsisu punktides a–j, kuhu kuuluvad muu hulgas riskianalüüs ja infosüsteemide turbe põhimõtted, intsidentide käsitlemine, talitluspidevus, tarneahela turvalisus, krüptograafia kasutamise põhimõtted ning juurdepääsukontroll. KüTS ei sätesta joogivee valdkonnale eraldi meetmete loetelu, vaid seab § 7 lõikes 1 samad nõuded kõigile teenuseosutajatele. Täpsemad nõuded kehtestatakse KüTS § 7 lõike 5 alusel määrusega ja sama paragrahvi lõike 6 kohaselt võib määruses arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid.
5. Küberintsidendist teavitamine ja tähtajad
KüTS § 8 lõike 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist. KüTS § 8 lõige 4¹ näeb ette intsidenditeate, mis esitatakse viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist ja millega varasemat teavet ajakohastatakse. Ameti taotlusel esitatakse enne lõppraportit vahearuanne intsidendi lahendamise seisu kohta (KüTS § 8 lg 4³). Lõppraport esitatakse KüTS § 8 lõike 7 järgi ühe kuu jooksul intsidenditeate esitamisest, ning kui intsident on veel lahendamata, loetakse esitatu vahearuandeks ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist. Teated võtab vastu Riigi Infosüsteemi Amet, kes täidab KüTS § 5 lõike 3 punkti 3 alusel küberintsidentide käsitlemise üksuse ülesandeid.
NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
6. Dokumentatsioon ja andmete esitamine
KüTS § 7 lõike 1 punkt 1 eeldab vormistatud riskianalüüsi, millele viitavad ka KüTS § 8 lõike 2 punktid 1 ja 4, kus kõneldakse riskianalüüsis määratud tagajärgede raskusastmest ja seal või muus taastamist kirjeldavas dokumendis toodud erakorralistest abinõudest. Eesti infoturbestandardi § 1 lõike 1 kohaselt järgib teenuse osutaja infoturbe halduses E-ITS-i, mille nõuded kehtestatakse KüTS § 7 lõike 5 alusel. KüTS § 3¹ lõike 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile nimekirja koostamiseks nime ja registrikoodi, tegevuskoha aadressi ning ajakohased kontaktandmed koos e-posti aadresside, internetiprotokolli aadresside vahemike ja telefoninumbritega. Nende andmete muutumisest teavitatakse sama paragrahvi lõike 4 kohaselt viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist.
Pakett sisaldab:
- Küberturvalisuse riskijuhtimise poliitika
- Intsidentide käsitlemise plaan
- Äritegevuse järjepidevuse plaan
- Tarneahela turvalisuse poliitika
- Juhtkonna vastutuse avaldus ja koolituskorraldus
- Täitmisabiline portaalis
Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused
7. Rahatrahvide ülemmäärad
KüTS § 18² lõike 2 kohaselt karistatakse juriidilisest isikust üliolulist üksust § 7 ja § 8 nõuete rikkumise eest rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, kohaldub suurem summa. Olulise üksuse puhul on KüTS § 18³ lõikes 2 sätestatud määr kuni 7 000 000 eurot või kuni 1,4 protsenti samast käibest, samuti suurema summa järgi. Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1). Aegumistähtaeg on KüTS § 19 lõike 4 järgi kolm aastat.
Korduvad küsimused
Millise sätte alusel kuulub joogiveega varustaja küberturvalisuse seaduse alla?
Tegevusala on nimetatud KüTS § 3 lõike 3 punktis 37, mis hõlmab joogiveega varustajat ja selle jaotajat veeseaduse § 17 lõike 1 tähenduses. Välja jääb jaotaja, kelle puhul joogivee jaotamine moodustab muude kaupade tarnimise kõrval vähetähtsa osa. Sõltuvalt suurusnäitajatest on üksus kas ülioluline üksus (KüTS § 3 lg 3) või oluline üksus (KüTS § 3 lg 4 p 8).
Kas seadus võib kohalduda ka väiksemale joogivee-ettevõttele?
KüTS § 3 lõike 2 punkt 2 loeb üliolulisteks üksusteks elutähtsa teenuse osutajad hädaolukorra seaduse tähenduses, sõltumata lõikes 3 nimetatud suurusnäitajatest. Lisaks ei arvestata KüTS § 3 lõike 7 järgi partner- või sidusettevõtja andmeid, kui üksus on teenuste osutamisel kasutatavate süsteemide poolest neist sõltumatu.
Kellele esitatakse küberintsidendi teated Eestis?
Teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1). Amet täidab KüTS § 5 lõike 3 alusel direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti ning artikli 10 küberintsidentide käsitlemise üksuse ülesandeid. Esitatavate andmete koosseisu ja korra kehtestab KüTS § 8 lõike 8 järgi valdkonna eest vastutav minister määrusega.
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 2182f6c0dcc9).