NIS2 tervishoiusektoris Eestis: seitsmesammuline teekaart küberturvalisuse seaduse järgi
Teekaart koondab seitse sammu, mis tulenevad küberturvalisuse seadusest (KüTS). Seadus jagab teenuseosutajad kaheks klassiks — ülioluline üksus ja oluline üksus (KüTS § 3 lg 1) — ning tervishoiuga seotud üksustest nimetab oluliste üksuste hulgas muu hulgas perearstiabi osutaja tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja (KüTS § 3 lg 4 p 5). Pädeva asutuse ja järelevalveasutuse ülesandeid täidab Riigi Infosüsteemi Amet (KüTS § 5 lg 3).
Tasuta kohalduvuse kontroll võtab umbes kolm minutit. Täielik NIS2 dokumendipakett valmib tavaliselt tunni jooksul pärast maksmist — mitte päevade või nädalatega.
See juhend kirjeldab seaduse nõudeid üldisel tasemel ega ole õigusnõuanne. Kohalduvus sõltub ettevõtte profiilist (sektor, suurus, teenused) — tasuta kohalduvuse kontroll näitab, kas ja millises ulatuses seadus sinu ettevõttele kohaldub.
1. Kohalduvuse kontroll: kas seadus üksust puudutab
KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Üliolulisena käsitatakse muu hulgas elutähtsa teenuse osutajat hädaolukorra seaduse tähenduses (KüTS § 3 lg 2 p 2), samuti KüTS § 3 lõikes 3 loetletud tegevusaladel tegutsevat üksust, kellel on majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot; sellesse loetellu kuuluvad näiteks rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja, põhifarmaatsiatoote ja ravimpreparaadi tootja ning ravimi uurimise ja arendamisega tegelev üksus. Olulise üksusena nimetab seadus otsesõnu perearstiabi osutaja, kes ei ole elutähtsa teenuse osutaja (KüTS § 3 lg 4 p 5), ning meditsiiniseadme ja in vitro diagnostikameditsiiniseadme tootja, kellel on 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot (KüTS § 3 lg 5 p 4). Töötajate arvu ning bilansi- ja käibenäitajate kindlakstegemisel kehtivad KüTS § 3 lõigetes 6 ja 7 sätestatud erisused.
EMTAK 21101 — Põhifarmaatsiatoodete tootmineEMTAK 21201 — Ravimpreparaatide tootmineEMTAK 86101 — HaiglaraviEMTAK 86211 — ÜldarstiabiEMTAK 86221 — EriarstiabiEMTAK 86231 — Hambaravi
Vaata ka sektori lehte: Tervishoid · NIS2 üksuseklassid — Eesti
2. Juhtorgani roll ja koolitus
Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist ning üksust võib artikli 21 rikkumise eest vastutusele võtta. Koolituse mõõde tuleneb meetmete kataloogist: direktiivi artikli 21 lõike 2 punkt g loeb nõutavate meetmete hulka küberhügieeni põhitavad ja küberturvalisuse koolituse. KüTS § 7 lõike 2 punkt 4 seob meetmete proportsionaalsuse muu hulgas teenuseosutaja suuruse ja riskidele avatuse määraga, mistõttu juhtimistasandi otsused meetmete ulatuse üle on osa seadusest tulenevast raamistikust.
3. Riskianalüüs kui meetmete alus
KüTS § 7 lõike 1 punkt 1 sätestab, et teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid teenuse osutamisel kasutatava süsteemi turvalisust ohustavate riskide haldamiseks ja koostab selleks riskianalüüsi. Direktiivi artikli 21 lõike 2 punkt a nimetab riskianalüüsi ja infosüsteemide turbe põhimõtted meetmete esimese elemendina. Riskianalüüs on ka intsidendi hindamise mõõdupuu: KüTS § 8 lõike 2 punkti 1 järgi on küberintsidendil oluline mõju siis, kui selle mõju on riskianalüüsis määratud tagajärgede raskusastme kohaselt vähemalt raske.
Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
4. Turvameetmete kataloog
KüTS § 7 lõige 1 nõuab meetmeid, mis haldavad riske, ennetavad või vähendavad küberintsidendi mõju teenuse saajale ja muule teenusele ning aitavad küberintsidenti ennetada, tuvastada ja lahendada; lõige 2 lisab, et arvestatakse ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid, proportsionaalsust ning ohte terviklikult hõlmavat lähenemisviisi. Direktiivi artikli 21 lõige 2 loetleb miinimumsisu, mille hulka kuuluvad intsidentide käsitlemine, talitluspidevus koos varunduse ja avariitaastega, tarneahela turvalisus, süsteemide hankimise ja hoolduse turvalisus, meetmete tõhususe hindamine, krüptograafia kasutamise põhimõtted, personali turvalisus ja juurdepääsukontroll ning kohasel juhul mitmikautentimine. Seadus kohtleb kõiki teenuseosutajaid ühetaoliselt: KüTS § 7 lõike 5 alusel kehtestatakse Eesti infoturbestandard ja turvameetmete nõuded, kusjuures lõike 6 kohaselt võib määruses arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid ning lõike 7 kohaselt lähtub direktiivi artikli 21 lõikes 5 osutatud rakendusaktis nimetatud teenuseosutaja selle rakendusakti nõuetest. Kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse mujal, vastutab teenuseosutaja KüTS § 7 lõike 3 järgi selle eest, et turvameetmed on ka seal rakendatud.
5. Küberintsidendist teavitamine ja tähtajad
KüTS § 8 lõike 1 kohaselt esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist. Intsidenditeate, millega esmase teate teavet ajakohastatakse, esitab teenuseosutaja viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (KüTS § 8 lg 4¹); ameti taotlusel lisandub enne lõppraportit vahearuanne lahendamise seisu kohta (KüTS § 8 lg 4³). Lõppraport esitatakse ühe kuu jooksul intsidenditeate esitamisest arvates ning kui intsident on selleks ajaks lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (KüTS § 8 lg 7). Küberintsidentide käsitlemise üksuse ehk CSIRT-i ülesandeid täidab Riigi Infosüsteemi Amet (KüTS § 5 lg 3 p 3), kus seda rolli kannab CERT-EE.
NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
6. Dokumenteerimine ja andmete esitamine
Dokumenteeritud kujul eeldab seadus eelkõige riskianalüüsi, mille koostamine on sätestatud KüTS § 7 lõike 1 punktis 1 ja millele viitab intsidendi olulise mõju hindamine (KüTS § 8 lg 2 p 1 ja 4), sealhulgas teenuse toimepidevuse või süsteemi turvalisuse taastamist kirjeldav dokument. KüTS § 7 lõike 5 alusel kehtestatud infoturbe halduse nõuete üldnimetus on Eesti infoturbestandard ning selle § 1 lõike 1 järgi järgib teenuse osutaja seda standardit ja rakendab sellest tulenevaid turvameetmeid. Eraldi andmekoosseisu näeb ette KüTS § 3¹ lõige 1: Riigi Infosüsteemi Ametile esitatakse nimekirja koostamiseks nimi ja registrikood, tegevuskoha aadress ja ajakohased kontaktandmed ning asjakohasel juhul teave sektori ja allsektori ning teenuste osutamise riikide kohta. Nende andmete muutumisest teavitatakse ametit viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (KüTS § 3¹ lg 4).
Pakett sisaldab:
- Küberturvalisuse riskijuhtimise poliitika
- Intsidentide käsitlemise plaan
- Äritegevuse järjepidevuse plaan
- Tarneahela turvalisuse poliitika
- Juhtkonna vastutuse avaldus ja koolituskorraldus
- Täitmisabiline portaalis
Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused
7. Rahatrahvide ülemmäärad
KüTS §-s 7 või §-s 8 sätestatud nõuete rikkumise eest üliolulise üksuse poolt on rahatrahvi ülemmäär kuni 10 000 000 eurot (KüTS § 18² lg 1); juriidilise isiku puhul on ülemmäär kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2). Olulise üksuse puhul on vastavad ülemmäärad kuni 7 000 000 eurot (KüTS § 18³ lg 1) ning juriidilise isiku puhul kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18³ lg 2). Nende väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1) ja aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).
Korduvad küsimused
Kas perearstiabi osutaja kuulub küberturvalisuse seaduse kohaldamisalasse?
KüTS § 3 lõike 4 punkt 5 nimetab olulise üksusena perearstiabi osutaja tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja. Elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses on KüTS § 3 lõike 2 punkti 2 järgi ülioluline üksus.
Millised tähtajad kehtivad küberintsidendist teavitamisel?
Esmane teade esitatakse Riigi Infosüsteemi Ametile viivitamata, kuid hiljemalt 24 tundi pärast intsidendist teada saamist (KüTS § 8 lg 1). Intsidenditeade esitatakse viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (KüTS § 8 lg 4¹), ning lõppraport ühe kuu jooksul intsidenditeate esitamisest arvates (KüTS § 8 lg 7).
Kes teeb Eestis järelevalvet ja kellele esitatakse andmed nimekirja jaoks?
Pädeva asutuse, ühtse kontaktpunkti, kriiside ohjamise ja küberintsidentide käsitlemise üksuse ülesandeid täidab Riigi Infosüsteemi Amet (KüTS § 5 lg 3). Samale asutusele esitab teenuseosutaja KüTS § 3¹ lõikes 1 nimetatud andmed ja amet koostab teenuseosutajate nimekirja iga kahe aasta järel (KüTS § 3¹ lg 2).
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 702d0f8157dc).