NIS2 samm-sammult transpordisektoris: mida küberturvalisuse seadus Eestis nõuab
Teekaart koosneb seitsmest sammust ja tugineb küberturvalisuse seadusele (KüTS), mille järelevalveasutus on Riigi Infosüsteemi Amet. Seadus eristab kahte kohustatud klassi: ülioluline üksus ja oluline üksus (KüTS § 3 lg 1). Transpordi tegevusalad on loetletud KüTS § 3 lõikes 3 ning klassi määravad seaduses sätestatud töötajate arvu ja majandusnäitajate künnised.
Tasuta kohalduvuse kontroll võtab umbes kolm minutit. Täielik NIS2 dokumendipakett valmib tavaliselt tunni jooksul pärast maksmist — mitte päevade või nädalatega.
See juhend kirjeldab seaduse nõudeid üldisel tasemel ega ole õigusnõuanne. Kohalduvus sõltub ettevõtte profiilist (sektor, suurus, teenused) — tasuta kohalduvuse kontroll näitab, kas ja millises ulatuses seadus sinu ettevõttele kohaldub.
1. Kas ja millal seadus kohaldub
Küberturvalisuse seadus nimetab teenuseosutajaks üliolulise üksuse ja olulise üksuse (KüTS § 3 lg 1). Transpordi tegevusalad on loetletud KüTS § 3 lõikes 3 — sealhulgas ärilise lennutranspordiga tegelev lennuettevõtja, lennujaama haldaja ja lennujuhtimise teenust osutav lennuliikluskorraldusettevõtja, raudteeinfrastruktuuri- ja raudteeveoettevõtja koos teenindusrajatise käitajaga, sadama pidaja või sadamarajatise valdaja, veeliikluse juhtimise keskus, intelligentse transpordisüsteemi käitaja ning reisijate ja kauba vedamisega sisevetes, merel ja rannavetes tegelev ettevõtja. Nendel tegevusaladel loeb seadus üksuse ülioluliseks üksuseks siis, kui tal on majandusaasta jooksul 250 või rohkem töötajat ja aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot. Sama tegevusala väiksem ettevõte on oluline üksus, kui töötajaid on 50 või rohkem ning aastabilansimaht või aastakäive ületab 10 miljonit eurot (KüTS § 3 lg 4 p 8).
EMTAK 49111 — Sõitjatevedu raudteelEMTAK 49201 — Kauba raudteeveduEMTAK 50101 — Sõitjate liinivedu merel ja rannavetesEMTAK 50102 — Sõitjate tellimusvedu merel ja rannavetesEMTAK 50201 — Kaubavedu merel ja rannavetesEMTAK 50301 — Sõitjatevedu sisevetel
Vaata ka sektori lehte: Transport · NIS2 üksuseklassid — Eesti
2. Juhtorgani vastutus ja koolitus
Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab kohustatud üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist. Sama säte näeb ette, et üksust saab meetmete nõuete rikkumise eest vastutusele võtta. Meetmete kohustuslikku sisusse kuuluvad direktiivi artikli 21 lõike 2 punkti g järgi küberhügieeni põhitavad ja küberturvalisuse koolitus. Eesti seaduses on turvameetmete alaline rakendamine teenuseosutaja kohustus KüTS § 7 lõike 1 alusel.
3. Riskianalüüs kohustuste alusena
KüTS § 7 lõike 1 punkt 1 kohustab teenuseosutajat haldama oma tegevuses või teenuse osutamisel kasutatava süsteemi turvalisust ohustavaid riske ja koostama selleks riskianalüüsi. Riskianalüüsi ulatuse kujundamisel arvestatakse KüTS § 7 lõike 2 järgi muu hulgas ettevõtja vajadusi ja turvanõudeid, ajakohaseid standardeid, meetmete kulusid ning proportsionaalsust, sealhulgas riskidele avatuse määra ja ettevõtja suurust. Riskianalüüsil on ka otsene tähendus teavituskohustuse jaoks: KüTS § 8 lõike 2 punkti 1 kohaselt on küberintsidendil oluline mõju, kui selle mõju vastab riskianalüüsis määratud vähemalt raskele tagajärgede raskusastmele. Sama lõike punkt 4 seob olulise mõju ka riskianalüüsis või muus taastamist kirjeldavas dokumendis ette nähtud erakorraliste abinõude rakendamisega.
Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
4. Turvameetmete kogum
KüTS § 7 lõike 1 järgi rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata riske, ennetada või vähendada küberintsidendi mõju teenuse saajatele ja muudele teenustele ning intsidenti ennetada, tuvastada ja lahendada. Direktiivi (EL) 2022/2555 artikli 21 lõige 2 loetleb miinimumsisuna riskianalüüsi ja infosüsteemide turbe põhimõtted, intsidentide käsitlemise, talitluspidevuse ja kriisiohje, tarneahela turvalisuse, süsteemide hankimise, arendamise ja hoolduse turvalisuse, meetmete tõhususe hindamise korra, küberhügieeni ja koolituse, krüptograafia kasutamise põhimõtted, personali turvalisuse ja juurdepääsukontrolli ning kohasel juhul mitmikautentimise ja turvalise side lahendused. Eesti infoturbestandardi § 1 lõike 1 kohaselt järgib teenuseosutaja võrgu- ja infosüsteemi turvalisuse tagamiseks Eesti infoturbestandardit ja rakendab sellest tulenevaid turvameetmeid. Seadus seab põhikohustuse kõigile teenuseosutajatele ühtemoodi ning KüTS § 7 lõike 6 järgi võib määrus turvameetmeid täpsustades võtta arvesse § 3 lõigetes 2–5 nimetatud tegevusalasid; kui süsteemi haldamine on volitatud teisele isikule või süsteem majutatakse mujal, vastutab meetmete rakendamise eest KüTS § 7 lõike 3 kohaselt siiski teenuseosutaja ise.
5. Küberintsidendist teavitamine
Teavituse adressaat on Riigi Infosüsteemi Amet, kes täidab KüTS § 5 lõike 3 järgi ka küberintsidentide käsitlemise üksuse ehk CSIRT-i ülesandeid (CERT-EE). KüTS § 8 lõike 1 järgi esitab teenuseosutaja esmase teate viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist. Esmast teadet ajakohastav intsidenditeade esitatakse KüTS § 8 lõike 4¹ kohaselt viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist. Riigi Infosüsteemi Ameti taotlusel esitatakse enne lõppraportit vahearuanne (KüTS § 8 lg 4³) ning lõppraport esitatakse ühe kuu jooksul intsidenditeate esitamisest arvates; lahendamata intsidendi korral käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (KüTS § 8 lg 7).
NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
6. Dokumentatsioon ja andmete esitamine
Kirjalik dokumentatsioon tuleneb seaduse kohustustest endist: KüTS § 7 lõike 1 punkt 1 eeldab koostatud riskianalüüsi ning KüTS § 8 lõike 2 punkt 4 viitab riskianalüüsile või muule teenuse toimepidevuse ja süsteemi turvalisuse taastamist kirjeldavale dokumendile. Turvameetmete sisu ja halduse nõuded kehtestatakse KüTS § 7 lõike 5 alusel, sealhulgas Eesti infoturbestandard, mille järgimine on ette nähtud Eesti infoturbestandardi § 1 lõikes 1. KüTS § 3¹ lõike 1 kohaselt esitab teenuseosutaja Riigi Infosüsteemi Ametile nimekirja koostamiseks vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed koos e-posti aadresside, internetiprotokolli aadresside vahemike ja telefoninumbritega ning asjakohasel juhul sektori ja allsektori ning teenuseriikide loetelu. Esitatud teabe muudatustest teavitatakse viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (KüTS § 3¹ lg 4).
Pakett sisaldab:
- Küberturvalisuse riskijuhtimise poliitika
- Intsidentide käsitlemise plaan
- Äritegevuse järjepidevuse plaan
- Tarneahela turvalisuse poliitika
- Juhtkonna vastutuse avaldus ja koolituskorraldus
- Täitmisabiline portaalis
Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused
7. Rahatrahvide ülemmäärad
KüTS § 7 ja § 8 nõuete rikkumise eest üliolulise üksuse poolt on rahatrahvi ülemmäär kuni 10 000 000 eurot (KüTS § 18² lg 1). Juriidilise isiku puhul on ülemmäär kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2). Olulise üksuse puhul on vastavad määrad kuni 7 000 000 eurot (KüTS § 18³ lg 1) ning juriidilise isiku puhul kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18³ lg 2). Kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1) ja väärtegude aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).
Korduvad küsimused
Millal on transpordiettevõte ülioluline ja millal oluline üksus?
KüTS § 3 lõikes 3 nimetatud tegevusalal, sealhulgas transpordis, on üksus ülioluline üksus, kui tal on majandusaasta jooksul 250 või rohkem töötajat ja aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot. Sama tegevusala ettevõte, kes neile künnistele ei vasta, on KüTS § 3 lõike 4 punkti 8 järgi oluline üksus, kui tal on 50 või rohkem töötajat ning aastabilansimaht või aastakäive ületab 10 miljonit eurot.
Kellele ja millise tähtajaga esitatakse küberintsidendi teated?
Teated esitatakse Riigi Infosüsteemi Ametile, kes täidab KüTS § 5 lõike 3 kohaselt pädeva asutuse ja küberintsidentide käsitlemise üksuse ülesandeid. Esmane teade esitatakse hiljemalt 24 tundi pärast intsidendist teada saamist (§ 8 lg 1), intsidenditeade hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹) ning lõppraport ühe kuu jooksul intsidenditeate esitamisest (§ 8 lg 7).
Kas turvameetmete nõuded erinevad transpordisektoris teistest sektoritest?
KüTS § 7 lõige 1 seab alaliste, asjakohaste ja proportsionaalsete turvameetmete rakendamise kohustuse kõigile teenuseosutajatele ühtemoodi, sõltumata sektorist. KüTS § 7 lõike 6 järgi võib § 7 lõike 5 alusel kehtestatud määrus meetmeid täpsustades siiski arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid, ning KüTS § 7 lõike 7 kohaselt lähtub Euroopa Liidu rakendusaktis nimetatud teenuseosutaja selle rakendusakti nõuetest.
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 0c83cbfc3855).