Reglyze
← Tagasi Reglyze'i
Üle võetud ja kohaldatav

NIS 2 Eestis: küberturvalisuse seadus

Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid (§ 7 lõige 1). Küberintsidendist teavitatakse Riigi Infosüsteemi Ametit ja tähtaegu arvestatakse küberintsidendist teada saamisest. Nõuded kehtestatakse määrusega, nende hulgas Eesti infoturbestandard (§ 7 lõige 5). Reglyze hindab organisatsioone NIS 2 direktiivi nõuete alusel, mitte Eesti infoturbestandardi (E-ITS) järgi.

Olek: konsolideeritud tekst RT I, 06.10.2026, 2, sõnastus jõustus 16. oktoobril 2026; § 7 lõike 5 alusel kehtestatud määruste sisu ei ole Reglyze'i allikmaterjalides

Põhiline lühidalt

Ülevõttev õigusakt

Küberturvalisuse seadus (KüTS), muudetud seadusega RT I, 30.12.2025, 4

Jõus alates: 2026-01-01

Pädev asutus

Riigi Infosüsteemi Amet (RIA)

https://www.riigiteataja.ee/akt/106102026002
Turvameetmed

KüTS § 7

Teenuseosutaja koostab riskianalüüsi (§ 7 lõike 1 punkt 1). Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik tagab süsteemi turvameetmete rakendamise (§ 7 lõige 3). Määratud juhatuse liige kiidab turvameetmed heaks (§ 6¹ lõige 1).

Keda see puudutab?

Üliolulised üksused

Suurusest sõltumata on ülioluline üksus domeeninimede süsteemi teenuse osutaja, elutähtsa teenuse osutaja kriisiolukorra ja riigikaitse seaduse tähenduses, keskvalitsuse avaliku halduse üksus, kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja ja tippdomeeninimede registri pidaja (§ 3 lõike 2 punktid 1 kuni 4, 6 ja 7), samuti § 3 lõike 2 punktis 5 nimetatud sideteenuste osutaja. Üldkasutatava elektroonilise side võrgu teenuse osutaja või üldkasutatava elektroonilise side teenuse osutaja, kellel on majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot, on samuti ülioluline üksus (§ 3 lõike 2 punkt 8). Lisaks loetakse ülioluliseks üksuseks ka § 3 lõikes 3 loetletud liiki üksus, kellel on majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot (§ 3 lõige 3).

Olulised üksused

Suurusest sõltumata on oluline üksus andmekogu vastutav töötleja ja volitatud töötleja avaliku teabe seaduse tähenduses, avalik-õiguslik juriidiline isik, kohaliku omavalitsuse üksuste liit, perearstiabi osutaja tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja, ning usaldusteenuse osutaja, välja arvatud kvalifitseeritud usaldusteenuse osutaja (§ 3 lõike 4 punktid 1, 3, 4, 5 ja 7). Samas lõikes on nimetatud ka Arenguseire Keskus ja Riigimetsa Majandamise Keskus (§ 3 lõike 4 punktid 2 ja 6). Üldkasutatava elektroonilise side teenuse osutaja ja üldkasutatava elektroonilise side võrgu teenuse osutaja, kes ei vasta § 3 lõike 2 punktis 8 nimetatud tingimustele, on samuti oluline üksus (§ 3 lõike 4 punkt 9). Oluliseks üksuseks loetakse ka üksus, kes ei ole ülioluline üksus, kuid kellel on majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot ning kelle tegevusala on nimetatud § 3 lõikes 3 (§ 3 lõike 4 punkt 8), ja sama suurusega üksus § 3 lõikes 5 loetletud liikide hulgast (§ 3 lõige 5).

Varasem kord: 2018. aasta küberturvalisuse seadus, mida NIS 2 direktiivi ülevõtmine muutis, kuid ei asendanud. Seadus seab suuruse tingimused ise ja need kehtivad koos: töötajate arv ja rahaline näitaja. See leht ei korda § 3 lõigete 3 ja 5 täielikku loetelu, seega kontrollige oma tegevusala seadusest.

Olulised tähtajad

2025-12-30

Küberturvalisuse seaduse ja teiste seaduste muutmise seadus avaldati Riigi Teatajas: RT I, 30.12.2025, 4. Riigikogu võttis selle vastu 10. detsembril 2025 ja Vabariigi President kuulutas selle välja 18. detsembril 2025.

2026-01-01

Muutmisseadus jõustus (muutmisseaduse § 11). Teenuseosutaja, kes oli seaduse kohaldamisalas juba enne seda päeva, järgib § 28¹ tähtaegu.

Tunnustele vastavus + 3 kuud

Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab Riigi Infosüsteemi Ametile teabe (§ 3¹ lõige 1) kolme kuu jooksul tunnustele vastavuse tekkimisest arvates (§ 4¹ lõige 1).

Tunnustele vastavus + 3 aastat

Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib oma tegevuse nõuetega vastavusse ning täidab kohustused kolme aasta jooksul tunnustele vastavuse tekkimisest arvates (§ 4¹ lõige 3). Direktiiv sellist tähtaega ei sätesta.

Muudatus + 2 nädalat

Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja teavitab teabe muudatustest viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lõige 4).

Muudatus + 3 kuud

Digitaalse teenuse osutaja teatab teabe muudatustest viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva (§ 4 lõige 6).

Teenuseosutaja esitab Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist küberintsidendist (§ 8 lõige 1), ka siis, kui küberintsidendi oluline mõju süsteemi turvalisusele või teenuse toimepidevusele ei ole ilmne, kuid seda võib mõistlikult eeldada (§ 8 lõike 1 punkt 2). Intsidenditeate edastab ta viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lõige 4¹). Usaldusteenuse osutaja edastab intsidenditeate viivitamata, kuid hiljemalt 24 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lõige 4²). Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja enne lõppraporti esitamist vahearuande olulise mõjuga küberintsidendi lahendamise seisu kohta (§ 8 lõige 4³). Lõppraport esitatakse ühe kuu jooksul intsidenditeate esitamisest arvates. Kui olulise mõjuga küberintsident ei ole lõppraporti esitamise ajaks lahendatud, esitab teenuseosutaja uue lõppraporti ühe kuu jooksul pärast olulise mõjuga küberintsidendi lahendamist (§ 8 lõige 7).

Üksused, kelle kohta kehtivad erireeglid

Keskvalitsus ja kohalik omavalitsus

Keskvalitsuse avaliku halduse üksus ja kohaliku omavalitsuse avaliku halduse üksus on ülioluline üksus suurusest sõltumata (§ 3 lõike 2 punktid 3 ja 4). Kohaliku omavalitsuse avaliku halduse üksus on kohaliku omavalitsuse üksus, valla või linna ametiasutus, valla või linna ametiasutuse hallatav asutus, osavald, linnaosa, osavalla või linnaosa ametiasutus, osavalla või linnaosa ametiasutuse hallatav asutus ning kohaliku omavalitsuse üksuste ühisamet ja -asutus (§ 2 punkt 16). Avalik-õiguslik juriidiline isik, kohaliku omavalitsuse üksuste liit ning andmekogu vastutav töötleja ja volitatud töötleja avaliku teabe seaduse tähenduses on oluline üksus suurusest sõltumata (§ 3 lõike 4 punktid 1, 3 ja 4).

Digitaristu, usaldusteenused ja haldusteenused

Domeeninimede süsteemi teenuse osutaja, kvalifitseeritud usaldusteenuse osutaja ja tippdomeeninimede registri pidaja on ülioluline üksus suurusest sõltumata (§ 3 lõike 2 punktid 1, 6 ja 7). Usaldusteenuse osutaja, välja arvatud kvalifitseeritud usaldusteenuse osutaja, on oluline üksus suurusest sõltumata (§ 3 lõike 4 punkt 7): § 3 lõige 3 ei nimeta ühtegi usaldusteenust, seega ei tee ükski suurus teda ülioluliseks üksuseks, kuigi direktiivi artikli 3 lõike 1 punkti a järgi on suur osutaja elutähtis üksus. Andmekeskusteenuse osutaja, haldusteenuse osutaja, infoturbeteenuse osutaja, interneti sõlmpunkti teenuse osutaja, pilvandmetöötlusteenuse osutaja ja sisulevivõrguteenuse osutaja on § 3 lõikes 3 loetletud liigid (§ 3 lõike 3 punktid 1, 9, 11, 12, 29 ja 33): suuruse tingimuste järgi on selline üksus kas ülioluline (§ 3 lõige 3) või oluline (§ 3 lõike 4 punkt 8) või jääb seadusest välja.

Elutähtsad teenused, tervishoid ja perearstid

Elutähtsa teenuse osutaja kriisiolukorra ja riigikaitse seaduse tähenduses on ülioluline üksus suurusest sõltumata (§ 3 lõike 2 punkt 2). Tema tähtaeg nõuetega vastavusse viimiseks on määratud selle seaduse alusel (§ 4¹ lõige 4) ja see leht seda ei esita. Perearstiabi osutaja tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja, on oluline üksus suurusest sõltumata (§ 3 lõike 4 punkt 5). Tervishoiust nimetab § 3 lõige 3 kolme liiki: rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja, põhifarmaatsiatoote ja ravimpreparaadi tootja ning üksus, kes tegeleb ravimiseadusekohase ravimi uurimise ja arendamisega, välja arvatud veterinaarravim (§ 3 lõike 3 punktid 6, 7 ja 39). Tervishoiuteenuse osutajat see lõige ei nimeta: ta kuulub seaduse alla ainult § 3 mõne teise punkti kaudu, näiteks elutähtsa teenuse osutaja või perearstiabi osutajana.

Transport ja toit

Transpordist nimetab § 3 lõige 3 muu hulgas lennuettevõtja, liiklusseadusekohase intelligentse transpordisüsteemi käitaja, raudteeinfrastruktuuriettevõtja ja raudteeveoettevõtja ning veeliikluse juhtimise keskuse (§ 3 lõike 3 punktid 20, 24, 31 ja 36), kuid ei nimeta maanteeametit, mis on direktiivi I lisas. Toidu puhul kuulub § 3 lõike 5 alla ettevõtja, kes tegeleb toidu hulgimüügi, tööstusliku tootmise või tööstusliku töötlemisega või mitmega neist, välja arvatud alkoholi hulgimüügi, tööstusliku tootmise ja tööstusliku töötlemisega, ja ainult siis, kui ta täidab suuruse tingimused ning ühest või mitmest nimetatud tegevusest saadav aastakäive on vähemalt 50 protsenti tema aastakäibest (§ 3 lõike 5 punkt 3). Direktiivi II lisas sellist osakaalu ei ole.

Korduma kippuvad küsimused

Kas NIS 2 on Eestis üle võetud?
Jah. Eesti võttis NIS 2 direktiivi üle, muutes 2018. aasta küberturvalisuse seadust (KüTS), mitte asendades seda. Küberturvalisuse seaduse ja teiste seaduste muutmise seadus, RT I, 30.12.2025, 4, jõustus 1. jaanuaril 2026 (muutmisseaduse § 11) ja muutis ka üheksat muud seadust. Riigikogu võttis selle vastu 10. detsembril 2025 ja Vabariigi President kuulutas selle välja 18. detsembril 2025. See leht tugineb konsolideeritud tekstile RT I, 06.10.2026, 2, mille sõnastus jõustus 16. oktoobril 2026. Euroopa Komisjoni rikkumismenetlus INFR(2024)0267 oli 28. oktoobril 2026 endiselt avatud põhjendatud arvamuse etapis (7. mai 2025).
Keda küberturvalisuse seadus puudutab?
Seadus sätestab ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve (§ 1 lõike 1 punkt 1). Teenuseosutaja on ülioluline üksus ja oluline üksus (§ 3 lõige 1). Seadus loetleb üksuste liigid ise (§ 3 lõiked 2 kuni 5) ja need loetelud erinevad direktiivi lisadest. Osa liike kuulub seaduse alla suurusest sõltumata, teised alles siis, kui üksus täidab suuruse tingimused. Kui teenuseosutaja võrgu- ja infosüsteemi pidamise ning küberintsidendist teavitamise nõuded on samaväärselt reguleeritud välislepinguga, Euroopa Liidu õigusaktiga või muu seadusega, kohaldatakse seadust neist tulenevate erisustega (§ 1 lõige 4). See leht ei korda § 3 lõigete 3 ja 5 täielikku loetelu, seega kontrollige oma tegevusala seadusest.
Kuidas seadus üksuse suurust hindab?
Seadus seab tingimused ise ja need kehtivad koos: töötajate arv ja rahaline näitaja. Keskmise suurusega on üksus, kellel on majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot (§ 3 lõike 4 punkt 8, § 3 lõige 5). Suur on üksus, kellel on majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot (§ 3 lõige 3). „50 või rohkem“ hõlmab täpselt 50 töötajat, kuid „ületab“ ei hõlma täpselt 10 miljonit eurot. Üksus, kellel on 60 töötajat ja kelle aastakäive ja aastabilansimaht ei ületa 10 miljonit eurot, jääb seadusest välja, kui ta ei kuulu liikide hulka, mis on hõlmatud suurusest sõltumata. Komisjoni soovituse 2003/361/EÜ järgi oleks ta keskmise suurusega, sest selle lisa artikli 2 järgi piisab 50 töötajast. See võrdlus on Reglyze'i tõlgendus, mitte seaduse sõnad. Soovituse lisa artikli 3 lõiget 4 seaduses ei kohaldata (§ 3 lõige 6). Partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (§ 3 lõige 7).
Kuidas ja millal teavitada Riigi Infosüsteemi Ametit?
Määramisotsust ei ole: üksus hindab ise, kas ta vastab tunnustele, ja esitab teabe Riigi Infosüsteemi Ametile. Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab teabe (§ 3¹ lõige 1) kolme kuu jooksul tunnustele vastavuse tekkimisest arvates (§ 4¹ lõige 1). Teabe hulka kuuluvad nimi ja registrikood, tegevuskoha aadress ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid, direktiivi järgi sektor ja allsektor ning riigid, kus teenust osutatakse (§ 3¹ lõige 1). Kõigist muudatustest teavitab ta viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lõige 4). Digitaalse teenuse osutaja esitab oma andmed (§ 4 lõige 1) ja teatab muudatustest viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva (§ 4 lõige 6). Riigi Infosüsteemi Amet koostab iga kahe aasta järel teenuseosutajate ja domeeninimede registreerimise teenuse osutajate nimekirja (§ 3¹ lõige 2). See teave on asutusesiseseks kasutamiseks mõeldud teave avaliku teabe seaduse tähenduses (§ 3¹ lõige 3). RIA lehel (uuendatud 15.06.2026) on kirjas: „teenuseosutaja teavitused palume esitada riigiportaalis eesti.ee (vajab sisselogimist)“.
Mida tähendab kolmeaastane tähtaeg?
Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib oma tegevuse seaduse ja selle alusel kehtestatud nõuetega vastavusse ning täidab seadusest ja selle alusel kehtestatud õigusaktidest tulenevad kohustused kolme aasta jooksul tunnustele vastavuse tekkimisest arvates (§ 4¹ lõige 3). Direktiiv sellist tähtaega ei sätesta. Teabe esitamiseks jäävad eraldi kehtima kolm kuud (§ 4¹ lõige 1). Elutähtsa teenuse osutaja järgib kriisiolukorra ja riigikaitse seaduse alusel määratud tähtaega (§ 4¹ lõige 4), mida see leht ei esita. Teenuseosutaja, kes oli seaduse kohaldamisalas juba enne 1. jaanuari 2026, pidi teabe esitama „kolme kuu jooksul viidatud lõike jõustumisest arvates“ (§ 28¹ lõige 1), see tähendab umbes 1. aprilliks 2026, ja viib tegevuse nõuetega vastavusse „kolme aasta jooksul viidatud lõike jõustumisest arvates“ (§ 28¹ lõige 3), see tähendab umbes 1. jaanuariks 2029. Need kaks kuupäeva on arvutatud, neid ei ole seaduses kirjas. See leht esitab tähtaja seaduse sõnadega ega ütle, millise kohustuse täitmist see edasi lükkab. Reglyze'i küberintsidendi tähtajad seda kolmeaastast tähtaega ei arvesta.
Kuhu ja millal küberintsidendist teavitada?
Riigi Infosüsteemi Ametile, mis täidab pädeva asutuse, ühtse kontaktpunkti ja küberintsidentide käsitlemise üksuse ülesandeid (§ 5 lõike 3 punktid 1 ja 3). Esmane teade esitatakse hiljemalt 24 tundi pärast teada saamist küberintsidendist (§ 8 lõige 1) ja intsidenditeade hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lõige 4¹), usaldusteenuse osutajal hiljemalt 24 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lõige 4²). Lõppraport esitatakse ühe kuu jooksul intsidenditeate esitamisest arvates (§ 8 lõige 7). Kui teenuse osutamine on häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati olulise mõjuga küberintsidendiks (§ 8 lõige 3). Vabatahtlikult võib teenuseosutaja teavitada napilt toimumata jäänud küberintsidendist, küberintsidendist, turvahaavatavusest ja küberohust (§ 8¹ lõike 1 punkt 1). Olulise mõju tingimusi see leht ei tsiteeri, seega lugege neid seadusest. Küberintsidendist teavitamisel esitatavad andmed ja teavitamise korra kehtestab riikliku küberturvalisuse valdkonna eest vastutav minister määrusega (§ 8 lõige 8). Seaduse rakendusaktina loetleb Riigi Teataja määruse „Küberintsidendist teavitamisel esitatavad andmed ja teavitamise kord“, kuid selle sisu ei ole Reglyze'i allikmaterjalides, seega ei nimeta see leht teavitamise kanalit.
Millest tähtaegu arvestatakse?
Küberintsidendist teada saamisest. Seadus ütleb „teada saamist“ (§ 8 lõiked 1 ja 4¹) ja NIS 2 direktiivi eestikeelne tekst kasutab samu sõnu: „24 tunni jooksul pärast olulisest intsidendist teada saamist“ (artikli 23 lõike 4 punkt a). Reglyze arvestab Eesti teenuseosutaja esmase teate ja intsidenditeate tähtaegu küberintsidendist teada saamise ajast. Kui seda aega ei ole märgitud, arvestab Reglyze tuvastamise ajast, mis ei ole kunagi hilisem.
Mida seadus nõuab turvameetmete kohta?
Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid (§ 7 lõige 1) ja koostab riskianalüüsi (§ 7 lõike 1 punkt 1). Nõuded kehtestab määrusega Vabariigi Valitsus või tema volitatud minister, nende hulgas infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard (§ 7 lõike 5 punkt 1), ja määrus võib arvestada § 3 sektoreid (§ 7 lõige 6). Seaduse rakendusaktidena loetleb Riigi Teataja muu hulgas Vabariigi Valitsuse määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“, ministri määruse nr 30 „Eesti infoturbestandard“ ja Vabariigi Valitsuse määruse nr 1 „Võrgu- ja infosüsteemi turvameetmete nõuded ja nende kohaldamise ulatus pilvteenuse kasutamisel“. Nende määruste sisu ei ole Reglyze'i allikmaterjalides: see leht ei ütle, millised üksused peavad Eesti infoturbestandardit rakendama ega mida määrused nõuavad. Reglyze hindab organisatsioone NIS 2 direktiivi nõuete alusel ega väida, et hindamine toimub Eesti infoturbestandardi (E-ITS) järgi.
Kas teenuseosutaja vastutab süsteemi haldaja või majutaja eest?
Jah. Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik tagab süsteemi turvameetmete rakendamise (§ 7 lõige 3). Samuti vastutab teenuseosutaja selle eest, et teine isik teavitab teenuseosutajat hiljemalt 24 tundi pärast teada saamist (§ 8 lõige 1¹). Reglyze seda 24 tunni kohustust eraldi ei jälgi.
Mida seadus nõuab juhatuselt?
Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest (§ 6¹ lõige 1). Riigi Infosüsteemi Amet võib küsida tema nime ja kontaktandmeid (§ 6¹ lõige 1). Vastutava juhatuse liikme määramise kohustust ei kohaldata teenuseosutajale, kellel on üks juhatuse liige (§ 6¹ lõige 1). Määratud juhatuse liige läbib korrapäraselt koolitusi eesmärgiga omandada piisavad teadmised ja oskused, et mõista ja hinnata riske, nende mõju teenuseosutaja teenustele ning riskide juhtimise viise (§ 6¹ lõige 2). Seadus ei määra koolituste vahet. Kui teenuseosutaja juhatuse liiget ei määra, kohaldatakse neid kohustusi kõigile juhatuse liikmetele (§ 6¹ lõige 3). Kui teenuseosutaja on füüsilisest isikust ettevõtja, kohaldatakse teenuseosutaja juhatuse liikme kohustuste kohta sätestatut asjaomasele füüsilisele isikule. Kui juhatust ei ole, kohaldatakse neid kohustusi juhtimisülesandeid täitvatele isikutele (§ 6¹ lõige 4). NIS 2 direktiivi eestikeelne tekst seob iga juhtorgani liiget: „elutähtsate ja oluliste üksuste juhtorganite liikmed on kohustatud läbima korrapäraselt erikoolitusi“ (artikli 20 lõige 2). Seadus seob määratud juhatuse liikme ja kõik juhatuse liikmed ainult siis, kui kedagi ei ole määratud. Pärast täitmata ettekirjutusi ja täiendavat tähtaega võib Riigi Infosüsteemi Amet nõuda ülioluliselt üksuselt juhatuse liikme volituste ajutist peatamist (§ 16 lõike 1⁵ punkt 2), kuni puudused on kõrvaldatud (§ 16 lõige 1⁶).
Kas seadus puudutab riigiasutusi ja kohalikke omavalitsusi?
Jah, suurusest sõltumata. Keskvalitsuse avaliku halduse üksus ja kohaliku omavalitsuse avaliku halduse üksus on ülioluline üksus (§ 3 lõike 2 punktid 3 ja 4). Teine neist hõlmab valdu ja linnu, nende ametiasutusi ja hallatavaid asutusi, osavaldu ja linnaosasid ning kohaliku omavalitsuse üksuste ühisameteid ja -asutusi (§ 2 punkt 16). Avalik-õiguslik juriidiline isik ja kohaliku omavalitsuse üksuste liit on oluline üksus (§ 3 lõike 4 punktid 3 ja 4).
Kas väike IT-ettevõte kuulub seaduse alla?
See sõltub sellest, mida ettevõte pakub. Domeeninimede süsteemi teenuse osutaja, kvalifitseeritud usaldusteenuse osutaja ja tippdomeeninimede registri pidaja on ülioluline üksus suurusest sõltumata (§ 3 lõike 2 punktid 1, 6 ja 7). Usaldusteenuse osutaja, välja arvatud kvalifitseeritud usaldusteenuse osutaja, on oluline üksus suurusest sõltumata (§ 3 lõike 4 punkt 7), samuti üldkasutatava elektroonilise side teenuse osutaja, kes ei vasta § 3 lõike 2 punktis 8 nimetatud tingimustele (§ 3 lõike 4 punkt 9). Domeeninimede registreerimise teenuse osutaja esitab teabe Riigi Infosüsteemi Ametile (§ 3¹ lõige 1). Haldusteenuse osutaja, infoturbeteenuse osutaja, andmekeskusteenuse osutaja ja pilvandmetöötlusteenuse osutaja kuuluvad seaduse alla alles siis, kui nad täidavad suuruse tingimused (§ 3 lõige 3, § 3 lõike 4 punkt 8). Haldusteenuse osutaja, kellel on 60 töötajat ja kelle aastakäive ja aastabilansimaht ei ületa 10 miljonit eurot, jääb seadusest välja. Tema klient, kes kuulub seaduse alla, vastutab siiski selle eest, et haldusteenuse osutaja tagab süsteemi turvameetmete rakendamise (§ 7 lõige 3).
Kes teeb järelevalvet?
Riigi Infosüsteemi Amet teeb riiklikku ja haldusjärelevalvet (§ 14 lõige 1). Olulise üksuse suhtes teeb ta seda järelkontrollina, kui järelevalveasutusel on alust arvata, et oluline üksus ei järgi seaduses ning ennekõike §-des 7 ja 8 sätestatud nõudeid (§ 14 lõike 6 punkt 3). Üliolulise üksuse suhtes võib ta teha regulaarseid turvaauditeid üks kord kolme aasta jooksul, välja arvatud juhul, kui ülioluline üksus on kohustatud regulaarselt auditeerima § 7 lõike 5 alusel kehtestatud küberturvalisuse nõuete täitmise raames (§ 16 lõike 1¹ punkt 2¹).
Kuidas Reglyze aitab organisatsiooni Eestis?
Reglyze hindab Eestis tegutsevaid organisatsioone NIS 2 direktiivi nõuete alusel, koostab dokumente, mis viitavad küberturvalisuse seadusele, selle tähtaegadele ja Riigi Infosüsteemi Ametile, ning jälgib esmase teate ja intsidenditeate tähtaegu küberintsidendist teada saamisest arvates. Teenuseosutaja teavituse ja teated küberintsidendist esitate ise. Reglyze ei hinda organisatsioone Eesti infoturbestandardi (E-ITS) järgi. Kohaldamisala hindamine Reglyze'is rakendab § 3 suuruse tingimusi. Hindamine paigutab kohaliku omavalitsuse avaliku halduse üksuse suurusest sõltumata ülioluliste üksuste hulka, usaldusteenuse osutaja, välja arvatud kvalifitseeritud usaldusteenuse osutaja, suurusest sõltumata oluliste üksuste hulka ja üldkasutatava elektroonilise side teenuse osutaja § 3 lõike 2 punkti 8 ja § 3 lõike 4 punkti 9 järgi. Tervishoiu, transpordi ja toidu puhul lisab tulemus märkuse, sest § 3 hõlmab neist sektoritest ainult osa. Kui aastabilansimahtu ei ole sisestatud, eeldatakse, et see ületab mõlemat piiri, mis võib klassi ainult üle hinnata. Küsimustik ei küsi, kas organisatsioon on elutähtsa teenuse osutaja, avalik-õiguslik juriidiline isik, perearstiabi osutaja või § 3 lõike 2 punktis 5 nimetatud sideteenuste osutaja. Tulemus kasutab direktiivi sõnu: elutähtis üksus tähendab seaduses üliolulist üksust. Tulemus ütleb, kuhu te tõenäoliselt kuulute, ega asenda seaduse teksti.

Ametlikud allikad

Viimati kontrollitud: 2026-10-30 · järgmine kontroll on kavandatud pärast kuupäeva 2027-01-28.

Kas olete valmis seaduse nõudeid täitma?

Reglyze juhendab teid tehisintellekti abil samm-sammult läbi NIS 2 nõuete: kohaldamisala hindamine ja lünkanalüüs direktiivi nõuete alusel ning seejärel dokumendid, mis viitavad küberturvalisuse seadusele, selle tähtaegadele ja õigele teadete saajale.