NIS2 nõuete täitmine Eestis algab kehtiva küberturvalisuse seaduse kohaldamisala kontrollimisest. Alates 1. jaanuarist 2026 kehtivad laiendatud kohustused, sealhulgas uued teenuseosutajate kategooriad ja juhtorgani ülesanded. Ettevõttel tuleb eraldi kindlaks teha, kas ta kuulub seaduse alla, milline üleminekuaeg talle rakendub ning millised süsteemid ja teenused peavad olema turvameetmetega kaetud. Ainuüksi tegevusala nimi või töötajate arv ei anna alati vastust.
See juhend käsitleb olukorda 29. septembri 2026 seisuga. Aluseks on küberturvalisuse seaduse sel kuupäeval kehtiv redaktsioon, rakendusmäärused ja RIA juhised. Eesmärk on aidata juhtkonnal teha põhjendatud rakendusotsuseid: määrata vastutus, planeerida meetmed ja korraldada teavitamine. Organisatsiooni konkreetne kohustus tuleb siduda õigusnormi ja tegeliku teenusega; üldine NIS2 kontrollnimekiri seda analüüsi ei asenda.
Mis on NIS2 ja küberturvalisuse seadus?
NIS2 direktiiv ühtlustab Euroopa Liidus küberturvalisuse riskijuhtimist, olulistest intsidentidest teatamist ja järelevalvet. Eesti küberturvalisuse seadus ehk KüTS määrab kohaliku kohaldamisala ja kohustuste täitmise korra. Direktiivi ülevõtmise EL-i tähtaeg ja Eesti konkreetse teenuseosutaja üleminekuaeg on erinevad küsimused. Organisatsioon ei peaks tuletama enda rakendustähtaega üksnes direktiivi 2024. aasta kuupäevast.
RIA 2026. aasta ülevaade kinnitab jaanuaris jõustunud muudatusi. Seetõttu on eksitav rääkida Eesti raamistikust jätkuvalt ainult kui ettevalmistatavast eelnõust. Samuti ei tähenda iga hilisem vastuvõetud muudatus, et selle kõik sätted juba kehtivad. Näiteks tuleb septembris avaldatud rakendusmääruse puhul eristada 7. septembril jõustunud muudatusi ja eraldi 1. oktoobrile määratud sätteid. Rakendusplaanis võiks kasutatud redaktsiooni kuupäev olla nähtav koos hinnangu koostajaga.
Keda NIS2 Eestis puudutab?
KüTS eristab üliolulisi üksusi ja olulisi üksusi. Need on seaduse terminid; ingliskeelsete väljendite essential entities ja important entities vaba tõlkimine võib tekitada vale klassifikatsiooni. Paragrahv 3 sisaldab erinevaid harusid, milles tähtsad on teenuse liik, asutuse staatus ning osal juhtudel töötajate arv ja finantsnäitajad. Näiteks elutähtsa teenuse osutaja või teatava digitaristu teenuse puhul ei saa lähtuda üldisest eeldusest, et väike organisatsioon jääb alati välja.
Tegevusalade hulka kuuluvad muu hulgas energeetika, transport, tervishoid, veevarustus, digitaalne taristu, avalik haldus ning kindlaksmääratud tootmis- ja muud teenused. See loetelu aitab esmast sõelumist, kuid ei tõenda kohaldumist. Tootmisettevõte peaks kontrollima oma konkreetset tegevust seaduses nimetatud kategooria vastu. Kontserni ettevõte peab lisaks hindama asjakohase suurusarvutuse reegleid; ühe kohaliku äriühingu palgalehel olevate inimeste lugemine ei pruugi olla piisav.
Praktiline tulemus peaks olema lühike põhjendatud kohaldamismemo. Selles nimetatakse juriidiline isik, tegelik teenus, kohaldatav paragrahvi 3 haru, kasutatud majandusandmed ja süsteemid, mille abil teenust osutatakse. Kui järeldus on, et seadus ei kohaldu, tasub määrata asjaolu, mille muutumisel hinnang uuesti avatakse: uus teenus, omandamine, kontsernisuhe või kasv. RIA registris puudumine ega asutuselt kirja mittesaamine ei ole iseenesest tõend, et kohustust pole.
RIA-le teatamine ja üleminekuajad
RIA teenuseosutaja teavitamise juhis selgitab teadete esitamist eesti.ee kaudu. KüTS § 3¹ kohane teave hõlmab muu hulgas nime, registrikoodi, kontaktandmeid ning asjakohast tegevusala ja teenuse osutamise riike. Kontaktandmed peavad võimaldama tegelikku ühenduse saamist. Üldandmete muutusest tuleb teatada viivitamata, kuid hiljemalt kahe nädala jooksul. Teatavate digiteenuste puhul lisanduvad § 4 erireeglid, sealhulgas eraldi andmeväljad ja muutustest teatamise kord.
Tähtaegade määramisel tuleb eristada olemasolevaid ja hiljem kohaldamisalasse lisanduvaid teenuseosutajaid. KüTS § 28¹ üleminekusäte näeb enne uue teavitamiskohustuse jõustumist tingimustele vastanud üksusele ette kolmekuulise teatamisaja selle kohustuse jõustumisest. Uue kohaldamisalasse kuuluja puhul lähtub § 4¹ üldjuhul kolmest kuust alates tingimustele vastamisest. Jaanuaris juba hõlmatud ettevõte ei saa septembris käsitleda registreerimist tulevase vabatahtliku ettevalmistusena; võimalik hilinemine vajab parandamist.
Seaduses on ka kolmeaastased tähtajad muude nõuetega vastavusse viimiseks, kuid nende algus sõltub kohaldatavast sättest. Elutähtsa teenuse osutajatel võivad rakenduda erireeglid. Üleminek ei tühista varem kehtinud kohustusi ega muuda kõigi ettevõtete tähtaegu üheks kuupäevaks. Juhtkonna kinnitatud ajakavas tuleks seetõttu märkida iga nõude õiguslik alus, algussündmus ja tähtaeg eraldi. Registreerimise, meetmete rakendamise ja esimese auditi tähtaega ei tohiks koondada üheks üldiseks „NIS2 valmimise” kuupäevaks.
Juhtkonna vastutus peab olema sisuline
KüTS § 6¹ järgi tuleb määrata vähemalt üks juhatuse liige, kes kiidab riskijuhtimismeetmed heaks ja jälgib nende rakendamist. Üheliikmelise juhatuse puhul ei ole eraldi määramine vajalik; kui vastutavat liiget pole määratud, ei kao kohustused, vaid need lasuvad seaduses kirjeldatud korras juhatuse liikmetel. Ka juhtide regulaarne koolitus kuulub raamistikku. Infoturbejuhi või välise konsultandi kasutamine aitab tööd teha, kuid ei asenda juhtorgani otsustamist.
Juhtimisvastutuse tõendamiseks on vaja rohkem kui allkirja turvapoliitikal. Juht peaks nägema, millist teenust peamine risk mõjutab, milline puudus tuleb kõrvaldada, kes seda teeb ja millist jääkriski ajutiselt aktsepteeritakse. Näiteks taastamata jäänud varukoopia ei ole üksnes tehnilise meeskonna märkus: see võib muuta lubamatu teenusekatkestuse tõenäoliseks. Soovitatav arutelurütm sõltub riskist, kuid olulised eelarve- ja prioriteediotsused peavad olema jälgitavad, mitte ainult suuliselt kokku lepitud.
E-ITS, ISO 27001 ja esmased turvameetmed
Eesti infoturbestandardi rakendamist tuleb hinnata koos võrgu- ja infosüsteemide küberturvalisuse nõuete määruse ja selle 7. septembril 2026 jõustunud muudatustega. Esimene viide näitab muudatusele eelnenud tervikteksti; seda ei tohi kasutada ilma septembri muudatuseta. Uus Eesti infoturbestandardi määrus jõustus 1. septembril. Täieliku E-ITS rakendamise ulatus sõltub kohaldatavast regulatsioonist, mitte ainult soovist näidata kliendile sertifikaati.
Määrus võimaldab tingimuste täitmisel ISO/IEC 27001 või EVS-EN ISO/IEC 27001 põhist alternatiivi. See eeldab meetmete tegelikku rakendamist, nõuetekohast sertifikaati ja nõutud teabe esitamist RIA-le. Septembri muudatus rõhutab standardi käsitlusala: see peab hõlmama vähemalt KüTS § 3 lõigetes 2–5 nimetatud tegevusaladega seotud süsteeme. Ainult peakontori tugiprotsesse kattev sertifikaat ei tõenda automaatselt tootmise või põhiteenuse nõuetekohast kaitset. Seetõttu tuleb sertifikaadi olemasolu kõrval lugeda selle ulatuse kirjeldust.
Teatavatele väiksematele ja muudele sõnaselgelt nimetatud teenuseosutajatele kehtivad täieliku E-ITS kohustuse erandid. Erandi kasutamisel tuleb kontrollida kõiki tingimusi; septembris täpsustati muu hulgas partner- ja sidusettevõtjate andmete arvestamist süsteemide sõltumatuse korral. Seda konkreetset E-ITS erandit ei saa üle kanda kogu KüTS kohaldamisala määramisele. Täieliku standardi erand ei tähenda turvameetmetest loobumist: esmased meetmed ja muud kohalduvad kohustused vajavad endiselt rakendamist. Hinnang peaks selgitama, milline erand on kasutusel ja millised tõendid seda toetavad.
Riskianalüüs seob nõuded tegeliku teenusega
KüTS § 7 nõuab asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ja korralduslikke meetmeid. Arvestada tuleb muu hulgas riski, üksuse suurust, kokkupuudet ohtudega, võimaliku intsidendi tõenäosust ja tagajärgede raskust. Septembri rakendusmääruse muudatus täpsustab riskianalüüsi miinimumsisu: süsteemi turvalisust ja toimepidevust mõjutavad riskid, nende mõju ja tagajärgede raskus ning riskihaldusmeetmed. Seega ei ole piisav dokument, mis loetleb ohte, kuid ei näita, kuidas teenusekatkestust või andmete kahjustumist vähendatakse.
Näiteks logistikateenuse puhul tuleks siduda tellimuste vastuvõtmine, laohaldus ja saadetise väljastamine neid toetavate süsteemidega. Ühe administraatorikonto kompromiteerimine võib mõjutada mitut etappi korraga. Sellest tulenevad otsused õiguste eraldamise, autentimise, logimise ja taastamise kohta. Meetme eesmärk peab olema arusaadav: mida see ennetab, kuidas selle toimimist kontrollitakse ja kes reageerib kõrvalekaldele. Lõimitud andmekaitse põhimõtted aitavad sama arenduse juures hinnata inimeste andmetele tekkivat mõju.
Olemasolevaid dokumente saab kasutada, kui nende sisu katab nõuded. Eraldi NIS2 kausta loomine ei ole väärtus iseeneses. Riskianalüüsi, talitluspidevuse plaani ja varade registri vahel peaks olema võimalik liikuda sama teenuse või süsteemi tunnuse järgi. Ka tarkvara hankimisel tasub esmalt määrata vajalik töövoog ja tõendid; NIS2 tarkvara valiku küsimused aitavad võrrelda haldusvõimalusi. Ükski tööriist ei tee iseseisvalt õiguslikku kohaldamisotsust ega kõrvalda juhtkonna vastutust.
Tarnijad, varukoopiad ja taastamise kontroll
Teenuse sisseostmine ei vii teenuseosutaja küberturvalisuse vastutust automaatselt tarnijale. Pilveteenuse või hallatud IT-teenuse puhul tuleb teada, kes haldab ligipääse, teeb varukoopiaid, tuvastab ründe ja annab vajaliku teabe. Lepingus võiks täpsustada kontaktid, eskalatsiooni, tõendite säilitamise ning abi taastamisel. Need on praktilised soovitused nõuete täitmise korraldamiseks; üksnes lepingu peatükk ei tõenda, et tarnija võimekus on kontrollitud või organisatsioon oskab teenust katkestuse ajal jätkata.
Taastamise kontroll peaks hõlmama äriliselt vajalikku tulemust. Kui varukoopia on tehniliselt loetav, kuid puuduvad võtmed või sõltuva teenuse konfiguratsioon, ei pruugi põhiprotsess taastuda. Proovitaastamise käigus saab mõõta aega ja tuvastada otsuseid, mida töövälisel ajal ei saa teha ühe inimese teadmiste põhjal. Intsidentide käsitlemise kord peaks siduma tehnilise tegutsemise juhtkonna ja teavitamise otsustega. Soovitatav harjutus kasutab konkreetset teenust ja realistlikke katkestusi, mitte ainult üldist küsimust, kas plaan on olemas.
Millal on küberintsident oluline?
KüTS § 8 seob teavitamise olulise mõjuga või olukorraga, kus sellist mõju saab mõistlikult eeldada. Hindamisel tuleb arvestada seaduses toodud tunnuseid, näiteks riskianalüüsis määratud rasket tagajärge, lubatud katkestusaja ületamist, teise teenuseosutaja töö häirimist või märkimisväärset tegelikku või võimalikku kahju. Teise liikmesriigi teenuseosutamist häiriva juhtumi kohta on erireegel. Teatud digiteenustele võivad lisanduda otsekohalduvad Euroopa Liidu täpsustused, mistõttu ei piisa kõigile üksustele samast mõjupiirist.
Mõju hinnatakse olemasolevate teadmiste alusel ja hinnangut täiendatakse. Organisatsioon ei tohiks oodata lõplikku kohtuekspertiisi, kui oluline mõju on juba ilmne või põhjendatult eeldatav. Intsidenditoimikusse tasub fikseerida avastamise aeg, olulisusest teadasaamine, mõjutatud teenused, esialgne kahju ja otsustaja. Kui esialgu väike katkestus laieneb, peab olema võimalik näha, millal uus teave muutis õiguslikku hinnangut. See aitab selgitada nii teadet kui ka põhjendatud otsust, miks mõni tehniline sündmus teavitamiskünnist ei ületanud.
Teavitamine: 24 tundi, 72 tundi ja üks kuu
Olulisest küberintsidendist tuleb RIA-le esmalt teatada viivitamata, kuid hiljemalt 24 tunni jooksul seaduses kirjeldatud teadasaamisest. See ei ole soovituslik sihtaeg. Esmane teade saab põhineda tollal teadaoleval teabel; puuduv detail ei õigusta kogu teate edasilükkamist. Seejärel tuleb üldreegli järgi esitada täiendatud intsidenditeade viivitamata, kuid hiljemalt 72 tunni jooksul olulisest intsidendist teadasaamisest. Menetlus peab võimaldama teatada ka siis, kui konkreetne juht või jurist ei ole kättesaadav.
Usaldusteenuseosutaja puhul tuleb eraldi arvestada KüTS § 8 lõike 4² 24 tunni nõuet intsidenditeatele. NIS2 artikli 23 vastav erireegel käsitleb olulisi intsidente, mis mõjutavad usaldusteenuste osutamist. Seetõttu peab selline teenuseosutaja kontrollima oma erikorda ega saa rakendada automaatselt üldist 72 tunni haru. RIA nõudmisel tuleb anda ka vahearuanne. Mõjutatud klientide teavitamise vajadus ja neile antavad kaitsejuhised tuleb hinnata eraldi, mitte eeldada, et asutusele saadetud teade lahendab kõik suhtluskohustused.
Lõpparuanne tuleb esitada ühe kuu jooksul intsidenditeate esitamisest. Üks kuu ei ole õiguslikult sama mis ligikaudne 30 päeva. Kui intsident kestab veel, esitatakse selles etapis vahearuanne ja lõpparuanne ühe kuu jooksul pärast intsidendi lahendamist. Lõpparuanne peaks võimaldama mõista juhtunut, selle põhjust ja mõju ning võetud meetmeid. Asutusesiseses kalendris tuleb seega jälgida eri algussündmusi, mitte arvutada kõiki tähtaegu esimese häire saabumisest.
Kui süsteemi haldab või majutab teine isik, näeb KüTS ette ka tema teavitamiskohustuse teenuseosutaja ees. Lepinguline teavitusaeg võiks praktikas olla seaduse välisest tähtajast lühem, et teenuseosutaja jõuaks ise hinnata ja teatada. See on korralduslik soovitus, mitte uus seadusest tuletatud tunnipiir. Näiteks võib kokkulepe nõuda kohe telefonikõnet ja sellele järgnevat kirjalikku kokkuvõtet. Mõlemal poolel peab olema selge, kes esitab ametliku teate ja kuidas puuduvad andmed hiljem lisatakse.
NIS2 ja GDPR kattuvad
Küberintsident ja isikuandmetega seotud rikkumine ei ole samatähenduslikud. Andmete konfidentsiaalsuse, tervikluse või kättesaadavuse rikkumine võib siiski käivitada mõlemad menetlused. GDPR-i artikli 33 järgi teatab vastutav töötleja pädevale järelevalveasutusele põhjendamatu viivituseta ning võimaluse korral 72 tunni jooksul teadasaamisest, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi. Hilisemat teadet tuleb põhjendada. Kõik isikuandmetega seotud rikkumised dokumenteeritakse, ka need, millest asutusele teatamine ei ole nõutav.
Suure ohu korral tuleb eraldi hinnata artikli 34 kohast inimeste teavitamist ja selle erandeid. Isikuandmete rikkumisest teatamise juhend selgitab seda eraldi otsust ning Andmekaitse Inspektsiooni roll aitab määrata andmekaitsemenetluse kontaktid. Sama sündmuse faktid võib koondada ühisesse toimikusse, kuid RIA ja andmekaitseasutuse teavitamise alused, tähtajad ning otsused peavad jääma eristatavaks. RIA-le teatamine ei asenda automaatselt GDPR-i nõuete täitmist.
DORA ja muud valdkondlikud nõuded
Finantssektoris tuleb kontrollida, millises ulatuses kohaldub DORA ja kuidas toimib NIS2 valdkondliku eriregulatsiooni põhimõte. See ei tähenda, et iga finantsvaldkonnas tegutsev ettevõte oleks kõigist KüTS kohustustest automaatselt vabastatud. Võrdlus tuleb teha konkreetse üksuse ja vastava riskijuhtimise või teavitamiskohustuse tasandil. DORA Eestis aitab seda eraldi analüüsida. Andmekaitsekohustused jäävad samuti oma eeldustel kohaldatavaks; laiem taust on Eesti andmekaitse juhendis.
Audit ja RIA järelevalve
Kohalduva E-ITS auditi puhul näeb määrus ette kolmeaastase auditeerimistsükli; esimese auditi ajastus ja erandid tuleb kontrollida eraldi. Audit ei asenda igapäevast riskide haldamist. Organisatsioon peaks suutma näidata, et auditi leidude põhjal on määratud tegevused, vastutajad ja tähtajad ning sulgemine põhineb tõenditel. Tehnilise puuduse märkimine „lahendatuks” ilma kontrollita võib jätta teenuse sama haavatavaks kui enne auditit.
RIA järelevalverežiim sõltub üksuse liigist. Ülioluliste üksuste puhul on võimalik ennetav järelevalve; oluliste üksuste kontroll käivitub seaduses kirjeldatud alustel, kui on põhjust arvata, et nõudeid ei täideta. Viimane ei tähenda õigust oodata kontrolli enne meetmete rakendamist. Nõutud teabe esitamiseks võiks tõendid olla leitavad teenuse ja kohustuse kaupa: kohaldamishinnang, juhtimisotsused, riskianalüüs, meetmete seis, tarnijate kokkulepped ning intsidendiaruanded.
Sanktsioonid ja praktiline tegevusjärjekord
KüTS sätestab rikkumiste eest väärteovastutuse. Seaduses kirjeldatud üliolulise üksuse rikkumiste puhul võib juriidilise isiku rahatrahvi ülemmäär ulatuda kümne miljoni euroni või kahe protsendini eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb on suurem; olulise üksuse vastavad määrad on seitse miljonit ja 1,4 protsenti. Konkreetne koosseis ja erisätted tuleb alati kontrollida. Need on ülemmäärad, mitte automaatsed summad iga intsidendi eest ega näited juba määratud Eesti trahvidest.
Ka juhtimise suhtes rakendatavad järelevalvemeetmed on seotud seaduses kirjeldatud tingimustega. Näiteks ei järgne juhatuse liikme tegutsemisõiguse ajutine peatamine automaatselt igale ründele. Andmekaitse trahvimenetlus on eraldi raamistik; AKI trahvide käsitlus ei anna NIS2 sanktsioonide tariifi. Nõuete täitmise plaani tasub juhtida tegeliku teenuseriski ja õiguslike kohustuste järgi, mitte üksnes suurima võimaliku numbri järgi.
Alustada tuleks kohaldamisala ja tähtaegade põhjendamisest, seejärel vastutuse määramisest ning kriitiliste teenuste ja süsteemide kaardistamisest. Järgmine samm on suurimate puuduste kõrvaldamine koos teavitamisvõime kontrolliga. Näiteks saab lauaõppusel läbi mängida, kuidas nädalavahetusel avastatud katkestus jõuab tehnilisest häirest juhtimisotsuse ja õigeaegse teateni. Harjutuse tulemus peaks olema parandatud töökorraldus, mitte ainult osalejate nimekiri. Nii muutub NIS2 rakendamine kontrollitavaks teenuse kaitsmise tööks.