Stenbocki maja / Rahukohtu 3 / 15161 Tallinn / Estonia / registrikood 70004809 +372 693 5555 / [email protected] / www.riigikantselei.ee

Riigikogu juhatus   Meie: 01.10.2026 nr 2-6/26-01922-1

      Seaduseelnõu algatamine

  Vabariigi  Valitsus  algatab  e-identimise  ja  e-tehingute  usaldusteenuste  seaduse,  riigilõivuseaduse  ja karistusseadustiku muutmise  seaduse  eelnõu, mis oli  arutusel Vabariigi  Valitsuse 1. oktoobri 2026. a istungil.   Riigikogus esindab seaduseelnõu menetlemisel Vabariigi Valitsust justiits- ja digiminister.     Lugupidamisega     (allkirjastatud digitaalselt) Heili Tõnisson Valitsuse nõunik     Lisad:  1. Seaduseelnõu üheksal lehel (PDF- ja DOCX-failid)  2. Seletuskiri 35 lehel (PDF- ja DOCX-failid)  3. Lisa 1 seletuskirja juurde kolmel lehel (PDF- ja DOCX-failid)  4. Lisa 2 seletuskirja juurde kolmel lehel (PDF- ja DOCX-failid) 5. Lisa 3 seletuskirja juurde 13 lehel (PDF- ja DOCX-failid)   Heili Tõnisson [email protected]

.

1

EELNÕU

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise seadus

§ 1. E-identimise ja e-tehingute usaldusteenuste seaduse muutmine

E-identimise ja e-tehingute usaldusteenuste seaduses tehakse järgmised muudatused:

1) paragrahvi 1 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Käesolev seadus reguleerib e-identimist, e-identimise süsteemi usaldusväärsuse taseme

hindamist, e-tehinguteks vajalike usaldusteenuste osutamist, Euroopa digiidentiteedikukru

pakkumist ning riikliku järelevalve korraldust ulatuses, milles need ei ole reguleeritud Euroopa

Parlamendi ja nõukogu määruses (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike

usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L

257, 28.08.2014, lk 73–114) ning Euroopa Parlamendi ja nõukogu määruses (EL) 2024/1183,

millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku

kehtestamisega (ELT L, 2024/1183, 30.04.2024).

(2) E-identimisele, e-tehinguteks vajalike usaldusteenuste osutamisele ja Euroopa

digiidentiteedikukru pakkumisele kohaldatakse käesolevat seadust ja muid riigisiseseid õigusakte,

kui Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 järgi tuleb lähtuda riigisisesest

õigusest või kui määrus annab võimaluse reguleerida teatud valdkondi riigisisese õigusega.“;

2) paragrahvi 1 lõiget 5 täiendatakse pärast tekstiosa „isikut tõendavatel dokumentidel põhinevate

e-identimise süsteemide“ tekstiosaga „ning Euroopa digiidentiteedikukru“;

3) paragrahv 2 muudetakse ja sõnastatakse järgmiselt:

„§ 2. Asutuste pädevus

(1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 7 punktis f ning artiklites 5a,

5b, 5d, 5e, 9, 12, 46a, 46b ja 48a sätestatud liikmesriigi ülesandeid täidab Riigi Infosüsteemi Amet

(edaspidi pädev asutus).

(2) Pädev asutus võib Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artiklis 5a

sätestatud liikmesriigi ülesannete täitmiseks anda lepingu alusel üle kohustusi teenuse osutajale.

(3) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5a lõike 4 punkti d alapunktis

iii ja lõike 5 punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab

Andmekaitse Inspektsioon.

(4) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c lõigetes 3 ja 7 ning artikli

45f lõikes 3 sätestatud ülesandeid täidab valdkonna eest vastutav ministeerium.“;

2

4) seaduse 2. peatüki pealkiri muudetakse ja sõnastatakse järgmiselt:

„2. peatükk

Usaldusteenus, usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja“;

5) paragrahvi 3 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Pädev asutus võib korraldada usaldusteenuse infrastruktuuri loomise, haldamise ja

ajakohastamise Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 46b lõike 5

kohaselt.“;

6) seadust täiendatakse §-ga 31 järgmises sõnastuses:

㤠31. Digiidentiteedikukrule tuginevate isikute register

(1) Digiidentiteedikukrule tuginevate isikute register (edaspidi register) on riigi infosüsteemi

kuuluv andmekogu, mille eesmärk on registreerida Eestis asutatud isikud, kes kavatsevad tugineda

Euroopa digiidentiteedikukrule avalike või erateenuste osutamiseks, ning teha nende kohta esitatud

teave läbipaistvuse ja usalduse tagamiseks inim- ja masinloetaval kujul avalikult kättesaadavaks.

Register on digiidentiteedikukrule tuginevate isikute riiklik register Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 artikli 5b lõike 5 ja komisjoni rakendusmääruse (EL)

2025/848, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

rakenduseeskirjad kukrule tuginevate isikute (edaspidi digiidentiteedikukrule tuginev isik)

registreerimise kohta (ELT L, 2025/848, 07.05.2025), artikli 3 lõike 1 tähenduses.

(2) Riigi Infosüsteemi Amet kehtestab ja avalikustab oma veebilehel registrisse teabe esitamise

korra.

(3) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid.

(4) Registris säilitatakse:

1) rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid kümme aastat registrikande

tegemisest arvates;

2) logiandmeid kümme aastat registrikande tegemisest arvates;

3) muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik registrikande kustutab.

(5) Registrisse kantud andmed on avalikud, välja arvatud avaliku teabe seaduse alusel määratud

piiratud juurdepääsuga teave.

(6) Andmekogu vastutav töötleja on Riigi Infosüsteemi Amet.

(7) Registri põhimääruse kehtestab valdkonna eest vastutav minister määrusega, milles

sätestatakse:

1) andmete täpne koosseis, sealhulgas isikustamata andmed;

2) andmeandjad ja nende esitatavad andmed;

3) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused;

4) registri rahastamine;

5) registriga seotud muud korralduslikud nõuded.

3

(8) Pädev asutus võib teha otsuse digiidentiteedikukrule tugineva isiku registreeringu peatamiseks

või kehtetuks tunnistamiseks komisjoni rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2 loetletud

juhtudel.“;

7) seadust täiendatakse §-ga 41 järgmises sõnastuses:

㤠41. Turvaintsidendist teavitamine

(1) Euroopa digiidentiteedikukru pakkuja või usaldusteenuse osutaja teavitab pädevat asutust 24

tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib mõjutada usaldusteenuse, Euroopa

digiidentiteedikukru või selle kaudu osutatava teenuse turvalisust, töökindlust või usaldusväärsust.

(2) Teade peab sisaldama:

1) turvaintsidendi kirjeldust;

2) hinnangut turvaintsidendi mõjule;

3) teavet rakendatud või kavandatavate mõju vähendamise meetmete kohta;

4) muud pädeva asutuse nõutud teavet, mis on vajalik Euroopa Liidu õigusaktidest tulenevate

kohustuste täitmiseks.

(3) Pädeval asutusel on õigus nõuda Euroopa digiidentiteedikukru pakkujalt või usaldusteenuse

osutajalt turvaintsidendi kohta täiendavat teavet ja dokumente, mis on vajalikud turvaintsidendi

mõju hindamiseks ning Euroopa Liidu õigusaktidest tulenevate kohustuste täitmiseks.“;

8) paragrahvi 5 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 5. Nõuded kvalifitseeritud usaldusteenuse osutajale, usaldusteenuse osutamisele, Euroopa

digiidentiteedikukru pakkujale ja Euroopa digiidentiteedikukru pakkumisele“;

9) paragrahvi 5 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Kvalifitseeritud usaldusteenus ja selle osutaja ning Euroopa digiidentiteedikukkur ja selle

pakkuja peavad vastama Euroopa Parlamendi ja nõukogu määrusele (EL) nr 910/2014, selle alusel

kehtestatud rakendusaktidele ning käesolevas seaduses sätestatud nõuetele.

(2) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 13 lõigetes 1 ja 2 nimetatud

kahju hüvitamise tagamiseks peab kvalifitseeritud usaldusteenuse osutajal olema usaldusteenuse

osutamise ajal vastutuskindlustus, mille kindlustussumma on vähemalt üks miljon eurot aastas iga

kindlustusjuhtumi kohta ja vähemalt kaks miljonit eurot aastas kõigi juhtumite kohta kokku, või

sama suurusega tagatis või rahalised vahendid asjakohase tõendusega.“;

10) paragrahvi 5 lõige 3 muudetakse ning sõnastatakse järgmiselt:

„(3) Kvalifitseeritud usaldusteenuse osutaja dokumenteerib usaldusteenuse osutamisel tehtud

toimingud ning säilitab sellekohast tegevuslogi 12 aastat kirje loomisest arvates.“;

11) paragrahvi 5 lõige 4 tunnistatakse kehtetuks;

12) paragrahvi 5 lõikes 5 asendatakse tekstiosa „väljastamist isikusamasuse, kontrollib

seda“ tekstiosaga „väljastamist isikusamasuse Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 24 lõike 1a punkti a alusel. Sama lõike punkti d puhul kontrollib isikusamasust“;

13) paragrahvi 5 lõiget 9 täiendatakse pärast tekstiosa „usaldusteenuse osutaja“ tekstiosaga „ja

tema alltöövõtja“;

4

14) paragrahvi 5 täiendatakse lõigetega 10–12 järgmises sõnastuses:

„(10) Euroopa digiidentiteedikukru rakendustarkvara komponendid peavad olema avatud

lähtekoodiga, välja arvatud mujale kui kasutajaseadmele paigaldatavad komponendid, kui see on

põhjendatud turvalisuse või ärisaladuse kaitsega.

(11) Euroopa digiidentiteedikukru pakkuja kannab Euroopa digiidentiteedikukrusse lisaks

komisjoni rakendusmääruses (EL) 2024/2977, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrutesse

väljastatavate isikutuvastusandmete ja elektrooniliste tõenditega (ELT L, 2024/2977, 04.12.2024),

nõutud kohustuslikele isikutuvastusandmetele ka Euroopa digiidentiteedikukru kasutaja

isikukoodi.

(12) Euroopa digiidentiteedikukru pakkujal on õigus teha käesoleva paragrahvi lõikes 11 nimetatud

isikutuvastusandmete Euroopa digiidentiteedikukrusse kandmiseks ja nende ajakohasuse

tagamiseks päringuid isikut tõendavate dokumentide andmekogusse ja rahvastikuregistrisse.“;

15) paragrahvi 6 pealkiri muudetakse ja sõnastatakse järgmiselt:

㤠6. Kvalifitseeritud usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja

loakohustus ja usaldusteenuse usaldusnimekirja kandmine“;

16) paragrahvi 6 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Kvalifitseeritud usaldusteenuse osutamise luba kehtib kuni kaks aastat.“;

17) paragrahvi 6 täiendatakse lõigetega 4 ja 5 järgmises sõnastuses:

„(4) Euroopa digiidentiteedikukru pakkumiseks peab isikul olema kehtiv Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 artikli 5c kohane sertifikaat, mida tõendab asjaomane luba.

(5) Euroopa digiidentiteedikukru pakkumise luba kehtib kuni viis aastat.“;

18) paragrahvi 7 lõike 3 punkt 1 muudetakse ja sõnastatakse järgmiselt:

„1) usaldusteenuse nimetus, kirjeldus, sealhulgas teenuse osutamise piirkond ja tegevusvoogude

skeemid, teenuse osutamise põhimõtted, teenuse poliitikad, teenuse lõpetamise kava ja

usaldusnimekirja lisatav teenuse sertifikaat selle olemasolu korral;“

19) paragrahvi 7 lõiget 3 täiendatakse punktiga 11 järgmises sõnastuses:

„11) allkirjastatud vastavushindamisaruanne, mis sisaldab lisaks komisjoni rakendusmääruses (EL)

2025/2162, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

rakenduseeskirjad seoses kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate

kvalifitseeritud usaldusteenuste hindamist teostavate vastavushindamisasutuste akrediteerimise,

vastavushindamisaruande ja vastavushindamissüsteemiga (ELT L, 2025/2162, 28.10.2025),

sätestatud nõuetele ka põhjendatud järeldust usaldusteenuse ja selle osutaja vastavuse või

mittevastavuse kohta käesolevas seaduses ja küberturvalisuse seaduses sätestatud nõuetele ning

millele on lisatud audiitori pädevust tõendav teave;“;

20) paragrahvi 7 lõiget 3 täiendatakse punktidega 3, 4 ja 5 järgmises sõnastuses:

5

„3) usaldusteenuse riskianalüüs, milles tuleb esitada süsteemi turvalisust ja teenuse toimepidevust

mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määrata riskide

realiseerumise korral tekkiva küberintsidendi tagajärgede raskusaste ning kirjeldada

küberintsidendi lahendamise abinõusid;

4) tõend käesoleva seaduse § 5 lõikes 2 sätestatud nõude kohta;

5) komisjoni rakendusmäärusele (EL) 2024/2981, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrute

sertifitseerimisega (ELT L, 2024/2981, 04.12.2024), vastav Euroopa digiidentiteedikukru

kirjeldus, mis sisaldab e-identimise süsteemi kirjeldust, mille alusel Euroopa digiidentiteedikukrut

pakutakse, Euroopa digiidentiteedikukru sertifikaat ja sertifitseerimise hindamise aruanne.“;

21) paragrahvi 7 lõige 4 tunnistatakse kehtetuks;

22) paragrahvi 8 punktid 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„1) taotleja ja usaldusteenus või Euroopa digiidentiteedikukru pakkumine vastab Euroopa

Parlamendi ja nõukogu määruses (EL) nr 910/2014 ning käesolevas seaduses sätestatud nõuetele;

2) usaldusteenuse osutaja on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

artiklis 20 nimetatud vastavushindamise;“;

23) paragrahvi 8 täiendatakse punktiga 21 järgmises sõnastuses:

„21) Euroopa digiidentiteedikukkur on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 5c kohase sertifitseerimise;“;

24) paragrahvi 9 lõike 1 punkt 1 muudetakse ja sõnastatakse järgmiselt:

„1) esitatud taotluse ning vastavushindamise tulemuse alusel ei vasta loa taotluse esitaja, tema

osutatav usaldusteenus või Euroopa digiidentiteedikukkur Euroopa Parlamendi ja nõukogu

määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele;“;

25) paragrahvi 9 lõiget 1 täiendatakse punktiga 4 järgmises sõnastuses:

„4) taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi

vastuolusid.“;

26) paragrahvi 9 lõike 2 sissejuhatavat lauseosa täiendatakse pärast tekstiosa „loa

kehtetuks“ tekstiosaga „lisaks majandustegevuse seadustiku üldosa seaduse §-s 37 sätestatule“;

27) paragrahvi 9 lõike 2 punktid 1–3 muudetakse ja sõnastatakse järgmiselt:

„1) kehtetuks tunnistamist taotleb loa omanik;

2) pärast loa andmist selgub, et loa omanik või tema osutatav teenus ei vasta Euroopa Parlamendi

ja nõukogu määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele ning teenuse osutaja ei ole

pädeva asutuse antud tähtaja jooksul viinud oma tegevust nõuetega kooskõlla;

3) loa omanik on lõpetanud teenuse osutamise.“;

28) paragrahvi 9 lõikes 3 asendatakse tekstiosa „usaldusteenuse“ tekstiosaga „teenuse“;

29) paragrahvi 9 lõige 4 muudetakse ja sõnastatakse järgmiselt:

6

„(4) Loa kehtetuks tunnistamise korral muudetakse usaldusteenuse osutaja ja usaldusteenuse

staatus usaldusnimekirjas kehtetuks.“;

30) paragrahvi 10 lõige 3 muudetakse ja sõnastatakse järgmiselt: „(3) Kvalifitseerimata usaldusteenuse osutaja ja usaldusteenus kantakse nimekirja kuni kaheks

aastaks.“;

31) paragrahvi 12 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 12. Soovituslikud juhendid ja sertifitseerimise kord“;

32) paragrahvi 12 lõige 2 tunnistatakse kehtetuks;

33) paragrahvi 12 täiendatakse lõigetega 21–23 järgmises sõnastuses:

„(21) Euroopa digiidentiteedikukru sertifitseerimise kavade loomist, ajakohasena hoidmist ning

perioodilist läbivaatamist korraldab valdkonna eest vastutav ministeerium.

(22) Ajakohased Euroopa digiidentiteedikukru sertifitseerimise kavad teeb internetis avalikult

kättesaadavaks valdkonna eest vastutav ministeerium.

(23) Euroopa digiidentiteedikukrut sertifitseerib lõikes 21 nimetatud kava kohaselt selleks

akrediteeritud vastavushindamisasutus.“;

34) paragrahvi 13 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutamisega“ tekstiosaga

„ja Euroopa digiidentiteedikukru pakkumisega“;

35) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Usaldusteenuse osutaja või Euroopa digiidentiteedikukru pakkuja teavitab vähemalt üks kuu

enne teenuse osutamise muudatuse rakendamist pädevat asutust loa taotluses või usaldusnimekirja

kandmise taotluses esitatud andmete muutumisest. Teenuse osutamise lõpetamise kavatsusest

teavitatakse pädevat asutust vähemalt kolm kuud ette.“;

36) paragrahvi 13 lõiked 3 ja 4 muudetakse ning sõnastatakse järgmiselt:

„(3) Kui usaldusteenuse või Euroopa digiidentiteedikukru pakkumise sisu muutub, on pädeval

asutusel õigus nõuda käesoleva seaduse §-s 7 nimetatud taotluse uuesti esitamist. Pädev asutus

teavitab usaldusteenuse osutajat või Euroopa digiidentiteedikukru pakkujat taotluse esitamise

vajadusest 14 päeva jooksul käesoleva paragrahvi lõikes 1 sätestatud teavituse kättesaamisest

arvates.

(4) Teenuse muutmise taotluse läbivaatamise eest tasutakse riigilõivu riigilõivuseaduses sätestatud

määras.“;

37) paragrahvi 18 täiendatakse lõikega 5 järgmises sõnastuses:

„(5) Usaldusteenuse osutaja, kelle usaldusteenus ei võimalda peatatud sertifikaadi kehtivust

taastada, rakendab käesoleva seaduse §-des 19 ja 20 sätestatut.“;

38) paragrahvi 19 lõiget 2 täiendatakse punktiga 4 järgmises sõnastuses:

7

„4) isikut tõendavate dokumentide väljaandja isikut tõendavate dokumentide seaduse § 2 lõike 2

punktides 1–12 nimetatud dokumendile kantud sertifikaatide suhtes ja samas seaduses sätestatud

alustel.“;

39) paragrahvi 19 lõike 4 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) sertifikaadi omaja tegevuse lõpetamise tõttu tema sertifitseerimise registrist kustutamine;“;

40) paragrahvi 19 lõiget 4 täiendatakse punktiga 16 järgmises sõnastuses:

„16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi väljastamine ei vastanud

usaldusteenuse osutamise loa tingimustele või Euroopa Parlamendi ja nõukogu määruses (EL) nr

910/2014 või käesolevas seaduses sätestatud nõuetele.“;

41) paragrahvi 19 lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Enne isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud

dokumendile kantud sertifikaadi kehtetuks tunnistamist teavitab usaldusteenuse osutaja sellest

dokumendi väljaandjat.“;

42) seaduse 3. peatükki täiendatakse §-ga 231 järgmises sõnastuses:

„§ 231. Sunniraha määr

Riikliku järelevalvemenetluse käigus ettekirjutuse täitmata jätmise korral on asendustäitmise ja

sunniraha seaduses sätestatud korras rakendatava sunniraha kohaldamise igakordne ülemmäär 500

000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest

kogukäibest, olenevalt sellest, kumb summa on suurem.“;

43) seadust täiendatakse 31. peatükiga järgmises sõnastuses:

„31. peatükk

Teabevahetus

§ 232. Teabevahetus teenuse osutajatega

(1) Valdkonna eest vastutaval ministeeriumil ja pädeval asutusel on õigus nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014

sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.

(2) Isikud on kohustatud andma käesoleva paragrahvi lõikes 1 nimetatud asutusele samas lõikes

viidatud määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.

(3) Käesoleva paragrahvi lõikes 1 nõutav teave peab olema ülesande täitmise jaoks vajalik ja

proportsionaalne.

(4) Teabe või dokumendi saamise taotlus tuleb vormistada kirjalikult. Teabe saamise taotluses

tuleb selgitada, millise ülesande täitmiseks teavet vajatakse ning kuidas seda kasutatakse. Teabe

esitamiseks tuleb anda mõistlik tähtaeg, mis ei või olla lühem kui kümme tööpäeva teabenõude

kättesaamisest arvates.“.

8

44) seadust täiendatakse 32. peatükiga järgmises sõnastuses:

„32. peatükk

Vastutus

§ 233. Usaldusteenuse osutamise nõuete rikkumine

(1) Käesoleva seaduse § 5, § 6 lõikes 1 või § 13 lõikes 1 sätestatud nõude rikkumise eest –

karistatakse usaldusteenuse osutajat rahatrahviga kuni 5 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 5 000 000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise

majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb summa on suurem.

§ 234. Menetlus

Käesoleva seaduse §-s 233 sätestatud väärteo kohtuväline menetleja on Riigi Infosüsteemi

Amet.“;

45) paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga „sertifitseerimise“.

§ 2. Riigilõivuseaduse muutmine

Riigilõivuseaduses tehakse järgmised muudatused:

1) paragrahvi 1162 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga

„loa ja Euroopa digiidentiteedikukru pakkuja“;

2) paragrahvi 1162 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Kvalifitseeritud usaldusteenuse osutaja loa, Euroopa digiidentiteedikukru pakkuja loa ja

kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise taotluse

läbivaatamise eest tasutakse riigilõivu 1030 eurot iga usaldusteenuse või Euroopa

digiidentiteedikukru kohta.

(2) Kvalifitseeritud usaldusteenuse osutaja korduva loa, Euroopa digiidentiteedikukru pakkuja

korduva loa ja kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise

korduva taotluse läbivaatamise eest tasutakse riigilõivu 770 eurot iga usaldusteenuse või Euroopa

digiidentiteedikukru kohta.“;

3) paragrahvi 1162 lõiget 3 täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga „või

Euroopa digiidentiteedikukru pakkuja“.

§ 3. Karistusseadustiku muutmine

Karistusseadustiku § 350 tekst muudetakse ja sõnastatakse järgmiselt:

„Tähtis isiklik dokument käesoleva jao tähenduses on isikut tõendavate dokumentide seaduse § 2

lõikes 2 loetletud dokument, mootorsõidukijuhi juhiluba, e-identimise ja e-tehingute

9

usaldusteenuste seaduse § 211 kohase hindamise positiivselt läbinud e-identimise süsteemi e-

identimise vahend ja Euroopa digiidentiteedikukkur.“.

Lauri Hussar

Riigikogu esimees

Tallinn, 2026

Algatab Vabariigi Valitsus 12. oktoobril 2026. a nr 2-6/26-01922

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)

Heili Tõnisson

Valitsuse nõunik

1

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise

seaduse eelnõu seletuskirja juurde

Lisa 1

Rakendusakti kavand

MINISTRI

MÄÄRUS

Digiidentiteedikukrule tuginevate isikute registri põhimäärus

Määrus kehtestatakse e-identimise ja e-tehingute usaldusteenuste seaduse § 31 lõike 7 alusel.

1. peatükk

Üldsätted

§ 1. Registri pidamise eesmärk

Digiidentiteedikukrule tuginevate isikute registri (edaspidi register) eesmärk on pidada

tuginevate isikute ja nende Euroopa digiidentiteedikukru kasutajatelt küsitavate andmete üle

arvestust, et tagada õiguspärane teenuse osutamine ja isikule kuuluvate andmete kasutamine.

§ 2. Registri vastutav töötleja

(1) Registri vastutav töötleja on Riigi Infosüsteemi Amet (edaspidi vastutav töötleja).

(2) Registri vastutav töötleja majutab registrit ning korraldab registri teenuste ja tehnoloogilise

keskkonna haldamist.

§ 3. Registri kasutajad

Registri kasutajad on:

1) registri vastutav töötleja;

2) tuginev isik Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (muudetud

määrusega (EL) 2024/1183) tähenduses (edaspidi digiidentiteedikukrule tuginev isik);

3) Euroopa digiidentiteedikukru omanik.

§ 4. Registri ülesehitus ja turvalisus

(1) Registrit peetakse e-identimise ja e-tehingute usaldusteenuste seaduse, avaliku teabe

seaduse, isikuandmete kaitse seaduse ja käesoleva määruse kohaselt.

(2) Registrit peetakse digitaalse andmekoguna, mis hõlmab aktuaalseid ja arhiveeritud

registriandmeid.

(3) Registriandmete turvaklass on K2T2S2. Registri turbeaste on keskmine C2I2A2.

2. peatükk

Andmekoosseis ja andmete esitamine registrisse

§ 5. Registrisse kantavad andmed

(1) Registrisse kantakse digiidentiteedikukrule tugineva isiku kohta järgmised andmed:

2

1) identifitseerimis-, registri-, asukoha- ja kontaktandmed;

2) andmed digiidentiteedikukrule tugineva isiku tegevuse, osutatavate teenuste, staatuse,

õiguste ning vahendaja kasutamise ja vahendussuhte kohta;

3) andmed digiidentiteedikukrule tugineva isiku eesmärgi kohta;

4) andmed, tõendid ja atribuudid, mida digiidentiteedikukrule tuginev isik kavatseb Euroopa

digiidentiteedikukrult taotleda;

5) muud registri pidamise eesmärgi täitmiseks vajalikud mitteisikustatud andmed.

(2) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja ees- ja

perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid vastavalt e-identimise ja e-

tehingute usaldusteenuste seaduse § 3¹ lõikele 3.

§ 6. Andmeandja

(1) Digiidentiteedikukrule tuginev isik edastab registrile järgnevad andmed:

1) e-posti aadressi;

2) oma tööandja nime ja registrikoodi;

3) oma ametinimetuse.

(2) Äriregister edastab registrile ettevõtte nime ja registrikoodi.

(3) Andmenõusoleku teenuse ja volituste haldamise andmekogu edastab registrile järgnevad

andmed:

1) volitaja ja volitatava ees- ja perekonnanime;

2) füüsilise isiku puhul tema isikukoodi;

3) juriidilise isiku puhul tema registrikoodi;

4) volituse ulatuse.

§ 7. Registritoimingud

(1) Registritoimingud on:

1) andmete registrisse kandmine;

2) andmete muutmine;

3) andmete vaatamine;

4) andmete edastamine;

5) andmete kustutamine;

(2) Registritoiminguid teevad andmeandja ja vastutav töötleja.

(3) Registritoimingu kohta kogutakse järgmisi andmeid:

1) toimingu tegija andmed;

2) toimingu tegemise sisu, kuupäev ja kellaaeg.

§ 8. Registrisse andmete esitamise ja menetlemise kord

(1) Andmeandja esitab enne teenuse osutamisega alustamist andmed teenuse kohta registrisse

elektrooniliselt registri kaudu või muul kokkulepitud viisil.

(2) Tugineva isiku poolt esitab registrisse andmed seaduslik või volitatud esindaja. Tuginev

isiku esindaja tuvastatakse digitaalset isiku tuvastamist võimaldava sertifikaadiga.

(3) Registri vastutav töötleja vaatab esitatud andmed üle 20 tööpäeva jooksul ja annab

vajadusel tuginevale isikule tähtaja puuduste kõrvaldamiseks.

3

(4) Oluliste puuduste puhul võib vastutav töötleja registreeringu puuduste kõrvaldamiseni

peatada.

(5) Puuduste tähtajaks kõrvaldamata jätmisel on vastutaval töötlejal õigus motiveeritud

otsusega registreering peatada või kehtetuks tunnistada.

§ 9. Registriandmete õigsus

(1) Andmeandja vastutab tema registrisse kantud andmete õigsuse eest.

(2) Registriandmetes vea tuvastamisel või veast teadasaamisel on andmeandja kohustatud

kontrollima andmete õigsust ja ebaõiged andmed viivitamata parandama.

3. peatükk

Juurdepääs registriandmetele ja andmete säilitamine

§ 10. Juurdepääs registriandmetele

(1) Registriandmed on mõeldud Euroopa digiidentiteedikukru teenusega seotud teenuste

osutamiseks ja kasutamiseks.

(2) Juurdepääsupiiranguga registriandmed on digiidentiteedikukrule tugineva isiku poolt

ärisaladuseks määratud vahendaja ja kontaktisiku andmed ning avaliku teabe seaduse § 35 lõike

1 punktis 12 nimetatud teave.

(3) Digiidentiteedikukrule tuginev isik teavitab teabe ärisaladuseks määramiseks registri

vastutavat töötlejat.

§ 11. Registriandmete arhiveerimine ja arhiveeritud andmete säilitamise tähtaeg

Registriandmeid säilitatakse kümme aastat pärast registrikande kehtetuks muutmist.

4. peatükk

Registri rahastamine ja tegevuse lõpetamine

§ 12. Registri rahastamine

Registri pidamise kulu kaetakse vastutavale töötlejale riigieelarvest eraldatud vahenditest.

§ 13. Registri tegevuse lõpetamine

(1) Registri tegevuse lõpetamise otsustab valdkonna eest vastutav minister.

(2) Registri tegevus lõpetatakse kooskõlas arhiiviseadusega.

(allkirjastatud digitaalselt)

Liisa-Ly Pakosta

Justiits- ja digiminister

(allkirjastatud digitaalselt)

Tiina Uudeberg

Kantsler

1

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise

seaduse eelnõu seletuskirja juurde

Lisa 2

Euroopa Liidu õiguse rakendamise vastavustabel

Euroopa Parlamendi ja nõukogu määrus (EL) nr 910/2014 (mida on muudetud määrusega (EL) 2024/1183) on tervikuna ja vahetult kohaldatav. Käesolev tabel kajastab

üksnes neid määruse ja selle rakendusmääruste sätteid, mille rakendamiseks on vajalik riigisisene meede. Kasutatud lühendid: EUTS – e-identimise ja e-tehingute

usaldusteenuste seadus; RLS – riigilõivuseadus; KarS – karistusseadustik.

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikkel 5a

(Euroopa digiidentiteedikukru pakkumine ja

liikmesriigi ülesanded)

Jah EUTS § 2 lõiked 1 ja 2 Pädeva asutuse (Riigi Infosüsteemi Amet) määramine ning

ülesannete lepinguline üleandmine teenuse osutajale.

Määrus (EL) nr 910/2014 artikli 5a lõike 4

punkti d alapunkt iii ja lõike 5 punkti a

alapunkt x (riiklik andmekaitseasutus)

Jah EUTS § 2 lõige 3 Andmekaitse Inspektsiooni kui pädeva riikliku

andmekaitseasutuse rolli määramine; kooskõlastusringil jäeti

Andmekaitse Inspektsiooni märkuse alusel eelnõust välja § 22

muudatused.

Määrus (EL) nr 910/2014 artikkel 5b ja

rakendusmäärus (EL) 2025/848 (kukrule

tuginevate isikute registreerimine)

Jah EUTS § 3¹ ja tuginevate isikute

registri põhimäärus

Tuginevate isikute registri asutamine ja pidamine.

Rakendusakti kavand esitatakse seletuskirja lisas 1.

Määrus (EL) nr 910/2014 artikli 5c lõige 1

(Euroopa digiidentiteedikukru

sertifitseerimine)

Jah EUTS § 6 lõige 4 ja § 8 punkt 2¹ Euroopa digiidentiteedikukru pakkuja loakohustus ja kehtiva

sertifitseeringu nõue.

Määrus (EL) nr 910/2014 artikli 5c lõiked 3

ja 7 ning artikli 45f lõige 3

Jah EUTS § 2 lõige 4 Nimetatud ülesannete täitmine antakse valdkonna eest

vastutavale ministeeriumile.

Määrus (EL) nr 910/2014 artikli 7 punkt f

ning artiklid 5d, 5e, 9, 12, 46a, 46b ja 48a

(liikmesriigi ülesanded)

Jah EUTS § 2 lõige 1 Nimetatud liikmesriigi ülesandeid täidab pädeva asutusena

Riigi Infosüsteemi Amet.

Määrus (EL) nr 910/2014 artikli 13 lõiked 1

ja 2 (vastutus ja kahju hüvitamine)

Jah EUTS § 5 lõige 2 Kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse

nõue.

2

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikkel 16

(karistused)

Jah EUTS §-d 23¹, 23³ ja 23⁴ ning

KarS § 350

Sunniraha ülemmäär, väärteovastutus ja kohtuväline menetleja

ning tähtsa isikliku dokumendi mõiste laiendamine Euroopa

digiidentiteedikukrule.

Määrus (EL) nr 910/2014 artikli 46a lõike 3

punkt a (kukru pakkuja järelevalve)

Jah EUTS § 6 lõige 4 Ex ante ja ex post järelevalve tagatakse loakohustuse kaudu.

Määrus (EL) nr 910/2014 artikkel 48a

(statistika kogumine ja aruandlus)

Jah EUTS § 23² (3¹. peatükk) Teabevahetuse ja aruandluse kohustus (eelnõu § 1 punkt 42).

Komisjoni rakendusmäärus (EL) 2024/2977

(isikutuvastusandmed ja isikuandmete

atribuudid)

Jah EUTS § 5 lõige 11 Euroopa digiidentiteedikukru kasutaja isikukoodi kandmine

kukrusse.

Komisjoni rakendusmäärus (EL) 2024/2981

(Euroopa digiidentiteedikukru

sertifitseerimine)

Jah EUTS § 7 lõike 3 punkt 5 Euroopa digiidentiteedikukru kirjelduse ja sertifitseerimise

hindamise aruande esitamine.

Komisjoni rakendusmäärus (EL) 2025/2162

(usaldusteenuste vastavushindamine)

Jah EUTS § 7 lõike 3 punkt 1¹ Vastavushindamise aruande sisu ja vormi nõuded.

Komisjoni rakendusmäärus (EL) 2025/848

(kukrule tuginevate isikute register)

Jah EUTS § 3¹ ja tuginevate isikute

registri põhimäärus

Registri sisu ja pidamine, sealhulgas I lisa teabe avalikustamine

(artikli 3 lõige 4), säilitustähtaeg (artikkel 10) ning

registreeringu peatamine ja tühistamine (artikkel 9).

Komisjoni rakendusmäärus (EL) 2025/847

(turvaintsidentidest teavitamine)

Jah EUTS § 4¹ Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja

kohustus teavitada pädevat asutust turvaintsidentidest.

Riigisisene lõivumeede (Euroopa

digiidentiteedikukru pakkuja loataotlus)

Jah RLS § 116² Riigilõivu määr Euroopa digiidentiteedikukru pakkuja

loataotluse ja korduva taotluse läbivaatamise eest.

Määrus (EL) nr 910/2014 artikli 24 lõike 1a

punkt d (isikusamasuse kontrollimine

füüsilisel kohalolekul)

Jah EUTS § 5 lõige 5 Isiku tuvastamise viis Euroopa digiidentiteedikukru

väljastamisel füüsilise kohalolekuga menetluses.

Määrus (EL) nr 910/2014 artikli 5a lõige 2

(avatud lähtekoodi erand)

Jah EUTS § 5 lõige 10 Erand avatud lähtekoodi nõudest komponentidele, mis ei

paikne kasutajaseadmel, kui see on põhjendatud turvalisuse või

ärisaladuse kaitsega.

3

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikkel 5a lõige 9

ning rakendusmäärus (EL) 2024/2977

Jah EUTS § 5 lõige 12 Euroopa digiidentiteedikukru pakkuja õigus teha

isikutuvastusandmete kandmiseks ja ajakohasuse tagamiseks

päringuid isikut tõendavate dokumentide andmekogusse ja

rahvastikuregistrisse.

Määrus (EL) nr 910/2014 artikli 5c lõige 3

(sertifitseerimiskavad)

Jah EUTS § 12 lõiked 2¹–2³ Euroopa digiidentiteedikukru sertifitseerimise kavade loomine,

ajakohasena hoidmine, avalikustamine ja nende kohaldamine

sertifitseerimisel.

1

E-identimise ja e-tehingute usaldusteenuste

seaduse, riigilõivuseaduse ja karistusseadustiku

muutmise seaduse eelnõu seletuskirja juurde

Lisa 3

Eelnõu kooskõlastustabel

E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu kooskõlastustabel

ID Asutus Asutuse kommentaar/tagasiside JDM seisukoht

1. Eesti

Linnade ja

Valdade Liit

Seletuskirjas (lk 22) on märgitud, et „teenuste liidestamine

digikukruga ja tõendite koostalitlusvõime tagamine on iga haldusala

ülesanne" ning et Euroopa digiidentiteedi kukruga liidestuvate

ministeeriumide (haldusalade) kulud on kokku 2 000 000 eurot.

Seletuskirjast (lk 22) ei selgu, kuidas on vastav kulu välja arvutatud

ning palume seletuskirja vastavalt täiendada. Euroopa digiidentiteedi

kukruga liidestuvad ka omavalitsuste e-teenused, mistõttu on

koostalitlusvõime tagamise kulu katmine põhjendatud ka

omavalitsustele. Seletuskiri tunnistab (lk 22), et „asutused, kes keskset

autentimisteenust ei kasuta, peavad oma autentimislahendused ise

kohandama" ning mitmed omavalitsuste e-teenused TARA-t ei kasuta.

Seetõttu on ekslik väita, et omavalitsuste „koormus piirdub keskse

autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga“,

sest ka TARA kasutuselevõtt on lisakulu. Kohandusi tuleb aga teha

mitte ainult TARA-s ja SIGA-s, vaid ka omavalitsuste kasutatavates

TARAga liidestatud infosüsteemides (nt SPOKU, ARNO jne), et

autenditud EL kodanik saaks iseteeninduses toiminguid jätkata.

Liidestatud infosüsteemil on alati kaks poolt: kui TARA tagastatav

andmekoosseis muutub (nt kui isikukood ei ole enam kindel väli, sest

teise liikmesriigi kodanikul see puudub), tuleb sellega liidestatud

infosüsteemi vastavalt kohandada. Kuna omavalitsused kasutavad

teenuste osutamiseks laialdaselt erasektori pakutavaid infosüsteeme,

Arvestatud, seletuskirjas täpsemalt

kirjeldatud mõjusid kohaliku omavalitsuse

üksuste eelarvele.Selgitame, et kulud jaotuvad

kolmeks eri kategooriaks:

- TARA –ga (või ka SIGA jt digikukru

kasutamisega seotud süsteemid)

liitumisega seotud kulud, nende KOV

–de puhul kes TARA jt täna veel ei

kasuta

- SPOKU, ARNO jt süsteemid, mis täna

kasutavad eID lahendusi, teevad ise

vajalikud kohandused digikukru

toetamiseks, võivad aga küsida sellest

tulenevalt lisatasu, tõsta hinda vms

- Need KOV –d kes tahavad rohkem

panustada üleliidulisse digitaalsesse

ühisturgu, näiteks need kes täna juba

kasutavad TARA –s EU eID

võimalust, saavad nüüd suurema

võimaluse kergemalt toetada

rohkemate liikmesriikide eID läbi

2

kaasnevad sellega vähemalt analüüsikulud ning muudatuse korral ka

arenduskulud. Osa teenusepakkujaid võib analüüsi- ja arenduskulu

enda kanda võtta, kuid tavaliselt küsitakse selle eest omavalitsustelt

eraldi tasu. Seega kaasneb kohalikele omavalitsustele täiendav kulu.

Kuigi EL liikmesriikide kodanike autentimise võimekus on juba

TARA-sse ehitatud, ei ole seni selle kasutamine ja oma infosüsteemide

vastav kohandamine olnud omavalitsustele kohustuslik. Olemasolevad

infosüsteemid ei pruugi olla võimelised vastu võtma näiteks Rootsi

kodaniku andmekoosseisu, kellel puudub 11-kohaline isikukood.

Paljud infosüsteemid eeldavad isikukoodi olemasolu, kuid TARA

tehnilise kirjelduse (https://e-gov.github.io/TARA

Doku/TehnilineKirjeldus) kohaselt tagastatakse autenditud kasutaja

identifikaator (sub) väljal kas isikukoodi või eIDAS-identifikaatorina,

mis võib olla kuni 256 tähemärki pikk ja mis esitatakse koos riigikoodi

eesliitega. Seega ei pruugi olemasolev infosüsteem, mis on üles

ehitatud Eesti isikukoodi formaadile, sellist identifikaatorit ilma

kohandamiseta vastu võtta. Iga infosüsteemi pakkuja peab eelnõu

rakendamisel analüüsima, kas süsteem saab jätkuda olemasoleval

kujul või kaasnevad täiendavad arenduskulud. See oleneb konkreetse

süsteemi ülesehitusest. Kokkuvõtvalt – Euroopa digiidentiteedi

kukruga liidestatakse kohalike omavalitsuste e-teenused, mistõttu ei

ole õige väita, et kohalike omavalitsuste koormus piirdub keskse

autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga.

Kohalike omavalitsuste e-teenuste liidestamine Euroopa

digiidentiteedi kukruga ja tõendite koostalitlusvõime tagamine peab

olema sarnaselt keskvalitsuse institutsioonidega täielikult riiklikult

rahastatud. Palume seletuskirja vastavalt täiendada, tunnistades

omavalitsuste koostalitlusvõime tagamise kulu samamoodi nagu

haldusalade oma ning täiendades mõjuanalüüsi kohalike omavalitsuste

infosüsteemide kohandamise kulude hinnanguga. Palume tagada

riiklik rahastus.

digikukru ja potentsiaalselt ka

lisakulud sellega seotud.

Muud kuludega seotud:

- Need, kes TARA juba kasutavad, siis

plaan on, et olemasolevad TARA

kasutajad saavad ilma lisaarenduseta

digikukru kohustusliku osa (PID

kasutamine online) kasutusele võtta,

analoogselt kuidas 2019 lisandus

Smart-ID TARA –sse.

3

2. Eelnõu § 1 punkti 6 (e-identimise ja e-tehingute usaldusteenuse

seadus § 3¹) kohaselt tuleb digiidentiteedikukrule tuginevate isikute

registrisse registreerida ka avalike teenuste osutajad. Seletuskiri ei

selgita, kas iga omavalitsus peab end eraldi registreerima ja

pääsusertifikaadid taotlema või korraldatakse see keskselt. Palume

seletuskirjas seda täpsustada. Kuna individuaalne registreerimine

tähendaks omavalitsustele täiendavat töökoormust, siis palume see

keskselt korraldada.

Seletuskirja täiendatud selgitusega, et kõik

need, kes peavad digikukrut oma e-identimist

nõudvates e-teenustes aktsepteerima, peavad

end registreerima digikukrule tuginevate

isikute riiklikus registrisSee hõlmab ka

avaliku sektori asutusi, sealhulgas kohaliku

omavalitsuse üksuseid ja riigiasutusi.

Tänane kavatsus on TARA tänased kliendid

saada digikukrut kasutama võimalikult lihtsalt

(sh RP registri toimingud), et avaliku sektori

asutustel oleks sellega seotud võimalikult

väike halduskoormus.

3. Samuti märgime, et RIA-l tuleb vähemasti Euroopa digiidentiteedi

kukru rakendamise esimesel aastal pakkuda Euroopa digiidentiteedi

kukru kasutajatele kasutajatuge, sest kodanikel võivad Euroopa

digiidentiteedi kukru teenuse kasutamisel tekkida küsimusi või

probleeme.

Teadmiseks võetud.

4. Juhime ka tähelepanu, et eelnõus on kasutatud nii mõistet „Euroopa

digiidentiteedi kukkur“ kui ka „Euroopa digiidentiteedikukkur“ ning

palume see ühtlustada.

Arvestatud, mõisted eelnõus ühtlustatud.

5. Eesti

Infotehnoloo

gia ja

Telekommun

ikatsiooni

Liit

Rollide koondumine RIA-sse ja täiendav järelevalvekulu ITL juhib

tähelepanu Riigi Infosüsteemi Ameti (RIA) rollide ulatuslikule

koondumisele kavandatavas regulatsioonis. Eelnõu kohaselt hakkab

sama asutus täitma samaaegselt mitut keskset rolli: digikukru

lahenduse hankimine ja juurutamine, tegevusloa andmine ning

järelevalve ja täitevmenetluse läbiviimine. ITL peab oluliseks tagada

RIA hanke-, arhitektuuri- ja järelevalvefunktsioonide selge

funktsionaalne sõltumatus. Selline rollide koondumine võib tekitada

küsimusi funktsioonide sõltumatuse ning järelevalve erapooletuse

kohta. ITL on ka varasemalt teinud ettepaneku eraldada Riigi

Infosüsteemi Ametist küberturvalisuse järelevalve roll ning toonud ühe

Mittearvestatud. Selgitame, et kuigi

tavapäraselt teeb neid loetletud toiminguid

vastavushindamisasutus, siis eIDAS määruse

järgi saab järelevalve asutus igal hetkel ka ise

vajadusel kõiki kontrolle teha (art. 20 lg 2).

Selle sätte eesmärk on ühetaolise järelevalve

tagamine piiriüleselt. Kuna eIDAS määrusena

on otsekohalduv, ei tohi Eesti riikliku otsusega

selle kohustusi kitsendada.

4

võimaliku lahendusena näiteks järelevalve ülesannete üleviimise

Tarbijakaitse ja Tehnilise Järelevalve Ametile. Ka käesoleva eelnõu

puhul peame oluliseks, et usaldusteenuste järelevalve oleks

korraldatud institutsionaalselt sõltumatult. Oleme jätkuvalt seisukohal,

et teostaja ja järelevalvaja rollid ei sobi kokku ühte asutusse ja leiame,

et RIA ei tohi iseenda üle järelevalvet teha. Seaduseelnõu seletuskirjas

on täiendavaks järelevalvekuluks RIA-le hinnatud 75 000 eurot aastas.

RIA järelevalvele pannakse samas järgmised täiendavad ülesanded:

• digikukruteenuse pakkuja loamenetlused;

• riskihinnangute hindamine;

• turvaintsidentide menetlemine;

• tegevuslubade muutmine;

• EL-i aruandlus;

• registri järelevalve.

Seadus eeldab sisulist järelevalvet, kuid eelarve iseloomustab pigem

vastavushindamisasutuse (Conformity Assessment Body, CAB)

hinnangutele toetuvat formaalset järelevalvet. Loataotlusega tuleb

järelevalvele täiendavalt esitada riskianalüüs, riskide mõju ja

leevendusmeetmed. Teeme ettepaneku täiendada eelnõud ja

seletuskirja selliselt, et oleks üheselt selge: teenusepakkuja tehnilise

vastavuse, riskijuhtimise ja turvameetmete sisuline hindamine toimub

vastavushindamise käigus vastavushindamisasutuste poolt. RIA

järelevalve ülesanne on kontrollida vastavushindamise tulemuste

olemasolu, kehtivust ning nende alusel teenuseosutaja vastavust

õigusaktide nõuetele, analoogselt kehtiva kvalifitseeritud

usaldusteenuste järelevalvemudeliga. See vastaks paremini ka

seletuskirjas kirjeldatud järelevalve rahastamise mahule. Kui

seadusandja eesmärk on anda RIA-le sisuline riskide hindamise ning

tehniliste ja regulatiivsete turvaintsidentide menetlemise funktsioon,

eeldaks see märkimisväärselt suurema erialase võimekuse loomist.

Praktikas tähendaks see dubleerivate ametikohtade loomist

valdkondades, kus vastav kompetents on juba olemas

5

vastavushindamisasutustes ning osaliselt ka RIA teistes üksustes, mis

tegelevad digikukruhankimise ja arhitektuuri kujundamisega.

6. Digikukru, e-identimise süsteemide usaldusväärsuse taseme

hindamine ja sertifitseerimine ning loa andmine. Euroopa

digiidentiteedikukru (edaspidi: digikukkur) sertifitseerimise,

usaldusväärsuse taseme hindamise ja pakkumise loa andmise

protsessid ei ole eelnõus piisavalt selgelt reguleeritud. Näiteks ei

selgu, kes ja millises menetluses hindab ning kinnitab digikukru

usaldusväärsuse taseme „Kõrge“. On mõistetav, et oluline osa

asjassepuutuvast regulatsioonist on eIDAS määruses ning selle alusel

välja antud rakendusaktides. Palume siiski vähemalt seletuskirjas

selgitada, mis kuulub digikukru sertifitseerimise skoopi, kes ja mis

menetluses kinnitab digikukru usaldusväärsuse taseme ning mis on

digikukru pakkuja loa menetluse skoobis. Segadust lisab see, et

digikukrut ja selle pakkumist on käsitletud usaldusteenuste ja

usaldusteenuste osutajate peatükis (EUTS peatükk 2.). Digikurku

regulatsioon on näiteks eIDAS määruses e-identimise süsteemide all.

Vt sellega seoses ka täpsemat ettepanekut allpool, kirja punktis 8.1.

EUTS-is sätestatud siseriiklikku e-identimise usaldusväärsuse

tasemete hindamise nõudeid ja korda ei peaks rakendama nende e-

identimise süsteemide osas, mis on läbinud juba sertifitseerimise

vastavalt eIDAS määrusele. Seetõttu teeme ettepaneku lisada eIDAS

määruse ja rakendusaktide kohaselt sertifitseeritud e-identimise

süsteemid eelnõuga EUTS § 1 lõikesse 5.

Arvestatud osaliselt. Seletuskirjas selgemalt

kirjeldatud, et sertifitseerimise skoobi määrab

ära 2981 rakendusakt, samuti alused millised

asutused võivad seda teostada.

Plaan on digikukru hankega leida sobilik

lõplik sertimise skeem ja sertifitseerimine.

Digikukru usaldusväärsuse kõrge tase on

määratud määruses ja rakendusaktides, selle

kontroll on osa sertifitseerimisest.

Kukru väljaandmise etappidest on koostatud

ka eraldi analüüs, mis sisaldab viiteid eIDAS

määrusele. Veebis kättesaadav:

https://www.ria.ee/riigi-

infosusteem/elektroonilise-identiteedi-

teenused/digikukkur-eudi-

wallet#analuusid:~:text=Tegevuste%20tabel%

20EUDIW%20v%C3%A4ljaandmiseks%20%

7C%2087.65%20KB%20%7C%20xlsx.

7. Digikukru sertifitseerimise ja loa kehtivusajad Eelnõu § 1 punktiga

16 EUTS-i lisatavas § 6 lõikes 5 on pakutud digikukru pakkuja loa

kehtivusajaks kuni 5 aastat ja seda tulenevalt eeldusest, et digikukkur

on sertifitseeritud 5 aastaks vastavalt eIDAS määrusele. Oleme

seisukohal, et loa väljastamine kuni 5 aastaks seab küsimuse alla

järelevalve ja loa menetluse proportsionaalsuse ja õigustatuse

Mittearvestatud. Digikukrut ei saa

võrdsustada usaldusteenustega - need on

erinevad teenused. Lühem loa kehtivusaeg

suurendab halduskoormust ning siiani on kõik

tegevusload olnud sünkroonis neile

vastavushindamisasutuse (CAB) poolt

6

võrreldes teiste teenuseliikidega. Nii e identimise kui ka

usaldusteenuste puhul kehtib luba 2 aastat. Iseenesest ei pea olema

loa andmine vaikimisi sünkroonis sertifitseerimisega.

Usaldusteenuste osas on varasemalt ettepanekuid tehtud loa

menetluse (kui ka sertifitseerimistsükli) pikendamiseks vähemalt 3

aastani, kuna korduva vastavushindamise ja loa menetluskoormus on

väga suur. Teeme ettepaneku kehtestada digikurku pakkuja loa

kehtivusajaks 3 aastat.

väljastatud sertifikaadi kehtivusega (mis on

usaldusteenuste puhul 2 aastat). Kukrule

tehtud sertifitseering hakkab kehtima 5 aastat

ning sellest tulenevalt võiks ka tegevusluba

kehtida sama kaua.

Kui vahesertifitseerimist ei tehta (või leitakse

vahepeal nt suured turvaaugud, mida

ettekirjutuse peale korda ei tehta) - on RIAl

kui pädeval asutusel alati võimalik

tegevusluba kehtetuks tunnistada.

8. Digikurku pakkumise ja usaldusteenuse loa taotlemine ning taotluses

esitatavad andmed Eelnõu § 1 punktidega 17-19 täiendatavas EUTS §

7 lõikes 3 on nõutud hulk uusi andmeid ja tõendeid taotluse

esitamiseks, kuid need on halvasti defineeritud. Esitatavate andmete

osas tekib küsimus, et kas need on vajalikud tegevusloa andmiseks

ning kuidas nende sisu muutus mõjutab tegevusluba ja milliseks

muutub teenuseosutaja halduskoormus. Näiteks nõutakse EUTS § 7 lg

3 punktiga 1 lisaks muudele andmetele tegevusvoo skeemi. Mis see

täpsemalt on ja mille kohta see käima peaks? Milline on suhe nõutud

usaldusteenuse kirjeldusse ja kuidas mõjutab skeemi sisu muutus

tegevusluba? Samuti on toodud selles punktis välja nõue esitada

“sertifikaat selle olemasolu korral”. Palume täpsustada, mis laadi

sertifikaadist jutt käib. EUTS § 7 lg 3 p 11 on nõutud põhjendatud

järeldust usaldusteenuse ja selle osutaja vastavuse või mittevastavuse

kohta. Vastavushindamise asutus väljastab vastavalt eIDAS määruses,

rakendusaktides, rahvusvahelistes ja ETSI standardites reguleeritud

ning akrediteerimisasutuse kinnitatud vormis vastavushindamise

aruande ning usaldusteenuse vastavussertifikaadi. Selles ei esitata

eelnõus kirjeldatud laadi “koondjäreldust”. Palume see punkt viia

vastavusse vastavushindamise nõuete ja standarditega. EUTS § 7 lg 3

p 11 NIS2-st tulenevate nõuete hindamine toimub eIDAS määruse

Mittearvestatud. Selgitame, et EUTS § 7 lõike

3 näol ei ole tegemist uute nõuetega, RIA on

samasugust teavet ka siiani loamenetluste

puhul juurde küsinud. Seega eelnõu

täiendamise eesmärk on lahendada just

ettepaneku eesmärki - luua selgust, mida tuleb

taotlejal loamenetluse puhul esitada.

Ka EUTS § 7 lõikes 3 punktis 11 sätestatud

nõue oli enne sätestatus EUTS rakendusaktis

(majandus- ja taristuministri 26.10.2016

määrus nr 64 “Usaldusteenuse osutaja ja

usaldusteenuse vastavushindamise kord” - § 3

lg 2 punkt 7). Kuna kõnealune määrus antud

eelnõuga kaob, siis tõsteti selle säte seadusesse.

Vastavushindamisasutus peab kontrollima

usaldusteenuse osutaja vastavust muuhulgas ka

kohalikule regulatsioonile, millega on

siseriiklikult üle võetud NIS2 direktiiv (Eestis

on selleks KüTS). Koondjärelduse all peame

silmas audiitori kokkuvõtvat hinnangut

7

kohaselt. Eesti seadus ei muuda seda asjaolu ega pea seda eraldi välja

tooma. Lisaks tekitab küsimusi, milline peab olema audiitori pädevus

selles osas. EIDAS määruse alusel on audiitori pädevus määratud.

EUTS § 7 lg 3 p 11 ja § 7 lg 3 p 3 esitavad lisanõudeid võrreldes

senisega. EIDAS määruse alusel kontrollitakse ka NIS2 nõuetele

vastavust ning kohustuslikuks rakendamiseks NIS2 alusel vastu võetud

Euroopa Komisjoni rakendusmääruses on selged nõuded

riskianalüüsi(de) loomisele ja uuendamisele, intsidentide mõju

tõlgendamisele ja menetlemisele. Arusaamatu on, milleks need tuleb

loa taotlemisel eraldi esitada järelevalvele. Järelevalve võib alati

küsida neid, kui tekib täiendavaid küsimusi või kahtlusi. Samuti tekitab

see küsimuse, kui vastavat riskianalüüsi uuendatakse, kas siis tuleb ka

uuesti luba taotleda või teavitada asjaolude muutumisest? See oleks

ebaõiglane koormus usaldusteenuse/kurku pakkujate suhtes, kuna

riskianalüüsi tuleb hoida asjakohasena. EUTS § 7 lg 3 punktile 4

vastavalt tuleb esitada tõend kehtiva vastutuskindlustuse kohta. Seda

kontrollib audiitor juba vastavushindamisel ning samuti on see

märgitud vastavushindamise andesse. Miks peaks selle järelevalvele

eraldi esitama?

usaldusteenuse ja selle osutaja eIDAS nõuetele

ja seotud siseriiklikele nõuetele vastamise

kohta. See võib olla sertifikaadil või rapordi

põhidokumendis ning esitatud paari lausega või

nt tabeli kujul. Praktikas ei ole siiani antud nõue

probleeme tekitanud.

9. Digikukruteenuse pakkuja registreerimisasutuse (Registration

Authority, RA) roll ei ole defineeritud Tänase ID-kaardi puhul on

mudel Politsei- ja Piirivalveamet (PPA) – sertifikaadi väljaandja

(Certification Authority, CA) – sertifikaat, digikukru puhul aga PPA

– Rahvastikuregister – isikuidentifitseerimise andmete (Person

Identification Data, PID) pakkuja – digikukru pakkuja. Kes otsustab

uues mudelis PID peatamise, PID tühistamise ja digikukru

peatamise? ITL-i hinnangul on seda vaja kindlasti täpsustada, sest see

tekitab täiendava riski potentsiaalse intsidendi vastutuse hindamisel.

Turvaintsidentide mõiste ja digikukru pakkuja vastutuse ebaselgus

Seletuskirja järgi peab digikukru pakkuja raporteerima

turvaintsidente, mille mõiste on laiem kui küberintsident. Näitena

tuuakse välja auditeeritud protsessi rikkumine. Samal ajal ei ole

Selgitame, et eIDAS ja rakendusmäärused ei

defineeri PID väljastuse ja elutsükli kontekstis

eraldiseisvat “Registration Authority (RA)”

rolli. Defineeritud on PID pakkuja ning

määratud talle PID väljastamisega seotud

kohustused, sealhulgas nõude tagada LoA

kõrge nõuetele vastav kasutaja isiku

tuvastamine jms.

8

selge, kus lõpeb digikukru pakkuja vastutus ja kus algab PPA või

mõne muu identiteedi allika vastutus. Kui seadus seda ei täpsusta,

jääb märkimisväärne tõlgendamisruum järelevalvele.

PID väljastamise ja elutsükli eest vastutab PID

pakkuja, kes hangitakse teenusena digikukru

hanke käigus.

Rahvastikuregister ei ole PID pakkuja vaid

pigem autentne allikas PID pakkujale.

Digikukru pakkujate vastutusejaotust on

küsitud Euroopa Liidu Komisjonilt ning

saadud järgnev vastus - Digikukru pakkujate

üle teostavad järelevalvet artikli 46a alusel

määratud järelevalveasutused; artikli 46a lõike

3 punktid a ja b annavad neile asutustele

selgesõnalised eel- ja järeljärelevalve

volitused. Sertifitseerimisasutused peavad

teatama järelevalveasutusele

vastavussertifikaatide väljastamisest,

peatamisest ja tühistamisest (komisjoni

rakendusmäärus (EL) 2024/2981, artikkel 11).

10. Seletuskirja täpsustamine ja kooskõla eIDAS2 määrusega Teeme

ettepaneku täpsustada seletuskirja peatükis „Peamised sihtrühmad“ (lk

14) toodud punkti 3 sõnastust, et see oleks kooskõlas eIDAS2 artikli

5f lõikega 2 ning väldiks võimalikku eksitavat tõlgendamist.

Praegusest sõnastusest võib jääda mulje, et aktsepteerimiskohustus

laieneb üldiselt kõigile panganduse, finantsteenuste, side, transpordi,

energeetika, tervishoiu ja hariduse valdkonna ettevõtjatele. eIDAS2

kohaselt laieneb kohustus siiski üksnes neile erasektori tuginevatele

isikutele, kellelt õigusakti või lepingulise kohustuse alusel nõutakse

veebis tugevat kasutaja autentimist. Teeme ettepaneku sõnastada

peamiste sihtrühmade (lk 14) punkt 3 järgmiselt:

Arvestatud, seletuskirja täiendatud.

9

„3) erasektori tuginevad isikud, kellelt õigusakti või lepingulise

kohustuse alusel nõutakse veebis tugevat kasutaja autentimist, muu

hulgas panganduse, finantsteenuste, side, transpordi, energeetika,

tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja

väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud.“.

Muudatus ei muuda seletuskirja sisu, vaid viib selle sõnastuse

paremini kooskõlla eIDAS artikli 5f lõikega 2 ning sama seletuskirja

teistes osades juba kasutatud terminoloogiaga.

11. Tuginevate isikute register Eelnõuga nähakse ette tuginevate isikute

registri loomine. Kas on kaalutud võimalust korraldada tuginevate

isikute registreerimine olemasoleva registri, näiteks äriregistri, kaudu,

selle asemel et luua eraldiseisev register? ITL hinnangul võiks

olemasolevate riiklike registrite kasutamine vähendada

halduskoormust ning vältida dubleerivate registrilahenduste loomist.

Selgitame, et eelnõu koostamise raames

kaaluti erinevaid variante. Äriregister ning

mitmed teiste asutuste vastutusel registrid ei

osutunud valituks, sest see oleks teinud

keerulisemaks vastutuse jaotuse Riigi

Infosüsteemi Ameti ning vastava registri

vastutava töötleja vahel. Seega viimases

valimis olid Riigi Infosüsteemi vastutusel

teised andmekogud ning eraldi andmekogu

loomine. Kuna EIDAS2 määrus näeb

tuginevate isikute registri eraldi ette, otsustati

määruse kõige selgema rakendamise huvides

luua uus andmekogu.

12. Erasektorit puudutavate kohustuste tähtajad Juhime tähelepanu

erasektorit puudutavate kohustuste rakendamise tähtaegadele.

Seletuskirjast nähtub, et kohustatud isikute jaoks on vajalikud mitmed

riiklikud eeldused, sealhulgas tuginevate isikute registri loomine,

registreerimiskorra kehtestamine, pääsusertifikaatide väljastamise

korraldus ning muud digikukru ökosüsteemi toimimiseks vajalikud

tugilahendused. Samuti on seletuskirjas märgitud, et osa vastavaid

lahendusi valmib alles 2026. aasta lõpus või 2027. aastal. Seetõttu

peame oluliseks rõhutada, et erasektori kohustatud isikutel peab

pärast nende eelduste tegelikku valmimist olema mõistlik aeg

Arvestatud, seletuskirja täiendatud. Samuti

selgitame, et kohustus aktsepteerida teiste

liikmesriikide kukruid kehtib sõltumata Eesti

digikukru valmimisajast.

10

süsteemide analüüsimiseks, arendamiseks, testimiseks ja

kasutuselevõtuks. Vastasel juhul võib tekkida olukord, kus

õigusaktist tulenevad kohustused rakenduvad enne, kui nende

täitmiseks vajalikud tehnilised ja menetluslikud eeldused on loodud.

Teeme ettepaneku täiendada seletuskirja selgitusega, et kohustuste

rakendamisel ja järelevalve teostamisel tuleb arvestada ka riigi poolt

vajalike tehniliste ja organisatsiooniliste eelduste tegeliku valmimise

ajaga. Ettevõtjatele peab pärast nende eelduste valmimist jääma

mõistlik aeg lahenduste arendamiseks, testimiseks ja

kasutuselevõtuks ning ettevõtjate valmisoleku hindamisel tuleb seda

samuti arvesse võtta. Mingil juhul ei tohi ettevõtjate suhtes rakendada

järelevalvemeetmeid ega käsitada kohustuste mittetäitmist

rikkumisena olukorras, kus kohustuste täitmiseks vajalikud riiklikud

eeldused ei ole õigeaegselt või täiel määral valminud.

13. Sunniraha ülemmäära vähendamine eIDAS 2 artikli 16 eesmärk on

sätestada rikkumiste eest kohaldatavate haldustrahvide maksimaalne

määr, milleks on kuni 5 miljonit eurot või juriidilise isiku puhul 1%

eelneva majandusaasta ülemaailmsest käibest. Tegemist on

karistusõigusliku meetmega, mis peab olema tõhus, proportsionaalne

ja hoiatav. Eelnõus on aga sama suur ülemmäär ette nähtud ka

sunnirahale (eelnõu § 1 punktiga 41 lisatav EUTS § 231). See ei ole

põhjendatud, kuna sunniraha olemus erineb haldustrahvist. Sunniraha

ei ole karistus, vaid haldussunni meede, mille eesmärk on motiveerida

adressaati ettekirjutust täitma. Seetõttu peaks ka sunniraha ülemmäär

olema proportsionaalne selle eesmärgiga ega peaks olema

võrdsustatud maksimaalse haldustrahvi määraga. Leiame, et

maksimaalse haldustrahviga samaväärse igakordse sunniraha

kehtestamine ei ole põhjendatud ning võib kaasa tuua

ebaproportsionaalse haldussunni kohaldamise. Palume kaaluda § 231

muutmist selliselt, et sunniraha ülemmäär oleks kooskõlas selle

meetme eesmärgi ja olemusega. Näiteks võib võtta eeskuju hiljuti

NIS2 direktiivi ülevõtmiseks muudetud küberturvalisuse seadusest,

Arvestatud, sunniraha ülemmäära vähendatud

5 000 000 pealt 500 000ni (10 korda). Summat

ei vähendatud 50 000ni, et säilitada efektiivne

võimalus mõjutada digikukru pakkujat

õiguskuulekale tegevusele ning täita seeläbi

eIDAS2 artikli 16 lõikes 1 sätestatud kohustus.

Selgitame, et eIDAS2 artikli 16 lõige 1

kohustab liikmesriike kehtetama mõjusad,

proportsionaalsed ja hoiatavad normid eIDAS

määruse rikkumise eest kohaldatavate

karistuste kohta. See säte kohaldub lisaks

usaldusteenuse osutajatele ka digikukru

pakkujale.

Samas otsustati eelnõu koostamise käigus, et

digikukru pakkujale ei määrata trahve selliselt,

nagu seda on tehtud usaldusteenuse pakkuja

11

kus maksimaalne trahv on direktiivist tulenevalt 7 miljonit eurot, kuid

sunniraha oluliselt madalam (70 000 eurot).

suhtes (eelnõu järgne EUTS § 232 ). See lähtus

kaalutlusest, et kuna eIDAS2 artikli 16 lõikes

2 (mis näeb ette trahvimäärad) ei nimetata

digikukru pakkujaid, oleks trahvi

ettenägemine digikukru pakkujale

ülereguleerimine (n.ö gold-plating). Vaata ka

„Ametniku Euroopa Liidu käsiraamat“ ptk

8.3.5.

Seega on piisavalt suur (500 000) sunniraha

määr sobiv tasakaalupunkt eIDAS 2 artikli 16

lõikes 1 sätestatud kohustuse täitmiseks

digikukru pakkuja suhtes olukorras, kus

digikukru pakkujatele pole ette nähtud trahve.

14. Digikukru regulatsiooni paigutus seaduses Teeme ettepaneku

paigutada digikukrut reguleerivad sätted EUTS-is eraldi peatükki. See

muudaks seaduse ülesehituse selgemaks ning koondaks sisuliselt

seotud regulatsiooni ühte kohta, hõlbustades nii seaduse mõistmist kui

ka rakendamist. Praeguse eelnõu kohaselt on digikukru pakkujat

käsitlevad sätted koondatud samasse peatükki usaldusteenuste ja

usaldusteenuse osutajate regulatsiooniga. Selline lahendus ei ole

seaduse süsteemsuse seisukohalt põhjendatud, kuna digikukru

regulatsioon on olemuslikult tihedamalt seotud e-identimise kui

usaldusteenustega. Praegune regulatsiooni ülesehitus võib tekitada ka

õigusselgusetust. Näiteks on usaldusteenuseid reguleeriva EUTS

peatüki § 7 lõike 3 punktis 5 loa taotlemise üldnõuete hulgas sätestatud

digikukru pakkujale kohalduvad nõuded. Sättest ei nähtu aga üheselt,

et need nõuded kohalduvad üksnes digikukru pakkujale, mistõttu võib

jääda mulje, et need laienevad kõigile loa taotlejatele. See näide

kinnitab, et digikukrut käsitlev regulatsioon tuleb koondada eraldi

peatükki. Kui eraldi peatüki loomist ei peeta võimalikuks, tuleks

Mitte arvestatud. Nõustume, et digikukru

regulatsiooni võiks paigutada seaduses

mitmeti, muuhulgas vastavalt ettepanekule.

Ettepanekut kaaluti eelnõu koostamise

alguses, aga selle tulemus on mitmete

samasisuliste sätete kordamine. Kuna

ettepanekuga ei kaasne selget kvalitatiivset

kasu võrreldes eelnõu lahendusega, ei hakata

eelnõud muutma.

12

digikukrut käsitlevad sätted paigutada e-identimist reguleerivasse

peatükki.

15. Isikukoodi digikukrusse kandmise reguleerimine seaduse tasandil

Palume kaaluda täiendavalt, kas eelnõu § 1 punktiga 13 EUTS-i

lisatavas § 5 lõikes 11 sätestatud nõuet on vajalik reguleerida seaduse

tasandil. Sätte kohaselt peab digikukru pakkuja kandma digikukrusse

lisaks komisjoni rakendusmääruses (EL) 2024/2977 nõutud

kohustuslikele isikutuvastusandmetele ka kasutaja isikukoodi. Juhul

kui Euroopa Liidu õigus jätab liikmesriigile selles küsimuses

kaalutlusruumi, võiks kasutaja isikukoodi digikukrusse kandmise

otsustamine jääda pädeva asutuse otsustada, mitte olla sätestatud

seaduses.

Selgitame, et ettepanekut on kaalutud kuid

eelnõud ei muudeta.Eesti isikukood on Eestis

vajalik andmeatribuut, et teostada

rahvastikuregistrist asjakohaseid päringuid ja

valideerimisi. Samuti on see vajalik Eestis e-

teenuste kasutamisel.

16. Loa andmisest keeldumise aluste kattuvus. Teeme ettepaneku jätta

eelnõu § 1 punktiga 24 EUTS-i lisatava § 9 lõike 1 punkt 4 eelnõust

välja. Leiame, et § 9 lõike 1 punkt 4 on üleliigne, kuna selles

sätestatud alus on juba hõlmatud § 9 lõike 1 punktiga 1. Loa andmisel

on määrav, kas taotleja, tema osutatav usaldusteenus või digikukkur

vastab õigusaktides sätestatud nõuetele. Kui vastavushindamise või

sertifitseerimise hindamise aruandes esinevad puudused mõjutavad

hinnangut nõuetele vastavuse kohta, on loa andmisest võimalik

keelduda juba § 9 lõike 1 punkti 1 alusel. Kui aruandes esinevad

puudused nõuetele vastavuse hinnangut ei mõjuta, ei peaks need

iseseisvalt olema loa andmisest keeldumise aluseks. Lisaks on mõiste

„olulised vastuolud“ ebaselge ega võimalda üheselt kindlaks teha,

millistel juhtudel võiks sellele tuginedes loa andmisest keelduda.

Seetõttu ei suurenda eelnõuga lisatav punkt 4 õigusselgust, vaid loob

täiendava määratlemata keeldumise aluse. Õigusselguse põhimõttest

(Põhiseadus § 10 ja § 13 lõige 2) tulenevalt peab loa taotlejale olema

ettenähtav, milliste konkreetsete asjaolude esinemisel võib loa

andmisest keelduda. Käesoleval juhul on see eesmärk juba saavutatud

EUTS § 9 lõike 1 punktiga 1, mistõttu puudub vajadus täiendava,

sisuliselt kattuva keeldumise aluse sätestamiseks.

Mitte arvestatud. Selgitame, et tegemist on

erinevate alustega. § 9 lg 1 p 1 kirjeldab

olukorda, kus audiitor märgib selgesõnaliselt,

et teenuse ja/või teenuse osutaja ei vasta

nõuetele. Uus lg 4 kirjeldab olukorda, kus

audiitori vastavushindamisaruande

koondjäreldusest võib välja lugeda, et teenus

ja/või teenuse osutaja küll vastab nõuetele,

kuid aruandes kirjeldatu alusel jõuab

järelevalve järeldusele, et esineb olulisi

puudusi, mille kõrvaldamata jätmiseni ei ole

võimalik tegevusluba väljastada. Näiteks ei ole

hinnatud siseriiklikule õigusele vastavust või

hinnatud vastavust valede/aegunud nõuete

alusel või on aruande alusel ilmne, et seda on

kopeeritud teise aruande pealt ilma sisusse

süvenemata. Need näited pärinevad tegelikust

praktikast.

13

17. Sertifikaadi kehtetuks tunnistamise aluste ammendavus Teeme

ettepaneku jätta eelnõust välja eelnõu § 1 punktiga 37 EUTS-i lisatava

§ 19 lõike 4 punkt 16. Leiame, et § 19 lõike 4 punktides 1–15 on

sertifikaadi kehtetuks tunnistamise alused ammendavalt reguleeritud.

Eelnõus sisalduv § 19 lõike 4 punktis 16 sätestatud üldine alus ei lisa

regulatsioonile sisuliselt midagi, kuid võimaldab tunnistada

sertifikaadi kehtetuks ka selliste nõuetele mittevastavuste korral, millel

puudub sisuline mõju sertifikaadi usaldusväärsusele või nõuetele

vastavusele. Selline regulatsioon ei ole kooskõlas proportsionaalsuse

põhimõttega, kuna ei erista olulisi rikkumisi ebaolulistest. Kui EUTS

§ 19 lõike 4 punkti 16 eelnõust välja jätmist ei peeta võimalikuks,

teeme alternatiivselt ettepaneku sõnastada EUTS § 19 lõike 4 punkt 16

järgmiselt:

„16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi

väljastamine ei vastanud usaldusteenuse osutamise loa tingimustele

või Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 või

käesolevas seaduses sätestatud nõuetele ning sellel on sisuline mõju

sertifikaadi usaldusväärsusele või nõuetele vastavusele.“.

Antud sõnastus seob sertifikaadi kehtetuks tunnistamise üksnes

sellise nõuetele mittevastavusega, mis mõjutab sisuliselt sertifikaadi

usaldusväärsust või nõuetele vastavust, ning väldib olukordi, kus

sertifikaat tunnistatakse kehtetuks ebaoluliste või vähese mõjuga

rikkumiste tõttu.

Mitte arvestatud. Sertifikaadi ja ka kogu

usaldusteenuste usaldusväärsus on üles

ehitatud rangete reeglite järgimisele, eriti

kvalifitseeritud teenuste puhul. Kui eIDAS või

rakendusaktide nõudeid on rikutud, siis ei saa

olla kindel, et sertifikaadid on usaldusväärsed.

Sellist "halli ala" ei eksisteeri, et peaks eraldi

hindama sisulist mõju teenusele.

Usaldusteenuse maailmas on loogika selline,

et vaja on kindlust usaldusväärsuses, mitte

usaldusväärsuse puudumises. Lisaks

täpsustame, et antud juhul on tegemist lihtsalt

aluste loeteluga, millal võib sertifikaadi

kehtetuks tunnistamist taotleda. Seega

järelevalveasutusele jääb diskretsiooniõigus,

kui tõepoolest on tegu väga väikese

eksimusega.

1

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu

seletuskiri

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõuga viiakse Eesti õigus kooskõlla Euroopa Liidu uuendatud e-identimise ja

usaldusteenuste raamistikuga (nn eIDAS 2), millega luuakse Euroopa digiidentiteedi raamistik

ja selle keskse elemendina Euroopa digiidentiteedikukkur.

Euroopa Liidu määrus on vahetult kohaldatav, kuid selle terviklik rakendamine eeldab

riigisiseste rollide, menetluste ja karistuste kindlaksmääramist. Eelnõu peamine eesmärk on viia

Eesti seadused Euroopa digiidentiteedi raamistikuga kooskõlla, tagada Euroopa

digiidentiteedikukru (edaspidi ka digikukkur ja kukkur) turvaline kasutuselevõtt Eestis ning

sätestada selleks vajalikud riigisisesed reeglid, rollid ja sanktsioonid.

Kehtiv õigus ei reguleeri Euroopa digiidentiteedi raamistiku rakendamist piisavalt, kuna

riigisisesed rollid, menetlused ja järelevalve ei ole selgelt kindlaks määratud. Seetõttu on vaja

seadust kooskõlas Euroopa Liidu uute nõuetega ajakohastada.

Kõige olulisemad muudatused on järgmised:

– Euroopa digiidentiteedikukru pakkumine tuuakse e-identimise ja e-tehingute usaldusteenuste

seaduse reguleerimisalasse; riigil on kohustus teha elanikele kättesaadavaks vabatahtlikult

kasutatav riiklikult tagatud Euroopa digiidentiteedikukkur;

– Riigi Infosüsteemi Amet määratakse peamiseks pädevaks asutuseks (järelevalve, load,

register, teavitamine ja muud liikmesriigi ülesanded);

– luuakse Euroopa digiidentiteedikukrule tuginevate isikute registreerimise korraldus;

– Euroopa digiidentiteedikukru pakkujale kehtestatakse loamenetlus ja selle eest riigilõiv;

– kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse aastane koondsumma suureneb

ühelt miljonilt kahe miljoni euroni;

– Eestis väljaantavasse Euroopa digiidentiteedikukrusse kantakse lisaks kohustuslikele

isikutuvastusandmetele ka isikukood, mis on Eesti jaoks valikuline, kuid kukru praktiliseks

kasutatavuseks oluline otsus;

– kehtestatakse Euroopa Liidu nõuetele vastavad trahvimäärad (kuni 5 000 000 eurot või 1

protsent üleilmsest aastasest kogukäibest) ning sunniraha igakordne ülemmäär (500 000 eurot

või 1 protsent üleilmsest aastasest kogukäibest);

– karistusseadustikus lisatakse Euroopa digiidentiteedikukkur tähtsate isiklike dokumentide

loetellu;

2

– mitu senist sätet tunnistatakse kehtetuks, kuna need on asendunud Euroopa Liidu

otsekohalduvate rakendusmäärustega;

– Euroopa digiidentiteedikukru rakendustarkvarale kehtestatakse avatud lähtekoodi nõue koos

Eestile lubatud erandi võimalusega;

– andmekaitsealases järelevalves ja kaebuste lahendamisel isikuandmete kaitse üldmääruse

raames saab olulise rolli ka Andmekaitse Inspektsioon, kes tegutseb pädeva riikliku

andmekaitseasutusena.

Mõjud on lühidalt järgmised: kodanikud saavad võimaluse kasutada üleeuroopalist

digiidentiteeti, mis isikukoodi abil sobitub Eesti e-teenustega; ettevõtjatele luuakse selgemad

reeglid usaldusteenuste osutamiseks ja Euroopa digiidentiteedikukru pakkumiseks; kahe

paralleelse riikliku e-identimise vahendi (ID-kaart ja teised senised vahendid ning Euroopa

digiidentiteedikukkur) olemasolu suurendab e-riigi kerksust. Seaduse rakendamisega

kaasnevad riigieelarvele lisakulud, mis jagunevad rakendamiskuludeks ja järelevalve

tugevdamise kuludeks. Tegemist on õiguslikult olulise, kuid sisult eelkõige kohustusliku

kohandamisega Euroopa digiidentiteedikukru raamistiku elluviimiseks Eestis, kusjuures Eesti

valib aktiivse lähenemise, et kukkur oleks laialdaselt kasutatav ka Eesti e-teenuste puhul.

Halduskoormusele avalduva mõju kokkuvõte

Ettevõtjate halduskoormus ajutiselt suureneb, kuna osa teenuseosutajaid peavad

digiidentiteedikukru kasutuselevõtuks oma süsteeme kohandama. Mikro- ja väikeettevõtjad on

sellest kohustusest vabastatud. Samas aitab ühtne Euroopa digiidentiteedi lahendus ja

digitaalsete tõendite kasutamine edaspidi vähendada kliendituvastuse ja asjaajamisega seotud

kulusid. Inimeste halduskoormus väheneb, sest isiku ja vajalike andmete tõendamine muutub

lihtsamaks nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Avaliku sektori töökoormus

suureneb seoses digiidentiteedikukru arendamise, registri pidamise, järelevalve ja

sertifitseerimisega seotud ülesannetega.

1.2. Eelnõu ettevalmistaja

Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi IT-õiguse talituse nõunik

Mait Heidelberg ([email protected]) koostöös Riigi Infosüsteemi Ameti

ekspertidega. Eelnõu on keeleliselt toimetanud Justiits- ja Digiministeeriumi õigusloome

korralduse talituse toimetaja Inge Mehide ([email protected]).

Valdkonna eest vastutav asekantsler on Tõnu Grünberg.

1.3. Märkused

Eelnõu on seotud Euroopa Liidu õiguse rakendamisega: sellega tagatakse kooskõla Euroopa

Parlamendi ja nõukogu määrusega (EL) nr 910/20141 (edaspidi ka eIDAS-määrus), mida on

1 Euroopa Parlamendi ja nõukogu 23. juuli 2014. aasta määrus (EL) nr 910/2014 e-identimise ja e-tehingute jaoks

vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257,

28.08.2014, lk 73–114). https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32014R0910

3

muudetud Euroopa Parlamendi ja nõukogu määrusega (EL) 2024/11832 seoses Euroopa

digiidentiteedi raamistiku kehtestamisega (edaspidi ka eIDAS 2 määrus), ning nende alusel

antud Euroopa Komisjoni rakendusmäärustega.

Eelnõuga muudetakse järgmiste seaduste redaktsioone: e-identimise ja e-tehingute

usaldusteenuste seadus3 (redaktsioon jõustumiskuupäevaga 01.01.2026), riigilõivuseadus4

(redaktsioon 01.08.2026–31.10.2026) ja karistusseadustik5 (redaktsioon jõustumiskuupäevaga

01.01.2026).

Eelnõu ei ole seotud muu menetluses oleva eelnõuga. Eelnõu täidab koalitsioonileppe 2025–

2027 valdkonna 07.1 Digiriik koalitsioonileppe punkti „Teeme andmetega seotud õiguslikus

raamistikus asjad selgeks ja ühte moodi tõlgendatavaks ning lihtsustame andmetöötlust“

tegevust „ELi digikukruga seotud selgete rollide määramiseks E-identimise ja e-tehingute

usaldusteenuste seaduse muutmine“.

Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälte enamus.

2. Seaduse eesmärk

Seaduse eesmärk on ajakohastada e-identimise ja e-tehingute usaldusteenuste seadus ning viia

see kooskõlla Euroopa Liidu uuenenud õigusaktidega. Sellega luuakse Eestis Euroopa

digiidentiteedikukru kasutuselevõtuks, järelevalveks ja õiguskaitseks selge, rakendatav ja

usaldusväärne õiguslik raamistik. Valdkonda reguleerib eIDAS-määrus, mida muudeti eIDAS

2 määrusega seoses Euroopa digiidentiteedi raamistiku kehtestamisega. Kuigi tegemist on

otsekohalduva määrusega, sisaldab see nõudeid riigisiseste mehhanismide loomiseks, et

määrust terviklikult rakendada. Määruse alusel on vastu võetud vähemalt 30 otsekohalduvat

rakendusmäärust, mis määruse (EL) nr 910/2014 nõudeid täpsustavad, ning uute

rakendusaktide ettevalmistamine ja olemasolevate muutmine jätkub. Euroopa Komisjon

kavandab rakendusmääruste ajakohasena hoidmist pideva protsessina, et sünkroniseerida neis

olevaid tehnilisi nõudeid pidevalt uuenevate standarditega. Kehtiva regulatsiooni peamine

kitsaskoht on, et see ei kajasta Euroopa digiidentiteedi raamistikku: seaduses puuduvad

Euroopa digiidentiteedikukru pakkumise, järelevalve ja asjaomaste karistuste normid ning mitu

sätet dubleerivad nõudeid, mis on nüüdseks kehtestatud Euroopa Liidu otsekohalduvate

rakendusmäärustega. Praktikas on tõlgendamisraskusi tekitanud ka sertifikaatide kehtetuks

tunnistamise aluste senine sõnastus (vt seletuskirja § 1 punktide 37–40 selgitusi).

E-identimise ja e-tehingute usaldusteenuste seaduse ajakohastamine on vajalik eelkõige

järgmistel põhjustel:

– uuendatud eIDAS-määrusega võetakse kasutusele Euroopa digiidentiteedikukru

kontseptsioon, millega seotud rollide ja vastutuse jaotus Eestis ning järelevalve korraldus tuleb

reguleerida seadusega;

2 Euroopa Parlamendi ja nõukogu 11. aprilli 2024. aasta määrus (EL) 2024/1183, millega muudetakse määrust

(EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (ELT L, 2024/1183, 30.04.2024).

http://data.europa.eu/eli/reg/2024/1183/oj 3 RT I, 30.12.2025, 16. https://www.riigiteataja.ee/akt/130122025016

4 RT I, 11.07.2026, 166. https://www.riigiteataja.ee/akt/111072026166

5 RT I, 09.07.2026, 27. https://www.riigiteataja.ee/akt/109072026027

4

– uuendatud eIDAS-määrus ja selle rakendusaktid kirjeldavad varasemast detailsemalt mitmeid

usaldusteenuse ja selle osutamisega seotud nõudeid, mistõttu on mitu e-identimise ja e-

tehingute usaldusteenuste seaduse sätet kaotanud aktuaalsuse ja tuleb dubleerimise vältimiseks

kehtetuks tunnistada;

– uuendatud eIDAS-määrus näeb ette konkreetsed karistuste ülemmäärad rikkumiste eest,

millele vastavad sanktsioonid tuleb Eesti õigusruumis kehtestada.

Lisaks kehtestatakse loamenetlus Euroopa digiidentiteedikukru pakkumisele ja selle menetluse

kulude katmiseks tehakse vastav täiendus riigilõivuseadusesse. Kuna Euroopa

digiidentiteedikukkur kujuneb oluliseks digitaalseks isikutuvastusvahendiks, on otstarbekas

käsitleda seda ka karistusseadustikus võrdväärselt teiste isikut tõendavate vahenditega, nagu

ID-kaart ja digitaalne isikutunnistus. Nende muudatustega soovitakse saavutada, et Euroopa

digiidentiteedikukkur oleks Eestis kasutatav kooskõlas Euroopa Liidu nõuetega, sobituks Eesti

olemasolevate e-teenuste ja e-identimise lahendustega ning et riigil oleks olemas vajalikud

järelevalve- ja õiguskaitsevahendid. Kaalutud lahendusvariandid ja nende valiku põhjendused

on esitatud eelnõu sisu peatükis iga muudatuse juures ning kaalutlusotsuste (muu hulgas

isikukoodi kandmine digikukrusse ja avatud lähtekoodi erand) mõjud seletuskirja 6. peatükis.

Eelnõule ei eelnenud väljatöötamiskavatsust. See tugineb hea õigusloome ja normitehnika

eeskirja § 1 lõike 2 punktile 2, mille kohaselt ei ole väljatöötamiskavatsus nõutav, kui eelnõu

käsitleb Euroopa Liidu õiguse rakendamist ning eelnõu aluseks oleva Euroopa Liidu õigusakti

eelnõu menetlemisel on sisuline analüüs tehtud Eesti seisukohtade kujundamise käigus.

Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus (vt seletuskirja

6. ja 10. peatükki).

3. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb kolmest paragrahvist:

– esimene paragrahv sisaldab e-identimise ja e-tehingute usaldusteenuste seaduse muudatusi,

mis lisaks uuenenud eIDAS-määruse rakendamisest tingitud lisandustele sisaldavad muu

hulgas ka lisandunud ülesannetega seotud rollijaotust valitsusasutuste vahel. Toodud rollijaotus

põhineb ametkondadevahelise elektroonse identiteedi juhtrühma arvamusel;

– teine paragrahv näeb ette lisandunud loamenetluse eest riigilõivu riigilõivuseaduses;

– kolmas paragrahv lisab karistusseadustiku tähtsate isiklike dokumentide loetellu Euroopa

digiidentiteedikukru.

Eelnõu §-ga 1 muudetakse e-identimise ja e-tehingute usaldusteenuste seadust.

§ 1 punkt 1. Paragrahvi 1 lõigete 1 ja 2 muudatustega tuuakse seaduse reguleerimisalasse

Euroopa digiidentiteedikukru pakkumine, mis lisandus uue mõistena eIDAS-määrusesse selle

eIDAS 2 määrusega muutmise tulemusena. Ühtlasi täpsustatakse reguleerimisala sõnastust,

lisades sinna e-identimise süsteemi usaldusväärsuse hindamise. Seda toimingut reguleeris

seadus ka varem, kuid reguleerimisalas oli see eraldi välja toomata.

§ 1 punkt 2. Paragrahvi 1 lõike 5 täiendusega lisatakse nende e-identimise süsteemide hulka,

mille suhtes ei rakendata kõnesolevas seaduses sätestatud usaldusväärsuse taseme hindamist,

ka Euroopa digiidentiteedikukkur. Vastavalt eIDAS-määruse artikli 5a lõikele 11 saab Euroopa

5

digiidentiteedikukkur olla ainult usaldusväärsuse tasemega „kõrge“, mis leiab kinnitust

sertifitseerimise kaudu.

§ 1 punkt 3. Paragrahv 2 muudetakse ja sõnastatakse tervikuna uuesti, kuna uuenenud eIDAS-

määrus tingib pädevuse jaotuse mitme asutuse vahel; paragrahvi uus pealkiri on „Asutuste

pädevus“. Paragrahvi 2 täiendatakse lõigetega, mis määravad eri rollide jaotuse vastavalt

uuenenud eIDAS-määruse nõuetele.

Lõikega 1 lisatakse viited uuendatud eIDAS-määruse sätetele, kus kirjeldatakse liikmesriigi

kohustusi või toiminguid, mis on liikmesriigi pädevuses. Ametkondadevahelise elektroonse

identiteedi juhtrühma arvamuse kohaselt nähakse pädeva asutusena ette Riigi Infosüsteemi

Amet.

Pädeva asutuse ülesandeid täidab Riigi Infosüsteemi Amet mitmes eristatud rollis:

järelevalveasutusena, kes teeb järelevalvet Euroopa digiidentiteedikukru pakkuja üle;

hankijana, kes korraldab digikukru teenusepakkuja hankemenetluse riigi nimel, ning taristu

haldajana, kes korraldab digikukru infrastruktuuri loomist ja haldamist. Rollide lahusus

tagatakse Riigi Infosüsteemi Ameti sisese ülesannete jaotusega, mille kohaselt järelevalvet

tegevad töötajad ei osale digikukru hanke korraldamises ega infrastruktuuri haldamises.

Digikukruga seotud detailsem rollijaotus on läbi räägitud ja kokku lepitud töörühma tasandil

(nt digiidentiteedi juhtrühmas mh 19.06.2024 ja 16.07.2024).

Lõige 2 puudutab liikmesriigi kohustust teha isikutele kättesaadavaks Euroopa

digiidentiteedikukkur. Vastavalt eIDAS-määrusele võib seda teha vahetult liikmesriik, seda

võib teha liikmesriigi volituse alusel või sõltumatult, kuid liikmesriigi tunnustatuna. Kui

eelmise lõikega omistati see kohustus pädevale asutusele, siis lõikega 2 antakse pädevale

asutusele võimalus Euroopa digiidentiteedikukru pakkumist ja selleks vajalikke tegevusi

allhankida.

Lõige 3 määrab kindlaks, et eIDAS-määruse artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5

punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab Andmekaitse

Inspektsioon. Nimetatud sätete kohaselt peab Euroopa digiidentiteedikukkur võimaldama

kasutajal andmete saamiseks esitatud väidetavalt ebaseadusliku või kahtlase taotluse korral

hõlpsasti teatada digidentiteedikukrule tuginevast isikust pädevale riiklikule

andmekaitseasutusele. Sisuliselt on tegemist teavituskanaliga, mille kaudu Andmekaitse

Inspektsioon saab teavet võimalikest andmekaitsealastest rikkumistest; teate saamisel menetleb

Andmekaitse Inspektsioon seda oma tavapärase pädevuse piires isikuandmete kaitse

üldmääruse alusel. Kooskõlastusringil esitatud Andmekaitse Inspektsiooni märkuste alusel

koondati Andmekaitse Inspektsiooni rolli käsitlev regulatsioon sellesse lõikesse ning eelnõust

jäeti välja seda dubleerinud ja Andmekaitse Inspektsioonile eIDAS-määruse artikli 46a kohast

järelevalvepädevust andnud sätted, sest määruse artikli 46a kohane järelevalveasutus on üksnes

pädev asutus (Riigi Infosüsteemi Amet).

Lõige 4 määrab valdkonna eest vastutava ministeeriumi korraldama Euroopa

digiidentiteedikukru sertifitseerimise kava väljatöötamist, Euroopa Komisjoni teavitamist

sertifitseerijast ja avaliku sektori asutustest, kes väljastavad eIDAS-määrusele vastavaid

tõendeid.

§ 1 punkt 4. Peatüki 2 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru

pakkuja.

6

§ 1 punkt 5. Paragrahvi 3 lõikes 2 täpsustatakse eIDAS-määruse sätte viidet, kuna säte on

jäänud samaks, kuid numeratsioon on määruse uues versioonis muutunud. Pädeva asutusena

mõeldakse § 1 p 3 kohast pädevat asutust ehk RIA-t.

§ 1 punkt 6. Lisanduva paragrahviga 3¹ luuakse Eestis eIDAS-määruse artikliga 5b ja

komisjoni rakendusmäärusega (EL) 2025/8486 ette nähtud digiidentiteedikukrule tuginevate

isikute registreerimiseks vajalik register. eIDAS-määruse artikkel 5b ja nimetatud

rakendusmäärus näevad ette, et liikmesriigid loovad vähemalt ühe Euroopa

digiidentiteedikukrule tuginevate isikute riikliku registri, mis sisaldab teavet selles liikmesriigis

asutatud ja registreeringut omavate digiidentiteedikukrule tuginevate isikute kohta.

Paragrahviga nähakse ette vastava andmekogu loomine, sinna esitatavate andmete koosseis,

andmete esitamise korra kehtestamine, andmete säilitamise tähtaeg ning registreeringu

peatamine ja kehtetuks tunnistamine.

Andmekogu asutamisel on järgitud avaliku teabe seaduse § 43⁵ nõudeid: paragrahvi lõikes 1

sätestatakse andmekogu pidamise eesmärk, lõikes 2 registrisse teabe esitamise korra

kehtestamine ja avalikustamine, lõikes 3 registris isikuandmetena töödeldavate andmete

koosseis, lõikes 4 andmete säilitamise tähtajad, lõikes 5 registriandmete avalikkus, lõikes 6

andmekogu vastutav töötleja (Riigi Infosüsteemi Amet), lõikes 7 volitusnorm registri

põhimääruse kehtestamiseks ning lõikes 8 registreeringu peatamine ja kehtetuks tunnistamine.

Registri liidestamisel teiste andmekogudega järgitakse avaliku teabe seaduse § 43⁹ lõiget 5

(andmevahetus X-tee kaudu).

Lõikes 3 sätestatakse registris isikuandmetena töödeldavate andmete koosseis:

digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanimi, isikukood,

kontaktandmed ning logiandmed. Isikuandmete töötlemine registris piirdub seega peamiselt

juriidiliste isikute esindajate ja kontaktisikute andmetega. Töödeldavate isikuandmete

kategooriad lisati seadusesse kooskõlastusringil Andmekaitse Inspektsiooni ning

Siseministeeriumi infotehnoloogia- ja arenduskeskuse esitatud märkuste alusel, et

andmekoosseis ei jääks õigusselguse seisukohalt liiga avatuks.

Lõikes 4 sätestatakse andmete säilitamise tähtajad kolme andmekategooria kaupa. Punkti 1

kohaselt säilitatakse rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid vastavalt

rakendusmääruse kohaselt kümme aastat. Seda tähtaega seaduses korratakse, et tagada ülevaade

andmete säilitamise tähtaegadest. Punkti 2 kohaselt säilitatakse logiandmeid kümme aastat.

Selle eesmärk on võimalike intsidentide lahendamine (näiteks andmete väärkasutus, mis selgub

aastaid hiljem). Intsidentide lahendamise korral on vaja alles hoida ka kõiki nende andmetega

seotud tehnilisi andmeid (näiteks logid, kontaktisikute nimed ja muud menetlusandmed), kuna

ka need võivad intsidentide lahendamisel vajalikuks osutuda. Punkti 3 kohaselt säilitatakse

muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik muudab registrikannet. Silmas

peetakse digiidentiteedikukrule tugineva isiku esindaja kontaktandmeid (näiteks e-posti

aadress), mis kustutatakse kohe pärast vastava registrikande muutmist. See võib toimuda

näiteks siis, kui digiidentiteedikukrule tugineva isiku esindaja vahetub ning registrisse on vaja

kanda uue esindaja kontaktandmed. Lisaks eelnimetatud kolmele andmekategooriale

säilitatakse ka muid registri pidamise eesmärgi täitmiseks vajalikke isikuandmeid

mittesisaldavaid andmeid (kõnesoleva seaduse § 3¹ lõike 3 punkt 5) kümme aastat, mis on

6 Komisjoni 6. mai 2025. aasta rakendusmäärus (EL) 2025/848, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad kukrule tuginevate isikute registreerimise kohta (ELT L,

2025/848, 7.5.2025). http://data.europa.eu/eli/reg_impl/2025/848/oj

7

vajalik nende ühtseks toimimiseks muude kogutavate andmetega. Seaduses seda

andmekategooriat eraldi ei käsitleta, kuna sellega ei kaasne põhiõiguste riivet.

Lõike 5 kohaselt on registrisse kantud andmed avalikud, välja arvatud avaliku teabe seaduse

alusel määratud piiratud juurdepääsuga teave. Andmete avalikkuse nõue tuleneb eIDAS-

määruse artikli 5b lõikest 5 ja rakendusmääruse (EL) 2025/848 artikli 3 lõikest 4, mille kohaselt

tuleb digiidentiteedikukrule tuginevate registreeritud isikute kohta käiv nimetatud

rakendusmääruse I lisas loetletud teave teha internetis avalikult kättesaadavaks nii inim- kui ka

masinloetavas vormingus. Juurdepääsu piiramise alus peab tulenema seadusest: avaliku teabe

seaduse (AvTS) § 3 lõikes 2 väljendatud avalikkuse põhimõtte kohaselt võib avalikule teabele

juurdepääsu piirata üksnes seaduses sätestatud korras, mistõttu ei saa registriandmetele

vaikimisi teabepiirangut ette näha. Praeguse teadmise kohaselt on piiratud juurdepääsuga

näiteks digiidentiteedikukrule tugineva isiku ärisaladuseks määratud vahendaja ja kontaktisiku

andmed, kui need määratakse ärisaladuseks AvTS-i § 35 lõike 1 punkti 17 alusel. Lisaks AvTS-

i § 35 lõike 1 punktile 17 võib teabele juurdepääsu piiramise aluseks olla ka sama lõike punkt

12 (eraelu puutumatust kahjustav teave), näiteks rakendusmääruse (EL) 2025/848 artikli 3 lõike

4 alla mittekuuluvate isikuandmete puhul. Seetõttu tuleb registri põhimääruses eristada

avalikustatav teave (rakendusmääruse I lisa) juurdepääsupiiranguga andmetest.

Lõikega 6 määratakse andmekogu vastutavaks töötlejaks Riigi Infosüsteemi Amet. Vastutava

töötleja ülesandeid täpsustatakse andmekogu põhimääruses.

Lõikega 7 antakse volitusnorm registri põhimääruse kehtestamiseks valdkonna eest vastutavale

ministrile. Põhimääruses sätestatakse andmete täpne koosseis, andmeandjad ja nende esitatavad

andmed, registritoimingute ja andmete säilitamise täpsemad tingimused, registri rahastamine

ning registriga seotud muud korralduslikud nõuded.

Lõike 2 kohaselt kehtestab ja avalikustab Riigi Infosüsteemi Amet oma veebilehel registrisse

teabe esitamise korra. See kord hõlmab üksnes registreerimise tehnilisi ja korralduslikke

üksikasju (näiteks andmete esitamise vorming ja kanalid); isikute õigusi ja kohustusi

puudutavad registreerimiskorra elemendid, sealhulgas andmete esitamise ja menetlemise

täpsem kord, sätestatakse seaduses ja lõike 7 alusel antava registri põhimääruse §-s 8. Lõike 8

kohaselt võib pädev asutus teha otsuse digiidentiteedikukrule tugineva isiku registreeringu

peatamiseks või kehtetuks tunnistamiseks rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2

loetletud juhtudel.

§ 1 punkt 7. Paragrahvis 41 sätestatakse digiidentiteedikukru pakkuja ja usaldusteenuse osutaja

kohustus teavitada pädevat asutust turvaintsidentidest. eIDAS-määrus ning komisjoni

rakendusmäärus (EL) 2025/847 näevad ette liikmesriikide kohustuse reageerida Euroopa

digiidentiteedikukruga seotud turvarikkumistele ning teavitada vajaduse korral Euroopa

Komisjoni ja teisi liikmesriike, kuid ei pane Euroopa digiidentiteedikukru pakkujale otsest

kohustust teavitada riigisisest pädevat asutust. Kuna Euroopa digiidentiteedikukru pakkuja ei

ole Euroopa Liidu õiguse kohaselt automaatselt direktiivi (EL) 2022/2555 ega selle Eesti

rakendusakti, küberturvalisuse seaduse kohaldamisalasse kuuluv subjekt, on vaja kehtestada

vastav riigisisene teavitamiskohustus.

Usaldusteenuse osutajate puhul sisuliselt taastatakse teavituskohustus, mis kehtis kuni 1.

jaanuarini 2026, arvestades et küberturvalisuse seaduses sätestatud küberintsidendi määratlus

ei hõlma täies ulatuses usaldusteenuse osutamisel ega Euroopa digiidentiteedikukru pakkumisel

tekkida võivaid turvaintsidente. Küberturvalisuse seaduse § 2 punkti 19 kohaselt on

küberintsident võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja

8

infosüsteemi turvalisust. Näiteks kui usaldusteenuse osutaja või tema partner väljastab

sertifikaate auditeeritud protsessi tingimusi rikkudes, ei ole tegemist küberintsidendiga

küberturvalisuse seaduse ega direktiivi (EL) 2022/2555 tähenduses, vaid turvaintsidendiga

eIDAS-määruse tähenduses; ka sellistest intsidentidest tuleb pädevat asutust teavitada.

Lõikes 1 sätestatakse Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja kohustus

teavitada pädevat asutust 24 tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib

mõjutada usaldusteenuse, Euroopa digiidentiteedikukru või selle kaudu osutatava teenuse

turvalisust, töökindlust või usaldusväärsust; säte hõlmab nii tegelikke kui ka olulise mõjuga

võimalikke turvaintsidente. 24 tunni tähtaeg tuleneb eIDAS-määrusest; see täpsustati

kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul.

Lõikes 2 määratakse kindlaks teate sisu, mis võimaldab pädeval asutusel hinnata

turvaintsidendi mõju ning otsustada vajalike meetmete üle.

Lõikes 3 antakse pädevale asutusele õigus nõuda täiendavat teavet ja dokumente, kui see on

vajalik turvaintsidendi mõju hindamiseks või Euroopa Liidu õigusest tulenevate kohustuste

täitmiseks.

§ 1 punkt 8. Paragrahvi 5 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru

pakkuja ja pakkumise.

§ 1 punkt 9. Paragrahvi 5 lõikega 1 lisatakse nõuete subjektiks ka Euroopa digiidentiteedikukru

pakkuja ja objektiks Euroopa digiidentiteedikukru pakkumine. Samas jäetakse välja viide

avalikult heakskiidetud ja kättesaadavatele spetsifikatsioonidele. Selle asemel viidatakse

eIDAS-määruse rakendusaktidele, mis praeguseks määravad täpselt kindlaks, milliseid

standardeid ja spetsifikatsioone tuleb järgida.

Lõikes 2 muudetakse kvalifitseeritud usaldusteenuse osutajalt nõutava kindlustuskatte summa

suurust kõigi kindlustusjuhtumite kohta aastas. Senise ühe miljoni euro asemel nõutakse kahe

miljoni euro suuruse kindlustuskatte olemasolu. Summa on olnud üle kümne aasta muutumatu

ega suhestu enam praeguse hinnatasemega. Samas jääb iga üksiku kindlustusjuhtumi kohta

nõutav kindlustuskate endiseks.

§ 1 punkt 10. Paragrahvi 5 lõikega 3 pikendatakse kvalifitseeritud usaldusteenuse osutaja

tegevuslogi säilitamise tähtaega kümnelt aastalt kaheteistkümnele aastale kirje loomisest

arvates. Lõiget 3 muudetakse Politsei- ja Piirivalveameti ettepanekul. 2026. aasta kevadel

tehtud eIDAS-i auditi raames andis audiitor hinnangu, et eIDAS-määruse ja rahvusvahelise

ETSI standardi (ETSI EN 319 411-1, nõuded OVR-6.4.6-01 ja REG-6.3.4-17) kohaselt peavad

logid ja tõendid sertifikaatide kasutustingimustega nõustumise kinnituse kohta olema

kättesaadavad kuni 12 aastat. Kvalifitseeritud sertifikaadi maksimaalne kehtivusaeg on kuni

viis aastat ja ETSI standardi kohaselt tuleb sertifikaatidega seotud sündmusi logida vähemalt

seitse aastat pärast sertifikaadi kehtivuse lõppu. Tsiviilseadustiku üldosa seaduse (TsÜS) § 146

lõike 4 kohaselt on tahtliku rikkumise korral nõuete aegumistähtaeg kümme aastat. Kuna

vaidlused võivad tekkida vahetult enne seda tähtaega ja selle tähtaja piiril ning neile lisandub

menetlusaeg, tagab 12-aastane logide puhver selle, et vajalikud tõendid ja logid (sertifikaatide

kehtivusajad, sertifikaatide kasutustingimuste logid) on kohtuvaidluste tarbeks kättesaadavad.

9

§ 1 punkt 11. Senine paragrahvi 5 lõige 4 tunnistatakse kehtetuks, kuna üksikasjalikud nõuded

tegevuse lõpetamise kavale on praeguseks kehtestatud eIDAS-määruse otsekohalduva

rakendusaktiga.

§ 1 punkt 12. Paragrahvi 5 lõike 5 täiendus on vajalik, kuna isiku tuvastamist käsitlevad sätted

on eIDAS-määruses muutunud. Viidatud artikli 24 lõike 1a punkt d käsitleb isiku tuvastamist

füüsilise kohaloleku korral vastavalt riigisisesele õigusele. Lõikega täpsustataksegi, kuidas

sellises olukorras Eestis isikut tuvastatakse.

§ 1 punkt 13. Paragrahvi 5 lõikega 9 laiendatakse karistatuse puudumise nõuet ka

usaldusteenuse osutaja alltöövõtjale. Täiendus on vajalik, et viia seaduse tekst kooskõlla

uuenenud eIDAS-määruse ja komisjoni rakendusmääruse (EL) 2025/25307 nõuetega.

§ 1 punkt 14. Paragrahvi 5 lisatakse lõiked 10–12, mis käsitlevad Euroopa digiidentiteedikukru

pakkumist.

Lõige 10. Vastavalt eIDAS-määruse artikli 5a lõikele 2 peab Euroopa digiidentiteedikukru

rakendustarkvara komponentide lähtekood olema avatud lähtekoodi litsentsiga. Samas antakse

liikmesriikidele võimalus näha ette erand. Kõnesoleva sättega nähakse selline võimalus Eesti

jaoks ette.

Lõige 11 näeb ette, et Euroopa digiidentiteedikukru pakkuja lisab kukru kasutaja

isikutuvastusandmete hulka ka isikukoodi, mis komisjoni rakendusmääruse (EL) 2024/29778

kohaselt on valikuline parameeter. Selle kaalutlusotsuse mõju on käsitletud seletuskirja 6.

peatükis.

Euroopa digiidentiteedikukru sihtrühm on Eesti isikukoodi omavad isikud: Eestis planeeritakse

kukrut pakkuda Eesti kodanikele ja Eesti isikukoodi omavatele residentidele Lõikes 11

nimetatud isikukood on Eesti isikukood. Teiste liikmesriikide digikukrud Eesti isikukoodi

üldjuhul ei sisalda.

Lõige 12 sätestab Euroopa digiidentiteedikukru pakkuja õiguse teha päringuid isikut tõendavate

dokumentide andmekogusse (ITDAK) ja rahvastikuregistrisse, kui see on vajalik

isikutuvastusandmete kukrusse kandmiseks või nende ajakohasuse kontrollimiseks. Mõju

nendele andmekogudele on kavandatud järgmiselt. Isikut tõendavate dokumentide

andmekogust on planeeritud küsida teatud juhtudel isiku näokujutist (pilti). Rahvastikuregistrist

on planeeritud küsida muid komisjoni rakendusmääruse (EL) 2026/1731 (millega muudetakse

rakendusmäärust (EL) 2024/2977) tabelis 1 loetletud isikutuvastusandmeid, sealhulgas kasutaja

sünnikohta. Kõik kohustuslikud isikutuvastusandmed peale näokujutise saadakse

rahvastikuregistrist selle alusel, millega inimene ennast isikutuvastusandmete väljastamiseks

tuvastas. Samuti nõuab eIDAS-määruse artikli 5a lõike 9 punkt c, et liikmesriigid tagavad

võimaluse tunnistada Euroopa digiidentiteedikukkur kasutaja surma korral kehtetuks. Andmeid

päritakse isiku enda algatusel kukru väljastamisel või andmete ajakohasuse kontrollimisel

ühekordselt ning need salvestatakse konkreetse inimese seadmes olevasse kukrusse;

näokujutise hilisemal kasutamisel võetakse see seadmest, seega ei kaasne püsivat

päringukoormust isikut tõendavate dokumentide andmekogule. Praeguse teadmise kohaselt ei

eelda eelnõu rakendamine rahvastikuregistri ega isikut tõendavate dokumentide andmekogu

arendusi, sest kasutatakse nende olemasolevaid teenuseid X-tee kaudu.

7 Komisjoni rakendusmäärus (EL) 2025/2530 (ELT L, 2025/2530).

8 Komisjoni 28. novembri 2024. aasta rakendusmäärus (EL) 2024/2977 (ELT L, 2024/2977, 4.12.2024).

10

Isikuandmete töötlemise õiguslikud alused on järgmised. Näokujutise saamiseks isikut

tõendavate dokumentide andmekogust on aluseks Euroopa digiidentiteedikukru pakkuja ja

andmeandja vaheline andmetöötlusleping ning komisjoni rakendusmääruse (EL) 2026/1731

tabelis 1 sätestatud isikutuvastusandmete koosseis kooskõlas isikuandmete kaitse üldmääruse

(IKÜM) artikli 6 lõike 1 punktiga b. Rahvastikuregistrist andmete saamise alus on

andmetöötlusleping ning rahvastikuregistri seaduse § 46 lõike 2 punkt 2 kooskõlas IKÜM-i

artikli 6 lõike 1 punktidega b ja c. Andmetöötlus toimub analoogselt ID-kaardi ja mobiil-ID-ga,

mille puhul erasektori teenusepakkuja töötleb isikuandmeid riigi tellimusel teenuse

osutamiseks.

Põhiseaduse ja IKÜM-i valguses riivab Euroopa digiidentiteedikukru pakkumisel toimuv

isikuandmete töötlemine põhiseaduse §-ga 26 tagatud eraelu puutumatust ja § 19 lõikest 1

tulenevat informatsioonilist enesemääramist, kuid riive on põhiseaduspärane. Töötlemise juhud

ja kord on sätestatud vahetult kohalduvas eIDAS-määruses ja selle rakendusaktides, mis

sisaldavad erandlikult üksikasjalikke ja siduvaid kaitsemeetmeid: andmete valikuline

avaldamine ja kasutaja ainukontroll (artikli 5a lõike 4 punkt a), keeld koguda teenuse

osutamiseks mittevajalikku teavet ja kohustus hoida kukru pakkumisega seotud isikuandmeid

muudest andmetest loogiliselt lahus (artikli 5a lõige 14), jälgimis- ja seostamiskeeld (artikli 5a

lõige 16) ning kasutamise vabatahtlikkus (artikli 5a lõige 15). Kukru kasutamine on vabatahtlik

ja andmetöötlus toimub iga kord kasutaja algatusel; lisaks kohustab eIDAS-määrus kukru

pakkujat võimaldama kasutajal valida, milliseid andmevälju ta soovib e-teenusega jagada.

Isikutuvastusandmeid ja tõendeid säilitatakse kasutaja seadmes kasutaja kontrolli all, mitte riigi

keskses andmekogus. Töötlemise õiguslik alus on IKÜM-i artikli 6 lõike 1 punkt c (õiguslik

kohustus, mis tuleneb eIDAS-määrusest ja selle rakendusaktidest) ning punkt e koosmõjus

artikli 6 lõikega 3 (avalikes huvides olev ülesanne). Liikmesriigi poolt või nimel toimuva

töötlemise vastavust IKÜM-ile tuleb eIDAS-määruse artikli 5a lõike 17 kohaselt tõendada;

selleks koostab Riigi Infosüsteemi Amet enne kukru kasutuselevõttu andmekaitsealase

mõjuhinnangu (IKÜM-i artikkel 35). Riive eesmärk (identiteedikindlus ning teiste isikute

õiguste ja vabaduste kaitse digikeskkonnas) on legitiimne ning valitud vahendid on sobivad,

vajalikud ja mõõdukad, sest töödeldavate andmete ring piirdub eIDAS-määruses ja selle

rakendusaktides sätestatud koosseisuga ning kasutajal säilib tegelik võimalus töötlemisest

hoiduda, kasutades seniseid e-identimise vahendeid.

§ 1 punkt 15. Paragrahvi 6 pealkirja täiendatakse, lisades sinna ka Euroopa

digiidentiteedikukru pakkuja.

§ 1 punkt 16. Kuna muudetav paragrahv 6 hõlmab kahte eri luba, täpsustatakse lõike 2

sõnastust nii, et see käib usaldusteenuse osutamise kohta. Samuti lisatakse loa kehtivuse aja

kohta sõna „kuni“, sest luba tugineb auditi aruandele, mille aktuaalsus piirneb küll kahe aastaga,

kuid audit võib olla tehtud ka oluliselt enne loataotluse esitamist.

§ 1 punkt 17. Paragrahvi 6 täiendatakse lõigetega 4 ja 5, kuna eIDAS-määruse kohaselt peab

Euroopa digiidentiteedikukru pakkuja läbima sertifitseerimise, kus vastavushindamisasutus

kinnitab määrusega ettenähtud nõuete täitmist ja väljastab selle kohta sertifikaadi. Sertifikaadi

kehtivus on kuni viis aastat, misjärel tuleb sertifitseerimine uuesti läbida. Otstarbekas on ka loa

kehtivusaeg hoida sünkroonis sertifikaadi kehtivusega. Lõikega 4 kehtestatav loakohustus

laieneb Euroopa digiidentiteedikukru pakkumisele samamoodi nagu paragrahvi 6 lõikes 1

sätestatud loakohustus usaldusteenuse osutamisele. Nõue tuleneb eIDAS-määruse artikli 46a

lõike 3 punktist a, mille kohaselt teeb järelevalveasutus Euroopa digiidentiteedikukru pakkujate

üle järelevalvet nii ex ante kui ka ex post, tagamaks pakkujate ja nende pakutavate Euroopa

11

digiidentiteedikukrute vastavus määruse nõuetele. Loakohustus võimaldab pädeval asutusel

veenduda kukru pakkuja nõuetele vastavuses enne pakkumise alustamist. Loakohustus riivab

põhiseaduse §-s 31 sätestatud ettevõtlusvabadust, kuid riive on põhiseadusega kooskõlas. Riivel

on legitiimne eesmärk: tagada, et isikutuvastuse ja isikuandmete töötlemise seisukohalt eriti

tundlikku teenust pakub üksnes nõuetele vastav isik. Meede on sobiv ja vajalik, sest kukru

nõuetele vastavust ei ole võimalik sama tõhusalt tagada üksnes tagantjärele tehtava

järelevalvega, ning mõõdukas, kuna loa saamise tingimused piirduvad eIDAS-määrusest

tulenevate nõuete täitmise kontrolliga ja loakohustus järgib sama loogikat, mis kehtib juba

kvalifitseeritud usaldusteenuse osutajate suhtes.

Luba kehtib kuni viis aastat: loa kehtivusaeg on kooskõlas sertifikaadi kehtivusega ning kui

sertifikaat mingil põhjusel kaotab kehtivuse (näiteks kui eIDAS-määruse artikli 5c lõikes 4

nimetatud korralist nõrkuste hindamist ei tehta või tuvastatud puudusi ettekirjutusest hoolimata

ei kõrvaldata), tunnistab pädev asutus ka loa kehtetuks. Sätte eesmärk ei ole kehtestada, et luba

kehtib igal juhul viis aastat.

§ 1 punktid 18 ja 19. Paragrahvi 7 lõike 3 punkti 1 muudetakse ja lõiget 3 täiendatakse punktiga

1¹, et loetleda täpsemalt dokumendid, mis on vajalikud loataotluse menetlemiseks.

Vastavushindamiselt oodatakse ka kinnitust vastavuse kohta küberturvalisuse seaduse nõuetele,

kuna eIDAS-määrus kohustab usaldusteenuse osutajat järgima ka Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/25559 nõudeid, mis ei rakendu otse, vaid on Eestis üle võetud

küberturvalisuse seadusega.

Punktis 1 täpsustati kooskõlastusringil Siseministeeriumi infotehnoloogia- ja arenduskeskuse

märkuse alusel, et taotlusele lisatakse usaldusnimekirja lisatav teenuse sertifikaat selle

olemasolu korral. Silmas peetakse usaldusnimekirja lisatavat teenuse sertifikaati, mitte

vastavushindamisasutuse väljastatud sertifikaati; kuna kõigil teenustel sellist sertifikaati ei ole,

esitatakse see üksnes olemasolu korral.

Punktis 1¹ nimetatud põhjendatud järeldus (koondjäreldus) usaldusteenuse ja selle osutaja

vastavuse või mittevastavuse kohta tähendab audiitori kokkuvõtvat hinnangut usaldusteenuse

ja selle osutaja eIDAS-määruse nõuetele ja seotud riigisisestele nõuetele vastavuse kohta. See

võib sisalduda sertifikaadil või aruande põhidokumendis ning olla esitatud paari lausega või

näiteks tabeli kujul. Samasisuline nõue oli varem majandus- ja taristuministri 26. oktoobri 2016.

a määruse nr 64 „Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord“ § 3 lõike

2 punktis 7; kuna nimetatud määrus muutub eelnõu kohaselt kehtetuks, tõstetakse nõue

seadusesse. Vastavushindamisasutus peab kontrollima usaldusteenuse osutaja vastavust muu

hulgas ka küberturvalisuse seadusele, millega on riigisiseselt üle võetud direktiiv (EL)

2022/2555. Praktikas ei ole see nõue probleeme tekitanud.

§ 1 punkt 20. Paragrahvi 7 lõike 3 punktiga 3 lisatakse taotlemisel esitatavate dokumentide

hulka ka teenuse riskianalüüs. Küberturvalisuse seadusest tulenevalt on kvalifitseeritud

usaldusteenuse osutaja ülioluline üksus, kellel on kohustus teha riskianalüüs. Lisatud sättega

nähakse loamenetlejale ette võimalus selle riskianalüüsiga tutvuda.

9 Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiiv (EL) 2022/2555, mis käsitleb meetmeid,

millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014

ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv)

(ELT L 333, 27.12.2022, lk 80–152).

12

Punktiga 4 lisatakse taotlemisel esitatavate dokumentide hulka tõend kindlustuse olemasolu

kohta. Punktiga 5 nähakse ette Euroopa digiidentiteedikukru pakkuja loataotluse

menetlemiseks vajalikud dokumendid: eIDAS-määruse artikli 5c lõike 2 kohaselt tuleb

liikmesriigil edastada Euroopa Komisjonile selle e-identimise süsteemi kirjeldus, mille alusel

Euroopa digiidentiteedikukrut pakutakse, Euroopa digiidentiteedikukru sertifikaat ja

sertifitseerimise hindamise aruanne.

§ 1 punkt 21. Paragrahvi 7 lõige 4 tunnistatakse kehtetuks, kuna eIDAS-määruse rakendusaktid

kirjeldavad ammendavalt standardeid, mille kohaselt tuleb usaldusteenuse osutamise

põhimõtteid kirjeldada.

§ 1 punkt 22. Paragrahvi 8 punkti 1 lisatakse ka Euroopa digiidentiteedikukru pakkumine.

Kuna loamenetlus käsitleb kahte eri luba, täpsustatakse punktiga 2, et seal peetakse silmas just

usaldusteenuse osutaja auditit.

§ 1 punkt 23. Kuna loamenetlus käsitleb kahte eri luba, lisatakse punktiga 2¹ paragrahvi 8 viide

eIDAS-määrusele, mille kohase sertifitseerimise peab Euroopa digiidentiteedikukkur olema

läbinud. Kooskõlastusringil täpsustati Tarbijakaitse ja Tehnilise Järelevalve Ameti ettepanekul

sätte sõnastust selliselt, et sertifitseerimise objektina nimetatakse Euroopa

digiidentiteedikukrut, mitte selle pakkujat, ning viidatakse eIDAS-määruse artiklile 5c

tervikuna. Nii Euroopa digiidentiteedikukru kui ka usaldusteenuse loa taotlemisel peab esitatav

sertifikaat olema kehtiv.

§ 1 punkt 24. Paragrahvi 9 lõike 1 punkti 1 ehk loa andmisest keeldumist kirjeldavasse sättesse

lisatakse ka Euroopa digiidentiteedikukru pakkuja luba puudutav.

§ 1 punkt 25. Paragrahvi 9 lõikesse 1 lisatud punkt 4 annab võimaluse loa andmisest keelduda,

kui taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi

vastuolusid. Tegemist on lõike 1 punktist 1 erineva alusega: punkt 1 kirjeldab olukorda, kus

audiitor märgib selgesõnaliselt, et teenus või teenuse osutaja ei vasta nõuetele, punkt 4 aga

olukorda, kus aruande järgi teenus või teenuse osutaja küll vastab nõuetele, kuid aruandes

kirjeldatu alusel jõuab pädev asutus järeldusele, et esineb olulisi vastuolusid, mille

kõrvaldamiseni ei ole võimalik luba väljastada. Olulise vastuoluga on tegemist näiteks siis, kui

aruandes ei ole hinnatud riigisisesele õigusele vastavust, vastavust on hinnatud valede või

aegunud nõuete alusel või nähtub aruandest, et seda on kopeeritud teise aruande pealt sisusse

süvenemata. Need näited pärinevad tegelikust järelevalvepraktikast. Üksnes vormiline või

tähendust mittemuutev ebatäpsus loa andmisest keeldumise alust ei anna. Selline piiritlus tagab

kooskõla põhiseaduse §-st 10 ja § 13 lõikest 2 tuleneva õigusselguse põhimõttega: loa taotleja

jaoks on ettenähtav, millise puuduse korral võib loa andmisest keelduda.

§ 1 punkt 26. Paragrahvi 9 lõiget 2 täiendatakse, selgitamaks, et majandustegevuse seadustiku

üldosa seaduse §-s 37 sätestatud loa kehtetuks tunnistamise alused kehtivad ka kõnesoleva

seaduse loamenetluse korral.

§ 1 punkt 27. Paragrahvi 9 lõike 2 punktide 1–3 sõnastust muudetakse nii, et hõlmatud ei oleks

ainult kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise

teenus.

§ 1 punkt 28. Paragrahvi 9 lõike 3 sõnastust muudetakse nii, et hõlmatud ei oleks ainult

kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise teenus.

13

§ 1 punkt 29. Paragrahvi 9 lõike 4 sõnastust muudetakse, et kajastada olukorda, kus

usaldusnimekirja kirjeid ei kustutata, vaid neid muudetakse, et need peegeldaksid tegelikku

kehtivuse seisu.

§ 1 punkt 30. Paragrahvi 10 muudetakse, sõnastades lõike 3 selliselt, et kvalifitseerimata

usaldusteenuse osutaja ja usaldusteenus kantakse usaldusnimekirja kuni kaheks aastaks. Sõna

„kuni“ lisati kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul, et viia sätte sõnastus

kooskõlla usaldusnimekirja kandmise üldise loogikaga: usaldusnimekirja kandmine peab olema

kooskõlas väljastatud vastavushindamise sertifikaadiga. Vastavushindamise sertifikaat,

tegevusluba ning usaldusnimekirja andmed peavad olema omavahel alati kooskõlas.

Vastavushindamise sertifikaat väljastatakse kaheks aastaks, kuid tegevusloa menetlus võib

toimuda mõnevõrra hiljem ning seetõttu võib ka usaldusnimekirja lisamise periood olla

mõnevõrra lühem.

§ 1 punkt 31. Paragrahvi 12 pealkiri muudetakse, asendades selles sõna „vastavushindamise“

sõnaga „sertifitseerimise“. Uuenenud eIDAS-määrus ja selle rakendusaktid kirjeldavad

detailselt usaldusteenuste vastavushindamist, kuid lisandunud on Euroopa digiidentiteedikukru

sertifitseerimise protseduur, milleks vajaliku kava peab iga liikmesriik ise looma.

§ 1 punkt 32. Paragrahvi 12 lõige 2 tunnistatakse kehtetuks, sest viide usaldusteenuse osutaja

ja usaldusteenuse vastavushindamise korra määrusele on muutunud ebavajalikuks. Uuendatud

eIDAS-määruse alusel vastu võetud komisjoni rakendusmäärus (EL) 2025/216210 seab nõuded

vastavushindamisele, muutes seega Eesti määruse ebavajalikuks. Samas eeldab uuendatud

eIDAS-määrus, et liikmesriigid loovad riigipõhise Euroopa digiidentiteedikukru

sertifitseerimise kava.

§ 1 punkt 33. Paragrahvi 12 täiendatakse lõigetega 2¹–2³, mis käsitlevad Euroopa

digiidentiteedikukrute sertifitseerimist.

Lõige 2¹. Uuendatud eIDAS-määrus ja komisjoni rakendusmäärus (EL) 2024/298111 näevad

ette, et Euroopa digiidentiteedikukrute sertifitseerimine toimub vastavalt liikmesriikide loodud

kavadele. Sättega pannakse selliste kavade loomise, ajakohasena hoidmise ja läbivaatamise

kohustus valdkonna eest vastutavale ministeeriumile. Sertifitseerimise ulatuse, sealhulgas

sertifitseeritavate komponentide ja nõuete ulatuse, määrab komisjoni rakendusmäärus (EL)

2024/2981. Euroopa digiidentiteedikukru väljaandmise etappide kohta on Riigi Infosüsteemi

Amet avaldanud analüüsi oma veebilehel.12

Lõikega 2² nähakse ette, et valdkonna eest vastutav ministeerium avaldab nende kavade

ajakohased versioonid internetis.

Lõige 2³. Vastavalt eIDAS-määrusele sertifitseerivad Euroopa digiidentiteedikukruid

liikmesriikide määratud vastavushindamisasutused. Selle sättega määratletakse, millised

vastavushindamisasutused tulevad sertifitseerimiseks kõne alla. Konkreetne

vastavushindamisasutus leitakse hankeprotsessi käigus.

§ 1 punkt 34. Paragrahvi 13 pealkirja täiendatakse, kuna muudatustest teavitamine peab

hõlmama ka Euroopa digiidentiteedikukrut.

10

Komisjoni rakendusmäärus (EL) 2025/2162 (ELT L, 2025/2162). 11

Komisjoni 28. novembri 2024. aasta rakendusmäärus (ELT L, 2024/2981, 4.12.2024). 12 https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet

14

§ 1 punkt 35. Paragrahvi 13 lõike 1 muudatusega viiakse usaldusteenuse muudatustest

teavitamise tähtajad kooskõlla uuendatud eIDAS-määruses sätestatuga. Ühtlasi laiendatakse

muudatustest teavitamise kohustust ka Euroopa digiidentiteedikukru pakkujale.

§ 1 punkt 36. Paragrahvi 13 lõiked 3 ja 4 muudetakse. Lõikes 3 seatakse pädevale asutusele

tähtaeg, mille jooksul tuleb teada anda taotluse uuesti esitamise vajadusest. Ühtlasi laiendatakse

sätet ka Euroopa digiidentiteedikukru pakkujale.

Lõikes 4 asendatakse väljend „usaldusnimekirjas kajastatud andmete muutmise“ väljendiga

„teenuse muutmise taotluse“. Ilma muudatuseta tuleks riigilõivu maksta ainult siis, kui

muutuvad usaldusnimekirjas kajastatud andmed. Praktikas enamasti andmed usaldusnimekirjas

ei muutu, kuid muudatuse läbivaatamine ja kinnitamine nõuab pädevalt asutuselt omajagu

ressurssi. Lisaks ei oleks senise sõnastusega kaetud Euroopa digiidentiteedikukru muudatused,

mida usaldusnimekirja ei kanta. Muudatus tehti kooskõlastusringil Riigi Infosüsteemi Ameti

ettepanekul.

§ 1 punkt 37. Paragrahvi 18 täiendatakse lõikega 5, kuna olenevalt tehnilisest teostusest ja

teenuse osutamise korraldusest ei pruugi usaldusteenus võimaldada kord peatatud sertifikaatide

kehtivust uuesti taastada. Sellises olukorras lähtub usaldusteenuse osutaja sertifikaatide

kehtivuse peatamisel sertifikaatide kehtetuks tunnistamise kohta sätestatust.

§ 1 punkt 38. Paragrahvi 19 lõiget 2 täiendatakse punktiga 4, millega lisatakse sertifikaatide

kehtetuks tunnistamise taotlejate loetellu ka isikut tõendavate dokumentide väljaandja, kuid

teatud pädevusepiirangutega. Isikut tõendavate dokumentide väljaandja võib taotleda

sertifikaatide kehtetuks tunnistamist ainult isikut tõendavate dokumentide seaduse § 2 lõike 2

punktides 1–12 nimetatud dokumendile kantud sertifikaatide puhul ja ainult neil alustel, mis on

isikut tõendavate dokumentide seaduses sätestatud. Varem oli sama tähendus e-identimise ja

e-tehingute usaldusteenuste seaduse § 19 lõikel 5, kuid senine sõnastus on tekitanud praktikas

erinevaid tõlgendamisvõimalusi, eelkõige selle puhul, kas vastavad isikut tõendavate

dokumentide seaduse normid on erinormid e-identimise ja e-tehingute usaldusteenuste seaduse

§ 19 normide suhtes. Selguse huvides nimetatakse isikut tõendavate dokumentide väljaandjat

edaspidi teiste võimalike kehtetuks tunnistamise taotlejate loetelus. Kooskõlastusringil

täpsustati Siseministeeriumi märkuse alusel, et säte viitab isikut tõendavate dokumentide

seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumentidele ehk dokumentidele, millele

e-identimise ja e-tehingute usaldusteenuste seadus kohaldub; reisidokumendid jäävad sätte

kohaldamisalast välja.

§ 1 punkt 39. Paragrahvi 19 lõike 4 punkti 5 muudetakse, täpsustades, et sertifikaadi kehtetuks

tunnistamise alus on sertifikaadi omaja tegevuse lõpetamise tõttu tema kustutamine

sertifitseerimise registrist. Täpsustatakse sõnastust (sertifitseerimise register), et eristada seda

registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist. Muudatus on

täpsustav ega muuda sätte senist sisu.

§ 1 punkt 40. Paragrahvi 19 lõikega 4 lisatava sätte eesmärk on näha ette selge õiguslik alus

sertifikaatide kehtetuks tunnistamiseks, kui on ilmnenud, et sertifikaatide väljastamine ei vasta

usaldusteenuse loa tingimustele või eIDAS-määruses või kõnesolevas seaduses sätestatud

nõuetele. Muus osas on sätte senine sõnastus laiahaardeline ega ole tekitanud praktikas

küsitavusi ja vastuolulisi tõlgendamisvõimalusi.

§ 1 punkt 41. Paragrahvi 19 lõiget 5 muudetakse, jättes välja viite isikut tõendavate

dokumentide seaduses loetletud sertifikaadi kehtetuks tunnistamise alustele ja korrale, kuna

15

samatähenduslik säte lisatakse selguse eesmärgil eelnõuga e-identimise ja e-tehingute

usaldusteenuste seaduse § 19 lõikesse 2. Samas lisatakse usaldusteenuse osutajale kohustus

teavitada enne sertifikaadi kehtetuks tunnistamist sellest isikut tõendava dokumendi

väljaandjat.

Teavitamiskohustus puudutab isikusertifikaate, mitte juur- ega vahesertifikaate. Teavitamise

eesmärk on tagada, et dokumendi väljaandja saaks vajaduse korral teha vajalikud otsused

füüsilise dokumendi osas. Teavitamine võib toimuda ka tehniliste lahenduste kaudu. Eelneva

teavitamise all peetakse silmas mõistlikku aega; täpse tähtaja sätestamist ei peetud eelnõu

koostamisel vajalikuks. Ka selles sättes viidatakse isikut tõendavate dokumentide seaduse § 2

lõike 2 punktides 1–12 nimetatud dokumentidele.

§ 1 punkt 42. Lisanduva paragrahviga 23¹ kehtestatakse riikliku järelevalvemenetluse käigus

ettekirjutuse täitmata jätmise korral rakendatava sunniraha igakordseks ülemmääraks 500 000

eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest

kogukäibest, olenevalt sellest, kumb summa on suurem. Kooskõlastusringi tulemusel vähendati

Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku tõttu sunniraha ülemmäära 5

000 000 eurolt 500 000 eurole ehk kümme korda. Samas on piisavalt suur piirmäär vajalik, et

säilitada tõhus võimalus mõjutada Euroopa digiidentiteedikukru pakkujat õiguskuulekale

tegevusele ning täita seeläbi eIDAS 2 määruse artikli 16 lõikes 1 sätestatud kohustus. eIDAS 2

määruse artikli 16 lõige 1 kohustab liikmesriike kehtestama mõjusad, proportsionaalsed ja

hoiatavad normid eIDAS-määruse rikkumise eest kohaldatavate karistuste kohta; see säte

kohaldub lisaks usaldusteenuse osutajatele ka Euroopa digiidentiteedikukru pakkujale. Samas

otsustati eelnõu koostamise käigus, et Euroopa digiidentiteedikukru pakkujale ei nähta ette

trahve selliselt, nagu seda on tehtud usaldusteenuse osutaja suhtes (eelnõukohane e-identimise

ja e-tehingute usaldusteenuste seaduse § 23³). See lähtus kaalutlusest, et kuna eIDAS 2 määruse

artikli 16 lõikes 2, mis näeb ette trahvimäärad, ei nimetata Euroopa digiidentiteedikukru

pakkujaid, oleks trahvi ettenägemine kukru pakkujale ülereguleerimine (nn gold-plating; vt ka

„Ametniku Euroopa Liidu käsiraamatu“ peatükki 8.3.5).13 Seega on piisavalt suur sunniraha

ülemmäär (500 000 eurot) sobiv tasakaalupunkt eIDAS 2 määruse artikli 16 lõikes 1 sätestatud

kohustuse täitmiseks Euroopa digiidentiteedikukru pakkuja suhtes olukorras, kus kukru

pakkujale ei ole trahve ette nähtud. Pädev asutus peab sunniraha määramise korral hindama,

millises määras on sunniraha rakendamine konkreetsel juhul proportsionaalne. Vähendamine

puudutab ülemmäära fikseeritud osa. Käibepõhine alternatiiv (kuni 1 protsent kogukäibest, kui

see on suurem) säilib, mistõttu suure käibega kohustatud isiku puhul ülemmäär ei muutunud.

§ 1 punkt 43. Eelnõuga lisatava peatüki 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse

osutajatega“ eesmärk on tagada Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

artikli 48a rakendamine, mille kohaselt tuleb liikmesriigil koguda ja Euroopa Komisjonile

esitada statistilisi andmeid, sealhulgas Euroopa digiidentiteedikukru ja kvalifitseeritud

usaldusteenuste toimimise kohta, ning avaldada need üleliiduliselt. Selleks kehtestatakse

määruses (EL) nr 910/2014 nimetatud teenuse osutajale statistika kogumiseks ja esitamiseks

vajalik teabevahetuskohustus. Andmeid kogutakse teenuse osutajalt vajaduspõhiselt ja

proportsionaalsuse põhimõttel.

§ 1 punkt 44. Lisanduva peatükiga 3² kehtestatakse trahvimäärade ülemmäärad seaduse nõuete

rikkumise eest. Kohustus sellised trahvimäärad kehtestada tuleneb eIDAS-määruse artiklist 16.

Peatükis nimetatud väärtegude kohtuväliseks menetlejaks määratakse Riigi Infosüsteemi Amet.

Trahvimäärade ülemmäärad tuginevad eIDAS 2 määruse artikli 16 lõikele 2, mille punkti a

13 https://riigikantselei.ee/el-poliitika-julgeolek-ja-riigikaitse/eesti-euroopa-liidus/ametniku-euroopa-liidu-

kasiraamat/ulereguleerimine-ehk-direktiivis-satestatust-rangemate-nouete-kehtestamine

16

kohaselt on füüsilisest isikust usaldusteenuse osutajale kohaldatava rahatrahvi ülemmäär 5 000

000 eurot ja punkti b kohaselt juriidilisele isikule 5 000 000 eurot või 1 protsent tema eelmise

majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb on suurem.

Karistusseadustiku § 47 üldmäärad (lõike 1 kohaselt füüsilisele isikule kuni 300 trahviühikut ja

lõike 2 kohaselt juriidilisele isikule kuni 400 000 eurot) jäävad nendest määradest väiksemaks.

Samas võib KarS-i § 1 lõike 1 järgi sätestada karistusseadustiku üldosast erisusi muudes

seadustes, kui seda nõuab reguleeritava valdkonna eripära. Praegusel juhul on kõrgemad

trahvimäärad sätestatud konkreetse valdkonna otsekohalduvas Euroopa Liidu määruses.

Selliste trahvimäärade kehtestamine on kooskõlas Eesti Vabariigi põhiseaduse §-ga 23, kuna

väärteokoosseisud (kõnesoleva seaduse § 5, § 6 lõige 1 ja § 13 lõige 1) on piisavalt selgelt

sõnastatud ning trahvimäärade ülemmäärad on seaduses arvuliselt fikseeritud. Karistuste suurus

on proportsionaalne põhiseaduse § 32 tähenduses, kuna trahvimäärade ülemmäärad on

kooskõlas eIDAS 2 määrusest tuleneva kohustusega ning pädev asutus peab trahvi määrates

hindama iga üksikjuhtumi puhul karistuse proportsionaalsust.

§ 1 punkt 45. Paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga

„sertifitseerimise“, nii et pealkiri nimetab sertifitseerimise registrisse kantud

sertifitseerimisteenuse osutajat. Täpsustatakse sõnastust (sertifitseerimise register), et eristada

seda registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist.

Muudatus on täpsustav ega muuda sätte senist sisu.

Eelnõu §-ga 2 muudetakse riigilõivuseadust.

§ 2 punkt 1. Paragrahvi 116² pealkirja muudatus on vajalik, kuna loamenetlusse lisandub

Euroopa digiidentiteedikukru pakkuja loa menetlemine.

§ 2 punktid 2 ja 3. Paragrahvi 116² lõigete 1 ja 2 muutmine ning lõike 3 täiendamine on vajalik,

kuna loamenetlusse lisandub Euroopa digiidentiteedikukru pakkuja loa menetlemine.

Riigilõivust kaetakse Euroopa digiidentiteedikukru pakkuja loataotluse menetlemise kulud, mis

hinnanguliselt ei erine usaldusteenuse loataotluse menetlemisega kaasnevatest kuludest.

Eelnõu §-ga 3 muudetakse karistusseadustikku.

§ 3. Euroopa digiidentiteedikukkur pakub samasuguseid funktsioone või isegi enamat kui mitu

karistusseadustiku §-s 350 nimetatud dokumenti. Otstarbekas on näha ette võimalus käsitleda

Euroopa digiidentiteedikukruga seotud süütegusid samadel alustel kui näiteks digitaalse

isikutunnistusega seotud süütegusid. Selleks lisatakse tähtsa isikliku dokumendi loetellu ka

Euroopa digiidentiteedikukkur. Otstarbekas on lisada loetellu ka e-identimise vahendid, mida

ei ole küll välja antud isikut tõendavate dokumentide seaduse alusel, kuid mis on e-identimise

ja e-tehingute usaldusteenuste seaduses sätestatud korras hinnatud samaväärseks vahendiga,

mille usaldusväärsuse tase on „kõrge“.

4. Eelnõu terminoloogia

Eelnõuga võetakse kasutusele järgmised uued terminid, mis tulenevad eIDAS-määrusest:

„Euroopa digiidentiteedikukkur“ (eIDAS-määruse artikli 3 punkt 42), „Euroopa

digiidentiteedikukru pakkuja“ ja „digiidentiteedikukrule tuginev isik“ (eIDAS-määruse artikli

3 punkt 52 koostoimes artikliga 5b). Kooskõlas hea õigusloome ja normitehnika eeskirja § 18

lõikega 2 on eelnõus kasutatavad terminid kooskõlas Euroopa Liidu õigusakti eestikeelses

tekstis kasutatud terminitega. Uue andmekogu nimetusena võetakse kasutusele

„digiidentiteedikukrule tuginevate isikute register“. Rohkem uusi termineid ei looda. Eelnõus

17

kasutatavad terminid on kooskõlas e-identimise ja e-tehingute usaldusteenuste seaduses,

riigilõivuseaduses ja karistusseadustikus juba kasutusel. olevatega.

5. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõu on kooskõlas Euroopa Liidu õigusega. Eelnõu on seotud eIDAS-määruse (mida on

muudetud eIDAS 2 määrusega) ja selle alusel antud Euroopa Komisjoni rakendusmääruste

rakendamisega. Euroopa Liidu toimimise lepingu artikli 288 kohaselt on määrus tervikuna

siduv ja vahetult kohaldatav kõikides liikmesriikides, mistõttu määrust riigisisesesse õigusesse

üle ei võeta ega selle sätteid riigisiseses õiguses ei korrata. Eelnõu sisaldab üksnes riigisiseseid

rakendusmeetmeid, mida määrus liikmesriigilt nõuab või võimaldab: pädevate asutuste

määramine (eIDAS-määruse artikli 7 punkt f ning artiklid 5a–5e, 9, 12, 46a ja 46b), kukrule

tuginevate isikute riikliku registri asutamine (artikkel 5b ja rakendusmäärus (EL) 2025/848),

karistusnormide kehtestamine (artikkel 16) ning liikmesriigile jäetud kaalutlusruumi

kasutamine (muu hulgas avatud lähtekoodi erand artikli 5a lõike 2 alusel, isikukoodi kandmine

kukrusse rakendusmääruse (EL) 2024/2977 alusel ja isiku tuvastamise viis füüsilise kohaloleku

korral artikli 24 lõike 1a punkti d alusel).

Kuna eelnõukohase seadusega ei võeta üle direktiivi, vaid rakendatakse määrust, ei lisata

eelnõule normitehnilist märkust ega koostata direktiivi ülevõtmise vastavustabelit. Eelnõu ja

eIDAS 2 määruse sätete seoste ülevaade on esitatud seletuskirja lisas 2 (vastavustabel). Eelnõu

ei sisalda sätteid, mis läheksid kaugemale eIDAS 2 määruse nõuetest, välja arvatud

liikmesriigile sõnaselgelt jäetud valikute kasutamine, mille põhjendused on esitatud seletuskirja

3. ja 6. peatükis.

6. Seaduse mõjud

Eelnõu on seotud eIDAS 2 määruse rakendamisega. Kuna Euroopa Liidu määrus on Euroopa

Liidu toimimise lepingu artikli 288 kohaselt tervikuna siduv ja vahetult kohaldatav, tulenevad

sihtrühmade põhilised õigused ja kohustused vahetult eIDAS 2 määrusest ning tekivad

olenemata eelnõust. Eelnõu käsitleb üksnes määruse rakendamiseks vajalikke või lubatud

riigisiseseid meetmeid: Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaani kohaselt

muudetakse e-identimise ja e-tehingute usaldusteenuste seadust, riigilõivuseadust ja

karistusseadustikku ning muudatuste sisuks on eelkõige riigisisesed rollid, järelevalve ja

karistused.14 Eelnõu põhilahendused on järgmised: Riigi Infosüsteemi Amet määratakse

pädevaks asutuseks ja järelevalveasutuseks (eelnõu § 1 punkt 3), riigile luuakse võimalus

Euroopa digiidentiteedikukru pakkumine ja selleks vajalikud tegevused allhankida (eelnõu § 1

punkt 3), asutatakse digiidentiteedikukrule tuginevate isikute register (eelnõu § 1 punkt 6) ning

kehtestatakse Euroopa Liidu nõuetele vastavad sunniraha- ja trahvimäärad (eelnõu § 1 punktid

42 ja 44). Selguse huvides kirjeldatakse 6. peatükis nii eelnõu enda kui ka eIDAS 2 määruse

kohaldamisega kaasnevaid mõjusid, sest sihtrühmade jaoks avalduvad need koos ja

lahutamatult. Kavandatavad muudatused avaldavad mõju mitmes valdkonnas, hõlmates

sotsiaalset mõju (sh e-teenuste kasutamise võimaluste laienemine), mõju riigi julgeolekule ja

välissuhetele (digiidentiteedi taristu turvalisus ja piiriülene koostalitlusvõime), mõju

majandusele (halduskoormus, ettevõtjate kohustused ja uute teenuste arendamise võimalused)

ning mõju riigiasutuste ja kohaliku omavalitsuse korraldusele (uued ülesanded, järelevalve ja

infosüsteemide arendamine).

14

Justiits- ja Digiministeeriumi kaasamisplaan: olulisemad algatused 2026. aastal. Justiits- ja Digiministeerium:

2026. https://www.justdigi.ee/sites/default/files/documents/2026-03/JDM%20kaasamisplaan%202026_pdf.pdf

18

Eelnõu kohta ei ole koostatud väljatöötamiskavatsust (vt seletuskirja punkt 2). Eesti seisukohad

Euroopa Komisjoni ettepaneku COM(2021) 281 (final) kohta kiitis heaks Vabariigi Valitsus ja

neid arutas Riigikogu Euroopa Liidu asjade komisjon.15 Euroopa Liidu tasandil on olemas ka

põhjalik mõjuhinnang. Komisjoni mõjuhinnangu16 kohaselt oli kehtiva eIDAS-raamistiku

põhiprobleem piiriülese e-identimise piiratud ja ebaühtlane kasutatavus – mõjuhinnangu

koostamise ajaks oli e-identimise süsteemist teavitanud vaid 14 liikmesriiki, teavitatud

süsteemid (Eesti puhul muu hulgas ID-kaart ja mobiil-ID) katsid hinnanguliselt 59% liidu

elanikkonnast ning teenusepakkujate vastuvõtuvõime oli ebaühtlane. Komisjoni

mõjuhinnangut toetavas uuringus17 hinnati eri poliitikavalikute kulusid ja tulusid avaliku

sektori asutustele, internetiteenuste osutajatele, vastavushindamisasutustele, usaldusteenuse

osutajatele ja e-identimise vahendite pakkujatele. Kuna väljatöötamiskavatsust ei koostatud,

esitatakse 6. peatükis mõjude analüüs väljatöötamiskavatsuse tasemele vastava põhjalikkusega,

tuginedes muu hulgas nimetatud Euroopa Liidu tasandi mõjuhinnangule.

Mõjude hindamisel on ajaline raamistik järgmine. eIDAS 2 määrus jõustus 20. mail 2024.

Määruse artikli 5a lõike 1 kohaselt peab iga liikmesriik tegema vähemalt ühe Euroopa

digiidentiteedikukru kättesaadavaks 24 kuu jooksul artikli 5a lõikes 23 ja artikli 5c lõikes 6

osutatud rakendusaktide jõustumisest18, mis seab tähtajaks 24 detsembri 2026. Samast ajast

muutub sisuliselt kohaldatavaks avaliku sektori asutuste kohustus aktsepteerida digikukrut e-

identimist ja e-autentimist nõudvatele internetipõhistele teenustele juurdepääsul (artikli 5f lõige

1).19 Erasektori digiidentiteedikukrule tuginevatele isikutele, kellelt õigusakti või lepingulise

kohustuse alusel nõutakse veebis kasutaja tugevat autentimist, muutub aktsepteerimiskohustus

kohustuslikuks hiljemalt 36 kuu möödumisel nimetatud rakendusaktide jõustumisest ehk 2027.

aasta lõpust (artikli 5f lõige 2).20

Peamised sihtrühmad on:

1) füüsilised isikud ehk digikukru potentsiaalsed kasutajad – ligikaudu 1,36 miljonit Eesti

elanikku21 ja teiste liikmesriikide kukrute kasutajad, kes soovivad Eesti teenustele juurde

pääseda;

2) avaliku sektori asutused, kes osutavad e-identimist nõudvaid internetipõhiseid teenuseid,

sealhulgas kõik 78 kohaliku omavalitsuse üksust;

3) erasektori digiidentiteedikukrule tuginevad isikud, kellelt õigusakti või lepingulise kohustuse

alusel nõutakse veebis tugevat kasutaja autentimist, muu hulgas panganduse, finantsteenuste,

15

Eesti seisukohad Euroopa digiidentiteedi raamistiku määruse eelnõu (COM(2021) 281 final) kohta. EISi toimik

21-0812. https://eelnoud.valitsus.ee/main/mount/docList/30d59321-40e8-4d18-9e41-5676c2cbf811?activity=3.

Heaks kiidetud Vabariigi Valitsuse 30. septembri 2021. a istungil. Riigikogu toimik 1-2/21-365/6. 16

European Commission. Commission Staff Working Document. Impact Assessment Report. SWD(2021) 124

final. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 17

European Commission. Study to support the impact assessment for the revision of the eIDAS regulation.

9.06.2021. https://digital-strategy.ec.europa.eu/en/library/study-support-impact-assessment-revision-eidas-

regulation 18

Digikukkur ehk Euroopa Liidu digiidentiteedirakendus (EUDI Wallet). Riigi Infosüsteemi Ameti koduleht,

01.06.2026. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 19

Cybernetica AS. Digikukru III etapi analüüs (Digiidentiteedikukru analüüside kogumik). Versioon 1.0,

8.04.2026. Tellija: Riigi Infosüsteemi Amet. Ptk 10 (Euroopa digiidentiteedikukrute aktsepteerimine avaliku

sektori tuginevate isikute poolt). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-

analuus.pdf 20

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 21

Statistikaameti andmebaas [e-andmebaas]. RV021. https://stat.ee/et/avasta-

statistikat/valdkonnad/rahvastik/rahvaarv

19

side, transpordi, energeetika, tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja

väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud;

4) usaldusteenuse osutajad, sealhulgas kvalifitseeritud usaldusteenuse osutajad ja uut liiki

usaldusteenuste (elektrooniliste tõendite väljastamine, e-allkirja kaugloomise vahendite

haldamine) osutajad;

5) autentsete allikate eest vastutavad asutused ehk riiklike andmekogude pidajad, kelle andmeid

kasutatakse elektrooniliste tõendite väljastamisel ja kontrollimisel, näiteks Siseministeerium

rahvastikuregistri ning Politsei- ja Piirivalveamet isikut tõendavate dokumentide andmekogu

vastutava töötlejana;

6) Euroopa digiidentiteedikukru pakkuja;

7) Riigi Infosüsteemi Amet kui pädev asutus, järelevalveasutus ja digikukru pakkumise

korraldaja;

8) Andmekaitse Inspektsioon (AKI) andmekaitsealase järelevalve tegijana ning

9) Justiits- ja Digiministeerium kui sertifitseerimisskeemi väljatöötamise eest vastutaja.

6.1. Sotsiaalne mõju, sh demograafiline mõju

Mõju avaldub kõigile füüsilistele isikutele, kes hakkavad digikukrut kasutama avalikele ja

erasektori teenustele juurdepääsuks nii Eestis kui ka mujal Euroopa Liidus. Digikukkur

väljastatakse, seda kasutatakse ja see tunnistatakse füüsiliste isikute jaoks kehtetuks tasuta

(eIDAS 2 määrusega kehtestatud artikli 5a lõige 13) ning kukkur peab pakkuma kõigile

füüsilistele isikutele vaikimisi ja tasuta võimalust anda kvalifitseeritud e-allkiri mittekutselistel

eesmärkidel (artikli 5a lõike 4 punkt g). Digikukkur on kavandatud täiendava riikliku

isikutuvastusvahendina ID-kaardi ja teiste kehtivate eID-vahendite kõrval, mitte nende

asendajana.22 Kasutajal on täielik kontroll oma andmete üle: ta saab andmeid valikuliselt

avaldada, kasutada varjunimesid ning jälgida kõiki tehinguid ühise töölaua kaudu (artikli 5a

lõiked 4 ja 14). Võrreldes kehtivate e-identimise vahenditega suureneb seega inimese

teadlikkus ja kontroll selle üle, milliseid tema andmeid, kellele ja millal edastatakse – see on

selgelt positiivne mõju eraelu puutumatusele ja informatsioonilisele enesemääramisele. Ka

Euroopa Komisjon toob digikukru peamise kasuna kodanikele esile lihtsama juurdepääsu

avalikele ja erasektori teenustele, asjaajamisele kuluva aja ja halduskoormuse vähenemise ning

andmete valikulise avaldamise, mis vähendab oluliselt profileerimise võimalust; teatavates

olukordades võimaldab kukkur identifitseerida end täiesti anonüümselt.23

Eelnõuga tehtav oluline riigisisene kaalutlusotsus on isikukoodi kandmine kukrusse. Kuigi

eelnõuga korraldatakse otsekohalduva Euroopa Liidu määruse rakendamist Eestis, on siiski

valikukohti, mida Euroopa Liidu määrus ette ei kirjuta. Eelnõus nähakse ette, et lisaks

kohustuslikele isikutuvastusandmetele lisatakse Eestis väljaantavate Euroopa

digiidentiteedikukrute isikutuvastusandmete hulka ka Eesti isikukood, mis rakendusmääruse

(EL) 2024/2977 kohaselt ei ole kohustuslik, vaid valikuline parameeter. Isikukoodi lisamine

annab Eesti inimestele võimaluse kasutada harjumuspäraseid e-teenuseid ka Euroopa

digiidentiteedikukru abil. Vastasel juhul oleks Euroopa digiidentiteedikukru laialdane

kasutuselevõtt Eestis raskendatud ning selle kasutamine jääks piiratud ulatusega, peamiselt

piiriüleste teenuste kasutamisega seotud juhtudesse. See otsus puudutab kogu Eesti

elanikkonda, kuid otsuse enda mõju tähtsus on mõõdukas, kuna e-teenuste kasutamiseks on

inimestel ka alternatiivid. Isikukoodi digikukrusse kandmine on vajalik, sest Eesti e-teenuste

isikutuvastus põhineb valdavalt isikukoodil ning ilma selleta ei oleks kukkur Eesti teenustes

22

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 23

Benefits. EU Digital Identity Wallet. Euroopa Komisjoni veebileht, 23.10.2025. https://ec.europa.eu/digital-

building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits

20

seniste riiklike e-identimise vahenditega samaväärselt kasutatav. Meede on proportsionaalne:

isikukood on avalik-õiguslikult reguleeritud ja laialdaselt kasutatav identifikaator, mille

töötlemine digikukrus piirdub isikutuvastusandmete koosseisuga ega too kaasa uue andmekogu

loomist. Kaalutud alternatiiv – digikukru väljaandmine ilma isikukoodita – jätaks kukru

kasutusala peamiselt piiriüleseks ega täidaks eesmärki. Andmekaitseriske, sealhulgas

isikukoodi ülemäärase avaldamise riski, maandavad eIDAS-määruse nõuded andmete

valikulise avaldamise kohta: kasutaja otsustab, milliseid andmeid ta digiidentiteedikukrule

tuginevale isikule avaldab, ning digiidentiteedikukrule tuginev isik võib küsida üksnes oma

registreeringus märgitud andmeid.

Digikukru kasutamine on vabatahtlik: määruse artikli 5a lõike 15 kohaselt ei tohi kukrut

mittekasutavate isikute juurdepääsu avalikele ja erasektori teenustele ega tööturule mingil moel

piirata ning juurdepääs peab jääma võimalikuks ka muude identimis- ja autentimisvahenditega.

See maandab digilõhe riski: inimesed, kes nutitelefoni ei kasuta või uut lahendust ei soovi, ei

jää teenustest ilma. Rakendamisel tuleb siiski jälgida, et digikukru kasutamine ei muutuks

praktikas kohustuslikuks alternatiivide puudumise tõttu. E-identimise vahendid ja nende

kasutajaliidesed peavad ühtlasi vastama Euroopa Parlamendi ja nõukogu direktiivi (EL)

2019/88224 ligipääsetavusnõuetele, mis toob kasu eakatele ja piiratud funktsionaalse

võimekusega inimestele. Kasutaja privaatsust kaitseb ka see, et määrus keelab kasutajate

jälgimise ja profiilianalüüsi eri teenuste vahel ning kukru kasutamise kohta tohib koguda üksnes

teenuse osutamiseks vajalikke andmeid (artikli 5a lõiked 14 ja 16).25

Positiivne sotsiaalne mõju avaldub ka alaealiste kaitsele: kuigi eIDAS 2 määrus alaealisi eraldi

ei reguleeri, on digikukkur kavandatud toimima muu hulgas vanuse kontrollimise vahendina

(nt digiteenuste määruse kohaste vanusepiirangute täitmisel), võimaldades tõendada vanust

ilma muid isikuandmeid avaldamata; see eeldab kukru kättesaadavust ka alaealistele.26

Negatiivse mõju riskina tuleb arvestada uute võimalike pettuseskeemide (nt õngitsus- ja QR-

koodiründed) levikuga digikukru kasutuselevõtu algusfaasis. Seda riski aitavad maandada

määruse ja rakendusaktide turvanõuded, kukru sertifitseerimine ning kasutajate teavitamise

tegevused.27

Mõju olulisus: mõju ulatus on keskmine (teenuste kasutamise viis muutub, kuid sihtrühma

käitumisega ei kaasne kohanemisraskusi, sest kasutamine on vabatahtlik ja senised vahendid

säilivad), avaldumise sagedus on suur (e-identimine on igapäevatoiming), sihtrühm on suur

(potentsiaalselt kogu elanikkond) ning ebasoovitavate mõjude risk on väike kuni keskmine

(pettuseriskid, digilõhe). Kuna vähemalt üks kriteerium on hinnatud suureks, on sotsiaalne

mõju oluline. Demograafiline mõju puudub: eelnõu ei mõjuta rahvastiku koosseisu

ega -protsesse.

6.2. Mõju riigi julgeolekule ja välissuhetele

24

Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta direktiiv (EL) 2019/882 toodete ja teenuste

ligipääsetavusnõuete kohta (ELT L 151, 07.06.2019, lk 70). 25

Cybernetica AS. Digikukru II etapi analüüs (Digiidentiteedikukru ökosüsteem). Versioon 1.1, 02.07.2025.

Tellija: Riigi Infosüsteemi Amet. Lisa 9 (Digikukrute monitoorimise aspektid).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 26

Vt viide 23, lisa 8 (Nõuded alaealistele kukruteenuse pakkumiseks).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 27

Vt viide 17, ptk 7 (QR-kood ründesaidi ründekaitse). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-III-etapi-analuus.pdf

21

Digiidentiteedi taristu on Eesti e-riigi toimimise kriitiline osa, mistõttu mõjutab eelnõu kaudselt

riigi sisejulgeolekut ja küberturvalisust. eIDAS 2 määrus nõuab digikukru pakkumist kõrge

usaldusväärsuse tasemega e-identimise süsteemi alusel, lõimitud turvet ning kukru

sertifitseerimist artikli 5c kohaselt; digikukru rakendustarkvara komponentide lähtekood on

üldjuhul avatud (artikli 5a lõiked 3, 11 ja 12). Need nõuded tõstavad e-identimise ökosüsteemi

turvalisuse taset tervikuna. Eelnõus valitud suund, mille kohaselt sisaldab Euroopa

digiidentiteedikukkur isikut tuvastavate andmete seas ka Eesti isikukoodi, muudab kukru

isikutuvastuse poolest samaväärseks Eesti seniste riiklike elektroonsete identimisvahenditega.

Tänu sellele on Eesti inimestel võimalus kasutada kahte eri riiklikku elektroonset

identimisvahendit ning kahe riikliku alternatiivi olemasolu annab võimaluse tagada teenuste

toimivus ka ühe süsteemi tõrke korral, mis suurendab e-riigi kerksust. Samal ajal suureneb

ründepind: digikukkur koondab isiku tuvastusandmed ja elektroonilised tõendid

mobiilseadmesse, mistõttu on kukru ja selle tugisüsteemide turvaintsidentidel potentsiaalselt lai

mõju. Identiteedivarguse riski maandamiseks tuleb muu hulgas tagada, et inimest teavitatakse

alati, kui tema nimele on digikukkur väljastatud – see kaitseb ka neid, kes ise kukrut ei kasuta.28

Kvalifitseeritud e-allkirja usaldusväärsuse seisukohalt on oluline, et allkirja kaugloomise korral

oleks tagatud allkirjastaja ainukontroll, selgesõnaline tahteavaldus iga allkirjastamistoimingu

suhtes ning võimalus allkirjastatavaid dokumente enne ja pärast allkirjastamist loodud tulemit

kontrollida, vastasel juhul on allkirja õiguslik kehtivus ohus.29 Määruse artikkel 5e näeb

turvarikkumise korral ette digikukru kättesaadavuse peatamise ja kasutajate teavitamise

kohustuse.

Välissuhete vaates tugevdab üleliiduline koostalitlusvõime Eesti positsiooni Euroopa Liidu

digitaalsel siseturul: Eesti elanikud saavad kasutada digikukrut teiste liikmesriikide teenustes

ja vastupidi. Kohustuste tähtaegne täitmine on ühtlasi oluline rikkumismenetluse riski

vältimiseks – kui Eesti ei tee digikukrut tähtajaks kättesaadavaks või ei kehtesta nõutavaid

rakendusmeetmeid, võib Euroopa Komisjon algatada Eesti suhtes rikkumismenetluse. Mõju

olulisus: ulatus keskmine, sagedus väike, sihtrühm väike, ebasoovitavate mõjude risk

keskmine. Mõju ei ületa olulisuse künnist, kuid küberturvalisuse riske tuleb rakendamisel

järjepidevalt juhtida.

6.3. Mõju majandusele

Ettevõtjatele avaldub mõju kolmes rollis. Esiteks peavad erasektoris digikukrule tuginevad

isikud, kellelt õigusakti või lepingu alusel nõutakse veebis kasutaja tugevat autentimist

(muu hulgas pangad, sideettevõtjad, tervishoiu- ja transpordisektori teenuseosutajad), hiljemalt

2027. aasta lõpust kasutaja vabatahtliku taotluse korral aktsepteerima digikukrut (artikli 5f lõige

2). See toob kaasa ühekordsed liidestamis- ja arenduskulud ning autentimisvoogude

kohandamise kulud. Mikro- ja väikeettevõtjad on sellest kohustusest vabastatud, mis piirab

halduskoormuse kasvu väiksemate ettevõtjate jaoks. Väga suurte digiplatvormide

aktsepteerimiskohustus tuleneb vahetult määruse artikli 5f lõikest 3 ega puuduta Eesti

ettevõtjaid otseselt. Aktsepteerimiskohustus hõlmab kõiki eIDAS 2 määruse kohaselt

pakutavaid digikukruid, mistõttu peavad Eesti teenusepakkujad olema valmis aktsepteerima ka

teiste liikmesriikide kukruid. Peame arvestama, et osa liikmesriike võib oma digikukrud

kasutusele võtta juba 2026. aasta lõpuks.30

28

Cybernetica AS. Digikukru I etapi analüüs. Versioon 1.0.1, 21.12.2023. Tellija: Riigi Infosüsteemi Amet.

https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 29

Vt viide 17, ptk 5 (Massallkirjastamise piirangud ja tingimused).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf 30

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet

22

Kohustuste rakendamisel tuleb arvestada ka ajaga, mis kulub riigil vajalike tehniliste ja

organisatsiooniliste eelduste loomiseks. Ettevõtjatele peab pärast seda jääma mõistlik aeg

lahenduste arendamiseks, testimiseks ja kasutuselevõtuks ning ettevõtjate valmisoleku

hindamisel tuleb seda samuti arvesse võtta. Samas kehtib kohustus aktsepteerida teiste

liikmesriikide kukruid sõltumata Eesti digikukru valmimise ajast. Seda selgitust täiendati

kooskõlastusringil Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku alusel.

Kooskõlastusringil palus Kliimaministeerium hinnata eelnõu mõju ühisveevärgi ja -

kanalisatsiooni teenuse osutajatele, kes kasutavad klientidele suunatud iseteeninduskeskkondi.

Digikukru aktsepteerimise kohustus tuleneb vahetult määruse artikli 5f lõikest 2 ja laieneb

erasektoris üksnes neile teenuseosutajatele, kellelt liidu või liikmesriigi õigusakti või lepingu

alusel nõutakse veebis kasutaja tugevat autentimist. Ühisveevärgi ja -kanalisatsiooni teenuse

osutajatele ei tulene õigusaktist kohustust kasutada iseteeninduskeskkonnas kasutaja tugevat

autentimist, mistõttu eelnõul puudub otsene mõju vee-ettevõtjatele ja veeteenuse osutamisele.

Kui vee-ettevõtja on kasutaja tugeva autentimise iseteeninduskeskkonnas ette näinud lepingu

alusel, võib aktsepteerimiskohustus teda puudutada samadel alustel kui teisi erasektori

teenuseosutajaid. Kohustus ei puuduta mikro- ja väikeettevõtjaid.

Teiseks peavad kõik digikukrule tugineda soovivad ettevõtjad end registreerima

digiidentiteedikukrule tuginevate isikute riiklikus registris (määruse artikkel 5b, komisjoni

rakendusmäärus (EL) 2025/84831). Registreerimisprotsess peab olema kulutõhus ja riski suhtes

proportsionaalne: rakendusmäärus nõuab veebipõhist ja võimaluse korral automaatset

registreerimist ning taotluste menetlemist põhjendamatu viivituseta, samuti on registreerimisel

esitatavate andmete maht piiratud (asukohaliikmesriik, nimi ja registrikood, kontaktandmed,

kukru kavandatud kasutus ja taotletavad andmed), mistõttu on ühe ettevõtja halduskoormus

registreerimisel väike. Ettevõtja ettevalmistavad tegevused hõlmavad kohustuse hindamist,

protsesside analüüsi, registreerimist, pääsusertifikaatide taotlemist ja süsteemide integreerimist.

Registri esmaversioon koos juhenditega on kavandatud valmima 2026. aasta lõpus või 2027.

aasta alguses ning registreerimine algab pärast selle valmimist.32 Eelnõuga ei kehtestata

digiidentiteedikukrule tuginevate isikute registreerimise ega pääsusertifikaatide väljastamise

eest riigilõivu: riigilõiv nähakse riigilõivuseaduse §-s 116² ette üksnes Euroopa

digiidentiteedikukru pakkuja loa taotluse läbivaatamise eest. See hoiab ettevõtjate turule

sisenemise barjääri madalal ja toetab Eesti konkurentsipositsiooni teiste liikmesriikide suhtes.

Registreerimise võimaliku tasustamise mõju turule sisenemisele on käsitletud ka Eesti

analüüsides33 ning digikukru kasutuse majandusmudeli selgitamise vajadus tõstatati juba 2021.

aasta kaasamisel.34

Kolmandaks mõjutab eelnõu usaldusteenuse osutajaid. Eelnõuga täpsustatakse ja

ajakohastatakse loamenetlust ning riigipõhiseid nõudeid usaldusteenuse osutaja jaoks ja

kirjeldatakse vastavat menetlust ja nõudeid ka Euroopa digiidentiteedikukru pakkuja jaoks.

Selgelt sõnastatud nõuded aitavad teenuseosutajatel loamenetlust läbida ning loovad

õigusselgust nõuetele vastavuse suhtes; see mõju puudutab väikest ringi ettevõtjaid, kuid nende

jaoks on mõju suur. eIDAS 2 määrus loob uued usaldusteenuse liigid, muu hulgas atribuutide

elektroonilise tõendamise (elektroonilised tõendid) ja e-allkirja kaugloomise vahendite

haldamise, mis avavad Eesti usaldusteenuse osutajatele uued turuvõimalused kogu Euroopa

31

Vt viide 6. http://data.europa.eu/eli/reg_impl/2025/848/oj 32

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 33

Vt viide 17, ptk 9 (RP-dega seotud õiguslik ja menetluslik raamistik).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf 34

Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj

23

Liidus.35 Elektrooniliste tõendite potentsiaalseid kasutusjuhte on Eestis analüüsitud juba alates

2022. aastast – näiteks töötajakaardi, kalastuslubade, perekaardi ja mobiilse juhiloa

digiteerimine –, mis võimaldaks asendada paberil ja plastkaartidel põhinevad tõendid

masinloetavate elektrooniliste tõenditega ning vähendada nii ettevõtjate kui ka riigi

asjaajamiskulusid.36 Samal ajal karmistuvad vastavusnõuded: kvalifitseeritud usaldusteenuse

osutajaid auditeeritakse vähemalt iga 24 kuu järel (artikli 20 lõige 1) ning liikmesriigid peavad

tagama, et määruse rikkumise eest saab usaldusteenuse osutajale määrata haldustrahvi, mille

maksimummäär on vähemalt 5 000 000 eurot või juriidilise isiku puhul 1% üleilmsest aastasest

kogukäibest, olenevalt sellest, kumb on suurem (artikkel 16). Eelnõu kohaselt e-identimise ja

e-tehingute usaldusteenuste seaduses kehtestatavad karistusnormid (eelnõu § 1 punktid 41 ja

43) ning karistusseadustiku § 350 täiendamine (eelnõu § 3) suurendavad seega usaldusteenuse

osutajate vastutusriski, kuid ühtlustavad selle teiste liikmesriikidega.

Euroopa Liidu tasandi mõjuhinnang toob esile, et ühtse digiidentiteedi lahenduse kasutuselevõtt

vähendab oluliselt ettevõtjate kliendituvastuse kulusid ja identiteedipettustest tulenevaid

kahjusid: komisjoni hinnangul on tegevuskulude sääst olenevalt kasutuselevõtu ulatusest

finantsteenuste sektoris liidus tervikuna 0,68–1,36 miljardit eurot aastas (kliendi tuvastamise ja

hoolsusmeetmete kulud) ja tervishoiusektoris 1,26–2,51 miljardit eurot aastas ning

identiteedipettuste kahjud vähenevad finantsteenuste sektoris 0,85–1,4 miljardi euro võrra

aastas.37 Komisjon rõhutab ühtlasi, et sertifitseeritud ja kogu liidus toimiv autentimislahendus

vähendab iga üksiktehingu kulu, võimaldab viia tundlikumaid tehinguid täielikult digitaalseks

ning pakub ettevõtjatele neutraalse avaliku sektori autentimislahenduse alternatiivina

eraõiguslikele lahendustele, mis võivad kasutada kasutajaandmeid profileerimiseks.38 Need on

liidu koondhinnangud; Eesti-spetsiifiline kvantitatiivne hinnang koostatakse eelnõu menetluse

käigus (vt punkt 6.6).

Eesti kaalutlusotsustest mõjutab ettevõtjaid ka kvalifitseeritud usaldusteenuse osutaja

vastutuskindlustuse aastase koondsumma suurendamine ühelt miljonilt kahe miljoni euroni: see

suurendab mõõdukalt kindlustusmakset, kuid tagab kannatanutele tegeliku kahju hüvitamise

võimaluse ja vastab summa kehtestamisest möödunud aja jooksul muutunud hinnatasemele; iga

üksiku kindlustusjuhtumi kohta nõutav kate ei muutu. Avatud lähtekoodi nõudest erandi

tegemise võimalus (eelnõu § 1 punkt 13) annab riigile paindlikkuse juhuks, kui digikukru

üksikute komponentide lähtekoodi avalikustamine ohustaks turvalisust; erandi kasutamata

jätmise korral kehtib määruse üldreegel, mistõttu on selle otsuse vahetu mõju ettevõtjatele ja

kasutajatele väike ning avaldub eelkõige riigi enda arendus- ja hankevalikutes.

Tarbijate jaoks väheneb asjaajamiskoormus: digikukkur võimaldab tõendada isikut ja atribuute

(nt vanust, kvalifikatsiooni, lube) ühe vahendiga nii Eestis kui ka üleliiduliselt, vähendades

paberdokumentide ja korduva andmete esitamise vajadust. Komisjoni mõjuhinnangu kohaselt

väheneks kodanike halduskoormus isikuandmete üleliidulise kasutamise korral liidus tervikuna

35

Vt viide 23, ptk 2 (Digiidentiteedikukru ökosüsteem). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-II-etapi-analuus.pdf 36

A. Pankova, P. Laud, A. Kalu, R. Lillemets, M. Toomsalu, M. J. Liba, A. Kamenik. Tõend kui platvorm. Riigi

Infosüsteemi Amet: 2022. https://www.ria.ee/sites/default/files/documents/2022-11/Toend-kui-platvorm-

12.05.2022.pdf 37

Vt viide 14, 3. lisa (joonis 18) ja 5. lisa (joonised 34 ja 35). https://eur-lex.europa.eu/legal-

content/EN/TXT/?uri=CELEX:52021SC0124 38

Vt viide 21. https://ec.europa.eu/digital-building-

blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits

24

hinnanguliselt 350–400 miljoni euro võrra aastas.39 Mõju olulisus: ulatus keskmine (kohustatud

ettevõtjad peavad autentimislahendusi kohandama, kuid tegemist on ühekordse kohanemisega),

sagedus keskmine, sihtrühm keskmine (aktsepteerimiskohustus puudutab piiratud, kuid

majanduslikult olulisi sektoreid; mikro- ja väikeettevõtjad on vabastatud), ebasoovitavate

mõjude risk väike. Kuna kaks kriteeriumi on hinnatud keskmiseks, on mõju majandusele

oluline.

6.4. Mõju elu- ja looduskeskkonnale

Puudub. Eelnõu reguleerib digitaalset identiteeditaristut ega mõjuta keskkonnakvaliteeti,

loodusvarasid ega ehitatud keskkonda. Kaudse vähese positiivse mõjuna võib digikukru ja

elektrooniliste tõendite kasutuselevõtt vähendada paber- ja plastdokumentide kasutust, kuid see

mõju ei ole mõõdetav ega siinses kontekstis oluline.

6.5. Mõju regionaalarengule

Otsene mõju puudub, sest eelnõu kohaldub kogu riigis ühetaoliselt. Kaudne vähene positiivne

mõju avaldub selles, et digikukkur parandab avalike ja erasektori e-teenuste kättesaadavust

olenemata asukohast, mis toetab teenuste tarbimist ka piirkondades, kus füüsiline teenusvõrk

on hõredam. Mõju ei ületa olulisuse künnist.

6.6. Mõju riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele

Eelnõuga ei jagata ümber kohustusi keskvalitsuse struktuuris ega looda uusi struktuuriüksusi;

lisanduvad ülesanded on jagatud asutuste vahel, kelle põhiülesanded juba hõlmavad sarnaseid

funktsioone. Suurim koormus langeb RIA-le, kelle ülesanneteks on eelnõu kohaselt pädeva

asutuse ülesanded, sealhulgas digikukru pakkumise korraldamine riigi nimel (sh võimalus

pakkumine ja selleks vajalikud tegevused allhankida), digiidentiteedikukrule tuginevate isikute

riikliku registri asutamine ja pidamine koos pääsusertifikaatide väljastamise korraldamisega,

Euroopa digiidentiteedikukru pakkuja loamenetlus, e-identimise süsteemide usaldusväärsuse

taseme samaväärsuse hindamine e-identimise ja e-tehingute usaldusteenuste seaduse40 § 21¹

kohases menetluses ning riiklik ja haldusjärelevalve koos väärtegude kohtuvälise menetleja

rolliga. Kuna eIDAS 2 määrus loob uued usaldusteenuse liigid, laieneb ka usaldusteenuste

järelevalve ulatus ning lisandub Euroopa digiidentiteedikukru raamistiku järelevalveasutuse

roll (määruse artikkel 46a).41 Need ülesanded eeldavad püsivat lisaressurssi nii infosüsteemide

arenduseks ja halduseks kui ka menetluste läbiviimiseks; kulud ja rahastamisallikad on esitatud

seletuskirja 7. peatükis. Euroopa Liidu tasandil hinnati komisjoni mõjuhinnangus, et digikukru

ühe lahenduse arendus- ja halduskulud on esimese kolme aasta jooksul kokku ligikaudu 10,5

miljonit eurot ja käitamine eeldab 25–30 töötajaga püsimeeskonda, ning e-identimise süsteemi

teavitamisega seotud vastavushindamisaruande kulu on suurusjärgus 80 000 – 100 000 eurot.

Kuna Eesti kasutab eID-vahendite turvasertifitseerimist juba praegu, ei tohiks

sertifitseerimisnõuetest endist tuleneda märkimisväärseid lisakulusid.42 Andmekaitse

Inspektsiooni töökoormus suureneb digikukru ja sellega seotud töötlemistoimingute

andmekaitsealase järelevalve võrra, sealhulgas kasutajate teadete menetlemisega, mida saab

esitada otse kukru ühise töölaua kaudu (artikli 5a lõike 4 punkt d).

39

Vt viide 14, 3. lisa (joonis 18). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 40

Vt viide 3. https://www.riigiteataja.ee/akt/130122025016 41

Vt viide 23, ptk 2. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 42

Vt viide 14, 5. lisa. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124

25

Digikukru ökosüsteemi käivitamine eeldab lisaks mitme muu asutuse panust. Riiklik

sertifitseerimiskava tuleb igal liikmesriigil kehtestada oma digikukrulahenduse ja selle aluseks

oleva e-identimise süsteemi arhitektuuri kohta ning määrata kava omanik. Eelnõu kohaselt on

kavade koostamine, ajakohasena hoidmine ja avaldamine valdkonna eest vastutava

ministeeriumi ülesanne (eelnõu § 1 punkt 32). Digikukru vastavushindamisasutuse

akrediteerimine on riikliku akrediteerimisasutuse (Eesti Standardimis- ja

Akrediteerimiskeskus) uus akrediteerimisteenus, millest tuleb teavitada Euroopa Komisjoni.43

Digikukkur kavandatakse eraldiseisva mobiilirakendusena. Kui digikukkur kavandatakse

kombineerituna mõne muu mobiilirakendusega (nt riigiäpiga), muutub kukru sertifitseerimine

keerukamaks ja EUDI-nõuded võivad laieneda rakenduse muudele funktsioonidele; seetõttu

tuleb arhitektuurivalikul eraldi hinnata turvaperimeetrit, sertifitseerimise ulatust ja

lisamoodulite mõju hindamisobjektile.44 Digikukru kui kõrge usaldusväärsuse tasemega e-

identimise vahendi väljaandmine eeldab isikutuvastusandmete väljastamisel koostööd

rahvastikuregistri ja isikut tõendavate dokumentide andmekogu pidajaga.45 Riiklike

andmekogude pidajatele, kelle andmekogu kvalifitseerub autentseks allikaks, tekib kohustus

võimaldada elektrooniliste tõendite kvalifitseeritud usaldusteenuse osutajatel kasutaja taotlusel

kontrollida vähemalt määruse VI lisas loetletud atribuute (nt aadress, vanus, kvalifikatsioonid,

esindusõigused) elektrooniliselt hiljemalt 24 kuu möödumisel rakendusaktide jõustumisest

(artikkel 45e). See eeldab andmekogude liideste ja andmekvaliteedi ettevalmistamist ning

kohustus on suunatud ka üleliidulisele kasutusele.46

Kõik avaliku sektori asutused, sealhulgas kohaliku omavalitsuse üksused, peavad artikli 5f

lõike 1 kohaselt aktsepteerima digikukrut nendes internetipõhistes teenustes, mille

kasutamiseks nõutakse e-identimist ja e-autentimist. Asutuste individuaalset

kohandamiskoormust vähendab oluliselt see, et valdavas osas avaliku sektori teenustes

kasutatakse autentimiseks riigi keskset autentimisteenust (TARA): digikukru tugi lisatakse

kesksesse teenusesse, misjärel jõuab see asutusteni ilma iga asutuse eraldi arendusteta. Samas

tuleb keskse autentimisteenuse vahendajarolli kujundamisel arvestada määruse piiranguga,

mille kohaselt digiidentiteedikukrule tuginevate isikute nimel tegutsevad vahendajad ei tohi

salvestada andmeid tehingu sisu kohta (artikli 5b lõige 10).47 Rakendamisel tuleb ühtlasi tagada,

et digikukru andmevahetusloogika sobituks Eesti X-tee, ühendatud andmekogude ja ühekordse

küsimise (once-only) põhimõttega ega tekitaks paralleelset, kasutaja käsitsi hallatavat tõendite

vahendamise kanalit seal, kus automatiseeritud andmevahetus on otstarbekam; sellele riskile

juhiti tähelepanu juba 2021. aasta kaasamisel.48 Asutused, kes keskset autentimisteenust ei

kasuta, peavad oma autentimislahendused ise kohandama. Kohaliku omavalitsuse üksustele ei

panda eelnõuga uusi iseseisvaid ülesandeid, kuid Euroopa digiidentiteedikukruga liidestuvad

ka kohaliku omavalitsuse üksuste e-teenused, mistõttu võivad neile kaasneda kohanemiskulud

(vt seletuskirja punkt 7.5). Planeeritud on TARA teenuse laiendamine, et olemasolevate TARA

43

Vt viide 23, lisa 1 (Liikmesriigi riiklik sertifitseerimiskava) ja lisa 3 (Euroopa Komisjonile tehtavad teavitused).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 44

Vt viide 17, ptk 2 (Superäpp). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-

analuus.pdf 45

Vt viited 23 ja 26. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf ja

https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 46

Vt viide 23, ptk 2 ja lisa 2 (Autentne allikas). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-II-etapi-analuus.pdf 47

Vt viide 17, ptk 11 (TARA kui digikukru liides). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-III-etapi-analuus.pdf 48

Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj

26

klientide digikukru kasutuselevõttu lihtsustada. Esmalt laiendatakse autentimisvahendite hulka

(lisatakse digikukkur). Digikukru lõplik tehniline lahendus sõltub hanke dialoogidest ja

pakkujatest. Täpsem info edastatakse töö käigus mõjutatud osapooltele esimesel võimalusel.

Digiidentiteedikukrule tuginevate isikute registris peavad end registreerima kõik, kes peavad

digikukrut oma e-identimist nõudvates e-teenustes aktsepteerima; see hõlmab ka avaliku sektori

asutusi, sealhulgas kohaliku omavalitsuse üksusi ja riigiasutusi. Kavatsus on riigi keskse

autentimisteenuse (TARA) praegused kliendid registreerida digiidentiteedikukrule tuginevate

isikute registrisse ühekordselt ja võimalikult lihtsalt, et avaliku sektori asutuste halduskoormus

oleks sellega seoses võimalikult väike.

Eelnõuga ei panda andmekogude pidajatele kohustust liidestada andmekogu digikukruga:

autentse allika kohustus võimaldada elektrooniliste tõendite kvalifitseeritud usaldusteenuse

osutajal kasutaja taotlusel määruse VI lisas loetletud atribuute (sealhulgas kvalifikatsioone)

kontrollida tuleneb vahetult määruse artikli 45e lõikest 2 ning selle täitmise tehnilised nõuded

ja liidesed kehtestatakse Euroopa Komisjoni rakendusaktidega. Avaliku sektori registritele

suunatud rakendamise ajakava, liidestamise järjekorra ja tehniliste nõuete avaldamise

põhimõtted kavandab RIA digikukru projekti raames koostöös asjaomaste haldusaladega ning

avaldab need oma veebilehel koos digiidentiteedikukrule tuginevate isikute registreerimise

juhenditega.

Mõju olulisus: ulatus on RIA jaoks suur (lisanduvad uued püsiülesanded ja infosüsteemid),

teiste asutuste jaoks väike kuni keskmine; sagedus keskmine; sihtrühm keskmine;

ebasoovitavate mõjude risk suur (tähtajaks valmimata jäämise risk). Mõju on oluline.

Järelhindamine

Järelhindamine on ette nähtud eIDAS 2 määruse artiklis 49 ja ja toimub Euroapa Liidu üleselt

Euroopa Komisjoni algatusel. eIDAS 2 määruse artikli 48a kohaselt kogub liikmesriik

statistikat digikukru ja kvalifitseeritud usaldusteenuste toimimise kohta – sealhulgas kehtiva

kukru kasutajate arv, kukrut aktsepteerivate teenuste liik ja arv, kasutajate kaebused ning

turvaintsidendid ja nende mõju – ning esitab statistilise aruande Euroopa Komisjonile igal

aastal 31. märtsiks avatud ja masinloetavas vormingus.49 Euroopa Komisjon hindab omakorda

määruse artikli 5f lõike 5 kohaselt 24 kuu jooksul digikukrute kasutuselevõtust nende nõudlust,

kättesaadavust ja kasutatavust. Riigisiseselt seiravad Justiits- ja Digiministeerium ja RIA

digikukru kasutuselevõttu jooksvalt vähemalt eelnimetatud artikli 48a näitajate alusel, millele

lisanduvad digiidentiteedikukrule tuginevate registreeritud isikute arv ning digikukruga tehtud

autentimiste ja allkirjastamiste maht. Et võimaldada nende ülesannete täitmist, lisatakse

eelnõuga peatükk 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse osutajatega“, mis

võimaldab valdkonna eest vastutaval ministeeriumil ja pädeval asutusel nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014

sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku

teavet.

Halduskoormuse koondhinnang

– Ettevõtete halduskoormus ajutiselt mõõdukalt suureneb, pikemas vaates võimaldab ühtne

üleliiduline identimisvahend ja tõendite digiteerimine kliendituvastuse ja asjaajamise kulusid

vähendada. Halduskoormuse ajutine suurenemine tuleneb asjaolust, et

49

Vt viide 23, lisa 9. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf

27

aktsepteerimiskohustusega digiidentiteedikukrule tuginevad isikud peavad end registreerima ja

autentimislahendused kohandama (ühekordne kulu, olemasolevad riigi keskse

autentimisteenuse (TARA) kliendid võivad saada registreerimiseks lihtsustatud võimaluse).

Mikro- ja väikeettevõtjad on kohustusest vabastatud.

– Kodanike halduskoormus väheneb – isiku ja atribuutide tõendamine muutub lihtsamaks nii

Eestis kui ka üleliiduliselt. Näiteks hakkavad isikud juhiluba saama tulevikus digitaalsena

digikukrusse ega pea enam füüsilise kaardina seda kaasas kandma. Digikukkur on füüsilistele

isikutele tasuta ja selle kasutamine vabatahtlik. Muudatus võimaldab inimestel tõendada oma

isikut ning erinevaid andmeid, näiteks vanust, õigusi ja lubasid, ühe turvalise

digiidentiteedilahenduse abil nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Samuti

võimaldab digikukkur jagada teenuse kasutamiseks vajalikke andmeid digitaalselt, mis võib

vähendada vajadust hankida ja esitada tõendeid eraldi ning esitada samu andmeid korduvalt eri

teenuseosutajatele. Kasutaja saab ise valida, milliseid andmeid ta teenuseosutajaga jagab.

Digiidentiteedikukru kasutamine on füüsilistele isikutele vabatahtlik ja tasuta ning see täiendab

seniseid isikutuvastusvahendeid.

– Avaliku sektori töökoormus suureneb – Riigi Infosüsteemi Ametile (RIA) lisanduvad püsivad

arendus-, haldus-, registri- ja järelevalveülesanded, Andmekaitse Inspektsioonile järelevalve

tegemise ja kaebuste menetlemise koormus, Justiits- ja Digiministeeriumile lisakohustused

seoses sertifitseerimisskeemi loomise ning ajakohasena hoidmisega ning autentseid allikaid

pidavatele asutustele atribuutide kontrolli võimaldamise kohustus. Teiste asutuste koormuse

kasvu leevendab keskse autentimisteenuse kasutamine.

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad

kulud ja tulud

Eelnõu rakendamine eeldab Andmekaitse Inspektsioonilt, Justiits- ja Digiministeeriumilt ning

Riigi Infosüsteemi Ametilt lisategevusi, millega kaasnevad riigieelarvelised lisakulud. Kulud

jagunevad rakendamiskuludeks (sealhulgas digikukru väljaarendamine) ja järelevalvekuludeks.

Lisaks kaasnevad ministeeriumide haldusaladele kulud oma e-teenuste digikukruga

liidestamisest. Käesolevas peatükis esitatud kulud tuginevad asutuste tegevuspõhistele

eelarvestustele perioodiks 2027–2030. Samas tuleb arvestada, et projekt jätkub ja sellega

kaasnevad kulud ka pärast 2030. aastat.

Kulude kogumaht aastatel 2027–2030 on 20 445 588 eurot. Kulud jagunevad asutuste vahel

järgmiselt (vt tabel 1).

Tabel 1. eIDAS2 rakendamise kulud asutuste ja aastate lõikes 2027–2030 (eurodes).

Allikas: AKI, JDM ja RIA eelarvestused.

Asutus 2027 2028 2029 2030 Kokku 2027–

2030

AKI 75 522 75 522 75 522 75 522 302 088

JDM 385 000 685 000 470 000 370 000 1 910 000

Liidestuvad

ministeeriumid - - 1 000 000 1 000 000 2 000 000

RIA – järelevalve 75 000 75 000 75 000 75 000 300 000

28

Asutus 2027 2028 2029 2030 Kokku 2027–

2030

RIA – digikukru

arendus 4 483 500 4 902 000 3 431 000 3 117 000 15 933 500

Kokku 5 019 022 5 737 522 5 051 522 4 637 522 20 445 588

AKI – Andmekaitse Inspektsioon; JDM – Justiits- ja Digiministeerium; RIA – Riigi

Infosüsteemi Amet.

Ministeeriumide real kajastatakse ministeeriumide haldusalade e-teenuste digikukruga

liidestamise kulud (1 000 000 eurot 2029. aastal ja 1 000 000 eurot 2030. aastal, kokku 2 000

000 eurot); iga haldusala liidestab oma teenused digikukruga ise. Haldusalade kulu tekib

eelkõige nende e-teenuste ja andmekogude kohandamisest, mis keskset autentimisteenust ei

kasuta või mis hakkavad toimima autentse allikana. Liidestuvate ministeeriumide kulud

sisalduvad käesolevas peatükis esitatud perioodi 2027–2030 riigieelarve lisavajaduses ja

taotletakse keskselt Justiits- ja Digiministeeriumi kaudu riigieelarve koostamise käigus.

7.1. Andmekaitse Inspektsioon

AKI-le tekivad eIDAS2 määrusest tulenevate uute järelevalveülesannete täitmiseks alates 2027.

aastast iga-aastased lisakulud kokku 75 522 eurot aastas, sealhulgas tööjõukulu 68 206 eurot ja

sellega seotud majandamiskulu 7316 eurot (vt tabel 2). Kulu aluseks on üks lisanduv ametikoht

(1 FTE) eIDAS2 määrusest tulenevate järelevalvekohustuste täitmiseks; brutopalk 3600 eurot

kuus, millele lisandub 18 protsenti tugifunktsiooni katteks, ja korrutustegur 1,338

tööjõumaksude ja muude palgalisandite katteks (3600 x 12 x 1,18 x 1,338 = 68 206 eurot

aastas).

Tabel 2. AKI lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: AKI

eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - - - - Investeeringuid ei

kavandata.

Tööjõukulud 68 206 68 206 68 206 68 206

1 FTE eIDAS2 määrusest

tulenevate uute

järelevalvekohustuste

täitmiseks. Brutopalk

3600 eurot kuus, millele

lisandub 18 protsenti

tugifunktsiooni katteks ja

korrutustegur 1,338

tööjõumaksude ja muude

palgalisandite katteks

(3600 x 12 x 1,18 x 1,338

= 68 206 eurot aastas).

Majandamiskulud,

mis on seotud

tööjõukuludega

7 316 7 316 7 316 7 316

Uue ametikohaga seotud

majandamiskulu (töökoha

loomine ja ülalpidamine).

29

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Muud

majandamiskulud - - - - Ei kavandata.

Kulud on seotud eelnõuga kehtestatavate uute järelevalveülesannetega, mis on kirjeldatud

seletuskirja punktis 6.6. Ilma lisaressursita ei ole AKI-l võimalik eIDAS2 määrusest tulenevaid

ülesandeid täita, mis toob kaasa Euroopa Liidu õigusest tulenevate kohustuste täitmata jätmise

riski.

7.2. Justiits- ja Digiministeerium

JDM-ile tekib eIDAS2 määrusest tulenevate ülesannete täitmiseks lisavajadus tööjõukulu,

investeeringukulu ja majandamiskulu näol kokku 1 910 000 eurot aastatel 2027–2030 (vt tabel

3). Kulud on seotud kahe uue ametikoha (projektijuht, sertifitseerimise ekspert) loomisega,

riikliku sertifitseerimisskeemi väljatöötamise, kinnitamise ja haldamisega ning digikukruga

seotud kommunikatsioonitegevustega. Tööjõukulude arvestuse aluseks on avaliku sektori

palgastatistika.

Tabel 3. JDM-i lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: JDM-i

eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - 300 000 - -

Investeeringukulu on

kavandatud 2028. aastasse,

kuna sertifitseerimisskeemi

tehniline infrastruktuur ja

seonduvad IT-lahendused

hangitakse pärast skeemi

sisulist kinnitamist 2027.

aastal, vastavalt kavandatud

hanke- ja arendusetapi

ajakavale.

Tööjõukulud 135 000 135 000 135 000 135 000 2 FTE-d (projektijuht,

sertifitseerimise ekspert).

Majandamiskulud,

mis on seotud

tööjõukuludega

15 000 15 000 15 000 15 000 Uute ametikohtadega seotud

majandamiskulu.

Muud

majandamiskulud 235 000 235 000 320 000 220 000

Riikliku

sertifitseerimisskeemi

väljatöötamine, kinnitamine

ja haldamine ning EUDI

kommunikatsioonitegevused.

JDM-i eelarvestuse aastasummad kulutüüpide kaupa (tabel 3) annavad 2027. aastal kokku 385

000 eurot, 2028. aastal 685 000 eurot, 2029. aastal 470 000 eurot ja 2030. aastal 370 000 eurot.

30

7.3. Riigi Infosüsteemi Amet – järelevalve

RIA-le tekib alates 2027. aastast digiidentiteedikukru raamistiku järelevalvega seotud iga-

aastane lisavajadus 75 000 eurot, sealhulgas tööjõukulu 67 500 eurot ja sellega seotud

töökohakulu 7500 eurot (vt tabel 4). Kulud on seotud järgmiste ülesannetega: 1) autentsete

allikate järelevalve eIDAS2 nõuetele vastavuse üle, tegevuslubade väljastamine,

teenuseosutajate üle arvestuse pidamine ning nende usaldusväärseks tunnistamine ja sellest

Euroopa Liidule teavitamine; 2) digikukru pakkujate ja tuginevate isikute järelevalve,

sealhulgas järelevalve sihipärase kasutamise üle; 3) järelevalvetegevustest regulaarne

aruandmine Euroopa Komisjonile ja Euroopa Liidu Küberturvalisuse Ametile (ENISA) –

aruandluse maht võrreldes senisega kasvab.

Tabel 4. RIA järelevalve lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas:

RIA eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - - - - Investeeringuid ei

kavandata.

Tööjõukulud 67 500 67 500 67 500 67 500 1 FTE digikukru

raamistiku järelevalveks.

Majandamiskulud,

mis on seotud

tööjõukuludega

7 500 7 500 7 500 7 500 Uue ametikohaga seotud

töökohakulu.

Muud

majandamiskulud - - - - Ei kavandata.

7.4. Riigi Infosüsteemi Amet – digikukru arendus

RIA eID-tiimile tekib alates 2027. aastast digikukru väljaarendamise ja haldamisega seotud

lisavajadus kokku 15 933 500 eurot aastatel 2027–2030 (vt tabel 5). Kulud jagunevad kuue

tegevussuuna vahel: 1) digikukru teenusepakkuja hankimine; 2) digiidentiteedikukrule

tuginevate isikute registri loomine ja haldamine; 3) tõendite vahendamise lüüsi loomine ja

haldamine; 4) olemasoleva eID baasteenuse TARA API muutmine digikukruga liidestamiseks;

5) olemasoleva eID baasteenuse DigiDoc muutmine digikukruga liidestamiseks; 6)

olemasoleva eID baasteenuse SiGa (Signature Gateway) muutmine digikukruga liidestamiseks.

Tabel 5. RIA digikukru arenduse lisakulud eIDAS2 rakendamiseks 2027–2030

(eurodes). Allikas: RIA eID-tiimi eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud 1 290

000

1 000

000 350 000 350 000

Digikukru teenusepakkuja

hankimine (1 250 000 eurot

kokku),

digiidentiteedikukrule

tuginevate isikute registri

loomine (420 000 eurot),

31

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

tõendite vahendamise lüüsi

loomine (420 000 eurot)

ning TARA API, DigiDoc

ja SiGa muutmine (kokku

900 000 eurot).

Tööjõukulud 606 000 687 000 716 000 752 000

10 FTE-d (4 digikukru

teenusepakkuja hankimise ja

halduse, 3 tuginevate isikute

registri ning 3 tõendite

vahendamise lüüsi

tegevussuunas).

Majandamiskulud,

mis on seotud

tööjõukuludega

- - - -

Ei kavandata eraldi realt;

sisaldub muudes

majandamiskuludes.

Muud

majandamiskulud

2 587

500

3 215

000

2 365

000

2 015

000

Digikukru valdkonna

kommunikatsioonitegevused

(1 550 000 eurot kokku),

üldised analüüsid ja

uuringud, sealhulgas

piiriülese koostoimelisuse

korralduse tagamiseks

vajalikud kohtumised (892

500 eurot kokku), digikukru

teenusepakkuja hankimise

korraldamise ja lepingu

kulud (6 750 000 eurot

kokku) ning

digiidentiteedikukrule

tuginevate isikute registri ja

tõendite vahendamise lüüsi

majanduskulu (kokku 990

000 eurot).

Digikukru arenduse ja haldamisega tekivad RIA-le uued tehnilised ja korralduslikud ülesanded,

mille täitmine nõuab nii uut töötajaskonda kui ka olemasolevate eID baasteenuste (TARA,

DigiDoc, SiGa) kohandamist.

7.5. Mõju kohaliku omavalitsuse üksuste eelarvetele

Kohaliku omavalitsuse üksustel tekivad kulud ulatuses, kus nad ei kasuta keskset TARA

teenust. Kohalike omavalitsuste infosüsteemidest, mida kasutatakse teenuste osutamiseks, ei

ole osa praegu TARA-ga liidestatud (nt lemmikloomaregister, ELIIS, Stuudium, huviregistrid),

ning sama teenusepakkuja lahendusel võib eri omavalitsustes olla erinev autentimine (nt ARNO

puhul Pärnul TARA, Sauel Pikseli pass). Kõigi nende infosüsteemide TARA-ga liidestamise

kuluks on Eesti Linnade ja Valdade Liidu esialgsel hinnangul 100 000–200 000 eurot, kuid

praegu ei ole selge, millises ulatuses kataksid selle arendajad ja millises ulatuses jääks see

32

kohalike omavalitsuste kanda. Kui kohalike omavalitsustele lisanduvate kulude katmise

vajadus peaks tekkima, siis taotletakse need välisrahastusest. Viimastel aastatel on Eesti

Linnade ja Valdade Liidule valdkondlike digipöörete vahenditest vahendeid eraldatud igal

aastal.

7.6. Kulude kokkuvõte

Kokku on eIDAS2 määruse rakendamisega seotud riigieelarve lisavajadus aastatel 2027–2030

20 445 588 eurot, millest AKI-le langeb 302 088 eurot, JDM-ile 1 910 000 eurot, RIA-le kokku

16 233 500 eurot (sealhulgas järelevalve 300 000 eurot ja digikukru arendus 15 933 500 eurot)

ning ministeeriumide haldusalade EUDI-liidestumisele 2 000 000 eurot.

Täiendavaid vajadusi eelnõu rakendamiseks menetletakse iga-aastases riigieelarve ja riigi

eelarvestrateegia protsessis. Alates 2028. aastast otsitakse võimalusi katta vajadusi uue

perioodi Euroopa Liidu toetustest. Digikukru kasutuselevõtu tähtajad tulenevad otse eIDAS2

määrusest ja on liikmesriigile siduvad, seetõttu kaasneb määruse rakendamata jätmisel

Euroopa Liidu õiguse rikkumise menetluse ja rahaliste sanktsioonide risk.

7.7. Tulud ja rahastamise allikas

Eelnõuga muudetakse ka riigilõivuseadust. Laekuva riigilõivu maht sõltub taotluste arvust,

mida ei ole avalike allikate põhjal võimalik usaldusväärselt prognoosida; muid tulusid eelnõu

rakendamisega ei kaasne.

8. Rakendusaktid

Eelnõuga antakse üks uus volitusnorm: e-identimise ja e-tehingute usaldusteenuste seaduse § 3¹

lõike 7 alusel kehtestab valdkonna eest vastutav minister määrusega digiidentiteedikukrule

tuginevate isikute registri põhimääruse, milles sätestatakse andmete täpne koosseis, sealhulgas

isikustamata andmed, andmeandjad ning nende esitatavad andmed, registritoimingute ja

registrisse kantud andmete säilitamise täpsemad tingimused, registri rahastamine ning

registriga seotud muud korralduslikud nõuded. Volitusnorm on vajalik, sest komisjoni

rakendusmäärus (EL) 2025/848 jätab registri pidamise tehnilise ja korraldusliku täpsustamise

liikmesriigile; seaduse tasandil sätestatakse andmekogu asutamine, eesmärk, vastutav töötleja,

andmete koosseisu põhialused, avalikkus ja säilitustähtaeg ning määruse tasandile jääb üksnes

rakenduslik täpsustus. Rakendusakti kavand on esitatud seletuskirja lisas 1. Rakendusakt tuleb

kehtestada hiljemalt 24. detsembriks 2026, sest sellest kuupäevast kohaldub komisjoni

rakendusmäärus (EL) 2025/848 ja registreerimine peab olema võimalik.

Eelnõu § 1 punktiga 31 tunnistatakse kehtetuks e-identimise ja e-tehingute usaldusteenuste

seaduse § 12 lõige 2, mille tagajärjel muutub kehtetuks selle alusel antud majandus- ja

taristuministri 26. oktoobri 2016. a määrus nr 64 „Usaldusteenuse osutaja ja usaldusteenuse

vastavushindamise kord“.50

Euroopa digiidentiteedikukru sertifitseerimise kava, mille koostamise kohustus pannakse

eelnõuga valdkonna eest vastutavale ministeeriumile (eelnõu § 1 punkt 32), ei ole õigustloov

akt ega rakendusakt hea õigusloome ja normitehnika eeskirja tähenduses, vaid haldusesisene

dokument, mis avaldatakse ministeeriumi veebilehel. Samuti ei eelda eelnõu muud

50

Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord (RT I, 28.10.2016, 17).

33

rakendusakti: registreerimistaotluste esitamise tehniline kord tehakse kättesaadavaks

digiidentiteedikukrule tuginevate isikute registri kaudu põhimääruses sätestatud korras.

9. Seaduse jõustumine

Seadus jõustub üldises korras ehk põhiseaduse § 108 kohaselt kümnendal päeval pärast Riigi

Teatajas avaldamist. Eraldi jõustumissätet eelnõu ei sisalda. Üldkorras jõustumine on

põhjendatud, sest sihtrühmade sisulised kohustused tulenevad valdavalt vahetult eIDAS 2

määrusest ja selle rakendusmäärustest, mille kohaldamise tähtajad on sätestatud Euroopa Liidu

õiguses, ning eelnõu riigisisesed rakendusmeetmed (pädeva asutuse määramine, loamenetlus,

register, karistusnormid) ei nõua sihtrühmadelt sellist kohanemisaega, mis eeldaks pikemat

jõustumistähtaega. Vastupidi, riigisiseste rollide ja menetluste võimalikult varane jõustumine

on vajalik, et digiidentiteedikukrule tuginevate isikute registreerimine oleks võimalik hiljemalt

24. detsembrist 2026, mil kohaldub komisjoni rakendusmäärus (EL) 2025/848.

10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

Eelnõu esitati eelnõude infosüsteemi (EIS) kaudu kooskõlastamiseks 26-0864 ning arvamuse

avaldamiseks Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Linnade ja

Valdade Liidule ning Rahvusarhiivile.

EIS-i kaudu toimuv kooskõlastamine on ühtlasi avalik konsultatsioon, sest eelnõu materjalid

on infosüsteemis avalikult kättesaadavad ja igaühel on võimalik esitada eelnõu kohta arvamus.

Huvirühmi on sisuliselt kaasatud juba enne eelnõu koostamist, ja seda kahel tasandil. Euroopa

Liidu tasandil korraldas Euroopa Komisjon eIDAS-määruse läbivaatamiseks avaliku

konsultatsiooni 24. juulist kuni 2. oktoobrini 2020, et koguda tagasisidet e-identimise ja

usaldusteenuste arengu ning kasutuselevõtu takistuste kohta51; konsultatsioonile laekus 318

vastust ning selle tulemusi on kajastatud komisjoni mõjuhinnangut toetavas uuringus.52 Lisaks

avalikule konsultatsioonile sai komisjon kirjalikku tagasisidet esialgse mõjuhinnangu kohta

(23. juulist 3. septembrini 2020), korraldas sihitatud sidusrühmauuringu (106 vastust) ning

küsitles liikmesriikide esindajaid eIDAS-i koostöövõrgustikus. Avaliku konsultatsiooni

tulemuste kohaselt toetas 60% vastanutest ühtse ja üldtunnustatud Euroopa digiidentiteedi

süsteemi loomist riiklike e-identimise vahendite kõrvale; peamiste eelistena nimetati

universaalset aktsepteeritavust (47% vastanutest), kasutusmugavust (43%) ja riigi tagatud

usaldusväärsust (37%), peamise väljakutsena aga ühtse süsteemi ülesehituse ja juhtimise

keerukust (52%); 49% vastanutest pidas kehtiva raamistiku peamiseks parandusmeetmeks selle

laiendamist erasektorile.53 Eesti seisukohtade kujundamisse komisjoni ettepaneku COM(2021)

281 (final) kohta kaasati asjaomased ministeeriumid, asutused ja huvirühmad; seisukohad kiitis

heaks Vabariigi Valitsus ja neid arutas Riigikogu Euroopa Liidu asjade komisjon.54 2021. aasta

kaasamise tabelist nähtub muu hulgas, et Siseministeerium toetas eelnõu eesmärke, huvirühmad

tõstatasid küsimusi digikukru seosest olemasoleva eID-ökosüsteemi ja X-tee

andmevahetusloogikaga, riigisisestest kuludest, majandusmudelist, erasektori vastutusest ja

rakendamise tähtajast ning Eesti tegi ettepaneku näha kukru kasutuselevõtuks ette 24 kuud

51

Digital identity and trust: Commission launches public consultation on the eIDAS Regulation. Euroopa

Komisjoni veebileht, 24.07.2020. https://digital-strategy.ec.europa.eu/en/news/digital-identity-and-trust-

commission-launches-public-consultation-eidas-regulation 52

Vt viide 15. 53

Vt viide 14, 2. lisa. 54

Vt viide 13.

34

tehniliste nõuete jõustumisest – tähtaeg, mis kajastub ka määruse lõplikus tekstis (artikli 5a

lõige 1).55 Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus,

mistõttu ei koostatud eelnõu kohta väljatöötamiskavatsust (hea õigusloome ja normitehnika

eeskirja § 1 lõike 2 punkt 2; vt ka seletuskirja punkt 2). Lisaks osales Eesti Euroopa Komisjoni

kaasrahastatud suuremahulises pilootprojektis POTENTIAL, milles 19 liikmesriiki ja Ukraina

katsetasid aastatel 2023–2025 digikukru kuut kasutusjuhtu; Eesti panustas RIA eestvedamisel

digitaalse juhiloa tehnilise kontseptsioonilahenduse väljatöötamisse ning projekti tulemused

andsid sisendi Euroopa digiidentiteedikukru arhitektuuriraamistiku (ARF) väljatöötamisse.56

Määruse rakendusaktide eelnõude kohta on huvirühmadel olnud võimalik esitada tagasisidet

Euroopa Komisjoni tagasisidekorje kaudu.

Eestis on kaasamine ja ettevalmistus toimunud järjepidevalt alates 2022. aastast. RIA on

tellinud sõltumatud analüüsid digikukru ja elektrooniliste tõendite ökosüsteemi kohta – „Tõend

kui platvorm“ (2022), digikukru I etapi analüüs (2023), II etapi analüüs (2025) ja III etapi

analüüs (2026) – ning avalikustanud need oma kodulehel, kus on avaldatud ka teave digikukru

ökosüsteemi, ettevõtjate kohustuste, digiidentiteedikukrule tuginevate isikute registri ajakava

ja korduma kippuvate küsimuste kohta.57 2025. aasta mais kutsus RIA turuosalisi avalikult

varakult kaasa mõtlema Euroopa Liidu digikukru järgmiste sammude üle.58

Digiidentiteedikukrule tuginevate isikute registreerimise juhendid avaldatakse pärast registri

esmaversiooni valmimist samuti RIA kodulehel, mis tagab ettevõtjatele jooksva teabe

kohustuste täitmiseks.59

Pärast EIS-i kooskõlastusringi uut kaasamisringi ei kavandata. EIS-i kaudu toimuv

kooskõlastusring täidab ühtlasi Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaanis

kavandatud avaliku konsultatsiooni eesmärki.60 See on põhjendatud, sest eIDAS 2 määrus on

vahetult kohaldatav ja eelnõu riigisisene otsustusruum on piiratud rakendusmeetmetega, mille

sisulised valikud on läbi arutatud Euroopa Liidu tasandi õigusloomes, pilootprojektides ja

Eestis toimunud ettevalmistava kaasamise käigus; sihtrühmadel on võimalik esitada arvamusi

kooskõlastusringi jooksul EIS-i kaudu ning eelnõu menetlemisel Riigikogus. Kaasamisel ja

ettevalmistavates analüüsides esile kerkinud põhiküsimused – sobitumine X-tee ja ühekordse

küsimise põhimõttega, digikukru kasutuse majandusmudel, erasektori vastutusraamistik,

digiidentiteedikukrule tuginevate isikute register, järelevalve ja karistused, sertifitseerimise

ulatus – on käsitletud seletuskirja 6. peatükis ja eelnõu sisu peatükis (seletuskirja 3. peatükk).

Kooskõlastusringil esitasid eelnõu kohta märkusi ja arvamusi Eesti Linnade ja Valdade Liit,

Eesti Infotehnoloogia ning Telekommunikatsiooni Liit. Iga märkuse sisu, esitaja ning

arvestamine või arvestamata jätmine koos põhjendusega on esitatud seletuskirja lisas oleva

kooskõlastustabelina (hea õigusloome ja normitehnika eeskirja § 50 lõiked 2 ja 3).

Kooskõlastusringi tulemusel muudeti muu hulgas eelnõu §-s 1 kavandatut paragrahvide 3¹, 4¹,

5, 7, 8, 10, 13, 19 ja 23² puhul, jäeti eelnõust välja § 22 muudatused ning vähendati sunniraha

ülemmäära; vastavad selgitused leiab seletuskirja asjakohastest osadest.

55

Vt viide 29. 56

Pilootprojekt POTENTIAL (digitaalne juhiluba). Riigi Infosüsteemi Ameti koduleht, 19.05.2026.

https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/pilootprojekt-potential 57

Vt viited 35, 26, 23 ja 17. Analüüsid on avalikustatud Riigi Infosüsteemi Ameti kodulehel (vt viide 16). 58

EL digikukru järgmised sammud: kutsume turuosalisi varakult kaasa mõtlema. Riigi Infosüsteemi Ameti blogi,

30.05.2025.

https://www.ria.ee/blogi/el-digikukru-jargmised-sammud-kutsume-turuosalisi-varakult-kaasa-motlema. 59

Vt viide 16. 60

Vt viide 12.

35

Seletuskirja lisad

Lisa 1. Rakendusakti kavand (digiidentiteedikukrule tuginevate isikute registri põhimäärus).

Lisa 2. Vastavustabel (eIDAS 2 määruse ja eelnõu sätete seosed).

Lisa 3. Kooskõlastustabel (märkustega arvestamise tabel).

Algatab Vabariigi Valitsus 12. oktoobril 2026. a

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)

Heili Tõnisson

Valitsuse nõunik