Arvamuse avaldamiseks eelnõu

1 / 34

EELNÕU

07.12.2024

Küberturvalisuse seaduse ja teiste seaduste muutmise seadus

(küberturvalisuse 2. direktiivi ülevõtmine)

§ 1. Küberturvalisuse seaduse muutmine

Küberturvalisuse seaduses tehakse järgmised muudatused:

1) paragrahvi 1 täiendatakse lõigetega 11–16 järgmises sõnastuses:

„(11) Käesolevat seadust kohaldatakse Euroopa Liidus teenuseid osutavatele või tegutsevatele

üksustele, kellel on majandusaasta jooksul keskmiselt 50 või rohkem töötajat ja kelle aasta

bilansimaht või aastakäive ületab 10 miljonit eurot, arvestades mikro- ja väikese ettevõtja

määratlusi Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikese ja keskmise suurusega

ettevõtjate määratlemise kohta (ELT L 124, 20.05.2003, lk 36–41). Üksuste määratlemisele ei

kohaldata Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4.

(12) Arvestades käesoleva paragrahvi lõiget 11, kohaldatakse käesolevat seadust üksuse suhtes,

kes on:

1) elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia müügiga, kaasa

arvatud edasimüügiga elektrienergia hulgimüüjale või lõpptarbijale;

2) jaotusvõrguettevõtja elektrituruseaduse tähenduses;

3) põhivõrguettevõtja elektrituruseaduse tähenduses;

4) elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia tootmisega;

5) määratud elektriturukorraldaja Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles

käsitletakse elektrienergia siseturgu (ELT L 158, 14.06.2019, lk 54–124), artikli 2 punkti 8

tähenduses;

6) turuosaline Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943 artikli 2 punkti 25

tähenduses, kes osutab elektrituruseaduse tähenduses agregeerimis-, tarbimiskaja- või

elektrienergia salvestamise teenust;

7) laadimispunkti käitaja elektrituruseaduse tähenduses, kes vastutab laadimispunkti haldamise ja

käitamise eest, mis osutab lõppkasutajatele laadimisteenust, sealhulgas liikuvusteenuse osutaja

nimel ja eest;

8) kaugkütteseaduse tähenduses kaugkütte pakkuja ja kaugjahutuse pakkuja;

9) nafta tootmise, rafineerimise ja töötlemise rajatistega ning nafta hoiustamise ja ülekandmisega

tegelev operaator;

10) maagaasi, sealhulgas veeldatud maagaasi müügiga, sealhulgas maagaasi hulgimüüjale,

lõpptarbijale ja maagaasi ostvale gaasiettevõtjale edasimüügiga tegelev gaasiettevõtja

maagaasiseaduse tähenduses;

11) üksus, kes täidab maagaasi jaotamise ülesannet ja on vastutav jaotussüsteemi kasutamise eest,

tagades selle hoolduse ja vajadusel arendamise teatud paikkonnas ning vajadusel maagaasivõrgu

2 / 34

ühendamise teiste maagaasivõrkudega ja tagab maagaasivõrgu pikaajalise võime rahuldada

mõistlikku nõudlust maagaasi jaotamise järele;

12) üksus, kes täidab maagaasi ülekande ülesannet ja vastutab ülekandesüsteemi käitamise eest,

tagades selle hoolduse ning vajadusel arendamise teatud paikkonnas ja vajadusel gaasivõrkude

ühendamise teiste maagaasivõrkudega, ning tagab maagaasivõrgu pikaajalise võime rahuldada

mõistlikku nõudlust maagaasi transportimise järele;

13) hoidlatevõrgu haldur maagaasiseaduse tähenduses;

14) veeldatud gaasi terminali haldur maagaasiseaduse tähenduses;

15) gaasiettevõtja maagaasiseaduse tähenduses;

16) maagaasi rafineerimise ja töötlemise rajatise haldur;

17) vesiniku tootmise, hoiustamise ja ülekandmisega tegelev operaator;

18) lennuettevõtja Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 300/2008, mis käsitleb

tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr

2320/2002 (ELT L 097, 09.04.2008, lk 72–84), artikli 3 punkti 4 tähenduses, kes tegutseb

kommertsvaldkonnas;

19) lennujaama haldaja lennundusseaduse tähenduses, Euroopa Parlamendi ja nõukogu direktiivi

2009/12/EÜ lennujaamatasude kohta (ELT L 70, 14.03.2009, lk 11–16) artikli 2 punktis 1

määratletud lennujaam ning lennujaamas olevaid abirajatisi käitav üksus;

20) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 549/2004, millega sätestatakse raamistik

ühtse Euroopa taeva loomiseks (raammäärus) (ELT L 96, 31.03.2004, lk 1–9), artikli 2 punktis 1

määratletud lennujuhtimise teenust osutav lennuliikluskorraldusettevõtja;

21) raudteeinfrastruktuuriettevõtja ja raudteeveoettevõtja, sealhulgas teenindusrajatise käitaja

raudteeseaduse tähenduses;

22) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 laevade ja sadamarajatiste

turvalisuse tugevdamise kohta (ELT L 129, 29.04.2004, lk 6–91), I lisas meretranspordi puhul

määratletud reisijate ja kauba vedamisega sisevetes, merel ja rannavetes tegelev ettevõtja, välja

arvatud kõnealuse ettevõtja käidatud üksikud laevad;

23) sadama pidaja või sellise sadamarajatise valdaja sadamaseaduse tähenduses, sealhulgas nende

Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 artikli 2 punktis 11 määratletud

sadamarajatised, ja sadamates tööde ning varustuse haldamisega tegelev üksus;

24) veeliikluse juhtimise keskus;

25) intelligentse transpordisüsteemi operaator liiklusseaduse tähenduses;

26) krediidiasutus Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013, krediidiasutuste ja

investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr

648/2012 muutmise kohta (ELT L 176, 27.06.2013, lk 1–337), artikli 4 punkti 1 tähenduses;

27) kauplemiskoha korraldaja väärtpaberituru seaduse tähenduses;

3 / 34

28) keskne vastaspool Euroopa Parlamendi ja nõukogu määruse (EL) nr 648/2012 börsiväliste

tuletisinstrumentide, kesksete vastaspoolte ja kauplemisteabehoidlate kohta (ELT L 201,

27.07.2012, lk 1–59), artikli 2 punkti 1 tähenduses;

29) üksus, kes tegeleb ravimiseaduse tähenduses ravimi, välja arvatud veterinaarravimi Euroopa

Parlamendi ja nõukogu määruse (EL) 2019/6, mis käsitleb veterinaarravimeid ning millega

tunnistatakse kehtetuks direktiiv 2001/82/EÜ (ELT L 4, 07.01.2019, lk 43–67), artikli 4 punkti 1

tähenduses, uurimise ja arendamisega;

30) Eurostati klassifikaatori NACE Revision 2 C jao jaotises 21 osutatud põhifarmaatsiatoote ja

ravimipreparaadi tootmisega tegelev üksus;

31) üksus, kes toodab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/123, mis käsitleb

Euroopa Ravimiameti suuremat rolli ravimite ja meditsiiniseadmete alases kriisivalmiduses ja -

ohjes, (ELT L 20, 31.01.2022, lk 1–37), artikli 22 tähenduses rahvatervise hädaolukorras kriitilise

tähtsusega meditsiiniseadet (rahvatervise hädaolukorra esmatähtsate meditsiiniseadmete loetelu);

32) joogivee veeseaduse § 17 lõike 1 tähenduses varustaja ja jaotaja, välja arvatud jaotaja, kelle

puhul joogivee jaotamine on väheoluline osa tema üldisest muude tarbekaupade ja kaupade

tarnimistegevusest;

33) ettevõtja, kes tegeleb nõukogu direktiivi 91/271/EMÜ asulareovee puhastamise kohta (EÜT

L 135, 30.05.1991, lk 40–52) artikli 2 punktides 1, 2 ja 3 määratletud asulareovee, olmereovee

või tööstusreovee kogumise, ärajuhtimise või puhastamisega, välja arvatud ettevõtja, kelle puhul

asulareovee, olmereovee või tööstusreovee kogumine, ärajuhtimine või puhastamine on

väheoluline osa tema üldisest tegevusest;

34) interneti vahetuspunkti teenuse osutaja;

35) domeeninimesüsteemide süsteemi teenuse osutaja, välja arvatud juurnimeserveri operaator;

36) pilvandmetöötlusteenuse osutaja;

37) andmekeskusteenuse osutaja;

38) sisulevivõrguteenuse osutaja;

39) hallatud teenuse osutaja;

40) hallatud turbeteenuste osutaja;

41) kosmosepõhise teenuse osutamist toetav maapealse taristu operaator, kes on Eesti Vabariigi

või eraõigusliku isiku omandis, hallata või käitada, kuid kes ei ole elektroonilise side võrgu

pakkuja;

42) postiteenuse osutaja postiseaduse tähenduses, sealhulgas kulleriteenuse osutaja;

43) ettevõtja, kelle põhitegevus on jäätmeseaduse tähenduses jäätmekäitlus, sealhulgas

jäätmekäitluse järelevalve ja jäätmete kõrvaldamiseks mõeldud jäätmekäitluskoha järelhooldus;

44) ettevõtja, kes tegeleb Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1907/2006, mis

käsitleb kemikaalide registreerimist, hindamist, autoriseerimist ja piiramist (REACH) ja millega

asutatakse Euroopa Kemikaalide Agentuur ning muudetakse direktiivi 1999/45/EÜ ja

tunnistatakse kehtetuks nõukogu määrus (EMÜ) nr 793/93, komisjoni määrus (EÜ) nr 1488/94

4 / 34

ning samuti nõukogu direktiiv 76/769/EMÜ ja komisjoni direktiivid 91/155/EMÜ, 93/67/EMÜ,

93/105/EÜ ja 2000/21/EÜ (ELT L 396, 30.12.2006, lk 1–850), artikli 3 punktides 9 ja 14

osutatud ainete valmistamisega ning ainete või segude levitamisega, ja ettevõtja, kes toodab

ainetest või segudest kõnealuse määruse artikli 3 punktis 3 määratletud tooteid;

45) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 178/2002, millega sätestatakse toidualaste

õigusnormide üldised põhimõtted ja nõuded, asutatakse Euroopa Toiduohutusamet ja

kehtestatakse toidu ohutusega seotud menetlused (EÜT L 31, 01.02.2002, lk 1–24 / eestikeelne

eriväljaanne: peatükk 15, köide 006, lk 463–486), artikli 3 punktis 2 määratletud

toidukäitlemisettevõtja, kes tegeleb hulgimüügi, tööstusliku tootmise ja töötlemisega;

46) Euroopa Parlamendi ja nõukogu määruse (EL) 2017/745, milles käsitletakse

meditsiiniseadmeid, millega muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja

määrust (EÜ) nr 1223/2009 ning millega tunnistatakse kehtetuks nõukogu direktiivid

90/385/EMÜ ja 93/42/EMÜ (ELT L 117, 05.05.2017, lk 1–175), artikli 2 punktis 1 määratletud

meditsiiniseadet tootev üksus ning Euroopa Parlamendi ja nõukogu määruse (EL) 2017/746 (ELT

L 117, 05.05.2017, lk 176–332) artikli 2 punktis 2 määratletud in vitro

diagnostikameditsiiniseadmeid tootev üksus, välja arvatud käesoleva paragrahvi punktis 31

osutatud meditsiiniseadet tootev üksus;

47) Eurostati klassifikaatori NACE Revision 2 C jao jaotistes 26, 27, 28, 29 ja 30 osutatud

majandustegevusega tegelev ettevõtja;

48) internetipõhise kauplemiskoha pakkuja;

49) veebipõhise otsingumootori pakkuja;

50) sotsiaalvõrguteenuse platvormi pakkuja;

51) teadusasutus.

(13) Käesolevat seadust kohaldatakse üksuse suhtes olenemata tema suurusest, kui üksus on:

1) üldkasutatava elektroonilise side võrgu pakkuja;

2) üldkasutatava elektroonilise side teenuse osutaja;

3) usaldusteenuse osutaja;

4) tippdomeeninimede registri pidaja;

5) domeeninimede registreerimise teenuseid osutav üksus;

6) domeeninimede süsteemi teenuse osutaja;

7) keskvalitsuse avaliku halduse üksus;

8) elutähtsa teenuse osutaja.

(14) Käesolevat seadust kohaldatakse üksuse suhtes olenemata tema suurusest, kui üksus vastab

vähemalt ühele järgmisele tingimusele:

1) ta on sellise teenuse ainuosutaja, mis on kriitilise tähtsusega ühiskondliku või

majandustegevuse säilitamiseks;

5 / 34

2) tema osutatava teenuse häirel võib olla oluline mõju avalikule turvalisusele, avalikule

julgeolekule või rahva tervisele;

3) tema osutatava teenuse häire võib tuua kaasa olulise süsteemse riski, eelkõige sektorites, kus

sellisel häirel võib olla piiriülene mõju;

4) ta on kriitilise tähtsusega oma erilise olulisuse tõttu riiklikul või piirkondlikul tasandil

konkreetse sektori või teenuseliigi või riigi muude üksteisest sõltuvate sektorite jaoks.

(15) Arvestades käesoleva paragrahvi lõike 14 punktides 1, 2, 3 ja 4 sätestatut, kohaldatakse

käesolevat seadust üksuse suhtes olenemata tema suurusest, kui üksus on:

1) kohaliku tasandi avaliku halduse üksus;

2) riigi asutatud äriühing, kes osutab riigile kui ainuaktsionärile kinnisvarateenust;

3) riigi tegevusvaru haldaja;

4) kriitilise tähtsusega side-, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja;

5) avaliku teabe seaduse tähenduses andmekogu vastutav töötleja ja volitatud töötleja;

6) Arenguseire Keskus;

7) kohaliku omavalitsuse üksuste liit;

8) Riigimetsa Majandamise Keskus;

9) tervishoiuteenuste korraldamise seaduses sätestatud perearstiabi osutaja, kes ei ole elutähtsa

teenuse osutaja;

10) seaduse alusel asutatud avalik-õiguslik juriidiline isik.

(16) Vabariigi Valitsus võib käesoleva paragrahvi lõike 14 punktides 1, 2, 3 ja 4 kriteeriumitest

lähtuvalt määrata määrusega valdkonna või sektori, milles oleva isiku suhtes kohaldatakse

teenuse osutaja kohta sätestatut olenemata tema suurusest.“;

2) paragrahvi 1 täiendatakse lõikega 21 järgmises sõnastuses:

„(21) Käesoleva paragrahvi lõikes 2 sätestatud erisust ei kohaldata, kui tegemist on

usaldusteenuse osutajaga.“;

3) paragrahvi 1 lõige 3 tunnistatakse kehtetuks;

4) paragrahvi 1 lõige 4 muudetakse ja sõnastatakse järgmiselt:

„(4) Kui võrgu- ja infosüsteemi pidamise ning küberintsidendist teavitamise nõuded on

reguleeritud välislepinguga, Euroopa Liidu õigusaktiga või muu seadusega, kohaldatakse

käesolevat seadust välislepingust, Euroopa Liidu õigusaktist või muust seadusest tulenevate

erisustega.“;

5) paragrahvi 1 täiendatakse lõikega 41 järgmises sõnastuses:

6 / 34

„(41) Käesoleva paragrahvi lõikes 4 sätestatud erisuste esinemise korral võib valdkonna eest

vastutav minister määrusega täpsustada käesoleva seaduse nõuete järgimise ulatust ja tingimusi.“;

6) seadust täiendatakse §-ga 11 järgmises sõnastuses:

㤠11. Jurisdiktsioon ja territoriaalsus

(1) Teenuse osutaja suhtes kohaldatakse selle riigi jurisdiktsiooni, kus on tema tegevuskoht või

kus ta on asutatud.

(2) Erandina käesoleva paragrahvi lõikest 1, on:

1) üldkasutatava elektroonilise side võrgu pakkuja või üldkasutatava elektroonilise side teenuse

osutaja jurisdiktsiooniks Euroopa Liidu liikmesriik, kus ta oma teenuseid osutab;

2) digitaalse teenuse osutaja jurisdiktsiooniks Euroopa Liidu liikmesriik, kus on tema peamine

tegevuskoht;

3) keskvalitsuse avaliku halduse üksuse ja kohaliku tasandi avaliku halduse üksuse

jurisdiktsiooniks Eesti Vabariik.

(3) Digitaalse teenuse osutaja peamise tegevuskoht selgitakse välja järgnevas järjekorras:

1) peamine tegevuskoht on Euroopa Liidu liikmesriik, kus turvameetmeid käsitlevad otsused

valdavalt tehakse;

2) kui peamist tegevuskohta ei ole võimalik käesoleva lõike punkti 1 kohaselt kindlaks teha või

kui selliseid otsuseid ei tehta Euroopa Liidus, käsitatakse peamise tegevuskohana Euroopa Liidu

liikmesriiki, kus toimub küberturvalisuse alane tegevus;

3) kui peamist tegevuskohta ei ole võimalik käesoleva lõike punkti 2 kohaselt kindlaks teha,

käsitatakse peamise tegevuskohana Euroopa Liidu liikmesriiki, mille territooriumil on digitaalse

teenuse osutajal tegevuskoht Euroopa Liidus kõige suurema arvu töötajatega.

(4) Erisusena käesoleva paragrahvi lõikest 3, on digitaalse teenuse osutaja jurisdiktsiooniks

digitaalse teenuse osutaja esindaja tegevuskoht või kus ta on asutatud, kui nimetatud esindaja on

määratud.

(5) Kui digitaalse teenuse osutajal on kohustus määrata digitaalse teenuse osutaja esindaja, kuid

ta pole seda määranud Euroopa Liidus, võib käesolevas seaduses sätestatud nõudeid rikkuva

digitaalse teenuse osutaja vastu õiguslikke meetmeid iga Euroopa Liidu liikmesriik, kus

digitaalse teenuse osutaja enda teenuseid osutab.

(6) Digitaalse teenuse osutaja esindaja määramine ei piira õiguslike meetmete võtmist digitaalse

teenuse osutaja suhtes.“;

7) paragrahvi 2 teksti täiendatakse punktidega 11–14 järgmises sõnastuses:

„11) üksus – füüsiline isik või juriidiline isik, kes on asutatud ja keda tunnustatakse tema

tegevuskohajärgse riigisisese õiguse kohaselt, kes võib enda nimel omada õigusi ja kanda

kohustusi;

7 / 34

12) keskvalitsuse avaliku halduse üksus – üksuse üldnimetus, mille puhul on mõeldud üksustest

Eesti Panka, Finantsinspektsiooni, kohtuasutust, riigi valimisteenistust, Riigikogu Kantseleid,

Riigikontrolli, Vabariigi Presidendi Kantseleid, valitsusasutust, valitsusasutuse hallatav

riigiasutust ja Õiguskantsleri Kantseleid;

13) kohaliku tasandi avaliku halduse üksus – üksuse üldnimetus, mille puhul on mõeldud

üksustest kohaliku omavalitsuse üksust, valla või linna ametiasutust, valla või linna ametiasutuse

hallatavat asutust, osavalda, linnaosa, osavalla või linnaosa ametiasutust, osavalla või linnaosa

ametiasutuse hallatavat asutust ning kohaliku omavalitsuse üksuste ühisametit ja -asutust;

14) küberturvalisus – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881, mis käsitleb

ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia

küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013

(küberturvalisuse määrus) (ELT L 151, 07.06.2019, lk 15–69), artikli 2 punktis 1 määratletud

küberturvalisus;“;

8) paragrahvi 2 punktis 2 asendatakse sõna „tegevusele“ sõnaga „sündmusele“;

9) paragrahvi 2 teksti täiendatakse punktidega 31–39 järgmises sõnastuses:

„31) ulatuslik küberintsident – küberintsident, mille põhjustatud häired on niivõrd laialdased, et

üks liikmesriik ei suuda nendega toime tulla või millel on märkimisväärne mõju vähemalt kahele

liikmesriigile;

32) küberintsidendi käsitlemine – toimingud ja menetlused, mille eesmärk on küberintsidenti

ennetada, tuvastada, analüüsida, ohjata või lahendada ja sellest taastuda;

33) risk – küberintsidendist tingitud kahju või häire võimekus, mida tuleb väljendada sellise kahju

või katkestuse ulatust ja kõnealuse küberintsidendi esinemise võimalikkust arvesse võtva

kombineeritud näitajana;

34) küberoht – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 8

määratletud küberoht;

35) oluline küberoht – küberoht, mille tehniliste näitajate põhjal võib eeldada, et sellel võib olla

tõsine mõju teenuse osutaja süsteemile või üksuse süsteemide kasutajatele, tekitades

märkimisväärset varalist või mittevaralist kahju;

36) nõrkus – IKT-toote või -teenuse nõrkus, tundlikkus või viga, mida küberohu tekitaja võib ära

kasutada;

37) IKT-toode – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 12

määratletud IKT-toode;

38) IKT-teenus – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 13

määratletud IKT-teenus;

39) IKT-protsess – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 14

määratletud IKT-protsess;“;

8 / 34

10) paragrahvi 2 punkt 4 tunnistatakse kehtetuks;

11) paragrahvi 2 teksti täiendatakse punktidega 41–47 järgmises sõnastuses:

„41) interneti vahetuspunkt – võrgustik, mis võimaldab rohkem kui kahe sõltumatu võrgu

omavahelist ühendamist, eelkõige selleks, et hõlbustada internetiliikluse vahetust; see võimaldab

üksnes autonoomsete süsteemide omavahelist ühendamist ega nõua kahe osaleva autonoomse

süsteemi vahel toimuva internetiliikluse kulgemist mõne kolmanda autonoomse süsteemi kaudu,

ei muuda sellist liiklust ega sekku sellesse mingil muul viisil;

42) domeeninimede süsteem – hierarhiline ja hajus nimesüsteem, mis võimaldab tuvastada

internetiteenuseid ja -ressursse, võimaldades lõppkasutaja seadmetel kasutada

internetimarsruutimise ja ühenduvuse teenuseid, et jõuda nende teenuste ja ressurssideni;

43) domeeninimede süsteemi teenuse osutaja – üksus, kes osutab interneti lõppkasutajatele

üldsusele kättesaadavat domeeninime rekursiivse teisendamise teenust, või kolmandatele

isikutele kasutuseks domeeninime autoriteetse teisendamise teenust, välja arvatud

juurnimeserverid;

44) tippdomeeninimede register – üksus, kellele on delegeeritud Eesti maatunnusega seotud

tippdomeen ja kes vastutab selle tippdomeeni haldamise eest, sealhulgas tippdomeeni

alldomeeninimede registreerimise eest ja tippdomeeni tehnilise toimimise eest, sealhulgas

nimeserverite käitamise, andmebaaside hooldamise ning nimeserverite vahel tippdomeeni

tsoonifailide jaotamise eest, olenemata sellest, kas mõne neist toimingutest teeb üksus ise või

ostetakse need sisse, kuid välja arvatud olukorrad, kus tippdomeeninimesid kasutab register ise

ainult enda tarbeks;

45) domeeninimede registreerimise teenuseid osutav üksus – tippdomeeninimede registri

registripidaja või registripidaja nimel tegutsev esindaja, näiteks registreerimisega seotud

privaatsusteenuse või proksiteenuse osutaja või edasimüüja;

46) usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-

identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse

kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114), artikli 3 punktis 19

määratletud usaldusteenuse osutaja;

47) kvalifitseeritud usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 3 punktis 20 määratletud kvalifitseeritud usaldusteenuse osutaja;“;

12) paragrahvi 2 punktid 5–7 muudetakse ja sõnastatakse järgmiselt:

„5) internetipõhine kauplemiskoht – internetipõhine kauplemiskoht tarbijakaitseseaduse

tähenduses;

9 / 34

6) veebipõhine otsingumootor – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/1150, mis

käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks

(ELT L 186, 11.07.2019, lk 57–79), artikli 2 punktis 5 määratletud veebipõhine otsingumootor;

7) pilvandmetöötlusteenus – infoühiskonna teenus, mis võimaldab jagatavate

andmetöötlusressursside skaleeritava ja paindliku kogumi nõudepõhist haldamist ning ulatuslikku

kaugpääsu sellele kogumile, sealhulgas juhul, kui need ressursid paiknevad hajutatult erinevates

kohtades;“;

13) paragrahvi 2 teksti täiendatakse punktidega 71–75 järgmises sõnastuses:

„71) andmekeskusteenus – teenus, mis hõlmab struktuure või struktuuride rühmi, mis on ette

nähtud andmete talletamiseks, töötlemiseks ja edastamiseks kasutatavate infotehnoloogia- ja

võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, sealhulgas kõiki

energiajaotuse ja keskkonnakontrolliga seotud vahendeid ja taristuid;

72) sisulevivõrk – geograafiliselt hajutatud serverite võrk, mille eesmärk on tagada digisisu ja

infoühiskonna teenuse laialdane kättesaadavus, neile juurdepääsetavus või nende kiire

edastamine internetikasutajatele sisu- ja teenusepakkujate nimel;

73) sotsiaalvõrguteenuse platvorm – platvorm, mis võimaldab lõppkasutajatel vastastikku

ühendust pidada, sisu jagada, teavet otsida ja suhelda mitme seadme kaudu, eelkõige vestluste,

postituste, videote ja soovituste vormis;

74) digitaalse teenuse osutaja – üksuse üldnimetus, mille puhul on mõeldud üksustest

domeeninimede süsteemi teenuse osutajat, tippdomeeninimede registrit, domeeninimede

registreerimise teenuseid osutavat üksust, pilvandmetöötlusteenuse osutajat, andmekeskusteenuse

osutajat, sisulevivõrkude pakkujat, hallatud teenuse osutajat, hallatud turbeteenuste osutajat,

internetipõhise kauplemiskoha, veebipõhise otsingumootori või sotsiaalvõrguteenuse platvormi

pakkujat;

75) digitaalse teenuse osutaja esindaja – Euroopa Liidus asuv füüsiline või juriidiline isik, kes on

määratud tegutsema väljaspool Euroopa Liitu asuva digitaalse teenuse osutaja nimel ja kelle

poole võib Riigi Infosüsteemi Amet pöörduda seoses digitaalse teenuse osutaja kohustustega;“;

14) paragrahvi 2 teksti täiendatakse punktidega 9–13 järgmises sõnastuses:

„9) üldkasutatav elektroonilise side võrk – elektroonilise side seaduse tähenduses üldkasutatav

elektroonilise side võrk;

10) elektroonilise side teenus – elektroonilise side seaduse tähenduses elektroonilise side teenus;

11) hallatud teenuse osutaja – üksus, kes osutab teenuseid, mis on seotud IKT-toodete, võrkude,

taristu, rakenduste või muude süsteemide paigaldamise, haldamise, käitamise või hooldamisega

toe või aktiivse haldamise kaudu kas klientide ruumides või kaugteel;

12) hallatud turbeteenuste osutaja – hallatud teenuste osutaja, kes viib ellu küberturvalisuse

riskijuhtimisega seotud tegevust või pakub selleks tuge;

10 / 34

13) teadusasutus – üksus, kelle peamine eesmärk on viia ellu rakendusuuringuid või

tootearendust eesmärgiga kasutada selliste teadusuuringute tulemusi ärilistel eesmärkidel, kuid

mis ei hõlma haridusasutusi.“;

15) paragrahvi 3 lõige 1 tunnistatakse kehtetuks;

16) paragrahvi 3 täiendatakse lõigetega 11–14 järgmises sõnastuses:

„(11) Teenuse osutaja käesoleva seaduse tähenduses on elutähtis üksus ja oluline üksus.

(12) Elutähtis üksus on:

1) kvalifitseeritud usaldusteenuse osutaja;

2) tippdomeeninimede registri pidaja;

3) domeeninimede süsteemi teenuse osutaja;

4) keskvalitsuse avaliku halduse üksus;

5) kohaliku tasandi avaliku halduse üksus;

6) elutähtsa teenuse osutaja;

7) kriitilise tähtsusega side-, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja;

8) riigi tegevusvaru haldaja;

9) üldkasutatava elektroonilise side võrgu või üldkasutatava elektroonilise side teenuse pakkuja,

kellel on majandusaasta jooksul keskmiselt 50 või rohkem töötajat ja kelle aasta bilansimaht või

aastakäive ületab 10 miljonit eurot, arvestades keskmise suurusega ettevõtja määratlust Euroopa

Komisjoni soovituses 2003/361/EÜ;

10) üksus, kellel on majandusaasta jooksul keskmiselt 250 või rohkem töötajat ja kelle aasta

bilansimaht ületab 50 miljonit eurot või aastakäive ületab 43 miljonit eurot, arvestades keskmise

suurusega ettevõtja määratlust Euroopa Komisjoni soovituses 2003/361/EÜ, ning kes on osutatud

vähemalt ühes käesoleva seaduse § 1 lõike 12 punktides 1–51.

(13) Oluline üksus on:

1) üldkasutatava elektroonilise side võrgu või üldkasutatava elektroonilise side teenuse pakkuja,

kes ei ole elutähtis üksus;

2) usaldusteenuse osutaja, kes ei ole elutähtis üksus;

3) tervishoiuteenuste korraldamise seaduses sätestatud perearstiabi osutaja, kes ei ole elutähtsa

teenuse osutaja;

4) avaliku teabe seaduse tähenduses andmekogu vastutav töötleja ja volitatud töötleja, kes ei ole

elutähtis üksus;

5) Arenguseire Keskus;

6) kohaliku omavalitsuse üksuste liit;

7) Riigimetsa Majandamise Keskus;

11 / 34

8) seaduse alusel asutatud avalik-õiguslik juriidiline isik;

9) riigi asutatud äriühing, kes osutab riigile kui ainuaktsionärile kinnisvarateenust;

10) üksus, kellel on majandusaasta jooksul keskmiselt rohkem kui 50 töötajat ja kelle aasta

bilansimaht on vahemikus 10–43 miljonit eurot ning aastakäive on vahemikus 10–50 miljonit

eurot, arvestades keskmise suurusega ettevõtja määratlust Euroopa Komisjoni soovituses

2003/361/EÜ, ja kes on osutatud vähemalt ühes käesoleva seaduse § 1 lõike 12 punktides 1–51.

(14) Käesoleva seaduse § 1 lõike 16 alusel antud Vabariigi Valitsuse määruse andmisel

sätestatakse samas määruses, kas teenuse osutaja on elutähtis üksus või oluline üksus.“;

17) paragrahvi 3 lõige 2 tunnistatakse kehtetuks;

18) paragrahvi 3 lõige 3 muudetakse ja sõnastatakse järgmiselt:

„(3) Riigi Infosüsteemi Amet tuvastab iga kahe aasta tagant käesoleva seaduse kohaldamisalas

olevad teenuse osutajad ja domeeninimede registreerimise teenuseid osutavad üksused, kes

tegutsevad Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555, mis käsitleb meetmeid,

millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust

(EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL)

2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152), elutähtsate

üksuste ja oluliste üksustena ning domeeninimede registreerimise teenuseid osutavate

üksustena.“;

19) paragrahvi 3 täiendatakse lõigetega 31–34 järgmises sõnastuses:

„(31) Teenuse osutaja ja domeeninimede registreerimise teenuseid osutav üksus esitab Riigi

Infosüsteemi Ametile vähemalt järgmise teabe:

1) nimi ja registrikood;

2) aadress ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, interneti protokolli

aadresside vahemikud ja telefoninumbrid;

3) asjakohasel juhul Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 lisas I või II

osutatud asjakohane sektor ja allsektor;

4) asjakohasel juhul nende riikide loetelu, kus ta osutab Euroopa Parlamendi ja nõukogu

direktiivi (EL) 2022/2555 kohaldamisalasse kuuluvaid teenuseid.

(32) Teenuse osutaja ja domeeninimede registreerimise teenuseid osutav üksus teatab kõigist

käesoleva paragrahvi lõike 31 kohaselt esitatud teabes toimunud muudatustest viivitamata ja igal

juhul kahe nädala jooksul alates muutuse kuupäevast.

(33) Riigi Infosüsteemi Amet teatab iga kahe aasta järel:

1) Euroopa Komisjonile ja Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 14

nimetatud koostöörühmale (edaspidi koostöörühm) iga sama direktiivi lisas I või II osutatud

12 / 34

sektori ning allsektori kohta käesoleva paragrahvi lõikes 3 nimetatud teenuse osutajate loetelus

sisalduvate teenuse osutajate arvu;

2) Euroopa Komisjonile käesoleva seaduse § 1 lõigete 13 ja 14 kohaselt kindlaks määratud

teenuse osutajate arvu, Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 lisas I ja II

osutatud sektori ning allsektori info, nende osutatavate teenuste liigi info koos teabega, millise

käesoleva seaduse § 1 lõike 14 punktide 1–4 kohaselt need teenuse osutajad kindlaks määrati.

(34) Teenuse osutaja ja domeeninimede registreerimise teenuseid osutav üksus võib lähtuda

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 3 lõike 4 alusel antud Euroopa

Komisjoni suunistest ja vormidest, kui need on kehtestatud.“;

20) paragrahvi 3 lõige 4 tunnistatakse kehtetuks;

21) paragrahv 4 muudetakse ja sõnastatakse järgmiselt:

㤠4. Digitaalse teenuse osutaja

(1) Digitaalse teenuse osutaja esitab Riigi Infosüsteemi Ametile vähemalt järgmise teabe:

1) nimi ja registrikood;

2) asjakohasel juhul teabe Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 lisas I või II

osutatud asjakohase sektori, allsektori ja üksuse liigi kohta;

3) peamise tegevuskoha ja Euroopa Liidus asuvate muude ametlike tegevuskohtade aadress või

kui tal Euroopa Liidus tegevuskohta ei ole või ta ei ole seal asutatud, tema digitaalse teenuse

osutaja esindaja aadress;

4) enda ja asjakohasel juhul digitaalse teenuse osutaja esindaja ajakohased kontaktandmed,

sealhulgas e-posti aadressid ja telefoninumbrid;

5) liikmesriigid, kus teenust osutatakse;

6) interneti protokolli aadresside vahemikud.

(11) Digitaalse teenuse osutaja teatab kõigist käesoleva paragrahvi lõike 1 kohaselt esitatud teabes

toimunud muudatustest viivitamata ja igal juhul hiljemalt kolme kuu jooksul alates muutuse

kuupäevast.

(12) Riigi Infosüsteemi Amet esitab käesoleva paragrahvi lõike 1 punktides 1–5 osutatud teabe

põhjendamatu viivituseta Euroopa Liidu Küberturvalisuse Ametile.

(13) Riigi Infosüsteemi Amet võib esitada Euroopa Liidu Küberturvalisuse Ametile taotluse

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 27 lõikes 1 nimetatud registrile

juurdepääsu saamiseks.

(14) Digitaalse teenuse osutaja võib lähtuda Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 3 lõike 4 alusel antud Euroopa Komisjoni suunistest ja vormidest, kui need on

kehtestatud.

13 / 34

(2) Eestis teenust osutav, kuid väljaspool Euroopa Liitu asutatud digitaalse teenuse osutaja peab

määrama digitaalse teenuse osutaja esindaja Eestis või mõnes teises Euroopa Liidu liikmesriigis,

kus ta teenust osutab või kus ta on asutatud, ja tegema püsivalt avalikult kättesaadavaks

nimetatud esindaja kontaktandmed.“;

22) paragrahvi 5 muudetakse ja sõnastatakse järgmiselt:

„§ 5. Pädevad asutused ja ülesanded

(1) Vabariigi Valitsus võtab vastu Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artiklis 7 nimetatud küberturvalisuse strateegia, mis võib olla koostatud muu õigusakti alusel

koostatava dokumendi osa. Justiits- ja Digiministeerium koordineerib küberturvalisuse strateegia

koostamist, sealhulgas täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 7

lõigetes 3 ja 4 sätestatud nõudeid.

(2) Justiits- ja Digiministeerium ning Riigi Infosüsteemi Amet osalevad koostöörühma tegevustes

vastavalt koostöörühma ülesannetele.

(3) Riigi Infosüsteemi Amet täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555:

1) artikli 8 lõikes 1 nimetatud pädeva asutuse ja lõikes 3 nimetatud ühtse kontaktpunkti

ülesandeid;

2) artikli 9 lõikes 1 nimetatud ulatuslike küberintsidentide ja kriiside ohjamise eest vastutava

pädeva asutuse ülesandeid;

3) artikli 10 lõikes 1 nimetatud küberturbe intsidentide lahendamise üksuse ülesandeid;

4) artikli 12 lõikes 1 nimetatud nõrkuste koordineeritud avalikustamise koordinaatori ülesandeid;

5) artiklis 15 nimetatud riiklike küberturbe intsidentide lahendamise üksuste võrgustikus

osalemise ülesandeid;

6) artiklis 16 nimetatud Euroopa küberkriisiga tegelevate kontaktasutuste võrgustikus osalemise

ülesandeid.

(4) Küberturbe intsidentide lahendamise üksus peab:

1) hõlmama oma tegevustesse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 lisades

I ja II osutatud sektoreid, allsektoreid või üksuste liike ning vastutama küberintsidentide

käsitlemise eest kindla menetluse kohaselt;

2) tagama oma sidekanalite laialdase kättesaadavuse, vältides nõrku lülisid, ja kasutama

mitmesuguseid vahendeid, mis võimaldavad tal teistega ning teistel temaga igal ajal ühendust

võtta;

3) määrama kindlaks sidekanalid ja tegema need oma sihtrühmadele ning koostööpartneritele

teatavaks;

4) tagama, et tema ametiruumid ja tööd toetavad süsteemid asuvad turvalises kohas;

5) tagama, et tal on olemas päringute haldamiseks ja suunamiseks sobiv süsteem, mis võimaldab

ka tööde tõhusat üle andmist;

14 / 34

6) tagama oma tegevuse konfidentsiaalsuse ja usaldusväärsuse;

7) omama piisavat arvu töötajaid ja ametnikke, et tagada enda teenuste pidev kättesaadavus;

8) tagama oma töötajatele ja ametnikele asjakohase väljaõppe;

9) oma teenuste toimepidevuse tagamiseks omama varusüsteeme ja -tööruume.

(5) Küberturbe intsidentide lahendamise üksusel on järgmised ülesanded ja volitused:

1) osaleb käesoleva seaduse §-s 175 sätestatud vastastikuses hindamises;

2) teeb koostööd teiste küberturbe intsidentide lahendamise üksustega;

3) võib teha kolmandate riikide riiklike küberturbe intsidentide lahendamise üksustega või

samaväärsete kolmandate riikide asutustega koostööd, eelkõige küberturvalisuse alase abi

andmiseks;

4) teeb koostööd teenuse osutajate sektoripõhiste või -vaheliste kogukondadega, sealhulgas

vajadusel vahetades nendega teavet arvestades käesoleva seaduse §-s 175 sätestatud nõudeid.

5) võib osaleda rahvusvahelistes koostöövõrgustikes;

6) korraldab küberohtude, nõrkuste ja intsidentide seiret ning analüüsi riiklikul tasandil;

7) taotluse korral osutab abi asjaomastele teenuse osutajatele nende süsteemide reaalajas või

reaalajalähedase seirega;

8) tagab küberohtude, nõrkuste ja küberintsidentide kohta varajaste hoiatuste, hoiatuste ja teadete

edastamise ning teabe levitamise asjaomastele teenuse osutajatele, pädevatele asutustele ja

muudele asjaomastele sidusrühmadele, võimaluse korral reaalajalähedaselt;

9) lahendab küberintsidente ja asjakohasel juhul abistab asjaomaseid teenuse osutajaid;

10) kogub ja analüüsib kohtuekspertiisiandmeid, analüüsib järjepidevalt riske ja küberintsidente,

ning tagab küberturvalisuse alast olukorrateadlikkust;

11) potentsiaalselt olulise mõjuga nõrkuste kindlaks tegemiseks ennetavalt kontrollib teenuse

osutaja taotlusel teenuse osutaja süsteemi;

12) osaleb riiklike küberturbe intsidentide lahendamise üksuste võrgustikus ja osutab teisele

võrgustiku liikme taotluse korral samale liikmele oma võimekusele ja pädevusele vastavat

vastastikust abi;

13) tegutseb käesoleva paragrahvi lõike 3 punktis 4 sätestatud ülesannetes;

14) panustab teenuse osutajatega ja asjaomaste sidusrühmadega teabe vahetamiseks kasutatavate

turvaliste teabejagamisvahendite kasutuselevõtmisse;

15) võib teenuse osutaja üldkasutavat süsteemi ennetavalt väliselt kontrollida, kui see toimub

nõrkade või ebaturvaliselt konfigureeritud süsteemi tuvastamiseks ja asjaomase teenuse osutaja

teavitamiseks, ning sellisel kontrollimisel ei tohi olla negatiivset mõju teenuse osutaja osutatava

teenuse toimimisele;

16) loob koostöösuhteid erasektori asjaomaste sidusrühmadega.

15 / 34

(6) Küberturbe intsidentide lahendamise üksus võib käesoleva paragrahvi lõike 5 punktides 6–14

sätestatud ülesandeid riski- või ohuprognoosi põhise lähenemisviisi alusel teatavaid ülesandeid

prioriseerida.

(7) Käesoleva paragrahvi lõike 4 punktis 16 nimetatud koostöö hõlbustamiseks toetab küberturbe

intsidentide lahendamise üksus ühtsete või standardsete tavade, liigitamissüsteemide ja

taksonoomiate kasutuselevõttu seoses küberintsidentide käsitlemise menetlustega, kriisiohjega

ning nõrkuste koordineeritud avalikustamisega.

(8) Küberturbe intsidentide lahendamise üksus käesoleva paragrahvi lõike 3 punktis 4 oleva

ülesande täitmisel:

1) tegutseb usaldusväärse vahendajana, hõlbustades vajadusel suhtlust nõrkusest teavitava

füüsilise või juriidilise isiku ja potentsiaalse nõrkusega IKT-toodete tootja või IKT-teenuste

osutaja vahel, tegutsedes ükskõik kumma poole taotlusel;

2) teeb kindlaks teavitatud potentsiaalse nõrkuse või nõrkusega seotud teenuse osutaja ja võtab

temaga ühendust;

3) abistab potentsiaalsest nõrkusest ja nõrkusest teavitavat füüsilist või juriidilist isikut;

4) peab läbirääkimisi nõrkusest avalikkuse teavitamise tähtaja üle;

5) haldab mitut teenuse osutajat mõjutavaid nõrkusi.

6) tagab, et teatatud nõrkusega seoses võetakse hoolikaid järelmeetmeid;

7) tagab potentsiaalsest nõrkusest või nõrkusest teatava füüsilise või juriidilise isiku

anonüümsuse;

8) teeb teise liikmesriigi poolt Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis

15 nimetatud riiklike küberturbe intsidentide lahendamise üksuste võrgustikus nõrkuste

koordineeritud avalikustamise koordinaatori ülesandeid täitva küberturbe intsidentide

lahendamise üksusega koostööd, kui teates esitatud nõrkus võib oluliselt mõjutada teenuse

osutajaid rohkem kui ühes Euroopa Liidu liikmesriigis.

(9) Julgeolekuasutus täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 8

lõikes 1 nimetatud pädeva asutuse ülesandeid käesoleva seaduse §-s 14 sätestatud ulatuses.“;

23) seadust täiendatakse §-ga 52 järgmises sõnastuses:

„§ 52. Piiriüleste elektrivoogude küberturvalisuse valdkonna pädev asutus

(1) Riigi Infosüsteemi Amet täidab Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366,

millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2019/943 ning kehtestatakse

võrgueeskiri piiriüleste elektrivoogude küberturvalisust käsitlevate sektoripõhiste normide kohta

(ELT L, 24.05.2024, lk 1–44), artikli 4 lõikes 1 nimetatud pädeva asutuse ülesandeid.

(2) Valdkonna eest vastutav minister võib volitada Riigi Infosüsteemi Ametit käesoleva

paragrahvi lõikes 1 nimetatud ülesande täitmise edasi volitada, arvestades Euroopa Komisjoni

delegeeritud määruse (EL) 2024/1366 artikli 4 lõikes 3 ja halduskoostöö seaduses sätestatud

nõudeid.

16 / 34

(3) Vabariigi Valitsus võib Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 39

lõikes 4, artikli 40 lõikes 5 ning artikli 41 lõikes 4 viidatud ülesande täitmise edasi volitada

Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles käsitletakse elektrienergia

siseturgu (ELT L 158, 14.06.2019, lk 54–124), artikli 35 kohaselt asutatud piirkondlikule

koordineerimiskeskusele, arvestades halduskoostöö seaduses sätestatud nõudeid.“;

24) seadust täiendatakse §-ga 61 järgmises sõnastuses:

㤠61. Teenuse osutaja juhtorgani kohustused

(1) Teenuse osutaja juhtorgan kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab

nende täitmise eest.

(2) Teenuse osutaja juhtorgani liige peab läbima korrapäraselt erikoolitusi, mille õpiväljunditeks

on piisavate teadmiste ja oskuste omandamine, et mõista ja hinnata küberturvalisuse riske,

nendest tulenevat mõju teenuse osutaja osutatavatele teenustele ning viise riskide käsitlemiseks.

(3) Teenuse osutaja juhtorgan tagab, et teenuse osutaja töötajad ja ametnikud saavad

korrapäraselt sarnaseid koolitusi teemadel, mis on nimetatud käesoleva paragrahvi lõikes 2.“;

25) paragrahvi 7 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Teenuse osutaja rakendab alaliselt asjakohased ja proportsionaalsed tehnilised, tegevuslikud

ning korralduslikud turvameetmed, et:

1) hallata riske, mis ohustavad teenuse osutaja tegevuses või teenuse osutamisel kasutatava

süsteemi turvalisust;

2) ennetada või minimeerida küberintsidendi mõju teenuse osutaja osutatava teenuse saajale ja

muule teenusele; ning;

3) ennetada, avastada ja lahendada küberintsidenti.“;

26) paragrahvi 7 lõike 2 punktid 1–3 muudetakse ja sõnastatakse järgmiselt:

„(2) Teenuse osutaja on turvameetmete rakendamisel kohustatud:

1) koostama ja kehtestama infoturvariskide kaalutlemise metoodika ja protseduurid;

2) koostama ja kehtestama infoturbe eesmärgid ja infoturvapoliitika;

3) koostama ja kehtestama küberintsidentide avastamise ja halduse protseduurid;

4) võtma kasutusele abinõud küberintsidendi mõju ja leviku vähendamiseks, sealhulgas vajaduse

korral piirama süsteemi kasutamist või juurdepääsu süsteemile;

5) tagama süsteemi talitluspidevuse, sh süsteemi varundus- ja taasteprotseduuride toimimise;

6) tagama süsteemi tarneahela turvalisuse, sh teenuse osutaja ja tema koostööpartnerite vaheliste

lepetes turvameetmetega seotud aspektide regulaarse ülevaatuse ning ajakohastamise;

7) tagama süsteemi hankimise, arendamise ja hooldamise turvalisuse, sh nõrkuste käsitlemise

ning avalikustamise;

17 / 34

8) kehtestama protsessi turvameetmete regulaarseks läbivaatuseks, turvameetmete tõhususe

hindamiseks ja infoturbe parendamiseks;

9) koolitama regulaarselt kõiki teenuse osutaja ametnikke ja töötajaid küberhügieeni ning

küberturvalisuse tagamise osas;

10) kasutama asjakohasel juhul krüptograafilisi meetmeid;

11) koostama ja kehtestama pääsuhalduse poliitika ja seotud protseduurijuhendid;

12) koostama ja kehtestama varade halduse põhimõtted ja seotud protseduurijuhendid;

13) asjakohasel juhul kasutama mitmik- või pidevautentimise meetodit või lahendust, turvalise

hääl-, video- ja tekstiside sidelahendust, ning kriisiolukorras kasutatavat turvalist sidelahendust;

14) viima läbi süsteemi riskide kaalutlemist, mille käigus koostatakse süsteemi turvalisust ja selle

toimepidevust mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määratakse

riskide realiseerumise tagajärgede raskusaste ning kirjeldatakse riskikäsitlusmeetmed.“;

27) paragrahvi 7 täiendatakse lõigetega 21–23 järgmises sõnastuses:

„(21) Käesoleva paragrahvi lõikes 2 nimetatud turvameetmete rakendamisel arvestatakse:

1) süsteemi kaitsetarvet;

2) teenuse osutaja eriomaseid vajadusi ja turvanõudeid;

3) kaasaegseid ja asjakohasel juhul Euroopa ning rahvusvahelisi standardeid;

4) turvameetmete rakendamiskulusid;

5) turvameetmete rakendamise proportsionaalsust, mille hindamisel võetakse arvesse teenuse

osutaja riskidele avatuse määra, teenuse osutaja suurust, küberintsidentide esinemise tõenäosust

ja nende tõsidust, sealhulgas küberintsidentide ühiskondlikku ning majanduslikku mõju;

6) kõiki ohte hõlmavat lähenemisviisi, mille eesmärk on kaitsta süsteeme ja nende süsteemide

füüsilist keskkonda küberintsidentide eest.

(22) Käesoleva paragrahvi lõike 2 punktis 6 nimetatud tarneahela turvalisusega seotud

turvameetmete asjakohasust kaaludes võtab teenuse osutaja arvesse:

1) koostööpartnerile eriomaseid nõrkusi, koostööpartneri toote üldist kvaliteeti ja

küberturvalisuse tavasid, sealhulgas toote turvalise arenduse korda;

2) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 22 lõike 1 kohaselt

korraldatud kriitilise tähtsusega tarneahelate koordineeritud turberiski hindamiste tulemusi.

(23) Kui teenuse osutaja tuvastab, et ta ei rakenda käesoleva paragrahvi lõikes 2 sätestatud

turvameetmeid, võtab ta põhjendamatu viivituseta kõik vajalikud, asjakohased ja

proportsionaalsed parandusmeetmed turvameetmete rakendamiseks.“;

28) paragrahvi 7 täiendatakse lõikega 6 järgmises sõnastuses:

„(6) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 tähenduses

Euroopa Komisjoni rakendusakti vastu võtmisel, millega sätestatakse tehnilised, metoodilised ja

18 / 34

vajaduse korral valdkondlikud nõuded turvameetmete rakendamiseks teenuse osutaja poolt,

lähtub rakendusaktis nimetatud teenuse osutaja rakendusaktiga kehtestatud nõuetest osas, mis on

vastuolus käesoleva paragrahvi lõike 5 alusel kehtestatud määruses sätestatuga.“;

29) paragrahvi 8 lõiget 1 täiendatakse pärast tekstiosa „Teenuse osutaja“ tekstiosaga „, välja

arvatud julgeolekuasutus,“;

30) paragrahvi 8 lõike 2 punktides 1 ja 4 asendatakse arv „1“ arvuga „14“;

31) paragrahvi 8 lõiget 2 täiendatakse punktiga 6 järgmises sõnastuses:

„6) tegemist on Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõike 11

alusel vastu võetud Euroopa Komisjoni rakendusaktis sätestatud olulise küberintsidendiga.“;

32) paragrahvi 8 lõige 4 tunnistatakse kehtetuks;

33) paragrahvi 8 täiendatakse lõigetega 41 ja 42 järgmises sõnastuses:

„(41) Olulise mõjuga küberintsidendi teavituses esitatakse võimaluse korral järgmised andmed:

1) teave olulise mõjuga küberintsidendi sisu ja toimumise põhjuse kohta, sealhulgas asjakohasel

juhul teave turvarikkemärgi kohta;

2) hinnang olulise mõjuga küberintsidendile, sealhulgas selle tõsidusele ja mõjule;

3) teave olulise mõjuga küberintsidendi piiriülese mõju kohta;

4) teave tegevuste kohta olulise mõjuga küberintsidendi lahendamiseks.

(42) Riigi Infosüsteemi Ameti taotlusel esitab teenuse osutaja vahearuande olulise mõjuga

küberintsidendi lahendamise seisu kohta. Vahearuandes esitatakse käesoleva paragrahvi lõikes 41

nimetatud andmed ja asjakohasel juhul Riigi Infosüsteemi Ameti taotluses küsitud täiendav

teave.“;

34) paragrahvi 8 lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Teenuse osutaja on kohustatud teavitama mõistliku aja jooksul isikut, keda olulise mõjuga

küberintsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole

võimalik eraldi teavitada. Teavituses annab teenuse osutaja võimalusel teada olulisest küberohust

ja meetmetest või parandusmeetmetest, mida mõjutatud isik saab olulisele küberohule

reageerimiseks võtta.“;

35) paragrahvi 8 lõige 7 muudetakse ja sõnastatakse järgmiselt:

„(7) Teenuse osutaja on olulise mõjuga küberintsidendi teavituse esitamisest kohustatud

edastama ühe kuu jooksul Riigi Infosüsteemi Ametile raporti, mis sisaldab informatsiooni

19 / 34

küberintsidendi tekkepõhjuste, selle lahendamiseks kulunud aja ja rakendatud abinõude ning

küberintsidendi mõju, sealhulgas asjakohasel juhul piiriülese mõju kohta. Kui raporti esitamise

hetkel jätkub olulise mõjuga küberintsidendi lahendamine, on esitatud raport käsitletav

vahearuandena ja teenuse osutaja esitab ühe kuu jooksul raporti pärast olulise mõjuga

küberintsidendi lahendamist.“;

36) paragrahvi 8 täiendatakse lõikega 81 järgmises sõnastuses:

„(81) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõike 11 tähenduses

Euroopa Komisjoni rakendusakti vastu võtmisel, milles kehtestatakse nõuded küberintsidendi,

sealhulgas olulise mõjuga küberintsidendi, kohta esitatava teavituse või raporti korra ja vormi

kohta, lähtutakse nimetatud rakendusaktis sätestatud nõuetest.“;

37) paragrahvi 8 lõige 9 tunnistatakse kehtetuks;

38) paragrahvi 8 täiendatakse lõikega 10 järgmises sõnastuses:

„(10) Julgeolekuasutuses teavitab küberintsidendist asjakohast julgeolekuasutust, arvestades

käesolevas paragrahvis sätestatud nõudeid.“;

39) seadust täiendatakse §-ga 81 järgmises sõnastuses:

㤠81. Vabatahtlik teavitamine

(1) Riigi Infosüsteemi Ametile võib:

1) teenuse osutaja teavitada küberintsidendist, nõrkusest ja küberohust;

2) muu isik kui teenuse osutaja teavitada olulise mõjuga küberintsidendist, nõrkusest ja

küberohust.

(2) Potentsiaalsest nõrkusest või nõrkusest teavitav füüsiline või juriidiline isik võib esitada teate

anonüümselt. Anonüümselt esitatud teate esitaja isik on asutusesiseseks kasutamiseks mõeldud

teave.

(3) Käesoleva paragrahvi lõikes 1 alusel esitatud teavituse lahendamisel lähtub Riigi Infosüsteemi

Amet käesoleva seaduse §-dest 8 ja 12.“;

40) paragrahvid 10 ja 11 tunnistatakse kehtetuks;

41) paragrahvi 12 täiendatakse lõigetega 31 ja 32 järgmises sõnastuses:

„(31) Riigi Infosüsteemi Amet annab olulise mõjuga küberintsidendi teavituse saamisel

võimaluse korral 24 tunni jooksul teavitanud teenuse osutajale vastuse, mis sisaldab esialgset

tagasisidet olulise mõjuga küberintsidendile ja teavitanud üksuse taotluse korral ka suuniseid

olulise mõjuga küberintsidendi lahendamise meetmete kohta.

20 / 34

(32) Riigi Infosüsteemi Amet võib eelistada küberintsidendi lahendamisel käesoleva seaduse

paragrahvi 8 alusel esitatud teavituse lahendamist käesoleva seaduse paragrahvi lõikes 81 alusel

esitatud teavituse lahendamisele.“;

42) paragrahvi 12 lõige 4 muudetakse ja sõnastatakse järgmiselt:

„(4) Riigi Infosüsteemi Ametil on õigus välisriigile või Euroopa Liidu Küberturvalisuse Ametile

või muule organisatsioonile edastada küberintsidendi ennetamise ja lahendamisega seotud teavet

käesoleva seaduse §-s 5 sätestatud ülesannete või Euroopa Liidu õigusest tuleneva kohustuse

täitmiseks või välislepinguga ettenähtud juhtudel ja korras, kui edastatav teave ei kahjusta riigi

julgeolekut või kriminaalmenetlust. Nimetatud teabe edastamise kohustus on ennekõike siis, kui

olulise mõjuga küberintsident on seotud kahe või enama Euroopa Liidu liikmesriigiga, mille

korral tuleb asjakohane olulise mõjuga küberintsidendi kohta käiv teave edastada puudutatud

välisriigile ja Euroopa Liidu Küberturvalisuse Ametile.“;

43) paragrahvi 12 täiendatakse lõikega 41 järgmises sõnastuses:

„(41) Riigi Infosüsteemi Amet esitab Euroopa Liidu Küberturvalisuse Ametile iga kolme kuu

tagant koondaruande, mis sisaldab anonüümseid koondandmeid olulise mõjuga küberintsidentide,

küberintsidentide ja küberohtude kohta.“;

44) paragrahvi 12 lõikest 5 jäetakse välja tekstiosa „või digitaalse teenuse osutaja“;

45) seadust täiendatakse §-ga 121 järgmises sõnastuses:

„§ 121. Ulatusliku küberintsidendi ja kriisi ennetus ning lahendamine

(1) Ulatusliku küberintsidendi ja kriisi ennetusele ning lahendamisele kohaldatakse käesoleva

seaduse §-i 12 ja kriisi ennetamise ning lahendamisega seotud muid valdkondlikke seadusi.

(2) Riigi Infosüsteemi Amet:

1) koostab ja võtab vastu ulatuslike küberintsidentide ning kriiside lahendamise kava (edaspidi

kava), mis arvestab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 9 lõikes 4

olevaid nõudeid;

2) teavitab kava vastu võtmisest või vastu võetud kavaga seotud muudatuste tegemisest kolme

kuu jooksul Euroopa Komisjonile ja Euroopa küberkriisiga tegelevate kontaktasutuste

võrgustikule (EU-CyCLONe) asjakohase teabe, mis on seotud nimetatud kavaga.

(3) Kava võib koostada muu õigusakti alusel koostatava dokumendi osana.“;

46) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Küberintsidentide register (edaspidi register) on Riigi Infosüsteemi Ameti peetav

andmekogu, kuhu kantakse küberintsidendi toimumist, küberohte ja nõrkusi kirjeldavad andmed

21 / 34

eesmärgiga pidada küberintsidentide, küberohtude ning nõrkuste üle arvestust ja analüüsida

registrisse esitatud teavet nende ennetamiseks või lahendamiseks, ohuteadete edastamiseks ning

järelevalvetoimingute tegemiseks.“;

47) paragrahvi 13 täiendatakse lõikega 4 järgmises sõnastuses:

„(4) Käesoleva paragrahvi lõikes 3 nimetatud määruses täpsustatakse registri andmekoosseis ja

andmeandjad, registrile juurdepääs, registrisse kantud andmete säilitustähtaeg ning registriga

seotud muud korralduslikud nõuded.“;

48) paragrahvi 131 tekstist jäetakse välja tekstiosa „, mis käsitleb ENISAt (Euroopa Liidu

Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse

sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse

määrus) (ELT L 151, 07.06.2019, lk 15–69),“;

49) seadust täiendatakse §-ga 133 järgmises sõnastuses:

„§ 133. Euroopa küberturvalisuse sertifitseerimise kavade kasutamine

(1) Vabariigi Valitsus võib määrusega kohustada teenuse osutajat järgima käesoleva seaduse §-s

7 sätestatud nõuetele vastavuse tõenduseks teatavate IKT-toodete, IKT-teenuste ja IKT-

protsesside kasutamist, mis on sertifitseeritud Euroopa Parlamendi ja nõukogu määruse (EL)

2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kava alusel

ning mis on:

1) töötatud välja teenuse osutaja poolt; või

2) hangitud kolmandalt isikult.

(2) Käesoleva paragrahvi lõike 1 kohase Vabariigi Valitsuse määruse andmisel täpsustatakse

samas määruses kohustuse sisu, ulatust, täitmise tähtaega ja täpsemaid nõudeid.

(3) Erisusena käesoleva paragrahvi lõikest 1 lähtub teenuse osutaja Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artikli 24 lõike 2 alusel vastu võetud Euroopa Komisjoni

delegeeritud õigusaktist, kui asjakohane delegeeritud õigusakt on vastu võetud.“;

50) paragrahvi 14 lõige 2 tunnistatakse kehtetuks;

51) paragrahvi 14 lõiget 5 täiendatakse teise lausega sõnastuses „Haldusjärelevalvet teostavale

julgeolekuasutusele kohaldatakse käesoleva paragrahvi lõigetes 6–12 ja käesoleva seaduse §-s 17

sätestatut.“;

52) paragrahvi 14 täiendatakse lõigetega 6–14 järgmises sõnastuses:

„(6) Riigi Infosüsteemi Amet järelevalve tegemisel:

22 / 34

1) võib prioriseerida käesolevas seaduses sätestatud ülesannete täitmist, arvestades riski- või

ohuprognoosi põhist lähenemist;

2) viib elutähtsa üksuse suhtes läbi riiklikku ja haldusjärelevalvet põhjaliku ennetava- või

järelkontrollina;

3) viib olulise üksuse suhtes läbi riiklikku ja haldusjärelevalvet järelkontrollina, kui

järelevalveasutus saab teada, et oluline üksus ei järgi käesolevas seaduses, ennekõike käesoleva

seaduse §-des 7 ja 8, sätestatud nõudeid;

4) võib algatada järelevalvemenetluse omal algatusel.

(7) Riikliku ja haldusjärelevalve meetme kohaldamisel võetakse arvesse iga üksikjuhtumi

asjaolusid, ennekõike:

1) rikkumise raskust ja rikutud nõuete olulisust;

2) rikkumise kestust;

3) asjaomase teenuse osutaja varasemaid asjassepuutuvaid rikkumisi;

4) põhjustatud varalise või mittevaralise kahju, sealhulgas rahalise või majandusliku kahju, mõju

teistele teenustele;

5) rikkumisest mõjutatud isikute arvu;

6) rikkumise toimepanija tahtlust või hooletust;

7) turvameetmed, mida teenuse osutaja on võtnud varalise või mittevaralise kahju ennetamiseks

või vähendamiseks;

8) kinnitatud tegevusjuhendite järgimise või kinnitatud sertifitseerimismehhanismide

rakendamise seisu;

9) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse ning teenuse osutaja koostöö

taset.

(8) Raskeks rikkumiseks käesoleva paragrahvi lõikes 7 punkti 1 tähenduses loetakse järgmised

olukorrad:

1) tegemist on korduva rikkumisega;

2) teenuse osutaja on jätnud täitmata käesoleva seaduse § 8 lõikes 1 sätestatud kohustuse;

3) olulise mõjuga küberintsidendi korral jätab teenuse osutaja kasutusele võtmata turvameetmed

olulise mõjuga küberintsidendi lahendamiseks;

4) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuselt saadud siduvate juhiste

järgi puuduste kõrvaldamata jätmine;

5) rikkumise tuvastamise järel käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse

tellitud auditi või riikliku või haldusjärelevalve takistamine;

6) valeandmete või lubamatult ebatäpsete andmete esitamine seoses käesoleva seaduse §-s 7

sätestatud turvameetmete rakendamisega ja §-s 8 sätestatud olulise mõjuga küberintsidendist

teavitamisega.

(9) Riigi Infosüsteemi Ametil on riikliku ja haldusjärelevalve läbi viimisel õigus teha:

23 / 34

1) teenuse osutaja suhtes kohapealset kontrolli ja kaugjärelevalvet lähtudes käesoleva paragrahvi

lõike 6 punktidest 2–4, sealhulgas elutähtsa üksuse suhtes pistelist järelevalvet, mis võib olla

muuhulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, sama seaduse

alusel kehtestatud või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike

5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis kehtestatud nõude rikkumisest;

2) teenuse osutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või

auditeeritava teenuse osutaja tehtud riskihindamisel või muul kättesaadaval riskialasel teabel;

3) vajaduse korral koostöös asjaomase teenuse osutajaga objektiivsetel, mittediskrimineerivatel,

õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle;

4) hoiatuse teenuse osutajale, kui teenuse osutaja rikub käesolevat seadust, käesoleva seaduse

alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli

23 lõike 11 alusel vastu võetud rakendusaktis kehtestatud nõuet;

5) ettekirjutuse, millega nõutakse ettekirjutuse saajalt lõpetada tegevus või praktika, mis rikub

käesolevas seaduses, käesoleva seaduse alusel või Euroopa Parlamendi ja nõukogu direktiivi

(EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis

kehtestatud nõuet, ja hoiduda sama tegevuse või praktika kasutamisest;

6) ettekirjutuse, millega nõutakse ettekirjutuse saajalt käesoleva seaduse §-s 7 sätestatud ning

selle alusel kehtestatud nõuetele või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artikli 21 lõike 5 võetud rakendusaktis kehtestatud nõuetele vastavust ning käesoleva seaduse §-s

8 sätestatud teavituse esitamist samas paragrahvis viidatud viisil ja etteantud tähtajal;

7) ettekirjutuse, millega nõutakse ettekirjutuse saajalt käesoleva seaduse § 8 lõikes 5 sätestatud

teavituse tegemist;

8) ettekirjutuse, millega nõutakse ettekirjutuse saajalt turvaauditi tulemuse alusel tehtud

soovituste rakendamist mõistliku aja jooksul;

9) ettekirjutuse, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, käesoleva seaduse

alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli

23 lõike 11 alusel vastu võetud rakendusaktis kehtestatud nõude rikkumise asjaolude

avalikustamist ettekirjutuses ette nähtud viisil;

10) ettekirjutuse elutähtsale üksusele, millega nõutakse ettekirjutuse saajalt kindlaks määratud

perioodiks määrata kindlaks vastavushaldur, kes jälgib, kas ettekirjutuse adressaat täidab

käesoleva seaduse §-des 7 ja 8 ning nende alusel või Euroopa Parlamendi ja nõukogu direktiivi

(EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis

kehtestatud nõuet.

(10) Käesoleva paragrahvi lõike 9 punktis 2 nimetatud sihipärase turvaauditi:

1) võib Riigi Infosüsteemi Amet teha elutähtsa üksuse suhtes korrapäraselt;

2) viib läbi sõltumatu organ või Riigi Infosüsteemi Amet;

3) tulemused tehakse kättesaadavaks Riigi Infosüsteemi Ametile;

24 / 34

4) kulud kannab auditeeritav teenuse osutaja, välja arvatud juhul, kui Riigi Infosüsteemi Amet

põhjendatul juhul otsustab teisiti.

(11) Elutähtsa üksuse suhtes käesoleva paragrahvi lõike 9 punktis 5 nimetatud ettekirjutus võib

sisaldada ka küberintsidendi ennetamiseks või heastamiseks ette nähtud turvameetmeid ja

nõudeid turvameetmete rakendamise tähtaja ning rakendamisest täitmise teavitamise kohta.

(12) Kui elutähtsa üksuse suhtes käesoleva paragrahvi lõike 9 punktides 4–6 ja 8 nimetatud

järelevalve meede ei anna tulemust, määrab Riigi Infosüsteemi Amet elutähtsale üksusele

täiendava tähtaja puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete

täitmiseks.

(13) Kui elutähtis üksus ei kõrvalda puudusi või ei täida Riigi Infosüsteemi Ameti nõudeid

käesoleva paragrahvi lõike 12 alusel määratud tähtajaks, on Riigi Infosüsteemi Ametil õigus

nõuda ettekirjutusega:

1) elutähtsa üksuse kõigi või mõnede osutatavate asjaomaste teenuste või tegevuste sertifikaadi

või loa ajutist peatamist loa väljastajalt, või vastava pädevuse olemasolul teha ise nimetatud

toiminguid;

2) elutähtsa üksuse nõukogult või osanikelt juhatuse liikme volituste ajutist peatamist.

(14) Käesoleva paragrahvi lõike 13 punktides 1 ja 2 sätestatud meetmeid:

1) kohaldatakse seni, kuni kõnealune elutähtis üksus võtab kasutusele vajalikud meetmed

puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks;

2) ei kohaldata keskvalitsuse avaliku halduse üksuse või kohaliku tasandi avaliku halduse üksuse

suhtes, sealhulgas juhul, kui sama üksus on kvalifitseeritud usaldusteenuse osutaja.“;

53) paragrahvi 15 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Käesoleva seaduse §-de 7 ja 8 ning nende alusel kehtestatud õigusaktide või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis kehtestatud nõuete täitmise üle riikliku järelevalve tegemisel võib

korrakaitseorgan kohaldada lisaks käesoleva paragrahvi lõikes 1 nimetatud erimeetmetele ka

korrakaitseseaduse §-des 52 ja 53 sätestatud riikliku järelevalve erimeedet korrakaitseseaduses

sätestatud alusel ja korras.“;

54) paragrahvi 171 tekst muudetakse ja sõnastatakse järgmiselt:

„Riikliku ja haldusjärelevalvemenetluse käigus ettekirjutuse täitmata jätmise korral on

asendustäitmise ja sunniraha seaduses sätestatud korras rakendatava sunniraha kohaldamise

igakordne ülemmäär 7 000 000 eurot või kuni 1,4 protsenti teenuse osutaja omanikust ettevõtja

eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on

suurem.“;

55) seadust täiendatakse §-ga 173 järgmises sõnastuses:

25 / 34

㤠173. Vastastikune abi

(1) Riigi Infosüsteemi Amet ning Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artiklis 8 alusel nimetatud pädevad asutused (edaspidi koos järelevalveasutus) teevad koostööd

asjakohase teabe vahetamiseks ning vajaduse korral abistavad üksteist, kui teenuse osutaja osutab

teenuseid mitmes Euroopa Liidu liikmesriigis või kui ta osutab teenuseid ühes või mitmes

liikmesriigis, kuid tema süsteemid asuvad ühes või mitmes muus liikmesriigis.

(2) Järelevalveasutus annab teiselt järelevalveasutuselt saadud põhjendatud taotluse korral

kõnealusele asutusele enda käsutuses olevate ressurssidega proportsionaalset abi, et järelevalve-

või täitemeetmeid saaks rakendada tulemuslikult, tõhusalt ja järjepidevalt. Vastastikune abi võib

hõlmata eelkõige teabepäringuid ja järelevalvemeetmeid, sealhulgas taotlusi teha kohapealseid

kontrolle, kaugjärelevalvet või sihipäraseid turvaauditeid.

(3) Käesoleva paragrahvi lõikes 1 olukorras võib Riigi Infosüsteemi Amet käesolevas paragrahvi

lõikes 2 nimetatud abitaotluse esitada teise Euroopa Liidu liikmesriigi Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artiklis 8 alusel nimetatud pädevale asutusele.

(4) Riigi Infosüsteemi Amet võib teise Euroopa Liidu liikmesriigi Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artiklis 8 alusel nimetatud pädeva asutuse esitatud abitaotluse

täitmisest keelduda, kui:

1) Riigi Infosüsteemi Amet ei ole pädev taotletavat abi andma;

2) taotletav abi ei ole proportsionaalne Riigi Infosüsteemi Ameti ülesannete suhtes; või

3) taotlus puudutab teavet või sisaldab tegevust, mis avalikustamise või elluviimise korral oleksid

vastuolus riikliku julgeoleku, avaliku julgeoleku või riigikaitse oluliste huvidega.

(5) Enne abitaotluse rahuldamata jätmist konsulteerib Riigi Infosüsteemi Amet teiste asjaomaste

pädevate asutustega ja ühe asjaomase liikmesriigi taotluse korral ka Euroopa Komisjoni ning

Euroopa Liidu Küberturvalisuse Ametiga.

(6) Arvestades käesolevas seaduses nimetatud järelevalvemeetmeid võib Riigi Infosüsteemi Amet

rakendada ühiseid järelevalve- ja täitemeetmeid, millesse on kaasatud Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artiklis 8 alusel nimetatud pädeva asutuse töötajad või

ametnikud. Järelevalveasutused lepivad omavahel kokku ühistegevuse korra ja protseduurid.

(7) Kui Eesti saab vastastikuse abi taotluse seoses digitaalse teenuse osutajaga, siis Riigi

Infosüsteemi Amet võib võtta taotluses nimetatud Eesti territooriumil teenuseid osutava

digitaalse teenuse osutaja suhtes või digitaalse teenuse osutaja suhtes, kellel on Eesti Vabariigi

territooriumil süsteem, esitatud taotluse ulatuses asjakohaseid järelevalve- ja täitemeetmeid.“;

56) seadust täiendatakse 41. peatükiga järgmises sõnastuses:

„41. peatükk

Koostöö, teabevahetus ja vastastikune hindamine

26 / 34

§ 174. Riigi Infosüsteemi Ameti ja julgeolekuasutuse ülesanded koostöö tegemisel

(1) Riigi Infosüsteemi Amet ja julgeolekuasutus teeb oma ülesannete täitmise käigus koostööd:

1) isikuandmete kaitse seaduse tähenduses õiguskaitseasutustega;

2) isikuandmete kaitse järelevalveasutustega;

3) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 300/2008 kohaste riiklike asutustega;

4) Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1139, mis käsitleb tsiviillennunduse

valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega

muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008,

(EL) nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL

ning 2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr

552/2004 ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.08.2018,

lk 1–122), kohaste riiklike asutustega;

5) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 kohaste järelevalveasutustega;

6) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554, mis käsitleb finantssektori

digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr

648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–

79), kohaste pädevate asutustega;

7) Tarbijakaitse ja Tehnilise Järelevalve Ametiga;

8) julgeolekuasutusega;

9) teenuse osutajate sektoripõhiste või -vaheliste kogukondadega, sealhulgas vajadusel vahetades

nendega teavet arvestades käesoleva seaduse §-s 175 sätestatud nõudeid;

10) muude Euroopa Liidu õigusaktide kohaste pädevate asutustega.

(2) Riigi infosüsteemi Amet teeb igakülgset koostööd elutähtsat teenust korraldavate asutuse või

tema hädaolukorra seaduse § 37 lõike 5 alusel määratud asutuse, Päästeameti ja Riigikantseleiga

ning vahetab teavet elutähtsa teenuse osutajatega edastatud olulise mõjuga küberintsidentide,

küberriskide, -ohtude ja -intsidentide kohta ning elutähtsa teenuse osutajatena käsitatavaid

elutähtsaid üksusi mõjutavate muude kui küberriskide, -ohtude ja -intsidentide kohta ning selliste

riskide, ohtude ja küberintsidentide lahendamiseks võetud meetmete kohta. Lisaks teavitab Riigi

Infosüsteemi Amet nimetatud asutust, kui Riigi Infosüsteemi Amet võtab elutähtsa teenuse

osutaja suhtes riikliku või haldusjärelevalve käigus kasutusele järelevalve meedet. Sama asutus

võib asjakohasel juhul taotleda Riigi Infosüsteemi Ametilt riikliku või haldusjärelevalve

menetluses ette nähtud järelevalve meetme kasutamist elutähtsa teenuse osutaja suhtes.

(3) Riigi Infosüsteemi Amet teavitab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554

artikli 32 lõike 1 kohaselt järelevaatamise foorumit, kui Riigi Infosüsteemi Amet kasutab riikliku

järelevalve käigus järelevalve meedet, et tagada nimetatud määruse artikli 31 kohaselt kriitilise

tähtsusega kolmandast isikust IKT-teenuse osutajana käsitatava ja käesoleva seaduse

kohaldamisalasse kuuluva teenuse osutaja vastavust käesolevas seaduses või käesoleva seaduse

alusel kehtestatud nõuetele.

27 / 34

(4) Riigi Infosüsteemi Amet ja käesoleva paragrahvi lõike 1 punktides 5-8 nimetatud asutused

vahetavad korrapäraselt asjakohast teavet, sealhulgas asjaomaste küberintsidentide ja -ohtude

kohta.

(5) Riigi Infosüsteemi Amet täidab pädeva asutusena Euroopa Parlamendi ja nõukogu direktiivi

(EL) 2022/2555 artikli 8 lõike 1 tähenduses sidepidamisfunktsiooni tagamaks Eesti ametiasutuste

piiriülene koostöö küberturvalisuse valdkonnas teiste Euroopa Liidu liikmesriikide asjaomaste

pädevate asutustega ning asjakohasel juhul ka Euroopa Komisjoni ja Euroopa Liidu

Küberturvalisuse Ametiga.

(6) Teabe vahetamisel tagatakse edastatava teabe turvalisus ja asjakohasel juhul kasutatakse

kokku lepitud teabevahetuse protokolle, sealhulgas fooriprotokolli.

§ 175. Küberturvalisuse alase teabevahetuse kokkulepped

(1) Teenuse osutajad kui ka muud isikud võivad omavahel vabatahtlikult vahetada asjakohast

küberturvalisuse alast teavet, sealhulgas teavet, mis on seotud küberohtude, nõrkuste, meetodite

ja menetluste, rikkeindikaatorite, kahjulike taktikate, ohusubjekti spetsiifilise teabe,

küberturvalisuse hoiatuste ning soovitustega küberturvalisuse vahendite konfiguratsiooni kohta

küberrünnete tuvastamiseks, kui selline teabevahetus:

1) toimub küberintsidentide ennetamise, tuvastamise, lahendamise või nende tagajärgede

leevendamise eesmärgil; või

2) aitab tõsta küberturvalisuse taset, eelkõige küberohtude alase teadlikkuse suurendamise ja

kõnealuste ohtude leviku piiramise või takistamise kaudu ning toetades mitmesuguseid

kaitsevõimalusi, nõrkuste vähendamist ja avalikustamist, ohu tuvastamise, ohjamise ning

ennetamise meetodeid, leevendusstrateegiaid, lahendamis- ja taastamisetappe ning avaliku ja

erasektori üksuste koostöös toimuvat küberohtude uurimist.

(2) Käesolevas paragrahvi lõikes 1 nimetatud teabevahetus toimub küberturvalisuse alase

teabevahetuse kokkuleppe (edaspidi teabevahetuse kokkulepe) alusel. Teabevahetuse

kokkuleppeid võib olla rohkem kui üks.

(3) Teabevahetuse kokkuleppes võib täpsustada teabevahetuse korraldusega seotud tegevuste

sisu, sealhulgas sihtotstarbeliste info- ja kommunikatsioonitehnoloogia platvormide ja

automatiseerimisvahendite kasutamist kui ka muud sisu ning tingimusi, arvestades jagatava teabe

tundlikkust.

(4) Riigi Infosüsteemi Amet võib enda poolt teabevahetuse kokkuleppe alusel kättesaadavaks

tehtud teabele seada tingimusi, kui teabevahetuse kokkuleppes osaleb keskvalitsuse avaliku

halduse üksus või kohaliku tasandi avaliku halduse üksus.

(5) Teenuse osutaja teavitab Riigi Infosüsteemi Ametit, kui teenuse osutaja on ühinenud

teabevahetuse kokkuleppega või kui teabevahetuse kokkuleppest taganemine on jõustunud.

§ 176. Vastastikune hindamine

(1) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 19 sätestatud vastastikuses

hindamise (edaspidi vastastikune hindamine) osalemine on vabatahtlik.

28 / 34

(2) Vastastikuses hindamises osalemise korral lähtutakse Euroopa Parlamendi ja nõukogu

direktiivi (EL) 2022/2555 artikli 19 lõigetes 1 ja 6 nimetatud vastastikuse hindamise metoodikast,

korralduslikest aspektidest ning tegevusjuhenditest, kui need on välja töötatud.

(3) Vastastikust hindamist teostavad küberturvalisuse valdkonna eksperdid, arvestades käesoleva

paragrahvi lõikes 2 viidatud metoodikas sätestatud kriteeriume.

(4) Justiits- ja Digiministeerium või tema volitatud asutus:

1) määrab kindlaks teise Euroopa Liidu liikmesriigi suhtes teostatavas vastastikuses hindamises

Eesti Vabariigist osalevad küberturvalisuse valdkonna eksperdid;

2) teavitab vastastikuses hindamises osalevaid Euroopa Liidu liikmesriike, koostöörühma,

Euroopa Komisjoni ning Euroopa Liidu Küberturvalisuse Ametit käesoleva paragrahvi lõike 4

punkti 1 alusel määratud ekspertidega seotud huvide konflikti ohust enne vastastikuse hindamise

toimumist;

3) võib põhjendatud juhul esitada vastuväite Eesti Vabariigi suhtes hindamist läbi viiva teise

Euroopa Liidu liikmesriigi küberturvalisuse valdkonna eksperdi määramise kohta ja esitada see

vastuväide asjakohasele liikmesriigile;

4) määrab kindlaks vastastikuses hindamises hinnatavate aspektide sisu ja ulatuse arvestades

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 19 lõigetes 1 ning 3 olevaid

nõudeid, ja teavitab nendest vastastikuses hindamises osalevatele Euroopa Liidu liikmesriikidele

enne vastastikuse hindamise alustamist, kui vastastikuses hindamises hinnatakse Eesti Vabariiki;

5) võib enne vastastikuse hindamise toimumist koordineerida vastastikuses hindamises Eesti

Vabariigi suhtes hinnatavate aspektide enesehindamist arvestades Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artikli 19 lõike 5 alusel kehtestatud metoodikat, ning esitab

enesehindamise tulemused Eesti Vabariigi suhtes hindamist läbi viivatele Euroopa Liidu

liikmesriikide küberturvalisuse valdkonna ekspertidele;

6) edastab Eesti Vabariiki hinnatavale Euroopa Liidu liikmesriikide määratud küberturvalisuse

valdkonna ekspertidele hindamiseks vajaliku teabe;

7) võib esitada käesoleva paragrahvi lõike 6 punktis 4 nimetatud taotluse;

8) võib koordineerida ja esitada märkusi Eesti Vabariigi suhtes koostatud aruande kavandi kohta;

9) võib vajadusel esitada koostöörühmale ja Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artiklis 15 nimetatud riiklike küberturbe intsidentide lahendamise üksuste võrgustikule

Eesti Vabariigi suhtes tehtud vastastikuse hindamise aruande;

10) võib Eesti Vabariigi suhtes tehtava vastastikuse hindamise aruande või selle toimetatud

versiooni teha üldsusele kättesaadavaks.

(5) Käesoleva paragrahvi lõike 4 punktis 6 nimetatud teabe edastamisel arvestatakse:

1) vastastikuses hindamises hinnatavaid aspekte ja ulatust;

2) juurdepääsupiiranguga teabe ja salastatud teabe kaitset;

3) Eesti Vabariigi, sh riigi julgeoleku huve; ja

4) riigi julgeoleku suhtes kehtivaid õigusakte.

29 / 34

(6) Vastastikuse hindamise käigus:

1) võib toimuda kohapealseid või virtuaalseid külastusi ja teabevahetust väljaspool hinnatavat

tegevuskohta;

2) saadavat teavet kasutatakse üksnes vastastikuse hindamise eesmärgil;

3) osalevad küberturvalisuse valdkonna eksperdid hoiavad kolmandate isikute eest saladuses

neile vastastikuse hindamise käigus teatavaks saadud teavet, kui seadus ei sätesta samaväärset

saladuses hoidmise kohustust;

4) hinnatud aspektid ei kuulu kõnealuses riigis enam vastastikusele hindamisele kahe aasta

jooksul pärast vastastikuse hindamise lõppemist, välja arvatud juhul, kui seda taotleb Eesti

Vabariik või nii lepitakse kokku pärast koostöörühma ettepanekut;

5) osalevad küberturvalisuse eksperdid koostavad aruandeid vastastikuse hindamise tulemuste ja

järelduste kohta;

6) koostatud aruanded sisaldavad soovitusi vastastikuse hindamisega hõlmatud aspektide

parandamiseks.“;

57) paragrahv 18 tunnistatakse kehtetuks;

58) seadust täiendatakse §-dega 182–186 järgmises sõnastuses:

„§ 182. Seaduse nõuete rikkumine elutähtsa üksuse poolt

(1) Käesoleva seaduse § 7 lõigetes 1, 2, 21, 22, 3, 5 ja 6 või § 8 lõigetes 1, 11 ja 7 sätestatud

nõuete rikkumise eest füüsilisest isikust elutähtsa üksuse poolt, kui puudub käesoleva seaduse §-s

185 sätestatud väärteokoosseis –

karistatakse rahatrahviga kuni 10 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidilisest isikust elutähtis üksus –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti elutähtsa üksuse omanikust

ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb

summa on suurem.

§ 183. Seaduse nõuete rikkumine olulise üksuse poolt

(1) Käesoleva seaduse § 7 lõigetes 1, 2, 21, 22, 3, 5 ja 6 või § 8 lõigetes 1, 11 ja 7 sätestatud

nõuete rikkumise eest füüsilisest isikust olulise üksuse poolt, kui puudub käesoleva seaduse §-s

185 sätestatud väärteokoosseis –

karistatakse rahatrahviga kuni 7 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidilisest isikust oluline üksus –

karistatakse rahatrahviga kuni 7 000 000 eurot või kuni 1,4 protsenti olulise üksuse omanikust

ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb

summa on suurem.

§ 184. Teenuse osutaja juhtorgani või juhtorgani liikme poolne nõuete rikkumine

30 / 34

Käesoleva seaduse §-s 61 nõuete rikkumise eest –

karistatakse rahatrahviga kuni 300 trahviühikut.

§ 185. Piiriüleste elektrivoogudega seotud üksuse poolne nõuete rikkumine

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 2 lõikes 1 nimetatud

füüsilisest isikust üksuse poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 10 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud Euroopa Komisjoni delegeeritud määruse (EL)

2024/1366 artikli 2 lõikes 1 nimetatud juriidilisest isikust üksus –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üksuse omanikust ettevõtja

eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on

suurem.

§ 186. Piiriüleste elektrivoogudega seotud üksuse seadusliku esindaja poolne nõuete

rikkumine

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 15 lõike 1 alusel nimetatud

füüsilisest isikust seadusliku esindaja poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 300 trahviühikut.

(2) Sama teo eest, kui selle on toime pannud Euroopa Komisjoni delegeeritud määruse (EL)

2024/1366 artikli 15 lõike 1 alusel nimetatud füüsilisest isikust seadusliku esindaja –

karistatakse rahatrahviga kuni 32 000 eurot.“;

59) paragrahvi 19 lõiked 1 ja 2 muudetakse ja sõnastatakse järgmiselt:

„(1) Käesoleva seaduse §-des 182–186 sätestatud väärtegude kohtuväline menetleja on Riigi

Infosüsteemi Amet.

(2) Kui käesoleva seaduse §-des 182 ja 183 sätestatud väärtegu on seotud isikuandmete töötlemise

nõuete rikkumisega, kohaldatakse väärteomenetluse puhul isikuandmete kaitse seadust.“;

60) paragrahvi 19 täiendatakse lõikega 4 järgmises sõnastuses:

„(4) Käesoleva seaduse §-des 182, 183 ja 185 sätestatud väärtegude aegumistähtaeg on kolm

aastat.“;

61) paragrahv 20 muudetakse ja sõnastatakse järgmiselt:

„§ 20. Riigi Infosüsteemi Ametiga seotud ülesanded

(1) Riigi Infosüsteemi Amet tuvastab käesoleva seaduse § 3 lõikes 3 nimetatud teenuse osutajad

kuue kuu jooksul alates käesoleva seaduse § 3 lõike 31 jõustumisest.

(2) Riigi Infosüsteemi Amet teeb käesoleva seaduse § 3 lõike 33 punktides 1 ja 2 nimetatud

teavitused kuue kuu jooksul alates viidatud punktide jõustumisest.

31 / 34

(3) Riigi Infosüsteemi Amet võib Euroopa Komisjoni taotlusel teatada kuue kuu jooksul Euroopa

Komisjoni käesoleva seaduse § 3 lõike 33 punktis 2 osutatud teenuse osutajate nimed alates

viidatud punkti jõustumisest.

(4) Riigi Infosüsteemi Amet nõuab digitaalse teenuse osutajatelt käesoleva seaduse § 4 lõikes 1

nimetatud teabe esitamist hiljemalt kolme kuu jooksul alates käesoleva seaduse § 2 lõike 74

jõustumisest.

(5) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 12 lõikes 41 alusel tehtava esimese

koondaruande kolme kuu jooksul alates viidatud lõike jõustumisest.“;

62) seaduse normitehniline märkus muudetakse ja sõnastatakse järgmiselt:

„Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555, mis käsitleb meetmeid, millega

tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr

910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148

(küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152).“.

§ 2. E-identimise ja e-tehingute usaldusteenuste seaduse muutmine

E-identimise ja e-tehingute usaldusteenuste seaduse § 4 tunnistatakse kehtetuks.

§ 3. Eesti Rahvusringhäälingu seaduse muutmine

Eesti Rahvusringhäälingu seaduses tehakse järgmised muudatused:

1) paragrahvi 5 lõige 21 tunnistatakse kehtetuks;

2) paragrahvi 34 lõige 41 tunnistatakse kehtetuks.

§ 4. Elektroonilise side seaduse muutmine

Elektroonilise side seaduses tehakse järgmised muudatused:

1) paragrahv 872 tunnistatakse kehtetuks;

2) paragrahvi 1003 lõige 3 tunnistatakse kehtetuks;

3) paragrahvi 1004 lõige 2 tunnistatakse kehtetuks;

4) paragrahvi 1005 lõige 2 tunnistatakse kehtetuks;

32 / 34

5) paragrahvi 133 lõige 5 tunnistatakse kehtetuks;

6) paragrahv 1701 tunnistatakse kehtetuks;

7) paragrahvi 188 lõige 8 tunnistatakse kehtetuks.

§ 5. Hädaolukorra seaduse muutmine

Hädaolukorra seaduses tehakse järgmised muudatused:

1) paragrahvi 38 lõike 13 punkt 3 muudetakse ja sõnastatakse järgmiselt:

„3) täitma käesoleva seaduse § 37 lõike 2 alusel, §-s 41 ja muudes õigusaktides elutähtsa teenuse

toimepidevuse tagamiseks sätestatud nõudeid, arvestades, et käesoleva seaduse §-s 41 ning

küberturvalisuse seaduses sätestatud nõuete ja kohustuse täitmise tähtaeg ei oleks pikem kui viis

aastat elutähtsa teenuse osutajaks määramisest arvates.“;

2) paragrahvi 38 lõikes 14 asendatakse tekstiosa „§-s 41“ tekstiosaga „küberturvalisuse seaduses“;

3) paragrahvi 41 lõige 1 tunnistatakse kehtetuks.

§ 6. Käibemaksuseaduse muutmine

Käibemaksuseaduse § 4 lõikes 12 asendatakse sõna „küberturvalisuse“ sõnaga „tarbijakaitse“.

§ 7. Lennundusseaduse muutmine

Lennundusseaduses tehakse järgmised muudatused:

1) paragrahv 591 tunnistatakse kehtetuks;

2) paragrahvi 601 lõige 5 tunnistatakse kehtetuks;

3) paragrahvi 6056 lõige 3 tunnistatakse kehtetuks.

§ 8. Raudteeseaduse muutmine

33 / 34

Raudteeseaduses tehakse järgmised muudatused:

1) paragrahv 8 tunnistatakse kehtetuks;

2) paragrahvi 143 lõike 1 punkt 6 tunnistatakse kehtetuks;

3) paragrahvi 143 lõige 8 tunnistatakse kehtetuks;

4) paragrahvi 148 tekstist jäetakse välja tekstiosa „, Riigi Infosüsteemide Amet“.

§ 9. Sadamaseaduse muutmine

Sadamaseaduses tehakse järgmised muudatused:

1) paragrahvi 13 lõige 4 tunnistatakse kehtetuks;

2) paragrahvi 42 lõige 5 tunnistatakse kehtetuks.

§ 10. Tervishoiuteenuste korraldamise seaduse muutmine

Tervishoiuteenuste korraldamise seaduses tehakse järgmised muudatused:

1) paragrahvi 10 lõige 2 tunnistatakse kehtetuks;

2) paragrahvi 17 lõige 12 tunnistatakse kehtetuks;

3) paragrahvi 22 lõige 42 tunnistatakse kehtetuks;

4) paragrahvi 60 lõige 2 tunnistatakse kehtetuks.

§ 11. Seaduse jõustumine

Käesolev seadus jõustub 2025. aasta 1. juulil.

Lauri Hussar

Riigikogu esimees

Tallinn, 2025

34 / 34

Algatab Vabariigi Valitsus

1 / 151

07.12.2024

Küberturvalisuse seaduse ja teiste seaduste muutmise seaduse

(küberturvalisuse 2. direktiivi ülevõtmine) eelnõu seletuskiri

Sisukord 1. Sissejuhatus ................................................................................................................................ 2

1.1. Sisukokkuvõte ..................................................................................................................... 2

1.2. Eelnõu ettevalmistajad ....................................................................................................... 3

1.3. Märkused ............................................................................................................................. 4

2. Seaduse eesmärk ........................................................................................................................ 7

3. Eelnõu sisu ja võrdlev analüüs ............................................................................................... 13

§ 1. Küberturvalisuse seaduse muudatused .......................................................................... 13

§ 2. E-identimise ja e-tehingute usaldusteenuste seaduse muudatus ................................ 117

§ 3. Eesti Rahvusringhäälingu seaduse muudatused .......................................................... 117

§ 4. Elektroonilise side seaduse muudatused ...................................................................... 120

§ 5. Hädaolukorra seaduse muudatused ............................................................................. 121

§ 6. Käibemaksuseaduse muudatused ................................................................................. 121

§ 7. Lennundusseaduse muudatused .................................................................................... 122

§ 8. Raudteeseaduse muudatused ......................................................................................... 122

§ 9. Sadamaseaduse muudatused ......................................................................................... 123

§ 10. Tervishoiuteenuste korraldamise seaduse muudatused ............................................ 123

§ 11. Seaduse jõustumine ...................................................................................................... 123

4. Eelnõu terminoloogia ............................................................................................................ 124

5. Eelnõu vastavus Euroopa Liidu õigusele ............................................................................. 127

6. Seaduse mõjud ....................................................................................................................... 128

6.1. Kavandatav muudatus: KüTSi kohaldamisalasse kuuluvate üksuste nimekirja täiendamine

................................................................................................................................................. 129

6.2. Kavandatav muudatus: riskijuhtimismeetmete ehk turvameetmete rakendamise nõue ... 131

6.3. Kavandatav muudatus: küberintsidentidest teavitamise nõue .......................................... 138

6.4. Kavandatav muudatus: teenuse osutaja juhtorgani kohustused ........................................ 142

6.5. Kavandatav muudatus: järelevalveasutuse teavitamine üksuse andmetest ...................... 144

6.6. Kavandatav muudatus: pädevate asutuste ja ülesannete määratlemine ............................ 145

2 / 151

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad

kulud ja tulud ............................................................................................................................. 146

7.1. Vabariigi Valitsus ning Justiits- ja Digiministeerium ...................................................... 146

7.2. Riigi Infosüsteemi Amet ................................................................................................... 147

7.3. Julgeolekuasutus ............................................................................................................... 147

7.4. Muu tugi, koolitus ja toetused .......................................................................................... 147

8. Rakendusaktid ....................................................................................................................... 149

8.1. Uued rakendusaktid ....................................................................................................... 149

8.2. Muudetavad rakendusaktid .......................................................................................... 150

9. Kaasamine .............................................................................................................................. 150

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõuga võetakse üle Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiiv (EL)

2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu

liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning

tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv; edaspidi NIS2

direktiiv).1 NIS2 direktiiviga lahendatakse kehtiva küberturvalisuse valdkonna direktiivi

(Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148; edaspidi direktiiv 2016/1148)

kitsaskohti ning digitaalsete lahenduste järjest enama kasutuselevõtuga kaasnevaid küberohte ja

väljakutseid. NIS2 direktiivi eesmärk on saavutada küberturvalisuse ühtlaselt kõrge tase kogu

Euroopa Liidus, et parandada siseturu toimimist.

NIS2 direktiiv võetakse üle ennekõike küberturvalisuse seadusesse, kuid muudatusi tehakse ka e-

identimise ja e-tehingute usaldusteenuse seaduses, Eesti Rahvusringhäälingu seaduses,

elektroonilise side seaduses, hädaolukorra seaduses, käibemaksuseaduses, lennundusseaduses,

raudteeseaduses, sadamaseaduses ning tervishoiuteenuste korraldamise seaduses. Mainitud

muudes seadustes tehtavad muudatused on paljuski tehnilised. Muudatusi tegemata ei ole

võimalik NIS2 direktiivi kohaselt üle võtta ega rakendada.

Lisaks NIS2 direktiivi üle võtmisele luuakse küberturvalisuse seadusesse õigusnormid, mis

võimaldavad rakendada Euroopa Komisjoni 11. märtsi 2024. a delegeeritud määrust (EL)

2024/1366, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2019/943 ning

kehtestatakse võrgueeskiri piiriüleste elektrivoogude küberturvalisust käsitlevate sektoripõhiste

normide kohta (edaspidi delegeeritud määrus 2024/1366). Täienduste tulemusena määratakse

Riigi Infosüsteemi Amet pädevaks asutuseks, kes vastutab talle nimetatud delegeeritud

1 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0080.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC.

3 / 151

määrusega 2024/1366 antud ülesannete täitmise eest. Kui Riigi Infosüsteemi Ametile seda

ülesannet ei lisataks, oleks see Eesti oludes automaatselt Konkurentsiameti ülesanne, kellel aga

puudub küberturvalisuse valdkonnas kompetents, mis on vajalik delegeeritud määruses

2024/1366 sätestatud ülesannete täitmiseks. Arvestades Konkurentsiameti ja Riigi Infosüsteemi

Ameti praegusi ülesandeid, ei oleks Konkurentsiametile selle ülesande andmine ka mõistlik.

Eelnõus sätestatakse ka võimalus vajaduse korral edasi delegeerida delegeeritud määruse

2024/1366 artikli 39 lõikes 4, artikli 40 lõikes 5 ja artikli 41 lõikes 4 sätestatud ülesanded.

NIS2 direktiivi ülevõtmiseks ei ole vaja Eesti õigust palju muuta, kuna kehtiv küberturvalisuse

seadus või selle alusel kehtestatud määrused reguleerivad suuremas osas juba küberturvalisuse

nõudeid NIS2 direktiivi nõuete kohaselt. Sellegipoolest on teemasid, mis ei ole Eestis

reguleeritud, ning just nendele seaduseelnõu keskendubki.

Peamiseks muudatuseks on küberturvalisuse seaduse subjektide nimekirja täiendamine.

Küberturvalisuse seaduse nõudeid peavad järgima juba praegu u 3500 organisatsiooni ning

eelnõuga lisandub neile (esialgse hinnangu kohaselt) veel juurde u 2000 organisatsiooni.

Eelmainitud nimekirja täiendamine tähendab ka uusi subjekte, kes peavad hakkama tegelema

küberturvalisuse tagamisega ehk rakendama turvameetmeid ja olulise mõjuga küberintsidendi

korral teavitama sellest ka järelevalveasutust. Lisanduvatele organisatsioonidele nähakse ette ka

üleminekuaeg kolm aastat, mille jooksul tuleb viia oma tegevus küberturvalisuse seaduse

põhilisemate nõuetega kooskõlla. Elutähtsa teenuse osutajatel on erand – nemad lähtuvad kehtiva

õiguse ehk hädaolukorra seaduse tõttu viieaastasest tähtajast.

Küberturvalisuse seaduse kohaldamisalasse lisanduvatele subjektidele kehtivast õigusest ja

eelnõust tulenevate nõuete täitmisega tekkivaid kulusid on keeruline analüüsida. Majanduslik

mõju igale subjektile on väga erinev ning seda ei ole eelnõuga võimalik mõistlikult hinnata.

Turvameetmete rakendamiseks vajalik rahaline kulu sõltub subjekti kasutatavate süsteemide

hulgast ja keerukusest ning eelnevalt rakendatud turvameetmete olemasolust (tulenevalt subjekti

vastutustundlikkusest oma IT-lahenduste kasutamisel või muudest seaduslikest nõuetest, näiteks

isikuandmete töötlemiseks rakendatud tehnilistest ja korralduslikest meetmetest turvalisuse

tagamiseks). Rakendamiseks vajaliku kulu majanduslik mõju subjektile sõltub omakorda selle

kulu osakaalust subjekti eelarves, ennekõike IT-lahendustega seotud eelarves.

Uued subjektid saavad juba praegu end kurssi viia vajalike muudatusega ja alustada vajalike

protsessidega, et eelnõuga sätestatud nõuded täita. Selleks on abiks ka asjakohased suunised,

juhised ja koolitused. Rahalise toetusena on võimalik kasutada Euroopa Liidu taasterahastu

NextGenerationEU vahendeid ning eelnõu koostamise hetkel on ettevalmistamisel

lisatoetusmeede, mis on mõeldud uutele subjektidele.

1.2. Eelnõu ettevalmistajad

Eelnõu on koostanud Majandus- ja Kommunikatsiooniministeeriumi riikliku küberturvalisuse

osakonna küberturvalisuse õigusnõunik Raavo Palu (raavo.palu@mkm.ee) koostöös Riigi

Infosüsteemi Ameti õigusosakonna ning Küberturvalisuse Keskuse teenistujatega.

4 / 151

1.3. Märkused

Eelnõu on seotud muude menetluses olnud ja olevate eelnõudega.

NIS2 direktiiv avaldati ühises paketis teiste õigusaktidega:

- Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2554, mis käsitleb finantssektori

digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr

648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022,

lk 1–79), tulenevaid ülesandeid ja teha küberturvalisuse valdkonnas koostööd Eesti ja teiste

liikmesriikide küberturvalisuse pädevate asutustega (edaspidi DORA määrus)2; ja

- Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2556, millega muudetakse direktiive

2009/65/EÜ, 2009/138/EÜ, 2011/61/EL, 2013/36/EL, 2014/59/EL, 2014/65/EL, (EL)

2015/2366 ja (EL) 2016/2341 seoses finantssektori digitaalse tegevuskerksusega (seotud

DORA määruse rakendamisega)3 ning Euroopa Parlamendi ja nõukogu direktiiv (EL)

2022/2557, mis käsitleb elutähtsa teenuse osutajate toimepidevust ja millega tunnistatakse

kehtetuks nõukogu direktiiv 2008/114/EÜ (edaspidi CER direktiiv)4.

Nimetatud õigusaktid on teatavas ulatuses seotud NIS2 direktiivi ja selle rakendamisega.

DORA määruse ja -direktiiviga seoses oli Riigikogus arutlusel Finantsinspektsiooni seaduse ja

teiste seaduste muutmise seadus 422 SE. Tolle muudatusega tagatakse kooskõla finantssektori

tegevust reguleeriva riigisisese õiguse ja finantsasutustele kohalduvate Euroopa Liidu digitaalse

tegevuskerksuse nõuete vahel. DORA määrusega luuakse erikorra teatud finantssektori

organisatsioonidele, kes NIS2 direktiivi põhilisemate nõuete (riskijuhtimise meetmete

rakendamise nõude ning küberintsidentidest teavitamise nõude) asemel peavad järgima DORA

määruse nõudeid. 422 SE-ga tehtud muudatused avaldati Riigi Teatajas 11.10.2024. a ning need

jõustusid üldkorras (21.10.2024 jõustus kindlustustegevuse seaduse § 179 lg 1 punkti 2

muudatus). Ülejäänud muudatused jõustuvad 17.01.2025. a.

CER direktiivi võeti üle hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste

muutmise seadusega 426 SE. Seos CER direktiiviga tuleneb asjaolust, et kes iganes määratakse

edaspidi elutähtsa teenuse osutajaks CER direktiivi tähenduses, on automaatselt ka NIS2

direktiivi kohaldamisalas. Sama põhimõte jääb kehtima ka tsiviilkriisi ja riigikaitse seaduse

eelnõu kohaselt (eelnõude infosüsteemi toimik nr 21-0915). 426 SE-ga tehtud muudatused

avaldati Riigi Teatajas 08.10.2024. a ning need jõustusid 18.10.2024. a, sh teatud sätted

(hädaolukorra seaduse täiendamine §-ga 91 ning § 53 täiendamine lõigetega 9–11) jõustusid

üldises korras, kuid muude muudatustega samal kuupäeval.

2 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0001.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC. 3 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0153.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC. 4 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0164.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC.

5 / 151

Kõnesolev eelnõu arvestab Vabariigi Valitsuse seaduse muutmise ja sellega seonduvalt teiste

seaduste muutmise seaduse eelnõu 505 SE5, millega viiakse Majandus- ja

Kommunikatsiooniministeeriumist uue nimega Justiits- ja Digiministeeriumisse digiarengu

valdkonna, sh riikliku küberturvalisusega seotud ülesanded. Vabariigi Valitsuse seaduse

muudatusega saab Justiitsministeeriumist Justiits- ja Digiministeerium. Ministeeriumile lähevad

üle Majandus- ja Kommunikatsiooniministeeriumi digiarengu valdkonna ülesanded.

Muudatustega liiguvad uue nimega Justiits- ja Digiministeeriumi valitsemisalasse

digiühiskonnapoliitika, avalike e-teenuste, digiarengu ja küberturvalisuse, riigi infosüsteemide,

kesksete võrgu- ja infosüsteemide ning side ja telekommunikatsiooniga seotud ülesanded. Samuti

liiguvad Majandus- ja Kommunikatsiooniministeeriumi alt Justiits- ja Digiministeeriumi

valitsemisalasse Riigi Infosüsteemi Amet, Riigi Info- ja Kommunikatsioonitehnoloogia Keskus,

Riigi Infokommunikatsiooni Sihtasutus ning Eesti Interneti Sihtasutus. Too seadus on

kavandatud jõustuma 2025. aasta 1. jaanuaril.

Kõnesolevat eelnõu ei mõjuta (kuigi järgnevalt viidatud eelnõudes või väljatöötamiskavatsustes

muudetakse ka neid seadusi, mida muudetakse ka siinse eelnõuga):

1. Siseministeeriumi algatatud hädaolukorra seaduse ja sellega seonduvalt teiste seaduste

täiendamise seadus (eelnõude infosüsteemi toimik nr 24-1098);6

2. Kliimaministeeriumi algatatud jäätmeseaduse muutmise seaduse eelnõu (eelnõude infosüsteemi

toimik nr 24-1105);7

3. Kliimaministeeriumi algatatud jäätmeseaduse ja pakendiseaduse ning teiste seaduste muutmise

seadus (eelnõude infosüsteemi toimik nr 24-1102);8

4. Kliimaministeeriumi algatatud atmosfääriõhu kaitse seaduse ja teiste teiste seaduste muutmise

seadus (taastuvenergia direktiivi muudatuste ülevõtmine) (eelnõude infosüsteemi toimik nr 24-

1072);9

5. Rahandusministeeriumi algatatud võlaõigusseaduse ja sellega seonduvalt teiste seaduste

muutmise seaduse eelnõu (eelnõude infosüsteemi toimik 24-0668);10

6. Kliimaministeeriumi algatatud elektrituruseaduse muutmise seadus (eelnõude infosüsteemi

toimik 24-0578);11

7. Sotsiaalministeeriumi algatatud ravimiseaduse ja teiste seaduste muutmise seaduse

väljatöötamiskavatsus (eelnõude infosüsteemi toimik 24-0999);12

5 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/70fd3a41-edf8-45c4-a6f9-629223a43198/vabariigi-valitsuse-

seaduse-muutmise-ja-sellega-seonduvalt-teiste-seaduste-muutmise-seadus/. 6 https://eelnoud.valitsus.ee/main/mount/docList/81ef7ad8-14e2-4d3d-9c4e-83a841c1b8b4. 7 https://eelnoud.valitsus.ee/main/mount/docList/a64e202e-ba74-4c72-b32c-27353915398f. 8 https://eelnoud.valitsus.ee/main/mount/docList/8b16acd8-bac0-4886-8537-4e10962d7310. 9 https://eelnoud.valitsus.ee/main/mount/docList/c4e6a77c-71f6-4f9c-a318-144ef1a884c0. 10 https://eelnoud.valitsus.ee/main/mount/docList/034b4927-9d35-4ee7-a454-08e49ec6c5e8. 11 https://eelnoud.valitsus.ee/main/mount/docList/ff0dd562-12b5-4dd0-9951-e18ae9e765a5.

6 / 151

8. Kliimaministeeriumi algatatud meresõiduohutuse seaduse ja teiste seaduste muutmise seadus

(eelnõude infosüsteemi toimik 24-0238).13

Majandus- ja Kommunikatsiooniministeeriumil on ettevalmistamisel kosmoseseadus (eelnõude

infosüsteemi toimik 24-0963)14, millega soovitakse teha muudatus KüTSi kehtiva versiooni § 3

lõikes 1, sh tekitada ristviited KüTSile, mida siinse eelnõuga soovitakse kaotada.

Kõnesolev eelnõu arvestab ka eelnõu, millega muudetakse hädaolukorra seaduse § 41 lõiget 2

(eelnõude infosüsteemi toimik 24-1149).15 Tolles eelnõus muudetakse viidatud lõike sõnastust ja

tehakse ka muudatused tolle lõike järelevalvepädevuses: Riigi Infosüsteemi Ameti asemel teeb

seda elutähtsa teenuse toimepidevust korraldav asutus või tema hädaolukorra seaduse § 37 lõike 5

alusel määratud asutus.

Eelnõu on seotud Euroopa Liidu õiguse rakendamisega. Eelnõuga võetakse üle NIS2 direktiiv

ning tekitatakse õigusnormid Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366

rakendamiseks.

Eelnõu on seotud Vabariigi Valitsuse tegevusprogrammi (Vabariigi Valitsuse 18. mai 2023. a

korralduse nr 131 „Vabariigi Valitsuse tegevusprogramm 2023-2027“) välispoliitika ja

diplomaatia eesmärgiga 2.1. „Välispoliitika ja Ukraina toetamine“: Eesti on Euroopa Liidu

aktiivne liikmesriik, kes kaitseb ühtsust tähtsustades oma rahvuslikke huvisid õigusaktide

loomisel, poliitikate kujundamisel ja ellurakendamisel. Selle all on Vabariigi Valitsuse

tegevusprogrammi ülesanne "Küberturvalisuse seaduse ja teiste seaduste muutmise seaduse

eelnõu direktiivi (EL) 2022/2555 (14. detsember 2022) ülevõtmiseks".

Eelnõuga muudetakse järgmiste seaduste järgmisi redaktsioone:

1) küberturvalisuse seadus (RT I, 21.06.2024, 15);

2) e-identimise ja e-tehingute usaldusteenuste seadus (RT I, 03.03.2023, 3);

3) Eesti Rahvusringhäälingu seadus (RT I, 08.10.2024, 2);

4) elektroonilise side seadus (RT I, 08.10.2024, 7);

5) hädaolukorra seadus (RT I, 08.10.2024, 27);

6) käibemaksuseadus (RT I, 18.10.2024, 2);

7) lennundusseadus (RT I, 08.10.2024, 11);

8) raudteeseadus (RT I, 08.10.2024, 16);

9) sadamaseadus (RT I, 08.10.2024, 18);

12 https://eelnoud.valitsus.ee/main/mount/docList/9fe287db-0453-4716-b1b5-af1450756be3. 13 https://eelnoud.valitsus.ee/main/mount/docList/087c10c8-1a08-417a-beac-9eedb2bc6f61. 14 https://eelnoud.valitsus.ee/main/mount/docList/c3ba07e8-ccf2-4159-ab17-dd7ecb1d9577. 15 https://eelnoud.valitsus.ee/main/mount/docList/320fcc91-9829-4e77-80ee-5deac920ae89.

7 / 151

10) tervishoiuteenuste korraldamise seadus (RT I, 08.10.2024, 20).

Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälteenamus. Käibemaksuseaduses

tehtav muudatus on tehniline (vt täpsemaid selgitusi allpool).

Vabariigi Valitsuse 22. detsembri 2011. a määruse nr 180 „Hea õigusloome ja normitehnika

eeskiri“ § 1 lõike 2 punkt 2 ei nõua väljatöötamiskavatsust, kui eelnõu käsitleb Euroopa Liidu

õiguse rakendamist ja kui eelnõu aluseks oleva Euroopa Liidu õigusakti eelnõu menetlemisel on

sisu poolest lähtutud sama paragrahvi lõikes 1 sätestatud nõuetest. Vastav avalik konsultatsioon

oli16 ning Eesti on väljendanud seisukohta17 NIS2 direktiivi algatuse kohta.

2. Seaduse eesmärk

Seaduse eesmärk on üle võtta Eesti õigusesse NIS2 direktiiv ning sätestada delegeeritud määruse

2024/1366 artikli 4 lõike 1 kohaseks pädevaks asutuseks Riigi Infosüsteemi Amet. Eelnõus

sätestatakse ka võimalus vajaduse korral edasi delegeerida delegeeritud määruse 2024/1366

artikli 39 lõikes 4, artikli 40 lõikes 5 ja artikli 41 lõikes 4 sätestatud ülesanded.

Esimene küberturvalisuse direktiiv ehk direktiiv 2016/1148 sillutas paljudes liikmesriikides teed

olulisele mõtteviisi muutusele, pani aluse institutsioonilise ja regulatiivse lähenemisviisi

kujunemisele küberturvalisuse valdkonnas ning on andnud märkimisväärseid tulemusi. Tolle

direktiivi üle võtmisel otsustati, et Eesti õigusruumis on vaja eraldi õigusaktiga ehk KüTSiga

sätestada riigisisesed meetmed ühiskondliku ja majandustegevuse säilitamise seisukohast oluliste

võrgu- ja infosüsteemide turvalisuse tagamiseks. Nende hulka kuuluvad ka võrgu- ja

infosüsteemid, mis on vajalikud riigi ja kohaliku omavalitsuse üksuste töö toimimiseks. Toona

sätestati KüTSis direktiivist 2016/1148 tulenevad kohustused ja Riigi Infosüsteemi Ameti kui

pädeva asutuse õigused teha järelevalvet ning koordineerida küberintsidentide ennetamist,

tuvastamist ja lahendamist. Selle direktiivi rakendamisega pidi tugevnema ja ühtlustuma

küberturbealane koostöö liikmesriikide vahel. Eesti jaoks on küberturbe valdkonnas oluline, et

vastastikku jagataks rohkem kogemusi, oskusi, tehnoloogiaid ja teavet riiklikus küberruumis

toimuva kohta.

Samas on direktiivi 2016/1148 rakendamise võimalused osutunud piiratuks. Ühiskonna

digiüleminek (mida võimendas COVID-19 kriis) on ohumaastikku laiendanud ning toonud kaasa

uusi probleeme, mis nõuavad kohandatud ja uuenduslikke lahendusi. Küberrünnete arv kasvab

endiselt, need on üha keerukamad ning pärinevad paljudest eri allikatest nii Euroopa Liidus kui

ka mujal. Ühiskonna suureneva sõltuvuse taustal võrgu- ja infosüsteemidest areneb tehnoloogia

16 https://eur-lex.europa.eu/legal-content/ET/HIS/?uri=uriserv:OJ.L_.2022.333.01.0080.01.EST; konkreetsemalt

Euroopa Komisjoni ettepaneku rubriigi alt, dokumentidest numbritega 52020PC0823, 52020SC0345 ja

52020SC0344. Lisaks: https://eur-lex.europa.eu/legal-content/EN/PIN/?uri=celex:52020PC0823 ja

https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/12475-Kuberturvalisus-vorgu-ja-

infosusteemide-turvalisust-kasitlevate-ELi-oigusnormide-labivaatamine_et. 17 Eelnõude infosüsteemi toimik 20-3668: COM(2020) 823 Proposal for a DIRECTIVE OF THE EUROPEAN

PARLIAMENT AND OF THE COUNCIL on measures for a high common level of cybersecurity across the Union,

repealing Directive (EU) 2016/1148 – https://eelnoud.valitsus.ee/main/mount/docList/5c847e1d-42e5-46f8-99d8-

d21d144bca61.

8 / 151

kiiresti, võrgu- ja infosüsteemide suurenev keerukus ning internetti ühendatud väga erinevate

seadmete kasvav arv ning küberruumis tegutsevate erineva motivatsiooni ja oskustasemega

toimijate kasvav hulk muudab küberturvalisuse üha suuremaks väljakutseks. Täiendavaid

väljakutseid pakuvad ka küberruumis tegutsevad toimijad, kes tunnevad Eesti digitaristu ja

teenuste vastu huvi seetõttu, et Eesti jätkuvalt toetab Ukrainat. Muudatused ohukeskkonnas

tingivad vajaduse tagada senisest parem olukorrateadlikkus ja tagada ohtude ennetamine,

väljaselgitamine ja tõrjumine ka juhul, kui võrgu- ja infosüsteemi omanik või valdaja vajalikku

hoolsust tahtlikult või teadmatusest ei ilmuta.

Tuginedes direktiivi 2016/1148 toimivuse hindamisele, tuvastati mõjuhinnanguga järgmised

probleemid: Euroopa Liidus tegutsevate ettevõtjate kübervastupidavusvõime madal tase;

ebaühtlane vastupidavusvõime tase liikmesriikide ja sektorite tasandil ning ühise

olukorrateadlikkuse madal tase ja ühistegevuse puudulikkus kriisidele reageerimisel.18 Sellest

johtuvalt võeti vastu NIS2 direktiiv, mille eesmärk on saavutada küberturvalisuse ühtlaselt kõrge

tase kogu Euroopa Liidus, et parandada siseturu toimimist. Selle eesmärgi saavutamiseks on

NIS2 direktiivis sätestatud:

a) liikmesriikide kohustus võtta vastu riiklikud küberturvalisuse strateegiad ning määrata või

asutada pädevad asutused, küberkriisi juhtimise asutused, küberturbe ühtsed kontaktpunktid ja

küberturbe intsidentide lahendamise üksused („CSIRTid“);

b) NIS2 direktiivi I või II lisas osutatud üksuste ning CER direktiivi kohaselt elutähtsana

käsitatavate üksuste küberturvalisuse riskijuhtimismeetmed ja teatamiskohustus;

c) küberturvalisuse alase teabevahetusega seotud reeglid ja kohustused;

d) järelevalve ja täitmise tagamisega seotud kohustused liikmesriikidele.

Võrreldes direktiiviga 2016/1148 on NIS2 direktiivis olevad muudatused esmapilgul justkui uued

ja täpsemad nõuded võrreldes varasematega. Allpool esitame NIS2 direktiivist tulenevad nõuded,

millest KüTSi subjekt (üksus) peab lähtuma või mida arvestama, st ta peab täiel määral või

osaliselt arvestama NIS2 direktiivi:

a) artikleid 3 ja 27 – teavita ja vajadusel uuenda enda infot: üksusel tuleb esitada pädevale

asutusele (Riigi Infosüsteemi Amet) teatav info enda organisatsiooni kohta (nt nimi,

kontaktandmed jne), sh hoidma seda infot ajakohasena;

b) artiklit 26 – esindaja määramine: selles artiklis on nimetatud teatavad üksused (eelnõus

digitaalse teenuse osutajad), kes peavad nimetama oma esindaja, kui nende tegevuskoht ei ole

Euroopa Liidus või nad ei ole seal asutatud, kuid pakuvad Euroopa Liidus oma teenuseid;

18 Euroopa Komisjoni talituste töödokument mõju hindamise aruande kommenteeritud kokkuvõte; lisatud

dokumendile: Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU DIREKTIIV, mis käsitleb meetmeid, millega

tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148. A

osa – https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex%3A52020SC0344.

9 / 151

c) artiklit 20 – juhtorgani vastutus: juhtorgan kiidab heaks küberturvalisuse

riskijuhtimismeetmed, jälgib nende rakendamist ning teda võidakse võtta vastutusele teatavate

nõuete rikkumise eest;

d) artiklit 20 – juhtorgani erikoolitused: juhtorganite liikmed on kohustatud läbima korrapäraselt

erikoolitusi; samuti tuleb ergutada üksusi pakkuma oma töötajatele või teenistujatele selliseid

koolitusi;

e) artiklit 21 – üksus võtab kasutusele riskijuhtimismeetmed: tegemist on üksuse küberturvalisuse

kaitse ja sellega seotud meetmete kasutusele võtmisega ehk KüTSi kontekstis turvameetmete

rakendamisega;

f) artiklit 24 – Euroopa küberturvalisuse sertifitseerimise kavade kasutamine: liikmesriik ehk

Eesti võib nõuda üksuselt riskijuhtimismeetmetega seotud nõuetele vastavuse tõendamiseks

teatavate IKT-toodete, IKT-teenuste ja IKT-protsesside kasutamist; sarnane volitus nende

kohustuslikus korras kasutamiseks on ka Euroopa Komisjonil, kes saab seda teha delegeeritud

õigusaktide alusel;

g) artiklit 23 – küberintsidentidest teavitamine: üksused teavitavad järelevalveasutust

(üldreeglina Riigi Infosüsteemi Ametit) ning asjakohasel juhul ka oma teenuse kasutajaid

kõikidest olulise mõjuga küberintsidentidest;

h) artiklit 28 – domeeninimede registreerimisandmete andmebaas: artikkel sätestab, kuidas

toimetavad tippdomeeninimede registrid ja tippdomeenide domeeninimede registreerimise

teenuseid osutavad üksused, sh mis infot nad ise koguvad;

i) artiklit 29 – küberturvalisuse alase teabevahetuse kokkulepped: üksused ja muud osapooled

võivad vabatahtlikult vahetada asjakohast küberturvalisuse alast teavet, sõlmides selleks

vastavad kokkulepped; kui NIS2 direktiivi subjekt osaleb sellises kokkuleppes, siis tuleb selles

osalemisest ja sellest väljumisest teavitada Riigi Infosüsteemi Ametit;

j) artikleid 31–33, mis sätestavad kindlaks järelevalve tegija õigused ja kasutatavad meetmed;

k) artiklit 34 – haldustrahvid: see artikkel sätestab haldustrahvide määramise üldtingimused, kui

rikutakse artiklis 21 või 23 olevaid nõudeid; haldustrahvide piirsuurused sõltuvad sellest, kas

tegemist on elutähtsa üksuse või olulise üksusega; eelnõus võetakse haldustrahvide sisu üle

väärteomenetluse sätetesse;

l) artiklit 34 – sunniraha: samas artiklis on ka säte, et liikmesriigid võivad ette näha õiguse

määrata sunniraha, mille eesmärk on sundida üksust direktiivi rikkumist lõpetama; direktiiv siin

sunniraha suurus ega selle kindlaks tegemise nõudeid ette ei näe.

Eesti on vahepeal KüTSi täiendanud 2022. aastal.19 Toona tehtud muudatustel oli lõpptulemusena

neli eesmärki, millest siinses seletuskirjas tuuakse välja üks peamistest – ajakohastada KüTSi, et

19 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7-7379fa3bf6b9/kuberturvalisuse-

seaduse-ja-teiste-seaduste-muutmise-seadus/.

10 / 151

oleks võimalik kehtestada Eesti infoturbestandard ja muud ajakohastatud võrgu- ja

infosüsteemide küberturvalisuse nõuded ning seeläbi suurendada nende küberturvalisust. Tolle

muudatusega sooviti saavutada olukord, mis võimaldaks ühtsetel põhimõtetel paindlikult ja

rakendajatele arusaadavalt rakendada tänapäevastele vajadustele vastavat turvameetmete

süsteemi avalike ülesannete täitmiseks või oluliste teenuste osutamiseks loodud äriprotsessides.

Toona leiti, et infoturbe rakendamata jätmine ei ole tolle aja küberturbe olukorras KüTSi

subjektide võrgu- ja infosüsteemide puhul aktsepteeritav. Eesti infoturbestandardi loomisega

sooviti toonast olukorda muuta, tõstes andmeid töötleva võrgu- ja infosüsteemi asemel

turvameetmete rakendamise fookusesse olulist, sh avalikku ülesannet täitev organisatsioon, kelle

eesmärk on pakkuda otseseid avalikke teenuseid ja tugiteenuseid. Eesti infoturbestandard

koostati, arvestades rahvusvahelisi standardeid ning teise riikide standardseid nõudeid – tegemist

on nõuete kogumiga, mis on kooskõlas Saksa päritolu IT-Grundschutzi ja rahvusvahelise

standardiga ISO/IEC 27001 nõuetega.20 Viimati nimetatud standardit võeti eeskujuks ka NIS2

direktiivi artikli 21 riskijuhtimismeetmetega seotud nõuete sõnastamisel.

Kui arvestada ka asjaolu, et direktiiv 2016/1148 võeti üle laiemalt kui oli ette nähtud, siis tänu

2022. aastal Eesti infoturbestandardi kehtestamisele ja selle järgimise kohustuse kehtestamisele

on NIS2 direktiivi ülevõtmine Eesti õigusesse lihtsam, kuna NIS2 direktiivi peamised nõuded on

Eestil kehtivas õiguses juba täidetud. Pigem siinse eelnõuga täpsustatakse olemasolevas õiguses

olevaid sätteid ning kehtestatakse mõned uued normid. Konkreetsemalt tehakse eelnõuga

järgmised peamised muudatused:

- KüTSi subjektide nimekirja täiendamine (eelnõuga säilitatakse kehtiva KüTSi subjektid ning

lisanduvad ennekõik need üksused, kes on ette nähtud NIS2 direktiivi kohaselt);

- sätestatakse, mis andmeid peab KüTSi subjekt pädevale asutusele enda kohta esitama

(näiteks nimi, registrikood, kontaktandmed jne);

- sätestatakse KüTSi tasandil nõuded turvameetmete (riskijuhtimismeetmete) kohta (praktikas

on selle nõude põhisisu täidetud juba Eesti infoturbestandardi nõuete täitmisega või selle

alternatiivi ehk rahvusvahelise standardi ISO/IEC 27001 nõuete täitmisega);

- täpsustatakse olemasolevaid nõudeid küberintsidendist teavitamiseks (täpsustatakse seaduse

tasandil esitatava teate sisu ja selle lahendamisega seotud korraldust);

- kaotatakse direktiivi 2016/1148 üksuste liigitus (olulise teenuse operaator ja digitaalse

teenuse osutaja (viimast terminit kasutatakse uues tähenduses)) ning luuakse uute

kategooriatena elutähtsad üksused ja olulised üksused (nende erinevus on järelevalve

teostamises ja võimalike trahvide ülemmääras);

- sätestatakse selgelt, kellega tuleb ja võib teavet vahetada või koostööd teha (koostöö

tegemine pädevate asutuste vahel, üle riigipiiride ja vabatahtlikus vormis; näiteks piiriülese

küberintsidendi või küberkriisi korral);

20 Eesti infoturbestandardi rakendusjuhend, peatükid 1 ja 3, sh vt viimases olevat joonist nr 3 – kättesaadav:

https://eits.ria.ee/et/abimaterjalid/rakendusjuhend.

11 / 151

- määratakse pädevad asutused, kellel on ülesanded NIS2 direktiivi või delegeeritud määruse

2024/1366 kohaselt (üldiselt on tegemist valitsusasutustega, kes juba praegu tegelevad

samade ülesannetega);

- määratakse selgemalt KüTSi subjekti juhtkonna roll ja ülesanded (põhilisemad nõuded on

juba olemas Eesti infoturbestandardi tõttu, kuid eelnõuga sätestatakse need seaduse

tasandil; samuti kehtestatakse juhtkonnale kohustus osaleda küberturvalisuse koolitustel, sh

kohustus tagada, et ka ametnikud ja töötajad saavad neid koolitusi);

- täpsustatakse järelevalve- ja täitemeetmeid, mida KüTSi subjekti suhtes on võimalik

kasutada (järelevalveasutusel on juba praegu peaaegu samad volitused, kuid teatavad

volitused lisanduvad NIS2 direktiivi tõttu);

- ühtlustatakse trahvide suurused (eeskuju võetud isikuandmete kaitse valdkonna trahvidest);

- sätestatakse võimalus osaleda riikidevahelises küberturvalisuse taseme hindamises (tegemist

on vabatahtliku ülesandega).

Suurimaks siinse eelnõu muudatuseks on KüTSi subjektide nimekirja täiendamine, kuna see toob

kaasa, et neile kohalduvad ka KüTSi nõuded. Seletuskirjas on iga subjekti kategooria juures ka

Riigi Infosüsteemi Ameti esialgne hinnang, kui palju üksusi vastavale määratlusele vastab, sh kui

paljud neist jäävad KüTSi kohaldamisalasse. Üldistatult saab kokku võtta, et olemasolevaid

subjekte on 3537 ning uusi subjekte on u 2000 ehk kokku on u 5500 subjekti, kellele KüTSi

nõuded hakkavad kohalduma. Nende arvude puhul tuleb arvestada ka asjaoluga, et ilmselt osale

subjekte vastavad mitmele tunnusele: näiteks on tegemist nii keskvalitsuse avaliku halduse

üksusega kui ka avaliku teabe seaduse tähenduses andmekogu vastutava töötlejaga või volitatud

töötlejaga; või näiteks tegemist on elutähtsa teenuse osutajaga ning samal ajal ka üldkasutatava

elektroonilise side võrgu pakkujaga; või tegemist on vee-ettevõtjaga, kes samal ajal tegutseb ka

reovee valdkonnas. Eelnõu kohaldamisalast on välja jäetud mikro- ja väikeettevõtjad Euroopa

Komisjoni 6. mai 2003. aasta soovituse 2003/361/EÜ (mikro-, väikeste ja keskmise suurusega

ettevõtjate määratlemise kohta), tähenduses, välja arvatud elektroonilise side võrgu või

üldkasutatava elektroonilise side teenuse osutajad, usaldusteenuse osutajad, tippdomeenide

domeeninimede registrid, domeeninimede süsteemi teenuse osutajad, domeeninimede

registreerimise teenuseid osutavad üksused, elutähtsa teenuse osutajad ja avaliku halduse üksused

ning teatavad muud üksused, näiteks mõne teenuse ainupakkujad liikmesriigis. Nimetatud

üksused on KüTSi kohaldamisalas, kuna see on ette nähtud NIS2 direktiiviga.

Eelnõu sõnastamisel lähtuti sellest, milline on NIS2 direktiivi ette antud kaaltulusõigus

liikmesriigil vastav õigusnorm sõnastada ning kehtestada. Seetõttu on eelnõus ennekõike

piirdutud ainult sellega, mida NIS2 direktiiv kitsamas tähenduses ette on näinud, ehk n-ö

üldnõuetega. Nagu eespool mainitud, on osa eelnõu muudatusi laiemas plaanis kas täpsustused

(seal, kus on juba vajalikud nõuded Eesti õiguses olemas) või NIS2 direktiivi miinimumnõuete

ülevõtmine (osas, kus Euroopa Liidu õigust on vaja ühtlustada).

NIS2 direktiivi ülevõtmise tähtaega arvestades ei ole seaduseelnõuga võimalik teha kogu

kübervaldkonna normide laiapõhjalist revisjoni, mistõttu puudutab eelnõu üksnes NIS2 direktiivi

12 / 151

ülevõtmisega ja delegeeritud määrusega 2024/1366 seonduvat. Tolle revisjoniga seoses tullakse

välja eraldi väljatöötamiskavatsusega.

Ülevaade NIS2 direktiivi sätetest

• I peatükk: üldsätted (artiklid 1–6) – reguleerimisese; kohaldamisala; elutähtsad ja olulised

üksused; valdkondlikud liidu õigusaktid; minimaalne ühtlustamine; mõisted.

• II peatükk: koordineeritud küberturvalisuse raamistikud (artiklid 7–13) – riikliku

küberturvalisuse strateegia; pädevad asutused ja ühtsed kontaktpunktid; riiklikud

küberkriiside ohjamise raamistikud; küberturbe intsidentide lahendamise üksused

(CSIRTid); CSIRTidele esitatavad nõuded, nende tehniline võimekus ja ülesanded –

nõrkuste koordineeritud avalikustamine ja Euroopa nõrkuste andmebaas; koostöö

liikmesriigi tasandil.

• III peatükk: koostöö liidu ja rahvusvahelisel tasandil (artiklid 14–19) – koostöörühm;

CSIRTide võrgustik; Euroopa küberkriisiga tegelevate kontaktasutuste võrgustik (EU-

CyCLONe); rahvusvaheline koostöö; aruanne küberturvalisuse olukorra kohta liidus;

vastastikune hindamine.

• IV peatükk: küberturvalisusega seotud riskijuhtimismeetmed ja teatamiskohustus (artiklid

20–25) – juhtimine; küberturvalisuse riskijuhtimismeetmed; liidu tasandi kriitilise

tähtsusega tarneahelate koordineeritud turberiski hindamised; teatamiskohustus; Euroopa

küberturvalisuse sertifitseerimise kavade kasutamine; standardimine.

• V peatükk: jurisdiktsioon ja registreerimine (artiklid 26–28) – jurisdiktsioon ja

territoriaalsus; üksuste register; domeeninimede registreerimisandmete andmebaas.

• VI peatükk: teabevahetus (artiklid 29 ja 30) – küberturvalisuse alase teabevahetuse

kokkulepped; vabatahtlik teavitamine asjakohasest teabest.

• VII peatükk: järelevalve ja täitmise tagamine (artiklid 31–37) – järelevalve ja täitmise

tagamise üldised aspektid; järelevalve- ja täitemeetmed seoses elutähtsate üksustega;

järelevalve- ja täitemeetmed seoses oluliste üksustega; elutähtsatele ja olulistele üksustele

haldustrahvide määramise üldtingimused; isikuandmete väärkasutamisega seotud

rikkumised; karistused; vastastikune abi.

• VIII peatükk: delegeeritud õigusaktid ja rakendusaktid (artiklid 38 ja 39) – delegeeritud

volituste rakendamine; komiteemenetlus.

• IX peatükk: lõppsätted (artiklid 40–46) – läbivaatamine; ülevõtmine; määruse (EL)

nr 910/2014 muutmine; direktiivi (EL) 2018/1972 muutmine; kehtetuks tunnistamine;

jõustumine; adressaadid.

• Lisad: I lisa (kriitilise tähtsusega sektorid); II lisa (muud kriitilise tähtsusega sektorid); III

lisa (vastavustabel).

13 / 151

NIS2 direktiivi üle võtmisega seotud vastavustabel on esitatud seletuskirja lisas 1.

3. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb 11 paragrahvist. Peamised muudatused on eelnõu §-s 1 ning ülejäänud eelnõu

paragrahvid on seotud valdkondlike õigusaktide parandamisega selleks, et üle võtta NIS2

direktiiv ning et tekitada vajalikud õigusnormid Euroopa Komisjoni delegeeritud määruse nr

2024/1366 kohaseks rakendamiseks.

§ 1. Küberturvalisuse seaduse muudatused

Eelnõu §-s 1 nähakse ette küberturvalisuse seaduse (KüTS) muudatused:

KüTS § 1 lõike 11 sisu on NIS2 direktiivi artikli 2 lõike 1 üle võtmine osas, mis on seotud viitega

Euroopa Komisjoni soovitusele 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate

määratlemise kohta. Tolle soovituse kohaselt on keskmise suurusega ettevõtjaga tegemist siis, kui

ettevõtjal on a) vähemalt 50 töötajat ning b) tema bilansimaht või aastakäive ületab 10 miljonit

eurot. Mõlemad tingimused peavad olema täidetud, st kui näiteks on olemas vähemalt 50 töötajat,

kuid bilansimaht või aastakäive on väiksem kui 10 miljonit eurot, siis pole tegemist "keskmise

suurusega ettevõtjaga"; bilansimahu ja aastakäibe puhul on vaja, et mõlemad ei oleks väiksemad

kui 10 miljonit eurot. Sama loogika ning tulemus on ka vastupidi ehk kui bilansimaht või

aastakäive on vähemalt 10 miljonit eurot, kuid ettevõtjal on vähem kui 50 töötajat, ei ole tegemist

keskmise suurusega ettevõtjaga; bilansimahu ja aastakäibe puhul on vaja, et vähemalt üks neist

oleks suurem kui 10 miljonit eurot. Siinset lõiget tuleb vaadata koosmõjus järgmise lõikega ja

sealsete selgitusega.

Euroopa Komisjoni soovituse 2003/361/EÜ lisa artiklites 2–6 selgitatakse mh, millised on

ettevõtjate suuruste kategooriad ja milliseid asjaolusid tuleb arvesse võtta, kui arvutatakse

töötajate arvu ning bilansimahtu või aastakäivet. Näiteks selle soovituse lisa artikkel 3 näeb ette,

mis laadi ettevõtteid (inglise keeles enterprise) tuleb arvestada töötajate ja finantsnäitajate välja

selgitamisel, eristades autonoomseid, partner- ja seotud ettevõtteid (inglise keeles vastavalt

autonomous, partner and linked enterprises). Nende artiklite sisu ei korrata siinses seletuskirjas,

kuid neid tuleb võtta arvesse nimetatud soovituse alusel töötajate arvu ja finantsnäitajate

väljaselgitamisel. Näiteks ei saa töötajate arvu ja finantsnäitajate suuruse hindamisel hinnata

ainult tegevusi, mis on kirjas NIS2 direktiivi I ja II lisas (võetakse üle eelnõus KüTS § 1 lõikega

12), vaid lähtuvalt soovituse 2003/361/EÜ lisast tuleb analüüs teha kogu organisatsiooni kohta.

Kommenteeritava lõike teise lausega võetakse üle NIS2 direktiivi artikli 2 lõike 1 teine tekstilõik.

Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõige 4 näeb ette üldreegli, et ettevõtja ei

ole väike- ega keskmise suurusega, kui 25% või rohkemat tema kapitalist või hääleõigusest

kontrollivad otseselt või kaudselt, ühiselt või üksikult, üks või mitu avaliku sektori

organisatsiooni (inglise keeles controlling public body). Sel teemal vt ka nimetatud soovituse

põhjenduspunkti 13. NIS2 direktiivi artikli 2 lõike 1 teine tekstilõik täpsustab, et viidatud

soovituse artikli 3 lõiget 4 ei arvestata NIS2 direktiivi puhul. Seetõttu tuleb eelnõusse lisada

kommenteeritava lõike teine lause, mis näeb ette sama nõude. Eeltoodu tõttu on eelnõu

14 / 151

tulemusena võimalik mõnda üksust pidada väike- või keskmise suurusega ettevõtjaks, kui

praktikas kontrollib seda (osaliselt) avaliku sektori organisatsioon, aga ainult siis, kui

kommenteeritava lõike esimeses lauses nimetatud tingimused (töötajate arv ja finantsnäitajad) on

täidetud. NIS2 direktiiv ei näe ette nõudeid, kuidas tehakse kindlaks töötajate arv ja

finantsnäitajad avaliku sektori organisatsioonide puhul, kuna need on NIS2 direktiivi artikli 2

lõike 2 punktiga f hõlmatud NIS2 direktiivi alla, olenemata organisatsiooni suurusest. Soovitus

2003/361/EÜ ei ole mõeldud reguleerima ega paku selgeid reegleid, kuidas toimida kontrolli

omavate avaliku sektori organisatsioonidega. Selle soovituse reeglite järgimine kontrolli omavate

avaliku sektori organisatsioonide puhul (tuvastamaks nende seost ja rolli partner- ja seotud

ettevõtetega väike- või keskmise suurusega ettevõtjate puhul) tekitaks Euroopa Liidu

liikmesriikide seas killustatust ja õiguslikku segadust. Seetõttu ei tule võtta arvesse eraldiseisva

kontrolli omava avaliku sektori organisatsiooni töötajate arvu ja finantsnäitajaid, kui tehakse

kommenteeritava lõike kohaselt kindlaks väike- või keskmise suurusega ettevõtjate töötajate arvu

ja finantsnäitajaid.

Käesoleva ja järgmiste lõigetega seoses on asjakohased NIS2 direktiivi alltoodud

põhjenduspunktid 4-7 ja 16, mis selgitavad NIS2 direktiiviga ette nähtud küberturvalisuse nõuete

järgimiskohustusega subjektide ringi täiendamist ja seda miks tekkis vajadus kehtiv

küberturvalisuse direktiiv (direktiiv 2016/1148) kehtetuks tunnistada ning kuidas lähtuda

Euroopa Komisjoni soovitusest 2003/361/EÜ:

(4) Direktiivi (EL) 2016/1148 õiguslik alus oli Euroopa Liidu toimimise lepingu artikkel 114,

mille eesmärk on siseturu rajamine ja toimimise tagamine riigisiseste normide ühtlustamise

meetmete tõhustamise abil. Teenuseid osutavatele või majanduslikult olulist tegevust ellu

viivatele üksustele kehtestatud küberturvalisuse nõuded erinevad liikmesriigiti märkimisväärselt

nii nõuete liigi, üksikasjalikkuse kui ka järelevalvemeetodi poolest. Need erisused toovad kaasa

lisakulusid ning põhjustavad raskusi piiriüleselt kaupu või teenuseid pakkuvatele üksustele. Ühe

liikmesriigi kehtestatud nõuded, mis erinevad teise liikmesriigi kehtestatud nõuetest või on

nendega lausa vastuolus, võivad sellist piiriülest tegevust oluliselt pärssida. Lisaks mõjutab

küberturvalisuse nõuete ebatõhus kavandamine või rakendamine ühes liikmesriigis tõenäoliselt

küberturvalisuse taset ka teistes liikmesriikides, kui piiriülene suhtlus on sedavõrd intensiivne.

Direktiivi (EL) 2016/1148 läbivaatamise käigus selgus, et liikmesriigid kohaldavad seda väga

erinevalt, muu hulgas seoses selle kohaldamisalaga, mille piiritlemine jäeti suuresti

liikmesriikide otsustada. Direktiiviga (EL) 2016/1148 anti liikmesriikidele ka väga ulatuslik

kaalutlusõigus direktiivis sätestatud turvalisuse tagamise ja intsidentidest teatamise kohustuse

rakendamisel. Seega rakendati neid kohustusi liikmesriigi tasandil väga erinevalt. Sarnaseid

lahknevusi oli ka direktiivi (EL) 2016/1148 järelevalve- ja täitmise tagamise sätete rakendamisel.

(5) Kõik need erinevused põhjustavad siseturu killustumist ja võivad kahjustada selle toimimist,

mõjutades eelkõige teenuste piiriülest osutamist ja kübervastupidavusvõime taset, kuna

rakendatavad meetmed on erinevad. Lõppkokkuvõttes võivad need erinevused tuua kaasa selle, et

mõni liikmesriik on küberohtude vastu vähem kaitstud, millel võib olla ülekanduv mõju kogu

liidus. [NIS2 direktiivi] eesmärk on kõrvaldada sellised suured erinevused liikmesriikide vahel,

15 / 151

sätestades koordineeritud reguleeriva raamistiku toimimisega seotud miinimumnormid,

kehtestades liikmesriikide vastutavate asutuste tulemuslikuks koostööks vajalikud mehhanismid,

ajakohastades selliste sektorite ja tegevuste loetelu, mille suhtes küberturvalisusega seotud

kohustusi kohaldatakse, ning nähes ette tõhusad õiguskaitsevahendid ja täitemeetmed, mis on

olulised nende kohustuste tulemusliku täitmise tagamiseks. Seega tuleks direktiiv (EL) 2016/1148

kehtetuks tunnistada ja asendada [NIS2 direktiiviga].

(6) Direktiivi (EL) 2016/1148 kehtetuks tunnistamisega tuleks sektoripõhist kohaldamisala

laiendada suuremale osale majandusest, et hõlmata võimalikult täielikult kõik sektorid ja

teenused, mis on siseturu peamise ühiskondliku ja majandustegevuse jaoks elutähtsad. Eelkõige

on [NIS2 direktiivi] eesmärk kõrvaldada puudused, mis on seotud elutähtsate teenuste osutajate

ja digiteenuse osutajate eristamisega, mis on osutunud iganenuks, kuna ei kajasta sektorite või

teenuste tähtsust siseturu ühiskondliku ja majandustegevuse jaoks.

(7) Direktiivi (EL) 2016/1148 kohaselt oli liikmesriikidel kohustus kindlaks teha üksused, mis

vastavad oluliste teenuste operaatori kriteeriumidele. Et kõrvaldada sellest tulenevad

liikmesriikidevahelised suured erinevused ning tagada kõigile asjaomastele üksustele

küberturvalisuse riskijuhtimismeetmete ja teatamiskohustusega seoses õiguskindlus, tuleks

kehtestada ühtne kriteerium, mille alusel tehakse kindlaks [NIS2 direktiivi] kohaldamisalasse

kuuluvad üksused. See kriteerium peaks põhinema suuruse ülempiiri reegli kohaldamisel, mille

kohaselt jäävad [NIS2 direktiivi] kohaldamisalasse kõik üksused, mida käsitatakse komisjoni

soovituse 2003/361/EÜ lisa artikli 2 kohaselt keskmise suurusega ettevõtjana või mis ületavad

keskmise suurusega ettevõtja ülemmäärasid, mis on esitatud kõnealuse artikli lõikes 1, ning

tegutsevad [NIS2 direktiiviga] hõlmatud sektorites, osutavad teenuseid või viivad ellu tegevusi,

mis kuuluvad selle kohaldamisalasse. Liikmesriigid peaksid samuti ette nägema, et [NIS2

direktiivi] kohaldamisalasse kuuluvad teatavad kõnealuse soovituse lisa artikli 2 lõigetes 2 ja 3

määratletud väikesed ettevõtjad ja mikroettevõtjad, mis vastavad konkreetsetele kriteeriumidele,

mis näitavad ühiskonna, majanduse või konkreetsete sektorite või teenuseliikide võtmerolli.

(16) Vältimaks seda, et üksusi, millel on partnerettevõtjad või mis on sidusettevõtjad, peetaks

elutähtsateks või olulisteks üksusteks, kui see oleks ebaproportsionaalne, on liikmesriikidel

võimalik soovituse 2003/361/EÜ lisa artikli 6 lõike 2 kohaldamisel võtta arvesse üksuse oma

partneritest või sidusettevõtjatest sõltumatuse määra. Eelkõige on liikmesriikidel võimalik võtta

arvesse asjaolu, et üksus on oma partner- või sidusettevõtjatest sõltumatu teenuste osutamisel

kasutatavate võrgu- ja infosüsteemide osas, ja teenuste osas, mida üksus osutab. Selle põhjal

võivad liikmesriigid asjakohasel juhul leida, et nimetatud üksust ei saa käsitada 2003/361/EÜ

lisa artikli 2 kohase keskmise suurusega ettevõtjana või et üksus ei ületa keskmise suurusega

ettevõtja kõnealuse artikli lõikes 1 esitatud ülemmäärasid, kui pärast selle üksuse sõltumatuse

määra arvestamist üksnes tema enda andmete arvesse võtmisel ei käsitataks teda keskmise

suurusega ettevõtjana või neid ülemmäärasid ületavana. See ei mõjuta [NIS2 direktiivi]

kohaldamisalasse kuuluvate partner- ja sidusettevõtjate [NIS2 direktiivis] sätestatud kohustusi.

Lisaks eeltoodule on asjakohased NIS2 direktiivi põhjenduspunktid 20, 21 ja 37.

16 / 151

KüTS § 1 lõike 12 sisu on tervikuna seotud lõike 11 rakendamisega ehk selles on toodud NIS2

direktiivi artikli 2 lõikes 1 viidatud ning I ja II lisas nimetatud üksused. Soovituslik järjekord

KüTSi nõuete järgimise tuvastamiseks lõigete 11 ja 12 kohaselt: a) esimese sammuna tuvastada,

kas tegemist on KüTS § 1 lg 12 mõnes punktis oleva teenuse või tegevusega; b) kui esimene

samm saab positiivse vastuse (tegemist on tolles lõikes oleva teenuse või tegevusega), siis

tuvastada, kas KüTS § 1 lg 11 on täidetud ehk kas tegemist on vähemalt keskmise suurusega

ettevõtjaga (vt tolle lõike selgitusi). Kui ka teise sammu vastus on positiivne, siis on tegemist

KüTSi nõuete järgijaga nende kahe lõike kohaselt. Kui teise sammu vastus on negatiivne, tasub

kontrollida, kas KüTSi nõuete järgimise kohustus võib tekkida KüTS § 1 lõigete 13–16 alusel (vt

täpsemalt nende sätete sisu ja selgitusi). Kui viidatud lõiked ei kohaldu, tasub üle kontrollida, kas

tegemist võib olla kommenteeritava paragrahvi lõigete 11 ja 12 olukorraga.

Eelmainitud tuvastamist selgitab joonis nr 1.

Joonis 1. KüTSi subjektsuse tuvastamine.

On lähtutud ka asjaolust, et kuigi kommenteeritava lõike punktidega hõlmatud üksustest osa

satuvad KüTSi kohaldamisalasse muudel põhjustel (nt tegemist on elutähtsa teenuse osutajaga),

tagatakse siinse ja eelmise lõikega, et NIS2 direktiiviga ette nähtud sektorid või valdkonnad ei jää

KüTSist välja seetõttu, et nende hõlmamine KüTSi alla on tagatud KüTS § 1 lõigetega 13–16.

NIS2 direktiivi I ja II lisas mainitud üksused hõlmatakse kogu tegevusega KüTSi alla

(tingimusel, et eelnõu KüTS § 1 lõike 11 tingimused on täidetud) – seda isegi juhul, kui mõne

üksuse tegevus või teenus on NIS2 direktiivi I või II lisas. See on kooskõlas NIS2 direktiivi

artikli 1 esimese tekstilõikega, mis näeb ette järgmist: „Liikmesriigid tagavad, et elutähtsad ja

olulised üksused võtavad asjakohased ja proportsionaalsed tehnilised, tegevuslikud ja

17 / 151

korralduslikud meetmed, et juhtida riske, mis ohustavad nende üksuste tegevuses või teenuste

osutamisel kasutatavate võrgu- ja infosüsteemide turvalisust, ning et ennetada või minimeerida

intsidentide mõju nende teenuste saajatele ja muudele teenustele.“ Ka Euroopa Komisjoni

suunistes 2023/C 328/02 NIS2 direktiivi artikli 4 lõigete 1 ja 2 kohaldamise kohta,21 punktis 7 on

NIS2 direktiivi artikli 21 kohta selgitatud: „[NIS2 direktiivi artikli 21 lõikes 1 sätestatud

kohustus, mille kohaselt peavad elutähtsad ja olulised üksused võtma asjakohaseid ja

proportsionaalseid küberturvalisuse riskijuhtimismeetmeid, kehtib kõigi asjaomase üksuse

tegevuste ja teenuste suhtes ega puuduta üksnes konkreetseid infotehnoloogia („IT“) varasid või

elutähtsaid teenuseid, mida üksus osutab.“

Kommenteeritava lõike punktides olevate sõnastuste kohta ootame eelnõu koostajatena

tagasisidet, 1) kas pakutud sõnatused on arusaadavad ja selged; 2) kui mingit sõnastust tuleks

täpsustada, siis millisel moel tuleks seda teha, kui arvestada NIS2 direktiivi enda eesmärki ja

sõnastust, sh asjaolu, et eesmärk on NIS2 direktiiv võtta üle kitsalt.

Siinses seletuskirjas on iga vastava üksuse kategooria juures Riigi Infosüsteemi Ameti esialgne

hinnang, kui palju üksusi vastava sõnastuse alla võib minna, ning kommenteeritava lõike vastava

punkti korral ka, kui paljud neist on hõlmatud KüTSi kohaldamisalasse nn suuruse kriteeriumiga

(vt eelmist lõiget). Siin ootame eelnõu koostajatena nende arvude kohta tagasisidet, kas esialgsed

arvud on õiged või õiges suurusjärgus.

KüTS § 1 lg 12 punkt 1 on NIS2 direktiivi I lisas märgitud 1-a-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2019/944 elektrienergia siseturu ühiste normide kohta ja

millega muudetakse direktiivi 2012/27/EL (edaspidi direktiiv 2019/944) artikli 2 punktis 57

määratletud elektriettevõtjad, kes täidavad nimetatud direktiivi artikli 2 punktis 12 määratletud

tarnimise ülesannet). Mainitud direktiivi kohaselt on elektriettevõtja „füüsiline või juriidiline isik,

kes täidab vähemalt üht järgmistest ülesannetest: elektrienergia tootmine, ülekandmine,

jaotamine, agregeerimine, tarbimiskaja, energia salvestamine, tarnimine või ostmine, ning kes

vastutab nende ülesannetega seotud kaubanduslike, tehniliste või hooldusküsimuste eest;

käesolev mõiste ei hõlma lõpptarbijaid“. Lõpptarbija on sama direktiivi kohaselt tarbija, kes

ostab elektrienergiat oma tarbeks; st lõpptarbija ei müü elektrienergiat (hulgi) edasi. Eelduslikult

on lõpptarbija ka isik, kes toodab elektrienergiat näiteks päikesepaneeliga ning kasutab sellest

saadud elektrienergiat enda vajaduste jaoks.

Direktiiv 2019/944 on üle võetud elektrituruseadusesse elektrituruseaduse ja teiste seaduste

muutmise seaduse 426 SE-ga.22 Nimetatud seaduse eelnõu seletuskirja lisas 1 oleva

vastavustabeli (edaspidi 426 SE vastavustabel) kohaselt on direktiivi 2019/944 mõiste vasteks

elektrituruseaduse § 6 lõike 1 kohane elektriettevõtja, kes on „füüsiline või juriidiline isik, kes ei

ole tarbija ja kes tegeleb: tootmisega, ülekandmisega, jaotamisega, agregeerimisega, tarbimise

21 Komisjoni teatis Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 4 lõigete 1 ja

2 kohaldamise kohta 2023/C 328/02 - https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0918%2801%29&qid=1731940784346. 22 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/40352cd6-cbef-409f-ae11-c3af8ae0c613/.

18 / 151

juhtimisega, salvestamisega, müümisega või, ostmisega“. NIS2 direktiiv on kitsendanud

elektriettevõtja mõistet nii, et tegemist on „tarnimisega“ ning samal ajal ei tohi olla tegemist

„lõpptarbijaga“. Kui võrrelda direktiivi 2019/944 artikli 2 punktis 57 määratletud tegevusi (sh

terminit tarnimine), siis elektrituruseaduse § 6 lg-s 1 on sobivaim vaste „tarnimisele“

„müümine“. Seetõttu on eelnõu sõnastuse järgi tegemist elektrienergia müümisega.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10, kellest 10

lähevad nn suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 2 on NIS2 direktiivi I lisas märgitud 1-a-teine viide (direktiivi 2019/944

artikli 2 punktis 29 määratletud jaotusvõrguettevõtjad). Mainitud direktiivi kohaselt on

jaotusvõrguettevõtja „füüsiline või juriidiline isik, kes vastutab jaotusvõrgu käitamise, hoolduse

ja vajaduse korral arendamise eest teatud piirkonnas, ja asjakohasel juhul jaotusvõrgu sidumise

eest teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada mõistlikku nõudlust

elektrienergia jaotamise järele“. 426 SE vastavustabeli kohaselt on direktiivi 2019/944 mõiste

vasteks elektrituruseaduse § 8 lõike 3 kohane jaotusvõrguettevõtja, kes on „juriidiline isik, kes

osutab võrguteenust jaotusvõrgu kaudu ning vastutab jaotusvõrgu käitamise, hoolduse ja

arendamise eest oma teeninduspiirkonnas ja selle ühendamise eest teiste võrkudega.

Jaotusvõrguettevõtja tagab võrgu pikaajalise võime rahuldada mõistlikku nõudlust elektrienergia

jaotamise järele“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10, kellest 10

lähevad suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 3 on NIS2 direktiivi I lisas märgitud 1-a-kolmas viide (direktiivi 2019/944

artikli 2 punktis 35 määratletud põhivõrguettevõtjad). Mainitud direktiivi kohaselt on

põhivõrguettevõtja „füüsiline või juriidiline isik, kes vastutab põhivõrgu käitamise, hoolduse ja

vajaduse korral arendamise eest teatud piirkonnas, ja asjakohasel juhul põhivõrgu sidumise eest

teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada mõistlikku nõudlust

elektrienergia ülekandmise järele“. 426 SE vastavustabeli kohaselt on direktiivi 2019/944 mõiste

vasteks elektrituruseaduse § 8 lõike 2 kohane põhivõrguettevõtja, kes on „elektriettevõtja, kes

osutab võrguteenust põhivõrgu kaudu“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 4 on NIS2 direktiivi I lisas märgitud 1-a-neljas viide (direktiivi 2019/944

artikli 2 punktis 38 määratletud tootjad). Mainitud direktiivi kohaselt on tootja „elektrienergiat

tootev füüsiline või juriidiline isik“. 426 SE vastavustabeli kohaselt on direktiivi 2019/944 mõiste

vasteks elektrituruseaduse § 7 lõike 1 kohane tootja, kes on „elektriettevõtja, kes toodab

elektrienergiat ühe või mitme tootmisseadme abil“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 3 ja need lähevad ka

suuruse kriteeriumi alla.

19 / 151

KüTS § 1 lg 12 punkt 5 on NIS2 direktiivi I lisas märgitud 1-a-viies viide (Euroopa Parlamendi

ja nõukogu määruse (EL) 2019/943, milles käsitletakse elektrienergia siseturgu (edaspidi määrus

2019/943), artikli 2 punktis 8 määratletud määratud elektriturukorraldajad). Tolle määruse

kohaselt on määratud elektriturukorraldaja „turukorraldaja, kelle pädev asutus on nimetanud

täitma ülesandeid ühtse järgmise päeva turu mehhanismis või ühtse päevasisese turu

mehhanismis“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 6 on NIS2 direktiivi I lisas märgitud 1-a-kuues viide (määruse 2019/943

artikli 2 punktis 25 määratletud turuosalised, kes osutavad direktiivi 2019/944 artikli 2 punktides

18, 20 ja 59 määratletud agregeerimis-, tarbimiskaja- või energia salvestamise teenuseid).

Määruse 2019/943 artikli 2 punktis 25 on defineeritud turuosaliste kui „füüsiline või juriidiline

isik, kes toodab, ostab või müüb elektrit, tarbimiskaja või salvestamisteenuseid, mis hõlmab

kauplemiskorralduste andmist ühel või mitmel elektriturul, sealhulgas tasakaalustamisenergia

turgudel“. Direktiivi 2019/944 artikli 2 punktis 18 on defineeritud agregeerimine kui „füüsilise

või juriidilise isiku tegevus, mille käigus ühendatakse paljude tarbijate tarbimiskoormus või

toodetud elektrienergia elektriturul müümiseks, ostmiseks või oksjonile panemiseks“. 426 SE

vastavustabeli kohaselt on direktiivi 2019/944 mõiste vasteks elektrituruseaduse § 3 p 13 kohane

„tegevus, mille käigus ühendatakse tarbijate tarbimiskoormus või tootjate tootmisvõimsus

elektriturul müümiseks või ostmiseks“. Direktiivi 2019/944 artikli 2 punktis 20 on defineeritud

tarbimiskaja kui „elektri tarbimise koormuse muutmine lõpptarbijate poolt, mis seisneb

normaalse või jooksva tarbimise muutmises vastuseks turusignaalidele, sealhulgas vastuseks ajas

muutuvale elektrihinnale või rahalistele stiimulitele, või vastuseks lõpptarbija kas iseseisvalt või

energiavahendaja kaudu tehtud ja aktsepteeritud pakkumisele müüa komisjoni rakendusmääruse

(EL) nr 1348/2014 artikli 2 punktis 4 määratletud organiseeritud turu hinnaga tarbimise

vähendamist või suurenemist“. 426 SE vastavustabeli kohaselt on direktiivi 2019/944 mõiste

vasteks elektrituruseaduse § 3 p 233 kohane „elektri tarbimise koormuse juhtimine, mis seisneb

tarbija iseseisvas tarbimise muutmises või agregaatori kaudu tehtud ja aktsepteeritud pakkumises

müüa komisjoni rakendusmääruse (EL) nr 1348/2014, milles käsitletakse andmete esitamist ja

millega rakendatakse energia hulgimüügituru terviklikkust ja läbipaistvust käsitleva Euroopa

Parlamendi ja nõukogu määruse (EL) nr 1227/2011 artikli 8 lõiked 2 ja 6, artikli 2 punktis 4

määratletud organiseeritud turu hinnaga tarbimise vähendamist või suurendamist“. Direktiivi

2019/944 artikli 2 punktis 59 on defineeritud energia salvestamine kui „elektrivõrgus

elektrienergia lõppkasutamise edasilükkamine tootmise hetkest hilisemal ajale või elektrienergia

muundamine salvestatavaks energiaks, sellise energia salvestamine ning seejärel selle

taasmuundamine elektrienergiaks või kasutamine muu energiakandjana“. 426 SE vastavustabeli

kohaselt on direktiivi 2019/944 mõiste vaste elektrituruseaduse § 3 p-s 83, kuid õige viide peaks

olema p-le 82 (elektrienergia salvestamine): „elektrienergia muundamine salvestatavaks

energiaks, sellise energia salvestamine ja seejärel taasmuundamine elektrienergiaks või

20 / 151

kasutamine muu energiakandjana eesmärgiga lükata elektrienergia lõppkasutamine tootmise

hetkest hilisemale ajale või optimeerida koormusi elektrisüsteemis salvestusperioodi vältel“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 3 ja need lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 7 on NIS2 direktiivi I lisas märgitud 1-a-seitsmes viide (laadimispunkti

käitajad, kes vastutavad sellise laadimispunkti haldamise ja käitamise eest, mis osutab

lõppkasutajatele laadimisteenust, sealhulgas liikuvusteenuse osutaja nimel ja eest). NIS2 ei tee

siin viidet ühelegi muule Euroopa Liidu õigusaktile, kuid elektrituruseaduse § 3 punktis 131 on

defineeritud laadimispunkt kui „liides, millega on võimalik laadida korraga ühte elektrisõidukit

või vahetada korraga ühe elektrisõiduki aku“. Kaudselt on teemaga seotud ka

energiasalvestusüksuse mõiste, mis on defineeritud elektrituruseaduse § 3 punktis 84 kui

"elektripaigaldise osa, kus salvestatakse energiat, sealhulgas kahesuunalist laadimist võimaldav

elektrisõiduki laadimispunkt". Samuti on seotud elektrituruseaduse peatükk 62 (võrguettevõtja

kõrvaltegevusalad), mis sisaldab kahte teemat: elektrisõidukite laadimispunkt ning

energiasalvestusüksus.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 3 ja need lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 8 on NIS2 direktiivi I lisas märgitud 1-b-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2018/2001 taastuvatest energiaallikatest toodetud energia

kasutamise edendamise kohta (edaspidi direktiiv 2018/2001), artikli 2 punktis 19 määratletud

kaugkütte ja kaugjahutuse pakkujad). Mainitud direktiivi kohaselt on kaugküte ja kaugjahutus kui

„soojusenergia jaotamine võrgu kaudu auru, kuuma vee või jahutatud vedelikena kesksest

tootmisallikast või detsentraliseeritud tootmisallikatest mitmesse hoonesse või kohta, et kasutada

seda kütteks või jahutamiseks ruumis või protsessides“. Direktiiv 2018/2001 on üle võetud

energiamajanduse korralduse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise

seadus 382 SE-ga.23 Nimetatud seaduse eelnõu seletuskirja lisas 1 oleva vastavustabeli kohaselt

on direktiivi 2018/2001 mõiste vasteks kaugkütteseaduse § 2 punkt 1: „soojuse tootmine ja võrgu

kaudu jaotamine tarbijate varustamiseks soojusega kaugküttesüsteemi kaudu“.

Kaugkütteseaduses ei ole defineeritud kaugjahutust, mistõttu kommenteeritavas punktis olev

viide kaugkütteseadusele kohaldub ainult kaugkütte kohta. Energiamajanduse korralduse

seaduses on sõnu jahutus või kaugjahutus kasutatud, kuid ei ole defineeritud.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 40 ja need lähevad

ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 9 on NIS2 direktiivi I lisas märgitud 1-c-teine viide (nafta tootmise,

rafineerimise ja töötlemise rajatiste ning hoiustamise ja ülekandmisega tegelevad operaatorid).

23 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/18d86acd-7d58-4219-ac63-5fd6be58a90b/.

21 / 151

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid siin eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele.

KüTS § 1 lg 12 punkt 10 on NIS2 direktiivi I lisas märgitud 1-d-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi 2009/73/EÜ, mis käsitleb maagaasi siseturu ühiseeskirju ning

millega tunnistatakse kehtetuks direktiiv 2003/55/EÜ (edaspidi direktiiv 2009/73/EÜ), artikli 2

punktis 8 määratletud tarneettevõtjad). Nimetatud direktiiv on 3. augustil 2024 kehtetuks

tunnistatud Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2024/1788, mis käsitleb

taastuvatest energiaallikatest toodetud gaasi, maagaasi ja vesiniku siseturgude ühiseid norme ning

millega muudetakse direktiivi (EL) 2023/1791 ja tunnistatakse kehtetuks direktiiv 2009/73/EÜ

(edaspidi direktiiv 2024/1788). Direktiivi 2024/1788 artiklit 95 arvestades ning lähtuvalt selle

direktiivi IV lisas toodud direktiivi 2009/73/EÜ ja direktiivi 2024/1788 vastavustabelit, on

direktiivi 2009/73/EÜ artikli 2 punkti 8 vasteks direktiivi 2024/1788 artikli 2 punkt 29. Direktiivi

2009/73/EÜ artikli 2 punktis 8 defineeriti tarneettevõtjat kui „füüsiline või juriidiline isik, kes

täidab tarneülesannet“. Direktiivi 2024/1788 artikli 2 punkti 29 kohaselt on tarneettevõtja mõiste

definitsioon sama ehk „füüsiline või juriidiline isik, kes täidab tarneülesannet“. Väärib

mainimist, et kõnesoleva tarneettevõtja definitsiooniga on seotud ka direktiivi 2009/73/EÜ artikli

2 punkt 7 („tarnimine” – maagaasi, sealhulgas veeldatud maagaasi müük, kaasa arvatud

edasimüük tarbijale), mille vaste täiendatud kujul on direktiivi 2024/1788 artikli 2 punkt 28

(„tarnimine“ – maagaasi, sealhulgas veeldatud maagaasi, või vesiniku, sealhulgas vedela

orgaanilise vesiniku kandja kujul vesiniku või veeldatud vesiniku ja vesiniku derivaatide,

sealhulgas ammoniaagi või metanooli müük, kaasa arvatud edasimüük tarbijatele); samuti ka

direktiivi 2009/73/EÜ artikli 2 punkt 24 („tarbija” – maagaasi hulgimüüja või lõpptarbija ja

maagaasi ostev maagaasiettevõtja), mille vaste täiendatud kujul on direktiivi 2024/1788 artikli 2

punkt 47 („tarbija“ – maagaasi või vesiniku hulgimüüja või lõpptarbija ja maagaasi või

vesinikku ostev maagaasi- või vesinikuettevõtja).

Direktiiv 2009/73/EÜ võeti üle maagaasiseadusesse maagaasiseaduse muutmise seadusega 166

SE.24 Nimetatud seaduse eelnõu seletuskirjas oleva vastavustabeli (edaspidi 166 SE

vastavustabel) kohaselt on direktiivi 2009/73/EÜ artikli 2 punktis 8 nimetatud mõiste vasteks

maagaasiseaduse § 2 (täpsustamata konkreetset punkti), kuid tolles seaduses ei ole seda mõistet

rohkem selgitatud ega täpsustatud. Kui arvestada selle termini sisu eelviidatud direktiivides, siis

eelduslikult on siin seos maagaasiseaduse § 7 lõikega 4: „gaasi müük käesoleva seaduse

tähenduses on gaasi üleandmine isikule tasu eest“. Kõigest eeltoodust lähtuvalt on sõnastatud

kommenteeritav punkt: tegemist on maagaasi edasimüügiga tegeleva gaasiettevõtjaga, kes müüb

maagaasi (sh veeldatud maagaasi) maagaasi hulgimüüjale, lõpptarbijale ja maagaasi ostvale

gaasiettevõtjale; või sama tegevus edasimüügina. Eelnõu kommenteeritava punkti sõnastuses

lähtuti direktiivi 2009/73/EÜ sõnastusest (millele ka NIS2 direktiivis on viidatud), mitte

direktiivist 2024/1788, millest lähtumine kaasaks ka vesinikuga seotud sarnaseid tegevusi

tegevad ettevõtjad. Maagaasiseaduse §-s 4 on gaasiettevõtja defineeritud kui „ettevõtja, kes

24 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/5dea306a-39a3-43c7-9d74-e20d79ad6527/.

22 / 151

tegutseb vähemalt ühel tegevusalal, milleks on gaasi tootmine, import, ülekanne, jaotamine,

hoiustamine või müük, ning kes vastutab selle tegevusega seonduva kaubandusliku või

hooldusküsimuse lahendamise eest“. Eelnõu koostajatena ootame tagasisidet, kas

kommenteeritava punkti sõnastuse puhul tuleks lähtuda direktiivist 2024/1788 (ehk laiemast

sõnastusest võrreldes NIS2 direktiiviga) või direktiivist 2009/73/EÜ (eelnõus pakutud ehk

kitsamast sõnastusest).

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 11 on NIS2 direktiivi I lisas märgitud 1-d-teine viide (direktiivi

2009/73/EÜ artikli 2 punktis 6 määratletud jaotussüsteemi haldurid). Direktiivi 2009/73/EÜ

artikli 2 punkti 6 kohaselt on jaotussüsteemi haldur defineeritud kui „füüsiline või juriidiline isik,

kes täidab gaasi jaotamise ülesannet ja vastutab jaotussüsteemi kasutamise eest, tagades selle

hoolduse ja vajadusel jaotussüsteemi ehitamise teatud paikkonnas, ning vajadusel gaasivõrgu

vastastikuse ühendamise teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada

mõistlikku nõudlust gaasi jaotamise järele“. Tolle punkti vaste direktiivis 2024/1788 on artikli 2

punkt 20 sõnastuses: „füüsiline või juriidiline isik, kes täidab maagaasi jaotamise ülesannet ja

vastutab jaotussüsteemi käitamise, selle hoolduse tagamise ja vajaduse korral arendamise eest

teatud paikkonnas, ning kohaldataval juhul selle teiste süsteemidega ühendamise eest ning selle

eest, et on tagatud süsteemi pikaajaline võime rahuldada mõistlikku nõudlust maagaasi jaotamise

järele“. Siinse teemaga on seotud ka direktiivi 2009/73/EÜ artikli 2 punkt 5 („jaotamine” –

maagaasi transportimine kohalike või piirkondlike torustike kaudu tarbijatele, välja arvatud

tarnimine), mille vaste on direktiivi 2024/1788 artikli 2 punkt 19 („jaotamine“ – maagaasi

transportimine kohalike või piirkondlike torustike kaudu selle edastamiseks tarbijatele, välja

arvatud tarnimine).

166 SE vastavustabeli vaste on siin sama mis eelmise punkti puhul, kuid eelduslikult on siin seos

maagaasiseaduse § 7 lõikega 3: „Gaasi jaotamine käesoleva seaduse tähenduses on gaasi

transportimine piirkondlike või jaotustorustike kaudu tarbijapaigaldisteni, kokkulepitud

liitumispunktini või liitumispunktist jaotustorustikuni, kaasa arvatud ülekandevõrgu osa, mida

kasutatakse gaasi kohalikuks jaotamiseks“. Sõna „üksus“ kohta vt allpool esitatud selgitust.

Eelnõu kommenteeritava punkti sõnastuses lähtuti ennekõike direktiivi 2009/73/EÜ sõnastusest

(millele NIS2 direktiivis on ka viidatud), mitte direktiivist 2024/1788 – erisus on sõna

„ehitamine“ vs „arendamine“ (eelnõus kasutatakse viimast).

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 12 on NIS2 direktiivi I lisas märgitud 1-d-kolmas viide (direktiivi

2009/73/EÜ artikli 2 punktis 4 määratletud ülekandesüsteemi haldurid). Direktiivi 2009/73/EÜ

artikli 2 punkti 4 kohaselt on ülekandesüsteemi haldur defineeritud kui „füüsiline või juriidiline

isik, kes täidab ülekande ülesannet ja vastutab ülekandesüsteemi kasutamise eest, tagades selle

hoolduse ja vajadusel ülekandesüsteemi ehitamise teatud paikkonnas, ning vajadusel

23 / 151

gaasivõrkude vastastikuse ühendamise teiste võrkudega, ning kes tagab võrgu pikaajalise võime

rahuldada mõistlikku nõudlust gaasi transportimise järele“. Tolle punkti vaste direktiivis

2024/1788 on artikli 2 punkt 18 sõnastuses: „füüsiline või juriidiline isik, kes täidab ülekande

ülesannet ja vastutab ülekandesüsteemi käitamise, selle hoolduse tagamise ja vajaduse korral

ülekandesüsteemi arendamise eest teatud paikkonnas, ning kohaldataval juhul selle teiste

süsteemidega ühendamise eest, ning selle eest, et on tagatud süsteemi pikaajaline võime

rahuldada mõistlikku nõudlust maagaasi transportimise järele“.

166 SE vastavustabeli vaste on siin sama, mis kommenteeritava lõike punkti 11 puhul, kuid

eelduslikult on siin seos maagaasiseaduse § 7 lõikega 2: „Gaasi ülekanne käesoleva seaduse

tähenduses on gaasi transportimine ülekandevõrgu kaudu kokkulepitud liitumispunktini või

liitumispunktist ülekandevõrguni. Gaasi ülekandeks ei peeta tootmisetapi torustiku ega

ülekandevõrgu osa kasutamist gaasi kohalikuks jaotamiseks.“ Sõna „üksus“ kohta vt allpool

esitatud selgitust. Eelnõu kommenteeritava punkti sõnastuses lähtuti nii direktiivi 2009/73/EÜ

sõnastusest (millele NIS2 direktiivis on ka viidatud) kui ka direktiivis 2024/1788 olevast

sõnastusest.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 13 on NIS2 direktiivi I lisas märgitud 1-d-neljas viide (direktiivi

2009/73/EÜ artikli 2 punktis 10 määratletud hoidlatevõrgu haldurid). Direktiivi 2009/73/EÜ

artikli 2 punkti 10 kohaselt on hoidlatevõrgu haldur „füüsiline või juriidiline isik, kes täidab gaasi

hoiustamise ülesannet ja vastutab gaasihoidla kasutamise eest“. Tolle punkti vaste direktiivis

2024/1788 on artikli 2 punkt 32: „füüsiline või juriidiline isik, kes täidab maagaasi hoiustamise

ülesannet ja vastutab maagaasihoidla käitamise eest“.

Maagaasiseaduse § 2 punktis 17 on hoidlatevõrgu haldur defineeritud kui „isik, kes täidab gaasi

hoiustamise ülesannet ja vastutab gaasihoidla nõuetekohase kasutamise eest“. Seetõttu on

kommenteeritavas punktis viidatud hoidlatevõrgu haldurile maagaasiseaduse tähenduses.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 14 on NIS2 direktiivi I lisas märgitud 1-d-viies viide (direktiivi

2009/73/EÜ artikli 2 punktis 12 määratletud maagaasi veeldusjaamade haldurid). Direktiivi

2009/73/EÜ artikli 2 punkti 12 kohaselt on maagaasi veeldusjaamade haldur „füüsiline või

juriidiline isik, kes täidab maagaasi veeldamise või impordi, mahalaadimise ja taasgaasistamise

ülesannet ning vastutab maagaasi veeldusjaama kasutamise eest“. Tolle punkti vaste direktiivis

2024/1788 on artikli 2 punkt 34: „füüsiline või juriidiline isik, kes täidab maagaasi veeldamise

või veeldatud maagaasi impordi, mahalaadimise ja taasgaasistamise ülesannet ning vastutab

maagaasi veeldusjaama kasutamise eest“.

Maagaasiseaduse § 2 punktis 18 on veeldatud gaasi terminali haldur defineeritud kui „isik, kes

täidab gaasi veeldamise, impordi, ümberlaadimise ja taasgaasistamise ülesannet ning vastutab

24 / 151

gaasi veeldusjaama nõuetekohase kasutamise eest“. Seetõttu on kommenteeritavas punktis

viidatud veeldatud gaasi terminali haldurile maagaasiseaduse tähenduses.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 15 on NIS2 direktiivi I lisas märgitud 1-d-kuues viide (direktiivi

2009/73/EÜ artikli 2 punktis 1 määratletud maagaasiettevõtjad). Direktiivi 2009/73/EÜ artikli 2

punkti 1 kohaselt on maagaasiettevõtja „füüsiline või juriidiline isik, kelle vähemalt üks ülesanne

on maagaasi, sealhulgas veeldatud maagaasi tootmine, ülekandmine, jaotamine, tarnimine,

ostmine või hoiustamine, ning kes vastutab nende ülesannetega seotud kaubanduslike, tehniliste

ja/või hooldusküsimuste eest, välja arvatud lõpptarbijaid“. Tolle punkti vaste direktiivis

2024/1788 on artikli 2 punkt 15 sõnastuses: „füüsiline või juriidiline isik, kes tegeleb maagaasi,

sealhulgas veeldatud maagaasi tootmise, ülekandmise, jaotamise, tarnimise, ostmise või

hoiustamisega ning kes vastutab nende ülesannetega seotud kaubanduslike, tehniliste või

hooldusküsimuste eest, välja arvatud lõpptarbijad“.

Maagaasiseaduse §-s 4 on gaasiettevõtja defineeritud kui „ettevõtja, kes tegutseb vähemalt ühel

tegevusalal, milleks on gaasi tootmine, import, ülekanne, jaotamine, hoiustamine või müük, ning

kes vastutab selle tegevusega seonduva kaubandusliku või hooldusküsimuse lahendamise eest“.

Seetõttu on kommenteeritavas punktis viidatud gaasiettevõtjale maagaasiseaduse tähenduses.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 16 on NIS2 direktiivi I lisas märgitud 1-d-seitsmes viide (maagaasi

rafineerimise ja töötlemise rajatiste haldurid). Maagaasiseaduses sellekohast definitsiooni pole,

samuti mitte direktiivis 2024/1788, mistõttu on kasutatud NIS2 direktiivi I lisas olevat sõnastust.

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid eelnõu

koostajad ootavad tagasisidet, kas see vastab tõele.

KüTS § 1 lg 12 punkt 17 on NIS2 direktiivi I lisas märgitud 1-e-esimene viide (vesiniku

tootmise, hoiustamise ja ülekandmisega tegelevad operaatorid). Direktiiv 2009/73/EÜ ei sisalda

viiteid vesinikule ega sellega seotud üksustele, kuid direktiivis 2024/1788 on näiteks artikli 2

punktis 14 defineeritud vesinikuettevõtja kui „füüsiline või juriidiline isik, kes täidab vähemalt

üht järgmistest ülesannetest: vesiniku tootmine, transportimine, tarnimine, ostmine või

hoiustamine või vesinikuterminali käitamine, ning kes vastutab nende ülesannetega seotud

kaubanduslike, tehniliste või hooldusküsimuste eest, välja arvatud lõpptarbijad“.

Eelnõu koostajatena ootame tagasisidet, et kas kommenteeritava punkti sõnastuse puhul tuleks

lähtuda direktiivist 2024/1788 (ehk praktilises mõttes laiendada sõnastust võrreldes NIS2

direktiivi sõnastusega) või kasutada NIS2 direktiivi I lisa sõnastust (sama, mis eelnõus).

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele.

25 / 151

KüTS § 1 lg 12 punkt 18 on NIS2 direktiivi I lisas märgitud 2-a-esimene viide

(kommertsvaldkonnas tegutsevad määruse (EÜ) nr 300/2008, mis käsitleb

tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr

2320/2002, artikli 3 punktis 4 määratletud lennuettevõtjad). Viidatud määruse artikli 3 punkti 4

kohaselt on lennuettevõtjaks „kehtiva lennutegevusloaga või samaväärse loaga õhuveoettevõtja“.

Kommenteeritavasse punkti on lisatud lauseosa „kes tegutseb kommertsvaldkonnas“ et

kitsendada kohaldamisala nii nagu on NIS2 direktiivi I lisas ette nähtud.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 3 ja need lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 19 on NIS2 direktiivi I lisas märgitud 2-a-teine viide (Euroopa

Parlamendi ja nõukogu direktiivi 2009/12/EÜ, lennujaamatasude kohta (edaspidi direktiiv

2009/12/EÜ), artikli 2 punktis 2 määratletud lennujaama juhtorganid, nimetatud direktiivi artikli

2 punktis 1 määratletud lennujaamad, sealhulgas Euroopa Parlamendi ja nõukogu määruse (EL)

nr 1315/2013 II lisa 2. jaos loetletud põhivõrgu lennujaamad ning lennujaamades olevaid

abirajatisi käitavad üksused). Direktiivi 2009/12/EÜ artikli 2 punkti 2 kohaselt on lennujaama

juhtorgan „asutus, kelle ainuülesandeks või lisaülesandeks – olenevalt olukorrast – on riiklike

õigus- või haldusaktide või lepingute alusel lennujaama või lennujaamade võrgustiku

infrastruktuuri haldamine ja juhtimine ning asjaomases lennujaamas või lennujaamade

võrgustikus tegutsevate eri käitajate tegevuse koordineerimine ja kontrollimine“. Direktiivi

2009/12/EÜ artikli 2 punkti 1 kohaselt on lennujaam „mis tahes maa-ala, mis on spetsiaalselt

kohandatud õhusõidukite maandumiseks, õhkutõusmiseks ja manööverdamiseks, kaasa arvatud

lennuliikluse ja -teenuste nõuete täitmiseks vajalikud abirajatised, sealhulgas ärilendude

teenindamiseks vajalikud rajatised“.

Riigikogus 01.05.2022. a vastu võetud lennundusseaduse ja riigilõivuseaduse muutmise seadus

477 SE25 seletuskirja (edaspidi 477 SE seletuskiri) lk-del 57-58 on lennundusseaduse §-de 502 ja

503 kohta märgitud järgmist:

"LennS-i § 502 lg 1 jäetakse välja osa „(edaspidi käesolevas peatükis lennujaam)“. Terminit

„lennujaam“ kasutab LennS läbivalt ega ole põhjendatud anda seaduse eri osades sellele erinev

tähendus. Selleks, et LennS-i 82. peatükk kohalduks üksnes äriliseks lennuliikluseks avatud

suurima reisijate arvuga lennujaamale, ei ole vajalik, et terminil „lennujaam“ oleks 82. peatükis

ülejäänud seadusest erinev tähendus. Muudatus on vajalik, et LennS-i §-des 503 ja 504

defineeritud terminid oleksid kasutatavad ka eelnõuga LennS-i lisatavas peatükis 83. Ilma

muudatuseta oleks 83. peatükis vaja uuesti defineerida terminid „lennujaama haldaja“ ja

„lennujaama kasutaja“.

EL-i lennundusohutuse alusmäärus kasutab termini „lennujaam“ asemel terminit „lennuväli“.

LennS-is on kasutatud mõlemat. Kuna direktiivis 96/67/EÜ kasutatakse terminit „lennujaam“, on

25 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/d2392b95-c13e-44e0-b03d-069c1855fb53/.

26 / 151

eelnõus kasutatud maapealse teeninduse teenuste osutamise kontekstis samuti terminit

„lennujaam“.

Et korrastada LennS-is terminite „lennujaam“ ja „lennuväli“ kasutamine, eeldab kogu seaduse

süsteemset analüüsimist ja muutmist, ent see väljub käesoleva eelnõu raamest.

LennS-i § 503 muudetakse, et lennujaama haldaja definitsioon vastaks nii direktiivi 2009/12/EÜ

artikli 2 punktile 2 kui ka direktiivi 96/67/EÜ artikli 2 punktile c.

Paragrahvile lisatakse lõige 2, milles täpsustatakse lennujaama haldaja definitsiooni direktiivi

96/67/EÜ artikli 3 lõike 1 kohaselt.

Lõikes 2 täpsustatakse, et kui lennujaama juhib või haldab mitu eri isikut või organit, on LennS-i

tähenduses lennujaama haldaja iga selline isik või organ.

Paragrahvis 503 kasutatud termin „lennujaama haldaja“ erineb EL-i lennundusohutuse

alusmääruse artikli 3 punktis 14 kasutatud terminist „lennuvälja käitaja“, sest direktiivides

2009/12/EÜ ja 96/67/EÜ on kasutusel alusmäärusest erinevad terminid.

Et korrastada LennS-i terminite „lennujaama haldaja“ ja „lennuvälja käitaja“ kasutamine,

eeldab kogu seaduse süsteemset analüüsimist ja muutmist, ent see väljub käesoleva eelnõu

raamest.".

Lennundusseaduse § 503 lõikes 1 on märgitud, et „lennujaama haldaja on lennujaama haldav

isik, kelle ülesanne on õigusaktide ja lepingute alusel hallata ja juhtida lennujaama taristut ning

koordineerida ja kontrollida lennujaamas tegutsevate käitajate tegevust“ ning lõikes 2 on

sätestatud, et „kui lennujaama haldab mitu isikut, on lennujaama haldaja iga selline isik“.

Seetõttu ning arvestades 477 SE seletuskirjas olevaid selgitusi lennundusseaduse § 503 kohta, on

kommenteeritava punkti puhul siinses eelnõus otsustatud teha „lennujaama juhtorganite“ kohta

viide lennundusseaduses olevale lennujaama haldajale.

Euroopa Parlamendi ja nõukogu määrus (EL) nr 1315/2013 üleeuroopalise transpordivõrgu

arendamist käsitlevate liidu suuniste kohta ja millega tunnistatakse kehtetuks otsus nr

661/2010/EL (edaspidi määrus 1315/2013), tunnistati 17.07.2024. a kehtetuks Euroopa

Parlamendi ja nõukogu määrusega (EL) 2024/1679, milles käsitletakse liidu suuniseid

üleeuroopalise transpordivõrgu arendamise kohta ning millega muudetakse määrusi (EL)

2021/1153 ja (EL) nr 913/2010 ja tunnistatakse kehtetuks määrus (EL) nr 1315/2013 (edaspidi

määrus 2024/1679). Määruse 2024/1679 artikli 68 kohaselt käsitatakse viiteid kehtetuks

tunnistatud määrusele nr 1315/2013 viidetena määrusele 2024/1679 ja neid loetakse vastavalt VII

lisas esitatud vastavustabelile. Määruse nr 1315/2013 II lisa 2. jaos loetletud põhivõrgu

lennujaamadest on Eesti puhul lennujaama tulbas märgitud põhivõrgu lennujaamadena Tallinn ja

Tartu. Määruse 2024/1679 vastavustabeli (VII lisa) kohaselt vastab määruse nr 1315/2013 II lisa

määruse 2024/1679 II lisale (üleeuroopalise transpordivõrgu transpordisõlmede loetelu), mille

lennujaama tulbas on Eesti puhul märgitud põhivõrguna ainult Tallinn. Samas tabelis on

lennujaamade tulbas üldvõrguna märgitud Kärdla, Kuressaare, Pärnu ja Tartu. Arvestades, et

27 / 151

Tallinna lennujaam on hõlmatud ka direktiivi 2009/12/EÜ artikli 2 punkti 1 kohase lennujaama

definitsiooniga, pole eelnõus eraldi viidet Tallinnale kui määruse 2024/1679 II lisas märgitud

põhivõrgu lennuväljale. Eelnõus on tehtud viide nimetatud direktiivile, mitte Eesti õigusele

seetõttu, et lennundusseaduses ei ole lennujaama eraldi defineeritud.

NIS2 direktiiv ei täpsusta, mida peetakse silmas lennujaamas olevate abirajatisi käitavate

üksustena, kuid eelduslikult on siin nt Tallinna lennujaama puhul mõeldud ASi Tallinna

Lennujaam tütarettevõtjate (Tallinn Airport GH ja AS Airport City) tegevusi. Eelnõu

koostajatena ootame tagasisidet, kas nimetatud üksuste kirjeldus on selge ja arusaadav.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 20 on NIS2 direktiivi I lisas märgitud 2-a-kolmas viide (Euroopa

Parlamendi ja nõukogu määruse (EÜ) nr 549/2004, millega sätestatakse raamistik ühtse

Euroopa taeva loomiseks (raammäärus) (edaspidi määrus 549/2004) artikli 2 punktis 1

määratletud lennujuhtimise teenust osutavad liikluskorraldusettevõtjad). Määruse 549/2004

artikli 2 punkti 1 kohaselt on lennujuhtimine „teenindus, mille eesmärk on: a) kokkupõrgete

vältimine: i) õhusõidukite vahel ja 2) manööverdusalal olevate õhusõidukite ja takistuste vahel;

ning (b) lennuliikluse sujuvuse parandamine ja säilitamine“.

Sama määruse artikli 2 punkti 10 kohaselt on lennuliikluse korraldamine „kõik õhus ja maa peal

tehtavad toimingud (lennuliiklusteenused, õhuruumi korraldamine ja lennuliikluse voogude

juhtimine), mis on nõutavad õhusõiduki ohutu ja tõhusa liikumise tagamiseks kõikides

lennuetappides“. Seetõttu on eelnõus kommenteeritava punkti sõnastuses kasutatud sõna

„lennuliikluskorraldusettevõtja“, et oleks konkreetsemalt aru saada, et tegemist on lennunduse

valdkonnas tegutseva liiklust korraldava ettevõtjaga.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 21 on NIS2 direktiivi I lisas märgitud 2-b-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi 2012/34/EL, millega luuakse ühtne Euroopa raudteepiirkond

(edaspidi direktiiv 2012/34/EL), artikli 3 punktis 2 määratletud raudteeinfrastruktuuri-

ettevõtjad) ja teine viide (direktiivi 2012/34/EL artikli 3 punktis 3 määratletud raudteeveo-

ettevõtjad, sealhulgas nimetatud direktiivi artikli 3 punktis 12 määratletud teenindusrajatiste

käitajad).

Direktiivi 2012/34/EL artikli 3 punkti 2 kohaselt on raudteeinfrastruktuuri-ettevõtja „asutus või

ettevõtja, kes vastutab raudteevõrgustikul raudteeinfrastruktuuri käitamise, hooldamise ja

uuendamise ning samuti selle arendamises osalemise eest vastavalt liikmesriigi infrastruktuuri

arendamise ja rahastamise üldise poliitika raames sätestatule“. Raudteeseaduse § 2 punkt 14

defineerib raudteeinfrastruktuuriettevõtja kui: „raudtee-ettevõtja, kelle ülesanneteks on avalikul

raudteevõrgustikul raudteeinfrastruktuuri majandamine, käitamine, hooldamine ja uuendamine

ning raudteeinfrastruktuuri arendamises osalemine vastavalt [raudteeseaduse] § 73 lõikes 1

28 / 151

nimetatud tegevuskavale“. Raudteeseaduse § 2 punkt 13 defineerib raudtee-ettevõtja kui:

„füüsilisest isikust ettevõtja või äriühing, kelle tegevuseks on raudteevedu või kes täidab

raudteeinfrastruktuuriettevõtja ülesandeid“.

Direktiivi 2012/34/EL artikli 3 punkti 1 kohaselt on raudteeveo-ettevõtja „vastavalt [direktiivile

2012/34/EL] tegevusloa saanud avalik-õiguslik või eraõiguslik ettevõtja, kelle peamine

tegevusala on osutada raudtee-kaubaveoteenuseid ja/või raudtee-reisijateveo teenuseid ja kes on

kohustatud tagama veduriteenuse; see hõlmab ka ainult veduriteenust osutavaid ettevõtjaid“.

Raudteeseaduse § 2 punkti 29 järgi on raudteeveoettevõtja „vastava tegevusloa saanud ettevõtja,

kelle peamine tegevusala on raudteevedu ja kes on kohustatud tagama veduriteenuse, samuti isik,

kes osutab ainult veduriteenust“. Raudteeseaduse § 2 punkti 25 järgi on raudteevedu „kauba- või

reisijatevedu ja veduriteenuse osutamine raudteel või ainult veduriteenuse osutamine“.

Direktiivi 2012/34/EL artikli 3 punkti 12 kohaselt on teenindusrajatise käitaja „avalik-õiguslik või

eraõiguslik isik, kes on vastutav ühe või mitme teenindusrajatise juhtimise või ühe või mitme

[sama direktiivi] II lisa punktides 2–4 osutatud teenuse osutamise eest raudteeveo-ettevõtjatele“.

Raudteeseaduse § 95 lõige 95 defineerib teenindusrajatise käitaja kui: „ettevõtja, kes majandab

ühte või mitut teenindusrajatist või osutab ühes või mitmes teenindusrajatises asjakohast teenust

või [raudteeseaduse] § 94 lõikes 2 või 3 nimetatud teenust raudteeveoettevõtjale“.

Eeltoodu tõttu on kommenteeritavas punktis viidatud raudteeseaduse vastavatele mõistetele.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 2 ja need lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 22 on NIS2 direktiivi I lisas märgitud 2-c-esimene viide (Euroopa

Parlamendi ja nõukogu määruse (EÜ) nr 725/2004, laevade ja sadamarajatiste turvalisuse

tugevdamise kohta (edaspidi määrus 725/2004), I lisas meretranspordi puhul määratletud

reisijate ja kauba vedamisega sisevetes, merel ja rannavetes tegelevad ettevõtjad, välja arvatud

kõnealuste ettevõtjate käidatud üksikud laevad). Kommenteeritava punkti sõnastus on sama mis

NIS2 direktiivi I lisas. Lauseosa „välja arvatud kõnealuse ettevõtja käidatud üksikud laevad“

tähendab, et kohaldamisalas ei ole konkreetsed laevad ehk laevas olevad võrgu- ja infosüsteemid.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 5 ja nendest 3

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 23 on NIS2 direktiivi I lisas märgitud 2-c-teine viide (Euroopa

Parlamendi ja nõukogu direktiivi 2005/65/EÜ, sadamate turvalisuse tugevdamise kohta (edaspidi

direktiiv 2005/65/EÜ), artikli 3 punktis 1 määratletud sadamate valdajad, sealhulgas nende

määruse nr 725/2004 artikli 2 punktis 11 määratletud sadamarajatised ning sadamates tööde ja

varustuse haldamisega tegelevad üksused). Direktiivi 2005/65/EÜ artikli 3 punktis 1 on sadam

„teatud maa- ja veeala, mille piirid on määratlenud sadama asukoha liikmesriik ning mis

koosneb kaubandusliku meretranspordi hõlbustamiseks ette nähtud seadmetest ja rajatistest“.

Sadamaseaduse § 2 punktis 1 on sadam defineeritud kui „veesõidukite sildumiseks kohandatud ja

29 / 151

sadamateenuse osutamiseks kasutatav maa- ja veeala ning seal asuvad sadama sihtotstarbeliseks

kasutamiseks vajalikud ehitised“.

Kommenteeritavas punktis on kasutatud KüTS § 3 lg 1 p 4 ("sadamateenuse osutaja, kes on

sadamaseaduse tähenduses sellise sadama pidaja või sellise sadamarajatise valdaja, mis

teenindab 500-se ja enama kogumahutavusega laevu või rahvusvahelises meresõidus sõitvaid

reisilaevu sadama toimimise teenuse osutamisel") kehtiva sõnastuse eeskuju. Seetõttu on

kommenteeritavas punktis viide sadamaseadusele.

Määruse nr 725/2004 artikli 2 punktis 11 on sadamarajatis defineeritud kui: "laeva ja sadama

vahelise liidese koht; see hõlmab vastavalt asjaoludele ka selliseid alasid nagu ankrupaigad,

ooteplatvormid ja sildumisalad". Sadamaseaduse § 2 punktis 9 on sadamarajatus defineeritud

kui: „sadama maa-alal või akvatooriumil (edaspidi mõlemad koos sadamaala) turvanõuete

täitmiseks määratud laeva ja sadama vahelise koostöö ja liidese koht, mis hõlmab vajaduse

korral ka sadama territooriumi, akvatooriumi ja sissesõiduteed“. Kuna NIS2 direktiiv viitab

otsekohalduvale määrusele, on kommentaaritavas punktis viidatud nii määrusele kui ka

sadamaseadusele.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10 ja nendest 5

lähevad ka nn suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 24 on NIS2 direktiivi I lisas märgitud 2-c-kolmas viide (Euroopa

Parlamendi ja nõukogu direktiivi 2002/59/EÜ, millega luuakse ühenduse laevaliikluse seire- ja

teabesüsteem ning tunnistatakse kehtetuks nõukogu direktiiv 93/75/EMÜ (edaspidi direktiiv

2002/59/EÜ), artikli 3 punktis o määratletud laevaliikluse juhtimise keskuste (VTS) operaatorid).

Direktiivi 2002/59/EÜ artikli 3 punktis o on laevaliikluse juhtimise keskus (VTS) defineeritud

kui „talitus, mis on kavandatud laevaliikluse ohutuse ja tõhususe tõstmiseks ning keskkonna

kaitsmiseks ning mis suudab laevaliiklusega seoses infot vahetada ja reageerida laevaliikluse

juhtimise piirkonnas laevaliikluses tekkivatele olukordadele“.

Kommenteeritava punktiga seotud teemad on reguleeritud meresõiduohutuse seaduse 12.

peatükis, mille § 51 (laevaliikluse korraldamise süsteemi eesmärk) lg 2 kohaselt korraldab

nimetatud süsteemi tööd Transpordiamet. Sama paragrahvi lõikes 22 on sätestatud: „Laevaliikluse

korraldamise süsteemi tööpiirkond jaguneb laevaliiklusteeninduse piirkonnaks ja Soome lahe

laevaettekannete süsteemi piirkonnaks.“

Eelnõu koostajatena ootame tagasisidet, kas kommenteeritav punkt on vajalik, kui arvestada

asjaoluga, et Transpordiamet on KüTSi subjektiks (vt kavandatav KüTS § 1 lg 13 p 7 ja seotud §

2 p 12). Kui kommenteeritav punkt on vaja lisada, siis soovime teada, kas eelnõuga pakutud

sõnastus on sobivaim või tuleks kasutada muud sõnastust, näiteks konkreetsemat viidet

meresõiduohutuse seadusele vms.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

30 / 151

KüTS § 1 lg 12 punkt 25 on NIS2 direktiivi I lisas märgitud 2-d-teine viide (Euroopa

Parlamendi ja nõukogu direktiivi 2010/40/EL, mis käsitleb raamistikku intelligentsete

transpordisüsteemide kasutuselevõtmiseks maanteetranspordis ja liideste jaoks teiste

transpordiliikidega (edaspidi direktiiv 2010/40/EL), artikli 4 punktis 1 määratletud

intelligentsete transpordisüsteemide operaatorid). Direktiivi 2010/40/EL artikli 4 punktis 1 on

intelligentsed transpordisüsteemid defineeritud kui „süsteemid, milles info- ja sidetehnoloogiat

rakendatakse maanteetranspordi valdkonnas (sh infrastruktuur, sõidukid ja kasutajad),

liikluskorralduses ja liikuvuse juhtimises ning samuti liidesteks teiste transpordiliikidega.“

Liiklusseaduse § 61 lõikes 1 on intelligentne transpordisüsteem defineeritud kui „süsteem, milles

rakendatakse info- ja sidetehnoloogiat teeliikluse valdkonnas, sealhulgas infrastruktuur, sõidukid

ja kasutajad, liikluskorralduses ja liikuvuse juhtimises ning samuti liidesena teise

transpordiliigiga“. Seetõttu on tehtud ka viide liiklusseadusele. Operaatori all mõeldakse

juriidilist isikut, kes haldab intelligentset transpordisüsteemi.

Direktiiv 2010/40/EL võeti üle 02.05.2012. a liiklusseaduse muutmise seadusega 182 SE.26

Nimetatud seaduse eelnõu seletuskirja lk-l 2 on selgitatud liiklusseaduse § 61 lõike 1 sisu, sh et

intelligentse transpordisüsteemi „alla liigituvad näiteks ühistranspordi kasutajatele mõeldud

reaalaja infosüsteemid, samuti mitmesugused liikluse turvalisusele (automaatsed hoiatused jms)

või liiklusoludest sõltuvalt optimaalse marsruudi planeerimisele suunatud rakendused“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 5 ja nendest 3

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 26 on NIS2 direktiivi I lisas märgitud 3-esimene viide (Euroopa

Parlamendi ja nõukogu määruse (EL) nr 575/2013, krediidiasutuste ja investeerimisühingute

suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta

(edaspidi määrus 575/2013), artikli 4 punktis 1 määratletud krediidiasutused). Määruse 575/2013

artikli 4 punktis 1 on krediidiasutus defineeritud kui „ettevõtja, kelle äritegevus seisneb

järgmises:

a) hoiuste või muude tagasimakstavate vahendite vastuvõtmine avalikkuselt ja oma arvel laenu

andmine;

b) Euroopa Parlamendi ja nõukogu direktiivi 2014/65/EL I lisa A jao punktides 3 ja 6 osutatud

tegevus, kui täidetud on üks järgmistest tingimustest ning ettevõtja ei ole kaubadiiler, lubatud

heitkoguse väärtpaberite diiler, investeerimisfond ega kindlustusandja:

i) ettevõtja konsolideeritud vara koguväärtus on 30 miljardit eurot või rohkem;

ii) ettevõtja vara koguväärtus on alla 30 miljardi euro ning ettevõtja kuulub

konsolideerimisgruppi, mille puhul kõigi selliste sinna kuuluvate ettevõtjate, kes tegelevad

direktiivi 2014/65/EL I lisa A jao punktides 3 ja 6 osutatud tegevusega ja kellest iga üksiku

26 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/7cebb80f-133c-41b9-8e38-bd2b28661cb6/.

31 / 151

ettevõtja vara koguväärtus on alla 30 miljardi euro, konsolideeritud vara koguväärtus on 30

miljardit eurot või rohkem, või

iii) ettevõtja vara koguväärtus on alla 30 miljardi euro ning ettevõtja kuulub

konsolideerimisgruppi, mille puhul kõigi selliste sinna kuuluvate ettevõtjate, kes tegelevad

direktiivi 2014/65/EL I lisa A jao punktides 3 ja 6 osutatud tegevusega, konsolideeritud vara

koguväärtus on 30 miljardit eurot või rohkem, kui konsolideeritud järelevalvet tegev asutus

järelevalvekolleegiumiga konsulteerides nii otsustab, et käsitleda võimalikku nõuete täitmisest

kõrvalehoidmise riski ja võimalikke liidu finantsstabiilsust ohustavaid riske;

punkti b alapunktide ii ja iii kohaldamisel, kui ettevõtja kuulub kolmanda riigi

konsolideerimisgruppi, arvestatakse iga liidus tegevusloa saanud kolmanda riigi

konsolideerimisgrupi filiaali koguvara kõigi konsolideerimisgruppi kuuluvate ettevõtjate vara

koguväärtuse hulka.“

Arvestades NIS2 direktiivi artiklit 4, kohaldatakse DORA määruse artikli 2 lõike 1 punkti a tõttu

krediidiasutustele DORA määruse nõudeid (vt täpsemalt NIS2 artiklit 4 ja DORA määruse

põhjenduspunkte 15–18). Kommenteeritava punktiga seoses vt ka KüTS § 1 lõike 4 muudatuste

ning samasse paragrahvi kavandatava lõike 41 selgitusi.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10 ja need lähevad

ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 27 on NIS2 direktiivi I lisas märgitud 4-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi 2014/65/EL, finantsinstrumentide turgude kohta ning millega

muudetakse direktiive 2002/92/EÜ ja 2011/61/EL (edaspidi direktiiv 2014/65/EL), artikli 4

punktis 24 määratletud kauplemiskohtade korraldajad). Direktiivi 2014/65/EL artikli 4 punktis

24 on kauplemiskoht defineeritud kui „reguleeritud turg, mitmepoolne kauplemissüsteem või

organiseeritud kauplemissüsteem“. Siin on asjakohased sama direktiivi artikli punktid 21, 22 ja

23:

„21) „reguleeritud turg” – turukorraldaja poolt korraldatav ja/või juhitav mitmepoolne süsteem,

milles viiakse kokku mitmed kolmandate isikute omandamis- ja võõrandamishuvid seoses

süsteemis olevate finantsinstrumentidega või hõlbustatakse nende kokkuviimist vastavalt

ühetaolistele eeskirjadele, mille tulemuseks on lepingu sõlmimine seoses finantsinstrumentidega,

mis on süsteemi eeskirjade ja/või süsteemide kohaselt kauplemisele lubatud, ning millel on

tegevusluba ja mis toimib regulaarselt ja kooskõlas [direktiivi 2014/65/EL] III jaotisega;

22) „mitmepoolne kauplemissüsteem” – investeerimisühingu või turukorraldaja poolt

korraldatav mitmepoolne süsteem, milles viiakse kokku mitmed kolmandate isikute omandamis-

ja võõrandamishuvid seoses süsteemis olevate finantsinstrumentidega vastavalt ühetaolistele

eeskirjadele, mille tulemuseks on lepingu sõlmimine kooskõlas [direktiivi 2014/65/EL] II

jaotisega;

32 / 151

23) „organiseeritud kauplemissüsteem” – mitmepoolne süsteem, mis ei ole reguleeritud turg ega

mitmepoolne kauplemissüsteem ning mis võimaldab erinevate kolmandate isikute omandamis- ja

võõrandamishuvisid seoses võlakirjade, struktureeritud finantstoodete, lubatud heitkoguse

väärtpaberite või tuletisinstrumentidega viia süsteemis kokku selliselt, et kõnealuse kokkuviimise

tulemuseks on lepingu sõlmimine kooskõlas [direktiivi 2014/65/EL] II jaotisega;“.

Arvestades NIS2 direktiivi artiklit 4, kohaldatakse DORA määruse artikli 2 lõike 1 punkti i tõttu

kauplemiskohtadele DORA määruse nõudeid (vt täpsemalt NIS2 direktiivi artiklit 4 ja DORA

määruse põhjenduspunkte 15-18). Kommenteeritava punktiga seonduvalt vt ka KüTS § 1 lõike 4

muudatuste ning samasse paragrahvi kavandatava lõike 41 selgitusi.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 28 on NIS2 direktiivi I lisas märgitud 4-teine viide (Euroopa Parlamendi

ja nõukogu määruse (EL) nr 648/2012, börsiväliste tuletisinstrumentide, kesksete vastaspoolte ja

kauplemisteabehoidlate kohta (edaspidi määrus 648/2012), artikli 2 punktis 1 määratletud

kesksed vastaspooled). Määruse 648/2012 artikli 2 punktis 1 on keskne vastaspool defineeritud

kui „ühel või mitmel finantsturul kaubeldavate lepingute vastaspoolte vahel asuv juriidiline isik,

kes on iga müüja jaoks ostja ja iga ostja jaoks müüja“. Arvestades NIS2 direktiivi artiklit 4,

kohaldatakse DORA määruse artikli 2 lõike 1 punkti h tõttu kesksetele vastaspooltele DORA

määruse nõudeid (vt täpsemalt NIS2 direktiivi artiklit 4 ja DORA määruse põhjenduspunkte 15–

18). Kommenteeritava punktiga seonduvalt vt ka KüTS § 1 lõike 4 muudatuste ning samasse

paragrahvi kavandatava lõike 41 selgitusi.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 29 on NIS2 direktiivi I lisas märgitud 5-kolmas viide (üksused, mis

tegelevad Euroopa Parlamendi ja nõukogu direktiivi 2001/83/EÜ, inimtervishoius kasutatavaid

ravimeid käsitlevate ühenduse eeskirjade kohta (edaspidi direktiiv 2001/83/EÜ), artikli 1 punktis

2 määratletud ravimite uurimise ja arendamisega). Direktiivi 2001/83/EÜ artikli 1 punktis 2 on

ravim defineeritud kui: „a) aine või ainete kombinatsioon, mille omadused on ette nähtud

inimeste haiguste raviks või nende ärahoidmiseks; või b) kõik sellised ained või ainete

kombinatsioonid, mida võib kasutada või manustada inimeste meditsiiniliseks diagnoosimiseks

või füsioloogilise talitluse taastamiseks, parandamiseks või modifitseerimiseks farmakoloogilise,

immunoloogilise või ainevahetusliku toime avaldamise kaudu.“

Ravimiseaduse § 2 lõikes 1 on ravimiks „aine või ainete kombinatsioon, mis on mõeldud inimese

haiguse või haigussümptomi vältimiseks, diagnoosimiseks või ravimiseks, haigusseisundi

kergendamiseks või elutalitluse taastamiseks või muutmiseks farmakoloogilise, immunoloogilise

või metaboolse toime kaudu“. Sama paragrahvi lõikes 2 on märgitud: „Ravimina käsitatakse ka

veterinaarravimit Euroopa Parlamendi ja nõukogu määruse (EL) 2019/6 artikli 4 punkti 1

tähenduses“. Kuna NIS2 direktiivis olev viide on seotud inimestega seotud ravimitega, siis on

33 / 151

kommenteeritavasse punkti on lisatud välistus, et tegemist ei ole veterinaarravimiga Euroopa

Parlamendi ja nõukogu määruse (EL) 2019/6, mis käsitleb veterinaarravimeid ning millega

tunnistatakse kehtetuks direktiiv 2001/82/EÜ, artikli 4 punkti 1 tähenduses.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 30 on NIS2 direktiivi I lisas märgitud 5-neljas viide (NACE Rev. 2 C jao

jaotises 21 osutatud põhifarmaatsiatooteid ja ravimpreparaate tootvad üksused). Üldjuhul ei

viidata Eesti õigusaktides Eurostati klassifikaatorile NACE, vaid kasutatakse EMTAK 2008

klassifikaatorile, kuid eelnõus ei ole võimalik EMTAK-i kasutada, kuna see ei ühti üks-üheselt

NACE Revision 2 klassifikaatoriga. NACE Revision 2 jagu C jaotis 21 sisu ei ole sama EMTAK

C jao 21. osaga sama (EMTAKis on hõlmatud ka „provitamiinid“, „hormoonid“, „glükosiidid,

taimsed alkaloidid ning nende derivaadid“, „lüsiin, selle estrid ja nende soolad, glutamiinhape ja

selle soolad“, „luutaastustsementide tootmine“, „haavaplaastrite tootmine“ ning „kõrvaküünalde

tootmine“). Kui kommenteeritavas punktis kasutada viidet EMTAK 2008 klassifikaatorile, siis

siin toimuks NIS2 direktiivi laiendamine, kuid eelnõu eesmärgiks on NIS2 direktiiv võtta kitsalt

üle. Seetõttu on kommenteeritavas punktis viide Eurostati NACE 2 klassifikaatorile.

01.01.2025 hakkab kehtima EMTAK 2025 tegevusalade klassifikaator, mis asendab EMTAK

2008 klassifikaatori ning selle koostamisel on lähtutud NACE Revision 2.1 klassifikaatorist.27

Arvestades asjaolu, et NACE Revision 2.1 on uuem klassifikaator, siis kui eelnõus kasutada

viitena tollele klassifikaatorile või EMTAK 2025 klassifikaatorile, siis tolle klassifikaatori sisu on

eelduslikult samamoodi laiem kui NACE Revision 2, mis tähendaks, et eelnõu võtaks asjakohase

NIS2 direktiivi sätte üle laiendatult. Tegemist on eeldusega, kuna eelnõu koostamise käigus ei

olnud võimalik täpsemalt üle kontrollida nende versioonide erinevust, kuid see eeldus lähtub

eelmises tekstilõigus märgitud erisuste tuvastamisest NACE Revision 2 ja EMTAK 2008 vahel.

Seetõttu ei ole eelnõus kasutatud viitena EMTAK 2025 tegevusalade klassifikaatorile.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 3 ja need lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 31 on NIS2 direktiivi I lisas märgitud 5-viies viide (üksused, mis toodavad

rahvatervise hädaolukorras kriitilise tähtsusega meditsiiniseadmeid (rahvatervise hädaolukorra

esmatähtsate meditsiiniseadmete loetelu) Euroopa Parlamendi ja nõukogu määruse (EL)

2022/123, mis käsitleb Euroopa Ravimiameti suuremat rolli ravimite ja meditsiiniseadmete

alases kriisivalmiduses ja -ohjes (edaspidi määrus 2022/123), artikli 22 tähenduses). Määruse

2022/123 artikli 22 lõike 1 kohaselt, kohe pärast rahvatervise hädaolukorra olemasolu

tunnistamist konsulteerib meditsiiniseadmete nappuse juhtrühm sama määruse artikli 21 lõikes 5

osutatud juhtrühmaga; kohe pärast kõnealust konsulteerimist võtab meditsiiniseadmete nappuse

juhtrühm vastu selliste meditsiiniseadmete kategooriate loetelu, mida ta peab rahvatervise

27 Lisainfo: https://abiinfo.rik.ee/emtak/emtak2025.

34 / 151

hädaolukorras esmatähtsaks. Sama määruse artikli 22 lõike 3 kohaselt avaldab Euroopa

Ravimiamet oma veebiportaali spetsiaalsel veebilehel järgmise teabe:

„a) rahvatervise hädaolukorras esmatähtsate seadmete loetelu ja selle ajakohastatud versioonid

ning

b) teave rahvatervise hädaolukorras esmatähtsate seadmete loetellu kantud esmatähtsate

meditsiiniseadmete tegeliku nappuse kohta.“

Euroopa Ravimiametis on sel teemal loodud eraldi töörühm, millega seotud info on leitav siit:

https://www.ema.europa.eu/en/about-us/what-we-do/crisis-preparedness-management/executive-

steering-group-shortages-medical-devices.

Meditsiiniseadme seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse

(pädevuse andmine Ravimiametile) 448 SE28 seletuskirjas (lk 2) peatükis 2 märgitud:

„Meditsiiniseadmed on väga varieeruv ja suur rühm tooteid, mille kasutamine on igapäevane

tervishoiuteenuse osutamisega tegelevates asutustes, kuid ka väga paljudes kodudes.

Meditsiiniseadmed on näiteks plaastrid, termomeetrid ja kiirtestid, aga ka keerukad süsteemid,

mida kasutatakse tervishoiuasutustes. Samuti on meditsiiniseadmetena määratletavad mõned

tarkvarad, mida kasutatakse tervishoius ja meditsiinilistest toimingutes. Hinnanguliselt on

meditsiiniseadmete andmekogu alusel Eestis ligikaudu 200 meditsiiniseadmete tootjat ja

ligikaudu 650 levitajat. See arv on tegelikkuses suurem, kuna levitamisest teavitamise kohustus ei

laiene kõige madalama riskitasemega seadmetele, samuti ei täida kahjuks kõik ettevõtjad oma

seadusest tulenevalt levitamisest teavitamise kohustust ja Eestis on väike hulk ettevõtjaid, kes

tegutsevad volitatud esindaja või importijana.“

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid siin eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele. Eriti, kui arvestada eelnevalt viidatud

seletuskirjas olevat ülevaadet Eestis olevate meditsiiniseadme tootjate ja levitajate kohta.

KüTS § 1 lg 12 punkt 32 on NIS2 direktiivi I lisas märgitud 6-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2020/2184, olmevee kvaliteedi kohta (edaspidi direktiiv

2020/2184), artikli 2 punkti 1 alapunktis a määratletud olmeveega varustajad ja olmevee

jaotajad, välja arvatud jaotajad, kelle puhul olmevee jaotamine on väheoluline osa nende

üldisest muude tarbekaupade ja kaupade tarnimistegevusest). Direktiivi 2020/2184 artikli 2

punkti 1 alapunktis a on defineeritud olmevesi kui:

„a) vesi, algkujul või pärast töötlemist, mis on mõeldud joomiseks, keetmiseks,

toiduvalmistamiseks ja muudeks olmeotstarveteks nii avalikes kui eravaldustes, olenemata vee

päritolust ning sellest, kas veevarustus toimub jaotusvõrgu kaudu, vett antakse tsisternist või on

vesi villitud pudelitesse või mahutitesse; hõlmatud on ka allikavesi;

28 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/7bc329c3-f351-44bb-aed6-30c8dadc5759/meditsiiniseadme-

seaduse-muutmise-ja-sellega-seonduvalt-teiste-seaduste-muutmise-seadus-padevuse-andmine-ravimiametile/.

35 / 151

b) vesi, mida toidukäitlemisettevõtja kasutab toiduks mõeldud toodete või ainete tootmiseks,

töötlemiseks, säilitamiseks või turustamiseks“.

Joogiveeseaduse §-s 17 on joogivesi defineeritud kui:

„(1) Joogivesi [joogiveeseaduse] tähenduses on algkujul või töödeldud vesi, sealhulgas

allikavesi, mis on mõeldud joomiseks, keetmiseks, toiduvalmistamiseks või muuks olmeotstarbeks

kõigis omandivormides, olenemata vee päritolust ning sellest, kas see toimetatakse tarbijani

jaotusvõrgu kaudu, paagiga, pudelis või mahutis.

(2) Joogiveeks nimetatakse ka vett, mida toidukäitleja Euroopa Parlamendi ja nõukogu määruse

(EÜ) nr 178/2002, millega sätestatakse toidualaste õigusnormide üldised põhimõtted ja nõuded,

asutatakse Euroopa Toiduohutusamet ja kehtestatakse toidu ohutusega seotud menetlused (EÜT

L 31, 01.02.2002, lk 1–24), artikli 3 punkti 3 tähenduses kasutab inimesele tarbimiseks mõeldud

toodete või ainete tootmiseks, töötlemiseks, säilitamiseks või turustamiseks.“

Joogiveeseaduse § 17 lõikes 2 oleva viite definitsioon on sama, mis on direktiivi 2020/2184

artikli 2 punkti 1 alapunktis a, kuid kuna NIS2 direktiiv hõlmab ainult seda alapunkti a, siis tuleb

kommenteeritavas punktis teha täpsustus, et tegemist on joogiveega joogiveeseaduse § 17 lõike 1

tähenduses.

NIS2 direktiiv ei anna selgust, mida tuleks pidada „väheolulise osana“, mistõttu selle lauseosa

puhul ei ole võimalik anda täiendavat selgitust. Eelnõu koostajatena ootame tagasisidet, kuidas

seda lauseosa tõlgendada või sisustada.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 60 ja need lähevad

ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 33 on NIS2 direktiivi I lisas märgitud 7-esimene viide (ettevõtjad, kes

tegelevad nõukogu direktiivi 91/271/EMÜ, asulareovee puhastamise kohta (edaspidi direktiiv

91/271/EMÜ), artikli 2 punktides 1, 2 ja 3 määratletud asulareovee, olmereovee või

tööstusreovee kogumise, ärajuhtimise või puhastamisega, välja arvatud ettevõtjad, kelle puhul

asulareovee, olmereovee või tööstusreovee kogumine, ärajuhtimine või puhastamine on

väheoluline osa nende üldisest tegevusest). Direktiivi 91/271/EMÜ artikli 2 punktides 1, 2 ja 3 on

asulareovesi, olmereovesi ja tööstusreovesi defineeritud kui:

„1. asulareovesi — olmereovesi või olme- ja tööstusreovee ja/või mahasadanud vihmavee segu;

2. olmereovesi — asulate ja nendega seotud rajatiste reovesi, mis pärineb peamiselt inimeste

ainevahetusest ja majapidamistegevusest;

3. tööstusreovesi — igasugune reovesi, mis väljub mis tahes kaubandusliku või tööstusliku

tegevuse sooritamiseks kasutatavast hoonest ja mis ei ole ei olmereovesi ega mahasadanud

vihmavesi“.

Reovee ärajuhtimist ühiskanalisatsiooni kaudu ja selle puhastamist reguleerib ühisveevärgi ja -

kanalisatsiooni seadus, kuid selles ei ole eraldi defineeritud asulareovett, olmereovett ega

36 / 151

tööstusreovett. Seetõttu on kommenteeritavas punktis viide direktiivile 91/271/EMÜ vastavatele

sätetele.

NIS2 direktiiv ei anna selgust, mida tuleks pidada „väheolulise osana“, mistõttu selle lauseosa

puhul ei ole võimalik anda täiendavat selgitust. Eelnõu koostajatena ootame tagasisidet, kuidas

seda lauseosa tõlgendada või sisustada.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 60 ja need lähevad

ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 34 on NIS2 direktiivi I lisas märgitud 8-esimene viide (interneti

vahetuspunkti teenuse osutajad). Interneti vahetuspunkti sisu on defineeritud NIS2 direktiivi

artikli 6 punktis 18, mis võetakse üle KüTS § 2 punktiga 41. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 2 ja need lähevad ka suuruse kriteeriumi

alla.

KüTS § 1 lg 12 punkt 35 on NIS2 direktiivi I lisas märgitud 8-teine viide

(domeeninimesüsteemide süsteemi teenuse osutajad, välja arvatud juurnimeserverite

operaatorid). Domeeninimede süsteemi teenuse osutaja sisu on defineeritud NIS2 direktiivi

artikli 6 punktis 19, mis võetakse üle KüTS § 2 punktiga 43. Selle mõistega on seotud ka NIS2

direktiivi artikli 6 punktis 19 sätestatud domeeninimede süsteemi mõiste, mis võetakse üle KüTS

§ 2 punktiga 42, samuti NIS2 direktiivi põhjenduspunkt 32. NIS2 direktiiv ei selgita, mida

mõeldakse juurnimeserveri (ingl k root name server) all, kuid Tartu Ülikooli matemaatika-

informaatikateaduskonna arvutiteaduse instituudi 2010. a välja antud raamatu „Sissejuhatus

võrgutehnoloogiasse“ lk-l 80 on märgitud, et nimeserverid jaotatakse oma funktsiooni poolest

mitmesse erinevasse tüüpi ning juurnimeserveri kohta on mainitud järgnevat: „Need on

nimeruumi juurikas asuvad teistest nimeserveritest natuke erinevad nimeserverid, mis on DNS

selgrooks. Nemad annavad viite vastavat domeeninime haldavale nimeserverile“.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 600 ja need lähevad

ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 36 on NIS2 direktiivi I lisas märgitud 8-neljas viide

(pilvandmetöötlusteenuse osutajad). Pilvandmetöötlusteenuse sisu on defineeritud NIS2 direktiivi

artikli 6 punktis 30, mis võetakse üle KüTS § 2 punktiga 7. Kommenteeritava punktiga on seotud

ka NIS2 direktiivi põhjenduspunkt 33. Esialgsel hinnangul on kommenteeritava punkti

sõnastusele vastavaid üksusi 10 ja need lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 37 on NIS2 direktiivi I lisas märgitud 8-viies viide (andmekeskusteenuse

osutajad). Andmekeskusteenuse sisu on defineeritud NIS2 direktiivi artikli 6 punktis 31, mis

võetakse üle KüTS § 2 punktiga 71. Esialgsel hinnangul on kommenteeritava punkti sõnastusele

vastavaid üksusi 20 ja nendest 10 lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 38 on NIS2 direktiivi I lisas märgitud 8-kuues viide (sisulevivõrguteenuse

osutajad). Sisulevivõrgu sisu on defineeritud NIS2 direktiivi artikli 6 punktis 32, mis võetakse

37 / 151

üle KüTS § 2 punktiga 72. Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid

üksusi 5 ja nendest 3 lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 39 on NIS2 direktiivi I lisas märgitud 9-esimene viide (hallatud teenuse

osutajad). Hallatud teenuse osutaja sisu on defineeritud NIS2 direktiivi artikli 6 punktis 39, mis

võetakse üle KüTS § 2 punktiga 11. Esialgsel hinnangul on kommenteeritava punkti sõnastusele

vastavaid üksusi 20 ja nendest 10 lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 40 on NIS2 direktiivi I lisas märgitud 9-teine viide (turbetarnijad).

Eelnõus on siin kasutatud turbetarnija asemel sõnastust „hallatud turbeteenuste osutaja“, kuna

eelnõuga pakutav sõnastus on tõlke mõttes selgem mõiste kui turbetarnija. Turbetarnija mõiste

sisu on defineeritud NIS2 direktiivi artikli 6 punktis 40, mis võetakse üle KüTS § 2 punktiga 12.

Eelnõu koostamisel on olnud arutelu Euroopa Liidu jurist-lingvistidega, et NIS2 direktiivi

vastava mõiste sõnastust parandada ehk asendada sõna „turbetarnija“ sõnadega „hallatud teenuste

osutaja“. Vastav sõnastus on sama, mis on kübersolidaarsuse määruse eelnõu tekstis29 olev

sõnastus ehk „hallatud turbeteenuste osutaja“, mis omakorda viitab selle defineerimisel ka

eelmainitud NIS2 direktiivi sättele. Esialgsel hinnangul on kommenteeritava punkti sõnastusele

vastavaid üksusi 10 ja nendest 5 lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 41 on NIS2 direktiivi I lisas märgitud 11-esimene viide (liikmesriigi või

eraõiguslike isikute omandis olevate, hallatavate või käitatavate maapealsete taristute

operaatorid, kes toetavad kosmosepõhiste teenuste osutamist, välja arvatud elektroonilise side

võrkude pakkujad). Kommenteeritava punktiga on seotud ka NIS2 direktiivi põhjenduspunkt 37.

NIS2 direktiiv ei anna rohkem selgitusi, milliste üksustega on selle puhul tegemist. Eelnõu

koostajatena ootame tagasisidet, et kuidas seda subjekti tõlgendada või sisustada.

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele.

KüTS § 1 lg 12 punkt 42 on NIS2 direktiivi II lisas märgitud 1-esimene viide (Euroopa

Parlamendi ja nõukogu direktiivi 97/67/EÜ, ühenduse postiteenuste siseturu arengut ja teenuse

kvaliteedi parandamist käsitlevate ühiseeskirjade kohta (edaspidi direktiiv 97/67/EÜ), artikli 2

punktis 1a määratletud postiteenuste osutajad, sealhulgas kulleriteenuste osutajad). Direktiivi

97/67/EÜ artikli 2 punktis 1a on postiteenuse osutaja defineeritud kui „ettevõtja, kes osutab ühte

või mitut postiteenust“. Teemaga on seotud ka sama direktiivi artikli 2 punktis 1 sätestatud

postiteenused, milleks on „teenused, mis hõlmavad postisaadetise kogumist, sorteerimist,

transporti ja jaotamist“.

Postiseaduse § 2 lõike 1 kohaselt on postiteenuse sisuks „adresseeritud postisaadetise

edastamine majandustegevusena“ ning lõike 2 kohaselt on edastamine „protsess, mis hõlmab

postisaadetise kogumist, sorteerimist, vedu ja saajale kättetoimetamist“. Postiseaduse § 4 lg 1

sätestab postisaadetise sisu (sh sama paragrahvi lõiked 2–4 selgitavad seda) ning sama paragrahvi

29 Kättesaadav: https://www.europarl.europa.eu/doceo/document/TA-9-2024-0355_ET.html.

38 / 151

lõige 5 sisustab postiteenuse sisu (sh sama paragrahvi lõiked 6–11 selgitavad seda). Postiseaduse

§ 22 lõike 1 kohaselt on postiteenuse osutaja „ettevõtja, kes osutab ühte või või mitut

postiteenust“ ning et „ainult postisaadetiste vedu ei ole postiteenuse osutamine“.

NIS2 direktiiv hõlmab subjektiks ka „kullerteenuste osutajad“, kuid ei täpsusta, mida nende all

mõeldakse. Direktiivis 97/67/EÜ on kullerposti teemal põhjenduspunktides 17 ja 18 märgitud:

„(17) vähemalt 350 grammi kaaluvad kirjasaadetised moodustavad alla 2 % kirjadest ja alla 3 %

avalik-õiguslike ettevõtjate laekumistest; hinna määramise põhimõtted (viiekordne põhihind)

võimaldavad paremini vahet teha reserveeritud teenuse ja liberaliseeritud kullerposti teenuse

vahel;

(18) silmas pidades asjaolu, et põhiline erinevus kullerposti ja universaalse postiteenuse vahel

seisneb kullerposti teenustega kaasnevas ja klientidele tajutavas lisandväärtuses (olenemata selle

vormist), saab tajutava lisaväärtuse kõige tõhusamalt kindlaks määrata nii, et võetakse arvesse

lisahinda, mida kliendid on valmis maksma; see ei piira reserveeritud valdkonnas järgitava

hinnapiirangu kohaldamist“.

Direktiivi 97/67/EÜ selgituse puhul tuleb arvestada ka asjaoluga, et tegemist on 1997. aastast

pärit direktiiviga, mida viimati uuendati 2015. aastal. Postiseaduses on kullerite temaatika osas

sätestatud kullerpostisaadetise edastamist (vt postiseaduse § 4 lg 5 punkti 4 ja lg 9), kuid ei ole

üheselt selge, kas see on sama, mis on NIS2 direktiivi mõttes kullerteenuse osutamine. Kui see on

sama, siis see on juba hõlmatud postiteenuse osutajaga. Samas on NIS2 direktiivi

põhjenduspunktis 12 postiteenuse osutajate, sh kullerpostiteenuse osutajate osas märgitud

järgmist:

„(12) [Direktiivis 97/67/EÜ] määratletud postiteenuse osutajate, sealhulgas kullerpostiteenuse

osutajate suhtes tuleks kohaldada [NIS2 direktiivi] juhul, kui nad osutavad vähemalt ühe

postiteenuseahela etapi teenust, eeskätt kogumis-, sorteerimis- või jaotamisteenust, sealhulgas

järeletulemise teenused, võttes arvesse nende võrgu- ja infosüsteemidest sõltuvuse määra.

Transporditeenust, mida ei osutata ühegi nimetatud etapi raames, ei peaks käsitama

postiteenusena.“

Eelnõu koostajatena ootame tagasisidet, et kuidas eelmainitud lauseosa („kullerteenuse osutajad“)

tõlgendada või sisustada.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 20 ja nendest 10

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 43 on NIS2 direktiivi II lisas märgitud 2-esimene viide (ettevõtjad, kes

tegelevad Euroopa Parlamendi ja nõukogu direktiivi 2008/98/EÜ, mis käsitleb jäätmeid ja

millega tunnistatakse kehtetuks teatud direktiivid (edaspidi direktiiv 2008/98/EÜ), artikli 3

punktis 9 määratletud jäätmekäitlusega, välja arvatud ettevõtjad, kelle põhitegevus ei ole

jäätmekäitlus). Direktiivi 2008/98/EÜ artikli 3 punktis 9 on jäätmekäitluseks „jäätmete

kogumine, vedu, taaskasutamine (sealhulgas sortimine) ja kõrvaldamine, sealhulgas nende

39 / 151

toimingute järelevalve ning jäätmekõrvaldamiskohtade järelhooldus, sealhulgas vahendaja ja

edasimüüja tegevus“. Selles definitsioonis on ka mõningaid mõisteid, mida avavad sama artikli

punktid 1, 7, 8, 14, 15 ja 19:

„1) „jäätmed” – mis tahes ained või esemed, mille valdaja ära viskab, kavatseb ära visata või on

kohustatud ära viskama;

7) „edasimüüja” – iga ettevõtja, kes tegutseb printsipiaalina jäätmeid ostes ja seejärel müües,

kaasa arvatud need edasimüüjad, kes jäätmeid füüsiliselt ei valda;

8) „vahendaja” – iga ettevõtja, kes korraldab teiste nimel jäätmete taaskasutamist või

kõrvaldamist, kaasa arvatud need vahendajad, kes jäätmeid füüsiliselt ei valda;

14) „töötlemine” – taaskasutamis- või kõrvaldamistoimingud, kaasaarvatud taaskasutamise või

kõrvaldamise eelne ettevalmistus;

15) „taaskasutamine” – mis tahes toimingud, mille peamiseks tulemuseks on jäätmete

kasutamine kasulikul otstarbel selliselt, et nad asendavad teisi materjale, mida muidu oleks

kasutatud teatava funktsiooni täitmiseks, või jäätmete ettevalmistamine selle funktsiooni

täitmiseks kas tootmises või majanduses laiemalt. [Direktiivi 2008/98/EÜ] II lisas esitatakse

taaskasutamistoimingute mitteammendav loetelu;

19) „kõrvaldamine” – mis tahes toiming, mis ei ole taaskasutamine, isegi kui toimingul on

teisene tagajärg ainete või energia taasväärtustamise näol. [Direktiivi 2008/98/EÜ] I lisas

esitatakse kõrvaldamistoimingute mitteammendav loetelu“.

Jäätmeseaduse § 13 defineerib jäätmekäitluse kui „jäätmete kogumine, vedamine,

taaskasutamine, sealhulgas sortimine, ja kõrvaldamine, sealhulgas vahendamine või

edasimüümine“. Selle definitsiooni tegevustega seotult on asjakohased sama seaduse § 14

(reguleerib jäätmete kogumist, liigiti kogumist ja vedamist), § 15 (reguleerib jäätmete

taaskasutamist ja taaskasutamismooduseid), § 16 (reguleerib jäätmete töötlemist), § 17

(reguleerib jäätmete kõrvaldamist) ning kaudselt ka § 987 lg 2 punktid 4 ja 5 (reguleerib

Keskkonnaametis registreerimist, kui isik: korraldab vahendajana jäätmete kõrvaldamist või

taaskasutamist teiste nimel; või tegutseb jäätmete edasimüüjana).

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 50 ja nendest 20

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 44 on NIS2 direktiivi II lisas märgitud 3-esimene viide (ettevõtjad, kes

tegelevad Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1907/2006, mis käsitleb

kemikaalide registreerimist, hindamist, autoriseerimist ja piiramist (REACH) ja millega

asutatakse Euroopa Kemikaalide Agentuur ning muudetakse direktiivi 1999/45/EÜ ja

tunnistatakse kehtetuks nõukogu määrus (EMÜ) nr 793/93, komisjoni määrus (EÜ) nr 1488/94

ning samuti nõukogu direktiiv 76/769/EMÜ ja komisjoni direktiivid 91/155/EMÜ, 93/67/EMÜ,

93/105/EÜ ja 2000/21/EÜ (edaspidi määrus 1907/2006), artikli 3 punktides 9 ja 14 osutatud

ainete valmistamisega ning ainete või segude levitamisega, ning ettevõtjad, kes toodavad ainetest

40 / 151

või segudest kõnealuse määruse artikli 3 punktis 3 määratletud tooteid). Määruse 1907/2006

artikli 3 punktides 3, 9 ja 14 on defineeritud järgmised mõisted, sh on teemaga seotud ka

punktides 1 ning 12 olevad mõisted:

„1. aine — looduslik või tootmismenetluse teel saadud keemiline element või selle ühendid koos

püsivuse säilitamiseks vajalike ja tootmismenetlusest johtuvate lisanditega, välja arvatud

lahustid, mida on võimalik ainest eraldada, mõjutamata aine püsivust või muutmata selle

koostist;

3. toode — ese, millele antakse tootmise käigus teatud kuju, pinnaviimistlus või kujundus, mis

määrab tema funktsiooni suuremal määral kui tema keemiline koostis;

9. tootja — ühenduses asutatud füüsiline või juriidiline isik, kes toodab ainet ühenduse piires;

12. turuleviimine — kolmandatele isikutele tasu eest või tasuta tarnimine või kättesaadavaks

tegemine. Importi käsitatakse turuleviimisena;

14. levitaja — ühenduses asutatud füüsiline või juriidiline isik, kaasa arvatud jaemüüja, kes

üksnes ladustab ainet ja viib aine turule ainena või segu koostisainena kolmandate isikute

jaoks“.

NIS2 direktiiv ei täpsusta, et mis laadi ainete või toodetega on tegemist ehk tegemist on kõiksugu

kemikaalsete ainetega, hoolimata sellest, kas siin on tegemist potentsiaalselt tööstuslike

kemikaalide või igapäevakasutuses olevate kemikaalidega. Samas võib eeldada, et siin on ainete

valmistamise ning ainete või segude levitamise puhul mõeldud neid üksusi, kes peavad end

määruse 1907/2006 kohaselt registreerima.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10 ja nendest 5

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 45 on NIS2 direktiivi II lisas märgitud 4-esimene viide (Euroopa

Parlamendi ja nõukogu määruse (EÜ) nr 178/2002, millega sätestatakse toidualaste

õigusnormide üldised põhimõtted ja nõuded, asutatakse Euroopa Toiduohutusamet ja

kehtestatakse toidu ohutusega seotud menetlused (edaspidi määrus 178/2002), artikli 3 punktis 2

määratletud toidukäitlemisettevõtjad, kes tegelevad hulgimüügi ning tööstusliku tootmise ja

töötlemisega).

Määruse 178/2002 artikli 3 punktis 2 on toidukäitlemisettevõtjaks „avalik või eraõiguslik

kasumit taotlev või kasumitaotluseta juriidiline isik, kes on seotud toidu ükskõik millisel tootmis-,

töötlemis- või turustusetapil toimuva mis tahes tegevusega“. Tolle mõiste definitsiooni kohaselt

on tegemist ükskõik millise toidu tootmis- töötlemis- või turustusetapil toimuva mis tahes

tegevusega, kuid NIS2 direktiiv näeb ette, et NIS2 direktiivi alla hõlmatakse ainult hulgimüük,

tööstuslik tootmine ja töötlemine. Sellest on ka lähtutud kommenteeritava punkti sõnastamisel.

Eelduslikult kommenteeritava punkti alla ei hõlmata näiteks jaemüüki – see mõiste on sama

määruse artikli 3 punkti 7 kohaselt „toidu käitlemine ja/või töötlemine ning toidu hoiustamine

müügikohas või tarnimine lõpptarbijale, kaasa arvatud jaotusterminalid, toitlustusettevõtjad,

41 / 151

tehasesööklad, asutuste toitlustusettevõtjad, restoranid ja muud samalaadsed toiduteenust

pakkuvad ettevõtjad, kauplused, selvehallide jaotuskeskused ja hulgimüügipunktid“. Selles

definitsioonis on mainitud ka hulgimüügipunkte, kuid see asjaolu ei oma siin tähendust, kuna

definitsiooni mõte tundub olevat, et see toit on mõeldud müümiseks lõpptarbijale, kes on sama

määruse artikli 3 punkti 18 kohaselt „toidu tarbija, kes ei kasuta kõnealust toitu

toidukäitlemistoimingus või sellega seotud tegevuses“.

Kui hulgimüügi osas tuua paralleeli Eesti õigusaktidest, siis hulgimüük tundub olevat müük

isikule, kes ei ole tarbija tarbijakaitseseaduse tähenduses. Vt siin alkoholiseaduse § 3 lg 1 punkti

4: „Alkoholi käitlemiseks loetakse selle toidugrupi suhtes teostatavad järgmised toimingud:

müügiks pakkumine või müük ühelt ettevõtjalt teisele ettevõtjale või muule isikule, kes ei ole

tarbija tarbijakaitseseaduse tähenduses (edaspidi hulgimüük)“. Sama lõike punkti 5 kohaselt on

jaemüügiks „müügiks pakkumine, müük või mis tahes võlaõigusliku lepingu sõlmimine või mis

tahes õiguslikul alusel majandustegevuse raames kättesaadavaks tegemine või üleandmine

tarbijale tarbijakaitseseaduse tähenduses (edaspidi jaemüük)“.

Eelnõu koostajatena ootame tagasisidet, et kuidas seda lauseosa tõlgendada või sisustada.

Tööstusliku tootmise ja töötlemisega on soov hõlmata ainult suuremamahulisemaid toidu

tootmist ja töötlemist – seda tehakse siis seeläbi, et kommenteeritavas punktis sätestatud üksus

peab vastama ka töötajate arvu ja aasta bilansimahu või aastakäibe suurustele (vt eelnõu KüTS §

1 lõiget 11 ja selle selgitusi).

Kommenteeritava punktiga on seotud ka määruse 178/2002 artikli 3 punktis 16 defineeritud

tootmis- töötlemis- ja turustamisetappide mõiste: „kõik etapid, kaasa arvatud import, alates toidu

esmatootmisest kuni selle hoiustamise, transpordi, müügi või lõpptarbijale tarnimiseni, ning

vajaduse korral sööda importimine, tootmine, valmistamine, hoiustamine, transport, turustamine,

müük ja tarnimine“.

Kommenteeritavas punktis mainitud tegevused (hulgimüük, tööstuslik tootmine ja töötlemine) on

alternatiivid.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 50 ja nendest 10

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 46 on NIS2 direktiivi II lisas märgitud 5-a-esimene viide (Euroopa

Parlamendi ja nõukogu määruse (EL) 2017/745, milles käsitletakse meditsiiniseadmeid, millega

muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja määrust (EÜ) nr 1223/2009

ning millega tunnistatakse kehtetuks nõukogu direktiivid 90/385/EMÜ ja 93/42/EMÜ (edaspidi

määrus 2017/745), artikli 2 punktis 1 määratletud meditsiiniseadmeid tootvad üksused ning

Euroopa Parlamendi ja nõukogu määruse (EL) 2017/746, in vitro diagnostikameditsiiniseadmete

kohta ning millega tunnistatakse kehtetuks direktiiv 98/79/EÜ ja komisjoni otsus 2010/227/EL

(edaspidi määrus 2017/746), artikli 2 punktis 2 määratletud in vitro

diagnostikameditsiiniseadmeid tootvad üksused, välja arvatud [NIS2 direktiivi] I lisa punkti 5

viiendas taandes osutatud meditsiiniseadmeid tootvad üksused).

42 / 151

Määruse 2017/745 artikli 2 punktis 1 on meditsiiniseadeks „mis tahes instrument, aparaat,

rakendus, tarkvara, implantaat, reagent, materjal või muu ese, mida võib kasutada eraldi või

teistega kombineerituna, mille tootja on ette näinud inimeste puhul kasutamiseks ühel või mitmel

järgmisel meditsiinilisel eesmärgil:

— haiguste diagnoosimiseks, ennetamiseks, seireks, prognoosimiseks, raviks või leevendamiseks;

— vigastuse või puude diagnoosimiseks, jälgimiseks, ravimiseks, leevendamiseks või

kompenseerimiseks;

— kehaosa või füsioloogilise või patoloogilise protsessi või seisundi uurimiseks, asendamiseks

või muutmiseks;

— inimkehast saadud proovide, sealhulgas loovutatud organite, vere ja kudede in vitro

uurimiseks informatsiooni saamise eesmärgil;

ja mille kavandatud põhitoime inimkehas või -kehale ei ole farmakoloogiline, immunoloogiline

või ainevahetuslik mõju avaldamine, kuid mille toimele võib nimetatud mõju kaasa aidata.

Samuti käsitatakse meditsiiniseadmena järgmisi tooteid:

— seadmed rasestumise ärahoidmiseks või soodustamiseks;

— seadmete puhastamiseks, desinfitseerimiseks või steriliseerimiseks ette nähtud tooted, millele

on osutatud [määruse 2017/745] artikli 1 lõikes 4 ja käesoleva punkti esimeses lõigus“.

Määruse 2017/745 artikli 1 lõike 4 sisu: „[Määruses 2017/745] osutatakse meditsiiniseadmetele,

meditsiiniseadmete abiseadmetele ning [määruse 2017/745] XVI lisas loetletud, mille suhtes

[määrust 2017/745] lõike 2 alusel kohaldatakse, edaspidi kui seadmetele“.

Määruse 2017/746 artikli 2 punktis 2 on in vitro diagnostikameditsiiniseade defineeritud kui:

„meditsiiniseade, mis on reagent, reagentaine, kalibraator, kontrollaine, testkomplekt,

instrument, aparatuur, vahend, tarkvara või süsteem, mida kasutatakse eraldi või teistega

kombineerituna ja mille tootja on ette näinud kasutamiseks inimkehast saadud proovide,

sealhulgas loovutatud vere ja kudede in vitro uurimiseks teabe saamiseks ühe või mitme järgmise

nähtuse kohta:

a) füsioloogiline või patoloogiline protsess või seisund;

b) kaasasündinud füüsiline või vaimne puue;

c) eelsoodumus teatava tervisliku seisundi või haiguse tekkeks;

d) ohutuse ja kokkusobivuse kindlaksmääramiseks võimalikud retsipiendid;

e) ravivastuse või reaktsioonide prognoosimine;

f) ravimeetmete kindlaksmääramine või jälgimine.

In vitro diagnostikameditsiiniseadmetena käsitatakse ka proovianumaid“.

43 / 151

Proovianum on defineeritud sama artikli punktis 3 kui „vakumeeritud või vakumeerimata vahend,

mille tootja on ette näinud spetsiaalselt inimkehast võetud proovide hoidmiseks ja säilitamiseks

in vitro diagnostiliste uuringute eesmärgil“.

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele.

KüTS § 1 lg 12 punkt 47 on NIS2 direktiivi II lisas märgitud 5-b-esimene viide (ettevõtjad, kes

tegelevad NACE Rev. 2 C jao jaotises 26 osutatud majandustegevusega), 5-c-esimene viide

(ettevõtjad, kes tegelevad NACE Rev. 2 C jao jaotises 27 osutatud majandustegevusega), 5-d-

esimene viide (ettevõtjad, kes tegelevad NACE Rev. 2 C jao jaotises 28 osutatud

majandustegevusega), 5-e-esimene viide (ettevõtjad, kes tegelevad NACE Rev. 2 C jao jaotises

29 osutatud majandustegevusega) ja 5-f-esimene viide (ettevõtjad, kes tegelevad NACE Rev. 2 C

jao jaotises 30 osutatud majandustegevusega).

Arvestades KüTS § 1 lg 12 punktis 30 toodud põhjendusi, on ka siinse kommenteeritava punkti

puhul tehtud viide Eurostati NACE Revision 2. klassifikaatorile. Mõned näited siinse punkti

puhul, ilmestamaks erinevusi EMTAK 2008 klassifikaatori ja NACE Revision 2 klassifikaatori

vahel:

a) NACE REV 2 jagu C jaotis 26: 26.11 (pooljuhid on märgitud NACE-s, kuid EMTAKis seda

pole; EMTAKis on siin all ka „nõelhelipeade tootmine“ ja „päikesepaneelide tootmine elektri

tootmiseks“; EMTAK-is on „kiipkaartide tootmine“, mida pole NACEs); EMTAKis 262 alla

kuulub ka „arvutite komplekteerimine ja montaaž tootja poolt kohapeal“ ning

„sularahaautomaatide/kassaautomaatide/pangaautomaatide tootmine“; EMTAKis 263 alla kuulub

ka „kodukeskjaamaseadmete (PBX) tootmine“ ja „WiFi seadmete tootmine“.

b) NACE REV 2 jagu C jaotis 27: EMTAKis kuulub 27311 alla veel „optiliste kiudude,

kiukimpude tootmine“ ja „fiiberoptilise kaabli tootmine“; EMTAK 27321 sisaldab ka

„koaksiaalkaabli ja koaksiaalsete elektrijuhtmete tootmine“; EMTAK 27511 sisaldab ka

„tervisekapslite jaoks aurugeneraatorite tootmine“; EMTAK 27521 sisaldab ka „päikesepatareide

(paneelide) tootmine sooja vee tootmiseks“ ja „priimuste tootmine“; EMTAK 27901 sisaldab ka

„mitteväärismetallist juhtmekanalite ja tarvikute tootmine“ ja „elektriliste välireklaamikastide

tootmine“.

01.01.2025 hakkab kehtima EMTAK 2025 tegevusalade klassifikaator, mis asendab EMTAK

2008 klassifikaatori ning selle koostamisel on lähtutud NACE Revision 2.1 klassifikaatorist.30

KüTS § 1 lg 12 punktis 30 on selgitatud, miks kommenteeritavas punktis ei ole viidatud EMTAK

2025 tegevusalade klassifikaatorile ega NACE Revision 2.1 klassifikaatorile.

Esialgsel hinnangul kommenteeritava punkti sõnastusele vastavaid üksusi pole, kuid eelnõu

koostajatena ootame tagasisidet, kas see vastab tõele.

30 Lisainfo: https://abiinfo.rik.ee/emtak/emtak2025.

44 / 151

KüTS § 1 lg 12 punkt 48 on NIS2 direktiivi II lisas märgitud 6-esimene viide (internetipõhiste

kauplemiskohtade pakkujad). Internetipõhise kauplemiskoha sisu on defineeritud NIS2 direktiivi

artikli 6 punktis 28, mis võetakse üle KüTS § 2 punkti 5 muudatustega.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10 ja nendest 5

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 49 on NIS2 direktiivi II lisas märgitud 6-teine viide (internetipõhiste

otsingumootorite pakkujad). Internetipõhise otsingumootori sisu on defineeritud NIS2 direktiivi

artikli 6 punktis 29, mis võetakse üle KüTS § 2 punkti 6 muudatustega sõnastuses „veebipõhine

otsingumootor“. Põhjus, miks kommenteeritavas punktis kasutatakse sõnastust „veebipõhise“,

mitte „internetipõhise“, on selgitatud KüTS § 2 punkti 6 muudatustes. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1 ja see läheb ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 50 on NIS2 direktiivi II lisas märgitud 6-kolmas viide

(sotsiaalvõrguteenuse platvormide pakkujad). Sotsiaalvõrguteenuse platvormi sisu on

defineeritud NIS2 direktiivi artikli 6 punktis 33, mis võetakse üle KüTS § 2 punktiga 73.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 10 ja nendest 5

lähevad ka suuruse kriteeriumi alla.

KüTS § 1 lg 12 punkt 51 on NIS2 direktiivi II lisas märgitud 7-esimene viide (teadusasutused).

Teadusasutuse sisu on defineeritud NIS2 direktiivi artikli 6 punktis 41, mis võetakse üle KüTS §

2 punktiga 13. Teadusasutustega on seotud ka NIS2 direktiivi põhjenduspunkt 36. Esialgsel

hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 24 ja nendest 12 lähevad ka

suuruse kriteeriumi alla.

KüTS § 1 lg 13 eesmärgiks on üle võtta ennekõike NIS2 direktiivi artikli 2 lõike 2 sisu. See lõige

hõlmab KüTSi subjekte, kelle puhul puudub vajadus lähtuda sama paragrahvi lõigetes 11 ja 12

olevast seosest ehk siinses lõikes olevate subjektide puhul ei tule välja selgitada töötajate arvu

ning bilansimahu või aastakäibe suurust. Osad siinses lõikes nimetatud subjektid on nimetatud ka

NIS2 direktiivi I lisas (millele viitab ka NIS2 direktiivi artikli 2 lõige 1), kuid kuna NIS2

direktiivi artikli 2 lõige 2 sätestab, et ka nende subjektide puhul on tegemist olukorraga, kus nad

on olenemata töötajate suurusest ja bilansimahust või aastakäibest hõlmatud NIS2 direktiivi alla,

siis samadest põhimõtetest on lähtutud ka käesolevas eelnõus.

Siinsele seletuskirjale on lisatud iga vastava üksuse kategooria juures ka Riigi Infosüsteemi

Ametilt kokku pandud esialgne hinnang, et kui palju üksusi vastava sõnastuse alla võib minna.

Eelnõu koostajatena ootame nende arvude osas tagasisidet, kas esialgsed arvud on õiged või

õiges suurusjärgus.

KüTS § 1 lg 13 punkt 1 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti i) sisu

(üldkasutatavate elektroonilise side võrkude pakkujad või üldkasutatavate elektroonilise side

teenuste osutajad) ja samal ajal ka NIS2 direktiivi I lisas märgitud 8-kaheksas viide

(üldkasutatavale elektroonilise side võrkude pakkujad). Üldkasutatava elektroonilise side võrgu

45 / 151

sisu on defineeritud NIS2 direktiivi artikli 6 punktis 36, mis võetakse üle KüTS § 2 punktiga 9.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 4.

KüTS § 1 lg 13 punkt 2 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti i) sisu

(üldkasutatavate elektroonilise side võrkude pakkujad või üldkasutatavate elektroonilise side

teenuste osutajad) ja samal ajal ka NIS2 lisas I märgitud 8-üheksas viide (üldkasutatavate

elektroonilise side teenuste osutajad). Elektroonilise side teenuse sisu on defineeritud NIS2

direktiivi artikli 6 punktis 37, mis võetakse üle KüTS § 2 punktiga 10. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 4.

KüTS § 1 lg 13 punkt 3 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti ii) sisu

(usaldusteenuse osutajad) ja samal ajal ka NIS2 lisas I märgitud 8-seitsmes viide (usaldusteenuse

osutajad). Usaldusteenuse osutaja sisu on defineeritud NIS2 direktiivi artikli 6 punktis 25, mis

võetakse üle KüTS § 2 punktiga 46. Usaldusteenuse osutajatega on seotud ka NIS2 direktiivi

põhjenduspunkt 11, sõnastuses:

„(11) Mõned üksused tegutsevad riikliku julgeoleku, avaliku julgeoleku, kaitse või õiguskaitse

valdkonnas, sealhulgas kuritegude ennetamine, uurimine, avastamine ja nende eest vastutusele

võtmine, osutades samal ajal ka usaldusteenuseid. Usaldusteenuse osutajad, kes kuuluvad

Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 kohaldamisalasse, peaksid kuuluma

[NIS2 direktiivi] kohaldamisalasse, et tagada turvanõuded ja järelevalve samal tasemel, mis oli

juba eelnevalt nimetatud määruses sätestatud seoses usaldusteenuse osutajatega. Nii nagu

määrust (EL) nr 910/2014 ei kohaldata teatavate konkreetsete teenuste suhtes, ei tuleks ka [NIS2

direktiivi] kohaldada selliste usaldusteenuste osutamise suhtes, mida kasutatakse eranditult

suletud süsteemides, mis tulenevad liikmesriigi õigusest või kindlaksmääratud osalejate

vahelistest kokkulepetest.“

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 28.

KüTS § 1 lg 13 punkt 4 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti iii) sisu

(tippdomeeninimede registrid ja domeeninimede süsteemi teenuse osutajad) ja samal ajal ka NIS2

lisas I märgitud 8-kolmas viide (tippdomeeninimede registrite pidajad). Siin on ka seotud NIS2

direktiivi põhjenduspunkt 32. Tegemist on kehtiva õiguse säilitamisega ehk kehtiva KüTS § 3 lg

1 punkti 8 (Eesti maatunnusega seotud tipptaseme domeeninimede registri haldaja) säilitamisega

teises sõnastuses. Tippdomeeninimede registri sisu on defineeritud NIS2 direktiivi artikli 6

punktis 21, mis võetakse üle KüTS § 2 punktiga 44. Kommenteeritava punkti puhul ei ole

võimalik lisada kehtivas KüTSi asjakohases punktis olevat lauseosa „registri pidamiseks

kasutatava süsteemi ja tipptaseme nimeserveri teenuse osutamisel“, kuna NIS2 direktiiv näeb

ette, et sellised üksused tulevad tervikuna KüTSi subjektiks.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 13 punkt 5 on NIS2 direktiivi artikli 2 lõike 4 ([NIS2 direktiivi] kohaldatakse

domeeninimede registreerimise teenuseid osutavate üksuste suhtes olenemata nende suurusest)

üle võtmine. Domeeninimede registreerimise teenuseid osutava üksuse sisu on defineeritud NIS2

46 / 151

direktiivi artikli 6 punktis 22, mis võetakse üle KüTS § 2 punktiga 45. Nende üksuste puhul tuleb

arvestada asjaoluga, et NIS2 direktiiv ja seeläbi ka KüTS ei kohaldu neile täies mahus – vt siin

täpsemalt KüTS § 2 punkti 45 selgitust. Esialgsel hinnangul on kommenteeritava punkti

sõnastusele vastavaid üksusi 10.

KüTS § 1 lg 13 punkt 6 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti iii) sisu

(tippdomeeninimede registrid ja domeeninimede süsteemi teenuse osutajad) ehk konkreetsemalt

selle teine lauseosa (domeeninimede süsteemi teenuse osutajad). Domeeninimede süsteemi sisu

on defineeritud NIS2 direktiivi artikli 6 punktis 19, mis võetakse üle KüTS § 2 punktiga 42.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 600.

KüTS § 1 lg 13 punkt 7 on NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti i) sisu (üksus on:

keskvalitsuse avaliku halduse üksus, nagu see on kindlaks määratud liikmesriigi poolt kooskõlas

tema õigusega). „Keskvalitsuse avaliku halduse üksuse“ sisu on defineeritud KüTS § 2 punktis

12, kuid seos on ka avaliku halduse üksuse mõistega, mis on defineeritud NIS2 direktiivi artikli 6

punktis 35 (mida eraldiseisvalt eelnõuga üle ei võta). Kommenteeritava punkti puhul on tegemist

ka kehtiva õiguse säilitamisega, kuna see mõiste hõlmab kehtiva KüTS § 3 lg 4 punktides 3, 5, 6,

7, 8, 11, 12 ja 14 ning lisanduvalt nimetatakse siin ka Finantsinspektsioon, kelle puhul ei ole

otseselt niivõrd selge, kas hetkel tema suhtes kehtib KüTS, mistõttu sarnaselt teiste üksustega on

ta eraldi nimetatud siinse eelnõuga.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 170.

KüTS § 1 lg 13 punkt 8 on NIS2 direktiivi artikli 2 lõike 3 ([NIS2 direktiivi ]kohaldatakse [CER

direktiivi] kohaselt elutähtsa teenuse osutajatena käsitatavate üksuste suhtes olenemata nende

suurusest) üle võtmine. Tegemist on ka kehtiva õiguse säilitamisega, kuna elutähtsa teenuse

osutajad on KüTSi alla hõlmatud KüTS kehtiva versiooni § 3 lg 1 p 1 alusel. Hetkel määratleb

elutähtsa teenuse osutaja olemuse hädaolukorra seadus, kuid kavandatava tsiviilkriisi ja

riigikaitse seaduse jõustumise järel on sellega seotud temaatika reguleeritud nimetatud seaduses.

Seetõttu ei ole erinevalt kehtiva KüTS § 3 lg 1 punktist 1 kommenteeritavas punktis viidatud

õigusaktile, mis reguleerib elutähtsa teenuse osutaja tegevust. Hädaolukorra seaduse alusel

tuvastatud elutähtsa teenuse osutaja ei pea olema NIS2 direktiivi I või II lisas nimetatud sektoris

selleks, et ta oleks kommenteeritava punkti alusel hõlmatud KüTSi nõuete alla.

Tulevaste elutähtsa teenuste osutajate lisandumist on selgitatud CER direktiivi üle võtvas eelnõus

nimega hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduses

426 SE. Tsiviilkriisi ja riigikaitse seadusega toimuvad muudatused on leitavad eelnõude

infosüsteemi toimikust nr 21-0915.

Esialgsel hinnangul on kommenteeritava punkti sõnastusele vastavaid üksusi 483.

KüTS § 1 lg 14 eesmärk on üle võtta NIS2 direktiivi artikli 2 lõike 2 punktid b–e. Nimetatud

NIS2 direktiivi punktid ei täpsusta rohkemalt, et milliseid subjekte on siin mõeldud, vaid siin on

igal liikmesriigil võimalus määratleda NIS2 direktiivi üle võtvas õigusaktis täiendavaid üksusi,

kes vastavad kommenteeritavas lõikes olevatele kriteeriumitele ning kes tuleb hõlmata

47 / 151

siseriikliku seaduse subjektiks. Kommenteeritava lõikega on ka sama paragrahvi kaks järgmist

lõiget.

Tolle lõikega seonduvalt luuakse eelnõuga KüTS § 1 lg 15, mis aitab täpsemalt sisustada ja

määratleda need subjektid, kes peavad sama paragrahvi lõikes 14 sätestatud kriteeriumeid

arvestades lähtuma KüTSi nõuetest.

Siinsele seletuskirjale on lisatud iga vastava üksuse kategooria juures ka Riigi Infosüsteemi

Ametilt kokku pandud esialgne hinnang, et kui palju üksusi vastava sõnastuse alla võib minna.

Eelnõu koostajatena ootame tagasisidet nende arvude osas, kas esialgsed arvud on õiged või

õiges suurusjärgus.

KüTS § 1 lg 15 punkt 1 eesmärk on üle võtta NIS2 direktiivi artikli 5 punkt a (liikmesriigid

võivad ette näha, et [NIS2 direktiivi] kohaldatakse: kohaliku tasandi avaliku halduse üksuste

suhtes), kuid samal ajal säilitada ka KüTS kehtiva versiooni § 3 lg 4 punktist 4 sõnastust

„kohaliku omavalitsuse üksus“ ja punkti 13. „Kohaliku tasandi avaliku halduse üksuse“ sisu on

defineeritud KüTS § 2 punktis 13, kuid seos on ka avaliku halduse üksuse mõistega, mis on

defineeritud NIS2 direktiivi artikli 6 punktis 35 (mida eraldiseisvalt eelnõuga üle ei võta).

Kui kommenteeritava NIS2 direktiivi sätte üle võtmisel otsustatakse, et seda võetakse kitsamalt

üle ja kehtivat õigust ei säilitata, siis see võib kaasa tuua olukorra, kus kohalike omavalitsuste ja

nende valitsemisel olevate asutuste suhtes ei kohaldata ühtseid küberturvalisuse nõudeid ning see

võib kaasa tuua tõrkeid ja probleeme nende osutatavate avalike teenuste osutamisele või nende

võrgu- ja infosüsteemidele, sh ka nende üksuste valduses olevatele (isiku)andmete turvalisusele.

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b, c ja e ehk KüTS § 1 lg 14 punktides 1, 2 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1776.

KüTS § 1 lg 15 punkt 2 eesmärk on hõlmata KüTSi subjektiks Riigi Kinnisvara AS-i. Selle riigi

äriühingu hallata on mitme KüTSi subjekti, ennekõike keskvalitsuse avaliku halduse üksustega

seotud kinnisvara. Tegemist on äriühinguga, kelle kinnisvaral ja hoonetes olevad võrgu- ja

infosüsteemid on arvestataval määral seotud keskvalitsuse avaliku halduse üksuste

korraldusega.31

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b, c, d ja e ehk KüTS § 1 lg 14 punktides 1, 2, 3 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 15 punkt 3 on seotud ka NIS2 direktiivi I lisa 1-c-kolmanda viitega (Euroopa Liidu

Nõukogu direktiivi 2009/119/EÜ, millega kohustatakse liikmesriike säilitama toornafta ja/või

naftatoodete miinimumvarusid (edaspidi direktiiv 2009/119/EÜ), artikli 2 punktis f määratletud

varude säilitamise kesküksused). Direktiivi 2009/119/EÜ artikli 2 punktis f on varude säilitamise

31 Vt Rahandusministeeriumi võrgulehel olevat selgitust riigi kinnisvara ja Riigi Kinnisvara AS kohta -

https://fin.ee/riigihaldus-ja-avalik-teenistus-kinnisvara/riigi-kinnisvara.

48 / 151

kesküksuseks (CSE) „asutus või talitus, kellele võib anda volitused tegutseda naftavarude,

sealhulgas kriisivarude ja erivarude soetamiseks, säilitamiseks või müümiseks“. Vedelkütusevaru

seaduse § 4 kohaselt varu „moodustab ja seda haldab hädaolukorra seaduse § 181 lõikes 1

sätestatud äriühing“. Viidatud hädaolukorra seaduses lõikes on sätestatud: „Riigi tegevusvaru

(edaspidi varu) moodustab, seda haldab ja selle kasutusele võtmise korraldab riigi äriühing,

kelle põhikirjalise tegevuse eesmärk on varu moodustamine ja haldamine (edaspidi varu

haldaja)“. Sellest lähtuvalt on kommenteeritavas punktis kasutatud sõnastust, et tegemist on riigi

tegevusvaru haldajaga.

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b, c, d ja e ehk KüTS § 1 lg 14 punktides 1, 2, 3 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 15 punkt 4 eesmärk on seotud kehtiva KüTS § 3 lg 1 p 9 säilitamisega ehk selle

punktiga hõlmatakse Riigi Infokommunikatsiooni Sihtasutust. Kommenteeritav punkt hõlmatakse

KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides b, c, d ja e ehk KüTS § 1 lg 14

punktides 1, 2, 3 ja 4 olevaid kriteeriume. Esialgsel hinnangul on kommenteeritava punkti

sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 15 punkt 5 eesmärk on seotud kehtiva KüTS § 3 lg 4 p 1 säilitamisega. Nimetatud

punkt lisati KüTSi 2022. a küberturvalisuse seaduse ja teiste seaduste muutmise seaduse 531 SE

tulemusel.32 Tolle eelnõu seletuskirjas (edaspidi 531 SE seletuskiri) selgitati nimetatud sätte

lisamist seletuskirja lk-l 10 järgmiselt: „Loetelu esimene punkt on [avaliku teabe seaduse]

tähenduses andmekogu vastutav ja volitatud töötleja. [Avaliku teabe seaduse] § 431 lõikes 1

olevat andmekogu definitsioonis olev lauseosa „mis asutatakse ja mida kasutatakse seaduses,

selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks“

viitab, et andmekogusid asutatakse ja kasutatakse avalike ülesannete täitmiseks. Seetõttu on

kohane hõlmata avalikus sektoris oleva teenuse osutaja nimekirja ka andmekogude vastutavad ja

volitatud töötlejad; sh enamik neist on hõlmatud ka muude kavandatava § 3 lõikes 4 olevate

punktide sõnastuste tõttu, kuid mitte kõik. Näiteks ei ole muude punktidega hõlmatud

Liikluskindlustuse Fond, mis on [avaliku teabe seaduse] mõistes andmekogu vastutav töötleja.

Andmekogude vastutavate ja volitatud töötleja hõlmamine avaliku sektori loetelu alla on vajalik

ka põhjusel, et eelnõu asendab [avaliku teabe seaduse] alusel kehtestatud ISKE KüTS-i alusel

kehtestava [Eesti infoturbestandardiga] ning selleks, et tagada andmekogude küberturvalisus,

tuleb seega ka täpsustada KüTS-i kohaldamisala. Ka juba kehtiva õiguse kohaselt oli volitatud

töötlejatel kohustus [avaliku teabe seadusest] tulenevalt täita vastutava töötleja juhiseid

andmekogu turvalisuse tagamisel. Olenemata sellest, et vastutav töötleja vastutab tema

andmekoguga toimuva osas isiklikult, sest vastutust ei ole võimalik edasi anda, ei ole vastutavad

töötlejad olnud aktiivsed vastavasisulisi juhiseid jagama. Sellele vaatamata tuleb volitatud

töötlejal tagada endast lähtuvalt turvalisus vähemalt samaväärsel tasemel vastutava töötlejaga“.

32 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7-7379fa3bf6b9/kuberturvalisuse-

seaduse-ja-teiste-seaduste-muutmise-seadus/.

49 / 151

Avaliku teabe seaduse § 434 lõige 1 defineerib andmekogu vastutava töötleja (haldaja) kui „riigi-

või kohaliku omavalitsuse asutus, muu avalik-õiguslik juriidiline isik või avalikke ülesandeid

täitev eraõiguslik isik, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete

haldamist. Andmekogu vastutav töötleja vastutab andmekogu haldamise seaduslikkuse ja

andmekogu arendamise eest.“

Sama paragrahvi lõike 2 kohaselt võib andmekogu vastutav töötleja „volitada andmete töötlemise

ja andmekogu majutamise teisele riigi- või kohaliku omavalitsuse asutusele, avalik-õiguslikule

juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja

poolt ettenähtud ulatuses“. Tegemist on siis volitatud töötlejale vastava ülesande volitamisega.

Andmekaitse Inspektsiooni andmekogude juhendis33 on lk-l 13 volitatud töötleja ja tema rolli

kohta märgitud: „volitatud töötleja võib olla nii vastutava töötleja kontrolli all tegutsev

andmekogu igapäevane haldaja kui ka teenuste osutaja näiteks andmekogu majutaja või

arendajana. Sellist volitatud töötleja rolli täidavad paljude andmekogude suhtes IT-asutused

nagu RIK ja SMIT. Teenuse osutajaid ei ole vajalik põhimääruses nimepidi loetleda, piisab

nende ülesannete nimetamisest“. Ehk siis andmekogu volitatud töötleja all avaliku teabe seaduse

kontekstis on mõeldud ennekõike olukorda, kus see volitatud töötleja majutab konkreetset

andmekogu ja vajadusel tegeleb selle andmekoguga seotud arenduste ja ülalpidamistega.

Andmekogu volitatud töötleja all ei ole siin mõeldud näiteks andmeandjat avaliku teabe seaduse

tähenduses (vt avaliku teabe seaduse § 435 lõiget 2) ning ka mitte igasugust isikuandmete

volitatud töötlejat isikuandmete kaitse üldmääruse või isikuandmete kaitse seaduse tähenduses.

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b, c, d ja e ehk KüTS § 1 lg 14 punktides 1, 2, 3 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1268.

KüTS § 1 lg 15 punkt 6 eesmärk on seotud kehtiva KüTS § 3 lg 4 p 2 säilitamisega.

531 SE seletuskirjas selgitati nimetatud sätte lisamist lk-l 10 järgmiselt: „Loetelu teine punkt on

Arenguseire Keskus, mis on küll Riigikogu Kantselei struktuuriüksus, kuid arenguseire seaduse §

3 lõike 2 alusel on Keskus oma ülesannete täitmisel iseseisev. Keskuse ülesandeks on ühiskonna

pikaajaliste (üle 10-aastase ajahorisondi ulatuvate) arengute tuvastamine, analüüs ja nende

põhjal erinevate arengustsenaariumite koostamine koos Eesti ühiskonnale avanevate võimaluste

ja ohtude eristamisega, arengustsenaariumite realiseerimise jälgimine ning vajadusel

arengustsenaariumite ja nende järelmite korrigeerimine.34 Eelnõu eesmärk on tagada ka Keskuse

tegevuses kasutatavate süsteemide ja andmete turvalisus, mistõttu on õigusselguse huvides eraldi

välja toodud ka Arenguseire Keskus kui Riigikogu Kantselei struktuuriüksus. Eelduslikult

kohaldatakse küberturvalisuse nõudeid kõikide subjektide kõikidele struktuuriüksustele, kuid see

punkt loetelus on loodud õigusselguse tagamise eesmärgil, sest Arenguseire Keskus on oma

ülesannete täitmisel iseseisev.“

33 https://abi.ria.ee/riha/materjalid-riha-kasutajale. 34 Arenguseire Keskuse tutvustus: https://www.riigikogu.ee/riigikogu/riigikogu-kantselei/juhtkond-ja-osakonnad/.

50 / 151

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b ja e ehk KüTS § 1 lg 14 punktides 1 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 15 punkt 7 eesmärk on seotud kehtiva KüTS § 3 lg 4 p 4 säilitamisega.

531 SE seletuskirjas selgitati nimetatud sätte lisamist lk-l 10 järgmiselt: „Loetelu neljas punkt on

kohaliku omavalitsuse üksuste liit, nt Harjumaa Omavalitsuste Liit, ning kohaliku omavalitsuse

üksus ehk vallad ja linnad. Selle ning loetelu neljateistkümnenda punkti eesmärk on täpsustada

kohaldamisala kohaliku omavalitsuse üksuse kontekstis, kus sarnaselt riigiasutustega on

õigusselguse huvides vajalik määratleda avalik sektor täpsemalt kui juriidilise isiku tasandil.“

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punkti e

ehk KüTS § 1 lg 14 punktis 4 olevat kriteeriumi. Esialgsel hinnangul on kommenteeritava punkti

sõnastusele vastavaid üksusi 16.

KüTS § 1 lg 15 punkt 8 eesmärk on seotud kehtiva KüTS § 3 lg 4 p 9 säilitamisega.

531 SE seletuskirjas selgitati nimetatud sätte lisamist seletuskirja lk-l 11 järgmiselt: „Loetelu

kümnes punkt on Riigimetsa Majandamise Keskus. Eelnõu koostamise hetkel on Riigimetsa

Majandamise Keskus ainus riigitulundusasutus Eestis. Kahjuks aga ei ole eelnõu koostamise

hetkel kehtivas õiguses riigitulundusasutuse tähendust määratletud ning puudub ka võimalus

Riigimetsa Majandamise Keskust muud moodi määratleda. Kuni 01.01.2010 kehtinud

riigivaraseaduse § 6 lõike 1 alusel on riigitulundusasutus riigiasutus, mis võib osutada tasulisi

teenuseid ja saada selle eest tulu. Ka eelnõu koostamise hetkel kehtivas riigivaraseaduses on

korduvalt riigitulundusasutuse terminit kasutatud, kuid puudub eraldi säte termini

määratlemiseks. Kehtiva riigivaraseaduse eelnõu seletuskirja35 kohaselt ei peetud õigeks

sätestada asutuse vorm riigivaraseaduses ning soovitati seda teha Vabariigi Valitsuse seaduses

või näiteks sellest asutuse vormist loobuda. Eelnõu koostamise hetkeks kumbagi aga tehtud ei ole.

Sellest hoolimata on aga vajalik tagada Riigimetsa Majandamise Keskuse süsteemide turvalisus,

kuivõrd tema teenused ning selleks kasutatavad andmed on ühiskonna toimimise seisukohast

olulised.“

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b ja e ehk KüTS § 1 lg 14 punktides 1 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 1.

KüTS § 1 lg 15 punkt 9 eesmärk on seotud teatavas ulatuses kehtiva KüTS § 3 lg 3 p 7

säilitamisega.

35 Riigivaraseadus 437 SE seletuskiri lk 14, kättesaadav:

https://www.riigikogu.ee/tegevus/eelnoud/eelnou/bd686b3c-a592-2d90-dc53-12d484999745/Riigivaraseadus.

51 / 151

Kehtiva KüTSi kohaselt peavad kõik perearstid järgima KüTSis olevaid nõudeid, sh algselt anti

perearstidele üleminekuks aega ca 3,5 aastat: KüTS jõustus esmakordselt mais 2018 ning KüTS §

29 lõike 3 kohaselt jõustus perearstidega seotud säte 2022. aasta 1. jaanuaril.

Kommenteeritavas punktis on lauseosa „kes ei ole elutähtsa teenuse osutaja“, kuna CER

direktiivi üle võtmisel on edaspidi osad perearstid samal ajal ka elutähtsa teenuse osutajad

hädaolukorra seaduse tähenduses (kes hõlmatakse KüTSi subjektiks kavandatava KüTS § 1 lg 13

punkti 8 tulemusena). 426 SE seletuskirjas on märgitud (lk-l 42): „Hinnanguliselt vastab

elutähtsa teenuse osutaja kriteeriumidele 60 perearstiabi teenuse osutajat. See tagab igas

maakonnas vähemalt kaks elutähtsat teenust osutavat perearstiabi osutajat ning suuremates

maakondades elanikkonna arvu järgi rohkem“. Täiendavalt on sama seletuskirja lk-l 59

märgitud: „Elutähtsa teenuse osutajateks on kavas määrata ka 26 perearstiabi osutajat“; ning lk-

del 74-75 on märgitud: „Hinnanguliselt saavad ETOdeks kuni 26 perearstiabi osutajat, kes on

jaotunud üle Eesti nii, et igas maakonnas oleks vähemalt kaks elutähtsat teenust osutavat

perearstiabi osutajat. Eestis on üle 400 isikut, kellel on kehtiv tegevusluba perearstiabi perearsti

nimistu alusel osutamiseks. Mõju sihtrühm on väike, kuna moodustab u 5% kõikidest

üldarstiabiteenuse osutajatest.“ Sarnased põhimõtted on ka ette nähtud tsiviilkriisi ja riigikaitse

seaduses, mis hakkab tulevikus asendama hädaolukorra seadust.

Kehtiv KüTSi § § 3 lg 1 p 7 hõlmab KüTSi alla kõik tervishoiuteenuste korraldamise seaduses

sätestatud perearstiabi osutajad perearstiabi osutamisel. Selleks, et eristada neid perearste, kes ei

ole edaspidi elutähtsa teenuse osutajad, kuid kes NIS2 direktiivi I lisas märgitud 5-esimeses viite

(Euroopa Parlamendi ja nõukogu direktiivi 2011/24/EL, patsiendiõiguste kohaldamise kohta

piiriüleses tervishoius (edaspidi direktiiv 2011/24/EL), artikli 3 punktis g määratletud

tervishoiuteenuse osutajad) kohaselt on hõlmatud ka NIS2 direktiivi alla, on tekitatud

kommenteeritav punkt. Direktiivi 2011/24/EL artikli 3 punktis g on tervishoiuteenuse osutajaks

„füüsiline või juriidiline isik või muu üksus, kes osutab liikmesriigi territooriumil seaduslikult

tervishoiuteenuseid“. Sama artikli punktis a on defineeritud tervishoiuteenus kui:

„tervishoiuteenused, mida tervishoiutöötajad osutavad patsientidele, et hinnata, säilitada või

taastada nende terviseseisundit, sealhulgas ravimite ja meditsiiniseadmete väljakirjutamine,

väljastamine ja nendega varustamine“. Ehk üldistatult võib siia alla esmapilgul paigutada

erinevaid tervishoiuteenuseid ja nende osutajaid, kuid eelnõu koostajate soov on NIS2 direktiivi

võimalikult kitsalt üle võtta, sh ennekõike säilitada kehtivat õigust.

Kommenteeritava punkti puhul ei ole võimalik lisada kehtivas KüTSi asjakohases punktis olevat

lauseosa „perearstiabi osutamisel“, kuna NIS2 direktiiv näeb ette, et sellised üksused tulevad

tervikuna KüTSi subjektiks. Samas on nendel üksustel võimalik näiteks Eesti infoturbestandardi

rakendamisel, konkreetsemalt kaitsetarbe määratlemisel, lähtuda perearstiabi osutamise teenusest.

Seda olukorras, kus nimetatud üksus ei soovi enda varasemalt paika pandud kaitsetarvet muuta ja

(uuendatud) riskianalüüs seda käsitlust ka toetab.

Direktiivi 2011/24/EL artikli 3 punkt g on seotud ka kehtiva KüTS § 3 lõike 1 punktiga 6, kuid

tolle KüTSi punkti sisu saab olema edaspidi kaetud nii, et selles nimetatud üksused saavad CER

52 / 151

direktiivi üle võtva 426 SE tulemusena elutähtsa teenuse osutajateks. Seetõttu puudub ka vajadus

tekitada sarnast sätet nende üksuste suhtes nagu on kommenteeritav punkt.

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

b, c ja e ehk KüTS § 1 lg 14 punktides 1, 2 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 163.

KüTS § 1 lg 15 punkt 10 eesmärk on seotud kehtiva KüTS § 3 lg 4 p 11 säilitamisega.

531 SE seletuskirjas selgitati nimetatud sätte lisamist seletuskirja lk-del 11-12 järgmiselt:

„Loetelu üheteistkümnes punkt on seaduse alusel loodud avalik-õiguslik juriidiline isik, nt Eesti

Haigekassa, Notarite Koda või erinevad ülikoolid.36 Eranditult kannavad kõik avalik-õiguslikud

juriidilised isikud olulist osa avaliku sektori toimimisel, olgu tegemist ühenduse, asutuse või

fondiga. Küberturvalisuse nõuded kohaldusid mitmele avalik-õiguslikule juriidilisele isikule ka

varasemalt kui andmekogu vastutavale või volitatud töötlejale. Kuivõrd avalik-õiguslikel

juriidilistel isikutel on reeglina arvestatav ligipääs erinevatele andmekogudele ning nende

osutatavad reguleeritud teenused on ühiskondlikult tähtsad, siis on ka selle eelnõu punkti

eesmärk avalikule sektorile mõeldud kohaldamisala täpsustada avalik-õiguslike juriidiliste

isikute suhtes. Siinse punkti suhtes on üks erinorm seotud Eesti Rahvusringhäälinguga (vt kehtiva

KüTS § 3 lg 1 punkti 10 ning sellega seonduvalt ka siinse eelnõu § 1 punkti 5 ning § 3 selgitust).

Vastav erinorm kehtib kuni 2026. aasta 31. detsembrini.“

Siin vt ka Eesti Rahvusringhäälingu seaduse muudatuse selgitusi.

Kommenteeritav punkt hõlmatakse KüTSi alla arvestades NIS2 direktiivi artikli 2 lg 2 punktides

d ja e ehk KüTS § 1 lg 14 punktides 3 ja 4 olevaid kriteeriume. Esialgsel hinnangul on

kommenteeritava punkti sõnastusele vastavaid üksusi 26.

KüTS § 1 lg 16 eesmärk on tekitada paindlikkust sama paragrahvi lõigete 14 ja 15 suhtes ehk

tekitada volitusnorm Vabariigi Valitsusele määruse andmiseks, millega on tulevikus võimalik

lisada täiendavaid üksusi KüTSi nõuete alla. Samas määruses tuleb ära seostada KüTS § 1 lõike

14 punktides oleva kriteeriumi või kriteeriumitega. Taolise määruse volitusnormi tekitamine

võimaldab ka vähendada õigusloomet ehk vältida olukorda, kus võib tekkida pidevalt või mitu

korda muuta KüTSi. Kuna volitusnormi alusel annab määruse Vabariigi Valitsus, siis on tagatud,

et kõik huvitatud ning potentsiaalsed uued osapooled-üksused kaasatakse määruse koostamisse.

Vabariigi Valitsuse tase määruse andmisel on ka seetõttu, et lisanduvad uued osapooled-üksused

ei ole eelduslikult ainult riikliku küberturvalisuse tagamise valdkonna eest vastutava ministri

(eelnõu kohaselt justiits- ja digiministri) valitsemisalaga seotud.

Siinse volitusnormiga on seotud ka kavandatav KüTS § 3 lõikega 14 ehk samas Vabariigi

Valitsuse määruses täpsustatakse, kas uus subjekt on elutähtis üksus või oluline üksus.

36 Algse altviite sõnastust muudetud: avalik-õiguslikud juriidilised isikud on leitavad siit:

https://www.fin.ee/riigihaldus-ja-avalik-teenistus-kinnisvara/riigihaldus/avaliku-sektori-statistika – vt „Töötajad ja

asutused“ sakk „Avaliku sektori asutused“, filtreerides asutuse tüübina „avalik-õiguslikud asutused“.

53 / 151

Volitusnormi tekitamata jätmise korral tuleb teha KüTSis, ennekõike eelnõuga lisatava

paragrahvi 1 lõikes 15 täiendusi, lisades sinna nimekirja uute üksuste valdkondade või sektorite

nimetusi.

Eelnõu koostajad markeerivad tsiviilkriisi ja riigikaitse seadusest (eelnõude infosüsteemi toimik

nr 21-0915; 14.06.2024 eelnõude infosüsteemis registreeritud eelnõu tekstist) teatud

organisatsioonide tüübid ja valdkonnad, kes peaksid saama püsiva kriisiülesande sama seaduse

tähenduses (mis ei tähenda automaatselt KüTSi nõuete järgimise kohustust, kuna see seos on

ainult elutähtsa teenuse osutajate korral). Eelnõu koostajatena ootame tagasisidet, kas järgmised

organisatsioonid võiks lisada nt KüTS § 1 lõikes 15 olevasse loetelusse või tasuks mõelda nende

lisamist kunagi hiljem kommenteeritava lõike alusel antavasse Vabariigi Valitsuse määrusesse:

- ettepanek atmosfääriõhu kaitse seadusest tsiviilkriisi ja riigikaitse seaduse eelnõus -

kavandatava atmosfääriõhu kaitse seaduse § 381 lõige 1: Käesolevas jaotises sätestatud

õhukvaliteedi taseme hindamine on püsiv kriisiülesanne, mida täidab isik, kellega on sõlmitud

[atmosfääriõhu kaitse seaduse] § 30 lõikes 5 nimetatud haldusleping.;

- ettepanek lennundusseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

lennundusseaduse § 78 (lennujulgestusteenuse osutaja püsiv kriisiülesanne) lõige 1: Elutähtsat

teenust osutava lennuvälja käitlejaga sõlmitud lepingu alusel lennujulgestusmeetmete

kohaldamist tagava lennujulgestusteenuse osutaja püsiv kriisiülesanne on tagada teenuse

osutamine vastavalt [lennundusseaduse] 71. peatükis sätestatule ja lennuvälja käitlejaga sõlmitud

lepingule.;

- ettepanek lennundusseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

lennundusseaduse § 5041 (maapealse teenindaja püsiv kriisiülesanne) lõige 1: Elutähtsat teenust

osutavale lennuvälja käitlejale maapealse teeninduse lepingu alusel nõukogu direktiivi 96/67/EÜ

lisas loetletud maapealse käitluse teenuseid, välja arvatud toitlustusteenust, osutava maapealse

teenindaja püsiv kriisiülesanne on tagada teenuse osutamine vastavalt käesolevas peatükis

sätestatule ja maapealse teeninduse lepingule.;

- ettepanek maagaasiseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

maagaasiseaduse § 22 (võrguettevõtja õigused ja kohustused) lõige 17: Käesoleva paragrahvi

lõikes 15 nimetatud elutähtsa teenuse osutajale võrgu või selle osa arendamise või opereerimise

teenus osutava isiku püsiv kriisiülesanne on tagada võrgu toimimine vastavalt tsiviilkriisi ja

riigikaitse seaduse § 75 lõike 6 alusel kehtestatud nõuetele.;

- ettepanek meresõiduohutuse seadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

meresõiduohutuse seaduse § 50 (jäämurdetööd) lõige 3: Jäämurdeteenuse osutaja püsiv

kriisiülesanne on tagada jäämurdeperioodil jäämurdmine enda teeninduspiirkonnas vastavalt

Transpordiametiga sõlmitud lepingule.;

- ettepanek raudteeseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

raudteeseaduse § 6 (avalik reisijatevedu) lõige 3: Avalikku reisijatevedu teostava raudtee-

54 / 151

ettevõtja püsiv kriisiülesanne on korraldada teenust vastavalt käesoleva paragrahvi lõikes 1

sätestatule.;

- ettepanek sadamaseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

sadamaseaduse § 32 (sadamaoperaatori püsiv kriisiülesanne) lõige 1: [sadamaseaduse] § 31 lõike

2 alusel kinnitatud elutähtsa teenuse osutamiseks kasutatavas sadamas konteiner- ja

veeremkaupu lastiva ja lossiva sadamaoperaatori püsiv kriisiülesanne on tagada teenuse

osutamine vastavalt [sadamaseaduses] sätestatule ja elutähtsat teenust osutava sadama pidajaga

sõlmitud lepingule.;

- ettepanek tervishoiuteenuste korraldamise seadusest tsiviilkriisi ja riigikaitse seaduse eelnõus -

kavandatava tervishoiuteenuste korraldamise seaduse § 4 (tervishoiuteenuse osutaja) lõige 2:

Valdkonna eest vastutav minister võib kehtestada määrusega:

1) loetelu tervishoiuteenuse osutajatest, kes ei kuulu elutähtsa teenuse osutajate hulka, kuid

täidavad püsivaid kriisiülesandeid tsiviilkriisi ja riigikaitse seaduse § 10 lõike 2 tähenduses;

2) tervishoiuteenuse osutaja püsiva kriisiülesande täpsema sisu, selle täitmise mahu, püsiva

kriisiülesande täitmise ja selleks valmistumise nõuded, arvestades [tervishoiuteenuste

korraldamise seaduse] §-des 581–583 sätestatut.;

- ettepanek ühistranspordiseadusest tsiviilkriisi ja riigikaitse seaduse eelnõus - kavandatava

ühistranspordiseaduse § 6 (vedaja ja vedaja püsiv kriisiülesanne) lõige 4: Käesoleva paragrahvi

lõikes 3 nimetatud liinivedu teostava vedaja püsiv kriisiülesanne on tagada liinivedu pädeva

asutusega sõlmitud avaliku teenindamise lepinguga või haldusaktiga pandud avaliku

teenindamise kohustuse kohaselt.

Siinsetest organisatsioonidest on jäetud välja need üksused, kes on juba praegu või hõlmatakse

käesoleva eelnõuga KüTSi nõuete järgijaks.

KüTSi muutmisel 2022. aastal37 oli üks Riigikokku esitatud eelnõus võimalikest subjektidest ka

Riigikogus esindatud erakond erakonnaseaduse tähenduses. Tolle lisanduse selgituseks oli

seletuskirjas järgmine: „Erakonnad kui mittetulundusühingud on eraõiguslikud juriidilised isikud,

kuid Riigikogus esindatud erakondadele makstakse riigieelarvest eraldisi ning nad kannavad

avalikus sektoris olulist funktsiooni seadusloomes, mh ka fraktsioonide tegevuse kaudu. Seega kui

Riigikogus esindatud erakond kasutab võrgu- ja infosüsteeme, on nendele süsteemidele ka

avaliku sektori toimimise tagamise seisukohalt kõrgendatud kaitsevajadus.“ Riigikogu menetluse

käigus eemaldati nimetatud säte, kuid eelnõu koostajatena ootame tagasisidet, kas lisada nad

näiteks KüTS § 1 lõikes 15 olevasse loetelusse või tasuks mõelda nende lisamist kunagi hiljem

kommenteeritava lõike alusel antavasse Vabariigi Valitsuse määrusesse.

37 Küberturvalisuse seaduse ja teiste seaduste muutmise seadus 531 SE – kättesaadav:

https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7-7379fa3bf6b9/kuberturvalisuse-

seaduse-ja-teiste-seaduste-muutmise-seadus/.

55 / 151

KüTS § 1 lõike 21 eesmärk on üle võtta NIS2 direktiivi artikli 2 lõige 9. Tolle lõike tekst ja selles

viidatud lõigete tekstid:

„7. [NIS2 direktiivi] ei kohaldata avaliku halduse üksuste suhtes, mis tegutsevad riigi julgeoleku,

avaliku julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamise,

uurimise, avastamise ja nende eest vastutusele võtmise valdkonnas.

8. Liikmesriigid võivad vabastada konkreetsed üksused, mis tegutsevad riigi julgeoleku, avaliku

julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamise, uurimise,

avastamise ja nende eest vastutusele võtmisega seotud tegevused, või mis osutavad teenuseid

üksnes käesoleva artikli lõikes 7 osutatud avaliku halduse üksustele, artiklis 21 või 23 sätestatud

kohustuste täitmisest seoses nimetatud tegevuste ja teenustega. Sellistel juhtudel VII peatükis

osutatud järelevalve- ja täitemeetmeid nende konkreetsete tegevuste või teenuste suhtes ei

kohaldata. Kui üksused tegelevad üksnes sellist liiki tegevusega või osutavaid üksnes sellist liiki

teenuseid, millele on osutatud käesolevas lõikes, võivad liikmesriigid otsustada need üksused ka

artiklites 3 ja 27 sätestatud kohustuste täitmisest vabastada.

9. Lõikeid 7 ja 8 ei kohaldata, kui üksus tegutseb usaldusteenuse osutajana.“

NIS2 direktiivi artikli 2 lõigete 7 ja 8 sisu on juba üle võetud KüTS § 1 lõikes 2 ning selle lõike

osas muudatusi ei tehta ehk siin täiendavaid välistusi ei tekitata.

KüTS § 1 lõige 3 tunnistatakse kehtetuks. Muudatus on seotud asjaoluga, et kehtetuks

tunnistatavas lõike olemus ning sisu on sõnastatud edaspidi KüTS § 1 lõikes 11, mida tuleb

vaadata koos sama paragrahvi lõikega 12.

KüTS § 1 lõike 4 muutmine on seotud NIS2 direktiivi artikliga 4, mis sisustab olukorra, kus

mõne üksuse jaoks kehtivad teisest õigusaktist tulenevad nõuded, mis on samaväärsed NIS2

direktiivi teatavate nõuetega, siis lähtub see üksus vastavast eri valdkonna õigusakti nõuetest.

NIS2 direktiivi artikli 4 sisu:

„1. Kui valdkondlikes liidu õigusaktides nõutakse elutähtsatelt või olulistelt üksustelt

küberturvalisuse riskijuhtimismeetmete võtmist või olulistest intsidentidest teatamist ning kui

need nõuded on vähemalt samaväärse toimega kui [NIS2 direktiivis] sätestatud kohustused, ei

kohaldata selliste üksuste suhtes [NIS2 direktiivi] asjakohaseid sätteid, sealhulgas VII peatükis

sätestatud järelevalve- ja täitmise tagamise sätteid. Kui valdkondlikud liidu õigusaktid ei hõlma

kõiki konkreetse sektori üksusi, mis kuuluvad [NIS2 direktiivi] kohaldamisalasse, kohaldatakse

jätkuvalt [NIS2 direktiivi] asjakohaseid sätteid nende valdkondlike liidu õigusaktidega

hõlmamata üksuste suhtes.

2. Käesoleva artikli lõikes 1 osutatud nõudeid käsitatakse samaväärse toimega kui [NIS2

direktiivis] sätestatud kohustused juhul, kui:

a) küberturvalisuse riskijuhtimismeetmed on mõjult vähemalt samaväärsed artikli 21 lõigetes 1 ja

2 sätestatud meetmetega või

56 / 151

b) valdkondlikus liidu õigusaktis nähakse ette [NIS2 direktiivi] kohane CSIRTide, pädevate

asutuste või ühtsete kontaktpunktide viivitamatu, asjakohasel juhul automaatne ja otsene

juurdepääs [NIS2 direktiivi] kohastele intsidenditeadetele ning kui olulistest intsidentidest

teatamise nõuded on mõjult vähemalt samaväärsed [NIS2 direktiivi] artikli 23 lõigetes 1–6

sätestatud nõuetega.

3. [Euroopa Komisjon] annab hiljemalt 17. juuliks 2023 suunised, milles selgitatakse lõigete 1 ja

2 kohaldamist. Komisjon vaatab kõnealused suunised korrapäraselt läbi. Nende suuniste

ettevalmistamisel võtab komisjon arvesse koostöörühma ja ENISA tähelepanekuid.“

Muudatusega on seotud ka NIS2 põhjenduspunktid 22–29 ja 31, mis selgitavad kommenteeritava

muudatuse tausta ja mõtet, sh ka samasse paragrahvi lisanduvat lõiget 41.

NIS2 artikli 4 lõike 3 kohta on Euroopa Komisjon avaldanud 18.09.2023. a teatise Komisjoni

suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 4 lõigete 1 ja 2

kohaldamise kohta 2023/C 328/02.38

Kuna NIS2 artikkel 4 näeb ette, et need erinõuded võivad tulla mõnest Euroopa Liidu õigusaktist

(st ennekõike direktiivist, määrusest, rakendusmäärusest või delegeeritud määrusest), siis on

kommenteeritavasse lõikesse lisatud vastav sõnastus. Samuti on kommenteeritavasse lõikesse

lisatud küberintsidendist teavitamise nõuete osa, kuna see on üks variantidest, mis võib olla

reguleeritud mõnes muus valdkondlikus õigusaktis.

KüTS § 1 lõige 41 on seotud sama paragrahvi lõikega 4, kuna siinne lõige annab küberturvalisuse

valdkonna eest vastutavale ministrile volituse kehtestada määrus, milles täpsustatakse KüTS § 1

lõike 4 sisu. Tolles määruses täpsustatakse-selgitatakse, et milline KüTSi mõttes teenuse osutaja

peab oma küberturvalisuse tagamisega seotud nõuete tagamisel lähtuma enda valdkondlikust

õigusaktist, sh millises ulatuses tuleb seda järgida.

Muudatusega on seotud ka NIS2 direktiivi põhjenduspunktid 22-29, mis selgitavad

kommenteeritava muudatuse tausta ja mõtet, sh on põhjenduspunktides 28 ja 29 toodud välja

erisused finantssektoris ja lennundussektoris võrreldes NIS2 direktiiviga.

KüTS § 11 on seotud NIS2 direktiivi artikli 26 üle võtmisega. Kommenteeritav paragrahv

sätestab, milliste teenuse osutajate suhtes on näiteks KüTSi alusel järelevalvet teostaval pädeval

asutusel võimalik enda volitusi kasutada. Vt siin ka nt NIS2 direktiivi artikli 26 lõiget 5.

Kommenteeritava paragrahviga on seotud ka NIS2 direktiivi põhjenduspunktid 113–115.

KüTS § 11 lõige 1 võtab üle NIS2 direktiivi artikli 26 lõike 1 sissejuhatava lause, sätestades

üldreegli, et teenuse osutaja suhtes kohaldatakse jurisdiktsiooni, kus on tema tegevuskoht või kus

ta on asutatud.

38 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0918%2801%29&qid=1726668543740.

57 / 151

KüTS § 11 lõige 2 tekitab eelnevalt mainitud üldreeglile kolm laadi erandit, võttes üle NIS2

direktiivi 26 lõike 1 punktid a–c.

Digitaalse teenuse osutaja olemuse-sisu osas vt kavandatavat KüTS § 2 punkti 74 ning sealseid

selgitusi. Keskvalitsuse avaliku halduse üksuse ja kohaliku tasandi avaliku halduse üksuse

olemuse-sisu osas vt kavandatava KüTS § 2 punkte 12 ja 13.

Siinse lõike punktide tulemuseks võib olla ka olukord, kus ühel üksusel on mitu jurisdiktsiooni

(näiteks, kui üks üksus pakub pilvandmetöötlusteenust), siis tuleb lähtuda kommenteeritava lõike

punktist 2, ja kui ta pakub üldkasutatava elektroonilise side teenust, siis tuleb lähtuda

kommenteeritava lõike punktist 1. Sisuliselt sõltub see pakutavast teenusest.

KüTS § 11 lõikega 3 võetakse üle NIS2 direktiivi artikli 26 lõige 2, mis näeb ette konkreetse

järjekorra tegevustest, mille tulemusena selgitatakse välja digitaalse teenuse osutaja peamine

tegevuskoht. Ehk kui digitaalse teenuse osutaja peamine tegevuskoht on kommenteeritava lõike

esimese punkti kohaselt „Euroopa Liidu liikmesriik, kus turvameetmeid käsitlevad otsused

valdavalt tehakse“, siis puudub vajadus peamise tegevuskoha välja selgitamiseks punktide 2 või 3

alusel. Kuid kui kommenteeritava lõike esimene punkt ei ole asjakohane (nt võetakse

turvameetmeid käsitlevad otsused vastu Ühendkuningriigis või Ameerika Ühendriikides), siis

tuleb vaadata, kas tegemist on teise punkti olukorraga; kui teine punkt ei ole ka asjakohane, siis

kohaldub kolmas punkt.

KüTS § 11 lõike 4 mõte on erisuse tekitamine sama paragrahvi lõikele 3. Kommenteeritava

lõikega võetakse üle NIS2 direktiivi artikli 26 lõike 3 lause 3. KüTS § 11 lõike 5 eesmärk on üle

võtta NIS2 direktiivi artikli 26 lõike 3 lause 4, andes selguse, et kas ja kes võib konkreetse

teenuse osutaja suhtes võtta õiguslikke meetmeid, kui digitaalse teenuse osutaja ei ole endale

esindajat määranud. Digitaalse teenuse osutaja esindaja osas vt ka kavandatavat KüTS § 2 punkti

75.

NIS2 direktiivi artikli 26 lõike 3 kogutekst (sh alla on joonitud kommenteeritava paragrahviga

seotud lõiked 4 ja 5):

„3. Kui lõike 1 punktis b osutatud üksuse tegevuskoht ei ole liidus või ta ei ole seal asutatud, kuid

ta pakub liidus oma teenuseid, määrab ta endale liidus esindaja. Esindaja tegevuskoht peab

olema ühes nendest liikmesriikidest, kus teenuseid osutatakse, või ta peab olema seal asutatud.

Kõnealust üksust loetakse selle liikmesriigi jurisdiktsiooni alla kuuluvaks, kus on esindaja

tegevuskoht või kus ta on asutatud. Kui käesoleva lõike kohast esindajat liidus määratud ei ole,

võib üksuse vastu, kes rikub [NIS2 direktiivi], võtta õiguslikke meetmeid iga liikmesriik, kus

üksus teenuseid osutab.“

KüTS § 11 lõike 6 sisu on NIS2 direktiivi artikli 26 lõike 4 üle võtmine.

KüTS §-ga 2 tehtavad muudatused ei lähtu mõistete tähestikulisest järjestusest, vaid arvestab

kehtiva paragrahvi mõistete sõnastamise ja selgitamise järjestuse loogikat.

58 / 151

Lisanduva KüTS § 2 punktiga 11 võetakse üle NIS2 direktiivi artikli 6 punkt 38: „füüsiline isik

või juriidiline isik, kes on asutatud ja keda tunnustatakse tema tegevuskohajärgse riigisisese

õiguse kohaselt, kes võib enda nimel omada õigusi ja kanda kohustusi“. Kommenteeritava punkti

selgituses on märgitud, et tegemist on tegevuskohajärgse riigisisese õigusega, kuna näiteks

digitaalse teenuse osutajate korral võib tekkida olukord, kus konkreetne isik ei ole Eestis

asutatud, kuid ta osutab ka teenuseid Eestis olevatele klientidele. Kommenteeritavat mõistet ehk

üksust kasutatakse ka eelnõuga lisatavates KüTS § 1 uutes lõigetes olevate mõistete sõnastustes

ning KüTSis endas puudus parem samalaadne sõna, mis sõna „üksus“ olemust paremini

iseloomustaks. Näiteks ei ole võimalik siin kasutada lühendit/terminit „teenuse osutaja“, kuna

sellel on teine kontekst - siin vt ka KüTS § 3 lõike 11 selgitust. Üksuse termin ei tähenda

olukorda, et tegemist on ühe organisatsiooni struktuuriüksusega (nt osakonnaga), vaid sellega

iseloomustatakse tervet organisatsiooni. Kui organisatsiooni üks struktuuriüksus osutab mingit

teenust, mis on toodud välja eelnõu § 1 lisanduvates lõigetes 11–16, siis muutub see vastav

organisatsioon tervikuna KüTSi teenuse osutajaks – kuid sel juhul tuleb täiendavalt hinnata, et

mis osa selle organisatsiooni tegevusest peab järgima KüTSi nõudeid ehk et mis on määratud

kaitsealasse.

KüTS § 2 punktiga 12 tekitatakse lühend „keskvalitsuse avaliku halduse üksus“, mis hõlmab

mitut üksust, kellest enamik on juba praegu kehtiva KüTSiga hõlmatud. Kommenteeritav lühend

on seotud ka NIS2 direktiivi artikli 2 lõike 2 punkt a alapunkti i) sisuga (üksus on: keskvalitsuse

avaliku halduse üksus, nagu see on kindlaks määratud liikmesriigi poolt kooskõlas tema

õigusega). Kommenteeritaval punktil on ka seos avaliku halduse üksuse mõistega, mis on

defineeritud NIS2 direktiivi artikli 6 punktis 35 (mida eraldiseisvalt eelnõuga üle ei võta).

Kommenteeritava punkti puhul on tegemist ka kehtiva õiguse säilitamisega, kuna see mõiste

hõlmab KüTS kehtiva versiooni § 3 lõike 4 punktides 3, 5, 6, 7, 8, 11, 12 ja 14 olevaid

organisatsioone.

Erisusena kehtivast õigusest on kommenteeritavas punktis lisatud nimetusena ka

Finantsinspektsiooni, kelle puhul ei ole otseselt niivõrd selge, kas hetkel tema suhtes kehtib

KüTS, mistõttu sarnaselt teiste üksustega on ta eraldi nimetatud siinse eelnõuga.

Finantsinspektsioon ei ole eraldiseisev juriidiline isik, vaid ta on finantsinspektsiooni seaduse § 4

lõike 1 kohaselt: „autonoomse pädevusega ja oma eelarvega Eesti Panga juures asuv asutus,

mille juhtimisorganid tegutsevad ja esitavad aruandeid [Finantsinspektsiooni seaduses]

sätestatud korras.“ Eelnõu eesmärk on tagada ka Finantsinspektsiooni tegevuses kasutatavate

võrgu- ja infosüsteemide ja andmete turvalisus, mistõttu on õigusselguse huvides eraldi välja

toodud ka Finantsinspektsioon kui Eesti Panga juures asuv asutus. Eelduslikult kohaldatakse

küberturvalisuse nõudeid kõikide subjektide kõikidele struktuuriüksustele või nende juures

asuvatele asutustele, kuid see punkt loetelus on loodud õigusselguse tagamise eesmärgil, sest

Finantsinspektsioon on finantsjärelevalve teostamisel ja kriisilahendusülesannete täitmisel

sõltumatu.

Sarnaselt eelnevalt kommenteeritud punktiga, sätestatakse KüTS § 2 punktis 13 lühend

„kohaliku tasandi avaliku halduse üksus“, mis on seotud NIS2 direktiivi artikli 6 punktis 35

59 / 151

sätestatud mõistega, kuid siinne lühend on seotud ka NIS2 direktiivi artikli 2 lõike 5 punkti a

rakendamisega (Liikmesriigid võivad ette näha, et [NIS2 direktiivi] kohaldatakse: a) kohaliku

tasandi avaliku halduse üksuste suhtes) ning kehtiva õiguse säilitamisega (vt KüTS kehtiva

versiooni § 3 lõike 4 punktis 4 sõnastust „kohaliku omavalitsuse üksus“ ja punkti 13).

Kommenteeritaval punktil pole niivõrd seost NIS2 direktiivi artikli 2 lõike 2 punkti f alapunktiga

ii) (üksus on: ii) liikmesriigi poolt tema õiguse kohaselt kindlaks määratud piirkondliku tasandi

üksus, mis vastavalt riskipõhisele hindamisele osutab teenuseid, mille häirel võib olla oluline

mõju kriitilise tähtsusega ühiskondlikule või majandustegevusele), kuna tolle alapunkti sisu on

seotud piirkondliku (ingl k: regional) tasandi üksusega ehk Eesti puhul maavalitsustega, mida

enam ei ole.

Kui kommenteeritava NIS2 direktiivi sätte üle võtmisel otsustatakse, et seda võetakse kitsamalt

üle ja kehtivat õigust ei säilitata, siis see võib kaasa tuua olukorra, kus kohalike omavalitsuste ja

nende valitsemisel olevate asutuste suhtes ei kohaldata ühtseid küberturvalisuse nõudeid ning see

võib kaasa tuua tõrkeid ja probleeme nende osutatavate avalike teenuste osutamisele või nende

võrgu- ja infosüsteemidele, sh ka nende üksuste valduses olevatele (isiku)andmete turvalisusele.

KüTS § 2 punkti 14 eesmärk on määratleda termin „küberturvalisus“, mis on defineeritud

Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881, mis käsitleb ENISAt (Euroopa Liidu

Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse

sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (edaspidi määrus

2019/881), artikli 2 punktis 1, andes ka selguse, kuidas sisustada muid KüTSi õigusnorme, milles

on mainitud küberturvalisust. Tegemist on ka NIS2 direktiivi artikli 6 punkti 3 üle võtmisega.

Määruse 2019/881 artikli 2 punkti 1 kohaselt on küberturvalisuseks „tegevused, mis on vajalikud,

et kaitsta võrgu- ja infosüsteeme, nende kasutajaid ja teisi isikuid küberohtude eest“.

KüTS § 2 punkti 2 muutmine on seotud asjaoluga, et „sündmus“ on laiem mõiste kui „tegevus“

ning see sisustab paremini võrgu- ja infosüsteemi turvalisuse mõistet. Muudatuse tulemusena on

kommenteeritav mõiste ka rohkem kooskõlas NIS2 direktiivi artikli 6 punktis 2 oleva „võrgu- ja

infosüsteemide turvalisuse“ mõistega, milles kasutatakse samamoodi sõna „sündmus“.

KüTS § 2 punktiga 31 võetakse üle NIS2 direktiivi artikli 6 punkt 7. Liikmesriigi all on mõeldud

Euroopa Liidu liikmesriiki. Märkimisväärse mõju osas vt NIS2 direktiivi artiklit 23 (mis võetakse

üle KüTS §-ga 8) sh ennekõike selle lõikeid 1, 3 ja 11. Siin on ka asjakohased NIS2 direktiivi

põhjenduspunktid 68–73, sh ennekõike põhjenduspunkt 69.

KüTS § 2 punktiga 32 võetakse üle NIS2 direktiivi artikli 6 punkt 8, seostades toimingud ja

menetlused, mille eesmärgiks on küberintsidenti ennetada, tuvastada, analüüsida, ohjata või

lahendada ja sellest taastuda.

KüTS § 2 punktiga 33 võetakse üle NIS2 direktiivi artikli 6 punkt 9, mis defineeritakse, kuna

NIS2 direktiiv näeb ette riskidega seotud teabe vahetamist ja jagamist. Seetõttu on vaja ka selgelt

määratleda, mida riski all mõeldakse ehk teha vastav definitsioon.

60 / 151

KüTS § 2 punktiga 34 võetakse üle NIS2 direktiivi artikli 6 punkt 10, mis defineeritakse, kuna

NIS2 direktiiv näeb ette küberohtudega seotud teabe vahetamist ja jagamist. Seetõttu on vaja ka

selgelt määratleda, mida küberohu all mõeldakse. Kuna küberoht on defineeritud juba

olemasolevas Euroopa Liidu määruses, siis on siin tehtud viide vastavale määrusele. Määruse

2019/881 artikli 2 punkti 8 kohaselt on küberohuks „võimalik asjaolu, sündmus või tegevus, mis

võib kahjustada või häirida võrgu- ja infosüsteeme, nende kasutajaid ja teisi isikuid või neile

muul viisil halba mõju avaldada“.

KüTS § 2 punktiga 35 võetakse üle NIS2 direktiivi artikli 6 punkt 11, mis defineeritakse, kuna

NIS2 direktiiv näeb ette oluliste küberohtudega seotud teabe vahetamist ja jagamist. Siinne

mõiste hõlmab ka mõistet „küberoht“, mis on eelnevalt kommenteeritud punktis sisustatud.

KüTS § 2 punktiga 36 võetakse üle NIS2 direktiivi artikli 6 punkt 15, mis defineeritakse, kuna

NIS2 direktiiv näeb ette nõrkustega seotud teabe vahetamist ja jagamist.

KüTS § 2 punktiga 37 võetakse üle NIS2 direktiivi artikli 6 punkt 12, mis defineeritakse, kuna

NIS2 direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad nimetatud

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-toote all mõeldakse. Kuna IKT-toode

on defineeritud juba olemasolevas Euroopa Liidu määruses, siis on siin tehtud viide vastavale

määrusele. Määruse 2019/881 artikli 2 punkti 12 kohaselt on IKT-tooteks „võrgu- või

infosüsteemi element või elementide rühm“.

KüTS § 2 punktiga 38 võetakse üle NIS2 direktiivi artikli 6 punkt 13, mis defineeritakse, kuna

NIS2 direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad nimetatud

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-teenuse all mõeldakse. Kuna IKT-

teenus on defineeritud juba olemasolevas Euroopa Liidu määruses, siis on siin tehtud viide

vastavale määrusele. Määruse 2019/881 artikli 2 punkti 13 kohaselt on IKT-teenuseks „teenus,

mis koosneb täielikult või peamiselt võrgu- ja infosüsteemide kaudu teabe edastamisest,

säilitamisest, väljavõtmisest või töötlemisest“.

KüTS § 2 punktiga 39 võetakse üle NIS2 direktiivi artikli 6 punkt 14, mis defineeritakse, kuna

NIS2 direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad nimetatud

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-protsessi all mõeldakse. Kuna IKT-

protsess on defineeritud juba olemasolevas Euroopa Liidu määruses, siis on siin tehtud viide

vastavale määrusele. Määruse 2019/881 artikli 2 punkti 13 kohaselt on IKT-protsessiks

„tegevused, mille käigus projekteeritakse või töötatakse välja IKT-toode või -teenus, seda

tarnitakse või hallatakse“.

KüTS § 2 lõike 1 punkt 4 tunnistatakse kehtetuks, kuna siinse punkti sisu viiakse KüTS § 2

punkti 75.

KüTS § 2 punktiga 41 võetakse üle NIS2 direktiivi artikli 6 punkt 18, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga.

61 / 151

KüTS § 2 punktiga 42 võetakse üle NIS2 direktiivi artikli 6 punkt 19, mis defineeritakse, kuna

see on järgmise punkti definitsiooni osa.

KüTS § 2 punktiga 43 võetakse üle NIS2 direktiivi artikli 6 punkt 20, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga ning seda

definitsiooni kasutatakse NIS2 direktiivist KüTSi üle võetavates õigusnormides. Tegemist on

terminiga, mille hõlmab kahte eri laadi üksust: esimene on üksus, kes osutab interneti

lõppkasutajatele üldsusele kättesaadavat domeeninime rekursiivse teisendamise teenust; ning

teine on üksus, kes osutab kolmandatele isikutele kasutuseks domeeninime autoriteetse

teisendamise teenust, välja arvatud juurnimeserverid.

Kommenteeritava punktiga on seotud ka NIS2 direktiivi põhjenduspunkt 32: „Usaldusväärse,

vastupidava ja turvalise domeeninimede süsteemi (DNS) tagamine ja hoidmine on

võtmetähtsusega, et säilitada interneti usaldusväärsus ning oluline, et tagada selle pidev ja

stabiilne toimimine, millest sõltuvad digimajandus ja -ühiskond. Seepärast tuleks [NIS2

direktiivi] kohaldada tippdomeeninimede registrite ja domeeninimede süsteemi teenuse osutajate

suhtes, mida tuleb käsitada üksustena, mis osutavad interneti lõppkasutajatele mõeldud

üldkasutatavate domeeninimede rekursiivse teisendamise teenust või kolmandatele isikutele

kasutamiseks mõeldud domeeninimede autoriteetse teisendamise teenust. [NIS2 direktiivi] ei

tuleks kohaldada juurnimeserverite suhtes.“

Kommenteeritava punkti definitsioonis on ka märgitud, et tegemist peab olema üldsusele

kättesaadava domeeninime rekursiivse teisendamise teenusega ehk kui näiteks seda teenust pakub

eraisik oma pereliikmele, siis sel juhul pole tegemist üldsusele ehk kõigile soovijatele mõeldud

teenusega.

Domeeninime autoriteetse teisendamise teenust pakutakse kolmandale isikule siis, kui nimetatud

teenust pakutakse füüsilistele või juriidilistele isikutele, kes ei ole see sama teenuse osutaja. See

on näiteks olukorras, kus domeeni autoriteetne nimeserverit ei hallata domeeni registrandi poolt,

vaid seda teenust pakub teine isik, näiteks domeeninimede registreerimise teenuseid osutav üksus

(registripidaja) või DNS majutuse pakkuja (inglise keeles DNS hosting service); millede puhul

viimast peetakse domeeninime autoriteetse teisendamise teenuse pakkujaks kolmandale isikule.

KüTS § 2 punktiga 44 võetakse üle NIS2 direktiivi artikli 6 punkt 21, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga ning seda

definitsiooni kasutatakse NIS2 direktiivist KüTSi üle võetavates õigusnormides. Näiteks on

siinne sõnastus hõlmatud järgmises punktis lisanduva mõiste definitsioonis.

Kommenteeritava punkti definitsiooni lauselõpp on „välja arvatud olukorrad, kus

tippdomeeninimesid kasutab register ise ainult enda tarbeks“. Tippdomeeninimede register

kasutab tippdomeeninimesid ainult enda tarbeks siis, kui tippdomeeninime register omab kõiki

registreeringud selles keskkonnas, mis on ennekõike siis, kui toimub ühe registrandi mudeli

(inglise keeles single-registrant model) korral. See toimub näiteks olukorras, kus mõne brändi

tippdomeeninime omab mõni ettevõte ja on samal ajal ka ise selle brändi tippdomeeninime

62 / 151

registri rollis selleks, et mitte lubada kolmandatel osapooltel registreerida brändiga seotud

tippdomeeninime.

KüTS § 2 punktiga 45 võetakse üle NIS2 direktiivi artikli 6 punkt 22, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga ning seda

definitsiooni kasutatakse NIS2 direktiivist KüTSi üle võetavates õigusnormides.

Domeeninimede registreerimise teenuseid osutava üksuse puhul tuleb arvestada asjaoluga, et

NIS2 direktiiv ei määratle teda elutähtsa üksuse ega olulise üksusena, mistõttu kohalduvad neile

ainult teatud NIS2 direktiivi nõuded, sh ei ole teda loetletud NIS2 direktiivi I ja II lisas. Erisus on

muidugi olukorras, kus sama üksus osutab teisi teenuseid, mis lähevad NIS2 direktiivi

kohaldamisala alla – nt kui tegemist on ka domeeninimede süsteemi teenuse osutajaga (vt eelnõu

KüTS § 2 punkti 43).

Kommenteeritavas punktis nimetatud üksuste suhtes kohaldatakse ainult NIS2 direktiivi artikli 3

lõikeid 3–5 (vt eelnõu KüTS § 3 lõikeid 3–32 ja 34 ning § 20 lõiget 1, sh nende selgitusi), artiklit

26 (vt eelnõu KüTS § 11, § 2 punkte 74 ja 75 ning § 4, sh nende selgitusi), artiklit 27 (vt eelnõu

KüTS § 2 punkte 74 ja 75 ning § 4, sh nende selgitusi) ja artiklit 28 (siinsed nõuded võeti üle Eesti

Interneti SA nõukogu poolt – vt siinsele seletuskirjale lisatud vastavustabeli selgitusi).

Teoreetiliselt saaks nende üksuste suhtes kohaldada ka NIS2 direktiivi artiklit 36, kuid see

eeldaks eraldi väärteokoosseisu tekitamist olukorraks, kus eelnevalt viidatud nõudeid kohaselt ei

täideta. Kuid kuna samade nõuete täitmise eest ei ole eelnõuga ette nähtud väärteovastutust

elutähtsate üksuste ja oluliste üksuste suhtes, siis siinses eelnõuga ei tekitata vastavat

väärteokoosseisu ka domeeninimede registreerimise teenuseid osutavate üksuste kohta.

KüTS § 2 punktiga 46 võetakse üle NIS2 direktiivi artikli 6 punkt 24, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga ning seda

definitsiooni kasutatakse NIS2 direktiivist KüTSi üle võetavates õigusnormides. Euroopa

Parlamendi ja nõukogu määruse (EL) 910/2014 määruse, e-identimise ja e-tehingute jaoks

vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ

(edaspidi määrus 910/2014), artikli 3 punktis 19 on usaldusteenuse osutaja defineeritud kui:

„füüsiline või juriidiline isik, kes osutab üht või mitut usaldusteenust kas kvalifitseeritud või

kvalifitseerimata usaldusteenuse osutajana“. Sama määruse artikli 3 punktis 16 on usaldusteenus

defineeritud kui „elektrooniline teenus, mida tavaliselt osutatakse tasu eest ja mis hõlmab üht

järgmistest:

a) e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude

usaldusteenuste osutamiseks vajalike sertifikaatide väljastamine;

b) e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude

usaldusteenuste osutamiseks vajalike sertifikaatide valideerimine;

c) e-allkirjade või e-templite loomine;

d) e-allkirjade või e-templite valideerimine;

63 / 151

e) e-allkirjade, e-templite, e-allkirja sertifikaatide või e-templi sertifikaatide säilitamine;

f) e-allkirja või e-templi kaugloomise vahendite haldamine;

g) elektrooniliste tõendite väljastamine;

h) elektrooniliste tõendite valideerimine;

i) e-ajatemplite loomine;

j) e-ajatemplite valideerimine;

k) registreeritud e-andmevahetusteenuste osutamine;

l) registreeritud e-andmevahetusteenuste kaudu edastatud andmete ja nendega seotud tõendite

valideerimine;

m) elektrooniliste andmete ja e-dokumentide elektrooniline arhiveerimine;

n) elektrooniliste andmete kandmine elektroonilisse arvestusraamatusse“.

2024. a mais jõustusid muudatused, mis laiendasid usaldusteenuse mõistet ehk NIS2 direktiivi

vastu võtmise ajal oli selle mõiste alla hõlmatud vähem elektroonilisi teenuseid. Siinse eelnõuga

ei ole võimalik ka seda definitsiooni kitsendada (ehk sõnastada ainult enne maid 2024. a olevate

usaldusteenustega), kuna vastasel juhul tekib olukord, kus usaldusteenustele osutajatel tekivad

erinevad nõuded küberturvalisuse valdkonnas ehk osadele kehtivad NIS2 direktiivist tulenevad

nõuded ja osadele (2024. a maist lisandunud usaldusteenustele) justkui konkreetseid nõudeid

KüTSi alusel ei kehtiks.

KüTS § 2 punktiga 47 võetakse üle NIS2 direktiivi artikli 6 punkt 26, mis defineeritakse, kuna

see on seotud KüTSi nõuetega hõlmatavate organisatsioonide definitsiooniga ning seda

definitsiooni kasutatakse NIS2 direktiivist KüTSi üle võetavates õigusnormides. Määruse

910/2014 artikli 3 punktis 20 on kvalifitseeritud usaldusteenuse osutajaks „usaldusteenuse

osutaja, kes osutab üht või mitut kvalifitseeritud usaldusteenust ning kellele järelevalveasutus on

andnud kvalifitseeritud staatuse“.

KüTS § 2 punkti 5 muutmine on seotud NIS2 direktiivi artikli 6 punkti 28 üle võtmisega, mis

viitab Euroopa Parlamendi ja nõukogu direktiivi 2005/29/EÜ, mis käsitleb ettevõtja ja tarbija

vaheliste tehingutega seotud ebaausaid kaubandustavasid siseturul ning millega muudetakse

nõukogu direktiivi 84/450/EMÜ, Euroopa Parlamendi ja nõukogu direktiive 97/7/EÜ, 98/27/EÜ

ja 2002/65/EÜ ning Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 2006/2004 (edaspidi

direktiiv 2005/29/EÜ), artikli 2 punktis n määratletud internetipõhine kauplemiskohale. Direktiivi

2005/29/EÜ artikli 2 punktis n on internetipõhiseks kauplemiskohaks „teenus, mis võimaldab

tarbijatel sõlmida teiste ettevõtjate või tarbijatega kauglepinguid, kasutades selleks tarkvara,

sealhulgas veebisaiti, veebisaidi osa või rakendust, mida käitab ettevõtja või mida käitatakse

ettevõtja nimel“. Tarbijakaitseseaduse § 2 punkti 7 kohaselt on internetipõhine kauplemiskohaks

„kauplemiskoht, kus tarbija saab sõlmida teise kaupleja või tarbijaga lepinguid sidevahendi abil,

64 / 151

kasutades selleks tarkvara, sealhulgas veebilehte, veebilehe osa või rakendust, mida käitab

kaupleja või mida käitatakse kaupleja nimel“.

Direktiivi 2005/29/EÜ artikli 2 punktis a on tarbijaks „füüsiline isik, kes [direktiiviga

2005/29/EÜ] hõlmatud kaubandustavade raames tegutseb eesmärkidel, mis ei ole seotud tema

kaubandus-, majandus-, käsitöö- ega kutsetegevusega“. Tarbijakaitseseaduse § 2 punktis 1 on

tarbijaks „füüsiline isik, kes tegutseb eesmärgil, mis ei ole seotud tema majandus- või

kutsetegevusega“.

Direktiivi 2005/29/EÜ artikli 2 punktis b on ettevõtjaks „füüsiline või juriidiline isik, kes

[direktiiviga 2005/29/EÜ] hõlmatud kaubandustavade raames tegutseb eesmärkidel, mis on

seotud tema kaubandus-, majandus-, käsitöö- või kutsetegevusega, ning ettevõtja nimel või

huvides tegutsev isik“. Tarbijakaitseseaduse § 2 punktis 2 on kauplejaks „füüsiline või juriidiline

isik, sealhulgas avalik-õiguslik juriidiline isik, kes tegutseb eesmärgil, mis on seotud tema

majandus- või kutsetegevusega“.

Direktiivi 2005/29/EÜ artikli 2 punktis n määratletud internetipõhine kauplemiskoha definitsioon

on sisult sama, mis on tarbijakaitseseaduse § 2 punktis 7 olev internetipõhise kauplemiskoha

definitsioon, mistõttu on kommenteeritavas punktis viide vastavale tarbijakaitseseaduse terminile.

KüTS § 2 punktiga 6 seotud muudatused on seotud NIS2 direktiivi artikli 6 punkti 29 üle

võtmisega, mis viitab Euroopa Parlamendi ja nõukogu määruse (EL) 2019/1150, mis käsitleb

õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks (edaspidi

määrus 2019/1150), artikli 2 punktis 5 määratletud internetipõhisele otsingumootorile. NIS2

direktiivi eestikeelne tõlge märgib, et tegemist on direktiiviga, kuid tegelikkuses on tegemist

määrusega. Seetõttu on ka eelnõus tehtud viide määrusele, mitte direktiivile. Määruse 2019/1150

artikli 2 punktis 5 on internetipõhine otsingumootoriks „digitaalne teenus, mis võimaldab

kasutajatel sisestada päringuid, et teha otsinguid üldjuhul kõikidel veebisaitidel või teatavas

keeles kõikidel veebisaitidel mis tahes teemal võtmesõna, häälkäskluse, fraasi või muu sisendi

vormis tehtud päringu alusel, ning saadab vastuseks mis tahes vormingus tulemused, kust võib

leida teavet taotletud sisu kohta“.

Eelnõu koostajad märgivad, et määruse 2019/1150 artikli 2 punktis 5 ei ole sõnastatud terminiks

eestikeelses versioonis „internetipõhine otsingumootor“, vaid „veebipõhine otsingumootor“.

Seetõttu on kommenteeritavas punktis defineeritava termini sõnastuses ja selle definitsioonis (ehk

määruse 2019/1150 viites) kasutatud mõistet „veebipõhine otsingumootor“. Samalaadset

sõnastust on kasutatud näiteks ka tarbijakaitseseaduse § 17 lõikes 22, kus on kasutatud mõistet

„veebipõhiste otsingumootorite pakkujad“.

KüTS § 2 punktiga 7 seotud muudatused on seotud NIS2 direktiivi artikli 6 punkti 30 üle

võtmisega ehk kehtiva termini sõnastuse täpsustamine võrreldes NIS2 direktiivis sõnastatud

terminiga. Kommenteeritava punktiga on seotud ka NIS2 direktiivi põhjenduspunktid 33 ja 34:

„(33) Pilvandmetöötlusteenused peaksid hõlmama digiteenuseid, mis võimaldavad jagatavate

andmetöötlusressursside skaleeritava ja paindliku kogumi nõudepõhist haldamist ning

65 / 151

ulatuslikku kaugpääsu sellele kogumile, muu hulgas juhul, kui need ressursid paiknevad

hajutatult erinevates kohtades. Andmetöötlusressursid on näiteks võrgud, serverid ja muu taristu,

operatsioonisüsteemid, tarkvara, talletusruum, rakendused ja teenused. Pilvandmetöötluse

teenusemudelid hõlmavad muu hulgas taristut teenusena (IaaS), platvormi teenusena (PaaS),

tarkvara teenusena (SaaS) ja võrku teenusena (NaaS). Pilvandmetöötluse korraldusmudelid

peaksid hõlmama privaat-, ühis-, avalikku ja hübriidpilve. Mõistetel „pilvandmetöötlusteenus“ ja

„korraldusmudel“ on sama tähendus nagu nimetatud mõistetel standardi ISO/IEC 17788:2014

määratluses. Pilvandmetöötlusteenuse kasutaja võimekust tagada endale ühepoolselt

andmetöötlusvõimekus, nagu serveriaeg või võrgu talletusruum, ilma pilvandmetöötlusteenuse

osutaja inimesepoolse sekkumiseta, võiks nimetada nõudepõhiseks haldamiseks.

Mõistega „ulatuslik kaugpääs“ peetakse silmas seda, et pilvevõimalusi pakutakse võrgu kaudu ja

need on kättesaadavad mehhanismide kaudu (sealhulgas mobiiltelefonid, tahvelarvutid,

sülearvutid ja tööjaamad), mis toetavad heterogeensete nn kõhnade või paksude

kliendiplatvormide kasutamist. Mõiste „skaleeritav“ osutab andmetöötlusressurssidele, mis on

nõudluse kõikumisega toimetulekuks pilveteenuse osutaja poolt paindlikult jaotatavad olenemata

ressursside geograafilisest asukohast. Mõistet „paindlik kogum“ kasutatakse

andmetöötlusressursside kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt

nõudlusele, et kättesaadavaid ressursse suurendada või vähendada sõltuvalt töökoormusest.

Mõistet „jagatav“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse

paljudele kasutajatele, kellel on ühine juurdepääs teenusele, kuid mille puhul andmete töötlemine

toimub iga kasutaja jaoks eraldi, olgugi et teenust osutatakse samadest elektroonilistest

seadmetest. Mõistet „hajusad“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mis

asuvad erinevates võrguga ühendatud arvutites või seadmetes ning mis suhtlevad omavahel ja

kooskõlastavad omavahelist tegevust sõnumite edastamise teel.

(34) Kuna maad võtavad uuenduslikud tehnoloogiad ja ärimudelid, tulevad eeldatavasti tarbijate

muutuvate vajaduste järgi siseturule uued pilvandmetöötlusteenuse ja korraldusmudelid. Sellises

kontekstis võib pilvandmetöötlusteenuseid osutada väga hajusal kujul, mille puhul töötlus toimub

andmete loomise või kogumise kohale veelgi lähemal; seega liikudes nn traditsiooniliselt mudelilt

väga hajusale mudelile (servtöötlus).“

KüTS § 2 punktiga 71 võetakse üle NIS2 direktiivi artikli 6 punkt 31. Kommenteeritava

punktiga on seotud NIS2 direktiivi põhjenduspunkt 35: „(35) Andmekeskusteenuse osutajate

pakutavaid teenuseid ei pakuta alati tingimata pilvandmetöötlusteenusena. Seega ei pruugi

andmekeskused alati olla pilvandmetöötlustaristu osa. Kõigi võrgu- ja infosüsteemide

turvalisusega seotud riskide juhtimiseks peaks seetõttu [NIS2 direktiivi] kohaldamisalasse

kuuluma ka selliste andmekeskusteenuste pakkujad, mis ei ole pilvandmetöötlusteenused. [NIS2

direktiivi] kohaldamisel peaks mõiste „andmekeskusteenus“ kätkema sellise teenuse osutamist,

mis hõlmab struktuure või struktuuride rühmi, mis on ette nähtud andmete talletamiseks,

töötlemiseks ja edastamiseks kasutatava infotehnoloogia- (IT) ja võrguseadmete keskseks

majutamiseks, omavahel sidumiseks ja käitamiseks, võttes arvesse ka energiajaotuse ja

keskkonnajuhtimisega seotud rajatisi ja taristuid. Mõiste „andmekeskusteenus“ ei tohiks hõlmata

66 / 151

asutusesiseseid andmekeskusi, mis kuuluvad asjaomasele üksusele ja mida käitatakse üksuse

enda tarbeks.“

KüTS § 2 punktiga 72 võetakse üle NIS2 direktiivi artikli 6 punkt 32 (sisulevivõrk).

Kommenteeritava mõiste puhul on NIS2 direktiivi definitsioonis kasutatud sõna „digiteenus“,

kuid siinses eelnõus on kasutatud selle asemel sõnu „infoühiskonna teenus“, et oleks seos

infoühiskonna teenuse mõiste ja olemusega, mis on defineeritud infoühiskonna teenuste seaduse

§ 2 punktis 1 kui: „teenus, mida osutatakse majandus- või kutsetegevuse raames teenuse kasutaja

otsesel taotlusel ja mille puhul andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul

andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil, kusjuures

osapooled ei viibi üheaegselt samas kohas. Infoühiskonna teenus peab olema täielikult üle

kantud, edastatud ja vastu võetud elektrooniliste sidevahendite abil. Infoühiskonna teenus ei ole

faksi ega telefonikõne abil edastatud teenus ega televisiooni- või raadioteenus“. Siinses

definitsioonis on digisisu osas mõeldud kogu digiandmeid (inglise keeles digital data), nii

staatilist kui ka dünaamiliselt vahetatavaid andmeid.

KüTS § 2 punktiga 73 võetakse üle NIS2 direktiivi artikli 6 punkt 33 (sotsiaalvõrguteenuse

platvorm).

KüTS § 2 punktiga 74 tekitatakse lühend „digitaalse teenuse osutaja“, mis hõlmab mitut üksust.

Nimetatud lühend on tekitatud ennekõike seetõttu, et ülejäänud eelnõu tekstis puuduks vajadus

uuesti nimetada kõiki neid üksusi, mis on selle lühendiga hõlmatud. Selle asemel saabki kasutada

kommenteeritava punktiga tekitatavat lühendit.

KüTS § 2 punktiga 75 on eelnõus seotud sama paragrahvi punktiga 74 ehk tegemist on selles

nimetatud üksuse esindajaga. Kommenteeritava punktiga võetakse üle NIS2 direktiivi artikli 6

punkt 34. Kommenteeritava punkti definitsioonis on viide ainult Riigi Infosüsteemi Ametile

seetõttu, et sellele ametile antakse küberturbe intsidentide lahendamise üksuse ehk CSIRTi

ülesanded. Digitaalse teenuse osutaja kohustuste puhul on mõeldud neid kohustusi, mis tulevad

NIS2 direktiivi tulemusena ennekõike KüTSist, kuid olenevalt olukorrast ka NIS2 direktiivi

alusel Euroopa Komisjoni antud rakendusaktidest.

KüTS § 2 punktiga 9 võetakse üle NIS2 direktiivi artikli 6 punkt 39, mis viitab Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2018/1972, millega kehtestatakse Euroopa elektroonilise

side seadustik (edaspidi direktiiv 2018/1972), artikli 2 punktis 8 määratletud üldkasutatavale

elektroonilise side võrgule. Direktiivi 2018/1972 artikli 2 punktis 8 on üldkasutatav elektroonilise

side võrk defineeritud kui „elektroonilise side võrk, mida kasutatakse ainult või peamiselt

avalikult kättesaadavate elektroonilise side teenuste pakkumiseks ning mis toetab teabe

edastamist võrgu lõpp-punktide vahel“.

Direktiivi 2018/1972 artikli 2 punktis 1 on elektroonilise side võrk defineeritud kui

„ülekandesüsteemid, mis võivad, aga ei pruugi põhineda püsitaristul või kesksel juhtimisel, ja

vajaduse korral lülitus- ja marsruutimisseadmed ning muud vahendid, sealhulgas

võrguelemendid, mis ei ole aktiivsed, mis võimaldavad edastada signaale kaabli kaudu, raadio

67 / 151

teel, optiliselt või muude elektromagnetiliste vahendite abil, kasutades sealhulgas satelliitvõrke,

püsivõrke (ahel- ja pakettkommuteeritud võrgud, k.a internet) ja mobiilsidevõrke,

elektrikaabelsüsteeme, kui neid kasutatakse signaalide edastamiseks, raadio- ja

teleringhäälinguvõrke ja kaabeltelevisioonivõrke, olenemata sellest, millist teavet nende kaudu

edastatakse“. Elektroonilise side seaduse § 2 punktis 8 on elektroonilise side võrk defineeritud

kui: „ülekandesüsteem koos selle tööks vajalike lülitusseadmete ning muude tugisüsteemidega,

mis võimaldab signaalide edastamist ja suunamist kaabli kaudu, samuti raadio, optiliste või

muude elektromagnetiliste vahenditega. Muu hulgas on elektroonilise side võrkudeks, sõltumata

nende kaudu edastatava informatsiooni iseloomust, satelliitvõrk, telefonivõrk, andmesidevõrk,

mobiiltelefonivõrk, ringhäälinguvõrk, kaabellevivõrk ja elektrikaablisüsteem, kui seda

kasutatakse signaalide edastamiseks või suunamiseks.“

Elektroonilise side seaduse § 2 punkti 71 kohaselt on üldkasutatav elektroonilise side võrk

defineeritud kui „võrk, mille kaudu osutatakse üldkasutatavat elektroonilise side teenust, mis

võimaldab teabe edastamist elektroonilise side võrgu lõpp-punktide vahel“. Seetõttu on

kommenteeritavas punktis tehtud viide elektroonilise side seaduse vastavale terminile.

KüTS § 2 punktiga 10 võetakse üle NIS2 direktiivi artikli 6 punkt 37, mis viitab direktiivi

2018/1972 artikli 2 punktis 4 määratletud elektroonilise side teenusele. Direktiivi 2018/1972

artikli 2 punktis 4 on elektroonilise side teenus defineeritud kui „elektroonilise side võrkude

kaudu tavaliselt tasu eest osutatav teenus, välja arvatud teenused, millega osutatakse või mille

abil teostatakse elektroonilise side võrkude ja teenuste abil edastatava sisu redigeerimist, mis

hõlmab järgmist tüüpi teenuseid:

a) määruse (EL) 2015/2120 artikli 2 teise lõigu punktis 2 määratletud internetiühenduse teenus;

b) isikutevahelise side teenus;

c) teenused, mis seisnevad tervikuna või peamiselt signaalide edastamises, näiteks

masinatevaheliste teenuste pakkumiseks ja ringhäälingu jaoks kasutatavad ülekandeteenused.“

Elektroonilise side seaduse § 2 punkti 68 kohaselt on üldkasutatav elektroonilise side teenus

defineeritud kui „teenus, mida sideettevõtja pakub vastaval sideteenuse turul üldistel alustel

kõikidele isikutele, ilma et isikud peaksid vastama mingitele neid teistest sarnastest isikutest

eristavatele tunnustele. Teenus on üldkasutatav eelkõige siis, kui selle osutamine on kestev ja

järjepidev ning seda pakutakse sisuliselt ühesugustel tingimustel“. Seetõttu on kommenteeritavas

punktis tehtud viide elektroonilise side seaduse vastavale terminile.

KüTS § 2 punktiga 11 võetakse üle NIS2 direktiivi artikli 6 punkt 39 (hallatud teenuse osutaja).

See hõlmab näiteks hallatud teenuse osutaja kliendi sidevõrkude haldamist, sh viitab ka

tegevustele, mida tehakse selle kliendi ruumides. Definitsioonis olevad tegevused on

alternatiivsed ehk hallatud teenuse osutaja ei pea kõiki definitsioonis olevaid teenuseid pakkuma.

KüTS § 2 punktiga 12 võetakse üle NIS2 direktiivi artikli 6 punkt 40 (turbetarnija), mis kasutab

enda definitsioonis KüTS § 2 punktis 11 olevat terminit „hallatud teenuste osutaja“. Eelnõus on

68 / 151

siin kasutatud turbetarnija asemel sõnastust „hallatud turbeteenuste osutaja“, kuna eelnõuga

pakutav sõnastus on tõlke mõttes selgem mõiste kui turbetarnija. Eelnõu koostamisel on olnud

arutelu Euroopa Liidu jurist-lingvistidega, et NIS2 direktiivi vastava mõiste sõnastust parandada

ehk asendada sõna „turbetarnija“ sõnadega „hallatud teenuste osutaja“. Vastav sõnastus on sama,

mis on kübersolidaarsuse määruse eelnõu tekstis39 olev sõnastus ehk „hallatud turbeteenuste

osutaja“, mis omakorda viitab selle defineerimisel ka eelmainitud NIS2 direktiivi sättele.

Kommenteeritavas punktis olev üksuse osutatavateks teenusteks võivad olla seotud näiteks

eelnõuga KüTS § 7 lõikes 2 sätestatud nõuete täitmisega – näiteks võib ta pakkuda

küberintsidendi haldamise või lahendamise teenust, kui vastav küberintsident leiab aset.

KüTS § 2 punktiga 13 võetakse üle NIS2 direktiivi artikli 6 punkt 41 (teadusasutus).

Kommenteeritava punktiga on seotud NIS2 direktiivi põhjenduspunkt 36:

„(36) Teadusuuringutel on uute toodete ja protsesside väljatöötamisel võtmeroll. Paljusid neist

tegevustest viivad ellu üksused, mis jagavad, levitavad või kasutavad oma teadusuuringute

tulemusi ärilistel eesmärkidel. Need üksused võivad seega olla olulised osalejad väärtusahelates,

mis muudab nende võrgu- ja infosüsteemide turvalisuse siseturu üldise küberturvalisuse

lahutamatuks osaks. Teadusorganisatsioone tuleks käsitada nii, et need hõlmavad üksusi, mis

pühendavad olulise osa oma tegevusest rakendusuuringutele või tootearendusele

Majanduskoostöö ja Arengu Organisatsiooni 2015. aasta Frascati käsiraamatu „Guidelines for

Collecting and Reporting Data on Research and Experimental Development, with a view to

exploiting their results for commercial purposes, such as the manufacturing and marketing of a

product, process or the provision of a service“ („Teadus- ja arendustegevuse andmete kogumise

ja esitamise suunised, et kasutada nende tulemusi ärilistel eesmärkidel, näiteks toote, protsessi

või teenuse tootmiseks või turustamiseks“) tähenduses.“

KüTS § 3 lõike 1 kehtetuks tunnistamine on seotud teiste muudatustega, mis on tehakse samas

paragrahvis. Kuigi kommenteeritav lõige tunnistatakse kehtetuks, siis selle sisu on viidud

ennekõike KüTS § 1, sh saavad osad kehtiva KüTS § 3 lõikes 1 olevad organisatsioonid elutähtsa

teenuse osutajateks. See omakorda tähendab, et elutähtsa teenuse osutajatele kehtivad

(üldreeglina) KüTSist tulenevad nõuded tervikuna - erisused on siis, kui tegemist on kavandatava

KüTS § 1 lõikes 4 ja lõike 41 alusel antud määruses sätestatud olukordadega.

KüTS § 3 lõike 11 eesmärk on NIS2-s olevate üksuste liikide seostamine kehtiva KüTSi

sõnastuse kasutamisega ehk sõnadega „teenuse osutaja“. Kui KüTSis või selle alusel antud

määruses on kasutatud sõnu „teenuse osutaja“, siis tolles sättes olev sisu või nõue kehtib nii

elutähtsale üksusele kui ka olulisele üksusele. Nende kahe üksuse liigi vahe on ennekõike seotud

järelevalve meetmete ja -režiimi temaatika (vt KüTSi 4. peatükki ja selles tehtavaid muudatusi)

kui ka KüTSi nõuete rikkumiste korral nende üksuste suhtes ette nähtavate väärteokaristuste

suurused (vt KüTSi 5. peatükki ja selles tehtavaid muudatusi).

Kommenteeritava punktiga on seotud ka NIS2 direktiivi põhjenduspunkt 15:

39 https://www.europarl.europa.eu/doceo/document/TA-9-2024-0355_ET.html.

69 / 151

„(15) Küberturvalisuse riskijuhtimismeetmete järgimiseks ja teatamiskohustuse täitmiseks tuleks

[NIS2 direktiivi] kohaldamisalasse kuuluvad üksused liigitada kahte kategooriasse – elutähtsad

üksused ja olulised üksused, mis näitab, mil määral on nad kriitilise tähtsusega nende sektori või

osutatavate teenuste liigi, aga ka oma suuruse seisukohast. Sellega seoses tuleks igakülgselt

arvesse võtta kõiki asjakohaseid valdkondlikke riskihindamisi või pädevate asutuste suuniseid,

kui see on kohaldatav. Nende kahe üksuseliigi järelevalve- ja täitmise tagamise kord peaks olema

erinev, et tagada õiglane tasakaal kohaldatavate riskipõhiste nõuete ja kohustuste ning nõuete

täitmise järelevalvega seotud halduskoormuse vahel.“

Domeeninimede registreerimise teenust osutava üksuse puhul tuleb arvestada asjaoluga, et NIS2

direktiiv ei määratle teda elutähtsa üksuse ega olulise üksusena, mistõttu kohalduvad neile ainult

teatud NIS2 direktiivi nõuded. Siin vt eelnõu KüTS § 2 punkti 45 selgitusi.

KüTS § 3 lõike 12 eesmärk on määratleda NIS2 direktiivi artikli 3 lõike 1 kohaselt need üksused,

kes saavad elutähtsaks üksuseks. Eelnõus kasutatakse mõisteid või sõnu nagu „elutähtis üksus“

(kasutatakse eelnõu tulemusena KüTSis) ja „elutähtsa teenuse osutaja“ (defineeritud

hädaolukorra seaduses), kuid neid ei saa alati samastada. Kõik elutähtsa teenuse osutajad on

automaatselt elutähtsad üksused, kuid kõik elutähtsad üksused ei ole automaatselt elutähtsa

teenuse osutajad.

KüTS § 3 lg 12 punktiga 1 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt b, konkreetsemalt

lauseosa „kvalifitseeritud usaldusteenuse osutajad“. Kommenteeritavas punktis ei ole lauseosa

„olenemata nende suurusest“, kuna NIS2 artikli 2 lõike 2 punkti a alapunkti ii) (võetakse üle

eelnõuga KüTS § 1 lg 13 punktiga 3) kohaselt on usaldusteenuse osutajad hõlmatud NIS2

direktiivi alla olenemata nende suurusest. Usaldusteenuse osutaja mõiste hõlmab ka

kvalifitseeritud usaldusteenuse osutajat (vt NIS2 artikli 6 punkti 27 ja seda üle võtvat KüTS § 2

punkti 47).

KüTS § 3 lg 12 punktiga 2 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt b, konkreetsemalt

lauseosa „tippdomeeninimede registrid“. Kommenteeritavas punktis ei ole lauseosa „olenemata

nende suurusest“, kuna NIS2 artikli 2 lõike 2 punkti a alapunkti iii) (võetakse üle KüTS § 1 lg 13

punktiga 4) kohaselt on tippdomeeninimede registrite pidajad hõlmatud NIS2 direktiivi alla

olenemata nende suurusest.

KüTS § 3 lg 12 punktiga 3 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt b, konkreetsemalt

lauseosa „domeeninimede süsteemi teenuse osutajad“. Kommenteeritavas punktis ei ole lauseosa

„olenemata nende suurusest“, kuna NIS2 artikli 2 lõike 2 punkti a alapunkti iii) (võetakse üle

KüTS § 1 lg 13 punktiga 6) kohaselt on domeeninimede süsteemi teenuse osutajad hõlmatud

NIS2 direktiivi alla olenemata nende suurusest.

KüTS § 3 lg 12 punktiga 4 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt d (keskvalitsuse

avaliku halduse üksus).

KüTS § 3 lg 12 punktiga 5 määratakse kohaliku tasandi avaliku halduse üksus elutähtsaks

üksuseks, arvestades NIS2 direktiivi artikli 3 lõike 1 punkti g (kui liikmesriigid nii ette näevad,

70 / 151

siis üksused, mida liikmesriigid käsitasid enne 16. jaanuari 2023 oluliste teenuste operaatoritena

vastavalt [...] liikmesriigi õigusele). Kommenteeritava punkti eesmärk on säilitada olukord, kus

kohaliku tasandi avaliku halduse üksused oleksid elutähtsa üksusele omase eel-kontrolli laadse

järelevalve mehhanismi alla. Vt siin ka KüTS § 1 lg 15 punkti 1 ning § 2 punkti 13 kohta esitatud

selgitust.

KüTS § 3 lg 12 punktiga 6 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt f (elutähtsa

teenuse osutaja).

KüTS § 3 lg 12 punktiga 7 määratakse kriitilise tähtsusega side-, mereraadioside ja

operatiivraadiosidevõrgu teenuse osutaja elutähtsaks üksuseks, arvestades NIS2 direktiivi artikli

3 lõike 1 punkti g (kui liikmesriigid nii ette näevad, siis üksused, mida liikmesriigid käsitasid

enne 16. jaanuari 2023 oluliste teenuste operaatoritena vastavalt [...] liikmesriigi õigusele).

KüTS § 3 lg 12 punktiga 8 määratakse riigi tegevusvaru haldaja elutähtsaks üksuseks, arvestades

NIS2 direktiivi artikli 3 lõike 1 punkti e. Siin vt ka eelnõu KüTS § 1 lg 15 punkti 3 kohta esitatud

selgitust.

KüTS § 3 lg 12 punktiga 9 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt c.

Kommenteeritava punkti kohaselt hõlmatakse siin üksus, kes vastab kõigile järgmistele

tingimustele (arvestades keskmise suurusega ettevõtja määratlust Euroopa Komisjoni soovituses

2003/361/EÜ):

1) ta on üldkasutatava elektroonilise side võrgu või üldkasutatava elektroonilise side teenuse

pakkuja;

2) tal on majandusaasta jooksul keskmiselt 50 või rohkem töötajat;

3) tema aasta bilansimaht või aastakäive ületab 10 miljonit eurot (sh kas bilansimaht või

aastakäive on sellest summast suurem).

Kommenteeritava punktiga seonduvalt vt ka eelnõus KüTS § 1 lg 11 selgitust.

KüTS § 3 lg 12 punktiga 10 võetakse üle NIS2 direktiivi artikli 3 lõike 1 punkt a. Selle punkti

alusel on tegemist elutähtsa üksusega, kui kõik järgnevad tingimused on täidetud ehk et tegemist

on üksusega (arvestades keskmise suurusega ettevõtja määratlust Euroopa Komisjoni soovituses

2003/361/EÜ):

1) kellel on majandusaasta jooksul keskmiselt 250 või rohkem töötajat;

2) kelle aasta bilansimaht ületab 50 miljonit eurot või aastakäive ületab 43 miljonit eurot (sh kas

bilansimaht või aastakäive on nimetatud summadest suurem);

3) kes on osutatud KüTS § 1 lõikes 12 ehk tegemist on ühe vähemalt ühe üksusega selles lõikes

viidatud 51 punkti seas.

Kommenteeritava punktiga seonduvalt vt ka eelnõus KüTS § 1 lg 11 selgitust.

71 / 151

KüTS § 3 lõikega 13 võetakse üle NIS2 direktiivi artikli 3 lõige 2. Siinse lõike sõnastamisel

lähtuti eeldusest, et KüTSi mõistes teenuse osutajad on kas elutähtsad üksused või olulised

üksused. Seetõttu on siinse lõike punktides sätestatud need üksused, kes ei ole elutähtsad

üksused, sh on need ka eelnõuga ära nimetatud õigusselguse jaoks. Kommenteeritav NIS2

direktiivi artikli lõige ise ei anna rohkem selgust, et kes on olulised üksused.

KüTS § 3 lg 13 punktiga 1 tehakse seos NIS2 direktiivi artikli 3 lõike 1 punktiga c ehk

kommenteeritava punktiga hõlmatakse need üldkasutatava elektroonilise side võrgu ja

üldkasutatava elektroonilise side teenuse pakkujad, kes pole elutähtsad üksused - viimati

nimetatute osas vt eelnõus KüTS § 3 lg 12 punkti 9 ja selle selgitust. Siin tuleb ka arvestada

asjaoluga, et NIS2 direktiiv näeb ette, et üldkasutatava elektroonilise side võrgu ja üldkasutatava

elektroonilise side teenuse pakkujad on hõlmatud NIS2 direktiivi alla olenemata nende suurusest

ehk kõik vastavaid teenuseid osutavad üksused on hõlmatud.

Sisuliselt on siinse punkti tulemusel hõlmatud oluliste üksuste hulka need üldkasutatava

elektroonilise side võrgu ja üldkasutatava elektroonilise side teenuse pakkujad, kes vastavad

ühele kolmest järgnevale alternatiivsele variandile (arvestades keskmise suurusega ettevõtja

määratlust Euroopa Komisjoni soovituses 2003/361/EÜ):

variant 1: konkreetsel üksusel on (mõlemad tingimused on täidetud):

1.1. majandusaasta jooksul keskmiselt 49 või vähem töötajat;

1.2. aasta bilansimaht või aastakäive alla 10 miljonit eurot (sh nii bilansimaht kui ka aastakäibe

suurus on nimetatud summast väiksem).

variant 2: konkreetsel üksusel on (mõlemad tingimused on täidetud):

2.1. majandusaasta jooksul keskmiselt 50 või rohkem töötajat;

2.2. aasta bilansimaht või aastakäive alla 10 miljonit eurot (sh nii bilansimaht kui ka aastakäibe

suurus on nimetatud summast väiksem).

variant 3: konkreetsel üksusel on (mõlemad tingimused on täidetud):

3.1. majandusaasta jooksul keskmiselt 49 või vähem töötajat;

3.2. aasta bilansimaht või aastakäive ületab 10 miljonit eurot (sh kas bilansimaht või aastakäive

on sellest summast suurem).

KüTS § 3 lg 13 punktiga 2 tehakse seos eelnõu KüTS § 1 lg 13 punktiga 3, kuid siin on

sõnastuse puhul arvestatud NIS2 direktiivi artikli 3 lõike 1 punkti b (mis võetakse üle eelnõu

KüTS § 3 lg 12 punktiga 1). NIS2 direktiiv hõlmab enda alla usaldusteenuse osutajad, kelleks on

definitsiooni (vt eelnõu KüTS § 2 punkti 46 ja selles viidatud määruse punkti sisu ja siinse

seletuskirja selgitust) kohaselt hõlmatud ka kvalifitseeritud teenuse osutajad (definitsiooni osas vt

eelnõu KüTS § 2 punkti 47 ja selles viidatud määruse punkti sisu ja siinse seletuskirja selgitust)

kui ka kvalifitseerimata usaldusteenuse osutajaid, kuid NIS2 direktiivi vastava artikli viites

72 / 151

viidatud määruses paraku ei defineerita, kes on kvalifitseerimata usaldusteenuse osutaja. Seetõttu

on kommenteeritav punkt sõnastatud välistusena ehk siinse punktiga on hõlmatud need

usaldusteenuse osutajad, kes ei ole elutähtsad üksused.

KüTS § 3 lg 13 punktiga 3 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 9. KüTSi kehtiva

versiooni § 3 lg 1 p 7 hõlmab KüTSi alla kõik tervishoiuteenuste korraldamise seaduses

sätestatud perearstiabi osutajad perearstiabi osutamisel. Kuid hädaolukorra seaduses tehtavate

muudatuste tulemusena hakkavad osad perearstiabi osutajad olema elutähtsa teenuse osutajad,

mistõttu kehtiva õiguse säilitamise jaoks on vaja selgelt määratleda KüTSis ka need perearstiabi

osutajad, kes ei saa elutähtsa teenuse osutajateks. Vt siin ka eelnõus KüTS § 1 lg 15 punkti 9

selgitust.

KüTS § 3 lg 13 punktiga 4 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 5 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punktiga 5 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 6 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punktiga 6 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 7 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punktiga 7 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 8 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punktiga 8 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 10 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punktiga 9 tehakse seos eelnõu KüTS § 1 lg 15 punktiga 2 (selle sisu osas vaata

tolle punkti selgitust).

KüTS § 3 lg 13 punkt 10 on seotud eelnõu KüTS § 3 lg 12 punktiga 10 ehk nende üksustega,

keda ei hõlmata elutähtsateks üksusteks KüTS § 3 lg 12 punktiga 10 alusel. Kommenteeritava

punkti puhul tuleb arvestada, et siinse punktiga seotud üksustel on teatavad miinimumlävendid

nii töötajate arvu kui ka bilansimahu ning aastakäibe osas, mis peavad olema täidetud ehk vt siin

ka eelnõu KüTS § 1 lg 11 selgitust.

Sisuliselt on kommenteeritava punkti tulemusel hõlmatud oluliste üksuste hulka üksus, kes vastab

kõigile järgmistele tingimustele (arvestades keskmise suurusega ettevõtja määratlust Euroopa

Komisjoni soovituses 2003/361/EÜ):

a) tal on majandusaasta jooksul keskmiselt 50 või rohkem töötajat;

b) tema aasta bilansimaht on 10-50 miljoni eurot ning tema aastakäive on 10-43 miljonit eurot (sh

nii bilansimaht kui ka aastakäibe suurus on nimetatud summade piirides);

c) ta on osutatud KüTS § 1 lõikes 12 ehk tegemist on ühe vähemalt ühe üksusega selles lõikes

viidatud 51 punkti seas.

73 / 151

KüTS § 3 lg 14 on seotud eelnõu KüTS § 1 lõike 16 alusel antava määrusega ehk et kui tolle

volitusnormi alusel kehtestatakse määrus, siis tuleb tolles määruses paika panna, kas lisanduv

üksus on elutähtis üksus või oluline üksus.

KüTS § 3 lõige 2 tunnistatakse kehtetuks, kuna see sisaldab viidet NIS2 direktiiviga kehtetuks

tunnistatavale direktiivile 2016/1148 ning kuna NIS2 direktiiv ei sisalda sõnastust „olulise

teenuse operaator“.

KüTS § 3 lõike 3 muudatusega võetakse üle NIS2 direktiivi artikli 3 lõige 3. Siinses lõikes

asendatakse viide direktiivilt 2016/1148 NIS2 direktiivile ehk ülesande sisu on tuvastada need

teenuse osutajad, kes on otsesõnu hõlmatud NIS2 direktiivi kohaldamisalasse kui elutähtsad

üksused ja olulised üksused. Lisaks nendele üksustele hõlmab see ülesanne ka domeeninimede

registreerimise teenuseid osutatavate üksuste tuvastamist, kuna need pole elutähtsad üksused ega

olulised üksused. Tegemist on ülesandega, mis Riigi Infosüsteemi Ametil ka praegu ehk tegemist

pole niivõrd uue ülesandega kui võrrelda seda muudatust kehtiva õigusega.

Kommenteeritava lõike osas on Euroopa Komisjon selgitanud eelnõu koostajatele, et siinse

ülesande täitmine (nimekirja koostamine) on seotud järelevalve teostamisega, mistõttu selle

ülesande täitmisel ei tuleks hõlmata nimekirja neid üksusi, kes on küll hõlmatud NIS2

direktiiviga, kuid kellele kehtib NIS2 direktiivi artikli 4 lõike 1 kohaselt valdkondlikud Euroopa

Liidu õigusaktid lex specialis’ena. Ehk tegemist pole kohustusega jätta lex specialis’e

kohaldamisalas olevad üksused sellest nimekirjast välja. Seetõttu on ka sobiv tulem ka see, kui

näiteks siinse ülesande puhul ei ole tuvastatud neid teenuse osutajaid, kes on hõlmatud DORA

määruse kohaldamisalasse. Siin vt ka eelnõu KüTS § 1 lõikeid 4 ja 41 ning nende selgitusi.

KüTS § 3 lõigete 31 ja 32 eesmärk on võtta üle NIS2 direktiivi artikli 3 lõike 4 esimene ning

teine tekstilõik. Tegemist on teabega, mida teenuse osutaja ja domeeninimede registreerimise

teenuseid osutav üksus peab Riigi Infosüsteemi Ametile esitama. Siin on ka asjakohane NIS2

direktiivi põhjenduspunkt 18. Võrreldes üle võetava NIS2 direktiivi vastava lõikega on eelnõu

KüTS § 3 lõike 31 punkti 1 lisatud ka andmeväljana „registrikood“, kuna see aitab paremini

eristada üksusi, ennekõike olukorras, kus üksus vahetab näiteks enda nime. Üldjuhul nime

vahetusega ei kaasne registrikoodi muutumist – see toimub pigem ennekõike juriidilise isiku

ühinemise või jagunemise käigus. Seetõttu on registrikood eelduslikult püsivamat laadi tunnus

kui üksuse nimi.

Kommenteeritava lõike punktides 3 ja 4 nimetatud teave tuleb esitada siis, kui see on asjakohane

ehk seda ei pea kõik üksused esitama. Näiteks on punktiga 4 seotud teave vajalik mh ka selleks,

et saaks kohaselt rakendada KüTS §1 lõiget 11 ehk selgitada välja, kas ning mil määral on

konkreetse teema või probleemi lahendamine Riigi Infosüsteemi Ameti pädevuses.

Siin vt ka KüTS § 20 lõike 1 muudatust.

KüTS § 3 lõike 33 eesmärk on võtta üle NIS2 direktiivi artikli 3 lõige 5. Siin vt ka eelnõuga

kavandatavat KüTS § 20 lõiget 2, samuti ka NIS2 direktiivi põhjenduspunkti 19.

74 / 151

Kommenteeritav lõige ei hõlma domeeninimede registreerimise teenuseid osutavat üksust – selles

osas vt eelnõu KüTS § 2 punkti 45 selgitust.

KüTS § 3 lõige 34 on seotud NIS2 direktiivi artikli 3 lõike 4 kolmanda tekstilõikega. Tolles

tekstilõikes viidatud Euroopa Komisjoni suunised ja vormid on esitatud Komisjoni 14.09.2023

teatises „Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 3

lõike 4 kohaldamise kohta 2023/C 324/02“. Kättesaadav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0914%2801%29&qid=1728044123374.

KüTS § 3 lõige 4 tunnistatakse kehtetuks, kuna kehtetuks tunnistatava lõike punktide sisu on

viidud eelnõuga KüTS § 1 lõike 13 punkti 7 kui ka lõikesse 15. Seetõttu puudub vajadus selle sisu

siinses lõikes dubleerida.

KüTS § 4 lõigetes 1-14 tehtavad muudatused ja täiendused on seotud NIS2 direktiivi artikli 27,

ennekõike nimetatud artikli lõigete 2-5 üle võtmisega. Digitaalse teenuse osutaja olemuse ja sisu

osas vt eelnõus KüTS § 2 punkti 74 ning selle selgitusi. Digitaalse teenuse esindaja olemuse ja

sisu osas vt eelnõus KüTS § 2 punkti 75 ning selle selgitusi.

KüTS § 4 lõikes 1 olevate punktidega võetakse üle NIS2 direktiivi artikli 27 lõike 2 sisu.

Sarnaselt eelnõu KüTS § 3 lõike 31 punktile 1, on KüTS § 4 lõike 1 punkti 1 lisatud

andmeväljana ka „registrikood“, kuna see aitab paremini eristada digitaalse teenuse osutajaid,

ennekõike olukorras, kus digitaalse teenuse osutaja vahetab näiteks enda nime. Üldjuhul nime

vahetusega ei kaasne registrikoodi muutumist – see toimub pigem ennekõike juriidilise isiku

ühinemise või jagunemise käigus.

Kommenteeritava lõikega seonduvalt vt ka eelnõus KüTS § 20 lõiget 4.

KüTS § 4 lõikega 11 võetakse üle NIS2 direktiivi artikli 27 lõige 3 ning KüTS § 4 lõikega 12

võetakse üle NIS2 direktiivi artikli 27 lõige 4. KüTS § 4 lõige 13 on seotud NIS2 direktiivi artikli

27 lõikega 1, mille kohaselt Euroopa Liidu Küberturvalisuse Amet loob tema esitatud teabe

põhjal digitaalse teenuse osutajate registri ja haldab seda. NIS2 direktiivi artikli 27 lõike 1 teise

lause kohaselt võimaldab Euroopa Liidu Küberturvalisuse Amet taotluse korral juurdepääsu NIS2

direktiivi kohastele pädevatele asutustele. Seetõttu tuleb tekitada ka vastava taotluse esitamise

volitus Riigi Infosüsteemi Ametile. Kommenteeritava lõikega ei ole võimalik teha sarnast

taotluse esitamise õigust KüTS § 14 lõikes 5 nimetatud järelevalveasutustele, kuna nimetatud

asutused ei teosta riiklikku järelevalvet digitaalse teenuse osutajate üle.

KüTS § 4 lõige 14 on seotud NIS2 direktiivi artikli 27 lõikega 5. Tolles tekstilõikes viidatud

Euroopa Komisjoni suunised ja vormid on esitatud Komisjoni 14.09.2023 teatises „Komisjoni

suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 3 lõike 4 kohaldamise

kohta 2023/C 324/02“. Kättesaadav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0914%2801%29&qid=1728044123374.

KüTS § 4 lõikega 11 võetakse üle NIS2 direktiivi artikli 27 lõige 3 ning KüTS § 4 lõikega 12

võetakse üle NIS2 direktiivi artikli 27 lõige 4 ning sellega on seotud ka NIS2 direktiivi

75 / 151

põhjenduspunktiga 117. KüTS § 4 lõige 13 on seotud NIS2 direktiivi artikli 27 lõikega 1, mille

kohaselt Euroopa Liidu Küberturvalisuse Amet loob tema esitatud teabe põhjal digitaalse teenuse

osutajate registri ja haldab seda. NIS2 direktiivi artikli 27 lõike 1 teise lause kohaselt võimaldab

Euroopa Liidu Küberturvalisuse Amet taotluse korral juurdepääsu NIS2 direktiivi kohastele

pädevatele asutustele. Seetõttu tuleb tekitada ka vastava taotluse esitamise volitus Riigi

Infosüsteemi Ametile. Kommenteeritava lõikega ei ole võimalik teha sarnast taotluse esitamise

õigust KüTS § 14 lõikes 5 nimetatud järelevalveasutustele, kuna nimetatud asutused ei teosta

riiklikku järelevalvet digitaalse teenuse osutajate üle.

KüTS § 4 lõige 14 on seotud NIS2 direktiivi artikli 27 lõikega 5. Tolles tekstilõikes viidatud

Euroopa Komisjoni suunised ja vormid on esitatud Komisjoni 14.09.2023 teatises „Komisjoni

suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 3 lõike 4 kohaldamise

kohta 2023/C 324/02“. Kättesaadav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0914%2801%29&qid=1728044123374.

KüTS § 4 lõike 2 muudatus on seotud NIS2 direktiivi artikli 26 lõike 3 esimese ja teise lause üle

võtmisega. Nende kahe lause sisu: „Kui lõike 1 punktis b osutatud üksuse tegevuskoht ei ole

liidus või ta ei ole seal asutatud, kuid ta pakub liidus oma teenuseid, määrab ta endale liidus

esindaja. Esindaja tegevuskoht peab olema ühes nendest liikmesriikidest, kus teenuseid

osutatakse, või ta peab olema seal asutatud.“ Lauseosa „lõike 1 punktis b osutatud üksuse“ all on

mõeldud eelnõu kontekstis digitaalse teenuse osutajat ehk neidsamu üksusi, kelle suhtes

kasutatakse siinses eelnõus digitaalse teenuse osutaja mõistet.

Kommenteeritava lõikega on seotud ka NIS2 direktiivi põhjenduspunkt 116:

„(116) Kui domeeninimede süsteemi teenuse osutaja, tippdomeeninimede register,

domeeninimede registreerimise teenuseid osutav üksus, pilvandmetöötlusteenuse osutaja,

andmekeskusteenuse osutaja, sisulevivõrgu pakkuja, hallatud teenuse osutaja või turbetarnija või

internetipõhiste kauplemiskohtade, [veebipõhiste] otsingumootorite või sotsiaalvõrguteenuse

platvormi pakkuja, kes ei ole asutatud liidus, osutab teenuseid liidus, peaks ta määrama endale

liidus esindaja. Otsustamaks, kas kõnealune üksus pakub teenuseid liidu piires, tuleks kindlaks

teha, kas üksus kavatseb osutada teenuseid ühes või mitmes liikmesriigis asuvatele isikutele.

Seda, et liidus pääseb juurde üksuse või vahendaja veebisaidile, e-posti aadressile või muudele

kontaktandmetele, või seda, et kasutatakse keelt, mida kasutatakse üldiselt kolmandas riigis, kus

üksus on asutatud, tuleks pidada sellise kavatsuse kindlakstegemiseks ebapiisavaks. Samal ajal

võivad asjaolud, nagu ühes või mitmes liikmesriigis üldiselt kasutatava keele või vääringu

kasutamine, millega kaasneb võimalus tellida teenuseid selles keeles, või liidus paiknevate

klientide või kasutajate mainimine, viidata sellele, et üksus kavatseb pakkuda teenuseid liidus.

Esindaja peaks tegutsema üksuse nimel ning pädevatel asutustel või CSIRTil peaks olema

võimalik esindajaga ühendust võtta. Esindaja tuleks määrata sõnaselgelt üksuse kirjaliku

volitusega täitma [NIS2 direktiivis] sätestatud kohustusi, sealhulgas intsidentidest teatamise

kohustust.“

76 / 151

KüTS § 5 pealkiri - KüTSi kehtiva versioonis on paragrahvi pealkiri „§ 5. Ühtne kontaktpunkt ja

pädev asutus“, kuid seda pealkirja ei ole võimalik edaspidi kasutada, kuna hetkel on KüTS § 5

sisu seotud ennekõike Riigi Infosüsteemi Ametiga, kuid eelnõuga tekitatakse õigusnorme, mis on

seotud ka muude valitsusasutustega. Kommenteeritava paragrahvi pealkirjas sõnastatud pädevad

asutused ei ole ainult pädevad asutused NIS2 direktiivi artikli 8 lõike 1 tähenduses, vaid siin on

mõeldud ka muid asjakohaseid valitsusasutusi.

KüTS § 5 lõike 1 muudatusega antakse Vabariigi Valitsusele volitus võtta vastu NIS2 direktiivi

artiklis 7 nimetatud küberturvalisuse strateegia, mis võib olla koostatud muu õigusakti alusel

koostatava dokumendi osa. Praktikas on see hõlmatud digiühiskonna arengukava koosseisu, mis

võetakse Vabariigi Valitsuse poolt vastu.

Küberturvalisuse strateegia on oma olemuselt laiem kui seda koostava ministeeriumi

pädevusvaldkondade sisu, mistõttu on Vabariigi Valitsuse seaduse § 57 lõiget 3 arvestades antud

küberturvalisuse strateegia vastu võtmise kohustuse kehtestamise volitus Vabariigi Valitsusele.

Kommenteeritava lõikega antakse Justiits- ja Digiministeeriumile ülesanne koordineerida

küberturvalisuse strateegia koostamist, sh antakse nimetatud ministeeriumile kohustus täita NIS 2

direktiivi artikli 7 lõigetes 3 ja 4 sätestatud nõudeid.

NIS 2 direktiivi artikli 7 lõigetes 3 ja 4 olevate nõuete sisu on järgmine:

„3. Liikmesriigid teavitavad komisjoni oma riiklikust küberturvalisuse strateegiast kolme kuu

jooksul pärast selle vastuvõtmist. Liikmesriigid võivad jätta sellistest teadetest välja teabe, mis on

seotud nende riikliku julgeolekuga.

4. Liikmesriigid hindavad oma riiklikke küberturvalisuse strateegiaid peamiste tulemusnäitajate

põhjal korrapäraselt ja vähemalt iga viie aasta järel ja vajaduse korral ajakohastavad neid.

Riikliku küberturvalisuse strateegia ja selle hindamiseks vajalike peamiste tulemusnäitajate

väljatöötamisel või ajakohastamisel, et viia strateegia käesolevas direktiivis sätestatud nõuete ja

kohustustega kooskõlla, abistab liikmesriike nende taotluse korral ENISA.“

Kehtiva õiguse kohaselt on küberturvalisusega seotud valdkonna koordineerimine Majandus- ja

Kommunikatsiooniministeeriumil, kuid käesolev eelnõu arvestab Riigikokku esitatud Vabariigi

Valitsuse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadust 505 SE,

millega liigub Justiits- ja Digiministeeriumisse digiühiskonnapoliitika, avalike e-teenuste,

digiarengu ja küberturvalisuse, riigi infosüsteemide, kesksete võrgu- ja infosüsteemide ning side

ja telekommunikatsiooniga seotud ülesanded. Samuti liiguvad Majandus- ja

Kommunikatsiooniministeeriumi alt Justiits- ja Digiministeeriumi valitsemisalasse Riigi

Infosüsteemi Amet, Riigi Info- ja Kommunikatsioonitehnoloogia Keskus, Riigi

Infokommunikatsiooni Sihtasutus ning Eesti Interneti Sihtasutus. 505 SE-ga seotud muudatuse

on kavandatud jõustuma 2025. aasta 1. jaanuaril.

Kommenteeritava lõikega on seotud ka NIS2 direktiivi põhjenduspunktid 48–57, 60 ja 97.

77 / 151

KüTS § 5 lõige 2 on seotud NIS2 direktiivi artikli 14 lõike 3 esimese lausega („Koostöörühma

moodustavad liikmesriikide, komisjoni ja ENISA esindajad“). Kommenteeritava lõikega antakse

vastav volitus Justiits- ja Digiministeeriumile kui ka Riigi Infosüsteemi Ametile, kuna Vabariigi

Valitsuse seaduse § 44 lõike 1 kohaselt on riiki volitatud esindama valitsusasutus või muu

riigiasutus seadusest, oma põhimäärusest ja teistest õigusaktidest tulenevate ülesannete täitmisel.

Siin vt ka eelnõu KüTS § 5 lõikes 1 olevat selgitust ning viidet Riigikogus olevale 505 SE-le.

KüTS § 5 lõige 3 on seotud NIS2 direktiivi artikli 8 lõigete 1 ja 3, artikli 9 lõike 1, artikli 10

lõike 1, artikli 12 lõike 1 ning artiklite 15 ja 16 üle võtmisega. Kommenteeritava lõikega on

seotud ka NIS2 direktiivi põhjenduspunktid 38–40 ja 68–73. Kommenteeritava lõikega antakse

Riigi Infosüsteemi Ametile vastavate artiklite alusel erinevaid ülesandeid.

KüTS § 5 lõikega 4 (küberintsidentide lahendamise üksuse kohustused) võetakse üle NIS2

direktiivi artikli 10 lõige 1 ja artikli 11 lõike 1 punktid a–f.

KüTS § 5 lõige 5 on seotud NIS2 direktiivi artikli 10 lõigete 3–5, 7 ja 8, artikli 11 lõike 1 teise

tekstilõike, lõike 3 esimese tekstilõigu punktide a–h ning teise tekstilõike ja lõike 4 üle

võtmisega. Kommenteeritava lõikega on seotud ka NIS2 direktiivi põhjenduspunktid 41–47.

Eelnõus on kommenteeritava lõike punktis 10 mainitud ka „kohtuekspertiisiandmeid“ ehk inglise

keeles forensic data. Üldreeglina on digitaalne kohtuekspertiis üks osa kohtuekspertiisist, mis on

suunatud tõendite tuvastamiseks, saamiseks, töötlemiseks, analüüsimiseks ja raporteerimiseks,

mis on talletatud infosüsteemi digiseadmele või teistele andmekandjatele – seda kõike selleks, et

see teave oleks kohtus vastuvõetav. Tõendite kogumine on ka osa küberturvalisuse valdkonnaga

seotud rahvusvahelistest standarditest. Näiteks rahvusvahelise standardi ISO/IEC 27001:2002 lisa

A 5.28, peaksid organisatsioonid tuvastama, koguma, saama ja säilitama tõendeid, mis on seotud

infoturbeintsidentidega. NIS2 direktiivi kontekstis tuleb „kohtuekspertiisiandmeid“ käsitada mitte

ainult kui kriminaalõiguse valdkonnaga seotud kohtuekspertiisiandmetega. Seda tuleks pigem

käsitada laiemalt ehk nende andmete kogumine ja analüüs võib aidata ka tõendite kasutamist

teistes olukordades – näiteks selleks, et teha intsidendi tuumpõhjuse analüüsi, või tegeleda

vastavuskontrolliga. Tuleb arvestada asjaoluga, et NIS2 direktiiv ei anna küberturbe intsidentide

lahendamise üksustele õiguskaitse asutuste ülesandeid ehk ta ei tegele kriminaalmenetluste läbi

viimisega. Selles osas toimub siin pigem koostöö õiguskaitseasutustega, näiteks selleks, et

pakkuda õiguskaitseasutustele tuge nende läbi viidavates kriminaalmenetlustes.

KüTS § 5 lõige 6 on seotud NIS2 direktiivi artikli 11 lõike 3 kolmanda tekstilõike üle võtmisega.

Sarnast triaaži teeb Riigi Infosüsteemi Amet ka korrakaitseseaduse § 24 alusel tehtava

ohuprognoosi alusel, kuid kuna korrakaitseseaduse alusel tehtav ohuprognoos on kohaldatav

ainult erasektori ehk halduseväliste isikute suhtes ja NIS2 direktiiv on mõeldud kohalduma ka

avaliku sektori suhtes, siis tuleb volitus küberturbe intsidentide lahendamise üksusele anda

laiemalt kui see, mida näeb ette korrakaitseseadus. Siiski, on kommenteeritavas lõikes märgitud

ka ohuprognoos, et oleks üheselt selge, et see on ka üks lähenemisviis, millest lähtuvalt

küberturbe intsidentide lahendamise üksus enda tööd planeerib.

78 / 151

KüTS § 5 lõige 7 on seotud NIS2 direktiivi artikli 11 lõike 5 üle võtmisega.

KüTS § 5 lõige 8 on seotud NIS2 direktiivi artikli 12 lõike 1 üle võtmisega.

KüTS § 5 lg 8 punkt 4 on seotud NIS2 direktiivi artikli 12 lõike 1 esimese tekstilõike punktiga c

(esimene tekstipool) - kuigi too punkt c ei sõnasta otsesõnu, et tegemist on nõrkusest avalikkuse

teavitamisega, siis on eelnõus vastav täpsustus tehtud, et oleks konkreetsemalt aru saada, mis

laadi avalikustamisega on tegemist.

KüTS § 5 lg 8 punkti 7 olemus on ennekõike nõrkusest teataja isiku anonüümsuse tagamine teiste

osapoolte kui küberturbe intsidentide lahendamise üksuse liikmete suhtes. Kui sätestada

anonüümsuse tagamine ka küberturbe intsidentide lahendamise üksuse eest, siis vastav üksus ei

saa täita kommenteeritava lõike punktis 1 olevat usaldusväärse vahendaja ülesannet ehk vajadusel

küsida teatajat täiendavat lisainfot, mis aitab potentsiaalse nõrkuse või nõrkuse olemust ning

algpõhjuseid välja selgitada.

KüTS § 5 lõige 9 on seotud NIS2 direktiivi 8 lõike 3 üle võtmisega, et täpsustada kehtivas

õiguses (vt eelnõus KüTS § 14 lõiget 5) olevat olukorda. Selle tulemusena on selge, kuidas

suhestub julgeolekuasutus NIS2 direktiivi ning selle rakendamisse. Siin annab julgeolekuasutus

vajalikku infot Riigi Infosüsteemi Ametile (vt eelnõus KüTS § 174), et viimane saaks enda

ülesandeid täita nii siseriiklikult kui ka riigiväliste koostööpartnerite suhtes.

KüTS § 52 lisamine on seotud Euroopa Komisjoni 11. märtsi 2024. a delegeeritud määruse (EL)

2024/1366 rakendamisega ehk tolle delegeeritud määruse 2024/1366 artiklite 4 ja 39–41

vastavate sätete täpsustamisega Eestis.

Kommenteeritava paragrahvi esimene lõige on seotud delegeeritud määruse artikli 4 lõikega 1,

mille sisu on järgmine:

„1. Niipea kui võimalik ja hiljemalt 13. detsember 2024 määrab iga liikmesriik ühe riikliku või

reguleeriva asutuse, kes vastutab talle [delegeeritud määrusega 2024/1366] antud ülesannete

täitmise eest (edaspidi „pädev asutus“). Kuni [delegeeritud määrusest 2024/1366] tulenevate

ülesannete täitmiseks pole pädevat asutust määratud, täidab [delegeeritud määruse 2024/1366]

kohaseid pädeva asutuse ülesandeid liikmesriigi poolt direktiivi 2019/944 artikli 57 lõike 1

kohaselt määratud reguleeriv asutus.“

Direktiivi 2019/944 artikli 57 lõike 1 kohaselt määratud reguleeriv asutus Eestis on

Konkurentsiamet, kellel hetkel puudub küberturvalisuse tagamise kontrolliga seotud kompetents,

mistõttu on kasulikum vastav ülesanne anda kommenteeritava paragrahvi esimese lõike alusel

Riigi Infosüsteemi Ametile.

Kommenteeritava paragrahvi teine lõige on seotud delegeeritud määruse 2024/1366 artikli 4

kolmandas lõikes 3 oleva võimalusega edasi delegeerida vastavaid ülesandeid, v.a. sama määruse

artiklis 5 loetletud ülesandeid, teisele riigi ametiasutusele. Nende ülesannete edasi delegeerimise

jaoks on vajalik küberturvalisuse valdkonna eest vastutava ministri volitust.

79 / 151

Delegeeritud määruse 2024/1366 artikli 5 sisu:

„Artikkel 5. Asjaomaste asutuste ja organite koostöö riigi tasandil

Pädevad asutused tagavad asjakohase koostöö küberturvalisuse eest vastutavate pädevate

asutuste, küberkriiside ohjamise asutuste, riikide reguleerivate asutuste, riskivalmiduse eest

vastutavate pädevate asutuste ja CSIRTide vahel ning koordineerivad seda koostööd, et täita

käesolevas määruses sätestatud asjakohaseid kohustusi. Pädevad asutused koordineerivad oma

tegevust ka teiste liikmesriikide määratud organite või asutustega, et tagada tõhusad menetlused

ning vältida ülesannete ja kohustuste dubleerimist. Pädevatel asutustel peab olema võimalik

anda asjaomastele riikide reguleerivatele asutustele korraldus küsida ACERilt arvamust

vastavalt artikli 8 lõikele 3.“

ACER on lühend, mis eesti keeles tähendab Euroopa Liidu Energeetikasektorit Reguleerivate

Asutuste Koostöö Ametit.

Kommenteeritava paragrahvi kolmas lõige on seotud delegeeritud määruse 2024/1366 artikli 39

lõikes 4, artikli 40 lõikes 5 ja artikli 41 lõikes 4 sätestatud ülesannetega, et tekitada volitus need

ülesanded vajaduse korral edasi volitada määruse 2019/943 artikli 35 kohaselt asutatud

piirkondlikule koordineerimiskeskusele. Kommenteeritava lõikega ei tekitata kohustust nende

ülesannete edasi volitamiseks, vaid võimalust vastava volituse tegemist Vabariigi Valitsuse poolt.

Kommenteeritava lõikega seotud asjakohased sätted on:

a) delegeeritud määruse 2024/1366 artikli 39 lõiked 1 ja 4:

„Artikkel 39 Küberrünnete avastamine ja nendega seotud teabe käsitlemine

1. Ülisuure ja suure mõjuga üksused arendavad asjaomase pädeva asutuse, ENTSO-E ja

Euroopa Liidu jaotusvõrguettevõtjate üksuse toetusel välja vajaliku võime kindlakstehtud

küberrünnete käsitlemiseks. Ülisuure ja suure mõjuga üksusi võib toetada nende liikmesriigis

kindlaks määratud CSIRT osana CSIRTidele [NIS2 direktiivi] artikli 11 lõike 5 punktiga a antud

ülesandest. Ülisuure ja suure mõjuga üksused rakendavad tõhusaid protsesse, et teha kindlaks ja

liigitada küberründeid ning reageerida rünnetele, mis mõjutavad või võivad mõjutada

piiriüleseid elektrivooge, et minimeerida nende küberrünnete mõju.

4. Liikmesriigid võivad lõikes 1 osutatud ülesanded delegeerida ka määruse 2019/943 artikli 37

lõike 2 kohastele piirkondlikele koordineerimiskeskustele.“

ENTSO-E on lühend, mis eesti keeles tähendab Euroopa elektri põhivõrguettevõtjate

võrgustikku.

b) delegeeritud määruse artikli 40 lõiked 4 ja 5:

„Artikkel 40 Kriisiohje

4. Ülisuure ja suure mõjuga üksused arendavad ja hoiavad oma käsutuses suutlikkust,

sisesuuniseid, valmisolekukavasid ja töötajaid, et osaleda piiriüleste kriiside avastamises ja

80 / 151

leevendamises. Üheaegsest elektrikriisist mõjutatud ülisuure või suure mõjuga üksus uurib koos

oma pädeva asutusega sellise kriisi algpõhjust, et teha kindlaks, kuivõrd on kriis seotud

küberründega.

5. Liikmesriigid võivad lõikes 4 sätestatud ülesanded delegeerida ka määruse 2019/943 artikli 37

lõike 2 kohastele piirkondlikele koordineerimiskeskustele.“

c) delegeeritud määruse artikli 41 lõiked 1, 2 ja 4:

„Artikkel 41 Küberkriisi ohjamise ja kriisile reageerimise kavad

1. 24 kuu jooksul pärast seda, kui ACERile on teatavaks tehtud kogu liitu hõlmav

riskihindamisaruanne, töötab ACER tihedas koostöös ENISA, ENTSO-E, Euroopa Liidu

jaotusvõrguettevõtjate üksuse, küberturvalisuse eest vastutavate pädevate asutuste, pädevate

asutuste, ohuvalmiduse eest vastutavate pädevate asutuste, riikide reguleerivate asutuste ning

võrgu- ja infoturbe riiklike küberkriisi ohjamise asutustega elektrisektori jaoks välja liidu tasandi

küberkriisi ohjamise ja kriisile reageerimise kava.

2. 12 kuu jooksul pärast seda, kui ACER on lõike 1 kohaselt elektrisektori jaoks välja töötanud

liidu tasandi küberkriisi ohjamise ja kriisile reageerimise kava, koostab iga pädev asutus

piiriüleste elektrivoogude teemalise küberkriisi ohjamise ja kriisile reageerimise riikliku kava,

milles võetakse arvesse liidu tasandi küberkriisi ohjamise kava ja määruse (EL) 2019/941 artikli

10 kohaselt kehtestatud riiklikku ohuvalmiduskava. See kava peab olema kooskõlas [NIS2

direktiivi] artikli 9 lõike 4 kohase riikliku ulatuslike küberturbeintsidentide ja kriiside

lahendamise kavaga. Pädev asutus kooskõlastab oma tegevuse ülisuure ja suure mõjuga

üksustega ning oma liikmesriigi ohuvalmiduse eest vastutava pädeva asutusega.

4. Liikmesriigid võivad lõigetes 1 ja 2 loetletud ülesanded delegeerida ka määruse 2019/943

artikli 37 lõike 2 kohastele piirkondlikele koordineerimiskeskustele.“

d) määruse 2019/943 artikkel 35:

„Artikkel 35 Piirkondlike koordineerimiskeskuste loomine ja missioon

1. Hiljemalt 5. juuliks 2020 esitavad kõik süsteemikäitamispiirkonna põhivõrguettevõtjad

asjaomastele reguleerivatele asutustele ettepaneku piirkondlike koordineerimiskeskuste loomise

kohta kooskõlas käesolevas peatükis sätestatud kriteeriumidega.

Süsteemikäitamispiirkonna reguleerivad asutused vaatavad ettepaneku läbi ja kiidavad selle

heaks.

Ettepanek peab sisaldama vähemalt järgmisi elemente:

a) liikmesriik, kus on piirkondlike koordineerimiskeskuste ja osalevate põhivõrguettevõtjate

asukoht;

b) ühendatud ülekandesüsteemi tõhusa, turvalise ja töökindla toimimise tagamiseks vajalik

organisatsiooniline, rahaline ja töökorraldus;

81 / 151

c) piirkondlike koordineerimiskeskuste töölerakendamise kava;

d) piirkondlike koordineerimiskeskuste põhikirjad ja töökorrad;

e) koostöömenetluste kirjeldus kooskõlas artikliga 38;

f) piirkondlike koordineerimiskeskuste vastutuse korra kirjeldus kooskõlas artikliga 47;

g) kui kahte piirkondlikku koordineerimiskeskust hallatakse artikli 36 lõike 2 kohaselt rotatsiooni

korras, siis piirkondlike koordineerimiskeskuste üheselt mõistetavate kohustuste ja nende

ülesannete täitmise tagamiseks ette nähtud korra kirjeldus.

2. Pärast seda, kui reguleerivad asutused on lõikes 1 osutatud ettepaneku heaks kiitnud,

asendavad piirkondlikud koordineerimiskeskused määruse (EÜ) nr 714/2009 artikli 18 lõike 5

alusel vastu võetud süsteemi käidueeskirjade kohaselt loodud piirkondlikud talitluskindluse

koordinaatorid ning alustavad tööd hiljemalt 1. juulil 2022.

3. Piirkondlikud koordineerimiskeskused luuakse Euroopa Parlamendi ja nõukogu direktiivi (EL)

2017/1132 II lisas osutatud õiguslikus vormis.

4. Piirkondlikud koordineerimiskeskused tegutsevad liidu õiguse kohaseid ülesandeid täites

sõltumatult riikide individuaalsetest huvidest ja põhivõrguettevõtjate huvidest.

5. Piirkondlikud koordineerimiskeskused täiendavad põhivõrguettevõtjate rolli, täites

piirkondliku tähtsusega ülesandeid, mis on neile antud kooskõlas artikliga 37.

Põhivõrguettevõtjad vastutavad võimsusvoogude juhtimise eest ning turvalise, töökindla ja

tõhusa elektrisüsteemi tagamise eest kooskõlas direktiivi 2019/944 artikli 40 lõike 1 punktiga d.“

e) määruse 2019/943 artikkel 37 lõige 2:

„Artikkel 37 Piirkondlike koordineerimiskeskuste ülesanded

2. Komisjoni või liikmesriikide ettepanekul avaldab direktiivi 2019/944 artikli 68 kohaselt loodud

komitee arvamuse piirkondlikele koordineerimiskeskustele uute nõustamisülesannete andmise

kohta. Kui komitee avaldab uute nõustamisülesannete andmise kohta positiivse arvamuse,

täidavad piirkondlikud koordineerimiskeskused neid ülesandeid ENTSO-E poolt välja töötatud ja

ACERi poolt artiklis 27 sätestatud menetluse kohaselt heaks kiidetud ettepaneku alusel.“

KüTS §-ga 61 võetakse üle NIS2 direktiivi artikkel 20. See on ka seotud NIS2 direktiivi

põhjenduspunktiga 137: „(137) [NIS2 direktiivi] eesmärk peaks olema tagada kõrgel tasemel

vastutus küberturvalisuse riskijuhtimismeetmete rakendamise ja teatamiskohustuse täitmise eest

elutähtsate ja oluliste üksuste tasandil. Seepärast peaksid elutähtsate ja oluliste üksuste

juhtorganid kiitma küberturvalisuse riskijuhtimismeetmed heaks ja jälgima nende rakendamist.“

Kui üksuse juhtorgan peaks mingil põhjusel delegeerima kommenteeritava paragrahviga ette

nähtud kohustused, siis see poleks NIS2 direktiivi artikliga 20 ja kommenteeritava paragrahviga

kooskõlas. Seetõttu ei ole võimalik taolist delegeerimist siin teostada.

82 / 151

Kommenteeritava paragrahvi lõikega 1 võetakse üle NIS2 direktiivi artikli 20 lõige 1,

konkreetsemalt selle esimene tekstilõik. Selles märgitud turvameetmete all on mõeldud KüTS § 7

ning selles ette nähtud turvameetmeid. Tuleb arvestada asjaoluga, et küberturvalisusega

tegelemine ei ole ühekordne projekt, vaid see on järjepidev tegevus, mistõttu on vajalik sätestada,

et teenuse osutaja juhtorgan lisaks turvameetmete heaks kiitmisele tegeleb ka nende rakendamise

jälgimisega. Kommenteeritava paragrahviga on seotud ka KüTS § 184 – selles osas vt vastava

paragrahvi selgitusi.

Kommenteeritava paragrahvi lõigetega 2 ja 3 võetakse üle NIS2 direktiivi artikli 20 lõige 2.

Nende koolituste sisu ehk õpiväljundid võiksid olla järgmised: küberturvalisusega seotud riskid,

ohud, levinumad rünnakutüübid kui ka riskide haldamine.

Taolise koolituse läbija ehk teenuse osutaja juhtorgani liige:

1. teab:

1.1. Euroopa Liidu ja riiklike küberjulgeolekut korraldavaid regulatsioone ning nende mõju enda

organisatsiooni küberjulgeolekule ja juhtide kohustustele;

1.2. kõige levinumaid küberohte (nt õngitsus, lunavara, andmepüügi- ja teenustõkestusrünnakud)

ning mõistab, kuidas nende vastu kaitsta;

1.3. küberjulgeoleku riskide hindamise ja juhtimise põhimõtteid ning enda organisatsiooni riskide

leevendamise meetmeid;

2. tunneb:

2.1. ära küberohtude võimalikku mõju enda organisatsioonile, sh ärikriitiliste infosüsteemide ja

andmete tähtsust;

2.2. ennetusmeetmeid ja praktilisi lahendusi, mida saab rakendada enda organisatsiooni

küberjulgeoleku tugevdamiseks;

2.3. kriisiohjamise ja küberintsidentidele reageerimise protsessi olulisust ning vajadust eelnevalt

välja töötatud ja testitud kriisiplaanide järele;

3. oskab:

3.1. hinnata küberohtude realiseerumise tõenäosust ja mõju enda organisatsiooni (äri)tegevusele;

3.2. välja töötada ja rakendada asjakohaseid ja proportsionaalseid meetmeid (teabe)varade

kaitsmiseks ning küberjulgeoleku riskide leevendamiseks.

3.3. juhtida ja eskaleerida küberkriiside lahendamist, sealhulgas reageerida küberintsidentidele

ning taastada (äri)kriitilised teenused.

3.4. koostada ja testida küberintsidentide haldamisplaane ning parandada enda organisatsiooni

kübervastupidavust.

83 / 151

NIS2 direktiivi vastav artikkel ei määratle, mis on nende koolituste tegemise välp ehk mis aja

tagant tuleks taolisi koolitusi teha. Eelnõu koostajatena ootame tagasisidet, kas taoline välp tuleks

reguleerida ning kui jah, siis mis võiks olla sobiv välba pikkus.

KüTS § 7 lõikega 1 võetakse üle NIS2 direktiivi artikli 21 lõike 1 esimene tekstilõik ja samal

ajal säilitades muudetava lõike 1 olemus ning sisu eelnõuga sätestatud sõnastuses.

KüTS § 7 lõikega 2 võetakse üle NIS2 direktiivi artikli 21 lõike 2 sisu. Teemaga on seotud

ennekõike ka NIS2 direktiivi põhjenduspunktid 77-86 ja 88-91, ning konkreetsemate üksuste

(näiteks usaldusteenuse osutajad, sh kvalifitseeritud usaldusteenuse osutajad, üldkasutatava

elektroonilise side võrgu pakkuja ja üldkasutatava elektroonilise side teenuse osutaja) osas ka

põhjenduspunktid 93–100. Kommenteeritava lõikes määratakse kindlaks need tegevused ja

asjaolud, mida teenuse osutaja peab tegema või arvestama turvameetme rakendamisel.

Turvameetmete definitsiooni osas vt KüTS § 2 punkti 21.

NIS2 artikli 21 lõikes 2 olevad nõuded on praktikas sisuliselt sama, mida näeb ette KüTS § 7

lõike 5 alusel kehtestatud Eesti infoturbestandard.40 Selle ilmestamiseks on esitatud tabel 1:

NIS2 artikkel 21 lõige 1 Eesti

infoturbestandardi

moodul

põhitasemel

Eesti

infoturbestandardi

moodul

standardtasemel

Kommentaar

Terve lõige OPS OPS Eesti

infoturbestandardi

puhul tuleneb

proportsionaalsus just

selle modulaarsest

iseloomus ja

astmelisusest.

Terve lõige ORP ORP Kui üksus nõuab

meeteid oma

tarneahela partneritelt,

siis on vastavalt

varadele võimalik

samuti meetmed võtta

otse Eesti

infoturbestandardist

Terve lõige Eesti

infoturbestandardi

meetmete regulaarne

uuendamine peab

tagama nende

vastavuse

40 Kättesaadav ettevõtlus- ja infotehnoloogiaministri 16.12.2022 määruse nr 101 „Eesti infoturbestandard“ lisadest

(vt https://www.riigiteataja.ee/akt/130012024007?leiaKehtiv) või Eesti infoturbestandardi portaalist

https://eits.ria.ee/.

84 / 151

küberintsidentidele ja

uutele tehnoloogiatele

– sellega

uuendamisega

tegelebki Riigi

Infosüsteemi Amet

NIS2 direktiivi artikli 21

lõige 2

Eesti

infoturbestandardi

moodul

põhitasemel

Eesti

infoturbestandardi

moodul

standardtasemel

Kommentaar

Punkt a ISMS,

ORP,

OPS,

DER,

APP,

SYS,

INF

ISMS,

ORP,

OPS,

CON,

DER,

APP,

SYS,

IND

Meetmed on jaotunud

kõigisse

protseduurilistesse

moodulitesse, osad

täpsustused ja

sõltuvalt

kasutatavatest

varadest süsteemi

moodulites.

Punkt b OPS,

DER,

ORP

OPS,

DER,

IND,

NET,

INF

Põhisisu OPS ja DER

moodulites.

Punkt c CON,

OPS,

DER,

APP,

SYS,

IND,

NET,

INF

CON,

OPS,

DER,

APP,

SYS,

IND,

NET,

INF

Põhisisu CON, OPS

ja DER moodulites,

teistes täpsustused

varade põhiselt.

Punkt d ISMS,

OPS,

CON,

DER,

APP,

SYS,

IND,

NET,

INF

OPS,

CON,

APP,

IND,

INF

Põhisisu OPS

moodulis, teistes

täpsustused.

Punkt e CON,

OPS,

DER,

APP,

SYS,

IND,

CON,

OPS,

DER,

APP,

SYS,

IND,

Protseduurilised

teemad valdavalt

CON ja OPS

moodulites, mujalt

täpsustused; DER

lisab nõrkuse halduse,

85 / 151

NET,

INF

NET,

INF

mis kajastub ka

varapõhistes

moodulites.

Punkt f ISMS,

CON,

DER,

INF

ORP,

DER,

SYS,

IND,

NET,

INF

Tegutsemist

riskipõhiselt eeldab

just infoturbe

tervikhaldus,

etalonturve on selle

üks osa.

Punkt g ORP,

CON,

OPS,

SYS,

NET,

INF

ORP,

OPS,

DER,

APP,

NET,

INF

Koolitused ORP

moodulis, kuid mujal

moodulites on

täpsustused osade

kohta, mis vajavad

eraldi koolitust.

Punkt h CON,

OPS,

APP,

SYS,

NET

ISMS,

ORP,

CON,

OPS,

APP,

SYS,

NET

Üldine krüptograafia

kajastatud CON

moodulis, mujal

spetsiifilised

täpsustused

konkreetsematest

kasutuskohtadest.

Punkt i ISMS,

ORP,

CON,

OPS,

APP,

SYS,

IND,

NET,

INF

ORP,

CON,

OPS,

APP,

SYS,

IND,

NET,

INF

Pääsuhaldus katab pea

kõiki mooduleid,

põhiline ORPis.

Punkt j ORP,

OPS,

APP,

SYS

ORP,

CON,

OPS,

APP,

SYS,

NET

MFA ja UCC teemad

kajastatud

kasutuskohtades ja

ORP moodulis.

NIS2 direktiivi artikli 21

lõige 3

Eesti

infoturbestandardi

moodul

põhitasemel

Eesti

infoturbestandardi

moodul

standardtasemel

Kommentaar

Terve lõige OPS OPS On kaetud OPS

mooduliga.

Tabel 1. NIS2 direktiivi artikli võrdluse Eesti infoturbestandardiga.

Riigi Infosüsteemi Amet on ka välja töötamas tehnoloogilist lahendust, mis toetab Eesti

infoturbestandardi rakendamist. Antud abivahend aitab rakendajal luua organisatsiooni vajaduste

86 / 151

põhine turvameetmete rakendusplaan, seejuures vähendada vigade teket meetmete valimisel ja

suunata rakendaja koheselt meetmete rakendamisele. Peamine eesmärk on vähendada rakendaja

jaoks Eesti infoturbestandardi rakendamise protsessi keerukust. Sisuliselt on kõnealuse lahenduse

näol tegu interaktiivse rakendusjuhendiga. Seejuures säilib siiski kogu standardi olemus ja

meetmetes järeleandmisi ei tehta – küberruumi olukord nõuab jätkuvalt vähemalt põhimeetmete

rakendamist ja NIS2 direktiivi artikli 21 nõuded on seejuures kõikehõlmavad. Riigi Infosüsteemi

Amet ei hakka organisatsioonide turvet haldama ja haldamise teavet hoidma. Siin tegeleb Riigi

Infosüsteemi Amet Eesti infoturbestandardi arendamisega ja püüab leida lahendusi, et aidata

rakendajal leida standardist õiged meetmed oma organisatsioonile võimalikult ressursse säästvalt.

Sisulise rakendamise ja haldamise peab teostama organisatsioon oma tööriistadega lähtuvalt oma

varadest ja meetmetest. Eeldatav ajahorisont rakendusplaani koostamise abilise evitamisel:

tehnilise rakenduse pilootimine ja peenhäälestus toimub 2024. a 4. kvartalis; avalikuks

kasutamiseks avaldamine peaks toimuma hiljemalt 2025. a 2. kvartalis. Testkeskkonna link

https://mass.cloud.ut.ee/test-massui/ ja töökeskkonna link https://mass.cloud.ut.ee/massui/.

KüTS § 7 lõikega 21 võetakse üle NIS2 direktiivi artikli 21 lõike 1 teine tekstilõik ja lõike 2

sissejuhatav osa. Tegemist on asjaoludega, millega tuleb teenuse osutajal turvameetmete

rakendamisel arvestada.

Kaitsetarbe (vt seoses KüTS § 7 lg 21 punktiga 1) sisu aitab selgitada Eesti infoturbestandardi

portaalis olev seletav sõnaraamat (https://eits.ria.ee/et/abimaterjalid/seletav-

soonaraamat/k/kaitsetarve), mille kohaselt kaitsetarbe selgitus on: „Vara väärtusest tulenev

vajadus seda kaitsta. Kaitsetarve on andmete ja teabe vajadus kaitsta neid kahju eest, mille võib

tekitada konfidentsiaalsuse, tervikluse või käideldavuse või kõigi kolme rikkumine. [Eesti

infoturbestandardi] kontekstis laieneb kaitsetarve ka äriprotsessile, mille korral hinnatakse

kaitsetarvet, lähtudes kahjustsenaariumitest (nt õigusaktide, eeskirjade või lepingute rikkumine;

teabelise enesemääramisõiguse rikkumine; isiku füüsilise puutumatuse rikkumine; ülesannete

täitmise võime kahjustamine; negatiivsed sisemised või välised toimed; rahalised tagajärjed).

Kaitsetarvet väljendatakse kolmeastmelises skaalas: „normaalne“, „suur“ või „väga suur“.

Kuna kaitsetarbe määramine on organisatsiooni riskihalduse osa, siis riskihalduse metoodikas

määratleb organisatsioon ise kaitsetarbe kahjustsenaariumid ja täpsustab skaalat enda

kontekstist ja tegelikest potentsiaalsetest mõjudest lähtuvalt.“

Eesti infoturbestandardi portaalis olev rakendusjuhendi peatükk 5.2. selgitab ka kaitsetarbe

olemust ja sisu – vt lähemalt: https://eits.ria.ee/et/abimaterjalid/rakendusjuhend/juhend.

KüTS § 7 lõikega 22 võetakse üle NIS2 direktiivi artikli 21 lõige 3 ja KüTS § 7 lõikega 23

võetakse üle NIS2 direktiivi artikli 21 lõige 4.

KüTS § 7 lõige 6 on mõeldud NIS2 direktiivi artikli 21 lõike 5 rakendamiseks ehk

kommenteeritava lõikega tekitatakse selgus, et millised teenuse osutajad lähtuvad turvameetmete

rakendamisel NIS2 direktiivi artikli 21 lõike 5 alusel Euroopa Komisjoni rakendusaktist ja seal

sätestatud nõuetest.

87 / 151

Teadaolevalt kehtestab Euroopa Komisjon taolised erinõuded enda rakendusaktiga järgmiste

teenuse osutajate suhtes: domeeninimede süsteemi teenuse osutajad, tippdomeeninimede

registrid, pilvandmetöötlusteenuse osutajad, andmekeskusteenuse osutajad, sisulevivõrgu

pakkujad, hallatud teenuse osutajad, hallatud turbeteenuste osutajad (turbetarnijad),

internetipõhiste kauplemiskohtade, veebipõhiste (internetipõhiste) otsingumootorite ning

sotsiaalvõrguteenuse platvormide ja usaldusteenuse pakkujad.

Selle rakendusakti nimeks on „Euroopa Komisjoni rakendusmäärus (EL) 2024/2690, 17.

oktoober 2024, millega kehtestatakse seoses domeeninimede süsteemi teenuse osutajate,

tippdomeeninimede registrite, pilvandmetöötlusteenuse osutajate, andmekeskusteenuse osutajate,

sisulevivõrgu pakkujate, hallatud teenuse osutajate, turbetarnijate ning internetipõhiste

kauplemiskohtade, internetipõhiste otsingumootorite, sotsiaalvõrguteenuse platvormide ja

usaldusteenuse pakkujatega direktiivi (EL) 2022/2555 kohaldamise eeskirjad, mis puudutavad

küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid ja selliste juhtude

täpsemat kindlaksmääramist, mille korral peetakse intsidenti oluliseks.“ Vastav rakendusakt

(jõustus 07.11.2024) on leitav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A32024R2690&qid=1730728447038.

Täiendav lisainfo sel teemal: https://ec.europa.eu/info/law/better-regulation/have-your-

say/initiatives/14241-Cybersecurity-risk-management-reporting-obligations-for-digital-

infrastructure-providers-and-ICT-service-managers_en ja https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=PI_COM:Ares(2024)4640447&qid=1728309190768.

Kommenteeritava lõike puhul eelnõu koostajatena ootame tagasisidet, kuivõrd selge on kõnealuse

lõike sõnastus, sh kas seletuskirjas soovitud eesmärk on arusaadav ka eelnõu enda tekstist.

KüTS § 8 lõike 1 muudatus on seotud erisuse sätestamisega julgeolekuasutuste kontekstis ehk on

seotud NIS2 direktiivi artikli 8 lõike 1 üle võtmisega (vt eelnõus KüTS § 5 lõiget 9).

Kommenteeritav lõige on seotud ka kommenteeritava paragrahvi lõikega 10.

KüTS § 8 lõike 2 punktide 1 ja 4 muutmine on tehniline muudatus, kuna KüTS § 7 lõikes 2

olevate punktide numbrid muutuvad, mistõttu on vaja tekitada viide õigele punktile viidatud

lõikes.

KüTS § 8 lõike 2 punktiga 6 ehk lisanduva punktiga tehakse selgem seos ja määratlus, et ka

NIS2 direktiivi artikli 23 lõike 11 alusel vastu võetavas Euroopa Komisjoni rakendusaktis

määratletud oluline küberintsident on olukord, millest tuleb KüTS § 8 kohaselt Riigi

Infosüsteemi Ametit teavitada, kuna tegemist on olulise mõjuga küberintsidendiga.

Teadaolevalt kehtestab Euroopa Komisjon taolised erinõuded enda rakendusaktiga järgmiste

teenuse osutajate suhtes: domeeninimede süsteemi teenuse osutajad, tippdomeeninimede

registrid, pilvandmetöötlusteenuse osutajad, andmekeskusteenuse osutajad, sisulevivõrgu

pakkujad, hallatud teenuse osutajad, hallatud turbeteenuste osutajad (turbetarnijad),

internetipõhiste kauplemiskohtade, veebipõhiste (internetipõhiste) otsingumootorite ning

sotsiaalvõrguteenuse platvormide ja usaldusteenuse pakkujad.

88 / 151

Selle rakendusakti nimeks on „Euroopa Komisjoni rakendusmäärus (EL) 2024/2690, 17.

oktoober 2024, millega kehtestatakse seoses domeeninimede süsteemi teenuse osutajate,

tippdomeeninimede registrite, pilvandmetöötlusteenuse osutajate, andmekeskusteenuse osutajate,

sisulevivõrgu pakkujate, hallatud teenuse osutajate, turbetarnijate ning internetipõhiste

kauplemiskohtade, internetipõhiste otsingumootorite, sotsiaalvõrguteenuse platvormide ja

usaldusteenuse pakkujatega direktiivi (EL) 2022/2555 kohaldamise eeskirjad, mis puudutavad

küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid ja selliste juhtude

täpsemat kindlaksmääramist, mille korral peetakse intsidenti oluliseks“. Vastav rakendusakt

(jõustus 07.11.2024) on leitav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A32024R2690&qid=1730728447038.

Täiendav lisainfo sel teemal: https://ec.europa.eu/info/law/better-regulation/have-your-

say/initiatives/14241-Cybersecurity-risk-management-reporting-obligations-for-digital-

infrastructure-providers-and-ICT-service-managers_en ja https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=PI_COM:Ares(2024)4640447&qid=1728309190768.

Kui kommenteeritavat punkti ei lisata, siis ei ole üheselt selge, et kuidas suhestub KüTSis olev

olulise mõjuga küberintsidendi teavitamine nende olukordadega, mis on vastavas rakendusaktis

määratletud.

KüTS § 8 lõige 4 tunnistatakse kehtetuks, kuna küberintsidendist vabatahtliku teavitamise

temaatika on eelnõuga kavandatud KüTS §-s 81.

KüTS § 8 lõigetega 41 ja 42 võetakse üle NIS2 direktiivi artikli 23 lõige 4 ehk kommenteeritavas

lõikes määratakse kindlaks need asjaolud, mida olulise mõjuga küberintsidendi kohta esitada. See

kõik on tingimusel, et vastav teave on olemas teavituse hetkel ehk praktikas võib olla ka olukord,

kus mingi asjaolu ei ole veel teada (nt intsidendi piiriülene mõju või hinnang olulise mõjuga

küberintsidendi tõsidusele ja mõjule vms). Seetõttu on kommenteeritava lõike sissejuhatavas

lauses ka sõnad „esitatakse võimaluse korral“.

NIS2 direktiivi artikli 23 lõige 4 näeb tegelikult ette nelja laadi teavitused: varajane hoiatus,

intsidenditeade, vahearuanne ja lõpparuanne. Vastavaid teavitusi ja küberintsidendi teavitamise

temaatikat sisustab ka NIS2 direktiivi põhjenduspunktid 101–107. Samas on need teavituse liigid

üsnagi erinevad sisu ja tingimuste mõttes, mistõttu säilitatakse eelnõuga kehtivat õigust (nt

teavituse tähtaja osas) kui ka ühtlustatakse teavituse enda sisu, et tekiksid ühtsed ja selged

nõuded.

Selguse huvides märgime, et mis on NIS2 direktiivi artikli 23 lõike 4 kohaselt vastavate

teavituste sisu ja tingimused:

a) varajane hoiatus – esitada põhjendamatu viivituseta ning hiljemalt 24 tunni jooksul pärast

olulisest intsidendist teada saamist; selles teavituses märgitakse, kas olulise intsidendi põhjuseks

on eeldatavasti ebaseaduslik või pahatahtlik tegevus või kas sellel võib olla piiriülene mõju;

89 / 151

b) intsidenditeade – esitada põhjendamatu viivituseta ja igal juhul 72 tunni jooksul pärast

olulisest intsidendist teadlikuks saamist; teavituses vajaduse korral ajakohastatakse varajase

hoiatuse teates olevat teavet ning antakse esialgne hinnang olulisele intsidendile, sealhulgas selle

tõsidusele ja mõjule ning võimaluse korral ka rikkeindikaatoritele;

c) vahearuanne – kui Riigi Infosüsteemi Amet seda soovib tema määratud tähtajal (NIS2 direktiiv

tähtaega ei määratle);

d) lõpparuanne – üks kuu pärast intsidenditeate esitamist; kui intsident jätkuvalt kestab, siis sel

tähtajal tuleb esitada vahearuanne - sel juhul tuleb lõpparuanne esitada ühe kuu jooksul pärast

intsidendi käsitlemist; lõpparuande sisuks on: i) intsidendi, sealhulgas selle tõsiduse ja mõju

üksikasjalik kirjeldus; ii) ohu liik või lähtepõhjus, mis intsidendi tõenäoliselt põhjustas; iii) juba

kohaldatud ja kohaldamisel olevad leevendusmeetmed; iv) kui see on kohaldatav, intsidendi

piiriülene mõju.

KüTS § 8 lõike 42 teises lauses on märgitud, et vahearuandes eristatakse ka „asjakohasel juhul

Riigi Infosüsteemi Ameti taotluses küsitud täiendav teave“, mille puhul on mõeldud seda teavet,

mida võidakse küsida teenuse osutajalt täiendavalt juurde konkreetse juhtumi olusid arvestades.

Kommenteeritava lõike alusel tekib Riigi Infosüsteemi Ametil võimalus, mitte kohustus

nimetatud vahearuannet küsida ehk ta ei pruugi seda üldse küsida, vaid jääb ootama teenuse

osutaja esitatavat lõpparuannet (vt eelnõus KüTS § 8 lõiget 7).

KüTS § 8 lõikes 5 tehtav muudatus (lauses 1) ja täiendus (lisanduv lause 2) on seotud NIS2

direktiivi artikli 23 lõike 1 esimese tekstilõigu teise lause ja lõigete 2 ning 7 üle võtmisega.

Olulise mõjuga küberintsidendi olemus on sätestatud eelnõuga KüTS § 8 lõikes 2, oluline

küberoht on defineeritud eelnõuga KüTS § 2 punktis 35.

KüTS § 8 lõikes 7 tehtavad muudatused (lauses 1) ja täiendus (lause 2) on seotud NIS2 direktiivi

artikli 23 lõike 4 esimese tekstilõigu punktide d ja e üle võtmisega. Kui NIS2 direktiivis

kasutatakse sõnastust „lõpparuanne“, siis eelnõus säilitatakse kehtivas KüTSis olevat sõnastust

ehk kasutatakse sõna „raport“.

KüTS § 8 lõikega 81 määratakse kindlaks, et teenuse osutajad lähtuvad NIS2 direktiivi artikli 23

lõike 11 alusel antud Euroopa Komisjoni rakendusaktist, milles kehtestatakse nõuded

küberintsidendi, sealhulgas olulise mõjuga küberintsidendi, kohta esitatava teavituse või raporti

korra ja vormi kohta. Kui sedasorti rakendusakti vastu võetakse, siis tolles rakendusaktis

määratletud teenuse osutajad lähtuvad nimetatud rakendusaktis kehtestatud nõuetest.

Teadaolevalt kehtestab Euroopa Komisjon taolised erinõuded enda rakendusaktiga järgmiste

teenuse osutajate suhtes: domeeninimede süsteemi teenuse osutajad, tippdomeeninimede

registrid, pilvandmetöötlusteenuse osutajad, andmekeskusteenuse osutajad, sisulevivõrgu

pakkujad, hallatud teenuse osutajad, hallatud turbeteenuste osutajad (turbetarnijad),

internetipõhiste kauplemiskohtade, veebipõhiste (internetipõhiste) otsingumootorite ning

sotsiaalvõrguteenuse platvormide ja usaldusteenuse pakkujad.

90 / 151

Selle rakendusakti nimeks on: „Euroopa Komisjoni rakendusmäärus (EL) 2024/2690, 17.

oktoober 2024, millega kehtestatakse seoses domeeninimede süsteemi teenuse osutajate,

tippdomeeninimede registrite, pilvandmetöötlusteenuse osutajate, andmekeskusteenuse osutajate,

sisulevivõrgu pakkujate, hallatud teenuse osutajate, turbetarnijate ning internetipõhiste

kauplemiskohtade, internetipõhiste otsingumootorite, sotsiaalvõrguteenuse platvormide ja

usaldusteenuse pakkujatega direktiivi (EL) 2022/2555 kohaldamise eeskirjad, mis puudutavad

küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi nõudeid ja selliste juhtude

täpsemat kindlaksmääramist, mille korral peetakse intsidenti oluliseks“. Vastav rakendusakt

(jõustus 07.11.2024) on leitav siit: https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A32024R2690&qid=1730728447038.

Täiendav lisainfo sel teemal: https://ec.europa.eu/info/law/better-regulation/have-your-

say/initiatives/14241-Cybersecurity-risk-management-reporting-obligations-for-digital-

infrastructure-providers-and-ICT-service-managers_en ja https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=PI_COM:Ares(2024)4640447&qid=1728309190768.

KüTS § 8 lõige 9 tunnistatakse kehtetuks, kuna kehtiva KüTSi tähenduses digitaalse teenuse

osutajad (vt KüTS kehtiva versiooni § 4 lõiget 1) on edaspidi NIS2 direktiivi ja seeläbi ka KüTSi

kohaldamisalas, mistõttu puudub vajadus vastava sätte säilitamiseks.

KüTS § 8 lõige 10 on seotud erisuse sätestamisega julgeolekuasutuste kontekstis ehk on seotud

NIS2 direktiivi artikli 8 lõike 1 üle võtmisega (vt eelnõus KüTS § 5 lõiget 9). Kommenteeritava

lõikega tekitatakse selgus, et kellele teavitab julgeolekuasutus küberintsidendist ehk sellises

olukorras kohaldatakse eelnõus KüTS §-s 8 olevaid sätteid mutatis mutandis julgeolekuasutuste

suhtes.

KüTS § 81 lisandumisega säilitatakse KüTSi kehtiva versiooni § 8 lõike 4 sisu ning võetakse üle

NIS2 direktiivi artikkel 30. Kommenteeritava paragrahvi lõike 1 eesmärgiks on tekitada selgus,

et teenuse osutajad võivad vabatahtlikult esitada küberintsidentide, nõrkuste ja küberohtude kohta

teavet ning muud isikud võivad esitada teavet olulise mõjuga küberintsidendist, nõrkusest ja

küberohust. Küberohu ja nõrkuse olemuse osas vt eelnõu KüTS § 2 punkte 34 ja 36, ning olulise

mõjuga küberintsidendi osas KüTS § 8 lõiget 2, sh selles tehtavat lisandust.

Nõrkustest teavitamisega seonduvalt on siin asjakohased NIS2 direktiivi põhjenduspunktid 58–

63.

Lõikega 2 võetakse üle NIS2 direktiivi artikli 12 lõike 1 teise tekstilõike esimene ja teine lause.

Kommenteeritava lõike teise lause alusel tekitatakse juurdepääsupiirangu alus, mille pikkus

juriidilisest isikust teavitaja puhul on avaliku teabe seaduse § 40 lõike 1 kohaselt kuni viis aastat

(mida on võimalik pikendada kuni 5 aasta võrra) ning füüsilisest isikust teavitaja puhul on selle

pikkus avaliku teabe seaduse § 40 lõike 3 kohaselt 75 aastat. Kui vastavat juurdepääsupiirangu

alust ei tekitata, siis ei ole võimalik tagada NIS2 direktiivi artikli 12 lõike 1 teise tekstilõike

esimese ja teise lause kohast üle võtmist. Kommenteeritav lõige on piiratud ainult potentsiaalsest

nõrkusest või nõrkusest teavitamise olukordadega, kuna nende teavituste anonüümselt esitamine

91 / 151

on seotud mainitud NIS2 direktiivi artikli kohaselt ainult nimetatud olukordades. Seetõttu ei ole

kommenteeritavas lõikes märgitud ka küberintsidendist, olulise mõjuga küberintsidendist või

küberohust anonüümselt teavitamist.

Lõikega 3 võetakse üle NIS2 direktiivi artikli 30 lõike 2 esimese tekstilõike teine lause.

KüTS §-d 10 ja 11 tunnistatakse kehtetuks, kuna kehtiva KüTSi tähenduses digitaalse teenuse

osutajad (vt KüTSi kehtiva versiooni § 4 lõiget 1) on edaspidi täies mahus NIS2 direktiivi ja

seeläbi ka KüTSi kohaldamisalas ning lähtuvad KüTS §-dest 7 ja 8, mistõttu puudub vajadus

vastavate erisusi tekitavate paragrahvide säilitamiseks KüTSis.

KüTS § 12 lõikega 31 võetakse üle NIS2 direktiivi artikli 23 lõike 5 laused 1 ja 4. Tagasiside all

on mõeldud nii suunised kui ka nõu, kuidas olulise mõjuga küberintsidendiga edasi toimetada,

samuti ka juhiseid, kuidas konkreetse juhtumi korral teavitada õiguskaitseasutusi.

KüTS § 12 lõikega 32 võetakse üle NIS2 direktiivi artikli 30 lõike 2 esimese tekstilõigu teine

lause.

KüTS § 12 lõikes 4 tehakse tehniline muudatus (parandatakse esimese lauses Euroopa Liidu

Küberturvalisuse Ameti nimi) ning lisanduva teise lausega võetakse üle NIS2 direktiivi artikli 23

lõike 6 esimene ja teine lause ning kaudselt ka sama artikli lõige 8.

KüTS § 12 lõikega 41 võetakse üle NIS2 direktiivi artikli 23 lõike 9 esimene lause. Esmakordse

teavituse osas vt KüTS § 20 lõiget 5 ning sellega seotud selgitusi.

KüTS § 12 lõikes 5 tehakse muudatus, kuna kehtiva KüTSi tähenduses digitaalse teenuse

osutajad (vt KüTSi kehtiva versiooni § 4 lõiget 1) on edaspidi täies mahus NIS2 direktiivi ja

seeläbi ka KüTSi kohaldamisalas, mistõttu Riigi Infosüsteemi Amet peab niikuinii lähtuma ka

kehtiva KüTSi kohaste digitaalse teenuse osutajate huvidest ja ärisaladuse hoidmise kohustusest.

Seetõttu puudub vajadus dubleerivalt neid teenuse osutajad eraldi välja tuua.

Eelnõuga tekitatakse KüTS § 121., mis on seotud NIS2 direktiivi artikli 9 lõigetega 3–5 kui ka

põhjenduspunktidega 68–73.

KüTS § 121 lõikega 1 võetakse üle NIS2 direktiivi artikli 9 lõike 3, tehes viite KüTS §-le 12 kui

ka muudele valdkondlikele seadustele. Menetluslikud raamid kriisiolukorra (sh küberturvalisuse

valdkonnaga seotud kriisiolukorra) lahendamiseks on juba olemas hädaolukorra seaduses, mida

tulevikus asendab tsiviilkriisi ja riigikaitseseadus ehk need ongi „muud valdkondlikud seadused“.

Seetõttu puudub hetkel siinse eelnõuga vajadus ja võimalus seda teemat täiendavalt reguleerida.

KüTS § 121 lõikega 2 võetakse üle NIS2 direktiivi artikli 9 lõike 4 ja lõike 5 teine lause ehk

kommenteeritava lõikega antakse Riigi Infosüsteemi Ametile ülesannetena 1) koostada ja vastu

võtta ulatuslike küberintsidentide ning kriiside lahendamise kava, arvestades NIS2 direktiivi

artikli 9 lõikes 4 olevaid nõudeid ja 2) teavitada selle kava vastu võtmisest või kavas tehtavatest

muudatustest selles punktis toodud sätete kohaselt. Kommenteeritava lõikega on seotud ka NIS2

92 / 151

direktiivi artikli 9 lõike 5 kolmas lause ehk siin kohaldub ka KüTS § 12 lg 4 esimese lause lõpp

(„... kui edastatav teave ei kahjusta riigi julgeolekut või kriminaalmenetlust.“).

Kommenteeritav paragrahv on kaudselt seotud ka delegeeritud määruse 2024/1366 artikli 41

(küberkriisi ohjamise ja kriisile reageerimise kavad) lõikega 3: „3. Direktiivi (EL) 2022/2555

artikli 9 lõike 4 kohaselt nõutavat riiklikku ulatuslike küberturbeintsidentide ja kriiside

lahendamise kava loetakse käesoleva artikli kohaseks riiklikuks küberkriisi ohjamise kavaks, kui

selles sisalduvad piiriüleste elektrivoogude teemalised kriisiohje- ja reageerimismeetmed.“

KüTS § 121 lõike 3 eesmärk on määratleda, et kõnealuse kava võib teha ka muu dokumendi

osana ehk praktikas hädaolukorra seaduse (tulevikus tsiviilkriisi ja riigikaitseseaduse) ja selle

alusel kehtestatud määruse alusel koostatava hädaolukorra lahendamise plaanina või selle osana.

KüTS § 13 lõikes 1 tehtavad muudatused on seotud NIS2 direktiivi artiklitega 12 ja 30 (vt

eelnõus KüTS § 81), kuna nimetatud nõue näeb eelnõu puhul ette, et Riigi Infosüsteemi Ametile

esitatakse mh ka teavet küberohtude ja nõrkuste kohta, mistõttu nähakse kommenteeritavas

paragrahvis tehtavate muudatustega ette, et need kantakse küberintsidentide registrisse.

KüTS § 13 lõige 4 määratleb ära, mis asjaolud tuleb täpsustada küberintsidentide registri

põhimääruses, kuna kehtiv registri põhimääruse volitusnorm neid asjaolusid ei sisusta. Registri

põhimäärusega seotud muudatused on lisatud käesoleva eelnõu seletuskirja juurde valdkonna eest

vastutava ministri määruse kavandina.

KüTS §-s 131 tehtav muudatus on tehniline, kuna esimene viide määrusele 2019/881 tekitatakse

eelnõu tulemusena KüTS § 2 punktis 14.

KüTS § 133 on seotud NIS2 direktiivi artikli 24 üle võtmisega ja sellel on ka seos NIS2 direktiivi

põhjenduspunktidega 80–82 ja 138.

Kommenteeritava paragrahvi lõigetega 1 ja 2 võetakse üle viidatud artikli lõige 1. Eelnõuga

antakse vastav volitus Vabariigi Valitsusele, kuna määrusega sätestatud kohustuse järgijad ehk

teenuse osutajad ei pruugi olla ainult küberturvalisuse valdkonna eest vastutava ministri juhitava

ministeeriumi valitsemisala või tegevusvaldkonnaga seotud. Tegemist on lubava, mitte kohustava

volitusega ehk Vabariigi Valitsusel tekib võimalus vastav määrus kehtestada. Lõikes 1 on kaks

alternatiivi, et kuidas vastav kava on välja töötatud või koostatud ehk tegemist on kas: 1) teenuse

osutaja poolt välja töötatud või 2) see on hangitud kolmandalt isikult. Mõlema variandi korral on

vajalik, et selle teatava IKT-toodete, IKT-teenuste või IKT-protsesside kasutamine on

sertifitseeritud määruse 2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse

sertifitseerimise kava alusel.

Selles määruses määratakse lõike 2 kohaselt kindlaks ka selle kohustuse sisu (millist määruse

2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kava tuleb

järgida), ulatust (kellele teenuse osutajatest ja mis ulatuses kitsas tähenduses see sertifitseerimise

kava kohaldub), täitmise tähtaeg (mis tähtajaks tuleb mingid toimingud ära teha) kui ka muud

täpsemad nõuded.

93 / 151

KüTS § 133 lõikega 3 tekitatakse erisus võrreldes lõike 1 alusel antava määruse suhtes

olukorraks, kui NIS2 direktiivi 24 lõike 2 alusel on Euroopa Komisjon vastu võtnud delegeeritud

õigusakti, milles määratakse kindlaks, mis liiki elutähtsatelt ja olulistelt üksustelt (ehk teenuse

osutajatelt) nõutakse teatavate IKT-toodete, IKT-teenuste ja IKT-protsesside kasutamist või

sertifikaadi omamist. Need delegeeritud õigusaktid võetakse vastu juhul, kui on kindlaks tehtud,

et küberturvalisuse tase ei ole piisav, ja nendega nähakse ette rakendusperiood. Enne selliste

delegeeritud õigusaktide vastuvõtmist teeb Euroopa Komisjon mõjuhinnangu ja korraldab

konsultatsioone kooskõlas määruse 2019/881 artikliga 56.

KüTS § 14 lõige 2 tunnistatakse kehtetuks, kuna kehtiva KüTSi tähenduses digitaalse teenuse

osutajad (vt KüTSi kehtiva versiooni § 4 lõiget 1) on edaspidi NIS2 direktiivi ja seeläbi ka täies

mahus KüTSi kohaldamisalas ning Riigi Infosüsteemi Amet teostab nende üle järelevalvet

samade aluste kohaselt nagu ka teiste teenuse osutajate puhul. Tehtav muudatus on teatavas

ulatuses seotud ka NIS2 direktiivi artikliga 26 (jurisdiktsioon ja territoriaalsus) rakendamisega,

mis võetakse üle eelnõus KüTS §-ga 11 ehk siinses paragrahvis puudub vajadus säilitada seda

teemat reguleeriv dubleeriv õigusnorm.

KüTS § 14 lõikesse 5 lisatakse teine lause, et tekitada selgus, mis õigusnorme ja nendega seotud

selgitusi kohaldatakse mutatis mutandis julgeolekuasutuse suhtes, kui ta teostab sama lõike

esimese lause kohaselt haldusjärelevalvet. Seetõttu ei ole ka viidatud õigusnormide selgitustes üle

korratud, et vastavat sätet kohaldatakse ka julgeolekuasutuse suhtes.

KüTS § 14 lõigetes 6-14 tehtavad lisandused on seotud järelevalve teostamise aspektide kindlaks

määramisega. Siin on seos ka NIS2 direktiivi põhjenduspunktidega 122–127 ja 133–135.

KüTS § 14 lõikes 6 määratakse kindlaks üldised raamid, kuidas Riigi Infosüsteemi Amet teostab

järelevalvet. Kommenteeritava lõike esimese punktiga võetakse üle NIS2 direktiivi artikli 31

lõige 2. Sarnast triaaži teeb Riigi Infosüsteemi Amet ka korrakaitseseaduse § 24 alusel tehtava

ohuprognoosi alusel, kuid kuna korrakaitseseaduse alusel tehtav ohuprognoos on kohaldatav

ainult erasektori ehk halduseväliste isikute suhtes ja NIS2 direktiiv on mõeldud kohalduma ka

avaliku sektori suhtes, siis tuleb volitus Riigi Infosüsteemi Ametile anda laiemalt kui see, mida

näeb ette korrakaitseseadus. Siiski, on kommenteeritavas lõikes märgitud ka ohuprognoos, et

oleks üheselt selge, et see on ka üks lähenemisviis, millest lähtuvalt Riigi Infosüsteemi Amet

enda tööd planeerib.

Kommenteeritava lõike teise punktiga võetakse üle NIS2 direktiivi artikli 32 lõige 1 ehk

sätestatakse nõue, et elutähtsate üksuste suhtes teostatav järelevalve toimub üldreeglina ennetava-

või järelkontrollina (ex nunc või ex post). Siin vt ka NIS2 direktiivi põhjenduspunkte 122 ja 124.

Kommenteeritava lõike kolmanda punktiga võetakse üle NIS2 direktiivi artikli 33 lõike 1

esimene lause ehk oluliste üksuste suhtes teostatav kontroll on üldreeglina järelkontroll (ex post)

olukorras, kus saabub teave, et turvameetmete rakendamisega on probleeme või pole näiteks

teavitatud olulise mõjuga küberintsidendist. Siin vt ka NIS2 direktiivi põhjenduspunkte 122 ja

124.

94 / 151

Kommenteeritava lõike neljas punkt on seotud NIS2 direktiivi artikli 32 lõike 1 ja artikli 33

lõike 1 kohase rakendamisega, sh toetab see ka kommenteeritava lõike punkti 1 (järelevalvet

prioriseerimisel arvestatakse riski- või ohuprognoosi) alusel edasiste tegevuste ellu viimist

järelevalve teostamisena Riigi Infosüsteemi Ameti enda initsiatiivil.

KüTS § 14 lõikega 7 võetakse üle NIS2 direktiivi artikli 32 lõige 1 ja lõige 7 ning artikli 33 lõike

1 teine lause koos lõikega 5 ehk kommenteeritavas lõikes määratakse kindlaks need asjaolud ja

aspektid, millest lähtutakse riiklikus ja haldusjärelevalve menetluses meetmete kohaldamisel.

Kommenteeritava lõike punktis 8 on kinnitatud tegevusjuhendite järgimise all mõeldud näiteks

olukorda, kus tuleb järgida isikuandmete kaitse üldmääruse artikli 40 alusel vastu võetud

toimimisjuhendi järgimist. Kommenteeritava lõike punktis 9 on ette nähtud, et üheks asjaoluks on

mh ka järelevalveasutuse (Riigi Infosüsteemi Ameti või julgeolekuasutuse) ning teenuse osutaja

vahel toimuvat koostööd. Too punkt on seotud NIS2 direktiivi § 32 lõike 7 punktiga h, kuid selle

sõnastus ei anna täit selgust, et kas siin on eelnõu kontekstis mõeldud teenuse osutajat või selle

teenuse osutaja enda sees olevat või temaga seotud füüsilist või juriidilist isikut. Seetõttu on

nimetatud punkt sõnastatud viisil, et tegemist on koostööga järelevalveasutuse ja teenuse osutaja

vahel.

KüTS § 14 lõikega 8 võetakse üle NIS2 direktiivi artikli 32 lõike 7 punkti a alapunktid i–v.

Tegemist on alternatiivsete olukordadega, millal on tegemist raske rikkumisega KüTS § 14 lg 7

punkti 1 tähenduses. Kommenteeritava lõike punktis 6 on „lubamatult ebatäpsete andmete“ puhul

mõeldud olukorda, kus mingi teave on jäetud teadlikult ja põhjendamatult esitamata või

rääkimata.

KüTS § 14 lõikega 9 võetakse üle NIS2 direktiivi artikli 32 lõiked 2 ja 4 ning artikli 33 lõiked 2

ja 4 ehk sätestatakse need meetmed, mida Riigi Infosüsteemi Amet saab kasutada riikliku ja

haldusjärelevalve menetluses KüTSi alusel. Kommenteeritavas lõikes olevate punktide sisu võib

sõltuda sellest, et kas tegemist on olukorraga, kus mingi meede on kohaldatav teenuse osutajale

(ehk nii elutähtsale üksusele ja olulisele üksusele) või ainult elutähtsale üksusele. Kui mingis

NIS2 direktiivi sättes on kasutatud sõnastust „korraldus“ või „siduvad juhised“, siis eelnõus on

selle all mõeldud ettekirjutust. Enne ettekirjutuse tegemist on järelevalve teostajal võimalik teha

ka ettepanek teenuse osutajale viia oma tegevus kooskõlla õiguslike nõuetega, sh selle ettepaneku

sisu oleks oma olemuselt samas sõnastuses kui on ettekirjutus, kuid sellega antakse ka ära

kuulamise ning vastuväidete esitamise võimalus ning seeläbi ka võimalus lahendada võimalikud

rikkumised ettekirjutuseta. Olenevalt olukorra asjaoludest võib järelevalve asutusel tekkida

vajadus ka anda koheselt ettekirjutus enne nö ettepanekut rikkumine lõpetada või probleemsed

asjad korda teha. Selles olukorras peab järelevalve teostaja hindama, mis on sobivaim meede

saavutatava eesmärgi saavutamiseks.

Kommenteeritava lõike punktides 1, 4, 5, 6, 9 ja 10 on viidatud lisaks KüTSile ka NIS2

direktiivi alusel antavatele rakendusaktidele, kuna nendes rakendusaktides võidakse määratleda

või täpsustada neid üldisemaid nõudeid, mis võetakse üle KüTS §-desse 7 ja 8.

95 / 151

Kommenteeritava lõike punktiga 1 võetakse üle NIS2 direktiivi artikli 32 lõike 2 punktid a ja c

ning artikli 33 lõike 2 punkt a. Kommenteeritava punkti kohaselt võib teenuse osutaja suhtes läbi

viia kohapealset kontrolli või kaugjärelevalvet. Elutähtsate üksuste suhtes võib teha ka pistelist

järelevalvet, mis võib olla muuhulgas ajendatud olulise mõjuga küberintsidendist või KüTSis,

KüTSi alusel (näiteks KüTS § 7 lõike 5 alusel) kehtestatud või NIS2 artikli 21 lõike 5 või artikli

23 lõike 11 alusel vastu võetud rakendusaktis kehtestatud nõude rikkumisest. Selle pistelise

järelevalve all on mõeldud ka NIS2 direktiivi artikli 32 lõike 2 punktis c ette nähtud ad hoc

auditeid.

NIS2 direktiivi artiklid 32 ja 33 eristavad kolme liiki auditeid – regulaarsed, sihipärased ja ad hoc

auditid (inglise keeles vastavalt regular, targeted and ad hoc audits). Nende rakendamine

praktikas sõltub konkreetsest olukorrast – regulaarseid auditeid tehakse teatava ajavahemiku

tagant; sihipärast auditit tehakse siis, kui järelevalveasutuse või auditeeritud organisatsiooni

koostatud riskianalüüsi või muu asjakohase teabe põhjal on tekkinud vajadus auditit teha. Ad hoc

audit on ennekõike olukorras, kus auditi tegemine ei ole ette planeeritud ning seda tehakse

konkreetse eesmärgi või vajaduse rahuldamiseks. Kommenteeritavas punktis on sõnastuse mõttes

elutähtsate üksuste puhul kasutatud sõnastust „pisteline järelevalve“, et see hõlmaks nii sihipärast

kui ka ad hoc auditit.

Kommenteeritava lõike punktiga 2 võetakse üle NIS2 direktiivi artikli 32 lõike 2 punkt b ja

artikli 33 lõike 2 punkt b, kommenteeritava lõike punktiga 3 võetakse üle NIS2 direktiivi artikli

32 lõike 2 punkt d ja artikli 33 lõike 2 punkt c. Kommenteeritava lõike punktides 2 ja 3 on

märgitud vastavalt sõnad „turvaaudit“ (inglise keeles: security audit) ja „turvalisuse kontroll“

(inglise keeles: security scan), mis on oma sisult erinevad tegevused. Näiteks on turvaauditit

defineeritud AKIT-i kohaselt rahvusvahelises standardites ISO 7498 ja ISO/IEC 2382 kui:

„süsteemi andmike ja toimingute sõltumatu läbivaatus ja uurimine süsteemi turvameetmete

adekvaatsuse kontrolliks, kehtivatele poliitikale ja tööprotseduuridele vastavuseks, turvarikete

avastamiseks ning võimalike järelduvate meetme-, poliitika- ja protseduurimuudatuste

soovitamiseks“.41 Samas on turvalisuse kontroll oma sõnastuse mõttes erinev kui turvaaudit ehk

esimese puhul tehtava toimingu puhul ei minda niivõrd sügavuti kontrollimisega (nt ei kontrollita

mingit süsteemi lähtekoodi tasandil42 – seetõttu on ka eelnõus tekitatud erinevad punktid

vastavate volituste kontekstis. Samas ei ole nende kahe punkti puhul mõeldud ainult nõrkuste

tuvastamist (võrdle NIS2 direktiivi artikli 11 lõike 3 punkti e ja seda üle võtvat KüTS § 5 lõike 5

punkti 11), vaid laiemat kontrolli järelevalvemenetluse raames tuvastamaks, et kas KüTSis

sätestatud, selle alusel või NIS2 direktiivi artikli 21 lõike 5 või artikli 23 lõike 11 alusel

kehtestatud nõudeid on rikutud.

Kommenteeritava lõike punktiga 4 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt a ja

artikli 33 lõike 4 punkt a.

41 https://akit.cyber.ee/term/301-turvaaudit. 42 Vt turvalisuse kontrolli selgituse osas nt: https://www.lawinsider.com/dictionary/security-scan.

96 / 151

Kommenteeritava lõike punktiga 5 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt b ja

artikli 33 lõike 4 punkt b, sh on kommenteeritavas punktis sätestatud „nõutakse ettekirjutuse

saajalt lõpetada tegevus või praktika, mis rikub [õigusaktis või selle alusel kehtestatud nõuet]“ ja

sellele lisaks saab nõuda ka „hoiduda sama tegevuse või praktika kasutamisest“. Kuigi viidatud

NIS2 direktiivi sätetes on sätestatud ka heastamist, siis see on kaetud õigusaktides või selle alusel

kehtestatud nõuete rikkumisega seotud puuduste kõrvaldamisega.

Kommenteeritava lõike punktiga 6 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt d ja

artikli 33 lõike 4 punkt d.

Kommenteeritava lõike punktiga 7 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt e ja

artikli 33 lõike 4 punkt e. Kommenteeritava lõike punktiga 8 võetakse üle NIS2 direktiivi artikli

32 lõike 4 punkt f ja artikli 33 lõike 4 punkt f. Kommenteeritava lõike punktiga 9 võetakse üle

NIS2 direktiivi artikli 32 lõike 4 punkt h ja artikli 33 lõike 4 punkt g.

Kommenteeritava lõike punktid 7 ja 9 võivad tunduda, et tegemist on sisult samade teemade

reguleerimisega, kuid tegelikkuses nii ei ole. KüTS § 14 lg 9 punktid 7 ja 9 on sisu mõttes

teatavas ulatuses eelduslikult kattuvad, kuid nendes punktides on ka nõudeid, mis on erinevad –

näiteks p 7 viitab ka parandusmeetmete info avalikustamise kohustusele, kuid p 9 seda aspekti ei

kata; samuti on p 7 olev teavitus väheke kitsam ehk seal ei ole ilmtingimata/alati mõeldud laiema

avalikkuse teavitamist, kuid p 9 on pigem seotud laiema avalikkuse teavitamisega.

Kommenteeritava lõike punkt 7 viitab eelnõus KüTS § 8 lõikele 5, mille sisu on (eelnõu

tulemusena): „Teenuse osutaja on kohustatud teavitama mõistliku aja jooksul isikut, keda olulise

mõjuga küberintsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud isikuid

ei ole võimalik eraldi teavitada. Teavituses annab teenuse osutaja võimalusel teada olulisest

küberohust ja meetmetest või parandusmeetmetest, mida mõjutatud isik saab olulisele küberohule

reageerimiseks võtta.“

Kommenteeritava lõike punkt 9 viitab eelnõus KüTS § 14 lõike 9 punktile 9, mille sisu on eelnõu

kohaselt: „ettekirjutuse, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, käesoleva

seaduse alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5

või artikli 23 lõike 11 alusel vastu võetud rakendusaktis kehtestatud nõude rikkumise asjaolude

avalikustamist ettekirjutuses ette nähtud viisil“.

Kommenteeritava lõike punktiga 10 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt g, mis

on omane ainult elutähtsate üksuste korral ehk taolist meedet ei ole ette nähtud NIS2 artiklis 33

oluliste üksuste puhul. Üle võetava NIS2 direktiivi sätte eestikeelses tõlkes on märgitud sõna

„seireametnik“, kuid eelnõus on selle sõnastuse asemel kasutatud sõnastust „vastavushaldur“.

Selle sisu on selgitatud näiteks Eesti infoturbestandardi portaali rollisõnastikus kui

„organisatsioonile kohaldatavate õiguslike, lepinguliste ja muude nõuete väljaselgitaja ning

97 / 151

nende täitmise kontrollija (ingl Compliance Manager)“. 43 Vastavas ettekirjutuses tuleks ka

selgelt ära määratleda, mis on vastavushalduri ülesanded.

Nimetatud NIS2 sätte volitust saaks tõlgendada ka nii, et pädev asutus määrab ettekirjutusega

kindlaks konkreetse vastavushalduri, kes jälgib, kas ettekirjutuse adressaat täidab vajalikud

nõuded. Tolle tõlgenduse puhul ei oleks seda paindlikkust, et ettekirjutuse adressaat ise saaks

valida ja määrata kindlaks vastavushaldur, kes ettekirjutusega kindlaks määratud ülesannet

täidab. Seetõttu on kasutatud eelnõus olevat sõnastust ja tõlgendust.

KüTS § 14 lõikega 10 võetakse üle NIS2 direktiivi artikli 32 lõike 2 esimese tekstilõike punkt b

ja kolmas tekstilõik ning artikli 33 lõike 2 punkt b ja kolmas tekstilõik. Kommenteeritava lõike

esimene punkt on seotud NIS2 direktiivi artikli 32 lõike 2 punktis b olevate sõnaga

„korrapäraseid“ ehk see nõue saab kehtida ainult elutähtsa üksuse suhtes, kuna sama sõna ei ole

artikli 33 lõike 2 punktis b ehk oluliste üksuste suhtes.

KüTS § 14 lõikega 11 võetakse üle NIS2 direktiivi artikli 32 lõike 4 punkt b, kus on lauseosa

„sealhulgas meetmete kohta, mis on vajalikud intsidendi ennetamiseks või heastamiseks, nende

meetmete rakendamise tähtaegade ja rakendamisest aruandmise kohta“, mis kehtib ainult

elutähtsate üksuste suhtes. Oluliste üksuste puhul sarnast lauseosa NIS2 direktiivi artikli 33 lõike

4 punktis b ei ole.

KüTS § 14 lõigetega 12-14 võetakse üle NIS2 direktiivi artikli 32 lõige 5 ning need lõiked

kehtivad ainult elutähtsate üksuste suhtes. Lõikes 12 olev olukord võib näiteks tekkida siis, kui

järelevalvatav teenuse osutaja ei ole järjepidevalt tema suhtes tehtud hoiatusi järginud või

ettekirjutusi täitnud, kuid need ei anna tulemust ehk neid järjepidevalt ei täideta. Nendes lõigetes

sätestatud meetmete kasutamiseks peab Riigi Infosüsteemi Amet hindama, kas need on kõige

sobivamad meetmed konkreetses olukorras tekkinud probleemi lahendamiseks ehk tegemist ei

saa olla kergekäeliselt kasutatavate meetmetega.

Siinsete lõigetega on seotud ka NIS2 direktiivi põhjenduspunkt 133:

„(133) Et veelgi suurendada kohaldatavate täitemeetmete tõhusust ja hoiatavust [NIS2 direktiivi]

rikkumiste korral, peaks pädevatel asutustel olema õigus ajutiselt peatada või nõuda, et ajutiselt

peatataks elutähtsa üksuse osutatavate mõnede või kõigi asjakohaste teenuste või pakutavate

tegevuste sertifikaat või luba, ning nõuda, et füüsilisele isikule, kes täidab juhtimisülesandeid

üksuse tegevjuhi või seadusliku esindaja tasandil, kehtestataks ajutine juhtimisülesannete

täitmise keeld. Võttes arvesse ajutiste peatamiste ja keeldude karmust ja mõju üksuste tegevusele

ning seeläbi ka nende tarbijatele, tuleks neid kohaldada alati proportsionaalselt rikkumise

raskusega ning iga juhtumi konkreetseid asjaolusid silmas pidades, sealhulgas seda, kas

rikkumine oli tahtlik või tulenes ettevaatamatusest, ning seda, milliseid meetmeid varalise või

mittevaralise kahju vältimiseks või vähendamiseks võeti. Selliseid ajutisi peatamisi ja keelde

tuleks kohaldada üksnes viimase abinõuna, nimelt alles pärast seda, kui muud [NIS2 direktiivis]

43 https://eits.ria.ee/et/versioon/2023/eits-poohidokumendid/rollisoonastik.

98 / 151

sätestatud asjakohased täitemeetmed on ammendatud, ja ainult seni, kuni üksus, kelle suhtes neid

kohaldatakse, võtab vajalikud meetmed puuduste kõrvaldamiseks või täidab pädeva asutuse need

nõuded, millega seoses niisuguseid ajutisi peatamisi ja keelde kohaldati. Selliste ajutiste

peatamiste või keeldude määramise suhtes peaks kohaldama kooskõlas liidu õiguse

üldpõhimõtete ja hartaga asjakohaseid menetluslikke tagatisi, sealhulgas õigust tõhusale

õiguskaitsevahendile ja õiglasele kohtumenetlusele, süütuse presumptsiooni ja kaitseõigust.“

Kommenteeritava paragrahvi lõike 13 punktis 1 märgitud sertifikaadi all mõeldakse mõnda

sertifikaati, mis on näiteks seotud küberturvalisuse tagamisega, järgimise või täitmisega ehk siin

ei saa nõuda ettekirjutusega selle sertifikaadi ajutist peatamist, mis pole seotud KüTSis olevate

nõuete täitmisega. Samas punktis mainitud loa all on mõeldud näiteks majandustegevuse registris

oleva loa peatamise nõudmist ettekirjutusega. Tolle punkti kohaselt võib sama toimingu teha ka

Riigi Infosüsteemi Amet, kui talle on antud vastav pädevus mõnest õigusaktist.

Kommenteeritava paragrahvi lõike 13 punkt 2 on sõnastatud krediidiasutuste seaduse § 50 lõike 1

eeskujul, kuid eelnõuga ei määratleta need konkreetsed olukorrad, millal võidakse elutähtsa

üksuse juhatuse liikme volituste ajutist peatamist taotleda ettekirjutusega, kuna seda ei täpsustata

ka NIS2 direktiivis. Need konkreetsemad olukorrad ja põhjendused tuleb ära määratleda KüTS §

14 lõike 13 alusel tehtavas ettekirjutuses.

Kommenteeritava paragrahvi lõike 14 kohaselt:

1) kohaldatakse lõikes 13 ette nähtud meetmeid, kuni elutähtis üksus võtab kasutusele vajalikud

meetmed puuduste kõrvaldamiseks või Riigi Infosüsteemi ameti esitatud nõuete täitmiseks; või

2) neid meetmeid ei kohaldata keskvalitsuse avaliku halduse üksuse või kohaliku tasandi avaliku

halduse üksuse suhtes, sealhulgas juhul, kui sama üksus on kvalifitseeritud usaldusteenuse

osutaja.

Kommenteeritava paragrahvi lõigetes 13 ja 14 olevaid täitemeetme õigusi ei anta

julgeolekuasutusele (vt eelnõus KüTS § 14 lõiget 5), kuna NIS2 direktiivi artikli 32 lõike 5

kolmanda tekstilõike kohaselt „ei kohaldata tolles lõikes sätestatud täitemeetmeid nende avaliku

halduse üksuste suhtes, kelle suhtes kohaldatakse NIS2 direktiivi“. Kuna julgeolekuasutus saab

teha ainult haldusjärelevalvet ehk teha vastavat järelevalvet avaliku halduse üksuse suhtes, siis ei

ole võimalik kommenteeritava paragrahvi lõigetes 13 ja 14 sätestatud õigusi anda ka

julgeolekuasutusele. Samas antakse julgeolekuasutusele eelnõuga lisanduva KüTS § 14 lõike 5

teise lause tõttu kommenteeritava paragrahvi lõikes 12 olev õigus määratleda täiendav tähtaeg,

kui sama paragrahvi lõike 9 punktis 4–6 või 8 nimetatud ettekirjutust ei täideta tähtaegselt.

KüTS § 15 lõikes 2 tehtava täiendustega lisatakse Riigi Infosüsteemi Ametile täiendav õigus

kasutada korrakaitseseaduse §-s 53 sätestatud erimeedet (hoiulevõetud vallasasja müümine või

hävitamine) olukorras, kus toimub riiklik järelevalve, kas:

a) KüTS §-des 7 ja 8 ning nende alusel kehtestatud õigusaktide nõuete täitmise üle; või

99 / 151

b) NIS2 direktiivi artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis

kehtestatud nõuete täitmise üle.

Riigi Infosüsteemi Ametil on juba kommenteeritava lõike kohaselt õigus kasutada

korrakaitseseaduse §-s 52 olevat erimeedet (vallasasja hoiulevõtmine), kuid senini puudub volitus

kasutada korrakaitseseaduse §-s 53 olevat erimeedet. Need kaks erimeedet on üksteisega seotud,

mistõttu lisatakse kommenteeritavasse lõikesse ka korrakaitseseaduse §-s 53 ette nähtud

erimeede.

Kommenteeritavat lõiget täiendatakse mh ka viitega NIS2 direktiivi artikli 21 lõike 5 või artikli

23 lõike 11 alusel võetud rakendusaktidele, kuna nimetatud rakendusaktid võimaldavad

määratleda ja täpsustada neid nõudeid, mis siinse eelnõuga saavad KüTS §-des 7 ja 8 sätestatud.

Kui vastavat lisandust ei tehta, siis puuduks võimalus nende rakendusaktide alusel kehtestatud

nõuete täitmise kontrollimisel kasutada riiklikus järelevalvemenetluses korrakaitseseaduse §-des

52 (vallasasja hoiulevõtmine) ja 53 (hoiulevõetud vallasasja müümine või hävitamine)

erimeetmeid.

Kommenteeritava lõikega seotud erimeetmeid ei ole võimalik kasutada julgeolekuasutusel, kuna

ta ei teosta riiklikku järelevalvet, sh kommenteeritavas lõikes viidatud nõuete täitmise üle (vt ka

eelnõu KüTS § 14 lõiget 5). Samuti ei ole nende erimeetmete kasutamise õigus Tarbijakaitse ja

Tehnilise Järelevalve Ametil, kuna nimetatud amet ei teosta järelevalvet kommenteeritavas lõikes

viidatud nõuete täitmise üle (vt ka KüTS § 14 lõiget 4).

KüTS §-s 171 tehtavad muudatused on seotud sunniraha kui meetme võimaluse laiendamisega ka

haldusjärelevalvemenetlusele kui ka sunniraha kohaldamise ülemmäära muutmisega.

Muudatused on seotud ka NIS2 direktiivi 6 üle võtmise ja kohase rakendamisega: „Liikmesriigid

võivad näha ette õiguse määrata sunniraha, mille eesmärk on sundida elutähtsat või olulist

üksust käesoleva direktiivi rikkumist lõpetama, kooskõlas pädeva asutuse eelneva otsusega.“

NIS2 direktiiv täiendavalt sunniraha kohta midagi ei selgita, sh selles ei ole määratletud ka selle

ülemmäär ega selle kindlaks määramise tingimused. Nii elutähtsate üksuste (NIS2 direktiivi

artikli 32 lõige 1) kui ka oluliste üksuste (NIS2 direktiivi artikli 33 lõige 1) puhul järelevalve- ja

täitemeetmete osas ette antud nõue, et need meetmed peavad olema mõjusad, proportsionaalsed

ja heidutavad ning et nende puhul võetakse arvesse iga üksikjuhtumi asjaolusid. Kuigi NIS2

direktiivis ei ole sõnaselgelt samade nõuete kohaldamist märgitud ka sunniraha kontekstis, on

võimalik nimetatud nõudeid omistada ka olukorras, kus on vajadus sunniraha rakendada. Seda

enam, kui arvestada asjaolu, et Eesti õiguses on sunniraha kui instituut osa haldusmenetlusest, st