Küberturvalisuse seaduse ja teiste seaduste muutmise seadus (küberturvalisuse 2. direktiivi ülevõtmine)

1 / 28

EELNÕU

19.08.2025

Küberturvalisuse seaduse ja teiste seaduste muutmise seadus

(küberturvalisuse 2. direktiivi ülevõtmine)

§ 1. Küberturvalisuse seaduse muutmine

Küberturvalisuse seaduses tehakse järgmised muudatused:

1) paragrahvi 1 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Käesolev seadus sätestab:

1) ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste üksuste ning domeeninimede

registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse

ja järelevalve;

2) küberintsidentide käsitlemise alused ja nõuded turvahaavatavuse ning küberohtudega

tegelemiseks;

3) ulatusliku küberintsidendi ja kriisi ennetamise ning lahendamise nõuded;

4) küberturvalisuse valdkonnas toimuva koostöö, teabevahetuse ja vastastikuse hindamise nõuded;

5) küberturvalisuse valdkonna pädevad asutused ja piiriüleste elektrivoogude valdkonnas

küberturvalisuse järelevalvet tegeva pädeva asutuse määramise nõuded.“;

2) paragrahvi 1 lõiget 2 täiendatakse punktiga 3 järgmises sõnastuses:

„3) Eesti Vabariigi diplomaatilistele ja konsulaaresindustele kolmandates riikides ning nende

võrgu- ja infosüsteemidele, kui sellised süsteemid asuvad esinduse ruumides või kui neid käitatakse

kolmanda riigi kasutajate jaoks.“;

3) paragrahvi 1 täiendatakse lõikega 21 järgmises sõnastuses:

„(21) Käesoleva paragrahvi lõikes 2 sätestatud erisust ei kohaldata usaldusteenuse osutajale.“;

4) paragrahvi 1 lõige 3 tunnistatakse kehtetuks;

5) paragrahvi 1 lõige 4 muudetakse ja sõnastatakse järgmiselt:

„(4) Kui teenuseosutaja võrgu- ja infosüsteemi pidamise ning küberintsidendist teavitamise nõuded

on samaväärselt käesolevas seaduses sätestatuga reguleeritud välislepinguga, Euroopa Liidu

õigusaktiga või muu seadusega, kohaldatakse käesolevat seadust välislepingust, Euroopa Liidu

õigusaktist või muust seadusest tulenevate erisustega.“;

6) paragrahv 2 muudetakse ja sõnastatakse järgmiselt:

㤠2. Terminid

Käesolevas seaduses kasutatakse termineid järgmises tähenduses:

2 / 28

1) andmekeskusteenus – teenus, millega pakutakse selliseid struktuure või struktuurirühmi, mis on

ette nähtud andmete talletamiseks, töötlemiseks ja edastamiseks kasutatavate infotehnoloogia- ja

võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, sealhulgas kõiki

elektrivarustuse ja majutuskeskkonna kontrolliga seotud vahendeid ja taristuid;

2) digitaalse teenuse osutaja – üldnimetus, mille all mõeldakse domeeninimede süsteemi teenuse

osutajat, tippdomeeninimede registrit, domeeninimede registreerimise teenuse osutajat,

pilvandmetöötlusteenuse osutajat, andmekeskusteenuse osutajat, sisulevivõrguteenuse osutajat,

haldusteenuse osutajat, infoturbeteenuse osutajat, internetipõhise kauplemiskoha pidajat,

veebipõhise otsingumootori või sotsiaalmeedia platvormi pakkujat;

3) digitaalse teenuse osutaja esindaja (edaspidi esindaja) – Euroopa Liidus asuv füüsiline või

juriidiline isik, kes on määratud tegutsema väljaspool Euroopa Liitu asuva digitaalse teenuse

osutaja nimel ja kelle poole võib Riigi Infosüsteemi Amet pöörduda seoses digitaalse teenuse

osutaja kohustustega;

4) domeeninimede registreerimise teenuse osutaja – tippdomeeninimede registri pidaja või selle

registri pidaja nimel tegutsev isik, näiteks registreerimisega seotud privaatsusteenuse või

proksiteenuse osutaja või edasimüüja;

5) domeeninimede süsteem – hierarhiline ja hajus nimesüsteem, mis võimaldab tuvastada

internetiteenuseid ja -ressursse, tehes lõppkasutaja seadmetel võimalikuks kasutada

internetimarsruutimise ja ühenduvuse teenuseid, et jõuda nende teenuste ja ressurssideni;

6) domeeninimede süsteemi teenuse osutaja – üksus, kes osutab interneti lõppkasutajatele üldsusele

kättesaadavat domeeninime rekursiivse teisendamise teenust või kes osutab kolmandatele isikutele

kasutamiseks mõeldud domeeninime autoriteetse teisendamise teenust, välja arvatud

juurnimeserveri teenust;

7) haldusteenuse osutaja – üksus, kes osutab teenuseid, mis on seotud IKT-toodete, võrkude,

taristu, rakenduste või muude võrgu- ja infosüsteemide paigaldamise, haldamise, käitamise või

hooldamisega toe või aktiivse haldamise kaudu kas kliendi ruumides või kaugjuhtimise teel;

8) IKT-protsess – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881, mis käsitleb ENISAt

(Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia

küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013

(küberturvalisuse määrus) (ELT L 151, 07.06.2019, lk 15–69), artikli 2 punktis 14 määratletud

IKT-protsess;

9) IKT-teenus – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 13

määratletud IKT-teenus;

10) IKT-toode – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 12

määratletud IKT-toode;

11) infoturbeteenuse osutaja – haldusteenuse osutaja, kes viib ellu riskide juhtimist või pakub

selleks tuge;

12) interneti sõlmpunkt – ühenduspunkt, mis võimaldab rohkem kui kahe sõltumatu võrgu

omavahelist ühendamist ja internetiliiklust nende vahel; see võimaldab üksnes autonoomsete

süsteemide omavahelist ühendamist ega nõua, et internetiliiklus kahe osaleva autonoomse süsteemi

vahel toimuks mõne kolmanda autonoomse süsteemi kaudu, ei muuda sellist liiklust ega sekku

sellesse mingil muul viisil;

13) internetipõhine kauplemiskoht – internetipõhine kauplemiskoht tarbijakaitseseaduse

tähenduses;

14) keskvalitsuse avaliku halduse üksus – Eesti Pank, kohtuasutus, riigi valimisteenistus, Riigikogu

Kantselei, Riigikontroll, Vabariigi Presidendi Kantselei, valitsusasutus, valitsusasutuse hallatav

riigiasutus ja Õiguskantsleri Kantselei;

3 / 28

15) kohaliku omavalitsuse avaliku halduse üksus – kohaliku omavalitsuse üksus, valla või linna

ametiasutus, valla või linna ametiasutuse hallatav asutus, osavald, linnaosa, osavalla või linnaosa

ametiasutus, osavalla või linnaosa ametiasutuse hallatav asutus ning kohaliku omavalitsuse üksuste

ühisamet ja -asutus;

16) kvalifitseeritud usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega

tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) artikli 3 punktis

20 määratletud kvalifitseeritud usaldusteenuse osutaja;

17) küberintsidendi käsitlemine – toimingud ja menetlused, mille eesmärk on küberintsidenti

ennetada, tuvastada, analüüsida, ohjata või lahendada ja sellest taastuda;

18) küberintsident – võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja

infosüsteemi turvalisust;

19) küberintsidentide käsitlemise üksus – ekspertide grupp, kelle ülesanne on teha küberintsidendi

käsitlemist toetavaid toiminguid;

20) küberoht – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 8

määratletud küberoht;

21) küberturvalisus – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 1

määratletud küberturvalisus;

22) oluline küberoht – küberoht, mille tehniliste näitajate põhjal on võimalik eeldada, et sellel võib

olla suur mõju üksuse võrgu- ja infosüsteemile või üksuse võrgu- ja infosüsteemi kasutajatele,

tekitades märkimisväärset varalist või mittevaralist kahju;

23) pilvandmetöötlusteenus – infoühiskonna teenus, mis võimaldab nõude põhjal hallata

skaleeritavaid ja paindlikke jagatavaid andmetöötlusressursse ning ulatuslikku kaugpääsu neile,

sealhulgas juhul, kui need ressursid paiknevad hajutatult eri kohtades;

24) risk – küberintsidendist tingitud kahju või häire tekke võimalus, mis väljendub kahju või häire

ulatuse ja küberintsidendi esinemise tõenäosuse kombineeritud näitajana;

25) sisulevivõrk – geograafiliselt hajutatud serverite võrk, mille eesmärk on tagada digisisu ja

infoühiskonna teenuste laialdane kättesaadavus, juurdepääsetavus või kiire edastamine

internetikasutajatele sisu- ja teenusepakkujate nimel;

26) sotsiaalmeediaplatvorm – platvorm, mis võimaldab lõppkasutajatel vastastikku ühendust

pidada, sisu jagada, teavet otsida ning suhelda mitme seadme kaudu, eelkõige vestluste, postituste,

videote ja soovituste vormis;

27) teadusasutus – üksus, kelle peamine tegevus on teha rakendusuuringuid või tootearendust

eesmärgiga kasutada selliste uuringute või arenduste tulemusi ärilistel eesmärkidel, kuid kes ei ole

haridusasutus;

28) tippdomeeninimede register – üksus, kelle vastutusel on Eesti maatunnusega seotud

tippdomeen ning kes vastutab selle tippdomeeni haldamise eest, sealhulgas tippdomeeni

alamdomeeninimede registreerimise eest ja tippdomeeni tehnilise toimimise eest, sealhulgas

nimeserverite käitamise ja andmebaaside hooldamise eest ning tippdomeeni tsoonifailide jaotamise

eest nimeserverite vahel, olenemata sellest, kas mõne neist toimingutest teeb üksus ise või ostetakse

mõni toiming sisse, kuid välja arvatud juhul, kui register kasutab tippdomeeninimesid ainult enda

tarbeks;

29) turvahaavatavus – IKT-toote või IKT-teenuse nõrkus, vastuvõtlikkus või viga, mida küberoht

võib ära kasutada;

30) turvameetmed – rakendatavad organisatsioonilised, füüsilised ja infotehnilised toimingud või

vahendid andmete ning võrgu- ja infosüsteemide turvalisuse saavutamiseks ning säilitamiseks;

4 / 28

31) ulatuslik küberintsident – küberintsident, mille põhjustatud häired on niivõrd laialdased, et üks

Euroopa Liidu liikmesriik ei suuda nendega toime tulla, või millel on märkimisväärne mõju

vähemalt kahele Euroopa Liidu liikmesriigile;

32) usaldusteenuse osutaja – Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 3

punktis 19 määratletud usaldusteenuse osutaja;

33) veebipõhine otsingumootor – Euroopa Parlamendi ja nõukogu määruse (EL) 2019/1150, mis

käsitleb õigluse ja läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks

(ELT L 186, 11.07.2019, lk 57–79), artikli 2 punktis 5 määratletud veebipõhine otsingumootor;

34) võrgu- ja infosüsteem (edaspidi süsteem) – elektroonilise side võrk elektroonilise side seaduse

§ 2 punkti 8 tähenduses, seade või omavahel ühendatud või seotud seadmete rühm, millest

vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine, või

digitaalsed andmed, mida eelnimetatud komponendid nende töö, kasutamise, kaitsmise või

hooldamise jaoks salvestavad, töötlevad, saavad päringuga või edastavad;

35) võrgu- ja infosüsteemi turvalisus (edaspidi süsteemi turvalisus) – süsteemi võime osutada

vastupanu mis tahes sündmusele, mis ohustab süsteemis töödeldavate andmete või süsteemi kaudu

osutatavate või juurdepääsetavate teenuste käideldavust, autentsust, terviklust ja

konfidentsiaalsust;

36) üksus – juriidiline isik, kes on asutatud ja keda tunnustatakse tema tegevuskohajärgse riigi

õiguse kohaselt ning kellel võivad olla õigused ja kohustused, või füüsiline isik;

37) üldkasutatav elektroonilise side teenus – üldkasutatav elektroonilise side teenus elektroonilise

side seaduse tähenduses;

38) üldkasutatav elektroonilise side võrk – üldkasutatav elektroonilise side võrk elektroonilise side

seaduse tähenduses.“;

7) paragrahv 3 muudetakse ja sõnastatakse järgmiselt:

㤠3. Teenuseosutaja

(1) Teenuseosutaja käesoleva seaduse tähenduses on ühiskonna toimimise seisukohast ülioluline

üksus (edaspidi ülioluline üksus) ja ühiskonna toimimise seisukohast oluline üksus (edaspidi

oluline üksus).

(2) Ülioluline üksus on:

1) domeeninimede süsteemi teenuse osutaja;

2) elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;

3) keskvalitsuse avaliku halduse üksus;

4) kohaliku omavalitsuse avaliku halduse üksus;

5) kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja;

6) kvalifitseeritud usaldusteenuse osutaja;

7) riigi tegevusvaru haldaja hädaolukorra seaduse tähenduses;

8) tippdomeeninimede registri pidaja;

9) üldkasutatava elektroonilise side võrgu teenuse osutaja või üldkasutatava elektroonilise side

teenuse osutaja, kellel on Euroopa Komisjoni soovituses 2003/361/EÜ mikro-, väikeste ja

keskmise suurusega ettevõtjate määratlemise kohta (ELT L 124, 20.05.2003, lk 36–41) esitatud

keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50 või rohkem töötajat ja

kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot.

5 / 28

(3) Lisaks käesoleva paragrahvi lõikes 2 sätestatule loetakse ülioluliseks üksuseks ka üksus, kellel

on Euroopa Komisjoni soovituses 2003/361/EÜ esitatud keskmise suurusega ettevõtja määratluse

kohaselt majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit

eurot või aastakäive ületab 50 miljonit eurot ning kes on:

1) andmekeskusteenuse osutaja;

2) elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia müügiga, kaasa arvatud

selle edasimüügiga elektrienergia hulgimüüjale või lõpptarbijale;

3) elektriettevõtja elektrituruseaduse tähenduses, kes tegeleb elektrienergia tootmisega;

4) ettevõtja, kes tegeleb nõukogu direktiivi 91/271/EMÜ asulareovee puhastamise kohta (EÜT L

135, 30.05.1991, lk 40–52) artikli 2 punktides 1, 2 ja 3 määratletud asulareovee, olmereovee või

tööstusreovee kogumise, ärajuhtimise või puhastamisega, välja arvatud ettevõtja, kelle puhul on

asulareovee, olmereovee või tööstusreovee kogumine, ärajuhtimine või puhastamine tema üldise

tegevuse väheoluline osa;

5) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 laevade ja sadamarajatiste

turvalisuse tugevdamise kohta (ELT L 129, 29.04.2004, lk 6–91) I lisas meretranspordi puhul

osutatud ettevõtja, kes tegeleb reisijate ja kauba vedamisega sisevetes, merel ja rannavetes, välja

arvatud kõnealuse ettevõtja käitatavad üksikud laevad;

6) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/123, mis käsitleb Euroopa Ravimiameti

suuremat rolli ravimite ja meditsiiniseadmete alases kriisivalmiduses ja -ohjes (ELT L 20,

31.01.2022, lk 1–37), artiklis 22 nimetatud rahvatervise hädaolukorras esmatähtsa

meditsiiniseadme tootja;

7) Euroopa Liidu majanduse tegevusalade klassifikaatori NACE Revision 2 C jao osas 21 osutatud

põhifarmaatsiatoote ja ravimpreparaadi tootja;

8) gaasiettevõtja maagaasiseaduse tähenduses;

9) haldusteenuse osutaja;

10) hoidlatevõrgu haldur maagaasiseaduse tähenduses;

11) infoturbeteenuse osutaja;

12) interneti sõlmpunkti teenuse osutaja;

13) jaotusvõrguettevõtja elektrituruseaduse tähenduses;

14) kaugkütte- ja kaugjahutussüsteemi käitaja kaugkütteseaduse tähenduses;

15) kauplemiskoha korraldaja väärtpaberituru seaduse tähenduses;

16) keskne vastaspool Euroopa Parlamendi ja nõukogu määruse (EL) nr 648/2012 börsiväliste

tuletisinstrumentide, kesksete vastaspoolte ja kauplemisteabehoidlate kohta (ELT L 201,

27.07.2012, lk 1–59) artikli 2 punkti 1 tähenduses;

17) kosmosepõhise teenuse osutamist toetava ning Eesti Vabariigi või eraõigusliku isiku omandis

oleva, hallatava või käitatava maapealse taristu käitaja, kes ei ole üldkasutatava elektroonilise side

võrgu teenuse osutaja;

18) krediidiasutus Euroopa Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja

investeerimisühingute suhtes kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012

muutmise kohta (ELT L 176, 27.06.2013, lk 1–337) artikli 4 punkti 1 tähenduses;

19) laadimispunkti käitaja elektrituruseaduse tähenduses, kes vastutab laadimispunkti haldamise ja

käitamise eest, osutades lõppkasutajatele laadimisteenust, sealhulgas liikuvusteenuse osutaja nimel

ja eest;

20) lennuettevõtja Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 300/2008, mis käsitleb

tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr

2320/2002 (ELT L 97, 09.04.2008, lk 72–84), artikli 3 punkti 4 tähenduses, kes tegeleb ärilise

lennutranspordiga;

6 / 28

21) lennujaama haldaja Euroopa Parlamendi ja nõukogu direktiivi 2009/12/EÜ lennujaamatasude

kohta (ELT L 70, 14.03.2009, lk 11–16) artikli 2 punkti 1 tähenduses ning lennujaama abirajatiste

käitaja;

22) lennujaama haldaja lennundusseaduse tähenduses;

23) lennujuhtimise teenust Euroopa Parlamendi ja nõukogu määruse (EL) 2024/2803 ühtse

Euroopa taeva algatuse rakendamise kohta (uuesti sõnastatud) (ELT L, 2024/2803, 11.11.2024)

artikli 2 punkti 6 tähenduses osutav lennuliikluskorraldusettevõtja:

24) liiklusseadusekohase intelligentse transpordisüsteemi käitaja;

25) maagaasi rafineerimise ja töötlemise rajatise käitaja;

26) maagaasi, sealhulgas veeldatud maagaasi müügiga ning hulgimüüjale, lõpptarbijale ja

maagaasi ostvale gaasiettevõtjale maagaasi edasimüügiga tegelev gaasiettevõtja maagaasiseaduse

tähenduses;

27) määratud elektriturukorraldaja Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles

käsitletakse elektrienergia siseturgu (uuesti sõnastatud) (ELT L 158, 14.06.2019, lk 54–124), artikli

2 punkti 8 tähenduses;

28) nafta tootmise, rafineerimise ja töötlemise rajatiste käitamise ning nafta hoiustamise ja

ülekandmisega tegelev ettevõtja;

29) pilvandmetöötlusteenuse osutaja;

30) põhivõrguettevõtja elektrituruseaduse tähenduses;

31) raudteeinfrastruktuuriettevõtja ja raudteeveoettevõtja, sealhulgas teenindusrajatise käitaja

raudteeseaduse tähenduses;

32) sadama pidaja või sadamarajatise valdaja sadamaseaduse tähenduses, sealhulgas Euroopa

Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 artikli 2 punktis 11 määratletud sadamarajatiste

valdaja, ning sadamates tööde ja varustuse haldamisega tegelev üksus;

33) sisulevivõrguteenuse osutaja;

34) turuosaline Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943 artikli 2 punkti 25

tähenduses, kes osutab agregeerimis-, tarbimiskaja- või elektrienergia salvestamise teenust

elektrituruseaduse tähenduses;

35) veeldatud gaasi terminali haldur maagaasiseaduse tähenduses;

36) veeliikluse juhtimise keskus;

37) veeseaduse § 17 lõike 1 kohase joogiveega varustaja ja selle jaotaja, välja arvatud jaotaja, kelle

puhul on joogivee jaotamine tema üldise muude tarbekaupade ja kaupade tarnimise tegevuse

väheoluline osa;

38) vesiniku tootmise, hoiustamise ja ülekandmisega tegelev ettevõtja;

39) üksus, kes tegeleb ravimiseadusekohase ravimi, välja arvatud Euroopa Parlamendi ja nõukogu

määruse (EL) 2019/6, mis käsitleb veterinaarravimeid ning millega tunnistatakse kehtetuks

direktiiv 2001/82/EÜ (ELT L 4, 07.01.2019, lk 43–67), artikli 4 punktis 1 määratletud

veterinaarravimi uurimise ja arendamisega;

40) üksus, kes täidab maagaasi jaotamise ülesannet ning vastutab jaotussüsteemi kasutamise eest,

tagades selle jaotussüsteemi hooldamise ja vajaduse korral arendamise teatud paikkonnas, ning

tagab vajaduse korral maagaasivõrgu ühendamise teiste maagaasivõrkudega ja maagaasivõrgu

pikaajalise võime rahuldada mõistlikku nõudlust maagaasi jaotamise järele;

41) üksus, kes täidab maagaasi ülekandmise ülesannet ning vastutab ülekandesüsteemi käitamise

eest, tagades selle ülekandesüsteemi hooldamise ja vajaduse korral arendamise teatud paikkonnas,

ning tagab vajaduse korral maagaasivõrgu ühendamise teiste maagaasivõrkudega ja maagaasivõrgu

pikaajalise võime rahuldada mõistlikku nõudlust maagaasi ülekandmise järele.

7 / 28

(4) Oluline üksus on:

1) andmekogu vastutav töötleja ja volitatud töötleja avaliku teabe seaduse tähenduses;

2) Arenguseire Keskus;

3) avalik-õiguslik juriidiline isik;

4) kohaliku omavalitsuse üksuste liit;

5) perearstiabi osutaja tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa

teenuse osutaja;

6) Riigimetsa Majandamise Keskus;

7) usaldusteenuse osutaja, välja arvatud kvalifitseeritud usaldusteenuse osutaja;

8) üksus, kes ei ole ülioluline üksus, kuid kellel on Euroopa Komisjoni soovituses 2003/361/EÜ

esitatud keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50 või rohkem

töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot ning kelle tegevusala on

nimetatud käesoleva paragrahvi lõikes 3;

9) üldkasutatava elektroonilise side teenuse osutaja ja üldkasutatava elektroonilise side võrgu

teenuse osutaja, kes ei vasta käesoleva seaduse § 3 lõike 2 punktis 9 nimetatud tingimustele.

(5) Lisaks käesoleva paragrahvi lõikes 4 toodule loetakse oluliseks üksuseks ka üksus, kellel on

Euroopa Komisjoni soovituses 2003/361/EÜ esitatud keskmise suurusega ettevõtja määratluse

kohaselt majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive

ületab 10 miljonit eurot ning kes on:

1) ettevõtja, kelle põhitegevus on jäätmekäitlus jäätmeseaduse tähenduses, sealhulgas järelevalve

jäätmekäitluse üle ja jäätmete kõrvaldamiseks mõeldud jäätmekäitluskoha järelhooldus;

2) ettevõtja, kes toodab aineid Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1907/2006, mis

käsitleb kemikaalide registreerimist, hindamist, autoriseerimist ja piiramist (REACH) ning millega

asutatakse Euroopa Kemikaaliamet, muudetakse direktiivi 1999/45/EÜ ja tunnistatakse kehtetuks

nõukogu määrus (EMÜ) nr 793/93 ja komisjoni määrus (EÜ) nr 1488/94 ning samuti nõukogu

direktiiv 76/769/EMÜ ja komisjoni direktiivid 91/155/EMÜ, 93/67/EMÜ, 93/105/EÜ ja

2000/21/EÜ (ELT L 396, 30.12.2006, lk 1–850), artikli 3 punkti 9 tähenduses ja turustab aineid

või segusid kõnealuse määruse artikli 3 lõike 14 tähenduses, ning ettevõtja, kes toodab ainetest või

segudest kõnealuse määruse artikli 3 punktis 3 määratletud tooteid;

3) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 178/2002, millega sätestatakse toidualaste

õigusnormide üldised põhimõtted ja nõuded, asutatakse Euroopa Toiduohutusamet ja kehtestatakse

toidu ohutusega seotud menetlused (EÜT L 31, 01.02.2002, lk 1–24), artikli 3 punktis 2

määratletud toidukäitlemisettevõtja, kes tegeleb hulgimüügi ning tööstusliku tootmise ja

töötlemisega;

4) Euroopa Parlamendi ja nõukogu määruse (EL) 2017/745, milles käsitletakse

meditsiiniseadmeid, millega muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja

määrust (EÜ) nr 1223/2009 ning millega tunnistatakse kehtetuks nõukogu direktiivid 90/385/EMÜ

ja 93/42/EMÜ (ELT L 117, 05.05.2017, lk 1–175), artikli 2 punktis 1 määratletud meditsiiniseadme

tootja ning Euroopa Parlamendi ja nõukogu määruse (EL) 2017/746 in

vitro diagnostikameditsiiniseadmete kohta ning millega tunnistatakse kehtetuks direktiiv 98/79/EÜ

ja komisjoni otsus 2010/227/EL (ELT L 117, 05.05.2017, lk 176–332) artikli 2 punktis 2

määratletud in vitro diagnostikameditsiiniseadme tootja, välja arvatud käesoleva paragrahvi lõike 3

punktis 6 osutatud meditsiiniseadme tootja;

5) Euroopa Liidu majanduse tegevusalade klassifikaatori NACE Revision 2 C jao osades 26, 27,

28, 29 ja 30 osutatud majandustegevusega tegelev ettevõtja;

6) internetipõhise kauplemiskoha pidaja;

8 / 28

7) postiteenuse osutaja postiseaduse tähenduses, sealhulgas kulleriteenuse osutaja;

8) sotsiaalmeediaplatvormi pakkuja;

9) teadusasutus;

10) veebipõhise otsingumootori pakkuja.

(6) Käesolevas seaduses ei kohaldata üksuse töötajate arvu, aastabilansimahu ja aastakäive

kindlakstegemisel Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4.

(7) Käesolevas seaduses ei arvestata üksuse töötajate arvu, aastabilansimahu ja aastakäibe

kindlakstegemisel partner- või sidusettevõtja andmeid Euroopa Komisjoni soovituse 2003/361/EÜ

tähenduses, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või

sidusettevõtjast sõltumatu.“;

8) seadust täiendatakse §-ga 31 järgmises sõnastuses:

㤠31. Teavitamiskohustus ja nimekiri

(1) Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja esitab Riigi Infosüsteemi

Ametile käesoleva paragrahvi lõikes 2 nimetatud nimekirja koostamiseks vähemalt järgmise teabe:

1) nimi ja registrikood;

2) tegevuskoha aadress ja ajakohased kontaktandmed, sealhulgas e-posti aadressid,

internetiprotokolli aadresside vahemikud ja telefoninumbrid;

3) asjakohasel juhul Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555, mis käsitleb

meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse

määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL)

2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152), I või II lisas

osutatud asjakohane sektor ja allsektor;

4) asjakohasel juhul nende riikide loetelu, kus ta osutab Euroopa Parlamendi ja nõukogu direktiivi

(EL) 2022/2555 kohaldamisalasse kuuluvaid teenuseid.

(2) Riigi Infosüsteemi Amet koostab iga kahe aasta järel teenuseosutajate ja domeeninimede

registreerimise teenuse osutajate nimekirja.

(3) Käesoleva paragrahvi lõikes 2 nimetatud teave on asutusesiseseks kasutamiseks mõeldud teave

avaliku teabe seaduse tähenduses.

(4) Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja teavitab kõigist käesoleva

paragrahvi lõike 1 kohaselt esitatud teabe muudatustest viivitamata, kuid hiljemalt kaks nädalat

pärast muudatuse tegemise kuupäeva Riigi Infosüsteemi Ametit.

(5) Riigi Infosüsteemi Amet teatab iga kahe aasta järel Euroopa Komisjonile ning Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 14 nimetatud koostöörühmale (edaspidi

koostöörühm) iga sama direktiivi I või II lisas osutatud sektori ja allsektori kohta käesoleva

paragrahvi lõikes 2 nimetatud nimekirja kantud teenuseosutajate arvu.

9 / 28

(6) Riigi Infosüsteemi Amet esitab iga kahe aasta järel Euroopa Komisjonile teabe üksuste kohta,

kes on Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 2 lõike 2 punktide b–e

alusel ülioluline üksus ja oluline üksus.

(7) Käesoleva paragrahvi lõike 6 alusel esitatavaks teabeks on üksuste arv, teave Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 I ja II lisas osutatud sektori ja allsektori kohta

ning asjaomaste teenuseosutajate osutatavate teenuste liik koos teabega, milline Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 2 lõike 2 punktidest b–e on alus pidada

üksust ülioluliseks või oluliseks käesoleva seaduse tähenduses.

(8) Euroopa Komisjoni taotluse korral võib Riigi Infosüsteemi Amet edastada komisjonile

käesoleva paragrahvi lõikes 6 osutatud teenuseosutajate nimed.

(9) Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja võib käesoleva paragrahvi

lõikes 1 sätestatud kohustuse täitmisel juhinduda asjaomastest Euroopa Komisjoni suunistest ja

vormidest.“;

9) paragrahv 4 muudetakse ja sõnastatakse järgmiselt:

„§ 4. Digitaalse teenuse osutajaga seonduvad nõuded

(1) Digitaalse teenuse osutaja esitab Riigi Infosüsteemi Ametile vähemalt järgmise teabe:

1) nimi ja registrikood;

2) asjakohasel juhul teave Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 I või II lisas

osutatud asjakohase sektori, allsektori ja üksuse liigi kohta;

3) peamise tegevuskoha aadress ja Euroopa Liidus asuvate muude ametlike tegevuskohtade

aadressid või juhul, kui tal Euroopa Liidus tegevuskohta ei ole või ta ei ole seal asutatud, oma

esindaja tegevuskoha aadress;

4) enda ja asjakohasel juhul oma esindaja ajakohased kontaktandmed, sealhulgas e-posti aadress ja

telefoninumber;

5) liikmesriik või liikmesriigid, kus teenust osutatakse;

6) internetiprotokolli aadresside vahemikud.

(2) Digitaalse teenuse osutaja peamiseks tegevuskohaks loetakse Eesti, kui asjaomase digitaalse

teenuse osutaja turvameetmeid käsitlevad otsused tehakse valdavalt Eestis.

(3) Kui digitaalse teenuse osutaja peamist tegevuskohta ei ole võimalik käesoleva paragrahvi

lõike 2 kohaselt kindlaks teha või kui selliseid otsuseid ei tehta Euroopa Liidus, loetakse asjaomase

digitaalse teenuse osutaja peamiseks tegevuskohaks Eesti, kui Eestis toimub asjaomase digitaalse

teenuse osutaja küberturvalisuse tagamise alane tegevus.

(4) Kui digitaalse teenuse osutaja peamist tegevuskohta ei ole võimalik käesoleva paragrahvi

lõigete 2 ja 3 kohaselt kindlaks teha, käsitatakse digitaalse teenuse osutaja peamise tegevuskohana

Eestit juhul, kui Eesti territooriumil asub digitaalse teenuse osutaja kõige suurema arvu töötajatega

tegevuskoht Euroopa Liidus.

10 / 28

(5) Olenemata käesoleva paragrahvi lõigetes 2–4 sätestatust kohaldatakse käesolevat seadust

digitaalse teenuse osutajale, kui tema esindaja tegevuskoht on Eestis või tema esindaja on asutatud

Eestis.

(6) Digitaalse teenuse osutaja teatab kõigist käesoleva paragrahvi lõike 1 kohaselt esitatud teabe

muudatustest viivitamata, kuid hiljemalt kolm kuud pärast muudatuse tegemise kuupäeva.

(7) Riigi Infosüsteemi Amet esitab käesoleva paragrahvi lõike 1 punktides 1–5 osutatud teabe

põhjendamatu viivituseta Euroopa Liidu Küberturvalisuse Ametile.

(8) Riigi Infosüsteemi Amet võib esitada Euroopa Liidu Küberturvalisuse Ametile taotluse

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 27 lõikes 1 nimetatud registrile

juurdepääsu saamiseks.

(9) Digitaalse teenuse osutaja võib käesoleva paragrahvi lõikes 1 sätestatud kohustuse täitmisel

juhinduda asjaomastest Euroopa Komisjoni suunistest ja vormidest.

(10) Eestis teenust osutav, kuid väljaspool Euroopa Liitu asutatud digitaalse teenuse osutaja peab

määrama esindaja Eestis või mõnes teises Euroopa Liidu liikmesriigis, kus ta teenust osutab või

kus ta on asutatud, ja tegema püsivalt avalikult kättesaadavaks esindaja kontaktandmed.

(11) Digitaalse teenuse osutaja esindaja määramine ei piira õiguslike meetmete võtmist digitaalse

teenuse osutaja suhtes.

(12) Käesolevat seadust kohaldatakse ka Euroopa Liidu liikmesriigis esindaja määramise kohustust

rikkuva digitaalse teenuse osutaja suhtes.“;

10) seadust täiendatakse paragrahviga 41 järgmises sõnastuses:

„§ 41. Nõuete ja kohustuste esmakordne täitmine

(1) Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja täidab käesoleva seaduse § 31

lõikes 1 sätestatud kohustuse kolme kuu jooksul teenuseosutaja või domeeninimede registreerimise

teenuse osutaja tunnustele vastavuse tekkimisest arvates.

(2) Digitaalse teenuse osutaja täidab käesoleva seaduse § 4 lõigetes 1 ja 10 sätestatud kohustused

kolme kuu jooksul digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates.

(3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, viib oma tegevuse käesoleva seaduse ja

selle alusel kehtestatud nõuetega vastavusse ning täidab käesolevast seadusest ja selle alusel

kehtestatud õigusaktidest tulenevad kohustused kolme aasta jooksul teenuseosutaja, sealhulgas

digitaalse teenuse osutaja tunnustele vastavuse tekkimisest arvates. Käesoleva paragrahvi lõigetes

1 ja 2 sätestatud kohustuse täidab teenuseosutaja käesoleva paragrahvi lõigetes 1 ja 2 määratud

tähtajal.

(4) Olenemata käesoleva paragrahvi lõikest 3 peab elutähtsa teenuse osutaja oma tegevuse viima

vastavusse käesoleva seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike

11 / 28

13 punktis 3 sätestatud korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud

kohustuse täidab elutähtsa teenuse osutaja käesoleva paragrahvi lõigetes 1 ja 2 määratud tähtajal.

(5) Käesolevat paragrahvi ei kohaldata sellistele teenuseosutajatele, kellele kohaldatakse käesoleva

seaduse § 281.“;

11) paragrahv 5 muudetakse ja sõnastatakse järgmiselt:

„§ 5. Pädevad asutused ja ülesanded

(1) Vabariigi Valitsus võtab vastu Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artiklis 7 nimetatud riikliku küberturvalisuse strateegia, mis võib olla koostatud muu õigusakti

kohase dokumendi osana. Riikliku küberturvalisuse strateegia koostamist koordineerib riikliku

küberturvalisuse valdkonna eest vastutav minister.

(2) Riikliku küberturvalisuse strateegia ulatuse, tingimused ja elluviimise korra koos asjaomaste

poliitikameetmete loeteluga kehtestab riikliku küberturvalisuse valdkonna eest vastutav minister

määrusega.

(3) Justiits- ja Digiministeerium ning Riigi Infosüsteemi Amet osalevad:

1) koostöörühma tegevuses koostöörühma ülesannete kohaselt;

2) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 16 nimetatud Euroopa

küberkriisiga tegelevate kontaktasutuste võrgustikus võrgustiku ülesannete kohaselt.

(4) Riigi Infosüsteemi Amet täidab järgmisi Euroopa Parlamendi ja nõukogu direktiivis (EL)

2022/2555 nimetatud ülesandeid:

1) artikli 8 lõikes 1 nimetatud pädeva asutuse ja lõikes 3 nimetatud ühtse kontaktpunkti ülesanded;

2) artikli 9 lõikes 1 nimetatud ulatuslike küberintsidentide ja kriiside ohjamise eest vastutava

pädeva asutuse ülesanded;

3) artikli 10 lõikes 1 nimetatud küberintsidentide käsitlemise üksuse ülesanded;

4) artikli 12 lõikes 1 nimetatud turvahaavatavuse koordineeritult avaldamise koordinaatori

ülesanded;

5) artiklis 15 nimetatud küberintsidentide käsitlemise riiklike üksuste võrgustikus (edaspidi

võrgustik) osalemise ülesanded.

(5) Julgeolekuasutus täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 8

lõikes 1 nimetatud pädeva asutuse ülesandeid käesoleva seaduse §-s 14 sätestatud ulatuses.“;

12) seadust täiendatakse §-ga 52 järgmises sõnastuses:

„§ 52. Piiriüleste elektrivoogude valdkonna küberturvalisuse järelevalvet tegev pädev asutus

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366, millega täiendatakse Euroopa

Parlamendi ja nõukogu määrust (EL) 2019/943 ning kehtestatakse võrgueeskiri piiriüleste

elektrivoogude küberturvalisust käsitlevate sektoripõhiste normide kohta (ELT L, 2024/1366,

24.05.2024), artikli 4 lõikes 1 nimetatud pädeva asutuse nimetab riikliku küberturvalisuse

valdkonna eest vastutav minister käskkirjaga.

12 / 28

(2) Käesoleva paragrahvi lõikes 1 nimetatud pädeva asutuse nimetamisel arvestatakse Euroopa

Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 4 lõikes 3 ja halduskoostöö seaduses

sätestatud nõuetega.

(3) Vabariigi Valitsus võib Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 39

lõikes 1, artikli 40 lõikes 4 ning artikli 41 lõigetes 1 ja 2 viidatud ülesande täitmise edasi volitada

Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles käsitletakse elektrienergia

siseturgu (ELT L 158, 14.06.2019, lk 54–124), artikli 35 kohaselt asutatud piirkondlikule

koordineerimiskeskusele, arvestades halduskoostöö seaduses sätestatud nõudeid.“;

13) paragrahvi 6 punktides 1–3, § 7 lõikes 3, § 8 pealkirjas, lõikes 11, lõike 2 punktis 3 ja lõikes 6

ning § 16 lõikes 2 asendatakse sõnad „teenuse osutaja“ sõnaga „teenuseosutaja“ vastavas käändes;

14) seaduse 2. peatükki täiendatakse §-ga 61 järgmises sõnastuses:

㤠61. Teenuseosutaja juhatuse liikme kohustused

(1) Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib

nende rakendamist ja vastutab selle eest. Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja

asjaomase juhatuse liikme või juhatuse liikmete nime ja kontaktandmed. Vastutava juhatuse liikme

määramise kohustust ei kohaldata teenuseosutajale, kellel on üks juhatuse liige.

(2) Käesoleva paragrahvi lõikes 1 nimetatud teenuseosutaja juhatuse liige läbib korrapäraselt

koolitusi eesmärgiga omandada piisavad teadmised ja oskused, et mõista ja hinnata riske, nende

mõju teenuseosutaja teenustele ning riskide juhtimise viise.

(3) Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget,

kohaldatakse käesolevas paragrahvis sätestatud kohustusi kõigile juhatuse liikmetele.

(4) Kui teenuseosutajal ei ole oma juriidilise vormi või struktuuri tõttu juhatuse liiget, kohaldatakse

juhatuse liikme kohta käivat ka muule isikule, kes on seaduse, põhimääruse või muu õigusakti

kohaselt määratud asjaomase teenuseosutaja juures juhtimisülesandeid täitma. Kui teenuseosutaja

on füüsilisest isikust ettevõtja, kohaldatakse teenuseosutaja juhatuse liikme kohustuste kohta

sätestatut asjaomasele füüsilisele isikule.“;

15) paragrahvi 7 pealkiri ning lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„§ 7. Teenuseosutaja süsteemi turvameetmed

(1) Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke

ning korralduslikke turvameetmeid, et:

1) hallata riske, mis ohustavad teenuseosutaja tegevuses või teenuse osutamisel kasutatava

süsteemi turvalisust, sealhulgas koostab vastava riskianalüüsi;

2) ennetada või minimeerida küberintsidendi mõju teenuseosutaja osutatava teenuse saajale ja

muule teenusele;

3) ennetada küberintsidenti või see tuvastada ja lahendada.

13 / 28

(2) Turvameetmete rakendamisel arvestatakse:

1) teenuseosutaja vajadusi ja turvanõudeid;

2) ajakohaseid ning asjakohasel juhul Euroopa ja rahvusvahelisi standardeid;

3) turvameetmete rakendamise kulusid;

4) turvameetmete rakendamise proportsionaalsust, mille hindamisel võetakse muu hulgas arvesse

teenuseosutaja riskidele avatuse määra, teenuseosutaja suurust, küberintsidentide esinemise

tõenäosust ja nende tõsidust, sealhulgas küberintsidentide ühiskondlikku ja majanduslikku mõju;

5) ohte süsteemselt ja terviklikult hõlmavat lähenemisviisi, mille eesmärk on kaitsta süsteeme ja

nende süsteemide füüsilist keskkonda küberintsidentide eest.“;

16) paragrahvi 7 täiendatakse lõigetega 6 ja 7 järgmises sõnastuses:

„(6) Käesoleva paragrahvi lõike 5 alusel kehtestatud määruses võib täpsustada alalisi asjakohaseid

ja proportsionaalseid tehnilisi, tegevuslikke ja korralduslikke turvameetmeid ning rakendamise

nõudeid ja tingimusi.

(7) Teenuseosutaja, kes on nimetatud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artikli 21 lõikes 5 osutatud rakendusaktis, millega sätestatakse tehnilised, metoodilised ja vajaduse

korral valdkondlikud nõuded turvameetmete rakendamiseks teenuseosutaja poolt, lähtub

rakendusaktis sätestatud teenuse puhul sama rakendusaktiga kehtestatud nõuetest.“;

17) paragrahvi 8 lõike 1 sissejuhatav lauseosa muudetakse ja sõnastatakse järgmiselt:

„(1) Teenuseosutaja, välja arvatud julgeolekuasutus, esitab Riigi Infosüsteemi Ametile esmase

teate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist küberintsidendist:“;

18) paragrahvi 8 lõike 2 punktides 1 ja 4 asendatakse arv „2“ arvuga „1“;

19) paragrahvi 8 lõike 2 punktis 5 asendatakse lauseosa „teenuse osutajale, teise teenuse osutajale“

lauseosaga „teenuseosutajale, teisele teenuseosutajale“;

20) paragrahvi 8 lõiget 2 täiendatakse punktiga 6 järgmises sõnastuses:

„6) tegemist on Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõike 11 alusel

vastu võetud Euroopa Komisjoni rakendusaktis sätestatud olulise intsidendiga.“;

21) paragrahvi 8 lõige 4 tunnistatakse kehtetuks;

22) paragrahvi 8 täiendatakse lõigetega 41–44 järgmises sõnastuses:

„(41) Käesoleva paragrahvi lõikes 1 nimetatud esmases teates esitatakse võimaluse korral

järgmised andmed:

1) teave olulise mõjuga küberintsidendi sisu ja toimumise põhjuse kohta, sealhulgas asjakohasel

juhul teave turvarikkemärgi kohta koos selgitusega, kas olulise mõjuga küberintsidendi põhjuseks

on eeldatavasti ebaseaduslik või pahatahtlik tegevus;

2) hinnang olulise mõjuga küberintsidendile, sealhulgas selle raskusastmele ja mõjule;

14 / 28

3) teave olulise mõjuga küberintsidendi piiriülese mõju kohta;

4) teave olulise mõjuga küberintsidendi lahendamiseks ettevõetavate tegevuste kohta.

(42) Teenuseosutaja, välja arvatud julgeolekuasutus, edastab Riigi Infosüsteemi Ametile

viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist

intsidenditeate, millega ajakohastatakse käesoleva paragrahvi lõikes 41 osutatud teavet olulise

mõjuga küberintsidendi asjaoludest täpsustatud ülevaate saamiseks.

(43) Usaldusteenuse osutaja esitab käesoleva paragrahvi lõikes 42 nimetatud intsidenditeate

viivitamata, kuid hiljemalt 24 tundi pärast olulise mõjuga küberintsidendist teada saamist.

Usaldusteenuse osutaja edastatav intsidenditeade sisaldab käesoleva paragrahvi lõikes 41 nimetatud

andmeid.

(44) Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja enne käesoleva paragrahvi lõikes 7

nimetatud lõppraporti esitamist vahearuande olulise mõjuga küberintsidendi lahendamise seisu

kohta. Vahearuandes esitatakse käesoleva paragrahvi lõikes 41 nimetatud andmed ja asjakohasel

juhul Riigi Infosüsteemi Ameti taotletud lisateave.“;

23) paragrahvi 8 lõikeid 5–7 muudetakse ja sõnastatakse järgmiselt:

„(5) Teenuseosutaja on asjakohasel juhul kohustatud teavitama mõistliku aja jooksul isikut, keda

olulise mõjuga küberintsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud

isikuid ei ole võimalik eraldi teavitada. Teates annab teenuseosutaja võimaluse korral teada

olulisest küberohust ja meetmetest, mida mõjutatud isik saab olulisele küberohule reageerimiseks

võtta.

(6) Kui üldsuse teadlikkus või küberintsidendi avalikustamine on vajalik olulise mõjuga

küberintsidendi ennetamiseks või lahendamiseks või muul moel üldsuse huvides, võib Riigi

Infosüsteemi Amet avalikkust teavitada olulise mõjuga küberintsidendist pärast asjaomase

teenuseosutajaga konsulteerimist või nõuda, et seda teeks asjaomane teenuseosutaja.

(7) Teenuseosutaja esitab ühe kuu jooksul käesoleva paragrahvi lõikes 42 nimetatud intsidenditeate

esitamisest arvates Riigi Infosüsteemi Ametile lõppraporti, mis sisaldab teavet küberintsidendi

tekkepõhjuste, rakendatud abinõude ja küberintsidendi raskusaste ning mõju, sealhulgas

asjakohasel juhul piiriülese mõju kohta. Kui olulise mõjuga küberintsidenti ei ole lõppraporti

esitamise ajaks veel lahendatud, käsitatakse esitatud lõppraportit vahearuandena ja teenuseosutaja

esitab uue lõppraporti ühe kuu jooksul pärast olulise mõjuga küberintsidendi lahendamist.“;

24) paragrahvi 8 lõikes 8 asendatakse sõna „raporti“ sõnaga „lõppraporti“;

25) paragrahvi 8 täiendatakse lõikega 81 järgmises sõnastuses:

„(81) Kui Euroopa Komisjon võtab vastu Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 23 lõikes 11 nimetatud rakendusakti, milles täpsustatakse küberintsidendi,

sealhulgas olulise mõjuga küberintsidendi kohta esitatava teate või raporti vorm ja selle esitamise

kord, lähtutakse nimetatud rakendusaktis sätestatud nõuetest.“;

15 / 28

26) paragrahvi 8 lõige 9 tunnistatakse kehtetuks;

27) paragrahvi 8 täiendatakse lõikega 10 järgmises sõnastuses:

„(10) Julgeolekuasutus teatab küberintsidendist asjakohast julgeolekuasutust, arvestades

käesolevas paragrahvis sätestatud nõudeid.“;

28) seadust täiendatakse §-ga 81 järgmises sõnastuses:

㤠81. Vabatahtlik teavitamine

(1) Riigi Infosüsteemi Ametit võib:

1) teenuseosutaja teavitada küberintsidendist, turvahaavatavusest ja küberohust;

2) muu isik kui teenuseosutaja teavitada olulise mõjuga küberintsidendist, turvahaavatavusest ja

küberohust.

(2) Potentsiaalsest turvahaavatavusest või turvahaavatavusest teavitav füüsiline või juriidiline isik

võib esitada teate anonüümselt. Teate esitaja isiku andmed on asutusesiseseks kasutamiseks

mõeldud teave avaliku teabe seaduse tähenduses.

(3) Riigi Infosüsteemi Amet menetleb käesoleva paragrahvi lõike 1 alusel esitatud teateid

käesoleva seaduse §-des 8 ja 12 sätestatud korras.“;

29) paragrahvid 10 ja 11 tunnistatakse kehtetuks;

30) paragrahvi 12 täiendatakse lõigetega 31 ja 32 järgmises sõnastuses:

„(31) Riigi Infosüsteemi Amet esitab olulise mõjuga küberintsidendist teatanud üksusele võimaluse

korral 24 tunni jooksul vastuse, mis sisaldab esialgset tagasisidet olulise mõjuga küberintsidendi

kohta ja teate esitanud üksuse taotluse korral ka suuniseid olulise mõjuga küberintsidendi

lahendamise meetmete kohta.

(32) Riigi Infosüsteemi Amet võib seada küberintsidendi lahendamisel käesoleva seaduse

paragrahvi 8 alusel esitatud teate menetlemise tähtsamale kohale paragrahvi 81 alusel esitatud teate

menetlemisest.“;

31) paragrahvi 12 lõige 4 muudetakse ja sõnastatakse järgmiselt:

„(4) Riigi Infosüsteemi Ametil on õigus edastada välisriigile või Euroopa Liidu Küberturvalisuse

Ametile või muule organisatsioonile küberintsidendi ennetamise ja lahendamisega seotud teavet

käesoleva seaduse §-s 5 sätestatud ülesannete või Euroopa Liidu õigusest tuleneva kohustuse

täitmiseks või välislepinguga ettenähtud juhtudel ja korras, kui edastatav teave ei kahjusta riigi

julgeolekut või kriminaalmenetlust. Nimetatud teabe edastamine on kohustuslik ennekõike siis, kui

olulise mõjuga küberintsident puudutab kahte või enamat Euroopa Liidu liikmesriiki, millisel juhul

tuleb asjakohane olulise mõjuga küberintsidendi kohta käiv teave edastada puudutatud välisriigile

ja Euroopa Liidu Küberturvalisuse Ametile.“;

16 / 28

32) paragrahvi 12 täiendatakse lõikega 41 järgmises sõnastuses:

„(41) Riigi Infosüsteemi Amet esitab Euroopa Liidu Küberturvalisuse Ametile iga kolme kuu tagant

koondaruande, mis sisaldab anonüümseid koondandmeid küberohtude, küberintsidentide ja olulise

mõjuga küberintsidentide kohta.“;

33) paragrahvi 12 lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Riigi Infosüsteemi Amet edastab käesoleva paragrahvi lõigetes 4 ja 41 nimetatud teavet üksnes

teabevahetuse eesmärgi seisukohast vajalikus ja proportsionaalses ulatuses, kaitstes teenuseosutaja

turvalisust ja ärihuve ning juhindudes ärisaladuse hoidmise kohustusest.“;

34) seadust täiendatakse §-ga 121 järgmises sõnastuses:

„§ 121. Ulatusliku küberintsidendi ja kriisi ennetamine ning lahendamine

(1) Ulatusliku küberintsidendi ja kriisi ennetamisele ning lahendamisele kohaldatakse käesoleva

seaduse §-s 12 ning muudes kriisi ennetamist ja lahendamist reguleerivates valdkondlikes

seadustes sätestatut.

(2) Riigi Infosüsteemi Amet:

1) koostab ning võtab vastu ulatuslike küberintsidentide ja kriiside lahendamise kava (edaspidi

kava), arvestades Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 9 lõikes 4

sätestatud nõudeid;

2) teavitab Euroopa Komisjoni kolme kuu jooksul kava vastuvõtmisest või vastu võetud kava

muudatustest ning esitab Euroopa Komisjonile ja Euroopa küberkriisiga tegelevate kontaktasutuste

võrgustikule kolme kuu jooksul pärast kava vastuvõtmist asjakohase teabe, mis on seotud

nimetatud kavaga.

(3) Kava võib koostada muu õigusakti alusel koostatava dokumendi osana.“;

35) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Küberintsidentide register (edaspidi register) on Riigi Infosüsteemi Ameti peetav andmekogu,

kuhu kantakse küberintsidendi toimumist, küberohte ja turvahaavatavust kirjeldavad andmed

eesmärgiga pidada küberintsidentide, küberohtude ja turvahaavatavuste üle arvestust ning

analüüsida registrisse esitatud teavet küberintsidentide, küberohtude ja turvahaavatavuse

ennetamiseks või lahendamiseks, ohuteadete edastamiseks ning järelevalvetoimingute

tegemiseks.“;

36) paragrahvi 13 täiendatakse lõikega 11 järgmises sõnastuses:

„(11) Registrisse kantakse küberintsidendist, küberohust või turvahaavatavusest teataja (edaspidi

koos andmeandja) nimi ja kontaktandmed.“;

37) paragrahvi 13 lõikest 3 jäetakse välja tekstiosa „asutab ja selle“;

17 / 28

38) paragrahvi 13 täiendatakse lõigetega 4 ja 5 järgmises sõnastuses:

„(4) Käesoleva paragrahvi lõikes 3 nimetatud määruses sätestatakse:

1) andmete täpsem koosseis;

2) andmeandjad;

3) andmete õigsuse tagamise kord;

4) andmetele juurdepääsu tingimused;

5) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused, sealhulgas

andmete varasemalt kustutamise tingimused;

6) registri rahastamine;

7) registriga seotud muud korralduslikud nõuded.

(5) Registrisse kantud või registriga seotud andmeid säilitatakse järgnevalt:

1) registrisse kantud andmeid küberintsidentide kohta säilitatakse viis aastat alates küberintsidendi

lahendamisest;

2) registrisse kantud muid andmeid säilitatakse viis aastat;

3) registritoimingute andmeid säilitatakse kolm aastat.“;

39) paragrahvi 131 tekstist jäetakse välja tekstiosa „, mis käsitleb ENISAt (Euroopa Liidu

Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse

sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse

määrus) (ELT L 151, 07.06.2019, lk 15–69),“;

40) paragrahvi 14 lõige 2 tunnistatakse kehtetuks;

41) paragrahvi 14 lõiget 5 täiendatakse teise lausega järgmises sõnastuses:

„Haldusjärelevalvet tegevale julgeolekuasutusele kohaldatakse käesoleva seaduse § 17 lõikeid 11–

3.“;

42) paragrahvi 14 täiendatakse lõigetega 6–8 järgmises sõnastuses:

„(6) Riigi Infosüsteemi Amet järelevalve tegemisel:

1) võib prioriseerida käesolevas seaduses sätestatud ülesannete täitmist, arvestades riski- või

ohuprognoosipõhist lähenemisviisi;

2) teeb üliolulise üksuse riiklikku ja haldusjärelevalvet eel- või järelkontrollina;

3) teeb olulise üksuse riiklikku ja haldusjärelevalvet järelkontrollina, kui järelevalveasutus saab

teada, et oluline üksus ei järgi käesolevas seaduses ning ennekõike käesoleva seaduse §-des 7 ja 8

sätestatud nõudeid;

4) võib algatada järelevalvemenetluse omal algatusel.

(7) Riikliku ja haldusjärelevalve meetme kohaldamisel võetakse arvesse iga üksikjuhtumi

asjaolusid, ennekõike:

1) rikkumise raskust ja rikutud nõuete olulisust;

2) rikkumise kestust;

3) asjaomase teenuseosutaja varasemaid asjasse puutuvaid rikkumisi;

18 / 28

4) põhjustatud varalise või mittevaralise kahju, sealhulgas rahalise või majandusliku kahju mõju

teistele teenustele;

5) rikkumisest mõjutatud isikute arvu;

6) rikkumise toimepanija tahtlust või hooletust;

7) turvameetmeid, mida teenuseosutaja on võtnud varalise või mittevaralise kahju ennetamiseks

või vähendamiseks;

8) kinnitatud tegevusjuhendite järgimise või kinnitatud sertifitseerimismehhanismide rakendamise

seisu;

9) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse ning teenuseosutaja vahelist

koostööd.

(8) Raskeks rikkumiseks käesoleva paragrahvi lõike 7 punkti 1 tähenduses loetakse järgmised

rikkumised:

1) korduv rikkumine;

2) teenuseosutaja poolt käesoleva seaduse § 8 lõikes 1 sätestatud kohustuse täitmata jätmine;

3) olulise mõjuga küberintsidendi korral teenuseosutaja poolt intsidendi lahendamiseks

turvameetmete kasutamata jätmine;

4) käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse ettekirjutuses osutatud

puuduste kõrvaldamata jätmine;

5) rikkumise tuvastamise järel käesoleva paragrahvi lõigetes 1 ja 5 nimetatud järelevalveasutuse

tellitud auditi tegemise või riikliku või haldusjärelevalve takistamine;

6) valeandmete või lubamatult ebatäpsete andmete esitamine seoses käesoleva seaduse §-s 7

sätestatud turvameetmete rakendamisega ja §-s 8 sätestatud olulise mõjuga küberintsidendist

teatamisega.“;

43) paragrahvi 15 lõiget 2 täiendatakse pärast sõna „õigusaktide“ tekstiosaga „või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis sätestatud“;

44) paragrahvi 16 lõige 11 loetakse lõikeks 17 ja paragrahvi täiendatakse lõigetega 11–16 järgmises

sõnastuses:

„(11) Riigi Infosüsteemi Ametil on riikliku järelevalve ülesannete täitmisel õigus teha:

1) teenuseosutaja suhtes kohapealset kontrolli ja kaugjärelevalvet, lähtudes käesoleva seaduse § 14

lõike 6 punktidest 2–4, sealhulgas teha üliolulise üksuse suhtes pistelist järelevalvet, mis võib olla

muu hulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, selle alusel või

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11

alusel vastu võetud rakendusaktis sätestatud nõude rikkumisest;

2) teenuseosutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või

auditeeritava teenuseosutaja tehtud riskihindamisel või muul kättesaadaval riskiteabel ning mille

kulu kannab muudel kui käesoleva paragrahvi lõike 12 alusel kehtestatud määruses nimetatud

juhtudel teenuseosutaja;

3) vajaduse korral koostöös asjaomase teenuseosutajaga objektiivsetel, mittediskrimineerivatel,

õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle;

4) teenuseosutajale hoiatus, kui teenuseosutaja rikub käesolevat seadust, selle alusel või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis sätestatud nõuet;

19 / 28

5) ettekirjutus, millega nõutakse ettekirjutuse saajalt sellise tegevuse või tava lõpetamist, millega

rikutakse käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud

nõuet, ning sama tegevuse või tava kasutamisest hoidumist;

6) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse §-s 7 sätestatud ning selle

alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 alusel vastu

võetud rakendusaktis sätestatud nõuete järgimist, ning käesoleva seaduse §-s 8 sätestatud teate

esitamist nimetatud paragrahvis viidatud viisil ja määratud tähtajal;

7) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse § 8 lõikes 5 sätestatud

teavitamist;

8) ettekirjutus, millega nõutakse ettekirjutuse saajalt turvaauditi põhjal antud soovituste

rakendamist mõistliku aja jooksul;

9) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, selle alusel või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis sätestatud nõude rikkumise asjaolude avalikustamist ettekirjutuses ette

nähtud viisil;

10) üliolulisele üksusele ettekirjutus, millega nõutakse ettekirjutuse saajalt kindlaks määratud

perioodiks vastavushalduri määramist, kes jälgib, kas ettekirjutuse adressaat täidab käesoleva

seaduse §-des 7 ja 8 ning nende alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud

nõuet.

(12) Käesoleva paragrahvi lõike 11 punktis 2 nimetatud sihipärase turvaauditi korraldamise

täpsemad tingimused ja korra, sealhulgas loetelu olukordadest, mille puhul Riigi Infosüsteemi

Amet hüvitab teenuseosutajale turvaauditi kulu, ning turvaauditi kulu hüvitamise korra sätestab

riikliku küberturvalisuse valdkonna eest vastutav minister määrusega.

(13) Käesoleva paragrahvi lõike 11 punktis 5 nimetatud üliolulisele üksusele tehtud ettekirjutus võib

sisaldada ka küberintsidendi ennetamiseks või heastamiseks ette nähtud turvameetmeid ning

nõudeid turvameetmete rakendamise tähtaja ja rakendamisest teavitamise kohta.

(14) Kui käesoleva paragrahvi lõike 11 punktides 4–6 ja 8 nimetatud järelevalvemeede üliolulise

üksuse suhtes ei anna tulemust, määrab Riigi Infosüsteemi Amet üliolulisele üksusele uue tähtaja

puuduste kõrvaldamiseks või Riigi Infosüsteemi Ameti esitatud nõuete täitmiseks.

(15) Kui ülioluline üksus ei kõrvalda puudusi või ei täida Riigi Infosüsteemi Ameti nõudeid

käesoleva paragrahvi lõike 14 alusel määratud tähtajal, on Riigi Infosüsteemi Ametil õigus nõuda

ettekirjutusega:

1) loa väljastajalt üliolulise üksuse kõigi või mõne osutatava asjaomase teenuse või tegevuse

sertifikaadi või loa ajutist peatamist või vastava pädevuse olemasolul teha ise nimetatud

toiminguid;

2) ülioluliselt üksuselt juhatuse liikme volituste ajutist peatamist.

(16) Käesoleva paragrahvi lõike 15 punktides 1 ja 2 sätestatud meetmeid kohaldatakse seni, kuni

asjaomane ülioluline üksus võtab vajalikud meetmed puuduste kõrvaldamiseks või Riigi

Infosüsteemi Ameti esitatud nõuete täitmiseks.“;

20 / 28

45) paragrahvi 16 lõikest 2 jäetakse välja tekstiosa „ja käesoleva seaduse § 3 lõike 1 punktis 1

sätestatud teenuse osutaja puhul ka elutähtsa teenuse toimepidevust korraldavat asutust“;

46) paragrahvi 17 täiendatakse lõigetega 11–13 järgmises sõnastuses:

„(11) Riigi Infosüsteemi Ametil on haldusjärelevalve ülesannete täitmisel õigus teha:

1) teenuseosutaja suhtes kohapealset kontrolli ja kaugjärelevalvet, lähtudes käesoleva seaduse § 14

lõike 6 punktidest 2–4, sealhulgas teha üliolulise üksuse suhtes pistelist järelevalvet, mis võib olla

muu hulgas ajendatud olulise mõjuga küberintsidendist või käesolevas seaduses, selle alusel või

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11

alusel vastu võetud rakendusaktis sätestatud nõude rikkumisest;

2) teenuseosutaja suhtes sihipäraseid turvaauditeid, mis põhinevad Riigi Infosüsteemi Ameti või

auditeeritava teenuseosutaja tehtud riskihindamisel või muul kättesaadaval riskiteabel ning mille

kulu kannab muudel kui käesoleva paragrahvi lõike 12 alusel kehtestatud määruses nimetatud

juhtudel teenuseosutaja;

3) vajaduse korral koostöös asjaomase teenuseosutajaga objektiivsetel, mittediskrimineerivatel,

õiglastel ja läbipaistvatel riskihindamise kriteeriumidel põhinevaid turvalisuse kontrolle;

4) teenuseosutajale hoiatus, kui teenuseosutaja rikub käesolevat seadust, selle alusel või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis sätestatud nõuet;

5) ettekirjutus, millega nõutakse ettekirjutuse saajalt sellise tegevuse või tava lõpetamist, millega

rikutakse käesolevas seaduses, selle alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud

nõuet, ning sama tegevuse või tava kasutamisest hoidumist;

6) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse §-s 7 sätestatud ning selle

alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 alusel vastu

võetud rakendusaktis sätestatud nõuete järgimist, ning käesoleva seaduse §-s 8 sätestatud teate

esitamist nimetatud paragrahvis viidatud viisil ja määratud tähtajal;

7) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesoleva seaduse § 8 lõikes 5 sätestatud

teavitamist;

8) ettekirjutus, millega nõutakse ettekirjutuse saajalt turvaauditi põhjal antud soovituste

rakendamist mõistliku aja jooksul;

9) ettekirjutus, millega nõutakse ettekirjutuse saajalt käesolevas seaduses, selle alusel või Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel

vastu võetud rakendusaktis sätestatud nõude rikkumise asjaolude avalikustamist ettekirjutuses ette

nähtud viisil;

10) üliolulisele üksusele ettekirjutus, millega nõutakse ettekirjutuse saajalt kindlaks määratud

perioodiks vastavushalduri määramist, kes jälgib, kas ettekirjutuse adressaat täidab käesoleva

seaduse §-des 7 ja 8 ning nende alusel või Euroopa Parlamendi ja nõukogu direktiivi (EL)

2022/2555 artikli 21 lõike 5 või artikli 23 lõike 11 alusel vastu võetud rakendusaktis sätestatud

nõuet.

(12) Käesoleva paragrahvi lõike 11 punktis 2 nimetatud sihipärase turvaauditi korraldamise

täpsemad tingimused ja korra, sealhulgas loetelu olukordadest, mille puhul Riigi Infosüsteemi

Amet hüvitab teenuseosutajale turvaauditi kulu, ning turvaauditi kulu hüvitamise korra sätestab

riikliku küberturvalisuse valdkonna eest vastutav minister määrusega.

21 / 28

(13) Käesoleva paragrahvi lõike 11 punktis 5 nimetatud üliolulisele üksusele tehtud ettekirjutus võib

sisaldada ka küberintsidendi ennetamiseks või heastamiseks ette nähtud turvameetmeid ning

nõudeid turvameetmete rakendamise tähtaja ja rakendamisest teavitamise kohta.“;

47) paragrahvi 171 tekst muudetakse ja sõnastatakse järgmiselt:

„Ettekirjutuse täitmata jätmise korral on asendustäitmise ja sunniraha seaduses sätestatud korras

rakendatava sunniraha kohaldamise igakordne ülemmäär 7 000 000 eurot või kuni 1,4 protsenti

teenuseosutaja eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest,

kumb summa on suurem.“;

48) seaduse 4. peatükki täiendatakse §-ga 173 järgmises sõnastuses:

㤠173. Vastastikune abi

(1) Kui üksus osutab teenuseid mitmes Euroopa Liidu liikmesriigis või kui ta osutab teenuseid ühes

või mitmes Euroopa Liidu liikmesriigis, kuid tema süsteemid asuvad ühes või mitmes muus

Euroopa Liidu liikmesriigis, teevad Riigi Infosüsteemi Amet ning Euroopa Parlamendi ja nõukogu

direktiivi (EL) 2022/2555 artikli 8 alusel teises Euroopa Liidu liikmesriigis nimetatud pädevad

asutused koostööd ning vajaduse korral abistavad üksteist.

(2) Riigi Infosüsteemi Amet annab teise Euroopa Liidu liikmesriigi järelevalveasutuse põhjendatud

taotluse korral kõnealusele teisele järelevalveasutusele enda käsutuses olevate ressurssidega

proportsionaalset abi, et järelevalve- või täitemeetmeid saaks rakendada tulemuslikult, tõhusalt ja

järjekindlalt. Vastastikune abi võib hõlmata eelkõige teabepäringuid ja järelevalvemeetmeid,

sealhulgas taotlusi teha kohapealseid kontrolle, kaugjärelevalvet või sihipäraseid turvaauditeid.

(3) Käesoleva paragrahvi lõikes 1 nimetatud juhul võib Riigi Infosüsteemi Amet esitada käesoleva

paragrahvi lõikes 2 osutatud abitaotluse Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artikli 8 alusel nimetatud pädevale asutusele teises Euroopa Liidu liikmesriigis.

(4) Riigi Infosüsteemi Amet võib teise Euroopa Liidu liikmesriigi poolt Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artikli 8 alusel nimetatud pädeva asutuse esitatud abitaotluse

tagasi lükata, kui:

1) Riigi Infosüsteemi Amet ei ole pädev taotletavat abi andma;

2) taotletav abi ei ole proportsionaalne Riigi Infosüsteemi Ameti ülesannetega või

3) taotlus puudutab teavet või tegevust, mis avalikustamise või elluviimise korral oleks vastuolus

oluliste riikliku julgeoleku, avaliku julgeoleku või riigikaitsehuvidega.

(5) Enne abitaotluse tagasilükkamist konsulteerib Riigi Infosüsteemi Amet teiste asjaomaste

pädevate asutustega ning ühe asjaomase Euroopa Liidu liikmesriigi taotluse korral ka Euroopa

Komisjoni ja Euroopa Liidu Küberturvalisuse Ametiga.

(6) Arvestades käesolevas seaduses nimetatud järelevalvemeetmeid, võib Riigi Infosüsteemi Amet

rakendada ühiseid järelevalve- ja täitemeetmeid, millesse on kaasatud Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/2555 artikli 8 alusel nimetatud pädeva asutuse töötajad või

ametnikud. Asutused lepivad omavahel kokku ühistegevuse korra ja toimingud.

22 / 28

(7) Kui Eesti saab seoses digitaalse teenuse osutajaga vastastikuse abi taotluse, võib Riigi

Infosüsteemi Amet võtta taotluses nimetatud digitaalse teenuse osutaja suhtes, kes osutab teenuseid

või haldab süsteeme Eesti Vabariigi territooriumil, taotluse ulatuses asjakohaseid järelevalve- ja

täitemeetmeid.“;

49) seadust täiendatakse 41. peatükiga järgmises sõnastuses:

„41. peatükk

Koostöö, teabevahetus ja vastastikune hindamine

§ 174. Riigi Infosüsteemi Ameti ja julgeolekuasutuse koostööülesanded

(1) Riigi Infosüsteemi Amet ja julgeolekuasutus teevad oma ülesannete täitmise käigus koostööd

järgmiste asutuste ning kogukondadega:

1) Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 300/2008 kohased riiklikud asutused;

2) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 kohased järelevalveasutused;

3) Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1139, mis käsitleb tsiviillennunduse

valdkonna ühisnorme ja millega luuakse Euroopa Liidu Lennundusohutusamet ning millega

muudetakse Euroopa Parlamendi ja nõukogu määrusi (EÜ) nr 2111/2005, (EÜ) nr 1008/2008, (EL)

nr 996/2010, (EL) nr 376/2014 ja Euroopa Parlamendi ja nõukogu direktiive 2014/30/EL ning

2014/53/EL ning tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu määrused (EÜ) nr

552/2004 ja (EÜ) nr 216/2008 ning nõukogu määrus (EMÜ) nr 3922/91 (ELT L 212, 22.08.2018,

lk 1–122), kohased riiklikud asutused;

4) Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 kohased pädevad asutused;

5) isikuandmete kaitse järelevalve asutused;

6) julgeolekuasutus;

7) muude Euroopa Liidu õigusaktide kohased pädevad asutused;

8) Tarbijakaitse ja Tehnilise Järelevalve Amet;

9) teenuseosutajate sektoripõhised või -vahelised kogukonnad, sealhulgas vahetatakse vajaduse

korral nendega teavet, arvestades käesoleva seaduse §-s 175 sätestatud nõudeid;

10) õiguskaitseasutused isikuandmete kaitse seaduse tähenduses.

(2) Riigi Infosüsteemi Amet teeb igakülgset koostööd elutähtsat teenust korraldava asutuse või

tema poolt hädaolukorra seaduse § 37 lõike 5 alusel määratud asutuse, Päästeameti ja

Riigikantseleiga ning vahetab elutähtsa teenuse osutajatega teavet teatatud riskide, küberohtude,

küberintsidentide ja olulise mõjuga küberintsidentide kohta ning elutähtsa teenuse osutajana

käsitatavaid üliolulisi üksusi mõjutavate muude kui riskide, küberohtude ja küberintsidentide kohta

ning selliste riskide, ohtude ja intsidentide lahendamiseks võetud meetmete kohta. Lisaks teavitab

Riigi Infosüsteemi Amet nimetatud asutust, kui Riigi Infosüsteemi Amet rakendab riikliku või

haldusjärelevalve käigus elutähtsa teenuse osutaja suhtes järelevalvemeedet. Sama asutus võib

asjakohasel juhul taotleda Riigi Infosüsteemi Ametilt riikliku või haldusjärelevalve menetluses ette

nähtud järelevalvemeetme rakendamist elutähtsa teenuse osutaja suhtes.

(3) Riigi Infosüsteemi Amet teavitab Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554

artikli 32 lõike 1 kohaselt asutatud järelevalvefoorumit, kui Riigi Infosüsteemi Amet rakendab

riikliku järelevalve käigus järelevalvemeedet, et tagada käesoleva seaduse kohaldamisalasse

23 / 28

kuuluva ja nimetatud määruse artikli 31 alusel kriitilise tähtsusega kolmandast isikust IKT-teenuse

osutajaks määratud teenuseosutaja vastavus käesolevas seaduses või käesoleva seaduse alusel

kehtestatud nõuetele.

(4) Riigi Infosüsteemi Amet ja käesoleva paragrahvi lõike 1 punktides 2, 4, 6 ja 8 nimetatud

asutused vahetavad korrapäraselt asjakohast teavet, sealhulgas asjaomaste küberintsidentide ja

küberohtude kohta.

(5) Riigi Infosüsteemi Amet täidab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555

artikli 8 lõike 1 alusel määratud pädeva asutusena sidepidamisfunktsiooni, et tagada Eesti

ametiasutuste piiriülene koostöö küberturvalisuse valdkonnas teiste Euroopa Liidu liikmesriikide

asjaomaste pädevate asutustega ning asjakohasel juhul ka Euroopa Komisjoni ja Euroopa Liidu

Küberturvalisuse Ametiga.

(6) Teabe vahetamisel tagatakse edastatava teabe turvalisus ja asjakohasel juhul kasutatakse kokku

lepitud teabevahetusprotokolle, sealhulgas valgusfoorprotokolli.

§ 175. Küberturvalisusalase teabevahetuse kokkulepped

(1) Teenuseosutajad ja muud isikud võivad omavahel vabatahtlikult vahetada asjakohast teavet

küberturvalisuse kohta, sealhulgas teavet, mis on seotud küberohtude, turvahaavatavuse, meetodite

ja menetluste, turvarikkemärkide, kahjulike taktikate, üksikute ohusubjektide ja küberturvalisuse

hoiatustega ning soovitustega küberturvalisuse vahendite konfigureerimise kohta küberrünnete

tuvastamiseks, kui selline teabevahetus:

1) toimub küberintsidentide ennetamise, tuvastamise, lahendamise või nende tagajärgede

leevendamise eesmärgil või

2) aitab suurendada küberturvalisust, eelkõige suurendades teadlikkust küberohtudest ja piirates

või takistades kõnealuste ohtude levikut ning toetades mitmesuguseid kaitsevõimalusi,

turvahaavatavuse vähendamist ja avalikustamist, ohu tuvastamise, ohjamise ning ennetamise

meetodeid, leevendusstrateegiaid, lahendamis- ja taastamisetappe ning avaliku ja erasektori

üksuste koostöös toimuvat küberohtude uurimist.

(2) Käesoleva paragrahvi lõikes 1 nimetatud teabevahetus toimub küberturvalisusalase

teabevahetuse kokkuleppe (edaspidi teabevahetuse kokkulepe) alusel. Teabevahetuse

kokkuleppeid võib olla rohkem kui üks.

(3) Teabevahetuse kokkuleppes võib täpsustada teabevahetuse korraldusega seotud tegevuste sisu,

sealhulgas sihtotstarbeliste info- ja kommunikatsioonitehnoloogia platvormide ja

automatiseerimisvahendite kasutamist ning muud sisu ja tingimusi, arvestades jagatava teabe

konfidentsiaalsust.

(4) Riigi Infosüsteemi Amet võib enda poolt teabevahetuse kokkuleppe alusel kättesaadavaks

tehtud teabele seada tingimusi, kui teabevahetuse kokkuleppes osaleb keskvalitsuse avaliku

halduse üksus või kohaliku omavalitsuse avaliku halduse üksus.

(5) Teenuseosutaja teavitab Riigi Infosüsteemi Ametit, kui teenuseosutaja on ühinenud

teabevahetuse kokkuleppega või kui teabevahetuse kokkuleppest taganemine on jõustunud.

24 / 28

§ 176. Vastastikune hindamine

(1) Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artiklis 19 sätestatud vastastikuses

hindamises (edaspidi vastastikune hindamine) osalemine on vabatahtlik.

(2) Vastastikuse hindamise käigus hoiavad osalevad küberturvalisuse valdkonna eksperdid

kolmandate isikute eest saladuses neile vastastikuse hindamise käigus teatavaks saanud teavet, kui

seadus ei sätesta samaväärset saladuses hoidmise kohustust.

(3) Riikliku küberturvalisuse valdkonna eest vastutav minister võib kehtestada määrusega

vastastikuses hindamises osalemise täpsemad tingimused ja korra, sealhulgas vastastikuse

hindamise korralduse nõuded, selles osalevate asutuste ülesanded ja vastastikuses hindamises

osalevad isikud.“;

50) paragrahv 18 tunnistatakse kehtetuks;

51) seadust täiendatakse §-dega 182–185 järgmises sõnastuses:

„§ 182. Seaduse nõuete rikkumine üliolulise üksuse poolt

(1) Käesoleva seaduse § 7 lõigetes 1–3, 5 ja 7 või § 8 lõigetes 1, 11, 41–5, 7 ja 81 sätestatud nõuete

rikkumise eest üliolulise üksuse poolt, kui puudub käesoleva seaduse §-s 184 sätestatud

väärteokoosseis –

karistatakse rahatrahviga kuni 10 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üliolulise üksuse eelmise

majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

§ 183. Seaduse nõuete rikkumine olulise üksuse poolt

(1) Käesoleva seaduse § 7 lõigetes 1–3, 5 ja 7 või § 8 lõigetes 1, 11, 41–5, 7 ja 81 sätestatud nõuete

rikkumise eest olulise üksuse poolt, kui puudub käesoleva seaduse §-s 184 sätestatud

väärteokoosseis –

karistatakse rahatrahviga kuni 7 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik –

karistatakse rahatrahviga kuni 7 000 000 eurot või kuni 1,4 protsenti olulise üksuse eelmise

majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

§ 184. Seaduse nõuete rikkumine piiriüleste elektrivoogude valdkonna üksuse poolt

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 2 lõikes 1 nimetatud üksuse

poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 10 000 000 eurot.

25 / 28

(2) Sama teo eest, kui selle on toime pannud juriidiline isik –

karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti üksuse eelmise majandusaasta

ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

§ 185. Seaduse nõuete rikkumine piiriüleste elektrivoogude valdkonna üksuse seadusliku

esindaja poolt

(1) Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366 artikli 15 lõike 1 alusel nimetatud

seadusliku esindaja poolt samas määruses sätestatud nõuete rikkumise eest –

karistatakse rahatrahviga kuni 300 trahviühikut.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik –

karistatakse rahatrahviga kuni 32 000 eurot.“;

52) paragrahvi 19 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Käesoleva seaduse §-des 182–185 sätestatud väärtegude kohtuväline menetleja on Riigi

Infosüsteemi Amet.

(2) Kui käesoleva seaduse §-des 182–185 sätestatud väärtegu on seotud isikuandmete töötlemise

nõuete rikkumisega, kohaldatakse väärteomenetluse puhul isikuandmete kaitse seadust.“;

53) paragrahvi 19 täiendatakse lõikega 4 järgmises sõnastuses:

„(4) Käesoleva seaduse §-des 182–184 sätestatud väärtegude aegumistähtaeg on kolm aastat.“;

54) paragrahv 20 muudetakse ja sõnastatakse järgmiselt:

„§ 20. Riigi Infosüsteemi Ameti ülesanded

(1) Riigi Infosüsteemi Amet koostab käesoleva seaduse § 31 lõikes 2 nimetatud nimekirja kuue kuu

jooksul viidatud lõike jõustumisest arvates.

(2) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 31 lõigetes 5–7 nimetatud teabe kuue kuu

jooksul viidatud lõigete jõustumisest arvates.

(3) Riigi Infosüsteemi Amet edastab käesoleva seaduse § 12 lõike 41 kohase esimese koondaruande

kolme kuu jooksul viidatud lõike jõustumisest arvates.“;

55) seadust täiendatakse §-dega 281 ja 282 järgmises sõnastuses:

„§ 281. Teenuseosutaja tegevuse kooskõlla viimine käesoleva seadusega seoses Euroopa

Parlamendi ja nõukogu direktiivi (EL) 2022/2555 ülevõtmisega

(1) Teenuseosutaja, kes vastas enne käesoleva seaduse § 31 lõike 1 jõustumist käesolevas seaduses

sätestatud teenuseosutaja tunnustele, täidab käesoleva seaduse § 31 lõikes 1 sätestatud kohustuse

kolme kuu jooksul viidatud lõike jõustumisest arvates.

26 / 28

(2) Digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 4 lõike 7 jõustumist käesolevas

seaduses sätestatud teenuseosutaja tunnustele, täidab käesoleva seaduse § 4 lõigetes 1 ja 10

sätestatud kohustused kolme kuu jooksul käesoleva seaduse § 4 lõike 7 jõustumisest arvates.

(3) Teenuseosutaja, sealhulgas digitaalse teenuse osutaja, kes vastas enne käesoleva seaduse § 31

lõike 1 jõustumist käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse

käesoleva seaduse ja selle alusel kehtestatud nõuetega vastavusse kolme aasta jooksul viidatud

lõike jõustumisest arvates. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab

teenuseosutaja käesoleva paragrahvi lõigetes 1 ja 2 määratud tähtajal.

(4) Elutähtsa teenuse osutaja, kellel tekkis esmakordselt käesoleva seaduse järgimise kohustus

pärast 2024. aasta 18. oktoobrit ja kes vastas enne käesoleva seaduse § 31 lõike 1 jõustumist

käesolevas seaduses sätestatud teenuseosutaja tunnustele, viib oma tegevuse vastavusse käesoleva

seaduse ja selle alusel kehtestatud nõuetega hädaolukorra seaduse § 38 lõike 13 punktis 3 sätestatud

korras määratud tähtajal. Käesoleva paragrahvi lõigetes 1 ja 2 sätestatud kohustuse täidab elutähtsa

teenuse osutaja käesoleva paragrahvi lõigetes 1 ja 2 määratud tähtajal.

§ 282. Küberturvalisuse taseme tõstmise toetus

(1) Et saavutada Eestis küberturvalisuse ühtlaselt kõrge tase, on teenuseosutajatel õigus taotleda

enda küberturvalisuse taseme parandamiseks küberturvalisuse taseme tõstmise toetust (edaspidi

toetus). Toetust on võimalik taotleda ka muudel isikutel, kes soovivad käesoleva seaduse nõudeid

täita või enda küberturvalisuse taset parandada.

(2) Toetust saab taotleda kuni toetuse eelarve ammendumiseni.

(3) Toetuse taotlemise, andmise, kasutamise ja tagasinõudmise tingimused ning kord kehtestatakse

riigieelarve seaduse §-s 531 sätestatud korras riikliku küberturvalisuse valdkonna eest vastutava

ministri määrusega.”;

56) seaduse normitehniline märkus muudetakse ja sõnastatakse järgmiselt:

„Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada

küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014

ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148

(küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152)“.

§ 2. E-identimise ja e-tehingute usaldusteenuste seaduse muutmine

E-identimise ja e-tehingute usaldusteenuste seaduse § 4 tunnistatakse kehtetuks.

§ 3. Eesti Rahvusringhäälingu seaduse muutmine

Eesti Rahvusringhäälingu seaduse § 5 lõige 21 ja § 34 lõige 41 tunnistatakse kehtetuks.

§ 4. Elektroonilise side seaduse muutmine

27 / 28

Elektroonilise side seaduse § 872, § 1003 lõige 3, § 1004 lõige 2, § 1005 lõige 2, § 133 lõige 5,

§ 1701 ja § 188 lõige 8 tunnistatakse kehtetuks.

§ 5. Hädaolukorra seaduse muutmine

Hädaolukorra seaduses tehakse järgmised muudatused:

1) paragrahvi 38 lõike 13 punkti 3 täiendatakse pärast lauseosa „seaduse §-s 41“ lauseosaga „ning

küberturvalisuse seaduses“;

2) paragrahvi 38 lõikes 14 asendatakse tekstiosa „§ 41 lõikes 1“ tekstiosaga „küberturvalisuse

seaduses“;

3) paragrahvi 41 lõige 1 tunnistatakse kehtetuks.

§ 6. Käibemaksuseaduse muutmine

Käibemaksuseaduse § 4 lõikes 12 asendatakse sõna „küberturvalisuse“ sõnaga „tarbijakaitse“.

§ 7. Lennundusseaduse muutmine

Lennundusseaduses tehakse järgmised muudatused:

1) paragrahvi 5025 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Maapealne teenindaja ja omakäitleja täidavad lennujaama haldaja kasutatava asjakohase

võrgu- ja infosüsteemi turvalisuse tagamiseks küberturvalisuse seaduse nõudeid ulatuses, milles

nende tegevus või tegevusetus mõjutab selle süsteemi turvalisust.

(2) Maapealne teenindaja ja omakäitleja teevad lennujaama haldajaga koostööd käesoleva

paragrahvi lõikes 1 sätestatud süsteemi turvalisuse tagamisel.“;

2) paragrahv 591, § 601 lõige 5 ja § 6056 lõige 3 tunnistatakse kehtetuks.

§ 8. Raudteeseaduse muutmine

Raudteeseaduses tehakse järgmised muudatused:

1) paragrahv 8, § 143 lõike 1 punkt 6 ja lõige 8 tunnistatakse kehtetuks;

2) paragrahvi 148 tekstist jäetakse välja tekstiosa „, Riigi Infosüsteemide Amet“.

§ 9. Sadamaseaduse muutmine

Sadamaseaduse § 13 lõige 4 ja § 42 lõige 5 tunnistatakse kehtetuks.

28 / 28

§ 10. Tervishoiuteenuste korraldamise seaduse muutmine

Tervishoiuteenuste korraldamise seaduse § 10 lõige 2, § 17 lõige 12, § 22 lõige 42 ja § 60 lõige 2

tunnistatakse kehtetuks.

§ 11. Seaduse jõustumine

Käesolev seadus jõustub 2026. aasta 1. jaanuaril.

Lauri Hussar

Riigikogu esimees

Tallinn, 2025

Algatab Vabariigi Valitsus

1 / 186

19.08.2025

Küberturvalisuse seaduse ja teiste seaduste muutmise seaduse

(küberturvalisuse 2. direktiivi ülevõtmine) eelnõu seletuskiri

Sisukord 1. Sissejuhatus ................................................................................................................................ 2

1.1. Sisukokkuvõte ..................................................................................................................... 2

1.2. Eelnõu ettevalmistajad ....................................................................................................... 4

1.3. Märkused ............................................................................................................................. 4

2. Seaduse eesmärk ........................................................................................................................ 8

3. Eelnõu sisu ja võrdlev analüüs ............................................................................................... 14

3.1. Eelnõu sisu analüüs .............................................................................................................. 14

§ 1. Küberturvalisuse seaduse muudatused .......................................................................... 14

§ 2. E-identimise ja e-tehingute usaldusteenuste seaduse muudatus ................................ 145

§ 3. Eesti Rahvusringhäälingu seaduse muudatused .......................................................... 145

§ 4. Elektroonilise side seaduse muudatused ...................................................................... 146

§ 5. Hädaolukorra seaduse muudatused ............................................................................. 147

§ 6. Käibemaksuseaduse muudatused ................................................................................. 148

§ 7. Lennundusseaduse muudatused .................................................................................... 148

§ 8. Raudteeseaduse muudatused ......................................................................................... 151

§ 9. Sadamaseaduse muudatused ......................................................................................... 152

§ 10. Tervishoiuteenuste korraldamise seaduse muudatused ............................................ 152

§ 11. Seaduse jõustumine ...................................................................................................... 152

3.2. Eelnõu põhiseaduspärasuse analüüs ................................................................................. 152

4. Eelnõu terminoloogia ............................................................................................................ 154

5. Eelnõu vastavus Euroopa Liidu õigusele ............................................................................. 158

6. Seaduse mõjud ....................................................................................................................... 158

6.1. Kavandatav muudatus: riskijuhtimismeetmete ehk turvameetmete rakendamise nõue ... 164

6.2. Kavandatav muudatus: küberintsidentidest teatamise nõue ............................................. 170

6.3. Kavandatav muudatus: teenuseosutaja juhatuse liikme kohustused ................................ 173

6.4. Kavandatav muudatus: järelevalveasutuse teavitamine üksuse andmetest ...................... 175

6.5. Kavandatav muudatus: pädevate asutuste ja ülesannete määramine ................................ 176

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud

ja tulud ........................................................................................................................................ 177

7.1. Vabariigi Valitsus ning Justiits- ja Digiministeerium ...................................................... 178

7.2. Riigi Infosüsteemi Amet ................................................................................................... 178

2 / 186

7.3. Julgeolekuasutus ............................................................................................................... 180

7.4. Muu tugi, koolitus ja toetused .......................................................................................... 180

8. Rakendusaktid ....................................................................................................................... 182

8.1. Uued rakendusaktid ....................................................................................................... 182

8.2. Muudetavad rakendusaktid .......................................................................................... 183

9. Seaduse jõustumine ............................................................................................................... 184

10. Kaasamine ............................................................................................................................ 184

1. Sissejuhatus

1.1. Sisukokkuvõte Tehnoloogia kiire areng, võrgu- ja infosüsteemide kasvav keerukus ning internetti ühendatud

seadmete suurenev arv muudavad küberturvalisuse üha olulisemaks valdkonnaks. Nii COVID-19

kriisi ajal kui ka sellele järgnenud aastate geopoliitiliste sündmuste ning kriiside tõttu on Euroopa

Liidus, sealhulgas Eestis, kasvanud nii küberrünnakute arv kui ka nende keerukus.

Olukorda arvestades on vaja saavutada ühtlaselt kõrgem küberturvalisuse tase Eestis, et tagada

ning järk-järgult suurendada küberturvalisuse kõrget taset ka kogu Euroopa Liidus. Seetõttu

võetakse eelnõukohase seadusega üle Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a

direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge

tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972

ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (edaspidi

NIS2-direktiiv)1. NIS2-direktiiviga lahendatakse endise küberturvalisuse valdkonna direktiivi

(Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/1148; edaspidi direktiiv (EL) 2016/1148)

rakendamise kitsaskohti ning ühtlustatakse reegleid, kuidas hallata digitaalsete lahenduste järjest

enama kasutuselevõtuga kaasnevaid küberohte. NIS2-direktiivi eesmärk on saavutada

küberturvalisuse ühtlaselt kõrge tase kogu Euroopa Liidus, et parandada siseturu toimimist.

NIS2-direktiiv võetakse üle ennekõike küberturvalisuse seadusega, kuid muudatusi tehakse ka

muudes seadustes: e-identimise ja e-tehingute usaldusteenuse seadus, Eesti Rahvusringhäälingu

seadus, elektroonilise side seadus, hädaolukorra seadus, käibemaksuseadus, lennundusseadus,

raudteeseadus, sadamaseadus ning tervishoiuteenuste korraldamise seadus. Neis tehtavad

muudatused on paljuski tehnilised. Muudatusi tegemata ei ole võimalik NIS2-direktiivi üle võtta

ega rakendada.

NIS2-direktiivi ülevõtmiseks ei ole vaja Eesti õigust palju muuta, kuna kehtiv küberturvalisuse

seadus ja ka selle alusel kehtestatud määrused reguleerivadki suuremas osas NIS2-direktiivi

küberturvalisuse nõudeid. Sellegipoolest on teemasid ja valdkondi, mis ei ole Eestis reguleeritud,

ning just nendele seaduseelnõu keskendubki. NIS2-direktiiv võetakse üle minimaalsel võimalikul

määral, arvestades riigi eripäraga. Seetõttu ei ole eelnõus muid uusi nõudeid, mis tekitaksid

küberturvalisuse seaduse subjektidele uusi kohustusi.

Eelnõukohase seadusega tehtav peamine muudatus on küberturvalisuse seaduse kohaldamisalasse

kuuluvate isikute (ennekõike juriidiliste isikute, kuid ei ole välistatud ka füüsilisest isikust

1 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0080.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC

3 / 186

ettevõtjate) loetelu täiendamine. Küberturvalisuse seaduse nõudeid peavad järgima praegu umbes

3500 subjekti ning eelnõuga lisandub neile (esialgsel hinnangul) veel umbes 3000 (+/–10%)

subjekti (üksust). Seaduse kohaldamisala täiendatakse ainult NIS2-direktiiviga ette nähtud

subjektidega, et suurendada ühiskonna toimimise seisukohast vajalike organisatsioonide

küberturvalisuse taset.

Mainitud loetellu lisatud uued subjektid peavad samuti hakkama tegelema küberturvalisuse

tagamisega ehk rakendama turvameetmeid ning olulise mõjuga küberintsidendi korral teavitama

sellest järelevalveasutust. Lisaks muutub turvameetmete rakendamise loogika – kui seniste nõuete

kohaselt tuleb neid meetmeid üldjuhul erasektoris rakendada konkreetse teenuse (tegevuse) suhtes,

siis NIS2-direktiiv näeb ette, et edaspidi tuleb neid meetmeid rakendada subjekti kogu

organisatsiooni suhtes. Lisanduvatele subjektidele nähakse ette üleminekuaeg kolm aastat, mille

jooksul tuleb viia oma tegevus küberturvalisuse seaduse turvameetmete kasutusele võtmise ja

küberturvalisuse tagamise nõudega kooskõlla. Elutähtsa teenuse osutajate suhtes kohaldub erand –

nemad lähtuvad kehtiva õiguse ehk hädaolukorra seaduse tõttu kuni viieaastasest tähtajast. Lisaks

peavad subjektid teatama Riigi Infosüsteemi Ametile oma tegevuse andmed kolme kuu jooksul.

Uutele subjektidele kehtivate ja eelnõukohases seaduses sätestatud nõuete täitmisega tekkivaid

kulusid on keeruline analüüsida. Majanduslik mõju igale subjektile on väga erinev ning seda ei ole

praegu võimalik mõistlikult hinnata. Turvameetmete rakendamise rahaline kulu sõltub subjekti

kasutatavate süsteemide hulgast ja keerukusest ning varem rakendatud turvameetmetest (subjekti

vastutustundlikkusest oma IT-lahenduste kasutamisel või muudest nõuetest, näiteks isikuandmete

töötlemiseks rakendatud tehnilistest ja korralduslikest meetmetest turvalisuse tagamiseks).

Rakendamiseks vajaliku kulu majanduslik mõju subjektile sõltub omakorda selle kulu osakaalust

subjekti eelarves, ennekõike IT-lahendustega seotud eelarves.

Eelnõukohase seadusega nähakse ette ka toetusmeede, millega oleks võimalik lisanduvaid või juba

kehtivaid nõudeid täita. Toetusmeede on mõeldud nii KüTSi subjektidele kui ka muudele isikutele,

kes soovivad küberturvalisuse seaduse nõudeid täita või oma küberturvalisust parandada. Lisaks

loodavale toetusmeetmele on võimalik kasutada muid olemasolevaid toetusmeetmeid. Samuti on

igaühel võimalik tutvuda suuniste, õpetuste ja juhenditega asjakohastel võrgulehtedel ning läbida

tasuta kursusi (nt Digiriigi Akadeemia kaudu), mis aitavad igaühe küberturvalisust parandada.

Lisaks on kavas luua uusi kursusi ja koolitusi.

Samuti luuakse küberturvalisuse seaduses õigusnormid, mis võimaldavad rakendada Euroopa

Komisjoni 11. märtsi 2024. a delegeeritud määrust (EL) 2024/1366, millega täiendatakse Euroopa

Parlamendi ja nõukogu määrust (EL) 2019/943 ning kehtestatakse võrgueeskiri piiriüleste

elektrivoogude küberturvalisust käsitlevate sektoripõhiste normide kohta (edaspidi delegeeritud

määrus (EL) 2024/1366). Nende alusel määratakse Riigi Infosüsteemi Amet pädevaks asutuseks,

mis vastutab talle delegeeritud määruses (EL) 2024/1366 sätestatud ülesannete täitmise eest. Kui

Riigi Infosüsteemi Ametit pädevaks asutuseks ei määrataks, oleks see Eesti oludes automaatselt

Konkurentsiamet, millel aga puudub küberturvalisuse valdkonnas kompetents delegeeritud

määruses (EL) 2024/1366 sätestatud ülesannete täitmiseks. Arvestades Konkurentsiameti ja Riigi

Infosüsteemi Ameti praegusi ülesandeid, ei oleks Konkurentsiametile pädeva asutuse ülesande

andmine ka mõistlik. Eelnõus sätestatakse võimalus vajaduse korral edasi delegeerida delegeeritud

määruse (EL) 2024/1366 artikli 39 lõikes 1, artikli 40 lõikes 4 ning artikli 41 lõigetes 1 ja 2

sätestatud ülesanded. Eelnõu koostamise ajal delegeerimise volitusnormi kasutamist ei arutatud,

kuid selline võimalus on tulevikus.

4 / 186

Seaduseelnõuga kavandatavad muudatused on plaanis jõustada 2026. aasta 1. jaanuaril. See

võimaldab ette valmistada ka eelnõuga seotud määruste kavandeid ja võtta need määrustena vastu.

1.2. Eelnõu ettevalmistajad Eelnõu on koostanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse talituse

küberturvalisuse õigusnõunik Raavo Palu ([email protected]) ja advokaadibüroo NOVE

esindajad (Sten Tikerpe, Indrek Niklus, Kristiina Koll, Klen Teder) koostöös Riigi Infosüsteemi

Ameti õigusosakonna õigusnõuniku Sander Pelisaare ning Küberturvalisuse Keskuse

teenistujatega. Eelnõu ja seletuskirja on keeleliselt toimetanud Justiits- ja Digiministeeriumi

õigusloome korralduse talituse toimetajad Merike Koppel ([email protected]), Inge

Mehide ([email protected]) ja Aili Sandre ([email protected]).

1.3. Märkused Eelnõu on seotud muude menetluses olnud ja olevate eelnõudega.

NIS2-direktiiv avaldati ühises paketis teiste õigusaktidega:

1) Euroopa Parlamendi ja nõukogu määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset

tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr

600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1–79). Käsitleb muu

hulgas liikmesriikide küberturvalisuse pädevate asutuste koostööd (edaspidi DORA määrus)2;

2) Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2556, millega muudetakse direktiive

2009/65/EÜ, 2009/138/EÜ, 2011/61/EL, 2013/36/EL, 2014/59/EL, 2014/65/EL, (EL) 2015/2366

ja (EL) 2016/2341 seoses finantssektori digitaalse tegevuskerksusega (seotud DORA määruse

rakendamisega)3;

3) Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2557, mis käsitleb elutähtsa teenuse

osutajate toimepidevust ja millega tunnistatakse kehtetuks nõukogu direktiiv 2008/114/EÜ

(edaspidi CER-direktiiv)4.

Nimetatud õigusaktid on mõneti seotud NIS2-direktiivi ja selle rakendamisega.

DORA määruse ja direktiivi arutelu Riigikogus oli seotud Finantsinspektsiooni seaduse ja teiste

seaduste muutmise seadusega (eelnõu nr 422 SE). Sellega tagatakse finantssektori tegevust

reguleeriva riigisisese õiguse kooskõla finantsasutustele kohalduvate Euroopa Liidu digitaalse

tegevuskerksuse nõuetega. DORA määrusega luuakse erikord finantssektori mõningatele

organisatsioonidele, mis NIS2-direktiivi põhiliste nõuete (riskijuhtimise meetmete rakendamise

ning küberintsidentidest teavitamise nõue) asemel peavad järgima DORA määruse nõudeid.

Eelnõuga nr 422 SE kavandatud muudatused avaldati Riigi Teatajas 11. oktoobril 2024 ning need

jõustusid üldkorras (21.10.2024 jõustus kindlustustegevuse seaduse § 179 lg 1 p 2 muudatus).

Ülejäänud muudatused jõustusid 17. jaanuaril 2025.

CER-direktiiv võeti üle hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste

muutmise seadusega (eelnõu nr 426 SE). Seos CER-direktiiviga tuleneb asjaolust, et asutus või

isik, kes määratakse edaspidi elutähtsa teenuse osutajaks CER-direktiivi tähenduses, kuulub

2 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0001.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC 3 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0153.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC 4 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0164.01.EST&toc=OJ%3AL%3A2022%3A333%3ATOC

5 / 186

automaatselt ka NIS2-direktiivi kohaldamisalasse. Sama põhimõte on kavas jätta kehtima ka

tsiviilkriisi ja riigikaitse seaduse eelnõu kohaselt (eelnõude infosüsteemi toimik nr 21-0915, mis

algatati Riigikogus 02.06.2025 tsiviilkriisi ja riigikaitse seaduse eelnõuna nr 668 SE5). Eelnõuga

nr 426 SE kavandatud muudatused avaldati Riigi Teatajas 8. oktoobril 2024 ning need jõustusid

18. oktoobril 2024, sh mõned sätted (hädaolukorra seaduse täiendamine §-ga 91 ning § 53

täiendamine lõigetega 9–11) jõustusid üldises korras, kuid praktikas jõustusid need muude

muudatustega samal kuupäeval.

Eelnõukohast seadust ei mõjuta (kuigi järgnevalt viidatud eelnõudes või väljatöötamiskavatsustes

muudetakse ka neid seadusi, mida muudetakse eelnõukohase seadusega):

1. Riigikogus vastu võetud tervishoiuteenuste korraldamise seaduse, töötuskindlustuse seaduse

muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse ning töövõimetoetuse seaduse

muutmise seaduse eelnõu nr 604 SE;6

2. Riigikogus arutatav hädaolukorra seaduse ja teiste seaduste muutmise seaduse eelnõu nr 662

SEd;7

3. Riigikogus arutatav hädaolukorra seaduse ja teiste seaduste muutmise seaduse eelnõu nr 635

SEd;8

4. Regionaal- ja Põllumajandusministeeriumi ette valmistatud kohaliku omavalitsuse korralduse

seaduse ja sellega seonduvate seaduste muutmise seadus (eelnõude infosüsteemi toimik 24-0006);9

5. Kliimaministeeriumi algatatud lennundusseaduse ja teiste seaduste muutmise seadus (eelnõude

infosüsteemi toimik 25-0229).10

Majandus- ja Kommunikatsiooniministeeriumil on ettevalmistamisel kosmoseseadus (eelnõude

infosüsteemi toimik 24-0963)11, millega soovitakse teha muudatus küberturvalisuse seaduse

(edaspidi KüTS) kehtiva versiooni § 3 lõikes 1, sh tekitada ristviited KüTSile, mida eelnõukohase

seadusega soovitakse kaotada.

Sotsiaalministeeriumil on ettevalmistamisel inimgeeniuuringute seadus (eelnõude infosüsteemi

toimik 25-0756),12 milles tehakse ristviiteid KüTSile ning muudatusi ka kehtiva KüTSi sätetesse,

mida samuti eelnõukohase seadusega muudetakse. Selle eelnõu eeldatav jõustumisaeg on 1.

jaanuar 2026, kuid tuleb enne viia kõnesoleva eelnõuga vastavusse.

Riigikogus on arutlusel tsiviilkriisi ja riigikaitse seadus (eelnõu nr 668 SE),13 mis teeb muu hulgas

muudatusi eelnõukohase seadusega muudetavates seadustes ning tunnistab hädaolukorra seaduse

kehtetuks. Selle eelnõu eeldatav jõustumisaeg on 1. juuli 2026 ehk pärast eelnõukohase seaduse

jõustumist. Kuigi selle eelnõu § 75 lõike 4 punkt 3 ning lõige 5 arvestavad eelnõukohase seadusega

5 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/679eeee7-62b9-4817-a660-745e6642a8d9/tsiviilkriisi-ja-

riigikaitse-seadus/ 6 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/1b263415-8c5b-47bc-b7f8-2699c47b186f/tervishoiuteenuste-

korraldamise-seaduse-tootuskindlustuse-seaduse-muutmise-ja-sellega-seonduvalt-teiste-seaduste-muutmise-seaduse-

ning-toovoimetoetuse-seaduse-muutmise-seadus/ 7 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/6ee13b43-f1c7-44ab-a3ee-abb51efa8134/hadaolukorra-seaduse-

ja-teiste-seaduste-muutmise-seadus/ 8 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/854df69b-4a04-4ac2-bd27-5431ebcf44f8/hadaolukorra-seaduse-

ja-teiste-seaduste-muutmise-seadus/ 9 https://eelnoud.valitsus.ee/main/mount/docList/345b8b87-0431-4aaa-ad59-6f0e7112fd8b 10 https://eelnoud.valitsus.ee/main/mount/docList/d5d7ce18-2e1c-4a8d-85e2-ebf9bb75bf35 11 https://eelnoud.valitsus.ee/main/mount/docList/c3ba07e8-ccf2-4159-ab17-dd7ecb1d9577 12 https://eelnoud.valitsus.ee/main/mount/docList/7e9ad302-c1c7-4b83-99de-b439bf89bb6f 13 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/679eeee7-62b9-4817-a660-745e6642a8d9/

6 / 186

tehtavaid muudatusi, tuleb selles teha järgmised muudatused:

- eelnõu § 213 (krediidiasutuste seaduse muutmine) punkti 6 sõnastus tuleks üle vaadata

eelnõukohase KüTSi § 1 lõike 4 sõnastuse ning selle selgituste tõttu;

- eelnõu § 217 (KüTSi muutmine) punkti 1 tuleb muuta (sätestades, et eelnõukohase KüTSi viited

hädaolukorra seadusele (vt eelnõu KüTSi § 3 lg 2 p-e 2 ja 7) tuleb muuta viideteks tsiviilkriisi ja

riigikaitse seadusele) ning punkt 2 tuleb välja jätta eelnõukohase KüTSi § 3 lõike 2 punkti 7 tõttu.

Samuti tuleb muuta eelnõukohase KüTSi § 41 lõike 4 esimest lauset ja § 281 lõike 4 esimest lauset

(mõlema puhul asendada tekstiosa „hädaolukorra seaduse § 38 lõike 13 punktis 3“ tekstiosaga

„tsiviilkriisi ja riigikaitse seaduse § 75 lõike 4 punktis 3“) ning eelnõukohase KüTSi § 174 lõike 4

esimest lauset (asendada tekstiosa „hädaolukorra seaduse § 37 lõike 5 alusel määratud asutuse“

tekstiosaga „tsiviilkriisi ja riigikaitse seaduse § 74 lõike 4 alusel määratud asutuse või

ametiasutuse“).

Eelnõukohane seadus on seotud Euroopa Liidu õiguse rakendamisega: võetakse üle NIS2-direktiiv

ning luuakse õigusnormid Euroopa Komisjoni delegeeritud määruse (EL) 2024/1366

rakendamiseks.

Eelnõukohane seadus on seotud 2025–2027 koalitsioonileppe riigikaitse ja julgeoleku valdkonna

eesmärgiga „tagame Eesti digiühiskonna toimepidevuse nii, et teenused on küberturvaliselt

kättesaadavad igas olukorras“ ning tõhusa asjaajamise valdkonna eesmärgiga „võtame Euroopa

Liidu õiguse üle Eestile sobivaimal moel ja teeme Euroopas ettepanekud sobimatute normide

muutmiseks, sealhulgas ettepanek lükata edasi kestlikkusaruandluse esitamine ja muuta need

vabatahtlikuks“.14 Eelnõu väljatöötamise alus on Vabariigi Valitsuse tegevusprogrammi 2023–

2027 ELi direktiivide valdkonna all olev ülesanne „Eelnõu direktiivi (EL) 2022/2555 ülevõtmiseks

(küberturvalisuse 2. direktiiv)“.

Eelnõukohase seadusega muudetakse järgmisi seadusi:

1) küberturvalisuse seadus (RT I, 21.06.2024, 15);

2) e-identimise ja e-tehingute usaldusteenuste seadus (RT I, 03.03.2023, 3);

3) Eesti Rahvusringhäälingu seadus (RT I, 08.10.2024, 2);

4) elektroonilise side seadus (RT I, 02.01.2025, 23);

5) hädaolukorra seadus (RT I, 22.05.2025, 4);

6) käibemaksuseadus (RT I, 02.01.2025, 13);

7) lennundusseadus (RT I, 04.12.2024, 12);

8) raudteeseadus (RT I, 08.10.2024, 16);

9) sadamaseadus (RT I, 17.04.2025, 37);

10) tervishoiuteenuste korraldamise seadus (RT I, 02.01.2025, 78).

Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälte enamus. Käibemaksuseaduses

tehtav muudatus on normitehniline (vt täpsemaid selgitusi allpool) ehk too muudatus ei ole seotud

maksude kehtestamise ega muutmisega.

Vabariigi Valitsuse 22. detsembri 2011. a määruse nr 180 „Hea õigusloome ja normitehnika

eeskiri“ § 1 lõike 2 punkt 2 ei nõua väljatöötamiskavatsust, kui eelnõu käsitleb Euroopa Liidu

õiguse rakendamist ja kui eelnõu aluseks oleva Euroopa Liidu õigusakti eelnõu menetlemisel on

14 https://valitsus.ee/valitsuse-eesmargid-ja-tegevused/valitsemise-alused/koalitsioonilepe-2025-2027

7 / 186

sisu poolest lähtutud sama paragrahvi lõikes 1 sätestatud nõuetest. Avalik konsultatsioon peeti15

ning Eesti on avaldanud oma seisukohad (eelnõude infosüsteemi toimik 20-3668)16 NIS2-direktiivi

algatuse kohta. Eesti seisukohtade seletuskirjas (lk 1) leiti, et NIS2-direktiivi algatuse

muudatustega Eestile kaasnevat mõju saab hinnata keskmiseks. Eelkõige kaasneb mõju

kohaldamisala laienemise, nõuete karmistamise ning halduskoormuse suurenemise tõttu nii

riigiasutustele kui ka ettevõtjatele. Seisukohtade seletuskirjas (lk 10) leiti, et ministeeriumid ja

riigiametid peavad hakkama järgima NIS2-direktiivist tulenevaid kohustusi; samuti ka, et kuigi

„Eesti riigiasutuste küberturvalisus ületab praegugi EL-i poolt sätestatud miinimumstandardit, siis

hiljutised küberrünnakud riigiasutuste suunal näitavad, et täielikku kindlust küberrünnete vastu ei

ole võimalik saavutada, kuid parem ülevaade infosüsteemidest aitab probleeme ära hoida. Üldiselt

võib eeldada, et [NIS2-direktiivi] laienemine avalikule sektorile toob suurema kasuteguri kaasa

nendele LRdele, kus konkreetseid meetmeid riigiasutuste küberturbele ette nähtud ei ole.“

Seisukohtade seletuskirjas (lk 11) leiti ka, et NIS2-direktiiv suurendab pädeva asutuse, st Riigi

Infosüsteemi Ameti töökoormust koos pikemas perspektiivis vajadusega laiendada ameti

koosseisu. Seisukohtade seletuskirjas (lk 12 ja 13) leiti, et teabevahetuse „suurenemine, tehnilise,

operatiivse ja strateegilise koostöö tugevnemine ning poliitikate ühtlustamine aitavad LRdel

paremini intsidentidega toime tulla. Kuna küberintsidentide ja -rünnakute arv on aegamööda

suurenenud ning ettevõtete teadlikkus küberturvalisuse olulisest paranenud, võib eeldada, et

küberturvalisusesse investeerivate ettevõtete arv on kasvamas ka ilma täiendava EL-i tasandi

regulatsioonita. […] Üksustele tuleksid [NIS2-direktiivi] turvanõuete kohustustega olulised

lisakulutused ning kulud kasvavad ka seoses intsidentidest teavitamise korra konkreetsemaks

muutmisega (mis tõenäoliselt tõstab teavituste arvu). Samuti muutub [NIS2-direktiivi] põhjal

trahvide ja karistuste kord, mis võivad nõudeid mitte täitvatele üksustele kaasa tuua mastaapsed

trahvid. […] Peamine kulu ettevõtetele seondus turvanõrkuste hindamise ja analüüsimisega.

Komisjon eeldab, et [NIS2-direktiiviga] kaasatud uutele sektoritele tõusevad IKT-alased kulutused

25%, samas kui juba direktiiviga kaetud sektoritele suurenevad IKT-kulutused ligikaudu 15%. […]

[Riigi Infosüsteemi Ameti] hinnangul peaksid [NIS2-direktiivi] subjektid enda küberturbe

direktiiviga kooskõlla viimiseks tegema mitmeid ühekordseid investeeringuid, millele lisanduksid

püsikulud. Eesti puhul erinevad investeeringute ning püsikulude mahud sektoriti ning ettevõtte

suurust arvestades. Väiksemad üksused, kes ostavad infoturbe ning IT-teenust sisse, teevad rohkem

ühekordseid kulutusi, samas kui suured ettevõtted hoiavad palgal mitmeid (või vähemalt ühte)

küberturbega seotud inimesi. Sama trendi jätkumist võib eeldada [NIS2-direktiivi] puhul, kus

väiksemad üksused tellivad riskianalüüsid kolmandatelt osapooltelt“.

Tuleb arvestada, et pärast nende seisukohtade koostamist tehti KüTSi ja selle alusel antud

määrustesse täiendusi 2022. aastal, mis muu hulgas tegi turvameetmete nõuded samaväärseks

NIS2-direktiivi nõuetega.

Kuna eelnõukohane seadus suurendab halduskoormust (KüTSi täiendatakse uute subjektidega, kes

omakorda peavad KüTSi nõudeid täitma), siis halduskoormuse tasakaalustamine on kavas ette

näha eelnõuga (eelnõude infosüsteemi toimik 25-0715),17 millega muudetakse Vabariigi Valitsuse

9. detsembri 2022. a määrust nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (RT I,

19.06.2024, 12). Nimetatud määruse muutmise eelnõu on seotud nii eelnõukohase seaduse kui ka

15 https://eur-lex.europa.eu/legal-content/ET/HIS/?uri=uriserv:OJ.L_.2022.333.01.0080.01.EST; konkreetsemalt

Euroopa Komisjoni ettepaneku rubriik, dokumendid nr 52020PC0823, 52020SC0345 ja 52020SC0344. Vt ka

https://eur-lex.europa.eu/legal-content/EN/PIN/?uri=celex:52020PC0823 ja https://ec.europa.eu/info/law/better-

regulation/have-your-say/initiatives/12475-Kuberturvalisus-vorgu-ja-infosusteemide-turvalisust-kasitlevate-ELi-

oigusnormide-labivaatamine_et. 16 https://eelnoud.valitsus.ee/main/mount/docList/5c847e1d-42e5-46f8-99d8-d21d144bca61 17 https://eelnoud.valitsus.ee/main/mount/docList/7d3ea848-35b2-47d8-8eb8-fa2f735c3da6

8 / 186

selle lisades olevate määruste muutmisega, kuna on seotud samuti NIS2-direktiivi ülevõtmisega.

2. Seaduse eesmärk Seadusega võetakse Eesti õigusesse üle NIS2-direktiiv ning sätestatakse delegeeritud määruse (EL)

2024/1366 artikli 4 lõike 1 alusel volitusnorm pädeva asutuse määramiseks. Pädevaks asutuseks

saab Riigi Infosüsteemi Amet. Eelnõukohase seadusega on kavas sätestada ka Vabariigi

Valitsusele võimalus vajaduse korral edasi delegeerida komisjoni delegeeritud määruse (EL)

2024/1366 artikli 39 lõikes 1, artikli 40 lõikes 4 ning artikli 41 lõigetes 1 ja 2 sätestatud ülesanded.

Esimene küberturvalisuse direktiiv ehk direktiiv (EL) 2016/1148 sillutas paljudes liikmesriikides

teed mõtteviisi olulisele muutusele, pani aluse institutsioonilise ja regulatiivse lähenemisviisi

kujunemisele küberturvalisuse valdkonnas ning see on andnud märkimisväärseid tulemusi.

Direktiivi ülevõtmisel otsustati, et Eesti õigusruumis on vaja eraldi õigusaktiga ehk KüTSiga

sätestada riigisisesed meetmed ühiskondliku ja majandustegevuse säilitamise seisukohast oluliste

võrgu- ja infosüsteemide turvalisuse tagamiseks. Nende hulka kuuluvad ka võrgu- ja

infosüsteemid, mis on vajalikud riigi ja kohaliku omavalitsuse üksuste töö toimimiseks. Toona

sätestati KüTSis direktiivi (EL) 2016/1148 kohased kohustused ja Riigi Infosüsteemi Ameti kui

pädeva asutuse õigused teha järelevalvet ning koordineerida küberintsidentide ennetamist,

tuvastamist ja lahendamist. Selle direktiivi rakendamisega pidi tugevnema ja ühtlustuma

küberturbealane koostöö liikmesriikide vahel. Eesti jaoks on oluline, et küberturbe valdkonnas

jagataks vastastikku rohkem kogemusi, oskusi, tehnoloogiaid ja teavet riiklikus küberruumis

toimuva kohta.

Samas on direktiivi (EL) 2016/1148 rakendamise võimalused osutunud piiratuks. Ühiskonna

digiüleminek (mida võimendas COVID-19 kriis) on ohumaastikku laiendanud ning toonud kaasa

uusi probleeme, mis nõuavad kohandatud ja uuenduslikke lahendusi. Küberrünnete arv kasvab

endiselt, need on üha keerukamad ning pärinevad paljudest eri allikatest nii Euroopa Liidus kui ka

mujal. Ühiskonna võrgu- ja infosüsteemidest suureneva sõltuvuse taustal areneb tehnoloogia

kiiresti, võrgu- ja infosüsteemide suurenev keerukus ning internetti ühendatud väga erinevate

seadmete kasvav arv ning küberruumis tegutsevate erineva motivatsiooni ja oskustasemega

toimijate kasvav hulk muudab küberturvalisuse tagamise üha tähtsamaks ülesandeks. Tegutseb ju

ka küberruumis selliseid isikuid, kes tunnevad Eesti digitaristu ja -teenuste vastu huvi seetõttu, et

Eesti toetab Ukrainat. Muudatused ohukeskkonnas tingivad vajaduse tagada senisest parem

olukorrateadlikkus ja tagada ohtude ennetamine, väljaselgitamine ja tõrjumine ka juhul, kui võrgu-

ja infosüsteemi omanik või valdaja vajalikku hoolsust tahtlikult või teadmatusest ei ilmuta.

Direktiivi (EL) 2016/1148 toimivuse hindamisega tuvastati järgmised probleemid: Euroopa Liidus

tegutsevate ettevõtjate kübervastupidavusvõime madal tase; vastupidavusvõime ebaühtlane tase

liikmesriikide ja sektorite tasandil ning ühise olukorrateadlikkuse madal tase ja ühistegevuse

puudulikkus kriisidele reageerimisel.18 Seetõttu oli sama mõjuhinnangu kohaselt direktiivi (EL)

2016/1148 läbivaatamisel kolm üldeesmärki:

1. Suurendada Euroopa Liidus kõigis asjaomastes sektorites tegutsevate ettevõtjate (ulatusliku

kogumi) kübervastupidavusvõimet, kehtestades eeskirjad, millega tagatakse, et kõik siseturul

tegutsevad avaliku ja erasektori üksused, kes täidavad majanduse ja ühiskonna kui terviku jaoks

olulisi ülesandeid, peavad võtma asjakohaseid küberturvalisuse meetmeid.

2. Vähendada vastupidavusvõime taseme ebaühtlust siseturul direktiiviga [(EL) 2016/1148] juba

18 Euroopa Komisjoni talituste töödokument mõju hindamise aruande kommenteeritud kokkuvõte; lisatud

dokumendile: Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU DIREKTIIV, mis käsitleb meetmeid, millega

tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv (EL) 2016/1148.

A osa: https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex%3A52020SC0344.

9 / 186

hõlmatud sektorites, ühtlustades täiendavalt 1) tegelikku kohaldamisala, 2) turvanõudeid ja

intsidentidest teatamise nõudeid, 3) riiklikku järelevalvet ja täitmise tagamist reguleerivaid sätteid

ning 4) liikmesriikide pädevate asutuste suutlikkust.

3. Tõsta ühise olukorrateadlikkuse taset ning suurendada ühist valmisolekut ja

reageerimissuutlikkust, võttes meetmeid usalduse suurendamiseks pädevate asutuste vahel,

jagades rohkem teavet ning kehtestades eeskirjad ja menetluskorra ulatuslike intsidentide või kriisi

korral tegutsemiseks.

NIS2-direktiivi algatuse19 7. lisas (finantsselgitus – ametid) on punkti 1.5 (ettepaneku/algatuse

põhjendused) alapunktides 1.5.1–1.5.3 selgitatud NIS2-direktiivi koostamise vajadust nii:

1.5.1. Lühi- või pikaajalises perspektiivis täidetavad vajadused, sealhulgas algatuse rakendamise

täpne ajakava

Muutmisettepaneku eesmärk on suurendada Euroopa Liidus kõigis asjaomastes sektorites

tegutsevate ettevõtjate kübervastupidavusvõimet, vähendada siseturul vastupanuvõime taseme

ebaühtlust [direktiivi (EL) 2016/1148] kohaldamisalasse juba hõlmatud sektorites ning

suurendada ühist olukorrateadlikkust, ühist valmisolekut ja ühist reageerimissuutlikkust. See

tugineb sellele, mis on viimase nelja aasta jooksul direktiivi (EL) 2016/1148 kohaldamisel juba

saavutatud.

1.5.2. ELi meetme lisaväärtus (see võib tuleneda eri teguritest, nagu kooskõlastamisest saadav

kasu, õiguskindlus, suurem tõhusus või vastastikune täiendavus). Käesoleva punkti kohaldamisel

tähendab „ELi meetme lisaväärtus“ väärtust, mis tuleneb liidu sekkumisest ja lisandub väärtusele,

mille liikmesriigid oleksid üksi tegutsedes loonud.

Kübervastupidavusvõime ei saa olla kogu liidus ühtlaselt tõhus, kui seda käsitletakse eri

lähenemisviise rakendades ja riiklikult või piirkondlikult kapseldudes. Küberturvalisuse

direktiiviga [(EL) 2016/1148] püüti seda puudust kõrvaldada, kehtestades võrgu- ja

infosüsteemide turvalisuse raamistiku riiklikul ja liidu tasandil. Küberturvalisuse direktiivi [(EL)

2016/1148] esimese korrapärase läbivaatamise tulemusena juhiti siiski tähelepanu mitmetele

olemuslikele puudustele, mille tõttu on liikmesriikide suutlikkus, kavandamine ja kaitse tase

oluliselt erinev. See takistab ka ettevõtjatele võrdsete võimaluste tagamist siseturul.

ELi sekkumine suuremas ulatuses, kui küberturvalisuse direktiivi praegused meetmed ette näevad,

on põhjendatav peamiselt järgmisega: i) probleemi piiriülene olemus; ii) ELi meetmete potentsiaal

edendada ja hõlbustada tõhusat riiklikku poliitikat; iii) kooskõlastatud ja koostööl põhinevate

küberturvalisuse alaste poliitikameetmete panus andmekaitse ja eraelu puutumatuse tõhusasse

kaitsesse.

Seega on mainitud eesmärke parem saavutada ELi tasandi meetmetega kui et liikmesriikide

üksinda tegutsemisega.

1.5.3. Samalaadsetest kogemustest saadud õppetunnid

Küberturvalisuse direktiiv [(EL) 2016/1148] on esimene horisontaalne siseturu õigusvahend, mille

eesmärk on parandada liidu võrkude ja süsteemide vastupanuvõimet küberturvalisuse riskide

suhtes. Alates selle jõustumisest 2016. aastal on see juba aidanud märkimisväärselt tõsta

küberturvalisuse üldist taset liikmesriikides. Direktiivi toimimise ja kohaldamise läbivaatamise

tulemusena on siiski osutatud mitmele puudusele, mida tuleb muudetud õigusaktiga käsitleda peale

ajakohasemate meetmete vajaduse küsimuse, mis tuleneb üha suurenevast digiteerimisest.

Sellest johtuvalt võeti vastu NIS2-direktiiv, mille eesmärk on saavutada küberturvalisuse ühtlaselt

kõrge tase kogu Euroopa Liidus, et parandada siseturu toimimist. Selle eesmärgi saavutamiseks on

19 Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU DIREKTIIV, mis käsitleb meetmeid, millega tagada

küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv (EL) 2016/1148:

https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex%3A52020PC0823.

10 / 186

NIS2-direktiivis sätestatud:

a) liikmesriikide kohustus võtta vastu riiklikud küberturvalisuse strateegiad ning määrata või

asutada pädevad asutused, ulatuslike küberintsidentide ja kriisi ohjamise asutused, küberturbe

ühtsed kontaktpunktid ja küberintsidentide käsitlemise üksused („CSIRTid“);

b) NIS2-direktiivi I või II lisas osutatud üksuste ning CER-direktiivi kohaldamisalasse kuuluvate

üksuste küberturvalisuse riskijuhtimismeetmed ja teatamiskohustus;

c) küberturvalisuse teabe vahetamisega seotud reeglid ja kohustused;

d) järelevalve ja täitmise tagamisega seotud kohustused liikmesriikidele.

Seetõttu kannab eelnõukohane seadus sama eelkirjeldatud eesmärki ehk saavutada

küberturvalisuse ühtlaselt kõrge tase, et sel viisil suurendada küberturvalisuse taset kogu Euroopa

Liidus. Selleks lisanduvadki KüTSi kohaldamisalasse NIS2-direktiiviga ette nähtud üksused, et

suurendada ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste üksuste ning

domeeninimede registreerimise teenuse osutajate küberturvalisuse taset. Sel teel parandatakse ka

Eesti ettevõtjate ja majanduse konkurentsivõimet.

Võrreldes direktiiviga (EL) 2016/1148 on NIS2-direktiiviga tehtud muudatused esmapilgul justkui

uued ja nõuded täpsemad võrreldes varasematega. Allpool esitatakse NIS2-direktiivi nõuded, mis

eelnõukohase seadusega üle võetakse ja millest KüTSi subjekt (üksus) peab lähtuma või mida

arvestama:

a) artiklid 3 ja 27 – teavita ja vajaduse korral uuenda oma infot: üksusel tuleb esitada pädevale

asutusele (Riigi Infosüsteemi Amet) teatav info oma organisatsiooni kohta (nt nimi, kontaktandmed

jne), sh hoida seda infot ajakohasena;

b) artikkel 26 – esindaja määramine: selles artiklis on nimetatud teatavad üksused (eelnõus

digitaalse teenuse osutajad), kes peavad nimetama oma esindaja, kui nende tegevuskoht ei ole

Euroopa Liidus või nad ei ole seal asutatud, kuid pakuvad Euroopa Liidus oma teenuseid;

c) artikkel 20 – juhtorgani ehk KüTSi kontekstis juhatuse liikmete kohustused: juhatuse liikmed

(juhatuse puudumisel juhatuse liikmetega sarnasel positsioonil olevad isikud) kiidavad heaks

küberturvalisuse riskijuhtimismeetmed, jälgivad nende rakendamist ning neid võidakse võtta

vastutusele teatavate nõuete rikkumise eest (eelnõu järgi ühinguõiguses sätestatud vastutuse, mitte

väärteo korras);

d) artikkel 20 – juhtorgani ehk KüTSi kontekstis juhatuse liikmete koolitused: juhtorganite liikmed

ehk KüTSi kontekstis juhatuse liikmed (juhatuse puudumisel juhatuse liikmetega sarnasel

positsioonil olevad isikud) on kohustatud läbima korrapäraselt koolitusi);

e) artikkel 21 – üksus võtab kasutusele riskijuhtimismeetmed: tegemist on üksuse küberturvalisuse

kaitse ja sellega seotud meetmete kasutusele võtmisega ehk KüTSi kontekstis turvameetmete

rakendamisega;

f) artikkel 23 – küberintsidentidest teavitamine: üksused teavitavad järelevalveasutust (üldreeglina

Riigi Infosüsteemi Ametit) ning asjakohasel juhul ka oma teenuse kasutajaid kõikidest olulise

mõjuga küberintsidentidest;

g) artikkel 24 – Euroopa küberturvalisuse sertifitseerimise kavade kasutamine: liikmesriik ehk Eesti

võib nõuda üksuselt riskijuhtimismeetmetega seotud nõuetele vastavuse tõendamiseks teatavate

IKT-toodete, IKT-teenuste ja IKT-protsesside kasutamist; eelnõuga seda volitust ei sätestata, kuid

sarnane volitus nende kohustuslikus korras kasutamiseks on ka Euroopa Komisjonil, kes saab seda

teha delegeeritud õigusaktide alusel. Kui komisjon taolise delegeeritud õigusakti kehtestab, siis

nõude järgimine tuleb delegeeritud õigusaktist, mitte KüTSist;

h) artikkel 28 – domeeninimede registreerimisandmete andmebaas: artikkel sätestab, kuidas

toimetavad tippdomeeninimede registrid ja tippdomeenide domeeninimede registreerimise

teenuste osutajad, sh mis infot nad ise koguvad;

11 / 186

i) artikkel 29 – küberturvalisusalase teabe vahetamise kokkulepped: üksused ja muud asjaosalised

võivad vabatahtlikult vahetada asjakohast küberturvalisuse alast teavet, sõlmides selleks

asjakohased kokkulepped; kui NIS2-direktiivi subjekt osaleb sellises kokkuleppes, siis tuleb selles

osalemisest ja sellest väljumisest teavitada Riigi Infosüsteemi Ametit;

j) artiklid 31–33, mis sätestavad järelevalve tegija õigused ja kasutatavad meetmed;

k) artikkel 34 – haldustrahvid: see artikkel sätestab haldustrahvide määramise üldtingimused, kui

rikutakse artikli 21 või 23 nõudeid; haldustrahvide piirsuurused sõltuvad sellest, kas tegemist on

elutähtsa üksuse (eelnõus üliolulise üksuse) või olulise üksusega; eelnõukohases seaduses võetakse

haldustrahvide sätted üle väärteomenetluse sätetena;

l) artikkel 34 – sunniraha: samas artiklis on ka säte, et liikmesriigid võivad ette näha õiguse

määrata sunniraha, mille eesmärk on sundida üksust direktiivi rikkumist lõpetama; NIS2-direktiiv

sunniraha suurust ega selle kindlakstegemise nõudeid ette ei näe.

Eesti on KüTSi täiendanud ka 2022. aastal.20 Toona tehtud muudatustel oli lõpptulemusena neli

eesmärki, millest seletuskirjas nimetatakse üks peamistest – ajakohastada KüTSi, et oleks võimalik

kehtestada Eesti infoturbestandard ja muud ajakohastatud võrgu- ja infosüsteemide

küberturvalisuse nõuded, et suurendada süsteemide küberturvalisust, kuid ka teenuseosutajate

vastupanuvõimet süsteeme ähvardavatele ohtudele. Muudatusega sooviti saavutada olukord, mis

võimaldaks ühtsetel põhimõtetel paindlikult ja rakendajatele arusaadavalt rakendada

tänapäevastele vajadustele vastavat turvameetmete süsteemi avalike ülesannete täitmiseks või

oluliste teenuste osutamiseks loodud äriprotsessides. Toona leiti, et infoturbe rakendamata jätmine

ei ole tolle aja küberturbe olukorras KüTSi subjektide võrgu- ja infosüsteemide puhul

aktsepteeritav. Eesti infoturbestandardi loomisega sooviti olukorda muuta, tõstes andmeid töötleva

võrgu- ja infosüsteemi asemel turvameetmete rakendamise fookusesse olulist, sh avalikku

ülesannet täitva organisatsiooni, mille eesmärk on pakkuda avalikke teenuseid ja tugiteenuseid.

Eesti infoturbestandard koostati, arvestades rahvusvahelisi standardeid ning teiste riikide

standardseid nõudeid – tegemist on nõuete kogumiga, mis on kooskõlas Saksa päritolu IT-

Grundschutzi ja rahvusvahelise standardiga ISO/IEC 27001.21 Viimati nimetatud standard võeti

eeskujuks ka NIS2-direktiivi artikli 21 riskijuhtimismeetmetega seotud nõuete sõnastamisel.

Kui arvestada ka asjaoluga, et direktiiv (EL) 2016/1148 võeti üle laiemalt, kui selle

miinimumnõuded ette nägid, lihtsustab 2022. aastal Eesti infoturbestandardi ja selle järgimise

kohustuse kehtestamine NIS2-direktiivi ülevõtmist Eesti õigusesse, kuna NIS2-direktiivi peamised

nõuded on kehtivas õiguses juba sätestatud. Pigem täpsustatakse olemasolevas õiguses olevaid

sätteid ning kehtestatakse mõned uued normid. Konkreetsemalt tehakse eelnõukohase seadusega

järgmised peamised muudatused:

- täiendatakse KüTSi subjektide nimekirja (säilitatakse kehtiva KüTSi subjektid ning lisanduvad

ennekõike need üksused, mille näeb ette NIS2-direktiiv;

- sätestatakse, milliseid andmeid peab KüTSi subjekt pädevale asutusele enda kohta esitama (nt

nimi, registrikood, kontaktandmed jne);

- sätestatakse KüTSi tasandil nõuded turvameetmete (riskijuhtimismeetmete) rakendamiseks

(eelnõuga sätestatakse KüTSis üldpõhimõtted, mida teenuseosutaja peab arvestama

turvameetmete rakendamisel; konkreetsed NIS2-direktiivi artiklis 21 ette nähtud

turvameetmed kehtestatakse KüTSi § 7 lõike 5 alusel kehtestatava määruse muudatustega;

20 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7-7379fa3bf6b9/kuberturvalisuse-

seaduse-ja-teiste-seaduste-muutmise-seadus/ 21 Eesti infoturbestandardi rakendusjuhend, peatükid 1 ja 3, sh vt viimases olevat joonist nr 3 – kättesaadav:

https://eits.ria.ee/et/abimaterjalid/rakendusjuhend.

12 / 186

nende turvameetmete kui nõuete põhisisu on näiteks täidetud Eesti infoturbestandardi nõuete

täitmisega või selle alternatiivi ehk rahvusvahelise standardi ISO/IEC 27001 nõuete

täitmisega);

- täpsustatakse küberintsidendist teatamise nõudeid (täpsustatakse seaduse tasandil esitatavate

teadete intervalli, sisu ja intsidendi lahendamisega seotud korraldust);

- kaotatakse direktiivil (EL) 2016/1148 põhinev üksuste liigitus (olulise teenuse operaator ja

digitaalse teenuse osutaja (viimast terminit kasutatakse küll ka eelnõus, kuid seda uues, NIS2-

direktiivile vastavas tähenduses) ning luuakse uute kategooriatena ühiskonna toimimise

seisukohast üliolulised üksused ja olulised üksused (nende erinevus on järelevalve tegemises

ja võimalike trahvide ülemmääras);

- sätestatakse selgelt, kellega tuleb ja võib teavet vahetada või koostööd teha (koostöö tegemine

pädevate asutuste vahel, üle riigipiiride ja vabatahtlikus vormis; näiteks piiriülese

küberintsidendi või küberkriisi korral);

- määratakse pädevad asutused, kellele on sätestatud ülesanded NIS2-direktiivi või delegeeritud

määruse (EL) 2024/1366 kohaselt (üldiselt on tegemist valitsusasutustega, kes juba praegu

tegelevad samade ülesannetega);

- määratakse selgemalt KüTSi subjekti juhatuse liikmete roll ja ülesanded (põhilisemad nõuded

on juba kehtestatud, kuid nüüd sätestatakse need seaduse tasandil; samuti kehtestatakse

juhatuse liikmetele kohustus osaleda küberturvalisuse koolitustel);

- täpsustatakse järelevalve- ja täitemeetmeid, mida KüTSi subjekti suhtes on võimalik kasutada

(järelevalveasutusel on juba praegu peaaegu samad volitused, kuid mõned volitused

lisanduvad NIS2-direktiivi järgi);

- ühtlustatakse trahvide suurused (eeskuju võetud isikuandmete kaitse valdkonna trahvidest);

- sätestatakse võimalus osaleda riikidevahelises küberturvalisuse taseme hindamises (tegemist

on vabatahtliku ülesandega).

Suurimad muudatused on KüTSi subjektide nimekirja täiendamine ja üleminek võrgu- ja

infosüsteemide pidamisele suunatud nõuetelt üksustele ehk seaduse kohaldamisalasse kuuluvatele

isikutele ja asutustele tervikuna suunatud nõuetele, mis toob kaasa seniste nõuete laienemise ka

olemasolevatele subjektidele (ennekõike erasektoris). Avalikule kooskõlastusele saadetud eelnõu

seletuskirjas oli iga subjekti kategooria juures ka Riigi Infosüsteemi Ameti esialgne hinnang, kui

palju üksusi selliste subjektide määratlusele vastab, sh kui paljud neist kuuluvad KüTSi

kohaldamisalasse. Eelnõu kohta saadetud tagasiside tõttu on eelnõu koostajad korrigeerinud

lisanduvate üksuste arvu suuremaks, kuid edaspidi ei ole konkreetse subjekti kategooria juurde

lisatud hinnangut, kui palju üksusi määratlusele vastab ning kui paljud neist kuuluvad ka KüTSi

kohaldamisalasse. Üldistatult saab kokku võtta, et olemasolevaid subjekte on umbes 3500 ning

uusi subjekte lisandub umbes 3000 (+/- 10%) ehk kokku on umbes 6500 subjekti, kellele KüTSi

nõuded hakkavad kohalduma. Nende arvude puhul tuleb arvestada ka asjaoluga, et teatud hulk

subjekte vastab samal ajal mitmele tunnusele. Näiteks on ühe üksuse puhul tegemist nii

keskvalitsuse avaliku halduse üksusega kui ka avaliku teabe seaduse tähenduses andmekogu

vastutava töötlejaga või volitatud töötlejaga; või on näiteks tegemist elutähtsa teenuse osutajaga

ning samal ajal ka üldkasutatava elektroonilise side võrgu teenuse osutajaga; või on tegemist vee-

ettevõtjaga, kes samal ajal tegutseb ka reovee valdkonnas. Eelnõu kohaldamisalast on välja jäetud

mikro- ja väikeettevõtjad Euroopa Komisjoni 6. mai 2003. aasta soovituse 2003/361/EÜ (mikro-,

väikeste ja keskmise suurusega ettevõtjate määratlemise kohta, ELT L 124. 20.05.2003, lk 36)

tähenduses, välja arvatud elektroonilise side võrgu teenuse osutajad või üldkasutatava

elektroonilise side teenuse osutajad, usaldusteenuse osutajad, tippdomeenide domeeninimede

registrid, domeeninimede süsteemi teenuse osutajad, domeeninimede registreerimise teenuse

13 / 186

osutajad, elutähtsa teenuse osutajad ja avaliku halduse üksused ning mõned muud üksused, näiteks

mõne teenuse ainupakkujad liikmesriigis. Nimetatud üksused on KüTSi kohaldamisalas, kuna see

on ette nähtud NIS2-direktiiviga. Seetõttu lisanduvate üksuste lõplik arv selgub siis, kui üksused

on täitnud teavitamiskohustuse ning selle käigus esitatud andmete põhjal on Riigi Infosüsteemi

Amet koostanud üksuste nimekirja.

Eelnõu sõnastamisel lähtuti NIS2-direktiiviga ette antud liikmesriigi kaalutlusõigusest mingi

õigusnorm sõnastada ning kehtestada. Seetõttu on eelnõus ennekõike piirdutud ainult sellega, mida

NIS2-direktiiv kitsamas tähenduses ette on näinud, ehk n-ö üldnõuetega. Nagu eespool mainitud,

on osa eelnõu muudatustest kas täpsustused (seal, kus on juba vajalikud nõuded Eesti õiguses

olemas, et viia need NIS2-direktiiviga kooskõlla) või NIS2-direktiivi miinimumnõuete ülevõtmine

(osas, kus on seadus vaja ühtlustada Euroopa Liidu õigusega). NIS2-direktiiv võetakse üle

minimaalsel võimalikul määral, arvestades riigi eripära. Seetõttu ei ole eelnõus endas muid uusi

nõudeid, mis tekitaksid teenuseosutajatele uusi kohustusi.

NIS2-direktiivi ülevõtmise tähtaega arvestades ei ole seaduseelnõuga võimalik teha kogu

küberturvalisuse valdkonna normide laiapõhjalist revisjoni, mistõttu käsitleb eelnõu üksnes NIS2-

direktiivi ülevõtmise ja delegeeritud määrusega (EL) 2024/1366 seotut. Revisjoni tegemiseks

tullakse välja eraldi väljatöötamiskavatsusega.

Ülevaade NIS2-direktiivi sätetest

• I peatükk: üldsätted (artiklid 1–6) – reguleerimisese; kohaldamisala; üliolulised ja olulised

üksused; valdkondlikud liidu õigusaktid; minimaalne ühtlustamine; mõisted.

• II peatükk: koordineeritud küberturvalisuse raamistikud (artiklid 7–13) – riiklik

küberturvalisuse strateegia; pädevad asutused ja ühtsed kontaktpunktid; riiklikud

küberkriiside ohjamise raamistikud; küberintsidentide käsitlemise üksused (CSIRTid);

CSIRTidele esitatavad nõuded, nende tehniline võimekus ja ülesanded – turvahaavatavuse

koordineeritud avalikustamine ja Euroopa turvahaavatavuste andmebaas; koostöö

liikmesriigi tasandil.

• III peatükk: koostöö liidu ja rahvusvahelisel tasandil (artiklid 14–19) – koostöörühm;

CSIRTide võrgustik; Euroopa küberkriisiga tegelevate kontaktasutuste võrgustik (EU-

CyCLONe); rahvusvaheline koostöö; aruanne küberturvalisuse olukorra kohta liidus;

vastastikune hindamine.

• IV peatükk: küberturvalisusega seotud riskijuhtimismeetmed ja teatamiskohustus (artiklid

20–25) – juhtimine; küberturvalisuse riskijuhtimismeetmed; liidu tasandi kriitilise

tähtsusega tarneahelate koordineeritud turberiski hindamine; [küberintsidendist]

teatamiskohustus; Euroopa küberturvalisuse sertifitseerimise kavade kasutamine;

standardimine.

• V peatükk: jurisdiktsioon ja registreerimine (artiklid 26–28) – jurisdiktsioon ja

territoriaalsus; üksuste register; domeeninimede registreerimisandmete andmebaas.

• VI peatükk: teabevahetus (artiklid 29 ja 30) – küberturvalisuse alase teabevahetuse

kokkulepped; vabatahtlik teavitamine asjakohasest teabest.

• VII peatükk: järelevalve ja täitmise tagamine (artiklid 31–37) – järelevalve ja täitmise

tagamise üldised aspektid; järelevalve- ja täitemeetmed seoses ülioluliste üksustega;

järelevalve- ja täitemeetmed seoses oluliste üksustega; üliolulistele ja olulistele üksustele

haldustrahvide määramise üldtingimused; isikuandmete väärkasutamisega seotud

rikkumised; karistused; vastastikune abi.

• VIII peatükk: delegeeritud õigusaktid ja rakendusaktid (artiklid 38 ja 39) – delegeeritud

14 / 186

volituste rakendamine; komiteemenetlus.

• IX peatükk: lõppsätted (artiklid 40–46) – läbivaatamine; ülevõtmine; määruse (EL)

nr 910/2014 muutmine; direktiivi (EL) 2018/1972 muutmine; kehtetuks tunnistamine;

jõustumine; adressaadid.

• Lisad: I lisa (kriitilise tähtsusega sektorid); II lisa (muud kriitilise tähtsusega sektorid); III

lisa (vastavustabel).

NIS2-direktiivi ülevõtmisega seotud vastavustabel on esitatud seletuskirja lisas 1.

3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb 11 paragrahvist. Eelnõu § 1 sisaldab küberturvalisuse seaduse muudatusi ning

ülejäänud paragrahvid on seotud valdkondlike õigusaktide muutmisega, et võtta üle NIS2-direktiiv

ning rakendada Euroopa Komisjoni delegeeritud määrust (EL) 2024/1366.

3.1. Eelnõu sisu analüüs

§ 1. Küberturvalisuse seaduse muudatused Eelnõu §-s 1 nähakse ette küberturvalisuse seaduse (KüTS) muudatused:

KüTSi § 1 lõike 1 muudatusega viiakse seaduse reguleerimisala kooskõlla NIS2-direktiiviga. Kui

kehtiv KüTS sätestab „ühiskonna toimimise seisukohast oluliste, sealhulgas avaliku sektori võrgu-

ja infosüsteemide pidamise nõuded, vastutuse ja järelevalve ning küberintsidentide ennetamise ja

lahendamise alused“, siis NIS2-direktiivi ülevõtmise järel jääks selle reguleerimisala kehtivas

sõnastuses kitsaks.

Tõenäoliselt kõige olulisema aspektina ei ole NIS2-direktiivi fookus erinevalt varasemast Euroopa

Liidu tasandil ühtlustatud (ja ka KüTSis kajastatud) regulatiivsest lähenemisest seatud mitte üksnes

ühiskonna toimimise seisukohast oluliste võrgu ja infosüsteemide pidamise nõuetele (ja sellele

järgnevale), vaid selle kohaldamisalasse kuuluvad kõik NIS2-direktiivi järgi ülioluliseks või

oluliseks üksuseks kvalifitseeruvad isikud, sh I ja II lisades loetletud üksused (isikud ja asutused)

ning domeeninime registreerimise teenuse osutajad organisatsiooni kui tervikuna, mitte üksnes n-

ö kriitilise teenusega seoses. Teisisõnu nõuab NIS2-direktiiv, erinevalt oma eelkäijast ehk NIS-

direktiivist, et riskijuhtimismeetmeid rakendataks kõigi asjaomase üksuse tegevuste ja teenuste

suhtes, mitte üksnes konkreetsete teenuste või infovarade suhtes.22 Lisaks täiendatakse

reguleerimisala nii, et seaduses oleks võimalik esitada reguleerimisala ulatuses normid, mis

puudutavad i) küberintsidentide käsitlemise aluseid ja nõudeid turvahaavatavuse ja küberohtudega

tegelemiseks; ii) ulatusliku küberintsidendi ja kriisi ennetamist ning lahendamist; iii)

küberturvalisuse valdkonnas toimuva koostöö, teabevahetuse ja vastastikuse hindamise nõudeid;

ja iv) küberturvalisuse valdkonna pädevate asutuste nimetamist või nende määramise nõudeid (see

hõlmab lisaks eelnõu tulemusel määratud asutustele ka KüTSi kehtiva redaktsiooni §-des 51 ja 131

sätestatud asutusi).

KüTSi § 1 lõiget 2 täiendatakse punktiga 3, jättes seaduse kohaldamisalast välja Eesti Vabariigi

diplomaatilised ja konsulaaresindused ning nende võrgu- ja infosüsteemid tingimusel, et:

a) mainitud võrgu- ja infosüsteemid asuvad esinduse ruumides; või

b) selliseid süsteeme käitatakse kolmanda riigi kasutajate jaoks.

Täiendus tehakse NIS2-direktiivi põhjenduse 8 viimase lause alusel, mille kohaselt [k]äesolevat

direktiivi ei kohaldata liikmesriikide diplomaatiliste ja konsulaaresinduste suhtes kolmandates

riikides ega nende võrgu- ja infosüsteemide suhtes, kui sellised süsteemid asuvad esinduse

22 Vt selle kohta näiteks komisjoni teatis „Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv)

artikli 4 lõigete 1 ja 2 kohaldamise kohta“, (2023/C 328/02), p 7.

15 / 186

ruumides või kui neid käitatakse kolmanda riigi kasutajate jaoks. Nende kohaldamisalast

väljajätmine on seotud üksnes kolmandate riikidega ja sellistes riikides asuvate kasutajatega ehk

kohaldamisalast ei ole välja jäetud Eesti Vabariigi diplomaatilised ja konsulaaresindused, mis

asuvad Euroopa Liidu territooriumil ega nende sellised süsteemid, mida käitatakse Euroopa Liidu

kasutajate jaoks. Selliste süsteemide kaitse vajadus tuleneb NIS2-direktiivi põhieesmärgist ehk

vajadusest tagada siseturul võtmetähtsusega üksuste ja nende osutatavate teenuste ühtlane,

järjepidev ja riskipõhine kaitse.

KüTSi lisatava § 1 lõike 21 eesmärk on võtta üle NIS2-direktiivi artikli 2 lõige 9. Kõnealune lõige

ja selles viidatud lõiked on sõnastatud järgmiselt.

7. [NIS2-direktiivi] ei kohaldata avaliku halduse üksuste suhtes, mis tegutsevad riigi julgeoleku,

avaliku julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamise, uurimise,

avastamise ja nende eest vastutusele võtmise valdkonnas.

8. Liikmesriigid võivad vabastada konkreetsed üksused, mis tegutsevad riigi julgeoleku, avaliku

julgeoleku, kaitse või õiguskaitse valdkonnas, sealhulgas kuritegude ennetamise, uurimise,

avastamise ja nende eest vastutusele võtmisega seotud tegevused, või mis osutavad teenuseid

üksnes käesoleva artikli lõikes 7 osutatud avaliku halduse üksustele, artiklis 21 või 23 sätestatud

kohustuste täitmisest seoses nimetatud tegevuste ja teenustega. Sellistel juhtudel VII peatükis

osutatud järelevalve- ja täitemeetmeid nende konkreetsete tegevuste või teenuste suhtes ei

kohaldata. Kui üksused tegelevad üksnes sellist liiki tegevusega või osutavaid üksnes sellist liiki

teenuseid, millele on osutatud käesolevas lõikes, võivad liikmesriigid otsustada need üksused ka

artiklites 3 ja 27 sätestatud kohustuste täitmisest vabastada.

9. Lõikeid 7 ja 8 ei kohaldata, kui üksus tegutseb usaldusteenuse osutajana.

NIS2-direktiivi artikli 2 lõiked 7 ja 8 on juba varem mööndustega üle võetud KüTSi § 1 lõikega 2

ning seda lõiget ei muudeta.

KüTSi § 1 lõige 3 tunnistatakse kehtetuks. Muudatus on seotud asjaoluga, et kehtetuks tunnistatava

lõike olemus ning sisu on NIS2-direktiivist tulenevate iseärasustega arvestades sätestatud edaspidi

KüTSi § 3 lõigetes 2–5 (iseäranis § 3 lõike 2 punktis 9, lõikes 3, lõike 4 punktis 8 ja lõikes 5).

KüTSi § 1 lõike 4 muutmine on seotud NIS2-direktiivi artikliga 4, mis sisustab olukorra, kus mõne

üksuse jaoks kehtivad teisest õigusaktist tulenevad nõuded, mis on samaväärsed NIS2-direktiivi

riskijuhtimismeetmete või olulistest intsidentidest teavitamise nõuetega. Sellises olukorras ei lähtu

see üksus samaväärselt reguleeritud ulatuses (turvameetmete rakendamise, küberintsidentidest

teavitamise või mõlema puhul) mitte KüTSis sätestatust, vaid vastavas valdkondlikus õigusaktis

sätestatud nõuetest.

NIS2-direktiivi artikkel 4 on sõnastatud järgmiselt:

1. Kui valdkondlikes liidu õigusaktides nõutakse elutähtsatelt või olulistelt üksustelt

küberturvalisuse riskijuhtimismeetmete võtmist või olulistest intsidentidest teatamist ning kui need

nõuded on vähemalt samaväärse toimega kui [NIS2-direktiivis] sätestatud kohustused, ei

kohaldata selliste üksuste suhtes [NIS2-direktiivi] asjakohaseid sätteid, sealhulgas VII peatükis

sätestatud järelevalve- ja täitmise tagamise sätteid. Kui valdkondlikud liidu õigusaktid ei hõlma

kõiki konkreetse sektori üksusi, mis kuuluvad [NIS2-direktiivi] kohaldamisalasse, kohaldatakse

jätkuvalt [NIS2-direktiivi] asjakohaseid sätteid nende valdkondlike liidu õigusaktidega hõlmamata

üksuste suhtes.

2. Käesoleva artikli lõikes 1 osutatud nõudeid käsitatakse samaväärse toimega kui [NIS2-

direktiivis] sätestatud kohustused juhul, kui:

a) küberturvalisuse riskijuhtimismeetmed on mõjult vähemalt samaväärsed artikli 21 lõigetes 1 ja

16 / 186

2 sätestatud meetmetega või

b) valdkondlikus liidu õigusaktis nähakse ette [NIS2-direktiivi] kohane CSIRTide, pädevate

asutuste või ühtsete kontaktpunktide viivitamatu, asjakohasel juhul automaatne ja otsene

juurdepääs [NIS2-direktiivi] kohastele intsidenditeadetele ning kui olulistest intsidentidest

teatamise nõuded on mõjult vähemalt samaväärsed [NIS2-direktiivi] artikli 23 lõigetes 1–6

sätestatud nõuetega.

3. [Euroopa Komisjon] annab hiljemalt 17. juuliks 2023 suunised, milles selgitatakse lõigete 1 ja

2 kohaldamist. Komisjon vaatab kõnealused suunised korrapäraselt läbi. Nende suuniste

ettevalmistamisel võtab komisjon arvesse koostöörühma ja ENISA tähelepanekuid.

Muudatusega on seotud ka NIS2-direktiivi põhjendused 22–29 ja 31, mis selgitavad

kommenteeritava muudatuse tausta ja mõtet.

(22) [NIS2-direktiivis] sätestatakse selle kohaldamisalasse kuuluvate sektorite küberturvalisuse

riskijuhtimismeetmete ja teatamiskohustuse baastase. Selleks et vältida liidu õigusaktide

küberturvalisuse sätete killustumist, kui küberturvalisuse kõrge taseme tagamiseks kogu liidus

peetakse vajalikuks valdkondlikke lisasätteid, mis käsitlevad küberturvalisuse

riskijuhtimismeetmeid ja teatamiskohustust, peaks komisjon hindama, kas sellised lisasätted võiks

ette näha [NIS2-direktiivi] alla kuuluvas rakendusaktis. Kui sellised rakendusaktid ei ole selleks

sobivad, võiksid liidu valdkondlikud õigusaktid aidata tagada kogu liitu hõlmava küberturvalisuse

kõrge taseme, võttes ühtlasi täielikult arvesse asjaomaste sektorite eripära ja keerukust. Sel

otstarbel ei välista [NIS2-direktiiv] ka niisuguste küberturvalisuse riskijuhtimismeetmeid ja

intsidentidest teatamist käsitlevate edasiste valdkondlike liidu õigusaktide vastuvõtmist, milles

võetakse igakülgselt arvesse vajadust luua terviklik ja ühtne küberturvalisuse raamistik. [NIS2-

direktiiv] ei piira komisjonile mitmes sektoris, sealhulgas transpordi- ja energeetikasektoris antud

rakendamisvolitusi.

(23) Kui valdkondlikes liidu õigusaktides on sätted, millega nõutakse elutähtsatelt23 või olulistelt

üksustelt küberturvalisuse riskijuhtimismeetmete võtmist või olulistest intsidentidest teatamist,

ning kui need nõuded on vähemalt samaväärsed [NIS2-direktiivis] sätestatud kohustustega, tuleks

neid sätteid, sealhulgas järelevalve- ja täitmise tagamise sätteid, niisuguste üksuste suhtes

kohaldada. Kui valdkondlik liidu õigusakt ei hõlma kõiki konkreetse sektori üksusi, mis kuuluvad

[NIS2-direktiivi] kohaldamisalasse, tuleks nimetatud liidu õigusaktiga hõlmamata üksuste suhtes

kohaldada jätkuvalt [NIS2-direktiivi] asjakohaseid sätteid.

(24) Kui valdkondliku liidu õigusakti kohaselt peavad elutähtsad24 või olulised üksused täitma

teatamise kohustust, mille mõju on vähemalt samaväärne [NIS2-direktiivis] sätestatud

teatamiskohustusega, tuleks tagada intsidenditeadete ühtne ja tulemuslik käsitlemine. Selleks

tuleks intsidenditeateid käsitleva valdkondliku liidu õigusakti sätetega anda CSIRTidele,

pädevatele asutustele või [NIS2-direktiivi] kohastele ühtsetele küberturvalisuse kontaktpunktidele

(edaspidi „ühtsed kontaktpunktid“) vastavalt valdkondlikule liidu õigusaktile esitatud

intsidenditeadetele viivitamata juurdepääs. Sellise viivitamatu juurdepääsu saab tagada eelkõige

juhul, kui intsidenditeated edastatakse põhjendamatu viivituseta CSIRTile, pädevale asutusele või

[NIS2-direktiivi] kohasele ühtsele kontaktpunktile. Kui see on asjakohane, peaksid liikmesriigid

looma intsidenditeadete käsitlemiseks automaatse ja otsese teavitamise mehhanismi, mis tagab

süstemaatilise ja vahetu teabevahetuse CSIRTide, pädevate asutuste või ühtse kontaktpunktiga.

Teatamise lihtsustamiseks ning automaatse ja otsese teatamise mehhanismi rakendamiseks võiksid

liikmesriigid kooskõlas valdkondliku liidu õigusaktiga kasutada ühtset kontaktpunkti.

(25) Valdkondlikes liidu õigusaktides, millega nähakse ette küberturvalisuse riskijuhtimismeetmed

või teatamiskohustus, millel on [NIS2-direktiivis] sätestatuga vähemalt samaväärne mõju, võiks

23 Eelnõus: „üliolulistelt üksustelt“. 24 Eelnõus: „üliolulistelt üksustelt“.

17 / 186

ette näha, et nende õigusaktide kohased pädevad asutused kasutavad selliste meetmete või

kohustustega seoses oma järelevalve- ja täitmise tagamise volitusi [NIS2-direktiivi] kohaselt

määratud pädevate asutuste abil. Asjaomased pädevad asutused võivad sel eesmärgil kehtestada

koostöökorra. Sellises koostöökorras võiks muu hulgas täpsustada järelevalvetegevuse

koordineerimise korra, sealhulgas liikmesriigi õiguse kohaste uurimiste ja kohapealsete

kontrollide korra ning pädevate asutuste vahelise järelevalvet ja täitmise tagamist käsitleva

asjakohase teabe vahetamise mehhanismi, sealhulgas juurdepääsu kübervaldkonda puudutavale

teabele, mida pädevad asutused [NIS2-direktiivi] kohaselt taotlevad.

(26) Kui valdkondlikes liidu õigusaktides on nõue, et üksused teataksid olulistest küberohtudest või

pakutakse neile selleks stiimuleid, peaksid liikmesriigid samuti julgustama oluliste küberohtude

jagamist CSIRTide, pädevate asutuste või [NIS2-direktiivi] kohaste ühtsete kontaktpunktidega, et

tagada kõnealuste organite suurem teadlikkus küberohtudest ning võimaldada neil oluliste

küberohtude realiseerumise korral tulemuslikult ja aegsasti reageerida.

(27) [NIS2-direktiivis] sätestatud mõisteid ning järelevalve- ja täitmise tagamise raamistikku

tuleks tulevastes valdkondlikes liidu õigusaktides igakülgselt arvesse võtta.

(28) [NIS2-direktiiviga] seoses tuleks Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554

käsitada finantssektori ettevõtjate suhtes valdkondliku liidu õigusaktina. [NIS2-direktiivi] sätete

asemel tuleks kohaldada määruse (EL) 2022/2554 sätteid, mis käsitlevad info- ja

kommunikatsioonitehnoloogia (IKT) riskijuhtimist, IKT intsidentide haldamist ja eelkõige tõsistest

IKT intsidentidest teavitamist, samuti digitaalse tegevuskerksuse testimist, teabevahetuse

kokkuleppeid ja kolmandatest isikutest tulenevat IKT-riski. Seetõttu ei tohiks liikmesriigid [NIS2-

direktiivi] sätteid, mis käsitlevad küberturvalisuse riskijuhtimist ja teatamiskohustust, järelevalvet

ja täitmise tagamist, määruse (EL) 2022/2554 kohaldamisalasse jäävate finantssektori ettevõtjate

suhtes kohaldada. Samal ajal on [NIS2-direktiivi] kohaselt oluline tihedate suhete ja teabevahetuse

säilitamine finantssektoriga. Selleks võimaldab määrus (EL) 2022/2554 Euroopa

järelevalveasutustel ja kõnealuse määruse kohastel pädevatel asutustel osaleda koostöörühma

tegevuses ning vahetada teavet ja teha koostööd ühtsete kontaktpunktidega, samuti CSIRTidega ja

[NIS2-direktiivi] kohaste pädevate asutustega. Määruse (EL) 2022/2554 kohased pädevad

asutused peaksid edastama tõsiste IKT intsidentide ja asjakohasel juhul oluliste küberohtude

üksikasjad ka CSIRTidele, pädevatele asutusele või [NIS2-direktiivi] kohastele ühtsetele

kontaktpunktidele. See on saavutatav vahetu juurdepääsu tagamisega intsidenditeadetele ja nende

otsese või intsidenditeadete ühtse kontaktpunkti edastamise kaudu. Lisaks peaksid liikmesriigid

jätkuvalt kaasama finantssektori oma küberturvalisuse strateegiatesse ning CSIRTid võivad oma

tegevuses hõlmata ka finantssektorit.

(29) Selleks et vältida lennundussektori üksustele kehtestatud küberturvalisuse kohustustes lünki ja

kohustuste dubleerimist, peaksid Euroopa Parlamendi ja nõukogu määruste (EÜ) nr 300/2008 ja

(EL) 2018/1139 kohased riiklikud asutused ning [NIS2-direktiivi] kohased pädevad asutused

tegema seoses küberturvalisuse riskijuhtimismeetmete rakendamisega ja nende meetmete

järgimise järelevalvega riiklikul tasandil koostööd. Kui üksus järgib määrustes (EÜ)

nr 300/2008 ja (EL) 2018/1139 ning nende määruste alusel vastu võetud asjakohastes delegeeritud

õigusaktides ja rakendusaktides sätestatud turvanõudeid, võivad [NIS2-direktiivi] kohased

pädevad asutused käsitada seda [NIS2-direktiivis] sätestatud vastavate nõuete järgimisena.

(31) Digitaristu sektorisse kuuluvad üksused põhinevad sisuliselt võrgu- ja infosüsteemidel ning

seetõttu peaksid neile üksustele [NIS2-direktiivi] alusel pandud kohustused nende üksuste

küberturvalisuse riskijuhtimismeetmete ja teatamiskohustuse raames hõlmama terviklikult ka

selliste süsteemide füüsilist turvalisust. Kuna need küsimused on hõlmatud [NIS2-direktiiviga], ei

kohaldata selliste üksuste suhtes direktiivi (EL) 2022/2557 III, IV ja VI peatükis sätestatud

kohustusi.

18 / 186

NIS2-direktiivi artikli 4 lõike 3 kohta on Euroopa Komisjon avaldanud 18. septembril 2023 teatise

„Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 4 lõigete 1 ja

2 kohaldamise kohta“ (2023/C 328/02).25

Kuna NIS2-direktiivi artikkel 4 näeb ette, et need erinõuded võivad tulla mõnest Euroopa Liidu

õigusaktist (st ennekõike direktiivist, määrusest, rakendusmäärusest või delegeeritud määrusest),

siis sõnastatakse kommenteeritav lõige vastavalt.

Arvestades NIS2-direktiivi eelpool viidatud põhjenduses esitatud selgitusi ning Euroopa

Komisjoni 18. septembri 2023. a teatises sätestatut, on eelnõu koostamise ajal teada, et NIS2-

direktiivi puhul on valdkondlik eriõigusakt finantssektoris kohalduv DORA määrus ning

lennunduses kohalduvad määrused (EÜ) nr 300/2008 ja (EL) 2018/1139. Samas, arvestades NIS2-

direktiivi artikli 4 avatud sõnastust, ei ole välistatud, et kui näiteks Euroopa Liidu seadusandja

võtab veel mõnes teises valdkonnas vastu reeglid, mis tagavad selles valdkonnas NIS2-direktiiviga

samaväärsed küberturvalisuse nõuded, siis saavad KüTSi § 1 lõike 4 alusel ka need normid KüTSis

sätestatu suhtes erinormideks. Avalikul kooskõlastusel olnud eelnõu kavandis oli ka ette nähtud

KüTSi § 1 lõige 41, mis oleks olnud volitusnorm võtta vastu määrus, millega sooviti täpsustada

kommenteeritava lõike olukordi. Kavandile saabunud tagasiside ja edasiste arutelude tulemusena

otsustati volitusnormist loobuda. Selle asemel on võimalik seda funktsiooni täita samasisuliste

selgituste andmisega kas Justiits- ja Digiministeeriumi või Riigi Infosüsteemi Ameti võrgulehel.

Tegemist oleks n-ö elava dokumendiga. Sel juhul puudub ka vajadus seda määrust uuendada, kui

näiteks Euroopa või Eesti õigusaktist tuleneb lex specialis olukord.

Alljärgnevalt on illustreerival eesmärgil kirjeldatud finantssektoris kehtiva valdkondliku õigusakti

(lex specialis) – DORA määruse – ja NIS2-direktiivi omavahelist koosmõju. DORA määruse

nõudeid kohaldatakse NIS2-direktiivi kohaldamisalasse kuuluvate krediidiasutuste, kesksete

vastaspoolte ja kauplemiskohtade suhtes. NIS2-direktiivi artikli 4 lõike 1 viimane lause sätestab,

et „[kui] valdkondlikud liidu õigusaktid ei hõlma kõiki konkreetse sektori üksusi, mis kuuluvad

käesoleva direktiivi kohaldamisalasse, kohaldatakse jätkuvalt [NIS2-direktiivi] asjakohaseid

sätteid nende valdkondlike liidu õigusaktidega hõlmamata üksuste suhtes“. Seega kohaldub NIS2-

direktiiv neile üksustele, kes on nimetatud NIS2-direktiivi artiklis 226 ning direktiivi I või II lisas,

kuid mida ei peeta DORA määruse artikli 2 lõike 1 punktides a–t märgitud finantssektori üksuseks.

Kui mingi üksus on NIS2-direktiivi artiklis 2 või I või II lisas nimetatud üksus ning samal ajal ka

DORA määruse kohane finantssektori üksus, siis tuleks kohaldada mõlemat õigusakti, sh ka

KüTSi. Sel juhul katab DORA määrus võrgu- ja infosüsteemide turvalisuse nõuded, mis toetavad

DORA määruse artikli 1 lõike 2 kohase finantssektori üksuse äriprotsesse, samal ajal kui NIS2-

direktiiv (st KüTS) kohaldub ainult neile teenustele, mis on nimetatud NIS2-direktiivi artiklis 2 või

I või II lisas ning mis ei puuduta võrgu- ja infosüsteemide turvalisust ja toetavad finantssektori

üksuse äriprotsesse.

NIS2-direktiivi artikli 4 tõttu ei kohaldata DORA määruse kohastele finantssektori üksustele

erinevaid sätteid, sh ka NIS2-direktiivi artikli 23 lõiget 1 (kohustust teavitada olulise mõjuga

küberintsidentidest). Samal ajal sätestab NIS2-direktiivi artikli 23 lõike 9 esimene lause, et „[ühtne]

kontaktpunkt esitab ENISA-le iga kolme kuu tagant koondaruande, mis sisaldab anonüümseid

koondandmeid käesoleva artikli lõike 1 ning artikli 30 kohaselt teatatud oluliste intsidentide,

25 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0918%2801%29&qid=1726668543740 26 Vt NIS2-direktiivi artikli 2 lõige 3, mis viitab CER-direktiivile, st NIS2-direktiivi (st KüTSi) kohaldamisalasse

kuuluvad ka need üksused, kes on käsitatavad elutähtsa teenuse osutajatena. CER-direktiiv on üle võetud hädaolukorra

seadusega ning selle § 36 lõige 3 sätestab finantssektoriga seotud elutähtsad teenused (makseteenus ja sularaharinglus),

mis omakorda määrab teatud krediidiasutused elutähtsa teenuste osutajateks – vt Eesti Panga presidendi 13. juuli 2018.

a määrus nr 7 „Makseteenuse ja sularaharingluse kirjeldus ja toimepidevuse nõuded”

(https://www.riigiteataja.ee/akt/128062024010).

19 / 186

intsidentide, küber- ja napilt ära hoitud intsidentide kohta“. Kuna NIS2-direktiivi artikli 23 lõiget

1 ei saa kohaldada DORA määruse kohaste finantssektori üksuste suhtes, siis ei ole eelmainitud

koondaruandes võimalik esitada ka DORA määruse artikli 19 alusel esitatavaid teateid. Samas näeb

NIS2-direktiivi artikkel 30 (eelnõus KüTSi § 81) ette, et nii teenuseosutaja kui ka muu isik võib

esitada teateid „oluliste intsidentide, intsidentide, küber- ja napilt ära hoitud intsidentide“ kohta

vabatahtlikult. Seega kui DORA määruse kohane finantssektori üksus teavitab eelnõukohase

KüTSi § 81 alusel olulise mõjuga küberintsidendist, küberintsidendist või küberohust, siis esitab

Riigi Infosüsteemi Amet ka Euroopa Liidu Küberturvalisuse Ametile (ENISAle) eelmainitud infot

sisaldava koondaruande.

Eeltoodu tulemusena ei kohaldata DORA määruse kohaldamisalas oleva finantssektori üksuse

osutatavale DORA määruse kohaldamisalasse kuuluvale teenusele KüTSi §-e 31, 6, 61, 7 ja 8 ega

ka nende rikkumisega seotud järelevalve- ja karistusnorme.

NIS2-direktiivi põhjendus 29 selgitab NIS2-direktiivi ja lennundusvaldkonna üksuste seost ning

kohalduvaid nõudeid. Nende üksuste teenustele, kellele kohalduvad määrustes (EÜ) nr 300/2008 ja

(EL) 2018/1139 ning nende määruste alusel vastu võetud asjakohastes delegeeritud õigusaktides ja

rakendusaktides27 sätestatud turvanõuded, kohaldatakse viidatud määruste nõudeid, mistõttu ei

kohaldata neile teenustele KüTSi §-e 6, 61 ja 7. Nende üksuste puhul kohaldatakse

küberintsidentidest teavitamise nõuet (KüTSi § 8), kuna sellele ei osuta eelviidatud põhjendus.

KüTSi §-s 2 esitatakse seaduses kasutatavate terminite loetelu. Eelnõuga kavandatakse seda

täiendada uute, NIS2-direktiivi ülevõtmisest tulenevate terminitega. Kommenteeritava paragrahvi

punktid esitatakse nende paljususe tõttu tähestikulises järjekorras. See ettepanek tehti autoritele ka

eelnõu huvirühmadega kooskõlastamise käigus.

Eelnõukohase KüTSi § 2 punktiga 1 kavandatakse üle võtta NIS2-direktiivi artikli 6 punktis 31

kasutatud termin „andmekeskusteenus“. Kommenteeritava punktiga on seotud NIS2-direktiivi

põhjendus 35:

(35) Andmekeskusteenuse osutajate pakutavaid teenuseid ei pakuta alati tingimata

pilvandmetöötlusteenusena. Seega ei pruugi andmekeskused alati olla pilvandmetöötlustaristu osa.

Kõigi võrgu- ja infosüsteemide turvalisusega seotud riskide juhtimiseks peaks seetõttu [NIS2-

direktiivi] kohaldamisalasse kuuluma ka selliste andmekeskusteenuste pakkujad, mis ei ole

pilvandmetöötlusteenused. [NIS2-direktiivi] kohaldamisel peaks mõiste „andmekeskusteenus“

kätkema sellise teenuse osutamist, mis hõlmab struktuure või struktuuride rühmi, mis on ette

nähtud andmete talletamiseks, töötlemiseks ja edastamiseks kasutatava infotehnoloogia- (IT) ja

võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, võttes arvesse ka

energiajaotuse ja keskkonnajuhtimisega seotud rajatisi ja taristuid. Mõiste „andmekeskusteenus“

ei tohiks hõlmata asutusesiseseid andmekeskusi, mis kuuluvad asjaomasele üksusele ja mida

käitatakse üksuse enda tarbeks.

Eelnõukohases KüTSi § 2 punktis 2 kavandatakse sätestada lühendtermin „digitaalse teenuse

osutaja“, mis hõlmab mitut üksust. Nimetatud lühend on loodud ennekõike seetõttu, et eelnõu

ülejäänud tekstis ei oleks vaja uuesti nimetada kõiki neid üksusi, mis on selle lühendiga hõlmatud.

Selle asemel saabki kasutada kommenteeritava punktiga sätestatavat lühendit. Sama termin on

kasutusel ka kehtivas seaduses, kus sellega tähistatakse üksnes § 4 lõikes 1 nimetatud

infoühiskonna teenuse osutajaid (internetipõhise kauplemiskoha pakkuja, internetipõhise

27 Näiteks: komisjoni rakendusmäärus (EL) 2015/1998, 5. november 2015, millega nähakse ette lennundusjulgestuse

ühiste põhistandardite rakendamise üksikasjalikud meetmed, vt lisa p-d 1.0.6, 1.7, 11.1.2 ja 11.2.8, https://eur-

lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A02015R1998-20240901.

20 / 186

otsimootori pakkuja, pilvandmetöötlusteenuse osutaja). Käesoleva eelnõu kohaselt käsitatakse neid

teenuseosutajaid jätkuvalt digitaalse teenuse osutajatena, kuid sama termini määratlusega on

praktilistel kaalutlustel hõlmatud ka teatud hulk teisi NIS2-direktiivi subjekte, kelle suhtes on

NIS2-direktiivis nõudeid muude subjektidega võrreldes teatud ulatuses diferentseeritud:

domeeninimede süsteemi teenuse osutajad, tippdomeeninimede register, domeeninimede

registreerimise teenuse osutajad, andmekeskusteenuse osutajad, sisulevivõrguteenuse osutajad,

haldusteenuse osutajad, infoturbeteenuse osutajad ja sotsiaalmeedia platvormi pakkujad.

Eelnõukohase KüTSi § 2 punktiga 3 on seotud sama paragrahvi punkt 2 ehk selles määratletakse

viidatud punktis 2 nimetatud üksuse (digitaalse teenuse osutaja) esindaja. Kommenteeritava

punktiga kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 34. Kommenteeritavas punktis

esitatud definitsioonis viidatakse ainult Riigi Infosüsteemi Ametile seetõttu, et sellele ametile

antakse küberintsidentide käsitlemise üksuse ehk CSIRTi ülesanded. Digitaalse teenuse osutaja

kohustuste all on mõeldud neid kohustusi, mis tulenevad NIS2-direktiivi tulemusena ennekõike

KüTSist, kuid olenevalt olukorrast ka Euroopa Komisjoni poolt NIS2-direktiivi alusel antud

rakendusaktidest.

Eelnõukohase KüTSi § 2 punktiga 4 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 22,

kuna selles esitatud termin on seotud KüTSi nõuetega hõlmatavate üksustega ning seda terminit

kasutatakse NIS2-direktiivist KüTSi üle võetavates õigusnormides.

Domeeninimede registreerimise teenuse osutaja puhul tuleb arvestada asjaoluga, et NIS2-direktiiv

ei määratle selliseid subjekte üliolulise üksuse ega ka olulise üksusena, samuti ei ole teda loetletud

NIS2-direktiivi I ja II lisas. Eelöeldu põhjal kohalduvad neile ainult teatud NIS2-direktiivi nõuded.

Erandiks on muidugi olukord, kus sama üksus osutab ka teisi teenuseid, mis kuuluvad NIS2-

direktiivi kohaldamisalasse – nt kui domeeninimede registreerimise teenuseid osutav üksus on

samal ajal ka domeeninimede süsteemi teenuse osutaja (vt eelnõukohase KüTSi § 2 punkt 6).

Domeeninimede registreerimise teenuse osutaja suhtes kohaldatakse ainult NIS2-direktiivi artikli

3 lõikeid 3–5 (need nõuded võetakse üle eelnõukohase KüTSi §-ga 31), artikleid 26 ja 27 (need

nõuded võetakse üle eelnõukohase KüTSi §-ga 4) ja artiklit 28 (need nõuded võttis üle Eesti

Interneti SA nõukogu, vt seletuskirjale lisatud vastavustabeli selgitusi). Teoreetiliselt saaks nende

üksuste suhtes kohaldada ka NIS2-direktiivi artiklit 36, kuid see eeldaks eraldi väärteokoosseisu

sätestamist olukorraks, kus eelviidatud nõudeid ei täideta. Kuid kuna samade nõuete täitmise eest

ei ole NIS2-direktiivis ja seetõttu ka eelnõuga ülioluliste üksuste ja oluliste üksuste suhtes ette

nähtud väärteovastutust, siis ei sätestata eelnõuga vastavat väärteokoosseisu ka domeeninimede

registreerimise teenuse osutajate suhtes.

Eelnõu kooskõlastamise käigus märkis Eesti Interneti Sihtasutus (EIS), et EIS on käsitatav

tippdomeeninimede registri pidajana, kuid EIS teeb järelevalvet kokku 51 akrediteeritud domeeni

.ee registripidaja teenuse üle, 24 neist tegutsevad Eestis ja 27 välismaal.

Eelnõukohase KüTSi § 2 punktiga 5 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 19,

kuna selles defineeritud termin on järgmises punktis esitatud termini osa.

Eelnõukohase KüTSi § 2 punktiga 6 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 20,

kuna selles esitatud definitsioon on seotud KüTSi nõuetega hõlmatavate üksustega ning seda

terminit kasutatakse NIS2-direktiivist KüTSi üle võetavates õigusnormides. Tegemist on terminiga

(domeeninimede süsteemi teenuse osutaja), mis hõlmab kahte eri laadi üksust: esimene üksus

osutab interneti lõppkasutajatele üldsusele kättesaadavat domeeninime rekursiivse teisendamise

teenust ning teine üksus osutab kolmandatele isikutele kasutuseks domeeninime autoriteetse

21 / 186

teisendamise teenust, välja arvatud juurnimeserverid.

Kommenteeritava punktiga on seotud ka NIS2-direktiivi põhjendus 32:

(32) Usaldusväärse, vastupidava ja turvalise domeeninimede süsteemi (DNS) tagamine ja

hoidmine on võtmetähtsusega, et säilitada interneti usaldusväärsus ning oluline, et tagada selle

pidev ja stabiilne toimimine, millest sõltuvad digimajandus ja -ühiskond. Seepärast tuleks [NIS2-

direktiivi] kohaldada tippdomeeninimede registrite ja domeeninimede süsteemi teenuse osutajate

suhtes, mida tuleb käsitada üksustena, mis osutavad interneti lõppkasutajatele mõeldud

üldkasutatavate domeeninimede rekursiivse teisendamise teenust või kolmandatele isikutele

kasutamiseks mõeldud domeeninimede autoriteetse teisendamise teenust. [NIS2-direktiivi] ei

tuleks kohaldada juurnimeserverite suhtes.

Kommenteeritavas punktis esitatud definitsioonis on ka märgitud, et tegemist peab olema üldsusele

kättesaadava domeeninime rekursiivse teisendamise teenusega ehk kui näiteks seda teenust pakub

eraisik oma pereliikmele, siis sel juhul pole tegemist üldsusele ehk kõigile soovijatele mõeldud

teenusega.

Domeeninime autoriteetse teisendamise teenust pakutakse kolmandale isikule siis, kui nimetatud

teenust pakutakse füüsilistele või juriidilistele isikutele, kes ei ole see sama teenuse osutaja. Sellega

on tegu on näiteks juhul, kui domeeni autoriteetset nimeserverit ei halda domeeninime registreerija,

vaid seda teenust pakub teine isik, näiteks domeeninimede registreerimise teenuse osutaja

(registripidaja) või DNS-majutusteenuse pakkuja (inglise keeles DNS hosting service provider);

kusjuures viimast peetakse domeeninime autoriteetse teisendamise teenuse pakkujaks kolmandale

isikule.

Eelnõukohase KüTSi § 2 punktiga 7 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 39.

Kuigi direktiivi ametlik eestikeelne tõlge kasutab sellele mõistele osutamiseks terminit „hallatud

teenuse osutaja“, on eelnõu autorite hinnangul, arvestades mh eelnõu kooskõlastusringil saadud

tagasiside ja valdkondlikus praktikas juurdunud terminoloogiaga, selgem kasutada terminit

„haldusteenuse osutaja“. Haldusteenuse osutaja tegevus hõlmab näiteks kliendi sidevõrkude

haldamist, sh viitab ka tegevustele, mida tehakse kliendi ruumides. Definitsioonis nimetatud

tegevused on alternatiivsed ehk haldusteenuse osutaja ei pea kõiki definitsioonis nimetatud

teenuseid pakkuma, vaid piisab ühest.

Eelnõukohase KüTSi § 2 punktiga 8 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 14,

kuna NIS2-direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad asjaomast

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-protsessi all mõeldakse. Kuna IKT-

protsess on defineeritud juba kehtivas Euroopa Liidu määruses, siis on eelnõus viidatud sellele

määrusele. Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881, mis käsitleb ENISAt

(Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia

küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013

(edaspidi määrus (EL) 2019/881) artikli 2 punkti 13 kohaselt on IKT-protsess „tegevused, mille

käigus projekteeritakse või töötatakse välja IKT-toode või -teenus, seda tarnitakse või hallatakse“.

Kuna kõnealune definitsioon on esitatud Euroopa Liidu määruses, on selle taasesitamine Vabariigi

Valitsuse 22. detsembri 2011 määruse nr 180 „Hea õigusloome ja normitehnika eeskiri“ kohaselt

võimalik ainult sellele viidates (vt viidatud määruse § 29 lg 3; sama põhimõte, kuigi esmapilgul

seaduse teksti koormav, kohaldub kollisioonide vältimiseks kohustuslikult analoogia korras kõigi

terminite puhul, mille definitsioonid sisalduvad Euroopa Liidu määrustes). Kui direktiivide puhul

on mõeldavad erandid, siis määruste puhul mitte – sellel on väga praktiline põhjus, kuivõrd

viimaste muutmise korral (olukorras, kus riigisiseses õiguses ei ole muudetavale õigusaktile

viidatud) võivad tekkida vastuolud riigisisese ja ELi õiguse vahel. Ka Euroopa Kohus on märkinud,

22 / 186

et liikmesriigi poolt Euroopa Liidu määruse ülevõtmine selle sätete riigisisesesse õigusesse

ümberkirjutamise abil ei ole lubatav (vt Euroopa Kohtu 7. veebruari 1973. aasta otsus asjas 39/72:

komisjon vs. Itaalia. EKL 1973, lk 101; 2. veebruari 1977. aasta otsus asjas 50/76: Amsterdam

Bulb BV vs. Produktschap voor Siergewassen, EKL 1977, lk 137).

Eelnõukohase KüTSi § 2 punktiga 9 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 13,

kuna NIS2-direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad asjaomast

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-teenuse all mõeldakse. Kuna IKT-teenus

on defineeritud juba kehtivas Euroopa Liidu määruses, siis on eelnõus viidatud sellele määrusele.

Määruse (EL) 2019/881 artikli 2 punkti 13 kohaselt on IKT-teenus „teenus, mis koosneb täielikult

või peamiselt võrgu- ja infosüsteemide kaudu teabe edastamisest, säilitamisest, väljavõtmisest või

töötlemisest“.

Eelnõukohase KüTSi § 2 punktiga 10 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 12,

kuna NIS2-direktiivis kasutatavad ning KüTSi üle võetavad õigusnormid sisaldavad asjaomast

terminit. Seetõttu on vaja ka selgelt määratleda, mida IKT-toote all mõeldakse. Kuna IKT-toode

on defineeritud juba kehtivas Euroopa Liidu määruses, siis on eelnõus viidatud sellele määrusele.

Määruse (EL) 2019/881 artikli 2 punkti 12 kohaselt on IKT-toode „võrgu- või infosüsteemi

element või elementide rühm“.

Eelnõukohase KüTSi § 2 punktiga 11 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 40

(turbetarnija). NIS2-direktiivi eestikeelse versiooni algses sõnastuses kasutati terminit

„turbetarnija“, kuid kõnesoleva eelnõu koostamise käigus on see termin asendatud terminiga

„hallatud teenuste osutaja“. Samalaadset terminit kasutatakse ka kübersolidaarsuse määruse

eelnõus28: nimelt „hallatud turbeteenuste osutaja“, mille defineerimisel omakorda viidatakse ka

eelmainitud NIS2-direktiivi sättele. Eelnõus onnende terminite asemel kasutatud terminit

„infoturbeteenuse osutaja“, kuna see termin, olgugi et on direktiivis kasutatavast originaalkeelsest

terminist mõnevõrra erinev, on eelnõu kooskõlastusringil saadud tagasiside ja valdkondlikus

praktikas väljakujunenud terminoloogiat arvestades tähenduselt selgem kui „turbetarnija“.

Kommenteeritavas punktis nimetatud üksuse (infoturbeteenuse osutaja) osutatavateks teenusteks

võivad olla näiteks eelnõujärgses KüTSi § 7 lõikes 2 kavandatavad nõuete täitmisega seotud

teenused – näiteks võib ta pakkuda IKT-valdkonnas küberintsidendi haldamise või lahendamise

teenust.

Infoturbeteenuse osutaja on üksus, kes osutab enda teenust ennekõike äriklientidele (ingl business-

to-business). Infoturbeteenuse osutajaga on näiteks tegemist siis, kui kontserni emaettevõtja osutab

enda tütarettevõtjatele teenuseid, mis on hõlmatud infoturbeteenuse osutaja definitsiooniga.

Eelnõukohase KüTSi § 2 punktiga 12 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 18,

kuna selles esitatud termin on seotud KüTSi nõuetega hõlmatavate üksuste terminiga (interneti

sõlmpunkt). Eelnõus on kasutatud direktiivi originaalversiooni termini „interneti vahetuspunkt“

asemel terminit „interneti sõlmpunkt“, kuna see termin, olgugi et on direktiivi originaalterminist

erinev, on eelnõu kooskõlastusringil saadud tagasisidet arvestades tähenduselt selgem kui

„interneti vahetuspunkt“.

KüTSi § 2 punkt 13 on seotud NIS2-direktiivi artikli 6 punkti 28 ülevõtmisega, mis viitab Euroopa

Parlamendi ja nõukogu direktiivi 2005/29/EÜ, mis käsitleb ettevõtja ja tarbija vaheliste tehingutega

28 https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32025R0038

23 / 186

seotud ebaausaid kaubandustavasid siseturul ning millega muudetakse nõukogu direktiivi

84/450/EMÜ, Euroopa Parlamendi ja nõukogu direktiive 97/7/EÜ, 98/27/EÜ ja 2002/65/EÜ ning

Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 2006/2004 (edaspidi direktiiv 2005/29/EÜ),

artikli 2 punktis n määratletud internetipõhisele kauplemiskohale. Direktiivi 2005/29/EÜ artikli 2

punktis n on internetipõhine kauplemiskoht määratletud kui „teenus, mis võimaldab tarbijatel

sõlmida teiste ettevõtjate või tarbijatega kauglepinguid, kasutades selleks tarkvara, sealhulgas

veebisaiti, veebisaidi osa või rakendust, mida käitab ettevõtja või mida käitatakse ettevõtja nimel“.

Tarbijakaitseseaduse § 2 punkti 7 kohaselt on internetipõhine kauplemiskoht „kauplemiskoht, kus

tarbija saab sõlmida teise kaupleja või tarbijaga lepinguid sidevahendi abil, kasutades selleks

tarkvara, sealhulgas veebilehte, veebilehe osa või rakendust, mida käitab kaupleja või mida

käitatakse kaupleja nimel“. Võlaõigusseaduse § 543 lõike 1 kohaselt on internetipõhine

kauplemiskoht „kauplemiskoht, kus tarbija saab sõlmida teise ettevõtja või tarbijaga lepinguid

sidevahendi abil, kasutades selleks tarkvara, sealhulgas veebilehte, veebilehe osa või rakendust,

mida käitab ettevõtja või mida käitatakse ettevõtja nimel“. Sama paragrahvi lõike 2 kohaselt on

internetipõhise kauplemiskoha pidaja „ettevõtja, kes pakub tarbijatele internetipõhist

kauplemiskohta“.

Direktiivi 2005/29/EÜ artikli 2 punkti a kohaselt on tarbija „füüsiline isik, kes [direktiiviga

2005/29/EÜ] hõlmatud kaubandustavade raames tegutseb eesmärkidel, mis ei ole seotud tema

kaubandus-, majandus-, käsitöö- ega kutsetegevusega“. Tarbijakaitseseaduse § 2 punkti 1 kohaselt

on tarbija „füüsiline isik, kes tegutseb eesmärgil, mis ei ole seotud tema majandus- või

kutsetegevusega“. Võlaõigusseaduse § 1 lõike 5 kohaselt on tarbija tolle seaduse tähenduses

„füüsiline isik, kes teeb tehingu, mis ei seondu iseseisva majandus- või kutsetegevuse

läbiviimisega“.

Direktiivi 2005/29/EÜ artikli 2 punkti b kohaselt on ettevõtja „füüsiline või juriidiline isik, kes

[direktiiviga 2005/29/EÜ] hõlmatud kaubandustavade raames tegutseb eesmärkidel, mis on seotud

tema kaubandus-, majandus-, käsitöö- või kutsetegevusega, ning ettevõtja nimel või huvides

tegutsev isik“. Tarbijakaitseseaduse § 2 punkt 2 kohaselt on kaupleja „füüsiline või juriidiline isik,

sealhulgas avalik-õiguslik juriidiline isik, kes tegutseb eesmärgil, mis on seotud tema majandus-

või kutsetegevusega“. Võlaõigusseaduse § 1 lõike 6 kohaselt on ettevõtja tolle seaduse tähenduses

„isik, sealhulgas avalik-õiguslik juriidiline isik, kes teeb tehingu, mis seondub iseseisva majandus-

või kutsetegevuse läbiviimisega“.

Direktiivi 2005/29/EÜ artikli 2 punktis n sätestatud internetipõhise kauplemiskoha definitsioon on

sisult sama mis tarbijakaitseseaduse § 2 punktis 7 ja võlaõigusseaduse § 543 lõikes 1 esitatud

internetipõhise kauplemiskoha definitsioon. Kommenteeritavasse eelnõu punkti on otsustatud

lisada viide vastavale tarbijakaitseseaduse terminile.

Eelnõukohase KüTSi § 2 punktis 14 kavandatakse sätestada lühendtermin „keskvalitsuse avaliku

halduse üksus“, mis hõlmab mitut üksust, kes kuuluvad kehtiva KüTSi kohaldamisalasse.

Kommenteeritav lühend on seotud ka NIS2-direktiivi artikli 2 lõike 2 punkti f alapunktiga i (üksus

on: keskvalitsuse avaliku halduse üksus, nagu see on kindlaks määratud liikmesriigi poolt

kooskõlas tema õigusega). Kommenteeritaval punktil on seos ka avaliku halduse üksuse mõistega,

mis on defineeritud NIS2-direktiivi artikli 6 punktis 35 (mida eelnõuga eraldi üle ei võta).

Kommenteeritava punkti puhul on tegemist ka kehtiva õiguse säilitamisega, kuna asjaomane

mõiste hõlmab KüTSi kehtiva versiooni § 3 lõike 4 punktides 3, 5, 6, 7, 8, 11, 12 ja 14 nimetatud

üksusi.

Eelnõukohase KüTSi § 2 punktis 15 kavandatakse sätestada, sarnaselt eelkommenteeritud

punktiga, lühendtermin „kohaliku omavalitsuse avaliku halduse üksus“, mis on seotud NIS2-

24 / 186

direktiivi artikli 6 punktis 35 sätestatud mõistega, kuid nimetatud lühendtermin on seotud ka NIS2-

direktiivi artikli 2 lõike 5 punkti a rakendamisega (Liikmesriigid võivad ette näha, et [NIS2-

direktiivi] kohaldatakse: a) kohaliku tasandi avaliku halduse üksuste suhtes.) ning kehtiva õiguse

säilitamisega (vt KüTSi kehtiva versiooni § 3 lõike 4 punktis 4 kasutatud termin „kohaliku

omavalitsuse üksus“ ja punkt 13). Kommenteeritaval punktil pole seost NIS2-direktiivi artikli 2

lõike 2 punkti f alapunktiga ii (üksus on: ii) liikmesriigi poolt tema õiguse kohaselt kindlaks

määratud piirkondliku tasandi üksus, mis vastavalt riskipõhisele hindamisele osutab teenuseid,

mille häirel võib olla oluline mõju kriitilise tähtsusega ühiskondlikule või majandustegevusele),

kuna kõnealuse alapunkti sisu on seotud piirkondliku (ingl regional) tasandi üksustega ehk Eesti

puhul maavalitsustega, mida enam ei ole.

Kui kommenteeritava NIS2-direktiivi sätte ülevõtmisel otsustatakse, et see võetakse kitsamalt üle

ja kehtivat õigust ei säilitata, siis võib see kaasa tuua olukorra, kus kohalike omavalitsuste ja nende

haldusala asutuste suhtes ei kohaldata ühtseid küberturvalisuse nõudeid. See omakorda võib tuua

kaasa tõrkeid ja probleeme nende osutatavate avalike teenuste osutamisel või nende võrgu- ja

infosüsteemide puhul, sh ka nende üksuste valduses olevate (isiku)andmete turvalisusega seoses.

Eelnõukohase KüTSi § 2 punktiga 16 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 27,

milles on kasutatud ka sama artikli punktis 26 kasutatud terminit (kvalifitseeritud usaldusteenus).

See punkt sätestatakse, kuna see on seotud KüTSi nõuetega hõlmatavate üksuste terminiga ning

seda terminit kasutatakse NIS2-direktiivist KüTSi üle võetavates õigusnormides. Euroopa

Parlamendi ja nõukogu määruse (EL) 910/2014 e-identimise ja e-tehingute jaoks vajalike

usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (edaspidi

määrus (EL) 910/2014) artikli 3 punkti 20 kohaselt on kvalifitseeritud usaldusteenuse osutaja

„usaldusteenuse osutaja, kes osutab üht või mitut kvalifitseeritud usaldusteenust ning kellele

järelevalveasutus on andnud kvalifitseeritud staatuse“.

Eelnõukohase KüTSi § 2 punktiga 17 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 8,

seostades toimingud ja menetlused, mille eesmärk on küberintsidenti ennetada, tuvastada,

analüüsida, ohjata või lahendada ja sellest taastuda. Eelnõus on kasutatud direktiivi originaaltekstis

kasutatud termini „intsidendi käsitlemine“ asemel terminit „küberintsidendi käsitlemine“,

tagamaks kehtivas õiguses kasutusel oleva ja praktikas juurdunud terminoloogia võimalikult suures

ulatuses säilimine ka NIS2-direktiivi ülevõtmise protsessis.

Eelnõukohases KüTSi § 2 punktis 18 sätestada kavandatud termin vastab kehtiva seaduse § 2

punktis 3 sätestatud terminile „küberintsident“ ning selle määratlus NIS2-direktiivi artikli 6 punktis

6 esitatud termini „intsident” definitsioonile. Kõnealuse termini tähendus jääb samaks mis kehtivas

õiguses. Selle definitsioon hõlmab ka NIS2-direktiivi artikli 6 punktis 5 sätestatud „intsidendiohtu“

(definitsioon: „sündmus, mis oleks võinud kahjustada salvestatavate, edastatavate või töödeldavate

andmete või võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste

kättesaadavust, autentsust, terviklust ja konfidentsiaalsust, kuid mis õnnestus ära hoida või mis ei

tekkinud“) ning NIS2-direktiivi artiklites kasutatud terminit „napilt ära hoitud intsident“ (ingl near

miss).

Eelnõukohases KüTSi § 2 punktis 19 sätestada kavandatud termin vastab olemuselt kehtiva

seaduse § 2 punktis 8 kasutatud terminile „küberturbe intsidentide lahendamise üksus“ ning selle

määratlus NIS2-direktiivi artikli 1 lõike 2 punktis a esitatud CSIRTi definitsioonile. Eelnõus on

just viimasest tulenevalt, arvestades ka kooskõlastusringi käigus saadud tagasisidega, siiski

otsustatud asendada terminis sisalduv sõna „lahendamine“ sõnaga „käsitlemine“. Sellist lähenemist

25 / 186

toetab ka NIS2-direktiivi ingliskeelne versioon, mille artikli 11 lõike 3 punkti c kohaselt on

CSIRTi ülesanne „responding to incidents“ ja vajaduse korral teenuse osutajatele abi pakkumine,

mitte aga „resolve incidents“ ehk lahendamine, millele vastaks kehtivas õiguses kasutatud termin.

Samale viitab ka NIS2-direktiivi põhjendus 42, sätestades, et: „The CSIRTs are tasked with

incident handling“ (eestikeelses versioonis „CSIRTide ülesandeks on intsidentide käsitlemine“).

Eelnõukohase KüTSi § 2 punktiga 20 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 10,

kuna NIS2-direktiiv näeb ette küberohtudega seotud teabe vahetamist ja jagamist. Seetõttu on vaja

ka selgelt määratleda, mida „küberohu“ all mõeldakse. Kuna küberoht on defineeritud juba

kehtivas Euroopa Liidu määruses, siis saab termini defineerida viidates, mistõttu ongi eelnõus

esitatud viide sellele määrusele. Määruse (EL) 2019/881 artikli 2 punkti 8 kohaselt on küberoht

„võimalik asjaolu, sündmus või tegevus, mis võib kahjustada või häirida võrgu- ja infosüsteeme,

nende kasutajaid ja teisi isikuid või neile muul viisil halba mõju avaldada“.

Eelnõukohase KüTSi § 2 punkti 21 eesmärk on määratleda termin „küberturvalisus“, mis on

defineeritud juba kehtivas Euroopa Liidu määruses, andes ka selguse, kuidas sisustada muid KüTSi

õigusnorme, milles on küberturvalisust mainitud. Tegemist on ka NIS2-direktiivi artikli 6 punkti 3

ülevõtmisega. Määruse (EL) 2019/881 artikli 2 punkti 1 kohaselt on küberturvalisus „tegevused,

mis on vajalikud, et kaitsta võrgu- ja infosüsteeme, nende kasutajaid ja teisi isikuid küberohtude

eest“.

Eelnõukohase KüTSi § 2 punktiga 22 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 11,

kuna NIS2-direktiiv näeb ette „oluliste küberohtudega“ seotud teabe vahetamise ja jagamise.

Kommenteeritavas punktis sätestatav termin hõlmab ka termini „küberoht“ tähendust ja see termin

on juba varem KüTSi § 2 punktis 20 sisustatud. Olulise küberohu puhul on seega tegemist mistahes

võimaliku olulise asjaolu, sündmuse või tegevusega, mis võib kahjustada või häirida võrgu- ja

infosüsteeme, nende kasutajaid ja teisi isikuid või neile muul viisil märkimisväärset kahju tekitada

– näiteks uut tüüpi, varasemast efektiivsemad või sagenenud lunavararünded, turvahaavatavuse

avastamine mõnes konkreetses sektoris laialdaselt kasutusel olevas tarkvaras jm.

Eelnõukohane KüTSi § 2 punkt 23 on seotud NIS2-direktiivi artikli 6 punkti 30 ülevõtmisega

ehk kehtiva KüTSi § 2 punktis 7 määratletud termini „pilvandmetöötlusteenus“ tähenduse

täpsustamisega võrreldes NIS2-direktiivis määratletud terminiga. Kommenteeritav punkt on seotud

KüTSi nõuetega hõlmatavate üksuste terminiga ning seda terminit kasutatakse NIS2-direktiivist

KüTSi üle võetavates õigusnormides. Kommenteeritava punktiga on seotud ka NIS2-direktiivi

põhjendused 33 ja 34:

(33) Pilvandmetöötlusteenused peaksid hõlmama digiteenuseid, mis võimaldavad jagatavate

andmetöötlusressursside skaleeritava ja paindliku kogumi nõudepõhist haldamist ning ulatuslikku

kaugpääsu sellele kogumile, muu hulgas juhul, kui need ressursid paiknevad hajutatult erinevates

kohtades. Andmetöötlusressursid on näiteks võrgud, serverid ja muu taristu,

operatsioonisüsteemid, tarkvara, talletusruum, rakendused ja teenused. Pilvandmetöötluse

teenusemudelid hõlmavad muu hulgas taristut teenusena (IaaS), platvormi teenusena (PaaS),

tarkvara teenusena (SaaS) ja võrku teenusena (NaaS). Pilvandmetöötluse korraldusmudelid

peaksid hõlmama privaat-, ühis-, avalikku ja hübriidpilve. Mõistetel „pilvandmetöötlusteenus“ ja

„korraldusmudel“ on sama tähendus nagu nimetatud mõistetel standardi ISO/IEC 17788:2014

määratluses. Pilvandmetöötlusteenuse kasutaja võimekust tagada endale ühepoolselt

andmetöötlusvõimekus, nagu serveriaeg või võrgu talletusruum, ilma pilvandmetöötlusteenuse

osutaja inimesepoolse sekkumiseta, võiks nimetada nõudepõhiseks haldamiseks.

26 / 186

Mõistega „ulatuslik kaugpääs“ peetakse silmas seda, et pilvevõimalusi pakutakse võrgu kaudu ja

need on kättesaadavad mehhanismide kaudu (sealhulgas mobiiltelefonid, tahvelarvutid,

sülearvutid ja tööjaamad), mis toetavad heterogeensete nn kõhnade või paksude

kliendiplatvormide kasutamist. Mõiste „skaleeritav“ osutab andmetöötlusressurssidele, mis on

nõudluse kõikumisega toimetulekuks pilveteenuse osutaja poolt paindlikult jaotatavad olenemata

ressursside geograafilisest asukohast. Mõistet „paindlik kogum“ kasutatakse

andmetöötlusressursside kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt

nõudlusele, et kättesaadavaid ressursse suurendada või vähendada sõltuvalt töökoormusest.

Mõistet „jagatav“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse

paljudele kasutajatele, kellel on ühine juurdepääs teenusele, kuid mille puhul andmete töötlemine

toimub iga kasutaja jaoks eraldi, olgugi et teenust osutatakse samadest elektroonilistest

seadmetest. Mõistet „hajusad“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mis

asuvad erinevates võrguga ühendatud arvutites või seadmetes ning mis suhtlevad omavahel ja

kooskõlastavad omavahelist tegevust sõnumite edastamise teel.

(34) Kuna maad võtavad uuenduslikud tehnoloogiad ja ärimudelid, tulevad eeldatavasti tarbijate

muutuvate vajaduste järgi siseturule uued pilvandmetöötlusteenuse ja korraldusmudelid. Sellises

kontekstis võib pilvandmetöötlusteenuseid osutada väga hajusal kujul, mille puhul töötlus toimub

andmete loomise või kogumise kohale veelgi lähemal; seega liikudes nn traditsiooniliselt mudelilt

väga hajusale mudelile (servtöötlus).

Eelnõukohase KüTSi § 2 punktiga 24 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 9,

kuna NIS2-direktiiv näeb ette riskidega seotud teabe vahetamise ja jagamise. Seetõttu on vaja ka

selgelt kindlaks määrata, mida „riski“ all mõeldakse ehk see termin määratleda. Termini

definitsioon, kuigi seda võiks praktilistel põhjustel mõneti korrigeerida, peab vastama NIS2-

direktiivi omale ja sellest riigisiseselt kõrvale kalduda ei saa.

Eelnõukohase KüTSi § 2 punktiga 25 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 32

(sisulevivõrk). Kommenteeritav punkt on seotud KüTSi nõuetega hõlmatavate üksuste terminiga

ning seda terminit kasutatakse NIS2-direktiivist KüTSi üle võetavates õigusnormides.

Kommenteeritava termini puhul on NIS2-direktiivis esitatud definitsioonis kasutatud sõna

„digiteenus“, kuid kõnesolevas eelnõus on selle asemel kasutatud terminit „infoühiskonna teenus“,

et siduda see infoühiskonna teenuse mõistega, mis on defineeritud infoühiskonna teenuste seaduse

§ 2 punktis 1 kui: „teenus, mida osutatakse majandus- või kutsetegevuse raames teenuse kasutaja

otsesel taotlusel ja mille puhul andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul

andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil, kusjuures osapooled

ei viibi üheaegselt samas kohas. Infoühiskonna teenus peab olema täielikult üle kantud, edastatud

ja vastu võetud elektrooniliste sidevahendite abil. Infoühiskonna teenus ei ole faksi ega

telefonikõne abil edastatud teenus ega televisiooni- või raadioteenus“. Selles definitsioonis on

digisisu all silmas peetud kõiki digiandmeid (ingl digital data), nii staatiliselt kui ka dünaamiliselt

vahetatavaid andmeid.

Eelnõukohase KüTSi § 2 punktiga 26 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 33

(sotsiaalvõrguteenuse platvorm). Kommenteeritav punkt on seotud KüTSi nõuetega hõlmatavate

üksuste terminiga ning seda terminit kasutatakse NIS2-direktiivist KüTSi üle võetavates

õigusnormides. Üheselt mõistetavuse huvides on terminit direktiiviga võrreldes täpsustatud

(sotsiaalmeediaplatvorm).

Eelnõukohase KüTSi § 2 punktiga 27 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 41

27 / 186

(teadusasutus). Kommenteeritav punkt on seotud KüTSi nõuetega hõlmatavate üksuste

definitsiooniga. Kommenteeritava punktiga on seotud NIS2-direktiivi põhjendus 36:

(36) Teadusuuringutel on uute toodete ja protsesside väljatöötamisel võtmeroll. Paljusid neist

tegevustest viivad ellu üksused, mis jagavad, levitavad või kasutavad oma teadusuuringute

tulemusi ärilistel eesmärkidel. Need üksused võivad seega olla olulised osalejad väärtusahelates,

mis muudab nende võrgu- ja infosüsteemide turvalisuse siseturu üldise küberturvalisuse

lahutamatuks osaks. Teadusorganisatsioone tuleks käsitada nii, et need hõlmavad üksusi, mis

pühendavad olulise osa oma tegevusest rakendusuuringutele või tootearendusele

Majanduskoostöö ja Arengu Organisatsiooni 2015. aasta Frascati käsiraamatu „Guidelines for

Collecting and Reporting Data on Research and Experimental Development, with a view to

exploiting their results for commercial purposes, such as the manufacturing and marketing of a

product, process or the provision of a service“ („Teadus- ja arendustegevuse andmete kogumise

ja esitamise suunised, et kasutada nende tulemusi ärilistel eesmärkidel, näiteks toote, protsessi või

teenuse tootmiseks või turustamiseks“)29 tähenduses.

Eelnõukohase KüTSi § 2 punktiga 28 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 21,

kuna selles esitatud termin on seotud KüTSi nõuetega hõlmatavate üksuste terminiga ning seda

kasutatakse NIS2-direktiivist KüTSi üle võetavates õigusnormides (tippdomeeninimede register).

Kommenteeritava punkti definitsiooni lauselõpp on „välja arvatud juhul, kui register kasutab

tippdomeeninimesid ainult enda tarbeks“. Tippdomeeninimede register kasutab

tippdomeeninimesid ainult enda tarbeks siis, kui tippdomeeninime register sisaldab kõiki

asjaomase keskkonna registreeringuid, seda ennekõike ühtse registreerija mudeli (ingl single-

registrant model) puhul. Sellega on tegu näiteks olukorras, kus mõnel ettevõtjal on mõne brändi

tippdomeen ja ta on samal ajal ka selle brändi tippdomeeninime registreerija, et takistada

kolmandatel isikutel selle brändiga seotud tippdomeeninime registreerimist.

Eelnõukohase KüTSi § 2 punktiga 29 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 15,

mille direktiivi eestikeelses versioonis kasutatakse terminit „nõrkus“. Eelnõus on kasutatud sama

mõiste tähistamiseks terminit „turvahaavatavus“, kuna see termin on, olgugi et on direktiivi

originaalterminist mõnevõrra erinev, eelnõu kooskõlastusringil saadud tagasiside ja valdkondlikus

praktikas väljakujunenud terminoloogiaga arvestades tähenduselt selgem kui „nõrkus“. Termin

defineeritakse, kuna NIS2-direktiiv näeb ette turvahaavatavusega seotud teabe vahetamise ja

jagamise. Termini definitsioon, kuigi sedagi võiks praktilistel põhjustel mõneti korrigeerida, peab

vastama NIS2-direktiivi omale ja sellest riigisiseselt kõrvale kalduda ei saa.

Eelnõukohases KüTSi § 2 punktis 30 määratletav termin (turvameetmed) vastab kehtiva KüTSi

§ 2 punktis 21 sätestatud terminile ning säilitatakse olemasolevas tähenduses.

Eelnõukohase KüTSi § 2 punktiga 31 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 7.

Liikmesriigi all on mõeldud Euroopa Liidu liikmesriiki. Märkimisväärse mõju kohta vt NIS2-

direktiivi artikkel 23 (mis võetakse üle eelnõukohase KüTSi §-ga 8), sh ennekõike selle lõikeid 1,

3 ja 11. Siinjuures on ka asjakohased NIS2-direktiivi põhjendused 68–73, sh ennekõike põhjendus

69:

(68) Liikmesriigid peaksid aitama kaasa komisjoni soovituses (EL) 2017/1584 ette nähtud

küberturvalisuse kriisidele reageerimise ELi raamistiku loomisele olemasolevate

koostöövõrgustike, eelkõige Euroopa küberkriisiga tegelevate kontaktasutuste võrgustikule (EU-

29 https://www.oecd.org/en/publications/frascati-manual-2015_9789264239012-en.html

28 / 186

CyCLONe), CSIRTide võrgustiku ja koostöörühma tegevuse kaudu. EU-CyCLONe ja CSIRTide

võrgustik peaksid tegema koostööd menetluskorra alusel, milles määratakse kindlaks kõnealuse

koostöö üksikasjad, ning vältima ülesannete dubleerimist. EU-CyCLONe menetluskorras tuleks

täpsustada võrgustiku toimimist puudutav kord, muu hulgas rollid, koostööviisid, teiste asjaomaste

osalejatega suhtlemine, teabevahetuse vormid ja kommunikatsioonivahendid. Liidu tasandi

kriisiohje puhul peaksid asjaomased pooled lähtuma nõukogu rakendusotsuses (EL) 2018/1993

sätestatud kriisidele poliitilist reageerimist käsitlevast ELi integreeritud korrast (edaspidi „IPCRi

kord“). Komisjon peaks selleks rakendama üldise kiirhoiatussüsteemi ARGUS kõrgetasemelise

valdkondadevahelise kriisikoordineerimise menetlusprotsessi. Kui kriisil on oluline välispoliitiline

või ühise julgeoleku- ja kaitsepoliitikaga seotud mõõde, tuleks käivitada Euroopa välisteenistuse

kriisidele reageerimise mehhanism.

(69) Soovituse (EL) 2017/1584 lisa kohaselt tuleks ulatusliku küberturbeintsidendina mõista

intsidenti, mille põhjustatud häired on niivõrd laialdased, et ühe liikmesriigi suutlikkusest nendega

toimetulekuks ei piisa, või millel on märkimisväärne mõju vähemalt kahele liikmesriigile. Olenevalt

nende põhjusest ja mõjust võivad ulatuslikud küberturbeintsidendid eskaleeruda ning muutuda

täieulatuslikuks kriisiks, mis takistab siseturu tõrgeteta toimimist või kujutab endast mitme

liikmesriigi või kogu liidu üksustele või kodanikele tõsist avaliku julgeoleku- või turvalisusriski.

Võttes arvesse selliste intsidentide ulatuslikku haaret ja (enamikul juhtudel) piiriülest laadi,

peaksid liikmesriigid ning asjaomased liidu institutsioonid, organid ja asutused tegema koostööd

nii tehnilisel, operatiiv- kui ka poliitilisel tasandil, et reageerimist liidu ulatuses nõuetekohaselt

koordineerida.

(70) Liidu tasandi ulatuslike küberturbeintsidentide ja kriiside puhul tuleb kiire ja tõhusa

reageerimise tagamiseks võtta koordineeritud meetmeid, kuna sektorite ja liikmesriikide

omavaheline sõltuvus on väga suur. Kübervastupidavusvõimeliste võrgu- ja infosüsteemide

olemasolu ning andmete kättesaadavus, konfidentsiaalsus ja terviklus on väga olulised liidu

julgeoleku ning liidu kodanike, ettevõtjate ja institutsioonide kaitsmiseks intsidentide ja

küberohtude eest ning samuti selleks, et suurendada üksikisikute ja organisatsioonide usaldust

liidu võimekuse vastu edendada ja kaitsta üleilmset, avatud, vaba, stabiilset ja turvalist

küberruumi, mis põhineb inimõigustel, põhivabadustel, demokraatial ja õigusriigil.

(71) EU-CyCLONe peaks ulatuslike küberturbeintsidentide ja kriiside korral toimima vahendajana

tehnilise ja poliitilise tasandi vahel ning tõhustama operatiivtasandi koostööd ja toetama otsuste

tegemist poliitilisel tasandil. Võttes arvesse komisjoni pädevust kriisiohje valdkonnas, peaks EU-

CyCLONe koostöös komisjoniga tuginema CSIRTide võrgustiku järeldustele ja kasutama oma

võimekust, et koostada ulatuslike küberturbeintsidentide ja kriiside mõjuanalüüs.

(72) Küberründed on oma olemuselt piiriülesed ning oluline intsident võib häirida ja kahjustada

elutähtsaid teabetaristuid, millest sõltub siseturu sujuv toimimine. Kõigi asjaomaste osalejate rolli

käsitletakse soovituses (EL) 2017/1584. Lisaks vastutab komisjon Euroopa Parlamendi ja nõukogu

otsusega nr 1313/2013/EL loodud liidu elanikkonnakaitse mehhanismi raames üldiste

valmisolekumeetmete eest, mis hõlmavad hädaolukordadele reageerimise koordineerimiskeskuse

ning ühise hädaolukordade side- ja infosüsteemi haldamist, olukorrateadlikkuse ja analüüsivõime

säilitamist ja edasiarendamist ning liikmesriigi või kolmanda riigi abitaotluse korral

eksperdirühmade mobiliseerimise ja lähetamise võimekuse loomist ja haldamist. Komisjon

vastutab ka rakendusotsuse (EL) 2018/1993 kohase IPCRi korra analüüsiaruannete esitamise eest,

muu hulgas seoses küberturvalisuse olukorrateadlikkuse ja valmisolekuga, samuti

olukorrateadlikkuse ja kriisidele reageerimisega põllumajanduse, ebasoodsate

ilmastikutingimuste, konfliktide kaardistamise ja prognooside, loodusõnnetuste varajase

hoiatamise süsteemide, tervisealaste hädaolukordade, nakkushaiguste seire, taimetervise,

keemiliste ainetega seotud juhtumite, toidu- ja söödaohutuse, loomatervise, rände, tolli,

29 / 186

tuumaavariide ja kiirguslike avariiolukordade ning energeetika valdkonnas.

(73) Kui see on asjakohane, võib liit kooskõlas ELi toimimise lepingu artikliga 218 sõlmida

kolmandate riikide või rahvusvaheliste organisatsioonidega rahvusvahelisi lepinguid, mis

võimaldab neil osaleda ja korraldada osalust mõningates koostöörühma, CSIRTide võrgustiku

ning EU-CyCLONe tegevuses. Selliste lepingutega tuleks tagada liidu huvid ja piisaval tasemel

andmekaitse. See ei tohiks välistada liikmesriikide õigust teha nõrkuste haldamisel ja

küberturvalisuse riskijuhtimisel koostööd kolmandate riikidega, hõlbustades liidu õiguse kohast

teatamist ja üldist teabevahetust.

Ulatuslik küberintsident hõlmab ka neid küberintsidente, mida käsitatakse olulise mõjuga

küberintsidentidena (vt KüTSi § 8 lõiked 2 ja 3), kuid mitte vastupidi ehk kõik olulise mõjuga

küberintsidendid ei pruugi muutuda ulatuslikuks küberintsidendiks.

Eelnõukohase KüTSi § 2 punktiga 32 kavandatakse üle võtta NIS2-direktiivi artikli 6 punktid 24

ja 25. Asjaomased terminid defineeritakse, kuna see on seotud KüTSi nõuetega hõlmatavate

üksuste terminiga ning seda terminit kasutatakse NIS2-direktiivist KüTSi üle võetavates

õigusnormides. Määruse (EL) 910/2014 artikli 3 punktis 19 on usaldusteenuse osutaja defineeritud

kui: „füüsiline või juriidiline isik, kes osutab üht või mitut usaldusteenust kas kvalifitseeritud või

kvalifitseerimata usaldusteenuse osutajana“. Sama määruse artikli 3 punktis 16 on usaldusteenus

defineeritud kui „elektrooniline teenus, mida tavaliselt osutatakse tasu eest ja mis hõlmab üht

järgmistest:

a) e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude

usaldusteenuste osutamiseks vajalike sertifikaatide väljastamine;

b) e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude

usaldusteenuste osutamiseks vajalike sertifikaatide valideerimine;

c) e-allkirjade või e-templite loomine;

d) e-allkirjade või e-templite valideerimine;

e) e-allkirjade, e-templite, e-allkirja sertifikaatide või e-templi sertifikaatide säilitamine;

f) e-allkirja või e-templi kaugloomise vahendite haldamine;

g) elektrooniliste tõendite väljastamine;

h) elektrooniliste tõendite valideerimine;

i) e-ajatemplite loomine;

j) e-ajatemplite valideerimine;

k) registreeritud e-andmevahetusteenuste osutamine;

l) registreeritud e-andmevahetusteenuste kaudu edastatud andmete ja nendega seotud tõendite

valideerimine;

m) elektrooniliste andmete ja e-dokumentide elektrooniline arhiveerimine;

n) elektrooniliste andmete kandmine elektroonilisse arvestusraamatusse“.

2024. a mais jõustusid muudatused, mis laiendasid usaldusteenuse mõistet ehk NIS2-direktiivi

vastuvõtmise ajal oli selle mõistega hõlmatud vähem elektroonilisi teenuseid. Kõnesoleva eelnõuga

ei ole võimalik ka seda mõistet kitsendada (ehk piiritleda see mõiste ainult enne 2024. a maid

olemas olnud usaldusteenustega), kuna vastasel juhul tekib olukord, kus usaldusteenuste osutajad

peavad hakkama küberturvalisuse valdkonnas täitma erinevaid nõudeid, st osadele kehtivad NIS2-

direktiivist tulenevad nõuded ja osadele (2024. a maist lisandunud usaldusteenustele) justkui

konkreetseid nõudeid KüTSi alusel ei kehtiks.

Eelnõukohase KüTSi § 2 punktiga 33 seotud muudatused (võrreldes kehtiva KüTSi § 2 punktis

6 sätestatud terminiga) tulenevad NIS2-direktiivi artikli 6 punkti 29 ülevõtmise vajadusest.

Viimane viitab Euroopa Parlamendi ja nõukogu määruse (EL) 2019/1150, mis käsitleb õigluse ja

30 / 186

läbipaistvuse edendamist veebipõhiste vahendusteenuste ärikasutajate jaoks (edaspidi määrus

2019/1150), artikli 2 punktis 5 määratletud internetipõhisele otsingumootorile. NIS2-direktiivi

eestikeelses tõlkes on ekslikult märgitud, et tegemist on direktiiviga, kuid tegelikkuses on tegemist

määrusega. Seetõttu on ka eelnõus viidatud määrusele, mitte direktiivile. Määruse 2019/1150

artikli 2 punktis 5 on internetipõhine otsingumootor „digitaalne teenus, mis võimaldab kasutajatel

sisestada päringuid, et teha otsinguid üldjuhul kõikidel veebisaitidel või teatavas keeles kõikidel

veebisaitidel mis tahes teemal võtmesõna, häälkäskluse, fraasi või muu sisendi vormis tehtud

päringu alusel, ning saadab vastuseks mis tahes vormingus tulemused, kust võib leida teavet

taotletud sisu kohta“.

Määruse 2019/1150 artikli 2 punkti 5 eestikeelses versioonis ei ole kasutatud terminit

„internetipõhine otsingumootor“ (nagu on NIS2-direktiivi eestikeelses versioonis), vaid terminit

„veebipõhine otsingumootor“. Seetõttu on kommenteeritavas punktis (st ka määruse 2019/1150

viites) kasutatud terminit „veebipõhine otsingumootor“. Samalaadset terminit on kasutatud näiteks

ka tarbijakaitseseaduse § 17 lõikes 22: „veebipõhiste otsingumootorite pakkujad“.

Eelnõukohases KüTSi § 2 punktis 34 määratletav termin (võrgu- ja infosüsteem) vastab kehtiva

KüTSi § 2 punktis 1 sätestatud terminile ning säilitatakse olemasolevas tähenduses. Võrreldes

kehtiva sõnastusega on termini lõppu keeleliselt parandatud.

Eelnõukohases KüTSi § 2 punktis 35 määratletav termin (võrgu- ja infosüsteemi turvalisus)

vastab kehtiva KüTSi § 2 punktis 2 sätestatud terminile ning säilitatakse peaaegu üksüheselt

olemasolevas tähenduses. Ainus muudatus on seotud asjaoluga, et eelnõujärgses sättes kasutatud

sõna „sündmus“ tähendus on laiem kui kehtivas redaktsioonis kasutatud sõna „tegevus“ oma ning

see tähistab võrgu- ja infosüsteemi turvalisuse mõistet paremini. Muudatuse tulemusena on

kommenteeritav termin ka selgemini kooskõlas NIS2-direktiivi artikli 6 punktis 2 kasutatud

terminiga „võrgu- ja infosüsteemide turvalisus“, mille defineerimisel kasutatakse samuti sõna

„sündmus“.

Eelnõukohase KüTSi § 2 punktiga 36 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 38:

„füüsiline isik või juriidiline isik, kes on asutatud ja keda tunnustatakse tema tegevuskohajärgse

riigisisese õiguse kohaselt, kes võib enda nimel omada õigusi ja kanda kohustusi“.

Kommenteeritava punkti selgituses on märgitud, et sättes viidatud „õiguse” puhul on tegemist

tegevuskohajärgse riigisisese õigusega, kuna näiteks digitaalse teenuse osutajate korral võib

tekkida olukord, kus konkreetne isik ei ole Eestis asutatud, kuid ta osutab teenuseid ka Eestis

olevatele klientidele. Kommenteeritavat terminit „üksus“ kasutatakse ka eelnõuga KüTSi §-i 3

lisatavates uutes lõigetes ning KüTSis puudus parem samalaadne sõna, mis sõna „üksus“ olemust

paremini iseloomustaks. Näiteks ei ole siinjuures võimalik kasutada lühendit/terminit „teenuse

osutaja“, kuna sellel on teine kontekst, vt ka KüTS § 3 lõike 1 muutmise selgitust. Terminiga

„üksus” ei viidata ühe organisatsiooni struktuuriüksusele (nt osakonnale), vaid selle all mõeldakse

organisatsiooni tervikuna, s.o juriidilist isikut või asutust. Kui organisatsiooni üks struktuuriüksus

osutab mingit teenust, mis on nimetaud eelnõu §-s 3, siis kvalifitseerub see vastav organisatsioon

tervikuna KüTSi teenuseosutajaks – kuid sel juhul tuleb lisaks hinnata, et millise osa puhul selle

organisatsiooni tegevusest tuleb järgida KüTSi nõudeid (vt ka KüTSi § 1 lg 4 muutmise selgitust).

Eelnõukohane KüTSi § 2 punkt 37 on seotud termini „üldkasutatava elektroonilise side teenus“

määratlemisega. NIS2-direktiiv ei määratle iseenesest terminit „üldkasutatav elektroonilise side

teenus“ ega viita mõnele direktiivi (EL) 2018/1972 artikli 2 punktile. Siiski on NIS2-direktiivis

kasutatud terminit „üldkasutatava elektroonilise side teenuse osutaja“, mistõttu selgitatakse

31 / 186

seletuskirjas üheselt mõistetavuse tagamiseks vastavat teenust.

Kaudselt on kommenteeritav termin seotud Euroopa Parlamendi ja nõukogu direktiivi (EL)

2018/1972, millega kehtestatakse Euroopa elektroonilise side seadustik (edaspidi direktiiv (EL)

2018/1972), artikli 2 järgmiste punktidega:

 punkt 13: „kasutaja“ – juriidiline või füüsiline isik, kes kasutab üldkasutatavat

elektroonilise side teenust või taotleb selle kasutamist;

 punkt 14: „lõppkasutaja“ – kasutaja, kes ei paku üldkasutatavaid elektroonilise side võrke

ega üldkasutatavaid elektroonilise side teenuseid;

 punkt 15: „tarbija“ – füüsiline isik, kes kasutab üldkasutatavat elektroonilise side teenust

või taotleb selle kasutamist eesmärkidel, mis ei ole seotud tema kaubandustegevuse,

äritegevuse, oskustöö või erialaga;

 punkt 31: „kõne“ – üldkasutatava isikutevahelise side teenuse abil loodud ühendus, mis

võimaldab kahepoolset kõnesidet;

 punkt 32: „kõneside teenus“ – üldkasutatav elektroonilise side teenus, mis otse või kaudselt

võimaldab riigisiseste või riigisiseste ja rahvusvaheliste kõnede algatamist ja vastuvõtmist

riigi või riigi ja rahvusvahelisse numeratsiooniplaani kuuluva numbri või numbrite abil.

Kommenteeritava termini ja eelnimetatud direktiivis (EL) 2018/1972 kasutatud terminitega on

seotud elektroonilise side seaduse § 2 järgmised punktid:

 punkt 5 „elektroonilise side ettevõtja“ (lühendina sideettevõtja) – isik, kes osutab

lõppkasutajale või teisele üldkasutatava elektroonilise side teenuse osutajale üldkasutatavat

elektroonilise side teenust;

 punkt 7: „elektroonilise side teenuse kasutaja“ (lühendina sideteenuse kasutaja) – isik, kes

kasutab üldkasutatavat elektroonilise side teenust;

 punkt 84 „internetiühenduse teenus“ – üldkasutatav elektroonilise side teenus, millega

võimaldatakse juurdepääsu internetile ja selle kaudu internetiga ühendatud lõpp-punktidele

sõltumata kasutatavast võrgutehnoloogiast või terminalseadmest;

 punkt 91 „isikutevahelise side teenus“ – üldkasutatav elektroonilise side teenus, mis ei

hõlma teenuseid, mis võimaldavad isikutevahelist vastastikust suhtlust teise teenusega

lahutamatult seotud vähem olulise lisavõimalusena, kuid võimaldab üldkasutatava

elektroonilise side võrgu kaudu isikutevahelist vastastikust suhtlust lõpliku arvu isikute

vahel ning mille puhul side algatanud või selles osalevad isikud määravad kindlaks teabe

saaja;

 punkt 11 „kaabelleviteenus“ – üldkasutatav elektroonilise side teenus, mis seisneb

lõppkasutajale televisiooni- või raadiosaadete või televisiooni- või raadioprogrammide

edastamises kokkulepitud tasu eest;

 punkt 15 „klient“ – üldkasutatavat elektroonilise side teenust kasutav isik, kellel on

üldkasutatava elektroonilise side teenuse kasutamiseks leping sideettevõtjaga;

 punkt 27 „lõppkasutaja“ – klient, kes ise ei osuta üldkasutatavat elektroonilise side teenust;

 punkt 31 „mobiiltelefoniteenus“ – üldkasutatav elektroonilise side teenus, mis võimaldab

kindlaks määramata asukohas riigisiseste ja rahvusvaheliste kõnede tegemist ja

vastuvõtmist ning juurdepääsu hädaabiteenustele Eesti või rahvusvahelisse

numeratsiooniplaani kuuluva numbri või sellega seotud lühivalikukoodi abil osalise või

täieliku raadioside loomise teel;

 punkt 38 „püsiliiniteenus“ – üldkasutatav elektroonilise side teenus, mis seisneb kliendile

püsiliini kasutada andmises;

 punkt 58 „telefoniteenus“ – üldkasutatav elektroonilise side teenus, mis võimaldab

riigisiseste ja rahvusvaheliste kõnede tegemist ning vastuvõtmist Eesti või rahvusvahelisse

32 / 186

numeratsiooniplaani kuuluva numbri abil;

 punkt 64 „virtuaalvõrguteenus“ – sideettevõtja poolt osutatav üldkasutatav elektroonilise

side teenus, mis põhineb teisele sideettevõtjale kuuluvas üldkasutatavas elektroonilise side

võrgus loodaval näival ühendusel või vahendil.

Üldkasutatava elektroonilise side teenuse näited on esitatud eelmise lõigus, kuid see termin on ka

elektroonilise side seaduses eraldi defineeritud. Elektroonilise side seaduse § 2 punkti 68 kohaselt

on üldkasutatav elektroonilise side teenus „teenus, mida sideettevõtja pakub vastaval sideteenuse

turul üldistel alustel kõikidele isikutele, ilma et isikud peaksid vastama mingitele neid teistest

sarnastest isikutest eristavatele tunnustele. Teenus on üldkasutatav eelkõige siis, kui selle

osutamine on kestev ja järjepidev ning seda pakutakse sisuliselt ühesugustel tingimustel“. Seetõttu

on kommenteeritavas punktis viidatud elektroonilise side seaduse vastavale terminile.

Eelnõukohase KüTSi § 2 punktiga 38 kavandatakse üle võtta NIS2-direktiivi artikli 6 punkt 36,

mis viitab direktiivi (EL) 2018/1972 artikli 2 punktis 8 määratletud üldkasutatavale elektroonilise

side võrgule. Direktiivi (EL) 2018/1972 artikli 2 punktis 8 on üldkasutatav elektroonilise side võrk

defineeritud kui „elektroonilise side võrk, mida kasutatakse ainult või peamiselt avalikult

kättesaadavate elektroonilise side teenuste pakkumiseks ning mis toetab teabe edastamist võrgu

lõpp-punktide vahel“. Elektroonilise side seaduse § 2 punkti 71 kohaselt on üldkasutatav

elektroonilise side võrk „võrk, mille kaudu osutatakse üldkasutatavat elektroonilise side teenust,

mis võimaldab teabe edastamist elektroonilise side võrgu lõpp-punktide vahel“. Vt selgitust

üldkasutatava elektroonilise side teenuse termini kohta.

Direktiivi (EL) 2018/1972 artikli 2 punktis 1 on elektroonilise side võrk defineeritud kui

„ülekandesüsteemid, mis võivad, aga ei pruugi põhineda püsitaristul või kesksel juhtimisel, ja

vajaduse korral lülitus- ja marsruutimisseadmed ning muud vahendid, sealhulgas võrguelemendid,

mis ei ole aktiivsed, mis võimaldavad edastada signaale kaabli kaudu, raadio teel, optiliselt või

muude elektromagnetiliste vahendite abil, kasutades sealhulgas satelliitvõrke, püsivõrke (ahel- ja

pakettkommuteeritud võrgud, k.a internet) ja mobiilsidevõrke, elektrikaabelsüsteeme, kui neid

kasutatakse signaalide edastamiseks, raadio- ja teleringhäälinguvõrke ja kaabeltelevisioonivõrke,

olenemata sellest, millist teavet nende kaudu edastatakse“. Elektroonilise side seaduse § 2 punktis

8 on elektroonilise side võrk defineeritud kui „ülekandesüsteem koos selle tööks vajalike

lülitusseadmete ning muude tugisüsteemidega, mis võimaldab signaalide edastamist ja suunamist

kaabli kaudu, samuti raadio, optiliste või muude elektromagnetiliste vahenditega. Muu hulgas on

elektroonilise side võrkudeks, sõltumata nende kaudu edastatava informatsiooni iseloomust,

satelliitvõrk, telefonivõrk, andmesidevõrk, mobiiltelefonivõrk, ringhäälinguvõrk, kaabellevivõrk

ja elektrikaablisüsteem, kui seda kasutatakse signaalide edastamiseks või suunamiseks.“

Direktiivi (EL) 2018/1972 artikli 2 punktis 9 on võrgu lõpp-punkt defineeritud kui „füüsiline koht,

kus lõppkasutajale pakutakse juurdepääsu üldkasutatavale elektroonilise side võrgule ning kus

identifitseeritakse võrgu lõpp-punkt konkreetse võrguaadressi abil, juhul kui võrgus kasutatakse

kommuteerimist või marsruutimist, mis võib olla seotud lõppkasutaja numbri või nimega“.

Elektroonilise side seaduse § 2 punkti 70 kohaselt on üldkasutatav elektroonilise side võrgu lõpp-

punkt „üldkasutatava elektroonilise side võrgu füüsiliselt kindlaks määratud punkt, kus kliendile

on loodud juurdepääs või võimalus juurdepääsuks üldkasutatavale elektroonilise side võrgule“.

Seetõttu on kommenteeritavas punktis viidatud elektroonilise side seaduse vastavale terminile.

Eelnõukohases KüTSi §-s 3 defineeritakse sarnaselt kehtiva KüTSiga termin „teenuseosutaja“ ja

määratakse seeläbi suuresti kindlaks ka KüTSi kohaldamisala. Kõnealuse paragrahvi ja eelnõu

subjektide ringiga seoses on asjakohased NIS2-direktiivi alltoodud põhjendused 4–7 ja 16, mis

selgitavad NIS2-direktiiviga ette nähtud küberturvalisuse nõuete järgimise kohustusega subjektide

33 / 186

ringi täiendamist ning vajadust varasem küberturvalisuse direktiiv (direktiiv (EL) 2016/1148)

kehtetuks tunnistada ja lähtuda Euroopa Komisjoni soovitusest 2003/361/EÜ:

(4) Direktiivi (EL) 2016/1148 õiguslik alus oli Euroopa Liidu toimimise lepingu artikkel 114, mille

eesmärk on siseturu rajamine ja toimimise tagamine riigisiseste normide ühtlustamise meetmete

tõhustamise abil. Teenuseid osutavatele või majanduslikult olulist tegevust ellu viivatele üksustele

kehtestatud küberturvalisuse nõuded erinevad liikmesriigiti märkimisväärselt nii nõuete liigi,

üksikasjalikkuse kui ka järelevalvemeetodi poolest. Need erisused toovad kaasa lisakulusid ning

põhjustavad raskusi piiriüleselt kaupu või teenuseid pakkuvatele üksustele. Ühe liikmesriigi

kehtestatud nõuded, mis erinevad teise liikmesriigi kehtestatud nõuetest või on nendega lausa

vastuolus, võivad sellist piiriülest tegevust oluliselt pärssida. Lisaks mõjutab küberturvalisuse

nõuete ebatõhus kavandamine või rakendamine ühes liikmesriigis tõenäoliselt küberturvalisuse

taset ka teistes liikmesriikides, kui piiriülene suhtlus on sedavõrd intensiivne. Direktiivi (EL)

2016/1148 läbivaatamise käigus selgus, et liikmesriigid kohaldavad seda väga erinevalt, muu

hulgas seoses selle kohaldamisalaga, mille piiritlemine jäeti suuresti liikmesriikide otsustada.

Direktiiviga (EL) 2016/1148 anti liikmesriikidele ka väga ulatuslik kaalutlusõigus direktiivis

sätestatud turvalisuse tagamise ja intsidentidest teatamise kohustuse rakendamisel. Seega

rakendati neid kohustusi liikmesriigi tasandil väga erinevalt. Sarnaseid lahknevusi oli ka direktiivi

(EL) 2016/1148 järelevalve- ja täitmise tagamise sätete rakendamisel.

(5) Kõik need erinevused põhjustavad siseturu killustumist ja võivad kahjustada selle toimimist,

mõjutades eelkõige teenuste piiriülest osutamist ja kübervastupidavusvõime taset, kuna

rakendatavad meetmed on erinevad. Lõppkokkuvõttes võivad need erinevused tuua kaasa selle, et

mõni liikmesriik on küberohtude vastu vähem kaitstud, millel võib olla ülekanduv mõju kogu liidus.

[NIS2-direktiivi] eesmärk on kõrvaldada sellised suured erinevused liikmesriikide vahel,

sätestades koordineeritud reguleeriva raamistiku toimimisega seotud miinimumnormid,

kehtestades liikmesriikide vastutavate asutuste tulemuslikuks koostööks vajalikud mehhanismid,

ajakohastades selliste sektorite ja tegevuste loetelu, mille suhtes küberturvalisusega seotud

kohustusi kohaldatakse, ning nähes ette tõhusad õiguskaitsevahendid ja täitemeetmed, mis on

olulised nende kohustuste tulemusliku täitmise tagamiseks. Seega tuleks direktiiv (EL) 2016/1148

kehtetuks tunnistada ja asendada [NIS2-direktiiviga].

(6) Direktiivi (EL) 2016/1148 kehtetuks tunnistamisega tuleks sektoripõhist kohaldamisala

laiendada suuremale osale majandusest, et hõlmata võimalikult täielikult kõik sektorid ja teenused,

mis on siseturu peamise ühiskondliku ja majandustegevuse jaoks elutähtsad. Eelkõige on [NIS2-

direktiivi] eesmärk kõrvaldada puudused, mis on seotud elutähtsate teenuste osutajate ja

digiteenuse osutajate eristamisega, mis on osutunud iganenuks, kuna ei kajasta sektorite või

teenuste tähtsust siseturu ühiskondliku ja majandustegevuse jaoks.

(7) Direktiivi (EL) 2016/1148 kohaselt oli liikmesriikidel kohustus kindlaks teha üksused, mis

vastavad oluliste teenuste operaatori kriteeriumidele. Et kõrvaldada sellest tulenevad

liikmesriikidevahelised suured erinevused ning tagada kõigile asjaomastele üksustele

küberturvalisuse riskijuhtimismeetmete ja teatamiskohustusega seoses õiguskindlus, tuleks

kehtestada ühtne kriteerium, mille alusel tehakse kindlaks [NIS2-direktiivi] kohaldamisalasse

kuuluvad üksused. See kriteerium peaks põhinema suuruse ülempiiri reegli kohaldamisel, mille

kohaselt jäävad [NIS2-direktiivi] kohaldamisalasse kõik üksused, mida käsitatakse komisjoni

soovituse 2003/361/EÜ lisa artikli 2 kohaselt keskmise suurusega ettevõtjana või mis ületavad

keskmise suurusega ettevõtja ülemmäärasid, mis on esitatud kõnealuse artikli lõikes 1, ning

tegutsevad [NIS2-direktiiviga] hõlmatud sektorites, osutavad teenuseid või viivad ellu tegevusi,

mis kuuluvad selle kohaldamisalasse. Liikmesriigid peaksid samuti ette nägema, et [NIS2-

direktiivi] kohaldamisalasse kuuluvad teatavad kõnealuse soovituse lisa artikli 2 lõigetes 2 ja 3

määratletud väikesed ettevõtjad ja mikroettevõtjad, mis vastavad konkreetsetele kriteeriumidele,

34 / 186

mis näitavad ühiskonna, majanduse või konkreetsete sektorite või teenuseliikide võtmerolli.

(16) Vältimaks seda, et üksusi, millel on partnerettevõtjad või mis on sidusettevõtjad, peetaks

elutähtsateks30 või olulisteks üksusteks, kui see oleks ebaproportsionaalne, on liikmesriikidel

võimalik soovituse 2003/361/EÜ lisa artikli 6 lõike 2 kohaldamisel võtta arvesse üksuse oma

partneritest või sidusettevõtjatest sõltumatuse määra. Eelkõige on liikmesriikidel võimalik võtta

arvesse asjaolu, et üksus on oma partner- või sidusettevõtjatest sõltumatu teenuste osutamisel

kasutatavate võrgu- ja infosüsteemide osas, ja teenuste osas, mida üksus osutab. Selle põhjal

võivad liikmesriigid asjakohasel juhul leida, et nimetatud üksust ei saa käsitada 2003/361/EÜ lisa

artikli 2 kohase keskmise suurusega ettevõtjana või et üksus ei ületa keskmise suurusega ettevõtja

kõnealuse artikli lõikes 1 esitatud ülemmäärasid, kui pärast selle üksuse sõltumatuse määra

arvestamist üksnes tema enda andmete arvesse võtmisel ei käsitataks teda keskmise suurusega

ettevõtjana või neid ülemmäärasid ületavana. See ei mõjuta [NIS2-direktiivi] kohaldamisalasse

kuuluvate partner- ja sidusettevõtjate [NIS2-direktiivis] sätestatud kohustusi.

Lisaks eeltoodule on asjakohased NIS2-direktiivi põhjendused 20 ja 21:

(20) Komisjon peaks koostöös koostöörühmaga ja pärast konsulteerimist asjaomaste

sidusrühmadega andma mikroettevõtjate ja väikeste ettevõtjate suhtes kohaldatavate kriteeriumide

rakendamise suunised, et hinnata, kas nad kuuluvad [NIS2-direktiivi] kohaldamisalasse. Samuti

peaks komisjon tagama, et asjakohaseid suuniseid antakse [NIS2-direktiivi] kohaldamisalasse

kuuluvatele mikroettevõtjatele ja väikestele ettevõtjatele. Komisjon peaks liikmesriikide toetusel

tegema sellekohase teabe mikroettevõtjatele ja väikestele ettevõtjatele kättesaadavaks.

(21) Komisjon peaks andma suunised, mille eesmärk on abistada liikmesriike kohaldamisala

käsitlevate [NIS2-direktiivi] sätete rakendamisel ja [NIS2-direktiivi] kohaselt võetavate meetmete

proportsionaalsuse hindamisel, eelkõige seoses üksustega, millel on keerukad ärimudelid või

tegevuskeskkonnad, mille puhul võib üksus vastata korraga nii elutähtsa31 kui ka olulise üksuse

kriteeriumidele või viia samal ajal ellu tegevusi, millest osa kuulub [NIS2-direktiivi]

kohaldamisalasse ja osa mitte.

Eelnõukohane KüTSi § 3 on üles ehitatud järgmiselt. Lõikes 1 esitatakse üldine teenuseosutaja

määratlus: teenuseosutaja on eelnõu kohaselt ühiskonna toimimise seisukohast ülioluline ja oluline

üksus, mida eelnõus nimetatakse edaspidi lühemalt vastavalt „ülioluline üksus“ ja „oluline üksus“.

Lõigetes 2 ja 3 loetletakse KüTSi tähenduses üliolulised üksused ning lõigetes 4 ja 5 KüTSi

tähenduses olulised üksused. Kuivõrd nii üliolulise kui ka olulise üksuse määramisel tugineb NIS2-

direktiiv ja ka eelnõu osaliselt Euroopa Komisjoni soovitusele 2003/361/EÜ, siis on

kommenteeritava paragrahvi lõigetes 6 ja 7 täpsustatud teatavaid nimetatud soovituse kohaldamisel

järgitavaid aspekte. Ühtlasi tuleb tähele panna, et teatud üksused (vastavalt kommenteeritava

paragrahvi lõike 2 punktides 1–9 ja lõike 4 punktides 1–9 nimetatud üksused) kvalifitseeruvad

NIS2-direktiivi järgi vastavalt ülitähtsaks või oluliseks sõltumata oma suurusest ehk finants- ja

tööjõunäitajatest (vt ka NIS2-direktiivi põhjenduse 7 viimane lause).

Eelnõukohase §ga 3 võetakse üle NIS2-direktiivi artiklis 3 ning lisades I ja II ette nähtud elutähtsa

(eelnõus üliolulise) ja olulise üksuse mõisted ning nendega seotud NIS2-direktiivi puudutavad

kohaldamisala reeglid, mis on sätestatud artiklis 2.

Eelnõu kooskõlastusringil saadud tagasiside alusel on KüTSi teenuseosutaja mõistega seotud sätted

koondatud ühte paragrahvi (kommenteeritav KüTSi § 3) ja püütud seeläbi teha KüTSi

kohaldamisala seaduse rakendajale paremini loetavaks ja mõistetavaks. Seaduse rakendaja peaks

vaatama kommenteeritavat paragrahvi 3 ning tuvastama, kas ta on lõigete 2 või 3 kohane ülioluline

üksus või lõigete 4 ja 5 kohane oluline üksus.

Osa eelnõukohases KüTSi §-s 3 nimetatud isikutest kuuluvad KüTSi kohaldamisalasse sõltumata

30 Eelnõus „üliolulisteks üksusteks“. 31 Eelnõus „üliolulise üksuse“.

35 / 186

nende suurusest ja käibest, näiteks kui tegemist on elutähtsa teenuse osutajaga hädaolukorra

seaduse tähenduses või keskvalitsuse avaliku sektori üksusega jne. Arvestades selliste üksuste rolli

ühiskonnas ja võimalikke küberturvalisusega seotud riskide laialdast mõju, on Euroopa Liidu

seadusandja pidanud NIS2-direktiivi reeglite rakendamist nende puhul vajalikuks sõltumata nende

suurusest.

Osa eelnõukohases KüTSi §-s 3 nimetatud isikutest kuuluvad KüTSi kohaldamisalasse aga üksnes

siis, kui nad vastavad teatavatele töötajate arvu ning käibe- või bilansimahu piirmääradele. See

tähendab, et Euroopa Liidu seadusandja on pidanud nende allutamist direktiivist tulenevatele

reeglitele vajalikuks üksnes siis, kui nad on teatud suuruses (finants- ja tööjõunäitajate põhjal).

NIS2-direktiivi artikli 2 lõike 1 kohaselt tuleb lähtuda üksuse töötajate arvust ning bilansi- või

käibemahust, arvestades Euroopa Komisjoni soovitusega 2003/361/EÜ.

Seejuures on oluline, et töötjate arv ning bilansi- või käibemahtude piirmäärad on ette nähtud nii

üliolulistele kui ka olulistele üksustele, kuid neile rakenduvad piirmäärad on erinevad. Vastavatest

piirmääradest lähtumine on ülioluliste üksuste puhul ette nähtud KüTSi § 3 lõike 2 punktis 9 ja

lõikes 3 ning oluliste üksuste puhul KüTS § 3 lõike 4 punktis 8 ja lõikes 5. Nimetatud sätetes on

ära nimetatud ka konkreetsel juhul rakenduvad piirmäärad.

Kuna töötajate arvu ning bilansi- või käibemahu piirmäärade arvutamise üldine lähtealus on

Euroopa Komisjoni soovitus 2003/361/EÜ, siis selgitatakse alljärgnevalt esmalt nende üldist

kohaldumise loogikat. Iga konkreetse eelnõukohase KüTSi § 3 lõike või punkti kohaldamisel saab

mh arvestada nende üldisemate selgitustega.

Euroopa Komisjoni soovituse 2003/361/EÜ kohaselt on keskmise suurusega ettevõtja ettevõtja,

kellel on a) vähemalt 50 töötajat ning b) kelle bilansimaht või aastakäive ületab 10 miljonit eurot.

Mõlemad tingimused peavad olema täidetud, st kui ettevõtjal on näiteks vähemalt 50 töötajat, kuid

bilansimaht või aastakäive on väiksem kui 10 miljonit eurot, siis pole tegemist keskmise suurusega

ettevõtjaga; bilansimaht või aastakäive ei tohi olla väiksem kui 10 miljonit eurot. Sama loogika ja

tulemus kehtivad ka vastupidi ehk kui bilansimaht või aastakäive on vähemalt 10 miljonit eurot,

kuid ettevõtjal on vähem kui 50 töötajat, ei ole tegemist keskmise suurusega ettevõtjaga;

bilansimahu ja aastakäibe puhul on vaja, et vähemalt üks neist oleks suurem kui 10 miljonit eurot.

Siinset selgitust tuleb arvestada koosmõjus järgmiste selgitusega.

Euroopa Komisjoni soovituse 2003/361/EÜ lisa artiklites 2–6 selgitatakse mh, millised on

ettevõtjate suuruste kategooriad ja milliseid asjaolusid tuleb arvesse võtta, kui arvutatakse töötajate

arvu ning bilansimahtu või aastakäivet. Näiteks selle soovituse lisa artikkel 3 näeb ette, mis laadi

ettevõtjaid (ingl enterprise) tuleb arvestada töötajate arvu ja finantsnäitajate väljaselgitamisel,

eristades autonoomseid, partner- ja sidusettevõtjaid (ingl vastavalt autonomous, partner and linked

enterprises). Nende artiklite sisu tuleb arvesse võtta nimetatud soovituse alusel töötajate arvu ja

finantsnäitajate väljaselgitamisel. Näiteks ei saa töötajate arvu ja finantsnäitajate suuruse

kindlakstegemisel hinnata ainult tegevusi, mis on kirjas NIS2-direktiivi I ja II lisas, vaid lähtuvalt

soovituse 2003/361/EÜ lisast tuleb analüüsida kogu organisatsiooni.

Analüüsimisel on abiks Euroopa Liidu Väljaannete Talituse veebilehel avaldatud „VKEde

määratlust käsitlev teatmik“32 (edaspidi teatmik), milles selgitatakse, millised ettevõtjad on mikro-

ning väikese ja keskmise suurusega. Tegemist on teatmikuga, mis on mõeldud väike- ja keskmise

suurusega ettevõtjatele (edaspidi VKE) abiks ELi toetuste taotlemisel, kuid see selgitab ka

soovituse 2003/361/EÜ sisu ja olemust. Teatmikus on selgitatud kokkuvõtlikult (lk 7, 9, 11–15 ja

24):

- ettevõtja – määratluse kohaselt on ettevõtja „majandustegevusega tegelev mis tahes üksus

olenemata selle õiguslikust vormist”. See sõnastus kajastab terminoloogiat, mida Euroopa

32 https://op.europa.eu/et/publication-detail/-/publication/756d9260-ee54-11ea-991b-01aa75ed71a1/language-et

36 / 186

Kohus kasutab oma otsustes. Määrav tegur on majandustegevus, mitte õiguslik vorm.

Praktikas tähendab see, et ettevõtjana võib käsitada füüsilisest isikust ettevõtjaid,

pereettevõtjaid, ühinguid ja ühendusi või mis tahes muid üksusi, mis tegelevad korrapärase

majandustegevusega. Majandustegevuse all mõistetakse tavaliselt toodete või teenuste müüki

konkreetse hinna eest konkreetsel/otsesel turul;

- VKEna käsitamine – selleks et ettevõtjat saaks käsitada VKEna, peab olema täidetud töötajate

arvu kriteerium. Samas võib ettevõtja ise valida, kas täidetakse käibe- või siis bilansimahu

ülemmäära kriteerium. Ettevõtja ei pea täitma mõlemat kriteeriumi ning võib ületada ühe

ülemmäära, ilma et see mõjutaks tema VKE staatust;

- kasutatavad andmed:

o arvutuste tegemisel peaks kasutama viimases heakskiidetud raamatupidamise

aastaaruandes sisalduvaid andmeid;

o uus ettevõtja, kellel heakskiidetud raamatupidamise aastaaruanne veel puudub, saab

kasutada deklaratsiooni, mis sisaldab majandusaasta käigus heas usus koostatud

prognoosi (äriplaani kujul). Äriplaan peaks hõlmama kogu perioodi (majandusaastaid)

kuni ajani, mil üksusel tekib käive [vt teatmiku lisa artikkel 4, lk 44];

o olenemata sellest, kas ettevõtja koostab konsolideeritud aastaaruande või mitte,

peaksid lõpuks arvessevõetavad andmed hõlmama järgmist: selle ettevõtja, kelle VKE

staatust hinnatakse, partnerettevõtjate andmed; selle ettevõtjaga, kelle VKE staatust

hinnatakse, seotud ettevõtjate andmed; asjaomase ettevõtja partnerettevõtjatega seotud

ettevõtjate andmed; selle ettevõtjaga, kelle VKE staatust hinnatakse, seotud

ettevõtjatega seotud ettevõtjate andmed; selle ettevõtjaga, kelle VKE staatust

hinnatakse, seotud ettevõtjate partnerettevõtjate andmed.

o selleks et vältida keerulisi ja lõputuid arvutusi, sisaldab ettevõtja määratlus reeglit, et

kui partnerettevõtjal on omakorda partnerettevõtjad, tuleb arvesse võtta vaid nende

partnerettevõtjate andmeid, mis asuvad asjaomasest ettevõtjast tootmisahelas vahetult

ees- või tagapool [vt soovituse 2003/361/EÜ lisa artikli 6 lõike 2 kohta teatmiku lk-l

43 ning lk-l 26 esitatud näide nr 2];

o kui selle ettevõtja partnerettevõtja, kelle VKE staatust hinnatakse, on seotud teise

ettevõtjaga, juhul tuleb selle ettevõtja partnerettevõtja andmetesse lisada kõik seotud

ettevõtjate andmed [vt ka teatmiku lk 21–22 „Kas mul on seotud ettevõte?“); kasutada

tuleks partnerettevõtte osalusega võrdelist osa andmetest (vt soovituse 2003/361/EÜ

lisa artikli 6 lõige 3 teatmiku lk-l 43 ning lk-l 22 „Kuidas arvutada seotud ettevõtete

andmeid?”];

- autonoomne ettevõtja – kui ettevõtja on kas täiesti sõltumatu või kui tal on teiste ettevõtjatega

üks vähemusosalusega seotud suhe või mitu sellist suhet (igaüks neist alla 25%); [vt täpsemalt

teatmiku lk-d 16–17 „Kas mul on autonoomne ettevõte?“];

- partnerettevõtja – kui Teie osalus teises ettevõttes või teise ettevõtja osalus Teie ettevõttes

moodustab vähemalt 25%, kuid mitte üle 50%, siis käsitatakse seda suhet partnerettevõtjate

vahelise suhtena; [vt täpsemalt teatmiku lk-d 18–20 „Kas mul on partnerettevõte?“]; soovituse

2003/361/EÜ lisa artikli 3 lõikes 2 on sätestatud erandid, mil tegemist pole partnerettevõtjaga;

- sidusettevõtja – kui Teie osalus teises ettevõttes või teise ettevõtja osalus Teie ettevõttes ületab

50% künnise, on tegemist sidusettevõtjaga; [vt täpsemalt teatmiku lk-d 21–22 „Kas mul on

seotud ettevõte?“]; ettevõtjaid, kes koostavad konsolideeritud aastaaruande või kelle andmed

lisatakse teise ettevõtja konsolideeritud aastaaruandesse täieliku konsolideerimise teel,

käsitatakse tavaliselt sidusettevõtjatena;

- kontroll – VKE määratluse puhul on oluline ka kontroll ning seda nii juriidilise kui ka tegeliku

kontrolli tähenduses. Kontroll määrab kindlaks selle, kas ettevõtjat saab käsitada

37 / 186

partnerettevõtjana või sidusettevõtjana. Hinnata ei tule mitte pelgalt kapitali või osalust, vaid

ka kontrolli, mis ühel ettevõtjal teise üle on;

- töötajate arv – see on aasta tööühikute (edaspidi ATÜ) arv. Töötajate arvu käsitleva

kriteeriumiga on hõlmatud täistöökohaga, osalise tööajaga, ajutised ja hooajalised töötajad,

sealhulgas järgmised isikud: töötajad, isikud, kes töötavad ettevõtja heaks ja kes on

asjaomasesse ettevõttesse lähetatud ning keda käsitatakse liikmesriigi õiguse alusel töötajatena

(nende hulka võivad olla arvatud ka ajutised töötajad), omanikud-tegevjuhid ning ettevõtja

korrapärases tegevuses osalevad partnerid, kes saavad ettevõttest rahalist kasu. Töötajate hulka

ei arvestata praktikante ja üliõpilasi, kes on praktika- või kutseõppelepingu alusel kutseoskusi

omandamas ning rasedus- ja sünnituspuhkusel või lapsehoolduspuhkusel olevaid töötajaid.

Üheks ühikuks loetakse kogu vaatlusaasta jooksul ettevõttes või selle nimel täiskohaga

töötanud isikute arv; nende isikute töö, kes ei töötanud terve aasta, ning osalise tööajaga isikute

ja hooajatöötajate töö võetakse arvesse ATÜ murdosadena;

- aastakäive – selle kindlaksmääramiseks leitakse tulu, mille ettevõtja sai asjaomasel aastal

toodete müügist ja teenuste osutamisest oma tavapärase tegevuse tulemusel ning millest on

maha arvatud kõik mahahindlused. Käive ei tohiks sisaldada käibemaksu ega muid kaudseid

makse;

- aastabilansi kogumaht – näitab ettevõtja peamiste varade väärtust;

- soovituse 2003/361/EÜ lisa:

o artikli 4 lõikega 2 tagatakse stabiilsus ja kindlustunne ettevõtjatele, kelle näitajad on

ülemmäärade lähedal ja kellel on oht neid erandlikul aastal ja/või ebastabiilsel turul

ületada. Seega, kui ettevõtja ületab vaatlusaastal töötajate arvuga seotud või rahalised

ülemmäärad, ei mõjuta see tema olukorda ning ta säilitab VKE staatuse, mis tal oli

majandusaasta alguses. Ta kaotab selle staatuse, ületades ülemmäärad kahel

järjestikusel aruandeperioodil. Samas võib ettevõtja saada VKE staatuse, kui ta oli

varem suurettevõtja, kuid tema näitajad langesid ülemmääradest allapoole ja jäid sinna

kaheks järjestikuseks aruandeperioodiks;

o artikli 4 lõike 2 eesmärk on tagada, et kasvavaid ettevõtjaid ei karistataks VKE staatuse

kaotusega, välja arvatud juhul, kui nad ületavad asjaomaseid künniseid püsivalt. Seda

eesmärki silmas pidades ei kohaldata artikli 4 lõiget 2 nende ettevõtjate suhtes, kes

ületavad asjaomased VKE staatusega seotud künnised ühinemise või omandamise

tulemusel omandisuhetes toimunud selliste muutuste tõttu, mida ei peeta tavaliselt

ajutiseks ja mis ei tulene volatiilsusest. Ettevõtjaid, mille puhul toimub omandisuhete

muutus, tuleb hinnata nende omakapitali sellise struktuuri põhjal, mis valitses tehingu

toimumise hetkel, mitte viimase majandusaasta aruande koostamise hetkel. Seetõttu

võidakse VKE staatus kaotada kohe.

Sama teatmiku lk-del 25–31 on ka seitse näidet, milles on selgitatud ettevõtjate andmete

arvutamist. Lisaks on teatmikus (lk-l 14) ka näitlik tabel 1, milles selgitatakse soovituse

2003/361/EÜ lisa artikli 4 lõike 2 loogikat (kus N on viimane heakskiidetud aruandeperiood).

Tabel 1. Soovituse 2003/361/EÜ lisa artikli 4 lõike 2 selgitus

Näite nr N (vaatlusaasta) N–1 N–2 VKE staatus

1 VKE mitte-VKE mitte-VKE mitte-VKE

2 VKE VKE mitte-VKE VKE

3 VKE VKE VKE VKE

4 VKE mitte-VKE VKE VKE

5 mitte-VKE VKE VKE VKE

6 mitte-VKE mitte-VKE VKE mitte-VKE

38 / 186

7 mitte-VKE VKE mitte-VKE mitte-VKE

8 mitte-VKE mitte-VKE mitte-VKE mitte-VKE

Sama teatmiku lk-del 46–56 on näidisdeklaratsioon, mida ettevõtjad saavad kasutada, et määrata

kindlaks oma VKE staatus VKEde toetuskavadest abi taotlemisel. Teatmiku lk-del 49 ja 50 on

esitatud selgitav märkus töötajate arvu ja finantsnäitajate määramisel arvesse võetud ettevõtjate

liikide kohta ehk sisuliselt eelneva selgituse kokkuvõte.

Eraldi väärib märkimist, et eelnõukohastes KüTSi § 3 lõigetes 6 ja 7 on ette nähtud kõnealuse

soovituse rakendamisel tehtavad erandid (soovituse artikli 3 lg 4 kohaldamata jätmine ning partner-

ja sidusettevõtja näitajate võimalik arvestamata jätmine). Vt nende kohta täpsemaid selgitusi

allpool.

Arvestades eeltoodut, on soovitatavad etapid konkreetse üksuse KüTSi kohaldamisalasse

kuulumise tuvastamiseks järgmised: a) esimese sammuna (tuvastusvariant A) tuleks tuvastada, kas

tegemist on mõne KüTSi § 3 lõike 3 või 5 mõnes punktis nimetatud teenuse või tegevusega: b) kui

selgub, et tegemist on ühe neis lõigetes nimetatud teenuse või tegevusega, tuleb teise sammuna

tuvastada, kas ettevõtja vastab soovituse 2003/361/EÜ kohase keskmise suurusega ettevõtja

kriteeriumitele (st finants- ja tööjõunäitajad). Kui ettevõtja vastab neile kriteeriumitele, siis on

tegemist üksusega, kes peab KüTSi järgima. Kui ettevõtja neile kriteeriumitele ei vasta, tasub

kontrollida tuvastusvarianti B ehk seda, kas KüTSi nõuete järgimise kohustus võib tekkida KüTSi

§ 3 lõike 2 punktide 1–9 või lõike 4 punktide 1–7 või p 9 alusel. Nende punktide puhul puudub

vajadus kontrollida üksuse finants- ja tööjõunäitajaid, sh ka üldkasutatava elektroonilise side võrgu

teenuse osutaja ja üldkasutatava elektroonilise side teenuse osutaja (vt eelnõukohased KüTSi § 3

lg 2 p 9 ja lg 4 p 9) korral. Kui kontrollimist alustati tuvastusvariandist B, siis tuleb kontrollida ka

tuvastusvarianti A. Kui mõlema tuvastusvariandi tulemus on negatiivne, siis üksus ei pea KüTSi

nõudeid järgima ehk tegemist pole KüTSi kohase teenuseosutajaga.

Eelkirjeldatud KüTSi kohaldamisalasse kuuluva üksuse tuvastamist selgitab joonis nr 1.

Joonis 1. KüTSi subjektsuse tuvastamine

39 / 186

Eelnõu autorid rõhutavad, et eelmainitud tuvastamise kontroll ei kohaldu üksusele, kes on ainult

domeeninimede registreerimise teenuse osutaja, kuna sellele üksusele kohalduvad ainult mõned

KüTSi nõuded (vt ka eelnõukohase KüTS § 2 p 4 selgitusi). Samuti ei ole siinne kirjeldus mõeldud

selgitamaks, kas konkreetne üksus on ülioluline üksus või oluline üksus. Seda selgitavad täpsemalt

järgnevate lõigete ja punktide selgitused.

Lisaks selgitab mõistete „üksus“, „teenuseosutaja“, „ülioluline üksus“, „oluline üksus“ ja

„domeeninimede registreerimise teenuse osutaja“ olemust joonis 2.

Joonis 2. Üksuse mõiste seos teiste asjaomaste mõistetega

Eelnõukohases KüTSi § 3 lõikes 1 defineeritakse teenuseosutaja mõiste. Teenuseosutajaks on

KüTSi tähenduses ühiskonna toimimise seisukohast ülioluline üksus või ühiskonna toimimise

seisukohast oluline üksus.

Lõike 1 eesmärk on siduda NIS2-direktiivis nimetatud liiki üksused kehtiva KüTSi sõnastusega

ehk sõnaga „teenuseosutaja“. Kui KüTSis või selle alusel antud määruses on kasutatud sõna

„teenuseosutaja“, siis kehtib asjaomane säte nii üliolulisele üksusele kui ka olulisele üksusele.

Nende kaht liiki üksuse vaheline erinevus on ennekõike seotud nii nende suhtes kehtestatud

järelevalvemeetmete ja -režiimiga (vt KüTSi 4. peatükk ja sellesse tehtavad muudatused) kui ka

KüTSi nõuete rikkumiste korral nende üksuste suhtes ette nähtavate väärteokaristuste suurusega

(vt KüTSi 5. peatükk ja sellesse tehtavad muudatused).

Kommenteeritava punktiga on seotud ka NIS2-direktiivi põhjendus 15:

(15) Küberturvalisuse riskijuhtimismeetmete järgimiseks ja teatamiskohustuse täitmiseks tuleks

[NIS2-direktiivi] kohaldamisalasse kuuluvad üksused liigitada kahte kategooriasse – elutähtsad

üksused33 ja olulised üksused, mis näitab, mil määral on nad kriitilise tähtsusega nende sektori või

osutatavate teenuste liigi, aga ka oma suuruse seisukohast. Sellega seoses tuleks igakülgselt

arvesse võtta kõiki asjakohaseid valdkondlikke riskihindamisi või pädevate asutuste suuniseid, kui

see on kohaldatav. Nende kahe üksuseliigi järelevalve- ja täitmise tagamise kord peaks olema

erinev, et tagada õiglane tasakaal kohaldatavate riskipõhiste nõuete ja kohustuste ning nõuete

33 Eelnõus „üliolulised üksused“.

40 / 186

täitmise järelevalvega seotud halduskoormuse vahel.

Domeeninimede registreerimise teenust osutava üksuse puhul tuleb arvestada asjaoluga, et NIS2-

direktiiv ei määratle teda üliolulise üksuse ega olulise üksusena, mistõttu kohalduvad neile ainult

teatud NIS2-direktiivi nõuded. Siin vt ka eelnõukohase KüTSi § 2 punkti 4 selgitusi.

KüTSi § 3 lõike 2 sõnastust muudetakse, kuna see sisaldab viidet NIS2-direktiiviga kehtetuks

tunnistatavale direktiivile (EL) 2016/1148 ning kuna NIS2-direktiiv ei kasuta terminit „olulise

teenuse operaator“.

Eelnõukohase KüTSi § 3 lõike 2 eesmärk on määratleda NIS2-direktiivi artikli 3 lõike 1 kohaselt

need üksused, kes on KüTSi järgi üliolulised üksused. Kooskõlastusele saadetud eelnõu versioonis

kasutati termineid „elutähtis üksus“ ja „elutähtsa teenuse osutaja“ (defineeritud hädaolukorra

seaduses), kuid neile definitsioonidele vastavaid isikuid ei saa alati samastada. Kõik elutähtsa

teenuse osutajad on eelnõu varasema terminoloogia kohaselt küll automaatselt elutähtsad üksused

(praeguses versioonis „üliolulised üksused“), kuid kõik üliolulised üksused ei ole automaatselt

elutähtsa teenuse osutajad. Et vältida terminoloogilist segadust, on kooskõlastusringi järel loobutud

KüTSis termini „elutähtis üksus“ kasutamisest ja lähtutud terminist (ühiskonna toimimise

seisukohalt) „ülioluline üksus“, mis on selgemas kooskõlas ka seaduse reguleerimisalaga.

Elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses on aga KüTSi mõttes alati ülioluline

üksus (vt eelnõukohane KüTSi § 3 lg 2 p 2).

Lõike 2 punktid 1–8 hõlmavad NIS2-direktiivi artikli 2 lõike 2 kohaselt selliseid KüTSi subjekte,

kelle puhul ei sõltu „teenuseosutajaks“ kvalifitseerumine ja seaduse kohaldamisalasse kuulumine

finants- või tööjõunäitajatest. Osa kõnealuses lõikes nimetatud subjektidest on nimetatud ka NIS2-

direktiivi I lisas (millele viitab ka NIS2-direktiivi artikli 2 lõige 1), kuid kuna NIS2-direktiivi artikli

2 lõige 2 sätestab, et ka need subjektid on kohustatud isikud sõltumata oma finants- või

tööjõunäitajatest, siis on samadest põhimõtetest lähtutud ka eelnõus.

Lõike 2 punkt 9, mis määratleb ülioluliste üksustena ka elektroonilise side võrgu teenuse osutajad

või üldkasutatava elektroonilise side teenuse osutajad, on eelnevatest punktidest selles mõttes

erinev, et selle teenuseosutaja „ülioluliseks üksuseks“ kvalifitseerumise küsimuse lahendamisel

tuleb arvestada ka töötajate arvu ning bilansimahtu või aastakäivet.

Osaliselt on selles lõikes ülioluliste üksustena nimetatud sellised üksused, kes on NIS2-direktiivis

otsesõnu märgitud üliolulise üksusena (nt elutähtsa teenuse osutaja). Osaliselt on aga tegemist

riigisiseselt ülioluliste üksuste kindlaksmääramisega, arvestades NIS2-direktiivi artikli 2 lõike 2

punktides b–e sätestatud kriteeriume. Need kriteeriumid on järgmised:

b) üksus on liikmesriigis sellise teenuse ainuosutaja, mis on kriitilise tähtsusega

ühiskondliku või majandustegevuse säilitamiseks;

c) üksuse osutatava teenuse häirel võib olla oluline mõju avalikule turvalisusele, avalikule

julgeolekule või rahvatervisele;

d) üksuse osutatava teenuse häire võib tuua kaasa olulise süsteemse riski, eelkõige

sektorites, kus sellisel häirel võib olla piiriülene mõju;

e) üksus on kriitilise tähtsusega oma erilise olulisuse tõttu riiklikul või piirkondlikul

tasandil konkreetse sektori või teenuseliigi või liikmesriigi muude üksteisest sõltuvate

sektorite jaoks.

Nimetatud NIS2-direktiivi punktid ei täpsusta enamal määral, milliseid üksusi on siin mõeldud,

vaid siinkohal on igal liikmesriigil võimalus NIS2-direktiivi üle võtvas õigusaktis ise kindlaks

määrata lisaüksused, kes vastavad kommenteeritava lõike kriteeriumitele ning kes tuleb lugeda

riigisisese seaduse subjektiks. Seda on lõikes 2 nimetatud teatud subjektide üliolulisteks üksusteks

määramisel ka tehtud (vt vastavaid selgitusi allpool konkreetsete punktide juures). Samas on

loobutud NIS2-direktiivi artikli 2 lõike 2 eraldi ülevõtmisest, st eelnõu uues versioonis ei ole enam

41 / 186

kooskõlastusele saadetud eelnõus sisaldunud KüTSi § 1 lõiget 14, milles kavandati ette näha

vastavad kriteeriumid, vaid eelnõus on juba nendest kriteeriumitest lähtudes teatavad üksused

määratud üliolulisteks ja olulisteks üksusteks (nt kriitilise tähtsusega side, mereraadioside ja

operatiivraadiosidevõrgu teenuse osutaja). Seeläbi välditakse olukorda, kus täidesaatval võimul

tekib rakendusaktiga võimalus seaduse kohaldamisala liigselt ja subjektidele või potentsiaalsetele

subjektidele ootamatult või läbipaistmatult laiendada. St uuendatud eelnõus ei ole kooskõlastusele

saadetud eelnõu kohase KüTSi § 1 lõikega 16 kavandatud määruse kehtestamise volitusnormi.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 1 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike

1 punkt b (konkreetsemalt termin „domeeninimede süsteemi teenuse osutajad“) ja NIS2-direktiivi

artikli 2 lõike 2 punkti a alapunkt iii, (konkreetsemalt selle termin „domeeninimede süsteemi

teenuse osutajad“. Mõlema artikli kohaselt kuuluvad domeeninimede süsteemi teenuse osutajad

NIS2-direktiivi kohaldamisalasse olenemata nende suurusest. Domeeninimede süsteem on

defineeritud NIS2-direktiivi artikli 6 punktis 19, mis võetakse üle KüTSi § 2 punktiga 5 ning

domeeninimede süsteemi teenuse osutaja on defineeritud NIS2-direktiivi artikli 6 punktis 20, mis

võetakse üle KüTSi § 2 punktiga 6.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 2 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike

1 punkt f (elutähtsa teenuse osutaja) ning NIS2-direktiivi artikli 2 lõige 3 ([NIS2-direktiivi]

kohaldatakse [CER-direktiivi] kohaselt elutähtsa teenuse osutajatena käsitatavate üksuste suhtes

olenemata nende suurusest). Tegemist on ka kehtiva õiguse säilitamisega, kuna elutähtsa teenuse

osutajad kuuluvad juba KüTSi kohaldamisalasse KüTSi kehtiva versiooni § 3 lõike 1 punkti 1

alusel. Praegu määrab elutähtsa teenuse osutaja olemuse kindlaks hädaolukorra seadus, kuid

kavandatava tsiviilkriisi ja riigikaitse seaduse jõustumise järel reguleerib sellega seotud temaatikat

nimetatud seadus. Hädaolukorra seaduse alusel tuvastatud elutähtsa teenuse osutaja ei pea

tegutsema NIS2-direktiivi I või II lisas nimetatud sektoris selleks, et ta oleks kommenteeritava

punkti alusel hõlmatud KüTSi nõuetega.

Tulevaste elutähtsa teenuste osutajate lisandumist on selgitatud CER-direktiivi üle võtvas

hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõus nr

426 SE. Tsiviilkriisi ja riigikaitse seadusesse tehtavad muudatused on leitavad eelnõude

infosüsteemi toimikust nr 21-0915 ning Riigikogus menetletavast tsiviilkriisi ja riigikaitse seaduse

eelnõust nr 668 SE.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 3 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike

1 punkt d ja artikli 2 lõike 2 punkt f alapunkt i. Ülioluliseks üksuseks KüTSi tähenduses on

keskvalitsuse avaliku halduse üksus. NIS2-direktiivi artikli 2 lõike 2 alapunkti i kohaselt on

ülioluline üksus keskvalitsuse avaliku halduse üksus, nagu see on kindlaks määratud liikmesriigi

poolt kooskõlas tema õigusega. „Keskvalitsuse avaliku halduse üksus“ on defineeritud KüTSi § 2

punktis 14, kuid see on seotud ka avaliku halduse üksuse mõistega, mis on defineeritud NIS2-

direktiivi artikli 6 punktis 35 (mida eelnõuga eraldi üle ei võta). Kommenteeritava punkti puhul on

tegemist ka kehtiva õiguse säilitamisega, kuna see mõiste hõlmab kehtiva KüTSi § 3 lõike 4

punktides 3, 5, 6, 7, 8, 11, 12 ja 14 nimetatud üksusi. Termini „keskvalitsuse avaliku halduse üksus“

kasutamise võimalikkust ja mõistlikkust on eelnõu koostamise käigus korduvalt kaalutud ning

otsitud sobivamaid alternatiive, kuna kõnesoleva eelnõu kontekstis on tegemist NIS2-direktiivist

pärit terminiga, mis on mõeldud ülevõtmiseks kõigile liikmesriikidele ja mis oma vormi ja sisu

poolest seondub eelkõige föderatiivsete riikide õigusterminoloogiaga. Sellele vaatamata on

kaalumise järel otsustatud hetkel parema alternatiivi puudumisel termin sellisel kujul säilitada,

arvestades mh, et sarnast sõnastust („keskvalitsus“ koos seaduse puhul asjaomase täiendiga)

42 / 186

kasutatakse ka arvukates teistes Eesti õigusaktides – nende seas näiteks riigieelarve seaduses,

riigivaraseaduses ja krediidiasutuste seaduses.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 4 kavandatakse määrata kohaliku omavalitsuse avaliku

halduse üksus ülioluliseks üksuseks, arvestades NIS2-direktiivi artikli 5 punkti a (liikmesriigid

võivad ette näha, et [NIS2-direktiivi] kohaldatakse kohaliku tasandi avaliku halduse üksuste

suhtes). Kommenteeritava punkti eesmärk on säilitada ka KüTSi kehtiva versiooni § 3 lõike 4

punktist 4 tulenev olukord, kus kohaliku omavalitsuse avaliku halduse üksused kuuluksid

üliolulisele üksusele omase eelkontrollilaadse järelevalve alla. Vt siinjuures ka KüTSi § 2 punkti

15 kohta esitatud selgitust. Kommenteeritavas punktis määratletud mõiste on seotud ka avaliku

halduse üksuse mõistega, mis on defineeritud NIS2-direktiivi artikli 6 punktis 35 (mida eelnõuga

eraldi üle ei võta).

Nagu juba öeldud, on kohaliku omavalitsuse avaliku halduste üksuste üliolulise üksusena

määramise eesmärk säilitada senine kord. Kui kommenteeritava NIS2-direktiivi sätte ülevõtmisel

otsustataks, et see võetakse kitsamalt üle ja kehtivat õigust ei säilitataks, siis võib see kaasa tuua

olukorra, kus kohalike omavalitsuste ja nende haldusala asutuste suhtes ei kohaldata ühtseid

küberturvalisuse nõudeid ning see võib kaasa tuua tõrkeid ja probleeme nende osutatavate avalike

teenuste osutamisel või nende võrgu- ja infosüsteemide puhul, sh ka nende üksuste valduses

olevatele (isiku)andmete turvalisusega seoses. Eelnõuga on soovitud sellist tulemust vältida.

Kommenteeritavas punktis sätestatud üksus lisatakse KüTSi kohaldamisalasse üliolulise üksusena,

arvestades NIS2-direktiivi artikli 2 lõike 2 punktides b, c ja e nimetatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 5 kavandatakse määrata kriitilise tähtsusega side,

mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja ülioluliseks üksuseks, arvestades

NIS2-direktiivi artikli 3 lõike 1 punkti g (kui liikmesriigid nii ette näevad, siis üksused, mida

liikmesriigid käsitasid enne 16. jaanuari 2023 oluliste teenuste operaatoritena vastavalt [...]

liikmesriigi õigusele). Sellised üksused kuuluvad kehtiva KüTSi kohaldamisalasse, mistõttu on

kõnealuse punkti sätestamise eesmärk seotud kehtiva KüTSi § 3 lõike 1 punkti 9 säilitamisega.

Eestis tegeleb kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse

pakkumisega Riigi Infokommunikatsiooni Sihtasutus. Kõnealune üksus lisatakse KüTSi

kohaldamisalasse üliolulise üksusena, arvestades ka NIS2-direktiivi artikli 2 lõike 2 punktides b,

c, d ja e sätestatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 6 võetakse üle NIS2-direktiivi artikli 3 lõike 1 punkt

b, konkreetsemalt termin „kvalifitseeritud usaldusteenuse osutajad“, hõlmates nad üliolulise üksuse

mõiste alla. NIS2-direktiivi artikli 2 lõike 2 punkti a alapunkti ii kohaselt kuuluvad usaldusteenuse

osutajad NIS2-direktiivi kohaldamisalasse olenemata nende suurusest. Usaldusteenuse osutaja

mõiste hõlmab ka kvalifitseeritud usaldusteenuse osutajat (vt NIS2-direktiivi artikli 6 punkti 27 ja

seda üle võtvat KüTSi § 2 punkti 16). Usaldusteenuse osutajatele on viidatud ka NIS2-direktiivi I

lisas (vt I lisa p 8 seitsmes taane) .

Usaldusteenuse osutajatega on seotud ka NIS2-direktiivi põhjendus:

(11) Mõned üksused tegutsevad riikliku julgeoleku, avaliku julgeoleku, kaitse või õiguskaitse

valdkonnas, sealhulgas kuritegude ennetamine, uurimine, avastamine ja nende eest vastutusele

võtmine, osutades samal ajal ka usaldusteenuseid. Usaldusteenuse osutajad, kes kuuluvad Euroopa

Parlamendi ja nõukogu määruse (EL) nr 910/2014 kohaldamisalasse, peaksid kuuluma [NIS2-

direktiivi] kohaldamisalasse, et tagada turvanõuded ja järelevalve samal tasemel, mis oli juba

eelnevalt nimetatud määruses sätestatud seoses usaldusteenuse osutajatega. Nii nagu määrust

(EL) nr 910/2014 ei kohaldata teatavate konkreetsete teenuste suhtes, ei tuleks ka [NIS2-direktiivi]

43 / 186

kohaldada selliste usaldusteenuste osutamise suhtes, mida kasutatakse eranditult suletud

süsteemides, mis tulenevad liikmesriigi õigusest või kindlaksmääratud osalejate vahelistest

kokkulepetest.

Eelnõukohase KüTSi § 3 lõike 2 punktiga 7 kavandatakse määrata riigi tegevusvaru haldaja

ülioluliseks üksuseks, arvestades NIS2-direktiivi artikli 3 lõike 1 punkti e.

Kõnealune punkt on seotud ka NIS2-direktiivi I lisa punkti 1 alapunkti c kolmanda taandega

(Euroopa Liidu Nõukogu direktiivi 2009/119/EÜ, millega kohustatakse liikmesriike säilitama

toornafta ja/või naftatoodete miinimumvarusid (edaspidi direktiiv 2009/119/EÜ), artikli 2 punktis

f määratletud varude säilitamise kesküksused). Direktiivi 2009/119/EÜ artikli 2 punktis f on varude

säilitamise kesküksuseks (CSE) asutus või talitus, kellele võib anda volitused tegutseda

naftavarude, sealhulgas kriisivarude ja erivarude soetamiseks, säilitamiseks või müümiseks.

Vedelkütusevaru seaduse §-s 4 on sätestatud: varu „moodustab ja seda haldab hädaolukorra

seaduse § 181 lõikes 1 sätestatud äriühing“. Viidatud hädaolukorra seaduses lõikes on sätestatud:

„Riigi tegevusvaru (edaspidi varu) moodustab, seda haldab ja selle kasutusele võtmise korraldab

riigi äriühing, kelle põhikirjalise tegevuse eesmärk on varu moodustamine ja haldamine (edaspidi

varu haldaja)“. Sellest lähtudes on kommenteeritavas punktis kasutatud terminit „riigi tegevusvaru

haldaja“.

Kommenteeritavas punktis nimetatud üksus loetakse KüTSi ülioluliseks üksuseks, arvestades ka

NIS2-direktiivi artikli 2 lõike 2 punktides b, c, d ja e nimetatud kriteeriume.

Eelnõukohase KüTSi § 3 lg 2 punktiga 8 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike 1

punkt b, konkreetsemalt termin „tippdomeeninimede registrid“. NIS2-direktiivi artikli 2 lõike 2

punkti a alapunkti iii kohaselt kuuluvad tippdomeeninimede registrite pidajad NIS2-direktiivi

kohaldamisalasse olenemata nende suurusest.

Kõnealuse punktiga võetakse samuti üle NIS2-direktiivi artikli 2 lõike 2 punkt a alapunkt iii

(tippdomeeninimede registrid ja domeeninimede süsteemi teenuse osutajad) ja samal ajal ka NIS2-

direktiivi lisa I punkti 8 kolmas taane (tippdomeeninimede registrite pidajad). Selle üksusega on

ka seotud NIS2-direktiivi põhjendus 32:

(32) Usaldusväärse, vastupidava ja turvalise domeeninimede süsteemi (DNS) tagamine ja

hoidmine on võtmetähtsusega, et säilitada interneti usaldusväärsus ning oluline, et tagada selle

pidev ja stabiilne toimimine, millest sõltuvad digimajandus ja -ühiskond. Seepärast tuleks [NIS2-

direktiivi] kohaldada tippdomeeninimede registrite ja domeeninimede süsteemi teenuse osutajate

suhtes, mida tuleb käsitada üksustena, mis osutavad interneti lõppkasutajatele mõeldud

üldkasutatavate domeeninimede rekursiivse teisendamise teenust või kolmandatele isikutele

kasutamiseks mõeldud domeeninimede autoriteetse teisendamise teenust. [NIS2-direktiivi] ei

tuleks kohaldada juurnimeserverite suhtes.

Tegemist on kehtiva õiguse säilitamisega ehk kehtiva KüTSi § 3 lõike 1 punkti 8 (Eesti

maatunnusega seotud tipptaseme domeeninimede registri haldaja) säilitamisega teises sõnastuses.

Tippdomeeninimede register on defineeritud NIS2-direktiivi artikli 6 punktis 21, mis kavandatakse

üle võtta eelnõukohase KüTSi § 2 punktiga 28. Kommenteeritava punkti puhul ei ole võimalik

säilitada kehtiva KüTSi asjakohase punkti lauseosa „registri pidamiseks kasutatava süsteemi ja

tipptaseme nimeserveri teenuse osutamisel“, kuna NIS2-direktiiv näeb ette, et sellised üksused

saavad tervikuna KüTSi subjektiks.

Eelnõu kooskõlastamise käigus märkis Eesti Interneti Sihtasutus, et ta on käsitatav

tippdomeeninimede registri pidajana, kuid sihtasutus teostab järelevalvet kokku 51 akrediteeritud

domeeni .ee registripidaja teenuse osutamise suhtes, 24 neist tegutsevad Eestis ja 27 välismaal.

44 / 186

Eelnõukohase KüTSi § 3 lõike 2 punktiga 9 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike

1 punkt c. Kommenteeritava punkti kohaselt lisatakse KüTSi kohaldamisalasse üksus, kes vastab

kõigile järgmistele tingimustele (arvestades keskmise suurusega ettevõtja määratlust Euroopa

Komisjoni soovituses 2003/361/EÜ):

1) ta on üldkasutatava elektroonilise side võrgu teenuse osutaja või üldkasutatava elektroonilise

side teenuse osutaja;

2) tal on majandusaasta jooksul 50 või rohkem töötajat;

3) tema aastane bilansimaht või aastakäive ületab 10 miljonit eurot (sh kas aastane bilansimaht või

aastakäive on sellest summast suurem).

Kõnealuse punktiga on seotud NIS2-direktiivi artikli 2 lõike 2 punkt a alapunkt i (üldkasutatavate

elektroonilise side võrkude pakkujad või üldkasutatavate elektroonilise side teenuste osutajad) ja

samal ajal ka NIS2-direktiivi I lisa punkti 8 kaheksas taane (üldkasutatavate elektroonilise side

võrkude pakkujad). Üldkasutatava elektroonilise side võrk on defineeritud NIS2-direktiivi artikli 6

punktis 36, mis kavandatakse üle võtta eelnõukohase KüTSi § 2 punktiga 38.

Kommenteeritava punktiga seoses vt ka eespoolset selgitust Euroopa Komisjoni soovituse

2003/361/EÜ rakendamise kohta.

Eelnõukohase KüTSi § 3 lõikega 3 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõike 1 punkt

a. Selle punkti alusel on üliolulise üksusega tegemist siis, kui on täidetud kõik järgmised

tingimused, st tegemist on üksusega (arvestades keskmise suurusega ettevõtja määratlust Euroopa

Komisjoni soovituses 2003/361/EÜ):

1) kellel on majandusaasta jooksul 250 või rohkem töötajat;

2) kelle aastane bilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot (sh kas

aastane bilansimaht või aastakäive on nimetatud summadest suurem);

3) kes on nimetatud KüTSi § 3 lõike 3 punktides 1–41 ehk tegemist on vähemalt ühe selles lõikes

viidatud 41 punktis nimetatud üksusega.

NIS2-direktiivi artikli 3 lõike 1 punkt a on kavandatud üle võtta kommenteeritavas sättes esitatud

kujul selleks, et esitada ühes kohas ja ühel korral loetelu üliolulistest üksustest, kes kuuluvad selle

määratluse alla, kuna nad on nimetatud NIS2-direktiivi I lisas. Mitu liikmesriiki on NIS2-direktiivi

lisades sätestatud teenuseosutajate loetelud üle võtnud neile viidates või liikmesriigi muutmise

seadustele lisatud lisade abil (nagu direktiivis), kuid Eesti õigusloomereeglistik sellist

lähenemisviisi ei võimalda.

Kommenteeritava lõikega seoses vt ka eespoolset selgitust Euroopa Komisjoni soovituse

2003/361/EÜ rakendamise kohta.

Eelnõukohane KüTSi § 3 lõike 3 punkt 1 sätestab üliolulise üksusena andmekeskusteenuse

osutaja, eeldusel et üksus vastab kõnesoleva lõike sissejuhatavas osas märgitud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 8 viies taane (andmekeskusteenuse

osutajad). Andmekeskusteenus on defineeritud eelnõukohases KüTSi § 2 punktis 1 (vt eespool).

Eelnõukohane KüTSi § 3 lõike 3 punkt 2 sätestab üliolulise üksusena elektriettevõtja

elektrituruseaduse tähenduses, kes tegeleb elektrienergia müügiga, kaasa arvatud selle

edasimüügiga elektrienergia hulgimüüjale või lõpptarbijale, eeldusel et üksus vastab kõnesoleva

lõike sissejuhatavas osas märgitud piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti a

esimene taane (Euroopa Parlamendi ja nõukogu direktiivi (EL) 2019/944 elektrienergia siseturu

ühiste normide kohta ja millega muudetakse direktiivi 2012/27/EL (edaspidi direktiiv (EL)

2019/944) artikli 2 punktis 57 määratletud elektriettevõtjad, kes täidavad nimetatud direktiivi

45 / 186

artikli 2 punktis 12 määratletud tarnimise ülesannet). Mainitud direktiivi kohaselt on

elektriettevõtja „füüsiline või juriidiline isik, kes täidab vähemalt üht järgmistest ülesannetest:

elektrienergia tootmine, ülekandmine, jaotamine, agregeerimine, tarbimiskaja, energia

salvestamine, tarnimine või ostmine, ning kes vastutab nende ülesannetega seotud kaubanduslike,

tehniliste või hooldusküsimuste eest; käesolev mõiste ei hõlma lõpptarbijaid“. Lõpptarbija on sama

direktiivi kohaselt tarbija, kes ostab elektrienergiat oma tarbeks; st lõpptarbija ei müü

elektrienergiat (hulgi) edasi. Eeldatavasti on lõpptarbija ka isik, kes toodab elektrienergiat näiteks

päikesepaneeliga ning kasutab sellest saadud elektrienergiat enda vajaduste jaoks.

Direktiiv (EL) 2019/944 on üle võetud Eesti õigusesse elektrituruseaduse ja teiste seaduste

muutmise seadusega (eelnõu nr 426 SE).34 Nimetatud seaduse eelnõu seletuskirja lisas 1 esitatud

vastavustabeli (edaspidi 426 SE vastavustabel) kohaselt on direktiivis (EL) 2019/944 kasutatud

termini vasteks elektrituruseaduse § 6 lõike 1 kohane elektriettevõtja, kes on „füüsiline või

juriidiline isik, kes ei ole tarbija ja kes tegeleb: tootmisega, ülekandmisega, jaotamisega,

agregeerimisega, tarbimise juhtimisega, salvestamisega, müümisega või, ostmisega“. NIS2-

direktiiv on kitsendanud elektriettevõtja mõistet nii, et see ettevõtja tegeleb „tarnimisega“ ning

samal ajal ei tohi ta olla „lõpptarbija“.

Siinse punktiga seonduvalt on asjakohased ka direktiivi (EL) 2019/944 artikli 2 punktid 1–3 ja 12:

1) „tarbija“ – elektrienergia hulgimüüja või lõpptarbija;

2) „hulgimüüja“ – füüsiline või juriidiline isik, kes ostab elektrienergiat edasimüümiseks võrgus,

kuhu ta kuulub, või väljaspool seda;

3) „lõpptarbija“ – tarbija, kes ostab elektrienergiat oma tarbeks;

12) „tarnimine“ – elektrienergia müük, kaasa arvatud edasimüük tarbijatele.

Kui võrrelda direktiivi (EL) 2019/944 artikli 2 punktis 57 määratletud tegevusi (sh terminit

tarnimine), siis elektrituruseaduse § 6 lõikes 1 on sõna „tarnimise“ asemel sobivam sõna

„müümine“. Seetõttu on eelnõu sõnastuse järgi tegemist elektrienergia müümisega. Direktiivi (EL)

2019/944 artikli 2 punktide 1–3 ja 12 tõttu on mõiste selgituses ka lauseosa „kaasa arvatud selle

edasimüügiga elektrienergia hulgimüüjale või lõpptarbijale“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 3 sätestab üliolulise üksusena elektriettevõtja

elektrituruseaduse tähenduses, kes tegeleb elektrienergia tootmisega, eeldusel et üksus vastab

kõnesoleva lõike sissejuhatavas osas märgitud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti a neljas taane (direktiivi

(EL) 2019/944 artikli 2 punktis 38 määratletud tootjad). Mainitud direktiivi kohaselt on tootja

„elektrienergiat tootev füüsiline või juriidiline isik“. 426 SE vastavustabeli kohaselt on direktiivi

(EL) 2019/944 termini vasteks elektrituruseaduse § 7 lõike 1 kohane tootja, kes on „elektriettevõtja,

kes toodab elektrienergiat ühe või mitme tootmisseadme abil“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 4 sätestab üliolulise üksusena ettevõtja, kes tegeleb

nõukogu direktiivi 91/271/EMÜ asulareovee puhastamise kohta (EÜT L 135, 30.05.1991, lk 40–

52) (edaspidi direktiiv 91/271/EMÜ) artikli 2 punktides 1, 2 ja 3 määratletud asulareovee,

olmereovee või tööstusreovee kogumise, ärajuhtimise või puhastamisega, välja arvatud ettevõtja,

kelle puhul on asulareovee, olmereovee või tööstusreovee kogumine, ärajuhtimine või puhastamine

tema üldise tegevuse väheoluline osa. Selline ettevõtja on ülioluline üksus eeldusel, et ta vastab

käesoleva lõike sissejuhatavas osas märgitud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 7 esimene taane. Direktiivi

91/271/EMÜ artikli 2 punktides 1, 2 ja 3 on asulareovesi, olmereovesi ja tööstusreovesi

34 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/40352cd6-cbef-409f-ae11-c3af8ae0c613/elektrituruseaduse-ja-

teiste-seaduste-muutmise-seadus/

46 / 186

defineeritud kui:

„1. asulareovesi – olmereovesi või olme- ja tööstusreovee ja/või mahasadanud vihmavee segu;

2. olmereovesi – asulate ja nendega seotud rajatiste reovesi, mis pärineb peamiselt inimeste

ainevahetusest ja majapidamistegevusest;

3. tööstusreovesi – igasugune reovesi, mis väljub mis tahes kaubandusliku või tööstusliku tegevuse

sooritamiseks kasutatavast hoonest ja mis ei ole ei olmereovesi ega mahasadanud vihmavesi“.

Reovee ärajuhtimist ühiskanalisatsiooni kaudu ja selle puhastamist reguleerib ühisveevärgi ja -

kanalisatsiooni seadus, kuid selles ei ole eraldi defineeritud asulareovett, olmereovett ega

tööstusreovett. Seetõttu on kommenteeritavas punktis viidatud direktiivi 91/271/EMÜ vastavatele

sätetele.

NIS2-direktiiv ei anna selgust, mida tuleks silmas pidada „väheolulise osa“ all tegevusest, mistõttu

seda lauseosa ei ole võimalik täiendavalt selgitada Direktiivi abstraktne sõnastus paneb aga seda

üle võtvad liikmesriigid keerulisse olukorda – ühest küljest peab olema piisavalt selge, millised

üksused kuuluvad NIS2-direktiivis (ja seaduses) esitatud määratluste alla ja seega selle

kohaldamisalasse ja millised mitte. Teisest küljest oleks „väheolulise osa” kindlaksmääramine

näiteks kindla protsentväärtusena meelevaldne ja riskantne, kuna sellega eksitaks NIS2-direktiivi

kandva põhimõtte vastu, milleks on ühtlustada siseturuüleselt küberturvalisuse nõuded. Kindlate

lävendite seaduses sätestamisel oleks aga (ning seda on juba ülevõtmisviiside võrdluses kohati

näha) vastupidine tulemus ning tooks kaasa praktiliselt kindlasti realiseeruva sisulise

rikkumismenetluse ohu. Sellest tulenevalt on eelnõu autorid, arvestades mh mitme teise

liikmesriigi valitud lähenemisviisiga, otsustanud i) esitada Euroopa Komisjonile päringu

kõnealuses küsimuses liikmesriikidele selgete suuniste andmiseks ja ii) seni, vastavate suuniste

puudumisel, võtta kõnealune kriteerium üle täpselt ja ühetaoliselt NIS2-direktiivis toodud kujul

ning möönda, et vajaduse korral ehk vähetõenäolistes vaidlusalustes olukordades tuleb see

sisustada praktikas ja juhtumipõhiselt, arvestades iga kord asjaolude ja vaidlusaluse juhtumi

objektiivsete tunnustega. Võrdluseks võib mainida, et sarnast lahendust on kasutatud ka teiste

riikide NIS2-direktiivi ülevõtmiseks koostatud eelnõudes. Näiteks on see niiviisi kavandatud Eesti

õiguskorra kujundamisel oluliseks eeskujuks olnud Saksa Liitvabariigi vastavas seaduseelnõus

(kõnealuse eelnõu koostamise ajal ei ole Saksamaal veel eelnõu seadusena vastu võetud)35 ning

Belgia kuningriigi vastavas seaduses36.

Eelnõukohase KüTSi § 3 lõike 3 punktiga 5 kavandatakse ette näha, et ülioluline üksus on

Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 laevade ja sadamarajatiste turvalisuse

tugevdamise kohta (ELT L 129, 29.04.2004, lk 6–91) I lisas meretranspordi puhul osutatud

ettevõtja, kes tegeleb reisijate ja kauba vedamisega sisevetes, merel ja rannavetes, välja arvatud

kõnealuse ettevõtja käitatavad üksikud laevad. Nagu ka kõigi teiste nimetatud lõike punktide puhul,

on ka kõnesolevas punktis üliolulise üksusega tegemist juhul, kui üksus vastab nimetatud lõike

sissejuhatavas osas märgitud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti c esimene taane

(Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004, laevade ja sadamarajatiste

turvalisuse tugevdamise kohta (edaspidi määrus (EÜ) nr 725/2004), I lisas meretranspordi puhul

35 Gesetzentwurf - der Bundesregierung. Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur

Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-

Umsetzungs- und Cybersicherheitsstärkungsgesetz), kättesaadav:

https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html.

36 https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:72022L2555BEL_202402242 ja https://eur-

lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:72022L2555BEL_202402753

47 / 186

määratletud reisijate ja kauba vedamisega sisevetes, merel ja rannavetes tegelevad ettevõtjad,

välja arvatud kõnealuste ettevõtjate käidatud üksikud laevad). Kommenteeritava punkti sõnastus

on sama mis NIS2-direktiivi I lisas. Fraas „välja arvatud kõnealuse ettevõtja käidatud üksikud

laevad“ tähendab, et kohaldamisalasse ei kuulu konkreetsed laevad ehk laevas olevad (ehk

kasutatavad) võrgu- ja infosüsteemid.

Eelnõukohase KüTSi § 3 lõike 3 punktiga 6 kavandatakse ette näha, et ülioluline üksus on

Euroopa Parlamendi ja nõukogu määruse (EL) 2022/123, mis käsitleb Euroopa Ravimiameti

suuremat rolli ravimite ja meditsiiniseadmete alases kriisivalmiduses ja -ohjes (ELT L 20,

31.01.2022, lk 1–37), artiklis 22 nimetatud rahvatervise hädaolukorras esmatähtsa

meditsiiniseadme tootja. Selline üksus on ülioluline üksus, kui ta vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 5 viies taane (üksused, mis

toodavad rahvatervise hädaolukorras kriitilise tähtsusega meditsiiniseadmeid (rahvatervise

hädaolukorra esmatähtsate meditsiiniseadmete loetelu) Euroopa Parlamendi ja nõukogu määruse

(EL) 2022/123, mis käsitleb Euroopa Ravimiameti suuremat rolli ravimite ja meditsiiniseadmete

alases kriisivalmiduses ja -ohjes (edaspidi määrus (EL) 2022/123), artikli 22 tähenduses). Määruse

(EL) 2022/123 artikli 22 lõike 1 kohaselt, kohe pärast rahvatervise hädaolukorra olemasolu

tunnistamist, konsulteerib meditsiiniseadmete nappuse juhtrühm sama määruse artikli 21 lõikes 5

osutatud juhtrühmaga; kohe pärast kõnealust konsulteerimist võtab meditsiiniseadmete nappuse

juhtrühm vastu selliste meditsiiniseadmete kategooriate loetelu, mida ta peab rahvatervise

hädaolukorras esmatähtsaks. Sama määruse artikli 22 lõike 3 kohaselt avaldab Euroopa

Ravimiamet oma spetsiaalsel veebilehel järgmise teabe: a) rahvatervise hädaolukorras

esmatähtsate seadmete loetelu ja selle ajakohastatud versioonid ning b) teave rahvatervise

hädaolukorras esmatähtsate seadmete loetellu kantud esmatähtsate meditsiiniseadmete tegeliku

nappuse kohta.

Euroopa Ravimiametis on selle teema jaoks loodud eraldi töörühm, millega seotud info leiab siit:

https://www.ema.europa.eu/en/about-us/what-we-do/crisis-preparedness-management/executive-

steering-group-shortages-medical-devices.

Määruse (EL) 2022/123 artikkel 2 punkt e defineerib „meditsiiniseadme“, viidates kahele Euroopa

Liidu õigusaktile (vt täpsemalt KüTSi § 3 lõike 5 punkti 4 selgitus). Kui kõnesolevas punktis

selgitatud meditsiiniseade on nimetatud eelmainitud rahvatervise hädaolukorras esmatähtsate

seadmete loetelus, siis on nende seadmete tootja käsitatav elutähtsa üksusena NIS2-direktiivi

tähenduses (eelnõus üliolulise üksusena KüTSi tähenduses) – kuid seda seni, kuni kõnealune

meditsiiniseade on loetletud rahvatervise hädaolukorras esmatähtsate seadmete loetelus.

2024. aastal Riigikogus vastu võetud meditsiiniseadme seaduse muutmise ja sellega seonduvalt

teiste seaduste muutmise seaduse (pädevuse andmine Ravimiametile) eelnõu nr 448 SE37

seletuskirja (lk 2) peatükis 2 on märgitud:

„Meditsiiniseadmed on väga varieeruv ja suur rühm tooteid, mille kasutamine on igapäevane

tervishoiuteenuse osutamisega tegelevates asutustes, kuid ka väga paljudes kodudes.

Meditsiiniseadmed on näiteks plaastrid, termomeetrid ja kiirtestid, aga ka keerukad süsteemid,

mida kasutatakse tervishoiuasutustes. Samuti on meditsiiniseadmetena määratletavad mõned

tarkvarad, mida kasutatakse tervishoius ja meditsiinilistest toimingutes. Hinnanguliselt on

meditsiiniseadmete andmekogu alusel Eestis ligikaudu 200 meditsiiniseadmete tootjat ja ligikaudu

650 levitajat. See arv on tegelikkuses suurem, kuna levitamisest teavitamise kohustus ei laiene

kõige madalama riskitasemega seadmetele, samuti ei täida kahjuks kõik ettevõtjad oma seadusest

37 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/7bc329c3-f351-44bb-aed6-30c8dadc5759/meditsiiniseadme-

seaduse-muutmise-ja-sellega-seonduvalt-teiste-seaduste-muutmise-seadus-padevuse-andmine-ravimiametile/

48 / 186

tulenevalt levitamisest teavitamise kohustust ja Eestis on väike hulk ettevõtjaid, kes tegutsevad

volitatud esindaja või importijana.“

Esialgsel hinnangul kommenteeritavale punktile vastavaid üksusi hetkel pole. Kui

meditsiiniseadmete nappuse juhtrühm võtab vastu selliste meditsiiniseadmete kategooriate loetelu,

mida peetakse rahvatervise hädaolukorras esmatähtsaks ning loetelus toodud meditsiiniseadet

toodetakse Eestis, siis saab vastavast meditsiiniseadet tootvast üksusest ka ülioluline üksus.

Eelnõukohane KüTSi § 3 lõike 3 punkt 7 sätestab üliolulise üksusena Euroopa Liidu majanduse

tegevusalade statistilise klassifikaatori NACE Revision 2 C jao osas 21 osutatud

põhifarmaatsiatoote ja ravimpreparaadi tootja. Selline üksus on ülioluline üksus, kui ta vastab ka

kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 5 neljas taane

(NACE Rev. 2 C jao osas 21 osutatud põhifarmaatsiatooteid ja ravimpreparaate tootvad üksused).

Üldjuhul ei viidata Eesti õigusaktides ELi klassifikaatorile NACE, vaid viidatakse EMTAK 2008

klassifikaatorile, kuid eelnõus ei ole võimalik EMTAKi klassifikaatorit kasutada, kuna see ei ühti

üksüheselt NACE Revision 2 klassifikaatoriga. NACE Revision 2 jao C osa 21 sisu ei ole sama

mis EMTAKi C jao 21. osa (EMTAKis on hõlmatud ka „provitamiinid“, „hormoonid“,

„glükosiidid, taimsed alkaloidid ning nende derivaadid“, „lüsiin, selle estrid ja nende soolad,

glutamiinhape ja selle soolad“, „luutaastustsementide tootmine“, „haavaplaastrite tootmine“ ning

„kõrvaküünalde tootmine“). Kui kommenteeritavas punktis kasutada viidet EMTAK 2008

klassifikaatorile, siis seeläbi laiendataks NIS2-direktiivi kohaldamisala, kuid eelnõu eesmärk on

võtta NIS2-direktiiv kitsalt üle. Seetõttu on kommenteeritavas punktis viidatud ELi NACE 2

klassifikaatorile.

Näiteks on kommenteeritava punktiga hõlmatud need üksused, kes toodavad

põhifarmaatsiatooteid, mis muu hulgas hõlmab ka vere töötlemist. Vt selle kohta Euroopa

Parlamendi ja nõukogu määruse (EL) 2024/1938, milles käsitletakse inimkasutuseks ettenähtud

inimpäritolu materjali kvaliteedi- ja ohutusstandardeid ning millega tunnistatakse kehtetuks

direktiiv 2002/98/EÜ ja direktiiv 2004/23/EÜ, põhjendus 15 ja artikli 2 lõike 1 punkt c.

Samuti on kommenteeritava üksusega hõlmatud apteegid, mis toodavad farmaatsiatooteid ja

ravimpreparaate, kuna kommenteeritava punkti kohaldamisalasse kuuluvad põhifarmaatsiatoote ja

ravimpreparaatide tootmisega tegelevad üksused.

1. jaanuaril 2025 hakkas kehtima EMTAK 2025, mis asendab EMTAK 2008 klassifikaatori, ning

selle koostamisel on lähtutud NACE Revision 2.1 klassifikaatorist.38 Kõige uuem klassifikaator on

NACE Revision 2.1 ja kui viidata eelnõu kommenteeritavas punktis sellele klassifikaatorile või

EMTAK 2025 klassifikaatorile, arvestades asjaolu, et mõlemad klassifikaatorid on eeldatavasti

ulatuslikumad kui NACE Revision 2, siis võetaks asjakohane NIS2-direktiivi säte üle laiemalt. See

on küll eeldus, kuna eelnõu koostamise käigus ei olnud võimalik nende versioonide erinevust

täpsemalt üle kontrollida, kuid see eeldus lähtub eelmises lõigus osutatud erinevuste tuvastamisest

NACE Revision 2 ja EMTAK 2008 vahel. Seetõttu ei ole eelnõus ka viidatud EMTAK 2025-le.

Eelnõukohane KüTSi § 3 lõike 3 punkt 8 sätestab üliolulise üksusena gaasiettevõtja maagaasi

seaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Sellega võetakse üle NIS2-direktiivi I lisa punkti 1 alapunkti d kuues taane (direktiivi 2009/73/EÜ

artikli 2 punktis 1 määratletud maagaasiettevõtjad). Euroopa Parlamendi ja nõukogu direktiivi

2009/73/EÜ, mis käsitleb maagaasi siseturu ühiseeskirju ning millega tunnistatakse kehtetuks

38 https://abiinfo.rik.ee/emtak/emtak2025

49 / 186

direktiiv 2003/55/EÜ (edaspidi direktiiv 2009/73/EÜ) artikli 2 punkti 1 kohaselt on

maagaasiettevõtja „füüsiline või juriidiline isik, kelle vähemalt üks ülesanne on maagaasi,

sealhulgas veeldatud maagaasi tootmine, ülekandmine, jaotamine, tarnimine, ostmine või

hoiustamine, ning kes vastutab nende ülesannetega seotud kaubanduslike, tehniliste ja/või

hooldusküsimuste eest, välja arvatud lõpptarbijaid“. Direktiiv 2009/73/EÜ tunnistati 3. augustil

2024 kehtetuks Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2024/1788, mis käsitleb

taastuvatest energiaallikatest toodetud gaasi, maagaasi ja vesiniku siseturgude ühiseid norme ning

millega muudetakse direktiivi (EL) 2023/1791 ja tunnistatakse kehtetuks direktiiv 2009/73/EÜ

(edaspidi direktiiv (EL) 2024/1788). Direktiivi (EL) 2024/1788 artiklit 95 arvestades ning lähtudes

selle direktiivi IV lisas esitatud direktiivi 2009/73/EÜ ja direktiivi (EL) 2024/1788

vastavustabelist, on direktiivi 2009/73/EÜ artikli 2 punkti 1 vasteks direktiivi (EL) 2024/1788

artikli 2 punkt 15. Direktiivi (EL) 2024/1788 artikli 2 punkt 15 on sõnastatud järgmiselt: „füüsiline

või juriidiline isik, kes tegeleb maagaasi, sealhulgas veeldatud maagaasi tootmise, ülekandmise,

jaotamise, tarnimise, ostmise või hoiustamisega ning kes vastutab nende ülesannetega seotud

kaubanduslike, tehniliste või hooldusküsimuste eest, välja arvatud lõpptarbijad“.

Maagaasiseaduse §-s 4 on gaasiettevõtja defineeritud kui „ettevõtja, kes tegutseb vähemalt ühel

tegevusalal, milleks on gaasi tootmine, import, ülekanne, jaotamine, hoiustamine või müük, ning

kes vastutab selle tegevusega seonduva kaubandusliku või hooldusküsimuse lahendamise eest“.

Seetõttu on kommenteeritavas punktis viidatud gaasiettevõtjale maagaasiseaduse tähenduses.

Eelnõukohane KüTSi § 3 lõike 3 punkt 9 sätestab üliolulise üksusena haldusteenuse osutaja.

Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 9 esimene taane (hallatud

teenuse osutajad). Haldusteenuse osutaja on defineeritud NIS2-direktiivi artikli 6 punktis 39, mis

võetakse üle KüTSi § 2 punktiga 7. Eelnõu varasemas versioonis on kasutatud selle asemel terminit

„hallatud teenuse osutaja”. See termin asendati eelnõu kooskõlastamisel saadud tagasiside põhjal.

Tegemist on IKT-ga seotud haldusteenustega.

Eelnõukohane KüTSi § 3 lõike 3 punkt 10 sätestab üliolulise üksusena hoidlatevõrgu halduri

maagaasiseaduse tähenduses. Selline üksus on ülioluline üksus, kui ta vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga võetakse üle NIS2-direktiivi I lisa punkti 1 alapunkti d neljas taane (direktiivi

2009/73/EÜ artikli 2 punktis 10 määratletud hoidlatevõrgu haldurid). Direktiivi 2009/73/EÜ

artikli 2 punkti 10 kohaselt on hoidlatevõrgu haldur „füüsiline või juriidiline isik, kes täidab gaasi

hoiustamise ülesannet ja vastutab gaasihoidla kasutamise eest“. Direktiiv 2009/73/EÜ tunnistati 3.

augustil 2024 kehtetuks direktiiviga (EL) 2024/1788. Direktiivi (EL) 2024/1788 artiklit 95

arvestades ning lähtudes selle direktiivi IV lisas esitatud direktiivi 2009/73/EÜ ja direktiivi (EL)

2024/1788 vastavustabelist, on direktiivi 2009/73/EÜ artikli 2 punkti 10 vasteks direktiivi (EL)

2024/1788 artikli 2 punkt 32: „füüsiline või juriidiline isik, kes täidab maagaasi hoiustamise

ülesannet ja vastutab maagaasihoidla käitamise eest“.

Maagaasiseaduse § 2 punktis 17 on hoidlatevõrgu haldur defineeritud kui „isik, kes täidab gaasi

hoiustamise ülesannet ja vastutab gaasihoidla nõuetekohase kasutamise eest“. Seetõttu on

kommenteeritavas punktis viidatud hoidlatevõrgu haldurile maagaasiseaduse tähenduses.

Eelnõukohane KüTSi § 3 lõike 3 punkt 11 sätestab üliolulise üksusena infoturbeteenuse osutaja.

Selline üksus on ülioluline üksus, kui ta vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

50 / 186

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 9 teine taane (turbetarnijad).

Turbetarnija on defineeritud NIS2-direktiivi artikli 6 punktis 40, mis võetakse üle KüTSi § 2

punktiga 11. Eelnõu esialgses versioonis kasutati turbetarnija asemel terminit „hallatud

turbeteenuste osutaja“, kuna eelnõu termin tundus tõlkes kasutatud terminist „turbetarnija“ esialgu

selgem. Eelnõu kooskõlastamisel saadud tagasiside alusel otsustati seda muuta. Eelnõus

kasutatakse nüüd terminit „infoturbeteenuse osutaja“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 12 sätestab üliolulise üksusena interneti sõlmpunkti

teenuse osutaja. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas

osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 8 esimene taane (interneti

vahetuspunkti teenuse osutajad). Interneti vahetuspunkt on defineeritud NIS2-direktiivi artikli 6

punktis 18, mis võetakse üle KüTSi § 2 punktiga 12. Võrreldes kooskõlastusele saadetud eelnõuga

on terminikasutus kooskõlastamisel saadud tagasiside tõttu muutunud. Eelnõu selles punktis

kasutatakse NIS2-direktiivi originaaltekstis kasutatud termini „interneti vahetuspunkt“ asemel

terminit „interneti sõlmpunkt“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 13 sätestab üliolulise üksusena jaotusvõrgu ettevõtja

elektrituru seaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva

lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1alapunkti a teine taane

(direktiivi (EL) 2019/944 artikli 2 punktis 29 määratletud jaotusvõrguettevõtjad). Mainitud

direktiivi kohaselt on jaotusvõrguettevõtja „füüsiline või juriidiline isik, kes vastutab jaotusvõrgu

käitamise, hoolduse ja vajaduse korral arendamise eest teatud piirkonnas, ja asjakohasel juhul

jaotusvõrgu sidumise eest teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada

mõistlikku nõudlust elektrienergia jaotamise järele“. 426 SE vastavustabeli kohaselt on direktiivis

(EL) 2019/944 kasutatud termini vasteks elektrituruseaduse § 8 lõike 3 kohane

jaotusvõrguettevõtja, kes on „juriidiline isik, kes osutab võrguteenust jaotusvõrgu kaudu ning

vastutab jaotusvõrgu käitamise, hoolduse ja arendamise eest oma teeninduspiirkonnas ja selle

ühendamise eest teiste võrkudega. Jaotusvõrguettevõtja tagab võrgu pikaajalise võime rahuldada

mõistlikku nõudlust elektrienergia jaotamise järele“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 14 sätestab üliolulise üksusena kaugkütte- ja

kaugjahutussüsteemi käitaja kaugkütteseaduse tähenduses. Selline üksus on ülioluline üksus, kui

see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti b esimene taane

(Euroopa Parlamendi ja nõukogu direktiivi (EL) 2018/2001 taastuvatest energiaallikatest toodetud

energia kasutamise edendamise kohta (edaspidi direktiiv (EL) 2018/2001), artikli 2 punktis 19

määratletud kaugkütte ja kaugjahutuse pakkujad). Mainitud direktiivi kohaselt on kaugküte ja

kaugjahutus „soojusenergia jaotamine võrgu kaudu auru, kuuma vee või jahutatud vedelikena

kesksest tootmisallikast või detsentraliseeritud tootmisallikatest mitmesse hoonesse või kohta, et

kasutada seda kütteks või jahutamiseks ruumis või protsessides“. Direktiiv (EL) 2018/2001

kavandati üle võtta energiamajanduse korralduse seaduse muutmise ja sellega seonduvalt teiste

seaduste muutmise seaduse eelnõuga nr 382 SE.39 Nimetatud seaduse eelnõu seletuskirja lisas 1

esitatud vastavustabeli kohaselt on direktiivis (EL) 2018/2001 kasutatud määratluse vasteks

kaugkütteseaduse § 2 punkt 1: „soojuse tootmine ja võrgu kaudu jaotamine tarbijate varustamiseks

39 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/18d86acd-7d58-4219-ac63-5fd6be58a90b/energiamajanduse-

korralduse-seaduse-muutmise-ja-sellega-seonduvalt-teiste-seaduste-muutmise-seadus/

51 / 186

soojusega kaugküttesüsteemi kaudu“. Kaugkütteseaduses ei ole defineeritud kaugjahutust, mistõttu

kommenteeritavas punktis sisalduv viide kaugkütteseadusele kohaldub ainult kaugkütte kohta.

Energiamajanduse korralduse seaduses on sõnu jahutus või kaugjahutus kasutatud, kuid selles ei

ole defineeritud kaugjahutussüsteemi. Ehitusseaduses on kasutatud terminit „kütte- või

jahutussüsteem”, kuid neid ei defineerita. Eeldatavasti saab terminis kaugjahutussüsteem selguse

siis, kui võetakse üle Euroopa Parlamendi ja nõukogu direktiiv (EL) 2024/1275 hoonete

energiatõhususe kohta (uuesti sõnastatud) (ELT L, 2024/1275, 08.05.2024), mille artikli 2 punktis

42 on „jahutussüsteem” defineeritud kui “õhu töötlemise komponentide kombinatsioon

temperatuuri kontrollimiseks või selle alandamiseks”. Selle direktiivi ülevõtmise tähtaeg on 29.

mai 2026.40

Eelnõukohane KüTSi § 3 lõike 3 punkt 15 sätestab üliolulise üksusena kauplemiskoha korraldaja

väärtpaberituru seaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva

lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 4 esimene taane (Euroopa

Parlamendi ja nõukogu direktiivi 2014/65/EL, finantsinstrumentide turgude kohta ning millega

muudetakse direktiive 2002/92/EÜ ja 2011/61/EL (edaspidi direktiiv 2014/65/EL), artikli 4 punktis

24 määratletud kauplemiskohtade korraldajad). Direktiivi 2014/65/EL artikli 4 punktis 24 on

kauplemiskoht defineeritud kui „reguleeritud turg, mitmepoolne kauplemissüsteem või

organiseeritud kauplemissüsteem“. Siinjuures on asjakohased sama direktiivi artikli punktid 21, 22

ja 23:

21) „reguleeritud turg” – turukorraldaja poolt korraldatav ja/või juhitav mitmepoolne süsteem,

milles viiakse kokku mitmed kolmandate isikute omandamis- ja võõrandamishuvid seoses süsteemis

olevate finantsinstrumentidega või hõlbustatakse nende kokkuviimist vastavalt ühetaolistele

eeskirjadele, mille tulemuseks on lepingu sõlmimine seoses finantsinstrumentidega, mis on

süsteemi eeskirjade ja/või süsteemide kohaselt kauplemisele lubatud, ning millel on tegevusluba ja

mis toimib regulaarselt ja kooskõlas [direktiivi 2014/65/EL] III jaotisega;

22) „mitmepoolne kauplemissüsteem” – investeerimisühingu või turukorraldaja poolt korraldatav

mitmepoolne süsteem, milles viiakse kokku mitmed kolmandate isikute omandamis- ja

võõrandamishuvid seoses süsteemis olevate finantsinstrumentidega vastavalt ühetaolistele

eeskirjadele, mille tulemuseks on lepingu sõlmimine kooskõlas [direktiivi 2014/65/EL] II jaotisega;

23) „organiseeritud kauplemissüsteem” – mitmepoolne süsteem, mis ei ole reguleeritud turg ega

mitmepoolne kauplemissüsteem ning mis võimaldab erinevate kolmandate isikute omandamis- ja

võõrandamishuvisid seoses võlakirjade, struktureeritud finantstoodete, lubatud heitkoguse

väärtpaberite või tuletisinstrumentidega viia süsteemis kokku selliselt, et kõnealuse kokkuviimise

tulemuseks on lepingu sõlmimine kooskõlas [direktiivi 2014/65/EL] II jaotisega.

Arvestades NIS2-direktiivi artiklit 4, kohaldatakse DORA määruse artikli 2 lõike 1 punkti i tõttu

kauplemiskohtadele DORA määruse nõudeid (vt täpsemalt NIS2-direktiivi artikkel 4 ja DORA

määruse põhjendused 15–18). Kommenteeritava punktiga seoses vt ka KüTSi § 1 lõike 4

muudatuste selgitusi.

Eelnõukohane KüTSi § 3 lõike 3 punkt 16 sätestab üliolulise üksusena keskse vastaspoole

Euroopa Parlamendi ja nõukogu määruse (EL) nr 648/2012 börsiväliste tuletisinstrumentide,

kesksete vastaspoolte ja kauplemisteabehoidlate kohta (ELT L 201, 27.07.2012, lk 1–59) artikli 2

punkti 1 tähenduses.

Kommenteeritava punkti lisamise eesmärk on võtta üle NIS2-direktiivi I lisa punkti 4 teine taane

40 https://kliimaministeerium.ee/elukeskkond-ringmajandus/energiatohusus-ja-keskkonnasaast/hoonete-

energiatohusus

52 / 186

(Euroopa Parlamendi ja nõukogu määruse (EL) nr 648/2012, börsiväliste tuletisinstrumentide,

kesksete vastaspoolte ja kauplemisteabehoidlate kohta (edaspidi määrus (EL) nr 648/2012), artikli

2 punktis 1 määratletud kesksed vastaspooled). Määruse (EL) nr 648/2012 artikli 2 punktis 1 on

keskne vastaspool defineeritud kui „ühel või mitmel finantsturul kaubeldavate lepingute

vastaspoolte vahel asuv juriidiline isik, kes on iga müüja jaoks ostja ja iga ostja jaoks müüja“.

Arvestades NIS2-direktiivi artiklit 4, kohaldatakse DORA määruse artikli 2 lõike 1 punkti h tõttu

kesksetele vastaspooltele DORA määruse nõudeid (vt täpsemalt NIS2-direktiivi artikkel 4 ja

DORA määruse põhjendused 15–18). Kommenteeritava punktiga seoses vt ka KüTSi § 1 lõike 4

muudatuste selgitusi.

Eelnõukohane KüTSi § 3 lõike 3 punkt 17 sätestab üliolulise üksusena kosmosepõhise teenuse

osutamist toetava ning Eesti Vabariigi või eraõigusliku isiku omandis oleva, hallatava või käitatava

maapealse taristu käitaja, kes ei ole üldkasutatava elektroonilise side võrgu teenuse osutaja. Selline

üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 11 esimene taane (liikmesriigi või eraõiguslike

isikute omandis olevate, hallatavate või käitatavate maapealsete taristute operaatorid, kes

toetavad kosmosepõhiste teenuste osutamist, välja arvatud elektroonilise side võrkude pakkujad).

Kommenteeritava punktiga on seotud ka NIS2-direktiivi põhjendus 37:

(37) Kasvav vastastikune sõltuvus tuleneb üha piiriülesemast ja üha enam vastastikku sõltuvast

teenuste osutamise võrgustikust, mis kasutab kogu liidus selliste oluliste sektorite taristuid nagu

energeetika, transport, digitaristu, joogi- ja reovesi, tervishoid, avaliku halduse teatavad harud ja

ka kosmosetööstus, niivõrd kui viimase teatavate teenuste osutamine sõltub maapealsetest

taristutest, mida omavad, haldavad ja käitavad kas liikmesriigid või eraõiguslikud isikud (seega ei

hõlma see selliseid taristuid, mida omab, haldab või käitab liit või mida hallatakse või käitatakse

liidu nimel liidu kosmoseprogrammi osana). Sellised vastastikused sõltuvussuhted tähendavad

seda, et mis tahes häirel – isegi kui see puudutab algselt vaid üht üksust või sektorit – võib olla

laiem astmeline mõju, mis võib avaldada kaugeleulatuvat ja pikaajalist negatiivset mõju teenuste

osutamisele kogu siseturul. COVID-19 pandeemia ajal hoogustunud küberründed on näidanud,

kui vähe kaitstud on meie üha enam üksteisest sõltuvad ühiskonnad väikese

realiseerumisvõimalusega riskide esinemise korral.

NIS2-direktiiv ei anna rohkem selgitusi, milliste üksustega on selle puhul tegemist.

Eelnõukohane KüTSi § 3 lõike 3 punkt 18 sätestab üliolulise üksusena krediidiasutuse Euroopa

Parlamendi ja nõukogu määruse (EL) nr 575/2013 krediidiasutuste ja investeerimisühingute suhtes

kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (ELT L 176,

27.06.2013, lk 1–337) artikli 4 punkti 1 tähenduses. Selline üksus on ülioluline üksus, kui see

vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 3 esimene taane (Euroopa Parlamendi ja

nõukogu määruse (EL) nr 575/2013, krediidiasutuste ja investeerimisühingute suhtes

kohaldatavate usaldatavusnõuete kohta ja määruse (EL) nr 648/2012 muutmise kohta (edaspidi

määrus (EL) nr 575/2013), artikli 4 punktis 1 määratletud krediidiasutused). Määruse (EL) nr

575/2013 artikli 4 punktis 1 on krediidiasutus defineeritud kui „ettevõtja, kelle äritegevus seisneb

järgmises:

a) hoiuste või muude tagasimakstavate vahendite vastuvõtmine avalikkuselt ja oma arvel laenu

andmine;

b) Euroopa Parlamendi ja nõukogu direktiivi 2014/65/EL I lisa A jao punktides 3 ja 6 osutatud

tegevus, kui täidetud on üks järgmistest tingimustest ning ettevõtja ei ole kaubadiiler, lubatud

53 / 186

heitkoguse väärtpaberite diiler, investeerimisfond ega kindlustusandja:

i) ettevõtja konsolideeritud vara koguväärtus on 30 miljardit eurot või rohkem;

ii) ettevõtja vara koguväärtus on alla 30 miljardi euro ning ettevõtja kuulub konsolideerimisgruppi,

mille puhul kõigi selliste sinna kuuluvate ettevõtjate, kes tegelevad direktiivi 2014/65/EL I lisa A

jao punktides 3 ja 6 osutatud tegevusega ja kellest iga üksiku ettevõtja vara koguväärtus on alla 30

miljardi euro, konsolideeritud vara koguväärtus on 30 miljardit eurot või rohkem, või

iii) ettevõtja vara koguväärtus on alla 30 miljardi euro ning ettevõtja kuulub konsolideerimisgruppi,

mille puhul kõigi selliste sinna kuuluvate ettevõtjate, kes tegelevad direktiivi 2014/65/EL I lisa A

jao punktides 3 ja 6 osutatud tegevusega, konsolideeritud vara koguväärtus on 30 miljardit eurot

või rohkem, kui konsolideeritud järelevalvet tegev asutus järelevalvekolleegiumiga konsulteerides

nii otsustab, et käsitleda võimalikku nõuete täitmisest kõrvalehoidmise riski ja võimalikke liidu

finantsstabiilsust ohustavaid riske;

punkti b alapunktide ii ja iii kohaldamisel, kui ettevõtja kuulub kolmanda riigi

konsolideerimisgruppi, arvestatakse iga liidus tegevusloa saanud kolmanda riigi

konsolideerimisgrupi filiaali koguvara kõigi konsolideerimisgruppi kuuluvate ettevõtjate vara

koguväärtuse hulka.“

Arvestades NIS2-direktiivi artiklit 4, kohaldatakse DORA määruse artikli 2 lõike 1 punkti a tõttu

krediidiasutustele DORA määruse nõudeid (vt täpsemalt NIS2-direktiivi artikkel 4 ja DORA

määruse põhjendused 15–18). Kommenteeritava punktiga seoses vt ka KüTSi § 1 lõike 4

muudatuste selgitusi.

Eelnõukohane KüTSi § 3 lõike 3 punkt 19 sätestab üliolulise üksusena laadimispunkti käitaja

elektrituruseaduse tähenduses, kes vastutab laadimispunkti haldamise ja käitamise eest, osutades

lõppkasutajatele laadimisteenust, sealhulgas liikuvusteenuse osutaja nimel ja eest. Selline üksus on

ülioluline üksus, kui see vastab ka käesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti a

seitsmes taane (laadimispunkti käitajad, kes vastutavad sellise laadimispunkti haldamise ja

käitamise eest, mis osutab lõppkasutajatele laadimisteenust, sealhulgas liikuvusteenuse osutaja

nimel ja eest). NIS2-direktiiv ei viita siinjuures ühelegi muule Euroopa Liidu õigusaktile, kuid

elektrituruseaduse § 3 punktis 131 on defineeritud laadimispunkt kui „liides, millega on võimalik

laadida korraga ühte elektrisõidukit või vahetada korraga ühe elektrisõiduki aku“. Kaudselt on selle

teemaga seotud ka energiasalvestusüksuse mõiste, mis on elektrituruseaduse § 3 punktis 84

defineeritud kui „elektripaigaldise osa, kus salvestatakse energiat, sealhulgas kahesuunalist

laadimist võimaldav elektrisõiduki laadimispunkt“. Samuti on sellega seotud elektrituruseaduse

peatükk 62 (võrguettevõtja kõrvaltegevusalad), mis käsitleb kahte küsimust: elektrisõidukite

laadimispunkt ja energiasalvestusüksus.

Eelnõukohane KüTSi § 3 lõike 3 punkt 20 sätestab üliolulise üksusena lennuettevõtja Euroopa

Parlamendi ja nõukogu määruse (EÜ) nr 300/2008, mis käsitleb tsiviillennundusjulgestuse

ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr 2320/2002 (ELT L 97, 09.04.2008,

lk 72–84), artikli 3 punkti 4 tähenduses, kes tegeleb ärilise lennutranspordiga. Selline üksus on

ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti a esimene taane

(kommertsvaldkonnas tegutsevad määruse (EÜ) nr 300/2008, mis käsitleb

tsiviillennundusjulgestuse ühiseeskirju ja millega tunnistatakse kehtetuks määrus (EÜ) nr

2320/2002, artikli 3 punktis 4 määratletud lennuettevõtjad). Viidatud määruse artikli 3 punkti 4

kohaselt on lennuettevõtja „kehtiva lennutegevusloaga või samaväärse loaga õhuveoettevõtja“.

Kommenteeritavasse punkti on lisatud lauseosa „kes tegeleb ärilise lennutranspordiga“, et

54 / 186

kitsendada kõnealuse punkti kohaldamisala nii, nagu on ette nähtud NIS2-direktiivi I lisas.

Eelnõukohane KüTSi § 3 lõike 3 punkt 21 sätestab üliolulise üksusena lennujaama haldaja

Euroopa Parlamendi ja nõukogu direktiivi 2009/12/EÜ lennujaamatasude kohta (ELT L 70,

14.03.2009, lk 11–16) artikli 2 punkti 1 tähenduses ning lennujaama abirajatiste käitaja. Selline

üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Selle punkti eesmärk on võtta üle NIS2-direktiivi I lisa punkti 2 alapunkti a teine taane (Euroopa

Parlamendi ja nõukogu direktiivi 2009/12/EÜ, lennujaamatasude kohta (edaspidi direktiiv

2009/12/EÜ), artikli 2 punktis 2 määratletud lennujaama juhtorganid, nimetatud direktiivi artikli

2 punktis 1 määratletud lennujaamad, sealhulgas Euroopa Parlamendi ja nõukogu määruse (EL)

nr 1315/2013 II lisa 2. jaos loetletud põhivõrgu lennujaamad ning lennujaamades olevaid

abirajatisi käitavad üksused).

Direktiivi 2009/12/EÜ artikli 2 punkti 2 kohaselt on lennujaama juhtorgan „asutus, kelle

ainuülesandeks või lisaülesandeks – olenevalt olukorrast – on riiklike õigus- või haldusaktide või

lepingute alusel lennujaama või lennujaamade võrgustiku infrastruktuuri haldamine ja juhtimine

ning asjaomases lennujaamas või lennujaamade võrgustikus tegutsevate eri käitajate tegevuse

koordineerimine ja kontrollimine“. Direktiivi 2009/12/EÜ artikli 2 punkti 1 kohaselt on lennujaam

„mis tahes maa-ala, mis on spetsiaalselt kohandatud õhusõidukite maandumiseks, õhkutõusmiseks

ja manööverdamiseks, kaasa arvatud lennuliikluse ja -teenuste nõuete täitmiseks vajalikud

abirajatised, sealhulgas ärilendude teenindamiseks vajalikud rajatised“.

Riigikogus 1. mail 2022 vastu võetud lennundusseaduse ja riigilõivuseaduse muutmise seaduse

eelnõu 477 SE41 seletuskirja (edaspidi 477 SE seletuskiri) lk-del 57–58 on lennundusseaduse §-de

502 ja 503 kohta märgitud järgmist:

„LennS-i § 502 lg 1 jäetakse välja osa „(edaspidi käesolevas peatükis lennujaam)“. Terminit

„lennujaam“ kasutab LennS läbivalt ega ole põhjendatud anda seaduse eri osades sellele erinev

tähendus. Selleks, et LennS-i 82. peatükk kohalduks üksnes äriliseks lennuliikluseks avatud

suurima reisijate arvuga lennujaamale, ei ole vajalik, et terminil „lennujaam“ oleks 82. peatükis

ülejäänud seadusest erinev tähendus. Muudatus on vajalik, et LennS-i §-des 503 ja 504 defineeritud

terminid oleksid kasutatavad ka eelnõuga LennS-i lisatavas peatükis 83. Ilma muudatuseta oleks

83. peatükis vaja uuesti defineerida terminid „lennujaama haldaja“ ja „lennujaama kasutaja“.

EL-i lennundusohutuse alusmäärus kasutab termini „lennujaam“ asemel terminit „lennuväli“.

LennS-is on kasutatud mõlemat. Kuna direktiivis 96/67/EÜ kasutatakse terminit „lennujaam“, on

eelnõus kasutatud maapealse teeninduse teenuste osutamise kontekstis samuti terminit

„lennujaam“.

Et korrastada LennS-is terminite „lennujaam“ ja „lennuväli“ kasutamine, eeldab kogu seaduse

süsteemset analüüsimist ja muutmist, ent see väljub käesoleva eelnõu raamest.

LennS-i § 503 muudetakse, et lennujaama haldaja definitsioon vastaks nii direktiivi 2009/12/EÜ

artikli 2 punktile 2 kui ka direktiivi 96/67/EÜ artikli 2 punktile c.

Paragrahvile lisatakse lõige 2, milles täpsustatakse lennujaama haldaja definitsiooni direktiivi

96/67/EÜ artikli 3 lõike 1 kohaselt.

Lõikes 2 täpsustatakse, et kui lennujaama juhib või haldab mitu eri isikut või organit, on LennS-i

tähenduses lennujaama haldaja iga selline isik või organ.

Paragrahvis 503 kasutatud termin „lennujaama haldaja“ erineb EL-i lennundusohutuse alusmääruse

artikli 3 punktis 14 kasutatud terminist „lennuvälja käitaja“, sest direktiivides 2009/12/EÜ ja

96/67/EÜ on kasutusel alusmäärusest erinevad terminid.

41 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/d2392b95-c13e-44e0-b03d-069c1855fb53/.

55 / 186

Et korrastada LennS-i terminite „lennujaama haldaja“ ja „lennuvälja käitaja“ kasutamine, eeldab

kogu seaduse süsteemset analüüsimist ja muutmist, ent see väljub käesoleva eelnõu raamest.“

Lennundusseaduse § 503 lõikes 1 on märgitud, et „lennujaama haldaja on lennujaama haldav isik,

kelle ülesanne on õigusaktide ja lepingute alusel hallata ja juhtida lennujaama taristut ning

koordineerida ja kontrollida lennujaamas tegutsevate käitajate tegevust“ ning lõikes 2 on

sätestatud, et „kui lennujaama haldab mitu isikut, on lennujaama haldaja iga selline isik“. Seetõttu

ning arvestades 477 SE seletuskirjas esitatud selgitusi lennundusseaduse § 503 kohta, on

kommenteeritavas punktis otsustatud viidata „lennujaama juhtorganite“ puhul lennundusseaduses

kasutatud terminile „lennujaama haldaja“.

Euroopa Parlamendi ja nõukogu määrus (EL) nr 1315/2013 üleeuroopalise transpordivõrgu

arendamist käsitlevate liidu suuniste kohta ja millega tunnistatakse kehtetuks otsus nr 661/2010/EL

(edaspidi määrus (EL) nr 1315/2013), tunnistati 17. juulil 2024 kehtetuks Euroopa Parlamendi ja

nõukogu määrusega (EL) 2024/1679, milles käsitletakse liidu suuniseid üleeuroopalise

transpordivõrgu arendamise kohta ning millega muudetakse määrusi (EL) 2021/1153 ja (EL) nr

913/2010 ja tunnistatakse kehtetuks määrus (EL) nr 1315/2013 (edaspidi määrus (EL) 2024/1679).

Määruse (EL) 2024/1679 artikli 68 kohaselt käsitatakse viiteid kehtetuks tunnistatud määrusele

(EL) nr 1315/2013 viidetena määrusele 2024/1679 ja neid loetakse vastavalt VII lisas esitatud

vastavustabelile. Määruse (EL) nr 1315/2013 II lisa 2. jaos on Eesti puhul põhivõrgu

lennujaamadena märgitud Tallinn ja Tartu. Määruse (EL) 2024/1679 vastavustabeli (VII lisa)

kohaselt vastab määruse (EL) nr 1315/2013 II lisa määruse (EL) 2024/1679 II lisale (üleeuroopalise

transpordivõrgu transpordisõlmede loetelu), mille lennujaama tulbas on Eesti puhul põhivõrguna

märgitud ainult Tallinn. Sama tabeli lennujaamade tulbas on üldvõrguna märgitud Kärdla,

Kuressaare, Pärnu ja Tartu. Arvestades, et Tallinna lennujaam on hõlmatud ka direktiivi

2009/12/EÜ artikli 2 punkti 1 kohase lennujaama definitsiooniga, pole eelnõus eraldi viidatud

Tallinnale kui määruse (EL) 2024/1679 II lisas märgitud põhivõrgu lennuväljale. Eelnõus on

viidatud nimetatud direktiivile, mitte Eesti õigusele seetõttu, et lennundusseaduses ei ole

lennujaama eraldi defineeritud.

NIS2-direktiiv ei täpsusta, mida peetakse silmas lennujaamas olevate abirajatisi käitavate

üksustena, kuid eeldatavasti on siin Eesti puhul mõeldud nt Tallinna lennujaama maapealse

teenindusega seotud rajatisi käitavaid isikuid. Maapealse teeninduse teenused hõlmavad näiteks

maapealset juhtimist ja järelevalvet, kauba ja posti käitlust, perroonikäitlust,42 õhusõiduki

teenindamist, kütuse- ja õlikäitlust, õhusõiduki hooldust, lennutegevuse ja meeskonna juhtimise,

maapealse transpordi ning erivedusid sisaldavaid teenuseid. Maapealse teeninduse teenuste loetelu

on esitatud ELi nõukogu direktiivi 96/67/EÜ43 lisas. Maapealse teenindusega seotud teenuseid võib

täielikult või osaliselt pakkuda kolmas isik, aga sellega võib lennujaama kasutaja tegeleda ka

iseseisvalt (omakäitleja)44. Sel teemal vt ka 477 SE seletuskirjas esitatud vastavate muudatuste

selgitusi ja kõnesoleva eelnõuga lennundusseaduses tehtavaid muudatusi.

Eelnõukohane KüTSi § 3 lõike 3 punkt 22 sätestab üliolulise üksusena lennujaama haldaja

42 Perroonikäitlus hõlmab õhusõiduki liikumise juhendamist maapinnal saabumisel ja väljumisel; abi õhusõiduki

sildumisel ja sobivate seadmete kasutada andmist; sidepidamist õhusõiduki ja perrooniteeninduse osutaja vahel;

õhusõiduki laadimist ja tühjakslaadimist, sh sobilike seadmetega varustamist ning nende käitamist, samuti meeskonna

ja reisijate vedu õhusõiduki ning terminali vahel ning pagasi transporti õhusõiduki ja terminali vahel; õhusõiduki

mootori käivitamiseks vajalike seadmetega varustamist ja nende käitamist; õhusõiduki teisaldamist saabumisel ja

väljumisel, samuti sobilike seadmetega varustamist ja nende käitamist; toidu ja jookide transporti, nende õhusõidukile

laadimist ja sealt mahalaadimist. 43 Nõukogu direktiiv 96/67/EÜ juurdepääsu kohta maapealse käitluse turule ühenduse lennujaamades. 44 Omakäitlus on olukord, kus lennujaama kasutaja (lennuettevõtja – näiteks Lufthansa, AirBaltic) osutab otseselt

endale üht või mitut liiki maapealse teeninduse teenust ega sõlmi kolmanda isikuga selliste teenuste osutamise lepingut.

56 / 186

lennundusseaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

See punkt toimib koosmõjus eelmise punktiga ja teenib samuti NIS2-direktiivi I lisa punkti 2

alapunkti a teise taande ülevõtmise eesmärki. Kui eelmises punktis on viidatud lennujaama

haldajale direktiivi 2009/12/EÜ tähenduses, siis selles punktis on viidatud lennujaama haldajale

lennundusseaduse tähenduses. Viide riigisisesele lennundusseadusele on vajalik selleks, et

hõlmata kõikvõimalikud muud isikud, kes võivad olla lennujaama haldajad ELi õigusest tulenevate

nõuete alusel, et ei tekiks potentsiaalseid erinevusi riigisisestest nõuetest. Siinjuures vt ka eelmises

punktis esitatud selgitusi määruse (EL) nr 1315/2013 ning selle määruse kehtetuks tunnistanud

määruse (EL) 2024/1679 kohta.

KüTSi § 3 lõike 3 punkt 23 sätestab üliolulise üksusena lennujuhtimise teenust osutava

lennuliikluskorraldusettevõtja Euroopa Parlamendi ja nõukogu määruse (EL) 2024/2803 ühtse

Euroopa taeva algatuse rakendamise kohta (uuesti sõnastatud) artikli 2 punkti 6 tähenduses. Selline

üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti a

kolmas taane (Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 549/2004, millega sätestatakse

raamistik ühtse Euroopa taeva loomiseks (raammäärus) (edaspidi määrus (EÜ) nr 549/2004)

artikli 2 punktis 1 määratletud lennujuhtimise teenust osutavad liikluskorraldusettevõtjad).

Määrus (EÜ) nr 549/2004 on alates 1. detsembrist 2024 kehtetuks tunnistatud Euroopa Parlamendi

ja nõukogu määruse (EL) 2024/2803 ühtse Euroopa taeva algatuse rakendamise kohta (uuesti

sõnastatud) (edaspidi määrus (EL) 2024/2803) artikliga 56. Sama määruse artiklis 58

(„Üleminekusätted“) on sätestatud, millised määruse (EÜ) nr 549/2004 üksikud artiklid kehtivad

piiratud tähtaja jooksul. Nende hulgas ei ole viidatud määruse (EÜ) nr 549/2004 artiklile 2 ehk

terminite artiklile. Seetõttu tuleb määruse (EÜ) nr 549/2004 artikli 2 terminite puhul lähtuda

määruse (EL) 2024/2803 II lisas45 esitatud vastavustabelist.

Määruse (EÜ) nr 549/2004 artikli 2 punkti 1 kohaselt on lennujuhtimine „[teenus], mille eesmärk

on: a) kokkupõrgete vältimine: i) õhusõidukite vahel ja ii) manööverdusalal olevate õhusõidukite

ja takistuste vahel; ning (b) lennuliikluse sujuvuse parandamine ja säilitamine“. Määruse (EL)

2024/2803 II lisa kohaselt on selle punkti (täpsemalt artikli 2 punkti 1 punktide a ja b) vasteks

määruse (EL) 2024/2803 artikli 2 esimese lõigu punkti 6 alapunktid a ja b, mis on sõnastatud

järgmiselt: „lennujuhtimisteenus (ATC-teenus)“ – teenus, mille eesmärk on: a) kokkupõrgete

vältimine: i) õhusõidukite vahel; ii) manööverdusalal olevate õhusõidukite ja takistuste vahel; b)

lennuliikluse sujuvuse parandamine ja säilitamine“. See tähendab, et selle termini tähendus on

sama.

Määruse (EÜ) nr 549/2004 artikli 2 punkti 10 kohaselt on lennuliikluse korraldamine „kõik õhus

ja maa peal tehtavad toimingud (lennuliiklusteenused, õhuruumi korraldamine ja lennuliikluse

voogude juhtimine), mis on nõutavad õhusõiduki ohutu ja tõhusa liikumise tagamiseks kõikides

lennuetappides“. Määruse (EL) 2024/2803 II lisa kohaselt on selle punkti vasteks määruse (EL)

2024/2803 artikli 2 punkt 9, mis on sõnastatud järgmiselt: „lennuliikluse korraldamine (ATM)“ –

kõik õhus ja maa peal tehtavad toimingud ja teenused, nimelt lennuliiklusteenused, õhuruumi

korraldamine ja lennuliiklusvoo juhtimine, sealhulgas lennuprotseduuride kavandamine, mis on

nõutavad õhusõiduki ohutu ja tõhusa liikumise tagamiseks kõikides lennuetappides“. See tähendab,

et selle termini tähendus on sama. Eeltoodu tõttu on eelnõu kommenteeritavas punktis kasutatud

terminit „lennuliikluskorraldusettevõtja“, et oleks arusaadavam, et tegemist on lennunduse

45 Vastavustabel, milles on esitatud viited määruse (EÜ) nr 540/2008, määruse (EÜ) nr 550/2004 ja määruse (EÜ) nr

551/2004 seoste kohta määrusega 2024/2803.

57 / 186

valdkonnas tegutseva liiklust korraldava ettevõtjaga.

Eelnõukohane KüTSi § 3 lõike 3 punkt 24 sätestab üliolulise üksusena liiklusseaduse kohase

intelligentse transpordisüsteemi käitaja. Selline üksus on ülioluline üksus, kui see vastab ka

kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti d teine taane (Euroopa

Parlamendi ja nõukogu direktiivi 2010/40/EL, mis käsitleb raamistikku intelligentsete

transpordisüsteemide kasutuselevõtmiseks maanteetranspordis ja liideste jaoks teiste

transpordiliikidega (edaspidi direktiiv 2010/40/EL), artikli 4 punktis 1 määratletud intelligentsete

transpordisüsteemide operaatorid). Direktiivi 2010/40/EL artikli 4 punktis 1 on intelligentsed

transpordisüsteemid defineeritud kui „süsteemid, milles info- ja sidetehnoloogiat rakendatakse

maanteetranspordi valdkonnas (sh infrastruktuur, sõidukid ja kasutajad), liikluskorralduses ja

liikuvuse juhtimises ning samuti liidesteks teiste transpordiliikidega“. Liiklusseaduse § 61 lõikes 1

on intelligentne transpordisüsteem defineeritud kui „süsteem, milles rakendatakse info- ja

sidetehnoloogiat teeliikluse valdkonnas, sealhulgas infrastruktuur, sõidukid ja kasutajad,

liikluskorralduses ja liikuvuse juhtimises ning samuti liidesena teise transpordiliigiga“. Seetõttu on

viidatud ka liiklusseadusele. Käitaja all mõeldakse juriidilist isikut, kes haldab intelligentset

transpordisüsteemi.

Kuigi direktiivi 2010/40/EL artikli 4 punktid 4–6 defineerivad nii „intelligentsete

transpordisüsteemide teenuse“ (intelligentsete transpordisüsteemide rakenduse pakkumine selgelt

määratletud organisatsioonilise ja toimimisraamistiku abil, et aidata kaasa kasutusohutusele,

tõhususele, kestlikule liikuvusele või mugavusele või transpordi- ja reisitoimingute hõlbustamisele

ja toetamisele), „intelligentsete transpordisüsteemide teenuse pakkuja“ (avalik- või eraõiguslik

intelligentsete transpordisüsteemide teenuse pakkuja) kui ka „intelligentsete transpordisüsteemide

kasutaja“ (intelligentsete transpordisüsteemide rakenduste või teenuste kasutaja, sh reisijad,

vähem kaitstud liiklejad, maanteetranspordi infrastruktuuri kasutajad ja ettevõtjad, sõidukiparkide

haldajad ja hädaabiteenuste pakkujad), ei ole direktiivis 2010/40/EL defineeritud terminit

„intelligentsete transpordisüsteemide operaator“. Seetõttu tuleb NIS2-direktiivi I lisa taandes

kasutatud termini „intelligentsete transpordisüsteemide operaator“ all mõista direktiivi 2010/40/EL

artikli 4 punkti 5 kohast intelligentsete transpordisüsteemide teenuse pakkujat.

Direktiiv 2010/40/EL võeti üle 2. mai 2012. a liiklusseaduse muutmise seadusega (eelnõu nr 182

SE46). Nimetatud seaduse eelnõu seletuskirja lk-l 2 on selgitatud liiklusseaduse § 61 lõiget 1, sh on

selles märgitud, et intelligentse transpordisüsteemi „alla liigituvad näiteks ühistranspordi

kasutajatele mõeldud reaalaja infosüsteemid, samuti mitmesugused liikluse turvalisusele

(automaatsed hoiatused jms) või liiklusoludest sõltuvalt optimaalse marsruudi planeerimisele

suunatud rakendused“.

Eelnõu autorid juhivad seoses kõnealuse punktiga tähelepanu ka asjaolule, et Kliimaministeerium

on kõnealuse eelnõu kooskõlastamise ajal esitanud kooskõlastamisele liiklusseaduse muutmise

seaduse eelnõu, millega kavandatakse mh muuta ka intelligentsetele transpordisüsteemidele

kohalduvaid nõudeid. See eelnõu (liiklusseaduse muutmise seadus) peaks eeldatavasti jõustuma

21. detsembril 2025 (eelnõu toimiku number 25-0547).47 Selles eelnõus (I ringi versioonis) sooviti

defineerida liiklusseaduse § 61 lõikes 21 „intelligentsete transpordisüsteemide teenus“ kui

„intelligentsete transpordisüsteemide rakenduse pakkumine selgelt määratletud organisatsioonilise

ja toimimisraamistiku abil, et aidata kaasa kasutusohutusele, tõhususele, kestlikule liikuvusele või

mugavusele või transpordi- ja reisitoimingute hõlbustamisele ja toetamisele“. NIS2-direktiivi I lisa

46 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/7cebb80f-133c-41b9-8e38-bd2b28661cb6/liiklusseaduse-

muutmise-seadus/ 47 https://eelnoud.valitsus.ee/main/mount/docList/5a96d59f-1364-49ca-ae3f-279198089b8c

58 / 186

taandes kasutatud termini „intelligentsete transpordisüsteemide operaatori“ all, mis asendatakse

Kliimaministeeriumi ette valmistatud eelnõu seadusena jõustumise järel terminiga „intelligentse

transpordisüsteemi käitaja“, saab mõista endiselt direktiivi 2010/40/EL artikli 4 punkti 5 kohast

„intelligentsete transpordisüsteemide teenuse pakkujat“. Sel juhul tähendab eelnimetatud eelnõu

jõustumise järel liiklusseaduses edaspidi sätestatud termin „intelligentsete transpordisüsteemide

teenus“ seda teenust, mida kommenteeritavas punktis nimetatud käitaja osutab.

Eelnõukohane KüTSi § 3 lõike 3 punkt 25 sätestab üliolulise üksusena maagaasi rafineerimise

ja töötlemise rajatise käitaja. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti d seitsmes taane (maagaasi

rafineerimise ja töötlemise rajatiste haldurid). Maagaasiseaduses sellekohast terminit pole, samuti

mitte direktiivis 2009/73/EÜ ega selle direktiivi 3. augustil 2024 kehtetuks tunnistanud direktiivis

(EL) 2024/1788, mistõttu on kasutatud NIS2-direktiivi I lisas kasutatud terminit.

Eelnõukohane KüTSi § 3 lõike 3 punkt 26 sätestab üliolulise üksusena maagaasi, sealhulgas

veeldatud maagaasi müügiga ning hulgimüüjale, lõpptarbijale ja maagaasi ostvale gaasiettevõtjale

maagaasi edasimüügiga tegeleva gaasiettevõtja maagaasiseaduse tähenduses. Selline üksus on

ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga võetakse üle NIS2-direktiivi I lisa punkti 1 alapunkti d esimene taane (Euroopa

Parlamendi ja nõukogu direktiivi 2009/73/EÜ, mis käsitleb maagaasi siseturu ühiseeskirju ning

millega tunnistatakse kehtetuks direktiiv 2003/55/EÜ, artikli 2 punktis 8 määratletud

tarneettevõtjad). Nimetatud direktiiv tunnistati 3. augustil 2024 kehtetuks direktiiviga (EL)

2024/1788. Direktiivi (EL) 2024/1788 artiklit 95 arvestades ning lähtudes selle direktiivi IV lisas

esitatud direktiivi 2009/73/EÜ ja direktiivi (EL) 2024/1788 vastavustabelist, on direktiivi

2009/73/EÜ artikli 2 punkti 8 vasteks direktiivi (EL) 2024/1788 artikli 2 punkt 29. Direktiivi

2009/73/EÜ artikli 2 punktis 8 defineeriti tarneettevõtja kui „füüsiline või juriidiline isik, kes täidab

tarneülesannet“. Direktiivi (EL) 2024/1788 artikli 2 punkti 29 kohaselt on tarneettevõtja

definitsioon sama ehk „füüsiline või juriidiline isik, kes täidab tarneülesannet“. Väärib mainimist,

et kõnesoleva tarneettevõtja definitsiooniga on seotud ka direktiivi 2009/73/EÜ artikli 2 punkt 7

(„tarnimine” – maagaasi, sealhulgas veeldatud maagaasi müük, kaasa arvatud edasimüük

tarbijale), mille vaste uuendatud sõnastuses on direktiivi (EL) 2024/1788 artikli 2 punkt 28

(„tarnimine“ – maagaasi, sealhulgas veeldatud maagaasi, või vesiniku, sealhulgas vedela

orgaanilise vesiniku kandja kujul vesiniku või veeldatud vesiniku ja vesiniku derivaatide,

sealhulgas ammoniaagi või metanooli müük, kaasa arvatud edasimüük tarbijatele); samuti ka

direktiivi 2009/73/EÜ artikli 2 punkt 24 („tarbija” – maagaasi hulgimüüja või lõpptarbija ja

maagaasi ostev maagaasiettevõtja), mille vaste uuendatud sõnastuses on direktiivi (EL) 2024/1788

artikli 2 punkt 47 („tarbija“ – maagaasi või vesiniku hulgimüüja või lõpptarbija ja maagaasi või

vesinikku ostev maagaasi- või vesinikuettevõtja).

Direktiiv 2009/73/EÜ võeti maagaasiseadusesse üle maagaasiseaduse muutmise seadusega (eelnõu

166 SE).48 Nimetatud seaduse eelnõu seletuskirjas oleva vastavustabeli (edaspidi 166 SE

vastavustabel) kohaselt on direktiivi 2009/73/EÜ artikli 2 punktis 8 sätestatud termini vasteks

maagaasiseaduse § 2 (täpsustamata konkreetset punkti), kuid tolles seaduses ei ole seda terminit

rohkem selgitatud ega täpsustatud. Kui arvestada selle termini sisu eelviidatud direktiivides, siis

eeldatavasti on see seotud maagaasiseaduse § 7 lõikega 4: „gaasi müük käesoleva seaduse

tähenduses on gaasi üleandmine isikule tasu eest“. Kõigest eeltoodust lähtudes tähendab

48 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/5dea306a-39a3-43c7-9d74-e20d79ad6527/maagaasiseaduse-

muutmise-seadus/

59 / 186

kommenteeritav punkt järgmist: tegemist on maagaasi edasimüügiga tegeleva gaasiettevõtjaga, kes

müüb maagaasi (sh veeldatud maagaasi) maagaasi hulgimüüjale, lõpptarbijale ja maagaasi ostvale

gaasiettevõtjale; või sama tegevus edasimüügina.

Eelnõu kommenteeritava punkti kooskõlastusele saadetud variandi sõnastuses lähtuti direktiivi

2009/73/EÜ sõnastusest (millele ka NIS2-direktiivis on viidatud), mitte direktiivist (EL)

2024/1788, millest lähtumine hõlmaks selle terminiga ka vesinikuga seotud sarnaseid tegevusi

tegevad ettevõtjad. Maagaasiseaduse §-s 4 on gaasiettevõtja defineeritud kui „ettevõtja, kes

tegutseb vähemalt ühel tegevusalal, milleks on gaasi tootmine, import, ülekanne, jaotamine,

hoiustamine või müük, ning kes vastutab selle tegevusega seonduva kaubandusliku või

hooldusküsimuse lahendamise eest“. Eelnõus on ka kooskõlastamise järel jäädud direktiivi

2009/73/EÜ (eelnõus pakutud) kitsama sõnastuse juurde. Seda põhjusel, et direktiivi (EL)

2024/1788 ülevõtmistähtaeg on direktiivi artikli 94 kohaselt 5. august 2026 ja Eesti

maagaasiseadust ei ole uuest direktiivist tulenevalt veel muudetud. Seetõttu ei ole KüTSi eelnõu

koostamise ajal veel võimalik gaasiettevõtja definitsiooni uue, kuid veel üle võtmata direktiiviga

ühildada. Direktiivi (EL) 2024/1788 ülevõtmisel tuleb üle vaadata ka kõnealune KüTSi § 3 lõike 3

punkt 26 ning vajaduse korral seda muuta. Käesoleva eelnõu raames see veel võimalik ei ole.

Eelnõukohane KüTSi § 3 lõike 3 punkt 27 nimetab üliolulise üksusena määratud

elektriturukorraldaja Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles käsitletakse

elektrienergia siseturgu (ELT L 158, 14.06.2019, lk 54–124), artikli 2 punkti 8 tähenduses. Selline

üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti a viies taane

(Euroopa Parlamendi ja nõukogu määruse (EL) 2019/943, milles käsitletakse elektrienergia

siseturgu (edaspidi määrus (EL) 2019/943), artikli 2 punktis 8 määratletud määratud

elektriturukorraldajad). Selle määruse kohaselt on määratud elektriturukorraldaja „turukorraldaja,

kelle pädev asutus on nimetanud täitma ülesandeid ühtse järgmise päeva turu mehhanismis või

ühtse päevasisese turu mehhanismis“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 28 nimetab üliolulise üksusena nafta tootmise,

rafineerimise ja töötlemise rajatiste käitamise ning nafta hoiustamise ja ülekandmisega tegeleva

ettevõtja. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas

nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 1 alapunkti c teine taane (nafta tootmise,

rafineerimise ja töötlemise rajatiste ning hoiustamise ja ülekandmisega tegelevad operaatorid).

Eelnõukohane KüTSi § 3 lõike 3 punkt 29 sätestab üliolulise üksusena pilvandmetöötlusteenuse

osutaja. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas

nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 8 neljas taane

(pilvandmetöötlusteenuse osutajad). Termin „pilvandmetöötlusteenus“ on defineeritud NIS2-

direktiivi artikli 6 punktis 30, mis on kavas üle võtta KüTSi § 2 punktiga 23. Kommenteeritava

punktiga on seotud ka NIS2-direktiivi põhjendused 33 ja 34:

(33) Pilvandmetöötlusteenused peaksid hõlmama digiteenuseid, mis võimaldavad jagatavate

andmetöötlusressursside skaleeritava ja paindliku kogumi nõudepõhist haldamist ning ulatuslikku

kaugpääsu sellele kogumile, muu hulgas juhul, kui need ressursid paiknevad hajutatult erinevates

kohtades. Andmetöötlusressursid on näiteks võrgud, serverid ja muu taristu,

operatsioonisüsteemid, tarkvara, talletusruum, rakendused ja teenused. Pilvandmetöötluse

60 / 186

teenusemudelid hõlmavad muu hulgas taristut teenusena (IaaS), platvormi teenusena (PaaS),

tarkvara teenusena (SaaS) ja võrku teenusena (NaaS). Pilvandmetöötluse korraldusmudelid

peaksid hõlmama privaat-, ühis-, avalikku ja hübriidpilve. Mõistetel „pilvandmetöötlusteenus“ ja

„korraldusmudel“ on sama tähendus nagu nimetatud mõistetel standardi ISO/IEC 17788:2014

määratluses. Pilvandmetöötlusteenuse kasutaja võimekust tagada endale ühepoolselt

andmetöötlusvõimekus, nagu serveriaeg või võrgu talletusruum, ilma pilvandmetöötlusteenuse

osutaja inimesepoolse sekkumiseta, võiks nimetada nõudepõhiseks haldamiseks. Mõistega

„ulatuslik kaugpääs“ peetakse silmas seda, et pilvevõimalusi pakutakse võrgu kaudu ja need on

kättesaadavad mehhanismide kaudu (sealhulgas mobiiltelefonid, tahvelarvutid, sülearvutid ja

tööjaamad), mis toetavad heterogeensete nn kõhnade või paksude kliendiplatvormide kasutamist.

Mõiste „skaleeritav“ osutab andmetöötlusressurssidele, mis on nõudluse kõikumisega

toimetulekuks pilveteenuse osutaja poolt paindlikult jaotatavad olenemata ressursside

geograafilisest asukohast. Mõistet „paindlik kogum“ kasutatakse andmetöötlusressursside

kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt nõudlusele, et

kättesaadavaid ressursse suurendada või vähendada sõltuvalt töökoormusest. Mõistet „jagatav“

kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse paljudele

kasutajatele, kellel on ühine juurdepääs teenusele, kuid mille puhul andmete töötlemine toimub iga

kasutaja jaoks eraldi, olgugi et teenust osutatakse samadest elektroonilistest seadmetest. Mõistet

„hajusad“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mis asuvad erinevates

võrguga ühendatud arvutites või seadmetes ning mis suhtlevad omavahel ja kooskõlastavad

omavahelist tegevust sõnumite edastamise teel.

(34) Kuna maad võtavad uuenduslikud tehnoloogiad ja ärimudelid, tulevad eeldatavasti tarbijate

muutuvate vajaduste järgi siseturule uued pilvandmetöötlusteenuse ja korraldusmudelid. Sellises

kontekstis võib pilvandmetöötlusteenuseid osutada väga hajusal kujul, mille puhul töötlus toimub

andmete loomise või kogumise kohale veelgi lähemal; seega liikudes nn traditsiooniliselt mudelilt

väga hajusale mudelile (servtöötlus).

Eelnõukohane KüTSi § 3 lõike 3 punkt 30 sätestab üliolulise üksusena põhivõrguettevõtja

elektrituruseaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 1 alapunkti a kolmas taane (direktiivi (EL)

2019/944 artikli 2 punktis 35 määratletud põhivõrguettevõtjad). Mainitud direktiivi kohaselt on

põhivõrguettevõtja „füüsiline või juriidiline isik, kes vastutab põhivõrgu käitamise, hoolduse ja

vajaduse korral arendamise eest teatud piirkonnas, ja asjakohasel juhul põhivõrgu sidumise eest

teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada mõistlikku nõudlust

elektrienergia ülekandmise järele“. 426 SE vastavustabeli kohaselt on direktiivis (EL) 2019/944

kasutatud termini vasteks elektrituruseaduse § 8 lõike 2 kohane põhivõrguettevõtja, kes on

„elektriettevõtja, kes osutab võrguteenust põhivõrgu kaudu“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 31 sätestab üliolulise üksusena

raudteeinfrastruktuuriettevõtja ja raudteeveoettevõtja, sealhulgas teenindusrajatise käitaja

raudteeseaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti b esimene taane (Euroopa

Parlamendi ja nõukogu direktiivi 2012/34/EL, millega luuakse ühtne Euroopa raudteepiirkond

(edaspidi direktiiv 2012/34/EL), artikli 3 punktis 2 määratletud raudteeinfrastruktuuri-ettevõtjad)

ja teine taane (direktiivi 2012/34/EL artikli 3 punktis 3 määratletud raudteeveo-ettevõtjad,

sealhulgas nimetatud direktiivi artikli 3 punktis 12 määratletud teenindusrajatiste käitajad).

61 / 186

Direktiivi 2012/34/EL artikli 3 punkti 2 kohaselt on raudteeinfrastruktuuri-ettevõtja „asutus või

ettevõtja, kes vastutab raudteevõrgustikul raudteeinfrastruktuuri käitamise, hooldamise ja

uuendamise ning samuti selle arendamises osalemise eest vastavalt liikmesriigi infrastruktuuri

arendamise ja rahastamise üldise poliitika raames sätestatule“. Raudteeseaduse § 2 punkt 14

defineerib raudteeinfrastruktuuriettevõtja kui: „raudtee-ettevõtja, kelle ülesanneteks on avalikul

raudteevõrgustikul raudteeinfrastruktuuri majandamine, käitamine, hooldamine ja uuendamine

ning raudteeinfrastruktuuri arendamises osalemine vastavalt [raudteeseaduse] § 73 lõikes 1

nimetatud tegevuskavale“. Raudteeseaduse § 2 punkt 13 defineerib raudtee-ettevõtja kui

„füüsilisest isikust ettevõtja või äriühing, kelle tegevuseks on raudteevedu või kes täidab

raudteeinfrastruktuuriettevõtja ülesandeid“.

Direktiivi 2012/34/EL artikli 3 punkti 1 kohaselt on raudteeveo-ettevõtja „vastavalt [direktiivile

2012/34/EL] tegevusloa saanud avalik-õiguslik või eraõiguslik ettevõtja, kelle peamine tegevusala

on osutada raudtee-kaubaveoteenuseid ja/või raudtee-reisijateveo teenuseid ja kes on kohustatud

tagama veduriteenuse; see hõlmab ka ainult veduriteenust osutavaid ettevõtjaid“. Raudteeseaduse

§ 2 punkti 29 järgi on raudteeveoettevõtja „vastava tegevusloa saanud ettevõtja, kelle peamine

tegevusala on raudteevedu ja kes on kohustatud tagama veduriteenuse, samuti isik, kes osutab

ainult veduriteenust“. Raudteeseaduse § 2 punkti 25 järgi on raudteevedu „kauba- või reisijatevedu

ja veduriteenuse osutamine raudteel või ainult veduriteenuse osutamine“.

Direktiivi 2012/34/EL artikli 3 punkti 12 kohaselt on teenindusrajatise käitaja „avalik-õiguslik või

eraõiguslik isik, kes on vastutav ühe või mitme teenindusrajatise juhtimise või ühe või mitme [sama

direktiivi] II lisa punktides 2–4 osutatud teenuse osutamise eest raudteeveo-ettevõtjatele“.

Raudteeseaduse § 95 lõige 95 defineerib teenindusrajatise käitaja kui „ettevõtja, kes majandab ühte

või mitut teenindusrajatist või osutab ühes või mitmes teenindusrajatises asjakohast teenust või

[raudteeseaduse] § 94 lõikes 2 või 3 nimetatud teenust raudteeveoettevõtjale“.

Eeltoodu tõttu on kommenteeritavas punktis kasutatud raudteeseaduse vastavaid termineid.

Eelnõukohane KüTSi § 3 lõike 3 punkt 32 sätestab üliolulise üksusena sadama pidaja või

sadamarajatise valdaja sadamaseaduse tähenduses, sealhulgas Euroopa Parlamendi ja nõukogu

määruse (EÜ) nr 725/2004 artikli 2 punktis 11 määratletud sadamarajatiste valdaja, ning sadamates

tööde ja varustuse haldamisega tegelev üksus. Selline üksus on ülioluline üksus, kui see vastab ka

käesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti c teine

taane (Euroopa Parlamendi ja nõukogu direktiivi 2005/65/EÜ, sadamate turvalisuse tugevdamise

kohta (edaspidi direktiiv 2005/65/EÜ), artikli 3 punktis 1 määratletud sadamate valdajad,

sealhulgas nende määruse (EÜ) nr 725/2004 artikli 2 punktis 11 määratletud sadamarajatised

ning sadamates tööde ja varustuse haldamisega tegelevad üksused). Direktiivi 2005/65/EÜ artikli

3 punktis 1 on sadam defineeritud kui „teatud maa- ja veeala, mille piirid on määratlenud sadama

asukoha liikmesriik ning mis koosneb kaubandusliku meretranspordi hõlbustamiseks ette nähtud

seadmetest ja rajatistest“. Sadamaseaduse § 2 punktis 1 on sadam defineeritud kui „veesõidukite

sildumiseks kohandatud ja sadamateenuse osutamiseks kasutatav maa- ja veeala ning seal asuvad

sadama sihtotstarbeliseks kasutamiseks vajalikud ehitised“.

Kommenteeritav punkt on sõnastatud kehtiva KüTSi § 3 lõike 1 punkti 4 („sadamateenuse osutaja,

kes on sadamaseaduse tähenduses sellise sadama pidaja või sellise sadamarajatise valdaja, mis

teenindab 500-se ja enama kogumahutavusega laevu või rahvusvahelises meresõidus sõitvaid

reisilaevu sadama toimimise teenuse osutamisel“) eeskujul. Seetõttu on kommenteeritavas punktis

viidatud sadamaseadusele.

Määruse (EÜ) nr 725/2004 artikli 2 punktis 11 on sadamarajatis defineeritud kui „laeva ja sadama

vahelise liidese koht; see hõlmab vastavalt asjaoludele ka selliseid alasid nagu ankrupaigad,

62 / 186

ooteplatvormid ja sildumisalad“. Sadamaseaduse § 2 punktis 9 on sadamarajatis defineeritud kui

„sadama maa-alal või akvatooriumil (edaspidi mõlemad koos sadamaala) turvanõuete täitmiseks

määratud laeva ja sadama vahelise koostöö ja liidese koht, mis hõlmab vajaduse korral ka sadama

territooriumi, akvatooriumi ja sissesõiduteed“. Kuna NIS2-direktiiv viitab otsekohalduvale ELi

määrusele, on kommentaaritavas punktis viidatud nii ELi määrusele kui ka sadamaseadusele.

Eelnõukohane KüTSi § 3 lõike 3 punkt 33 sätestab üliolulise üksusena sisulevivõrguteenuse

osutaja. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas

nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 8 kuues taane (sisulevivõrguteenuse osutajad).

Termin „sisulevivõrk“ on defineeritud NIS2-direktiivi artikli 6 punktis 32, mis on kavas üle võtta

KüTSi § 2 punktiga 25.

Eelnõukohane KüTSi § 3 lõike 3 punkt 34 sätestab üliolulise üksusena turuosalise Euroopa

Parlamendi ja nõukogu määruse (EL) 2019/943 artikli 2 punkti 25 tähenduses, kes osutab

agregeerimis-, tarbimiskaja- või elektrienergia salvestamise teenust elektrituruseaduse tähenduses.

Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Kommenteeritava punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti a kuues

taane (määruse (EL) 2019/943 artikli 2 punktis 25 määratletud turuosalised, kes osutavad direktiivi

(EL) 2019/944 artikli 2 punktides 18, 20 ja 59 määratletud agregeerimis-, tarbimiskaja- või

energia salvestamise teenuseid). Määruse (EL) 2019/943 artikli 2 punktis 25 on turuosalised

defineeritud kui „füüsiline või juriidiline isik, kes toodab, ostab või müüb elektrit, tarbimiskaja või

salvestamisteenuseid, mis hõlmab kauplemiskorralduste andmist ühel või mitmel elektriturul,

sealhulgas tasakaalustamisenergia turgudel“. Direktiivi (EL) 2019/944 artikli 2 punktis 18 on

agregeerimine defineeritud kui „füüsilise või juriidilise isiku tegevus, mille käigus ühendatakse

paljude tarbijate tarbimiskoormus või toodetud elektrienergia elektriturul müümiseks, ostmiseks

või oksjonile panemiseks“. 426 SE vastavustabeli kohaselt on direktiivi (EL) 2019/944 asjaomase

punkti vasteks elektrituruseaduse § 3 punkt 13, mille kohaselt on see „tegevus, mille käigus

ühendatakse tarbijate tarbimiskoormus või tootjate tootmisvõimsus elektriturul müümiseks või

ostmiseks“. Direktiivi (EL) 2019/944 artikli 2 punktis 20 on tarbimiskaja defineeritud kui „elektri

tarbimise koormuse muutmine lõpptarbijate poolt, mis seisneb normaalse või jooksva tarbimise

muutmises vastuseks turusignaalidele, sealhulgas vastuseks ajas muutuvale elektrihinnale või

rahalistele stiimulitele, või vastuseks lõpptarbija kas iseseisvalt või energiavahendaja kaudu tehtud

ja aktsepteeritud pakkumisele müüa komisjoni rakendusmääruse (EL) nr 1348/2014 artikli 2

punktis 4 määratletud organiseeritud turu hinnaga tarbimise vähendamist või suurenemist“. 426 SE

vastavustabeli kohaselt on direktiivi (EL) 2019/944 asjaomase punkti vasteks elektrituruseaduse §

3 punkt 233, mille kohaselt on see „elektri tarbimise koormuse juhtimine, mis seisneb tarbija

iseseisvas tarbimise muutmises või agregaatori kaudu tehtud ja aktsepteeritud pakkumises müüa

komisjoni rakendusmääruse (EL) nr 1348/2014, milles käsitletakse andmete esitamist ja millega

rakendatakse energia hulgimüügituru terviklikkust ja läbipaistvust käsitleva Euroopa Parlamendi

ja nõukogu määruse (EL) nr 1227/2011 artikli 8 lõiked 2 ja 6, artikli 2 punktis 4 määratletud

organiseeritud turu hinnaga tarbimise vähendamist või suurendamist“. Direktiivi (EL) 2019/944

artikli 2 punktis 59 on energia salvestamine defineeritud kui „elektrivõrgus elektrienergia

lõppkasutamise edasilükkamine tootmise hetkest hilisemal ajale või elektrienergia muundamine

salvestatavaks energiaks, sellise energia salvestamine ning seejärel selle taasmuundamine

elektrienergiaks või kasutamine muu energiakandjana“. 426 SE vastavustabeli kohaselt on

direktiivi (EL) 2019/944 asjaomase punkti vaste elektrituruseaduse § 3 punkt 83, kuid õige vaste

63 / 186

peaks olema punkt 82 (elektrienergia salvestamine): „elektrienergia muundamine salvestatavaks

energiaks, sellise energia salvestamine ja seejärel taasmuundamine elektrienergiaks või kasutamine

muu energiakandjana eesmärgiga lükata elektrienergia lõppkasutamine tootmise hetkest hilisemale

ajale või optimeerida koormusi elektrisüsteemis salvestusperioodi vältel“.

Eelnõukohane KüTSi § 3 lõike 3 punkt 35 näeb üliolulise üksusena ette veeldatud gaasi terminali

halduri maagaasiseaduse tähenduses. Selline üksus on ülioluline üksus, kui see vastab ka

kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellega võetakse üle NIS2-direktiivi I lisa punkti 1 alapunkti d viies taane (direktiivi 2009/73/EÜ

artikli 2 punktis 12 määratletud maagaasi veeldusjaamade haldurid). Direktiivi 2009/73/EÜ artikli

2 punkti 12 kohaselt on maagaasi veeldusjaamade haldur „füüsiline või juriidiline isik, kes täidab

maagaasi veeldamise või impordi, mahalaadimise ja taasgaasistamise ülesannet ning vastutab

maagaasi veeldusjaama kasutamise eest“. Direktiiv 2009/73/EÜ tunnistati 3. augustil 2024

kehtetuks direktiiviga (EL) 2024/1788. Direktiivi (EL) 2024/1788 artiklit 95 arvestades ning

lähtudes selle direktiivi IV lisas esitatud direktiivi 2009/73/EÜ ja direktiivi (EL) 2024/1788

vastavustabelist, on direktiivi 2009/73/EÜ artikli 2 punkti 12 vasteks direktiivi (EL) 2024/1788

artikli 2 punkt 34, mille kohaselt on asjaomane haldur: „füüsiline või juriidiline isik, kes täidab

maagaasi veeldamise või veeldatud maagaasi impordi, mahalaadimise ja taasgaasistamise

ülesannet ning vastutab maagaasi veeldusjaama kasutamise eest“.

Maagaasiseaduse § 2 punktis 18 on veeldatud gaasi terminali haldur defineeritud kui „isik, kes

täidab gaasi veeldamise, impordi, ümberlaadimise ja taasgaasistamise ülesannet ning vastutab

gaasi veeldusjaama nõuetekohase kasutamise eest“. Seetõttu on kommenteeritavas punktis viidatud

veeldatud gaasi terminali haldurile maagaasiseaduse tähenduses.

Eelnõukohane KüTSi § 3 lõike 3 punkt 36 sätestab üliolulise üksusena veeliikluse juhtimise

keskuse. Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas

nimetatud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 2 alapunkti c kolmas taane (Euroopa

Parlamendi ja nõukogu direktiivi 2002/59/EÜ, millega luuakse ühenduse laevaliikluse seire- ja

teabesüsteem ning tunnistatakse kehtetuks nõukogu direktiiv 93/75/EMÜ (edaspidi direktiiv

2002/59/EÜ), artikli 3 punktis o määratletud laevaliikluse juhtimise keskuste (VTS) operaatorid).

Direktiivi 2002/59/EÜ artikli 3 punktis o on laevaliikluse juhtimise keskus (VTS) defineeritud kui

„talitus, mis on kavandatud laevaliikluse ohutuse ja tõhususe tõstmiseks ning keskkonna

kaitsmiseks ning mis suudab laevaliiklusega seoses infot vahetada ja reageerida laevaliikluse

juhtimise piirkonnas laevaliikluses tekkivatele olukordadele“.

Kommenteeritava punktiga seotud teemasid reguleerib meresõiduohutuse seaduse 12. peatükk,

mille § 51 (laevaliikluse korraldamise süsteemi eesmärk) lõike 2 kohaselt korraldab nimetatud

süsteemi tööd Transpordiamet (kes on ülioluline üksus ka eelnõukohase KüTSi § 3 lõike 2 punkti

3 alusel). Sama paragrahvi lõikes 22 on sätestatud: „Laevaliikluse korraldamise süsteemi

tööpiirkond jaguneb laevaliiklusteeninduse piirkonnaks ja Soome lahe laevaettekannete süsteemi

piirkonnaks.“

Eelnõukohane KüTSi § 3 lõike 3 punkt 37 näeb üliolulise üksusena ette veeseaduse § 17 lõike 1

kohase joogiveega varustaja ja selle jaotaja, välja arvatud jaotaja, kelle puhul on joogivee jaotamine

tema üldise muude tarbekaupade ja kaupade tarnimise tegevuse väheoluline osa. Selline üksus on

ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellega kavandatakse üle võtta NIS2-direktiivi I lisa punkti 6 esimene taane (Euroopa Parlamendi

ja nõukogu direktiivi (EL) 2020/2184, olmevee kvaliteedi kohta (edaspidi direktiiv 2020/2184),

64 / 186

artikli 2 punkti 1 alapunktis a määratletud olmeveega varustajad ja olmevee jaotajad, välja

arvatud jaotajad, kelle puhul olmevee jaotamine on väheoluline osa nende üldisest muude

tarbekaupade ja kaupade tarnimistegevusest). Direktiivi 2020/2184 artikli 2 punkti 1 alapunktis a

on olmevesi defineeritud kui:

„a) vesi, algkujul või pärast töötlemist, mis on mõeldud joomiseks, keetmiseks,

toiduvalmistamiseks ja muudeks olmeotstarveteks nii avalikes kui eravaldustes, olenemata vee

päritolust ning sellest, kas veevarustus toimub jaotusvõrgu kaudu, vett antakse tsisternist või on

vesi villitud pudelitesse või mahutitesse; hõlmatud on ka allikavesi;

b) vesi, mida toidukäitlemisettevõtja kasutab toiduks mõeldud toodete või ainete tootmiseks,

töötlemiseks, säilitamiseks või turustamiseks“.

Joogiveeseaduse §-s 17 on joogivesi defineeritud kui:

„(1) Joogivesi [joogiveeseaduse] tähenduses on algkujul või töödeldud vesi, sealhulgas allikavesi,

mis on mõeldud joomiseks, keetmiseks, toiduvalmistamiseks või muuks olmeotstarbeks kõigis

omandivormides, olenemata vee päritolust ning sellest, kas see toimetatakse tarbijani jaotusvõrgu

kaudu, paagiga, pudelis või mahutis.

(2) Joogiveeks nimetatakse ka vett, mida toidukäitleja Euroopa Parlamendi ja nõukogu määruse

(EÜ) nr 178/2002, millega sätestatakse toidualaste õigusnormide üldised põhimõtted ja nõuded,

asutatakse Euroopa Toiduohutusamet ja kehtestatakse toidu ohutusega seotud menetlused (EÜT L

31, 01.02.2002, lk 1–24), artikli 3 punkti 3 tähenduses kasutab inimesele tarbimiseks mõeldud

toodete või ainete tootmiseks, töötlemiseks, säilitamiseks või turustamiseks.“

Joogiveeseaduse § 17 lõikes 2 esitatud definitsioon on sama mis direktiivi 2020/2184 artikli 2

punkti 1 alapunktis b, kuid kuna NIS2-direktiiv hõlmab ainult seda alapunkti a, siis tuleb

kommenteeritavas punktis täpsustada, et tegemist on joogiveega joogiveeseaduse § 17 lõike 1

tähenduses.

NIS2-direktiiv ei selgita, mida tuleks pidada „väheoluliseks osaks“, sellega seoses vt ka

eelnõujärgse KüTSi § 3 lõike 3 punkti 4 kohta esitatud selgitust.

Eelnõukohane KüTSi § 3 lõike 3 punkt 38 sätestab üliolulise üksusena vesiniku tootmise,

hoiustamise ja ülekandmisega tegeleva ettevõtja. Selline üksus on ülioluline üksus, kui see vastab

ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 1 alapunkti e esimene taane (vesiniku tootmise,

hoiustamise ja ülekandmisega tegelevad operaatorid). NIS2-direktiiv ei selgita, kes on vesiniku

tootmise, hoiustamise ja ülekandmisega tegelev operaator (eelnõus „ettevõtja“).

Ka direktiiv 2009/73/EÜ ei viita vesinikule ega sellega seotud üksustele, kuid selle direktiivi 3.

augustil 2024 kehtetuks tunnistanud direktiivis (EL) 2024/1788 on artikli 2 punktis 14

vesinikuettevõtja defineeritud kui „füüsiline või juriidiline isik, kes täidab vähemalt üht järgmistest

ülesannetest: vesiniku tootmine, transportimine, tarnimine, ostmine või hoiustamine või

vesinikuterminali käitamine, ning kes vastutab nende ülesannetega seotud kaubanduslike, tehniliste

või hooldusküsimuste eest, välja arvatud lõpptarbijad“. Lisaks on direktiivi (EL) 2024/1788 artikli

2 punktis 5 vesinikuhoidla haldur defineeritud kui „füüsiline või juriidiline isik, kes täidab vesiniku

hoiustamise ülesannet ja vastutab vesinikuhoidla käitamise eest“. Direktiivi (EL) 2024/1788 artikli

2 punktis 26 on vesiniku ülekandevõrgu haldur defineeritud kui „füüsiline või juriidiline isik, kes

vastutab vesiniku ülekandevõrgu käitamise, selle hoolduse tagamise ja vajaduse korral vesiniku

ülekandevõrgu arendamise eest teatavas paikkonnas ja kohaldataval juhul selle teiste

vesinikuvõrkudega ühendamise eest ning selle eest, et on tagatud võrgu pikaajaline võime

rahuldada mõistlikku nõudlust vesiniku transportimise järele“.

Eelnõus on kasutatud NIS2-direktiivi I lisa sõnastust (see on sama mis eelnõus). Vt

kommenteeritava punktiga seoses ka eelnõukohase KüTSi § 3 lõike 3 punkti 26 selgitust.

65 / 186

Eelnõukohane KüTSi § 3 lõike 3 punkt 39 sätestab üliolulise üksusena sellise üksuse, kes tegeleb

ravimiseaduse kohase ravimi, välja arvatud Euroopa Parlamendi ja nõukogu määruse (EL) 2019/6,

mis käsitleb veterinaarravimeid ning millega tunnistatakse kehtetuks direktiiv 2001/82/EÜ (ELT L

4, 07.01.2019, lk 43–67), artikli 4 punktis 1 määratletud veterinaarravimi uurimise ja

arendamisega.

Selline üksus on ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Sellele punktile vastab NIS2-direktiivi I lisa punkti 5 kolmas taane (üksused, mis tegelevad

Euroopa Parlamendi ja nõukogu direktiivi 2001/83/EÜ, inimtervishoius kasutatavaid ravimeid

käsitlevate ühenduse eeskirjade kohta (edaspidi direktiiv 2001/83/EÜ), artikli 1 punktis 2

määratletud ravimite uurimise ja arendamisega). Direktiivi 2001/83/EÜ artikli 1 punktis 2 on

ravim defineeritud kui „a) aine või ainete kombinatsioon, mille omadused on ette nähtud inimeste

haiguste raviks või nende ärahoidmiseks; või b) kõik sellised ained või ainete kombinatsioonid,

mida võib kasutada või manustada inimeste meditsiiniliseks diagnoosimiseks või füsioloogilise

talitluse taastamiseks, parandamiseks või modifitseerimiseks farmakoloogilise, immunoloogilise

või ainevahetusliku toime avaldamise kaudu.“

Ravimiseaduse § 2 lõike 1 kohaselt on ravim „aine või ainete kombinatsioon, mis on mõeldud

inimese haiguse või haigussümptomi vältimiseks, diagnoosimiseks või ravimiseks, haigusseisundi

kergendamiseks või elutalitluse taastamiseks või muutmiseks farmakoloogilise, immunoloogilise

või metaboolse toime kaudu“. Sama paragrahvi lõikes 2 on sätestatud: „[r]avimina käsitatakse ka

veterinaarravimit Euroopa Parlamendi ja nõukogu määruse (EL) 2019/6 artikli 4 punkti 1

tähenduses“. Kuna NIS2-direktiivis mõeldakse siinjuures inimestega seotud ravimeid, siis on

kommenteeritavasse punkti lisatud välistus, et tegemist ei ole veterinaarravimiga Euroopa

Parlamendi ja nõukogu määruse (EL) 2019/6, mis käsitleb veterinaarravimeid ning millega

tunnistatakse kehtetuks direktiiv 2001/82/EÜ, artikli 4 punkti 1 tähenduses.

Eelnõukohane KüTSi § 3 lõike 3 punkt 40 sätestab üliolulise üksusena üksuse, kes täidab

maagaasi jaotamise ülesannet ja vastutab jaotussüsteemi kasutamise eest, tagades selle

jaotussüsteemi hooldamise ja vajaduse korral arendamise teatud paikkonnas, ning tagab vajaduse

korral maagaasivõrgu ühendamise teiste maagaasivõrkudega ja maagaasivõrgu pikaajalise võime

rahuldada mõistlikku nõudlust maagaasi jaotamise järele. Selline üksus on ülioluline üksus, kui see

vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punkti kehtestamise eesmärk on võtta üle NIS2-direktiivi I lisa punkti 1 alapunkti d teine

taane (direktiivi 2009/73/EÜ artikli 2 punktis 6 määratletud jaotussüsteemi haldurid). Direktiivi

2009/73/EÜ artikli 2 punkti 6 kohaselt on jaotussüsteemi haldur „füüsiline või juriidiline isik, kes

täidab gaasi jaotamise ülesannet ja vastutab jaotussüsteemi kasutamise eest, tagades selle hoolduse

ja vajadusel jaotussüsteemi ehitamise teatud paikkonnas, ning vajadusel gaasivõrgu vastastikuse

ühendamise teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada mõistlikku

nõudlust gaasi jaotamise järele“. Direktiiv 2009/73/EÜ tunnistati 3. augustil 2024 kehtetuks

direktiiviga (EL) 2024/1788. Direktiivi (EL) 2024/1788 artiklit 95 arvestades ning lähtudes selle

direktiivi IV lisas esitatud direktiivi 2009/73/EÜ ja direktiivi (EL) 2024/1788 vastavustabelist, on

direktiivi 2009/73/EÜ artikli 2 punkti 6 vasteks direktiivi (EL) 2024/1788 artikli 2 punkt 20, mis

defineerib selle termini järgmiselt: „füüsiline või juriidiline isik, kes täidab maagaasi jaotamise

ülesannet ja vastutab jaotussüsteemi käitamise, selle hoolduse tagamise ja vajaduse korral

arendamise eest teatud paikkonnas, ning kohaldataval juhul selle teiste süsteemidega ühendamise

eest ning selle eest, et on tagatud süsteemi pikaajaline võime rahuldada mõistlikku nõudlust

maagaasi jaotamise järele“. Selle terminiga on seotud ka direktiivi 2009/73/EÜ artikli 2 punkt 5

66 / 186

(„jaotamine” – maagaasi transportimine kohalike või piirkondlike torustike kaudu tarbijatele,

välja arvatud tarnimine), mille vaste on direktiivi (EL) 2024/1788 artikli 2 punkt 19 („jaotamine“

– maagaasi transportimine kohalike või piirkondlike torustike kaudu selle edastamiseks tarbijatele,

välja arvatud tarnimine).

166 SE vastavustabeli vaste on siinjuures sama mis eelnõukohase KüTSi § 3 lõike 3 punkti 26

puhul, kuid eeldatavasti on see seotud maagaasiseaduse § 7 lõikega 3: „Gaasi jaotamine käesoleva

seaduse tähenduses on gaasi transportimine piirkondlike või jaotustorustike kaudu

tarbijapaigaldisteni, kokkulepitud liitumispunktini või liitumispunktist jaotustorustikuni, kaasa

arvatud ülekandevõrgu osa, mida kasutatakse gaasi kohalikuks jaotamiseks“. Termini „üksus“

kohta vt eelnõukohase KüTSi § 2 punkti 36 selgitust. Eelnõu kommenteeritavat punkti sõnastades

lähtuti ennekõike direktiivi 2009/73/EÜ sõnastusest (millele NIS2-direktiivis on ka viidatud), mitte

direktiivist (EL) 2024/1788, mis erinevad üksteisest selle poolest, et ühes kasutatakse sõna

„ehitamine“, teises selle asemel „arendamine“ (eelnõus kasutatakse viimast). Eeskujuks valitud

direktiivi kohta vt ka eelnõukohase KüTSi § 3 lõike 3 punkti 26 selgitust.

Eelnõukohane KüTSi § 3 lõike 3 punkt 41 sätestab üliolulise üksusena üksuse, kes täidab

maagaasi ülekandmise ülesannet ja vastutab ülekandesüsteemi käitamise eest, tagades selle

ülekandesüsteemi hooldamise ja vajaduse korral arendamise teatud paikkonnas, ning tagab

vajaduse korral maagaasivõrgu ühendamise teiste maagaasivõrkudega ja maagaasivõrgu

pikaajalise võime rahuldada mõistlikku nõudlust maagaasi ülekandmise järele. Selline üksus on

ülioluline üksus, kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi I lisa punkti 1 alapunkti d kolmas taane

(direktiivi 2009/73/EÜ artikli 2 punktis 4 määratletud ülekandesüsteemi haldurid). Direktiivi

2009/73/EÜ artikli 2 punkti 4 kohaselt on ülekandesüsteemi haldur „füüsiline või juriidiline isik,

kes täidab ülekande ülesannet ja vastutab ülekandesüsteemi kasutamise eest, tagades selle hoolduse

ja vajadusel ülekandesüsteemi ehitamise teatud paikkonnas, ning vajadusel gaasivõrkude

vastastikuse ühendamise teiste võrkudega, ning kes tagab võrgu pikaajalise võime rahuldada

mõistlikku nõudlust gaasi transportimise järele“. Direktiiv 2009/73/EÜ tunnistati 3. augustil 2024

kehtetuks direktiiviga (EL) 2024/1788. Direktiivi (EL) 2024/1788 artiklit 95 arvestades ning

lähtudes selle direktiivi IV lisas esitatud direktiivi 2009/73/EÜ ja direktiivi (EL) 2024/1788

vastavustabelist, on direktiivi 2009/73/EÜ artikli 2 punkti 4 vasteks direktiivi (EL) 2024/1788

artikli 2 punkt 18, mis defineerib selle termini kui: „füüsiline või juriidiline isik, kes täidab

ülekande ülesannet ja vastutab ülekandesüsteemi käitamise, selle hoolduse tagamise ja vajaduse

korral ülekandesüsteemi arendamise eest teatud paikkonnas, ning kohaldataval juhul selle teiste

süsteemidega ühendamise eest, ning selle eest, et on tagatud süsteemi pikaajaline võime rahuldada

mõistlikku nõudlust maagaasi transportimise järele“.

166 SE vastavustabeli vaste on siin sama mis eelnõukohase KüTSi § 3 lõike 3 punkti 26 puhul,

kuid eeldatavasti on see seotud maagaasiseaduse § 7 lõikega 2: „Gaasi ülekanne käesoleva seaduse

tähenduses on gaasi transportimine ülekandevõrgu kaudu kokkulepitud liitumispunktini või

liitumispunktist ülekandevõrguni. Gaasi ülekandeks ei peeta tootmisetapi torustiku ega

ülekandevõrgu osa kasutamist gaasi kohalikuks jaotamiseks.“ Termini „üksus“ kohta vt

eelnõukohase KüTSi § 2 punkti 36 selgitust. Eelnõu kommenteeritavat punkti sõnastades lähtuti

nii direktiivi 2009/73/EÜ (millele NIS2-direktiivis on ka viidatud) kui ka direktiivi (EL) 2024/1788

sõnastusest.

Eelnõukohase KüTSi § 3 lõikega 4 kavandatakse üle võtta NIS2-direktiivi artikli 3 lõige 2.

Kõnealuse lõike sõnastamisel lähtuti eeldusest, et KüTSi mõistes on teenuseosutajad kas

üliolulised üksused või olulised üksused. Seetõttu on kõnealuse lõike punktides sätestatud need

67 / 186

üksused, kes ei ole üliolulised üksused, sh on need ka õigusselguse huvides eelnõus nimetatud.

Osaliselt on kõnealuses lõikes oluliste üksustena nimetatud sellised üksused, kes on NIS2-direktiivi

kohaselt otsesõnu olulised üksused (nt teatud rohkem kui 50 töötajaga ja 10 miljonilise aastase

käibe või bilansimahuga üksused). Osaliselt on aga tegemist oluliste üksuste riigisisese

määramisega, arvestades NIS2-direktiivi artiklis 2 lõike 2 punktides b–e sätestatud kriteeriume.

Need kriteeriumid on järgmised:

b) üksus on liikmesriigis sellise teenuse ainuosutaja, mis on kriitilise tähtsusega

ühiskondliku või majandustegevuse säilitamiseks;

c) üksuse osutatava teenuse häirel võib olla oluline mõju avalikule turvalisusele, avalikule

julgeolekule või rahvatervisele;

d) üksuse osutatava teenuse häire võib tuua kaasa olulise süsteemse riski, eelkõige

sektorites, kus sellisel häirel võib olla piiriülene mõju;

e) üksus on kriitilise tähtsusega oma erilise olulisuse tõttu riiklikul või piirkondlikul

tasandil konkreetse sektori või teenuseliigi või liikmesriigi muude üksteisest sõltuvate

sektorite jaoks.

Nimetatud NIS2-direktiivi punktid ei täpsusta rohkem, milliseid üksusi on neis mõeldud, vaid igal

liikmesriigil on endal võimalus sätestada NIS2-direktiivi ülevõtvas õigusaktis lisaks üksusi, kes

vastavad kommenteeritavas lõikes nimetatud kriteeriumitele ning kes on riigisisese seaduse

subjektid. Seda on kommenteeritavas lõikes nimetatud subjektide oluliste üksustena sätestamisel

tehtud (vt vastavaid selgitusi allpool konkreetsete punktide juures). Samas on loobutud NIS2-

direktiivi artikli 2 lõike 2 eraldi ülevõtmisest, st eelnõu uues versioonis ei ole enam kooskõlastusele

saadetud eelnõus sisaldunud KüTSi § 1 lõiget 14, mis nägi ette vastavad kriteeriumid, vaid eelnõus

on juba nendest kriteeriumitest lähtudes sätestatud teatavad üksused ülioluliste ja oluliste

üksustena.

Kommenteeritava lõike punktides 1–7 ja 9 nimetatud üksused on olulised üksused sõltumata nende

töötajate arvust, käibest ja bilansimahust. Punkti 8 kohaldamisel tuleb aga arvestada ka üksuse

töötajate arvu ning käivet või bilansimahtu.

KüTSi § 3 lõike 4 senine sisu (KüTSi reeglite kohaldumine erinevatele avaliku sektori üksustele)

on osaliselt kaetud lõikesse 4 lisatavate punktidega (olulised üksused) ning osaliselt ka § 3 lõike 2

punktidega 3 (keskvalitsuse avaliku halduse üksused) ja 4 (kohaliku omavalitsuse avaliku halduse

üksused).

Eelnõukohase KüTSi § 3 lõike 4 punktiga 1 sätestatakse olulise üksusena andmekogu vastutav

ja volitatud töötleja avaliku teabe seaduse tähenduses. Sellega säilitatakse kehtiv KüTSi § 3 lõike

4 punkt 1. Nimetatud punkt lisati KüTSi 2022. a küberturvalisuse seaduse ja teiste seaduste

muutmise seaduse (eelnõu nr 531 SE) vastuvõtmise tulemusel.49 Selle eelnõu seletuskirja (edaspidi

531 SE seletuskiri) lk-l 10 selgitati nimetatud sätte lisamist järgmiselt: „Loetelu esimene punkt on

[avaliku teabe seaduse] tähenduses andmekogu vastutav ja volitatud töötleja. [Avaliku teabe

seaduse] § 431 lõikes 1 olevat andmekogu definitsioonis olev lauseosa „mis asutatakse ja mida

kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud

ülesannete täitmiseks“ viitab, et andmekogusid asutatakse ja kasutatakse avalike ülesannete

täitmiseks. Seetõttu on kohane hõlmata avalikus sektoris oleva teenuse osutaja nimekirja ka

andmekogude vastutavad ja volitatud töötlejad; sh enamik neist on hõlmatud ka muude

kavandatava § 3 lõikes 4 olevate punktide sõnastuste tõttu, kuid mitte kõik. Näiteks ei ole muude

punktidega hõlmatud Liikluskindlustuse Fond, mis on [avaliku teabe seaduse] mõistes andmekogu

vastutav töötleja. Andmekogude vastutavate ja volitatud töötleja hõlmamine avaliku sektori loetelu

49 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/cd3107f9-b19c-4ed4-b6a7-7379fa3bf6b9/kuberturvalisuse-

seaduse-ja-teiste-seaduste-muutmise-seadus/

68 / 186

alla on vajalik ka põhjusel, et eelnõu asendab [avaliku teabe seaduse] alusel kehtestatud ISKE

KüTS-i alusel kehtestava [Eesti infoturbestandardiga] ning selleks, et tagada andmekogude

küberturvalisus, tuleb seega ka täpsustada KüTS-i kohaldamisala. Ka juba kehtiva õiguse kohaselt

oli volitatud töötlejatel kohustus [avaliku teabe seadusest] tulenevalt täita vastutava töötleja

juhiseid andmekogu turvalisuse tagamisel. Olenemata sellest, et vastutav töötleja vastutab tema

andmekoguga toimuva osas isiklikult, sest vastutust ei ole võimalik edasi anda, ei ole vastutavad

töötlejad olnud aktiivsed vastavasisulisi juhiseid jagama. Sellele vaatamata tuleb volitatud töötlejal

tagada endast lähtuvalt turvalisus vähemalt samaväärsel tasemel vastutava töötlejaga“.

Eeltoodud selgitus viitab ka sellele, et andmekogu all ei mõelda igasugust andmete kogumit vms,

vaid sellist, mis on asutatud seaduse alusel, sh seaduses on selle kasutamine (andmekogu eesmärk)

kindlaks määratud.

Avaliku teabe seaduse § 434 lõikes 1 on andmekogu vastutav töötleja (haldaja) defineeritud kui

„riigi- või kohaliku omavalitsuse asutus, muu avalik-õiguslik juriidiline isik või avalikke

ülesandeid täitev eraõiguslik isik, kes korraldab andmekogu kasutusele võtmist, teenuste ja

andmete haldamist. Andmekogu vastutav töötleja vastutab andmekogu haldamise seaduslikkuse ja

andmekogu arendamise eest.“

Sama paragrahvi lõike 2 kohaselt võib andmekogu vastutav töötleja „volitada andmete töötlemise

ja andmekogu majutamise teisele riigi- või kohaliku omavalitsuse asutusele, avalik-õiguslikule

juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja

poolt ettenähtud ulatuses“. Tegemist on siis volitatud töötlejale vastava ülesande volitamisega.

Andmekaitse Inspektsiooni andmekogude juhendis50 on lk-l 13 volitatud töötleja ja tema rolli kohta

märgitud: „volitatud töötleja võib olla nii vastutava töötleja kontrolli all tegutsev andmekogu

igapäevane haldaja kui ka teenuste osutaja näiteks andmekogu majutaja või arendajana. Sellist

volitatud töötleja rolli täidavad paljude andmekogude suhtes IT-asutused nagu RIK ja SMIT.

Teenuse osutajaid ei ole vajalik põhimääruses nimepidi loetleda, piisab nende ülesannete

nimetamisest“. See tähendab et andmekogu volitatud töötleja all avaliku teabe seaduse kontekstis

on mõeldud ennekõike volitatud töötlejat, kes majutab konkreetset andmekogu ja vajaduse korral

tegeleb selle andmekogu arendamise ja ülalpidamisega. Andmekogu volitatud töötleja all ei ole

siinjuures mõeldud näiteks andmeandjat avaliku teabe seaduse tähenduses (vt avaliku teabe

seaduse § 435 lõige 2) ega ka mitte igasugust isikuandmete volitatud töötlejat isikuandmete kaitse

üldmääruse või isikuandmete kaitse seaduse tähenduses.

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktides b, c,

d ja e sätestatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 2 määratakse oluliseks üksuseks Arenguseire Keskus.

Selle punkti eelnõus sätestamisega säilitatakse kehtiv KüTSi § 3 lõike 4 punkt 2.

531 SE seletuskirja lk-l 10 selgitati nimetatud sätte lisamist järgmiselt: „Loetelu teine punkt on

Arenguseire Keskus, mis on küll Riigikogu Kantselei struktuuriüksus, kuid arenguseire seaduse §

3 lõike 2 alusel on Keskus oma ülesannete täitmisel iseseisev. Keskuse ülesandeks on ühiskonna

pikaajaliste (üle 10-aastase ajahorisondi ulatuvate) arengute tuvastamine, analüüs ja nende põhjal

erinevate arengustsenaariumite koostamine koos Eesti ühiskonnale avanevate võimaluste ja ohtude

eristamisega, arengustsenaariumite realiseerimise jälgimine ning vajadusel arengustsenaariumite

ja nende järelmite korrigeerimine.51 Eelnõu eesmärk on tagada ka Keskuse tegevuses kasutatavate

süsteemide ja andmete turvalisus, mistõttu on õigusselguse huvides eraldi välja toodud ka

50 Kättesaadav: https://abi.ria.ee/riha/materjalid-riha-kasutajale ja

https://abi.ria.ee/__attachments/7243279/AKI_Andmekogude%20juhend.pdf?inst-v=2d62fbb5-f953-41db-a674-

fc3dbd1b13b2. 51 Arenguseire Keskuse tutvustus: https://www.riigikogu.ee/riigikogu/riigikogu-kantselei/juhtkond-ja-osakonnad/.

69 / 186

Arenguseire Keskus kui Riigikogu Kantselei struktuuriüksus. Eelduslikult kohaldatakse

küberturvalisuse nõudeid kõikide subjektide kõikidele struktuuriüksustele, kuid see punkt loetelus

on loodud õigusselguse tagamise eesmärgil, sest Arenguseire Keskus on oma ülesannete täitmisel

iseseisev.“

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktides b ja

e sätestatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 3 sätestatakse olulise üksusena seaduse alusel asutatud

avalik-õiguslikud juriidilised isikud. See on seotud kehtiva KüTSi § 3 lõike 4 punkti 10

säilitamisega.

531 SE seletuskirja lk-del 11–12 selgitati nimetatud sätte lisamist järgmiselt: „Loetelu

üheteistkümnes punkt on seaduse alusel loodud avalik-õiguslik juriidiline isik, nt Eesti Haigekassa,

Notarite Koda või erinevad ülikoolid.52 Eranditult kannavad kõik avalik-õiguslikud juriidilised

isikud olulist osa avaliku sektori toimimisel, olgu tegemist ühenduse, asutuse või fondiga.

Küberturvalisuse nõuded kohaldusid mitmele avalik-õiguslikule juriidilisele isikule ka varasemalt

kui andmekogu vastutavale või volitatud töötlejale. Kuivõrd avalik-õiguslikel juriidilistel isikutel

on reeglina arvestatav ligipääs erinevatele andmekogudele ning nende osutatavad reguleeritud

teenused on ühiskondlikult tähtsad, siis on ka selle eelnõu punkti eesmärk avalikule sektorile

mõeldud kohaldamisala täpsustada avalik-õiguslike juriidiliste isikute suhtes. Siinse punkti suhtes

on üks erinorm seotud Eesti Rahvusringhäälinguga (vt kehtiva KüTS § 3 lg 1 punkti 10 ning sellega

seonduvalt ka [531 SE] § 1 punkti 5 ning § 3 selgitust). Vastav erinorm kehtib kuni 2026. aasta 31.

detsembrini.“

Siinkohal vt ka Eesti Rahvusringhäälingu seaduse muudatuse selgitusi.

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktides d ja

e sätestatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 4 määratakse olulise üksusena kohalike omavalitsuse

üksuste liit. Selle eesmärk on säilitada KüTSi § 3 lõike 4 punkt 4.

531 SE seletuskirja lk-l 19 selgitati nimetatud sätte lisamist järgmiselt: „Loetelu neljas punkt on

kohaliku omavalitsuse üksuste liit, nt Harjumaa Omavalitsuste Liit, ning kohaliku omavalitsuse

üksus ehk vallad ja linnad. Selle ning loetelu neljateistkümnenda punkti eesmärk on täpsustada

kohaldamisala kohaliku omavalitsuse üksuse kontekstis, kus sarnaselt riigiasutustega on

õigusselguse huvides vajalik määratleda avalik sektor täpsemalt kui juriidilise isiku tasandil.“

Regionaal- ja Põllumajandusministeerium on ette valmistanud kohaliku omavalitsuse korralduse

seaduse ja sellega seonduvate seaduste muutmise seaduse (eelnõude infosüsteemi toimik 24-

0006),53 millega sätestatakse kohaliku omavalitsuse korralduse seaduses termini „kohaliku

omavalitsuse üksus“ kohta lühend „omavalitsusüksus“ ning samasse seadusesse lisatakse ka 101.

peatükk nimega „Omavalitsusüksuste liidud“, milles omakorda kasutatakse selle liidu kohta

lühendit „omavalitsusüksus“. Kuna terminit „omavalitsusüksus“ kasutatakse selles seaduses

termini „kohaliku omavalitsuse üksus“ lühendina ning selle tulem on tähenduselt sama mis

kommenteeritavas punktis, siis kõnealuses punktis kasutatud termini „üksus“ all mõeldaksegi selle

eelnõu seadusena jõustumise järel kohaliku omavalitsuse korralduse seaduses kasutatud lühendit

„omavalitsusüksuste liit“.

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktis e

52 Algse joonealuse viite sõnastust on muudetud: avalik-õiguslikud juriidilised isikud on leitavad siit:

https://www.fin.ee/riigihaldus-ja-avalik-teenistus-kinnisvara/riigihaldus/avaliku-sektori-statistika – vt „Töötajad ja

asutused“ sakk „Avaliku sektori asutused“, filtreerides asutuse tüübina „avalik-õiguslikud asutused“. 53 https://eelnoud.valitsus.ee/main/mount/docList/345b8b87-0431-4aaa-ad59-6f0e7112fd8b

70 / 186

sätestatud kriteeriumi.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 5 sätestatakse olulise üksusena perearstiabi osutaja

tervishoiuteenuse korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja. KüTSi

kehtiva versiooni § 3 lõike 1 punkti 7 kohaselt kuuluvad KüTSi kohaldamisalasse kõik

tervishoiuteenuste korraldamise seaduses sätestatud perearstiabi osutajad perearstiabi osutamisel.

Algselt anti perearstidele üleminekuks aega ca 3,5 aastat: KüTS jõustus mais 2018 ning KüTSi §

29 lõike 3 kohaselt jõustus perearstidega seotud säte 2022. aasta 1. jaanuaril.

Kommenteeritavas punktis on lauseosa „kes ei ole elutähtsa teenuse osutaja“, kuna CER-direktiivi

ülevõtmisel on edaspidi osa perearstidest samal ajal ka elutähtsa teenuse osutajad hädaolukorra

seaduse tähenduses (kes lisatakse KüTSi subjektiks kavandatava KüTSi § 3 lõike 2 punktiga 2).

426 SE seletuskirjas on märgitud (lk-l 42): „Hinnanguliselt vastab elutähtsa teenuse osutaja

kriteeriumidele 60 perearstiabi teenuse osutajat. See tagab igas maakonnas vähemalt kaks

elutähtsat teenust osutavat perearstiabi osutajat ning suuremates maakondades elanikkonna arvu

järgi rohkem“. Lisaks on sama seletuskirja lk-l 59 märgitud: „Elutähtsa teenuse osutajateks on

kavas määrata ka 26 perearstiabi osutajat“; ning lk-del 74–75 on märgitud: „Hinnanguliselt saavad

[elutähtsa teenuse osutajateks] kuni 26 perearstiabi osutajat, kes on jaotunud üle Eesti nii, et igas

maakonnas oleks vähemalt kaks elutähtsat teenust osutavat perearstiabi osutajat. Eestis on üle 400

isikut, kellel on kehtiv tegevusluba perearstiabi perearsti nimistu alusel osutamiseks. Mõju

sihtrühm on väike, kuna moodustab u 5% kõikidest üldarstiabiteenuse osutajatest.“ Sarnased

põhimõtted on ka ette nähtud tsiviilkriisi ja riigikaitse seaduses, mis hakkab tulevikus asendama

hädaolukorra seadust.

Kehtiva KüTSi § 3 lõike 1 punkti 7 kohaselt kuuluvad KüTSi kohaldamisalasse kõik

tervishoiuteenuste korraldamise seaduses nimetatud perearstiabi osutajad perearstiabi osutamisel.

Selleks, et eristada neid perearste, kes ei ole edaspidi elutähtsa teenuse osutajad, kuid kes kuuluvad

NIS2-direktiivi I lisa punkti 5 esimese taande kohaselt (Euroopa Parlamendi ja nõukogu direktiivi

2011/24/EL, patsiendiõiguste kohaldamise kohta piiriüleses tervishoius (edaspidi direktiiv

2011/24/EL), artikli 3 punktis g määratletud tervishoiuteenuse osutajad) ka NIS2-direktiivi

kohaldamisalasse, on eelnõuga kavandatud lisada KüTSi kommenteeritav punkt. Direktiivi

2011/24/EL artikli 3 punkti g kohaselt on tervishoiuteenuse osutaja „füüsiline või juriidiline isik

või muu üksus, kes osutab liikmesriigi territooriumil seaduslikult tervishoiuteenuseid“. Sama

artikli punktis a on tervishoiuteenus defineeritud kui „tervishoiuteenused, mida tervishoiutöötajad

osutavad patsientidele, et hinnata, säilitada või taastada nende terviseseisundit, sealhulgas ravimite

ja meditsiiniseadmete väljakirjutamine, väljastamine ja nendega varustamine“. St üldistatult võib

selle punkti alla esmapilgul paigutada erinevaid tervishoiuteenuseid ja nende osutajaid, kuid eelnõu

koostajate soov on NIS2-direktiivi võimalikult kitsalt üle võtta, sh ennekõike säilitada kehtiv õigus.

Kommenteeritavasse punkti ei ole võimalik lisada kehtiva KüTSi asjakohase punkti lauseosa

„perearstiabi osutamisel“, kuna NIS2-direktiiv näeb ette, et sellised üksused hakkavad tervikuna

kuuluma KüTSi kohaldamisalasse.

Direktiivi 2011/24/EL artikli 3 punkt g on seotud ka kehtiva KüTSi § 3 lõike 1 punktiga 6

(tervishoiuteenuste korraldamise seaduses sätestatud haiglavõrku kuuluvate piirkondliku haigla ja

keskhaigla pidaja statsionaarse eriarstiabi osutamisel ja kiirabibrigaadi pidaja kiirabi

osutamisel), kuid KüTSi see punkt võetakse üle nii, et selles nimetatud üksustest saavad CER-

direktiivi üle võtva seaduse (eelnõu nr 426 SE) vastuvõtmise tulemusena elutähtsa teenuse

osutajad. Seetõttu puudub ka vajadus lisada KüTSi nende üksuste kohta kommenteeritava punktiga

sarnane säte.

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktides b, c

ja e sätestatud kriteeriume.

71 / 186

Eelnõukohase KüTSi § 3 lõike 4 punktiga 6 määratakse oluliseks üksuseks Riigimetsa

Majandamise Keskus. Selle eesmärk on seotud kehtiva KüTSi § 3 lõike 4 punkti 9 säilitamisega.

531 SE seletuskirja lk-l 11 selgitati nimetatud sätte lisamist järgmiselt: „Loetelu kümnes punkt on

Riigimetsa Majandamise Keskus. Eelnõu koostamise hetkel on Riigimetsa Majandamise Keskus

ainus riigitulundusasutus Eestis. Kahjuks aga ei ole eelnõu koostamise hetkel kehtivas õiguses

riigitulundusasutuse tähendust määratletud ning puudub ka võimalus Riigimetsa Majandamise

Keskust muud moodi määratleda. Kuni 01.01.2010 kehtinud riigivaraseaduse § 6 lõike 1 alusel on

riigitulundusasutus riigiasutus, mis võib osutada tasulisi teenuseid ja saada selle eest tulu. Ka

eelnõu koostamise hetkel kehtivas riigivaraseaduses on korduvalt riigitulundusasutuse terminit

kasutatud, kuid puudub eraldi säte termini määratlemiseks. Kehtiva riigivaraseaduse eelnõu

seletuskirja54 kohaselt ei peetud õigeks sätestada asutuse vorm riigivaraseaduses ning soovitati seda

teha Vabariigi Valitsuse seaduses või näiteks sellest asutuse vormist loobuda. Eelnõu koostamise

hetkeks kumbagi aga tehtud ei ole. Sellest hoolimata on aga vajalik tagada Riigimetsa Majandamise

Keskuse süsteemide turvalisus, kuivõrd tema teenused ning selleks kasutatavad andmed on

ühiskonna toimimise seisukohast olulised.“

Kommenteeritav punkt lisatakse KüTSi, arvestades NIS2-direktiivi artikli 2 lõike 2 punktides b ja

e sätestatud kriteeriume.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 7 määratakse oluliseks üksuseks selline

usaldusteenuse osutaja, kes ei ole kvalifitseeritud usaldusteenuse osutaja. NIS2-direktiivi

kohaldamisalasse kuuluvad usaldusteenuse osutajad, kelleks on definitsiooni (vt eelnõukohane

KüTSi § 2 punkt 32 ning selles viidatud määruse punkt ja siinse seletuskirja selgitus) kohaselt nii

kvalifitseeritud teenuse osutajad (definitsiooni vt eelnõukohasest KüTSi § 2 punktist 16 ning selles

viidatud määruse punktist ja siinse seletuskirja selgitusest) kui ka kvalifitseerimata usaldusteenuse

osutajad. Kvalifitseeritud usaldusteenuse osutajad on üliolulised üksused ning ülejäänud

usaldusteenuse osutajad on olulised üksused.

Eelnõukohane KüTSi § 3 lõike 4 punkt 8 on seotud eelnõukohases KüTSi § 3 lõikes 3 nimetatud

tegevusalal tegutsevate üksustega, kes ei ole üliolulised üksused (vt NIS2-direktiivi artikli 3 lõige

2), sest nad ei vasta lõike 3 sissejuhatavas osas nimetatud finants- ja tööjõualastele piirmääradele.

Kui üksus tegutseb mõnel lõikes 3 nimetatud tegevusalal, siis kehtivad kõnesolevas punktis

nimetatud madalamad piirmäärad töötajate arvule ning käibele või bilansile, millele vastamisel

loetakse üksus oluliseks üksuseks KüTSi tähenduses.

Kommenteeritava punkti jõustumise tulemusel kuulub oluliste üksuste hulka üksus, kes vastab

kõigile järgmistele tingimustele (arvestades keskmise suurusega ettevõtja määratlust Euroopa

Komisjoni soovituses 2003/361/EÜ):

a) tal on majandusaasta jooksul 50 või rohkem töötajat;

b) tema aastane bilansimaht on üle 10 miljoni euro või tema aastakäive on üle 10 miljoni eurot;

c) ta on nimetatud KüTSi § 3 lõikes 3, st tegemist on vähemalt ühe üksusega selles lõikes viidatud

41 üksuse seas;

d) ta ei ole ülioluline üksus KüTSi § 3 lõike 3 kohaselt.

Kommenteeritava punktiga seosest vt ka eespool esitatud selgitust Euroopa Komisjoni soovituse

2003/361/EÜ rakendamise kohta.

Eelnõukohase KüTSi § 3 lõike 4 punktiga 9 luuakse seos NIS2-direktiivi artikli 3 lõike 1

54 Riigivaraseaduse eelnõu nr 437 SE seletuskiri lk 14, kättesaadav:

https://www.riigikogu.ee/tegevus/eelnoud/eelnou/bd686b3c-a592-2d90-dc53-12d484999745/Riigivaraseadus.

72 / 186

punktiga c ehk kommenteeritava punktiga lisatakse kohaldamisalasse need üldkasutatava

elektroonilise side võrgu teenuse osutajad ja üldkasutatava elektroonilise side teenuse osutajad, kes

pole üliolulised üksused – viimati nimetatute kohta vt eelnõukohast KüTSi § 3 lõike 2 punkti 9 ja

selle selgitust. Siinkohal tuleb ka arvestada asjaoluga, et NIS2-direktiiv näeb ette, et üldkasutatava

elektroonilise side võrgu teenuse osutajad ja üldkasutatava elektroonilise side teenuse osutajad

kuuluvad NIS2-direktiivi kohaldamisalasse olenemata nende suurusest ehk kõik vastavaid

teenuseid osutavad üksused on hõlmatud KüTSiga.

Kõnesoleva punkti jõustumise tulemusel on oluliste üksuste hulka lisatud need üldkasutatava

elektroonilise side võrgu teenuse osutajad ja üldkasutatava elektroonilise side teenuse osutajad, kes

ei vasta eelnõukohases KüTSi § 3 lõike 2 punktis 9 sätestatud piirmääradele. Sellisel juhul

kuuluvad need üksused kõnealuse punkti kohaldamisalasse.

Eelnõukohases KüTSi § 3 lõikes 5 on lisaks lõikele 4 sätestatud veel üks oluliste üksuste loetelu.

Ka lõike 5 kohaldamisel tuleb arvestada Euroopa Komisjoni soovituses 2003/361/EÜ ette nähtud

piirmääradega. Need piirmäärad on samad mis eelnõukohases KüTS § 3 lõike 4 punktis 8. See

tähendab, et kommenteeritava lõike jõustumise tulemusel kuulub oluliste üksuste hulka üksus, kes

vastab kõigile järgmistele tingimustele (arvestades keskmise suurusega ettevõtja määratlust

Euroopa Komisjoni soovituses 2003/361/EÜ):

a) tal on majandusaasta jooksul 50 või rohkem töötajat ning

b) tema aastane bilansimaht on üle 10 miljoni euro või tema aastakäive on üle 10 miljoni eurot.

Lisaks nendele piirmääradele vastamisele peab üksuse tegevusala olema loetletud kõnealuse lõike

(ehk lõike 5) punktides 1–10. St siinkohal ei viidata lõikega 3 reguleeritavatele tegevusaladele,

milles tegutsemine toob lõikes 3 nimetatud piirmäärade ületamisel kaasa üksuse lugemise

ülioluliseks. Lõike 5 kohaldamisel tuleb lähtuda üksnes lõikes 5 nimetatud tegevusvaldkondadest.

Ühtlasi tähendab see seda, et nende tegevusvaldkondades saavadki tegutseda üksnes olulised, mitte

aga üliolulised üksused.

Kommenteeritava punktiga seoses vt ka eespool esitatud selgitust Euroopa Komisjoni soovituse

2003/361/EÜ rakendamise kohta.

Eelnõukohane KüTSi § 3 lõike 5 punkt 1 sätestab olulise üksusena ettevõtja, kelle põhitegevus

on jäätmekäitlus jäätmeseaduse tähenduses, sealhulgas järelevalve jäätmekäitluse üle ja jäätmete

kõrvaldamiseks mõeldud jäätmekäitluskoha järelhooldus. Selline ettevõtja on oluline üksus, kui

see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Kommenteeritavale punktile vastab NIS2-direktiivi II lisa punkti 2 esimene taane (ettevõtjad, kes

tegelevad Euroopa Parlamendi ja nõukogu direktiivi 2008/98/EÜ, mis käsitleb jäätmeid ja millega

tunnistatakse kehtetuks teatud direktiivid (edaspidi direktiiv 2008/98/EÜ), artikli 3 punktis 9

määratletud jäätmekäitlusega, välja arvatud ettevõtjad, kelle põhitegevus ei ole jäätmekäitlus).

Direktiivi 2008/98/EÜ artikli 3 punkti 9 kohaselt on jäätmekäitlus „jäätmete kogumine, vedu,

taaskasutamine (sealhulgas sortimine) ja kõrvaldamine, sealhulgas nende toimingute järelevalve

ning jäätmekõrvaldamiskohtade järelhooldus, sealhulgas vahendaja ja edasimüüja tegevus“. Selles

definitsioonis on ka mõningaid termineid, mida avavad sama artikli punktid 1, 7, 8, 14, 15 ja 19:

„1) „jäätmed” – mis tahes ained või esemed, mille valdaja ära viskab, kavatseb ära visata või on

kohustatud ära viskama;

7) „edasimüüja” – iga ettevõtja, kes tegutseb printsipiaalina jäätmeid ostes ja seejärel müües, kaasa

arvatud need edasimüüjad, kes jäätmeid füüsiliselt ei valda;

8) „vahendaja” – iga ettevõtja, kes korraldab teiste nimel jäätmete taaskasutamist või kõrvaldamist,

kaasa arvatud need vahendajad, kes jäätmeid füüsiliselt ei valda;

14) „töötlemine” – taaskasutamis- või kõrvaldamistoimingud, kaasaarvatud taaskasutamise või

73 / 186

kõrvaldamise eelne ettevalmistus;

15) „taaskasutamine” – mis tahes toimingud, mille peamiseks tulemuseks on jäätmete kasutamine

kasulikul otstarbel selliselt, et nad asendavad teisi materjale, mida muidu oleks kasutatud teatava

funktsiooni täitmiseks, või jäätmete ettevalmistamine selle funktsiooni täitmiseks kas tootmises

või majanduses laiemalt. [Direktiivi 2008/98/EÜ] II lisas esitatakse taaskasutamistoimingute

mitteammendav loetelu;

19) „kõrvaldamine” – mis tahes toiming, mis ei ole taaskasutamine, isegi kui toimingul on teisene

tagajärg ainete või energia taasväärtustamise näol. [Direktiivi 2008/98/EÜ] I lisas esitatakse

kõrvaldamistoimingute mitteammendav loetelu“.

Jäätmeseaduse §-s 13 on jäätmekäitlus defineeritud kui „jäätmete kogumine, vedamine,

taaskasutamine, sealhulgas sortimine, ja kõrvaldamine, sealhulgas vahendamine või

edasimüümine“. Selles definitsioonis loetletud tegevustega seoses on asjakohased sama seaduse §

14 (reguleerib jäätmete kogumist, liigiti kogumist ja vedamist), § 15 (reguleerib jäätmete

taaskasutamist ja taaskasutamismooduseid), § 16 (reguleerib jäätmete töötlemist), § 17 (reguleerib

jäätmete kõrvaldamist) ning kaudselt ka § 987 lõike 2 punktid 4 ja 5 (reguleerivad Keskkonnaametis

registreerimist, kui isik korraldab vahendajana jäätmete kõrvaldamist või taaskasutamist teiste

nimel või tegutseb jäätmete edasimüüjana).

Eelnõukohase KüTSi § 3 lõike 5 punktiga 2 nimetatakse oluliseks üksuseks ettevõtja, kes toodab

aineid Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1907/2006, mis käsitleb kemikaalide

registreerimist, hindamist, autoriseerimist ja piiramist (REACH) ning millega asutatakse Euroopa

Kemikaaliamet, muudetakse direktiivi 1999/45/EÜ ja tunnistatakse kehtetuks nõukogu määrus

(EMÜ) nr 793/93 ja komisjoni määrus (EÜ) nr 1488/94 ning samuti nõukogu direktiiv

76/769/EMÜ ja komisjoni direktiivid 91/155/EMÜ, 93/67/EMÜ, 93/105/EÜ ja 2000/21/EÜ (ELT

L 396, 30.12.2006, lk 1–850), artikli 3 punkti 9 tähenduses ja turustab aineid või segusid kõnealuse

määruse artikli 3 lõike 14 tähenduses, ning ettevõtja, kes toodab ainetest või segudest kõnealuse

määruse artikli 3 punktis 3 määratletud tooteid. Selline ettevõtja on oluline üksus, kui see vastab

ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi II lisa punkti 3 esimene taane (ettevõtjad,

kes tegelevad Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1907/2006, mis käsitleb

kemikaalide registreerimist, hindamist, autoriseerimist ja piiramist (REACH) ja millega asutatakse

Euroopa Kemikaalide Agentuur ning muudetakse direktiivi 1999/45/EÜ ja tunnistatakse kehtetuks

nõukogu määrus (EMÜ) nr 793/93, komisjoni määrus (EÜ) nr 1488/94 ning samuti nõukogu

direktiiv 76/769/EMÜ ja komisjoni direktiivid 91/155/EMÜ, 93/67/EMÜ, 93/105/EÜ ja

2000/21/EÜ (edaspidi määrus (EÜ) nr 1907/2006), artikli 3 punktides 9 ja 14 osutatud ainete

valmistamisega ning ainete või segude levitamisega, ning ettevõtjad, kes toodavad ainetest või

segudest kõnealuse määruse artikli 3 punktis 3 määratletud tooteid). Määruse (EÜ) nr 1907/2006

artikli 3 punktides 3, 9 ja 14 on defineeritud järgmised terminid, sh on selle teemaga seotud ka

punktides 1 ja 12 sätestatud terminid:

„1. aine — looduslik või tootmismenetluse teel saadud keemiline element või selle ühendid koos

püsivuse säilitamiseks vajalike ja tootmismenetlusest johtuvate lisanditega, välja arvatud lahustid,

mida on võimalik ainest eraldada, mõjutamata aine püsivust või muutmata selle koostist;

3. toode — ese, millele antakse tootmise käigus teatud kuju, pinnaviimistlus või kujundus, mis

määrab tema funktsiooni suuremal määral kui tema keemiline koostis;

9. tootja — ühenduses asutatud füüsiline või juriidiline isik, kes toodab ainet ühenduse piires;

12. turuleviimine — kolmandatele isikutele tasu eest või tasuta tarnimine või kättesaadavaks

tegemine. Importi käsitatakse turuleviimisena;

14. levitaja — ühenduses asutatud füüsiline või juriidiline isik, kaasa arvatud jaemüüja, kes üksnes

74 / 186

ladustab ainet ja viib aine turule ainena või segu koostisainena kolmandate isikute jaoks“.

NIS2-direktiiv ei täpsusta seda, mis laadi ainete või toodetega on tegemist, st tegemist on

igasuguste keemiliste ainetega, olgu need siis kas tööstuslikud kemikaalid või igapäevakasutuses

olevad kemikaalid. Samas võib eeldada, et siinkohal on ainete valmistamise ning ainete või segude

levitamise puhul mõeldud neid üksusi, kes peavad end määruse (EÜ) nr 1907/2006 kohaselt

registreerima.

Eelnõukohane KüTSi § 3 lõike 5 punkt 3 sätestab olulise üksusena Euroopa Parlamendi ja

nõukogu määruse (EÜ) nr 178/2002 artikli 3 punktis 2 määratletud toidukäitlemisettevõtja, kes

tegeleb hulgimüügi ning tööstusliku tootmise ja töötlemisega. Selline ettevõtja on oluline üksus,

kui see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi II lisa

i 4 esimene taane (Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 178/2002, millega

sätestatakse toidualaste õigusnormide üldised põhimõtted ja nõuded, asutatakse Euroopa

Toiduohutusamet ja kehtestatakse toidu ohutusega seotud menetlused (edaspidi määrus (EÜ) nr

178/2002), artikli 3 punktis 2 määratletud toidukäitlemisettevõtjad, kes tegelevad hulgimüügi ning

tööstusliku tootmise ja töötlemisega).

Määruse (EÜ) nr 178/2002 artikli 3 punkti 2 kohaselt on toidukäitlemisettevõtja „avalik või

eraõiguslik kasumit taotlev või kasumitaotluseta juriidiline isik, kes on seotud toidu ükskõik

millisel tootmis-, töötlemis- või turustusetapil toimuva mis tahes tegevusega“. Selle definitsiooni

kohaselt on tegemist ükskõik millise toidu tootmis-, töötlemis- või turustusetapis toimuva mis tahes

tegevusega, kuid NIS2-direktiiv näeb ette, et NIS2-direktiivi kohaldamisalasse kuuluvad ainult

hulgimüük, tööstuslik tootmine ja töötlemine. Sellest on kommenteeritava punkti sõnastamisel ka

lähtutud. Eeldatavasti ei kuulu kommenteeritava punkti kohaldamisalasse näiteks jaemüük – see

on sama määruse artikli 3 punkti 7 kohaselt „toidu käitlemine ja/või töötlemine ning toidu

hoiustamine müügikohas või tarnimine lõpptarbijale, kaasa arvatud jaotusterminalid,

toitlustusettevõtjad, tehasesööklad, asutuste toitlustusettevõtjad, restoranid ja muud samalaadsed

toiduteenust pakkuvad ettevõtjad, kauplused, selvehallide jaotuskeskused ja hulgimüügipunktid“.

Selles definitsioonis on mainitud ka hulgimüügipunkte, kuid sel asjaolul ei ole siinjuures tähtsust,

kuna definitsiooni mõte tundub olevat, et see toit on mõeldud müümiseks lõpptarbijale, kes on

sama määruse artikli 3 punkti 18 kohaselt „toidu tarbija, kes ei kasuta kõnealust toitu

toidukäitlemistoimingus või sellega seotud tegevuses“.

Kui võrrelda termini „hulgimüük“ tähendust selle termini Eesti õigusaktides sätestatud

tähendusega, siis see on müük isikule, kes ei ole tarbija tarbijakaitseseaduse tähenduses. Vt

alkoholiseaduse § 3 lõike 1 punkt 4: „Alkoholi käitlemiseks loetakse selle toidugrupi suhtes

teostatavad järgmised toimingud: müügiks pakkumine või müük ühelt ettevõtjalt teisele ettevõtjale

või muule isikule, kes ei ole tarbija tarbijakaitseseaduse tähenduses (edaspidi hulgimüük)“. Sama

lõike punkti 5 kohaselt on jaemüügiks „müügiks pakkumine, müük või mis tahes võlaõigusliku

lepingu sõlmimine või mis tahes õiguslikul alusel majandustegevuse raames kättesaadavaks

tegemine või üleandmine tarbijale tarbijakaitseseaduse tähenduses (edaspidi jaemüük)“.

Turupraktikast lähtudes tuleb lisaks arvestada, et hulgimüügi puhul ei saa tegemist olla ka

igasuguse juriidilisele isikule/asutusele suunatud müügiga, vaid eelkõige edasimüügi ja

vahendusega tööstus- ja kaubanduslikele tarbijatele, asutustele ning organisatsioonidele.

Tööstusliku tootmise ja töötlemisega soovitakse hõlmata ainult suuremamahulisemat toidutootmist

ja -töötlemist – seda tehakse seeläbi, et kommenteeritavas punktis sätestatud üksus peab vastama

ka töötajate arvu ja aastase bilansimahu või aastakäibe poolest piirmääradele.

Kommenteeritava punktiga on seotud ka määruse (EÜ) nr 178/2002 artikli 3 punktis 16

defineeritud termin „tootmis- töötlemis- ja turustamisetapid“: „kõik etapid, kaasa arvatud import,

75 / 186

alates toidu esmatootmisest kuni selle hoiustamise, transpordi, müügi või lõpptarbijale tarnimiseni,

ning vajaduse korral sööda importimine, tootmine, valmistamine, hoiustamine, transport,

turustamine, müük ja tarnimine“.

Kommenteeritavas punktis mainitud tegevused (hulgimüük, tööstuslik tootmine ja töötlemine) on

alternatiivid.

Eelnõukohane KüTSi § 3 lõike 5 punkt 4 sätestab olulise üksusena teatavate meditsiiniseadmete

tootjad, v.a KüTSi § 3 lõike 3 punktis 6 nimetatud meditsiiniseadme tootjad. Täpsemalt on

kõnealuse punktiga hõlmatud Euroopa Parlamendi ja nõukogu määruse (EL) 2017/745, milles

käsitletakse meditsiiniseadmeid, millega muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr

178/2002 ja määrust (EÜ) nr 1223/2009 ning millega tunnistatakse kehtetuks nõukogu direktiivid

90/385/EMÜ ja 93/42/EMÜ (ELT L 117, 05.05.2017, lk 1–175), artikli 2 punktis 1 määratletud

meditsiiniseadme tootja ning Euroopa Parlamendi ja nõukogu määruse (EL) 2017/746 in

vitro diagnostikameditsiiniseadmete kohta ning millega tunnistatakse kehtetuks direktiiv 98/79/EÜ

ja komisjoni otsus 2010/227/EL (ELT L 117, 05.05.2017, lk 176–332) artikli 2 punktis 2

määratletud in vitro diagnostikameditsiiniseadme tootja, välja arvatud kõnesoleva paragrahvi lõike

3 punktis 6 osutatud meditsiiniseadme tootja. Selline üksus on oluline üksus, kui see vastab ka

käesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellega võetakse üle NIS2-direktiivi II lisa punkti 5 alapunkti a esimene taane (Euroopa

Parlamendi ja nõukogu määruse (EL) 2017/745, milles käsitletakse meditsiiniseadmeid, millega

muudetakse direktiivi 2001/83/EÜ, määrust (EÜ) nr 178/2002 ja määrust (EÜ) nr 1223/2009 ning

millega tunnistatakse kehtetuks nõukogu direktiivid 90/385/EMÜ ja 93/42/EMÜ (edaspidi määrus

(EL) 2017/745), artikli 2 punktis 1 määratletud meditsiiniseadmeid tootvad üksused ning Euroopa

Parlamendi ja nõukogu määruse (EL) 2017/746, in vitro diagnostikameditsiiniseadmete kohta ning

millega tunnistatakse kehtetuks direktiiv 98/79/EÜ ja komisjoni otsus 2010/227/EL (edaspidi

määrus (EL) 2017/746), artikli 2 punktis 2 määratletud in vitro diagnostikameditsiiniseadmeid

tootvad üksused, välja arvatud [NIS2-direktiivi] I lisa punkti 5 viiendas taandes osutatud

meditsiiniseadmeid tootvad üksused).

Määruse (EL) 2017/745 artikli 2 punkti 1 kohaselt on meditsiiniseade „mis tahes instrument,

aparaat, rakendus, tarkvara, implantaat, reagent, materjal või muu ese, mida võib kasutada eraldi

või teistega kombineerituna, mille tootja on ette näinud inimeste puhul kasutamiseks ühel või

mitmel järgmisel meditsiinilisel eesmärgil:

– haiguste diagnoosimiseks, ennetamiseks, seireks, prognoosimiseks, raviks või leevendamiseks;

– vigastuse või puude diagnoosimiseks, jälgimiseks, ravimiseks, leevendamiseks või

kompenseerimiseks;

– kehaosa või füsioloogilise või patoloogilise protsessi või seisundi uurimiseks, asendamiseks või

muutmiseks;

– inimkehast saadud proovide, sealhulgas loovutatud organite, vere ja kudede in vitro uurimiseks

informatsiooni saamise eesmärgil;

ja mille kavandatud põhitoime inimkehas või -kehale ei ole farmakoloogiline, immunoloogiline

või ainevahetuslik mõju avaldamine, kuid mille toimele võib nimetatud mõju kaasa aidata.

Samuti käsitatakse meditsiiniseadmena järgmisi tooteid:

– seadmed rasestumise ärahoidmiseks või soodustamiseks;

– seadmete puhastamiseks, desinfitseerimiseks või steriliseerimiseks ette nähtud tooted, millele on

osutatud [määruse 2017/745] artikli 1 lõikes 4 ja käesoleva punkti esimeses lõigus“.

Määruse (EL) 2017/745 artikli 1 lõikes 4 on sätestatud: „[Määruses (EL) 2017/745] osutatakse

meditsiiniseadmetele, meditsiiniseadmete abiseadmetele ning [määruse (EL) 2017/745] XVI lisas

loetletud, mille suhtes [määrust (EL) 2017/745] lõike 2 alusel kohaldatakse, edaspidi kui

76 / 186

seadmetele“.

Määruse (EL) 2017/746 artikli 2 punktis 2 on in vitro diagnostikameditsiiniseade defineeritud kui:

„meditsiiniseade, mis on reagent, reagentaine, kalibraator, kontrollaine, testkomplekt, instrument,

aparatuur, vahend, tarkvara või süsteem, mida kasutatakse eraldi või teistega kombineerituna ja

mille tootja on ette näinud kasutamiseks inimkehast saadud proovide, sealhulgas loovutatud vere

ja kudede in vitro uurimiseks teabe saamiseks ühe või mitme järgmise nähtuse kohta:

a) füsioloogiline või patoloogiline protsess või seisund;

b) kaasasündinud füüsiline või vaimne puue;

c) eelsoodumus teatava tervisliku seisundi või haiguse tekkeks;

d) ohutuse ja kokkusobivuse kindlaksmääramiseks võimalikud retsipiendid;

e) ravivastuse või reaktsioonide prognoosimine;

f) ravimeetmete kindlaksmääramine või jälgimine.

In vitro diagnostikameditsiiniseadmetena käsitatakse ka proovianumaid“.

Proovianum on defineeritud sama artikli punktis 3 kui „vakumeeritud või vakumeerimata vahend,

mille tootja on ette näinud spetsiaalselt inimkehast võetud proovide hoidmiseks ja säilitamiseks in

vitro diagnostiliste uuringute eesmärgil“.

Eelnõukohase KüTSi § 3 lõike 5 punkti 5 kohaselt on oluline üksus Euroopa Liidu majanduse

tegevusalade statistilise klassifikaatori NACE Revision 2 C jao osades 26, 27, 28, 29 ja 30 osutatud

majandustegevusega tegelev ettevõtja. Seda eeldusel, et see vastab ka kõnesoleva lõike

sissejuhatavas osas nimetatud piirmääradele.

Selle punktiga kavandatakse üle võtta NIS2-direktiivi II lisa punkti 5 alapunkti b esimene taane

(ettevõtjad, kes tegelevad NACE Rev. 2 C jao osas 26 osutatud majandustegevusega), punkti 5

alapunkti c esimene taane (ettevõtjad, kes tegelevad NACE Rev. 2 C jao osas 27 osutatud

majandustegevusega), punkti 5 alapunkti d esimene taane (ettevõtjad, kes tegelevad NACE Rev. 2

C jao osas 28 osutatud majandustegevusega), punkti 5 alapunkti e esimene taane (ettevõtjad, kes

tegelevad NACE Rev. 2 C jao osas 29 osutatud majandustegevusega) ja punkti 5 alapunkti f

esimene taane (ettevõtjad, kes tegelevad NACE Rev. 2 C jao osas 30 osutatud

majandustegevusega).

Kommenteeritavas punktis olevad ELi NACE Revision 2. klassifikaatori C jao viited on järgmised:

- osa 26: arvutite, elektroonika- ja optikaseadmete tootmine;

- osa 27: elektriseadmete tootmine;

- osa 28: mujal liigitamata masinate ja seadmete tootmine;

- osa 29: mootorsõidukite, haagiste ja poolhaagiste tootmine;

- osa 30: muude transpordivahendite tootmine.

Nagu ka eespool (vt eelnõukohane KüTSi § 3 lg 3 p 7) on ka kõnesoleva punkti puhul viidatud ELi

NACE Revision 2. klassifikaatorile, mitte EMTAK 2008 klassifikaatorile. Ilmestamaks erinevusi

EMTAK 2008 klassifikaatori ja NACE Revision 2 klassifikaatori vahel olgu toodud mõned näited:

a) NACE Rev. 2 C jao osa 26: 26.11 (pooljuhid on märgitud NACE-s, kuid EMTAKis pole;

EMTAKis kuuluvad sellesse ossa ka „nõelhelipeade tootmine“ ja „päikesepaneelide tootmine

elektri tootmiseks“; EMTAKis on „kiipkaartide tootmine“, mida pole NACEs); EMTAKi gruppi

262 kuuluvad ka „arvutite komplekteerimine ja montaaž tootja poolt kohapeal“ ning

„sularahaautomaatide/kassaautomaatide/pangaautomaatide tootmine“; EMTAKi gruppi 263

kuuluvad ka „kodukeskjaamaseadmete (PBX) tootmine“ ja „WiFi seadmete tootmine“.

b) NACE Rev. 2 C jao osa 27: EMTAKis kuulub klassi 27311 veel „optiliste kiudude, kiukimpude

tootmine“ ja „fiiberoptilise kaabli tootmine“; EMTAKi klassi 27321 kuulub ka „koaksiaalkaabli ja

koaksiaalsete elektrijuhtmete tootmine“; EMTAKi klassi 27511 kuulub ka „tervisekapslite jaoks

aurugeneraatorite tootmine“; EMTAKi klassi 27521 kuuluvad ka „päikesepatareide (paneelide)

77 / 186

tootmine sooja vee tootmiseks“ ja „priimuste tootmine“; EMTAKi klassi 27901 kuuluvad ka

„mitteväärismetallist juhtmekanalite ja tarvikute tootmine“ ja „elektriliste välireklaamikastide

tootmine“.

1. jaanuaril 2025 hakkas kehtima EMTAK 2025, mis asendab EMTAK 2008 ning selle koostamisel

on lähtutud NACE Revision 2.1 klassifikaatorist.55 Eespool (vt eelnõukohane KüTSi § 3 lg 3 p 7)

on selgitatud, miks ei ole võimalik kasutada viidet EMTAK 2025 klassifikaatorile ega ka NACE

Revision 2.1 klassifikaatorile ning need selgitused kehtivad ka siin.

Eelnõukohane KüTSi § 3 lõike 5 punkt 6 näeb olulise üksusena ette internetipõhise

kauplemiskoha pidaja. Seda eeldusel, et see vastab ka kõnesoleva lõike sissejuhatavas osas

nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi II lisa punkti 6 esimene taane (internetipõhiste

kauplemiskohtade pakkujad). Termin „internetipõhine kauplemiskoht“ on defineeritud NIS2-

direktiivi artikli 6 punktis 28, mis võetakse üle KüTSi § 2 punktiga 13.

Eelnõukohane KüTSi § 3 lõike 5 punkt 7 näeb olulise üksusena ette NIS2-direktiivi II lisa punkti

1 esimesele taande kohaselt (Euroopa Parlamendi ja nõukogu direktiivi 97/67/EÜ, ühenduse

postiteenuste siseturu arengut ja teenuse kvaliteedi parandamist käsitlevate ühiseeskirjade kohta

(edaspidi direktiiv 97/67/EÜ), artikli 2 punktis 1a määratletud postiteenuste osutajad, sealhulgas

kulleriteenuste osutajad) postiteenuse osutaja, sealhulgas kulleriteenuste osutajad. Direktiivi

97/67/EÜ artikli 2 punktis 1a on postiteenuse osutaja defineeritud kui „ettevõtja, kes osutab ühte

või mitut postiteenust“. Sellega on seotud ka sama direktiivi artikli 2 punktis 1 sätestatud termini

„postiteenus“ definitsioon: „teenused, mis hõlmavad postisaadetise kogumist, sorteerimist,

transporti ja jaotamist“.

NIS2-direktiivi põhjenduses 12 on postiteenuse osutajate, sh kullerpostiteenuse osutajate kohta

märgitud järgmist:

(12) [Direktiivis 97/67/EÜ] määratletud postiteenuse osutajate, sealhulgas kullerpostiteenuse

osutajate suhtes tuleks kohaldada [NIS2-direktiivi] juhul, kui nad osutavad vähemalt ühe

postiteenuseahela etapi teenust, eeskätt kogumis-, sorteerimis- või jaotamisteenust, sealhulgas

järeletulemise teenused, võttes arvesse nende võrgu- ja infosüsteemidest sõltuvuse määra.

Transporditeenust, mida ei osutata ühegi nimetatud etapi raames, ei peaks käsitama

postiteenusena.

Postiseaduse § 2 lõike 1 kohaselt on postiteenuse sisuks „adresseeritud postisaadetise edastamine

majandustegevusena“ ning lõike 2 kohaselt on edastamine „protsess, mis hõlmab postisaadetise

kogumist, sorteerimist, vedu ja saajale kättetoimetamist“. Postiseaduse § 4 lõige 1 sätestab

postisaadetise sisu (sh sama paragrahvi lõiked 2–4 selgitavad seda) ning sama paragrahvi lõige 5

sisustab termini „postiteenus“ (sh sama paragrahvi lõiked 6–11 selgitavad seda). Postiseaduse § 22

lõike 1 kohaselt on postiteenuse osutaja „ettevõtja, kes osutab ühte või või mitut postiteenust“ ning

et „ainult postisaadetiste vedu ei ole postiteenuse osutamine“.

NIS2-direktiiv hõlmab ka „kullerteenuste osutajad“, kuid ei täpsusta, keda nende all mõeldakse.

Direktiivi 97/67/EÜ põhjendustes 17 ja 18 on kullerposti kohta märgitud:

(17) vähemalt 350 grammi kaaluvad kirjasaadetised moodustavad alla 2 % kirjadest ja alla 3 %

avalik-õiguslike ettevõtjate laekumistest; hinna määramise põhimõtted (viiekordne põhihind)

võimaldavad paremini vahet teha reserveeritud teenuse ja liberaliseeritud kullerposti teenuse

vahel;

(18) silmas pidades asjaolu, et põhiline erinevus kullerposti ja universaalse postiteenuse vahel

55 https://abiinfo.rik.ee/emtak/emtak2025

78 / 186

seisneb kullerposti teenustega kaasnevas ja klientidele tajutavas lisandväärtuses (olenemata selle

vormist), saab tajutava lisaväärtuse kõige tõhusamalt kindlaks määrata nii, et võetakse arvesse

lisahinda, mida kliendid on valmis maksma; see ei piira reserveeritud valdkonnas järgitava

hinnapiirangu kohaldamist.

Direktiivis 97/67/EÜ esitatud selgituse puhul tuleb arvestada ka asjaoluga, et tegemist on 1997.

aastast pärit direktiiviga, mida uuendati viimati 2015. aastal. Postiseaduses on kulleritega seoses

nimetatud kullerpostisaadetise edastamist (vt postiseaduse § 4 lg 5 p 4 ja lg 9), kuid ei ole üheselt

selge, kas see on sama mis kullerteenuse osutamine NIS2-direktiivi mõttes. Kui see on sama, siis

see on juba hõlmatud postiteenuse osutaja terminiga.

Regionaal- ja Põllumajandusministeeriumil on ettevalmistamisel ka postiseaduse muutmise ja

sellega seonduvalt teiste seaduste muutmise seadus (eelnõude infosüsteemi toimik 25-0073),56

mille planeeritav jõustumisaeg on 1. jaanuar 2026. Selle eelnõuga soovitakse muuta postiseaduse

§ 4 lõiget 9 järgmiselt:

(9) Kullerpostina edastatakse kirisaadetis või postipakk, mis vastab vähemalt neljale järgmisele

tingimusele:

1) mis väljastatakse saajale või tema esindajale allkirja vastu või muu saaja tuvastamist

võimaldava tunnuse alusel;

2) mis edastatakse kulleriga kiirel ja usaldusväärsel viisil;

3) mille saatjal on võimalus igal ajal saada teavet saadetise asukoha kohta selle teekonnal, sekkuda

saadetise kättetoimetamisse ja vajaduse korral korraldada ümber selle edastamine;

4) mis kogutakse saatja elu- või asukohast;

5) mille puhul garanteeritakse kindlaksmääratud kuupäeval kohaletoimetamine;

6) mille kohta saadetakse postisaadetise saatjale kättetoimetamise kinnitus kokkulepitud viisil;

7) mis edastatakse vastavalt individuaalsele kokkuleppele ja kasutaja erinõuetele.

Eelnõukohane KüTSi § 3 lõike 5 punkt 8 näeb olulise üksusena ette sotsiaalmeediaplatvormi

pakkuja. Seda eeldusel, et see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Sellele punktile vastab NIS2-direktiivi II lisa punkti 6 kolmas taane (sotsiaalvõrguteenuse

platvormide pakkujad). Termin „sotsiaalmeediaplatvorm“ on defineeritud NIS2-direktiivi artikli 6

punktis 33, mis võetakse üle KüTSi § 2 punktiga 26. Eelnõus on kasutatud NIS2-direktiivi termini

asemel terminit „sotsiaalmeediaplatvormi pakkuja“. Selle termini valiku kohta vt selle termini

selgitust.

Eelnõukohane KüTSi § 3 lõike 5 punkt 9 näeb olulise üksusena ette teadusasutuse. Seda eeldusel,

et see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud piirmääradele.

Sellele punktile vastab NIS2-direktiivi II lisa punkti 7 esimene taane (teadusasutused). Termin

„teadusasutus“ on defineeritud NIS2-direktiivi artikli 6 punktis 41, mis võetakse üle KüTSi § 2

punktiga 27. Teadusasutusi käsitletakse ka NIS2-direktiivi põhjenduses 36:

(36) Teadusuuringutel on uute toodete ja protsesside väljatöötamisel võtmeroll. Paljusid neist

tegevustest viivad ellu üksused, mis jagavad, levitavad või kasutavad oma teadusuuringute

tulemusi ärilistel eesmärkidel. Need üksused võivad seega olla olulised osalejad väärtusahelates,

mis muudab nende võrgu- ja infosüsteemide turvalisuse siseturu üldise küberturvalisuse

lahutamatuks osaks. Teadusorganisatsioone tuleks käsitada nii, et need hõlmavad üksusi, mis

pühendavad olulise osa oma tegevusest rakendusuuringutele või tootearendusele

Majanduskoostöö ja Arengu Organisatsiooni 2015. aasta Frascati käsiraamatu „Guidelines for

56 https://eelnoud.valitsus.ee/main/mount/docList/d4bbef7c-a51f-459c-b4f9-1ae428c881aa

79 / 186

Collecting and Reporting Data on Research and Experimental Development, with a view to

exploiting their results for commercial purposes, such as the manufacturing and marketing of a

product, process or the provision of a service“ („Teadus- ja arendustegevuse andmete kogumise

ja esitamise suunised, et kasutada nende tulemusi ärilistel eesmärkidel, näiteks toote, protsessi või

teenuse tootmiseks või turustamiseks“)57 tähenduses.

Eelmainitud Frascati käsiraamatu 2. peatüki punktis 2.9, on „rakendusuuring“ (ingl applied

research) originaalne uuring, mis võetakse ette, et saada uusi teadmisi. See on siiski suunatud

ennekõike konkreetse või praktilise eesmärgi saavutamisele või ülesande täitmisele.

Eksperimentaalarendus (ingl experimental development) on süstemaatiline töö, mis tugineb

uuringutest ja praktilisest kogemusest saadud teadmistele ning annab lisateadmisi ning mis on

suunatud uute toodete või protsesside tootmisele või olemasolevate toodete või protsesside

täiustamisele. Samas NIS2-direktiiv kitsendab seda definitsiooni, lisades tingimuse, et

teadustegevusi tuleb ellu viia eesmärgiga kasutada nende tulemusi ärilistel eesmärkidel, näiteks

toote või protsessi tootmiseks või arendamiseks, teenuse osutamiseks või turustamiseks.

Eelnõukohane KüTSi § 3 lõike 5 punkt 10 näeb olulise üksusena ette veebipõhise otsingumootori

pakkuja. Seda eeldusel, et see vastab ka kõnesoleva lõike sissejuhatavas osas nimetatud

piirmääradele.

Selle punktiga võetakse üle NIS2-direktiivi II lisa punkti 6 teine taane (internetipõhiste

otsingumootorite pakkujad). Termin „internetipõhine otsingumootor“ on defineeritud NIS2-

direktiivi artikli 6 punktis 29, mis võetakse üle KüTSi § 2 punkti 33 muudatusega, kasutades

terminit „veebipõhine otsingumootor“. Põhjust, miks kommenteeritavas punktis kasutatakse

terminit „veebipõhise“, mitte „internetipõhise“, on selgitatud KüTSi § 2 punkti 33 juures.

Eelnõukohase KüTSi § 3 lõikega 6 kavandatakse üle võtta NIS2-direktiivi artikli 2 lõike 1 teine

lõik. Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõige 4 kehtestab üldreegli, mille

kohaselt ei ole ettevõtja väike- ega keskmise suurusega, kui 25% või rohkemat tema kapitalist või

hääleõigusest kontrollivad otseselt või kaudselt, ühiselt või üksikult, üks või mitu avaliku sektori

organisatsiooni (ingl controlling public body). Vt selle kohta ka nimetatud soovituse põhjendus 13:

(13) Vältimaks kunstlikku vahetegemist liikmesriigi erinevate avalik-õiguslike asutuste vahel ja

arvestades vajadust õiguskindluse järele, peetakse vajalikuks kinnitada, et VKE ei ole ettevõte,

mille kapitalist või hääleõigustest 25% või enam kontrollib avalik-õiguslik asutus.

NIS2-direktiivi artikli 2 lõike 1 teine lõik täpsustab, et viidatud soovituse artikli 3 lõiget 4 ei

arvestata NIS2-direktiivi puhul. Seetõttu tuleb KüTSi lisada sama nõue. Eeltoodu tõttu on eelnõu

kohaselt võimalik mõnda üksust pidada väike- või keskmise suurusega ettevõtjaks, kui seda

kontrollib (osaliselt) avaliku sektori organisatsioon, aga ainult siis, kui kommenteeritava

paragrahvi lõike 2 punktis 9, lõike 3 sissejuhatavas osas, lõike 4 punktis 8 ja lõike 5 sissejuhatavas

osas nimetatud tingimused (töötajate arv ja finantsnäitajad) on täidetud. NIS2-direktiiv ei näe ette

nõudeid, kuidas tehakse kindlaks töötajate arv ja finantsnäitajad avaliku sektori organisatsioonide

puhul. Need kuuluvad NIS2-direktiivi artikli 2 lõike 2 punkti f kohaselt NIS2-direktiivi

kohaldamisalasse, olenemata üksuse suurusest. Soovitus 2003/361/EÜ ei ole mõeldud reguleerima

seda, kuidas toimida kontrolli omavate avaliku sektori organisatsioonidega, ega sisalda selgeid

reegleid selle kohta. Selle soovituse reeglite järgimine kontrolli omavate avaliku sektori

organisatsioonide puhul (tuvastamaks nende seost partner- ja sidusettevõtjatega väike- või

keskmise suurusega ettevõtjate puhul) tekitaks Euroopa Liidu liikmesriikide seas killustatust ja

õiguslikku segadust. Seetõttu ei tule eraldiseisva kontrolli omava avaliku sektori üksuse töötajate

57 https://www.oecd.org/en/publications/frascati-manual-2015_9789264239012-en.html

80 / 186

arvu ja finantsnäitajaid arvesse võtta, kui selgitatakse kommenteeritava lõike kohaselt välja väike-

või keskmise suurusega ettevõtjate töötajate arvu ja finantsnäitajaid.

Vt lisaks kommenteeritava paragrahvi käsitluse alguses esitatud selgitusi soovituse 2003/361/EÜ

kohta.

Eelnõukohane KüTSi § 3 lõige 7. Pärast eelnõu kooskõlastamist on lisatud eelnõusse lisareegel

üksuse töötajate arvu, aastakäibe ja aastabilansimahu arvestamise kohta partner- ja sidusettevõtjate

puhul.

Sellise reegli loomise võimalusele viitab NIS2-direktiivi põhjendus 16, mis on sõnastatud

järgmiselt:

(16) Vältimaks seda, et üksusi, millel on partnerettevõtjad või mis on sidusettevõtjad, peetaks

elutähtsateks58 või olulisteks üksusteks, kui see oleks ebaproportsionaalne, on liikmesriikidel

võimalik soovituse 2003/361/EÜ lisa artikli 6 lõike 2 kohaldamisel võtta arvesse üksuse oma

partneritest või sidusettevõtjatest sõltumatuse määra. Eelkõige on liikmesriikidel võimalik võtta

arvesse asjaolu, et üksus on oma partner- või sidusettevõtjatest sõltumatu teenuste osutamisel

kasutatavate võrgu- ja infosüsteemide osas, ja teenuste osas, mida üksus osutab. /.../.

Arvestades eelnõu koostamisel aluseks võetud üldpõhimõtet, et riigisiseselt ei sätestatae NIS2-

direktiivis ette nähtud miinimumnõuetest rangemaid nõudeid , on lõikesse 7 lisatud NIS2-direktiivi

põhjenduses 16 sätestatud võimalus jätta partner- ja sidusettevõtjate töötajate arv ning käive- või

bilansimaht arvestamata. Seeläbi on võimalik KüTSi kohaldamisalast välja jätta sellised üksused,

kes vastaks töötajate arvu ning käibe- või bilansimahu poolest nõuetele just seetõttu, et partner- ja

sidusettevõtja vastavad näitajad lisanduvad (st üksuse enda näitajate järgi piirmäärasid ei

ületataks). Selline lahendus on nendele ettevõtjatele võrreldes kooskõlastamisele saadetud

eelnõuga oluliselt soodsam.

Kommenteeritavas lõikes ette nähtud välistuse rakendamine on võimalik, kui asjaomasel partner-

või sidusettevõtjal on otsustav mõju enda infotehnoloogiasüsteemide toimimise üle. Teisisõnu, kui

nad on enda IT-lahenduste korraldamisel sõltumatud. Selline sõltumatus

infotehnoloogiasüsteemide toimimise üle otsustamisel on olemas eelkõige siis, kui partner- ja

sidusettevõtja saab omal vastutusel teha põhilisi otsuseid infotehnoloogiasüsteemide, selle

komponentide ja protsesside üle. Kui partner- või sidusettevõtja on selliste otsuste tegemisel vaba,

siis ei arvestata tema töötajate arvu, käivet ega bilansimahtu üksuse töötajate arvu ning käibe- või

bilansinäitajate kindlakstegemisel. Kõnealuse välistuse kohaldamine ei tule aga kõne alla juhul,

kui IT-lahendused on ette nähtud terves kontsernis ühetaoliselt, näiteks otsustab kõik IT-

süsteemidega seotud küsimused emaettevõtja.

Eelnõukohase KüTSi §-ga 31 kavandatakse sätestada teenuseosutajate ja domeeninimede

registreerimise teenuse osutaja kohustus teatada teatavad andmed, mille põhjal Riigi Infosüsteemi

Amet koostab vastavate üksuste nimekirja.

Eelnõukohase KüTSi § 31 lõike 1 eesmärk on võtta üle NIS2-direktiivi artikli 3 lõike 4 esimene

lõik. Selles on sätestatud teave, mida teenuseosutaja ja domeeninimede registreerimise teenuseid

osutav üksus peab Riigi Infosüsteemi Ametile esitama. Siinjuures on ka asjakohane NIS2-direktiivi

põhjendus 18:

(18) Selleks et tagada selge ülevaade [NIS2-direktiivi] kohaldamisalasse kuuluvatest üksustest,

peaksid liikmesriigid koostama elutähtsate59 ja oluliste üksuste ning domeeninimede

registreerimise teenuseid osutavate üksuste loetelu. Selleks peaksid liikmesriigid nõudma, et

58 Eelnõus ”ülioluliseks üksuseks“. 59 Eelnõus „ülioluliste üksuste“.

81 / 186

üksused esitaksid pädevatele asutustele vähemalt järgmise teabe: nimi, aadress ja ajakohastatud

kontaktandmed, sealhulgas üksuse e-posti aadressid, IP-vahemikud ja telefoninumbrid ning, kui

see on kohaldatav, lisades osutatud asjaomane sektor ja allsektor ning, kui see on kohaldatav,

selliste liikmesriikide loetelu, kus nad [NIS2-direktiivi] kohaldamisalasse kuuluvaid teenuseid

osutavad. Selleks peaks komisjon Euroopa Liidu Küberturvalisuse Ameti (ENISA) abiga

kehtestama põhjendamatu viivituseta teabe esitamise kohustusega seotud suunised ja vormid.

Elutähtsate60 ja oluliste üksuste ning domeeninimede registreerimise teenuseid osutavate üksuste

loetelu koostamise ja ajakohastamise hõlbustamiseks peaks liikmesriikidel olema võimalik luua

riiklikud mehhanismid, mis võimaldavad üksustel end ise registreerida. Kui registrid on riigi

tasandil olemas, saavad liikmesriigid otsustada asjakohaste mehhanismide üle, mis võimaldavad

[NIS2-direktiivi] kohaldamisalasse kuuluvaid üksusi kindlaks määrata.

Võrreldes ülevõetava NIS2-direktiivi vastava lõikega on eelnõukohasesse KüTSi § 31 lõike 1

punkti 1 lisatud andmeväljana ka „registrikood“, kuna see aitab paremini eristada üksusi, ennekõike

olukorras, kus üksus vahetab näiteks oma nime. Nimevahetusega ei kaasne üldjuhul registrikoodi

muutumist – see toimub pigem ennekõike juriidilise isiku ühinemise või jagunemise käigus.

Seetõttu on registrikood eeldatavasti püsivamat laadi tunnus kui üksuse nimi.

Kommenteeritava lõike punktides 3 ja 4 nimetatud teave tuleb esitada siis, kui see on asjakohane

ehk seda ei pea kõik üksused esitama. Näiteks on punktiga 4 seotud teave vajalik mh ka selleks, et

selgitada välja, kas ning mil määral on konkreetse teema käsitlemine või probleemi lahendamine

Riigi Infosüsteemi Ameti või mõne muu liikmesriigi pädeva asutuse ülesanne.

Eelnõukohase KüTSi § 31 lõike 2 kohaselt koostab Riigi Infosüsteemi Amet iga kahe aasta järel

teenuseosutajate ja domeeninimede registreerimise teenuse osutajate nimekirja. Sisu poolest vastab

vaadeldav säte NIS2-direktiivi artikli 3 lõikele 3. Sarnane säte on kehtivas KüTSi § 3 lõikes 3.

Seega ei ole tegemist Riigi Infosüsteemi Ametile pandava uue ülesandega. Vt ka eelnõuga

kavandatavat KüTSi § 20 lõiget 1.

Eelnõukohane KüTSi § 31 lõige 3. Eelneva lõikega 2 on asjakohane koos vaadelda ka lõiget 3,

mis sätestab, et lõikes 2 nimetatud teave on asutusesiseseks kasutamiseks mõeldud teave avaliku

teabe seaduse tähenduses, Kommenteeritav lõige aitab tagada teenuseosutajate ja domeeninimede

registreerimise teenuse osutajate nimekirja kui tundliku andmekogumi konfidentsiaalsust. Näiteks

on selle nimekirja hulgas ka kõik hädaolukorra seaduse tähenduses elutähtsa teenuse osutajad ning

need üksused kantakse tsiviiltoetuse registrisse (vt hädaolukorra seaduse § 38 lg 11 lause 1).

Riigikaitseseaduse § 8214 lõike 1 kohaselt on tsiviiltoetuse register „andmekogu, milles peetakse

arvestust riigikaitseks, vastuvõtva riigi toetuse osutamiseks, tsiviil-sõjaliseks koostööks,

kõrgendatud kaitsevalmiduse, hädaolukorra, sõjaseisukorra ja muude sündmuste lahendamiseks

vajalike vahendite ja nende kasutamiseks vajalike andmete, elutähtsa teenuse osutajate,

riigikaitselisi ameti- ja töökohti omavate tööandjate, asja sundkasutusse võtmise ning asja

sundvõõrandamise üle“. Arvestades tsiviiltoetuse registri pidamise eesmärki, on selles sisalduvate

andmete kogum vähemalt asutusesiseseks kasutamiseks mõeldud teave (vt näiteks avaliku teabe

seaduse § 35 lg 1 p 31, 5, 6, 62 või 181). Sellele viitab ka tsiviiltoetuse registri põhimääruse61 § 34

lõige 1, mis sätestab, et „Register on piiratud juurdepääsuga ja registriandmed on ette nähtud ainult

ametialaseks kasutamiseks“. Seega ei peaks teadmisvajaduseta isik mõnel muul moel (sh

kõnealuses paragrahvis ette nähtud nimekirja kasutades) teada saama teavet, mis on kantud

tsiviiltoetuse registrisse. Samas ei ole kõnealuses paragrahvis ette nähtud nimekirja kaitsmiseks

muud sobivamat juurdepääsupiirangu alust. Seetõttu on selle nimekirja käsitamine asutusesiseseks

60 Eelnõus „ülioluliste üksuste“. 61 https://www.riigiteataja.ee/akt/129102024008

82 / 186

kasutamiseks mõeldud teabena vajalik, et kaitsta selles nimekirjas olevat koondteavet ning seeläbi

ka selles nimekirjas olevaid üksusi. Näiteks selleks, et pahatahtlikel isikutel oleks keerukam

mõjutada ühiskonna toimimise seisukohast vajalike üksuste kasutatavaid võrgu- ja infosüsteeme

ning seeläbi teenuseid, mis neid süsteeme kasutavad. See omakorda aitab tagada laiapindse

riigikaitse eesmärke,62 sealhulgas ühiskonna toimimist. Kommenteeritava lausega tekitatava

juurdepääsupiirangu aluse kehtestamine lähtub seetõttu ka ametlikele dokumentidele juurdepääsu

Euroopa Nõukogu konventsiooni63 artikli 3 lõike 1 esimese lõigu punktides a („tagada riigi

julgeolek ja riigikaitse ning kaitsta rahvusvahelisi suhteid“) ja b („tagada avalik julgeolek“)

sätestatud võimalustest piirata juurdepääsu ametlikele dokumentidele.

Eelnõukohase KüTSi § 31 lõikega 4 on kavas üle võtta NIS2-direktiivi artikli 3 lõike 4 teine lõik,

st sätestatakse kohustus teavitada viivitamata ja igal juhul kahe nädala jooksul alates muudatuse

kuupäevast lõike 1 kohaselt esitatud teabe muudatustest.

Eelnõukohase KüTSi § 31 lõigete 5–8 eesmärk on võtta üle NIS2-direktiivi artikli 3 lõige 5.

Siinkohal vt ka eelnõuga kavandatavat KüTSi § 20 lõiget 2, samuti ka NIS2-direktiivi põhjendust

19:

(19) Liikmesriigid peaksid esitama komisjonile vähemalt igasse lisades osutatud sektorisse ja

allsektorisse kuuluvate elutähtsate64 ja oluliste üksuste arvu, samuti asjakohase teabe kindlaks

määratud üksuste arvu kohta ja selle kohta, millise [NIS2-direktiivi] sätte põhjal need üksused

kindlaks määrati ning millist liiki teenust nad osutavad. Liikmesriike julgustatakse vahetama

komisjoniga teavet elutähtsate65 ja oluliste üksuste kohta ning ulatusliku küberturbeintsidendi

korral asjakohast teavet (näiteks asjaomase üksuse nimi).

Lõiked 5–8 ei hõlma domeeninimede registreerimise teenuse osutajaid – sellega seoses vt ka

eelnõukohase KüTSi § 2 punkti 4 selgitust.

Eelnõukohane KüTSi § 31 lõige 9 on seotud NIS2-direktiivi artikli 3 lõike 4 kolmanda lõiguga.

Selles lõigus viidatud Euroopa Komisjoni suunised ja vormid on esitatud komisjoni 14. septembri

2023. aasta teatises „Komisjoni suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv)

artikli 3 lõike 4 kohaldamise kohta 2023/C 324/02“.66

KüTSi §-i 4 tehtavad muudatused ja täiendused on seotud NIS2-direktiivi artikli 26 lõike 1 punkti

b ja lõigete 2–4, aga ka artikli 27, ennekõike selle lõigete 2–5 ülevõtmisega. Termini „digitaalse

teenuse osutaja“ tähenduse kohta vt eelnõukohane KüTSi § 2 punkt 2 ning selle selgitused. Termini

„digitaalse teenuse osutaja esindaja“ tähenduse kohta vt eelnõukohane KüTSi § 2 punkt 3 ning

selle selgitused. NIS2-direktiivi artikli 26 lõike 1 punkt b näeb ette, et digitaalse teenuse osutaja

loetakse selle liikmesriigi jurisdiktsiooni alla kuuluvaks, kus on tema peamine tegevuskoht

Euroopa Liidus. Seega saab ainult jurisdiktsioonikohane liikmesriik nõuda digitaalse teenuse

osutajalt kõnesolevas lõikes nimetatud andmeid. Sama põhimõte kehtib ka juhul, kui tuleb koostada

teenuseosutajate ja domeeninimede registreerimise teenuse osutajate nimekiri.

Eelnõukohase KüTSi § 4 lõike 1 punktidega kavandatakse üle võtta NIS2-direktiivi artikli 27

62 https://kaitseministeerium.ee/et/eesmargid-tegevused/laiapindne-riigikaitse 63 https://www.riigiteataja.ee/akt/216092020001 64 Eelnõus „ülioluliste üksuste“. 65 Eelnõus „ülioluliste üksuste“. 66 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0914%2801%29&qid=1728044123374

83 / 186

lõige 2. Nii nagu eelnõukohases KüTSi § 31 lõike 1 punktis 1, on ka KüTSi § 4 lõike 1 punkti 1

lisatud andmeväljana „registrikood“, kuna see aitab paremini eristada digitaalse teenuse osutajaid,

ennekõike olukorras, kus digitaalse teenuse osutaja vahetab näiteks enda nime. Nimevahetusega ei

kaasne üldjuhul registrikoodi muutumist – see toimub pigem ennekõike juriidilise isiku ühinemise

või jagunemise käigus.

Eelnõukohaste KüTSi § 4 lõigetega 2–4 on kavas üle võtta NIS2-direktiivi artikli 26 lõiked 2–3,

mis näevad ette konkreetses järjekorras tegevused, mille tulemusena selgitatakse välja digitaalse

teenuse osutaja peamine tegevuskoht.

Digitaalse teenuse osutajad on selle riigi jurisdiktsiooni all, kus on nende peamine tegevuskoht

Euroopa Liidus. NIS2-direktiivi põhjenduse 114 kohaselt on ainult ühel liikmesriigil vastav

jurisdiktsioon nende üksuste puhul (tingimusel, et osutatakse ainult digitaalse teenuse osutajale

omast teenust, mitte muid teenuseid, mis on NIS2-direktiivi, st KüTSi kohaldamisalas). Peamise

tegevuskohana tuleks käsitada liikmesriiki, kus tehakse valdav osa otsustest küberturvalisuse

riskijuhtimismeetmete kohta.

Ehk kui digitaalse teenuse osutaja peamine tegevuskoht on kommenteeritava paragrahvi lõike 2

kohaselt Eesti kui „Euroopa Liidu liikmesriik, kus turvameetmeid käsitlevad otsused valdavalt

tehakse“, siis puudub vajadus peamise tegevuskoha väljaselgitamiseks lõigete 3 või 4 alusel. Kuid

kui lõikes 2 sätestatud kriteerium ei ole asjakohane (nt võetakse turvameetmeid käsitlevad otsused

vastu Ühendkuningriigis või Ameerika Ühendriikides), siis tuleb vaadata, kas tegemist on lõikes 3

kirjeldatud olukorraga; kui seegi ei ole asjakohane, siis kohaldub lõige 4.

Kui digitaalse teenuse osutaja leiab, et tema suhtes kohaldatakse järelevalve käigus õigustamatult

mõne liikmesriigi õigusnormi, siis peab sellel üksusel olema võimalus selle liikmesriigi pädeva

asutuse järelevalvemeedet vaidlustada. Mainitud järelevalvemeedet võidi kohaldada, kuna ühe

liikmesriigi pädev asutus leidis, et tal on järelevalvepädevus olemas, kuid tegelikkuses ei pruukinud

tal seda olla. Seetõttu tuleks ebaselguse vältimiseks kasutada nii NIS2-direktiivi artikli 27 lõike 1

alusel koostatud üksuste registrit kui ka NIS2-direktiivi artiklis 37 (eelnõukohases KüTSi §-s 173)

sätestatud vastastikuse abi sätteid.

Eelnõukohase KüTSi § 4 lõike 5 mõte on sätestada erand sama paragrahvi lõigetest 2-4.

Kommenteeritava lõikega kavandatakse üle võtta NIS2-direktiivi artikli 26 lõike 3 kolmas lause

(Kõnealust üksust loetakse selle liikmesriigi jurisdiktsiooni alla kuuluvaks, kus on esindaja

tegevuskoht või kus ta on asutatud.).

Eelnõukohase KüTSi § 4 lõikega 6 on kavas üle võtta NIS2-direktiivi artikli 27 lõige 3

(Liikmesriigid tagavad, et lõikes 1 osutatud üksused teavitavad pädevat asutust viivitamata lõike 2

kohaselt esitatud teabe muutumisest, tehes seda igal juhul hiljemalt kolme kuu jooksul alates

muudatuse kuupäevast.) ning KüTSi § 4 lõikega 7 NIS2-direktiivi artikli 27 lõige 4 (Lõigetes 2 ja

3 osutatud teabe, välja arvatud lõike 2 punktis f osutatud teave, kättesaamisel edastab asjaomase

liikmesriigi ühte kontaktpunkt selle põhjendamatu viivituseta ENISA-le.). Sellega on seotud ka

NIS2-direktiivi põhjendus 117:

(117) Selleks et tagada selge ülevaade domeeninimede süsteemi teenuse osutajatest,

tippdomeeninimede registritest ja domeeninimede registreerimise teenuseid osutavatest

üksustest67, pilvandmetöötlusteenuse osutajatest, andmekeskusteenuse osutajatest, sisulevivõrgu

67 Eelnõus „domeeninimede registreerimise teenuse osutajatest“.

84 / 186

pakkujatest68, hallatud teenuse osutajatest69 ja turbetarnijatest70 ning internetipõhiste

kauplemiskohtade71, internetipõhiste otsingumootorite72 ja sotsiaalvõrguteenuse platvormi

pakkujatest73, kes osutavad kogu liidus teenuseid, mille suhtes kohaldatakse [NIS2-direktiivi],

peaks ENISA looma ja haldama selliste üksuste registrit, tuginedes liikmesriikidelt saadud teabele,

mida saadakse, kui see on kohaldatav, riiklike mehhanismide kaudu, mis on loodud, et üksused

saaksid end registreerida. Ühtsed kontaktpunktid peaksid edastama ENISA-le teabe ja kõik selle

muudatused. Tagamaks, et kõnealusesse registrisse kantav teave on täpne ja täielik, võivad

liikmesriigid esitada ENISA-le oma riiklikes registrites kõnealuste üksuste kohta olemasoleva

teabe. ENISA ja liikmesriigid peaksid võtma meetmeid, et hõlbustada selliste registrite

koostalitlusvõimet, tagades samal ajal konfidentsiaalse või salastatud teabe kaitse. ENISA peaks

kehtestama asjakohased teabe klassifitseerimise ja haldamise protokollid, et tagada avalikustatud

teabe turvalisus ja konfidentsiaalsus ning piirata juurdepääs sellisele teabele ning selle talletamine

ja edastamine sihtkasutajatega.

Eelnõukohane KüTSi § 4 lõige 8 on seotud NIS2-direktiivi artikli 27 lõikega 1, mille kohaselt

loob Euroopa Liidu Küberturvalisuse Amet tema esitatud teabe põhjal digitaalse teenuse osutajate

registri ja haldab seda. NIS2-direktiivi artikli 27 lõike 1 teise lause kohaselt võimaldab Euroopa

Liidu Küberturvalisuse Amet taotluse korral juurdepääsu NIS2-direktiivi kohastele pädevatele

asutustele. Seetõttu tuleb tekitada ka vastava taotluse esitamise volitus Riigi Infosüsteemi Ametile.

Kommenteeritava lõikega ei ole võimalik anda sarnast taotluse esitamise õigust KüTSi § 14 lõikes

5 nimetatud järelevalveasutustele, kuna nimetatud asutused ei tee riiklikku järelevalvet digitaalse

teenuse osutajate üle.

Eelnõukohane KüTSi § 4 lõige 9 on seotud NIS2-direktiivi artikli 27 lõikega 5. Selles viidatud

Euroopa Komisjoni suunised ja vormid on esitatud komisjoni 14.09.2023. a teatises „Komisjoni

suunised direktiivi (EL) 2022/2555 (küberturvalisuse 2. direktiiv) artikli 3 lõike 4 kohaldamise

kohta 2023/C 324/02“.74

Eelnõukohane KüTSi § 4 lõige 10 on seotud NIS2-direktiivi artikli 26 lõike 3 esimese ja teise

lause ülevõtmisega. Need kaks lauset on järgmised: „Kui lõike 1 punktis b osutatud üksuse

tegevuskoht ei ole liidus või ta ei ole seal asutatud, kuid ta pakub liidus oma teenuseid, määrab ta

endale liidus esindaja. Esindaja tegevuskoht peab olema ühes nendest liikmesriikidest, kus

teenuseid osutatakse, või ta peab olema seal asutatud.“ Lauseosa „lõike 1 punktis b osutatud

üksuse“ all on mõeldud eelnõu kontekstis digitaalse teenuse osutajat ehk neidsamu üksusi, kelle

suhtes kasutatakse eelnõus digitaalse teenuse osutaja mõistet.

Kommenteeritava lõikega on seotud ka NIS2-direktiivi põhjendus 116:

(116) Kui domeeninimede süsteemi teenuse osutaja, tippdomeeninimede register, domeeninimede

registreerimise teenuseid osutav üksus75, pilvandmetöötlusteenuse osutaja, andmekeskusteenuse

68 Eelnõus „sisulevivõrguteenuse osutajatest“. 69 Eelnõus „haldusteenuse osutajatest“. 70 Eelnõus „infoturbeteenuse osutajatest“. 71 Eelnõus „internetipõhise kauplemiskoha pidajatest“. 72 Eelnõus „veebipõhiste otsingumootorite pakkujatest“. 73 Eelnõus „sotsiaalmeediaplatvormi pakkujatest“. 74 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0914%2801%29&qid=1728044123374 75 Eelnõus „domeeninimede registreerimise teenuse osutaja“.

85 / 186

osutaja, sisulevivõrgu pakkuja76, hallatud teenuse osutaja77 või turbetarnija78 või internetipõhiste

kauplemiskohtade79, internetipõhiste otsingumootorite80 või sotsiaalvõrguteenuse platvormi

pakkuja81, kes ei ole asutatud liidus, osutab teenuseid liidus, peaks ta määrama endale liidus

esindaja. Otsustamaks, kas kõnealune üksus pakub teenuseid liidu piires, tuleks kindlaks teha, kas

üksus kavatseb osutada teenuseid ühes või mitmes liikmesriigis asuvatele isikutele. Seda, et liidus

pääseb juurde üksuse või vahendaja veebisaidile, e-posti aadressile või muudele kontaktandmetele,

või seda, et kasutatakse keelt, mida kasutatakse üldiselt kolmandas riigis, kus üksus on asutatud,

tuleks pidada sellise kavatsuse kindlakstegemiseks ebapiisavaks. Samal ajal võivad asjaolud, nagu

ühes või mitmes liikmesriigis üldiselt kasutatava keele või vääringu kasutamine, millega kaasneb

võimalus tellida teenuseid selles keeles, või liidus paiknevate klientide või kasutajate mainimine,

viidata sellele, et üksus kavatseb pakkuda teenuseid liidus. Esindaja peaks tegutsema üksuse nimel

ning pädevatel asutustel või CSIRTil peaks olema võimalik esindajaga ühendust võtta. Esindaja

tuleks määrata sõnaselgelt üksuse kirjaliku volitusega täitma [NIS2-direktiivis] sätestatud

kohustusi, sealhulgas intsidentidest teatamise kohustust.

Eelnõukohaste KüTSi § 4 lõigete 11–12 eesmärk on üle võtta NIS2-direktiivi artikli 26 lõike 3

neljas lause (Kui käesoleva lõike kohast esindajat liidus määratud ei ole, võib üksuse vastu, kes

rikub [NIS2-direktiivi], võtta õiguslikke meetmeid iga liikmesriik, kus üksus teenuseid osutab.) ja

artikli 26 lõige 4 (Esindaja määramine lõike 1 punktis b osutatud üksuse poolt ei piira õiguslike

meetmete võtmist üksuse enda vastu.). Need sätted tagavad, et digitaalse teenuse osutajal ei ole

võimalik talle NIS2-direktiiviga seatud kohustustest esindaja määramisega (ega ka määramata

jätmisega) kõrvale hoida ega kohustusi või vastutust esindajale delegeerida. Lõige 12 annab

selguse, kas ja kes võib konkreetse teenuse osutaja suhtes võtta õiguslikke meetmeid, kui digitaalse

teenuse osutaja ei ole endale esindajat määranud. Digitaalse teenuse osutaja esindaja kohta vt ka

kavandatavat KüTSi § 2 punkti 2.

Eelnõukohane KüTSi § 41 on oma sisult uus paragrahv, mille eesmärk on tagada seaduse

jõustumise järel selle subjektiks saavatele teenuseosutajatele sujuv üleminekuaeg alustamaks

nõuete täitmist. Tegemist ei ole rakendussättega, vaid materiaalõigusliku sättega, kuna see hakkab

reguleerima selliseid olukordi, kus üksus saavutab seaduse subjektile (teenuseosutajale või

domeeninime registreerimise teenuse osutajale) vastavad tunnused kas a) vahetult

seadusemuudatuse jõustumise mõjul, ilma et asjaomane subjekt oleks varem KüTSi

kohaldamisalasse kuulunud, või b) pärast seadusemuudatuse jõustumist. See hõlmab kahte liiki

olukordi – teenuseosutaja võib saada KüTSi subjektiks a) kas vahetult uute KüTSi reeglite

jõustumise mõjul (nt tegemist on sellise subjektiga, kes kehtiva KüTSi kohaldamisalas ei ole, aga

pärast seadusemuudatuse jõustumist on) või b) millalgi tulevikus, ka nt mitme aasta pärast (nt kui

aasta pärast seaduse muudatuse jõustumist asutatakse uus ühing, kes hakkab tegutsema

eelnõukohases KüTSi §-s 3 nimetatud valdkonnas ning kelle töötajate arv ja käive vastavad

asjakohastele tunnustele, kui see on subjektiks saamise puhul ette nähtud). Praegustele

eelnõukohastele KüTSi subjektidele kohalduvate nõuete täitmise aega reguleerivate sätete ehk

üleminekusätete (rakendussätete) kohta vt eelnõukohase KüTSi § 281 selgitusi.

Kavandatav säte on üles ehitatud nii, et lõiked 1 ja 2 reguleerivad teenuseosutaja, domeenimede

76 Eelnõus „sisulevivõrguteenuse osutaja“. 77 Eelnõus „haldusteenuse osutaja“. 78 Eelnõus „infoturbeteenuse osutaja“. 79 Eelnõus „internetipõhise kauplemiskoha pidaja“. 80 Eelnõus „veebipõhise otsingumootori pakkuja“. 81 Eelnõus „sotsiaalmeediaplatvormi pakkuja“.

86 / 186

registreerimise teenuse osutaja ja digitaalse teenuse osutaja teavitamiskohustuse tekkimist Riigi

Infosüsteemi Ameti ees, samuti digitaalse teenuse osutaja esindaja määramise kohustust. Need

kohustused tuleb täita kolme kuu jooksul pärast seda, kui isik täidab KüTSi subjektsuse tunnused.

Lõiked 3 ja 4 näevad ette üleüldise üleminekuaja teenuseosutajatele (sh digitaalse teenuse

osutajatele) ja elutähtsa teenuse osutajatele. KüTSi nõuded tuleb esimesel korral täita kolme aasta

jooksul alates teenuseosutaja (sh digitaalse teenuse osutaja) tunnustele vastavuse tekkimisest ja

elutähtsa üksuse puhul hädaolukorra seaduse (või tulevikus tsiviilkriisi ja riigikaitse seaduse)

kohaselt määratud tähtaja jooksul. Lõikes 5 täpsustatakse selguse huvides, et seda lõiget ei

kohaldata KüTSi §-s 281 sätestatud juhul ehk nendele teenuseosutajatele, kes on juba kehtiva

KüTSi subjektid ja kes saavad üleminekuaja eelnõukohases KüTSi §-s 281 sätestatu järgi.

Domeeninimede registreerimise teenuse osutaja puhul tuleb arvestada asjaoluga, et neile üksustele

kohaldub ainult osa NIS2-direktiivi ja seeläbi ka ainult osa KüTSi nõudeid (vt eelnõukohase KüTSi

§ 2 p 4 selgitust). Samuti tuleb arvestada asjaoluga, et see üksus on üks nendest, mille suhtes

kasutatakse terminit digitaalse teenuse osutaja (vt eelnõukohast KüTSi § 2 p 2).

Eelnõukohane KüTSi § 41 lõige 1. Teenuseosutaja ja domeeninimede registreerimise teenuse

osutaja täidab eelnõu kohaselt KüTSi § 31 lõikes 1 sätestatava kohustuse kolme kuu jooksul alates

teenuseosutaja või domeeninimede registreerimise teenuse osutaja tunnustele vastavuse

tekkimisest. KüTSi § 31 lõikes 1 on kavas eelnõuga sätestada, millise teabe need üksused peavad

Riigi Infosüsteemi Ametile esitama. Kommenteeritavas lõikes on neile selleks antud tähtaeg –

kolm kuud alates teenuseosutaja või domeeninimede registreerimise teenuse osutaja tunnustele

vastavuse tekkimisest. Selliselt on Riigi Infosüsteemi Ametil omakorda võimalik koostada

eelnõukohases KüTSi § 31 lõikes 2 sätestatav nimekiri kõigist teenuseosutajatest ja domeeninimede

registreerimise teenuse osutajatest.

Eelnõukohane KüTSi § 41 lõige 2. Digitaalse teenuse osutaja täidab eelnõu kohaselt KüTSi § 4

lõigetes 1 ja 10 sätestatavad kohustused kolme kuu jooksul alates digitaalse teenuse osutaja

tunnustele vastavuse tekkimisest. Eelnõuga nähakse KüTSi § 4 lõikes 1 ette digitaalse teenuse

osutaja kohustus esitada Riigi Infosüsteemi Ametile andmeid. Eelnõu kohaselt on kavas sätestada

KüTSi § 4 lõikes 10 digitaalse teenuse osutaja kohustus määrata teatud juhtudel digitaalse teenuse

osutaja esindaja, sealhulgas teha esindaja kontaktandmed püsivalt avalikult kättesaadavaks.

Kommenteeritavas lõikes määratakse selleks tähtaeg – kolm kuud alates sellest, kui üksus hakkab

vastama digitaalse teenuse osutaja tunnustele KüTSi tähenduses. Tähtaja määramisel on võetud

eeskuju NIS2-direktiivi artikli 27 lõikest 3, mis võetakse üle eelnõukohase KüTSi § 4 lõikega 6.

See sätestab digitaalse teenuse osutajale kohustuse teavitada eelnõukohases KüTSi § 4 lõikes 1 ette

nähtud andmete muudatustest viivitamata, kuid hiljemalt kolm kuud pärast muudatuse kuupäeva.

Edastatava teabe hulgas on ka teave digitaalse teenuse osutaja esindaja kontaktandmete kohta ehk

need kohustused on omavahel seotud: kui on kohustus esindaja määrata ja seda pole tehtud, siis

pole ka võimalik esitada esindaja kontaktandmeid. NIS2-direktiiv ei määra, mis tähtaja jooksul

peab digitaalse teenuse osutaja enda esindaja määrama (vt NIS2-direktiivi artikli 26 lõiget 3, mis

on kavas üle võtta eelnõukohase KüTSi § 4 lõikega 10), kuid kuna eelnõukohases KüTSi § 4

lõikes 1 oleva teabe uuendamine peab toimuma kolme kuu jooksul alates vastava muudatuse

tegemisest, siis on siin kommenteeritavas lõikes lähtutud samast tähtajast.

Eelnõukohane KüTSi § 41 lõige 3. Kui eelnõu kohaselt näevad lõiked 1 ja 2 ette kohustuse esitada

Riigi Infosüsteemi Ametile teavet kolme kuu jooksul alates eelnõukohase KüTSi tähenduses

teenuseosutaja, domeeninimede registreerimise teenuse osutaja või digitaalse teenuse osutaja

tunnustele vastavuse tekkimisest, siis lõige 3 sätestab uutele KüTSi subjektidele

87 / 186

(teenuseosutajatele ja domeeninimede registreerimise teenuse osutajatele) aja, mille jooksul

peavad nad enda tegevuse KüTSi muude nõuetega kooskõlla viima ja neid järgima hakkama.

Selleks on neil aega kolm aastat alates KüTSi subjektiks saamisest (teisisõnu hiljemalt kaks aastat

ja üheksa kuud alates lõigetes 1 ja 2 sätestatud teavitamisest, kui seda tehakse viimasel päeval).

Sätte eesmärk on anda uutele KüTSi subjektidele piisav aeg enda tegevus KüTSi reeglitega

kooskõlla viia ning neid rakendada.

Eraldi väärib märkimist, et säte kohaldub eelnõu järgi teenuseosutajatele, sh digitaalse teenuse

osutajatele. Digitaalse teenuse osutajate hulgas on ka domeeninimede registreerimise teenuse

osutajad (vt eelnõus KüTSi § 2 p 2), kuid neile üksustele kohalduvad ainult mõned eelnõukohased

KüTSi nõuded:

a) lähtudes NIS2-direktiivi artikli 3 lõigete 3–5 ülevõtmisest eelnõukohase KüTSi §-ga 31 –

selle paragrahvi kontekstis tuleneb siin sätestatud esmase kohustuse (kontakt- jms andmete

edastamise kohustus) esmakordne täitmine eelnõukohasest KüTSi § 41 lõikest 1;

b) lähtudes NIS2-direktiivi artiklite 26 ja 27 ülevõtmisest eelnõukohase KüTSi §-ga 4 – selle

paragrahvi kontekstis tuleneb siin sätestatud esmaste kohustuste (kontakt- jms andmete

edastamise kohustus, esindaja määramise kohustus) esmakordne täitmine eelnõukohasest

KüTSi § 41 lõikest 2;

c) lähtudes NIS2-direktiivi artiklist 28, mille võttis üle Eesti Interneti SA nõukogu (vt

seletuskirjale lisatud vastavustabeli selgitusi) – nende nõuete puhul puudub vajadus

tekitada materiaalõiguslik säte, kuna see on seotud Eesti Interneti SAga sõlmitava .ee-

domeenide akrediteeritud registripidaja teenuse osutamise lepinguga82 ning selle

täitmisega.

Kuna NIS2-direktiiv domeeninimede registreerimise teenuse osutajale muid nõudeid ei kehtesta

ning nende kohustuste esmakordse täitmise tähtaeg tuleneb kommenteeritava paragrahvi lõigetest

1 ja 2, siis tulenevad nende edaspidise täitmise tähtajad kommenteeritava lõike teises lauses

viidatud õigusnormidest. Seetõttu siin kommenteeritav lõige (kohustus täita muud KüTSi nõuded

kolme aasta jooksul alates KüTSi subjekti tunnusele vastavuse tekkimisest) domeeninimede

registreerimise teenuse osutajatele praktikas kohalduma ei hakka.

Eelnõukohane KüTSi § 41 lõige 4. Seda lõiget on kavas kohaldada elutähtsa teenuse osutajatele.

Nemad peavad esimesel korral rakendama KüTSi eelnõu kohaseid nõudeid hädaolukorra seaduse

§ 38 lõike 13 punktis 3 sätestatud korras määratud tähtajal. Elutähtsa teenuse osutaja on eelnõu

kohaselt KüTSi mõttes ülioluline üksus, kuid ta määratakse elutähtsa teenuse osutajaks

hädaolukorra seaduse § 38 alusel haldusaktiga. Seetõttu on ka neile KüTSi reeglite kohaldamine

seotud nende elutähtsa teenuse osutajaks määramisega hädaolukorra seaduse tähenduses.

Hädaolukorra seaduse muudatusi on põhjalikumalt selgitatud hädaolukorra seaduse muutmise ja

sellega seonduvalt teiste seaduste muutmise seaduse eelnõu nr 426 SE seletuskirjas.142

Hädaolukorra seaduse § 38 lõike 13 kohaselt antakse selles haldusaktis, millega isik elutähtsa

teenuse osutajaks määratakse, tähtaeg hädaolukorra seaduses ja muudes õigusaktides elutähtsa

teenuse toimepidevuse tagamiseks sätestatud nõuete täitmiseks. Eelnõukohase KüTSi nõudeid võib

pidada „muudes õigusaktides elutähtsa teenuse toimepidevuse tagamiseks sätestatud nõueteks“.

Seetõttu on ka KüTSi kohaldamine elutähtsa teenuse osutajatele seotud hädaolukorra seaduse

alusel haldusaktis määratava tähtajaga. Erandiks on üksnes kommenteeritava paragrahvi lõigetes 1

ja 2 sätestatavad kohustused. Need tuleb ka elutähtsa teenuse osutajal täita lõigetes 1 ja 2

sätestataval tähtajal ehk eelnõu kohaselt kolme kuu jooksul pärast seda, kui ta nendes lõigetes

viidatud üksuse tunnused täidab.

82 https://www.internet.ee/registripidaja/kuidas-saada-ee-akrediteeritud-registripidajaks

88 / 186

Nagu ka kõik teised kommenteeritava paragrahvi lõiked, hakkab ka see lõige kohalduma üksnes

sellistele elutähtsa teenuse osutajatele, kes saavad elutähtsa teenuse osutajaks pärast kõnealuse

eelnõuga kavandatava seaduse jõustumist. Nende puhul saab lähtuda üksnes hädaolukorra seaduse

§ 38 lõike 13 punktis 3 sätestatud tähtajast. Sellistele elutähtsa teenuse osutajatele, kes on juba

praegu (st enne kavandatava seaduse jõustumist) elutähtsa teenuse osutajad või on selleks

hädaolukorra seaduse § 38 lõike 13 alusel määratud enne kõnealusest eelnõust tulenevate

muudatuste jõustumist, tuleb kohaldada eelnõukohase KüTSi § 281 lõigetes 3 ja 4 sätestatut.

Eelnõukohane KüTSi § 41 lõige 5. Kommenteeritav lõige on selgitava ja täpsustava iseloomuga,

et tuua üheselt esile eelnõuga kavandatava KüTSi § 41 ja § 281 omavaheline seos. Paragrahvis 41

sätestatut ei kohaldata sellistele teenuseosutajatele, kellele eelnõu järgi kohaldatakse KüTSi §-s 281

sätestatut.

Eelnõukohase KüTSi § 5 pealkiri. KüTSi kehtivas versioonis on paragrahvi pealkiri „§ 5. Ühtne

kontaktpunkt ja pädev asutus“, kuid seda pealkirja ei ole võimalik edaspidi kasutada, kuna praegu

on KüTSi § 5 sisu seotud ennekõike Riigi Infosüsteemi Ametiga, kuid eelnõuga on kavas luua

õigusnorme, mis on seotud ka muude valitsusasutustega. Paragrahvi kavandatavas uues pealkirjas

ei tähista sõnapaar „pädevad asutused“ neid asutusi ainult NIS2-direktiivi artikli 8 lõike 1

tähenduses, vaid siin on mõeldud ka muid asjakohaseid valitsusasutusi.

Eelnõukohase KüTSi § 5 lõike 1 muudatusega kavandatakse anda Vabariigi Valitsusele volitus

võtta vastu NIS2-direktiivi artiklis 7 nimetatud küberturvalisuse strateegia, mis võib olla muu

õigusakti alusel koostatava dokumendi osa. Praktikas kuulub see digiühiskonna arengukava

koosseisu, mille võtab vastu Vabariigi Valitsus.

Küberturvalisuse strateegia ületab seda koostava ministeeriumi pädevusvaldkondi, mistõttu on

Vabariigi Valitsuse seaduse § 57 lõiget 3 arvestades antud küberturvalisuse strateegia vastuvõtmise

kohustuse kehtestamise volitus Vabariigi Valitsusele.

Kommenteeritava lõikega antakse küberturvalisuse valdkonna eest vastutavale ministrile ülesanne

koordineerida küberturvalisuse strateegia koostamist.

Eelnõukohase KüTSi § 5 lõike 2 kohaselt sätestab küberturvalisuse valdkonna eest vastutav

minister määrusega riiklikku küberturvalisuse strateegiat puudutavad üksikasjad. Tegemist on

volitusnormiga, mille eesmärk on vältida seaduse põhiteksti koormamist üksnes haldusesiseste

protsesside ja nõuetega. Seetõttu võetaksegi valdav osa NIS2-direktiivi artiklis 7 sätestatust (sh

strateegia koostamise ulatus, tingimused ja elluviimise kord, mis hõlmavad ka uuendamise ja

tulemushindamise korda) üle rakendusaktiga.

Vabariigi Valitsuse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse

eelnõu nr 505 SE kohase seadusega liikusid 01.01.2025 Majandus- ja

Kommunikatsiooniministeeriumist Justiits- ja Digiministeeriumisse digiühiskonna poliitika,

avalike e-teenuste, digiarengu ja küberturvalisuse, riigi infosüsteemide, kesksete võrgu- ja

infosüsteemide ning side ja telekommunikatsiooniga seotud ülesanded. Samuti liikusid Majandus-

ja Kommunikatsiooniministeeriumi alt Justiits- ja Digiministeeriumi valitsemisalasse Riigi

Infosüsteemi Amet, Riigi Info- ja Kommunikatsioonitehnoloogia Keskus, Riigi

Infokommunikatsiooni Sihtasutus ning Eesti Interneti Sihtasutus.

Kommenteeritava lõikega on seotud ka NIS2-direktiivi põhjendused 48–57, 60 ja 97:

(48) Küberturvalisuse kõrge taseme saavutamiseks ja säilitamiseks peaksid [NIS2-direktiiviga]

nõutavad riiklikud küberturvalisuse strateegiad koosnema sidusatest raamistikest, milles on

esitatud strateegilised eesmärgid ja prioriteedid küberturvalisuse valdkonnas ning nende

89 / 186

saavutamiseks vajalik juhtimine. Need strateegiad võivad koosneda ühest või mitmest

seadusandlikust või muust kui seadusandlikust aktist.

(49) Võrgu- ja infosüsteemide taristu, riistvara, tarkvara ja veebipõhiste rakenduste turvalisuse

ning selliste ettevõtjate või lõppkasutajate andmete kaitsmiseks, millest üksused sõltuvad, luuakse

alus küberhügieeni poliitikameetmetega. Küberhügieeni poliitikameetmed, mis koosnevad ühistest

alustavadest, sealhulgas tarkvara ja riistvara uuendamine, salasõnade muutmine, uute paigalduste

haldamine, administraatori õigustega juurdepääsukontode piiramine ja andmete varundamine,

võimaldavad luua intsidentide või küberohtude puhuks valmisoleku ning üldise turvalisuse ja

julgeoleku ennetava raamistiku. Liikmesriikide küberhügieeni poliitikameetmeid peaks jälgima ja

analüüsima ENISA.

(50) Küberturvalisuse alane teadlikkus ja küberhügieen on liidu küberturvalisuse taseme

tõstmiseks üliolulised, eelkõige seetõttu, et ühendatud seadmete arv kasvab pidevalt ja neid

võetakse küberrünnete puhul üha enam sihtmärgiks. Tuleks teha pingutusi, et suurendada üldist

teadlikkust selliste seadmetega seotud riskidest, samal ajal kui liidu tasandil tehtavad hindamised

võiksid aidata tagada ühtse arusaama sellistest riskidest siseturul.

(51) Liikmesriigid peaksid ergutama uuendusliku tehnoloogia, sealhulgas tehisintellekti

kasutamist, mis võiks parandada küberrünnete avastamist ja ennetamist ning ressursse

küberrünnete vastu paremini suunata. Seepärast peaksid liikmesriigid sellise tehnoloogia

kasutamise hõlbustamiseks soodustama oma riiklikes küberturvalisuse strateegiates teadus- ja

arendustegevust, eelkõige seoses küberturvalisuse automatiseeritud või poolautomaatsete

vahenditega, ning, kui see on kohane, jagama sellise tehnoloogia kasutajate koolitamiseks ja

tehnoloogia täiustamiseks vajalikke andmeid. Uuendusliku tehnoloogia, sealhulgas tehisintellekti

kasutamine peaks olema kooskõlas liidu andmekaitseõigusega, sealhulgas

andmekaitsepõhimõtetega, nagu andmete täpsus, võimalikult väheste andmete kogumine, õiglus ja

läbipaistvus ning andmeturve, näiteks tipptasemel krüpteerimine. Määruses (EL) 2016/679

sätestatud lõimitud ja vaikimisi andmekaitse nõuetest tuleb täielikult kinni pidada.

(52)Tänu avatud lähtekoodiga küberturbevahenditele ja -rakendustele võib tõusta avatuse tase ja

need võivad mõjuda soodsalt tööstusinnovatsiooni tõhususele. Avatud standardid soodustavad

turbevahendite koostalitlusvõimet, mis on kasulik tööstusvaldkonna sidusrühmade turvalisuse

seisukohast. Avatud lähtekoodiga küberturbevahendid ja -rakendused võivad võimendada laiemat

arendajate kogukonda, võimaldades tarnijate mitmekesistamist. Avatud lähtekoodiga võib

kaasneda küberturvalisusega seotud vahendite kontrolliprotsessi suurem läbipaistvus ning

kogukonna juhitav nõrkuste tuvastamise protsess. Seetõttu peaks liikmesriikidel olema võimalik

edendada avatud lähtekoodiga tarkvara ja avatud standardite kasutuselevõttu, järgides poliitikat,

mis on seotud avatud andmete ja avatud lähtekoodi kasutamisega läbipaistvusel põhineva

turvalisuse osana. Avatud lähtekoodiga küberturbevahendite kasutuselevõttu ja kestlikku

kasutamist edendavad tegevuskavad, on eriti olulised väikeste ja keskmise suurusega ettevõtjate

jaoks, kellel on märkimisväärsed rakenduskulud, mida saaks vähendada, kui vajadust spetsiifiliste

rakenduste või vahendite järele vähendataks.

(53) Kommunaalettevõtted on üha enam ühendatud linnade digivõrkudega, et parandada

linnatranspordivõrke, ajakohastada veevarustust ja jäätmekäitlust ning suurendada valgustuse ja

hoonete kütmise tõhusust. Need digitaliseeritud kommunaalettevõtted on küberrünnete vastu vähe

kaitstud ja edukas küberrünne võib kodanikke nende ettevõtete omavahelise seotuse tõttu

ulatuslikult kahjustada. Liikmesriigid peaksid oma riikliku küberturvalisuse strateegia raames

välja töötama poliitika, milles käsitletakse selliste ühendatud või arukate linnade arendamist ja

nende võimalikku mõju ühiskonnale.

(54) Viimastel aastatel on liit seisnud silmitsi lunavararünnete hüppelise kasvuga, mille puhul

pahavara krüpteerib andmeid ja süsteeme ning nõuab vabastamiseks lunaraha maksmist.

90 / 186

Lunavararünnete sagenemist ja tõsidust võivad mõjutada mitmed tegurid, nagu erinevad

ründemustrid, nagu lunavara kui teenusega seotud kuritegelikud ärimudelid ja krüptoraha,

lunaraha nõudmised ja tarneahela rünnete sagenemine. Liikmesriigid peaksid oma riikliku

küberturvalisuse strateegia raames välja töötama poliitika, milles käsitletakse lunavararünnete

sagenemist.

(55) Sobiva raamistiku kõigi sidusrühmade vahel teadmiste vahetamiseks, parimate tavade

jagamiseks ja vastastikuse mõistmise ühise taseme loomiseks võib pakkuda küberturvalisuse

valdkonna avaliku ja erasektori partnerlus. Liikmesriigid peaksid edendama poliitikat, millega

toetatakse küberturvalisuse valdkonna avaliku ja erasektori partnerluse loomist. Niisuguses

poliitikas tuleks muu hulgas täpsustada, millised on avaliku ja erasektori partnerluse ulatus ja

kaasatud sidusrühmad, juhtimismudel, olemasolevad rahastamisvõimalused ja osalevate

sidusrühmade koostoime. Avaliku ja erasektori partnerluse raames saab võimendavalt kasutada

erasektori üksuste eksperditeadmisi, et abistada pädevaid asutusi tänapäevaste teenuste ja

protsesside arendamisel, sealhulgas teabevahetus, varajane hoiatamine, küberohtude ja

intsidentidega seotud õppused, kriisiohje ning vastupanuvõime kavandamine.

(56) Liikmesriigid peaksid oma riiklikes küberturvalisuse strateegiates käsitlema väikeste ja

keskmise suurusega ettevõtjate küberturvalisuse vajadusi. Liidus on väikeste ja keskmise suurusega

ettevõtjate osakaal tööstus- ja äriturul suur ning neil on sageli raske kohaneda uute äritavadega

üha rohkem ühendatud maailmas ja digitaalses keskkonnas, kus töötajad on kodutööl ja äritegevus

toimub järjest rohkem interneti kaudu. Mõnedel väikestel ja keskmise suurusega ettevõtjatel on

küberturvalisusega seoses sellised probleemid nagu vähene küberteadlikkus, kaugtöösüsteemide

IT-turvalisuse puudumine, küberturvalisuse tagamiseks kasutatavate lahenduste suured kulud ja

kõrgem ohutase, näiteks lunavaraga seoses, mille lahendamiseks nad peaksid saama suuniseid ja

tuge. Väikestest ja keskmise suurusega ettevõtjatest on üha enam saamas tarneahela rünnete

sihtmärk, sest nende küberturvalisuse riskijuhtimismeetmed ja ründehaldamine ei ole nii ranged

ning asjaolu tõttu, et neil on piiratud turberessursid. Sellised tarneahela ründed ei mõjuta üksnes

väikeseid ja keskmise suurusega ettevõtjaid ja nende tegevust, vaid võivad avaldada astmelist mõju

ka üksustele, kellele nad tarnivad, põhjustades ulatuslikuma ründe. Liikmesriigid peaksid oma

riiklike küberturvalisuse strateegiate kaudu aitama väikestel ja keskmise suurusega ettevõtjatel

tarneahelates esinevaid probleeme lahendada. Liikmesriikidel peaks olema väikeste ja keskmise

suurusega ettevõtjate jaoks riiklikul või piirkondlikul tasandil kontaktpunkt, mis kas annab

väikestele ja keskmise suurusega ettevõtjatele suuniseid ja abi või suunab nad küberturvalisuse

küsimustes suuniste ja abi saamiseks asjakohaste asutuste juurde. Liikmesriike julgustatakse

osutama ka selliseid teenuseid nagu veebisaidi konfigureerimine ja logimise võimaldamine

mikroettevõtjatele ja väikestele ettevõtjatele, kellel see võimekus puudub.

(57) Liikmesriigid peaksid oma riiklikes küberturvalisuse strateegiates laiema kaitsestrateegia

osana võtma kasutusele aktiivse küberkaitse edendamise poliitika. Selle asemel et tegutseda

reageerivalt, tähendab aktiivne küberkaitse võrguturbe rikkumise aktiivset ennetamist, avastamist,

seiret, analüüsimist ja tagajärgede leevendamist, milleks kasutatakse nii ohvri võrgus kui ka sellest

väljaspool olevaid võimalusi. See võiks hõlmata liikmesriike, kes pakuvad teatavatele üksustele

tasuta teenuseid või vahendeid, sealhulgas iseteeninduskontrolle, avastamisvahendeid ja

kõrvaldamisteenuseid. Võime ohuteavet ja -analüüse, kübertegevuse hoiatusi ja

reageerimismeetmeid kiiresti ja automaatselt jagada ning mõista on ülioluline, et teha ühtseid

pingutusi võrgu- ja infosüsteemide vastu suunatud rünnete tulemuslikuks ennetamiseks,

avastamiseks ja vastumeetmete võtmiseks. Aktiivne küberkaitse põhineb kaitsestrateegial, millega

välistatakse ründemeetmed.

91 / 186

(60) Liikmesriigid peaksid võtma koostöös ENISAga meetmeid, et nõrkuste83 koordineeritud

avalikustamist hõlbustada, kehtestades selleks asjakohase riikliku poliitika. Oma riikliku poliitika

raames peaksid liikmesriigid kooskõlas oma õigusega püüdma võimalikult suures ulatuses

lahendada probleeme, millega puutuvad kokku nõrkuste84 valdkonnas uuringuid läbi viivad isikud,

sealhulgas probleeme, mis on seotud nende võimaliku kriminaalvastutusega. Võttes arvesse, et

mõnes liikmesriigis võib nõrkuste valdkonnas uuringuid läbi viivate füüsiliste ja juriidiliste isikute

suhtes kohaldada kriminaal- ja tsiviilvastutust, soovitatakse liikmesriikidel võtta vastu suunised,

mis käsitlevad infoturbeuurijate nende tegevuse eest vastutusele võtmisest loobumist ja

tsiviilvastutusest vabastamist.

(97) Siseturg sõltub interneti toimimisest rohkem kui kunagi varem. Peaaegu kõigi elutähtsate85 ja

oluliste üksuste teenused sõltuvad interneti kaudu pakutavatest teenustest. Et tagada elutähtsate86

ja oluliste üksuste pakutavate teenuste sujuv osutamine, on oluline, et kõikidel üldkasutatavate

elektroonilise side võrkude pakkujatel87 oleksid asjakohased küberturvalisuse

riskijuhtimismeetmed ja et nendega seotud olulistest intsidentidest teatataks. Liikmesriigid peaksid

tagama üldkasutatavate elektroonilise side võrkude turvalisuse säilimise ning oma eluliste

julgeolekuhuvide kaitse sabotaaži ja spionaaži eest. Kuna rahvusvaheline ühenduvus edendab ja

kiirendab liidu ja selle majanduse konkurentsipõhist digitaliseerimist, tuleks merealuseid

sidekaableid mõjutavatest intsidentidest teavitada CSIRTi või, kui see on kohaldatav, pädevat

asutust. Kui see on asjakohane, tuleks merealuste sidekaablite küberturvalisust riiklikus

küberturvalisuse strateegias arvesse võtta ning see peaks hõlmama võimalike küberturvalisuse

riskide kaardistamist ja leevendusmeetmeid, et tagada nende kaitse kõrgeimal tasemel.

Lisaks eeltoodule on kommenteeritava lõikega seotud ka komisjoni suunised NIS2-direktiivi artikli

4 lõigete 1 ja 2 kohaldamise kohta (2023/C 328/02).88 Need suunised on seotud ennekõike

eelnõukohase KüTSi § 1 lõike 4 (lex specialis võrreldes KüTSi nõuetega, nt DORA määrus)

rakendamisega, kuid selles on ka esitatud selgitused riikliku küberturvalisuse strateegia kontekstis

(peatükk III. Samaväärsuse tagajärjed, alapeatükk III. 2. Riiklik küberturvalisuse strateegia;

suunise punktid 30–32):

30. Vastavalt [NIS2-direktiivi] artikli 7 lõikele 1 peab iga liikmesriik võtma vastu riikliku

küberturvalisuse strateegia. Riiklik küberturvalisuse strateegia on liikmesriigi ühtne raamistik, mis

näeb ette küberturvalisuse valdkonna strateegilised eesmärgid ja prioriteedid ning nende

eesmärkide ja prioriteetide saavutamiseks vajaliku juhtimise kõnealuses liikmesriigis (vt [NIS2-

direktiivi] artikli 6 punkt 4). Küberturvalisuse strateegia peab muu hulgas sisaldama eesmärke ja

prioriteete, mis hõlmavad eelkõige direktiivi (EL) 2022/2555 I ja II lisas osutatud sektoreid. Lisaks

peab see strateegia sisaldama juhtimisraamistikku nende eesmärkide ja prioriteetide, kaasa

arvatud [NIS2-direktiivi] artikli 7 lõikes 2 osutatud poliitikameetmete saavutamiseks.

31. Peale selle on [NIS2-direktiivi] artikli 7 lõike 1 punktis c sätestatud, et riiklik küberturvalisuse

strateegia peab sisaldama juhtimisraamistikku, milles selgitatakse asjaomaste sidusrühmade

riikliku tasandi rolle ja kohustusi, mis toetavad [NIS2-direktiivi] kohaste pädevate asutuste, ühtsete

kontaktpunktide ja CSIRTide vahelist koostööd ja koordineerimist riiklikul tasandil, samuti nende

organite ja valdkondlike liidu õigusaktide kohaste pädevate asutuste vahelist koordineerimist ja

83 Eelnõus „turvahaavatavuste“. 84 Eelnõus „turvahaavatavuste“. 85 Eelnõus „ülioluliste üksuste“. 86 Eelnõus „ülioluliste üksuste“. 87 Eelnõus „üldkasutatava elektroonilise side võrgu teenuse osutajatel“. 88 https://eur-lex.europa.eu/legal-

content/ET/TXT/?uri=CELEX%3A52023XC0918%2801%29&qid=1751186614700

92 / 186

koostööd.

32. Seega ei puuduta [NIS2-direktiivi] artikli 7 kohane küberturvalisuse strateegia vastuvõtmise

nõue küberturvalisuse nõudeid, mis on elutähtsate89 ja oluliste üksuste suhtes kehtestatud vastavalt

nimetatud direktiivi artiklitele 21 ja 23, ega selle direktiivi artikli 4 lõigete 1 ja 2 nõuete kohaselt

VII peatükis sätestatud järelevalve- ja täitmise tagamise sätteid. Artikli 7 asjaomaseid sätteid

tuleks kohaldada ka edaspidi nende sektorite, allsektorite ja üksuste liikide suhtes, mille jaoks on

olemas valdkondlikud liidu õigusaktid [NIS2-direktiivi] artikli 4 tähenduses.

Sama suunise liites on DORA määruse selgituste punktis 2 eelviimane lause: Liikmesriigid peaksid

jätkuvalt kaasama finantssektori oma küberturvalisuse strateegiatesse.

Eelnõukohane KüTSi § 5 lõige 3 on seotud NIS2-direktiivi artikli 14 lõike 3 esimese lausega

(Koostöörühma moodustavad liikmesriikide, komisjoni ja ENISA esindajad.) ning artikli 16 lõike

2 ülevõtmisega. Kommenteeritava lõikega on kavas anda asjaomased volitused nii Justiits- ja

Digiministeeriumile kui ka Riigi Infosüsteemi Ametile, kuna Vabariigi Valitsuse seaduse § 44

lõike 1 kohaselt on riiki volitatud esindama valitsusasutus või muu riigiasutus seadusest, oma

põhimäärusest ja teistest õigusaktidest tulenevate ülesannete täitmisel.

Eelnõukohane KüTSi § 5 lõige 4 on seotud NIS2-direktiivi artikli 8 lõigete 1 ja 3, artikli 9 lõike

1, artikli 10 lõike 1, artikli 12 lõike 1 ning artikli 15 ülevõtmisega. Kommenteeritava lõikega on

seotud ka NIS2-direktiivi põhjendused 38–40 ja 68–73. Lõikega on kavas anda Riigi Infosüsteemi

Ametile nende artiklite alusel asjaomaseid ülesandeid.

(38) Arvestades liikmesriikide juhtimisstruktuuride erinevusi ning selleks, et kaitsta juba kehtivat

valdkondlikku korda või liidu reguleerivaid ja järelevalveasutusi, peaks liikmesriikidel olema

võimalik määrata küberturvalisuse ja [NIS2-direktiivi] kohaste järelevalveülesannete eest

vastutavaks vähemalt ühe riikliku pädeva asutuse või see asutada.

(39) Et hõlbustada ametiasutuste piiriülest koostööd ja suhtlust ning [NIS2-direktiivi] tõhusalt

rakendada, on vaja, et iga liikmesriik määraks ühtse kontaktpunkti, kes vastutab võrgu- ja

infosüsteemide turvalisuse küsimuste koordineerimise ning liidu tasandil tehtava piiriülese koostöö

eest.

(40) Ühtsed kontaktpunktid peaksid tagama tõhusa piiriülese koostöö teiste liikmesriikide

asjaomaste asutustega ning asjakohasel juhul komisjoni ja ENISAga. Seepärast tuleks ühtsetele

kontaktpunktidele teha ülesandeks edastada CSIRTi või pädeva asutuse taotlusel teated piiriülese

mõjuga oluliste intsidentide kohta teiste mõjutatud liikmesriikide ühtsetele kontaktpunktidele.

Riiklikul tasandil peaksid ühtsed kontaktpunktid võimaldama sujuvat valdkondadevahelist

koostööd teiste pädevate asutustega. Ühtsed kontaktpunktid võiksid olla ka määruse (EL)

2022/2554 kohaste pädevate asutuste edastatava, finantssektori ettevõtjatega seotud intsidente

käsitleva asjakohase teabe adressaadid ning, kui see on asjakohane, peaks neil olema võimalik

edastada kõnealune teave CSIRTidele või [NIS2-direktiivi] kohastele pädevatele asutustele.

(68) Liikmesriigid peaksid aitama kaasa komisjoni soovituses (EL) 2017/1584 ette nähtud