Selgitustaotlus

Lp Justiits- ja Digiministeerium,

Pöördun selgitustaotlusega seoses 1. jaanuaril 2026 kehtima hakanud küberturvalisuse seaduse (KütS) muudatustega, täpsemalt KütS § 3 lõike 4 punkti 8 tõlgendamisega.

KütS § 3 lg 4 p 8 sätestab, et oluline üksus on üksus, kes ei ole ülioluline üksus, kuid kellel on Euroopa Komisjoni soovituses 2003/361/EÜ esitatud keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot ning kelle tegevusala on nimetatud käesoleva paragrahvi lõikes 3.

Sätte sõnastusest tulenevalt näib, et keskmise suurusega ettevõtjaks kvalifitseerumine eeldab kumulatiivselt:

• vähemalt 50 töötajat

ja

• alternatiivselt kas aastabilansimahu või aastakäibe ületamist 10 miljoni euro piiri.

Sellise tõlgenduse kohaselt ei kuuluks näiteks ettevõtja, kellel on 30 töötajat, kuid kelle aastakäive on 15 miljonit eurot ja bilansimaht 20 miljonit eurot, KütS tähenduses „olulise üksuse“ alla.

Samuti on Riigikogule esitatud seletuskirjas öeldud: „Euroopa Komisjoni soovituse 2003/361/EÜ kohaselt on keskmise suurusega ettevõtjaks ettevõtja, kellel on a) aastas vähemalt 50 töötajat ning b) kelle aastane bilansimaht või aastakäive ületab 10 miljonit eurot.“ Selline sõnastus jätab, sarnaselt seaduse tekstile, üheselt mõistetava mulje, et töötajate arvu ja majandusnäitajaid tuleb lugeda koos ning kui nt töötajate arvu kriteerium ei ole täidetud, siis üksus on seaduse skoobist väljas.

Samas on Riigikogule esitatud seletuskirjas toodud näited, mis viitavad teistsugusele loogikale, kui see, mis tuleneb seaduse tekstist. Näiteks:

• kui ettevõtjal on näiteks 60 töötajat, aastane bilansimaht on 8 miljonit eurot ja aastakäive on 6 miljonit eurot, siis on tegemist keskmise suurusega ettevõtjaga (töötajate arv ületab ette nähtud suurust);

• kui ettevõtjal on näiteks 40 töötajat, aastane bilansimaht 14 miljonit eurot ja aastakäive on 12 miljonit eurot, siis on tegemist keskmise suurusega ettevõtjaga (aastase bilansimahu ja aastakäibe näitajad ületavad ette nähtud suurusi);

Eelviidatud näited ei eelda töötajate arvu ja finantsnäitajate kumulatiivset täitmist ning näivad olevat kooskõlas Euroopa Komisjoni soovituse 2003/361/EÜ loogikaga, kuid mitte KütS sõnastusega.

Euroopa Komisjoni soovitus 2003/361/EÜ ei defineeri keskmise suurusega ettevõtet positiivsete alampiiride kaudu, vaid käsitleb seda n-ö jääkkategooriana. Keskmise suurusega ettevõte on ettevõte, mis kuulub väikese ja keskmise suurusega ettevõtjate hulka (alla 250 töötaja), ei vasta mikro- ega väikeettevõtja kriteeriumidele ning mille aastakäive ei ületa 50 miljonit eurot ja/või aastabilansimaht 43 miljonit eurot. Väikeettevõtteks kvalifitseerumine eeldab seejuures nii töötajate arvu piiri kui ka vähemalt ühe finantsnäitaja piiri täitmist. Kui üks neist tingimustest ei ole täidetud, ei kvalifitseeru ettevõte väikeettevõtteks ning liigitatakse järgmisse suuruskategooriasse (keskmise suurusega ettevõte). Sellest tulenevalt oleks näiteks ettevõte, kellel on 20 töötajat, kuid kelle aastakäive ja bilansimaht ületavad 10 miljonit eurot, Euroopa Komisjoni soovituse kohaselt keskmise suurusega ettevõte, mitte väikeettevõte.

Paistab, et nii seaduse teksti kui ka Riigikogule esitatud seletuskirjas toodud selgituste aluseks on olnud eelmises, 07.12.2024 seletuskirjas esitatud tõlgendus:

„KüTS § 1 lõike 1¹ sisu on NIS2 direktiivi artikli 2 lõike 1 üle võtmine osas, mis on seotud viitega Euroopa Komisjoni soovitusele 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta. Tolle soovituse kohaselt on keskmise suurusega ettevõtjaga tegemist siis, kui ettevõtjal on a) vähemalt 50 töötajat ning b) tema bilansimaht või aastakäive ületab 10 miljonit eurot. Mõlemad tingimused peavad olema täidetud, st kui näiteks on olemas vähemalt 50 töötajat, kuid bilansimaht või aastakäive on väiksem kui 10 miljonit eurot, siis pole tegemist „keskmise suurusega ettevõtjaga“; bilansimahu ja aastakäibe puhul on vaja, et mõlemad ei oleks väiksemad kui 10 miljonit eurot. Sama loogika ning tulemus on ka vastupidi ehk kui bilansimaht või aastakäive on vähemalt 10 miljonit eurot, kuid ettevõtjal on vähem kui 50 töötajat, ei ole tegemist keskmise suurusega ettevõtjaga; bilansimahu ja aastakäibe puhul on vaja, et vähemalt üks neist oleks suurem kui 10 miljonit eurot./…/.“

Eelnevast nähtub vastuolu:

• KütS § 3 lg 4 p 8 grammatiline sõnastus viitab kumulatiivsele alampiiride loogikale;

• seletuskirja näited ning Euroopa Komisjoni soovituse tegelik sisu lähtuvad hierarhilisest ja välistaval põhimõttel põhinevast loogikast.

Palun selgitada, milline on Justiits- ja Digiministeeriumi kui eelnõu koostaja seisukoht KütS § 3 lg 4 p 8 tõlgendamisel:

• kas „keskmise suurusega ettevõtja“ mõistet tuleb siiski mõista kooskõlas Euroopa Komisjoni soovituse 2003/361/EÜ hierarhilise loogikaga,

• või lähtutakse KütS sõnastusest tulenevast kumulatiivsest kriteeriumistikust.

Õigusselguse huvides palun selgitada ka, kas ja millisel viisil on kavandatud edasisi täpsustusi seaduse tekstis, kuna seaduse kohaldamise seisukohast on tegemist olulise küsimusega.

Lugupidamisega