Selgitustaotlus

Lugupeetud Riigi Infosüsteemi Amet

Pöördusime hiljuti telefonitsi Riigi Infosüsteemi Ameti (RIA) poole seoses küberturvalisuse seaduse KüTS § 3¹ lg-st 1 tuleneva teavitamiskohustuse kohaldumisega olukorras, kus sideettevõtja ei ole asutatud Eestis, kuid osutab KüTS-i reguleerimisalasse kuuluvaid teenuseid Eestisse. Käesolevaga esitame Teile selgitustaotluse, et saada eelkirjeldatud olukorra puhul kinnitust KüTS § 3¹ lg 1 teavitamiskohustuse osas.

Asjaolud

Selgitustaotlus puudutab olukorda, kus Euroopa Liidu (EL) liikmesriigis asutatud ühismeediaplatvorm osutab ELi liikmesriikides, sealhulgas Eestis, numbrivaba isikutevahelise side teenust. Eestis puudub platvormil filiaal või tütarühing. Numbrivaba isikutevahelise side teenus sisaldub täpsemalt ühismeediaplatvormi sõnumivahetuse (nn direct messaging) funktsionaalsuses. Konkreetne ühismeediaplatvorm pole seega elektroonilise side seaduse (ESS) § 4 lg-st 1 tulenevalt esitanud Eestis majandustegevusteadet.

Õiguslik tõlgendus

KüTS § 3 lg 1, § 3 lg 2 p 8 ja § 3 lg 4 p 9 koostoimes loetakse sideettevõtjad teenuseosutajateks. KüTS ei tee seejuures erisusi numbripõhiste ja numbrivaba side teenuste osutajate vahel. KüTS § 3¹ lg-st 1 tulenevalt peavad teenuseosutajad esitama RIA-le teavituse koos § 3¹ lg-s 1 sätestatud informatsiooniga.

Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 (NIS2 direktiiv) artikli 26 lg 1 p-i a kohaselt loetakse üldkasutatavate elektroonilise side võrkude pakkujad või üldkasutatavate elektroonilise side teenuste osutajad selle liikmesriigi jurisdiktsiooni alla kuuluvaks, kus nad oma teenuseid osutavad. Sama põhimõtet kordab ka NIS2 direktiivi põhjenduspunkt 113.

RIA halduspraktika

RIA esindaja selgitas meile telefonitsi, et kui teenuseosutaja, sh sideettevõtja, on asutatud teises ELi liikmesriigis ja üksnes pakub teenuseid Eestis, ei ole teenuseosutajal kohustust esitada teadet vastavalt KüTS § 3¹ lg-le 1. RIA kohaselt ei ole Eestis teavitamine kohustuslik, sest ELis asuv teenuseosutaja peab ühes liikmesriigis teatise esitamisel loetlema kõik teised liikmesriigid, kus ta osutab NIS2 direktiivi reguleerimisalasse kuuluvaid teenuseid. See teave edastatakse seejärel NIS2 koostöörühmale, kes jagab selle kõigi asjaomaste liikmesriikidega, sh RIA-ga.

Täiendavalt selgitati, et kuigi teises ELi liikmesriigis asutatud teenuseosutajad ei pea RIA-t teavitama KüTS § 3¹ lg 1 alusel, peavad nad siiski Eestis teenust osutades järgima KüTSi nõudeid.

Küsimused

Palume kinnitada, kas eeltoodud käsitlus kehtib, või jagada täiendavaid juhiseid. Parema arusaamise huvides palume vastata järgmistele küsimustele:

1. Kas numbrivaba isikutevahelise side teenuse osutaja, kes osutab Eestisse teenuseid, kuid on asutatud teises ELi liikmesriigis, on kohustatud esitama RIA-le KüTS § 3¹ lg-st 1 tulenevalt teavituse?
2. Kui selline sideettevõtja ei pea esitama RIA-le KüTS § 3¹ lg-st 1 tulenevalt teavitust, siis kas selline sideettevõtja on kohustatud siiski järgima Eestis teenust osutades KüTS-i nõudeid?
3. Kas järeldus oleks erinev, kui sideteenuse osutaja oleks registreeritud väljaspool ELi, ning oleks Eestis esitanud ESS § 4 lg 1 alusel majandustegevusteate sideteenuste osutamiseks Eestis (ehk osutab muud sideteenust kui numbrivaba isikutevahelise side teenus)?

Arvestades eeltoodut palume Teil esitada vastused selgitustaotlusele. Täname Teid ette vastuste eest. 

Lugupidamisega

Oliver Kuusk