Kellele kehtib küberturvalisuse seadus pärast NIS2 ülevõtmist

Kaks liiki teenuseosutajaid

Küberturvalisuse seadus nimetab kohustatud ettevõtteid ja asutusi teenuseosutajateks. KüTS § 3 lg 1 jagab need kahte rühma: ühiskonna toimimise seisukohast ülioluline üksus (lühidalt ülioluline üksus) ja ühiskonna toimimise seisukohast oluline üksus (lühidalt oluline üksus). Need vastavad NIS2 direktiivi mõistetele „essential entity“ ja „important entity“.

Mõlemale rühmale kehtivad samad põhikohustused: teavitus RIA-le (§ 3¹), vastutav juhatuse liige (§ 6¹), turvameetmed (§ 7) ja intsidentidest teatamine (§ 8). Erinevus on järelevalves ja trahvimäärades. Üliolulise üksuse üle teeb RIA ennetavat järelevalvet, olulise üksuse puhul sekkub RIA eelkõige siis, kui on alust arvata, et nõudeid ei järgita (§ 14 lg 6). Trahvide kohta lugege lähemalt lehelt trahvid ja järelevalve.

Suuruse piirmäärad: Eesti eripära

Enamiku sektorite puhul sõltub kohustus ettevõtte suurusest. KüTS kasutab Euroopa Komisjoni soovituse 2003/361/EÜ määratlusi, kuid sõnastab piirmäärad omal moel. Nii töötajate arv kui ka rahaline näitaja peavad olema korraga täidetud:

Kaks täpsustust on praktikas olulised. Esiteks ei arvestata partner- või sidusettevõtja andmeid, kui Teie ettevõte on teenuste osutamisel kasutatavate süsteemide poolest neist sõltumatu (§ 3 lg 7). Teiseks ei kohaldata soovituse lisa artikli 3 lõiget 4 (§ 3 lg 6). Kontserni kuuluv tütarettevõte, millel on oma IT, võib seega olla piirmäärast allpool ka siis, kui kontsern tervikuna on suur.

Millal olete ülioluline üksus

Ülioluline üksus on suurusest sõltumata (§ 3 lg 2):

• domeeninimede süsteemi teenuse osutaja ja tippdomeeninimede registri pidaja;
• elutähtsa teenuse osutaja kriisiolukorra ja riigikaitse seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja;
• kvalifitseeritud usaldusteenuse osutaja;
• üldkasutatava elektroonilise side teenuse või võrgu osutaja, kellel on 50 või rohkem töötajat ja aastabilansimaht või aastakäive üle 10 mln €.

Lisaks on ülioluline üksus suur ettevõte, mis tegutseb mõnel § 3 lg 3 loetletud 42 tegevusalast. Need vastavad direktiivi I lisale: elekter, kaugküte, nafta, maagaas ja vesinik, lennundus, raudtee, veetransport ja sadamad, intelligentsed transpordisüsteemid, krediidiasutused, kauplemiskohad ja kesksed vastaspooled, joogivesi, reovesi, andmekeskused, pilvandmetöötlus, sisulevivõrgud, interneti sõlmpunktid, haldusteenused, infoturbeteenused, kosmosepõhiseid teenuseid toetav maapealne taristu, põhifarmaatsiatoodete ja ravimite tootmine ning ravimite uurimine ja arendamine.

Millal olete oluline üksus

Oluline üksus on keskmise suurusega ettevõte, mis tegutseb § 3 lg 3 tegevusaladel (§ 3 lg 4 p 8). Samuti on oluline üksus keskmine või suur ettevõte II lisa valdkondades (§ 3 lg 5):

• jäätmekäitlus kui põhitegevus;
• kemikaalide tootmine ja turustamine REACH-määruse tähenduses;
• toidu hulgimüük, tööstuslik tootmine või töötlemine, kui sellest tuleb vähemalt 50 protsenti aastakäibest (alkohol on välja arvatud);
• meditsiiniseadmete ja in vitro diagnostikameditsiiniseadmete tootmine;
• tööstus NACE C jao osades 26–30: arvutid ja elektroonika, elektriseadmed, masinad, mootorsõidukid, muud transpordivahendid;
• posti- ja kullerteenused, internetipõhised kauplemiskohad, otsingumootorid, sotsiaalmeediaplatvormid ja teadusasutused.

Suurusest sõltumata on olulised üksused muu hulgas avaliku teabe seaduse kohased andmekogude vastutavad ja volitatud töötlejad, avalik-õiguslikud juriidilised isikud, perearstiabi osutajad, kes ei ole elutähtsa teenuse osutajad, ning usaldusteenuse osutajad, kes ei ole kvalifitseeritud (§ 3 lg 4).

Erijuhud ja kattuvad õigusaktid

Kui võrgu- ja infosüsteemi nõuded ja intsidendist teavitamine on samaväärselt reguleeritud Euroopa Liidu õigusakti või muu seadusega, kohaldatakse KüTS-i nende erisustega (§ 1 lg 4). Finantssektoris tähendab see eelkõige DORA määrust. Vabariigi Valitsuse määrust nr 121, mis täpsustab turvameetmeid, ei kohaldata isikutele, kellele kehtivad DORA riskijuhtimise nõuded (määruse § 1 lg 2).

Väljaspool Euroopa Liitu asutatud digitaalse teenuse osutaja, kes pakub teenust Eestis, peab määrama esindaja Eestis või mõnes teises liikmesriigis, kus ta teenust osutab (§ 4 lg 10).

Kuidas oma ettevõtte kohta selgust saada

Seaduse kehtiv tekst on Riigi Teatajas. Esialgse hinnangu oma liigituse ja valmisoleku kohta saate ka NIS2-Scoringust.