NIS2 juhend
Teenuseosutaja teavitus RIA-le
Iga teenuseosutaja peab esitama Riigi Infosüsteemi Ametile oma andmed. Seadus nimetab seda teavitamiskohustuseks, praktikas on see registreerimine. Esimene tähtaeg on möödas, kuid hiljem lisanduvatel ettevõtetel on aega kolm kuud.
Seisuga: oktoober 2026 · Õiguslik alus: küberturvalisuse seadus (KüTS)
Mis on teenuseosutaja teavitus
KüTS § 3¹ kohustab teenuseosutajat esitama RIA-le andmed, mille põhjal amet koostab teenuseosutajate nimekirja. RIA ajakohastab nimekirja iga kahe aasta järel ja teatab Euroopa Komisjonile, mitu üksust igas sektoris on (§ 3¹ lg 2 ja 5). Nimekirja teave on asutusesiseseks kasutamiseks (§ 3¹ lg 3), seega ei avaldata seda.
Teavitus ei ole luba ega sertifikaat. Kohustused kehtivad Teile seaduse alusel, olenemata sellest, kas olete teavituse esitanud. Kui teavitus puudub, ei tea RIA Teist ega saa Teile näiteks ohuteateid saata.
Milliseid andmeid on vaja
§ 3¹ lg 1 järgi esitab teenuseosutaja vähemalt:
- nime ja registrikoodi;
- tegevuskoha aadressi ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid;
- asjakohasel juhul NIS2 direktiivi I või II lisa sektori ja allsektori;
- asjakohasel juhul riigid, kus osutate direktiivi kohaldamisalasse kuuluvaid teenuseid.
Digitaalse teenuse osutajad, näiteks pilve-, andmekeskus- ja haldusteenuste osutajad, internetipõhised kauplemiskohad, otsingumootorid ja sotsiaalmeediaplatvormid, esitavad § 4 lg 1 järgi lisaks peamise tegevuskoha ja teiste ELi tegevuskohtade aadressid, vajaduse korral esindaja andmed ning liikmesriigid, kus teenust osutatakse.
Digitaalse teenuse osutaja peamine tegevuskoht on Eestis, kui turvameetmeid käsitlevad otsused tehakse valdavalt Eestis (§ 4 lg 2). Kui seda ei saa kindlaks teha, otsustab koht, kus toimub küberturvalisuse tagamise tegevus, ja viimasena ELi suurima töötajate arvuga tegevuskoht (§ 4 lg 3 ja 4). Kui esindaja asub Eestis, kohaldatakse KüTS-i igal juhul (§ 4 lg 5).
Kuidas teavitus esitada
Sisse logida
Avage riigiportaal eesti.ee, valige ettevõtja vaade ja teenus „Küberturvalisus“.
Õige isik
RIA juhiste järgi saab teavituse esitada teenuseosutaja juhatuse liige. Leppige varakult kokku, kes seda teeb.
Andmed sisestada
Täitke vorm „Teenuseosutaja teavitus (KÜTS § 3¹ lg 1)“: registrikood, aadress, kontaktid, IP-vahemikud, sektor.
Tõendid alles hoida
Portaal näitab viimati esitatud teavitust. Salvestage koopia oma dokumentatsiooni.
Teavitusest eraldi saadetakse RIA-le ISO/IEC 27001 sertifikaat, kui kasutate E-ITS-i asemel seda standardit, ja E-ITS-i auditi järeldusotsus 30 päeva jooksul selle saamisest (Vabariigi Valitsuse määruse nr 121 § 3 lg 2 ja § 4 lg 2). Juhised on RIA lehel.
Tähtajad
| Olukord | Tähtaeg | Alus |
|---|---|---|
| Ettevõte vastas tunnustele juba enne 1.1.2026 | kolm kuud alates 1.1.2026, st 2026. aasta märtsi lõpp (möödas) | KüTS § 28¹ lg 1 |
| Ettevõte hakkab tunnustele vastama hiljem | kolm kuud tunnustele vastavuse tekkimisest | KüTS § 4¹ lg 1 |
| Digitaalse teenuse osutaja andmed § 4 lg 1 järgi | kolm kuud tunnustele vastavuse tekkimisest | KüTS § 4¹ lg 2 |
| Muudatus § 3¹ lg 1 andmetes | viivitamata, hiljemalt kahe nädala jooksul | KüTS § 3¹ lg 4 |
| Muudatus digitaalse teenuse osutaja andmetes | viivitamata, hiljemalt kolme kuu jooksul | KüTS § 4 lg 6 |
Tunnustele vastavus võib tekkida näiteks siis, kui ettevõte ületab majandusaasta lõpus suuruse piirmäära, alustab uut tegevust või ühineb teise ettevõttega. Hoidke silm peal oma töötajate arvul ja finantsnäitajatel, eriti kui olete piiri lähedal.
Kui tähtaeg on juba möödas
Kui Teie ettevõte vastas tunnustele juba 2026. aasta alguses ja teavitus on esitamata, esitage see kohe. Teavitamiskohustuse rikkumine ei kuulu KüTS § 18² ja § 18³ trahvikoosseisude hulka, kuid RIA saab järelevalvemenetluses teha ettekirjutuse ja määrata selle täitmata jätmisel sunniraha kuni 70 000 eurot korraga (§ 17¹). Lisaks näitab puuduv teavitus, et ka muud kohustused võivad olla täitmata.
Tehke teavitusest osa oma vastavuse tööst: kes vastutab andmete ajakohasuse eest, kus on IP-vahemike nimekiri ja kuidas muudatus kahe nädala jooksul RIA-sse jõuab. Esialgse ülevaate saate NIS2-Scoringuga.
Korduma kippuvad küsimused
Kas kontserni iga ettevõte esitab eraldi teavituse?
Teavitus esitatakse registrikoodi põhiselt, seega esitab iga kohustatud juriidiline isik oma teavituse. Kas konkreetne kontserni ettevõte on kohustatud, sõltub tema enda tegevusest ja suurusest (KüTS § 3).
Kas teavituse võib esitada IT-juht?
RIA juhiste järgi esitab teavituse eesti.ee-s teenuseosutaja juhatuse liige. Andmed võib ette valmistada IT-juht või infoturbejuht.
Kas teavituse esitamine maksab midagi?
Seadus ei näe teavituse eest tasu ette. Teenus on eesti.ee-s.
Mis juhtub, kui me ei esita teavitust?
Kohustused kehtivad edasi. RIA võib teha ettekirjutuse ja määrata selle täitmata jätmisel sunniraha kuni 70 000 eurot (KüTS § 17¹).