Lühivastus
Eestis ei anna IT-süsteemi pilve, sideettevõtjale või haldusteenuse osutajale üleandmine vastutust ära. alla kuuluv ülioluline või oluline üksus peab ise hindama riske, rakendama proportsionaalseid tehnilisi, tegevuslikke ja korralduslikke meetmeid ning tagama tarnijate turbe. Vähemalt üks juhatuse liige kiidab meetmed heaks, jälgib neid ja vastutab; juht peab korrapäraselt koolituma.
Olulise mõjuga või mõistlikult selliseks kujuneda võivast küberintsidendist teatatakse Riigi Infosüsteemi Ametile (RIA) viivitamata, hiljemalt 24 tunni jooksul teadasaamisest. Täpsustatud intsidenditeade järgneb üldjuhul 72 tunni jooksul ja lõppraport kuu jooksul. Usaldusteenuse osutaja esitab täpsustatud teate 24 tunni jooksul. Isikuandmete rikkumine võib samal ajal vajada eraldi teadet Andmekaitse Inspektsioonile 72 tunni jooksul; üks teade ei asenda teist.
Sideettevõtja täidab küberkohustusi nüüd peamiselt küberturvalisuse seaduse kaudu, kuid elektroonilise side seadus lisab side konfidentsiaalsuse, võrgu turvalisuse, riigi julgeoleku, klienditeavituse ja hädaohuteate kohustused. Kvalifitseeritud usaldusteenuse osutaja peab eIDAS-e ja Eesti seaduse järgi kontrollima isikusamasust, säilitama logisid ja hoidma teenuse lõpetamise plaani. Elutähtsa teenuse osutaja koostab lisaks füüsilisi, personali-, tarne- ja küberriske ühendava toimepidevuse riskianalüüsi ning plaani. Seega võib üks ettevõte vastata paralleelselt RIA-le, valdkonna toimepidevust korraldavale asutusele, AKI-le ja sektorijärelevalvajale.
Kõigepealt määrake õige roll
Alates 1. jaanuarist 2026 rakendab Eesti mudelit. Küberturvalisuse seadus hõlmab ühiskonna toimimise seisukohast üliolulisi ja olulisi üksusi ning domeeninimede registreerimise teenuse osutajaid. Klassifikatsioon sõltub tegevusalast, suurusest ja erireeglitest, mitte sellest, kas ettevõte nimetab ennast tehnoloogiaettevõtteks.
Reguleeritud valdkondadesse võivad kuuluda energia, transport, pangandus ja finantsturutaristu, tervishoid, joogivesi ja reovesi, digitaristu, avalik haldus, kosmos, posti- ja kullerteenus, jäätmed, kemikaalid, toit, teatud tootmine, digiteenused ja teadus. Mõne teenuse, näiteks kvalifitseeritud usaldusteenuse, tippdomeeni registri või DNS-i puhul võivad erinormid rakenduda suurusest sõltumata. Üksuse staatus tuleb dokumenteerida ja nõutavad kontaktandmed RIA-le esitada.
Kui sama küberrisk on samaväärselt reguleeritud vahetult kohaldatava EL-i sektoriaktiga või muu seadusega, kohaldatakse erireeglit. Näiteks finantsüksuse puhul võib digitaalse tegevuskerksuse määrus (DORA) muuta aruandluskanalit ja üksikasju. Erandit ei tohi eeldada ainult seepärast, et ettevõttel on teine litsents; võrrelda tuleb konkreetse kohustuse samaväärsust.
Juhtkond vastutab ja tarnija ei võta vastutust üle
Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab turvameetmed heaks, jälgib rakendamist ja vastutab. Kui määramist ei tehta, langeb kohustus kõigile juhatuse liikmetele. Vastutav juht peab korrapäraselt õppima nii palju, et mõista riske, nende mõju teenustele ja juhtimisviise. See muudab küberturbe juhtimis-, mitte ainult IT-osakonna küsimuseks.
Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid.
—
Meetmed algavad süsteemi riskianalüüsist ja hõlmavad vähemalt intsidendi käsitlemist, toimepidevust ja kriisijuhtimist, varundust ja taastamist, tarneahela turvet, turvalist hankimist/arendust/hooldust, haavatavuste käsitlemist, meetmete tõhususe hindamist, põhilist küberhügieeni ja koolitust, krüptograafiat, personali- ja ligipääsuturvet ning mitmeastmelist või pidevat autentimist, kus asjakohane. Rakendusmäärus täpsustab juhtimist ja Eesti infoturbestandardi kasutamist.
Pilve- või haldusteenuse leping peab tagama varade ja sõltuvuste ülevaate, turvanõuded, auditi ja logide kättesaadavuse, allhankijate kontrolli, 24-tunnisest seadusetähtajast kiirema sisemise teatamise, taastamise, tõendite säilitamise ning lahkumise. Seadus ütleb selgelt, et süsteemi teisele isikule hallata või majutada andnud teenuseosutaja vastutab endiselt meetmete rakendamise eest.
Küberintsidendi teatamise kell
Teatamiskohustus käivitub, kui intsidendil on oluline mõju süsteemi turvalisusele või teenuse toimepidevusele või sellist mõju võib mõistlikult eeldada. Mõju võib olla oluline riskianalüüsi raskusastme, maksimaalse lubatud katkestusaja ületamise, teise reguleeritud teenuse häirimise, taastamismeetmete või piiriülese mõju tõttu.
Teenuseosutaja esitab Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist küberintsidendist.
—
Praktiline ajajoon on järgmine:
- kohe alustada ohjamist, tõendite säilitamist ja mõju hindamist;
- 24 tunni jooksul esmane teade RIA-le;
- 72 tunni jooksul täpsustatud intsidenditeade, kuid usaldusteenuse osutajal 24 tunni jooksul;
- RIA nõudmisel vahearuanne;
- ühe kuu jooksul intsidenditeatest lõppraport; kui juhtum jätkub, esitada vahearuanne ja uus lõppraport kuu jooksul lahendamisest.
Esimene teade ei pea lahendama juurpõhjust. See peab andma piisava varase pildi, sealhulgas kas kuritegelikku või piiriülest mõju kahtlustatakse. Hilisem teade ajakohastab raskust, kompromiteerumise näitajaid ja võetud meetmeid. Teenuse saajat, keda oluline intsident tõenäoliselt kahjustab, tuleb mõistliku aja jooksul teavitada koos tema enda kaitsemeetmetega. RIA võib avaliku huvi korral pärast konsulteerimist intsidendi avalikustada või nõuda ettevõttelt avalikustamist.
Tarnija peab teatama tellijale nii kiiresti, et tellija saab oma tähtaja täita; seaduse välispiir tarnijale on asjakohasel juhul 24 tundi teadasaamisest. Lepinguline „teatame pärast uurimist“ tingimus on seetõttu ohtlik.
Millal tuleb teha mitu teadet?
Küberintsident kirjeldab võrgu- ja infosüsteemi turvalisuse sündmust. Isikuandmetega seotud rikkumine kirjeldab isikuandmete konfidentsiaalsuse, tervikluse või käideldavuse rikkumist. Need ringid kattuvad, kuid ei ole samad. Teenusetõkestusrünne võib vajada RIA teadet ilma isikuandmete lekketa; valesse e-posti saadetud terviseandmed võivad vajada AKI teadet ilma NIS2 olulise mõjuta.
Kui mõlemad testid täituvad, tuleb teha mõlemad teated: RIA-le küberturvalisuse seaduse ajakava järgi ja AKI-le GDPR artikli 33 järgi võimaluse korral 72 tunni jooksul, kui risk inimestele ei ole ebatõenäoline. Elutähtsa teenuse katkestus võib lisaks vajada teadet valdkonna toimepidevust korraldavale asutusele. Kuriteokahtluse korral kaasatakse politsei, kuid see ei peata regulatiivseid kellasid.
Ühtne intsidendiplaan peaks sisaldama otsustusmaatriksit, mitte üht e-posti aadressi. Kirjeldused võivad kasutada sama faktilist ajajoont, kuid salastatus, isikuandmed ja eri asutuste nõutavad väljad tuleb eraldi kontrollida.
Elektroonilise side ettevõtja
(ESS) varasem § 87² sidevõrkude turvalisuse ja tervikluse kohta tunnistati 1. jaanuaril 2026 kehtetuks, sest NIS2-põhine üldkord liikus küberturvalisuse seadusse. Vana § 87² menetlust ei tohiks praeguse intsidendi puhul kopeerida.
Sideettevõtjale jäävad siiski ESS erikohustused. Ta peab kaitsma võrku ja sideandmeid loata juurdepääsu eest, teatama kliendile konkreetsest ohust ning võimalikest abinõudest, hoidma sidesaladust ja täitma õiguspärase juurdepääsu reegleid. Võrgus kasutatav riist- või tarkvara ei tohi ohustada riigi julgeolekut; kõrge riskiga tehnoloogia kasutamine võib vajada eraldi kooskõlastust või keeldu. RIA päringu korral tuleb seaduses nimetatud piiratud seansiandmeid anda intsidendi põhjustanud või ohustatud seadme tuvastamiseks.
Sideettevõtja on ka kriisiteavituse kandja. järgi võib teda kohustada edastama muutmata ja tasuta ohuteateid ning vähemalt 10 000 lõppkasutajaga teenus peab seaduses ettenähtud ajal liituma EE-ALARM-i süsteemiga. Sidelepingus tuleb kirjeldada tervikluse ja intsidendi vältimise meetmeid ning kliendi õiguskaitset ebapiisava reageerimise korral.
Järelevalve jaguneb: RIA juhib küberintsidente ja küberturvalisuse seaduse järelevalvet; Tarbijakaitse ja Tehnilise Järelevalve Amet täidab ESS-i side- ja turureeglite ülesandeid; AKI kontrollib isikuandmeid ning sidesaladusega seotud andmekaitset. Sama sündmus võib seetõttu tuua koordineeritud päringud.
E-identimine ja usaldusteenused
täiendab . RIA peab Eesti usaldusnimekirja, täidab e-identimise teavitamise ülesandeid ning teeb riiklikku ja haldusjärelevalvet.
Kvalifitseeritud usaldusteenuse osutaja vajab kvalifitseeritud staatust ja korrapärast vastavushindamist. Ta peab omama nõutud vastutuskindlustust või tagatist, kontrollima enne kvalifitseeritud sertifikaati isikusamasust ja juriidilise isiku esindusõigust, keelduma kahtlase dokumendi või andmete korral, säilitama toimingulogi kümme aastat ning isikusamasuse tõendi kümme aastat sertifikaadi lõppemisest. Privaatvõtmete, varukoopiate, klientide ja tõendite jaoks peab olema ajakohane teenuse lõpetamise plaan.
Kvalifitseeritud usaldusteenuse osutaja dokumenteerib usaldusteenuse osutamisel tehtud toimingud ning säilitab sellekohast tegevuslogi kümme aastat kirje loomisest arvates.
—
Eesti seaduse endine eraldi turvaintsidendi paragrahv tunnistati 2026. aastal kehtetuks. See ei kaotanud teavitamist: usaldusteenuse osutaja läks küberturvalisuse seaduse süsteemi ja tema täpsustatud intsidenditeate tähtaeg on 24 tundi. Kvalifitseeritud staatuse, sertifikaadi peatamise või võtme kompromiteerumise korral tuleb lisaks rakendada eIDAS-e erimeetmeid ja usaldusnimekirja protsessi.
Elutähtsa teenuse toimepidevus
Küberriskijuhtimine kaitseb süsteemi; elutähtsa teenuse toimepidevus kaitseb teenuse tegelikku jätkumist. Hädaolukorra seaduse alusel määratud elutähtsa teenuse osutaja koostab toimepidevuse riskianalüüsi ja plaani, rakendab katkestust ennetavaid meetmeid, vähendab sõltuvust partneritest, tarnijatest ja infosüsteemidest, varub vajalikku ning korraldab õppusi.
Elutähtsa teenuse toimepidevuse plaanis kirjeldatakse meetmeid, mida rakendatakse elutähtsa teenuse katkestuse korral teenuse taastamiseks ja katkestuse tagajärgede leevendamiseks.
—
Valdkonna toimepidevust korraldav asutus nõustab ja teeb järelevalvet ning kinnitab analüüsi ja plaani. Ta võib jätta need kinnitamata, kui kirjeldus on puudulik, ei vasta tegelikkusele või ei taga piisavat toimepidevust. Plaan peab ühendama elektri, side, ruumid, inimesed, võtmetarnijad, varud, alternatiivsed lahendused ja kübertaaste. Ainult ISO-sertifikaat või IT-varundus ei täida seda laiemat ülesannet.
Praktiline vastutusmaatriks
Organisatsioon peaks pidama ühte kaarti, kus iga teenuse kohta on kirjas:
- õiguslik staatus: ülioluline, oluline, elutähtis, sideettevõtja, usaldusteenuse osutaja või muu;
- vastutav juhatuse liige, süsteemiomanik, intsidendijuht ja 24/7 kontakt;
- RIA, AKI, sektoriasutuse, politsei ja klientide teatamiskriteeriumid ning tähtajad;
- tarnijate sisemise eskalatsiooni tähtajad ja tõendite kättesaadavus;
- maksimaalne lubatud katkestus, taastamiseesmärgid ja käsitsi alternatiiv;
- e-identimise võtmete, sertifikaatide, logide ja lõpetamise toimingud;
- harjutuste, auditite, riskianalüüside ja juhatuse otsuste kuupäevad.
Esimese 24 tunni plaan peab olema harjutatud. Kui vastutus, RIA vorm, logide säilitamine või avaliku teate heakskiit otsustatakse alles ründe ajal, on seadusetähtaja ja teenuse taastamise samaaegne täitmine ebatõenäoline.
Kokkuvõte
Eesti mudel paneb põhivastutuse teenust osutavale avalikule või eraüksusele ja selle juhtkonnale. RIA on keskne küberasutus ja intsidendite vastuvõtja; tarnija aitab, kuid ei asenda tellija vastutust. Sideettevõtjale lisanduvad side konfidentsiaalsus, riigi julgeolek ja ohuteavitus. Usaldusteenuse osutaja kontrollib identiteeti, võtmeid ja pikaajalisi tõendeid ning kasutab lühemat intsidenditähtaega. Elutähtsa teenuse osutaja peab taastama mitte ainult serveri, vaid kogu teenuse. Õige vastus ei ole valida üks seadus, vaid kaardistada kattuvad rollid ja käivitada iga teavituskell eraldi.
Allikad
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.