Küberturvalisuse seadus (KüTS) 2026: keda see puudutab ja mida tegelikult nõuab

Kui sinu ettevõte sattus 2026. aasta alguses esimest korda küberturvalisuse seaduse kohaldamisalasse, on tõenäoline, et esimene aasta kulus kaardistamisele: kas me üldse kuulume, kes vastutab ja mida meilt oodatakse. Selle artikli eesmärk on need küsimused ühte kohta koondada – ilma juriidilise kõnepruugita ja ilma väljamõeldud tähtaegadeta.

Kirjutame seda ühest kindlast vaatenurgast. Me ei ole advokaadibüroo ega audiitor. Me oleme need, kes tulevad kohale siis, kui on vaja tõendada, et turvameetmed päriselt toimivad – ja just see osa jääb seaduse tekstis kõige abstraktsemaks.

Mis täpselt muutus 1. jaanuaril 2026

Euroopa Liidu küberturvalisuse 2. direktiiv ehk NIS2 ei kehti liikmesriigis otse. Direktiiv tuleb üle võtta siseriiklikku õigusesse, ja Eestis tehti seda küberturvalisuse seaduse ja teiste seaduste muutmise seadusega. Riigikogu võttis selle vastu 2025. aasta detsembris ja seadus jõustus 1. jaanuaril 2026.

Praktiline tagajärg on see, et sind ei seo NIS2 tekst, vaid KüTS. Kui loed direktiivi artikleid ja üritad neid otse oma olukorrale kohaldada, vaatad valet dokumenti – kohustused, künnised ja järelevalveasutus tulevad Eesti seadusest.

Kõige nähtavam muudatus on kohaldamisala. Kohustatud üksusi oli varem umbes 3000; nüüd on neid ligikaudu 6500. Enamik juurde tulnutest ei ole IT-ettevõtted, vaid energeetika, transpordi, tervishoiu, tootmise ja finantssektori organisatsioonid, kelle jaoks küberturvalisus ei ole senine igapäevatöö.

Ülioluline üksus või oluline üksus

Seadus jagab kohustatud üksused kaheks. Terminid on siin olulised, sest neid aetakse segi: KüTS räägib üliolulisest üksusest ja olulisest üksusest. Need ei ole sama mis „elutähtsa teenuse osutaja“, mis on eraldi mõiste hädaolukorra seaduses – organisatsioon võib olla korraga mõlemad või ainult üks.

	Ülioluline üksus	Oluline üksus
Tüüpiline künnis	Vähemalt 250 töötajat või üle 50 mln € aastakäive.	Alates ligikaudu 50 töötajast ning 10 mln € käibest või bilansimahust.
Järelevalve iseloom	Ennetav – kontrolle võib algatada ilma eelneva kahtluseta rikkumises.	Tagantjärele – järelevalve käivitub tõendite ilmnemisel.
Haldustrahvi ülempiir	Kuni 10 mln € või 2% ülemaailmsest aastakäibest – kumb on suurem.	Kuni 7 mln € või 1,4% ülemaailmsest aastakäibest – kumb on suurem.
Mida see tõendamise jaoks tähendab	Tõendid peavad olema pidevalt valmis – ennetav kontroll ei anna ette hoiatust.	Tõendid peavad olema esitatavad nõudmisel, tüüpiliselt pärast intsidenti või kaebust.

Vahe ei ole vormiline. Ülioluline üksus peab arvestama sellega, et RIA võib tulla ilma põhjuseta – „meil on test plaanis järgmiseks kvartaliks“ ei ole siis vastus. Oluline üksus saab reageerida sündmuse järel, kuid siis on tõendite kogumiseks vähem aega ja rohkem tähelepanu.

Kui sa ei ole kindel, kumba kategooriasse kuulud, on kõige kiirem tee liigitus RIA-ga üle käia. Vale enesemääratlus on kulukas mõlemat pidi: üle klassifitseerimine tähendab kulusid, mida seadus ei nõua, alla klassifitseerimine tähendab järelevalvemenetlust.

Mida RIA ootab

Riigi Infosüsteemi Amet on nii pädev asutus kui ka järelevalveasutus. Praktikas puutud sa RIA-ga kokku kolmes kohas.

Registreerimine. Kohaldamisalasse kuuluvad organisatsioonid pidid end RIA-s registreerima. Enne 2026. aastat tegutsenud organisatsioonide tähtaeg oli 1. aprill 2026. See on möödas – kui sa ei ole registreerunud ja arvad, et võiksid kohaldamisalasse kuuluda, on see esimene asi, mis korda teha, mitte viimane.

Intsidentidest teavitamine. Olulise mõjuga küberintsidendist tuleb teavitada RIA-t. Seda protsessi tasub harjutada enne, kui seda päriselt vaja läheb: teavitamise kell hakkab tiksuma siis, kui sinu meeskond on kõige hõivatum, ja esimene kord ei tohiks olla päris intsidendi ajal.

Turvameetmed ja nende tõendamine. Siin muutub seadus kõige üldisemaks ja siin tekib ka kõige rohkem segadust. Seadus nõuab asjakohaseid ja proportsionaalseid meetmeid ning nende tõhususe hindamist – aga ei kirjuta ette, millise dokumendiga sa selle tõhususe tõendad.

Üleminekuperiood ei ole ooteaeg

Uutele kohustatud üksustele on ette nähtud kolmeaastane üleminekuperiood nõuetega kooskõlla jõudmiseks. Seda loetakse sageli valesti – nii, nagu oleks kolm aastat aega mitte midagi teha.

Praktikas on see periood täpselt see aeg, mille sisse mahub tõendite kogumine. Turvameetme rakendamine on kiire; tõendamine, et see rakendatud meede päriselt ründajat peatab, võtab kauem, sest see nõuab sõltumatut testi, paranduste tegemist ja kordustesti. Kui jätad selle kolmanda aasta lõppu, avastad tüüpiliselt kaks asja korraga: et parandusi on rohkem kui arvasid ja et testijate kalendrid on täis.

Kuidas vastavust tegelikult tõendatakse

Seadus ei kasuta sõna „läbistustest“. See nõuab, et hindaksid oma küberturvalisuse riskijuhtimismeetmete tõhusust. Praktikas on selle jaoks kolm tõendiliiki, ja need ei ole omavahel asendatavad:

• Dokumentatsioon näitab, et meede on olemas ja kirjeldatud. See on vajalik, aga ainult see ei tõenda toimimist.
• Haavatavuste skaneerimine näitab, mis on teadaolevalt katki. Automaatne, odav ja kiire – aga ei ütle, kas leitut saab päriselt ära kasutada.
• Läbistustest ehk penetratsioonitest näitab, kas ründaja jõuab sinu meetmetest läbi. See on ainus neist kolmest, mis vastab küsimusele „kas meie kaitse peab vastu“, ja seetõttu ka kõige tugevam tõend, mida audiitorile või järelevalvele näidata.

Enamik organisatsioone vajab kõiki kolme. Viga, mida me kõige sagedamini näeme, on skaneeringu aruande esitamine kohas, kus oodatakse testi – skanner loetleb võimalikke probleeme ilma kontekstita ja kogenud hindaja tunneb selle ära.

Kui täidad avalikku ülesannet, tuleb ka E-ITS

KüTS ei ole ainus raamistik, millega Eestis arvestada. Avalikku ülesannet täitvatele asutustele on kohustuslik Eesti infoturbestandard (E-ITS), mis jõustus 2023. aastal ja asendas ISKE. Ka seda haldab RIA.

Hea uudis on see, et E-ITS on üles ehitatud kooskõlas standardiga ISO/IEC 27001 ja auditikohustusega teenuseosutaja saab RIA-le esitada kas E-ITSi auditi järeldusotsuse või selle asemel kehtiva ISO/IEC 27001 vastavussertifikaadi – mõlemal juhul 30 päeva jooksul. Kui su organisatsioonil on ISO 27001 juba olemas, ei pea sa tingimata paralleelset auditiprotsessi käivitama.

Tehniline tõend on kõigil kolmel juhul – KüTS, E-ITS, ISO 27001 – sama. Erineb ainult see, millise raamistiku meetmete külge leiud seotakse. Üks korralikult ulatuses seatud test katab kõik kolm, kui aruanne on algusest peale nii üles ehitatud.

Kust alustada, kui oled alles alguses

Kui see kõik on sinu jaoks uus, on mõistlik järjekord selline:

1. Määra liigitus. Ülioluline, oluline või väljaspool kohaldamisala – ja kinnita see RIA-ga, mitte oma parima oletusega.
2. Kontrolli registreerimist. Tähtaeg oli 1. aprill 2026. Kui see on tegemata, tee see enne kõike muud.
3. Kaardista, mis sul juba on. Enamikul organisatsioonidel on rohkem meetmeid, kui dokumenteeritud – ja rohkem lünki, kui arvatud.
4. Testi enne, kui sind testitakse. Sõltumatu läbistustest ütleb, millised meetmed on tegelikult tõhusad. See on odavam kui järelevalvemenetlus ja palju odavam kui intsident.
5. Paranda ja tõesta parandust. Kordustest ja kirjalik kinnitus on see, mis mittevastavuse sulgeb.

Kolmeaastane üleminekuperiood tundub pikk, kuni hakkad seda tagurpidi arvutama. Test, paranduste tegemine ja kordustest on kvartali-, mitte nädalatöö – ja seda kõike kordad sa igal aastal, mitte ühe korra.

See artikkel on üldine ülevaade, mitte õigusnõu. Konkreetse organisatsiooni kohustuste ulatuse kinnitab RIA või sinu õigusnõustaja. Meie aitame selle osaga, mis tuleb pärast: tõendada, et turvameetmed päriselt toimivad.

Seotud Haxorise teenused: läbistustestimine NIS2 nõuete täitmiseks · E-ITS testimine