Alates 1. jaanuarist 2026 kehtib Eestis uus küberturvalisuse seadus (KüTS), millega võeti üle Euroopa Liidu NIS2 direktiiv. RIA andmetel puudutab see ligi 6500 Eesti ettevõtet — paljud neist ei tea veel, et seadus neile kohaldub.

Lisaks KüTS-ile on muudetud ka hädaolukorra seadust (HOS), millega rakendati CER-direktiivi nõuded. Kui KüTS keskendub info- ja küberturvalisusele, siis HOS/CER suunab elutähtsa teenuse osutajaid tagama laiemat toimepidevust — sh füüsilist turvalisust, tarneahelaid, personali kättesaadavust ja kriisijuhtimist.

Oluline: kui ettevõttele kohalduvad nii KüTS kui HOS/CER nõuded, tasub neid planeerida koos, mitte kahe eraldi projektina.

Lühidalt: mida ettevõtte juht peab teadma?

  • KüTS jõustus 1. jaanuaril 2026.
  • Seadus puudutab hinnanguliselt ligi 6500 Eesti ettevõtet.
  • Teenuseosutaja peab ennast registreerima 3 kuu jooksul.
  • Juhatus vastutab turvameetmete heakskiitmise ja järelevalve eest.
  • Olulisest küberintsidendist tuleb RIA-d teavitada 24 tunni jooksul.
  • KüTS ei ole ainult IT-osakonna teema — see on juhtimise, riskide ja toimepidevuse küsimus.

Mis ohud 2026. aastal reaalselt ähvardavad?

RIA kriitilise infrastruktuuri küberkaitse osakond on toonud välja mitu trendi, millega ettevõtted peavad arvestama.

  • Ummistusrünnete ehk DDoS-rünnete arv kasvab — mahud ja intensiivsus on kasvanud, eriti avaliku sektori, pankade ja transpordiettevõtete suunal.
  • Deepfake’id muutuvad ohtlikumaks — tehisintellekti abil loodud võltsvideo või -hääl võib aidata petturitel ettevõtte töötajaid eksitada. Rahvusvaheliselt on teada juhtum, kus sellise pettuse tulemusel kanti kurjategijatele ligi 20 miljonit eurot.
  • Ärikirjade pettused ehk Business Email Compromise (BEC) — kurjategijad saavad ligipääsu e-postkastile, loevad kirjavahetust ja saadavad partneritele või raamatupidamisele võltsitud maksejuhiseid.
  • Paroolilekked — lekkida võivad kasutajate nimed, e-posti aadressid ja paroolid. Kui sama parooli kasutatakse mitmes kohas, muutub üks väike leke kiiresti suureks probleemiks.
  • Riiklikud ründajad — Venemaa, Hiina, Iraan ja Põhja-Korea on riigid, kelle tegevust seostatakse aktiivselt küberrünnete ja luuretegevusega.

Kontrolli, kas sinu andmed on lekkinud: haveibeenpwned.com

Keda KüTS kohustab?

KüTS ei kohaldu automaatselt kõigile ettevõtetele. Oluline on vaadata nii ettevõtte suurust, tegevusala kui ka seda, kas ettevõte osutab seaduses nimetatud teenust.

KüTS § 3 kohaselt on teenuseosutajaks muu hulgas ettevõtja, kes:

  • tegutseb seaduses nimetatud valdkonnas;
  • ei ole ülioluline üksus, kuid kellel on 50 või rohkem töötajat ja kelle aastakäive ületab 10 miljonit eurot;
  • või kelle tegevus on oma olemuselt kriitilise tähtsusega teenuse, tarneahela või ühiskonna toimimise seisukohalt.

Oluline täpsustus: kõik vähemalt 50 töötajaga ettevõtted ei kuulu automaatselt KüTS-i alla. Lisaks töötajate arvule ja käibele peab ettevõte tegutsema seaduses nimetatud tegevusalal.

Kohalduvad sektorid — näited

  • lennundus ja raudtee;
  • elektri- ja kaugkütteettevõtted;
  • sadamad;
  • krediidiasutused;
  • pilveteenuse pakkujad;
  • haiglad ja tervishoiuasutused;
  • postiteenuse osutajad;
  • toidukäitlemisettevõtted;
  • toidu hulgimüügi, tööstusliku tootmise või töötlemisega tegelevad ettevõtted.

Kas KüTS puudutab ka väikeseid ettevõtteid?

Mitte alati.

Kui ettevõttel on näiteks 8 töötajat ja ta pakub tavapärast turundus-, raamatupidamis- või konsultatsiooniteenust, siis suure tõenäosusega KüTS talle otseselt ei kohaldu.

See ei tähenda aga, et küberturvalisust võiks ignoreerida. Enamik tänapäeva ründeid ei vali ohvrit ettevõtte suuruse järgi. Väike ettevõte võib olla kurjategijale lihtsam sihtmärk just seetõttu, et turvameetmed on sageli nõrgemad.

Millised on konkreetsed kohustused?

§ 31 — teavitamiskohustus: 3 kuud

Teenuseosutaja peab ennast registreerima 3 kuu jooksul KüTS-i kohaldamisalasse kuulumisest arvates.

Registreerimine käib kahel viisil:

§ 6¹ — juhatuse liikme vastutus

Organisatsioon peab määrama juhatuse liikme, kes:

  • kiidab heaks turvameetmed;
  • jälgib nende rakendamist;
  • vastutab meetmete rakendamise eest;
  • läbib korrapäraselt koolitusi, et mõista küberturbe riske ja riskijuhtimist.

Märkus: kohustust ei kohaldata ettevõttele, kellel on ainult üks juhatuse liige.

§ 8 — intsidendist teavitamine

Olulisest küberintsidendist tuleb RIA-d teavitada kindla ajakava järgi:

  • 24 tunni jooksul pärast intsidendist teada saamist — esialgne teade RIA-le;
  • 72 tunni jooksul — täpsustav aruanne;
  • 1 kuu jooksul — lõpparuanne.

Intsidente saab teavitada siin: report.cert.ee

§ 7 — süsteemi turvameetmed

Ettevõte peab rakendama võrgu- ja infosüsteemide küberturvalisuse nõudeid. Suuremate organisatsioonide puhul sobib aluseks E-ITS või ISO 27001. Väiksemad ettevõtted saavad alustada RIA esmastest turvameetmetest.

KüTS vs HOS/CER — kumb ja kellele?

KüTS / NIS2 HOS / CER
Fookus Infoturve ja küberturve Lai toimepidevus
Hõlmab IT-süsteemid, andmed, intsidendid, küberturbe riskijuhtimine Füüsiline turvalisus, tarneahel, personal, kriisijuhtimine
Sihtgrupp Hinnanguliselt ligi 6500 ettevõtet Elutähtsa teenuse osutajad ja kriitilised üksused
Praktiline küsimus Kas meie infosüsteemid ja andmed on kaitstud? Kas meie teenus toimib ka kriisiolukorras?
Trahvid Ülioluline üksus: kuni 10 miljonit eurot või 2% käibest; oluline üksus: kuni 7 miljonit eurot või 1,4% käibest Haldussanktsioonid ja järelevalvemeetmed

Põhiline küberhügieen — iga ettevõtte kohustus

Ka siis, kui KüTS ettevõttele otseselt ei kohaldu, tasub rakendada elementaarseid küberturbe meetmeid.

  • Tugevad ja unikaalsed paroolid — kasuta pikki paroole või paroolifraase. Hea parool on pigem pikk kui keeruline.
  • Kahefaktoriline autentimine — kasuta ID-kaarti, Mobiil-ID-d, Smart-ID-d või autentimisrakendust.
  • Paroolihaldur — näiteks Bitwarden, KeePass või 1Password.
  • Varukoopiad — tee regulaarselt varukoopiaid ja testi nende taastamist vähemalt kord aastas.
  • Kahtlased manused — kontrolli faile RIA tööriistadega: RIA tööriistad ja teenused.
  • Reeglid makseandmete muutmiseks — töötaja palgakonto, partneri pangakonto või suurem makse ei tohi muutuda ainult e-kirja või SMS-i põhjal.
  • Kübertest — tee töötajatele vähemalt kord aastas küberteadlikkuse test: kybertest.ee.
  • Tarkvarauuendused — jälgi, et operatsioonisüsteemid, serverid, ruuterid ja pilveteenused oleksid ajakohased.

Kuidas alustada vastavusega?

1. Kontrolli, kas ettevõte kuulub KüTS-i kohaldamisalasse
Vaata üle ettevõtte tegevusala, töötajate arv, käive ja roll tarneahelas.

2. Registreeri ettevõte RIA-le
Kui ettevõte kuulub kohaldamisalasse, tuleb teavitus teha 3 kuu jooksul. Seda saab teha eesti.ee portaalis või kirjutades aadressile kaustik@ria.ee.

3. Määra vastutav juhatuse liige
Küberturve ei ole ainult IT-osakonna ülesanne. Juhatus peab aru saama riskidest, kinnitama meetmed ja jälgima nende rakendamist.

4. Tee lünkanalüüs
Väiksemad ettevõtted saavad alustada RIA esmastest turvameetmetest. Suuremad organisatsioonid võiksid kasutada E-ITS-i või ISO 27001 raamistikku.

5. Seadista intsidentide käsitlemine
Pane kirja, kes tuvastab intsidendi, kes teavitab RIA-d, kes suhtleb juhtkonnaga ja kuidas taastatakse töö.

6. Planeeri KüTS ja HOS koos
Kui ettevõttele kohalduvad mõlemad nõuded, tasub infoturve, toimepidevus, kriisijuhtimine ja tarneahela riskid käsitleda ühe tervikliku juhtimissüsteemina.

Kiire kontrollnimekiri ettevõtte juhile

  • Kas ettevõte kuulub KüTS-i kohaldamisalasse?
  • Kas ettevõte on RIA-le registreeritud?
  • Kas juhatus teab oma vastutust?
  • Kas vastutav juhatuse liige on määratud?
  • Kas intsidentide käsitlemise protsess on olemas?
  • Kas varukoopiaid tehakse ja testitakse?
  • Kas kõigil kasutajatel on kahefaktoriline autentimine?
  • Kas töötajaid koolitatakse regulaarselt?
  • Kas kriitilised teenusepakkujad ja tarneahela riskid on hinnatud?
  • Kas KüTS ja HOS/CER nõuded on koos läbi mõeldud?

Kokkuvõte

KüTS 2026 mõjutab hinnanguliselt ligi 6500 Eesti ettevõtet. Kolme kuu tähtaeg registreerimiseks tähendab, et ettevõtted peaksid juba praegu kontrollima, kas nad kuuluvad seaduse kohaldamisalasse.

KüTS ei ole pelgalt uus regulatsioon. See on võimalus hinnata ettevõtte tegelikku küberturvalisuse taset ja vähendada riske enne, kui need muutuvad kulukaks intsidendiks.

RIA pakub ettevõtetele tasuta turvatestimisi, koolitusi, infopäevi, Kübertesti ja intsidentide käsitlemise abi. Neid võimalusi tasub kasutada.

Intsidendi korral: cert@cert.ee või report.cert.ee

Vajad abi KüTS-i või NIS2 nõuete täitmisel? itjuhtimine.ee aitab hinnata ettevõtte vastavust, viia läbi infoturbeauditi ning koostada praktilise tegevuskava, et vastata nii KüTS-i kui ka HOS/CER nõuetele.

Tutvu teenustega →