Eesti NIS2: muudetud küberturvalisuse seadus kohaldub ligikaudu 6500 üksusele
297 päeva tagasi (Jõustunud)
Märkus kuupäeva kohta: Küberturvalisuse seaduse ja teiste seaduste muutmise seadus (millega võetakse üle NIS2) võeti Riigikogus vastu 10. detsembril 2025, kuulutati Vabariigi Presidendi poolt välja 18. detsembril 2025, avaldati Riigi Teatajas 30. detsembril 2025 ja jõustus 1. jaanuaril 2026, laiendades kohaldamisala ligikaudu 3000-lt umbes 6500 reguleeritud üksuseni.
Saadame e-kirja, kui see kuupäev nihkub, lükatakse edasi või muutub selle staatus — ei midagi muud. Tasuta ja sõltumata teie ettevõtte profiilist.
Üks reegel, üks aadress. Loobumine ühe klõpsuga igast kirjast.
Mis muutub
NIS2 üle võttev muudetud Eesti küberturvalisuse seadus jõustus 1. jaanuaril 2026 ja kahekordistas ligikaudu reguleeritud organisatsioonide arvu umbes 6500-ni. Kohaldamisalasse kuuluvad üksused peavad registreeruma Riigi Infosüsteemi Ametis (RIA), rakendama riskijuhtimismeetmeid ja teatama olulistest intsidentidest 24 tunni (esmane teade), 72 tunni (detailne aruanne) ja 1 kuu (lõplik aruanne) jooksul.
Keda see puudutab
Eesti keskmised ja suured ettevõtted NIS2 sektorites (energeetika, transport, pangandus, tervishoid, vesi, digitaristu ja IKT-teenused, kriitiliste kaupade tootmine, toit, kemikaalid, post, jäätmed, teadus) ning teatud väiksemad RIA määratud teenuseosutajad.
Kontrollige küberturvalisuse seaduses sätestatud sektori ja suuruse kriteeriume ning registreeruge RIA-s 3 kuu jooksul kriteeriumitele vastama hakkamisest (esimene üksuste rühm pidi registreeruma 2026-03-31 tähtajaks; vt ee-nis2-registration-deadline). Rakendage baasturvameetmeid (nt Eesti E-ITS standard või samaväärne), määrake juhtkonna vastutus ja seadke sisse intsidentidest teatamine RIA-le/CERT-EE-le: esmane teade 24 tunni jooksul, detailne aruanne 72 tunni jooksul, lõplik aruanne 1 kuu jooksul.
Karistus
Elutähtsad üksused kuni 10 mln € või 2% käibest; olulised üksused kuni 7 mln € või 1,4%
Üksused, kes juba vastasid elutähtsa/olulise üksuse kriteeriumitele, kui muudetud Küberturvalisuse seadus 2026. aasta 1. jaanuaril jõustus, pidid esitama registreerimisandmed (nimi, registrikood, aadress, kontaktandmed, IP-aadresside vahemikud, sektor) RIA-le 3 kuu jooksul, st hiljemalt 2026-03-31 (RIA enda teade juhtis tähelepanu automaatse teavitustööriista probleemidele selle tähtaja lähedal). Üksused, kes hakkavad kohaldamisalasse kuuluma hiljem, peavad endiselt end RIA-s registreerima 3 kuu jooksul kriteeriumitele vastama hakkamisest — see on püsiv reegel, mitte ühekordne tähtaeg.
Keskmise suurusega ja suured ettevõtted NIS2 sektorites, kes kuuluvad või hakkavad kuuluma Eesti küberturvalisuse seaduse kohaldamisalasse, samuti väiksemad üksused, kelle RIA on määranud elutähtsaks või ainsaks teenusepakkujaks.
Uuesti kontrollitud 2026-09-09: nksc.lt ja kam.lt alamlehed jäävad selle sessiooni jooksul endiselt kinni/blokeerituks (Cloudflare tüüpi kontroll), kuid Google vahemällu salvestatud väljavõte Kaitseministeeriumi kam.lt KKK-st kinnitab: „Kibernetinio saugumo subjektas nuo patekimo į Kibernetinio saugumo subjektų registrą momento kibernetinio saugumo reikalavimus turi įgyvendinti per 12 mėn., o [techniniams reikalavimams] – 24 mėn.“ — st 12/24-kuulised tähtajad algavad iga üksuse enda registreerimiskuupäevast küberturvalisuse subjektide registris, mitte seaduse jõustumiskuupäevast 2024-10-18. Seda kinnitavad ka sõltumatud teisesed allikad (PwC Leedu, ECOVIS ProventusLaw), kes viitavad samadele numbritele. Ülal näidatud kuupäev on ainult illustratiivne asendaja — kontrollige oma konkreetset registreerimiskuupäeva ja tähtaega otse NKSC-st.
Keskmise suurusega ja suured üksused (samuti mõned väiksemad üksused, mille NKSC määrab kriitiliseks või ainsaks teenusepakkujaks) NIS2 sektorites: energeetika, transport, pangandus/finants, tervishoid, digitaalne infrastruktuur/tarkvara, tootmine, põllumajandus-toit, avalik haldus jt.
Täpsustatud: nii küberturvalisuse juhi teavitus kui ka ESIMENE enesehindamise aruanne tuli esitada 2025-10-01 (kinnitatud lehel cyber.gov.lv). Kordamise sagedus EI OLE ühtselt aastane: MK noteikumi nr 397 'Minimālās kiberdrošības prasības' kohaselt (jõus alates 2025-07-02, avaldatud väljaandes Latvijas Vēstnesis 2025/123.1, punkt 8.3), peavad enesehindamise aruannet vähemalt kord aastas uuesti esitama ainult kriitilise IKT-taristu omanikud/operaatorid (järgmine tähtaeg ~2026-10-01); teised elutähtsad/olulised teenuseosutajad peavad seda tegema vähemalt iga 3 aasta järel (järgmine tähtaeg ~2028). Iga üksuse täpse tähtaja ja vormi määrab Ministrite kabineti määrus, mitte seadus ise (Nacionālās kiberdrošības likums, artikkel 43).
Lätis registreeritud keskmised ja suured ettevõtted NIS2 sektorites (energeetika, transport, pangandus, tervishoid, vesi, digitaristu, IKT-teenused, kriitiliste kaupade tootmine, toit, kemikaalid, post, jäätmed, teadus) ning väiksemad firmad, kes on määratud kriitilise IKT-taristu üksusteks või on teenuse ainus osutaja.