05.03.2026 nr 7
MINISTRI MÄÄRUS
Küberintsidendist teavitamisel esitatavad
andmed ja teavitamise kord1
Määrus kehtestatakse küberturvalisuse seaduse § 8 lõike 8 alusel.
§ 1. Teavitamisel esitatavad andmed ja teavitamise kord
(1) Esmases teates esitatakse järgmine teave, kui see on teate esitamise hetkel teada:
1) teave olulise mõjuga küberintsidendi sisu ja põhjuse kohta, sealhulgas asjakohasel juhul teave
turvarikkemärgi kohta koos selgitusega, kas olulise mõjuga küberintsidendi eeldatavaks põhjuseks on
ebaseaduslik või pahatahtlik tegevus;
2) hinnang olulise mõjuga küberintsidendile, sealhulgas selle raskusastmele ja mõjule;
3) teave olulise mõjuga küberintsidendi piiriülese mõju kohta;
4) teave olulise mõjuga küberintsidendi lahendamiseks ettevõetavate tegevuste kohta;
5) selle kontaktisiku andmed, kellega toimub edasine suhtlus seoses küberintsidendi lahendamisega.
(2) Intsidenditeates esitatakse lõikes 1 nimetatud teave. Intsidenditeatega uuendatakse esmase
teatega esitatud andmeid.
(3) Vahearuandes esitatakse:
1) lõikes 1 nimetatud teave, sealhulgas uuendatakse intsidenditeatega esitatud andmeid;
2) Riigi Infosüsteemi Ameti taotletud lisateave, kui amet on lisateavet küsinud.
(4) Lõppraport sisaldab järgmist teavet:
1) küberintsidendi põhjus;
2) küberintsidendi suhtes rakendatud abinõu;
3) küberintsidendi, sealhulgas selle raskusastme ja mõju üksikasjalik kirjeldus ning asjakohasel juhul
piiriülese mõju kirjeldus.
(5) Kui mingeid andmeid ei ole võimalik esmase teatega, intsidenditeatega või vahearuandega esitada,
lisatakse sellekohane selgitus samasse teatesse või aruandesse.
§ 2. Määrus jõustub 1. aprillil 2026. a.
1 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada
küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja
direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2.
direktiiv) (ELT L 333, 27.12.2022, lk 80–152).
(allkirjastatud digitaalselt)
Liisa-Ly Pakosta
justiits- ja digiminister
(allkirjastatud digitaalselt)
Tiina Uudeberg
kantsler
2
25.02.2026
Justiits- ja digiministri määruse „Küberintsidendist teavitamisel esitatavad
andmed ja teavitamise kord“ eelnõu
SELETUSKIRI
1. Sissejuhatus
1.1. Sisukokkuvõte
Küberturvalisuse 2. direktiiv ehk NIS2-direktiiv võeti suuremas osas üle küberturvalisuse
seaduse ja teiste seaduste muutmise seadusega (küberturvalisuse 2. direktiivi ülevõtmine,
eelnõu 739 SE (edaspidi 739 SE)).1 Selle seletuskirja aluseks oleva eelnõu eesmärk on võtta üle
ainult NIS2-direktiivi artikli 23 lõige 4 osas, mida ei reguleerita küberturvalisuse seadusega ega
muude õigusaktidega. Konkreetsemalt sätestatakse kavandatava määrusega, mis on
küberintsidendist teavitamisel esitatavate teadete sisu (st teave). Nendeks teadeteks on esmane
teade, intsidenditeade, vahearuanne ja lõppraport.
Kuna nii 739 SE kui ka kavandatava määruse eelnõu kohaselt – viimase puhul väga vähesel
määral – halduskoormus kasvab (küberturvalisuse seadust täiendatakse uute subjektidega, kes
peavad täitma seaduses, sh ka määruses ette nähtavaid nõudeid), nähti halduskoormuse
tasakaalustamine ette Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja
infosüsteemide küberturvalisuse nõuded“ muudatustega.2 Nimetatud määruse kohaselt
lihtsustati eelkõige mikro- ja väikeettevõtjate küberturvalisuse tagamise nõudeid, nähes
ettevõtjatele ette vaid esmaste turvameetmete täitmise kohustuse standardi järgimise asemel.
Need muudatused jõustusid 1. oktoobril 2025.
1.2. Eelnõu ettevalmistaja
Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi riikliku küberturvalisuse
talituse küberturvalisuse õigusnõunik Raavo Palu (
[email protected]). Eelnõu on
keeleliselt toimetanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna õigusloome
korralduse talituse toimetaja Inge Mehide (
[email protected]).
1.3. Märkused
Eelnõu on seotud küberturvalisuse seaduse ja teiste seaduste muutmise seaduse
(küberturvalisuse 2. direktiivi ülevõtmine) eelnõuga 739 SE.
Eelnõu kohaselt võetakse üle Euroopa Parlamendi ja nõukogu 14. detsembri 2022. a direktiivi
(EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase
kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning
tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333,
27.12.2022, lk 80–152) (edaspidi ka NIS2-direktiiv), artikkel 23 lõige 4 osas, mida ei reguleerita
küberturvalisuse seaduse ega muude õigusaktidega.
1 Eelnõude infosüsteemi toimikud 24-1266 ja 25-0926. Riigikogus olev eelnõu:
https://www.riigikogu.ee/tegevus/eelnoud/eelnou/4429a2b9-e6e2-41cf-991d-f6955c6c4a69/kuberturvalisuse-
seaduse-ja-teiste-seaduste-muutmise-seadus-kuberturvalisuse-2.-direktiivi-ulevotmine/.
2 https://eelnoud.valitsus.ee/main/mount/docList/7d3ea848-35b2-47d8-8eb8-fa2f735c3da6
1
Eelnõu on seotud 2025.–2027. aasta koalitsioonileppe riigikaitse ja julgeoleku valdkonna
eesmärgiga „tagame Eesti digiühiskonna toimepidevuse nii, et teenused on küberturvaliselt
kättesaadavad igas olukorras“ ning tõhusa asjaajamise valdkonna eesmärgiga „võtame Euroopa
Liidu õiguse üle Eestile sobivaimal moel ja teeme Euroopas ettepanekud sobimatute normide
muutmiseks, sealhulgas ettepanek lükata edasi kestlikkusaruandluse esitamine ja muuta need
vabatahtlikuks“.3 Eelnõu väljatöötamise alus on Vabariigi Valitsuse tegevusprogrammi 2023–
20274 ELi direktiivide valdkonna all olev ülesanne „Eelnõu direktiivi (EL) 2022/2555
ülevõtmiseks (küberturvalisuse 2. direktiiv)“.
Kuna nii 739 SE kui ka kavandatava määruse eelnõu kohaselt – viimase puhul väga vähesel
määral – halduskoormus kasvab (küberturvalisuse seadust täiendatakse uute subjektidega, kes
peavad täitma seaduses, sh ka määruses ette nähtavaid nõudeid), nähti halduskoormuse
tasakaalustamine ette Vabariigi Valitsuse 9. detsembri 2022. a määruse nr 121 „Võrgu- ja
infosüsteemide küberturvalisuse nõuded“ muudatustega.5 Nimetatud määruse kohaselt
lihtsustati eelkõige mikro- ja väikeettevõtjate küberturvalisuse tagamise nõudeid, nähes
ettevõtjatele standardi järgimise asemel ette vaid esmaste turvameetmete täitmise kohustuse.
Need muudatused jõustusid 1. oktoobril 2025.
Küberturvalisuse seaduse § 8 lõige 81 näeb ette järgmist: „Kui Euroopa Komisjoni võtab vastu
Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõikes 11 nimetatud
rakendusakti, milles täpsustatakse küberintsidendi, sealhulgas olulise mõjuga küberintsidendi
kohta esitatava teate või raporti vorm ja selle esitamise kord, lähtutakse nimetatud
rakendusaktis sätestatud nõuetest.“ Euroopa Komisjon on viidatud artikli lõike (teise lõike)
alusel vastu võtnud rakendusmääruse6 (EL) 2024/2690, kuid see rakendusakt sisaldab
volitusnormi aluseks oleva artikliga seoses ainult neid juhtusid, mille korral tuleks intsidenti
pidada oluliseks NIS2-direktiivi artikli 23 lõike 3 tähenduses. Rakendusmäärus (EL)
2024/2690 ei sätesta vastavat vormi ega täpsusta küberintsidendi, sh olulise mõjuga
küberintsidendi kohta teate või raporti esitamise korda (vt selle lõike esimest lõiget). Seega ei
ole veel olemas rakendusakti, mis näeb ette teate või raporti vormi ja selle esitamise korra.
Kui selline rakendusakt tulevikus vastu võetakse, lähtuvad rakendusaktis nimetatud
teenuseosutajad selles rakendusaktis kehtestatud nõuetest. Ülejäänud küberturvalisuse
seaduse kohased teenuseosutajad järgivad siinse eelnõuga kavandatavat määrust. Euroopa
Komisjon on digitaalse koondmääruse ettepanekus7 selgitanud, et eelviidatud komisjoni
rakendusakt (artikli 23 lõike 11 esimene lõige) võetakse vastu, sealhulgas ühtlustatakse selle
ettepaneku käigus ka eri õigusaktide alusel ette nähtud teavituste vorme. See siiski ei tähenda,
et rakendusmäärust (EL) 2024/2690 ja selles olevaid nõudeid ei pea juba praegu järgima need
üksused, kes on selles nimetatud.
2. Eelnõu sisu ja võrdlev analüüs
Eelnõu koosneb kahest paragrahvist.
Paragrahviga 1 määratakse teavitamise sisu ja kord. Tegemist on NIS2-direktiivi artikli 23
lõike 4 ülevõtmisega. Küberturvalisuse seaduse § 8 määrab nii nende teavituste esitamise
3
https://valitsus.ee/valitsuse-eesmargid-ja-tegevused/valitsemise-alused/koalitsioonilepe-2025-2027
4
https://valitsus.ee/sites/default/files/documents/2023-05/VVTP%202023-2027_26.pdf
5 https://eelnoud.valitsus.ee/main/mount/docList/7d3ea848-35b2-47d8-8eb8-fa2f735c3da6
6
https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A32024R2690&qid=1769430711987
7 https://digital-strategy.ec.europa.eu/et/library/digital-omnibus-regulation-proposal
2
ajavälbad kui ka muud üldisemad nõuded, kuid kõnealuses paragrahvis sätestatakse, mis
andmeid esmases teates, intsidenditeates, vahearuandes ja lõppraportis esitatakse.
Lõige 1 näeb ette, et esmases teates esitatakse järgmine teave, kui see on teate esitamise hetkel
teada:
1) teave olulise mõjuga küberintsidendi sisu ja põhjuse kohta, sealhulgas asjakohasel juhul
teave turvarikkemärgi kohta koos selgitusega, kas olulise mõjuga küberintsidendi eeldatavaks
põhjuseks on ebaseaduslik või pahatahtlik tegevus;
2) hinnang olulise mõjuga küberintsidendile, sealhulgas selle raskusastmele ja mõjule;
3) teave olulise mõjuga küberintsidendi piiriülese mõju kohta;
4) teave olulise mõjuga küberintsidendi lahendamiseks ettevõetavate tegevuste kohta;
5) selle kontaktisiku andmed, kellega toimub edasine suhtlus seoses küberintsidendi
lahendamisega.
Esmase teate (NIS2-direktiivis sõnastuses „varajane hoiatus“) sisuga seoses on asjakohased
NIS2-direktiivi põhjenduse 102 laused 5 ja 6: Varajane hoiatus peaks sisaldama üksnes teavet,
mis on vajalik CSIRTi või, kui see on kohaldatav, pädeva asutuse olulisest intsidendist
teavitamiseks ja võimaldama asjaomasel üksusel vajaduse korral abi otsida. Selline varajane
hoiatus, kui see on kohaldatav, peaks näitama, kas on kahtlus, et olulise intsidendi põhjuseks
on ebaseaduslik või pahatahtlik tegevus, ning kas sellel on tõenäoliselt piiriülene mõju.
Termin „küberintsident“ on defineeritud küberturvalisuse seaduse § 2 punktis 19. Olulise
mõjuga küberintsidendi kohta saab lugeda küberturvalisuse seaduse § 8 lõigetest 1 ja 2, sh ka §
8 lõikesse 2 lisanduvast punktist 6, mis omakorda viitab Euroopa Komisjoni asjakohasele
rakendusaktile8 ja selles kirjeldatud olukordadele, millal küberintsident on käsitletav olulise
mõjuga küberintsidendina küberturvalisuse seaduse tähenduses. Turvarikkemärk on
rikkumisele viitav asjaolu (igasugune tunnus, mis viitab rikkumise toimumisele).
739 SE koostamise käigus hinnati korduvalt, mis on NIS2-direktiivi artikli 23 lõike 4 punkti a
minimaalne ülevõetav osa (st mis on esmase teate sisu) ning kuivõrd on direktiiviga ette nähtud
sõnastusliku miinimumiga võimalik täita pädevale asutusele, ennekõike Riigi Infosüsteemi
Ametile seatud ülesannet ja ootust, et asutus saaks anda teavituse esitajale abi ja tagasisidet
selle teabe põhjal, mis on esitatud esmase teatega. Sõnastusliku miinimumiga on siin mõeldud,
et olulise mõjuga küberintsidendi korral tuleb teada anda, kas 1) selle eeldatavaks põhjuseks on
ebaseaduslik või pahatahtlik tegevus ning kas 2) sellel on Eesti riigipiiri ületav mõju.
Lõpptulemusena jõuti järeldusele, et on otstarbekas sõnastada esmase teate sisu nii, nagu on
kõnealuses paragrahvis. Esmase teatega esitatakse see teave, mis on teate esitamise hetkel teada
või olemas, sest praktikas võib esineda ka olukord, et mingi asjaolu ei ole veel teada (nt
intsidendi piiriülene mõju või hinnang olulise mõjuga küberintsidendi tõsiduse ja mõju kohta
vms). Seetõttu on kommenteeritavas lõikes kasutatud sõnastust „kui see on teate esitamise
hetkel teada“. See tekitab tasakaalu nii küberintsidendist teavitamise kohustuse kui ka
küberintsidendi käsitlemise vaatest. See on ka põhjus, miks kommenteeritava lõike sisu hõlmab
elemente, mis on NIS2-direktiivi artikli 23 lõikes 4 ette nähtud nii varajasele hoiatusele (eelnõu
tähenduses „esmane teade“), intsidenditeatele (eelnõus samuti „intsidenditeade“),
vahearuandele (eelnõus samuti „vahearuanne“) kui ka lõpparuandele (eelnõus „lõppraport“).
See võimaldab ka vältida, et tekib kuni neli erinevat vormi, mida tuleb ühe küberintsidendi
puhul täita – selle asemel on võimalik kasutusele võtta üks vorm, mida saab vajaduse korral
täiendada või parandada.
8
Rakendusakt jõustus 7. novembril 2024 ja on kättesaadav https://eur-lex.europa.eu/legal-
content/ET/TXT/?uri=CELEX%3A32024R2690&qid=1730728447038. Lisainfo:
https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14241-Cybersecurity-risk-management-
reporting-obligations-for-digital-infrastructure-providers-and-ICT-service-managers_en ja https://eur-
lex.europa.eu/legal-content/ET/TXT/?uri=PI_COM:Ares(2024)4640447&qid=1728309190768.
3
Lõike 1 punkt 1 on seotud NIS2-direktiivi artikli 23 lõike 4 punkti a (lauseosa märgitakse (kui
see on kohaldatav), kas olulise intsidendi põhjuseks on eeldatavasti ebaseaduslik või
pahatahtlik tegevus), punkti b (lauseosa antakse esialgne hinnang olulisele intsidendile,
sealhulgas .. võimaluse korral ka rikkeindikaatoritele) ning punkti d alapunktide i (intsidendi,
sealhulgas selle tõsiduse ja mõju üksikasjalik kirjeldus) ja ii (ohu liik või lähtepõhjus, mis
intsidendi tõenäoliselt põhjustas) ülevõtmisega. Sõnad „oluline intsident“ on määruse eelnõu
tähenduses „olulise mõjuga küberintsident“. Sõna „intsident“ on eelnõu tähenduses
„küberintsident“. Sõna „rikkeindikaator“ on eelnõu tähenduses „turvarikkemärk“.
Turvarikkemärk on rikkumisele viitav asjaolu ehk igasugune tunnus, mis viitab rikkumise
toimumisele. Sõna „turvarikkemärk“ kasutatakse ka küberturvalisuse seaduses, mistõttu ei ole
võimalik selle sisu eelnõukohases määruses terminina defineerida ning kui seda teha, siis
kasutaks kõrgemaastme õigusakt (seadus) alama astme õigusakti (määruse) definitsiooni, mis
ei ole õigusloomes kohane.
Lõike 1 punkt 2 on seotud NIS2-direktiivi artikli 23 lõike 4 punkti b (lauseosa antakse esialgne
hinnang olulisele intsidendile, sealhulgas selle tõsidusele ja mõjule) ülevõtmisega. Sõna
„tõsidus“ asemel on eelnõus kasutatud sõna „raskusaste“. Raskusaste on seotud võrgu- ja
infosüsteemi turvalisust ja selle toimepidevust mõjutavate ning küberintsidendi tekkimist
põhjustavate riskide loetelu koostamisega, mille käigus määratakse riskide realiseerumise
tagajärgede raskusaste ja kirjeldatakse riskijuhtimismeetmeid. Riskianalüüsi koostamise
kohustus on ette nähtud Vabariigi Valitsuse 9. detsembri 2022. a määruse9 nr 121 „Võrgu- ja
infosüsteemide küberturvalisuse nõuded“ § 5 lõikega 1, selle sisu täpsustatakse Vabariigi
Valitsuse määrusi muutva eelnõuga. Varem oli vastav nõue ette nähtud enne NIS2-direktiivi
vastuvõtmist kehtinud küberturvalisuse seaduses, konkreetsemalt selle § 7 lõike 2 punkti 1 kuni
31.12.2025 kehtinud sõnastuses. Seega pole riskianalüüsi koostamine, sh selle „raskusaste“,
uus tegevus ega käsitlus. Sarnaselt sõnaga „turvarikkemärk“ ei ole ka eelnõukohases määruses
võimalik terminina defineerida sõna „raskusaste“ (vt eelmise punkti selgitust).
Lõike 1 punkt 3 on seotud nii NIS2-direktiivi artikli 23 lõike 4 punkti a (lauseosa milles
märgitakse (kui see on kohaldatav), kas [olulisel intsidendil] .. võib olla piiriülene mõju) kui
ka punkti d alapunkti iv (kui see on kohaldatav, intsidendi piiriülene mõju) ülevõtmisega. Iga
piiriülene intsident ei ole automaatselt piiriülese mõjuga. Piiriülese mõju all mõeldakse, et
küberintsidendi mõju avaldub lisaks Eesti Vabariigi territooriumil oleva(te)le võrgu- ja
infosüsteemi(de)le ka mõne muu riigi võrgu- ja infosüsteemi(de)le. Muu riigi all mõeldakse nii
mõnda teist Euroopa Liidu liikmesriiki kui ka mõnda kolmandat riiki. Seda põhjusel, et näiteks
ulatusliku küberintsidendi10 korral eeldatakse, et taoline intsident on seotud rohkem kui ühe
Euroopa Liidu liikmesriigiga.
Lõike 1 punkt 4 on seotud NIS2-direktiivi artikli 23 lõike 4 punkti d alapunkti iii (juba
kohaldatud ja kohaldamisel olevad leevendusmeetmed) ülevõtmisega. Leevendusmeetmete all
mõeldaksegi ettevõetavaid tegevusi ehk neid meetmeid, mis on kasutusele võetud, sh
asjakohasel juhul ka tulevikus (näiteks kui üksus teeb rakendatud meetme üle mingi aja pärast
ise sisemist kontrolli).
9
https://www.riigiteataja.ee/akt/127092025002
10
Küberturvalisuse seaduse (RT I, 30.12.2025, 15) § 2 punkt 34: ulatuslik küberintsident – küberintsident, mille
põhjustatud häired on niivõrd laialdased, et üks Euroopa Liidu liikmesriik ei suuda nendega toime tulla, või millel
on märkimisväärne mõju vähemalt kahele Euroopa Liidu liikmesriigile.
4
Lõike 1 punkt 5 on ajendatud Riigi Infosüsteemi Ameti tagasisidest eelnõule. Ameti
ettepaneku sisu oli järgmine: „Teeme ettepaneku: .. 2) eelnõu § 1 lg 1 täiendada punktiga: „5)
kontaktisik, kellega toimub edasine suhtlus seoses intsidendiga.“ Ettepaneku eesmärk on tagada
suhtluse operatiivsus. Teavitusi ei tehta alati isiku poolt, kes peaks olema edasine kontaktisik.
Vastava teabe esitamise kohustus tagaks kiirema kontakti intsidendiga tegeleva isikuga.“
Praktikas võib teate esitajaks olla kommenteeritavas punktis mõeldud kontaktisik, kuid kui see
nii ei ole, siis esitatakse ka siinne teave. Kontaktisiku andmete all on mõeldud ennekõike
füüsilise isiku ees- ja perekonnanime, telefoninumbrit ning e-posti aadressi. Need andmed
kantakse küberturvalisuse seaduse § 13 lõike 1 alusel asutatud küberintsidentide registrisse.
Eraldi eelnõuga täiendatakse registri põhimääruse11 § 5 lõiget 2, et viidatud lõige sisaldaks ka
kontaktisiku andmeid.
Lõige 2 on seotud samade NIS2-direktiivi sätete ülevõtmisega, mis on viidatud siinse
paragrahvi lõike 1 asjakohastes punktides, sh on seotud NIS2-direktiivi artikli 23 lõike 4 punkti
b (lauseosa millega, kui see on kohaldatav, ajakohastatakse punktis a osutatud teavet ning
antakse esialgne hinnang olulisele intsidendile, sealhulgas selle tõsidusele ja mõjule ning
võimaluse korral ka rikkeindikaatoritele) ülevõtmisega. Kommenteeritav lõige näeb ette, et kui
tegemist on intsidenditeatega, siis esitatakse lõikes 1 nimetatud teave. Kui esmase teate puhul
esitatakse see teave, mis on esitamise hetkel olemas, siis intsidenditeate puhul esitatakse kogu
teave, mis on lõikes 1 välja toodud. Intsidenditeate esitamisega uuendatakse ka esmases teates
esitatud andmeid ehk intsidenditeate esitamise mõte ei ole esitada uuesti neid andmeid, mis olid
esmase teate esitamise hetkel olemas. Eesmärk on anda intsidenditeate esitamise hetkel olev
ülevaade konkreetsest küberintsidendist ja selle lahendamisest. Kui intsidenditeate puhul ei ole
jätkuvalt mõne asjaolu kohta teavet, mis tuleb esitada (näiteks ei ole veel teada, et tegemist on
piiriülese mõjuga), saab vastavas osas selgitada, et see info puudub või pole sel hetkel
asjakohane (vt ka eelnõu § 1 lõiget 5).
Lõige 3 on seotud samade NIS2-direktiivi sätete ülevõtmisega, mis on viidatud siinse
paragrahvi lõike 1 asjakohastes punktides, sh nii NIS2-direktiivi artikli 23 lõike 4 punkti c
(CSIRTi või, kui see on kohaldatav, pädeva asutuse taotlusel vahearuande vaatlusaluste asjade
seisu kohta) kui ka kaudselt punkti d ülevõtmisega. Nende punktide põhisisu võeti üle 739 SE
kohase seadusega, kuid seaduseelnõuga küberturvalisuse seaduses tehtavad muudatused ei
määra kindlaks, mis on lõpparuande (eelnõus lõppraporti) või vahearuande sisu. Kavandatavas
lõikes määratakse vahearuande sisu kindlaks: tegemist on olemuselt sama teabega, mis on
nimetatud sama paragrahvi lõikes 1. Selle käigus uuendatakse ka intsidenditeatega esitatud
andmeid ehk vahearuande mõte ei ole esitada uuesti neid andmeid, mis olid intsidenditeate
esitamise hetkel olemas. Eesmärk on anda vahearuande esitamise hetkel olev ülevaade
konkreetsest küberintsidendist ja selle lahendamisest.
Vahearuandega tuleb esitada ka see teave, mida Riigi Infosüsteemi Amet küsib vahearuande
esitajalt – seda siis, kui amet soovib mingi asjaolu kohta lisateavet saada. Lisateabe küsimine
toimub ennekõike esmases teates või intsidenditeates esitatud teabe põhjal. Ametil pole
kohustust lisateavet küsida, kuid kui ta seda teeb, peab teavituse tegija küsitud teabe esitama.
Eelnõuga ei saa täpsustada, mitu vahearuannet tuleb esitada, kuna see sõltub konkreetset
intsidendi asjaoludest ja selle lahendamisest. Teatav erisus on siis, kui lõppraportit käsitatakse
vahearuandena (vt küberturvalisuse seaduse § 8 lõike 7 teist lauset), mille puhul on mitme sätte
koosmõju tõttu ette näha, et tuleb esitada vähemalt üks vahearuanne. Ametile kohalduvad ka
haldusmenetluse seaduses ette nähtud nõuded ja põhimõtted (vt nt § 3–6), millest lähtudes peab
amet hindama, kas ja kui tihti ta vahearuannet või selles olevaid lisaandmeid küsib.
11
https://www.riigiteataja.ee/akt/124082023003
5
Lõige 4 on seotud NIS2-direktiivi artikli 23 lõike 4 punkti d ülevõtmisega. Selles punktis on
määratud kindlaks lõpparuande (eelnõus lõppraporti) sisu. Lõppraporti tegemise vajadus on
seotud ennekõike konkreetse teenuseosutaja ülesandega analüüsida ja vajaduse korral
rakendada süsteemiseid muudatusi küberintsidendi kordumise vältimiseks. Vastav nõue on ette
nähtud teiste õigusaktidega – vt Vabariigi Valitsuse 09.12.2022. a määruse nr 121 „Võrgu- ja
infosüsteemide küberturvalisuse nõuded“ § 6 punkti 1 ning ka sama määruse § 51 ja seotud lisa
punkti 1.3. Sarnane nõue on ette nähtud ka Eesti infoturbestandardis, – vt ettevõtlus- ja
infotehnoloogiaministri 16.12.2022. a määruse12 nr 101 „Eesti infoturbestandard“ lisa 1 punkti
10.1 ja selle alapunkte.
Lõike 4 punkt 1 on seotud NIS2-direktiivi artikli 23 lõike 4 punkti d alapunkti ii (ohu liik või
lähtepõhjus, mis intsidendi tõenäoliselt põhjustas) ülevõtmisega. Lõike 4 punkt 2 on seotud
NIS2-direktiivi artikli 23 lõike 4 punkti d alapunkti iii (juba kohaldatud ja kohaldamisel olevad
leevendusmeetmed) ülevõtmisega. Lõike 4 punkt 3 on seotud NIS2-direktiivi artikli 23 lõike 4
punkti d alapunktide i (intsidendi, sealhulgas selle tõsiduse ja mõju üksikasjalik kirjeldus) ja iv
(kui see on kohaldatav, intsidendi piiriülene mõju) ülevõtmisega.
Lõige 5 näeb ette, et kui mingeid andmeid ei ole võimalik esmase teatega, intsidenditeatega või
vahearuandega esitada, lisatakse sellekohane selgitus samasse teatesse või aruandesse.
Eelnõu sai avalikult kooskõlastuselt tagasisidet, et eelnõu ei sisalda kohustust puuduvat infot
põhjendada. Kaitseministeeriumi tagasisides on märgitud järgnev: „Eelnõu § 1 lõige 1 sätestab
küberintsidentidest teavitamisel esmases teates esitatava teabe. Sätte kohaselt tuleb esmases
teates esitada teave võimaluse korral, kuid ei täpsusta .., kas ja kuidas tuleb põhjendada info
puudumist. Seletuskiri selgitab „võimaluse korral“ kasutamist, aga ei sätesta normis endas
kohustust puudumist põhjendada. Info esitamata jätmine peab olema põhjendatud ja ajutine
ning need alused peavad tulema selgelt õigusaktist. Määruses sätestamata jätmine võib anda
kohustatud isikutele väga laia tõlgendusruumi.“ Samuti oli Eesti Perearstide Seltsi tagasisides
märgitud järgnevat: „Hindame ning palume rõhutada paindlikkust esmase teate esitamisel, kuna
selles etapis peaks prioriteet olema teabe esitamise operatiivsus, mitte detailsus ja analüüs. Seda
peaksid arvestama ka vormid ning teabe menetlejad, võttes muuhulgas arvesse NIS2-st
tulenevaid varajase hoiatuse eesmärke. Vormil või juhises võiks olla olemas ka indikatsioon, et
varases etapis on aktsepteeritav vastata “hindamisel / info puudub”. Varases etapis detailse
teabe esitamise nõue vähendaks esmaste teavituste operatiivsust ning ei pruugiks olla
otstarbekas ressursikasutus ajal, mil fookus on intsidendi lahendamisel ja/või teenuse
taastamisel. Palume eelnõu § 1 lg 1 osas seletuskirjas selgemalt välja tuua, et esmase teavituse
etapis ei eeldata informatsiooni detailsust ega juurpõhjuse tasemel analüüsi, vaid piisab
teadaoleva esmase info edastamisest.“
Eeltoodu tõttu nähakse ette kommenteeritav lõige. See tekitab oodatud paindlikkust (ehk kui
mingit teavet pole, siis ei saa seda kohustuslikus korras esitada) ja ka täpsustab teate esitamisel
ette nähtud andmete puudumise põhjendamist (näiteks selgitatakse esmases teates, et
küberintsidendi tuumik ehk põhjus on alles välja selgitamisel, mistõttu selle aspekti kohta ei
ole võimalik tõsikindlat infot veel anda).
Kommenteeritavas lõikes ei ole märgitud lõppraportit, kuna lõppraporti koostamise hetkeks
peaks olema küberintsidendist selgem arusaam ja ülevaade ehk mis juhtus, miks juhtus ja mida
võeti ette, et see tulevikus uuesti ei juhtuks.
Paragrahvis 2 nähakse ette määruse jõustumise aeg, milleks on 1. aprill 2026 (vt seletuskirja
punkti 6).
12
https://www.riigiteataja.ee/akt/128082025012
6
Määrusele lisatakse normitehniline märkus NIS2-direktiivi kohta.
3. Eelnõu vastavus Euroopa Liidu õigusele
Eelnõus järgitakse õigusnormide loomisel NIS2-direktiivi. Eelnõu vastab NIS2-direktiivile
ning kuna direktiiv võeti ennekõike üle 739 SE kohase seadusega, on seaduseelnõu materjalide
juures ka NIS2-direktiivi vastavustabel. Seletuskirja siinses osas tuuakse välja need väljavõtted
NIS2-direktiivi artikli 23 lõike 4 esimesest lõigust, mis on seotud siinse eelnõuga:
1) punkt a = määruse § 1 lg 1 p-d 1 ja 3 ning kaudselt ka lg 5;
2) punkt b = määruse § 1 lg 1 p-d 1–3 ning kaudselt ka lg 2 ja 5;
3) punkt c = määruse § 1 lg 3 ning kaudselt ka lg 1;
4) punkti d alapunkt i = määruse § 1 lg 1 p 1 ja lg 4 p 3;
5) punkti d alapunkt ii = määruse § 1 lg 1 p 1 ja lg 4 p 1;
6) punkti d alapunkt iii = määruse § 1 lg 1 p 4 ja lg 4 p 2;
7) punkti d alapunkt iv = määruse § 1 lg 1 p 3 ja lg 4 p 3;
8) punkt e = määruse § 1 lg 3 ning kaudselt ka lg 1 ja 2.
Iga tehtava muudatuse juures on võrreldud muudetava sätte vastavust Euroopa Liidu õigusele,
vajaduse korral on toodud ka võimalikud sõnastusalternatiivid.
Sätete puhul, mis lahendatakse teisiti, kui on sõnastatud NIS2-direktiiv, kohaldub ka NIS2-
direktiivi artikkel 5, mis näeb ette järgmist: [NIS2-direktiiv] ei takista liikmesriike tarbijate
kaitseks vastu võtmast või kehtima jätmast sätteid, millega tagatakse kõrgem küberturvalisuse
tase, tingimusel et sellised sätted on kooskõlas liikmesriikide kohustustega, mis on sätestatud
liidu õiguses.
4. Määruse mõjud
Eelnõukohane määrus mõjutab neid üksusi, kes esitavad olulise mõjuga küberintsidendi kohta
teateid Riigi Infosüsteemi Ametile. Need üksused on nii avaliku kui ka erasektori taustaga. 739
SE seletuskirjas on hinnatud, kui palju üksusi see muudatus mõjutab. Muudatuse mõju on
seotud asjaoluga, mis teavet edaspidi küberintsidendist teavitamise korral esitatakse.
Määrusega tehtaval muudatusel ei ole neile üksustele olulist mõju, kuna olemasolevad
küberintsidendist teavitamise vormid on juba praegu üldjoontes samad ehk olulise mõjuga
küberintsidendist teavitav üksus ei pea esmase teate, intsidenditeate, vahearuande ega
lõppraporti edastamiseks uut laadi teavet koguma hakkama. Seda enam, et esmase teate puhul
on olemas ka paindlikkus valida, mis laadi andmeid esitada. Määruse muudatusel on
lühiajaliselt suurem mõju neile üksustele, kes pole varem küberintsidendi teavitust teinud (kas
kohustuslikult või vabatahtlikult). Tegemist on lühiajalise mõjuga, kuna küberintsidendi
toimumise korral ei pruugi üksus kohe alguses saada teada ega aru, mis teavet küberintsidendi
kohta tuleb esitada, kuid siin aitabki vastava vormi kasutamine, mis on leitav asjakohaselt
veebilehelt (vt ka järgmist selgitust).
5. Määruse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad
kulud ja tulud
Eelnõuga tulusid ei prognoosita.
Eelnõu määrusena jõustumise korral peab Riigi Infosüsteemi Amet üle vaatama nii enda
võrgulehel kui ka ettenähtud veebikeskkonnas olevad vormid, et need vastaksid määrusega
kindlaks määratud teadete sisule. Kuna julgeolekuasutused ei esita kõnealuseid teateid Riigi
7
Infosüsteemi Ametile (vt küberturvalisuse seaduse § 8 lõike 1 sissejuhatavat lauset ja lõiget 10),
tuleb ka julgeolekuasutustel üle vaadata enda asjakohased vormid, sh on neil võimalik
taaskasutada neid vorme, mille on loonud Riigi Infosüsteemi Amet (tehes vajalikud enda
spetsiifikaga seotud täpsustused). Selle käigus tuleb ka üle vaadata, kas olemasolevad
kättesaadavad juhised või kasutusjuhendid (nt veebikeskkonna kasutusjuhend) on lihtsad,
selged ja piisavalt arusaadavad. Nii Riigi Infosüsteemi Ameti kui ka julgeolekuasutuste
tehtavad toimingud (vormide ja juhiste ülevaatamine) ei tekita märkimisväärset kulu.
6. Määruse jõustumine
Määrus jõustub 1. aprillil 2026. Jõustumisaja puhul on lähtutud kuupäevast, mis võimaldab
eelnõul kooskõlastusringi läbida ning Riigi Infosüsteemi Ametil ja julgeolekuasutustel
asjakohased vormid üle vaadata.
7. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon
7.1. Enne eelnõu koostamist toimusid kaasamised seoses NIS2-direktiivi ülevõtmisega. Nende
käigus sai anda tagasisidet muu hulgas ka siin kommenteeritava määruse eelnõuga sätestatavate
nõuete kohta. Sellekohane tagasiside ja vastused on leitavad 739 SE dokumentide juurest.
Samuti on seletuskirjas asjakohasel juhul selgitatud märkusi, mis saabusid 739 SE kohta enne
selle esitamist Riigikogule.
7.2. Eelnõu esitatakse eelnõude infosüsteemi kaudu kooskõlastamiseks ministeeriumitele,
Riigikantseleile ning Eesti Linnade ja Valdade Liidule.
7.3. Eelnõu saadetakse arvamuse avaldamiseks Andmekaitse Inspektsioonile, Eesti Pangale,
Riigi Infosüsteemi Ametile, Finantsinspektsioonile, Eesti Pangaliidule, Eesti Haiglate Liidule,
Eesti Arstide Liidule, Eesti Perearstide Seltsile, Eesti Vee-ettevõtete Liidule, Eesti Kiirabi
Liidule, Eesti Ravimihulgimüüjate Liidule, Ravimitootjate Liidule, Eesti Proviisorapteekide
Liidule, Eesti Apteekrite Liidule, Eesti Elektritööstuse Liidule, Eesti Jõujaamade ja Kaugkütte
Ühingule, Eesti Gaasiliidule, Eesti Transpordikütuste Ühingule, Eesti Infotehnoloogia ja
Telekommunikatsiooni Liidule, Eesti Kaubandus-Tööstuskojale, Eesti Põllumajandus-
Kaubanduskojale, Eesti Toiduainetööstuse Liidule ja Eesti Kaupmeeste Liidule.
7.4. Riigikantselei, Haridus- ja Teadusministeerium, Kultuuriministeerium,
Rahandusministeerium ja Sotsiaalministeerium kooskõlastasid eelnõu märkusteta.
Kaitseministeerium ning Eesti Linnade ja Valdade Liit kooskõlastasid eelnõu märkustega.
Andmekaitse Inspektsioonil ja Eesti Arstide Liidul lisaettepanekuid polnud. Arvamusi esitasid
Kaitsevägi (AK-teave), Riigi Infosüsteemi Amet, Eesti Haiglate Liit, Eesti Infotehnoloogia ja
Telekommunikatsiooni Liit, Eesti Kaubandus-Tööstuskoda, Eesti Perearstide Selts, Eesti
Põllumajandus-Kaubanduskoda ning Eesti Vee-ettevõtete Liit. Eelnõule esitatud tagasiside on
leitav seletuskirja lisast.
8
Justiits- ja digiministri määruse
„Küberintsidendist teavitamisel esitatavad andmed
ja teavitamise kord“ eelnõu seletuskirja lisa
Märkuste tabel
Nr Märkus Märkusega arvestamine
1. Kaitseministeerium kooskõlastas märkustega
17.02.2026 nr 5-9/26/2-3
1.1. Esmalt juhime tähelepanu, et läbi ettevõtete, mis on seotud Võetud teadmiseks
Kaitseväe ja NATO võimetega, võib kaasneda mõju nii Eesti
Kaitseväe kui ka liitlasüksuste või NATO ühistele
operatsioonidele, mistõttu on oluline, et küberintsidentide info
edastamise protsess oleks selge ja kiire ning saadud teave
adekvaatne.
1.2. 1. Eelnõu § 1 lõige 1 sätestab küberintsidentidest teavitamisel Selgitame
esmases teates esitatava teabe. Sätte kohaselt tuleb esmases teates Riigi Infosüsteemi Ameti kommentaari 2.1. tõttu muudeti eelnõu § 1
esitada teave võimaluse korral, kuid ei täpsusta millal ei ole lõike 1 sissejuhatavat lauset, mis täpsustab paremini, mida tähendab
võimalik andmeid esitada ega ei sätesta, kas ja kuidas tuleb kommentaaris mainitud andmete esitamist „võimaluse korral“,
põhjendada info puudumist. Seletuskiri selgitab „võimaluse tagamaks, et seletuskirjas kirjeldatud mõte oleks eelnõu tekstist
korral“ kasutamist, aga ei sätesta normis endas kohustust paremini aru saada. Andmete puudumise põhjendamise aspekt
puudumist põhjendada. Info esitamata jätmine peab olema kaetakse eelnõu § 1 lõikega 5.
põhjendatud ja ajutine ning need alused peavad tulema selgelt
õigusaktist. Määruses sätestamata jätmine võib anda kohustatud
isikutele väga laia tõlgendusruumi. Palume eelnõu vastavalt
täiendada.
1.3. 2. Juhime tähelepanu, et eelnõu ei viita kohaselt mõistete, nagu Selgitame
raskusaste, piiriülene mõju ega turvarikkemärk, definitsioonile. Mainitud mõisted ei ole õigusaktides defineeritud, mistõttu ei ole ka
Mõistete definitsioonid on hajutatud teiste õigusaktide ja võimalik neile viidata eelnõuga ette nähtud määruses.
seletuskirja vahel, kuid õigusselguse mõttes tuleks kohaselt
1 / 11
viidata, millise õigusakti mõttes mõistet kasutatakse. Palume
eelnõu vastavalt täiendada.
1.4. 3. Seletuskirjakohaselt esitatakse vahearuanne Riigi Infosüsteemi Selgitame
Ameti taotlusel, kuid määrusest see ei nähtu. Lisaks ei nähtu Vastav nõue on ette nähtud küberturvalisuse seaduse § 8 lõikes 43.
eelnõust ka see, kas esitatakse üks või mitu vahearuannet. Palume Ametil ei ole kohustust küsida vahearuannet, mistõttu ei ole ka
eelnõu vastavalt täpsustada. selgitatud, kas neid tuleb esitada üks või mitu, kuna see sõltub
konkreetse küberintsidendi asjaoludest.
Teatav erisus on siis, kui lõppraportit käsitatakse vahearuandena (vt
küberturvalisuse seaduse § 8 lõike 7 lauset 2), mille puhul on mitme
sätte koosmõju tõttu ette näha, et vähemalt üks vahearuanne tuleb
esitada.
1.5. 4. Kaitseministeeriumi hinnangul peaks asutus intsidendi korral Selgitame
analüüsima ja vajaduse korral rakendama süsteemseid muudatusi Vastav nõue on sisuliselt ette nähtud Vabariigi Valitsuse 09.12.2022
intsidendi kordumise vältimiseks. Palume kaaluda eelnõu määruse nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“
täiendamist vastavalt. § 6 punktiga 1 kui ka sama määruse § 51 ja seotud lisa punktiga 1.3.
Sarnane nõue on ka ette nähtud Eesti infoturbestandardis, vt
ettevõtlus- ja infotehnoloogiaministri 16.12.2022 määruse nr 101
„Eesti infoturbestandard“ lisa 1 punkti 10.1. ja selle alapunkte.
1.6. 5. Eelnõust jääb arusaamatuks, mis on lõppraporti sisuline väärtus Selgitame
ja kuidas on see seotud NIS2-st lähtuvalt pideva riskijuhtimisega. Lõppraportitest esitatud sisu põhjal esitatakse iga kolme kuu tagant
Seletuskiri küll üldjoontes selgitab, mida esitatakse, kuid koondaruanne Euroopa Liidu Küberturvalisuse Ametile (vt
selgusetuks jääb, kas ja kuidas saadud andmeid kasutatakse. küberturvalisuse seaduse § 12 lõiget 41), kes omakorda kasutab seda
enda töös (vt nt küberturvalisuse 2. direktiivi artikli 23 lõiget 9).
Samuti on Riigi Infosüsteemi Ametil võimalik lõppraportite sisu
põhjal oma tööd planeerida ja tööd teha – vt nt ameti volitust
ohuteadete edastamise osas küberturvalisuse seaduse § 12 lõikes 3.
1.7. 6. Seletuskirja kohaselt on eelnõu eesmärgiks luua teavitamise Selgitame
sisu ja kord, kuid eelnõu ei sätesta ühtegi konkreetset tähtaega Need tähtajad on sätestatud küberturvalisuse seaduse §-s 8, mille
esialgse aruande, vahearuande ega lõppraporti esitamiseks. lõigete 1, 41, 42, 43 ja 7 kohaselt:
Palume eelnõu vastavalt täiendada. tuleb esmane teavitus teha viivitamata, kuid hiljemalt 24 tundi
pärast teada saamist küberintsidendist,
2 / 11
- millel on võrgu- ja infosüsteemi turvalisusele või teenuse
toimepidevusele oluline mõju;
- mille oluline mõju võrgu- ja infosüsteemi turvalisusele või
teenuse toimepidevusele ei ole ilmne, kuid seda võib
mõistlikult eeldada.
tuleb intsidenditeade edastada viivitamata, kuid hiljemalt 72
tundi pärast olulise mõjuga küberintsidendist teada saamist;
usaldusteenuse osutajate puhul on maksimaalseks tähtajaks 24
tundi;
tuleb vahearuanne esitada enne lõppraportit, kui Riigi
Infosüsteemi Amet vahearuannet seda taotleb;
tuleb lõppraport esitada ühe kuu jooksul alates intsidenditeate
esitamisest arvates; kui olulise mõjuga küberintsident kestab,
siis lõppraport on käsitatav vahearuandena, mille puhul
esitatakse lõppraport ühe kuu jooksul pärast olulise mõjuga
küberintsidendi lahendamist.
Sama aspekt on lühidalt välja toodud eelnõu seletuskirjas, § 1 üldises
selgituses.
2. Riigi Infosüsteemi Ameti arvamus
09.02.2026 nr 1.1-20/26129
2.1. Teeme ettepaneku: Arvestatud
1) eelnõu § 1 saatelauses eemaldada sõnad „võimaluse korral“ Eelnõu § 1 lõike 1 sissejuhatav lause on muudetud.
ning lisada lause lõppu „kui see on teate esitamise hetkel teada“;
Sõnapaar „võimaluse korral“ jätab avatuks põhjused, millises
olukorras võib jääda teave esitamata. Seletuskirja põhjal on
arusaadav, et silmas on peetud olukorda, kui teavet veel ei ole,
kuid pakutud sõnastus on laiem. Vältimaks mitmeti
tõlgendatavust teeme ettepaneku kohustust piiritlev tingimus
selgelt saatelauses sõnastada.
2.2. Teeme ettepaneku: Arvestatud
Eelnõu § 1 lõiget 1 on täiendatud uue punktiga 5.
3 / 11
2) eelnõu § 1 lg 1 täiendada punktiga: „5) kontaktisik, kellega
toimub edasine suhtlus seoses intsidendiga.“
Ettepaneku eesmärk on tagada suhtluse operatiivsus. Teavitusi ei
tehta alati isiku poolt, kes peaks olema edasine kontaktisik.
Vastava teabe esitamise kohustus tagaks kiirema kontakti
intsidendiga tegeleva isikuga.
2.3. Teeme ettepaneku: Arvestatud
3) eelnõu § 1 lõige (3) sõnastada järgmiselt: „Vahearuandes Eelnõu § 1 lõike 3 sõnastust on muudetud, et ettepaneku olemus oleks
esitatakse vastavalt intsidendi kohta teatavaks saanud asjaoludele paremini välja loetav.
lõikes 1 nimetatud täiendatud teave ja asjakohasel juhul Riigi
Infosüsteemi Ameti taotletud lisateave.“
Ettepaneku eesmärk on täpsemalt sätestada kohustus lõikes 1
nimetatud teavet täiendada. Praegune sõnastus võimaldab
piirduda teabe üks-ühele uuesti esitamisega kui RIA eraldi
täiendavalt lisainfot ei küsi. Seega tekiks olukord, kus RIA peab
sellise üks-ühele teabe esitamise korral iga kord täiendavat infot
juurde küsima, kuigi teabe esitaja võiks selle juba ise
vahearuandes edasi anda.
2.4. Teeme ettepaneku: Arvestatud ja selgitatud
4) eelnõu § 1 lõiget 4 täiendada punktiga „1) intsidendi, Esitatud kommentaariga soovitakse tagada, et sellega võetakse üle
sealhulgas selle tõsiduse ja mõju üksikasjalik kirjeldus“ ja sellest küberturvalisuse 2. direktiivi artikli 23 lõike 4 punkti d alapunkt i
tulenevalt muuta järgmiste punktide numeratsiooni. (intsidendi, sealhulgas selle tõsiduse ja mõju üksikasjalik kirjeldus).
Ettepaneku eesmärk on tagada, et lõppraport annaks sisulise Eelnõus oli selle direktiivi sätte kui ka alapunkti iv (kui see on
ülevaate, mis võimaldab võtta vajalikke meetmeid ning tegeleda kohaldatav, intsidendi piiriülene mõju) puhul mõeldud, et see
sisulise ja tulemusliku ennetustegevusega. Praegune sõnastus jääb võetakse üle eelnõu § 1 lõike 4 punktiga 3, mille sõnastuseks oli
üldsõnaliseks ega pane kohustust edastada piisavalt detailset kavandatud küberintsidendi raskusaste ja mõju, sealhulgas
infot. Seejuures ei välju ettepanek NIS2 direktiivi raamidest, vaid asjakohasel juhul piiriülene mõju.
kasutab direktiivis endas kasutatud sõnastust. Siinse kommentaari tõttu muudeti eelnõu § 1 lõike 4 punkti 3
sõnastust, mitte ei tekitatud uut punkti. Direktiivi vastavas sättes
oleva sõna „tõsidus“ asemel on kasutatud „raskusaste“ – seda on
selgitatud eelnõu § 1 lõike 1 punkti 2 selgitustes.
4 / 11
3. Eesti Haiglate Liidu arvamus
02.02.2026 nr 197-2B
3.1. Juhime tähelepanu, et eelnõu § 1 lõike 1 punktis 1 kasutatud Mittearvestatud
mõiste “turvarikkemärk” (inglise keeles indicator of compromise) Turvarikkemärk on kasutatud küberturvalisuse seaduses (vt § 2 punkt
ei ole defineeritud ning selle tähendus on ebaselge. 26 ja § 175 lõiget 1) ehk kõrgemalseisvas õigusaktis, mistõttu ei ole
võimalik eelnõukohases määruses seda defineerida.
Teeme ettepaneku täpsustada § 1 lõike 1 punkti 1 sõnastust viisil,
mis tagaks üheselt mõistetavuse ja selge arusaadavuse soovitavast
sisust. Pakume välja järgmise sõnastuse: „1) teave olulise mõjuga
küberintsidendi sisu ja toimumise põhjuse kohta, sealhulgas
asjakohasel juhul teave küberintsidenti tuvastada võimaldavate
märkide kohta;“.
4. Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu arvamus
03.02.2026 nr 6.1-2/6-1
4.1. Eelnõuga võetakse üle NIS2-direktiivi artikkel 23 lõige 4 osas, Võetud teadmiseks
mida ei reguleerita küberturvalisuse seadusega ega muude
õigusaktidega. Konkreetsemalt sätestatakse eelnõuga, milline on
küberintsidendist teavitamisel esitatavate teadete sisu. Eelnõus
toodud andmekoosseisude osas meil kommentaare ja
ettepanekuid ei ole.
4.2. Eelnõu seletuskirjas viidatakse küberturvalisuse seaduse § 8 Selgitame
lõikele 81, mis tekitab eelnõu puhul seose NIS2-direktiivi artikli Määruse eelnõu seletuskirjas on selgitatud küberturvalisuse seaduse
23 lõike 11 alusel antud Euroopa Komisjoni rakendusaktiga. § 8 lõike 81 olemust ehk kui komisjoni teeb rakendusakti, mis sisustab
Samas on see kirjas ainult seletuskirjas ja hüpoteetilise tuleviku „küberintsidendi, sealhulgas olulise mõjuga küberintsidendi kohta
võimalusena (seletuskiri lk 2: „Kui sedasorti rakendusakt vastu esitatava teate või raporti vormi ja selle esitamise korra, lähtutakse
võetakse, lähtuvad…“). Reaalsuses on vähemalt üks rakendusakt nimetatud rakendusaktis sätestatud nõuetest“.
sellel alusel juba Euroopa Komisjoni poolt vastu võetud: Komisjoni rakendusmäärus (EL) 2024/2690 on tõesti vastu võetud
Komisjoni rakendusmäärus (EL) 2024/2690, 17. oktoober 2024, küberturvalisuse 2. direktiivi artikli 23 lõike 11 alusel, kuid too
millega kehtestatakse seoses domeeninimede süsteemi teenuse rakendusakt sisaldab volitusnormi aluseks oleva artikliga seonduvalt
osutajate, tippdomeeninimede registrite, ainult need „juhud, mille korral tuleks intsidendi pidada oluliseks
pilvandmetöötlusteenuse osutajate, andmekeskusteenuse küberturvalisuse 2. direktiivi artikli 23 lõike 3 tähenduses“ (vt artikli
osutajate, sisulevivõrgu pakkujate, hallatud teenuse osutajate, 23 lõike 11 teist lõiget). See rakendusmäärus ei sätesta vastavat vormi
5 / 11
turbetarnijate ning internetipõhiste kauplemiskohtade, ega täpsusta küberintsidendist, sh olulise mõjuga küberintsidendist
internetipõhiste otsingumootorite, sotsiaalvõrguteenuse teate või raporti esitamise korda (vt artikli 23 lõike 11 esimest lõiget).
platvormide ja usaldusteenuse pakkujatega direktiivi (EL) See siiski ei tähenda, et rakendusmäärust (EL) 2024/2690 ei tule
2022/2555 kohaldamise eeskirjad, mis puudutavad järgida nendel üksustel, kes on selles nimetatud.
küberturvalisuse riskijuhtimismeetmete tehnilisi ja metoodilisi Eeltoodu tõttu on seletuskiri üle vaadatud ja täiendatud.
nõudeid ja selliste juhtude täpsemat kindlaksmääramist, mille
korral peetakse intsidenti oluliseks.
Seetõttu teeme ettepaneku eelnõus viidata konkreetselt
rakendusmäärusele (EL) 2024/2690 ning lahtiselt ka tulevastele
rakendusaktidele. Vastasel juhul jääb eelnõu subjektidele
segaseks, kas seda rakendusmäärust ei pea järgima või veel ei pea
järgima, kuna küberturvalisuse seaduse muudatuste
üleminekuaeg on 3 aastat. Nimetatud rakendusmääruses on
sätestatud olulised täpsustavad tingimused. Eelnõu rakendajatele
oleks õigusselguse huvides vajalik sellele määrusele viidata ning
seletuskirjas rohkem selgitada erinevate õigusaktide omavahelist
seost ja vahekorda.
4.3. Kindlasti vajab muutmist eelnõu jõustumisaeg, kuna see on juba Arvestatud
minevikus.
4.4. Lisaks juhime tähelepanu, et eelnõu seletuskiri viitab Arvestatud
küberturvalisuse seaduse ja teiste seaduste muutmise seaduse
(küberturvalisuse 2. direktiivi ülevõtmine) eelnõule 739 SE, mis
oli eelnõu kooskõlastamisele saatmise ajaks juba Riigikogu poolt
vastu võetud ja Riigi Teatajas avaldatud ning jõustunud. Seega
oleks õigem öelda, et eelnõu on seotud 01.01.26 jõustunud
küberturvalisuse ja teiste seaduste muutmise seadusega ning
rääkida juba tehtud, mitte tulevastest muudatustest.
5. Eesti Kaubandus-Tööstuskoja arvamus
03.02.2026 nr 4/28
5.1. Eelnõu seletuskirja lk-l 2 on kirjas, et „739 SE kohaselt lisandub Vt Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu
küberturvalisuse seadusesse ka § 8 lõige 81, mis tekitab kommentaari 4.2. vastust.
kavandatava määruse puhul seose NIS2-direktiivi artikli 23 lõike
6 / 11
11 alusel antud Euroopa Komisjoni rakendusaktiga. Selles
rakendusaktis kehtestatakse nõuded küberintsidendi, sealhulgas
olulise mõjuga küberintsidendi kohta esitatava teate või raporti
korrale ja vormile. Kui sedasorti rakendusakt vastu võetakse,
lähtuvad rakendusaktis nimetatud teenuseosutajad selles
rakendusaktis kehtestatud nõuetest. Ülejäänud küberturvalisuse
seaduse 739 SE kohased teenuseosutajad järgivad kavandatavat
määrust“. Juhime tähelepanu, et Euroopa Komisjoni
rakendusmäärus (EL) 2024/2690 on juba vastu võetud. Oluline
on, et ka eelnõus viidatakse konkreetselt rakendusmäärusele (EL)
2024/2690 ning lahtiselt ka tulevastele rakendusaktidele, sest
viite puudumine tekitab ettevõtjates segadust, kas nad peavad
järgima EL-i määrust, Eesti määrust või mõlemat korraga. Lisaks
on oluline, et ka seletuskirjas oleks selgelt ja lihtsalt aru saada
nende õigusaktide omavahelist seost.
6. Eesti Linnade ja Valdade Liidu kooskõlastus
02.02.2026 nr 2-3/27-2
6.1. 1. Eelnõu §1 lg1 p1 kasutab mõistet „turvarikkemärk“, mis on Mittearvestatud
NIS2-direktiivi art. 23 lg. 4 punktis b kasutatava mõiste Turvarikkemärk on kasutatud küberturvalisuse seaduses (vt § 2 punkt
rikkeindikaator teisendus. Mõiste „turvarikkemärk“ on eelnõu 26 ja § 175 lõiget 1) ehk kõrgemalseisvas õigusaktis, mistõttu ei ole
seletuskirjas lahti kirjutatud - see on rikkumisele viitav asjaolu võimalik eelnõukohases määruses seda defineerida.
(igasugune tunnus, mis viitab rikkumise toimumisele).
Teeme ettepaneku uue segadust tekitava sõna asemel kasutada
eelnõu tekstis mõiste lahtiseletust.
Praegu:
1) teave olulise mõjuga küberintsidendi sisu ja põhjuse kohta,
sealhulgas asjakohasel juhul teave turvarikkemärgi kohta koos
selgitusega, kas olulise mõjuga küberintsidendi eeldatavaks
põhjuseks on ebaseaduslik või pahatahtlik tegevus;
Ettepanek:
1) teave olulise mõjuga küberintsidendi sisu ja põhjuse kohta,
sealhulgas asjakohasel juhul teave rikkumisele viitavate asjaolude
7 / 11
kohta koos selgitusega, kas olulise
mõjuga küberintsidendi eeldatavaks põhjuseks on ebaseaduslik
või pahatahtlik tegevus;
6.2. 2. Rõhutame, et kohalike omavalitsuste jaoks on oluline, et Riigi Arvestatud
Infosüsteemi Amet (RIA) tagab selged ja lihtsad juhised
teavitamise kohta. Seletuskiri (p 5) sõnastab, et RIA peab üle
vaatama nii enda võrgulehel kui ka ettenähtud veebikeskkonnas
olevad vormid, et need vastaksid määrusega kindlaks määratud
teadete sisule, kuid ei mainita juhiseid, kasutusjuhendeid,
selgitavaid materjale ega koolitusi ega rõhutata, et juhised oleksid
lihtsad, selged, piisavalt arusaadavad. Palume seletuskirja
vastavalt täiendada.
7. Eesti Perearstide Seltsi arvamus
03.02.2026 kiri
7.1. Eesti Perearstide Selts toetab nelja erineva teavitusvormi vältimist Arvestatud
ning põhimõttelist suunda, et dubleerimise asemel võiks olla Siin vt Riigi Infosüsteemi Ameti kommentaari 2.1. ja selle vastust.
võimalik juba esitatud infot täpsustada ja täiendada. Hindame Lisaks täiendati eelnõud § 1 lõikega 5.
ning palume rõhutada paindlikkust esmase teate esitamisel, kuna
selles etapis peaks prioriteet olema teabe esitamise operatiivsus,
mitte detailsus ja analüüs. Seda peaksid arvestama ka vormid ning
teabe menetlejad, võttes muuhulgas arvesse NIS2-st tulenevaid
varajase hoiatuse eesmärke. Vormil või juhises võiks olla olemas
ka indikatsioon, et varases etapis on aktsepteeritav vastata
“hindamisel / info puudub”. Varases etapis detailse teabe
esitamise nõue vähendaks esmaste teavituste operatiivsust ning ei
pruugiks olla otstarbekas ressursikasutus ajal, mil fookus on
intsidendi lahendamisel ja/või teenuse taastamisel. Palume eelnõu
§ 1 lg 1 osas seletuskirjas selgemalt välja tuua, et esmase teavituse
etapis ei eeldata informatsiooni detailsust ega juurpõhjuse tasemel
analüüsi, vaid piisab teadaoleva esmase info edastamisest.
7.2. § 1 lõikes 3 sätestatud lisateabe küsimise võimaluse juures Selgitame
palume sisse tuua mõistlikkuse ja proportsionaalsuse põhimõtted
8 / 11
või muu piirangu, mis välistaks nö lõputu andmete Neid põhimõtteid ei ole võimalik sätestada eelnõukohases määruses,
juurdeküsimise võimaluse. kuna see ei oleks kooskõlas määruse andmise volitusnormiga (vt
küberturvalisuse seaduse § 8 lõiget 8). Seda enam, et mainitud
põhimõtted on ette nähtud haldusmenetluse seaduse § 3 lõikes 2.
Lisaks on siin asjakohane sama seaduse §-id 4 (kaalutlusõigus), 5
(vormivabadus ja eesmärgipärasus) kui ka 6 (uurimispõhimõte). Need
nõuded kohalduvad ka mainitud lisateabe küsimisele.
Seletuskirjas on kommenteeritava sätte selgitust täiendatud.
8. Eesti Põllumajandus-Kaubanduskoja arvamus
02.02.2026 nr 15/1-4
8.1. Kuigi peame küberturvalisuse tagamist oluliseks ning mõistame Selgitame
vajadust saada asjakohast teavet toimunud intsidentide kohta, Esitatud kommentaar ei ole seotud määrusekohase eelnõuga ja seda
soovime juhtida tähelepanu mitmele probleemile, mis puudutavad ei saa sätestada kommenteeritava määrusega, kui arvestada määruse
eelnõus sätestatud teavituskohustuse ulatust ja selgust. volitusnormi (vt küberturvalisuse seaduse § 8 lõiget 8). Pealegi on
Esiteks jääb eelnõust ebaselgeks, millistele konkreetsetele kommentaari sisu tegelikkuses reguleeritud seaduse tasandil.
kriteeriumidele vastavat intsidenti tuleb käsitada „olulise Küberturvalisuse seaduse § 8 lõige 1 sätestab, et teenuseosutaja, välja
küberintsidendina“. Määratlus on liiga üldine ega võimalda arvatud julgeolekuasutus, esitab Riigi Infosüsteemi Ametile esmase
ettevõtjatel ja asutustel piisava kindlusega hinnata, millisel juhul teate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist
teavitamiskohustus tekib. Selline ebaselgus võib praktikas viia küberintsidendist:
kas ületeavitamiseni või vastupidi – tahtmatute rikkumisteni. 1) millel on võrgu- ja infosüsteemi turvalisusele või teenuse
toimepidevusele oluline mõju;
2) mille oluline mõju võrgu- ja infosüsteemi turvalisusele või teenuse
toimepidevusele ei ole ilmne, kuid seda võib mõistlikult eeldada.
Sama paragrahvi lõige 2 täpsustab, millal on tegemist olulise mõjuga
küberintsidendiga. Tolle lõike punktis 6 on viidatud Euroopa
Komisjoni rakendusaktile, mille all mõeldakse komisjoni
rakendusmäärust (EL) 2024/2690.
8.2. Teiseks tekitab küsimusi eelnõus ette nähtud mitmekordne Selgitame
teavitamiskohustus ühe ja sama intsidendi kohta. Ei ole Mitmeastmeline teavitus on ette nähtud küberturvalisuse 2. direktiivi
arusaadav, miks on vajalik esitada sama intsidendi puhul mitu artikli 23 lõikes 4. Selles on ette nähtud „varajase hoiatuse“,
eraldiseisvat teadet eri etappides, eriti olukorras, kus intsidendi „intsidenditeate“, „vahearuande“ ja „lõpparuande“ (küberturvalisuse
sisu ja mõju ei pruugi vahepeal sisuliselt muutuda. Selline seaduses vastavalt „esmane teavitus“, „intsidenditeade“,
9 / 11
lähenemine suurendab põhjendamatult halduskoormust ega toeta „vahearuanne“ ja „lõppraport“) esitamise nõuded kui ka nende
küberturvalisuse tõhusat juhtimist. esitamise tähtajad. Need nõuded võetigi üle sama käsitlusega nagu on
Leiame, et ühekordne, sisuline ja hästi struktureeritud teavitus direktiivis ette nähtud. Jah, esimese seaduseelnõu kavandis (avaldati
oleks piisav ning eesmärgipärasem. Samuti peaks lõpparuande 09.12.2024) oli ette nähtud, et nn intsidenditeade tehakse 24 tunni
koostamine ja intsidendi põhjalikum analüüs olema selgelt jooksul ja see sisaldab samu andmeid, mis on eelnõukohase
määratletud Riigi Infosüsteemi Ameti vastutusalasse kuuluvaks, määrusega ette nähtud, st sellisel juhul ei oleks eristatud esmast
mitte täiendavaks kohustuseks teavitajale. teavitust ja intsidenditeadet, vaid need oleksid ühe etapina koos.
Kokkuvõtvalt peame vajalikuks teavituskohustuse selgemat Samuti oli soov ette näha vahearuande esitamise nõue kui ka säilitada
määratlemist ning selle mahu vähendamist, et vältida (lõpp)raporti esitamise nõue. Seepeale tuli seaduseelnõule tagasiside,
põhjendamatut bürokraatiat ja tagada regulatsiooni praktiline et see lähenemine ei arvesta direktiivis ette nähtud käsitlust ega ole
ning proportsionaalne rakendatavus. sellega kooskõlas. Seetõttu muudetigi seaduseelnõud viisil, mis on
nüüd sätestatud küberturvalisuse seaduse §-s 8.
Küberturvalisuse seaduse § 8 lõikes 7 ette nähtud lõppraporti
koostamine ei saa olla Riigi Infosüsteemi Ameti ülesanne, vaid see on
ennekõike teenuseosutaja ülesanne. Selle käigus peab teenuseosutaja
hindama, mis läks valesti ja mida võeti ette, et küberintsident ära
lahendada, sh mida võeti ette, et sama või sarnane küberintsident ei
korduks konkreetse teenuseosutaja juures. Vt siin ka
Kaitseministeeriumi kommentaari 1.5. ja sellega seotud vastust.
9. Eesti Vee-ettevõtete Liidu arvamus
03.02.2026 nr 2-2/202
9.1. Määruse eelnõu kohaselt on jõustumine kavandatud alates 01. Arvestatud
veebruarist 2026. Eelnõu seletuskirjas on märgitud, et
jõustumisaja puhul on lähtutud kuupäevast, mis võimaldab eelnõu
kooskõlastada ning Riigi Infosüsteemi Ametil asjakohased
vormid üle vaadata.
Meie hinnangul ei vasta see tegelikkusele, kuna määruse eelnõu
kooskõlastamise aeg lõpeb alles 03.02.2026. Sellest lähtuvalt
teeme ettepaneku, et määruse jõustumise aeg määratakse hea
õigusloome ja normitehnika eeskirja § 62 lg-s 1 sätestatu alusel,
mille kohaselt jõustumisnormiga sätestatakse määruse või selle
sätte jõustumine haldusmenetluse seaduse § 93 lõikes 2
10 / 11
ettenähtud kolmepäevasest tähtajast hilisemal tähtpäeval, kui
seadus ei näe ette varasemat jõustumisaega. Jõustumisnormis
jõustumisaja sätestamisel arvestatakse § 14 lõikes 2 sätestatud
asjaolusid ja määruse avaldamiseks Riigi Teataja seaduse § 9
lõikes 6 ettenähtud seitsmetööpäevast tähtaega.
Riigikantselei, Haridus- ja Teadusministeerium, Kultuuriministeerium, Rahandusministeerium ja Sotsiaalministeerium kooskõlastasid märkusteta.
Andmekaitse Inspektsioonil ja Eesti Arstide Liidul täiendavad ettepanekud puudusid. Kaitseväe arvamus oli tunnistatud avaliku teabe seaduse §
35 lõike 2 punkti 1 alusel juurdepääsupiiranguga teabeks, mistõttu seda ei esitata siinses seletuskirjas.
Eelnõu, seletuskiri ja märkuste tabel edastati 25.02.2026. a kooskõlastajatele ja märkuste esitajatele e-kirja teel.
11 / 11