# NIS2 ja küberturvalisuse seadus: mida see tähendab kindlustusele Aadress: https://kindlustusoigus.ee/blogi/2026-11-01-nis2-kuberturvalisuse-seadus-ja-kindlustus/ Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ) Avaldatud: 2026-11-01 Viimati uuendatud: 2026-11-09 > KüTS 2026: juhatuse liikme vastutus, 24 ja 72 tunni teavitus, trahvid ning kuidas need mõjutavad küber- ja D&O-kindlustust. Euroopa Liidu küberturvalisuse direktiiv NIS2 (direktiiv (EL) 2022/2555) on Eestis üle võetud [küberturvalisuse seaduse](https://www.riigiteataja.ee/akt/K%C3%BCTS) (KüTS) muudatustega, mis jõustusid 1. jaanuaril 2026 (RT I, 30.12.2025, 4). Praegu kehtiv redaktsioon on jõus alates 16. oktoobrist 2026.[^1] Seadus muudab küberturvalisuse juhtimisküsimuseks: vastutus turvameetmete eest on pandud juhatuse tasandile, intsidentidest tuleb teatada kindlates tähtaegades ja rikkumiste eest on ette nähtud märkimisväärsed trahvid. Käesolev postitus analüüsib, kuidas need kohustused puutuvad kokku küber- ja D&O-kindlustusega. ## Kellele seadus kohaldub KüTS kohaldub teenuseosutajatele, kes jaotatakse üliolulisteks ja olulisteks üksusteks, ning lisaks digitaalteenuse osutajatele ja avaliku sektori asutustele.[^1] Kohaldamisala on võrreldes varasema regulatsiooniga oluliselt laienenud: lisaks traditsioonilisele elutähtsale taristule (energia, transport, pangandus, tervishoid, veevarustus) kuuluvad sinna ka paljud tootmis-, toidu-, jäätmekäitlus-, posti- ja digitaalteenuste ettevõtted. Ettevõte peaks esmalt kindlaks tegema, kas ja millise kategooria alla ta kuulub. Seadus näeb ette üleminekuaja: teenuseosutajal, kes vastas seaduse tunnustele juba enne teavitamiskohustuse (KüTS § 3¹ lg 1) jõustumist, on nõuetega vastavusse viimiseks kolm aastat, kuid teavitamiskohustuse peab ta täitma kolme kuu jooksul; elutähtsa teenuse osutajale kehtib eraldi tähtaeg (KüTS § 28¹ lg 1, 3 ja 4).[^2] ## Juhatuse liikme vastutus (KüTS § 6¹) Teenuseosutaja peab määrama vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest. Riigi Infosüsteemi Amet võib küsida selle juhatuse liikme kontaktandmeid. Määratud juhatuse liige peab regulaarselt läbima koolituse, mis võimaldab tal mõista ja hinnata riske ja riskijuhtimise meetodeid. Kui sellist liiget ei määrata, lasuvad kohustused kõigil juhatuse liikmetel; määramise nõue ei kohaldu, kui juhatus on üheliikmeline, kuid siis on meetmete heakskiitmise, jälgimise ja koolituse kohustused ainsal juhatuse liikmel.[^2] Kindlustuse vaatest on see oluline kahel põhjusel. **Esiteks konkretiseerib KüTS § 6¹ juhatuse liikme hoolsuskohustuse.** ÄS § 187 lg 1 nõuab juhatuse liikmelt korraliku ettevõtja hoolsust.[^3] Kui seadus paneb juhatuse liikmele sõnaselge kohustuse turvameetmed heaks kiita ja nende rakendamist jälgida, võib selle kohustuse rikkumisest ühingule tekkinud kahju (näiteks intsidendist tingitud ärikatkestus või kolmandate isikute nõuded) olla aluseks vastutusnõudele juhatuse liikme vastu, kui tuvastatakse kohustuse rikkumine, kahju ja põhjuslik seos. Kas ühingule määratud avalik-õiguslik trahv on juhatuse liikmelt hüvitatav kahju ja kas selline nõue on D&O-kindlustusega kaetud, on eraldi küsimused. Kuna ÄS § 187 lg 2 järgi peab juht ise tõendama, et järgis korraliku ettevõtja hoolsust, on oluline dokumenteerida turvameetmete heakskiitmine, riskianalüüs ja koolitused. **Teiseks muudab see D&O-kindlustuse vajalikumaks.** Küberintsidendiga seotud nõue juhi vastu on tüüpiline D&O-nõue. Kindlustuslepingut sõlmides tasub kontrollida, kas D&O-poliis sisaldab küberriski välistust, mis võib sellised nõuded välja jätta, ning kuidas see on kooskõlastatud ettevõtte küberkindlustusega (vt [D&O-kindlustus ja juhi vastutus](https://kindlustusoigus.ee/blogi/2026-09-29-dno-kindlustus-juhi-vastutus)). ## Teavituskohustused ja kindlustuslepingu teatamiskohustused KüTS § 8 järgi peab teenuseosutaja olulise mõjuga intsidendist esitama Riigi Infosüsteemi Ametile esmase teate hiljemalt 24 tunni jooksul ja intsidenditeate 72 tunni jooksul intsidendist teadasaamisest. Ameti taotlusel tuleb esitada vahearuanne. Lõppraport tuleb esitada ühe kuu jooksul intsidenditeate esitamisest; kui intsident on selleks ajaks lahendamata, käsitatakse raportit vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul intsidendi lahendamisest.[^2] Isikuandmetega seotud rikkumisest tuleb lisaks [isikuandmete kaitse üldmääruse](https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679) art 33 alusel teavitada Andmekaitse Inspektsiooni põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi; teavitamiskohustus lasub vastutaval töötlejal.[^4] Kindlustuslepingus on omakorda kindlustusvõtja kohustus teatada kindlustusjuhtumist (VÕS § 448) ning küberpoliisides sageli lühike tähtaeg intsidendi abiliini teavitamiseks. Need on kolm eri kohustust eri adressaatidele ja eri tagajärgedega. Praktikas tähendab see, et intsidendi reageerimisplaan peab sisaldama üheaegselt: - teavitust kindlustusandja abiliinile (kriisiteenuste käivitamiseks ja katte säilitamiseks); - teavitust RIA-le KüTS § 8 tähtaegades; - vajadusel teavitust Andmekaitse Inspektsioonile ja andmesubjektidele. Kindlustuslepingu teatamiskohustuse rikkumise korral ei vabane kindlustusandja automaatselt: VÕS § 452 lg 2 p 3–4 järgi ei saa kindlustusandja tugineda vabanemisele, kui kindlustusjuhtumi järel täidetavat kohustust ei rikutud tahtlikult, ja raske hooletuse korral, kui rikkumine ei mõjutanud kindlustusjuhtumi kindlakstegemist ega täitmiskohustuse ulatust.[^5] Siiski on õigeaegne teavitamine parim viis vaidlust vältida. ## Trahvid ja nende kindlustatavus KüTS näeb rikkumiste eest ette trahvid, mille ülemmäär on üliolulise üksuse puhul kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest ja olulise üksuse puhul kuni 7 miljonit eurot või 1,4% käibest (KüTS § 18², § 18³).[^2] Kas selliseid trahve saab kindlustada? Küberpoliisid sisaldavad sageli klauslit, mille järgi kaetakse regulatiivsed trahvid „kohaldatava õiguse lubatud ulatuses“. Eesti õiguses puudub sõnaselge säte, mis keelaks avalik-õigusliku rahalise karistuse kindlustamise, kuid karistuse eesmärk (isiklik mõjutamine ja preventsioon) räägib tugevalt sellise kindlustuse vastu, eriti tahtliku rikkumise korral. Tahtlikult põhjustatud kahju kindlustamise piirangud tulenevad ka VÕS § 452 lg 1-st ja Riigikohtu käsitlusest, et tahtlusel puudub kindlustuskaitse kui kindlustuse üldine põhimõte.[^6] Kindlustusvõtja ei tohiks seega eeldada, et KüTS-i trahv on kindlustusega kaetud. Kaetud on tavaliselt menetluse kulud: õigusabi ja tehnilised eksperdid järelevalvemenetluses. ## Mida NIS2 tähendab küberkindlustuse hinnale ja tingimustele **Riskihindamine.** Kindlustusandjad küsivad lepingu sõlmimisel üha üksikasjalikumalt turvameetmete kohta: mitmeastmeline autentimine, eraldatud varukoopiad, intsidendi reageerimisplaan, töötajate koolitus. KüTS-i nõuetele vastav ettevõte on parem risk ja võib saada soodsama makse. Küsimustiku vastused on lepingueelne teave: ebaõiged vastused annavad kindlustusandjale VÕS § 441 alusel taganemisõiguse, kui kindlustusvõtja rikkus teatamiskohustust, ja § 442 lg 2 kausaalsusreegli piires vabanemise. **Ohutusnõuded.** Poliisides on KüTS-i nõuetega sarnaseid ohutusnõudeid. Nende rikkumise tagajärg on Eesti õiguses proportsionaalne (vt [hoolsuskohustus ja proportsionaalsus](https://kindlustusoigus.ee/blogi/2026-11-01-hoolsuskohustus-ja-proportsionaalsus-riigikohtu-praktikas)), kuid tõendamise koormus kindlustusvõtja koostöökohustuse osas on reaalne. **Tarneahel.** NIS2 nõuab ka tarneahela turvalisuse hindamist. Küberpoliisis tasub kontrollida, kas kaetud on teenusepakkuja intsidendist tingitud ärikatkestus (*dependent business interruption*) ja kas pilveteenuse katkestus on välistatud. ## Kontrollnimekiri juhatusele 1. Määrake KüTS § 6¹ vastutav juhatuse liige ja dokumenteerige tema otsused ning koolitused. 2. Koostage intsidendi reageerimisplaan, mis ühendab RIA, AKI ja kindlustusandja teavitused. 3. Vaadake üle küberkindlustuse tingimused: ohutusnõuded, teatamistähtajad, trahvide ja menetluskulude kate. 4. Vaadake üle D&O-poliis: kas küberriskiga seotud nõuded juhtide vastu on kaetud? 5. Hinnake, kas kindlustussummad vastavad NIS2 järgsele riskiprofiilile. ## Näide: tootmisettevõte ja lunavara Oletame, et keskmise suurusega toiduainetetööstus kuulub KüTS-i kohaldamisalasse olulise üksusena. Reedel kell 23 avastatakse, et tootmise juhtimissüsteem on krüpteeritud. Mis peab juhtuma järgmise 72 tunni jooksul? - **Esimesed tunnid:** küberkindlustuse abiliinile helistamine, forensika partneri kaasamine, süsteemide isoleerimine ja tõendite säilitamine. Kindlustusandja eelnev nõusolek kulude tegemiseks on sageli tingimus, mistõttu tasub abiliinile helistada enne IT-partneri tellimist. - **24 tunni jooksul:** esmane teade Riigi Infosüsteemi Ametile KüTS § 8 alusel. - **72 tunni jooksul:** intsidenditeade RIA-le (kui KüTS kohaldub) ning, kui isikuandmed võisid lekkida, teavitus Andmekaitse Inspektsioonile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul teadasaamisest; 72 tundi on ülempiir, mitte ooteaeg, ja teavitada ei tule, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi. - **Paralleelselt:** juhatuse otsus, kuidas toimida väljapressimise korral. Lunaraha maksmine on õiguslikult ja eetiliselt keeruline küsimus ning sanktsioonide rikkumise risk on reaalne. Kindlustusandja ekspertide nõu on siin hindamatu. Hiljem küsitakse, kas vastutav juhatuse liige oli turvameetmed heaks kiitnud ja kas neid järgiti. Kui dokumendid puuduvad, on juhi positsioon nii järelevalvemenetluses kui ka võimalikus vastutusnõudes nõrk. ## Kokkuvõte KüTS-i NIS2 redaktsioon muudab küberturvalisuse juhatuse isiklikuks vastutuseks. Kindlustus ei asenda seadusest tulenevaid kohustusi ega kata tõenäoliselt trahve, kuid küberkindlustus aitab intsidendi tagajärgedega toime tulla ja D&O-kindlustus kaitseb juhte nende vastu esitatud nõuete eest. Mõlema poliisi tingimused tuleb omavahel ja seadusest tulenevate kohustustega kooskõlla viia. ## Seotud lehed - [Küberkindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus) - [D&O-kindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus) - [Küberkindlustus ja lunavara](https://kindlustusoigus.ee/blogi/2026-11-03-kuberkindlustus-lunavara) - [Riskijuhtimine](https://kindlustusoigus.ee/riskijuhtimine) - [Kindlustusandja keeldumise alused](https://kindlustusoigus.ee/keeldumise-alused) ## Viited [^1]: Küberturvalisuse seadus (KüTS) (RT I, 06.10.2026, 2; jõust. 16.10.2026); NIS2 ülevõtmise muudatused RT I, 30.12.2025, 4 (jõust. 01.01.2026). [^2]: KüTS § 6¹ lg 1–4, § 8 lg 1, 4¹–4³ ja 7, § 18², § 18³, § 28¹. [^3]: Äriseadustik (ÄS) § 187 lg 1–2 (RT I, 06.07.2023, 131). [^4]: Määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus), art 33. – ELT L 119, 04.05.2016, lk 1. [^5]: VÕS § 448, § 452 lg 2 (RT I, 20.06.2026, 18; jõust. 01.09.2026). [^6]: VÕS § 452 lg 1; RKTKo 15.10.2025, 2-21-16822/84, p 15.