# NIS2 ja küberturvalisuse seadus: kohustused ja kindlustus Aadress: https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus/ Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ) Viimati uuendatud: 2026-11-06 > Küberturvalisuse seaduse NIS2 muudatused 2026: vastutav juhatuse liige, 24 ja 72 tunni teavitused, trahvid ning seos küber- ja D&O-kindlustusega. > **Lühidalt.** NIS2 direktiiv ((EL) 2022/2555) on Eesti õigusesse üle võetud küberturvalisuse seaduse (KüTS) muudatustega, mis jõustusid 1. jaanuaril 2026. Seadus nõuab, et kohaldamisalasse kuuluv teenuseosutaja määraks turvameetmete eest vastutava juhatuse liikme, teavitaks olulise mõjuga intsidendist Riigi Infosüsteemi Ametit 24 tunni jooksul ja esitaks intsidenditeate 72 tunni jooksul. Rikkumise eest võib ühingule määrata käibepõhise trahvi. Küberkindlustus ei asenda seaduse nõudeid, kuid kindlustusandjad kasutavad samu turvameetmeid kindlustatavuse eeldusena. Vastavuse dokumenteerimine on seega ühtaegu järelevalve-, vastutus- ja kindlustusküsimus. ## 1. Ülevõtmine ja kehtiv tekst Küberturvalisuse seaduse NIS2 muudatused avaldati Riigi Teatajas 30. detsembril 2025 ja jõustusid 1. jaanuaril 2026.[^1] Seaduse kehtiv terviktekst on avaldatud RT I, 06.10.2026, 2 ja see jõustus 16. oktoobril 2026.[^2] Seadus kasutab NIS2 jaotust üliolulisteks ja olulisteks üksusteks, mis mõjutab eelkõige järelevalve intensiivsust ja trahvide ülemmäära. Kas konkreetne ühing kuulub seaduse kohaldamisalasse, sõltub tegevusalast ja suurusest; seda hinnangut ei saa teha üldise veebiteksti põhjal. Varem seaduse alla kuulunud teenuseosutajale on ette nähtud kolmeaastane üleminekuaeg tegevuse nõuetega vastavusse viimiseks; teavitamiskohustuse (KüTS § 3¹ lg 1) peab ta aga täitma kolme kuu jooksul ning elutähtsa teenuse osutajale kehtib eraldi tähtaeg.[^3] ## 2. Juhatuse vastutus ### 2.1. Vastutav juhatuse liige Teenuseosutaja peab määrama vähemalt ühe juhatuse liikme, kes kiidab heaks küberturvalisuse riskide maandamise meetmed, jälgib nende rakendamist ja vastutab selle eest. Vastutav juhatuse liige peab korrapäraselt läbima koolituse, et omandada piisavad teadmised ja oskused riskide tuvastamiseks ning riskijuhtimise tavade ja nende mõju hindamiseks. Kui vastutavat juhatuse liiget ei ole määratud, kohaldatakse kohustusi kõigile juhatuse liikmetele. Vastutava juhatuse liikme määramise kohustust ei kohaldata teenuseosutajale, kelle juhatuses on üks liige; meetmete heakskiitmise, rakendamise jälgimise ja koolituse kohustused jäävad sellisel juhul ainsale juhatuse liikmele.[^4] ### 2.2. Mida see tähendab tsiviilvastutuse jaoks KüTS ei sätesta eraldi tsiviilvastutuse alust juhatuse liikme vastutuseks ühingu ees. Juhatuse liikme vastutus tuleneb endiselt ÄS §-st 187 või §-st 315 (korraliku ettevõtja hoolsus).[^5] KüTS konkretiseerib aga, mida korraliku ettevõtja hoolsus küberturvalisuse valdkonnas tähendab: meetmete heakskiitmine, nende rakendamise jälgimine ja juhatuse liikme enda pädevuse arendamine. Kui ühingule määratakse KüTS-i alusel trahv või ühing kannab intsidendist kahju ning selgub, et vastutav juhatuse liige ei täitnud neid kohustusi, võib ühingul tekkida kahju hüvitamise nõue juhatuse liikme vastu. KüTS-i kohustuse rikkumine üksi nõuet veel ei põhjenda: tuvastada tuleb juhatuse liikme kohustuse rikkumine, ühingule tekkinud kahju ja põhjuslik seos rikkumise ning kahju vahel. ÄS § 187 lg 2 järgi vabaneb juhatuse liige vastutusest, kui ta tõendab, et täitis oma kohustusi korraliku ettevõtja hoolsusega: korraliku ettevõtja hoolsuse järgimist tõendab seega juhatuse liige. Ühingule tekkinud kahju ja põhjusliku seose tõendamise küsimus jääb sellest eraldi. Eraldi küsimused on see, kas ühingule määratud avalik-õiguslikku trahvi saab üldse käsitada juhatuse liikmelt hüvitatava kahjuna, ning kas ja millises ulatuses on selline nõue D&O-kindlustusega kaetud. Neid tuleb hinnata konkreetse juhtumi ja kindlustuslepingu tingimuste põhjal. Seetõttu on KüTS-i nõuete täitmine ka D&O-riski küsimus (vt [uued riskid juhatusele](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/uued-riskid-juhatusele)). ## 3. Intsidendist teavitamine ### 3.1. Tähtajad Teenuseosutaja peab olulise mõjuga küberintsidendist esitama Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tunni jooksul intsidendist teadasaamisest. Hiljemalt 72 tunni jooksul tuleb esitada intsidenditeade, mis täpsustab esmase teate andmeid; usaldusteenuse osutaja peab selle esitama 24 tunni jooksul. Ameti taotlusel tuleb enne lõppraportit esitada vahearuanne intsidendi lahendamise seisu kohta. Lõppraport tuleb esitada ühe kuu jooksul intsidenditeate esitamisest; kui intsident on selleks ajaks lahendamata, käsitatakse esitatud lõppraportit vahearuandena ja uus lõppraport tuleb esitada ühe kuu jooksul intsidendi lahendamisest. Lõppraporti tähtaeg ei sõltu seega sellest, kas intsident on lahendatud. Kui teenuseosutaja süsteemi haldab või majutab teine isik, vastutab teenuseosutaja selle eest, et teine isik teavitab teda intsidendist.[^6] ### 3.2. Olulise mõjuga intsident Seadus loetleb asjaolud, mille korral intsident on olulise mõjuga, muu hulgas olukord, kus teenust ei saa osutada lubatud maksimaalse katkestusaja jooksul, kus on häiritud teise teenuseosutaja teenus või kus tekib märkimisväärne kahju.[^6] Intsidendi kvalifitseerimine tuleb teha kiiresti ja tavaliselt puuduliku teabe põhjal. Küberkindlustuse paneelõigusnõustaja (*breach coach*) roll on just selle otsuse toetamine. ### 3.3. Paralleelsed teavitused Sama intsident võib nõuda mitut teavitust: - Riigi Infosüsteemi Ametile KüTS-i alusel (24 h / 72 h); - Andmekaitse Inspektsioonile isikuandmetega seotud rikkumise korral GDPR art 33 alusel (võimaluse korral 72 h jooksul);[^7] - andmesubjektidele GDPR art 34 alusel, kui rikkumine kujutab tõenäoliselt suurt ohtu nende õigustele ja vabadustele;[^7] - kindlustusandjale (lepingu ja VÕS § 448 alusel viivitamata);[^8] - politseile kuriteoteatega; - finantssektoris ka Finantsinspektsioonile eriseaduse alusel. Teavituste sisu peab olema omavahel kooskõlas. Ebatäpne või hiljem muudetud teave järelevalveasutusele võib hiljem saada tõendiks nii järelevalvemenetluses kui ka kindlustusvaidluses. ## 4. Sanktsioonid Turvameetmete ja teavitamiskohustuse rikkumise eest võib juriidilisest isikust üliolulisele üksusele määrata rahatrahvi kuni 10 miljonit eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest ja olulisele üksusele kuni 7 miljonit eurot või kuni 1,4 protsenti, olenevalt sellest, kumb summa on suurem.[^9] Trahvi kindlustatavus on vaieldav (vt [mida küberkindlustus katab](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/mida-kuberkindlustus-katab)). Järelevalvemenetluse kaitsekulud on küberkindlustuses tavaliselt kaetud. ## 5. Vastavus ja kindlustus täidavad eri ülesandeid KüTS paneb ettevõttele kohustuse riske ennetada ja juhtida. Küberkindlustus leevendab riski realiseerumise finantstagajärgi. Kaks asja on aga omavahel tihedalt seotud: 1. **Kindlustatavuse eeldused.** Kindlustusandjad küsivad lepingueelses küsimustikus mitmikautentimise, varukoopiate eraldatuse, lõppseadmete kaitse, privileegitud kontode halduse ja intsidendiplaani kohta. Need on samad meetmed, mida eeldab ka KüTS-i riskijuhtimine. 2. **Lepingueelne teave.** Kui küsimustiku vastused ei vasta tegelikkusele, võib kindlustusandja VÕS §-de 440-442 alusel lepingust taganeda või pettuse korral selle tühistada.[^10] Küsimustikku peaks seetõttu täitma koos IT-juhiga ja vastused dokumenteerima. 3. **Ohutusnõuded lepingus.** Kui leping seab turvameetmed kindlustusvõtja kohustuseks, ei saa kindlustusandja VÕS § 452 lõike 2 järgi tugineda vabanemisele, kui rikkumine ei olnud süüline või ei mõjutanud kindlustusjuhtumi toimumist ega kindlustusandja täitmise ulatust.[^11] Põhjusliku seose nõue on kindlustusvõtja olulisim kaitse; suurriskide lepingus võib see olla lepinguga välistatud.[^12] ## 6. Dokumenteerimine Kindlustusvaidluses peab ettevõte suutma näidata, milline oli tema tegelik küberturbe tase enne intsidenti. Praktiliselt tähendab see: - ajakohane riskianalüüs ja selle heakskiitmise otsus juhatuses; - turvameetmete kirjeldus (tehnilised ja organisatsioonilised), kooskõlas näiteks infoturbe standardiga E-ITS, mida haldab Riigi Infosüsteemi Amet (https://eits.ria.ee); - intsidentide käsitlemise kord ja harjutuste protokollid; - tarnijate ja teenusepakkujate turvanõuded ning nende täitmise kontroll; - juhatuse liikme koolituse tõendid. Sama dokumentatsioon kaitseb juhatuse liiget ka D&O-vaidluses, sest ÄS § 187 järgi peab ta oma hoolsust ise tõendama.[^5] ## 7. Kontrollküsimused 1. Kas ühing kuulub KüTS-i kohaldamisalasse ja kas ta on ülioluline või oluline üksus? 2. Kas vastutav juhatuse liige on määratud, koolitatud ja kas see on dokumenteeritud? 3. Kas intsidendiplaan sisaldab RIA, AKI, kindlustusandja ja politsei teavitamise töövoogu ning tähtaegu? 4. Kas küberkindlustuse küsimustiku vastused vastavad tegelikkusele? 5. Kas D&O-leping katab KüTS-i järelevalvemenetluse kulud juhatuse liikmetele? ## Korduma kippuvad küsimused ### Kas KüTS-i trahv on küberkindlustusega kaetud? Trahvi kate sõltub tingimustest ja kindlustatavusest kohaldatava õiguse järgi. Eesti õiguses on haldustrahvi kindlustatavus vaieldav. Järelevalvemenetluse õigusabikulud on tavaliselt kaetud. ### Kas KüTS-i nõuete täitmine tagab kindlustuskaitse? Ei. Seaduse nõuded ja kindlustuslepingu ohutusnõuded võivad erineda. Kindlustusandja võib nõuda meetmeid, mida seadus konkreetsele ühingule ei kohalda (nt mitmikautentimine kõigil kontodel), ja vastupidi. Mõlemad nõuete komplektid tuleb kaardistada eraldi. ### Mis juhtub, kui intsidendist teatatakse RIA-le hiljem kui 24 tunni jooksul? Hilinenud teatamine on KüTS-i kohustuse rikkumine, mille eest võib määrata trahvi. Kindlustuslepingu järgi on teatamise tähtaeg eraldi küsimus; kindlustusandja teavitamine hilinemisest ei vabasta ega vastupidi. Teavituste tähtaegade ühtne töövoog intsidendiplaanis aitab vältida mõlemat riski. ### Kas juhatuse liikme koolitus peab olema tõendatud? Seadus nõuab korrapärast koolitust. Kuna juhatuse liige peab vaidluse korral oma hoolsust ise tõendama, tasub koolituse sisu, aeg ja osalejad dokumenteerida. ## Seotud lehed - [Mida küberkindlustus katab](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/mida-kuberkindlustus-katab) - [Intsidendile reageerimine ja teenusepakkujad](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/intsident-ja-teenusepakkujad) - [Uued D&O-riskid juhatusele](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/uued-riskid-juhatusele) - [GDPR, andmeleke ja vastutus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/gdpr-andmeleke-ja-vastutus) - [Esimesed 72 tundi pärast kahju](https://kindlustusoigus.ee/juhend-72-tundi) ## Viited [^1]: Küberturvalisuse seaduse muudatused (RT I, 30.12.2025, 4; jõust. 01.01.2026). - https://www.riigiteataja.ee/akt/K%C3%BCTS [^2]: KüTS (RT I, 06.10.2026, 2; jõust. 16.10.2026). - https://www.riigiteataja.ee/akt/K%C3%BCTS [^3]: KüTS § 28¹ (viide 2). [^4]: KüTS § 6¹ lg 1-4 (viide 2). [^5]: ÄS § 187 lg 1-2, § 315 (RT I, 06.07.2023, 131; jõust. 01.03.2024). - https://www.riigiteataja.ee/akt/%C3%84S [^6]: KüTS § 8 lg 1, 1¹, 2, 3, 4¹-4³ ja 7 (viide 2). [^7]: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, art 33 lg 1, art 34 lg 1. - ELT L 119, 04.05.2016, lk 1. - https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679 [^8]: VÕS § 448 lg 1 (RT I, 20.06.2026, 18; jõust. 01.09.2026). - https://www.riigiteataja.ee/akt/V%C3%95S [^9]: KüTS § 18² lg 2, § 18³ lg 2 (viide 2). [^10]: VÕS §-d 440-442 (viide 8). [^11]: VÕS § 452 lg 2 p 1 ja 2 (viide 8). [^12]: VÕS § 427 lg 3 (viide 8).