Mida arvad küberintsidendist teavitamise korrast ja nõutavatest andmetest?

Mis on plaanitavate muudatuste eesmärk?
Muudatuste eesmärk on täpsustada küberintsidendist teavitamisel esitatava teabe sisu ning viia Eesti õigus kooskõlla Euroopa Liidu küberturvalisuse 2. direktiivi (NIS2) nõuetega.

Keda mõjutab?

• Ettevõtteid, kellel tekib küberintsident ja kes peavad esitama küberintsidendi kohta teateid Riigi Infosüsteemi Ametile

Mis on olulisemad plaanitavad muudatused?

• Plaanitavate muudatustega luuakse uus määrus ja sätestatakse, mis teabe peab ettevõtja esitatama küberintsidendi korral esmases teates, intsidenditeates, vahearuandes ja lõppraportis Riigi Infosüsteemi Ametile (eelnõu § 1). Küberintsident on võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja infosüsteemi turvalisust ning kui küberintsidendi tagajärjel on teenuse või teise teenuse osutamine häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati olulise mõjuga küberintsidendiks.
• Eelnõu näeb ette, et olulise mõjuga küberintsidendi esmases teates peab ettevõtja esitama võimaluse korral (see teave, mis on teate esitamise hetkel olemas) järgmine teabe (eelnõu § 1 lg 1): 
  • teave olulise mõjuga küberintsidendi sisu ja põhjuse kohta, sealhulgas asjakohasel juhul teave turvarikkemärgi kohta koos selgitusega, kas olulise mõjuga küberintsidendi eeldatavaks põhjuseks on ebaseaduslik või pahatahtlik tegevus; 
  • hinnang olulise mõjuga küberintsidendile, sealhulgas selle raskusastmele ja mõjule; 
  • teave olulise mõjuga küberintsidendi piiriülese mõju kohta; 
  • teave olulise mõjuga küberintsidendi lahendamiseks ettevõetavate tegevuste kohta.
• Eelnõu kohaselt kui tegemist on intsidenditeatega, siis ettevõtja esitab eelmises punktis nimetatud teabe. Kui esmase teate puhul esitatakse see teave, mis on esitamise hetkel olemas, siis intsidenditeate puhul tuleb ettevõtjal esitada kogu teave, mis on eelmises punktis välja toodud (eelnõu § 1 lg 2).
• Vahearuandega tuleb ettevõttel esitada esmases teates esitatud info ning ka see teave, mida Riigi Infosüsteemi Amet küsib vahearuande esitajalt (eelnõu § 1 lg 3). Riigi Infosüsteemi Ametil ei ole kohustus küsida täiendavat infot.
• Eelnõu kohaselt lõppraport peab sisaldama järgmist teavet (eelnõu § 1 lg 4):
  • küberintsidendi põhjus;
  • küberintsidendi suhtes rakendatud abinõu;
  • küberintsidendi raskusaste ja mõju, sealhulgas asjakohasel juhul piiriülene mõju.

Millal jõustuvad muudatused?
Eelnõu kohaselt määrus jõustub 1. veebruaril 2026. 

Anna teada, mida arvad plaanitavatest muudatustest. Tagasisidet ootan hiljemalt 30. jaanuariks e-posti aadressile ireen@koda.ee. Ettevõtete vastuste põhjal koostan koja seisukoha, mille saadan justiits- ja digiministeeriumile.