Küberjulgeolek: Eesti (2026)
Eestis kehtib spetsiaalne küberjulgeolekuseadus, mis võeti algselt vastu 2018. aastal ja mida muudeti oluliselt alates 1. jaanuarist 2026, et võtta üle ELi NIS2-direktiiv (EL 2022/2555), laiendades reguleerimisala ligikaudu 3500-lt 5500–7000-ni reguleeritud üksuseni kriitilistes sektorites. Riiklikku CERT-i (CERT-EE) haldav Riigiteenistuste Infosüsteemide Amet (RIA) tegutseb peamise reguleerija ja intsidentide koordinaatorina. Eesti lähenemisviisi aluseks on riiklik küberjulgeoleku strateegia „Küberteadlik Eesti“ aastateks 2024–2030, mis on üks ELi kõige arenenumaid digitaalse juhtimise raamistikke.
Esmane raamistik
Küberturvalisuse seadus (2018, muudetud 2026. aasta jaanuaris NIS2 ülevõtmiseks); järelevalvet teostab Riiklik Infosüsteemide Amet (RIA) / CERT-EE kui riiklik pädev asutus
Peamised punktid
NIS2 ülevõtmine
NIS2 direktiivi (EL) 2022/2555 rakendamiseks tehtud muudatused küberjulgeolekuseaduses jõustusid 1. jaanuaril 2026. Eesti lisas NIS2 kohustused olemasolevale 2018. aasta seadusele, selle asemel et võtta vastu uus primaarseadus, hõlmates energeetika, transpordi, tervishoiu, digitaalse infrastruktuuri ja avaliku halduse valdkondi.
Kohustus teatada vahejuhtumitest
Reguleeritud üksused peavad esitama CERT-EE-le varajase hoiatuse 24 tunni jooksul alates olulise intsidendi avastamisest, täieliku teate 72 tunni jooksul ning lõpliku intsidendiaruande 30 päeva jooksul. Aruanded esitatakse CERT-EE/NCSC portaali kaudu. Lisaks sellele tuleb isikuandmete rikkumistest vastavalt GDPR-ile teatada Andmekaitseinspektsioonile (AKI) 72 tunni jooksul.
Järelevalveasutus (RIA/CERT-EE)
Eesti Infotehnoloogia- ja Sideamet (RIA) on ainus riiklik pädev asutus küberjulgeoleku valdkonnas, mis ühendab endas regulatiivse järelevalve, poliitika koordineerimise ja intsidentidele reageerimise CERT-EE kaudu. RIA teostab järelevalvet riigi ja kohalike omavalitsuste võrgu- ja infosüsteemide ning digiteenuste osutajate üle ning tal on õigus kehtestada parandusmeetmeid.
Järkjärgulise nõuetele vastavuse ajakava
Uued reguleerimisalasse kuuluvad üksused peavad end CERT-EE-s registreerima hiljemalt 1. aprilliks 2026; juhtimis- ja halduskontrollimeetmed tuleb kehtestada hiljemalt 1. jaanuariks 2027; täielikud tehnilised turvameetmed ja esimesed auditid tuleb läbi viia hiljemalt 1. jaanuariks 2028. Ettevõtted liigitatakse NIS2 kriteeriumide alusel „olulisteks” või „tähtsateks”.
Riiklik küberjulgeoleku strateegia 2024–2030
Eesti neljas riiklik küberjulgeoleku strateegia „Küberteadlik Eesti“ (2024–2030) seab poliitilised eesmärgid neljas valdkonnas: vastupidav digitaalne infrastruktuur, pädev tööjõud, rahvusvaheline koostöö ja riikliku küberjulgeoleku arengu juhtimine. Küberjulgeoleku rahastamine kasvas 3,9 miljonilt eurolt (2020) 16,1 miljoni euroni (2024). 2024. aastal registreeris CERT-EE rekordilised 6515 küberintsidenti.
Eesti infoturbestandard (E-ITS)
RIA haldab Eesti infoturvastandardit (E-ITS) – riiklikku turvalisuse alusraamistikku, mis kehtib avaliku sektori asutuste ja kriitilise infrastruktuuri operaatorite suhtes ning nõuab riskipõhiseid turvameetmeid, sealhulgas tarneahela kontrolli, haavatavuste haldamist ja tegevuse järjepidevuse planeerimist kooskõlas NIS2 nõuetega.
Käesolev lehekülg on tõlgitud kasutajate mugavuse huvides; ingliskeelne versioon on siduv ning ei kujuta endast õigusnõustamist.