Küberturvalisuse regulatsioonid Eestis 2026

Lühidalt

Raamistik	Kellele	Mida see nõuab	Juhend
NIS2 / KüTS	Elutähtsad ja olulised teenuseosutajad; osa väikeettevõtteid rolli tõttu	Riskijuhtimine, intsidentidest teatamine, tarneahel, juhtorgani vastutus, kümme miinimemeedet	NIS2 juhend
DORA	Finantssektor ja selle kriitilised IKT-teenuse osutajad	IKT-risk, intsidendid, tegevuskerksuse test, teaberegister, tarnijad	DORA juhend
E-ITS	Avalikke ülesandeid täitvad organisatsioonid; ettevõttele vabatahtlik	Infoturbe juhtimine, riskianalüüs, meetmed, tõendid, audit	E-ITS juhend
ISO/IEC 27001	Iga organisatsioon, kes soovib sertifitseeritud ISMS-i	Juhtimissüsteem, riskiprotsess, 93 lisa meedet, pidev parendamine	ISO 27001 juhend
AI Act	AI-süsteemide pakkujad, kasutajad, importijad ja levitajad	Riskiklass, läbipaistvus, andmed, logimine, inimjärelevalve, turvalisus	AI Act juhend
CRA	Digitaalelementidega toodete tootjad ja levitajad	Turvaline disain, haavatavuste haldus, teatamine, CE-märgis	CRA allpool

See tabel on orientiir, mitte õiguslik hinnang. Kohaldumine sõltub tegevusest, rollist, sektorist ja konkreetsest süsteemist.

Kuidas valida, millest alustada

Ära alusta standardi nimest. Alusta kolmest küsimusest: mida sa teed, kellele ja mis juhtub, kui see ebaõnnestub? See määrab, kas sinu jaoks on esmane seadus, sektoriregulatsioon, lepingu nõue või kliendi ootus.

Oled elutähtis või oluline teenuseosutaja: NIS2/KüTS on tõenäoliselt esimene raamistik. Vaata kohaldumise enesekontrolli.
Oled finantsettevõtja või selle kriitiline IKT-tarnija: DORA nõuded ja teaberegister tulevad esimesena. Vaata DORA juhendit.
Täidad avalikke ülesandeid: E-ITS võib olla kohustuslik; kontrolli RIA juhist ja oma sektorit.
Vajad rahvusvahelist klienti või hanketingimust: ISO 27001 sertifikaat võib olla lepinguline eeldus, isegi kui seadus seda ei nõua.
Arendad või kasutad AI-d: AI Acti riskiklass ja rollid tuleb määrata enne, kui valid turvalisust või vastavust.
Müüd tarkvara või riistvara ELi turul: CRA kohaldub järk-järgult ja puudutab kogu toote elutsüklit.

NIS2 ja küberturvalisuse seadus (KüTS)

NIS2 on Euroopa Liidu direktiiv, mille Eesti võttis üle küberturvalisuse seadusega. Seadus kehtib alates 1. jaanuarist 2026 ja selle kehtiv redaktsioon on RT I, 06.10.2026, 1, jõustunud 16.10.2026. RIA hinnangul lisandus umbes 3 000 teenuseosutajat, mis tõi kohustuslaste koguarvu ligikaudu 6 500-ni.

Kohustus ei sõltu ainult töötajate arvust. Elutähtsad ja olulised teenused, sektor, roll ja teatud erireeglid võivad tuua kohustuse ka väiksemale ettevõttele. Kümme miinimemeedet katavad riskianalüüsi, intsidentide käsitlemise, toimepidevuse, tarneahela, juhtimise ja koolituse. Juhatus vastutab meetmete kinnitamise ja järelevalve eest.

NIS2 juhend sisaldab kohaldumise enesekontrolli, registreerimise sammu, teatamistähtaegu ja EIS-toetuse tingimusi. Kontrollnimekiri seob iga meetme tõendiga, mida auditeerija küsib.

DORA

DORA (Digital Operational Resilience Act) on ELi määrus, mis kohaldub alates 17. jaanuarist 2025 suurele osale finantssektorist. See nõuab IKT-riskide juhtimist, tõsistest IKT-intsidentidest teatamist, tegevuskerksuse testimist, kolmandate osapoolte IKT-riski juhtimist ja teabevahetust. Eestis teeb järelevalvet Finantsinspektsioon.

DORA ei ole üks sertifikaat ega ainult pentest. Teaberegister peab näitama IKT-teenused, tarnijad, toetatavad funktsioonid ja lepinguriskid. DORA teaberegistri töömall ja kontrollnimekiri. TLPT on ohuteabel põhinev test, mida nõutakse ainult pädeva asutuse määratud ettevõtjatele. DORA juhend selgitab viit sammast, registri ja teatamise kanalit; TLPT juhend keskendub TIBER-EE-le.

E-ITS

E-ITS on RIA hallatav Eesti infoturbestandard. Avalikke ülesandeid täitvad organisatsioonid peavad seda rakendama; ettevõtted võivad kasutada vabatahtlikult. 2026. aasta versioon ei ole enam otseselt seotud ISO/IEC 27001-ga ega anna ISO sertifikaati. Eel- ja vaheauditid kaotati, põhiaudit jääb kolmeaastase tsüklina ja organisatsioon hindab ise oma küpsust.

E-ITS auditeerimine hindab juhtimissüsteemi ja meetmeid tõendite põhjal. See ei ole pentest ega asenda tehnilist testimist. E-ITS juhend kirjeldab kohaldumist, auditit, tõendeid ja 2026. aasta muudatusi.

ISO/IEC 27001

ISO/IEC 27001 on rahvusvaheline infoturbe juhtimissüsteemi (ISMS) standard. 2022. aasta versioon seab juhtimis-, riski- ja parendusnõuded ning viitab 93 lisa meetmele neljas rühmas: organisatsioonilised, inimeste, füüsilised ja tehnoloogilised kontrollid. Sertifitseerimine on vabatahtlik, kuid võib olla klientide või hanketingimuste nõue.

Sertifitseerimisaudit ei ole ühekordne dokumentide kontroll. Tavaliselt toimub esimene etapp (dokumentatsioon ja valmisolek), teine etapp (rakendamise tõendid), seejärel järelevalveauditid ja uues tsüklis sertifitseerimise uuendamine. Sertifikaadi väljastab akrediteeritud sertifitseerimisasutus, mitte konsultant ega pentestija.

Eestis on ISO 27001 sertifitseerimiseks akrediteeritud asutusi; kontrolli kehtivat akrediteeringut Eesti Akrediteerimiskeskuse kaudu. Kui klient küsib „ISO 27001 auditit“, täpsusta, kas ta mõtleb sertifitseerimisauditit, siseauditit või ettevalmistavat hindamist. Täpsemalt: ISO 27001 sertifitseerimise ja auditi juhend.

AI Act

AI Act on ELi tehisintellekti määrus, mis lähtub riskitasemest. Keelatud kasutusjuhud on keelatud, suure riskiga süsteemidele kehtivad ulatuslikud nõuded, piiratud riskiga süsteemidele läbipaistvuskohustused. Määrust muudeti 2026. aastal määrusega (EL) 2026/1744: osa nõudeid lihtsustati ja suure riskiga süsteemide tähtaegu lükati edasi.

Artikkel 15 nõuab suure riskiga süsteemidelt täpsust, vastupidavust ja küberturvalisust, kuid ei sätesta ühte testimeetodit. Tehniline turvatestimine võib toetada tõendeid, kuid ei asenda vastavushindamist. Eestis täidab TTJA tulevikus pädeva asutuse rolli. AI Act juhend annab riskiklassid, tähtajad ja testimise piirid.

CRA: digitaalelementidega tooted

Cyber Resilience Act (määrus (EL) 2024/2847) käsitleb digitaalelementidega toodete turvalisust kogu elutsükli jooksul. See puudutab tootjaid ja levitajaid, kes lasevad toote ELi turule: turvaline disain, haavatavuste haldamine, turvauuendused, dokumentatsioon ja CE-märgis. Põhinõuded hakkavad kohalduma 11. detsembril 2027; teatud haavatavuste ja intsidentide teatamise kohustus kehtib alates 11. septembrist 2026.

CRA ei ole sama asi kui NIS2: NIS2 keskendub teenuseosutajate küberturvalisuse juhtimisele, CRA toote vastavusele. Kui toode sisaldab AI-d, võivad lisaks kohalduda AI Acti nõuded. Enne arendustööd kontrolli määruse kehtivat teksti ja Euroopa Komisjoni CRA juhiseid.

Kuidas raamistikud kattuvad

Küsimus	Lühivastus
Kas üks audit katab kõik?	Harva. Ühised tõendid (riskiregister, ligipääsud, varundus, intsidendid) võivad korduvalt kasutada, kuid iga raamistiku ulatus ja kriteeriumid erinevad.
Kas ISO 27001 sertifikaat rahuldab NIS2?	See võib olla tõendiks, kuid ei asenda NIS2 kohaldumise, teatamise ja juhtorgani kohustuste eraldi kontrolli.
Kas pentest on audit?	Ei. Pentest kontrollib ärakasutatavust; audit hindab juhtimist, protsesse ja tõendeid. Üks võib toetada teist.
Kas AI Act nõuab ISO 27001-t?	Ei. AI Act ei tee ISO 27001 kohustuslikuks, kuid ISMS võib aidata korraldada AI-riskijuhtimist ja dokumentatsiooni.

Milliseid tõendeid audit praktikas küsib

Raamistikud erinevad, kuid tõendid kattuvad. Hea tõend on ajakohane, jälgitav ja seotud konkreetse nõude või süsteemiga. Kui tõendit ei ole, on aus öelda „puudujääk plaanis“ — see on parem kui olematu dokument.

Juhtimine: kinnitatud poliitika, juhatuse otsus, vastutajad ja eelarve.
Riskid: riskiregister, mõju- ja tõenäosushinnang, riskijäägi kinnitamine.
Varad ja ligipääsud: teenuste ja tarnijate kaart, rollimaatriks, MFA, perioodiline ülevaatus.
Intsidendid: käsitlemise kord, kontaktid, õppuse raport ja teatamise logi.
Toimepidevus: RPO/RTO, varunduse taastetesti ja kriisiside.
Tehniline kontroll: skaneeringud, pentesti raport, paranduste kordustest ja logid.

Kui soovid tervikpilti, on küberaudit mõistlik esimene samm; kui küsimus on konkreetse süsteemi ärakasutatavuses, vali pentest.

Küsimused regulatsioonide kohta

Kas NIS2, DORA ja E-ITS kehtivad samal ajal?

Võivad kehtida. NIS2 on üldine küberturvalisuse raamistik, DORA finantssektori eriregulatsioon ja E-ITS Eesti infoturbestandard. Kui tegevus kuulub mitme alla, tuleb kattuvus, erisused ja tõendid kokku leppida pädeva asutuse või auditeerijaga.

Millest regulatsioonidega alustada?

Alusta kohaldumisest ja rollist: milline seadus või standard sinu tegevusele kehtib, kes on juhtorgani vastutaja ja millised on kriitilised teenused. Seejärel kaardista tõendid, mis on juba olemas, ja alles siis vali auditi või testimise ulatus.

Kas audit annab sertifikaadi?

Iga raamistik ei anna sertifikaati. E-ITS audit ei ole ISO 27001 sertifikaat, DORA vastavust ei tõenda üks sertifikaat ja AI Acti vastavushindamine ei ole sama asi kui tehniline pentest. Sertifikaadi väljastab selleks akrediteeritud asutus.

Kas ISO 27001 asendab NIS2 või E-ITS-i?

Ei asenda automaatselt. ISO 27001 on rahvusvaheline infoturbe juhtimissüsteemi standard, NIS2 on ELi direktiiv ja E-ITS Eesti standard. Sertifikaat võib olla tõendiks, kuid iga raamistiku kohaldumine ja tõendusnõuded tuleb eraldi kontrollida.

Kas AI Act nõuab pentesti?

AI Act ei sätesta ühte kindlat pentesti. Suure riskiga süsteemide artiklist 15 tulenevad täpsuse, vastupidavuse ja küberturvalisuse nõuded vajavad tõendeid, mille hulka võib kuuluda ka tehniline turvatestimine. See ei asenda vastavushindamist.

Kust leida kehtivaid allikaid?

NIS2 puhul Riigi Teataja ja RIA, DORA puhul EUR-Lex ja Finantsinspektsioon, E-ITS puhul RIA, ISO 27001 puhul ISO ja EVS, AI Acti puhul EUR-Lex ja TTJA. Kontrolli alati kehtivat redaktsiooni ja kohaldamise kuupäeva.

Allikad

Allalaaditav võrdlustabel: NIS2, DORA, E-ITS, ISO 27001, AI Act ja CRA kõrvuti (CSV). Tabelis on kohaldumine, peamine nõue, tähtaeg, järelevalveasutus ja ametlik allikas. Kontrolli enne kasutamist kehtivat redaktsiooni.

Tähtaegade kalender: Laadi CRA ja AI Acti kuupäevad .ics-failina, et need oma kalendrisse lisada. Kalender on abivahend, mitte õiguslik alus.

See leht on selgitav, mitte õigusnõu. Kohaldumise ja tõendite ulatuse kinnitab sinu pädev asutus, auditeerija või jurist.