Esmased turvameetmed KüTS alusel — mida seadus tegelikult nõuab

Eesti äriregistris on üle 6 500 ettevõtte, kellele KüTS täna juba kohaldub. Neist enamik arvas veel hiljuti, et neil on aega. Neil ei ole. Esmased turvameetmed jõustusid 1. oktoobril 2025 — ja RIA-l on õigus vastavust igal ajal kontrollida.

Mis on esmased turvameetmed? KüTS § 7 alusel kehtestatud küberturvalisuse miinimumlatt alla 50 töötajaga KüTS subjektidele — üheksa turbevaldkonda, mida organisatsioon peab pidevalt rakendama. Mitte ühekordse projekti, vaid jooksva protsessina.

Miks see ei ole vabatahtlik

KüTS ei paku valikut. Kui teie ettevõte osutab NIS2 sektori teenust ja teil on alla 50 töötaja, kehtivad esmased turvameetmed teile täna — olenemata sellest, kas te sellest teadlik olete.

Mittetäitmine toob kaasa RIA ettekirjutuse. Ettekirjutuse täitmata jätmine tähendab sunniraha kuni 20 000 eurot korraga. Raskemate rikkumiste korral kohalduvad KüTS § 52 järgi trahvid — olulisele üksusele kuni 7 miljonit eurot või 1,4% käibest.

Kuid suurim risk ei ole trahv. See on juhatuse isiklik vastutus. KüTS ja NIS2 direktiiv nõuavad, et vähemalt üks juhatuse liige kiidaks turvameetmed isiklikult heaks ja jälgiks nende rakendamist. Küberturvalisuse eiramine ei ole enam ainult ettevõtte risk — see on juhatuse liikme isiklik õiguslik vastutus.

Esmased turvameetmed ei ole E-ITS

Paljud KüTS subjektid teevad ühe vea: nad kuulevad "küberturvalisus" ja lähevad kohe ISO 27001 suunas. See on kallis ja aeganõudev — ega ole isegi nõutav.

Esmased turvameetmed on E-ITS-i lihtsustatud versioon, mis on loodud täpselt alla 50 töötajaga organisatsioonidele. Erinevus on märkimisväärne:

• Vähem nõudeid kui täismahus E-ITS
• Vähem dokumentatsiooni
• Ei nõua välisauditit
• Rakendatav sisemiselt, ilma välise konsultandita

Täismahus E-ITS kohaldub suurtele üksustele — 50 või enam töötajat, käive üle 10 miljoni euro. Kui teie ettevõte jääb alla selle piiri, on esmased turvameetmed teie seaduslik kohustus, mitte E-ITS.

Üks oluline erand: kui teie ettevõttel on kehtiv ISO 27001 sertifikaat, loetakse teid KüTS-i nõuetele vastavaks — see on KüTS § 3 lõige 2 sõnaselge säte. Sertifikaat peab olema kehtiv ja RIA-le esitatud.

Üheksa turbevaldkonda, millest peate teadlik olema

Esmased turvameetmed katavad seaduse järgi üheksata turbevaldkonda. Iga valdkond sisaldab konkreetseid rakendatavaid nõudeid — mitte soovitusi, vaid kohustusi:

• Infoturbe korraldus — vastutuste määramine ja turbepoliitika
• Kasutajate teadlikkus, koolitus ja kasutajaõigused
• Andmete turve — varukoopiad, taastamine, kaitse
• Tarnijate, väliste teenuste ja partnerite haldus
• Küberintsidentide haldus — tuvastamine, dokumenteerimine, teavitamine
• Pilvteenuste ja veebirakenduste kaitse
• Infotehnoloogiaseadmete kaitse — konfiguratsioon, tarkvara ajakohasus
• Sideühenduste ja võrgu kaitse
• Füüsiline turve — seadmete ja ruumide kaitse

Kolm sammu, millega kohe alustada

• Kaardistage oma varad. Infosüsteemid, tarkvarad, andmestikud, seadmed. Ei saa kaitsta seda, mida ei tea, et teil on.
• Hinnake lüngad. Võrrelge olemasolevat olukorda üheksa turbevaldkonna nõuetega. Prioritiseerige — kõike korraga ei pea lahendama.
• Dokumenteerige ja esitage juhatusele. Iga rakendatud meede peab olema kirjas. Juhatus peab selle heaks kiitma. Ilma dokumentatsioonita ei ole midagi toimunud — ka RIA silmis mitte.

Esimene samm on tasuta. HoneyRISK esmaste turvameetmete moodul on kõigile KüTS subjektidele tasuta — varade kaardistus, lünkade analüüs ja prioritiseeritud tegevusplaan juhatusele ühes kohas, ilma konsultandita.