Oluline üksus ja ülioluline üksus: mis vahe neil KüTS-i järgi on

Erinevused ühes tabelis

Kuidas oma liik leida

KüTS-il ei ole valdkondade lisa nagu NIS2 direktiivil. Kõik üksuste liigid on loetletud § 3 lõigetes 2–5. Käige küsimused läbi järjekorras. Esimene sobiv vastus on lõplik.

1. Kas olete § 3 lg 2 punktides 1–7 loetletud üksus (DNS, elutähtis teenus, avalik haldus, kriitiline side, kvalifitseeritud usaldusteenus, .ee registri pidamine)? Siis olete ülioluline üksus.
2. Kas osutate üldkasutatavat elektroonilise side teenust? Keskmise suurusega või suurem osutaja on ülioluline (§ 3 lg 2 p 8), väiksem oluline üksus (§ 3 lg 4 p 9).
3. Kas tegutsete § 3 lg 3 valdkonnas ja olete suurettevõte? Siis olete ülioluline üksus. Valdkonnad on energeetika, transport, pangandus, finantsturu taristu, ravimite ja meditsiiniseadmete tootmine ning teadus- ja arendustegevus, joogi- ja reovesi, andmekeskus, pilvandmetöötlus, sisuedastusvõrk (CDN), internetiühenduspunkt, haldusteenus, infoturbeteenus ja kosmos.
4. Kas olete § 3 lg 4 punktides 1–7 loetletud üksus, näiteks andmekogu volitatud töötleja? Siis olete oluline üksus suurusest olenemata.
5. Kas tegutsete § 3 lg 3 valdkonnas ja olete keskmise suurusega? Siis olete oluline üksus (§ 3 lg 4 p 8).
6. Kas tegutsete § 3 lg 5 valdkonnas ja olete vähemalt keskmise suurusega? Siis olete oluline üksus, ka suurettevõttena. Valdkonnad on posti- ja kullerteenus, jäätmekäitlus, kemikaalid, toidu hulgimüük ja tööstuslik tootmine, meditsiiniseadmed, NACE C26–C30 tootmine, e-turuplats, otsingumootor, sotsiaalvõrgustik ja teadusasutus.
7. Kui ükski ei sobi, ei ole te teenuseosutaja. Domeeninimede registreerimise teenuse osutaja peab RIA-t siiski teavitama (§ 3¹ lg 1).

Üksus võib olla ka füüsiline isik, nii et seaduse alla võib kuuluda ka FIE (§ 2 p 39).

Suuruse test: töötajad ja raha

Keskmise suurusega üksusel on vähemalt 50 töötajat ning aastabilansimaht või aastakäive üle 10 mln €. Suurettevõttel on vähemalt 250 töötajat ning bilansimaht üle 43 mln € või käive üle 50 mln € (§ 3 lg 2 p 8, lg 3, lg 4 p 8, lg 5). Täidetud peavad olema mõlemad tingimused. Seda kinnitab ka eelnõu 739 SE seletuskiri: „Mõlemad tingimused peavad olema täidetud.“

• Kui töötajaid on vähemalt 50, aga käive ja bilansimaht on kuni 10 mln €, ei ole üksus KüTS-i mõttes keskmise suurusega. Sama kehtib, kui raha on üle 10 mln €, aga töötajaid on alla 50.
• Arvud võetakse Euroopa Komisjoni soovituse 2003/361/EÜ keskmise suurusega ettevõtja määratluse järgi. Arvesse läheb kogu organisatsioon, mitte ainult NIS2 valdkonna tegevus.
• Avaliku sektori osalus ei muuda ettevõtet suureks: soovituse lisa artikli 3 lõiget 4 ei kohaldata (§ 3 lg 6).
• Partner- ja seotud ettevõtete arve ei liideta, kui üksus on neist sõltumatu nende süsteemide osas, mida ta teenuse osutamiseks kasutab (§ 3 lg 7). Grupi ühisel IT-platvormil töötav väike tütarettevõte võib seega arvestuses olla suur.

NIS2 direktiiv loeb ettevõtte keskmiseks juba siis, kui töötajaid on vähemalt 50 või kui nii käive kui ka bilansimaht ületavad 10 mln €. KüTS-i test on kitsam. Teise liikmesriigi seadus võib sama ettevõtet hinnata teisiti.

Mis on mõlemal sama

Liik ei muuda kohustuste sisu. Mõlemad peavad teavitama RIA-t (§ 3¹ lg 1), määrama vastutava juhatuse liikme (§ 6¹ lg 1), rakendama turvameetmeid ja koostama riskianalüüsi (§ 7 lg 1–2) ning teatama olulise mõjuga intsidendist 24 tunni jooksul (§ 8 lg 1). Juhatuse liikme määramise kohustus ei kehti, kui juhatuses on üks liige (§ 6¹ lg 1).

Ka turvameetmete tee ei sõltu liigist, vaid suurusest. Alla 50 töötaja ning kuni 10 mln € bilansimahu või käibega teenuseosutaja rakendab esmaseid turvameetmeid ega vaja E-ITS-i (VVm121 § 3 lg 2¹ p 1). Näiteks väike andmekogu volitatud töötleja on oluline üksus, kuid E-ITS-i auditit tal ei ole.

Trahvid ja kes neid saab

Väärteotrahvid on ette nähtud § 7 lg 1, 2, 3, 5 ja 7 ning § 8 lg 1, 1¹, 4¹, 4², 4³, 5, 7 ja 8¹ rikkumise eest: üliolulisele üksusele § 18², olulisele § 18³. Ülemmäärad on samad, mis NIS2 artiklis 34.

RIA teavitamist (§ 3¹) ja juhatuse kohustusi (§ 6¹) trahvisätted ei hõlma. Neid tagatakse ettekirjutuse ja sunnirahaga (§ 16 lg 1¹ p 5, § 17¹).

§ 18² lg 1 ja § 18³ lg 1 näevad ette ka füüsilise isiku trahvi kuni 10 mln € või 7 mln €. Kes on füüsilisest isikust rikkuja (juhatuse liige, FIE või vastutav töötaja), KüTS ei määratle ja RIA ei ole seda kinnitanud.

Korduma kippuvad küsimused

Kas olulise üksuse kohustused on väiksemad kui üliolulise üksuse omad?

Ei. Mõlemad peavad teavitama RIA-t, määrama vastutava juhatuse liikme, rakendama turvameetmeid ja teatama intsidentidest (KüTS § 3¹, § 6¹, § 7, § 8). Erinevad järelevalve, RIA meetmed ja trahvi ülemmäär.

Kas väike ettevõte võib olla oluline üksus?

Jah. § 3 lg 4 punktides 1–7 ja 9 loetletud üksused on olulised suurusest olenemata, näiteks andmekogu volitatud töötleja, perearstiabi osutaja, usaldusteenuse osutaja ja väiksem sideteenuse osutaja.

Kas RIA ütleb meile, millisesse liiki me kuulume?

Ei pea ütlema. Teavitamine on teie enda kohustus (KüTS § 3¹ lg 1) ja RIA ei saada ettevõtetele ükshaaval teateid. Kas RIA saab liigi vaidluse korral haldusaktiga määrata, ei ole seaduses selgelt kirjas ega RIA kinnitanud.

Kas RIA võib juhatuse liikme ametist kõrvaldada?

Ainult üliolulise üksuse puhul ja ainult ajutiselt: kui hoiatus ja ettekirjutus ei aita, võib RIA peatada juhatuse liikme volitused, kuni puudused on kõrvaldatud (KüTS § 16 lg 1⁴–1⁶). Olulise üksuse puhul seda võimalust ei ole.

Mis juhtub, kui tegutseme mitmes valdkonnas?

Üldist reeglit mitmes valdkonnas tegutsevale üksusele KüTS-is ei ole. Meie tõlgenduse järgi jääb peale kõrgem liik, sest § 3 lg 4 p 8 hõlmab ainult üksust, kes ei ole ülioluline. RIA ei ole seda kinnitanud, seega küsige kahtluse korral RIA-lt.