Küberturvalisuse seadus ja NIS2 Eestis: mida see tähendab veebimajutuse valikul?

Seisuga 30.09.2026. See on tehniline ülevaade, mitte õigusnõu.

Lühivastus

  1. Muudetud küberturvalisuse seadus, mis võtab Eesti õigusesse üle NIS2 direktiivi, jõustus 2026. aasta jaanuaris (RIA andmetel).
  2. Nõuded laienesid: RIA nimetab uute hulgas ka pilvandmetöötluse teenuse pakkujaid, ja kohustatud ettevõtete arv kasvas umbes 3500-lt 6500-ni.
  3. Ettevõtetele on antud kolmeaastane üleminekuaeg; teenuse osutajad pidid esitama oma andmed RIA-le kolme kuu jooksul pärast seaduse jõustumist.
  4. Järelevalvet teeb Riigi Infosüsteemi Amet (RIA).
  5. Veebimajutuse pakkuja ei tee sinu ettevõtet seadusekuulekaks: 4hosting ei anna vastavuskinnitust ega ole sertifitseeritud, ta pakub ainult tehnilist keskkonda ja DevOps-tunde.

Mis Eestis muutus?

NIS2 on Euroopa Liidu direktiiv (EL) 2022/2555, mis kehtestab ühtsed küberturvalisuse nõuded olulistele ja tähtsatele üksustele. Eestis on see üle võetud küberturvalisuse seaduse muudatustega, mis jõustusid 2026. aasta jaanuaris. Riigi Infosüsteemi Amet kirjeldab muudatust oma uudises „Uuest aastast laienes küberturvalisuse seadus“.

Praktikas tähendab see, et kohustatud üksuste ring kasvas. RIA toob uute hulgas välja pilvandmetöötluse teenuse pakkujad, haiglad, jäätmekäitlejad ja teatud toidukäitlejad. Üleminekuaeg on kolm aastat, kriitilise taristu käitajatele viis aastat alates määramisest.

Millele veebimajutuse valikul tähelepanu pöörata

Seadus paneb kohustused kohustatud üksusele, mitte automaatselt tema hostingupakkujale. Kui sinu ettevõte on NIS2 alla kuuluv, pead riskid hindama ja tarnijasuhted (sh hosting) ise kaardistama. Hostingupakkujalt tasub küsida:

  • Kus serverid füüsiliselt asuvad ja millise jurisdiktsiooni all andmed on?
  • Kas on andmetöötleja leping (GDPR art. 28) ja kuidas on korraldatud andmeedastus väljapoole ELi?
  • Kuidas toimivad varukoopiad ja taastamine ning kes ja kuidas sind intsidendi korral teavitab?
  • Kas pakkuja väidab sertifikaati või ainult joondumist standardiga, ja kas see on kontrollitav?

Intsidentidest teavitamise tähtajad tulevad direktiivi artiklist 23 (varajane hoiatus 24 tunni jooksul, teade 72 tunni jooksul); täpse korra ja adressaadi kontrolli RIA juhistest.

Kolm tüüpilist olukorda

  • E-pood või agentuur, kes ise NIS2 alla ei kuulu: kliendileping võib siiski nõuda turvameetmeid; hostingu valikul aitab kirjalik ülevaade asukohast, varukoopiatest ja lepingutest.
  • SaaS-i pakkuja kohustatud üksuse alltöövõtjana: klient küsib tõenäoliselt sinu tarneahela kohta küsimustikku; kogu vastuste pind (server, ligipääsud, logid) peab olema dokumenteeritud.
  • Ettevõte, kes ise osutab pilvandmetöötlusteenust: RIA nimetab selliseid pakkujaid otse; kontrolli enda registreerimiskohustust RIA-s.

Levinud vead

  • Arvatakse, et hostingupakkuja võtab vastutuse üle. Kohustatud üksuse vastutus jääb temale.
  • Ostetakse „NIS2-vastav hosting“, ilma et küsitaks, mida see täpselt tähendab ja kes seda kinnitab.
  • Unustatakse varukoopia taastamise proov ja ligipääsuõiguste ülevaatus.
  • Jäetakse mööda RIA-le esitamise tähtaeg, kui oled ise teenuse osutaja.

Kuidas 4hosting aitab

Ausalt: 4hosting ei ole NIS2 sertifitseeritud ega anna vastavuskinnitust. Meie andmekeskused asuvad ELis, Frankfurdis, mitte Eestis. Latentsuse kohta ei anna me numbreid, ütleme vaid, et Frankfurdist on see tavaliselt madal.

Mida pakume: VPS-e (root-ligipääs, Docker/Kubernetes valmis), andmetöötluslepingut GDPR art. 28 alusel, SCC-sid, joondumist ISO 27001-ga (mitte sertifikaati) ning igas paketis kuus DevOps-, küberturbe- ja programmeerimistunde (cPanel: alates paketist Advanced). Küberturbe alla kuuluvad turvaaudit, WAF ja DDoS, SIEM ning karastamine. Tunnid küsitakse kliendipaneelist, need ei kandu üle järgmisse kuusse ning kvoodi ületavad tunnid arvestatakse eraldi. Nõuded, millele sinu ettevõte peab vastama, hindab sinu jurist või RIA.

Korduma kippuvad küsimused

Kas mu väike ettevõte peab NIS2-ga vastama?

Seda otsustab seaduse kohaldamisala (sektor ja suurus), mitte hosting. Kontrolli kohustatud üksuste loetelu RIA lehelt ja vajadusel jurist. Kui oled kohustatud üksus, jääb vastutus sinule, ka siis kui server on pakkuja juures.

Kas 4hosting on NIS2 või ISO 27001 sertifitseeritud?

Ei. 4hosting deklareerib joondumist ISO 27001-ga, mitte sertifikaati, ning ei anna vastavuskinnitust. Pakume andmetöötluslepingut (GDPR art. 28) ja standardseid lepingutingimusi (SCC) andmeedastuseks.

Kus 4hostingu serverid asuvad?

Andmekeskus asub ELis: Frankfurdis. Eestis meil andmekeskust ei ole.

Juhendid Eesti ettevõtetele