KüTS Art. 8Teenuseosutaja kohustus teavitada küberintsidendist

(1) Teenuseosutaja, välja arvatud julgeolekuasutus, esitab Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist küberintsidendist:

1) millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju;

2) mille oluline mõju süsteemi turvalisusele või teenuse toimepidevusele ei ole ilmne, kuid seda võib mõistlikult eeldada.

(1¹) Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik teavitab teenuseosutajat hiljemalt 24 tundi pärast käesoleva paragrahvi lõikes 1 nimetatud küberintsidendist teada saamist.

(2) Küberintsidendil on oluline mõju, kui on täidetud vähemalt üks järgmistest tingimustest:

1) küberintsidendi mõju on käesoleva seaduse § 7 lõike 1 punkti 1 alusel koostatud süsteemi riskianalüüsis määratud tagajärgede raskusastme kohaselt vähemalt raske;

2) küberintsidendi tõttu ei ole teenuse osutamist võimalik jätkata teenustaseme kokkuleppes või teenuse toimepidevuse nõuetes sätestatud teenuse maksimaalse lubatud katkestuse aja möödumisel;

3) küberintsidendi tõttu on häiritud teise teenuseosutaja teenuse toimepidevus;

4) küberintsidendi lahendamiseks tuleb rakendada käesoleva seaduse § 7 lõike 1 punkti 1 alusel koostatud süsteemi riskianalüüsis või selle olemasolul muus teenuse toimepidevuse või süsteemi turvalisuse taastamist kirjeldavas dokumendis toodud erakorralisi abinõusid;

5) teenuseosutajale, teisele teenuseosutajale või teenuse kasutajatele on küberintsidendi tõttu tekkinud või võib tekkida märkimisväärne kahju;

6) tegemist on Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõike 11 alusel vastu võetud Euroopa Komisjoni rakendusaktis sätestatud olulise intsidendiga.

(3) Kui küberintsidendi tagajärjel on teenuse või teise teenuse osutamine häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati olulise mõjuga küberintsidendiks.

(4) (4¹) Teenuseosutaja, välja arvatud julgeolekuasutus, edastab Riigi Infosüsteemi Ametile viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist intsidenditeate, millega ajakohastatakse esmase teatega esitatud teavet olulise mõjuga küberintsidendi asjaoludest täpsustatud ülevaate saamiseks.

(4²) Usaldusteenuse osutaja esitab käesoleva paragrahvi lõikes 4 1 nimetatud intsidenditeate viivitamata, kuid hiljemalt 24 tundi pärast olulise mõjuga küberintsidendist teada saamist.

(4³) Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja enne käesoleva paragrahvi lõikes 7 nimetatud lõppraporti esitamist vahearuande olulise mõjuga küberintsidendi lahendamise seisu kohta. Vahearuandes esitatakse intsidenditeates ette nähtud andmed ja asjakohasel juhul Riigi Infosüsteemi Ameti taotletud lisateave.

(5) Teenuseosutaja on asjakohasel juhul kohustatud teavitama mõistliku aja jooksul isikut, keda olulise mõjuga küberintsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada. Teates annab teenuseosutaja võimaluse korral teada olulisest küberohust ja meetmetest, mida mõjutatud isik saab olulisele küberohule reageerimiseks võtta.

(6) Kui üldsuse teadlikkus või küberintsidendi avalikustamine on vajalik olulise mõjuga küberintsidendi ennetamiseks või lahendamiseks või muul moel üldsuse huvides, võib Riigi Infosüsteemi Amet avalikkust teavitada olulise mõjuga küberintsidendist pärast asjaomase teenuseosutajaga konsulteerimist või nõuda, et seda teeks asjaomane teenuseosutaja.

(7) Teenuseosutaja esitab ühe kuu jooksul käesoleva paragrahvi lõikes 4 1 nimetatud intsidenditeate esitamisest arvates Riigi Infosüsteemi Ametile lõppraporti. Kui olulise mõjuga küberintsidenti ei ole lõppraporti esitamise ajaks veel lahendatud, käsitatakse esitatud lõppraportit vahearuandena ja teenuseosutaja esitab uue lõppraporti ühe kuu jooksul pärast olulise mõjuga küberintsidendi lahendamist.

(8) Küberintsidendist teavitamisel esitatavad andmed ja teavitamise korra kehtestab riikliku küberturvalisuse valdkonna eest vastutav minister ./dyn=106102026002&id=111032026003 määrusega.

(8¹) Kui Euroopa Komisjon võtab vastu Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 artikli 23 lõikes 11 nimetatud rakendusakti, milles täpsustatakse küberintsidendi, sealhulgas olulise mõjuga küberintsidendi kohta esitatava teate või raporti vorm ja selle esitamise kord, lähtutakse nimetatud rakendusaktis sätestatud nõuetest.

(9) (10) Julgeolekuasutus teatab küberintsidendist asjakohast julgeolekuasutust, arvestades käesolevas paragrahvis sätestatud nõudeid.