Saatja: "Priit Põld [COBALT]" <
[email protected]>
Saaja: "Justiits- ja Digiministeerium" <
[email protected]>
Teema: Selgitustaotlus küberturvalisuse seaduse tõlgendamise kohta
Kuupäev: 2026-01-19 12:31
Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.
Lp Justiits- ja Digiministeerium,
Pöördun selgitustaotlusega seoses 1. jaanuaril 2026 kehtima hakanud
küberturvalisuse seaduse (KütS) muudatustega, täpsemalt KütS § 3 lõike 4
punkti 8 tõlgendamisega.
KütS § 3 lg 4 p 8 sätestab, et oluline üksus on üksus, kes ei ole ülioluline
üksus, kuid kellel on Euroopa Komisjoni soovituses 2003/361/EÜ esitatud
keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50
või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10
miljonit eurot ning kelle tegevusala on nimetatud käesoleva paragrahvi
lõikes 3.
Sätte sõnastusest tulenevalt näib, et keskmise suurusega ettevõtjaks
kvalifitseerumine eeldab kumulatiivselt:
* vähemalt 50 töötajat
ja
* alternatiivselt kas aastabilansimahu või aastakäibe ületamist 10 miljoni
euro piiri.
Sellise tõlgenduse kohaselt ei kuuluks näiteks ettevõtja, kellel on 30
töötajat, kuid kelle aastakäive on 15 miljonit eurot ja bilansimaht 20
miljonit eurot, KütS tähenduses „olulise üksuse“ alla.
Samuti on Riigikogule esitatud seletuskirjas öeldud: „Euroopa Komisjoni
soovituse 2003/361/EÜ kohaselt on keskmise suurusega ettevõtjaks ettevõtja,
kellel on a) aastas vähemalt 50 töötajat ning b) kelle aastane bilansimaht
või aastakäive ületab 10 miljonit eurot.“ Selline sõnastus jätab, sarnaselt
seaduse tekstile, üheselt mõistetava mulje, et töötajate arvu ja
majandusnäitajaid tuleb lugeda koos ning kui nt töötajate arvu kriteerium ei
ole täidetud, siis üksus on seaduse skoobist väljas.
Samas on Riigikogule esitatud seletuskirjas toodud näited, mis viitavad
teistsugusele loogikale, kui see, mis tuleneb seaduse tekstist. Näiteks:
* kui ettevõtjal on näiteks 60 töötajat, aastane bilansimaht on 8 miljonit
eurot ja aastakäive on 6 miljonit eurot, siis on tegemist keskmise suurusega
ettevõtjaga (töötajate arv ületab ette nähtud suurust);
* kui ettevõtjal on näiteks 40 töötajat, aastane bilansimaht 14 miljonit
eurot ja aastakäive on 12 miljonit eurot, siis on tegemist keskmise
suurusega ettevõtjaga (aastase bilansimahu ja aastakäibe näitajad ületavad
ette nähtud suurusi);
Eelviidatud näited ei eelda töötajate arvu ja finantsnäitajate kumulatiivset
täitmist ning näivad olevat kooskõlas Euroopa Komisjoni soovituse
2003/361/EÜ loogikaga, kuid mitte KütS sõnastusega.
Euroopa Komisjoni soovitus 2003/361/EÜ ei defineeri keskmise suurusega
ettevõtet positiivsete alampiiride kaudu, vaid käsitleb seda n-ö
jääkkategooriana. Keskmise suurusega ettevõte on ettevõte, mis kuulub
väikese ja keskmise suurusega ettevõtjate hulka (alla 250 töötaja), ei vasta
mikro- ega väikeettevõtja kriteeriumidele ning mille aastakäive ei ületa 50
miljonit eurot ja/või aastabilansimaht 43 miljonit eurot. Väikeettevõtteks
kvalifitseerumine eeldab seejuures nii töötajate arvu piiri kui ka vähemalt
ühe finantsnäitaja piiri täitmist. Kui üks neist tingimustest ei ole
täidetud, ei kvalifitseeru ettevõte väikeettevõtteks ning liigitatakse
järgmisse suuruskategooriasse (keskmise suurusega ettevõte). Sellest
tulenevalt oleks näiteks ettevõte, kellel on 20 töötajat, kuid kelle
aastakäive ja bilansimaht ületavad 10 miljonit eurot, Euroopa Komisjoni
soovituse kohaselt keskmise suurusega ettevõte, mitte väikeettevõte.
Paistab, et nii seaduse teksti kui ka Riigikogule esitatud seletuskirjas
toodud selgituste aluseks on olnud eelmises, 07.12.2024 seletuskirjas
esitatud tõlgendus:
„KüTS § 1 lõike 11 sisu on NIS2 direktiivi artikli 2 lõike 1 üle võtmine
osas, mis on seotud viitega Euroopa Komisjoni soovitusele 2003/361/EÜ
mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta. Tolle
soovituse kohaselt on keskmise suurusega ettevõtjaga tegemist siis, kui
ettevõtjal on a) vähemalt 50 töötajat ning b) tema bilansimaht või
aastakäive ületab 10 miljonit eurot. Mõlemad tingimused peavad olema
täidetud, st kui näiteks on olemas vähemalt 50 töötajat, kuid bilansimaht
või aastakäive on väiksem kui 10 miljonit eurot, siis pole tegemist
„keskmise suurusega ettevõtjaga“; bilansimahu ja aastakäibe puhul on vaja,
et mõlemad ei oleks väiksemad kui 10 miljonit eurot. Sama loogika ning
tulemus on ka vastupidi ehk kui bilansimaht või aastakäive on vähemalt 10
miljonit eurot, kuid ettevõtjal on vähem kui 50 töötajat, ei ole tegemist
keskmise suurusega ettevõtjaga; bilansimahu ja aastakäibe puhul on vaja, et
vähemalt üks neist oleks suurem kui 10 miljonit eurot./…/.“
Eelnevast nähtub vastuolu:
* KütS § 3 lg 4 p 8 grammatiline sõnastus viitab kumulatiivsele alampiiride
loogikale;
* seletuskirja näited ning Euroopa Komisjoni soovituse tegelik sisu lähtuvad
hierarhilisest ja välistaval põhimõttel põhinevast loogikast.
Palun selgitada, milline on Justiits- ja Digiministeeriumi kui eelnõu
koostaja seisukoht KütS § 3 lg 4 p 8 tõlgendamisel:
* kas „keskmise suurusega ettevõtja“ mõistet tuleb siiski mõista kooskõlas
Euroopa Komisjoni soovituse 2003/361/EÜ hierarhilise loogikaga,
* või lähtutakse KütS sõnastusest tulenevast kumulatiivsest
kriteeriumistikust.
Õigusselguse huvides palun selgitada ka, kas ja millisel viisil on
kavandatud edasisi täpsustusi seaduse tekstis, kuna seaduse kohaldamise
seisukohast on tegemist olulise küsimusega.
Lugupidamisega
Priit Põld
Vandeadvokaat
M. <tel:+372%205117%20315> +372 5117 315
<http://www.cobalt.legal/> www.cobalt.legal
Käesoleva e‑kirja saatja on COBALT büroo Eestis ja sellele kohalduvad
järgmised <https://www.cobalt.legal/et/cobalti-e-kirja-hoiatusklausel/>
tingimused ja <https://www.cobalt.legal/et/uldtingimused/> üldtingimused