Subject: Selgitustaotlus küberturvalisuse seaduse tõlgendamise kohta
From: Priit Põld [COBALT] <[email-masked]>
To: "Justiits- ja Digiministeerium" <[email-masked]>
Date: Mon, 19 Jan 2026 14:31:02 +0200

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.

Lp Justiits- ja Digiministeerium,

Pöördun selgitustaotlusega seoses 1. jaanuaril 2026 kehtima hakanud 
küberturvalisuse seaduse (KütS) muudatustega, täpsemalt KütS § 3 lõike 4 
punkti 8 tõlgendamisega.

KütS § 3 lg 4 p 8 sätestab, et oluline üksus on üksus, kes ei ole ülioluline 
üksus, kuid kellel on Euroopa Komisjoni soovituses 2003/361/EÜ esitatud 
keskmise suurusega ettevõtja määratluse kohaselt majandusaasta jooksul 50 
või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 
miljonit eurot ning kelle tegevusala on nimetatud käesoleva paragrahvi 
lõikes 3.

Sätte sõnastusest tulenevalt näib, et keskmise suurusega ettevõtjaks 
kvalifitseerumine eeldab kumulatiivselt:

*	vähemalt 50 töötajat

ja

*	alternatiivselt kas aastabilansimahu või aastakäibe ületamist 10 miljoni 
euro piiri.

Sellise tõlgenduse kohaselt ei kuuluks näiteks ettevõtja, kellel on 30 
töötajat, kuid kelle aastakäive on 15 miljonit eurot ja bilansimaht 20 
miljonit eurot, KütS tähenduses „olulise üksuse“ alla.

Samuti on Riigikogule esitatud seletuskirjas öeldud: „Euroopa Komisjoni 
soovituse 2003/361/EÜ kohaselt on keskmise suurusega ettevõtjaks ettevõtja, 
kellel on a) aastas vähemalt 50 töötajat ning b) kelle aastane bilansimaht 
või aastakäive ületab 10 miljonit eurot.“ Selline sõnastus jätab, sarnaselt 
seaduse tekstile, üheselt mõistetava mulje, et töötajate arvu ja 
majandusnäitajaid tuleb lugeda koos ning kui nt töötajate arvu kriteerium ei 
ole täidetud, siis üksus on seaduse skoobist väljas.

Samas on Riigikogule esitatud seletuskirjas toodud näited, mis viitavad 
teistsugusele loogikale, kui see, mis tuleneb seaduse tekstist. Näiteks:

*	kui ettevõtjal on näiteks 60 töötajat, aastane bilansimaht on 8 miljonit 
eurot ja aastakäive on 6 miljonit eurot, siis on tegemist keskmise suurusega 
ettevõtjaga (töötajate arv ületab ette nähtud suurust);
*	kui ettevõtjal on näiteks 40 töötajat, aastane bilansimaht 14 miljonit 
eurot ja aastakäive on 12 miljonit eurot, siis on tegemist keskmise 
suurusega ettevõtjaga (aastase bilansimahu ja aastakäibe näitajad ületavad 
ette nähtud suurusi);

Eelviidatud näited ei eelda töötajate arvu ja finantsnäitajate kumulatiivset 
täitmist ning näivad olevat kooskõlas Euroopa Komisjoni soovituse 
2003/361/EÜ loogikaga, kuid mitte KütS sõnastusega.

Euroopa Komisjoni soovitus 2003/361/EÜ ei defineeri keskmise suurusega 
ettevõtet positiivsete alampiiride kaudu, vaid käsitleb seda n-ö 
jääkkategooriana. Keskmise suurusega ettevõte on ettevõte, mis kuulub 
väikese ja keskmise suurusega ettevõtjate hulka (alla 250 töötaja), ei vasta 
mikro- ega väikeettevõtja kriteeriumidele ning mille aastakäive ei ületa 50 
miljonit eurot ja/või aastabilansimaht 43 miljonit eurot. Väikeettevõtteks 
kvalifitseerumine eeldab seejuures nii töötajate arvu piiri kui ka vähemalt 
ühe finantsnäitaja piiri täitmist. Kui üks neist tingimustest ei ole 
täidetud, ei kvalifitseeru ettevõte väikeettevõtteks ning liigitatakse 
järgmisse suuruskategooriasse (keskmise suurusega ettevõte). Sellest 
tulenevalt oleks näiteks ettevõte, kellel on 20 töötajat, kuid kelle 
aastakäive ja bilansimaht ületavad 10 miljonit eurot, Euroopa Komisjoni 
soovituse kohaselt keskmise suurusega ettevõte, mitte väikeettevõte.

Paistab, et nii seaduse teksti kui ka Riigikogule esitatud seletuskirjas 
toodud selgituste aluseks on olnud eelmises, 07.12.2024 seletuskirjas 
esitatud tõlgendus:

„KüTS § 1 lõike 11 sisu on NIS2 direktiivi artikli 2 lõike 1 üle võtmine 
osas, mis on seotud viitega Euroopa Komisjoni soovitusele 2003/361/EÜ 
mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta. Tolle 
soovituse kohaselt on keskmise suurusega ettevõtjaga tegemist siis, kui 
ettevõtjal on a) vähemalt 50 töötajat ning b) tema bilansimaht või 
aastakäive ületab 10 miljonit eurot. Mõlemad tingimused peavad olema 
täidetud, st kui näiteks on olemas vähemalt 50 töötajat, kuid bilansimaht 
või aastakäive on väiksem kui 10 miljonit eurot, siis pole tegemist 
„keskmise suurusega ettevõtjaga“; bilansimahu ja aastakäibe puhul on vaja, 
et mõlemad ei oleks väiksemad kui 10 miljonit eurot. Sama loogika ning 
tulemus on ka vastupidi ehk kui bilansimaht või aastakäive on vähemalt 10 
miljonit eurot, kuid ettevõtjal on vähem kui 50 töötajat, ei ole tegemist 
keskmise suurusega ettevõtjaga; bilansimahu ja aastakäibe puhul on vaja, et 
vähemalt üks neist oleks suurem kui 10 miljonit eurot./…/.“

Eelnevast nähtub vastuolu:

*	KütS § 3 lg 4 p 8 grammatiline sõnastus viitab kumulatiivsele alampiiride 
loogikale;
*	seletuskirja näited ning Euroopa Komisjoni soovituse tegelik sisu lähtuvad 
hierarhilisest ja välistaval põhimõttel põhinevast loogikast.

Palun selgitada, milline on Justiits- ja Digiministeeriumi kui eelnõu 
koostaja seisukoht KütS § 3 lg 4 p 8 tõlgendamisel:

*	kas „keskmise suurusega ettevõtja“ mõistet tuleb siiski mõista kooskõlas 
Euroopa Komisjoni soovituse 2003/361/EÜ hierarhilise loogikaga,
*	või lähtutakse KütS sõnastusest tulenevast kumulatiivsest 
kriteeriumistikust.

Õigusselguse huvides palun selgitada ka, kas ja millisel viisil on 
kavandatud edasisi täpsustusi seaduse tekstis, kuna seaduse kohaldamise 
seisukohast on tegemist olulise küsimusega.

Lugupidamisega

Priit Põld

Vandeadvokaat

M.  <tel:+372%205117%20315> +372 5117 315

 <http://www.cobalt.legal/> www.cobalt.legal

Käesoleva e‑kirja saatja on COBALT büroo Eestis ja sellele kohalduvad 
järgmised  <https://www.cobalt.legal/et/cobalti-e-kirja-hoiatusklausel/> 
tingimused ja  <https://www.cobalt.legal/et/uldtingimused/> üldtingimused