NIS 2 status in Estonia
What the directive requires, how Estonia transposes it through the Cybersecurity Act, and where RIA sits inside the picture.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including Estonia, with one cybersecurity floor for essential and important entities. Estonia must put that floor into Estonian law and run a supervision regime under it.
Estonia transposed NIS 2 through amendments to the existing Küberturvalisuse seadus (Cybersecurity Act) rather than a brand-new statute. The amendments were passed by the Riigikogu in December 2025 and entered into force on 1 January 2026. The EU transposition deadline of 17 October 2024 was missed, which is why the European Commission sent Estonia a reasoned opinion in May 2025.
De Information System Authority (Riigi Infosüsteemi Amet, RIA) is de nationale bevoegde autoriteit, het centrale contactpunt en het CSIRT. CERT-EE is de incidentresponseenheid van RIA. Aanbieders die op 1 januari 2026 al binnen de reikwijdte vielen, moesten hun gegevens binnen drie maanden via het staatsportaal eesti.ee bij RIA indienen.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Estland zonder nationale omzetting.
Estonian transposition
Küberturvalisuse seadus, NIS 2 amendments in force from 1 January 2026
De Estse NIS 2-omzetting is een pakket wijzigingen op de bestaande Cybersecurity Act (aangenomen op 10 december 2025, RT I, 30.12.2025, 4), aangevuld met uitvoeringsbesluiten en richtsnoeren van RIA. Volgens de memorie van toelichting groeit de gereguleerde kring van ongeveer 3.500 naar ongeveer 6.500 entiteiten, verdeeld over energie, vervoer, gezondheid, digitale infrastructuur en openbaar bestuur.
Küberturvalisuse seadus, amended for NIS 2
Estonia did not draft a new cybersecurity statute. The existing Cybersecurity Act was amended to carry the NIS 2 obligations: the essential and important entity categories, the supervision powers of RIA, incident reporting duties, and sanctions. Operational detail is filled in by implementing regulations and RIA guidance.
RIA as competent authority, CERT-EE as CSIRT
RIA (Riigi Infosüsteemi Amet, the Information System Authority) is the national competent authority and single point of contact under NIS 2. CERT-EE, the national CSIRT, sits inside RIA and handles incident handling and coordination. Sector regulators retain their existing roles where lex specialis applies.
Registration and reporting
De wijzigingen van de Cybersecurity Act zijn op 1 januari 2026 in werking getreden. Aanbieders die op die datum binnen de reikwijdte vielen, moesten binnen drie maanden een melding bij RIA doen. Aanbieders die later aan de criteria voldoen, hebben vanaf dat moment drie maanden, en wijzigingen moeten binnen twee weken worden doorgegeven. Een lid van het bestuur dient de melding in via eesti.ee. Aanbieders hebben drie jaar vanaf 1 januari 2026 om volledig aan de eisen te voldoen. Significante incidenten gaan naar CERT-EE (raport.cert.ee of cert@cert.ee) in het ritme van de richtlijn: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand.
Local law applies inside Estonia
Operations on Estonian territory follow the Estonian transposition. A German Geschäftsführer running an Estonian subsidiary reads the Küberturvalisuse seadus for that subsidiary, not the German BSIG. The directive obligations are the same; the procedure, the portal and the sanctions live in Estonian law and are supervised by RIA.
Estonia cannot go below the EU floor
De richtlijn is een instrument van minimumharmonisatie. Estland mag strenger zijn. Het mag niet onder de richtlijn zakken wat betreft de plichten van essentiële en belangrijke entiteiten, de termijnen voor incidentmelding of de verantwoordelijkheid van het leidinggevend orgaan.
RIA
Riigi Infosüsteemi Amet, the Information System Authority. National competent authority, single point of contact and cybersecurity regulator under NIS 2. Operates the national cybersecurity centre, issues guidance, runs supervision and coordinates incident response through CERT-EE.
CERT-EE
The Estonian national CSIRT, organisationally part of RIA. Receives incident notifications, coordinates response across public sector and critical infrastructure operators, and connects to the EU CSIRTs network.
ENISA
The EU cybersecurity agency. Publishes guidance, manages the European vulnerability database, and supports cross-border coordination. Not a supervisor for Estonian entities; RIA is.
Estonia is in the EU, so the German NIS2UmsuCG applies here too.
Each member state transposes the directive into its own law. An Estonian subsidiary follows the Küberturvalisuse seadus, supervised by RIA, even if the parent company sits in Germany. Reporting goes through CERT-EE, not through the German BSI. The substantive obligations are aligned at the directive level, but the procedure and supervisor are Estonian.
There is no public NIS 2 register in Estonia, so we can wait.
De gewijzigde Cybersecurity Act eist dat aanbieders binnen de reikwijdte hun gegevens bij RIA indienen: wie op 1 januari 2026 binnen de reikwijdte viel binnen drie maanden, latere toetreders binnen drie maanden nadat zij aan de criteria voldoen. Of een openbaar register zichtbaar is voor buitenstaanders, is een aparte vraag. Wachten tot handhaving zichtbaar is, is de meest gemaakte fout.
We are not in a critical sector, so NIS 2 does not apply.
The NIS 2 perimeter is wider than the old NIS 1 OES list. Sectors such as waste management, postal and courier services, manufacturing of certain products, food production and digital providers are now in scope under Annex II if the size test is met. Public administrations and certain digital providers are in regardless of size. The check has to be done against the directive's sector annex, not against the entity's perception of being critical.
Estonia entered NIS 2 from a high digital-government baseline. RIA was already running the national cybersecurity centre, CERT-EE was already operational, and the Cybersecurity Act already existed. The NIS 2 step was not a new architecture, it was a broader scope and tighter governance: more sectors in, management body accountability formalised, and incident reporting deadlines aligned to the directive.
De praktische stap is dezelfde als overal in de EU: bevestig de reikwijdte onder de richtlijn, registreer u zelf bij RIA, zet de vier doorlopende verplichtingen op (registratie bijhouden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. De Estse basis helpt bij de technische volwassenheid, maar vervangt niet het documenteren van de NIS 2-maatregelen zelf.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Küberturvalisuse seadus (Cybersecurity Act): Riigi Teataja
- European Commission, NIS 2 directive transposition tracker: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, official site (ria.ee)
- CERT-EE: Estonian national CSIRT, inside RIA
- Riigikogu press releases on the NIS 2 transposition bill
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
