Andmekeskusteenus: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 1 määratleb mõiste andmekeskusteenus järgmiselt:

> andmekeskusteenus – teenus, millega pakutakse selliseid struktuure või struktuurirühmi, mis on ette nähtud andmete talletamiseks, töötlemiseks ning edastamiseks kasutatavate infotehnoloogia- ja võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, sealhulgas kõiki elektrivarustuse ning majutuskeskkonna kontrolliga seotud vahendeid ja taristuid;

Mida see praktikas tähendab

Andmekeskusteenus tähendab küberturvalisuse seaduse mõistes teenust, millega pakutakse struktuure või struktuurirühmi, mis on ette nähtud andmete talletamiseks, töötlemiseks ning edastamiseks kasutatavate infotehnoloogia- ja võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks. Lihtsas keeles: sa pakud kellelegi füüsilist ja tehnilist keskkonda, kus tema serverid ja võrguseadmed saavad turvaliselt töötada.

Oluline on see, et definitsioon ei piirdu ainult serveriruumi seintega. Mõiste hõlmab sõnaselgelt ka kõiki elektrivarustuse ning majutuskeskkonna kontrolliga seotud vahendeid ja taristuid. Praktikas tähendab see, et teenuse osaks loetakse ka:

• toitesüsteemid, sealhulgas varutoide ja katkematu toite lahendused;
• jahutus, ventilatsioon ja muu majutuskeskkonna kontroll;
• füüsiline juurdepääsu- ja turvakorraldus ruumides;
• seadmete omavaheliseks sidumiseks kasutatav sisemine võrgutaristu.

Seega ei ole andmekeskusteenus pelgalt "ruumi rent". Määrav on funktsioon: kas sinu pakutav keskkond on ette nähtud selleks, et kliendi IT- ja võrguseadmed oleksid seal kesksel viisil majutatud, ühendatud ja töös hoitud. Kui vastus on jah, oled tõenäoliselt selle mõiste sisulises ulatuses — ka siis, kui nimetad oma teenust turul hoopis kolokatsiooniks, serverimajutuseks või taristuteenuseks.

Tähelepanu tasub pöörata ka piiritlemisele. Mõiste keskmes on majutuskeskkond ja selle käitamine, mitte kliendi enda rakendused või andmete sisuline töötlemine. Kui pakud lisaks majutusele ka muid digiteenuseid, võivad need kvalifitseeruda eraldi mõistete alla ning neid tuleb hinnata eraldi.

Mida ettevõte peab tegema

Esimene samm on kuuluvuse hindamine. Võrdle oma tegelikku teenusekirjeldust definitsiooniga sõna-sõnalt: kas pakud struktuure või struktuurirühmi IT- ja võrguseadmete keskseks majutamiseks, sidumiseks ja käitamiseks? Vaata teenuslepinguid ja hinnakirju, mitte turundustekste. Fikseeri hinnangu tulemus kirjalikult koos põhjendusega — nii saad hiljem näidata, millisel alusel otsus tehti. Hinda eraldi ka olukorda, kus majutad ainult enda seadmeid, ilma teenust turul pakkumata.

Teine samm on ulatuse dokumenteerimine. Pane kirja, millised objektid ja süsteemid teenuse koosseisu kuuluvad: majutusruumid ja asukohad, toitesüsteemid koos varutoitega, jahutus ja muu majutuskeskkonna kontroll, füüsiline juurdepääsukorraldus ning sisemine võrgutaristu. Lisa nimekiri kriitilistest sõltuvustest — elektrivarustus, sideühendused, hooldus- ja seirepartnerid — ning märgi, millised osad on välja renditud või alltöövõtus. See loetelu on aluseks kõigele edasisele riskihindamisele ja intsidendikäsitlusele.

Kolmas samm on vastutuse määramine. Nimeta konkreetne isik või roll, kes vastutab küberturvalisuse korralduse eest, ning määra ka asendaja. Selgita juhatuse tasandil välja, kes teeb otsuseid, kes teavitab ja kes suhtleb järelevalveasutusega. Vii vastutus ka lepingutesse: mida katab teenusepakkuja, mida klient, ja kuidas jagunevad kohustused majutuskeskkonna ning kliendi seadmete vahel.

Neljandaks hoia ennast kursis ametlike juhistega. Selle lehe sisu selgitab üksnes mõiste tähendust ega asenda õiguslikku hinnangut. Kui vajad kinnitust, kas ja millises ulatuses teie ettevõte kvalifitseerub, tugine Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele ja selgitustele ning jälgi nende uuendusi. Vaadake oma hinnang ja dokumentatsioon üle iga kord, kui teenuse maht, asukohad või taristu oluliselt muutuvad.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.