Haldusteenuse osutaja: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 7 määratleb mõiste haldusteenuse osutaja järgmiselt:

> haldusteenuse osutaja – üksus, kes osutab teenuseid, mis on seotud IKT-toodete, võrkude, taristu, rakenduste või muude võrgu- ja infosüsteemide paigaldamise, haldamise, käitamise või hooldamisega toe või aktiivse haldamise kaudu kas kliendi ruumides või kaugjuhtimise teel;

Mida see praktikas tähendab

Haldusteenuse osutaja on küberturvalisuse seaduse § 2 lõike 1 järgi üksus, kes osutab teenuseid, mis on seotud IKT-toodete, võrkude, taristu, rakenduste või muude võrgu- ja infosüsteemide paigaldamise, haldamise, käitamise või hooldamisega toe või aktiivse haldamise kaudu kas kliendi ruumides või kaugjuhtimise teel.

Lihtsas keeles: tegemist on ettevõttega, kes hoiab kliendi IT-d töökorras selle asemel, et klient teeks seda ise. Määrav ei ole see, kuidas teenust turundatakse, vaid see, kas teenusepakkuja tegelikult haldab või hooldab kliendi süsteeme. Definitsioon katab muu hulgas:

• serverite, võrguseadmete ja töökohaarvutite paigaldamise ja seadistamise;
• süsteemide igapäevase käitamise, seire ja tõrkelahenduse;
• uuenduste, paikade ja konfiguratsioonimuudatuste tegemise;
• rakenduste ja taristu haldamise kliendi nimel;
• kasutajatoe, mis hõlmab aktiivset ligipääsu kliendi süsteemidele.

Oluline on kaks täpsustust. Esiteks ei sõltu mõiste alla kuulumine asukohast — teenus võib olla osutatud nii kliendi ruumides kohapeal kui ka täielikult kaugjuhtimise teel. Teiseks eristab definitsioon tuge ja aktiivset haldamist, mis tähendab, et ka nõuandev või reageeriv tugiteenus võib mõiste alla kuuluda, kui see on seotud loetletud süsteemide paigaldamise, halduse, käitamise või hooldusega.

Praktikas puudutab see mõiste laia ringi tegijaid: IT-partnereid ja süsteemihaldureid, võrguhaldusteenuse pakkujaid, hallatavate teenuste (managed services) ettevõtteid ning allhankijaid, kes teiste ettevõtete IT-keskkonda hooldavad. Kuna selline teenusepakkuja omab sageli ulatuslikku ligipääsu klientide süsteemidele, on tema turvatase otseselt seotud klientide turvatasemega.

Mida ettevõte peab tegema

Alustage enesehinnangust. Vaadake üle kõik teenused, mida te klientidele osutate, ja võrrelge neid definitsiooni sõnastusega. Küsige iga teenuse kohta: kas me paigaldame, haldame, käitame või hooldame kliendi võrgu- või infosüsteeme? Kas meil on selleks ligipääs kliendi keskkonnale — kohapeal või kaugühenduse kaudu? Kui vastus on jaatav, tuleb tõsiselt kaaluda, et kuulute haldusteenuse osutaja mõiste alla, ja seda ka siis, kui see on vaid osa teie ärimudelist.

Dokumenteerige tulemus kirjalikult. Koostage lühike ülevaade, kus on kirjas teenuste loetelu, iga teenuse sisu, kliendi süsteemidele antud ligipääsu ulatus ja teie hinnang koos põhjendusega, kas teenus vastab definitsioonile või mitte. Sama oluline on põhjendada ka eitav vastus — dokumenteeritud hinnang näitab, et otsus on läbi mõeldud, mitte juhuslik. Hoidke see ülevaade elavana ja vaadake see üle, kui lisate uue teenuse või muudate olemasolevat.

Määrake vastutaja ja korraldage sisemised protsessid. Nimetage juhtkonna tasandil konkreetne inimene, kes vastutab küberturvalisuse nõuete täitmise eest, ning fikseerige tema ülesanded. Kaardistage lisaks: millised töötajad ja allhankijad omavad ligipääsu klientide süsteemidele, kuidas ligipääsu antakse ja eemaldatakse, kuidas see logitakse ning kuidas hallatakse kaughaldusvahendeid. Vaadake üle ka kliendilepingud ja teie enda tarneahel — teie alltöövõtjad võivad samuti selle mõiste alla kuuluda.

Kasutage ametlikku juhendmaterjali. Kui vajate täpsustust selle kohta, kas teie teenus mõiste alla kuulub või millised kohustused sellega kaasnevad, tuginege Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele ja selgitustele — RIA on küberturvalisuse seaduse valdkonnas pädev asutus ning tema materjalid on ajakohane allikas nii mõistete tõlgendamiseks kui ka praktiliste sammude planeerimiseks.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.