KüTS § 6: küberturvalisuse tagamise põhimõtted

Õiguslik alus (KüTS)

KüTS § 6 lg 1

> Küberturvalisuse tagamisel arvestatakse järgmisi põhimõtteid: 1) isiklikkuse põhimõte – süsteemi turvalisuse tagamist korraldab teenuseosutaja; [ RT I, 30.12.2025, 4 - jõust. 01.01.2026] 2) tervikliku kaitse põhimõte – teenuseosutaja teeb kindlaks võimalikud ohud süsteemile ning rakendab süsteemi kaitseks kohaseid korralduslikke ja tehnilisi abinõusid; [ RT I, 30.12.2025, 4 - jõust. 01.01.2026] 3) kahjuliku mõju vähendamise põhimõte – teenuseosutaja rakendab küberintsidendi korral vajalikku hoolsust ja abinõusid, et vältida küberintsidendi mõju laienemist ja võimalikku levikut teisele süsteemile, ning teavitab küberintsidendist käesolevas seaduses sätestatud järelevalveasutust; [ RT I, 30.12.2025, 4 - jõust. 01.01.2026] 4) koostööpõhimõte – küberturvalisuse tagamisel ja küberintsidentide lahendamisel teevad osalised koostööd ja võtavad vajaduse korral arvesse süsteemide ja teenuste omavahelist seotust ning sõltuvust. 2. peatükk Kohustused küberturvalisuse tagamiseks

Mida see praktikas tähendab

KüTS § 6 lõige 1 ei kirjelda ühtegi konkreetset tehnilist lahendust, vaid paneb paika neli põhimõtet, millega küberturvalisuse tagamisel arvestatakse. Neid tasub lugeda kui mõtteviisi, mille järgi kogu ülejäänud turvakorraldus üles ehitatakse: kes vastutab, kui laialt tuleb ohte vaadata, kuidas käituda intsidendi ajal ja kellega koostööd teha.

Põhimõtted tähendavad lihtsas keeles järgmist:

• Isiklikkuse põhimõte – süsteemi turvalisuse tagamist korraldab teenuseosutaja ise. Turvalisus ei ole midagi, mille saab kellelegi teisele "ära anda": korraldamise kohustus jääb teenuseosutajale, ka siis, kui üksikuid töid teevad partnerid.
• Tervikliku kaitse põhimõte – teenuseosutaja teeb kindlaks võimalikud ohud süsteemile ning rakendab süsteemi kaitseks kohaseid korralduslikke ja tehnilisi abinõusid. Ainult tehnikast ei piisa: seadus paneb korra, reeglid ja inimeste käitumise tehniliste meetmetega samale pulgale.
• Kahjuliku mõju vähendamise põhimõte – küberintsidendi korral tuleb rakendada vajalikku hoolsust ja abinõusid, et intsidendi mõju ei laieneks ega kanduks edasi teisele süsteemile, ning küberintsidendist tuleb teavitada seaduses sätestatud järelevalveasutust.
• Koostööpõhimõte – küberturvalisuse tagamisel ja küberintsidentide lahendamisel teevad osalised koostööd ning võtavad vajaduse korral arvesse süsteemide ja teenuste omavahelist seotust ja sõltuvust.

Praktikas on kõige olulisem tähele panna, et need põhimõtted toimivad koos. Ohtude kaardistamine ilma vastutuse selge määramiseta jääb paberile; intsidendile reageerimine ilma teiste osalistega suhtlemata ei arvesta sellega, et tänapäeval sõltuvad süsteemid ja teenused üksteisest. Kuna põhimõtted on sõnastatud üldiselt, hinnatakse nende täitmist alati konkreetse teenuseosutaja süsteemide ja riskide taustal – väikese ja suure organisatsiooni "kohane abinõu" ei pruugi olla sama.

Mida ettevõte peab tegema

Määrake vastutus kirjalikult. Kuna turvalisuse tagamist korraldab teenuseosutaja ise, peab organisatsioonis olema selge, kes seda tööd juhib – näiteks juhatuse liige koos määratud infoturbe eest vastutava töötajaga. Fikseerige see ametijuhendis või juhatuse otsuses. Kui osa töid on ostetud sisse (majutus, hooldus, turvaseire), lisage lepingutesse, mida partner täpselt teeb ja kuidas ta teile intsidendist ja ohtudest teada annab – korraldamise kohustus jääb ikkagi teile.

Kaardistage ohud ja valige abinõud. Koostage nimekiri oma süsteemidest ja teenustest ning hinnake iga puhul, millised ohud on võimalikud. Sellest sünnib riskihinnang, mille põhjal valite nii korralduslikud abinõud (reeglid, ligipääsuõiguste kord, koolitus, varunduse kord) kui ka tehnilised abinõud (ligipääsu piirangud, logimine, uuendused, varukoopiad). Dokumenteerige, miks just need abinõud on teie süsteemi jaoks kohased – terviklik kaitse tähendab, et ükski oluline süsteem ei jää kaardistamata.

Valmistage ette intsidendi käitumisjuhend. Kirjutage lühike plaan, mis ütleb, kes avastatud küberintsidendi korral mida teeb: kuidas intsident kiiresti piiratakse, et selle mõju ei laieneks teistele süsteemidele, kes teavitab järelevalveasutust ja kes suhtleb partnerite ning klientidega. Lisage plaani kontaktid ja hoidke need ajakohasena. Harjutage plaani läbi vähemalt lauaharjutusena, et intsidendi hetkel ei kuluks aega otsustamisele.

Leppige koostöö eelnevalt kokku. Pange kirja, millistest teistest teenustest ja tarnijatest teie süsteemid sõltuvad ja kes sõltub teist, ning kuidas te üksteist ohtudest ja intsidentidest teavitate. Täpsemate ootuste ja praktiliste juhiste osas lähtuge Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest ning vaadake need üle koos oma riskihinnangu ja intsidendiplaani iga-aastase uuendamisega.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.