NIS2 avaliku halduse üksustele Eestis: kohustused küberturvalisuse seaduse järgi

Lühivastus: jah, avaliku halduse üksused on Eestis seaduse kohaldamisalas

Jah. Küberturvalisuse seadus (KüTS) nimetab § 3 lõike 2 punktis 3 ülioluliseks üksuseks keskvalitsuse avaliku halduse üksuse ja punktis 4 kohaliku omavalitsuse avaliku halduse üksuse. See tähendab, et need üksused on teenuseosutajad KüTS § 3 lõike 1 tähenduses koos kõigi sellest tulenevate turvameetmete-, teavitamis- ja vastutuskohustustega.

Esimene samm on kindlaks teha, millisesse KüTS § 3 loetellu teie asutus või organisatsioon täpselt langeb (ülioluline üksus § 3 lg 2 järgi või oluline üksus § 3 lg 4 järgi), ning seejärel esitada Riigi Infosüsteemi Ametile (RIA) § 3¹ lõikes 1 nõutud andmed. Alles pärast seda tasub asuda turvameetmete ja intsidendikäsitluse korra juurde.

Oluline erand: KüTS § 1 lõike 2 kohaselt ei kohaldata seadust riigisaladuse ja salastatud välisteabe töötlemisele ega selliste süsteemide pidamisele, Kaitseministeeriumi valitsemisalas rahvusvaheliseks sõjaliseks koostööks ja riigi sõjalise kaitse ettevalmistamiseks vajalike süsteemide pidamisele ning Eesti Vabariigi diplomaatilistele ja konsulaaresindustele kolmandates riikides. Usaldusteenuse osutajale seda erisust ei kohaldata (§ 1 lg 2¹).

Kuidas seadus sektorit sõnastab

KüTS § 3 lõige 2 loetleb üliolulised üksused. Avaliku halduse sektorit puudutav sõnastus on seaduses järgmine:

> 3) keskvalitsuse avaliku halduse üksus; > > 4) kohaliku omavalitsuse avaliku halduse üksus;

Seadus ei sea nende kahe punkti puhul töötajate arvu, aastakäibe ega aastabilansimahu tingimust — erinevalt näiteks sama lõike punktist 8, kus künnis on sõnaselgelt kirjas.

Avaliku sektoriga seotud üksusi nimetab ka KüTS § 3 lõige 4, mis loetleb olulised üksused. Sinna kuuluvad muu hulgas:

• andmekogu vastutav töötleja ja volitatud töötleja avaliku teabe seaduse tähenduses (p 1);
• Arenguseire Keskus (p 2);
• avalik-õiguslik juriidiline isik (p 3);
• kohaliku omavalitsuse üksuste liit (p 4);
• Riigimetsa Majandamise Keskus (p 6);
• teadusasutus (§ 3 lg 5 p 9, koos sama lõike künnisega).

KüTS-i kohaldamise ulatuse üldpõhimõte on kirjas § 1 lõikes 1: seadus sätestab ülioluliste ja oluliste üksuste võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve.

Ülioluline üksus või oluline üksus — ja millal künnised loevad

KüTS eristab kahte klassi: ülioluline üksus ja oluline üksus (§ 3 lg 1). Avaliku halduse üksuste puhul on määrav loeteluline kuulumine, mitte suurus.

Suuruskünnised tulevad mängu teistes olukordades. KüTS § 3 lõige 3 loeb ülioluliseks üksuseks selles lõikes nimetatud tegevusaladega üksuse, kellel on majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot. Sama lõike tegevusaladel tegutsev väiksem üksus võib olla oluline üksus § 3 lõike 4 punkti 8 alusel: 50 või rohkem töötajat ning aastabilansimaht või aastakäive üle 10 miljoni euro. Sama künnis kehtib § 3 lõikes 5 nimetatud tegevusalade puhul.

Arvestuse tegemisel on kaks Eesti erisust: § 3 lõike 6 järgi ei kohaldata Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4, ja § 3 lõike 7 järgi ei arvestata partner- või sidusettevõtja andmeid, kui üksus on teenuste osutamisel kasutatavate süsteemide osas oma partner- või sidusettevõtjast sõltumatu.

Põhikohustused: turvameetmed, juhtimine ja andmete esitamine RIA-le

Turvameetmed. KüTS § 7 lõige 1 kohustab teenuseosutajat rakendama alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemi turvalisust ohustavaid riske (sh koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju ning küberintsidenti ennetada, tuvastada ja lahendada. Meetmete valikul arvestatakse § 7 lõike 2 tegureid, sh ajakohaseid standardeid, kulusid ja proportsionaalsust. Kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse mujal, vastutab teenuseosutaja endiselt selle eest, et turvameetmed oleksid rakendatud (§ 7 lg 3). Eesti infoturbestandardi (E-ITS) § 1 lõike 1 kohaselt järgib teenuse osutaja võrgu- ja infosüsteemi turvalisuse tagamiseks E-ITS-i ja rakendab sellest tulenevaid turvameetmeid.

Sisu, mida meetmed katma peavad, on loetletud direktiivi (EL) 2022/2555 artikli 21 lõikes 2: riskianalüüs ja infosüsteemide turbe põhimõtted; intsidentide käsitlemine; talitluspidevus (varundushaldus, avariitaaste) ja kriisiohje; tarneahela turvalisus; süsteemide hankimise, arendamise ja hoolduse turvalisus koos nõrkuste käsitlemisega; meetmete tõhususe hindamise kord; küberhügieen ja koolitus; krüptograafia kasutamise põhimõtted; personali turvalisus, juurdepääsukontroll ja varade haldus; ning kohasel juhul mitmikautentimine ja turvaline side.

Juhtkonna vastutus. Direktiivi artikli 20 lõike 1 järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks ja jälgivad nende rakendamist. Sama lõige täpsustab, et selle kohaldamine ei piira liikmesriigi õigusaktide kohaldamist avaliku sektori asutuste vastutust käsitlevate normide ning avalike teenistujate ja ametnike vastutuse osas.

Andmete esitamine. KüTS § 3¹ lõike 1 järgi esitab teenuseosutaja RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, IP-aadresside vahemikud, telefoninumbrid), asjakohasel juhul direktiivi lisas osutatud sektori ja allsektori ning riikide loetelu. Muudatustest tuleb teatada viivitamata, kuid hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4). RIA koostab nimekirja iga kahe aasta järel (§ 3¹ lg 2) ja see on asutusesiseseks kasutamiseks mõeldud teave (§ 3¹ lg 3). Üksus, kes vastas teenuseosutaja tunnustele enne § 3¹ lõike 1 jõustumist 01.01.2026, pidi kohustuse täitma kolme kuu jooksul (§ 28¹ lg 1).

KüTS ei sätesta avaliku halduse üksustele eraldi, sektoripõhist kohustuste komplekti — samad § 7 ja § 8 nõuded kehtivad kõigile teenuseosutajatele.

Küberintsidendist teavitamine ja tähtajad

Teated esitatakse Riigi Infosüsteemi Ametile; riiklik intsidentide käsitlemise üksus on CERT-EE (KüTS § 5 lg 3 p 3). Teavituskanal on https://raport.cert.ee/ või cert@cert.ee.

• Esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul pärast küberintsidendist teada saamist, kui sellel on oluline mõju süsteemi turvalisusele või teenuse toimepidevusele või kui sellist mõju võib mõistlikult eeldada (§ 8 lg 1).
• Intsidenditeade, millega esmase teate teavet ajakohastatakse, viivitamata, kuid hiljemalt 72 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹). Usaldusteenuse osutaja esitab selle teate 24 tunni jooksul (§ 8 lg 4²).
• Vahearuanne RIA taotlusel enne lõppraporti esitamist (§ 8 lg 4³).
• Lõppraport ühe kuu jooksul intsidenditeate esitamisest. Kui intsident on veel lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).

Millal on mõju „oluline", loetleb § 8 lõige 2 — muu hulgas siis, kui tagajärgede raskusaste on riskianalüüsi järgi vähemalt raske, kui teenuse maksimaalne lubatud katkestusaeg on ületatud, kui häiritud on teise teenuseosutaja teenuse toimepidevus või kui on tekkinud või võib tekkida märkimisväärne kahju. Kui teenuse osutamine on häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati olulise mõjuga intsidendiks (§ 8 lg 3). Asjakohasel juhul tuleb mõistliku aja jooksul teavitada ka mõjutatud isikuid või avalikkust (§ 8 lg 5). Kui süsteemi haldab või majutab teine isik, vastutab teenuseosutaja selle eest, et see isik teda hiljemalt 24 tunni jooksul teavitaks (§ 8 lg 1¹).

Trahvid ja järelevalve

KüTS § 7 ja § 8 nõuete rikkumise eest on ette nähtud väärteokaristused:

KüTS § 18² lõige 1 sätestab üliolulise üksuse puhul rahatrahvi kuni 10 000 000 eurot ja § 18³ lõige 1 olulise üksuse puhul kuni 7 000 000 eurot.

Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet (KüTS § 5 lg 3), riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb RIA (§ 14 lg 1) ning KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on samuti RIA (§ 19 lg 1). Väärtegude aegumistähtaeg on kolm aastat (§ 19 lg 4). Ametlik teave ja juhised: Riigi Infosüsteemi Amet, https://www.ria.ee/, ria@ria.ee, +372 663 0200.