NIS2 ja KüTS digitaristu teenuste osutajatele Eestis: pilv, andmekeskused ja side

Lühivastus: jah, digitaristu on Eestis KüTS-i vaateväljas

Jah — digitaristu teenused on Eesti küberturvalisuse seaduse (KüTS) kohaldamisalas. Domeeninimede süsteemi teenuse osutajad, tippdomeeninimede registri pidajad ning kriitilise tähtsusega side teenuse osutajad on loetletud otse KüTS § 3 lõikes 2, üldkasutatava elektroonilise side võrgu ja teenuse osutajad § 3 lg 2 punktis 8 ning andmekeskusteenuse, pilvandmetöötlusteenuse, interneti sõlmpunkti teenuse ja sisulevivõrguteenuse osutajad § 3 lõikes 3. Sõltuvalt tegevusalast ja suurusest liigitub ettevõte üliolulise üksuse või olulise üksuse alla (KüTS § 3 lg 2–5).

Mida teha esimesena? Tuvasta, milline KüTS § 3 punkt sinu teenust kirjeldab, arvuta töötajate arv ja majandusnäitajad läbi ning esita Riigi Infosüsteemi Ametile (RIA) KüTS § 3¹ lg 1 kohased andmed nimekirja kandmiseks. Alles seejärel on mõtet hakata turvameetmeid ja intsidendiprotsessi paika panema.

Kuidas KüTS digitaristu sektorit nimetab

KüTS ei kasuta üldmõistet „digitaristu", vaid loetleb konkreetsed teenuseliigid. KüTS § 3 lg 2 nimetab üliolulise üksusena muu hulgas sõna-sõnalt:

> „domeeninimede süsteemi teenuse osutaja; 2) elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses; 3) keskvalitsuse avaliku halduse üksus; 4) kohaliku omavalitsuse avaliku halduse üksus; 5) kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja; 6) kvalifitseeritud usaldusteenuse osutaja"

Samas lõikes on loetletud ka tippdomeeninimede registri pidaja (§ 3 lg 2 p 7) ning üldkasutatava elektroonilise side võrgu teenuse osutaja või üldkasutatava elektroonilise side teenuse osutaja (§ 3 lg 2 p 8).

KüTS § 3 lõikes 3 on nimetatud ülejäänud digitaristu tegevusalad, sealhulgas:

• andmekeskusteenuse osutaja (p 1);
• infoturbeteenuse osutaja (p 11);
• interneti sõlmpunkti teenuse osutaja (p 12);
• pilvandmetöötlusteenuse osutaja (p 29);
• sisulevivõrguteenuse osutaja (p 33).

Otsustav ei ole ettevõtte turundussõnavara, vaid see, kas tegelikult osutatav teenus vastab mõnele nendest kirjeldustest.

Ülioluline või oluline üksus — künnised, mis otsustavad

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Digitaristu puhul kehtivad järgmised künnised.

Domeeninimede süsteemi teenuse osutaja ja tippdomeeninimede registri pidaja on üliolulised üksused ilma suuruskünniseta (§ 3 lg 2 p 1 ja 7). Sama kehtib kriitilise tähtsusega side, mereraadioside ja operatiivraadiosidevõrgu teenuse osutaja kohta (§ 3 lg 2 p 5).

Arvutamisel on kaks olulist erisust: Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4 ei kohaldata (§ 3 lg 6) ning partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide poolest oma partner- või sidusettevõtjast sõltumatu (§ 3 lg 7).

Põhikohustused: turvameetmed, juhtkond ja andmete esitamine RIA-le

KüTS ei sätesta digitaristule eraldi turvameetmete kataloogi — § 7 kohustused kehtivad kõikidele teenuseosutajatele ühtmoodi, sõltumata sektorist. Erinevus üliolulise ja olulise üksuse vahel avaldub eelkõige järelevalves ja trahvimäärades.

Turvameetmed (KüTS § 7 lg 1). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemi turvalisust ohustavaid riske (sh koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju teenuse saajale ning intsidenti ennetada, tuvastada ja lahendada. Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust (§ 7 lg 2).

Sisu poolelt tugineb raamistik direktiivi (EL) 2022/2555 artikli 21 lõike 2 loetelule: riskianalüüs ja infosüsteemide turbe põhimõtted, intsidentide käsitlemine, talitluspidevus (varundushaldus, avariitaaste) ja kriisiohje, tarneahela turvalisus, süsteemide hankimise, arendamise ja hoolduse turvalisus koos nõrkuste käsitlemisega, meetmete tõhususe hindamine, küberhügieen ja koolitus, krüptograafia, personali turvalisus ja juurdepääsukontroll ning kohasel juhul mitmikautentimine ja turvaline side.

Allhange ja majutus. Digitaristu ahelate jaoks on oluline KüTS § 7 lg 3: kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab ta selle eest, et see teine isik turvameetmed rakendab.

Standard. Eesti infoturbestandardi § 1 lg 1 järgi järgib teenuse osutaja võrgu- ja infosüsteemi turvalisuse tagamiseks E-ITS-i ja rakendab sellest tulenevaid turvameetmeid. Turvameetmete üldnõuded ja erinõuded kehtestatakse määrusega (§ 7 lg 5).

Juhtkonna vastutus. Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta.

Andmete esitamine RIA-le (KüTS § 3¹ lg 1). Teenuseosutaja esitab RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, IP-aadresside vahemikud, telefoninumbrid), asjakohasel juhul direktiivi (EL) 2022/2555 I või II lisa sektori ja allsektori ning riikide loetelu, kus teenuseid osutatakse. Muudatustest tuleb teatada viivitamata, kuid hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4). Enne § 3¹ lg 1 jõustumist (01.01.2026) tunnustele vastanud teenuseosutaja täidab kohustuse kolme kuu jooksul, s.o hiljemalt 01.04.2026 (§ 28¹ lg 1).

Intsidendist teavitamine: 24 tundi, 72 tundi, üks kuu

Teated esitatakse Riigi Infosüsteemi Ametile, mille koosseisus tegutseb riiklik intsidentide käsitlemise üksus CERT-EE (KüTS § 5 lg 3 p 3). Teavituskanal on https://raport.cert.ee/ või cert@cert.ee.

1. Esmane teade — viivitamata, kuid hiljemalt 24 tunni jooksul pärast intsidendist teada saamist, kui sellel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või kui olulist mõju võib mõistlikult eeldada (§ 8 lg 1). 2. Intsidenditeade — viivitamata, kuid hiljemalt 72 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist; sellega ajakohastatakse esmase teatega esitatud teavet (§ 8 lg 4¹). 3. Vahearuanne — RIA taotlusel enne lõppraportit (§ 8 lg 4³). 4. Lõppraport — ühe kuu jooksul intsidenditeate esitamisest. Kui intsident on veel lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).

Millal on mõju „oluline"? § 8 lg 2 loetleb tingimused, millest piisab ühest: tagajärgede raskusaste on riskianalüüsi järgi vähemalt raske; teenust ei saa jätkata pärast maksimaalse lubatud katkestuse aja möödumist; häiritud on teise teenuseosutaja teenuse toimepidevus; vaja on rakendada erakorralisi abinõusid; tekkinud või tekkida võib märkimisväärne kahju. Kui teenuse osutamine on häiritud veel vähemalt ühes ELi liikmesriigis, loetakse intsident alati olulise mõjuga intsidendiks (§ 8 lg 3).

Majutus- ja halduspartnerite puhul kehtib § 8 lg 1¹: teenuseosutaja vastutab selle eest, et partner teavitab teda hiljemalt 24 tunni jooksul intsidendist teada saamisest. Lepingud tuleb selle tähtajaga kooskõlla viia.

Trahvid ja järelevalve

KüTS § 7 ja § 8 nõuete rikkumise eest on ette nähtud rahatrahvid:

• ülioluline üksus (juriidiline isik): kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2);
• oluline üksus (juriidiline isik): kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).

Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (§ 19 lg 1) ja aegumistähtaeg on kolm aastat (§ 19 lg 4). RIA täidab ühtlasi direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti, artikli 9 kriisiohje ning artikli 12 turvahaavatavuste koordineeritud avaldamise koordinaatori ülesandeid (§ 5 lg 3).

Praktiline järjekord digitaristu ettevõttele: (1) määra KüTS § 3 alusel oma tegevusala ja klass; (2) esita § 3¹ lg 1 andmed RIA-le; (3) vormista riskianalüüs ja § 7 lg 1 turvameetmed, tuginedes E-ITS-ile; (4) kirjuta lahti 24 h / 72 h / 1 kuu teavitusahel koos vastutajate ja varukontaktidega; (5) vii allhanke- ja majutuslepingud § 7 lg 3 ja § 8 lg 1¹ nõuetega kooskõlla. Ametlikud vormid, juhised ja tõlgendused avaldab Riigi Infosüsteemi Amet (https://www.ria.ee/) — palun kontrolli sealt üksikasju enne otsuste tegemist.

Kui soovid kiiret esmast hinnangut, alusta tasuta ulatuse- ja lünkade kaardistuse tööriistast: see aitab läbi käia künnised, meetmed ja teavitusprotsessi.