Kas teie NIS2 dokument on Eestis õiguslikult kontrollitav — ja kuidas seda üle vaadata

1. Jälgitavus: iga kohustus peab viitama Eesti seaduse sättele

Eestis on NIS2 ülevõtmise seadus küberturvalisuse seadus (KüTS). See tähendab, et ettevõtte kohustused tulenevad KüTS-i sätetest, mitte direktiivi tekstist üldiselt. Dokument, mis viitab ainult direktiivile (EL) 2022/2555 või ei viita millelegi, ei ole kontrollitav: lugeja ei saa ühtegi väidet allikaga kõrvutada.

Kontrollitav viide näeb välja nii, et lause seadusest on tsiteeritud sõna-sõnalt ja viide järgneb kohe:

> "Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid" (KüTS § 7 lg 1).

Võtke oma dokument ette ja märkige ära iga lause, mis ütleb "peab", "on kohustatud" või "tuleb". Iga sellise lause juures peab olema paragrahvi ja lõike täpsusega viide, näiteks § 7 lg 1, § 7 lg 3, § 8 lg 1 või § 3¹ lg 1. Kui viidet ei ole või on ainult üldine märkus "NIS2 nõuab", ei saa keegi — ei teie ise, ei klient ega järelevalveasutus — kontrollida, kas väide vastab kehtivale tekstile.

2. Kaetus: kas dokument katab seaduse turvameetmete valdkonnad

KüTS § 7 lg 1 nõuab, et turvameetmed oleksid rakendatud selleks, et:

• hallata riske, mis ohustavad teenuse osutamisel kasutatava süsteemi turvalisust, sealhulgas koostatakse riskianalüüs;
• ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele;
• ennetada küberintsidenti või see tuvastada ja lahendada.

Meetmete valikul tuleb KüTS § 7 lg 2 kohaselt arvestada muu hulgas ettevõtte vajadusi ja turvanõudeid, ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid, proportsionaalsust (riskidele avatuse määr, suurus, intsidentide tõenäosus ja tõsidus) ning ohte süsteemselt ja terviklikult hõlmavat lähenemisviisi.

Täpsemad nõuded ei ole ainult seaduses: KüTS § 7 lg 5 alusel kehtestatakse määrusega infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard (E-ITS), turvameetmete üldnõuded ning süsteemide turvameetmete erinõuded. E-ITS-i kohaselt järgib teenuse osutaja standardit ja rakendab sellest tulenevaid turvameetmeid (Eesti infoturbestandard § 1 lg 1).

Sisukorra test on lihtne: kas dokument käsitleb riskianalüüsi, intsidentide käsitlemist, talitluspidevust, tarneahela turvalisust, süsteemide hankimise ja hoolduse turvalisust, meetmete tõhususe hindamist, küberhügieeni ja koolitust, krüptograafiat, personali turvalisust ja juurdepääsukontrolli ning tugevat autentimist? Need valdkonnad on loetletud direktiivi (EL) 2022/2555 art 21(2) punktides a–j ja moodustavad miinimumi, mille vastu tasub oma dokumendi peatükke kõrvutada. Kui mõni valdkond puudub täiesti, on dokument teemakäsitluselt poolik.

3. Sõnastus: kohustus peab kattuma seaduse tekstiga, mitte olema vaba ümberjutustus

Vabas ümberjutustuses kaob tihti just see osa, mis on õiguslikult oluline. Näiteks KüTS § 7 lg 3 ütleb: "Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik tagab süsteemi turvameetmete rakendamise" (KüTS § 7 lg 3). Kui dokumendis on sellest saanud lause "IT-partner vastutab turvalisuse eest", on tähendus vastupidiseks pööratud.

Kuidas võrrelda, samm-sammult:

1. Valige dokumendist üks kohustuslause. 2. Leidke selle juurde märgitud säte KüTS-i ametlikust tekstist. 3. Asetage laused kõrvuti ja võrrelge kolme asja: kes on kohustatud, mida täpselt tuleb teha, millise tähtaja või tingimusega. 4. Märkige erinevused — lisatud tingimus, ära jäetud tingimus, muudetud tähtaeg.

Tähtajad on eriti tundlik koht. KüTS § 8 lg 1 järgi esitab teenuseosutaja esmase teate viivitamata, kuid hiljemalt 24 tunni jooksul pärast küberintsidendist teada saamist; intsidenditeate esitab ta § 8 lg 4¹ järgi hiljemalt 72 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist. Usaldusteenuse osutaja esitab intsidenditeate juba 24 tunni jooksul (§ 8 lg 4²). Lõppraport esitatakse ühe kuu jooksul intsidenditeate esitamisest (§ 8 lg 7). Kui teie dokumendis on need ajad ümardatud või kokku sulatatud, ei ole tegemist seaduse tekstiga.

4. Juhtorgani heakskiit: kinnitamata dokument on poolik

Direktiivi (EL) 2022/2555 art 20(1) kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks ja jälgivad nende rakendamist ning üksusi võib võtta vastutusele artikli 21 rikkumise eest.

Praktikas tähendab see, et dokumendil peab olema jälg juhtimisotsusest: kes kinnitas, millal, millise otsuse või protokolliga, ja millal vaadatakse see uuesti üle. Kaust, mis eksisteerib ainult IT-osakonna serveris ja mida juhatus pole kunagi arutanud, ei näita meetmete heakskiitmist ega järelevalvet nende üle.

Minimaalne kontroll-loend juhile:

• dokumendil on kuupäev ja versioon;
• on kirjas, kes selle kinnitas ja millise otsusega;
• on määratud, kes vastutab elluviimise eest ja kellele ta aru annab;
• on määratud ülevaatamise sagedus.

Kui soovite teada, kuidas juhtorgani kohustus on täpselt Eesti seaduses sõnastatud, tuginege KüTS-i ametlikule tekstile ja Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele kui ametlikule allikale.

5. Mida vaatab järelevalve või klient

Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (RIA) (KüTS § 14 lg 1). RIA täidab ka direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti, artikli 9 kriiside ohjamise, artikli 10 küberintsidentide käsitlemise üksuse ning artikli 12 turvahaavatavuse koordineeritud avaldamise koordinaatori ülesandeid (KüTS § 5 lg 3). KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on samuti RIA (KüTS § 19 lg 1).

Seaduse nõuete rikkumise eest on üliolulisele üksusele (juriidilisele isikule) ette nähtud rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2); olulisele üksusele kuni 7 000 000 eurot või kuni 1,4 protsenti käibest (KüTS § 18³ lg 2). Need on seaduses sätestatud maksimummäärad, mitte prognoos konkreetse juhtumi kohta.

Klient või tellija tugineb sageli tarneahela turvalisuse nõudele: kuna teenuseosutaja vastutab ka volitatud halduri või majutaja rakendatud turvameetmete eest (KüTS § 7 lg 3), küsitakse tarnijalt tõendeid — riskianalüüsi olemasolu, intsidentide käsitlemise korda, juhtorgani kinnitust ja viiteid sätetele. Kontrollitav dokument annab neile küsimustele lühikese, viidatud vastuse. Järelevalve konkreetsete volituste ulatuse ja teabenõuete korra kohta palume kinnitust ametlikust allikast: Riigi Infosüsteemi Amet (RIA).

Ükski dokument iseenesest ei muuda ettevõtte tegelikku turvataset ega asenda meetmete rakendamist — dokumendi kontrollitavus näitab üksnes seda, kas väiteid on võimalik seadusega kõrvutada.