Kuidas sünnib ettevõttepõhine NIS2-dokument minutitega

Mis teeb NIS2-dokumendist just teie ettevõtte dokumendi

Kaks asja on ette teada ja neid ei pea iga ettevõtte jaoks otsast peale välja mõtlema.

Esiteks, õiguslik alus on fikseeritud. Küberturvalisuse seaduse (KüTS) § 7 lg 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske — sealhulgas koostab vastava riskianalüüsi — ning ennetada, tuvastada ja lahendada küberintsidente. Direktiiv (EL) 2022/2555 art 21(2) loetleb, millised valdkonnad peavad meetmete hulgas vähemalt kaetud olema. Sisu, mille dokumentatsioon peab läbi käima, tuleneb seega otse õigusaktist, mitte kellegi arvamusest.

Teiseks määrab ettevõtte profiil, millised kohustused kohalduvad. KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Kummasse rühma ettevõte kuulub, sõltub tegevusalast ja suurusnäitajatest — KüTS § 3 lg 2 ja 3 kirjeldavad üliolulisi üksusi (nt § 3 lg 3 puhul 250 või rohkem töötajat ning aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro), § 3 lg 4 ja 5 olulisi üksusi (nt 50 või rohkem töötajat ning aastabilansimaht või aastakäive üle 10 miljoni euro). Lisaks arvestatakse KüTS § 7 lg 2 järgi meetmete proportsionaalsuse hindamisel ettevõtte suurust, riskidele avatuse määra, kulusid ja küberintsidentide tõenäolist mõju.

Ettevõttepõhisus tähendab siis täpselt seda: sama seaduse sätted, aga teie tegevusala, suurus ja klassifikatsioon otsustavad, mis dokumenti kirja läheb.

Viis dokumendivaldkonda — kogu pilt korraga

Enne üksikute failide juurde minekut tasub näha tervikut. Dokumentatsioon jaguneb viide põhivaldkonda.

1. Riskijuhtimise põhimõtted ja riskianalüüs. KüTS § 7 lg 1 punkt 1 nõuab riske haldavaid turvameetmeid koos riskianalüüsi koostamisega. Direktiivi art 21(2) punkt a nimetab eraldi riskianalüüsi ja infosüsteemide turbe põhimõtteid. See on alusdokument, millele ülejäänud neli valdkonda toetuvad.

2. Küberintsidentide käsitlemine. Art 21(2) punkt b nõuab intsidentide käsitlemise korda, KüTS § 7 lg 1 punkt 3 intsidendi ennetamist, tuvastamist ja lahendamist. Siia kuuluvad ka KüTS § 8 teavitustähtajad: esmane teade Riigi Infosüsteemi Ametile viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist (§ 8 lg 1), ja intsidenditeade viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹).

3. Talitluspidevus. Art 21(2) punkt c nimetab talitluspidevust — näiteks varundushaldust ja avariitaastet — ning kriisiohjet. KüTS § 7 lg 1 punkt 2 kohustab ennetama või minimeerima küberintsidendi mõju teenuse saajale ja muule teenusele. Dokument peab olema seotud riskianalüüsis määratud tagajärgede raskusastmetega, millele viitab ka KüTS § 8 lg 2 punkt 1.

4. Tarneahela turvalisus. Art 21(2) punkt d hõlmab tarneahela turvalisust, sealhulgas suhteid otseste tarnijate ja teenuseosutajatega. KüTS § 7 lg 3 lisab: kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab ta selle eest, et see isik turvameetmeid rakendab. Sama loogika kehtib teavitusahelas — § 8 lg 1¹ järgi vastutab teenuseosutaja selle eest, et haldaja teavitab teda intsidendist hiljemalt 24 tundi pärast teada saamist.

5. Juhtkonna vastutus. Direktiivi art 20(1) järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib art 21 rikkumise eest vastutusele võtta. See tähendab, et dokumendil peab olema jälgitav heakskiit, mitte üksnes IT-osakonna allkiri. Art 21(4) lisab, et kui üksus leiab, et ta art 21(2) meetmeid ei järgi, võtab ta põhjendamatu viivituseta vajalikud parandusmeetmed.

Esimene viiest: riskijuhtimise põhimõtete dokument

Riskijuhtimise põhimõtete dokument on alus, sest kõik ülejäänud otsused viitavad sellele.

Mida see KüTS-i ja direktiivi järgi sisaldab:

• Ulatus ja süsteemide kirjeldus — millised võrgu- ja infosüsteemid on teenuse osutamisel kasutusel (KüTS § 7 lg 1).
• Riskianalüüs koos tagajärgede raskusastmetega, mis on otseses seoses intsidenditeavituse künnisega (KüTS § 7 lg 1 p 1 ja § 8 lg 2 p 1).
• Proportsionaalsuse põhjendus — ettevõtte vajadused ja turvanõuded, ajakohased Euroopa ja rahvusvahelised standardid, meetmete kulud, riskidele avatuse määr ja ettevõtte suurus ning kõiki ohte hõlmav lähenemisviis (KüTS § 7 lg 2 p 1–5).
• Meetmete kaardistus art 21(2) punktide kaupa — riskianalüüs ja turbepõhimõtted, intsidentide käsitlemine, talitluspidevus, tarneahel, süsteemide hankimise ja hoolduse turvalisus, meetmete tõhususe hindamise kord, küberhügieen ja koolitus, krüptograafia, personali turvalisus ja juurdepääsukontroll ning kohasel juhul mitmikautentimine.
• Juhtorgani heakskiit ja järelevalve rakendamise üle (art 20(1)).
• Standardiviide — KüTS § 7 lg 5 alusel kehtestatakse määrusega infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard (E-ITS) ning turvameetmete üld- ja erinõuded.

Kui see dokument on paigas, on ülejäänud neli valdkonda suures osas juba raamistatud: intsidendikord, talitluspidevus ja tarneahela nõuded viitavad samale riskipildile ja samadele raskusastmetele.

Miks kokkupanek võtab minuteid, mitte nädalaid

Nädalad kuluvad tavaliselt kahele asjale: seaduse teksti otsimisele ja arutelule, mis üldse ettevõttele kohaldub. Mõlemad on lahendatavad enne dokumendi kirjutamist.

Minutid tähendavad siin kokkupaneku meetodit, mitte lubadust tulemuse kohta: kui allikad on eelnevalt kontrollitud ja ettevõtte profiil teada, on dokumendi kokkupanek mehaaniline samm. Sisuline töö — riskianalüüs, meetmete tegelik rakendamine ja ajakohasena hoidmine — jääb ettevõttele, sest KüTS § 7 lg 1 nõuab meetmete alalist rakendamist.

Allikaviide iga väite juures on praktiline nõue, mitte kaunistus. Kui dokumendis on kirjas, et intsidenditeade tuleb esitada hiljemalt 72 tunni jooksul, peab lugeja nägema ka viidet KüTS § 8 lg 4¹. Nii saab järelevalveametnik või lepingupartner iga väite ise üle kontrollida, ilma et peaks teie sõna uskuma. Kui mõni küsimus jääb dokumendist välja, tuleb lähtuda Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest kui ametlikust allikast.

Kes dokumente küsib ja mis on kaalul

Järelevalve. Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (KüTS § 14 lg 1). RIA täidab direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti, artikli 9 kriisiohje, artikli 10 küberintsidentide käsitlemise üksuse ning artikli 12 turvahaavatavuse koordineeritud avaldamise koordinaatori ülesandeid (KüTS § 5 lg 3). KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on samuti RIA (KüTS § 19 lg 1).

Registreerimine. Teenuseosutaja esitab RIA-le nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed ning muud KüTS § 3¹ lg 1 nimetatud andmed. Muudatustest tuleb teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist (§ 3¹ lg 4). RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2).

Tarneahel. Kuna tarneahela turvalisus on üks art 21(2) punktis d nõutud meetmete valdkondadest ja KüTS § 7 lg 3 paneb teenuseosutajale vastutuse ka volitatud haldaja või majutaja rakendatavate meetmete eest, puudutavad need küsimused lepinguahelat mõlemas suunas — nii teie tarnijaid kui ka teid kui tarnijat.

Rahatrahvid. KüTS § 7 või § 8 nõuete rikkumise eest karistatakse üliolulist üksust rahatrahviga kuni 10 000 000 eurot või, kui teo on toime pannud juriidiline isik, kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 1 ja 2). Olulise üksuse puhul on määrad kuni 7 000 000 eurot või kuni 1,4 protsenti käibest (§ 18³ lg 1 ja 2).

Dokument ise ei asenda meetmete tegelikku rakendamist ega välista järelevalvemenetlust — see teeb tehtu kontrollitavaks ja näitab, millisele sättele iga otsus tugineb.