NIS2 dokumentatsioon Eestis: viis valdkonda ja loomulik esimene samm

Kõigepealt tervik: viis dokumendivaldkonda, mida seadus eeldab

Enamik ettevõtteid alustab NIS2-ga valest otsast — otsitakse üht „õiget" dokumenti. Tegelikkuses eeldavad küberturvalisuse seadus (KüTS) ja direktiiv (EL) 2022/2555 omavahel seotud dokumentide kogumit. Kõige selgemini on see kirjas art 21(2) punktides a–j, mille Eesti vaste on KüTS § 7. Enne esimest sammu tasub tervikpilt korraks lauale panna.

1. Küberturvalisuse riskijuhtimise põhimõtted. KüTS § 7 lg 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata oma süsteemide turvalisust ohustavaid riske, sealhulgas koostab vastava riskianalüüsi (§ 7 lg 1 p 1). Direktiivi art 21(2)(a) nimetab sama asjana riskianalüüsi ja infosüsteemide turbe põhimõtted. Meetmete valikul arvestatakse muu hulgas ettevõtte vajadusi ja turvanõudeid, ajakohaseid standardeid, rakendamise kulusid ja proportsionaalsust (§ 7 lg 2).

2. Intsidentide käsitlemine. Art 21(2)(b) nõuab intsidentide käsitlemise korda ning KüTS § 8 annab sellele konkreetse ajaraami. Esmane teade Riigi Infosüsteemi Ametile tuleb esitada viivitamata, kuid hiljemalt 24 tunni jooksul pärast küberintsidendist teada saamist (§ 8 lg 1); intsidenditeade viivitamata, kuid hiljemalt 72 tunni jooksul (§ 8 lg 4¹). Dokument peab seega kirjeldama, kes intsidenti hindab, kes teate esitab ja millise teabe alusel.

3. Talitluspidevus. Art 21(2)(c) hõlmab talitluspidevust — näiteks varundushaldust ja avariitaastet — ning kriisiohjet. See ei ole eraldi elu elav dokument: KüTS § 8 lg 2 seob olulise mõju hindamise otseselt teenuse maksimaalse lubatud katkestuse ajaga ja riskianalüüsis või muus taastamist kirjeldavas dokumendis toodud erakorraliste abinõudega. Ilma kirjeldatud taasteajata ei ole intsidendi olulisust võimalik järjepidevalt hinnata.

4. Tarneahela turvalisus. Art 21(2)(d) hõlmab tarneahela turvalisust, sealhulgas turvaaspekte, mis on seotud ettevõtte ja tema otseste tarnijate või teenuseosutajate suhetega. KüTS § 7 lg 3 lisab selge vastutusreegli: kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab ta selle eest, et see teine isik turvameetmeid rakendab. Sama loogika kehtib teavitamisel — partner peab andma teada hiljemalt 24 tunni jooksul pärast intsidendist teada saamist (§ 8 lg 1¹).

5. Juhtkonna vastutus ja koolitus. Art 20(1) järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ning neid võib rikkumise eest vastutusele võtta. Art 21(2)(g) nimetab eraldi küberhügieeni põhitavad ja küberturvalisuse koolituse. Praktikas tähendab see jälge, mis näitab, millal juhtkond meetmed kinnitas ja millal koolitus toimus.

Alles seejärel: esimene samm on riskijuhtimise põhimõtted

Kui tervik on selge, muutub esimene samm ilmseks. Riskijuhtimise põhimõtted ja riskianalüüs on viiest valdkonnast esimene ka õigusakti loogikas — art 21(2) alustab punktist a ja KüTS § 7 lg 1 p 1 nõuab riskianalüüsi otsesõnu.

Ülejäänud neli valdkonda toetuvad sellele:

• Intsidentide käsitlemine — KüTS § 8 lg 2 p 1 järgi on küberintsidendil oluline mõju muu hulgas siis, kui mõju vastab riskianalüüsis määratud tagajärgede raskusastmele vähemalt „raske". Ilma riskianalüüsita puudub mõõdupuu, mille alusel 24 tunni teavituskohustus üldse käivitub.
• Talitluspidevus — taasteajad ja erakorralised abinõud tuletatakse samast riskipildist (§ 8 lg 2 p 2 ja p 4).
• Tarneahel — tarnija olulisus sõltub sellest, milliseid riske ta teie süsteemidele loob.
• Juhtimine ja koolitus — juhtorgan kiidab art 20(1) tähenduses heaks just riskijuhtimismeetmed; kinnitada saab midagi, mis on kirja pandud.

Seetõttu ei ole riskijuhtimise põhimõtted „üks dokument viiest", vaid alusdokument, millele teised viitavad.

Järelevalve ja kliendid küsivad kogumit, mitte üht paberit

Eestis on NIS2 pädev asutus ja järelevalveasutus Riigi Infosüsteemi Amet (RIA). KüTS § 5 lg 3 järgi täidab RIA direktiivi art 8 pädeva asutuse ja ühtse kontaktpunkti, art 9 kriisiohje, art 10 küberintsidentide käsitlemise üksuse (CERT-EE) ning art 12 turvahaavatavuse koordineeritud avaldamise koordinaatori ülesandeid. Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb RIA (§ 14 lg 1) ja ta on ka KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja (§ 19 lg 1).

Järelevalve ese on kogu § 7 ja § 8 nõuete kogum korraga: turvameetmed, riskianalüüs, teavitusahel ja partnerite kaudu hallatavad süsteemid. Sanktsioonimäärad on seaduses eristatud üksuse liigi kaupa:

Järelevalvemenetluse täpsemate toimingute ja nõutava tõendusmaterjali osas tasub tugineda RIA avaldatud ametlikele juhistele (ria.ee) — see on ainus ametlik allikas.

Tarneahela ring: nõue liigub kliendilt tarnijale

Tarneahela nõue tähendab, et dokumentatsiooni küsijaks ei ole ainult järelevalve. Kohaldamisalasse kuuluv klient peab art 21(2)(d) järgi hõlmama turvameetmetega oma suhted otseste tarnijate ja teenuseosutajatega. KüTS § 7 lg 3 paneb sellele Eesti-sisese vastutusraami: süsteemi haldamise või majutamise usaldamine teisele isikule ei vähenda teenuseosutaja enda vastutust turvameetmete rakendamise eest.

Praktiline tagajärg on ring, mis ulatub kohaldamisalast kaugemale:

• kohaldamisalasse kuuluv klient küsib tarnijalt tõendusmaterjali oma § 7 kohustuse täitmiseks;
• teavituskohustus nõuab kokkulepet, et partner annab intsidendist teada hiljemalt 24 tunni jooksul (§ 8 lg 1¹);
• tarnija, kes ise KüTS-i kohaldamisalasse ei kuulu, saab sellest hoolimata hankelepingu või lepingu uuendamise käigus dokumendipäringu.

Seetõttu on ka väiksemal alltöövõtjal mõistlik teada, milline viiest valdkonnast tema puhul kõige tõenäolisemalt küsitakse.

Kas nõuded puudutavad teie ettevõtet? Alustage kohalduvuse kontrollist

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Klassifikatsioon sõltub tegevusalast ja suurusnäitajatest, näiteks:

• Ülioluline üksus on muu hulgas domeeninimede süsteemi teenuse osutaja, elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses, keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus ning kvalifitseeritud usaldusteenuse osutaja (§ 3 lg 2). Lisaks loetakse ülioluliseks üksuseks § 3 lg 3 loetletud tegevusaladel tegutsev üksus, kellel on majandusaasta jooksul 250 või rohkem töötajat ja kelle aastabilansimaht ületab 43 miljonit eurot või aastakäive 50 miljonit eurot.
• Oluline üksus on muu hulgas avalik-õiguslik juriidiline isik, teadusasutus, postiteenuse osutaja, internetipõhise kauplemiskoha pidaja ning § 3 lg 5 loetletud tegevusalal tegutsev üksus, kellel on 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot.

Kohalduvuse kontroll ei ole pelgalt teoreetiline: KüTS § 3¹ lg 1 kohaselt esitab teenuseosutaja RIA-le nimekirja koostamiseks vähemalt nime ja registrikoodi, tegevuskoha aadressi ning ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid. Esitatud andmete muutumisest tuleb teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist (§ 3¹ lg 4).

Esmane kontroll annab vastuse kahele küsimusele: kas te kuulute kohaldamisalasse ja millise üksuse liigina. Alles pärast seda on mõtet dokumentatsiooni koostamise järjekorda paika panna — ning selle järjekorra esimene punkt on riskijuhtimise põhimõtted.