NIS2 kümme küberturvalisuse riskijuhtimismeedet (artikkel 21) ja nende ülevõtmine KüTS-is
Mis on NIS2 riskijuhtimismeetmed ja keda need puudutavad?
Direktiivi (EL) 2022/2555 artikli 21 lõige 1 nõuab, et ülioluline üksus (essential) ja oluline üksus (important) võtaksid asjakohased ja proportsionaalsed tehnilised, tegevuslikud ja korralduslikud meetmed, et juhtida oma võrgu- ja infosüsteemide turvalisust ähvardavaid riske ning ennetada või minimeerida intsidentide mõju.
Meetmete proportsionaalsuse hindamisel võetakse art 21(1) kohaselt arvesse:
- üksuse riskidele avatuse määra;
- üksuse suurust;
- intsidentide esinemise tõenäosust ja tõsidust, sealhulgas ühiskondlikku ja majanduslikku mõju.
Eestis on need nõuded üle võetud küberturvalisuse seaduses (KüTS). KüTS § 7 lg 1 kohustab teenuseosutajat rakendama alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata riske (sealhulgas koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju ning intsidenti ennetada, tuvastada ja lahendada.
Pädev asutus ja järelevalveasutus Eestis on Riigi Infosüsteemi Amet (RIA) (KüTS § 5 lg 3).
Kümme meedet kontrollnimekirjana (direktiivi art 21(2) punktid a–j)
Artikli 21 lõige 2 sätestab, et meetmed põhinevad kõiki ohte hõlmaval lähenemisviisil, mille eesmärk on kaitsta võrgu- ja infosüsteeme ning nende füüsilist keskkonda intsidentide eest, ning hõlmavad vähemalt järgmist:
| # | Punkt | Meede |
|---|---|---|
| 1 | a | Riskianalüüs ja infosüsteemide turbe põhimõtted |
| 2 | b | Intsidentide käsitlemine |
| 3 | c | Talitluspidevus (nt varundushaldus ja avariitaaste) ning kriisiohje |
| 4 | d | Tarneahela turvalisus, sealhulgas suhted otseste tarnijate ja teenuseosutajatega |
| 5 | e | Võrgu- ja infosüsteemide hankimise, arendamise ja hooldamise turvalisus, sh nõrkuste käsitlemine ja avalikustamine |
| 6 | f | Tööpõhimõtted ja menetluskord riskijuhtimismeetmete tõhususe hindamiseks |
| 7 | g | Küberhügieeni põhitavad ja küberturvalisuse koolitus |
| 8 | h | Krüptograafia ja, kui kohane, krüpteerimise kasutamise põhimõtted ja menetlused |
| 9 | i | Personali turvalisus, juurdepääsukontrolli põhimõtted ja varade haldus |
| 10 | j | Kui kohane: mitmikautentimise või pidevautentimise lahendused, turvaline hääl-, video- ja tekstiside ning turvalised hädaolukorra sidesüsteemid |
Kasuta seda tabelit oma organisatsiooni läbivaatuse alusena: iga rea juurde märgi, kas meede on olemas, osaliselt rakendatud või puudub.
Kuidas KüTS meetmed Eestis üle võtab
Eestis ei ole art 21(2) loetelu üks-üheselt seaduse tekstis samas järjekorras, vaid raamnõue tuleneb KüTS §-st 7. Peamised elemendid:
- Riskianalüüs (vastab punktile a): KüTS § 7 lg 1 p 1 nõuab riskide haldamist ja vastava riskianalüüsi koostamist.
- Intsidendi ennetamine ja lahendamine (vastab punktile b): KüTS § 7 lg 1 p 3 – ennetada küberintsidenti või see tuvastada ja lahendada.
- Mõju minimeerimine (haakub punktiga c): KüTS § 7 lg 1 p 2 – ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele.
- Tarneahel ja alltöövõtt (haakub punktiga d): KüTS § 7 lg 3 – kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab ta selle eest, et see isik tagab turvameetmete rakendamise.
Rakendamise proportsionaalsuse kriteeriumid on toodud KüTS § 7 lg 2 (vajadused ja turvanõuded, ajakohased standardid, kulud, proportsionaalsus, süsteemselt ja terviklikult ohte hõlmav lähenemine).
Täpsemad tehnilised nõuded kehtestatakse määrusega: KüTS § 7 lg 5 volitab kehtestama infoturbe halduse nõuded (Eesti infoturbestandard), turvameetmete üldnõuded ning süsteemide turvameetmete erinõuded. KüTS § 7 lg 7 kohaselt lähtub direktiivi art 21 lõike 5 rakendusaktis nimetatud teenuseosutaja sama rakendusaktiga kehtestatud nõuetest.
Märkus: kümne meetme (a–j) täpne kaardistus üksikute Eesti õigusaktide ja rakendusmääruse sätete vastu — sealhulgas krüptograafia (h) ja mitmikautentimise (j) detailsed nõuded — sõltub § 7 lg 5 alusel kehtestatud määrusest. Konkreetse üksuse kohustuste sisu peaks üle vaatama [TÄPSUSTAB PARTNER-JURIST].
Juhtorgani vastutus ja tähtajad
Meetmete rakendamine ei ole ainult IT-osakonna asi. Direktiivi art 20(1) kohaselt tagavad liikmesriigid, et juhtorganid kiidavad heaks küberturvalisuse riskijuhtimismeetmed, jälgivad nende rakendamist ning et üksusi võib artikli 21 rikkumise eest vastutusele võtta.
Kui üksus leiab, et ta art 21(2) meetmeid ei järgi, peab ta art 21(4) kohaselt võtma põhjendamatu viivituseta kõik vajalikud, asjakohased ja proportsionaalsed parandusmeetmed.
Riskijuhtimismeetmed on tihedalt seotud intsidentidest teavitamisega. Eestis esitatakse teated RIA-le (CERT-EE) järgmiste KüTS § 8 tähtaegadega:
- esmane teade viivitamata, kuid hiljemalt 24 tundi pärast intsidendist teada saamist (§ 8 lg 1);
- intsidenditeade hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹); usaldusteenuse osutaja 24 tunni jooksul (§ 8 lg 4²);
- lõppraport ühe kuu jooksul intsidenditeate esitamisest (§ 8 lg 7).
Nii turvameetmete kui teavituskohustuste rikkumine on karistatav. Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt kumb on suurem (KüTS § 18² lg 2). Oluline üksus (juriidiline isik): kuni 7 000 000 eurot või kuni 1,4% käibest (KüTS § 18³ lg 2).
Kust alustada: kaardista lõhed tasuta tööriistaga
Kümne meetme kontrollnimekiri annab hea lähtepunkti, kuid enne investeeringute planeerimist tasub selgeks teha kaks asja:
1. Kas ja millisesse kategooriasse teie üksus kuulub — ülioluline üksus (KüTS § 3 lg 2 ja lg 3) või oluline üksus (KüTS § 3 lg 4 ja lg 5). 2. Millised art 21(2) punktid a–j on juba kaetud ja kus on lõhed.
Kasuta meie tasuta scoping- ja lõheanalüüsi tööriista, et saada esmane ülevaade oma kohustustest ja meetmete küpsusest. See ei asenda juriidilist nõu, kuid aitab koostada tegevuskava ja seada prioriteedid enne partner-juristiga konsulteerimist.
Korduma kippuvad küsimused
Mitu riskijuhtimismeedet NIS2 nõuab?
Direktiivi (EL) 2022/2555 artikli 21 lõige 2 loetleb kümme meedet, punktid a–j: riskianalüüs ja turbepõhimõtted, intsidentide käsitlemine, talitluspidevus ja kriisiohje, tarneahela turvalisus, süsteemide hankimise/arendamise/hoolduse turvalisus, meetmete tõhususe hindamine, küberhügieen ja koolitus, krüptograafia, personali turvalisus ja juurdepääsukontroll ning kui kohane, mitmikautentimine ja turvaline side. Loetelu on miinimum („hõlmavad vähemalt“).
Kus on need meetmed Eesti seaduses kirjas?
Raamnõue on KüTS §-s 7. KüTS § 7 lg 1 nõuab riskide haldamist ja riskianalüüsi, intsidendi mõju minimeerimist ning intsidendi ennetamist, tuvastamist ja lahendamist. Proportsionaalsuse kriteeriumid on § 7 lg 2 ja täpsemad tehnilised nõuded kehtestatakse § 7 lg 5 alusel määrusega. Konkreetse üksuse detailne kohustuste kaardistus vajab õiguslikku hinnangut.
Kes vastutab meetmete heakskiitmise eest?
Direktiivi art 20(1) kohaselt kiidavad küberturvalisuse riskijuhtimismeetmed heaks üksuse juhtorganid, kes jälgivad nende rakendamist, ning üksusi võib artikli 21 rikkumise eest vastutusele võtta.
Mis juhtub, kui üksus meetmeid ei järgi?
Art 21(4) kohaselt tuleb põhjendamatu viivituseta võtta kõik vajalikud parandusmeetmed. KüTS-i rikkumise eest karistatakse üliolulist üksust (juriidiline isik) rahatrahviga kuni 10 000 000 eurot või kuni 2% ülemaailmsest aastasest kogukäibest (§ 18² lg 2) ja olulist üksust kuni 7 000 000 eurot või kuni 1,4% käibest (§ 18³ lg 2), olenevalt kumb summa on suurem. Kohtuväline menetleja on RIA.
Kontrolli oma NIS2-vastavust
See artikkel on üldine teave, mitte õigusnõustamine. Konkreetse olukorra kinnitab partner-jurist.