NIS2 Eestis: mida küberturvalisuse seadus (KüTS) ettevõttelt tegelikult nõuab

Milline seadus kehtib ja keda see puudutab

Eestis rakendab NIS2-raamistikku küberturvalisuse seadus (KüTS). Seaduse enda sõnastuse järgi sätestab KüTS § 1 lg 1 punktis 1 „ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve“. Sama paragrahv katab ka küberintsidentide käsitlemise alused, kriisi ennetamise ning pädevate asutuste määramise.

Seadus jagab adressaadid kahte klassi (KüTS § 3 lg 1): ülioluline üksus ja oluline üksus. Ülioluliste üksuste loetelu on KüTS § 3 lõigetes 2 ja 3, oluliste üksuste oma § 3 lõigetes 4 ja 5.

Suuruskünnised on seaduses kirjas otse:

• paljude tegevusalade puhul 50 või rohkem töötajat majandusaasta jooksul ning aastabilansimaht või aastakäive üle 10 miljoni euro (KüTS § 3 lg 4 punkt 8 ja § 3 lg 5);
• osa tegevusalasid loetakse ülioluliseks üksuseks alates 250 töötajast, kui aastabilansimaht ületab 43 miljonit eurot või aastakäive ületab 50 miljonit eurot (KüTS § 3 lg 3).

Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet (RIA) (KüTS § 5 lg 3).

Turvameetmed on üks tervik — mida seadus sõna-sõnalt ütleb

Turvameetmete keskne norm on KüTS § 7. Seadus ütleb: „Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid“ (KüTS § 7 lg 1). Sõna alaliselt tähendab, et tegemist ei ole ühekordse projektiga: meetmed ja neid kirjeldav dokumentatsioon peavad olema pidevalt olemas ja ajakohased.

KüTS § 7 lg 1 seab meetmetele kolm eesmärki: hallata süsteemi turvalisust ohustavaid riske, sealhulgas koostada vastav riskianalüüs (punkt 1); ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele (punkt 2); ennetada küberintsidenti või see tuvastada ja lahendada (punkt 3).

Meetmete maht ei ole kõigile ühesugune. KüTS § 7 lg 2 kohaselt arvestatakse muu hulgas teenuseosutaja vajadusi ja turvanõudeid, ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ning proportsionaalsust, mille hindamisel võetakse arvesse riskidele avatuse määra, ettevõtte suurust ja intsidentide tõenäosust ning tõsidust. Täpsemad nõuded kehtestatakse määrusega, sealhulgas infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard (E-ITS) (KüTS § 7 lg 5).

Viis põhivaldkonda ja nende sätted

1. Riskijuhtimise põhimõtted ja riskianalüüs. KüTS § 7 lg 1 punkt 1 nõuab riskide haldamist ja ütleb otsesõnu, et teenuseosutaja koostab vastava riskianalüüsi. Direktiivi (EL) 2022/2555 art 21(2)(a) nimetab sama valdkonda kui riskianalüüsi ja infosüsteemide turbe põhimõtteid. Riskianalüüs ei jää eraldiseisvaks paberiks: selles määratud tagajärgede raskusaste on hiljem üks alus, mille järgi otsustatakse, kas küberintsidendil on oluline mõju (KüTS § 8 lg 2 punkt 1).

2. Intsidentide käsitlemine. KüTS § 7 lg 1 punkt 3 nõuab võimekust küberintsidenti ennetada või see tuvastada ja lahendada; direktiivi art 21(2)(b) nimetab seda intsidentide käsitlemiseks. Praktikas tähendab see kirjeldatud rolle, tuvastamise korda ja teavitamise ahelat, mis suudab pidada KüTS §-s 8 sätestatud tähtaegu.

3. Talitluspidevus. Direktiivi art 21(2)(c) hõlmab talitluspidevust, näiteks varundushaldust ja avariitaastet ning kriisiohjet. KüTS-is on see seotud § 7 lg 1 punktiga 2 ning intsidendi olulise mõju kriteeriumidega: teenuse maksimaalse lubatud katkestuse aja ületamine (§ 8 lg 2 punkt 2) ja erakorraliste abinõude rakendamine riskianalüüsis või muus taastamist kirjeldavas dokumendis (§ 8 lg 2 punkt 4).

4. Tarneahela turvalisus. Direktiivi art 21(2)(d) katab tarneahela turvalisuse, sealhulgas suhted otseste tarnijate ja teenuseosutajatega. Eesti seadus ütleb selle kohta: „Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik tagab süsteemi turvameetmete rakendamise.“ (KüTS § 7 lg 3). Vastutus jääb seega tellijale ka siis, kui süsteemi haldab keegi teine.

5. Juhtimisvastutus ja koolitus. Direktiivi art 20(1) järgi kiidavad üksuse juhtorganid küberturvalisuse riskijuhtimismeetmed heaks ja jälgivad nende rakendamist. Koolitus on osa meetmetest: art 21(2)(g) nimetab küberhügieeni põhitavasid ja küberturvalisuse koolitust. Juhtkonna heakskiit tähendab dokumentides jälge — kes kinnitas, millal ja millise versiooni.

Intsidenditeated ja teavitamiskohustus RIA nimekirja

Küberintsidendist teavitamine (KüTS § 8). Teated esitatakse Riigi Infosüsteemi Ametile:

Kui intsident ei ole lõppraporti esitamise ajaks lahendatud, käsitatakse esitatud raportit vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7). Teavitada tuleb ka siis, kui oluline mõju ei ole ilmne, kuid seda võib mõistlikult eeldada (§ 8 lg 1 punkt 2).

Enda andmete esitamine. Teenuseosutaja esitab RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed, sealhulgas e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid, ning asjakohasel juhul sektori ja riikide loetelu (KüTS § 3¹ lg 1). Muudatustest tuleb teatada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lg 4). RIA koostab teenuseosutajate nimekirja iga kahe aasta järel (§ 3¹ lg 2) ja see teave on asutusesiseseks kasutamiseks (§ 3¹ lg 3). Üksus, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lg 1 jõustumist, täidab teavitamiskohustuse kolme kuu jooksul jõustumisest arvates (§ 28¹ lg 1).

Tarneahela ring: nõue jõuab ka kohaldamisalast väljapoole

Tarneahela turvalisus on NIS2 raamistikus otsene kohustus kliendile, mitte soovitus. Kuna KüTS-i alla kuuluv üksus peab haldama ka oma tarnijate ja teenuseosutajatega seotud turvalisuse aspekte (direktiivi art 21(2)(d)) ja vastutab selle eest, et süsteemi haldav või majutav teine isik tagab turvameetmete rakendamise (KüTS § 7 lg 3), kandub nõue lepingutesse edasi.

Tagajärg on lihtne ja mõõdetav: ka ettevõte, kes ise kohaldamisalasse ei kuulu, saab oma NIS2-kohustusega klientidelt tarnija kontrollimise päringuid ja tal palutakse esitada tõendeid — turvapõhimõtted, riskianalüüs, intsidendi käsitlemise ja teavitamise kord, varunduse ning taaste kirjeldus.

Sama loogika kehtib intsidentide puhul: kui süsteemi haldab või majutab keegi teine, vastutab teenuseosutaja selle eest, et see isik teavitab teda hiljemalt 24 tundi pärast küberintsidendist teada saamist (KüTS § 8 lg 1¹). Alltöövõtja teavitamiskiirus muutub seega lepingutingimuseks.

Järelevalve vaatab dokumentatsiooni tervikuna — ja esimene samm

Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (KüTS § 14 lg 1) ning väärtegude kohtuväline menetleja on samuti RIA (KüTS § 19 lg 1). Järelevalve ja vastutus ei ole seotud ühe üksiku paberiga: väärteokoosseisud viitavad korraga KüTS § 7 lõigetele 1, 2, 3, 5 ja 7 ning § 8 lõigetele 1, 1¹, 4¹, 4², 4³, 5, 7 ja 8¹ (KüTS § 18² lg 1 ja § 18³ lg 1). Vaadatakse seega turvameetmete ja teavitamise korraldust ühe komplektina, mitte üksikute punktidena.

Sanktsioonimäärad on seaduses kirjas: üliolulise üksuse puhul juriidilisele isikule rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2); olulise üksuse puhul kuni 7 000 000 eurot või kuni 1,4 protsenti käibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).

Kust alustada. Viiest põhivaldkonnast on esimene riskijuhtimine: KüTS § 7 lg 1 punkt 1 nõuab riskide haldamist koos riskianalüüsiga ja just sellele dokumendile toetuvad ülejäänud — intsidendi olulise mõju hindamine (§ 8 lg 2 punkt 1), taaste- ja talitluspidevuse kirjeldused (§ 8 lg 2 punkt 4) ning tarnijatele esitatavad nõuded. Riskijuhtimise põhimõtete dokument on seega alus, millele ülejäänud komplekt ehitatakse.

Ametliku ja ajakohase teabe saamiseks tutvuge Riigi Infosüsteemi Ameti (RIA) avaldatud juhistega.