NIS2 intsidendist teavitamine Eestis: praktiline samm-sammult juhend

1. Millal teavitamiskohustus käivitub: mis on olulise mõjuga küberintsident

Teavituskohustuse aluseks on küberturvalisuse seaduse (KüTS) § 8 lõige 1. Teenuseosutaja — see tähendab nii ülioluline üksus kui ka oluline üksus (KüTS § 3 lg 1) — peab esitama Riigi Infosüsteemi Ametile (RIA) esmase teate küberintsidendist:

• millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju (§ 8 lg 1 p 1);
• mille oluline mõju ei ole veel ilmne, kuid seda võib mõistlikult eeldada (§ 8 lg 1 p 2).

Teine punkt on praktikas kõige olulisem: sa ei pea ootama, kuni mõju on tõestatud. Piisab mõistlikust eeldusest.

Millal on mõju "oluline"? KüTS § 8 lg 2 loetleb tingimused — piisab, kui täidetud on vähemalt üks:

1. intsidendi mõju on riskianalüüsis (§ 7 lg 1 p 1) määratud tagajärgede raskusastme kohaselt vähemalt raske; 2. teenust ei ole võimalik jätkata teenustaseme kokkuleppes või toimepidevuse nõuetes sätestatud maksimaalse lubatud katkestuse aja möödumisel; 3. häiritud on teise teenuseosutaja teenuse toimepidevus; 4. lahendamiseks tuleb rakendada riskianalüüsis või muus taastedokumendis kirjeldatud erakorralisi abinõusid; 5. teenuseosutajale, teisele teenuseosutajale või teenuse kasutajatele on tekkinud või võib tekkida märkimisväärne kahju; 6. tegemist on direktiivi (EL) 2022/2555 artikli 23 lõike 11 alusel vastu võetud Euroopa Komisjoni rakendusaktis sätestatud olulise intsidendiga.

Lisaks: kui intsidendi tagajärjel on teenuse osutamine häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse intsident alati olulise mõjuga küberintsidendiks (§ 8 lg 3).

Praktiline järeldus: kriteerium nr 1, 2 ja 4 viitavad sinu enda dokumentidele. Kui riskianalüüsi raskusastmed ja maksimaalne lubatud katkestuse aeg ei ole kirja pandud, ei ole sul intsidendi hetkel millegi alusel otsustada. Need dokumendid tuleb koostada enne intsidenti.

2. Keda teavitada ja millise kanali kaudu

Teate adressaat on seaduse tekstis üheselt määratud: Riigi Infosüsteemi Amet (KüTS § 8 lg 1). RIA täidab korraga direktiivi (EL) 2022/2555 artikli 8 pädeva asutuse ja ühtse kontaktpunkti, artikli 9 kriisiohje asutuse ning artikli 10 küberintsidentide käsitlemise üksuse (CSIRT) ülesandeid (KüTS § 5 lg 3). Eesti riiklik CSIRT on CERT-EE, RIA intsidentide käsitlemise osakond.

See tähendab praktikas ühte aadressi — sa ei pea otsustama, kas teatada CSIRT-ile või pädevale asutusele, sest need on sama asutus.

Kanalid:

Erijuhud:

• Julgeolekuasutus ei teavita RIA-t, vaid teatab küberintsidendist asjakohast julgeolekuasutust, arvestades § 8 nõudeid (§ 8 lg 10).
• Väljast ostetud haldus või majutus: kui oled süsteemi haldamise volitanud teisele isikule või majutad seda teise isiku juures, vastutad selle eest, et see isik teavitab sind hiljemalt 24 tunni jooksul intsidendist teada saamisest (§ 8 lg 1¹). Sinu enda 24-tunnine tähtaeg RIA ees sellest ei pikene — nõue peab olema teenuslepingus kirjas.
• Mõjutatud isikud ja avalikkus: asjakohasel juhul tuleb mõistliku aja jooksul teavitada isikut, keda intsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatuid ei ole võimalik eraldi teavitada (§ 8 lg 5). RIA võib avalikkust ka ise teavitada või nõuda, et seda teeksid sina (§ 8 lg 6).

3. Millises vormis ja etappides: neli sammu

KüTS § 8 näeb ette astmelise teavitamise. Etapid on järgmised.

Samm 1 — esmane teade (§ 8 lg 1). Lühike esmateade RIA-le. Eesmärk on kiirus, mitte täielikkus.

Samm 2 — intsidenditeade (§ 8 lg 4¹). Sellega ajakohastatakse esmase teatega esitatud teavet, et anda intsidendi asjaoludest täpsustatud ülevaade.

Samm 3 — vahearuanne (§ 8 lg 4³). Esitatakse RIA taotlusel enne lõppraportit. Vahearuandes esitatakse intsidenditeates ette nähtud andmed ja asjakohasel juhul RIA taotletud lisateave. Ilma taotluseta seda etappi ei ole.

Samm 4 — lõppraport (§ 8 lg 7). Esitatakse RIA-le. Kui intsident ei ole lõppraporti esitamise ajaks veel lahendatud, käsitatakse esitatud lõppraportit vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast intsidendi lahendamist.

Sisunõuete kohta — oluline täpsustus allika kohta. KüTS-i tekst ise ei loetle, millised andmeväljad iga etapi teade sisaldama peab: § 8 lg 8 järgi kehtestab teavitamisel esitatavad andmed ja teavitamise korra riikliku küberturvalisuse valdkonna eest vastutav minister määrusega, ja kui Euroopa Komisjon võtab vastu direktiivi (EL) 2022/2555 artikli 23 lõikes 11 nimetatud rakendusakti teate või raporti vormi ja esitamise korra kohta, lähtutakse sellest rakendusaktist (§ 8 lg 8¹). Määruse konkreetne andmekoosseis: [Täpsustage see: RIA (ametlik allikas).].

Sisu põhitaseme annab seega direktiiv (EL) 2022/2555 artikkel 23 lõige 4 — siin ei tugine me riiklikule seadusele, vaid direktiivile, sest riiklik väljavõte on selles punktis vaikiv:

• varajane hoiatus (art 23(4)(a)): kui kohaldatav, märgitakse, kas intsidendi põhjuseks on eeldatavasti ebaseaduslik või pahatahtlik tegevus ja kas sellel võib olla piiriülene mõju;
• intsidenditeade (art 23(4)(b)): varajase hoiatuse teabe ajakohastus ja esialgne hinnang intsidendile, sealhulgas selle tõsidusele ja mõjule, võimaluse korral ka rikkeindikaatorid;
• vahearuanne (art 23(4)(c)): vaatlusaluste asjade seis;
• lõpparuanne (art 23(4)(d)): intsidendi üksikasjalik kirjeldus koos tõsidusega ja mõjuga; ohu liik või lähtepõhjus; juba kohaldatud ja kohaldamisel olevad leevendusmeetmed; kui kohaldatav, piiriülene mõju.

Kasuta neid punkte teatevormi põhiina — nii katad riigisisese korra ja direktiivi ootused ühekorraga.

4. Tähtajad täpselt nii, nagu need KüTS-is on

Ära lähtu üldisest eeldusest "24 h ja 72 h kõigile". Eesti seadusel on üks selge erisus.

Pane tähele kaht detaili. Esiteks: 24 tunni kell hakkab tiksuma teada saamisest, mitte intsidendi algusest — seepärast on logide ja avastamise aja fikseerimine oluline. Teiseks: lõppraporti kuu arvestatakse intsidenditeate esitamisest, mitte intsidendi lõppemisest.

5. Miks see maksab: vastutus teavitamiskohustuse rikkumise eest

Teavituskohustus ei ole soovituslik. KüTS § 18² lg 1 ja § 18³ lg 1 loetlevad rikkumise koosseisus otsesõnu § 8 lõiked 1, 1¹, 4¹, 4², 4³, 5, 7 ja 8¹ — see tähendab, et karistatav on nii teatamata jätmine kui ka hilinenud või puuduv lõppraport.

• Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2).
• Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4 protsenti kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).

Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (§ 19 lg 1).

6. Valmisoleku kontrollnimekiri — tee see ära enne intsidenti

Intsidendi hetkel ei ole aega tõlgendada. Valmista ette järgmine:

1. Kas oled teenuseosutaja? Kontrolli enda staatust KüTS § 3 lg 2–5 alusel — kas ülioluline üksus või oluline üksus. Sellest sõltub trahvimäär ja järelevalve ulatus. 2. Registreeri end RIA nimekirja. KüTS § 3¹ lg 1 järgi tuleb esitada RIA-le nimi ja registrikood, tegevuskoha aadress ning ajakohased kontaktandmed (e-post, IP-vahemikud, telefon) ja muud loetletud andmed. Andmete muudatustest tuleb teatada viivitamata, kuid hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4). 3. Kirjuta üles olulisuse künnised. Riskianalüüsi tagajärgede raskusastmed ja teenuse maksimaalne lubatud katkestuse aeg — need on § 8 lg 2 otsustuskriteeriumid. 4. Määra vastutav inimene ja asendaja, kellel on õigus 24 tunni jooksul teade esitada. Katsetatud juurdepääs keskkonnale https://raport.cert.ee/. 5. Pane tähtajad kalendrisse mallina: T+24 h esmane teade, T+72 h intsidenditeade (usaldusteenuse osutajal T+24 h), T+1 kuu lõppraport. 6. Lisa lepingutesse 24 h teavitusklausel halduspartnerile või majutajale (§ 8 lg 1¹) — vastutus jääb sulle (§ 7 lg 3). 7. Valmista ette teatevormi põhi direktiivi (EL) 2022/2555 art 23(4) punktide järgi, kuni riigisisese määruse andmekoosseis on kinnitatud.

Järgmine samm: kontrolli tasuta scoping- ja lüngaanalüüsi tööriistaga, kas oled ülioluline või oluline üksus ning millised teavitamis- ja turvameetmete nõuded on sinu ettevõttes veel katmata. Analüüs annab prioriteetide loendi, millega saab kohe tööle asuda.