NIS2 intsidentidest teavitamine Eestis: tähtajad ja kellele teatada
Kellele küberintsidentidest teatada?
Eestis reguleerib küberintsidentidest teavitamist küberturvalisuse seadus (KüTS), millega on üle võetud direktiiv (EL) 2022/2555 (NIS2).
Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (RIA) (KüTS § 8 lg 1). KüTS § 5 lg 3 kohaselt täidab RIA direktiivi (EL) 2022/2555 artiklis 8 nimetatud pädeva asutuse ja ühtse kontaktpunkti ülesandeid ning artiklis 10 nimetatud küberintsidentide käsitlemise üksuse (CSIRT) ülesandeid.
Eesti riiklik CSIRT on CERT-EE, mis on RIA intsidentide käsitlemise üksus. Teated esitatakse teavituskeskkonna https://raport.cert.ee/ kaudu (või e-postiga cert@cert.ee).
Teavituskohustus kehtib teenuseosutajale — KüTS § 3 lg 1 tähenduses hõlmab see nii üliolulisi üksusi kui ka olulisi üksusi (välja arvatud julgeolekuasutus).
Millal on tegemist olulise mõjuga küberintsidendiga?
Teavitamiskohustus tekib küberintsidendi puhul, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või mille oluline mõju ei ole ilmne, kuid seda võib mõistlikult eeldada (KüTS § 8 lg 1 p 1–2).
Küberintsidendil on oluline mõju, kui on täidetud vähemalt üks KüTS § 8 lg 2 tingimustest, näiteks:
- mõju on riskianalüüsis määratud tagajärgede raskusastme kohaselt vähemalt raske;
- teenust ei ole võimalik jätkata teenuse maksimaalse lubatud katkestuse aja möödumisel;
- häiritud on teise teenuseosutaja teenuse toimepidevus;
- intsidendi tõttu on tekkinud või võib tekkida märkimisväärne kahju.
Lisaks: kui intsidendi tagajärjel on teenuse osutamine häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse intsident alati olulise mõjuga küberintsidendiks (KüTS § 8 lg 3).
Teavitamise tähtajad: 24h, 72h ja 1 kuu
KüTS § 8 näeb ette mitmeetapilise teavitamise. Tähtajad on järgmised:
| Etapp | Tähtaeg | Alus |
|---|---|---|
| Esmane teade | viivitamata, kuid hiljemalt 24 tundi pärast intsidendist teada saamist | § 8 lg 1 |
| Intsidenditeade (esmase teate ajakohastus) | viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga intsidendist teada saamist | § 8 lg 4¹ |
| Vahearuanne | RIA taotlusel enne lõppraportit | § 8 lg 4³ |
| Lõppraport | ühe kuu jooksul intsidenditeate esitamisest | § 8 lg 7 |
Erisus usaldusteenuse osutajale: usaldusteenuse osutaja esitab intsidenditeate juba 24 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4²).
Kui olulise mõjuga küberintsident ei ole lõppraporti esitamise ajaks veel lahendatud, käsitatakse esitatud lõppraportit vahearuandena ja teenuseosutaja esitab uue lõppraporti ühe kuu jooksul pärast intsidendi lahendamist (§ 8 lg 7).
Muud teavitamise kohustused ja allhange
Mõjutatud isikute teavitamine. Teenuseosutaja on asjakohasel juhul kohustatud teavitama mõistliku aja jooksul isikut, keda olulise mõjuga küberintsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada (KüTS § 8 lg 5).
Avalikkuse teavitamine. Kui üldsuse teadlikkus või intsidendi avalikustamine on vajalik, võib RIA teenuseosutajaga konsulteerides avalikkust ise teavitada või nõuda, et seda teeks teenuseosutaja (KüTS § 8 lg 6).
Allhange ja majutus. Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik teavitab teda hiljemalt 24 tunni jooksul intsidendist teada saamisest (KüTS § 8 lg 1¹).
Esitatavate andmete täpse koosseisu ja korra kehtestab valdkonna eest vastutav minister määrusega (§ 8 lg 8); Euroopa Komisjoni rakendusakti olemasolul lähtutakse sellest (§ 8 lg 8¹).
Mis juhtub teavitamiskohustuse rikkumisel?
KüTS-i teavitamiskohustuste (sh § 8 lg 1, 1¹, 4¹, 4², 4³, 5, 7 või 8¹) rikkumise eest on ette nähtud rahatrahvid.
- Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2).
- Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18³ lg 2).
Kohtuväline menetleja on Riigi Infosüsteemi Amet (§ 19 lg 1).
Kas teie ettevõte on KüTS-i kohaldamisalas ja kas teie intsidentide käsitlemise protsess vastab tähtaegadele? Kasutage meie tasuta scoping-/gap-tööriista, et hinnata oma kohustuste ulatust ja valmisolekut.
Korduma kippuvad küsimused
Kellele tuleb Eestis küberintsidendist teatada?
Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (RIA) (KüTS § 8 lg 1). RIA täidab pädeva asutuse, ühtse kontaktpunkti ja CSIRT-i ülesandeid (KüTS § 5 lg 3). Eesti riiklik CSIRT on CERT-EE ja teated esitatakse keskkonna https://raport.cert.ee/ kaudu.
Mis on esmase teate tähtaeg?
Teenuseosutaja esitab RIA-le esmase teate viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist (KüTS § 8 lg 1).
Millal tuleb esitada intsidenditeade ja lõppraport?
Intsidenditeade esitatakse viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga intsidendist teada saamist (KüTS § 8 lg 4¹). Lõppraport tuleb esitada ühe kuu jooksul intsidenditeate esitamisest (KüTS § 8 lg 7). Usaldusteenuse osutaja esitab intsidenditeate juba 24 tunni jooksul (KüTS § 8 lg 4²).
Kui suured trahvid ähvardavad teavitamiskohustuse rikkumise korral?
Üliolulisele üksusele (juriidiline isik) kuni 10 000 000 eurot või kuni 2% ülemaailmsest aastasest kogukäibest (§ 18² lg 2); olulisele üksusele kuni 7 000 000 eurot või kuni 1,4% käibest (§ 18³ lg 2) — olenevalt, kumb summa on suurem.
Kontrolli oma NIS2-vastavust
See artikkel on üldine teave, mitte õigusnõustamine. Konkreetse olukorra kinnitab partner-jurist.