NIS2 direktiiv ja Eesti küberturvalisuse seadus (KüTS): mis on seos ja mis muutub?

Mis on NIS2 ja kuidas KüTS sellega seostub?

Euroopa Liidu NIS2 direktiiv (EL) 2022/2555 seab liidus ühtlaselt kõrge küberturvalisuse taseme. Direktiiv ise ei kohaldu ettevõttele otse — selle nõuded jõuavad Eesti ettevõteteni riigisisese ülevõtuseaduse kaudu.

Eestis on selleks seaduseks küberturvalisuse seadus (KüTS). KüTS § 1 lg 1 kohaselt sätestab seadus muu hulgas:

• ülioluliste üksuste, oluliste üksuste ja domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve;
• küberintsidentide käsitlemise alused ja nõuded;
• küberturvalisuse valdkonna pädevad asutused.

Sisuliselt tähendab see, et NIS2 direktiivi kohustused (näiteks riskijuhtimismeetmed direktiivi art 21 järgi ja teavitamiskohustus art 23 järgi) on Eesti õiguses kirjas KüTS-i sätetes, mida ettevõte peab tegelikult järgima.

Kas olete kindel, kas KüTS puudutab teie ettevõtet? Tehke tasuta NIS2 kohalduvuse kontroll või NIS2 vastavuse enesehindamine, et saada esmane ülevaade.

Kes on pädev ja järelevalveasutus Eestis?

Eesti küberturvalisuse valdkonna pädev asutus ja järelevalveasutus on Riigi Infosüsteemi Amet (RIA).

KüTS § 5 lg 3 järgi täidab RIA direktiivi (EL) 2022/2555 mitmeid ülesandeid:

• artikli 8 pädeva asutuse ja ühtse kontaktpunkti ülesandeid;
• artikli 9 ulatuslike küberintsidentide ja kriiside ohjamise pädeva asutuse ülesandeid;
• artikli 10 küberintsidentide käsitlemise üksuse (CSIRT) ülesandeid;
• artikli 12 turvahaavatavuse koordineeritult avaldamise koordinaatori ülesandeid;
• artiklis 15 nimetatud võrgustikus osalemise ülesandeid.

Eesti riiklik CSIRT tegutseb CERT-EE nime all RIA koosseisus. Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1).

Kontakt: Riigi Infosüsteemi Amet, e-post ria@ria.ee, telefon +372 663 0200, veeb https://www.ria.ee/. Intsidenditeated: https://raport.cert.ee/ või cert@cert.ee.

Ülioluline üksus ja oluline üksus — kuhu teie ettevõte kuulub?

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus (ühiskonna toimimise seisukohast ülioluline üksus) või oluline üksus (ühiskonna toimimise seisukohast oluline üksus).

Ülioluline üksus (KüTS § 3 lg 2 ja lg 3) on näiteks:

• domeeninimede süsteemi teenuse osutaja;
• elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kvalifitseeritud usaldusteenuse osutaja;
• tippdomeeninimede registri pidaja.

Lisaks loetakse üliolulisteks teatavad suuremad üksused (nt 250 või rohkem töötajat ja aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro) KüTS § 3 lg 3 loetletud tegevusaladel.

Oluline üksus (KüTS § 3 lg 4 ja lg 5) on näiteks:

• andmekogu vastutav ja volitatud töötleja avaliku teabe seaduse tähenduses;
• avalik-õiguslik juriidiline isik;
• usaldusteenuse osutaja (välja arvatud kvalifitseeritud usaldusteenuse osutaja);
• teadusasutus, sotsiaalmeediaplatvormi pakkuja, veebipõhise otsingumootori pakkuja;
• postiteenuse osutaja postiseaduse tähenduses.

Paljudel juhtudel sõltub klassifikatsioon suurusest: KüTS § 3 lg 4 p 8 järgi loetakse oluliseks üksuseks üksus, kellel on majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot ning kelle tegevusala on § 3 lg 3 loetelus.

Täpne piir sõltub teie sektorist, suurusest ja teenuse liigist. Ebakindluse korral aitab tasuta kohalduvuse kontroll esmase klassifikatsiooniga.

Mida KüTS direktiivile lisaks täpsustab?

KüTS ei ole pelgalt NIS2 tekst eesti keeles — see täpsustab, kuidas kohustused Eestis praktikas täidetakse.

1. Turvameetmed (KüTS § 7). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, sh koostab riskianalüüsi (§ 7 lg 1). See vastab direktiivi art 21 lõikes 2 loetletud kõiki ohte hõlmavale lähenemisele. KüTS § 7 lg 5 järgi kehtestab Vabariigi Valitsus või volitatud minister määrusega muu hulgas Eesti infoturbestandardi ja turvameetmete üldnõuded.

2. Intsidenditeavituse tähtajad (KüTS § 8). Olulise mõjuga küberintsidendist teavitatakse Riigi Infosüsteemi Ametit järgmiselt:

Eesti eripära on usaldusteenuse osutaja lühem, 24-tunnine intsidenditeate tähtaeg (§ 8 lg 4²).

3. Teavitamiskohustus ja RIA nimekiri (KüTS § 3¹). Teenuseosutaja esitab RIA-le nime, registrikoodi, kontaktandmed ja muu § 3¹ lg 1 loetletud teabe. RIA koostab nimekirja iga kahe aasta järel (§ 3¹ lg 2) ja teave on asutusesiseseks kasutamiseks (§ 3¹ lg 3). Muudatustest tuleb teavitada hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4).

Trahvid ja vastutus KüTS-i järgi

KüTS-i nõuete (sh § 7 turvameetmed ja § 8 teavituskohustused) rikkumise eest on ette nähtud rahatrahvid:

• Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2).
• Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18³ lg 2).

Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1).

Oluline on ka juhtorgani roll: direktiivi (EL) 2022/2555 art 20(1) järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta.

Ärge oodake järelevalvet — kaardistage oma seis juba täna. Tasuta gap-tööriist näitab, kus on suurimad puudujäägid.