NIS2 direktiiv ja Eesti küberturvalisuse seadus (KüTS): mis on seos ja mis muutub?

Mis on NIS2 ja kuidas KüTS sellega seostub?

Euroopa Liidu NIS2 direktiiv (EL) 2022/2555 seab liidus ühtlaselt kõrge küberturvalisuse taseme. Direktiiv ise ei kohaldu ettevõttele otse — selle nõuded jõuavad Eesti ettevõteteni riigisisese ülevõtuseaduse kaudu.

Eestis on selleks seaduseks küberturvalisuse seadus (KüTS). KüTS § 1 lg 1 kohaselt sätestab seadus muu hulgas:

• ülioluliste üksuste, oluliste üksuste ja domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve;
• küberintsidentide käsitlemise alused ja nõuded;
• küberturvalisuse valdkonna pädevad asutused.

Sisuliselt tähendab see, et NIS2 direktiivi kohustused (näiteks riskijuhtimismeetmed direktiivi art 21 järgi ja teavitamiskohustus art 23 järgi) on Eesti õiguses kirjas KüTS-i sätetes, mida ettevõte peab tegelikult järgima.

Kas olete kindel, kas KüTS puudutab teie ettevõtet? Tehke tasuta scoping-/gap-analüüs, et saada esmane ülevaade.

Kes on pädev ja järelevalveasutus Eestis?

Eesti küberturvalisuse valdkonna pädev asutus ja järelevalveasutus on Riigi Infosüsteemi Amet (RIA).

KüTS § 5 lg 3 järgi täidab RIA direktiivi (EL) 2022/2555 mitmeid ülesandeid:

• artikli 8 pädeva asutuse ja ühtse kontaktpunkti ülesandeid;
• artikli 9 ulatuslike küberintsidentide ja kriiside ohjamise pädeva asutuse ülesandeid;
• artikli 10 küberintsidentide käsitlemise üksuse (CSIRT) ülesandeid;
• artikli 12 turvahaavatavuse koordineeritult avaldamise koordinaatori ülesandeid;
• artiklis 15 nimetatud võrgustikus osalemise ülesandeid.

Eesti riiklik CSIRT tegutseb CERT-EE nime all RIA koosseisus. Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1).

Kontakt: Riigi Infosüsteemi Amet, e-post ria@ria.ee, telefon +372 663 0200, veeb https://www.ria.ee/. Intsidenditeated: https://raport.cert.ee/ või cert@cert.ee.

Ülioluline üksus ja oluline üksus — kuhu teie ettevõte kuulub?

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus (ühiskonna toimimise seisukohast ülioluline üksus) või oluline üksus (ühiskonna toimimise seisukohast oluline üksus).

Ülioluline üksus (KüTS § 3 lg 2 ja lg 3) on näiteks:

• domeeninimede süsteemi teenuse osutaja;
• elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses;
• keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus;
• kvalifitseeritud usaldusteenuse osutaja;
• tippdomeeninimede registri pidaja.

Lisaks loetakse üliolulisteks teatavad suuremad üksused (nt 250 või rohkem töötajat ja aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro) KüTS § 3 lg 3 loetletud tegevusaladel.

Oluline üksus (KüTS § 3 lg 4 ja lg 5) on näiteks:

• andmekogu vastutav ja volitatud töötleja avaliku teabe seaduse tähenduses;
• avalik-õiguslik juriidiline isik;
• usaldusteenuse osutaja (välja arvatud kvalifitseeritud usaldusteenuse osutaja);
• teadusasutus, sotsiaalmeediaplatvormi pakkuja, veebipõhise otsingumootori pakkuja;
• postiteenuse osutaja postiseaduse tähenduses.

Paljudel juhtudel sõltub klassifikatsioon suurusest: KüTS § 3 lg 4 p 8 järgi loetakse oluliseks üksuseks üksus, kellel on majandusaasta jooksul 50 või rohkem töötajat ja kelle aastabilansimaht või aastakäive ületab 10 miljonit eurot ning kelle tegevusala on § 3 lg 3 loetelus.

Täpne piir sõltub teie sektorist, suurusest ja teenuse liigist. Ebakindluse korral aitab tasuta scoping-tööriist esmase klassifikatsiooniga.

Mida KüTS direktiivile lisaks täpsustab?

KüTS ei ole pelgalt NIS2 tekst eesti keeles — see täpsustab, kuidas kohustused Eestis praktikas täidetakse.

1. Turvameetmed (KüTS § 7). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, sh koostab riskianalüüsi (§ 7 lg 1). See vastab direktiivi art 21 lõikes 2 loetletud kõiki ohte hõlmavale lähenemisele. KüTS § 7 lg 5 järgi kehtestab Vabariigi Valitsus või volitatud minister määrusega muu hulgas Eesti infoturbestandardi ja turvameetmete üldnõuded.

2. Intsidenditeavituse tähtajad (KüTS § 8). Olulise mõjuga küberintsidendist teavitatakse Riigi Infosüsteemi Ametit järgmiselt:

Eesti eripära on usaldusteenuse osutaja lühem, 24-tunnine intsidenditeate tähtaeg (§ 8 lg 4²).

3. Teavitamiskohustus ja RIA nimekiri (KüTS § 3¹). Teenuseosutaja esitab RIA-le nime, registrikoodi, kontaktandmed ja muu § 3¹ lg 1 loetletud teabe. RIA koostab nimekirja iga kahe aasta järel (§ 3¹ lg 2) ja teave on asutusesiseseks kasutamiseks (§ 3¹ lg 3). Muudatustest tuleb teavitada hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4).

Trahvid ja vastutus KüTS-i järgi

KüTS-i nõuete (sh § 7 turvameetmed ja § 8 teavituskohustused) rikkumise eest on ette nähtud rahatrahvid:

• Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2).
• Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18³ lg 2).

Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1).

Oluline on ka juhtorgani roll: direktiivi (EL) 2022/2555 art 20(1) järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta.

Ärge oodake järelevalvet — kaardistage oma seis juba täna. Tasuta gap-tööriist näitab, kus on suurimad puudujäägid.