NIS2 järelevalve ja täitmise tagamine Eestis: mida Riigi Infosüsteemi Amet teha võib

Kes on Eestis pädev järelevalveasutus?

Eestis on NIS2-direktiivi ülevõtnud küberturvalisuse seadus (KüTS) ning pädev asutus ja järelevalveasutus on Riigi Infosüsteemi Amet (RIA).

KüTS § 5 lg 3 kohaselt täidab RIA direktiivi (EL) 2022/2555 mitmeid rolle:

• artikli 8 kohase pädeva asutuse ja ühtse kontaktpunkti ülesanded;
• artikli 9 kohase ulatuslike küberintsidentide ja kriiside ohjamise pädeva asutuse ülesanded;
• artikli 10 kohase küberintsidentide käsitlemise üksuse (CSIRT ehk CERT-EE) ülesanded;
• artikli 12 kohase turvahaavatavuse koordineeritud avaldamise koordinaatori ülesanded.

Seaduse reguleerimisala hõlmab KüTS § 1 lg 1 järgi otsesõnu ka ülioluliste ja oluliste üksuste võrgu- ja infosüsteemide pidamise nõuete järelevalvet. KüTS-is sätestatud haldusmenetlusele kohaldatakse § 1 lg 5 järgi haldusmenetluse seaduse sätteid, arvestades KüTS-i erisusi.

Oluline on teada, et seadus eristab kahte üksuse liiki (§ 3 lg 1): ülioluline üksus ja oluline üksus. See vahe mõjutab ka võimalike sanktsioonide ülemmäära.

Kohustused, mille täitmist RIA jälgib

Järelevalve keskmes on kaks põhikohustuse rühma, mille täitmist RIA kontrollib.

1. Turvameetmed (KüTS § 7)

Teenuseosutaja peab § 7 lg 1 järgi rakendama alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata riske, ennetada või minimeerida küberintsidendi mõju ning küberintsidenti ennetada, tuvastada ja lahendada. Sinna kuulub ka riskianalüüsi koostamine.

Meetmete proportsionaalsuse hindamisel arvestatakse § 7 lg 2 järgi muu hulgas üksuse vajadusi, asjakohaseid standardeid, rakenduskulusid, üksuse suurust ja riskidele avatuse määra. Kui süsteemi haldamine antakse üle või majutatakse teise isiku juures, vastutab teenuseosutaja § 7 lg 3 järgi ikkagi selle eest, et turvameetmed on tagatud.

2. Küberintsidendist teavitamine (KüTS § 8)

Teenuseosutaja peab olulise mõjuga küberintsidendist RIA-le teatama. See on tüüpiline valdkond, kus järelevalve tuvastab puudujääke.

Lisaks nõuab NIS2-direktiiv art 20(1) juhtorganitelt, et need kiidaksid küberturvalisuse riskijuhtimismeetmed heaks ja jälgiksid nende rakendamist – ning üksust võib nende meetmete rikkumise eest vastutusele võtta.

Teavitamine ja tähtajad praktikas

Kui juhtub oluline küberintsident, algab teavitusahel, mille tähtaegu RIA jälgib. Teated esitatakse Riigi Infosüsteemi Ametile (kanal CERT-EE keskkonna kaudu).

Küberintsidendil on oluline mõju vähemalt siis, kui riskianalüüsis määratud tagajärgede raskusaste on vähemalt raske, kui teenust ei saa jätkata lubatud katkestusaja möödudes, kui häiritud on teise teenuseosutaja teenus või kui tekib või võib tekkida märkimisväärne kahju (§ 8 lg 2).

RIA-l on ka teavitamisega seotud volitusi: § 8 lg 6 järgi võib RIA avalikkust olulise mõjuga küberintsidendist teavitada pärast asjaomase teenuseosutajaga konsulteerimist või nõuda, et seda teeks teenuseosutaja ise.

Peale selle peab teenuseosutaja end RIA nimekirja jaoks registreerima: § 3¹ lg 1 järgi tuleb esitada muu hulgas nimi ja registrikood, tegevuskoha aadress ja ajakohased kontaktandmed. Andmete muutumisest tuleb § 3¹ lg 4 järgi teatada viivitamata, hiljemalt kaks nädalat pärast muudatust.

Ülioluline vs oluline üksus: erinevus sanktsioonides

KüTS eristab kahte üksuse liiki ja sellest sõltub ka võimaliku rahatrahvi ülemmäär.

Ülioluline üksus (KüTS § 3 lg 2 ja lg 3) on näiteks domeeninimede süsteemi teenuse osutaja, elutähtsa teenuse osutaja, keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja jt.

Oluline üksus (KüTS § 3 lg 4 ja lg 5) on näiteks andmekogu vastutav ja volitatud töötleja, avalik-õiguslik juriidiline isik, usaldusteenuse osutaja (v.a kvalifitseeritud) jt.

Sanktsioonid § 7 ja § 8 nõuete rikkumise eest:

Märkus järelevalve praktilise korralduse kohta (nt eelnev vs järelkontroll ülioluliste ja oluliste üksuste puhul ning täpsed kontrollivolitused nagu auditid, inspektsioonid ja korraldused): [TÄPSUSTAB PARTNER-JURIST] – KB-kontekst neid menetlusdetaile ei kata.

Kui üksus art 21(4) järgi ise leiab, et ta ei järgi nõutud meetmeid, peab ta põhjendamatu viivituseta võtma kõik vajalikud parandusmeetmed – see on hea võimalus tegutseda enne, kui puudused järelevalves ilmnevad.

Mida peaks üksus praktikas ootama ja ette valmistama

Selleks et olla järelevalveks valmis, tasub keskenduda kolmele asjale:

• Kaardista oma staatus. Kontrolli, kas oled ülioluline või oluline üksus KüTS § 3 loetelude alusel. See määrab su kohustuste ulatuse ja trahvimäärad.
• Dokumenteeri turvameetmed ja riskianalüüs. § 7 nõuab alalisi ja proportsionaalseid meetmeid ning riskianalüüsi. NIS2 art 21(2) annab miinimumsisu: riskianalüüs, intsidentide käsitlemine, talitluspidevus ja varundus, tarneahela turvalisus, juurdepääsukontroll, küberhügieen ja koolitus, krüptograafia jm.
• Sea püsti intsidenditeavituse protsess. Vali vastutajad ja harjuta 24 h / 72 h / ühe kuu tähtaegadest kinnipidamist, et kriitilisel hetkel ei kaoks aega.

Enne põhjalikku juriidilist analüüsi aitab kiire enesehindamine (scoping ja gap-ülevaade) tuvastada, kus asuvad su suurimad lüngad.