NIS2 Eestis joogiveega varustajatele: kohaldumine, kohustused, tähtajad ja trahvid

Lühivastus: jah, joogiveesektor on Eesti NIS2-seaduses nimetatud

Joogiveega varustamine on Eesti küberturvalisuse seaduses (KüTS) otsesõnu nimetatud tegevusala: see on loetletud KüTS § 3 lõike 3 punktis 37. See tähendab, et joogiveega varustaja ja selle jaotaja võib kvalifitseeruda kas üliolulise üksuse või olulise üksuse hulka, sõltuvalt ettevõtte suurusnäitajatest ja sellest, kas tegemist on elutähtsa teenuse osutajaga.

Esimese sammuna tasub teha ettevõttes kohalduvuse kontroll: võrrelge oma tegevust KüTS § 3 sõnastusega ning oma majandusaasta töötajate arvu, aastabilansimahtu ja aastakäivet seaduses toodud künnistega. Kui üksus kvalifitseerub teenuseosutajaks, tuleb esitada KüTS § 3¹ lõikes 1 nimetatud andmed Riigi Infosüsteemi Ametile ning asuda rakendama KüTS §-s 7 nõutud turvameetmeid.

Kuidas seadus joogiveesektorit nimetab

KüTS § 3 lõike 3 punkt 37 kirjeldab tegevusala järgmiselt (väljavõte seadusetekstist):

> veeseaduse § 17 lõike 1 kohase joogiveega varustaja ja selle jaotaja, välja arvatud jaotaja, kelle puhul on joogivee jaotamine tema üldise muude tarbekaupade ning kaupade tarnimise tegevuse väheoluline osa

Sellest sõnastusest tuleb välja kaks olulist asja:

• Kaetud on nii varustaja kui ka jaotaja.
• Erand kehtib üksnes jaotajale, kelle jaoks joogivee jaotamine on tema üldise muude tarbekaupade ja kaupade tarnimise tegevuse väheoluline osa.

KüTS ei sätesta joogiveesektorile eraldi kohustuste kataloogi. Seaduse nõuded — turvameetmed (§ 7) ja küberintsidendist teavitamine (§ 8) — kehtivad kõikidele teenuseosutajatele ühtemoodi, olenemata sektorist. Erisused tulenevad üksnes sellest, kas üksus on ülioluline või oluline üksus.

Ülioluline üksus või oluline üksus: künnised

KüTS § 3 lõike 1 järgi on teenuseosutaja ühiskonna toimimise seisukohast ülioluline üksus või oluline üksus. Joogiveesektori ettevõtte jaoks on asjakohased järgmised alused:

Suurusnäitajate arvutamisel lähtutakse Euroopa Komisjoni soovitusest 2003/361/EÜ, kuid kahe erisusega:

• selle soovituse lisa artikli 3 lõiget 4 ei kohaldata (KüTS § 3 lg 6);
• partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (KüTS § 3 lg 7).

Enesehindamise käigus tasub need kaks erisust eraldi läbi mõelda — kontsernikuuluvus ei tähenda automaatselt näitajate liitmist.

Põhikohustused: turvameetmed, juhtkonna roll ja andmete esitamine

Turvameetmed. KüTS § 7 lõike 1 järgi rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske (sh koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele ning ennetada, tuvastada ja lahendada küberintsidente. Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust, sealhulgas üksuse suurust ja riskidele avatuse määra (§ 7 lg 2).

Vastutus allhanke korral. Kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse teise isiku juures, vastutab teenuseosutaja selle eest, et ka see isik tagab turvameetmete rakendamise (§ 7 lg 3).

Eesti infoturbestandard. Vabariigi Valitsus või volitatud minister kehtestab määrusega infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard, turvameetmete üldnõuded ning süsteemide turvameetmete erinõuded (§ 7 lg 5). Eesti infoturbestandardi § 1 lõike 1 kohaselt järgib teenuse osutaja võrgu- ja infosüsteemi turvalisuse tagamiseks E-ITS-i ja rakendab sellest tulenevaid turvameetmeid.

Direktiivi meetmete loetelu. Direktiivi (EL) 2022/2555 artikli 21 lõike 2 järgi hõlmavad meetmed vähemalt: riskianalüüsi ja infosüsteemide turbe põhimõtteid; intsidentide käsitlemist; talitluspidevust (varundushaldus, avariitaaste) ja kriisiohjet; tarneahela turvalisust; süsteemide hankimise, arendamise ja hooldamise turvalisust; meetmete tõhususe hindamise korda; küberhügieeni ja koolitust; krüptograafia kasutamise põhimõtteid; personali turvalisust, juurdepääsukontrolli ja varade haldust; kohasel juhul mitmikautentimist ning turvalist sidet.

Juhtkonna vastutus. Direktiivi artikli 20 lõike 1 järgi kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist ning üksust võib rikkumise eest vastutusele võtta. Küberturvalisus ei ole seega üksnes IT-osakonna teema.

Andmete esitamine RIA-le. Teenuseosutaja esitab Riigi Infosüsteemi Ametile nimekirja koostamiseks vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, IP-aadresside vahemikud ja telefoninumbrid) ning asjakohasel juhul direktiivi lisas osutatud sektori ja allsektori ning riikide loetelu (§ 3¹ lg 1). Andmete muutumisest tuleb teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (§ 3¹ lg 4). Üksus, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lõike 1 jõustumist 01.01.2026, pidi kohustuse täitma kolme kuu jooksul jõustumisest arvates (§ 28¹ lg 1).

Küberintsidendist teavitamine ja tähtajad

Teated esitatakse Riigi Infosüsteemi Ametile, mille koosseisus tegutseb riiklik küberintsidentide käsitlemise üksus CERT-EE (KüTS § 5 lg 3 p 3). Tähtajad KüTS §-st 8:

• Esmane teade — viivitamata, kuid hiljemalt 24 tunni jooksul pärast küberintsidendist teada saamist, kui sellel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või kui sellist mõju võib mõistlikult eeldada (§ 8 lg 1).
• Intsidenditeade — viivitamata, kuid hiljemalt 72 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist; sellega ajakohastatakse esmase teatega esitatud teavet (§ 8 lg 4¹).
• Vahearuanne — Riigi Infosüsteemi Ameti taotlusel enne lõppraporti esitamist (§ 8 lg 4³).
• Lõppraport — ühe kuu jooksul intsidenditeate esitamisest. Kui intsident ei ole selleks ajaks lahendatud, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).

Millal on mõju oluline, määrab KüTS § 8 lõige 2 — muu hulgas siis, kui riskianalüüsis määratud tagajärgede raskusaste on vähemalt raske, kui ületatakse teenuse maksimaalne lubatud katkestuse aeg, kui häiritud on teise teenuseosutaja teenuse toimepidevus või kui on tekkinud või võib tekkida märkimisväärne kahju. Kui teenuse osutamine on häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse intsident alati olulise mõjuga küberintsidendiks (§ 8 lg 3). Asjakohasel juhul tuleb mõistliku aja jooksul teavitada ka mõjutatud isikuid või avalikkust (§ 8 lg 5).

Teavituskanal on CERT-EE teavituskeskkond raport.cert.ee või e-post cert@cert.ee, telefon +372 663 0299. Esitatavate andmete täpse koosseisu ja korra kehtestab valdkonna eest vastutav minister määrusega (§ 8 lg 8).

Trahvid ja järelevalve

Järelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (KüTS § 14 lg 1), kes on ka väärtegude kohtuväline menetleja (§ 19 lg 1). Väärtegude aegumistähtaeg on kolm aastat (§ 19 lg 4).

Trahvid puudutavad muu hulgas §-s 7 sätestatud turvameetmete ja §-s 8 sätestatud teavituskohustuste rikkumist.

Küsimustes, mida seadusetekst ei kata — näiteks konkreetse vormi või rakendusliku tõlgenduse osas —, tuleb lähtuda Riigi Infosüsteemi Ameti avaldatud juhistest kui ametlikust allikast (Riigi Infosüsteemi Amet, ria.ee).