NIS2 juhtkonna vastutus ja isiklik vastutus Eestis
Küberturvalisus on juhtkonna, mitte ainult IT-osakonna ülesanne
Paljud ettevõtete juhid arvavad, et küberturvalisus on „IT-inimeste asi". NIS2 direktiiv ja selle Eesti ülevõtusseadus, küberturvalisuse seadus (KüTS), ütlevad selgelt teisiti: vastutus lasub üksuse juhtorganil.
Direktiivi (EL) 2022/2555 artikkel 20 lõige 1 sätestab, et liikmesriigid tagavad, et elutähtsate ja oluliste üksuste juhtorganid:
- kiidavad heaks küberturvalisuse riskijuhtimismeetmed, mida üksus võtab artikli 21 järgimiseks;
- jälgivad nende meetmete rakendamist;
- ning neid üksusi võib võtta vastutusele kõnealuse artikli rikkumise eest.
See tähendab, et juhtkond ei saa küberturvalisuse eest vastutust täielikult delegeerida. Meetmete heakskiitmine ja järelevalve on juhtorgani enda ülesanne — allkiri ja pidev tähelepanu, mitte pelgalt volituse andmine IT-juhile.
Eestis kohaldub KüTS üliolulistele üksustele ja olulistele üksustele (KüTS § 3 lg 1). Kui teie ettevõte kuulub mõnda KüTS § 3 lõigetes 2–5 nimetatud kategooriasse, puudutab juhtkonna vastutus otseselt ka teid.
Milliseid meetmeid juhtkond peab heaks kiitma ja jälgima?
Artikkel 20(1) viitab meetmetele, mille üksus võtab artikli 21 järgimiseks. KüTS-is on need turvameetmed sätestatud § 7 lõikes 1: teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, sealhulgas koostab riskianalüüsi.
Direktiivi artikkel 21 lõige 2 loetleb konkreetsed valdkonnad, mille meetmed peavad katma. Juhtorgan peaks veenduma, et need on ettevõttes käsitletud:
| Valdkond | Näide |
|---|---|
| Riskianalüüs ja infoturbe põhimõtted | Süsteemide riskihindamine |
| Intsidentide käsitlemine | Intsidendile reageerimise plaan |
| Talitluspidevus | Varundushaldus, avariitaaste, kriisiohje |
| Tarneahela turvalisus | Tarnijate ja teenuseosutajate suhete turve |
| Süsteemide hankimine ja hooldus | Nõrkuste käsitlemine ja avalikustamine |
| Küberhügieen ja küberturvalisuse koolitus | Töötajate ja juhtkonna koolitus |
| Krüptograafia | Krüpteerimise põhimõtted |
| Juurdepääsukontroll ja varade haldus | Personali turvalisus |
| Mitmikautentimine | MFA, turvaline side |
Juhtkonna roll pole neid meetmeid ise ehitada, vaid heaks kiita, jälgida ja tagada, et need on tegelikult rakendatud (art 20(1)). Kui üksus leiab, et ta ei järgi artikli 21 lõike 2 meetmeid, tuleb võtta põhjendamatu viivituseta parandusmeetmed (art 21(4)).
Koolituskohustus juhtkonnale ja töötajatele
Direktiivi artikkel 21 lõige 2 punkt g nõuab osana riskijuhtimismeetmetest küberhügieeni põhitavasid ja küberturvalisuse koolitust. See ei ole vabatahtlik lisategevus, vaid üks kohustuslikest turvameetmete elementidest.
Praktikas tähendab see, et:
- juhtkond peab tagama, et töötajad saavad küberturvalisuse koolitust;
- juhtorgani liikmed ise peavad omandama piisavad teadmised, et küberturvalisuse riskijuhtimismeetmeid mõista, heaks kiita ja nende rakendamist jälgida (art 20(1) kohane heakskiitmine ja järelevalve eeldab arusaamist).
Kui koolituse konkreetne maht, sagedus või vorm juhtorgani liikmetele on Eesti õiguses eraldi täpsustatud, siis [TÄPSUSTAB PARTNER-JURIST]. Igal juhul on koolitus üks turvameetmetest, mille eest juhtkond KüTS § 7 ja artikli 21 kohaselt vastutab.
Isiklik ja juhtkonna vastutuse mõõde ning sanktsioonid
Artikkel 20(1) sätestab, et üksusi võib võtta vastutusele küberturvalisuse riskijuhtimismeetmete (artikli 21) rikkumise eest. See sama säte täpsustab, et see ei piira liikmesriigi õigusaktide kohaldamist seoses avaliku sektori asutuste vastutuse ning avalike teenistujate ning valitud ja ametisse nimetatud ametnike vastutusega.
KüTS-i rahatrahvid üksuse tasandil on järgmised:
- Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt kumb summa on suurem (KüTS § 18² lg 2).
- Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt kumb summa on suurem (KüTS § 18³ lg 2).
Need trahvid puudutavad muu hulgas § 7 turvameetmete ja § 8 teavituskohustuste rikkumist. Kohtuväline menetleja on Riigi Infosüsteemi Amet (RIA) (KüTS § 19 lg 1).
Kui KüTS näeb ette eraldi isikliku rahatrahvi konkreetselt juhtorgani liikmele või muid isiklikke tagajärgi (nt ajutine juhtimiskeeld), siis nende täpne koosseis ja määr [TÄPSUSTAB PARTNER-JURIST] — ülaltoodud summad puudutavad üksuse (juriidilise isiku) vastutust. Selge on aga see, et juhtkond peab meetmed heaks kiitma ja nende rakendamist jälgima (art 20(1)), ning nende kohustuste eiramine toob kaasa üksusele suunatud sanktsioonid.
Soovitus: kaardistage juba täna, kas teie üksus on ülioluline või oluline ja millised turvameetmed on juhtorgani poolt heaks kiidetud. Meie tasuta scoping- ja gap-tööriist aitab hinnata teie hetkeseisu ja tuvastada lüngad enne, kui RIA järelevalve teieni jõuab.
Korduma kippuvad küsimused
Kas küberturvalisuse eest vastutab meie ettevõttes IT-osakond või juhtkond?
Direktiivi (EL) 2022/2555 artikkel 20 lõige 1 järgi vastutab juhtorgan: juhtkond peab küberturvalisuse riskijuhtimismeetmed heaks kiitma ja nende rakendamist jälgima. Vastutust ei saa täielikult IT-osakonnale delegeerida.
Kas juhtkonna liikmed peavad ise koolitust läbima?
Küberturvalisuse koolitus on direktiivi artikli 21 lõike 2 punkti g järgi üks kohustuslikke turvameetmete elemente ja KüTS § 7 kohane turvameede. Juhtkond peab tagama töötajate koolituse ning omama ise piisavaid teadmisi meetmete heakskiitmiseks ja järelevalveks. Koolituse täpne maht juhtorgani liikmetele Eesti õiguses — [TÄPSUSTAB PARTNER-JURIST].
Kui suured on trahvid, kui juhtkond turvameetmeid ei taga?
KüTS § 18² lg 2 järgi võib üliolulisele üksusele (juriidiline isik) määrata rahatrahvi kuni 10 000 000 eurot või kuni 2% ülemaailmsest aastakäibest. Olulisele üksusele on trahv KüTS § 18³ lg 2 järgi kuni 7 000 000 eurot või kuni 1,4% käibest. Kohtuväline menetleja on Riigi Infosüsteemi Amet (RIA).
Kas juhtkonna liige vastutab isiklikult?
Direktiivi artikkel 20 lõige 1 sätestab, et üksusi võib rikkumise eest vastutusele võtta ja et see ei piira riigisiseseid vastutuse norme. Isikliku, konkreetselt juhtorgani liikmele suunatud sanktsiooni täpne koosseis ja määr KüTS-is — [TÄPSUSTAB PARTNER-JURIST].
Kontrolli oma NIS2-vastavust
See artikkel on üldine teave, mitte õigusnõustamine. Konkreetse olukorra kinnitab partner-jurist.