NIS2 juhtkonna vastutus ja isiklik vastutus Eestis

Küberturvalisus on juhtkonna, mitte ainult IT-osakonna ülesanne

Paljud ettevõtete juhid arvavad, et küberturvalisus on „IT-inimeste asi". NIS2 direktiiv ja selle Eesti ülevõtusseadus, küberturvalisuse seadus (KüTS), ütlevad selgelt teisiti: vastutus lasub üksuse juhtorganil.

Direktiivi (EL) 2022/2555 artikkel 20 lõige 1 sätestab, et liikmesriigid tagavad, et elutähtsate ja oluliste üksuste juhtorganid:

• kiidavad heaks küberturvalisuse riskijuhtimismeetmed, mida üksus võtab artikli 21 järgimiseks;
• jälgivad nende meetmete rakendamist;
• ning neid üksusi võib võtta vastutusele kõnealuse artikli rikkumise eest.

See tähendab, et juhtkond ei saa küberturvalisuse eest vastutust täielikult delegeerida. Meetmete heakskiitmine ja järelevalve on juhtorgani enda ülesanne — allkiri ja pidev tähelepanu, mitte pelgalt volituse andmine IT-juhile.

Eestis kohaldub KüTS üliolulistele üksustele ja olulistele üksustele (KüTS § 3 lg 1). Kui teie ettevõte kuulub mõnda KüTS § 3 lõigetes 2–5 nimetatud kategooriasse, puudutab juhtkonna vastutus otseselt ka teid.

Milliseid meetmeid juhtkond peab heaks kiitma ja jälgima?

Artikkel 20(1) viitab meetmetele, mille üksus võtab artikli 21 järgimiseks. KüTS-is on need turvameetmed sätestatud § 7 lõikes 1: teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, sealhulgas koostab riskianalüüsi.

Direktiivi artikkel 21 lõige 2 loetleb konkreetsed valdkonnad, mille meetmed peavad katma. Juhtorgan peaks veenduma, et need on ettevõttes käsitletud:

Juhtkonna roll pole neid meetmeid ise ehitada, vaid heaks kiita, jälgida ja tagada, et need on tegelikult rakendatud (art 20(1)). Kui üksus leiab, et ta ei järgi artikli 21 lõike 2 meetmeid, tuleb võtta põhjendamatu viivituseta parandusmeetmed (art 21(4)).

Koolituskohustus juhtkonnale ja töötajatele

Direktiivi artikkel 21 lõige 2 punkt g nõuab osana riskijuhtimismeetmetest küberhügieeni põhitavasid ja küberturvalisuse koolitust. See ei ole vabatahtlik lisategevus, vaid üks kohustuslikest turvameetmete elementidest.

Praktikas tähendab see, et:

• juhtkond peab tagama, et töötajad saavad küberturvalisuse koolitust;
• juhtorgani liikmed ise peavad omandama piisavad teadmised, et küberturvalisuse riskijuhtimismeetmeid mõista, heaks kiita ja nende rakendamist jälgida (art 20(1) kohane heakskiitmine ja järelevalve eeldab arusaamist).

Kui koolituse konkreetne maht, sagedus või vorm juhtorgani liikmetele on Eesti õiguses eraldi täpsustatud, siis leiab selle Riigi Infosüsteemi Ameti (RIA) avaldatud juhistest. Igal juhul on koolitus üks turvameetmetest, mille eest juhtkond KüTS § 7 ja artikli 21 kohaselt vastutab.

Isiklik ja juhtkonna vastutuse mõõde ning sanktsioonid

Artikkel 20(1) sätestab, et üksusi võib võtta vastutusele küberturvalisuse riskijuhtimismeetmete (artikli 21) rikkumise eest. See sama säte täpsustab, et see ei piira liikmesriigi õigusaktide kohaldamist seoses avaliku sektori asutuste vastutuse ning avalike teenistujate ning valitud ja ametisse nimetatud ametnike vastutusega.

KüTS-i rahatrahvid üksuse tasandil on järgmised:

• Ülioluline üksus (juriidiline isik): rahatrahv kuni 10 000 000 eurot või kuni 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt kumb summa on suurem (KüTS § 18² lg 2).
• Oluline üksus (juriidiline isik): rahatrahv kuni 7 000 000 eurot või kuni 1,4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt kumb summa on suurem (KüTS § 18³ lg 2).

Need trahvid puudutavad muu hulgas § 7 turvameetmete ja § 8 teavituskohustuste rikkumist. Kohtuväline menetleja on Riigi Infosüsteemi Amet (RIA) (KüTS § 19 lg 1).

Kui KüTS näeb ette eraldi isikliku rahatrahvi konkreetselt juhtorgani liikmele või muid isiklikke tagajärgi (nt ajutine juhtimiskeeld), siis nende täpse koosseisu ja määra saab kontrollida Riigi Infosüsteemi Ametist (RIA) — ülaltoodud summad puudutavad üksuse (juriidilise isiku) vastutust. Selge on aga see, et juhtkond peab meetmed heaks kiitma ja nende rakendamist jälgima (art 20(1)), ning nende kohustuste eiramine toob kaasa üksusele suunatud sanktsioonid.

Soovitus: kaardistage juba täna, kas teie üksus on ülioluline või oluline ja millised turvameetmed on juhtorgani poolt heaks kiidetud. Meie tasuta kohalduvuse kontrolli ja gap-tööriist aitab hinnata teie hetkeseisu ja tuvastada lüngad enne, kui RIA järelevalve teieni jõuab.

Juhatuse liikme kohustused (KüTS § 6¹)

KüTS § 6¹ täpsustab direktiivi artikkel 20(1) juhtorgani-kohustuse Eesti seaduse tasandil — kes täpselt seda kannab ja mida see praktikas tähendab. Säte KüTS § 6¹ täies mahus:

> (1) Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest. Riigi Infosüsteemi Ameti taotlusel esitab teenuseosutaja asjaomase juhatuse liikme või juhatuse liikmete nime ja kontaktandmed. Vastutava juhatuse liikme määramise kohustust ei kohaldata teenuseosutajale, kellel on üks juhatuse liige.

— KüTS § 6¹ lg 1

> (2) Käesoleva paragrahvi lõikes 1 nimetatud teenuseosutaja juhatuse liige läbib korrapäraselt koolitusi eesmärgiga omandada piisavad teadmised ja oskused, et mõista ja hinnata riske, nende mõju teenuseosutaja teenustele ning riskide juhtimise viise.

— KüTS § 6¹ lg 2

> (3) Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget, kohaldatakse käesolevas paragrahvis sätestatud kohustusi kõigile juhatuse liikmetele.

— KüTS § 6¹ lg 3

> (4) Kui teenuseosutajal ei ole oma juriidilise vormi või struktuuri tõttu juhatuse liiget, kohaldatakse juhatuse liikme kohta käivat ka muule isikule, kes on seaduse, põhimääruse või muu õigusakti kohaselt määratud asjaomase teenuseosutaja juures juhtimisülesandeid täitma. Kui teenuseosutaja on füüsilisest isikust ettevõtja, kohaldatakse teenuseosutaja juhatuse liikme kohustuste kohta sätestatut asjaomasele füüsilisele isikule. > [ RT I, 30.12.2025, > 4 - jõust. 01.01.2026]

— KüTS § 6¹ lg 4

Praktikas tähendab see kolme asja: (1) määrake ametlikult, KES juhatusest turvameetmed heaks kiidab ja jälgib — mitmeliikmelise juhatuse puhul on see selge valik, mitte vaikimisi eeldus; (2) see isik (või kõik juhatuse liikmed, kui vastutajat ei määrata) peab läbima korrapärast küberturvalisuse koolitust, mitte ainult IT-meeskond; (3) kui teie ettevõte tegutseb teistsuguse juriidilise vormina (nt füüsilisest isikust ettevõtjana), langeb kohustus vastavale juhtimisülesandeid täitvale isikule.