NIS2 koolitus meeskonnale: KüTS § 6¹ koolituskohustus

Mida KüTS juhatuse liikmelt koolituse osas nõuab

Küberturvalisuse seadus (KüTS) ei jäta juhatuse koolitust hea tava tasemele — see on seaduses kirjas eraldi kohustusena. KüTS § 6¹ lg 2 sätestab sõna-sõnalt:

> «(2) Käesoleva paragrahvi lõikes 1 nimetatud teenuseosutaja juhatuse liige läbib korrapäraselt koolitusi eesmärgiga omandada piisavad teadmised ja oskused, et mõista ja hinnata riske, nende mõju teenuseosutaja teenustele ning riskide juhtimise viise.»

Kolm asja on selles lauses olulised. Esiteks «korrapäraselt» — tegemist ei ole ühekordse sissejuhatusega, vaid korduva kohustusega. Teiseks «piisavad teadmised ja oskused» — mõõdupuu on sisuline, mitte osalemistõend. Kolmandaks eesmärk: mõista ja hinnata riske ning nende mõju teenustele, mitte tunda tehnilisi lahendusi.

Kohustus on seotud KüTS § 6¹ lõikega 1, mis nimetab vastutava juhatuse liikme: «Teenuseosutaja määrab vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab selle eest.» Kes turvameetmed heaks kiidab, peab neid ka mõistma — koolituskohustus on selle eelduseks, mitte lisaks.

Kellele koolituskohustus laieneb

Paljud ettevõtted eeldavad, et koolitus puudutab ainult üht inimest. KüTS § 6¹ lg 3 ütleb vastupidist juhuks, kui vastutavat juhatuse liiget ei ole määratud:

> «(3) Kui teenuseosutaja ei määra käesoleva paragrahvi lõikes 1 nimetatud juhatuse liiget, kohaldatakse käesolevas paragrahvis sätestatud kohustusi kõigile juhatuse liikmetele.»

Praktikas tähendab see valikut: kas ettevõte määrab vastutava juhatuse liikme ja tema läbib koolitused, või kohalduvad samad kohustused — sealhulgas koolituskohustus — kogu juhatusele. KüTS § 6¹ lg 4 laiendab juhatuse liikme kohustusi ka olukorrale, kus ettevõttel juhatust õiguslikult ei ole: siis kohaldub see isikule, kes on määratud juhtimisülesandeid täitma, ja füüsilisest isikust ettevõtja puhul talle endale.

Eraldi küsimus on töötajad. KüTS § 6¹ räägib juhatuse liikmest, kuid töötajate teadlikkus on osa turvameetmetest, mida juhatuse liige § 6¹ lg 1 järgi heaks kiidab ja mille rakendamist jälgib. Juhatuse liikme kohustuste täielik loetelu on eraldi artiklis: [KüTS § 6¹: juhatuse liikme kohustused NIS2 järgi](/ee/et/artiklid/nis2-juhtkonna-vastutus-eesti-kuts).

Kuidas tellida kursus korraga kogu meeskonnale

Kui kohustus puudutab mitut inimest, on käsitsi korraldamine kõige kallim osa: igaühele eraldi tellimus, eraldi arve, eraldi järelkontroll. Meie tellimus on tehtud teisiti — üks tellimus, mitu osalejat:

1. Tellija märgib osalejate arvu numbriga. Selle järel avanevad iga osaleja kohta kaks välja: nimi ja e-posti aadress. 2. Iga osaleja läbib kursuse ise. Kursuseosad tulevad tema enda e-postile, mitte tellija postkasti. 3. Hind on tükihind korrutatud osalejate arvuga ja see on iga koguse juures sama. Hind on nähtaval tellimuslehel. 4. Igaüks saab oma nimega läbimise tõendi ja oma avalikult kontrollitava koodi, mille kehtivust saab igaüks ise üle vaadata. 5. Tellija ülevaate-e-post. Üks väli tellimuse lõpus — sinna tuleb link, kust tellija näeb kõigi osalejate seisu: kes on kursuse läbinud ja kes mitte. Kontot ei looda ja parooli ei ole. 6. Nõusolek on kohustuslik. Tellimust ei saa vormistada ilma kinnituseta, et osalejad on teadlikud sellest, et tellija näeb nende läbimise seisu.

Osalejalt küsitakse ainult nime ja e-posti aadressi. Nimi läheb läbimise tõendile — muid isikuandmeid ei koguta ja kasutajakontot ei teki.

Mis kursuses sees on

Kursus on kirjalik ja tuleb e-postiga: üks osa päevas, kokku kümme osa. Iga osa on mahus, mille juhatuse liige jõuab läbi töötada ühe istumisega, ja iga osa juures on õppeküsimused koos õigete vastuste ja selgitustega — nii saab kohe teada, kas lause sai õigesti aru või mitte.

Kursuse lõpus on eraldi lõputest. Selles on ainult küsimused: õigeid vastuseid ette ei näidata. Materjali tohib vastamise ajal vaadata — eesmärk on, et vastus oleks läbi mõeldud, mitte pähe õpitud. Läbimiseks on lävend, mis on kirjas tellimuslehel.

Kui lävend jääb täitmata, saab kordamine olla tasuta ja piiramatu — uue tellimuse tegemine ei ole vajalik. Läbimise tõend väljastatakse alles siis, kui lävend on täidetud; enne seda tõendit ei tule.

Kursuse sisu tuleb Eesti õigusaktide tekstist — seaduse sätted on kursuses sõna-sõnalt, koos viitega, ja läbivad sama sisukontrolli, mida kasutame kliendidokumentide juures. Seaduse teksti ei kirjutata ümber ega tõlgendata mudeli mälust.

Mida kursus ei ole

Aus piiritlus on osa tootest, seega ütleme selle välja.

Läbimise tõend on tõend selle kursuse läbimise kohta. See kinnitab, et osaleja vastas lõputesti küsimustele üle lävendi — mitte ametiasutuse hinnangut ettevõtte küberturvalisusele ega kvalifikatsiooni, mida annab õppeasutus. Tõendi koodi saab igaüks avalikult üle kontrollida; see on tõendi ainus sisu.

Kursus ei asenda dokumente. KüTS § 6¹ lg 1 nõuab turvameetmete heakskiitmist ja nende rakendamise jälgimist — selleks on vaja riskianalüüsi ja kirjalikke põhimõtteid, mida koolitus ise ei tekita.

Raha ei tagastata. Kursus on digitaalne sisu, mis antakse kätte kohe pärast makset, ja tellimus on lõplik. Seetõttu on kordamine tasuta ja piiramatu: ebaõnnestunud katse ei tähenda uut ostu.