Mida peab küberturvalisuse riskijuhtimise poliitika Eestis sisaldama?

Poliitika õiguslik alus: KüTS § 7

Eestis võtab NIS2 nõuded üle küberturvalisuse seadus (KüTS). Riskijuhtimise dokumendi sisu lähtekoht on § 7 lõige 1, mis sõnastab kohustuse nii: „Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid” (KüTS § 7 lg 1).

Sellest ühest lausest tuleneb poliitikadokumendi raamistik:

• alaliselt — poliitika ei ole ühekordne projekt, vaid püsivalt kehtiv ja hooldatav kord;
• tehnilised, tegevuslikud ning korralduslikud — dokument peab katma kõiki kolme tasandit, mitte üksnes IT-lahendusi;
• asjakohased ja proportsionaalsed — meetmete maht on seotud ettevõtte enda olukorraga.

Sama lõige nimetab kolm eesmärki, mille ümber sisupeatükid loomulikult jagunevad: riskide haldamine koos riskianalüüsi koostamisega (§ 7 lg 1 p 1), küberintsidendi mõju ennetamine või minimeerimine teenuse saajale ja muule teenusele (§ 7 lg 1 p 2) ning intsidendi ennetamine, tuvastamine ja lahendamine (§ 7 lg 1 p 3).

Sisupeatükid meetmete kaupa: direktiivi art 21(2) punktid a–j

Riskijuhtimismeetmete miinimumkoosseisu loetleb direktiiv (EL) 2022/2555 art 21(2). Praktikas on see kõige selgem sisukord, mille järgi poliitika peatükke üles ehitada — iga peatükk kannab oma viidet.

Osa punkte on tingimuslikud („kui see on kohane”) — nende puhul on mõistlik poliitikas kirjas ka põhjendus, miks meede on valitud kujul rakendatud.

Lisaks näeb KüTS § 7 lg 5 ette, et Vabariigi Valitsus või tema volitatud minister kehtestab määrusega infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard (E-ITS), turvameetmete üldnõuded ning süsteemide turvameetmete erinõuded ja nende kohaldamise ulatuse. Eesti infoturbestandardi § 1 lg 1 järgi järgib teenuse osutaja võrgu- ja infosüsteemi turvalisuse tagamisel E-ITS-i ja rakendab sellest tulenevaid turvameetmeid — poliitika peaks seega viitama ka sellele, milliseid standardist tulenevaid meetmeid rakendatakse.

Miks kahe ettevõtte poliitikad õiguspäraselt erinevad

KüTS § 7 lg 2 loetleb, mida turvameetmete rakendamisel arvesse võetakse:

1. teenuseosutaja vajadused ja turvanõuded; 2. ajakohased ning asjakohasel juhul Euroopa ja rahvusvahelised standardid; 3. turvameetmete rakendamise kulud; 4. rakendamise proportsionaalsus, mille hindamisel võetakse muu hulgas arvesse „teenuseosutaja riskidele avatuse määra, teenuseosutaja suurust, küberintsidentide esinemise tõenäosust ja nende tõsidust” (KüTS § 7 lg 2 p 4), sealhulgas ühiskondlikku ja majanduslikku mõju; 5. ohte süsteemselt ja terviklikult hõlmav lähenemisviis, mille eesmärk on kaitsta süsteeme ja nende füüsilist keskkonda küberintsidentide eest (§ 7 lg 2 p 5).

See ongi õiguslik põhjus, miks 60 töötajaga teenusepakkuja ja suur taristuettevõtja ei kirjuta ühesugust dokumenti. Punkt 5 tähendab ühtlasi, et poliitika ei tohi piirduda küberohtudega: füüsiline keskkond — serveriruum, ligipääs seadmetele, elektri- ja jahutustaristu — kuulub sama dokumendi kaitsealasse.

Mis sõltub teie enda profiilist

Enne dokumendi kirjutamist tuleb paika panna neli asja, sest need määravad nii kohustuste ulatuse kui ka poliitika ülesehituse.

1. Statuutne klassifikatsioon. KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Üliolulised üksused on loetletud § 3 lg-tes 2 ja 3 (nt domeeninimede süsteemi teenuse osutaja, elutähtsa teenuse osutaja, keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja); olulised üksused § 3 lg-tes 4 ja 5 (nt avalik-õiguslik juriidiline isik, postiteenuse osutaja, teadusasutus, veebipõhise otsingumootori pakkuja).

2. Sektor ja tegevusala. Paljude tegevusalade puhul lisandub künnis: § 3 lg 3 nõuab 250 või rohkem töötajat ning aastabilansimahtu üle 43 miljoni euro või aastakäivet üle 50 miljoni euro; § 3 lg-tes 4 ja 5 kasutatakse künnist 50 või rohkem töötajat ja aastabilansimaht või aastakäive üle 10 miljoni euro.

3. Teenused ja sõltuvused. Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab ta selle eest, et teine isik rakendab turvameetmeid (§ 7 lg 3). Poliitikas peab seetõttu olema kirjas, millised süsteemid on välja antud ja kuidas partneri kohustused lepingus ja kontrollis kajastuvad.

4. Erinõuded. Kui teenuseosutaja on nimetatud direktiivi art 21(5) rakendusaktis, lähtub ta selle teenuse puhul rakendusaktis sätestatud nõuetest (§ 7 lg 7).

Juhtkonna heakskiit, järelevalve ja koolitus

Riskijuhtimise poliitika ei ole IT-osakonna sisedokument. Direktiivi (EL) 2022/2555 art 20(1) järgi kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ning üksusi võib võtta vastutusele art 21 rikkumise eest.

Sellest tuleneb dokumendi juures kolm nähtavat elementi:

• heakskiitmise jälg — kes ja millal kinnitas kehtiva redaktsiooni;
• järelevalve kord — kuidas ja kui sageli juhtkonnale rakendamisest aru antakse;
• koolitus — art 21(2) g nõuab küberhügieeni põhitavasid ja küberturvalisuse koolitust; poliitikas tasub fikseerida sihtrühmad ja koolituse dokumenteerimine.

Kui üksus leiab, et ta art 21(2) meetmeid ei järgi, võtab ta art 21(4) järgi põhjendamatu viivituseta kõik vajalikud, asjakohased ja proportsionaalsed parandusmeetmed. Ka see parandusmehhanism kuulub poliitikasse.

Mis teeb poliitika kontrollitavaks

Kontrollitav dokument on selline, kus iga nõue kannab oma täpset viidet. Praktiline miinimum:

• iga peatüki juures viide sättele (nt KüTS § 7 lg 1 p 1, § 7 lg 2 p 4, § 7 lg 3, art 21(2) d);
• riskianalüüs kui eraldi, viidatav alusdokument — KüTS § 7 lg 1 p 1 nõuab selle koostamist ja § 8 lg 2 p 1 seob intsidendi olulise mõju hindamise riskianalüüsis määratud tagajärgede raskusastmega;
• vastutajad, versioonid ja kinnitamise kuupäevad;
• seos teavituskorraga: esmane teade tuleb esitada Riigi Infosüsteemi Ametile viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist (§ 8 lg 1), ning intsidenditeade hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹);
• viide sellele, et RIA-le esitatud andmete muutumisest teavitatakse viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist (§ 3¹ lg 4).

Miks see loeb: § 7 lõigetes 1, 2, 3, 5 või 7 sätestatud nõuete rikkumise eest on üliolulise üksuse puhul juriidilisele isikule ette nähtud rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (§ 18² lg 2), ja olulise üksuse puhul kuni 7 000 000 eurot või kuni 1,4 protsenti käibest (§ 18³ lg 2).

Ametlik allikas ja juhised: Riigi Infosüsteemi Amet (RIA), kes täidab pädeva asutuse ülesandeid (KüTS § 5 lg 3).