NIS2 ja KüTS tervishoiuettevõtetele ning ravimitootjatele Eestis

Kas tervishoiu- ja ravimisektor kuulub Eestis KüTS-i kohaldamisalasse?

Jah — osa selle sektori ettevõtteid kuulub küberturvalisuse seaduse (KüTS) kohaldamisalasse, kuid mitte kõik. Ravimitootjad on nimetatud KüTS § 3 lg 3 punktis 7 (põhifarmaatsiatoote ja ravimpreparaadi tootja), ravimite uurimise ja arendamisega tegelevad üksused § 3 lg 3 punktis 39 ning rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja § 3 lg 3 punktis 6. Meditsiiniseadmete ja in vitro diagnostikameditsiiniseadmete tootjad on loetletud § 3 lg 5 punktis 4, perearstiabi osutaja, kes ei ole elutähtsa teenuse osutaja, § 3 lg 4 punktis 5.

Esimene samm juhile: vaata, kas teie tegevus on ühes neist sätetest nimetatud, ja seejärel kontrollige KüTS §-s 3 sätestatud suuruskünniseid. Kui vastus on jaatav, olete KüTS § 3 lg 1 tähenduses teenuseosutaja ning peate esitama Riigi Infosüsteemi Ametile (RIA) § 3¹ lg 1 kohased andmed.

Kuidas KüTS sektorit nimetab — säte sõna-sõnalt

Eesti ülevõtuseadus ei kasuta üldist mõistet „tervishoiusektor", vaid loetleb konkreetsed tegevusalad. Ravimitootmise kohta ütleb KüTS § 3 lg 3 p 7 (Euroopa Liidu majanduse tegevusalade statistilise klassifikaatori viitega):

> „… põhifarmaatsiatoote ja ravimpreparaadi tootja"

Samas lõikes on nimetatud veel:

• § 3 lg 3 p 6 — „Euroopa Parlamendi ja nõukogu määruse (EL) 2022/123 … artiklis 22 nimetatud rahvatervise hädaolukorras esmatähtsa meditsiiniseadme tootja";
• § 3 lg 3 p 39 — „üksus, kes tegeleb ravimiseadusekohase ravimi … uurimise ja arendamisega" (veterinaarravimid on välja jäetud määruse (EL) 2019/6 artikli 4 punkti 1 tähenduses).

Meditsiiniseadmete tootjad on eraldi kirjas § 3 lg 5 p-s 4: määruse (EL) 2017/745 artikli 2 punktis 1 määratletud meditsiiniseadme tootja ja määruse (EL) 2017/746 artikli 2 punktis 2 määratletud in vitro diagnostikameditsiiniseadme tootja, välja arvatud § 3 lg 3 p-s 6 osutatud tootja.

Tervishoiuteenuse osutamise poolel nimetab KüTS § 3 lg 4 p 5 perearstiabi osutajat tervishoiuteenuste korraldamise seaduse tähenduses, kes ei ole elutähtsa teenuse osutaja. Kui tervishoiuasutus on elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses, kuulub ta § 3 lg 2 p 2 alla. Muude tervishoiuteenuse osutajate kohta soovitame lähtuda RIA avaldatud juhistest (www.ria.ee) kui ametlikust allikast.

Ülioluline üksus või oluline üksus — künnised otsustavad

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Klassifikatsioon sõltub tegevusalast ja suurusest.

Suuruse arvutamisel lähtutakse Euroopa Komisjoni soovitusest 2003/361/EÜ, kuid KüTS § 3 lg 6 järgi ei kohaldata selle soovituse lisa artikli 3 lõiget 4. KüTS § 3 lg 7 lisab, et partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu — kontsernikuuluvus ei tähenda seega automaatselt suuremat künnist.

Põhikohustused: turvameetmed, juhtkonna vastutus ja andmete esitamine RIA-le

KüTS ei kehtesta tervishoiule ega ravimitootmisele eraldi turvameetmete kataloogi — kohustused on kõikidele kohaldamisalasse kuuluvatele teenuseosutajatele ühesugused, erinevus tekib peamiselt järelevalve ja trahvimäärade tasandil.

Turvameetmed (KüTS § 7). Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske (sh koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele ning intsidenti ennetada, tuvastada ja lahendada (§ 7 lg 1). Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust (§ 7 lg 2). Kui süsteemi haldamine on volitatud teisele isikule või süsteem majutatakse mujal, vastutab turvameetmete rakendamise eest ikkagi teenuseosutaja ise (§ 7 lg 3) — see puudutab otseselt haiglainfosüsteemide, laborilahenduste ja tootmise IT-teenuste sisseostmist. Võrgu- ja infosüsteemi turvalisuse tagamiseks järgitakse Eesti infoturbestandardit (E-ITS § 1 lg 1); täpsemad nõuded kehtestatakse KüTS § 7 lg 5 alusel määrusega.

Meetmete sisu on direktiivi (EL) 2022/2555 artikli 21 lõikes 2 loetletud kõiki ohte hõlmava lähenemisviisina, hõlmates vähemalt: riskianalüüsi ja infosüsteemide turbe põhimõtteid; intsidentide käsitlemist; talitluspidevust (varundushaldus, avariitaaste) ja kriisiohjet; tarneahela turvalisust; süsteemide hankimise, arendamise ja hoolduse turvalisust koos nõrkuste käsitlemisega; meetmete tõhususe hindamise korda; küberhügieeni ja koolitust; krüptograafiat; personali turvalisust, juurdepääsukontrolli ja varade haldust; ning kohasel juhul mitmikautentimist ja turvalist sidet.

Juhtkonna vastutus. Direktiivi artikli 20 lõike 1 kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ning neid võib rikkumise eest vastutusele võtta. Kui üksus leiab, et ta artikli 21 lõike 2 meetmeid ei järgi, võtab ta põhjendamatu viivituseta parandusmeetmeid (art 21(4)).

Andmete esitamine RIA-le (KüTS § 3¹). Teenuseosutaja esitab RIA-le vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (e-post, IP-aadresside vahemikud, telefon), asjakohasel juhul direktiivi lisas osutatud sektori ja allsektori ning riikide loetelu (§ 3¹ lg 1). Muudatustest tuleb teatada viivitamata, hiljemalt kaks nädalat pärast muudatust (§ 3¹ lg 4). Üksus, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lg 1 jõustumist 01.01.2026, pidi kohustuse täitma kolme kuu jooksul, s.o hiljemalt 01.04.2026 (§ 28¹ lg 1). RIA koostab nimekirja iga kahe aasta järel (§ 3¹ lg 2) ja see on asutusesiseseks kasutamiseks (§ 3¹ lg 3).

Intsidendist teavitamine: 24 tundi, 72 tundi, üks kuu

Küberintsidendi teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1). Praktiline kanal on CERT-EE teavituskeskkond https://raport.cert.ee/ või cert@cert.ee; CERT-EE tegutseb RIA koosseisus direktiivi artikli 10 kohase intsidentide käsitlemise üksusena (KüTS § 5 lg 3 p 3).

• Esmane teade — 24 tundi. Viivitamata, kuid hiljemalt 24 tundi pärast teada saamist intsidendist, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju, või mille oluline mõju ei ole ilmne, kuid mida võib mõistlikult eeldada (§ 8 lg 1).
• Intsidenditeade — 72 tundi. Viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga intsidendist teada saamist, ajakohastades esmase teate teavet (§ 8 lg 4¹).
• Vahearuanne. RIA taotlusel enne lõppraportit, lahendamise seisu kohta (§ 8 lg 4³).
• Lõppraport — üks kuu. Ühe kuu jooksul intsidenditeate esitamisest. Kui intsident on veel lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).

Millal on mõju „oluline"? KüTS § 8 lg 2 loetleb tingimused, millest piisab ühest: tagajärgede raskusaste on riskianalüüsi järgi vähemalt raske; teenust ei saa jätkata lubatud maksimaalse katkestusaja möödudes; häiritud on teise teenuseosutaja teenus; tuleb rakendada erakorralisi abinõusid; tekkinud või tekkida võib märkimisväärne kahju; või tegemist on Euroopa Komisjoni rakendusaktis sätestatud olulise intsidendiga. Kui teenuse osutamine on häiritud veel vähemalt ühes liikmesriigis, loetakse intsident alati olulise mõjuga intsidendiks (§ 8 lg 3).

Asjakohasel juhul tuleb mõistliku aja jooksul teavitada ka isikuid, keda intsident või oluline küberoht võib mõjutada — patsiente, partnereid, kliente — või avalikkust, kui neid eraldi teavitada ei ole võimalik (§ 8 lg 5). Kui süsteemi haldab või majutab teine isik, vastutab teenuseosutaja selle eest, et see isik teda 24 tunni jooksul teavitaks (§ 8 lg 1¹).

Trahvid, järelevalve ja mida kohe ette võtta

Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb RIA (KüTS § 14 lg 1) ning KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja on samuti RIA (§ 19 lg 1). Väärtegude aegumistähtaeg on kolm aastat (§ 19 lg 4).

Trahv on ette nähtud KüTS § 7 lõigetes 1, 2, 3, 5 või 7 ning § 8 lõigetes 1, 1¹, 4¹, 4², 4³, 5, 7 või 8¹ sätestatud nõuete rikkumise eest (§ 18² lg 1 ja § 18³ lg 1).

Praktiline tegevuskava tervishoiu- ja ravimiettevõttele:

1. Tuvasta, kas teie tegevus on KüTS § 3 lõigetes 2–5 nimetatud, ja fikseerige töötajate arv, bilansimaht ning käive. 2. Määra üksuse liik — ülioluline või oluline — ja dokumenteeri põhjendus. 3. Kontrolli, kas § 3¹ lg 1 andmed on RIA-le esitatud ja ajakohased (muudatustest kaks nädalat). 4. Koosta või uuenda riskianalüüs ning vii turvameetmed § 7 ja artikli 21 lõike 2 loeteluga vastavusse, sh tarneahel ja allhankijad. 5. Sea püsti intsidendiprotsess 24 h / 72 h / 1 kuu tähtaegadega ja testi teavituskanalit. 6. Lase juhtorganil meetmed ametlikult heaks kiita ja rakendamist jälgida.

Kiireks alustuseks saab kasutada meie tasuta ulatuse- ja lünkade hindamise tööriista: see näitab paari minutiga, kas teie ettevõte tõenäoliselt kuulub KüTS-i alla, millise üksuse liigina ja millised nõuded on veel katmata. Ametliku ja siduva teabe allikas on RIA avaldatud juhised (www.ria.ee, ria@ria.ee, +372 663 0200).