NIS2 trahvid ja sanktsioonid Eestis: mida KüTS ette näeb

Kes vastutab? Ülioluline vs oluline üksus

Küberturvalisuse seadus (KüTS) võttis Eestis üle direktiivi (EL) 2022/2555 ehk NIS2. Seadus jaotab kohustatud teenuseosutajad kahte gruppi (KüTS § 3 lg 1):

• ülioluline üksus – näiteks elutähtsa teenuse osutaja, keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja ning suuremad ettevõtjad kindlates sektorites (KüTS § 3 lg 2 ja lg 3);
• oluline üksus – näiteks avalik-õiguslik juriidiline isik, usaldusteenuse osutaja (v.a kvalifitseeritud), teadusasutus ning keskmise suurusega ettevõtjad loetletud sektorites (KüTS § 3 lg 4 ja lg 5).

See, kumba gruppi teie ettevõte kuulub, määrab otseselt ka maksimaalse trahvimäära. Kui te pole kindel, milline staatus teil on, on mõistlik teha kiire kaardistus – meie tasuta scoping-tööriist aitab esmase klassifikatsiooniga alustada.

Trahvid üliolulisele üksusele: kuni 10 miljonit eurot või 2%

KüTS § 7 (turvameetmed) või § 8 (teavitamiskohustus) nõuete rikkumise eest ülioluline üksus:

• rahatrahv kuni 10 000 000 eurot (KüTS § 18² lg 1);
• kui teo on toime pannud juriidiline isik: rahatrahv kuni 10 000 000 eurot VÕI kuni 2 protsenti üliolulise üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18² lg 2).

See tähendab, et suure käibega ettevõtte puhul võib 2% käibest ületada 10 miljoni euro piiri – ja siis kohaldatakse suuremat summat.

Trahvid olulisele üksusele: kuni 7 miljonit eurot või 1,4%

Sama loogika kehtib olulise üksuse puhul, kuid madalamate määradega. KüTS § 7 või § 8 nõuete rikkumise eest oluline üksus:

• rahatrahv kuni 7 000 000 eurot (KüTS § 18³ lg 1);
• kui teo on toime pannud juriidiline isik: rahatrahv kuni 7 000 000 eurot VÕI kuni 1,4 protsenti olulise üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (KüTS § 18³ lg 2).

Trahvimäärade võrdlus:

Mõlemal juhul kohaldatakse suuremat summat.

Juhtkonna ja isiklik vastutus

NIS2 raamistik ei jäta küberturvalisust ainult IT-osakonna hooleks. Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt tagavad liikmesriigid, et üksuste juhtorganid kiidavad heaks küberturvalisuse riskijuhtimismeetmed, mida üksus on artikli 21 järgimiseks võtnud, jälgivad nende rakendamist ning neid üksusi võib võtta vastutusele artikli rikkumise eest.

See tähendab, et juhtkond peab:

• küberturvalisuse riskijuhtimismeetmed sisuliselt heaks kiitma;
• nende rakendamist jälgima, mitte ainult formaalselt vastu võtma.

Riskijuhtimismeetmed ise on loetletud direktiivi art 21(2) all ja hõlmavad muu hulgas riskianalüüsi, intsidentide käsitlemist, talitluspidevust ja avariitaastet, tarneahela turvalisust, krüptograafiat, juurdepääsukontrolli ning küberhügieeni ja koolitusi. Kui üksus leiab, et ta ei järgi neid meetmeid, peab ta art 21(4) kohaselt võtma põhjendamatu viivituseta kõik vajalikud parandusmeetmed.

Kes trahve määrab ja kuidas rikkumisi väldib

Eestis on NIS2/KüTS pädev asutus ja järelevalveasutus Riigi Infosüsteemi Amet (RIA) (KüTS § 5 lg 3). RIA on ühtlasi KüTS §-des 18²–18⁵ sätestatud väärtegude kohtuväline menetleja (KüTS § 19 lg 1).

Enamik trahviohtu tekitavaid rikkumisi puudutab kaht valdkonda:

1. Turvameetmed – KüTS § 7 nõuab alaliste asjakohaste ja proportsionaalsete tehniliste, tegevuslike ning korralduslike meetmete rakendamist, sh riskianalüüsi koostamist (§ 7 lg 1). 2. Teavitamiskohustus – KüTS § 8 näeb ette esmase teate 24 tunni jooksul, intsidenditeate 72 tunni jooksul (usaldusteenuse osutajal 24 tunni jooksul) ning lõppraporti ühe kuu jooksul.

Esimene samm rikkumiste vältimiseks on teada, kas ja millise üksusena te KüTS-i alla kuulute ning kus on teie hetkeolukorra puudujäägid. Alusta meie tasuta scoping- ja gap-tööriistaga, et saada kiire ülevaade oma vastavusest.