NIS2 ja küberturvalisuse seadus Eesti transpordiettevõtjale: lennu-, raudtee-, vee- ja liikluskorraldus

Kas transpordisektor kuulub Eestis kohaldamisalasse?

Jah — lennu-, raudtee-, vee- ja liikluskorralduse valdkonna ettevõtjad on Eesti küberturvalisuse seaduses (KüTS) sõnaselgelt nimetatud, kui nad ületavad seaduses sätestatud suuruskünnise. Transpordi tegevusalad on loetletud KüTS § 3 lõikes 3, mis määrab tingimuste täitmisel üliolulise üksuse staatuse; sama tegevusalade loetelu kaudu tekib väiksema künnise juures olulise üksuse staatus (KüTS § 3 lg 4 p 8).

Esimene samm on lihtne: võrdle oma tegevust KüTS § 3 lõike 3 sõnastusega ja seejärel kontrolli kolme näitajat — töötajate arv, aastabilansimaht ja aastakäive. Nendest kahest sammust selgub, kas ettevõte on seaduse kohaldamisalas ja kummasse klassi ta kuulub.

Eraldi tähelepanek: elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses on ülioluline üksus sõltumata suurusest (KüTS § 3 lg 2 p 2). Osa transpordisektori taristupidajaid võib kuuluda kohaldamisalasse just selle punkti alusel.

Kuidas küberturvalisuse seadus transpordisektorit nimetab

Veetranspordi osas sätestab KüTS § 3 lõike 3 punkt 5, et ülioluline üksus on Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 725/2004 laevade ja sadamarajatiste turvalisuse tugevdamise kohta I lisas:

> „meretranspordi puhul osutatud ettevõtja, kes tegeleb reisijate ja kauba vedamisega sisevetes, merel ja rannavetes, välja arvatud kõnealuse ettevõtja käitatavad üksikud laevad“ (KüTS § 3 lg 3 p 5).

Ülejäänud transpordi tegevusalad on samas lõikes loetletud järgmiselt:

• lennuettevõtja määruse (EÜ) nr 300/2008 artikli 3 punkti 4 tähenduses, kes tegeleb ärilise lennutranspordiga (§ 3 lg 3 p 20);
• lennujaama haldaja direktiivi 2009/12/EÜ artikli 2 punktis 1 määratletud tähenduses ning lennujaama abirajatiste käitaja (§ 3 lg 3 p 21) ja lennujaama haldaja lennundusseaduse tähenduses (§ 3 lg 3 p 22);
• lennujuhtimise teenust osutav lennuliikluskorraldusettevõtja määruse (EL) 2024/2803 artikli 2 punkti 6 tähenduses (§ 3 lg 3 p 23);
• liiklusseadusekohase intelligentse transpordisüsteemi käitaja (§ 3 lg 3 p 24);
• raudteeinfrastruktuuriettevõtja ja raudteeveoettevõtja, sealhulgas teenindusrajatise käitaja raudteeseaduse tähenduses (§ 3 lg 3 p 31);
• sadama pidaja või sadamarajatise valdaja sadamaseaduse tähenduses, sealhulgas määruse (EÜ) nr 725/2004 artikli 2 punktis 11 määratletud sadamarajatiste valdaja, ning sadamates tööde ja varustuse haldamisega tegelev üksus (§ 3 lg 3 p 32);
• veeliikluse juhtimise keskus (§ 3 lg 3 p 36).

KüTS on Eesti õigusakt, millega on üle võetud direktiiv (EL) 2022/2555 (küberturvalisuse 2. direktiiv).

Ülioluline või oluline üksus: künnised

Klassifikatsioon sõltub tegevusalast ja majandusnäitajatest. Näitajad võetakse Euroopa Komisjoni soovitusest 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta.

Arvutamisel on kaks olulist erisust:

• töötajate arvu, aastabilansimahu ja aastakäibe kindlakstegemisel ei kohaldata soovituse 2003/361/EÜ lisa artikli 3 lõiget 4 (KüTS § 3 lg 6);
• partner- või sidusettevõtja andmeid ei arvestata, kui üksus on teenuste osutamisel kasutatavate süsteemide puhul oma partner- või sidusettevõtjast sõltumatu (KüTS § 3 lg 7).

Mõlemad klassid on seaduse tähenduses teenuseosutajad (KüTS § 3 lg 1) ja neile kehtivad samad sisulised nõuded — erinevus avaldub eelkõige trahvimäärades.

Põhikohustused: turvameetmed, juhtkonna roll ja andmete esitamine

Turvameetmed. Teenuseosutaja rakendab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemide turvalisust ohustavaid riske (sealhulgas koostab riskianalüüsi), ennetada või minimeerida küberintsidendi mõju teenuse saajale ja muule teenusele ning küberintsidenti ennetada, tuvastada ja lahendada (KüTS § 7 lg 1). Meetmete valikul arvestatakse muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ning proportsionaalsust, mille juures vaadatakse riskidele avatuse määra, üksuse suurust ning intsidentide tõenäosust ja tõsidust (KüTS § 7 lg 2).

Vastutus ei kandu allhankele. Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et see teine isik turvameetmed rakendab (KüTS § 7 lg 3). Transpordis, kus broneerimis-, dispetšeri- ja telemaatikalahendused on sageli välja ostetud, on see määrava tähtsusega.

Standard. Võrgu- ja infosüsteemi turvalisuse tagamiseks järgib teenuse osutaja Eesti infoturbestandardit (E-ITS) ja rakendab sellest tulenevaid turvameetmeid (Eesti infoturbestandard § 1 lg 1); üldnõuded ja erinõuded kehtestatakse määrusega (KüTS § 7 lg 5).

Meetmete miinimumsisu tuleneb direktiivi (EL) 2022/2555 artikli 21 lõikest 2 ja hõlmab vähemalt: riskianalüüsi ja infosüsteemide turbe põhimõtteid; intsidentide käsitlemist; talitluspidevust (varundushaldus, avariitaaste) ja kriisiohjet; tarneahela turvalisust; süsteemide hankimise, arendamise ja hooldamise turvalisust koos nõrkuste käsitlemisega; meetmete tõhususe hindamise korda; küberhügieeni ja koolitust; krüptograafia kasutamise põhimõtteid; personali turvalisust, juurdepääsukontrolli ja varade haldust; asjakohasel juhul mitmikautentimist ning turvalist häälside-, video- ja tekstisidet.

Juhtkond. Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidavad üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks, jälgivad nende rakendamist ja neid võib rikkumise eest vastutusele võtta.

Andmete esitamine RIA-le. Teenuseosutaja esitab Riigi Infosüsteemi Ametile nimekirja koostamiseks vähemalt nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed (sh e-posti aadressid, internetiprotokolli aadresside vahemikud ja telefoninumbrid), asjakohasel juhul direktiivi lisas osutatud sektori ja allsektori ning riikide loetelu, kus ta teenuseid osutab (KüTS § 3¹ lg 1). Andmete muudatustest tuleb teavitada viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva (KüTS § 3¹ lg 4). Üksus, kes vastas teenuseosutaja tunnustele juba enne § 3¹ lõike 1 jõustumist 01.01.2026, pidi kohustuse täitma kolme kuu jooksul jõustumisest arvates (KüTS § 28¹ lg 1).

KüTS ei sätesta lennu-, raudtee-, vee- ega liikluskorralduse valdkonnale eraldi turvameetmete kataloogi: nõuded on kõigile kohaldamisalasse kuuluvatele üksustele samad. Erandiks on olukord, kus teenuseosutaja on nimetatud direktiivi artikli 21 lõikes 5 osutatud rakendusaktis — siis lähtutakse selle rakendusakti nõuetest (KüTS § 7 lg 7).

Küberintsidendist teavitamine ja tähtajad

Teated esitatakse Riigi Infosüsteemi Ametile (KüTS § 8 lg 1). RIA täidab ka intsidentide käsitlemise üksuse (CSIRT) ülesandeid — Eestis CERT-EE (KüTS § 5 lg 3 p 3). Teavituskeskkond on https://raport.cert.ee/, e-post cert@cert.ee, telefon +372 663 0299.

Tähtajad KüTS § 8 järgi:

• Esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul pärast küberintsidendist teada saamist, kui intsidendil on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või kui olulist mõju võib mõistlikult eeldada (§ 8 lg 1).
• Intsidenditeade, millega esmase teate teavet ajakohastatakse, viivitamata, kuid hiljemalt 72 tunni jooksul pärast olulise mõjuga küberintsidendist teada saamist (§ 8 lg 4¹).
• Vahearuanne RIA taotlusel enne lõppraporti esitamist (§ 8 lg 4³).
• Lõppraport ühe kuu jooksul intsidenditeate esitamisest. Kui intsident ei ole selleks ajaks lahendatud, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist (§ 8 lg 7).

Oluline mõju on olemas muu hulgas siis, kui riskianalüüsis määratud tagajärgede raskusaste on vähemalt raske, kui teenust ei ole võimalik jätkata maksimaalse lubatud katkestuse aja möödumisel, kui häiritud on teise teenuseosutaja teenuse toimepidevus, kui tuleb rakendada erakorralisi abinõusid või kui on tekkinud või võib tekkida märkimisväärne kahju (KüTS § 8 lg 2). Kui teenuse osutamine on häiritud veel vähemalt ühes Euroopa Liidu liikmesriigis, loetakse küberintsident alati olulise mõjuga intsidendiks (KüTS § 8 lg 3) — piiriülestel lennu-, raudtee- ja mereliinidel on see sagedane.

Asjakohasel juhul tuleb mõistliku aja jooksul teavitada ka isikuid, keda intsident või oluline küberoht võib mõjutada, või avalikkust, kui mõjutatud isikuid ei ole võimalik eraldi teavitada (KüTS § 8 lg 5). Kui süsteemi haldab või majutab teine isik, vastutab teenuseosutaja selle eest, et see isik teavitab teda hiljemalt 24 tunni jooksul intsidendist teada saamisest (KüTS § 8 lg 1¹).

Trahvid ja järelevalve

Trahvimäär sõltub üksuse klassist. Karistatav on muu hulgas KüTS § 7 turvameetmete nõuete ja § 8 teavitamiskohustuste rikkumine.

Riiklikku ja haldusjärelevalvet KüTS-i nõuete üle teeb Riigi Infosüsteemi Amet (KüTS § 14 lg 1) ja RIA on ka nende väärtegude kohtuväline menetleja (KüTS § 19 lg 1); väärtegude aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).

Ametlik allikas ja juhised: Riigi Infosüsteemi Amet, e-post ria@ria.ee, telefon +372 663 0200, https://www.ria.ee/. Kui mõni küsimus jääb seaduse tekstist lahtiseks, tuleks tugineda RIA avaldatud juhistele.