Kuidas NIS2Europe teie dokumendid koostab ja kontrollib

1. Õiguslik allikas: küberturvalisuse seadus (KüTS)

NIS2 direktiiv (EL) 2022/2555 on Eestis üle võetud küberturvalisuse seadusega (KüTS). Dokumentatsiooni koostamine algab seetõttu alati seaduse tekstist, mitte üldistest turvasoovitustest.

KüTS § 1 lg 1 määrab, mida seadus reguleerib: ühiskonna toimimise seisukohast ülioluliste üksuste ja oluliste üksuste ning domeeninimede registreerimise teenuse osutajate kasutatavate võrgu- ja infosüsteemide pidamise nõuded, vastutuse ning järelevalve, samuti küberintsidentide käsitlemise alused ja pädevate asutuste määramise nõuded.

Sisulise tuuma annab KüTS § 7. Selle lõige 1 paneb teenuseosutajale kohustuse rakendada alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid, et hallata süsteemi turvalisust ohustavaid riske (sealhulgas koostada riskianalüüs), ennetada või minimeerida küberintsidendi mõju ning küberintsident ennetada, tuvastada ja lahendada. § 7 lg 2 loetleb, mida meetmete rakendamisel arvesse võetakse — muu hulgas ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ja proportsionaalsust.

Oluline on ka vastutuse jaotus allhanke korral: *„Kui teenuseosutaja volitab süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, vastutab teenuseosutaja selle eest, et teine isik tagab süsteemi turvameetmete rakendamise.“* (KüTS § 7 lg 3). Lisaks kehtestatakse § 7 lg 5 alusel määrusega infoturbe halduse nõuded üldnimetusega Eesti infoturbestandard.

2. Pädev asutus ja teavitamise tähtajad

Pädev asutus ja järelevalveasutus on Eestis Riigi Infosüsteemi Amet (RIA). KüTS § 5 lg 3 järgi täidab RIA direktiivi (EL) 2022/2555 artikli 8 lõikes 1 nimetatud pädeva asutuse ja lõikes 3 nimetatud ühtse kontaktpunkti ülesandeid, artikli 9 lõike 1 kohase kriiside ohjamise eest vastutava asutuse, artikli 10 lõike 1 kohase küberintsidentide käsitlemise üksuse ning artikli 12 lõike 1 kohase turvahaavatavuse koordineeritult avaldamise koordinaatori ülesandeid.

Teavitusahel on dokumentatsioonis kirjas tähtaegade kaupa, iga tähtaeg eraldi:

• Esmane teade — viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist (KüTS § 8 lg 1).
• Intsidenditeade — viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist (KüTS § 8 lg 4¹). Seaduse sõnastuses: *„Teenuseosutaja, välja arvatud julgeolekuasutus, edastab Riigi Infosüsteemi Ametile viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist intsidenditeate, millega ajakohastatakse esmase teatega esitatud teavet olulise mõjuga küberintsidendi asjaoludest täpsustatud ülevaate saamiseks.“* (KüTS § 8 lg 4¹).
• Usaldusteenuse osutaja esitab sama intsidenditeate viivitamata, kuid hiljemalt 24 tundi pärast teada saamist (KüTS § 8 lg 4²).
• Vahearuanne — RIA taotlusel enne lõppraportit (KüTS § 8 lg 4³).
• Lõppraport — ühe kuu jooksul intsidenditeate esitamisest arvates (KüTS § 8 lg 7).

Esitatavate andmete koosseisu ja korra kehtestab minister määrusega (KüTS § 8 lg 8).

3. Mida otsustab ettevõtte enda profiil

Dokumentatsiooni sisu ei ole universaalne. Selle määrab kolm asja: tegevusala, suurus ja seadusjärgne üksuse liik.

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. § 3 lg 2 loetleb üksused, kes on ülioluline üksus juba tegevusala tõttu (näiteks domeeninimede süsteemi teenuse osutaja, elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses, keskvalitsuse ja kohaliku omavalitsuse avaliku halduse üksus, kvalifitseeritud usaldusteenuse osutaja). § 3 lg 3 lisab tegevusalade loetelu, kus üliolulise üksuse staatus tekib koos suuruskünnisega: majandusaasta jooksul 250 või rohkem töötajat ja aastabilansimaht üle 43 miljoni euro või aastakäive üle 50 miljoni euro.

Olulise üksuse ring tuleneb § 3 lõigetest 4 ja 5 — sinna kuuluvad muu hulgas avalik-õiguslik juriidiline isik, teadusasutus, postiteenuse osutaja ja § 3 lg 5 loetelu ettevõtjad, kellel on 50 või rohkem töötajat ning aastabilansimaht või aastakäive üle 10 miljoni euro.

Suuruse arvutamisel kehtivad erisused: § 3 lg 6 ja lg 7 järgi ei kohaldata Euroopa Komisjoni soovituse 2003/361/EÜ lisa artikli 3 lõiget 4 ega arvestata partner- või sidusettevõtja andmeid, kui üksus on süsteemide osas neist sõltumatu. Klassifikatsioon mõjutab ka väärteokoosseisu: § 18² puudutab üliolulist üksust, § 18³ olulist üksust.

4. Kuidas iga nõue seaduse teksti vastu üle kontrollitakse

Kontroll on lause-lause kaupa võrdlus. Iga dokumendis olev väide asetatakse kõrvuti selle sättega, mida ta väidab rakendavat.

Meetod on lihtne ja korratav:

1. Väite lahtikirjutus. Iga nõue sõnastatakse ühe kontrollitava lausena — mitte „meil on turvapoliitika“, vaid „riskianalüüs on koostatud § 7 lg 1 p 1 alusel“. 2. Sätte tuvastamine. Väite kõrvale märgitakse konkreetne säte: § 7 lg 1, § 7 lg 2, § 7 lg 3, § 8 lg 1, § 8 lg 4¹, § 3¹ lg 1 jne. 3. Sõnastuse võrdlus. Kontrollitakse, kas säte tõesti ütleb seda, mida väide väidab — sealhulgas seda, kas tähtaeg, adressaat ja kohustatud isik langevad kokku. 4. Katteta väite parandus. Kui ühtki sätet väite taga ei ole, väide kas parandatakse õigeks või eemaldatakse enne dokumendi kasutuselevõttu. Väljamõeldud paragrahvinumber või ümarmälust võetud tähtaeg on viga, mitte detail. 5. Kaetuse kontroll. Vastupidises suunas vaadatakse, kas mõni kohalduv säte on dokumendist üldse välja jäänud — näiteks andmemuudatustest teatamine.

Näide kontrollitavast sättest: *„Teenuseosutaja ja domeeninimede registreerimise teenuse osutaja teavitab kõigist käesoleva paragrahvi lõike 1 kohaselt esitatud teabe muudatustest viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva Riigi Infosüsteemi Ametit.“* (KüTS § 3¹ lg 4). Kui dokumendis on sellest kohustusest teistsugune sõnastus, parandatakse dokument, mitte tõlgendus.

5. Mis jääb hiljem kontrollitavaks

Dokumentatsiooni väärtus tekib siis, kui iga väide on kolmanda isiku poolt üle kontrollitav. Selleks jääb iga nõude kõrvale kaks asja: õigusakti täpne nimi (küberturvalisuse seadus, KüTS) ja täpne säte originaalkujul — § 7 lg 1, § 8 lg 4¹, § 3 lg 3, § 3¹ lg 4 — ning vajaduse korral viide direktiivile (EL) 2022/2555, kui säte sellele ise osutab.

See tähendab praktikas:

Nii saab järelevalveametnik, audiitor või hankiv klient võtta ükskõik millise üksiku väite ja võrrelda seda ametliku tekstiga Riigi Teatajas. Ükski dokument ei ole iseenesest tõend nõuete täitmisest — see on vaid kaart, mis näitab, kus seaduses vastav kohustus asub ja millise sisemise otsusega ettevõte sellele vastab.

Kui mõni küsimus jääb seaduse tekstist lahtiseks, tuleb tugineda Riigi Infosüsteemi Ameti avaldatud ametlikele juhistele (ametlik allikas: Riigi Infosüsteemi Amet).