NIS2 pangandussektoris Eestis: seaduse nõuded samm-sammult
Eestis kohaldub NIS2 raamistik küberturvalisuse seaduse (KüTS) kaudu ning seadus eristab kahte klassi: ülioluline üksus ja oluline üksus (KüTS § 3 lg 1). Krediidiasutus määruse (EL) nr 575/2013 artikli 4 punkti 1 tähenduses on nimetatud KüTS § 3 lõike 3 loetelus. Allolev seitse sammu kirjeldavad seaduse sisu alates kohalduvusest kuni rahatrahvide ülemmääradeni, pädev asutus on Riigi Infosüsteemi Amet (KüTS § 5 lg 3).
Tasuta kohalduvuse kontroll võtab umbes kolm minutit. Täielik NIS2 dokumendipakett valmib tavaliselt tunni jooksul pärast maksmist — mitte päevade või nädalatega.
See juhend kirjeldab seaduse nõudeid üldisel tasemel ega ole õigusnõuanne. Kohalduvus sõltub ettevõtte profiilist (sektor, suurus, teenused) — tasuta kohalduvuse kontroll näitab, kas ja millises ulatuses seadus sinu ettevõttele kohaldub.
1. Kas ja millal seadus krediidiasutusele kohaldub
KüTS § 3 lõike 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Krediidiasutus määruse (EL) nr 575/2013 artikli 4 punkti 1 tähenduses on loetletud KüTS § 3 lõikes 3, kus ülioluliseks üksuseks loetakse üksus, kelle töötajate arv majandusaasta jooksul on vähemalt 250 ning kelle aastabilansimaht on üle 43 miljoni euro või aastakäive üle 50 miljoni euro. Kui need näitajad ei ole täidetud, kuid üksuse töötajate arv on vähemalt 50 ning aastabilansimaht või aastakäive ületab 10 miljonit eurot, loeb KüTS § 3 lõike 4 punkt 8 sama tegevusalaga üksuse oluliseks üksuseks. KüTS § 1 lõike 4 kohaselt kohaldatakse seadust erisustega, kui võrgu- ja infosüsteemi ning teavitamise nõuded on samaväärselt reguleeritud Euroopa Liidu õigusaktiga, välislepinguga või muu seadusega.
EMTAK 64191 — Krediidiasutused
Vaata ka sektori lehte: Pangandus · NIS2 üksuseklassid — Eesti
2. Juhtorgani roll ja koolitusnõue
Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist. Sama säte näeb ette, et üksust võib artikli 21 nõuete rikkumise eest vastutusele võtta. Direktiivi artikli 21 lõike 2 punkt g loeb nõutavate meetmete hulka küberhügieeni põhitavad ja küberturvalisuse koolituse. KüTS § 7 lõike 2 järgi arvestatakse meetmete rakendamisel muu hulgas üksuse turvanõudeid, meetmete kulusid ja proportsionaalsust.
3. Riskianalüüs seaduse alusnõudena
KüTS § 7 lõike 1 punkt 1 kohustab teenuseosutajat haldama riske, mis ohustavad teenuse osutamisel kasutatava süsteemi turvalisust, ning koostama selleks riskianalüüsi. Riskianalüüsi tulemused on seotud ka teavitamisega, sest KüTS § 8 lõike 2 punkti 1 järgi loetakse mõju oluliseks muu hulgas siis, kui tagajärgede raskusaste on riskianalüüsi kohaselt vähemalt raske. Eesti infoturbestandardi § 1 lõike 1 kohaselt järgib teenuse osutaja süsteemi turvalisuse tagamisel E-ITS-i ja rakendab sellest tulenevaid turvameetmeid. Vastava standardi ja turvameetmete üldnõuete kehtestamise alus on KüTS § 7 lõige 5.
Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
4. Küberturvalisuse riskijuhtimismeetmed
KüTS § 7 lõige 1 näeb ette alaliselt rakendatavad asjakohased ja proportsionaalsed tehnilised, tegevuslikud ning korralduslikud turvameetmed riskide haldamiseks, intsidendi mõju vähendamiseks ning intsidendi ennetamiseks, tuvastamiseks ja lahendamiseks. Direktiivi artikli 21 lõige 2 loetleb meetmete miinimumsisu punktides a–j, sealhulgas intsidentide käsitlemise, talitluspidevuse ja kriisiohje, tarneahela turvalisuse, süsteemide hankimise ja hoolduse turvalisuse, meetmete tõhususe hindamise korra, krüptograafia kasutamise põhimõtted, juurdepääsukontrolli ning mitmikautentimise lahendused. Kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse mujal, vastutab teenuseosutaja KüTS § 7 lõike 3 järgi selle eest, et turvameetmed on ka seal rakendatud. Sektoripõhist eristust KüTS § 7 lõikes 1 ei tehta, kuid § 7 lõike 6 kohaselt võib määrus turvameetmete täpsustamisel arvestada § 3 lõigetes 2–5 nimetatud tegevusalasid ja § 7 lõike 7 järgi lähtutakse Euroopa Liidu rakendusaktist, kui see on asjaomase teenuse kohta kehtestatud.
5. Küberintsidendist teavitamine ja tähtajad
KüTS § 8 lõike 1 kohaselt esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast olulise mõjuga küberintsidendist teada saamist. Seejärel edastatakse KüTS § 8 lõike 4¹ alusel intsidenditeade, mis ajakohastab esmase teate andmeid, viivitamata, kuid hiljemalt 72 tundi pärast intsidendist teada saamist. Riigi Infosüsteemi Ameti taotlusel esitatakse enne lõppraportit vahearuanne lahendamise seisu kohta (KüTS § 8 lg 4³). Lõppraport esitatakse KüTS § 8 lõike 7 järgi ühe kuu jooksul intsidenditeate esitamisest arvates, ning kui intsident on veel lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist.
NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused
6. Dokumenteerimine ja andmete esitamine
Kirjalik jälg tuleneb seaduse enda kohustustest: KüTS § 7 lõike 1 punkt 1 eeldab koostatud riskianalüüsi ja KüTS § 8 lõike 2 punkt 4 viitab riskianalüüsile või muule toimepidevuse ja turvalisuse taastamist kirjeldavale dokumendile. Teavitamise ahel eeldab samuti vormistatud teateid ja raporteid, mille andmete koosseisu ja korra kehtestab KüTS § 8 lõike 8 alusel valdkonna eest vastutav minister määrusega. KüTS § 3¹ lõike 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile nimekirja koostamiseks nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed ning asjakohasel juhul sektori ja allsektori andmed. Nende andmete muutumisest teavitatakse KüTS § 3¹ lõike 4 kohaselt viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist.
Pakett sisaldab:
- Küberturvalisuse riskijuhtimise poliitika
- Intsidentide käsitlemise plaan
- Äritegevuse järjepidevuse plaan
- Tarneahela turvalisuse poliitika
- Juhtkonna vastutuse avaldus ja koolituskorraldus
- Täitmisabiline portaalis
Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused
7. Rahatrahvide ülemmäärad
KüTS § 18² lõike 2 järgi karistatakse üliolulise üksuse puhul, kui teo on toime pannud juriidiline isik, rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Olulise üksuse puhul on vastav ülemmäär KüTS § 18³ lõike 2 kohaselt kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, samuti suurema summa järgi. Mõlemad koosseisud puudutavad KüTS § 7 ja § 8 nimetatud lõigetes sätestatud nõuete rikkumist. Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1) ja aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).
Korduvad küsimused
Milline asutus teostab Eestis KüTS-i üle järelevalvet?
Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet, kes täidab KüTS § 5 lõike 3 järgi ka kriisiohje, küberintsidentide käsitlemise üksuse ja turvahaavatavuse koordineeritud avaldamise koordinaatori ülesandeid. Riiklikku ja haldusjärelevalvet teeb sama asutus KüTS § 14 lõike 1 alusel. Küberintsidendi teated esitatakse KüTS § 8 lõike 1 kohaselt Riigi Infosüsteemi Ametile, riiklik CSIRT on CERT-EE.
Mille poolest erinevad ülioluline ja oluline üksus krediidiasutuse puhul?
Erinevus tuleneb suurusnäitajatest: KüTS § 3 lõikes 3 nimetatud tegevusala korral loetakse üksus üliolulisemaks siis, kui töötajaid on vähemalt 250 ja bilansimaht ületab 43 miljonit eurot või käive 50 miljonit eurot. Kui need näitajad ei ole täidetud, kuid töötajaid on vähemalt 50 ning bilansimaht või käive ületab 10 miljonit eurot, kohaldub KüTS § 3 lõike 4 punkt 8 ja üksus on oluline üksus. Klassist sõltub muu hulgas rahatrahvi ülemmäär KüTS §-de 18² ja 18³ järgi.
Millal tuleb esitada andmed Riigi Infosüsteemi Ameti nimekirja jaoks?
KüTS § 3¹ lõige 1 näeb ette teenuseosutaja andmete esitamise nimekirja koostamiseks. Üleminekusäte KüTS § 28¹ lõige 1 annab teenuseosutajale, kes vastas tunnustele juba enne § 3¹ lõike 1 jõustumist, selle kohustuse täitmiseks kolm kuud jõustumisest arvates. Riigi Infosüsteemi Amet koostab nimekirja iga kahe aasta järel ja see on asutusesiseseks kasutamiseks mõeldud teave (KüTS § 3¹ lg 2 ja lg 3).
Sisu põhineb KüTS redaktsioonil seisuga 2026-01-01 (kontrollsumma 747839d15ec9).