NIS2 samm-sammult: digitaalne taristu Eestis

1. Kohalduvuse kontroll: kas seadus laieneb ettevõttele

KüTS § 3 lõike 2 järgi on ülioluline üksus muu hulgas domeeninimede süsteemi teenuse osutaja, tippdomeeninimede registri pidaja ja kvalifitseeritud usaldusteenuse osutaja ning üldkasutatava elektroonilise side võrgu või teenuse osutaja, kellel on majandusaasta jooksul vähemalt 50 töötajat ja kelle aastabilansimaht või aastakäive on suurem kui 10 miljonit eurot. Sama paragrahvi lõige 3 loeb üliolulise üksuse hulka ka andmekeskusteenuse osutaja, pilvandmetöötlusteenuse osutaja, interneti sõlmpunkti teenuse osutaja, infoturbeteenuse osutaja ja sisulevivõrguteenuse osutaja, kellel on vähemalt 250 töötajat ning aastabilansimaht suurem kui 43 miljonit eurot või aastakäive suurem kui 50 miljonit eurot. Väiksem samade tegevusaladega üksus on § 3 lõike 4 punkti 8 kohaselt oluline üksus, kui tal on vähemalt 50 töötajat ja aastabilansimaht või aastakäive on suurem kui 10 miljonit eurot; olulise üksusena on nimetatud ka usaldusteenuse osutaja, kes ei ole kvalifitseeritud, ning elektroonilise side teenuse osutaja, kes ei vasta § 3 lõike 2 punkti 8 tingimustele. Töötajate arvu ja finantsnäitajate leidmisel ei arvestata § 3 lõike 7 kohaselt partner- või sidusettevõtja andmeid, kui üksuse teenuseks kasutatavad süsteemid on neist sõltumatud.

EMTAK 61101 — Elektroonilise side teenused fikseeritud või traadita sidevõrgus ja satelliitsideteenusedEMTAK 61901 — Muud elektroonilise side teenusedEMTAK 63101 — Andmetöötlustaristu, andmemajutus jms tegevusEMTAK 63102 — Andmetöötlus, andmekorraldus, andmevahendus jms tegevus

Vaata ka sektori lehte: Digitaalne taristu · NIS2 üksuseklassid — Eesti

Alusta tasuta NIS2 kohalduvuse kontrolli

2. Juhtorgani heakskiit, järelevalve ja koolitus

Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist ning üksust on võimalik artikli 21 nõuete rikkumise eest vastutusele võtta. Koolituse mõõde tuleneb meetmete kataloogist: artikli 21 lõike 2 punkt g nimetab küberhügieeni põhitavad ja küberturvalisuse koolituse ühena nõutavatest valdkondadest. KüTS § 7 lõike 3 järgi jääb vastutus turvameetmete rakendamise eest teenuseosutajale ka siis, kui süsteemi haldamine on antud teisele isikule või süsteemi majutatakse mujal.

NIS2 juhtorgani koolituskohustus riigiti

3. Riskianalüüs kui nõuete alus

KüTS § 7 lõike 1 punkt 1 kohustab teenuseosutajat alaliselt haldama oma teenuse osutamisel kasutatava süsteemi turvalisust ohustavaid riske ja selleks ka riskianalüüsi koostama. Sama paragrahvi lõike 2 kohaselt arvestatakse meetmete valikul üksuse enda turvavajadusi, ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ning proportsionaalsust, mille juures vaadatakse riskidele avatuse määra, üksuse suurust ja intsidentide tõenäosust ning tõsidust. Riskianalüüsil on ka teavituses otsene roll: KüTS § 8 lõike 2 punkti 1 järgi loetakse mõju oluliseks siis, kui see vastab riskianalüüsis määratud vähemalt raskele tagajärgede astmele. Direktiivi artikli 21 lõike 2 punkt a käsitleb riskianalüüsi ja infosüsteemide turbe põhimõtteid ühe alusmeetmena.

Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

4. Turvameetmete kataloog ja Eesti infoturbestandard

KüTS § 7 lõige 1 nõuab alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid riskide haldamiseks, küberintsidendi mõju ennetamiseks või vähendamiseks ning intsidendi ennetamiseks, tuvastamiseks ja lahendamiseks. Direktiivi artikli 21 lõige 2 loetleb meetmete valdkonnad punktidest a kuni j: riskianalüüs ja turbepõhimõtted, intsidentide käsitlemine, talitluspidevus koos varunduse ja avariitaastega, tarneahela turvalisus, süsteemide hankimise, arendamise ja hoolduse turve, meetmete tõhususe hindamise kord, küberhügieen ja koolitus, krüptograafia kasutamise põhimõtted, personali turvalisus koos juurdepääsukontrolli ja varade haldusega ning kohasel juhul mitmikautentimine ja turvaline side. Eesti infoturbestandardi § 1 lõike 1 järgi järgib teenuseosutaja E-ITS-i ja rakendab sellest tulenevaid turvameetmeid; standardi ja turvameetmete nõuded kehtestatakse KüTS § 7 lõike 5 alusel määrusega, mis võib § 7 lõike 6 kohaselt arvestada § 3 lõigetes 2–5 nimetatud tegevusalasid. Seadus kohtleb kohustuste sisu poolest kõiki kohaldamisalasse kuuluvaid teenuseosutajaid ühtemoodi, kuid KüTS § 7 lõige 7 näeb ette, et direktiivi artikli 21 lõike 5 rakendusaktis nimetatud teenuseosutaja lähtub asjaomase teenuse puhul selle rakendusakti nõuetest.

NIS2 riskijuhtimismeetmed vs ISO 27001, DORA ja GDPR

5. Küberintsidendist teavitamine ja tähtajad

KüTS § 8 lõike 1 kohaselt esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast küberintsidendist teada saamist, mille mõju süsteemi turvalisusele või teenuse toimepidevusele on oluline või mida võib mõistlikult eeldada. Täpsustatud intsidenditeate tähtaeg on § 8 lõike 4¹ järgi viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist; usaldusteenuse osutaja puhul on sama teate tähtaeg § 8 lõike 4² kohaselt hiljemalt 24 tundi. Riigi Infosüsteemi Ameti taotlusel esitatakse enne lõppraportit vahearuanne (§ 8 lg 4³) ning lõppraport esitatakse § 8 lõike 7 järgi ühe kuu jooksul intsidenditeate esitamisest, kusjuures lahendamata intsidendi korral käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist. Teavituste vastuvõtja on Riigi Infosüsteemi Amet, mille intsidentide käsitlemise osakond CERT-EE täidab direktiivi artikli 10 CSIRT-i ülesandeid (KüTS § 5 lg 3 p 3); teavituskeskkond on https://raport.cert.ee/ ja e-post cert@cert.ee.

NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

6. Kirjalik dokumentatsioon ja andmete esitamine RIA-le

Kirjaliku dokumentatsiooni vajadus tuleneb otse kohustuste sõnastusest: KüTS § 7 lõike 1 punkt 1 eeldab koostatud riskianalüüsi ning § 8 lõike 2 punktid 1 ja 4 viitavad riskianalüüsis määratud tagajärgede raskusastmetele ja erakorralistele abinõudele või muule teenuse toimepidevuse ja süsteemi turvalisuse taastamist kirjeldavale dokumendile. Teavitusahel jätab omakorda kirjaliku jälje esmase teate, intsidenditeate, vahearuande ja lõppraportina (KüTS § 8 lõiked 1, 4¹, 4³ ja 7), mille andmekoosseisu ja korra kehtestab § 8 lõike 8 alusel valdkonna eest vastutav minister määrusega. KüTS § 3¹ lõike 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile nimekirja koostamiseks nime ja registrikoodi, tegevuskoha aadressi ning ajakohased kontaktandmed koos internetiprotokolli aadresside vahemike ja telefoninumbritega, samuti asjakohase sektori ja allsektori ning riikide loetelu. Esitatud andmete muudatustest teavitatakse § 3¹ lõike 4 kohaselt viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist, ja andmete esitamisel võib § 3¹ lõike 9 järgi juhinduda Euroopa Komisjoni suunistest ja vormidest.

Pakett sisaldab:

• Küberturvalisuse riskijuhtimise poliitika
• Intsidentide käsitlemise plaan
• Äritegevuse järjepidevuse plaan
• Tarneahela turvalisuse poliitika
• Juhtkonna vastutuse avaldus ja koolituskorraldus
• Täitmisabiline portaalis

Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused

7. Rahatrahvide ülemmäärad

KüTS § 18² lõike 2 kohaselt karistatakse üliolulist üksust kui juriidilist isikut § 7 ja § 8 nõuete rikkumise eest rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Olulise üksuse puhul on § 18³ lõike 2 järgi vastavad ülemmäärad kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, samuti suurema summa järgi. Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1) ja aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).

NIS2 haldustrahvid riigiti