NIS2 samm-sammult: energeetikasektor Eestis

1. Kohalduvuse tuvastamine energeetikas

KüTS § 3 lg 3 loetleb tegevusalad, mille puhul loetakse üksus ülioluliseks üksuseks, ja energeetika osas nimetab see säte muu hulgas elektrituruseaduse tähenduses elektriettevõtjat, kes tegeleb elektrienergia müügi või edasimüügiga hulgimüüjale või lõpptarbijale, ning elektriettevõtjat, kes tegeleb elektrienergia tootmisega; samas loetelus on ka jaotusvõrguettevõtja, põhivõrguettevõtja, gaasiettevõtja, kaugkütte- ja kaugjahutussüsteemi käitaja, laadimispunkti käitaja ning nafta ja vesinikuga seotud käitajad. Selle sätte suurusekünnis on majandusaasta jooksul vähemalt 250 töötajat koos tingimusega, et aastabilansimaht on suurem kui 43 miljonit eurot või aastakäive suurem kui 50 miljonit eurot. Kui sama tegevusalaga üksus neid näitajaid ei täida, kuid tal on majandusaasta jooksul vähemalt 50 töötajat ning aastabilansimaht või aastakäive üle 10 miljoni euro, loeb KüTS § 3 lg 4 punkt 8 ta oluliseks üksuseks. Sõltumata neist näitajatest on KüTS § 3 lg 2 punkti 2 järgi ülioluline üksus ka elutähtsa teenuse osutaja hädaolukorra seaduse tähenduses.

EMTAK 06101 — Toornafta tootmine ja põlevkivi kaevandamineEMTAK 06201 — Maagaasi tootmineEMTAK 19201 — Puhastatud naftatoodete ja fossiilkütusetoodete tootmineEMTAK 35111 — Elektrienergia tootmine taastumatutest energiaallikatestEMTAK 35121 — Elektrienergia tootmine hüdroenergiastEMTAK 35122 — Elektrienergia tootmine tuuleenergiast

Vaata ka sektori lehte: Energeetika · NIS2 üksuseklassid — Eesti

Alusta tasuta NIS2 kohalduvuse kontrolli

2. Juhtorgani roll ja koolituskohustus

Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks ja jälgib nende rakendamist ning üksust võib artikli 21 rikkumise eest vastutusele võtta. KüTS § 7 lg 2 punkt 4 seob meetmete proportsionaalsuse hindamise muu hulgas teenuseosutaja riskidele avatuse määra ja suurusega, samuti küberintsidentide tõenäosuse ja tõsidusega, sealhulgas nende ühiskondliku ja majandusliku mõjuga. Koolituse mõõde tuleneb direktiivi artikli 21 lõike 2 punktist g, mis nimetab meetmete hulgas küberhügieeni põhitavad ja küberturvalisuse koolituse.

NIS2 juhtorgani koolituskohustus riigiti

3. Riskianalüüs seaduse alusena

KüTS § 7 lg 1 punkt 1 sätestab, et teenuseosutaja rakendab alaliselt meetmeid teenuse osutamisel kasutatava süsteemi turvalisust ohustavate riskide haldamiseks ning koostab selleks riskianalüüsi. Direktiivi artikli 21 lõike 2 punkt a nimetab samas rollis riskianalüüsi ja infosüsteemide turbe põhimõtteid. Riskianalüüsi tulemus ei jää seaduses eraldiseisvaks: KüTS § 8 lg 2 punkti 1 järgi loetakse küberintsidendi mõju oluliseks siis, kui see vastab riskianalüüsis määratud tagajärgede raskusastmele vähemalt tasemel raske, ning sama lõike punkt 4 seob olulise mõju ka riskianalüüsis kirjeldatud erakorraliste abinõude rakendamisega.

Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

4. Turvameetmete kataloog

KüTS § 7 lg 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid riskide haldamiseks, küberintsidendi mõju ennetamiseks või minimeerimiseks teenuse saajale ja muule teenusele ning küberintsidendi ennetamiseks, tuvastamiseks ja lahendamiseks. Meetmete sisuline loetelu tuleneb direktiivi artikli 21 lõikest 2, mis hõlmab riskianalüüsi ja turbepõhimõtteid, intsidentide käsitlemist, talitluspidevust ja kriisiohjet, tarneahela turvalisust, süsteemide hankimise, arendamise ja hoolduse turvalisust, meetmete tõhususe hindamise korda, küberhügieeni ja koolitust, krüptograafiat, personaliturvet ja juurdepääsukontrolli ning asjakohasel juhul mitmikautentimist ja turvalist sidet. KüTS § 7 lg 5 alusel kehtestatakse määrusega Eesti infoturbestandard koos turvameetmete üld- ja erinõuetega ning § 7 lg 6 lubab selles määruses arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid; § 7 lg 7 järgi lähtub direktiivi artikli 21 lõike 5 rakendusaktis nimetatud teenuseosutaja selle rakendusakti nõuetest. Muus osas kehtib § 7 samasugusena kõigile teenuseosutajatele ja § 7 lg 3 järgi vastutab teenuseosutaja meetmete rakendamise eest ka siis, kui süsteemi haldab või majutab teine isik.

NIS2 riskijuhtimismeetmed vs ISO 27001, DORA ja GDPR

5. Küberintsidendist teavitamine

KüTS § 8 lg 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast sellisest küberintsidendist teada saamist, millel on süsteemi turvalisusele või teenuse toimepidevusele oluline mõju või mille puhul võib seda mõistlikult eeldada. Seejärel esitatakse KüTS § 8 lg 4¹ alusel intsidenditeade, millega esmase teate andmeid ajakohastatakse, viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist. Riigi Infosüsteemi Ameti taotlusel lisandub KüTS § 8 lg 4³ kohane vahearuanne lahendamise seisu kohta. Lõppraport esitatakse KüTS § 8 lg 7 kohaselt ühe kuu jooksul intsidenditeate esitamisest arvates ning kui intsident on selleks ajaks lahendamata, käsitatakse esitatut vahearuandena ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist; teated võetakse vastu Riigi Infosüsteemi Ameti intsidentide käsitlemise üksuse CERT-EE kaudu.

NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

6. Dokumenteeritud kord ja andmed

Riskianalüüsi koostamise nõue KüTS § 7 lg 1 punktis 1 eeldab kirjalikku ja ajakohasena hoitavat dokumenti, millele KüTS § 8 lg 2 punktid 1 ja 4 otseselt tuginevad, viidates seal määratud tagajärgede raskusastmetele ning teenuse toimepidevuse või süsteemi turvalisuse taastamist kirjeldavatele dokumentidele. Eesti infoturbestandardi § 1 lg 1 kohaselt järgib teenuse osutaja võrgu- ja infosüsteemi turvalisuse tagamiseks seda standardit ja rakendab sellest tulenevaid turvameetmeid. Eraldi andmekoosseis tuleneb KüTS § 3¹ lõikest 1, mille järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile nimekirja koostamiseks nime ja registrikoodi, tegevuskoha aadressi ja ajakohased kontaktandmed koos e-posti aadresside, internetiprotokolli aadresside vahemike ja telefoninumbritega ning asjakohasel juhul sektori ja allsektori andmed. Muudatustest teavitatakse KüTS § 3¹ lg 4 järgi viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemise kuupäeva.

Pakett sisaldab:

• Küberturvalisuse riskijuhtimise poliitika
• Intsidentide käsitlemise plaan
• Äritegevuse järjepidevuse plaan
• Tarneahela turvalisuse poliitika
• Juhtkonna vastutuse avaldus ja koolituskorraldus
• Täitmisabiline portaalis

Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused

7. Rahatrahvide ülemmäärad

KüTS § 18² lg 1 sätestab § 7 lõigetes 1, 2, 3, 5 või 7 ja § 8 nimetatud lõigetes sätestatud nõuete rikkumise eest üliolulise üksuse poolt rahatrahvi kuni 10 000 000 eurot. Juriidilise isiku puhul on sama teo eest KüTS § 18² lg 2 järgi rahatrahv kuni 10 000 000 eurot või kuni 2 protsenti üliolulise üksuse eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Olulise üksuse puhul on vastavad määrad KüTS § 18³ lõigetes 1 ja 2 kuni 7 000 000 eurot ning juriidilise isiku puhul kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Kohtuväline menetleja on KüTS § 19 lg 1 järgi Riigi Infosüsteemi Amet ja väärtegude aegumistähtaeg on kolm aastat.

NIS2 haldustrahvid riigiti