NIS2 tootmisettevõttele Eestis: küberturvalisuse seaduse teekaart seitsmes sammus

1. Kohalduvuse kontroll: kas seadus laieneb tootmisettevõtjale

KüTS § 3 lg 1 järgi on teenuseosutaja kas ülioluline üksus või oluline üksus. Tootmisega seotud tegevusalade kohta sätestab § 3 lg 5 punkt 5, et oluliseks üksuseks loetakse selles punktis nimetatud tootmisvaldkonna tegevusalal tegutsev ettevõtja, kellel on majandusaasta jooksul vähemalt 50 töötajat ning kelle aastabilansimaht või aastakäive on suurem kui 10 miljonit eurot. Eraldi rühma moodustavad § 3 lõikes 3 loetletud tootjad, näiteks ravimpreparaadi tootja, keda peetakse ülioluliseks üksuseks alates vähemalt 250 töötajast koos aastabilansimahuga üle 43 miljoni euro või aastakäibega üle 50 miljoni euro; sama tegevusala väiksema mahuga üksus kuulub § 3 lg 4 punkti 8 alusel oluliste üksuste hulka. Kohalduvusega kaasneb § 3¹ lg 1 kohane teabe esitamine Riigi Infosüsteemi Ametile nimekirja koostamiseks.

EMTAK 26111 — Elektronkomponentide tootmineEMTAK 26121 — Trükkplaatide tootmineEMTAK 26201 — Arvutite ja arvuti välisseadmete tootmineEMTAK 26301 — Sideseadmete tootmineEMTAK 26401 — Tarbeelektroonika tootmineEMTAK 26511 — Mõõte-, katse- ja navigatsiooniseadmete tootmine

Vaata ka sektori lehte: Tootmine · NIS2 üksuseklassid — Eesti

Alusta tasuta NIS2 kohalduvuse kontrolli

2. Juhtorgani roll ja vastutus

Direktiivi (EL) 2022/2555 artikli 20 lõike 1 kohaselt kiidab kohustatud üksuse juhtorgan küberturvalisuse riskijuhtimismeetmed heaks, jälgib nende rakendamist ning üksust saab artikli 21 rikkumise eest vastutusele võtta. KüTS § 7 lg 1 asetab turvameetmete alalise rakendamise kohustuse teenuseosutajale endale, mistõttu meetmete valik ja jõustamine on üksuse sisemine juhtimisotsus. KüTS § 7 lg 3 järgi jääb vastutus teenuseosutajale ka siis, kui süsteemi haldamine on volitatud teisele isikule või süsteemi majutatakse mujal. Personali teadlikkuse poolel loeb direktiivi artikli 21 lõike 2 punkt g meetmete hulka küberhügieeni põhitavad ja küberturvalisuse koolituse.

NIS2 juhtorgani koolituskohustus riigiti

3. Riskianalüüs kui nõuete alus

KüTS § 7 lg 1 punkt 1 näeb ette, et teenuseosutaja haldab oma tegevuses või teenuse osutamisel kasutatava süsteemi turvalisust ohustavaid riske ja koostab selleks riskianalüüsi. Analüüsi ulatuse ja meetmete valiku juures arvestatakse § 7 lõike 2 kohaselt muu hulgas üksuse turvanõudeid, ajakohaseid Euroopa ja rahvusvahelisi standardeid, rakendamise kulusid ning proportsionaalsust, mille hindamisel loevad riskidele avatus, üksuse suurus ja intsidentide tõenäosus ning tõsidus. Riskianalüüsil on ka otsene tähendus teavituskohustuse juures: § 8 lg 2 punkti 1 järgi hinnatakse intsidendi olulist mõju riskianalüüsis määratud tagajärgede raskusastme kaudu. Direktiivi artikli 21 lõike 2 punkt a nimetab riskianalüüsi ja infosüsteemide turbe põhimõtted meetmete esimese elemendina.

Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

4. Turvameetmete kogum

KüTS § 7 lg 1 kohaselt rakendab teenuseosutaja alaliselt asjakohaseid ja proportsionaalseid tehnilisi, tegevuslikke ning korralduslikke turvameetmeid riskide haldamiseks, intsidendi mõju ennetamiseks või vähendamiseks ning intsidendi ennetamiseks, tuvastamiseks ja lahendamiseks. Sisulise loetelu annab direktiivi artikli 21 lõige 2, mis hõlmab punktides a–j muu hulgas intsidentide käsitlemist, talitluspidevust ja kriisiohjet, tarneahela turvalisust, süsteemide hankimise ja hoolduse turvalisust, meetmete tõhususe hindamise korda, krüptograafiat, personali turvalisust ja juurdepääsukontrolli ning kohasel juhul mitmikautentimist. Nõuded on kõigile teenuseosutajatele ühesugused ja seadus ei sätesta tootmisele omaette meetmete kataloogi, kuid § 7 lg 5 alusel kehtestatavas määruses täpsustatakse Eesti infoturbestandard ja turvameetmete nõuded ning § 7 lg 6 lubab seejuures arvesse võtta § 3 lõigetes 2–5 nimetatud tegevusalasid. Kui teenus on hõlmatud direktiivi artikli 21 lõikes 5 nimetatud rakendusaktiga, lähtutakse § 7 lg 7 järgi selle akti nõuetest.

NIS2 riskijuhtimismeetmed vs ISO 27001, DORA ja GDPR

5. Küberintsidendist teavitamine ja tähtajad

KüTS § 8 lg 1 järgi esitab teenuseosutaja Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tundi pärast sellisest küberintsidendist teada saamist, millel on oluline mõju süsteemi turvalisusele või teenuse toimepidevusele või mille puhul võib sellist mõju mõistlikult eeldada. Täpsustatud ülevaate annab intsidenditeade, mis esitatakse § 8 lg 4¹ kohaselt viivitamata, kuid hiljemalt 72 tundi pärast olulise mõjuga küberintsidendist teada saamist. Riigi Infosüsteemi Ameti taotlusel lisandub § 8 lg 4³ alusel vahearuanne lahendamise seisu kohta. Lõppraport esitatakse § 8 lg 7 järgi ühe kuu jooksul intsidenditeate esitamisest, ning kui intsident on selleks ajaks lahendamata, loetakse esitatu vahearuandeks ja uus lõppraport esitatakse ühe kuu jooksul pärast lahendamist; teated liiguvad Riigi Infosüsteemi Ameti intsidentide käsitlemise üksuse CERT-EE kaudu (KüTS § 5 lg 3 p 3).

NIS2 intsidenditeavituse tähtajad EL riikide kaupa · Selle dokumendi genereerib platvorm automaatselt — see sisaldub dokumendipaketis. Teenused

6. Kirjalik dokumentatsioon ja andmete ajakohasus

Riskianalüüs on KüTS § 7 lg 1 punkti 1 järgi koostatav dokument ja § 8 lg 2 punktid 1 ja 4 viitavad sellele ning teenuse toimepidevuse või turvalisuse taastamist kirjeldavale dokumendile intsidendi mõju hindamisel. Turvameetmete halduse raamistiku annab § 7 lg 5 punkt 1 alusel kehtestatud Eesti infoturbestandard, mille järgimist ja sellest tulenevate turvameetmete rakendamist näeb ette standardi § 1 lg 1. Teavituste poolel tekib dokumenteeritud jälg esmasest teatest, intsidenditeatest, vahearuandest ja lõppraportist (§ 8 lg 1, 4¹, 4³ ja 7), mille andmekoosseisu ja korra kehtestab minister määrusega (§ 8 lg 8). Riigi Infosüsteemi Ametile esitatud kontakt- ja üksuseandmete muudatustest teavitatakse § 3¹ lg 4 kohaselt viivitamata, kuid hiljemalt kaks nädalat pärast muudatuse tegemist.

Pakett sisaldab:

• Küberturvalisuse riskijuhtimise poliitika
• Intsidentide käsitlemise plaan
• Äritegevuse järjepidevuse plaan
• Tarneahela turvalisuse poliitika
• Juhtkonna vastutuse avaldus ja koolituskorraldus
• Täitmisabiline portaalis

Hooldus (kuutasu) — dokumentide re-sign kehtiva õigusega — 290 EUR/kuu — Teenused

7. Rahatrahvide ülemmäärad

KüTS § 18² lg 2 järgi karistatakse juriidilisest isikust üliolulist üksust § 7 ja § 8 nõuete rikkumise eest rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Olulise üksuse kohta sätestab § 18³ lg 2 ülemmäärana kuni 7 000 000 eurot või kuni 1,4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, samuti suurema summa järgi. Väärtegude kohtuväline menetleja on Riigi Infosüsteemi Amet (KüTS § 19 lg 1) ja aegumistähtaeg on kolm aastat (KüTS § 19 lg 4).

NIS2 haldustrahvid riigiti