NIS2 ja küberturvalisuse seadus: kas see kehtib ka sinu ettevõttele?
Alates 15. augustist 2026 kehtib Hollandis küberturvalisuse seadus (Cyberbeveiligingswet). Võib-olla oled terminit NIS2 juba kuulnud kliendilt, tarnijalt või nõustajalt. Sellest artiklist loed lühidalt, mis see seadus on, keda see puudutab ja mida see tähendab väikeettevõttele, kes ise selle alla ei kuulu.
See artikkel annab üldist selgitust ja ei ole juriidiline nõuanne. Kehtivad reeglid leiad NCSC-lt ja seaduse tekstist.
Mis see on?
NIS2 on 2022. aasta Euroopa direktiiv (direktiiv (EL) 2022/2555), mille eesmärk on muuta oluliste sektorite organisatsioonid digitaalselt vastupidavamaks. Iga riik võtab direktiivi üle oma seadusesse. Hollandis on selleks küberturvalisuse seadus (Cyberbeveiligingswet, lühend Cbw). Seadus kehtib alates 15. augustist 2026, üleminekuperioodita, ja asendab varasemat võrgu- ja infosüsteemide turvalisuse seadust (Wbni). NCSC andmetel kuulub selle alla üle 8000 organisatsiooni. NCSC on kontaktasutus.
Kas minu ettevõte kuulub selle alla?
See sõltub kahest küsimusest: sinu sektorist ja suurusest.
1. Kas tegutsed seaduses nimetatud sektoris?
| Lisa 1 | Lisa 2 |
|---|---|
| Energeetika, transport, pangandus, finantsturu infrastruktuur, tervishoid, joogivesi, reovesi, digitaalne infrastruktuur, IKT-teenuste haldamine, riigivalitsemine, kosmosetööstus | Posti- ja kulleriteenused, jäätmekäitlus, kemikaalid, toiduained, tootmine (töötlev tööstus), digitaalsete teenuste pakkujad, teadusuuringud |
Mõnele sektorile kehtivad lisatingimused. Seega ei kuulu iga toiduainetega tegelev ettevõte selle alla automaatselt.
2. Kas oled piisavalt suur? Lühidalt öeldes kuuluvad selle alla keskmise suurusega ja suured organisatsioonid. Sa lähed arvesse, kui:
- sul on 50 või rohkem töötajat (täiskoormusega ekvivalenti), või
- sul on vähem kui 50 töötajat, kuid nii sinu aastakäive kui bilansimaht ületavad mõlemad 10 miljonit eurot.
Partnerettevõtted ja seotud ettevõtted lähevad samuti arvesse. Seega võib 20 töötajaga ettevõte, mis kuulub 200-liikmelisse kontserni, siiski seaduse alla kuuluda.
Erandid, olenemata suurusest. Mõned organisatsiooni liigid kuuluvad seaduse alla alati, ükskõik kui väikesed nad ka ei oleks. Näiteks DNS-teenuse pakkujad, tippdomeenide registrid, avalike elektrooniliste sidevõrkude ja -teenuste pakkujad, usaldusteenuste osutajad ja riigiasutused. Kui sind on määratud kriitilise tähtsusega üksuste vastupidavuse seaduse alusel, kuulud sa ka küberturvalisuse seaduse alla.
Kontrolli ise enesehindamisega
Rijksinspectie Digitale Infrastructuur'il (RDI) on tasuta NIS2 enesehindamine. Vastad küsimustele oma sektori, suuruse ja teenuste kohta ning saad tulemuse. Sellest selgub ka, kas oled olulise tähtsusega või tähtis üksus. Erinevus seisneb peamiselt järelevalves: olulise tähtsusega üksuste puhul võib järelevalveasutus kontrollida ka omal algatusel, tähtsate üksuste puhul peamiselt tagantjärele. Kas sinu ettevõte kuulub kontserni või tegutsed mitmes riigis? Siis aitab NCSC keeruliste ärimudelite juhend.
Mida teha, kui kuulud seaduse alla?
- Registreerumine. Registreerid oma organisatsiooni MijnNCSC kaudu.
- Hoolsuskohustus. Teed riskianalüüsi ja rakendad asjakohaseid ning proportsionaalseid meetmeid. NCSC nimetab vähemalt kümme teemat, sealhulgas intsidentide käsitlemine, varukoopiad ja taastamine, tarneahela turvalisus, koolitus, uuendused, juurdepääsuhaldus, mitmeastmeline autentimine või pääsuvõtmed (passkeys), krüpteerimine ning selle testimine, kas meetmed toimivad. Juhatus kiidab meetmed heaks ja teostab järelevalvet.
- Teavitamiskohustus. Olulisest intsidendist teatad MijnNCSC kaudu: 24 tunni jooksul esialgne hoiatus, 72 tunni jooksul teade koos esialgse hinnanguga tõsidusele ja mõjule ning ühe kuu jooksul lõpparuanne.
See teavitamine on eraldiseisev andmelekete teavitamiskohustusest, mis tuleneb GDPR-ist (AVG). See kehtib kõigile, kes töötlevad isikuandmeid, ka füüsilisest isikust ettevõtjatele, ning sellest teatatakse Autoriteit Persoonsgegevens'ile (isikuandmete järelevalveasutusele). Rünnakust, mille käigus on varastatud ka kliendiandmeid, võib seega tulla teatada mõlemale.
Kas sa ei kuulu selle alla? Siis võib tarneahel sind ikkagi mõjutada
Enamik väikeettevõtteid ei kuulu seaduse alla. Siis puudub sul registreerimiskohustus, teavitamiskohustus NCSC ees ja järelevalve. Kuid organisatsioonid, kes seaduse alla kuuluvad, peavad arvestama ka oma otseste tarnijate ja teenusepakkujate riskidega. NCSC andmetel ei pane seadus tarnijatele endile kohustusi, kuid kliendid võivad esitada nõudeid nende digitaalsele turvalisusele. Need lisatakse siis lepingusse või küsimustikku.
Kas tarnid suuremale organisatsioonile, näiteks veebiarendajana, IT-haldajana või raamatupidamisbürooga? Siis võid saada küsimusi nagu: kas te kasutate kaheastmelist autentimist, kellel on juurdepääs meie andmetele, kus asuvad varukoopiad ja kui kiiresti te intsidendist teatate?
- Nõuded peavad olema vastavuses sinu teenuse riskiga. Tarnija, kellel on juurdepääs süsteemidele, saab rangemad nõuded kui pagar, kes toob lõunat.
- Jutt käib otsestest tarnijatest. Sinu tarnijate tarnijad jäävad välja.
- Seadus ei nõua sertifikaati. See võib aidata vestluses, kuid ei ole garantii.
- Alusta aegsasti: kaardista, millised meetmed sul juba on, ja pane kliendiga kokkulepped kirja.