NIS2 ja Madalmaade küberturvalisuse seadus (Cyberbeveiligingswet): kas mu ettevõte kuulub nende alla?

Alates 15. augustist 2026 kehtib Hollandis küberturvalisuse seadus (Cyberbeveiligingswet). Võib-olla oled terminit NIS2 juba kuulnud kliendilt, tarnijalt või nõustajalt. Sellest artiklist saad lühidalt teada, mis seadus see on, keda see puudutab ja mida see tähendab väikesele ettevõttele, mis ise seaduse alla ei kuulu.

See artikkel annab üldist selgitust ega ole õigusnõuanne. Kehtivad reeglid leiad NCSC lehelt ja seaduse tekstist.

Mis see on?

NIS2 on 2022. aasta Euroopa direktiiv (direktiiv (EL) 2022/2555), mille eesmärk on muuta olulistes sektorites tegutsevad organisatsioonid digitaalselt vastupidavamaks. Iga riik võtab direktiivi üle oma seadusega. Hollandis on selleks küberturvalisuse seadus (Cbw). Seadus kehtib alates 15. augustist 2026 ilma üleminekuajata ning asendab varasema võrgu- ja infosüsteemide turvalisuse seaduse (Wbni). NCSC andmetel kuulub seaduse alla üle 8000 organisatsiooni. Kontaktasutus on NCSC.

Kas minu ettevõte kuulub seaduse alla?

See sõltub kahest küsimusest: sinu sektorist ja sinu suurusest.

1. Kas tegutsed mõnes seaduses nimetatud sektoris?

Mõne sektori puhul kehtivad lisatingimused. Seega ei kuulu iga ettevõte, mis toiduainetega kuidagi tegeleb, automaatselt seaduse alla.

2. Kas oled piisavalt suur? Lühidalt öeldes kuuluvad seaduse alla keskmise suurusega ja suured organisatsioonid. Sind arvestatakse, kui:

• sul on 50 või rohkem töötajat (täistööajale taandatud), või
• sul on alla 50 töötaja, kuid nii sinu aastakäive kui ka bilansimaht ületavad 10 miljonit eurot.

Arvesse lähevad ka partner- ja seotud ettevõtted. Seega võib 20 töötajaga ettevõte, mis kuulub 200 töötajaga kontserni, ikkagi seaduse alla kuuluda.

Erandid, olenemata suurusest. Mõned organisatsioonid kuuluvad seaduse alla alati, ükskõik kui väikesed nad on. Näiteks DNS-teenuse osutajad, tippdomeeni registrid, avalike elektroonilise side võrkude ja teenuste pakkujad, usaldusteenuse osutajad ja avaliku sektori asutused. Kui oled määratud elutähtsate üksuste toimepidevuse seaduse alusel, kuulud ka küberturvalisuse seaduse alla.

Kontrolli ise enesehindamise abil

Hollandi digitaristu riiklik inspektsioon (RDI) pakub tasuta NIS2 enesehindamist. Vastad küsimustele oma sektori, suuruse ja teenuste kohta ning saad tulemuse. Sellest selgub ka, kas oled oluline või tähtis üksus. Erinevus seisneb peamiselt järelevalves: olulisi üksusi võib järelevalveasutus kontrollida ka omal algatusel, tähtsaid üksusi peamiselt tagantjärele. Kas sinu ettevõte kuulub kontserni või tegutsed mitmes riigis? Siis aitab NCSC juhend keerukate ärimudelite kohta.

Mida pead tegema, kui kuulud seaduse alla?

• Registreerimine. Registreerid oma organisatsiooni MijnNCSC kaudu.
• Hoolsuskohustus. Teed riskianalüüsi ja võtad asjakohased ja proportsionaalsed meetmed. NCSC nimetab vähemalt kümme teemat, sealhulgas intsidentide käsitlemine, varukoopiad ja taastamine, tarneahela turvalisus, koolitus, uuendused, juurdepääsuhaldus, mitmeastmeline autentimine või pääsuvõtmed, krüpteerimine ning meetmete toimimise testimine. Juhatus kinnitab meetmed ja teostab nende üle järelevalvet.
• Teavitamiskohustus. Olulisest intsidendist teatad MijnNCSC kaudu: 24 tunni jooksul esmane hoiatus, 72 tunni jooksul teade esialgse hinnanguga raskuse ja mõju kohta ning ühe kuu jooksul lõpparuanne.

See teavitus on eraldi isikuandmete kaitse üldmäärusest (GDPR) tulenevast andmelekete teavitamise kohustusest. See kehtib kõigile, kes töötlevad isikuandmeid, ka FIE-le, ning sellest teatatakse Hollandi andmekaitseasutusele. Millal on tegemist andmelekkega ja kas pead sellest teatama, loe artiklist Kas see on andmeleke ja kas pean sellest teatama? Rünnakust, mille käigus varastati ka kliendiandmeid, võib seega olla vaja teatada mõlemale.

Ei kuulu seaduse alla? Tarneahela kaudu võib see sind siiski puudutada

Enamik väikeettevõtteid seaduse alla ei kuulu. Siis ei ole sul registreerimiskohustust, NCSC-le teavitamise kohustust ega järelevalvet. Kuid seaduse alla kuuluvad organisatsioonid peavad arvestama ka oma otseste tarnijate ja teenuseosutajate riskidega. NCSC sõnul ei pane seadus tarnijatele endile kohustusi, kuid kliendid võivad esitada nõudeid nende digitaalsele turvalisusele. Need lisatakse siis lepingusse või küsimustikku.

Kas pakud teenust suuremale organisatsioonile, näiteks veebiarendaja, IT-halduri või raamatupidamisbüroona? Siis võid saada küsimusi nagu: kas kasutate kaheastmelist kinnitamist, kellel on juurdepääs meie andmetele, kus asuvad varukoopiad ja kui kiiresti intsidendist teatate?

• Nõuded peavad olema proportsionaalsed sinu teenuse riskiga. Tarnija, kellel on juurdepääs süsteemidele, saab rangemad nõuded kui pagar, kes lõunasöögi toob.
• Jutt on otsestest tarnijatest. Sinu tarnijate tarnijad jäävad sellest välja.
• Sertifikaati seadus ette ei näe. See võib vestluses aidata, kuid ei ole garantii.
• Alusta õigel ajal: kaardista, millised meetmed sul juba olemas on, ja pane kliendiga kokkulepped kirja.

Loe edasi

• NCSC: küberturvalisuse seadus (NIS2)
• NCSC: kas minu organisatsioon kuulub küberturvalisuse seaduse alla?
• NCSC: hoolsuskohustus
• NCSC: teavitamiskohustus
• NCSC: küberturvalisuse seadus ja tarnijad
• RDI: NIS2 enesehindamine
• Küberturvalisuse seaduse tekst

Soovid rohkem teada? Läbi tasuta kursus „Turvaliselt veebis ettevõtjatele”, õppetund 9.1 NIS2 ja küberturvalisuse seadus.