NIS2 ja küberturvalisuse seadus

Moodul 9: Reeglid ja korraldus · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, mida NIS2 (direktiiv (EL) 2022/2555) reguleerib, mida see Eestis tähendab, kellele see kehtib ja mida see tarneahela kaudu väikeettevõtjate jaoks tähendab.
Põhimõisted: NIS2, küberturvalisuse seadus (KüTS), oluline ja olulise tähtsusega ettevõtja, sektor, suurus, hoolsuskohustus, teavitamiskohustus (24 tundi, 72 tundi, 1 kuu), registreerimiskohustus, tarneahel, enesehindamine

Euroopa direktiivist riigisisesesse seadusesse

NIS2 on 2022. aasta Euroopa direktiiv (direktiiv (EL) 2022/2555), mille eesmärk on tõsta oluliste organisatsioonide digitaalset vastupanuvõimet kogu EL-is. Direktiiv ei kehti vahetult: iga liikmesriik võtab selle üle oma seadusega. Eestis on selleks küberturvalisuse seadus, mida on NIS2 ülevõtmiseks muudetud. Muudatused kehtivad alates 1. jaanuarist 2026. Nõuete täitmiseks on ettevõtetel üleminekuaeg: kontrolli värsket teavet oma kohustuste ja tähtaegade kohta Riigi Infosüsteemi Ameti (RIA) veebilehelt.

Hollandi NCSC andmetel kuulub Madalmaades seaduse alla üle 8000 organisatsiooni. See on väike osa kõigist Madalmaade ettevõtetest. Enamiku väikeettevõtjate jaoks pole seetõttu kõige tähtsam küsimus mitte "kas mina pean seadusest midagi tegema?", vaid "mida nõuavad minu kliendid minult, kuna nemad kuuluvad seaduse alla?". Sellele tuleme tagasi.

Eestis on registreerimise, järelevalve ja teavitamise kontaktpunkt Riigi Infosüsteemi Amet (RIA), https://www.ria.ee/. Intsidentide korral aitab CERT-EE, mis tegutseb RIA juures.

Kas see kehtib sinu kohta? Sektor ja suurus

Kas organisatsioon kuulub NIS2 ülevõtva seaduse alla, sõltub kahest küsimusest.

1. Kas sa töötad seaduses nimetatud sektoris? Seadusel on kaks lisa.

Mõne sektori puhul kehtivad lisatingimused, mille määrab vastutav ministeerium. Seega ei kuulu kõik "toiduainetega" tegelevad organisatsioonid automaatselt seaduse alla.

2. Kas oled piisavalt suur? Sinu organisatsioon loetakse kaasa, kui:

• sul on 50 või enam töötajat (täistööajale taandatult), või
• sul on vähem kui 50 töötajat, aga sinu aastakäive ja bilansimaht on mõlemad üle 10 miljoni euro.

Partner- ja seotud ettevõtted loetakse kaasa. Seega võib ka 20 töötajaga ettevõte, mis kuulub 200-töötajalisse gruppi, seaduse alla kuuluda.

Erandid: olenemata suurusest. Mõned organisatsioonid kuuluvad seaduse alla alati, ükskõik kui väikesed nad on: DNS-teenuse pakkujad, tippdomeenide registrid, avalike elektrooniliste side võrkude ja teenuste pakkujad, usaldusteenuse osutajad ning riigiasutused. Ka domeeninime registreerimisteenuste pakkujad peavad end registreerima.

Oluline või olulise tähtsusega

Seaduse alla kuuluvad organisatsioonid on kas olulised või olulise tähtsusega ettevõtjad. Suures joones: suured organisatsioonid I lisa sektorites ja mõned olenemata suurusest määratud liigid on olulised; ülejäänud on olulise tähtsusega. Erinevus seisneb peamiselt järelevalves: oluliste ettevõtjate puhul võib järelevalveasutus kontrollida ka omal algatusel, näiteks inspektsioonide ja auditite kaudu; olulise tähtsusega ettevõtjate puhul sekkub ta peamiselt tagantjärele, kui on viiteid, et midagi on valesti. Kohustused ise on suures osas samad. Kas oled oluline või olulise tähtsusega, saad selgeks enesehindamise abil.

Kontrolli ise

Hollandis on Rijksinspectie Digitale Infrastructuur (RDI) teinud tasuta enesehindamise aadressil https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (Hollandi allikas). Eestis leiad oma kohustuste kontrollimiseks juhised ja abivahendid RIA veebilehelt, https://www.ria.ee/. Kui kahtled, näiteks sellepärast, et su ettevõte kuulub gruppi või tegutseb mitmes riigis, uuri RIA-lt täpsemat juhendit keeruliste äримudelite kohta.

Mida seadus nõuab

Kui sinu organisatsioon kuulub seaduse alla, kehtivad kolm kohustust.

Registreerimiskohustus

Sa registreerid oma organisatsiooni vastavas registris. Eestis toimub registreerimine RIA juures. Nii teab riik, kes seaduse alla kuulub, ja saab sinuga ohu korral ühendust võtta.

Hoolsuskohustus

Sa koostad riskianalüüsi ja võtad selle põhjal asjakohased ja proportsionaalsed meetmed oma võrgu- ja infosüsteemide turvalisuse tagamiseks. Hollandi NCSC nimetab vähemalt kümme teemat, mis kõik on selles kursuses juba läbi käidud:

1. riskianalüüs (õppetund 1.1 ja 9.3);
2. intsidentide käsitlemine intsidendiplaaniga (õppetund 8.1);
3. valmisolek häirete puhuks: varukoopiad, taastamisplaanid, kriisijuhtimine (moodul 6);
4. tarneahela turvalisus, sealhulgas tarnijariskid (õppetund 7.2);
5. küberhügieen ja koolitus (õppetund 9.2);
6. süsteemide turvaline hankimine, arendamine ja hooldus, sealhulgas uuendused (õppetund 5.1);
7. personal, juurdepääsupoliitika ning seadmete ja tarkvara haldamine (õppetund 7.1);
8. passkey'd või mitmikautentimine ning turvaline suhtlus (moodul 2);
9. krüptograafia (andmete krüpteerimise) põhimõtted;
10. meetmete tõhususe hindamine, näiteks regulaarse testimise kaudu (õppetund 6.3 ja 9.3).

Juhatus vastutab: ta kiidab meetmed heaks ja teostab järelevalvet nende rakendamise üle. Euroopa direktiivi kohaselt peavad juhatuse liikmed läbima ka küberriskide alase koolituse. Küberturvalisus pole seega enam asi, mille saad lihtsalt IT-inimesele üle anda.

Teavitamiskohustus

Olulisest intsidendist tuleb teavitada vastavat kontaktpunkti, Eestis RIA-d CERT-EE kaudu. See on intsident, mis häirib tõsiselt sinu teenust, põhjustab rahalist kahju või võib põhjustada suurt kahju teistele; täpsed piirmäärad erinevad sektoriti. Tähtajad algavad hetkest, mil saad intsidendist teada:

Üks teavitus jõuab korraga nii intsidentide lahendamise meeskonnani (CSIRT, Eestis CERT-EE) kui ka järelevalveasutuseni. Lisaks peab direktiivi kohaselt sinu teenuste kasutajaid vajaduse korral teavitama olulistest intsidentidest, mis võivad neid mõjutada.

Küberturvalisuse seaduse teavitus ja isikuandmete kaitse üldmääruse (GDPR) teavitus: kaks erinevat asja

See sarnaneb isikuandmete lekke teavitamise kohustusega GDPR-i alusel (õppetund 8.2) ja mõlemas esineb "72 tundi". Siiski on tegu kahe eraldi kohustusega.

Lunavararünnak, mille käigus varastatakse seaduse alla kuuluvalt organisatsioonilt ka kliendiandmed, tuleb seega teatada mõlemale poolele. Ja väikeettevõttel, kes ei kuulu küberturvalisuse seaduse alla, on sellegipoolest GDPR-i teavitamiskohustus, kui isikuandmed lekivad.

Kui see sinu kohta ei kehti: tarneahel

Enamiku selle kursuse lugejate jaoks on vastus esimesele küsimusele: ei, minu ettevõte ei kuulu küberturvalisuse seaduse alla. Pagariäri kaheteistkümne töötajaga, raamatupidamisbüroo viiega, üksinda tegutsev veebiarendaja. Sel juhul puudub sul seadusest tulenev kohustus: ei registreerimist, ei teavitamiskohustust, ei järelevalvet.

Aga seadus võib sinuni jõuda klientide kaudu. Seaduse alla kuuluvad organisatsioonid peavad turvama oma tarneahelat: nad peavad arvestama oma otseste tarnijate ja teenusepakkujate haavatavustega. Hollandi NCSC kirjutab, et seadus ise ei pane tarnijatele otseseid kohustusi, kuid seadusealused organisatsioonid võivad esitada oma tarnijatele nõudeid digitaalse turvalisuse kohta. Need nõuded lisatakse siis lepingusse või küsimustikku.

Näide. Väike IT-ettevõte kuue töötajaga haldab sülearvuteid ja võrku keskmise suurusega transpordiettevõttes, kus on 140 töötajat. Transpordiettevõte kuulub seaduse alla (transpordisektor, piisavalt suur). IT-ettevõte ise mitte: "IKT-teenuste haldamine" on küll I lisas, kuid ettevõte on liiga väike. Siiski saab ta küsimustiku: kas haldustööriistadel on kasutusel kaheastmeline autentimine, kellel on juurdepääs meie süsteemidele, kui kiiresti teatate meile intsidendist, kus asuvad varukoopiad?

Mida Hollandi NCSC selle kohta ütleb, ja mida see sinu jaoks tähendab:

• Nõuded peavad olema asjakohased. Klient peaks vaatama, millist riski sinu teenus talle kujutab. Juurdepääsuga tarnijale esitatakse rangemad nõuded kui lõunat toovale pagarile.
• Tegemist on otseste tarnijatega. Sinu tarnijate tarnijad jäävad seadusest välja.
• Sertifikaat ei ole kohustuslik. Seadus ei näe ette kindlat kvaliteedimärki. Sertifikaat võib muuta vestluse lihtsamaks, kuid see pole garantii ega seadusest tulenev nõue.
• Alusta vestlust varakult. Pane kirja, millised meetmed sul kliendiga seotud valdkondades juba olemas on, ja fikseeri kokkulepped.

Ära seega liialda. Küberturvalisuse seadus ei muuda väikest ettevõtet automaatselt "NIS2-kohustuslikuks" organisatsiooniks, ja nõustaja, kes seda sulle kallist sertifitseerimist müües räägib, jutustab vaid osa loost. Kuid ära ka alahinda: kes tarnib suurematele organisatsioonidele, peab üha sagedamini suutma näidata, et alusturve on korras. Selle kursuse põhimeetmed on täpselt see, mida selline küsimustik tavaliselt nõuab.

See õppetund annab üldist teavet ega ole õigusnõustamine. Hollandi reeglite kohta vaata värsket infot aadressilt https://www.ncsc.nl/cyberbeveiligingswet-nis2 (Hollandi allikas) ja seadusteksti aadressilt https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (Hollandi allikas). Eesti kohustuste ja tähtaegade kohta vaata RIA veebilehte, https://www.ria.ee/.

Kokkuvõte

• Eestis on küberturvalisuse seadust NIS2 ülevõtmiseks muudetud; muudatused kehtivad alates 1. jaanuarist 2026 ja ettevõtetel on nõuete rakendamiseks üleminekuaeg.
• Seaduse alla kuulud, kui tegutsed I või II lisa sektoris ja sul on 50 või enam töötajat, või kui aastakäive ja bilansimaht on mõlemad üle 10 miljoni euro; mõned liigid (näiteks DNS-teenuse pakkujad ja riigiasutused) kuuluvad alla olenemata suurusest.
• Kohustused: registreerimine RIA juures, hoolsuskohustus riskianalüüsi ja asjakohaste meetmetega juhatuse vastutusel, ning oluliste intsidentide teavitamine 24 tunni, 72 tunni ja 1 kuu jooksul CERT-EE (RIA) kaudu.
• Küberturvalisuse seaduse järgne teavitus on eraldiseisev GDPR-i järgsest andmelekke teavitusest Andmekaitse Inspektsioonile; mõnikord tuleb teha mõlemad.
• Väikeettevõte ise seaduse alla tavaliselt ei kuulu, kuid võib seaduse alla kuuluvate klientide kaudu saada asjakohaseid turvanõudeid.

Test

Ülesanne

Ülesanne A9.1: Kas see kuulub küberturvalisuse seaduse alla? Saad kuus lühikest kirjeldust organisatsioonidest (sektor, töötajate arv, käive, bilansimaht, vajaduse korral grupp või suur klient). Määra iga organisatsiooni kohta: kuulub seaduse alla, ei kuulu ise, kuid saab tõenäoliselt nõudeid kliendi kaudu, või ei kuulu üldse. Programm kontrollib vastused ja näitab iga organisatsiooni kohta otsustuspuu samme.

Rohkem lugemist

Küberturvalisuse seaduse ja NIS2 kohta pole WebOké teadmusbaasis veel artiklit; kasuta ametlikke allikaid.

• Hollandi NCSC, küberturvalisuse seadus (NIS2) (Hollandi allikas): https://www.ncsc.nl/cyberbeveiligingswet-nis2
• Hollandi NCSC, kas minu organisatsioon kuulub küberturvalisuse seaduse (NIS2) alla? (Hollandi allikas): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• Hollandi NCSC, hoolsuskohustus (Hollandi allikas): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• Hollandi NCSC, teavitamiskohustus (Hollandi allikas): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• Hollandi NCSC, küberturvalisuse seadus ja tarnijad (Hollandi allikas): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
• Hollandi RDI, NIS2 enesehindamine (Hollandi allikas): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
• Hollandi küberturvalisuse seaduse tekst (Hollandi allikas): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0