Mida tähendavad NIS2 ja DORA ettevõtetele Eestis, Lätis ja Leedus ning millised poliitikad tasub paika panna?
Alates 1. jaanuarist kuulub Eestis küberturvalisuse seaduse alla ligikaudu 6500 ettevõtet ja asutust, umbes 3000 rohkem kui varem. Muudetud seadusega võeti üle ELi NIS2 direktiiv. Kohustatud üksused pidid oma andmed Riigi Infosüsteemi Ametile esitama kolme kuu jooksul, nii et enamikul möödus tähtaeg märtsi lõpus. Grant Thornton hindas mais, et üle 2000 uue kohustatud ettevõtte ei olnud seda tõenäoliselt veel teinud.
Paljud puutuvad selle seadusega päriselt kokku alles siis, kui juhtub intsident. Oletame, et reede õhtul kell 23 lukustab lunavara teie süsteemid.
- Kui teie ettevõte kuulub küberturvalisuse seaduse alla ja intsidendil on oluline mõju, ootab Riigi Infosüsteemi Amet esmast teadet hiljemalt 24 tunni jooksul pärast intsidendist teadasaamist.
- Kui olete pank, kohaldatakse teavitamisele DORA reegleid. Esialgne teade tuleb saata Finantsinspektsioonile nelja tunni jooksul pärast intsidendi tõsiseks liigitamist ja hiljemalt 24 tundi pärast sellest teadasaamist, ka nädalavahetusel. Enamiku teiste finantsettevõtete, näiteks makseasutuste ja krüptovarateenuse osutajate jaoks kehtivad samad tähtajad, kuid nädalavahetusele langeva tähtaja võivad nad üldjuhul lükata järgmise tööpäeva ehk esmaspäeva keskpäevani.
- Kui rünnak puudutas isikuandmeid, ootab Andmekaitse Inspektsioon teadet 72 tunni jooksul, välja arvatud juhul, kui rikkumine tõenäoliselt inimestele ohtu ei kujuta.
Nädalavahetuse erand on ainult DORA järgi. Riigi Infosüsteemi Ameti 24 tundi ja isikuandmete 72 tundi kulgevad ka laupäeval ja pühapäeval. Kui rünnak puudutas isikuandmeid, on teil seega korraga kaks asutust ja kaks tähtaega.
Keda seadus Eestis puudutab
Lihtsustatult on tingimusi kaks: suurus ja sektor. Ettevõttes peab olema vähemalt 50 töötajat ning aastakäive või bilansimaht peab ületama 10 miljonit eurot ja ettevõte peab tegutsema mõnes loetletud sektoris. Kui kuulute kontserni, arvestatakse üldjuhul kontserni näitajaid, välja arvatud juhul, kui teenuse osutamiseks kasutatavad infosüsteemid on ülejäänud kontsernist sõltumatud. Nimekirjas on palju enamat kui pangad ja energeetika. Sinna kuuluvad ka:
- toidu tööstuslik tootmine, töötlemine ja hulgimüük
- osa tööstusest, näiteks elektroonika, masinad ja sõidukid
- kemikaalid ja jäätmekäitlus
- postiteenused ja kullerteenused
- internetipõhiste kauplemiskohtade pidajad, veebipõhiste otsingumootorite pakkujad ja sotsiaalmeediaplatvormide pakkujad
- haldusteenuse ja infoturbeteenuse osutajad
Osa organisatsioone kuulub seaduse alla sõltumata suurusest.
Ettevõtetel, kes kuulusid seaduse alla selle jõustumisel, on tegevuse nõuetega vastavusse viimiseks aega kolm aastat ehk 2029. aasta alguseni. Erand oli registreerimine, mille tähtaeg oli kolm kuud. Riigi Infosüsteemi Amet ootab siiski juba praegu, et olulise mõjuga intsidentidest teatataks 24 tunni jooksul, nii et kolme aastat ei tasu võtta pausina.
Meie ei planeeriks 2029. aasta peale. Läti ja Leedu alustasid varem ja kliendid hakkavad seda küsima palju varem.
Naaberriikide reeglid
- Läti: riiklik küberturvalisuse seadus kehtib 1. septembrist 2024. Registreeruda tuli 1. aprilliks 2025. Küberturvalisuse juht tuli määrata ja esimene enesehindamise aruanne esitada 1. oktoobriks 2025. Edaspidi tuleb seda olenevalt ettevõttest korrata iga ühe kuni kolme aasta järel.
- Leedu: muudetud küberturvalisuse seadus kehtib 18. oktoobrist 2024. Kohustatud ettevõtted kanti registrisse 2025. aasta aprilliks, organisatsioonilised nõuded tuli täita 17. aprilliks 2026 ja tehnilised nõuded tuleb täita 17. aprilliks 2027. Valitsuse üksikasjalike nõuete hulgas on turvapoliitika, küberturvalisuse juht, kes ei halda ise süsteeme, igal aastal toimuv koolitus kõigile töötajatele ja turvatingimused tarnijalepingutes.
Lätis või Leedus asuvale tütarettevõttele kehtib kohalik seadus, kui see vastab seal tingimustele. Filiaalidega võib olla teisiti: Läti kaitseministeeriumi sõnul ei kohaldata nende seadust filiaalile, sest filiaal ei ole juriidiline isik. Pilvandmetöötlusteenuse, andmekeskusteenuse ja haldusteenuse osutajad alluvad selle riigi järelevalvele, kus on nende peamine tegevuskoht ELis.
Kui seadus teid ei puuduta, võivad seda teha kliendid
NIS2 teeb kohustatud ettevõtted vastutavaks ka tarneahela turvalisuse eest. Eesti seaduse järgi peab kohustatud ettevõte, kes on andnud oma süsteemi haldamise teisele isikule või majutab süsteemi teise isiku juures, tagama, et see isik teavitab teda intsidendist 24 tunni jooksul. Leedu reeglid on veel üksikasjalikumad: tarnijaid tuleb kontrollida, lepingutesse tuleb lisada turvatingimused ja tarnija peab rikkumisest kiiresti teada andma.
Nii jõuab seadus teieni klientide kaudu ka siis, kui see teid otse ei puuduta. Kolmekümne töötajaga tarkvaraettevõte võib jääda seadusest välja ja saada ikkagi oma suurimalt kliendilt turvaküsimustiku, auditiõiguse tingimuse ja kohustuse teatada intsidendist 24 tunni jooksul. Kui suudate küsimustikule nädalaga vastata, läheb lepingu pikendamine palju lihtsamalt.
Finantssektoris kehtib DORA
Pangad, makseasutused, elektroonilise raha asutused, investeerimisühingud, kindlustusandjad ja MiCA alusel tegevusloa saanud krüptovarateenuse osutajad peavad DORA ehk finantssektori digitaalse tegevuskerksuse määruse nõudeid täitma alates 17. jaanuarist 2025. Nende jaoks asendavad DORA IKT riskide ja intsidentidest teatamise reeglid NIS2 vastavaid reegleid. Kui saite MiCA tegevusloa sel aastal, kohaldati DORA teile esimesest päevast.
Tänavu hakkasid järelevalveasutused kogutud andmeid ka kasutama. 2026. aasta märtsi lõpuks koguti teist korda kokku teaberegistrid, kus on kirjas lepingud IKT teenuseosutajatega. Juunis avaldasid Euroopa järelevalveasutused esimese aruande 2025. aasta tõsiste IKT intsidentide kohta. Kogu ELis oli neid 3383 ja umbes kolmandik puudutas rohkem kui ühte riiki. Küberturvalisusega oli seotud vaid umbes iga kümnes. Umbes pooled olid süsteemitõrked ja peaaegu kolmandik sai alguse teenuseosutaja juurest.
DORA eesmärk on, et ettevõte jääks tööle, ükskõik mis juhtub. Seepärast vaatavad järelevalveasutused lepingud IKT teenuseosutajatega põhjalikult läbi:
- mida teenuseosutaja teeb
- kus andmed asuvad
- auditiõigus ja intsidendist teatamine
- lepingu lõpetamise õigus
- väljumiskava, mida saab ka tegelikult rakendada
Alates 2025. aasta novembrist teeb EL otsejärelevalvet ka 19 tehnoloogiateenuse osutaja üle, kes on määratud sektori jaoks kriitilise tähtsusega teenuseosutajaks. Nende seas on Amazon Web Services, Microsoft ja Google Cloud. Teie enda kohustusi see ei vähenda. Alates 1. novembrist esitatakse DORA intsidenditeated Finantsinspektsioonile Eesti Panga ja Finantsinspektsiooni andmekogumisportaali kaudu, mitte enam meili teel.
Mida peab tegema juhatus
NIS2 järgi kinnitab juhatus turvameetmed, jälgib nende rakendamist ja võib puudujääkide eest vastutada. Eestis peab juhatus määrama vähemalt ühe liikme, kes turvameetmed heaks kiidab, jälgib nende rakendamist ja läbib korrapäraselt koolitusi, välja arvatud juhul, kui juhatuses on üks liige. Kui kedagi ei määrata, kohaldatakse neid kohustusi kõigile juhatuse liikmetele. Riigi Infosüsteemi Amet ootab regulaarseid koolitusi ka töötajatele ja teistele juhtidele. DORA järgi kannab IKT riskide eest lõplikku vastutust juhtorgan.
Eestis võib trahv üliolulisele üksusele ulatuda 10 miljoni euroni või 2 protsendini selle eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem, ja olulisele üksusele 7 miljoni euroni või 1,4 protsendini.
Poliitikad
Seda nimekirja ei leia ühestki seadusest. Nii rühmitame meie selle, mida NIS2 ja DORA nõuavad. Lühikesed dokumendid, mida inimesed päriselt kasutavad, on paremad kui pikad, mida keegi ei ava. Juhatus kinnitab igaühe.
- Infoturbepoliitika. Ulatus, rollid ja vastutav juhatuse liige.
- Riskihinnang. Mida kaitsete, mis seda ohustab ja mida selle vastu teete, ning igal aastal kontroll, kas meetmed toimivad.
- Intsidentidele reageerimise ja teavitamise kord. Kes otsustab, kas tegemist on olulise mõjuga intsidendiga, kes kellele helistab ning valmis mallid kõigi teadete ja tähtaegade jaoks, mis teile kehtivad.
- Talitluspidevus ja varundamine. Taastage andmed varukoopiast vähemalt kord aastas ja mõõtke, kui kaua see aega võtab.
- Tarnijate turvalisus ja lepingutingimused. Kontroll enne lepingu sõlmimist, turvanõuded, rikkumisest teatamine, auditiõigus ja väljumine. DORA puhul vaadake artikleid 28 kuni 30.
- Juurdepääsu haldus, krüpteerimine ja varade nimekiri. Kellel on millele juurdepääs, mitmeastmeline autentimine kriitilistel kontodel, krüpteerimine seal, kus andmed seda vajavad, ja juurdepääsu sulgemine samal päeval, kui inimene lahkub.
- Nõrkuste ja turvaparanduste haldus. Kui kiiresti teadaolevad vead parandatakse. Kui toodate tarkvara või võrku ühendatud seadmeid, mida müüakse ELis, või müüte neid oma kaubamärgi all, nõuab küberkerksuse määrus alates 11. septembrist 2026, et teataksite aktiivselt ärakasutatavatest nõrkustest ja tõsistest intsidentidest ENISA platvormi kaudu. Varajane hoiatus tuleb esitada 24 tunni jooksul. Ainult veebiteenusena pakutav tarkvara jääb üldjuhul määruse alt välja.
- Koolitus ja tehisintellekti kasutamise reeglid. Koolitus kõigile igal aastal ja kirjalikud reeglid selle kohta, mida töötajad tohivad tehisintellekti tööriistadesse sisestada. Tehisintellekti määrus nõuab ka, et tehisintellekti kasutav ettevõte võtaks meetmeid töötajate tehisintellektipädevuse toetamiseks.
DORA alla kuuluvad ettevõtted vajavad lisaks IKT riskide juhtimise raamistikku, teaberegistrit ja testimisprogrammi.
Millest alustada sel kuul
- Kontrollige iga riiki, kus teil on ettevõte või filiaal, ja kontrollige, kas suuruse hindamisel tuleb arvestada kontserni näitajaid.
- Kui seadus kehtib teile Eestis ja te pole andmeid veel Riigi Infosüsteemi Ametile esitanud, esitage need kohe.
- Määrake vastutav juhatuse liige ja broneerige koolitus.
- Võtke välja kümme kõige olulisemat lepingut infotehnoloogiateenuste tarnijatega ja võrrelge neid punktidega 5 ja 6.
- Kirjutage või uuendage poliitikad ja laske juhatusel need kinnitada.
Tegutseme Eestis, Lätis ja Leedus, nii et suuruse ja sektori kontroll, poliitikad, tarnijalepingud ja juhatuse koolitus on teil ühe meeskonna käes. Broneerige kõne aadressil baltentra.legal. Kõne võtab 15 minutit. Võite ka kirjutada aadressile info@baltentra.legal.