Mis on NIS2? Kõik, mida pead teadma ELi küberjulgeoleku direktiivi kohta
NIS2-direktiiv on ELi direktiiv, mis karmimate eeskirjade kaudu tugevdab Euroopa liikmesriikide ja ettevõtete kübervastupidavust. See hõlmab turvameetmete rakendamist IT-kaitse parandamiseks, samuti turvakontrolle ja kiireid teavitamiskanaleid küberjulgeolekuintsidentide puhul. Kuigi Ühendkuningriik ei rakenda seda direktiivi, kuna ELi õigusaktid ei kehti enam selle riigi suhtes, on hea sellest teadlik olla, kui tegutsete ELi piires.
Mis on NIS2-direktiiv?
Euroopa Liidu NIS2-direktiivi eesmärk on parandada liikmesriikide elutähtsate ja oluliste infrastruktuuride vastupanuvõimet küberjulgeolekuohtudele. Lühend NIS2 tähistab „Network and Information Security 2” (võrgu- ja infoturve 2). Direktiiv jõustus 16. jaanuaril 2023 ja asendas eelmise NIS1-direktiivi, mis oli juba varem kaasa toonud muutuse IT-turbe käsitlemises.
Et tagada ELi liikmesriikide era- ja avalikus sektoris maksimaalne kaitse, kehtestab uus NIS2-direktiiv ulatuslikumad ja rangemad eeskirjad laiemale sihtrühmale. Sel viisil on uute eeskirjade eesmärk tagada suurem kübervastupidavus ning tõhusam tegutsemine küberjulgeolekuohtude ja turvalisuse rikkumiste vastu. NIS2 eesmärk on ka tagada, et elutähtsaid kaupu või teenuseid elanikkonnale pakkuvad olulised asutused oleksid kriisiolukorras kaitstud katkestuste ja häirete eest.
NIS2 peamine eesmärk on valmistada ettevõtteid paremini ette küberrünnakute vastu ning reageerida IT-häiretele tõhusalt ja kiiresti. Ühtsem turvastrateegia ELi liikmesriikides peaks seega tagama ELi piirkonnas nii riiklikul kui ka rahvusvahelisel tasandil võimalikult kõrge küberturvalisuse taseme. Kõik liikmesriigid peavad direktiivi üle võtma oma siseriiklikku õigusesse, mis puudutab nii suurettevõtteid kui ka uusi eeskirju hõlmavaid väikeseid ja keskmise suurusega ettevõtteid.
Mida muudab NIS2-direktiiv?
Kohustus rakendada NIS2 küberjulgeoleku tugevdamise direktiivi (NIS2UmsuCG) toob kaasa ulatuslikke muudatusi 18 erinevas sektoris. Muu hulgas on olulisteks sektoriteks klassifitseeritud üle kahe korra rohkem valdkondi ning rikkumiste eest määratavate trahvide loetelu on karmistatud. Lisaks võetakse vastutusele ka tegevjuhid.
Näiteks Saksamaal, Hispaanias, Itaalias ja Prantsusmaal mõjutab NIS2-direktiiv tuhandeid ettevõtteid. Saksamaal peavad uue direktiiviga vastavusse viima kuni 40 000 ettevõtet ja Itaalias umbes 50 000 ettevõtet. Hispaanias kehtib uus direktiiv ligikaudu 25 000 ettevõtte suhtes, samas kui Prantsusmaal puudutab see üle 10 000 ettevõtte.
Siin on ülevaade kõigist NIS2 direktiiviga kaasnevatest muudatustest:
- Oluliste valdkondade ringi laiendamine: NIS2 määratleb veelgi rohkem sektoreid olulisteks.
- Karmimad karistused: direktiiviga suurendatakse oluliselt rikkumiste eest määratavaid trahve
- Juhtkonna vastutus: juhtkonnal lasub nüüd otsene vastutus küberjulgeoleku nõuete täitmise eest.
- Kohaldamisala laiendamine: NIS2 direktiiv kehtib ettevõtetele, kus on üle 50 töötaja või mille käive ületab 10 miljonit eurot, ning mõnedele ettevõtetele sõltumata nende suurusest.
- Vajadus põhjalike riskianalüüside järele: ettevõtetel on kohustus teostada põhjalikke riskianalüüse.
- Nõutav riskide ja turvalisuse juhtimine: riskide juhtimisele ja turvameetmetele kehtivad ranged nõuded. Mitmesugused kaitsemeetmed, nagu sissetungitestid, riistvaralised tulemüürid ja varundamisstrateegiad, on kohustuslikud.
- Kohustuslik kriisijuhtimine: turvalisusjuhtumite korral on nõutavad kiired ja tõhusad kriisijuhtimisstrateegiad, suhtluskanalid ja aruandlussüsteemid.
- Olemasolevate turvaprotokollide kasutamine: Ettevõtted võivad kasutada viitena reguleeritud tööstusharude olemasolevaid turvastandardeid.
Keda puudutab NIS2-direktiiv?
NIS2 eristab ettevõtteid laiendatud oluliste ettevõtete kategoorias ja täiesti uues oluliste ettevõtete kategoorias. See puudutab otseselt ettevõtteid, kus on üle 50 töötaja või mille aastakäive on 10 miljonit eurot või rohkem. Lisaks võivad ettevõtted kuuluda NIS2 reguleerimisalasse ka suurusest sõltumata, kui nende tegevuse katkemine põhjustab süsteemseid riske. „Oluliste” kategooria hõlmab ettevõtteid üheteistkümnest sektorist, sealhulgas eelkõige kriitilise infrastruktuuri ettevõtteid, mis on valitsuse ja ühiskonna jaoks eluliselt tähtsad. „Tähtsate” kategooria hõlmab omakorda seitset süsteemselt olulist sektorit.
Olulised sektorid ja ettevõtted
- Energia
- Veevarustus
- Transport
- Pangandus
- Finantsturu infrastruktuurid
- Tervishoid
- Kosmos
- Reovee
- Avalik haldus
- Digitaalne infrastruktuur
- IKT-teenuste haldus (B2B)
Olulised sektorid ja ettevõtted
- Postiteenused ja kullerteenused
- Jäätmed
- Keemiatööstus
- Toiduainete tarnimine
- Digitaalteenuste pakkujad
- Tööstus (töötlemine / tootmine)
- Teadusuuringud (valikuline)
Millised kohustused kehtivad ettevõtete suhtes?
NIS2 raames kehtivad ettevõtetele ranged kohustused ja olulised muudatused. Nende hulka kuuluvad:
| Kohustused | Meetmed |
|---|---|
| Riskijuhtimine ja äritegevuse järjepidevuse juhtimine (§30, 31) | Krüpteerimine, mitme teguri autentimine, krüptograafia, küberhügieen, rollide määramine ja juurdepääsu kontroll, varunduse haldamine ja süsteemi taastamine, tarneahela turvalisus ja riskianalüüsid on kohustuslikud. Miinimumnõuded varieeruvad ettevõtte suurusest sõltuvalt tänu „suuruspiirangu” reeglile. |
| Aruandlus- ja teavitamiskohustused (§32, 35) | Olulistest turvalisusjuhtumitest tuleb ametiasutustele teatada 24 tunni jooksul. Esialgsed hinnangud peavad olema kättesaadavad 72 tunni jooksul. Üksikasjalik lõpparuanne tuleb esitada ühe kuu jooksul. |
| Registreerimiskohustused (§33, 34) | Mõjutatud organisatsioonid ja domeeninimede registriteenuse osutajad peavad esitama teabe vastutavatele asutustele hiljemalt kolm kuud pärast NIS2 jõustumist. Kui registreerimiskohustust ei täideta, võib selle täita ka CSIRT (arvutiturvalisuse intsidentidele reageerimise meeskond). |
| Juhatuse liikmete heakskiitmis-, järelevalve- ja koolituskohustused (§38) | Juhtkonna poolt ohutusmeetmete delegeerimine ei ole enam piisav. Juhtkond peab vajalikud meetmed aktiivselt heaks kiitma ja on osaliselt kohustatud korraldama koolitusi. |
| Järelevalve- ja täitemeetmed (§61, 62) | Eeldatakse, et üks CSIRT-idest tegutseb järelevalveasutusena, kontrollides nõutavate meetmete täitmist. Varemalt kolm aastat pärast NIS2 jõustumist on järelevalveasutusel õigus nõuda tõendeid kohustuste täitmise kohta. Otsese ohu korral võib määrata meetmeid. |
Et täita oma kohustusi asjaomase ettevõttena juba varases etapis, peaksite võtma järgmised meetmed:
- TEGELIKU ja SOOVITAVA olukorra analüüs: Kontrollige, kas NIS2-kohustused kehtivad teie suhtes, ning selgitage välja teie ettevõtte kübervastupidavuse praegune tase ja võimalikud parandamist vajavad valdkonnad.
- Rakendamine: Kõigi infosüsteemide jaoks tuleb kehtestada riskianalüüs ja turvakontseptsioonid.
- Hindamine: Teie ettevõtte riskijuhtimismeetodite tõhusust tuleks regulaarselt üle vaadata.
- Loomine: Turvalisusjuhtumite käsitlemise kontseptsiooni väljatöötamine on kohustuslik.
- Varundamine ja kriisijuhtimine: Tuleb rakendada meetmed andmete varundamiseks ja kriisijuhtimiseks.
- Teavitamissüsteem: Tuleb luua tõhus turvalisusjuhtumite teavitamissüsteem.
- Koolitus: Töötajaid tuleb regulaarselt koolitada.
- Tarneahela turvalisus: Tarneahela turvalisus tuleb tagada.
Mis juhtub, kui NIS2-direktiivi ei rakendata?
Ettevõtted, kes ei rakenda ettenähtud meetmeid, peavad arvestama märkimisväärsete trahvidega (§ 65). Vastavalt NIS2-direktiivile on järelevalveasutustele antud laialdased järelevalve-, kontrolli- ja juhendamisvolitused, sealhulgas tähtaegade täitmise tagamine. Lisaks kannavad tegevjuhid oluliselt suuremat vastutust kaitse- ja turvameetmete eest ning neid võib rikkumiste või hooletuse korral pidada isiklikult vastutavaks (§ 38, § 61).
Millal jõustub NIS2-direktiiv?
14. detsembril 2022 võtsid Euroopa Parlament ja nõukogu vastu direktiivi (EL) 2022/2555, mida tuntakse NIS2-direktiivina. See toob kaasa ulatuslikud muudatused eIDAS-määruses (EL) nr 910/2014 ja EECC-direktiivis (EL) 2018/1972. See jõustus ametlikult 16. jaanuaril 2023, asendades NIS-direktiivi. Kõik ELi liikmesriigid peavad selle siseriiklikku õigusesse üle võtma 17. oktoobriks 2024.
Erinevates riikides vastutavad direktiivi rakendamise eest erinevad asutused. Näiteks Prantsusmaal juhib rakendamist ANSSI (Riiklik Infosüsteemide Turvalisuse Amet), kes on isegi käivitanud digitaalteenuse „Mon Espace NIS 2“, mille eesmärk on toetada organisatsioone direktiivi rakendamisel. Saksamaal on vastutav asutus BSI (Föderaalne Infoturbeamet) ning Hispaanias jälgib küberjulgeoleku meetmeid ja tagab nõuete täitmise CCN-CERT (Riiklik Krüptoloogia Keskus).