- OMX Baltic−0,05%291,07
- OMX Riga−0,26%883,16
- OMX Tallinn−0,02%1 848,52
- OMX Vilnius−0,32%1 132,3
- S&P 5000,08%5 667,56
- DOW 300,08%41 985,35
- Nasdaq 0,52%17 784,05
- FTSE 100−0,63%8 646,79
- Nikkei 225−0,2%37 677,06
- CMC Crypto 2000,00%0,00
- USD/EUR0,00%0,92
- GBP/EUR0,00%1,19
- EUR/RUB0,00%91,37
- OMX Baltic−0,05%291,07
- OMX Riga−0,26%883,16
- OMX Tallinn−0,02%1 848,52
- OMX Vilnius−0,32%1 132,3
- S&P 5000,08%5 667,56
- DOW 300,08%41 985,35
- Nasdaq 0,52%17 784,05
- FTSE 100−0,63%8 646,79
- Nikkei 225−0,2%37 677,06
- CMC Crypto 2000,00%0,00
- USD/EUR0,00%0,92
- GBP/EUR0,00%1,19
- EUR/RUB0,00%91,37
- ST
NIS2 direktiiv: kuidas see mõjutab ettevõtteid ja lõppkasutajaid?
Euroopa Liidu uus küberturvalisuse direktiiv, NIS2, on oluline samm digitaalse turvalisuse parandamiseks kogu Euroopas. See seab kõrgemad infoturbenõuded ettevõtetele, kes pakuvad elutähtsaid ja olulisi teenuseid – alates telekommunikatsioonist ja energeetikast kuni domeeniregistripidajate ja pilveteenuste pakkujateni. Kuid mida see tegelikult tähendab ettevõtetele ja tavakasutajatele?
Varasem NIS1 direktiiv, mis kehtestati 2016. aastal, oli EL-i esimene katse luua ühtne küberturvalisuse raamistik. Selle eesmärk oli kaitsta elutähtsaid teenuseid küberrünnakute eest ja parandada liikmesriikide vahelist koostööd. Praktikas ilmnes aga mitmeid probleeme – liikmesriigid tõlgendasid nõudeid erinevalt, paljud teenusepakkujad jätsid turvameetmed rakendamata ning küberintsidentidest teavitamine ja nendele reageerimine oli ebaühtlane.
NIS2 direktiiv loodi nende puudujääkide kõrvaldamiseks. Uued reeglid karmistavad turvastandardeid, laiendavad reguleeritud ettevõtete ringi ning suurendavad juhtorgani vastutust. Kokkuvõttes tähendab see, et kõik EL-i liikmesriigid peavad tagama ühtlaselt kõrge küberturvalisuse taseme.
Keda NIS2 puudutab?
Oluline on mõista, et NIS2 ei rakendu automaatselt kõigile keskmise suurusega ettevõtetele. Regulatsiooni alla kuuluvad organisatsioonid peavad vastama ka teatud tegevusala kriteeriumidele.
Direktiivi järgi jagatakse mõjutatud ettevõtted kahte kategooriasse: elutähtsad ja olulised üksused. Esimesse kuuluvad näiteks pangandus, tervishoid ja energeetikasektor, mille teenuste häiritus võib kaasa tuua laialdasi majanduslikke ja ühiskondlikke tagajärgi.
Teise rühma kuuluvad teenusepakkujad, kelle roll on samuti oluline, kuid kes ei ole nii otseselt elutähtsate süsteemide toimimisega seotud – näiteks domeeniregistripidajad ja pilveteenuste pakkujad. Sellesse rühma kuulub näiteks ka Zone.ee.
Nende kategooriate alla kuuluvad ainult need keskmise ja suure suurusega ettevõtted, mis tegutsevad sektorites, mis on määratletud direktiivi lisades I ja II. See tähendab, et kui üks ettevõte jääb tegevusala poolest nendest sektoritest väljapoole, siis NIS2 talle automaatselt ei laiene, isegi kui ta ületab suurusläve (50 töötajat ja 10 miljonit eurot käivet või bilansimahtu).
Mida ettevõtted peavad tegema?
Ettevõtted, mis kuuluvad NIS2 reguleerimisalasse, peavad järgima mitmeid küberturvalisuse nõudeid. Direktiiv nõuab riskihindamise meetmete rakendamist ning infoturbe tugevdamist, kuid ei sätesta konkreetseid standardeid. Näiteks kuigi ISO/IEC 27001 või Eesti Infoturbestandard (E-ITS) on tuntud ja sageli kasutatavad raamistikud, ei ole need NIS2 järgi kohustuslikud. Liikmesriigid võivad siiski oma seadusandluses teatud standardeid soovitada või isegi nõuda.
Lisaks kohustab direktiiv ettevõtteid määrama küberturvalisuse eest vastutava isiku, kehtestama selged protseduurid küberintsidentide haldamiseks, tagama juhtkonna teadlikkuse küberturvalisusest ja koolitama töötajaid ning reageerima kiiresti küberintsidentidele. Üks NIS2 võtmenõudeid on küberintsidentidest teavitamine. Kui ettevõte satub tõsise küberrünnaku alla, tuleb sellest kiiresti teavitada vastavat järelevalveasutust, Eestis Riigi Infosüsteemi Ametit (RIA). See aitab tagada, et rünnakutele reageeritakse kiiresti ning need ei jää varjatuks.
Domeeniregistripidajate ja muude digiteenuste osutajate jaoks on lisandumas ka täiendavad andmete kogumise ja haldamise nõuded, et vältida pahatahtlikke registreeringuid ning tagada teenuste suurem usaldusväärsus.
Maksimaalsed trahvid ja isiklik vastutus
NIS2 kehtestab selged sanktsioonid nendele ettevõtetele, kes ei täida küberturbenõudeid. Siinjuures on oluline täpsustus: trahvide määr sõltub sellest, kas ettevõte on elutähtis või oluline üksus. Elutähtsatele üksustele kehtivad maksimaalsed trahvid kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest (olenevalt sellest, kumb on suurem). Oluliste üksuste puhul on need summad väiksemad: kuni 7 miljonit eurot või 1,4% ülemaailmsest aastakäibest.
Seega ei ole 10 miljoni euro suurune trahv ühtlaselt rakendatav kõigile reguleeritavatele ettevõtetele. Direktiiv võimaldab ka juhtorganeid isiklikult vastutusele võtta, kui nad ei suuda tagada küberturvalisuse meetmete järgimist. Kuid oluline on märkida, et NIS2 ei sätesta konkreetseid isiklikke trahve eurodes. Varem meediast läbi käinud viiteid 2400-eurosele trahvile pärinevad tõenäoliselt Eesti õigusloome plaanidest ning ei ole otseselt EL-i tasemel paika pandud.
Hetkel kuum
Töötajad pakkusid hoopis teenust
Mida see tähendab tavakasutajale?
Kuigi NIS2 puudutab peamiselt ettevõtteid, mõjutab see otseselt ka tavakasutajaid, kes igapäevaselt erinevaid digiteenuseid tarbivad. Zone klientide vaatest toome ära mõned olulisemad mõjutajad:
- Turvalisemad teenused – Rangemad küberturbenõuded tähendavad, et kasutajate isikuandmeid ja finantsteavet kaitstakse paremini.
- Kiirem reageerimine küberrünnakutele – Kui teenusepakkuja satub näiteks rünnaku alla, siis on neil kohustus sellest kiiresti teada anda ja võtta kasutusele meetmed kahju minimeerimiseks. See tähendab, et lõppkasutajaid hoiatatakse kiiremini ja võimalikud riskid saavad kiirema lahenduse.
- Vähem pettusi ja andmeleketega seotud riske – Domeenide registreerimise ja andmehalduse karmimad nõuded vähendavad pettusi ning muudavad veebikeskkonna läbipaistvamaks ja turvalisemaks.
Kuidas meie kohaneme?
NIS2 nõuetele vastavuse tagamiseks oleme rakendanud täiendavaid küberturvameetmeid. Domeeni registreerimise protsessid muutuvad turvalisemaks, lisame uusi kontrollimehhanisme, mis aitavad avastada ja ennetada valeandmetega registreerimisi. Kui ilmneb ebakõlasid, siis võtame kliendiga ühendust ja vajadusel suuname ta isikutuvastuse protsessi.
Lisaks võtame välistmaiste registreerijate puhul kasutusele turvalisema isikutuvastuse lahenduse, mis põhineb Eesti domeeniregistri (EIS) ja Veriffi koostöös juurutatud eeID-lahendusel. See asendab varasema PayPal Verified süsteemi ning aitab tagada, et domeene registreerivad ainult õigustatud isikud.
Hädavajalik osa kaasaegses digikeskkonnas
NIS2 direktiiv on üks viimaste aastate olulisemaid küberturvalisuse muudatusi. See sunnib ettevõtteid oma digiturvalisuse taset oluliselt tõstma, seab selged vastutusnõuded ja loob parema kaitse nii teenusepakkujatele kui ka lõppkasutajatele.
Kuigi regulatsioon võib tunduda mahukas, annab see ka konkurentsieelise – organisatsioonid, kes varakult kohanevad, mitte ainult ei täida seadust, vaid pakuvad ka turvalisemaid ja usaldusväärsemaid teenuseid. Küberturvalisus pole enam lisaväärtus – see on hädavajalik osa kaasaegsest digikeskkonnast.
Enimloetud
1
Poeketile esitati 40 nõuet ja määrati ligi 40 000 eurot sunniraha
Viimased uudised
Vaata interaktiivset kaarti
72 akadeemilist tundi, millest 32 ak/h auditoorne õpe ja 40 ak/h iseseisev e-õpe
Hetkel kuum
Poeketile esitati 40 nõuet ja määrati ligi 40 000 eurot sunniraha
Liitu uudiskirjaga
Telli uudiskiri ning saad oma postkasti päeva olulisemad uudised.
Podcastid
Tagasi Äripäeva esilehele
Vana-Lõuna 39/1, 19094 Tallinn
(+372) 667 0111
online@aripaev.ee