NIS2 direktiivi ehk direktiivi (EL) 2022/2555 artikkel 21 sätestab minimaalsed küberturvameetmed, mida üliolulised ja olulised üksused peavad rakendama. See on kirjutatud nagu pealkirjade loetelu, mis jätab palju tõlgendusruumi selle kohta, mis on „piisavalt hea“. See artikkel käsitleb iga meedet praktilises võtmes ja seejärel artikli 23 teavitamistähtaegu.
See on direktiivi enda tõlgendus. Iga liikmesriik võtab selle üle oma õigusaktidega, mis võivad lisada üksikasju, seega kontrollige reegleid ja pädevat asutust igas riigis, kus tegutsete.
Kas see kehtib teie kohta?
NIS2 hõlmab üldjuhul keskmise suurusega ja suuri organisatsioone selle I ja II lisas loetletud sektorites. Suurus määratakse ELi VKE määratluse järgi, mille kohaselt on väikeettevõttes alla 50 töötaja ning käive või bilansimaht kuni 10 miljonit eurot. Praktikas, kui teil on 50 või rohkem töötajat või nii käive kui ka bilansimaht ületavad 10 miljonit eurot, olete vähemalt keskmise suurusega.
Mõned üksused kuuluvad artikli 2 lõike 2 alusel kohaldamisalasse suurusest olenemata. Näiteks avalike elektrooniliste sidevõrkude või -teenuste pakkujad, usaldusteenuse osutajad, tippdomeeni registrid ja DNS-teenuse pakkujad.
Üksused on kas üliolulised või olulised (artikkel 3). Artikli 21 meetmed on mõlemale samad. Erinevus ilmneb järelevalves, mis on oluliste üksuste puhul peamiselt järelkontroll (artikkel 33), ja artikli 34 kohastes trahvide ülemmäärades. Ülioluliste üksuste puhul peavad liikmesriigid kehtestama ülemmääraks vähemalt 10 miljonit eurot või 2% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Oluliste üksuste puhul on need näitajad 7 miljonit eurot või 1,4%.
Väljaspool ELi, sealhulgas Türgis asuvatele lugejatele on olulised kaks asjaolu. Artikli 26 lõike 3 kohaselt peavad teatavad digiteenuse pakkujad määrama ELis esindaja, kui nad pakuvad seal teenuseid, ilma et neil oleks seal asukohta. Nende hulka kuuluvad pilve-, andmekeskuse-, haldus- ja hallatud turbeteenuste pakkujad. Lisaks tunnevad kohaldamisalasse kuuluvate üksuste tarnijad artikli 21 mõju oma klientide lepingute ja küsimustike kaudu.
Artikli 21 lõike 2 kümme meedet
Artikli 21 lõige 1 nõuab meetmeid, mis on „asjakohased ja proportsionaalsed“. Need peavad arvestama tehnika taset, asjakohaseid standardeid, kulusid, üksuse suurust ja riskidele avatust ning intsidentide tõenäosust ja raskust. Artikli 21 lõike 2 järgi peavad need põhinema kõiki ohte arvestaval lähenemisviisil ja hõlmama vähemalt järgmist.
a) Riskianalüüs ja infosüsteemide turvapoliitikad
Pange kirja, mida on vaja kaitsta, mis võib valesti minna ja mida olete otsustanud sellega teha. 200 töötajaga ettevõtte puhul tähendab see varade loetelu, vähemalt kord aastas üle vaadatavat riskiregistrit ja lühikest turvapoliitikat, mille juhtkond on allkirjastanud.
b) Intsidentide käsitlemine
Omage kirjalikku protsessi intsidentide tuvastamiseks, esmaseks hindamiseks ja neile reageerimiseks, koos nimeliste vastutajate ja tööajavälise kontaktiga. Lisage sinna artikli 23 kohased teavitamissammud, et keegi ei peaks tähtaegu intsidendi ajal välja selgitama.
c) Talitluspidevus, varukoopiad, avariitaaste ja kriisiohjamine
Teadke, millised teenused on kõige olulisemad ja kui kaua saate ilma nendeta hakkama. Hoidke varukoopiaid, mida administraatoriõigustega ründaja kustutada ei saa, ja testige taastamist kindla ajakava järgi. Korraldage juhtkonnaga vähemalt üks lauaõppus.
d) Tarneahela turvalisus
Loetlege tarnijad ja teenusepakkujad, kes võivad teie süsteeme mõjutada, näiteks teie IT-haldusteenuse pakkuja, pilve- ja SaaS-teenuste pakkujad ning tarkvaratootjad. Artikli 21 lõige 3 nõuab, et arvestaksite iga otsese tarnija konkreetseid haavatavusi, toodete kvaliteeti ja turvatavasid, sealhulgas turvalist arendust. Praktikas kirjutage turvanõuded ja intsidentidest teavitamise kohustused lepingutesse.
e) Turvalisus hankimisel, arendamisel ja hooldamisel, sealhulgas haavatavuste käsitlemine ja avalikustamine
Paigake kindla ajakava järgi, jälgige haavatavusi selles, mida ehitate ja ostate, ning andke kõrvalistele isikutele võimalus teile probleemidest teatada. Viimase punkti katavad avaldatud security.txt fail ja lihtne avalikustamispoliitika.
f) Nende meetmete tõhususe hindamine
Kontrollige, et turvameetmed toimivad, selle asemel et seda eeldada. Arvesse lähevad siseauditid, haavatavuste skannimine, läbistustestid ja taastamistestid, kui leide jälgitakse kuni nende sulgemiseni.
g) Küberhügieeni põhitavad ja koolitus
Katke põhitõed kõikjal: uuendused, turvaline seadistus, vähimate õiguste põhimõte ja kasutamata kontode eemaldamine. Koolitage kõiki töötajaid regulaarselt, vähemalt õngitsusteadlikkuse osas. Artikli 20 lõige 2 nõuab eraldi, et juhtorganite liikmed läbiksid koolituse.
h) Krüptograafia ja krüpteerimine
Otsustage, kus on krüpteerimine nõutav, näiteks sülearvutid, varukoopiad, edastatavad andmed ja salvestatud tundlikud andmed. Otsustage, millised algoritmid ja protokolliversioonid on vastuvõetavad ning kes haldab võtmeid ja sertifikaate.
i) Personaliturve, juurdepääsu kontrolli poliitikad ja varahaldus
Rakendage töötajate liitumise, ametikoha muutmise ja lahkumise protsesse, mis eemaldavad juurdepääsu tegelikult viimasel tööpäeval. Vaadake privilegeeritud kontod regulaarselt üle. Pidage varade registrit, millel on omanik, kes seda uuendab.
j) Mitmikautentimine või pidev autentimine, turvatud side ja hädaolukorra side
Kasutage mitmikautentimist kaugjuurdepääsu, e-posti, pilve haldamise ja privilegeeritud kontode puhul. Leppige kokku hädaolukorra sidekanal, mis ei sõltu teie enda e-postist ega vestluskeskkonnast, sest intsidendi ajal võivad need olla rivist väljas või jälgitavad.
Juhtkond vastutab
Artikkel 20 nõuab, et juhtorganid kinnitaksid riskijuhtimismeetmed ja jälgiksid nende rakendamist. Juhtorganeid saab võtta vastutusele, kui üksus rikub artiklit 21. Nende liikmed peavad läbima koolituse ning liikmesriigid peavad julgustama üksusi pakkuma sarnast koolitust regulaarselt ka töötajatele.
Praktikas võtke küberturve juhatuse päevakorda vähemalt kord kvartalis. Dokumenteerige otsused, sealhulgas riskid, mille juhtkond on aktsepteerinud.
Artikli 23 teavitamistähtajad
Olulise mõjuga intsident on intsident, mis on põhjustanud või võib põhjustada üksusele tõsiseid talitlushäireid või rahalist kahju või teistele märkimisväärset materiaalset või mittemateriaalset kahju. Nendest intsidentidest tuleb CSIRT-ile või pädevale asutusele teatada etappide kaupa:
| Etapp | Tähtaeg | Sisu |
|---|---|---|
| Esmane teade | 24 tunni jooksul teadasaamisest | Kas kahtlustatakse ebaseaduslikku või pahatahtlikku tegevust ja võimalikku piiriülest mõju |
| Intsidenditeade | 72 tunni jooksul teadasaamisest | Esmase teate täiendus, raskusastme ja mõju esialgne hinnang ning võimaluse korral kompromiteerimise tunnused |
| Vahearuanne | Nõudmise korral | Asjakohased olukorra uuendused |
| Lõpparuanne | Ühe kuu jooksul pärast intsidenditeadet | Üksikasjalik kirjeldus, tõenäoline algpõhjus, rakendatud ja käimasolevad leevendusmeetmed, piiriülene mõju |
| Eduaruanne | Kui intsident on lõpparuande tähtajaks veel käimas | Olukord, millele järgneb lõpparuanne ühe kuu jooksul pärast intsidendi lahendamist |
Usaldusteenuse osutajatel on lühem tähtaeg. Nende usaldusteenuseid mõjutavate intsidentide puhul tuleb teise rea teade esitada 24 tunni jooksul. Vajaduse korral peavad üksused teavitama ka oma teenuste saajaid olulise mõjuga intsidentidest, mis võivad neid mõjutada.
Need tähtajad kulgevad paralleelselt teiste kohustustega. Isikuandmeid mõjutava lunavararünnaku puhul võib olla vaja ka isikuandmete kaitse üldmääruse (IKÜM) artikli 33 kohast teadet andmekaitseasutusele, võimaluse korral 72 tunni jooksul.
Proportsionaalne, dokumenteeritud, tõendatud
Artikkel 21 ei nõua konkreetset standardit. Kui teil on juba kasutusel ISO/IEC 27001, on selle meetmete vastendamine kümne meetmega mõistlik lähtekoht. Teatavate digiteenuse pakkujate jaoks sätestab üksikasjalikud tehnilised nõuded komisjoni rakendusmäärus (EL) 2024/2690 ning ENISA 2025. aasta juuni tehnilised rakendusjuhised pakuvad tõendite ja vastenduste näiteid. Isegi kui see määrus teie kohta ei kehti, näitavad juhised, kuidas tõendid välja näevad.
Mida iganes valite, säilitage tõendid: kinnitamiskuupäevadega poliitikad, koolituste andmed, testiaruanded, taastamislogid ja juhtkonna tehtud riskiotsused. Artikli 21 lõike 4 kohaselt peab üksus, kes leiab, et ta ei vasta nõuetele, võtma põhjendamatu viivituseta parandusmeetmeid.
Kust alustada
- Kontrollige oma riigi õiguse alusel, kas kuulute kohaldamisalasse ning kas ülioluliste või oluliste üksuste hulka.
- Tehke ülaltoodud kümne meetme alusel lünkanalüüs. Alustuseks piisab ühest leheküljest meetme kohta.
- Parandage esmalt suure mõjuga lüngad, näiteks puuduv mitmikautentimine, testimata varukoopiad või puuduv intsidentidest teavitamise kord.
- Kirjutage artikli 23 teavitamissammud oma intsidendiplaani koos oma CSIRT-i või asutuse kontaktandmetega.
- Andke juhtkonnale ülevaade, dokumenteerige nende kinnitus ja planeerige nende koolitus.
Meie nõustamismeeskond aitab NIS2 lünkanalüüsiga ja SecAudit vastendab oma vastavusaruannetes WordPressi turvaleiud artikli 21 meetmetega.
