NIS2, küberturvalisuse seadus ja teie tarkvaratarnijad: mida kumbki pool tegema peab

01Kus NIS2 ja küberturvalisuse seadus 2026. aasta sügisel seisavad

NIS2 direktiiv (avab välise veebisaidi), direktiiv (EL) 2022/2555, avaldati Euroopa Liidu Teatajas 27. detsembril 2022 ja jõustus 16. jaanuaril 2023. Liikmesriigid pidid riigisisesed meetmed vastu võtma ja avaldama 17. oktoobriks 2024 ning neid kohaldama alates 18. oktoobrist 2024, päevast, mil esimene NIS direktiiv kehtetuks tunnistati.

Kuna NIS2 on direktiiv, seob organisatsiooni seda üle võttev riigisisene õigus. Ülevõtmine on olnud ebaühtlane ja Euroopa Komisjon on algatanud rikkumismenetlusi liikmesriikide vastu, kes tähtajast mööda läksid. Eestis võeti NIS2 üle küberturvalisuse seaduse (avab välise veebisaidi) (KüTS) muudatusega, mis jõustus 1. jaanuaril 2026. Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet (RIA) ning riiklik intsidentidele reageerimise üksus (CSIRT) on RIA juures tegutsev CERT-EE. Kui tegutsete ka teistes riikides, erinevad registreerimiskohustused, teavitusportaalid ja järelevalveasutused riigiti.

02Olulised ja tähtsad üksused

NIS2 kohaldub avaliku ja erasektori üksustele I lisa sektorites (kõrge kriitilisusega: energeetika, transport, pangandus, finantsturu taristu, tervishoid, joogivesi, reovesi, digitaristu, IKT-teenuste haldamine, avalik haldus ja kosmos) ning II lisa sektorites (muud kriitilised sektorid: posti- ja kullerteenused, jäätmekäitlus, kemikaalid, toit, tootmine, digiteenuse osutajad ja teadusuuringud). Üldjuhul hõlmab see keskmise suurusega ja suuri organisatsioone. Mõni üksus kuulub kohaldamisalasse olenemata suurusest, näiteks usaldusteenuse osutajad, DNS-teenuse osutajad ja keskvalitsuse üksused.

Artikkel 3 jagab need organisatsioonid kahte kategooriasse:

• Olulised üksused: peamiselt suured organisatsioonid I lisa sektorites ning üksused, mis on olulised olenemata suurusest, näiteks kvalifitseeritud usaldusteenuse osutajad, tippdomeeni registrid, DNS-teenuse osutajad ja keskvalitsuse üksused. Nende üle tehakse ennetavat järelevalvet, mis võib hõlmata auditeid ja kohapealseid kontrolle.
• Tähtsad üksused: muud I ja II lisa kohaldamisalasse kuuluvad organisatsioonid. Järelevalve on järelkontroll: asutus sekkub, kui on märke, et üksus nõudeid ei täida.

Mõlemal kategoorial on samad põhikohustused: riskijuhtimismeetmed (artikkel 21), intsidentidest teavitamine (artikkel 23) ja juhtorgani vastutus (artikkel 20). Erinevus on järelevalves ja trahvides. Artiklite 21 või 23 rikkumise eest peab riigisisene õigus võimaldama olulistele üksustele maksimaalset trahvi vähemalt 10 miljonit eurot või 2% ülemaailmsest aastakäibest ning tähtsatele üksustele vähemalt 7 miljonit eurot või 1,4%, olenevalt sellest, kumb on suurem. Liikmesriigid otsustavad, kas ja mil määral kohaldatakse trahve avaliku halduse üksustele.

Kas teie tarkvaratarnija kuulub ise kohaldamisalasse?

Tarkvara kirjutamine ei ole iseenesest NIS2 sektor. Tarnija võib siiski kuuluda kohaldamisalasse otse. I lisa hõlmab hallatud teenuse osutajaid ja NIS2 määratleb need laialt: üksused, mis paigaldavad, haldavad, käitavad või hooldavad klientide jaoks IKT-tooteid, -võrke, -taristut või -rakendusi kohapeal või kaugelt. Keskmise suurusega või suurem tarnija, kes käitab või hooldab oma klientide rakendusi, võib seega ise NIS2 alla kuuluda, nagu ka pilvandmetöötluse ja andmekeskuse teenuse osutajad. Nende teenuseosutajate tehnilised nõuded on üksikasjalikult sätestatud rakendusmääruses (EL) 2024/2690 (avab välise veebisaidi).

Enamik tarkvaratarnijaid puutub NIS2-ga siiski kokku oma klientide kaudu, kes muudavad oma tarneahela kohustuse lepingutingimusteks, küsimustikeks ja auditeiks. Tarkvaratooteid hõlmab ka küberkerksuse määrus (avab välise veebisaidi), määrus (EL) 2024/2847: selle teavitamiskohustused aktiivselt ära kasutatavate turvanõrkuste ja raskete intsidentide kohta kehtivad alates 11. septembrist 2026 ja ülejäänud kohustused alates 11. detsembrist 2027.

03Artikli 21 kümme miinimummeedet

Artikkel 21 nõuab asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke meetmeid, mis põhinevad kõiki ohte arvestaval lähenemisel. Need peavad arvestama tehnika taset ning asjakohaseid Euroopa ja rahvusvahelisi standardeid ning olema proportsionaalsed üksuse riskidega kokkupuute, suuruse ja intsidentide tõenäolise raskusega. Need hõlmavad vähemalt järgmist:

1. 01riskianalüüsi ja infosüsteemide turvalisuse põhimõtted;
2. 02intsidentide käsitlemine;
3. 03talitluspidevus, näiteks varukoopiate haldus ja avariitaaste, ning kriisijuhtimine;
4. 04tarneahela turvalisus, sealhulgas turvalisusega seotud aspektid suhetes otseste tarnijate ja teenuseosutajatega;
5. 05turvalisus võrgu- ja infosüsteemide hankimisel, arendamisel ja hooldamisel, sealhulgas turvanõrkuste käsitlemine ja avalikustamine;
6. 06põhimõtted ja menetlused meetmete tõhususe hindamiseks;
7. 07küberhügieeni põhitavad ja küberturvalisuse koolitus;
8. 08krüptograafia ja asjakohasel juhul krüpteerimise põhimõtted ja menetlused;
9. 09personaliturve, juurdepääsukontrolli põhimõtted ja varahaldus;
10. 10mitmikautentimine või pidev autentimine ning turvatud kõne-, video- ja tekstisides ja hädaolukorra side, kui see on asjakohane.

Punktides 4 ja 5 tulevad mängu tarnijad. Artikli 21 lõige 3 nõuab, et üksused võtaksid arvesse iga otsese tarnija eripäraseid turvanõrkusi, tema toodete ja küberturvalisuse tavade üldist kvaliteeti ning tema turvalise arenduse menetlusi. Teie kliendid peavad vaatama, kuidas te tarkvara ehitate, mitte ainult seda, mida te üle annate.

04Juhtorgan kinnitab, teeb järelevalvet ja vastutab

Artikli 20 järgi peavad oluliste ja tähtsate üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed heaks kiitma, nende rakendamise üle järelevalvet tegema ning neid võib rikkumiste eest vastutusele võtta. Juhtorgani liikmed peavad läbima koolituse ja üksusi julgustatakse koolitama korrapäraselt ka oma töötajaid. Avaliku sektori asutustele kehtivad edasi riigisisesed reeglid avalike asutuste ja ametnike vastutuse kohta.

See muudab vestlust tarnijatega. Juhatus, kes peab meetmed heaks kiitma, tahab tõendeid, millest ta aru saab: millised tarnijad toetavad milliseid teenuseid, millised riskid jäävad alles ja mida on päriselt testitud.

05Intsidentidest teavitamine: 24 tundi, 72 tundi, üks kuu

Artikkel 23 nõuab, et üksused teavitaksid olulistest intsidentidest oma CSIRT-i või pädevat asutust; Eestis on need CERT-EE ja RIA. Intsident on oluline, kui see on põhjustanud või võib põhjustada üksusele tõsiseid talitlushäireid või rahalist kahju või teistele märkimisväärset materiaalset või mittemateriaalset kahju. Teavitamine toimub etappidena:

Asjakohasel juhul peavad üksused ka oma teenuste saajaid põhjendamatu viivituseta teavitama olulistest intsidentidest, mis võivad neid teenuseid mõjutada. Riigisisene õigus lisab oma vormid ja kanalid.

Kell hakkab käima siis, kui üksus intsidendist teada saab. Kui intsident algab tarnija süsteemis, suudab klient 24 tunni tähtaega järgida ainult siis, kui tarnija selle tuvastab, ära tunneb ja mõne tunni jooksul edasi annab. Tuvastamine, logimine ja kokkulepitud teavituskanal on seega lepingutingimused, mitte ainult tehnilised üksikasjad.

06Mida NIS2 alla kuuluv klient oma tarkvaratarnijalt küsib

Praktikas muutub artikkel 21 tehnilisteks meetmeteks ja tõenditeks, mida tarnija peaks suutma näidata ilma uut projekti alustamata. Kõige sagedamini näeme järgmisi:

• Turvaline arenduse elutsükkel. Ohumodelleerimine oluliste muudatuste puhul, kolleegide ülevaatus, automaatsed turvatestid ja sõltuvuste skaneerimine töövoos, allkirjastatud järgud ja iga väljalaske tarkvara koostisosade loetelu (SBOM).
• Turvanõrkuste käsitlemine ja avalikustamine. Avaldatud viis turvanõrkustest teatamiseks, raskusastme järgi kokkulepitud reageerimisajad ja teade kliendile, kui turvanõrkus mõjutab tema keskkonda.
• Tarnija töötajate juurdepääsukontroll. Isikustatud kontod, mitmikautentimine, minimaalsed õigused, ajaliselt piiratud kõrgendatud juurdepääs ja logi iga haldustoimingu kohta kliendi keskkonnas.
• Logimine ja intsidendi tõendid. Turvalisuse seisukohalt olulised sündmused logitakse usaldusväärsete ajatemplitega, säilitatakse kokkulepitud aja ja on eksporditavad, et klient saaks vastata varajase hoiatuse ja lõpparuande küsimustele.
• Koostöö intsidentide korral. Nimetatud kontaktisik ja kanal, teavitusaeg, mis jääb selgelt kliendi 24 tunni sisse, ning abi algpõhjuse analüüsil.
• Talitluspidevus ja taaste. Varukoopiad, mille toimimist on taastamisega tõendatud, kliendi omadega kooskõlas olevad taasteeesmärgid ja harjutatud menetlus.
• Tarneahela dokumentatsioon. Ajakohane loetelu alltöövõtjatest ja majutuskohtadest ning peamistest kolmandate osapoolte komponentidest ja teenustest, millest lahendus sõltub.
• Väljumisplaan. Andmete eksport kasutatavates vormingutes, dokumentatsioon ja üleandmise tugi, et klient saaks tarnijat vahetada teenuse üle kontrolli kaotamata.

Küpsete arendusmeeskondade jaoks ei ole siin midagi uut. NIS2 muudab seda, et klient peab suutma seda tõendada. Lehel Usaldus ja vastavus kirjeldame, kuidas me tarnijana töötame, sealhulgas meie ISO/IEC 27001 sertifikaadiga infoturbe juhtimissüsteemi.

07Kontrollnimekiri lepingute ja hangete jaoks

1. 01Siduge tarnijad teenustega. Pange kirja, millised tarnijad toetavad milliseid kohaldamisalasse kuuluvaid teenuseid ja kellel on juurdepääs teie süsteemidele või andmetele.
2. 02Liigitage kriitilisuse järgi. Rakendage kõige rangemaid nõudeid tarnijatele, kes käitavad kriitilisi süsteeme või saavad neid muuta.
3. 03Kirjutage meetmed lepingusse. Turvanõuded, intsidendist teavitamise aeg ja kanal, turvanõrkuste käsitlemine, logimine ja säilitamine, auditi- või tõendite nõudmise õigus, alltöövõtu reeglid ja asukohad. Riigihankes esitage need hankedokumentides nii, et pakkuja saab neile punkt-punktilt vastata.
4. 04Küsige tõendeid, mitte kinnitusi. Sertifikaadid koos ulatusega, testitulemused, SBOM, viimase taastetesti kuupäev.
5. 05Leppige väljumine kokku ette. Andmete tagastamine, ülemineku tugi ja periood, mille jooksul tarnija teenust edasi käitab.
6. 06Harjutage koos. Korraldage oma kriitiliste tarnijatega intsidendiõppus, sealhulgas 24 tunni varajane hoiatus.
7. 07Vaadake korrapäraselt üle. Tarnijad, teenused ja ohud muutuvad; kord aastas uuendatud tarnijate register on suurema osa aastast aegunud.

08Üksikasjad otsustab riigisisene õigus

Registreerimine, teavitusportaalid, vormid, pädev asutus ja võimalikud lisanõuded tulenevad riigisisesest õigusest. Eestis on selleks küberturvalisuse seadus: kohaldamisalasse kuuluvad üksused registreerivad end ise RIA juures, RIA on pädev asutus ja ühtne kontaktpunkt ning intsidentidele reageerib CERT-EE. Üldjuhul kuulub üksus selle liikmesriigi alla, kus ta on asutatud. Artikkel 26 teeb erandeid: üldkasutatavate elektroonilise side teenuste osutajad kuuluvad iga riigi alla, kus nad teenust osutavad, pilve-, andmekeskuse- ja hallatud teenuste osutajad ning mitu muud digiteenuse osutajat oma peamise tegevuskoha riigi alla ja avaliku halduse üksused need asutanud riigi alla. Eesti eksportijale, kel on tütarettevõtted teistes ELi riikides, tähendab see, et sama grupi eri üksustele võivad kehtida eri riikide reeglid.

09Mida lähikuudel jälgida

• Küberturvalisuse seaduse rakendamine: RIA juhised, registreerimine ja võimalikud rakendusaktid.
• Komisjoni 19. novembri 2025 digitaalomnibussi ettepanek (avab välise veebisaidi), COM(2025) 837, mis suunaks NIS2, isikuandmete kaitse üldmääruse, DORA ja teiste õigusaktide kohased intsidenditeated ENISA hallatava ühtse kontaktpunkti kaudu. Oktoobris 2026 oli see veel Euroopa Parlamendi menetluses (avab välise veebisaidi)); kuni seda pole vastu võetud ega kohaldata, kehtivad praegused kanalid ja tähtajad.
• Kriitiliste IKT-tarneahelate koordineeritud ELi riskihindamised artikli 22 alusel, mida üksused peavad tarnijameetmete valikul arvesse võtma.
• Küberkerksuse määruse ajakava tarkvaratoodetele, täielik kohaldamine alates 11. detsembrist 2027.

Finantssektori ettevõtjate puhul asendab finantssektori digitaalse tegevuskerksuse määrus NIS2 reeglid IKT-riskide juhtimise, intsidentidest teavitamise ja järelevalve kohta; vt meie artiklit DORA ja kolmandast isikust IKT-teenuste osutajad. Komisjon hoiab NIS2 ja selle rakendusaktide ülevaadet oma NIS2 poliitikalehel (avab välise veebisaidi).