NIS2 ja Eesti ettevõtted – mida teilt tegelikult nõutakse

NIS2-direktiiv (EL 2022/2555) asendab esimese NIS-direktiivi ja laiendab nende organisatsioonide ringi, kes peavad täitma selgesõnalisi küberturvalisuse nõudeid. Lühidalt: kohaldamisalasse kuulub rohkem ettevõtteid, nõuded on konkreetsemad ja vastutus liigub juhtkonna tasandile.

Siin on, mida regulatsioon praktikas tähendab – ja kust tasub alustada.

Kas olete kohaldamisalas?

Kaks küsimust otsustavad: millises sektoris tegutsete ja kui suured olete.

Sektorid jagunevad praktikas kahte rühma. Ühte kuuluvad muu hulgas energia, transport, panga- ja finantsturg, tervishoid, joogivesi, reovesi, digitaalne taristu, IKT-teenuste haldamine ja kosmos. Teise kuuluvad muu hulgas posti- ja kullerteenused, jäätmekäitlus, kemikaalid, toit, tootmine, digiteenuse osutajad ja teadus.

Suuruse osas lähtub regulatsioon peamiselt keskmistest ja suurtest ettevõtetest – kuid olulisi erandeid on. Teatud osalejad on kohaldamisalas suurusest sõltumata, näiteks kvalifitseeritud usaldusväärsed teenuseosutajad, üldkasutatavate elektrooniliste side teenuste osutajad ja keskse DNS-teenuse osutajad. Ka väiksemad ettevõtted võivad olla kohaldamisalas, kui nad on ühiskonna jaoks kriitilise teenuse ainus osutaja.

Järeldus: tehke dokumenteeritud hinnang sektori, suuruse ja võimalike erireeglite kohta. Kui olete ebakindel, lähtuge sellest, et võite olla kohaldamisalas, ja kontrollige seda – see on odavam kui avastada järelevalve käigus.

Nõuded sisuliselt

NIS2 ei ole tootenimekiri. See on nõue infoturbe juhtimissüsteemile järgmiste põhivaldkondadega:

• Riskianalüüs ja turvapoliitika, mis on dokumenteeritud ja mida tegelikult järgitakse.
• Intsidentide käsitlemine määratletud rollide, eskaleerimisteed ja õppustega.
• Tegevuse järjepidevus – varundus, taastamine ja plaan kriitiliste funktsioonide käigushoidmiseks.
• Tarnijaahel – vastutate teie kasutatavate tarnijate turvalisuse eest, mitte ainult enda oma.
• Haavatavuste haldamine ja uuendused, sealhulgas rutiin teadaolevate haavatavustega tegelemiseks.
• Mitmefaktoriline autentimine ja side kaitse seal, kus see on asjakohane.
• Koolitus juhtkonnale ja töötajatele.
• Krüpteerimine seal, kus see on otstarbekas.

Teatamine on kõige karmim tähtaeg

Intsidentidest teatamine on osa, mida hinnatakse kõige sagedamini alla, sest kell tiksub vastu. Oluline intsident tuleb NIS2 kohaselt teatada mitmes etapis: varajane hoiatus 24 tunni jooksul, intsidenditeade 72 tunni jooksul ja lõpparuanne kuu jooksul.

Praktikas tähendab see, et te ei saa rutiini intsidendi ajal välja mõelda. Teil on vaja:

1. Määratlust, mis on oluline intsident, mis on äritegevuses juurdunud.
2. Nimetatud isikut, kes saab varajase hoiatuse saata – ka kell kolm öösel.
3. Malli ja kontakttee järelevalveasutuseni, valmis enne, kui seda vaja läheb.
4. Logimist, mis võimaldab 72 tunni jooksul kirjeldada, mis juhtus.

Juhtkonna vastutus

Üks olulisemaid muudatusi on see, et juhtkond ei saa vastutust delegeerida. Juhtkond peab riskijuhtimismeetmed heaks kiitma, nende rakendamist jälgima ja läbima küberturvalisuse koolituse. Raskete rikkumiste korral võivad sanktsioonid olla suunatud organisatsioonile – ja teatud juhtudel juhtivtöötajatele.

Praktikas tähendab see, et NIS2 on juhtkonna, mitte IT küsimus. Hea esimene samm on võtta küberrisk päevakorda püsiva punktina: milline on meie kriitilisim süsteem, mis juhtub, kui see seisab 72 tundi, ja kes vastutab?

Kust tasub alustada

1. Kohaldamisala hinnang. Sektor, suurus ja erireeglid – dokumenteeritult.
2. Lünkade analüüs ülaltoodud nõuete vastu. Kus on poliitika, kus on ainult kavatsus?
3. Intsidendirutiin kõigepealt. Sellel on kõige karmim tähtaeg ja see on odavaim parandada.
4. Tarnijate nimekiri. Millistel kolmandatel osapooltel on juurdepääs teie kriitilistele süsteemidele ja milliseid turvanõudeid te neile lepingutes seate?
5. Juhtkonna kinnitus. Otsused, vastutus ja koolitus – dokumenteeritult.

Tehke seda selles järjekorras. Regulatsiooni nõuded on sisuliselt sama töö, mis tegelikult riski vähendab – erinevus on selles, et nüüd peab see olema dokumenteeritud, omandatud ja näidatav.