mis on NIS2 raames kohustus tavakeeles

Kümme konkreetset meetmett küberjuhtimisriskide ohjamiseks

Hoolduskohustus tähendab, et organisatsioon võtab sobivaid meetmeid oma võrgu- ja infoallikate kaitsmiseks ning suudab näidata, milliseid meetmeid see on võtnud. Ei ole tegemist ühe dokumendiga või ühe märkeruuduga, vaid kümne teema kogumiga, mis koos moodustavad aluse: riskianalüüsist ja poliitikast kuni tarnijatega toimetulekuni, krüpteerimiseni, juurdepääsukontrollini ja selleni, mis juhtub intsidendi korral. Kes on Küberbeveiligusseaduse alusel kohustatud, peab nendel kümnel teemal midagi korraldanud olema — ja mitte ainult paberil, vaid ka praktikas.

Oluline detail: hoolduskohustus ei ole fikseeritud loend kohustuslikest tehnilistest toodetestest. Sõna "sobiv" on selle puhul määrav — see, mis on sobiv suure energiabüroo jaoks, näeb välja teisiti kui see, mis on sobiv keskmise suurusega tarkvara tarnija jaoks. Organisatsiooni suurus, andmete tundlikkus ja oht, mida häire või intsidendi korral kaasa tuleb, mängivad rolli. Ülevaade millised kümme abinõu pean ma NIS2 järgi võtma näitab, kuidas need teemad sisuliselt välja näevad. Kes juba töötab juhtsüsteemiga nagu ISO/IEC 27001, tunnistab palju neist teemadest kontrollimeetmetes tagasi Lisas A — kuigi see iseenesest ei ole garantii, et hoolduskohustusest on üle saadud, nagu on ka selgitatud kas mul on jätkuvalt vaja ISO 27001 sertifikaati, kui ma juba NIS2 nõuetega vastan.

Kust see tuleb: NIS2 artikkel 21 ja Küberbeveiligusseadus

Hoolduskohustus ja kümme meetmet on kirjeldatud NIS2 direktiivi artiklis 21, lõikes 2; Küberbeveiligusseadus paneb selle kohustuse toime Eesti õiguse alusel organisatsioonidele, kes selle alla kuuluvad. NCSC annab lisaks juhiseid selle kohta, kuidas hoolduskohustus ja teatamiskohustus praktikas seostuvad. Kas organisatsioon peab ise selle kohustusega tegelema, sõltub sektorist ja suurusest — seda saab tuletada kuidas teada saada, kas minu ettevõte kuulub NIS2 regulatsiooni alla.