Teie NIS2 vastavusdokumentatsioon
valmis 5 päevaga

Mitmefaktoriline autentimine (MFA)

„Milliste teenuste puhul nõuate MFA-d? E-post, VPN, RDP, võrgu- ja pilvehaldus, privilegeeritud kontod.“

E-posti turvalisus

„Milliseid kontrolle kasutate e-posti võltsimise vastu (SPF, DKIM, DMARC)? Kas olete välja lülitanud pärandprotokollid (IMAP, POP3, turvamata SMTP)?“

Intsidentidele reageerimise plaan

„Milline on Teie intsidentidele reageerimise plaan ja kui kiiresti teavitaksite meid küberturvalisuse intsidendist?“

Alltöövõtt ja tarneahel

„Kas kasutate 4. astme alltöövõtjaid? Kas nõustute lepingutingimustega, mis kohustavad NIS2 nõuete täitmist (kontrollid, rikkumisest teavitamine, auditeerimisõigus)?“

Varukoopiad ja tegevuse järjepidevus

„Kas varukoopiaid tehakse? Kas terviklikkust ja taastamisprotseduure testitakse vähemalt kord aastas?“

Turvalisuse juhtimine

„Kas Teie infoturbepoliitika tugineb tunnustatud raamistikule (NIST, ISO 27001)?“

Keda see puudutab?

Direktiiv on suunatud „keskmise suurusega“ või „suurtele“ ettevõtetele (Euroopa õiguse tähenduses), kes tegutsevad kriitiliseks peetavate sektorite nimekirjas: ühelt poolt energeetika, transport, tervishoid, pangandus, vesi, digivaldkond, avalik haldus; teiselt poolt post, jäätmed, keemia, toiduainetööstus, tootmine, teadusuuringud. Liikmesriik võib hõlmata ka väiksemaid üksusi, kui neil on võtmeroll.

Mida NIS2 Teilt tegelikult nõuab

Selgelt öeldes: kehtestada „proportsionaalsed“ turvameetmed, osata tuvastada oma riske, kaitsta oma andmeid, avastada rünnak, sellele reageerida ja pärast seda taaskäivitada. Lisanduvad ruumide füüsiline turvalisus, juurdepääsu- ja volituste kontroll ning oma teenuseosutajate ja tarnijate turvalisuse kontrollimine.

Probleemi korral täpne ajakava

Kui toimub „oluline“ intsident, tuleb asutust teavitada kolmes etapis: varajane hoiatus 24 tunni jooksul, üksikasjalikum teade 72 tunni jooksul, seejärel lõpparuanne ühe kuu jooksul. Puudutatud kliente tuleb samuti viivitamata teavitada meetmetest, mida nad peavad enda poolel võtma.

Sanktsioonid ilma dramatiseerimata

Trahvide ülempiir on kehtestatud direktiivis: kuni 10 mln € või 2 % ülemaailmsest käibest (kumb on suurem) „oluliste“ üksuste puhul; kuni 7 mln € või 1,4 % ülemaailmsest käibest „tähtsate“ üksuste puhul. Need on seaduslikud ülempiirid, mitte automaatne arve, ja trahv tuleb alles pärast parandusmeetmete astmestikku - vt täpsemalt allpool.

Meeldejäävad kuupäevad

Direktiiv kehtib alates 16. jaanuarist 2023. Iga liikmesriik pidi oma kohustused riigisisesse õigusesse üle võtma hiljemalt 17. oktoobriks 2024, tegelikuks kohaldamiseks alates 18. oktoobrist 2024, mil varasem NIS1 tunnistati kehtetuks.

Prantsusmaal: kes asja juhib

ANSSI on määratud asutus NIS2 vastavusse viimise toetamiseks. See on avaldanud „Référentiel Cyber France“ (ReCyF, kättesaadav alates 17. märtsist 2026) ning pakub platvormi „MonEspaceNIS2“ ja „ClubSSI“, et aidata ettevõtetel orienteeruda.

Mis toimub juba meie naabritel

Saksamaal märgib ametiasutus BSI, et puudutatud ettevõtete registreerimise seaduslik tähtaeg on juba möödas: need, kes pole seda veel teinud, peavad seda tegema viivitamata. Konkreetne märk, et Euroopa liikumine on juba käimas ja ulatub õigusaktide tekstidest palju kaugemale.

Lihtsustamine on arutlusel

Euroopa Komisjon esitas 2026. aastal ettepaneku („omnibus-pakett“) NIS2 vastavuse leevendamiseks, eriti väikseimate üksuste jaoks: leevendus puudutaks ligikaudu 28 700 ettevõtet, sealhulgas 6 200 mikro- ja väikeettevõtet.

Erakliinik või analüüsilabor

Kuulub I lisa sektorisse „Tervishoid“, kui tegemist on Euroopa õiguse tähenduses tervishoiuasutusega ja see ületab keskmise suuruse läve.

Autotööstuse alltöövõtja või masinatootja

Kuulub II lisa sektorisse „Töötlev tööstus“ (sõidukid, elektriseadmed, masinad, elektroonika) üle suuruslävi.

Pilveteenuse pakkuja või hallatud teenuste ettevõte (MSP/MSSP)

Kuulub I lisa „Digitaristu“ või „IKT-teenuste halduse“ alla: puudutatud alates keskmisest suurusest (tähtis üksus), oluline üksus, kui on suur. Ainus suurusega seotud erand: kui ta on ka kvalifitseeritud usaldusteenuse osutaja, domeeninimede register või DNS-teenuse pakkuja.

Kohalik omavalitsus või piirkondlik avalik-õiguslik asutus

Kuulub I lisa sektorisse „Avalik haldus“, kui liikmesriik selle määrab, eriti kui selle teenuste katkemine mõjutaks oluliselt kriitilisi ühiskondlikke või majandustegevusi.

Toiduainetööstus või hulgimüüja

Kuulub II lisa alla „Toidu tootmine, töötlemine ja turustamine“, kui ta tegeleb hulgimüügi või tööstusliku tootmise/töötlemisega.

Ettevõte „väljaspool 18 sektorit“, kuid puudutatud üksuse tarnija

Ei kuulu otseselt NIS2 reguleerimisalasse, kuid võidakse sinna lepinguga suruda: vt ülal sellel lehel jaotist „Kaudne mõju“.

K. Mis on NIS2 direktiiv ühe lausega?

See on Euroopa õigusakt, mis on alates 18. oktoobrist 2024 asendanud 2016. aasta küberturvalisuse õigusakti: Euroopa Komisjon kirjeldab seda tekstina, mis „tõstab ELi ühist küberturvalisuse ambitsioonitaset laiema reguleerimisala, selgemate reeglite ja tugevdatud järelevalvevahendite abil“.

K. Olen VKE, kas suuruslävi puudutab mind tõesti?

Tekst on esmajoones suunatud Euroopa tähenduses „keskmise suurusega“ või „suurtele“ ettevõtetele, mis on täpne õiguslik kriteerium, viidates soovitusele 2003/361/EÜ (praktikas: alates 50 töötajast või korraga üle 10 mln EUR käibest ja bilansist), kes tegutsevad ühes 18 loetletud sektorist. Sellest allpool ei ole Te põhimõtteliselt otseselt kohustatud, välja arvatud juhul, kui Teie riik hõlmab väiksemaid olulisteks peetavaid üksusi või kui varustate üksust, kes on oluline (kaudne mõju, vt ülal sellel lehel).

K. Kas mind kui juhti võib pidada isiklikult vastutavaks?

Jah, ja see on teksti kõige vähem tuntud punkt: direktiivi ametlik õiguslik kokkuvõte täpsustab, et juhtorgan peab riskijuhtimismeetmed heaks kiitma ja nende rakendamist järgima ning teda võib rikkumise korral pidada vastutavaks. Küberturvalisus ei ole seega vaid IT teema: see on juhtimisküsimus, mis ulatub juhini välja.

K. Kuidas konkreetselt teada saada, kas mu ettevõte peab end registreerima?

Iga liikmesriik peab pidama ajakohast ametlikku olulisete ja tähtsate üksuste nimekirja, mida vaadatakse läbi iga kahe aasta järel (esimene Euroopa tähtaeg: 17. aprill 2025). Prantsusmaal pakub ANSSI tasuta veebipõhist enesehindamise tööriista „MonEspaceNIS2“, mis vastab otse küsimusele „kas see puudutab mind?“.

K. Kas Prantsusmaa on hiljaks jäänud? Mida see mulle täna muudab?

Jah: Prantsuse ülevõtmise seadust ei ole endiselt avaldatud, kuigi Euroopa tähtaeg on ammu möödas. 2026. aasta juulis andis Euroopa Komisjon Prantsusmaa üle Euroopa Liidu Kohtule, kuna ta ei teavitanud oma ülevõtmismeetmetest (vt üksikasjalikku ajakava ülal). Konkreetselt: „Prantsuse NIS2“ sanktsioon ei ole veel võimalik enne dekreedi ilmumist, kuid päeval, mil see ilmub, ei ole juba valmis ettevõtetel midagi järele jõuda.

K. Mis tegelikult muutub võrreldes varasema NIS1-ga?

NIS1 (2016) piirdus energeetika, transpordi, tervishoiu, rahanduse, vee ja digivaldkonnaga. NIS2 laiendab seda reguleerimisala oluliselt: nüüd lisanduvad üldkasutatavad elektroonilised sidevahendid, sotsiaalvõrgustikud ja digiplatvormid, jäätmekäitlus, kriitiliste toodete tootmine, postiteenused ja avalik haldus. Paljud seni radari alt väljas olnud ettevõtted kuuluvad nüüd reguleerimisalasse.

K. Kas väikeste üksuste jaoks on ette nähtud leevendus?

Jah, arutlusel: Euroopa Komisjon esitas 2026. aastal lihtsustamispaketi, et vähendada NIS2-ga seotud halduskoormust, eriti kõige väiksemate üksuste jaoks. Leevendus puudutaks ligikaudu 28 700 ettevõtet, sealhulgas 6 200 mikro- ja väikeettevõtet. Teksti ei ole veel lõplikult vastu võetud: jälgimist väärt, kuid ilma ettevalmistamisega ootamata.

Maksimaalne halduskaristus: vähemalt 10 000 000 EUR VÕI vähemalt 2 % eelmise majandusaasta ülemaailmsest käibest - kohaldatakse kahest suuremat summat.

Maksimaalne halduskaristus: vähemalt 7 000 000 EUR VÕI vähemalt 1,4 % eelmise majandusaasta ülemaailmsest käibest - sama loogika, arvesse võetakse suurem summa.

Kes karistab?

Iga liikmesriik määrab ühe või mitu „pädevat asutust“, kes vastutavad direktiivi järelevalve ja täitmise eest. Prantsusmaal on see roll antud ANSSI-le.

Äärmine abinõu - ainult olulised üksused

Kui eelnevad meetmed jäävad tulemusteta, võib asutus taotleda kohtult sertifikaadi või loa ajutist peatamist ning isegi juhi (tegevjuht või seaduslik esindaja) ajutist ametist kõrvaldamist kuni vastavusse viimiseni. See äärmuslik eskalatsioon puudutab AINULT olulisi üksusi, mitte tähtsaid üksusi.

Summa ei ole automaatne

Seadus nõuab juhtumipõhiselt arvesse võtma: rikkumise raskust ja kestust, kordumist, tekitatud kahju, tahtlust või hooletust, kahju piiramiseks võetud meetmeid, käitumisjuhendite või sertifikaatidega ühinemist, koostöö taset asutusega. Kaks samas olukorras ettevõtet ei saa automaatselt sama trahvi.

Juhid, isiklikult vastutavad

Tekst näeb selgelt ette, et üksust juhtivaid füüsilisi isikuid (tegevjuht, seaduslik esindaja) võib pidada vastutavaks vastavusse viimise kohustuste rikkumise korral - nii oluliste kui ka tähtsate üksuste puhul.

Mis siis, kui tegu on ka andmeleketega?

Kui intsident on ühtlasi isikuandmete rikkumine, peab NIS2 asutus sellest viivitamata teavitama pädevat IKÜM asutust (Prantsusmaal CNIL). Mõlemad režiimid on kooskõlastatud - see ei ole sanktsioonide automaatne kuhjumine, vaid asutustevaheline teabevahetus.

Arvulised näited? Ausalt öeldes veel mitte

Selle seire kuupäeval ei leitud ametlikust allikast ühtegi avalikustatud NIS2 sanktsiooniotsust. Süsteem sõltub iga liikmesriigi ülevõtmise seadusest, mis on viimistlemisel. Märk sellest, et liikumine on alanud: Saksamaal märgib ametiasutus BSI, et puudutatud üksuste registreerimise seaduslik tähtaeg on juba möödas.