Tom Meevis, advokaat ettevõttes Law & More
Küberturvalisus ei ole enam pelgalt tehniline küsimus. See on ka juriidiline ja juhtimisalane küsimus, mis mõjutab praktiliselt iga organisatsiooni, olenemata selle suurusest.
Euroopa NIS2 direktiivi ja Hollandi küberturvalisuse seadusega läheb vastutus digitaalse vastupidavuse eest kindlalt üle juhatusele. Hollandi küberturvalisuse seadus jõustub 15. augustil 2026. Seetõttu peavad ettevõtete omanikud, direktorid ja vastavusametnikud lühikese etteteatamisega kehtestama:
- kas nende organisatsioon kuulub uute eeskirjade reguleerimisalasse;
- millised kohustused neist tulenevad;
- milliseid meetmeid on vaja võtta;
- ja kuidas organisatsioon saab neid kohustusi täita.
See artikkel kirjeldab NIS2 ja Hollandi küberturvalisuse seaduse põhielemente: ulatust, hoolsuskohustust, teavitamiskohustust, juhatuse vastutust, jõustamist ja samme, mida organisatsioonid saavad nüüd astuda.
Mis on NIS2?
NIS2 on direktiivi (EL) 2022/2555 ametlik nimetus. See asendab esimest Euroopa võrgu- ja infoturbe direktiivi, mida üldiselt nimetatakse NIS1-ks.
Liikmesriigid pidid NIS2 siseriiklikku õigusesse üle võtma hiljemalt 17. oktoobriks 2024. Alates 18. oktoobrist 2024 asendas NIS2 ametlikult varasema direktiivi.
Selle eesmärk on tõsta ja paremini ühtlustada kübervastupidavuse taset Euroopa Liidus. See toimub kahel peamisel tasandil. Esiteks laiem ulatus: eeskirjade alla kuulub palju rohkem organisatsioone kui NIS1 alla. Teiseks rangem järelevalve ja rangem jõustamine koos laiema tööriistakomplekti ja selgemate direktorite kohustustega.
Kui NIS1 eristas oluliste teenuste operaatoreid ja digitaalsete teenuste osutajaid, siis NIS2 töötab oluliste ja oluliste üksustega. See eristamine ei ole pelgalt terminoloogiline: see määrab muu hulgas kindlaks järelevalve intensiivsuse ja võimalike trahvide taseme.
Millised organisatsioonid kuuluvad NIS2 alla?
NIS2 kehtib organisatsioonidele, mis tegutsevad kaheksateistkümnes kindlaksmääratud sektoris, mis on jagatud kõrge kriitilisusega sektoriteks ja muudeks kriitilisteks sektoriteks.
Kõrge kriitilisusega sektorite hulka kuuluvad energeetika, transport, pangandus, finantsturu taristu, tervishoid, joogivesi ja reovesi, digitaalne taristu, ärikasutajatele mõeldud IKT-teenuste haldamine, avalik haldus ja kosmosetööstus.
Teiste oluliste sektorite hulka kuuluvad posti- ja kullerteenused, jäätmekäitlus, kemikaalid, toit, tootmine, digitaalteenuste pakkujad ja teadusasutused.
Suuruse lävi
Nendes sektorites on peamine reegel, et organisatsioon kuulub NIS2 alla, kui see kvalifitseerub keskmise suurusega või suurettevõtteks. Kriteeriumiteks on vähemalt 50 töötajat või aastakäive või bilansimaht üle 10 miljoni euro.
Sellele põhireeglile on erandeid. Teatud organisatsioonid kuuluvad reguleerimisalasse olenemata suurusest, kuna nende teenuseid peetakse eriti oluliseks:
- avalike elektrooniliste sidevõrkude ja -teenuste pakkujad;
- usaldusteenuste pakkujad;
- domeeninimede registreerimise teenusepakkujad;
- tipptasemel domeeninimede registrid;
- avaliku sektori asutused.
Alates 15. augustist 2026 kehtivad uued kohustused enam kui 8,000 organisatsioonile Hollandis. See on märkimisväärne laienemine võrreldes arvuga, mida hõlmab kehtiv võrgu- ja infosüsteemide turvalisuse seadus.
Seega võivad sihikule võtta ka organisatsioonid, kes varem ei pidanud end kriitilise sektori osaks, sealhulgas keskmise suurusega tootjad, toidutootjad, teadusasutused ja digitaalsete teenuste pakkujad. Oluline on see, et organisatsioonid ise vastutavad selle eest, kas nad kuuluvad reguleerimisalasse. Järelevalveametnikult ei tule ühtegi kirja, mis neile seda kinnitaks.
Hoolitsuskohustus: milliseid meetmeid on vaja võtta?
NIS2 ja Hollandi küberturvalisuse seaduse tuumaks on hoolsuskohustus. Olulised ja olulised üksused peavad oma võrgu- ja infosüsteemide riskide haldamiseks võtma asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke meetmeid.
Reeglid määravad kindlaks teemad, mida poliitika peab igal juhul käsitlema:
- riskianalüüs ja infoturbepoliitika;
- intsidentide käsitlemine;
- äritegevuse järjepidevus, varukoopiate haldamine ja avariitaaste;
- tarneahela turvalisus;
- küberhügieen ja töötajate koolitamine;
- haavatavuste käsitlemise poliitika;
- mitmefaktoriline autentimine;
- turvatud side;
- krüptograafia;
- meetmete tulemuslikkuse perioodiline hindamine.
Meetmed peavad olema proportsionaalsed organisatsiooni suuruse ja riskidega, millele see tegelikult kokku puutub. Seega ei pea väiksem oluline üksus võtma samu meetmeid kui suur oluline üksus kõrge riskiga sektoris.
See ei muuda hoolsuskohustust valikuliseks. Organisatsioonid peavad suutma põhjendada, milliseid riske nad tuvastasid, milliseid meetmeid nad võtsid ja miks need meetmed on asjakohased. Järelevalvet teostatakse mitte ainult meetmete endi, vaid ka selle üle, kuidas neid kaalutakse, registreeritakse ja perioodiliselt hinnatakse.
Teavitamiskohustus pärast intsidenti
Lisaks hoolsuskohustusele kehtestab NIS2 oluliste intsidentide korral etapiviisilise teavitamise kohustuse. Kui intsidendil on või võib olla oluline mõju teenuste järjepidevusele, kehtivad laias laastus järgmised tähtajad:
- 24 tunni jooksul varajase hoiatuse riiklikule küberturbeintsidentidele reageerimise meeskonnale või pädevale asutusele;
- 72 tunni jooksul ametlik teade koos esialgse hinnanguga olukorra tõsiduse ja mõju kohta;
- hiljemalt ühe kuu jooksul lõpparuande, milles kirjeldatakse intsidenti, selle tõenäolist algpõhjust, võetud meetmeid ja kõiki piiriüleseid mõjusid.
Need tähtajad tingivad vajaduse kehtestada eelnevalt selged protseduurid. Organisatsioon peab teadma, millal on intsidendist teatamiskohustus, kellel on õigus teatada, milline teave peab olema kättesaadav, kes koordineerib ning kuidas juhatust ja järelevalveasutust teavitatakse.
Organisatsioon, mis püüab teavitamisprotsessi luua alles intsidendi ajal, riskib märkimisväärselt sellega, et ei suuda õigeaegselt või täielikult aru anda.
Juhatuse vastutus
NIS2 oluline element on see, et küberriskide juhtimise vastutus on otseselt pandud juhatusele. Juhatus peab turvameetmed heaks kiitma, nende rakendamist jälgima, suutma hinnata organisatsiooni küberriske ja läbima ise piisava koolituse.
Seega ei saa küberturvalisust enam käsitleda ainult IT-osakonna vastutusena. See on juhtimisteema, mis peab olema osa regulaarsest otsustusprotsessist ja riskijuhtimisest.
Direktiiv käsitleb ka selgesõnaliselt tippjuhtkonna isiklikku vastutust juhul, kui organisatsioon ei järgi nõudeid. Juhatuse osalemist tuleb vastavalt dokumenteerida, näiteks dokumenteerides läbitud koolitusi, juhatuse otsuseid, kinnitatud poliitikat, riskihindamisi, aruandlust ja rakendamise järelevalvet.
Hollandi rakendamine
NIS2 rakendamine Hollandis on oluliselt edasi lükkunud. Ülevõtmise tähtaega, 17. oktoober 2024, ei peetud kinni.
8. juulil 2026 otsustas Euroopa Komisjon kaevata Hollandi koos Iirimaa, Hispaania ja Prantsusmaaga Euroopa Liidu Kohtusse ülevõtmismeetmetest teatamata jätmise eest. Seega oli Holland Euroopa Liidu nelja mahajääja hulgas.
Ajastus on rabavalt õige. Päev varem, 7. juulil 2026, oli senat heaks kiitnud küberturvalisuse seaduse ja kriitiliste üksuste vastupidavuse seaduse. Kas asjaolu, et seadus võeti vastu enne suunamist, mõjutab menetluse tulemust, jääb veel näha; see on kohtu otsustada.
Mõlemad seadused jõustuvad 15. augustil 2026. Küberturvalisuse seadus rakendab NIS2 direktiivi; kriitiliste üksuste vastupidavuse seadus rakendab Euroopa Liidu kriitilise taristu vastupidavusele suunatud direktiivi. Viimasega hõlmatud organisatsioonid määratakse ametlikult kriitilisteks üksusteks alates 15. augustist 2026.
Jõustumisel kaotab kehtivuse kehtivuse praegune võrgu- ja infosüsteemide turvalisuse seadus (Wbni). Organisatsioonidele, keda see juba hõlmab, tähendab see suuremaid kohustusi; organisatsioonidele, kes esimest korda selle reguleerimisalasse satuvad, täiesti uut korda.
Registreerimine NCSC-s
Oluline uus kohustus on registreerumine riiklikus küberturvalisuse keskuses. Olulised ja olulised üksused tuleb kanda riiklikusse üksuste registrisse. See registreerimine on kohustuslik alates 15. augustist 2026 ja toimub MijnNCSC portaali kaudu, kasutades tavaliste organisatsioonide puhul eHerkenningut ja avaliku sektori asutuste puhul SSOnRijki. Registreeritud andmete muudatustest tuleb teatada neljateistkümne päeva jooksul.
Registreerimine ei ole pelgalt haldusformaalsus. Pärast registreerimist saavad organisatsioonid luua ühenduse oma CSIRT-i teenustega, mis pakub tooteid ja teenuseid vastupanuvõime suurendamiseks ning tuge intsidendi korral. Valmistage registreerimine ette õigeaegselt, et rakendamine ei algaks alles pärast jõustumist.
Järelevalve ja jõustamine
Küberturvalisuse seadus näeb ette diferentseeritud järelevalvekorra. Olulised üksused alluvad ennetavale järelevalvele: järelevalveasutus võib kontrollida pidevalt ja omal algatusel, ilma konkreetse intsidendi või signaalita. Olulised üksused alluvad reaktiivsele järelevalvele, kus järelevalveasutus tegutseb põhimõtteliselt vastusena intsidendile, kaebusele või muule konkreetsele signaalile.
Järelevalve on jagatud mitme asutuse vahel. Alates 15. augustist 2026 teostab Hollandi Digitaalse Taristu Amet järelevalvet üheksa sektori organisatsioonide üle; teiste sektorite jaoks on määratud teised järelevalveasutused. Tehke kindlaks, milline järelevalveasutus on teie organisatsiooni jaoks pädev.
Jõustamisvahendite komplekt on lai ja sisaldab järgmist:
- turvaskannimine või turvaaudit;
- siduv juhis;
- halduslik täitekorraldus või sunniraha määramise korraldus;
- rikkumise avalikustamine;
- haldustrahv;
- oluliste üksuste puhul: sertifikaadi, loa või juhatuse liikme peatamine.
Oluliste üksuste puhul on maksimaalne trahv vähemalt 10 miljonit eurot või 2% kogu ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Oluliste üksuste puhul on see vähemalt 7 miljonit eurot või 1.4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Lõplik trahv sõltub juhtumi asjaoludest, sealhulgas rikkumise laadist, raskusastmest ja kestusest, süü astmest ja võetud meetmetest.
Mida teie organisatsioon nüüd teha saab?
- Tehke enesehindamine. Tehke kindlaks, kas organisatsioon tegutseb kindlaksmääratud sektoris ja vastab suuruse lävele.
- Määrake õige kategooria. Tehke kindlaks, kas organisatsioon kvalifitseerub oluliseks või oluliseks üksuseks ja milline juhendaja on pädev.
- Valmistage ette registreerimine. Koguge NCSC-s registreerimiseks vajalikud andmed MijnNCSC kaudu.
- Testige hoolsuskohustuse meetmeid. Hinnake olemasolevaid meetmeid riskianalüüsi, intsidentidele reageerimise, äritegevuse järjepidevuse, tarneahela turvalisuse, küberhügieeni, haavatavuste, mitmefaktorilise autentimise ja krüptograafia valdkonnas.
- Seadistage teavitusprotsess. Pange kirja, kes hindab, kas intsidendist tuleb teatada, kes teavitab ja kuidas täidetakse 24-tunniseid, 72-tunniseid ja ühekuulisi tähtaegu.
- Kaasake juhatus demonstratiivselt. Pange kirja, milliseid otsuseid juhatus on teinud, milliseid koolitusi on läbitud ja kuidas teostatakse järelevalvet rakendamise üle.
- Kaasake tarneahel. Suur osa haavatavustest ei teki mitte organisatsioonis endas, vaid tarnijate ja teenusepakkujate juures. Vaadake üle oma lepingud turvameetmete, teavitamiskohustuste ja auditeerimisõiguste osas.
Sulgemisel
Küberturvalisuse seadus ja kriitiliste üksuste vastupidavuse seadus kujutavad endast küberturvalisuse kohustuste märkimisväärset karmistamist. Laiem ulatus, konkreetsed hoolsuskohustuse meetmed, lühikesed teavitustähtajad, juhtide isiklik vastutus ja ulatuslik jõustamisvahendite komplekt tähendavad, et organisatsioonid ei saa seda teemat kõrvale jätta. Kuna seadused jõustusid 15. augustil 2026, on ettevalmistusaeg lühike.
Law & More Abistab ettevõtteid, direktoreid ja vastavusametnikke oma positsiooni kindlaksmääramisel NIS2 ja Hollandi küberturvalisuse seaduse alusel, hoolsuskohustuse meetmete kehtestamisel ja testimisel, NCSC-s registreerimise ettevalmistamisel ning küberturvalisuse poliitika õiguslikul rakendamisel.
Kas soovite, et teie organisatsiooni positsiooni uute reeglite alusel hinnataks? Võtke meiega julgelt ühendust kohustusteta aruteluks.
Korduma kippuvad küsimused
Allpool vastame küsimustele, mida meile sellel teemal kõige sagedamini esitatakse.
Millal jõustub Hollandi küberturvalisuse seadus?
15. augustil 2026 kiitis senat 7. juulil 2026 heaks küberturvalisuse seaduse ja kriitiliste üksuste vastupidavuse seaduse. Jõustumisel kaotab kehtivuse praegune võrgu- ja infosüsteemide turvalisuse seadus (Wbni).
Kas minu organisatsioon kuulub NIS2 alla?
See sõltub teie sektorist ja suurusest. NIS2 hõlmab kaheksateist määratud sektorit ja nende sektorite sees reeglina organisatsioone, kus töötab vähemalt 50 inimest või mille aastakäive või bilansimaht ületab 10 miljonit eurot. Teatud osapooled on hõlmatud olenemata suurusest.
Kas mind teavitatakse, kui minu organisatsioon kuulub ulatusse?
Ei. Organisatsioonid vastutavad ise selle eest, et hinnata, kas nad kuuluvad küberturvalisuse seaduse alla. Ootamine riskib kohustustega, mis kehtivad enne hindamise tegemist.
Mis vahe on olulisel ja olulisel üksusel?
See määrab järelevalve intensiivsuse ja võimalike trahvide suuruse. Olulised üksused alluvad ennetavale järelevalvele, mille puhul järelevalveasutus võib kontrollida omal algatusel. Olulised üksused alluvad reaktiivsele järelevalvele, mille ajendiks on intsident, kaebus või muu signaal.
Mida hõlmab hoolsuskohustus?
Võttes asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke meetmeid oma võrgu- ja infosüsteemide riskide juhtimiseks, hõlmates selliseid küsimusi nagu riskianalüüs, intsidentide käsitlemine, äritegevuse järjepidevus, tarneahela turvalisus, küberhügieen, haavatavused, mitmefaktoriline autentimine ja krüptograafia. Te peate suutma põhjendada valitud meetmete asjakohasust.
Millised teavitustähtajad kehtivad pärast intsidenti?
Varajane hoiatus 24 tunni jooksul, ametlik teade 72 tunni jooksul koos esialgse tõsiduse ja mõju hinnanguga ning lõpparuanne hiljemalt ühe kuu jooksul. Teavitusprotsess tuleb eelnevalt paika panna.
Kas minu organisatsioon peab registreeruma?
Jah. Registreerimine riiklikus üksuste registris on kohustuslik alates 15. augustist 2026 ja toimub MijnNCSC kaudu, kasutades eHerkenningut või avaliku sektori asutuste puhul SSOnRijki. Muudatustest tuleb teatada neljateistkümne päeva jooksul. Pärast registreerimist saate luua ühenduse oma CSIRTi teenustega.
Milline vastutus lasub juhatusel?
Juhatus peab turvameetmed heaks kiitma, nende rakendamist jälgima, suutma hinnata küberriske ja läbima ise koolituse. Direktiiv käsitleb tippjuhtkonna isiklikku vastutust nõuete rikkumise eest, seega tuleb otsused, koolitus ja järelevalve tõendatavalt dokumenteerida.
Kui suured on trahvid?
Oluliste üksuste puhul vähemalt 10 miljonit eurot või 2% ülemaailmsest aastakäibest; oluliste üksuste puhul vähemalt 7 miljonit eurot või 1.4%, olenevalt sellest, kumb on suurem. Lõplik tase sõltub teguritest, sealhulgas rikkumise laad, raskusaste ja kestus ning süü aste.
Kes kontrollib vastavust?
See on sektoriti erinev. Alates 15. augustist 2026 teostab Hollandi Digitaalse Taristu Amet järelevalvet üheksa sektori organisatsioonide üle; teiste sektorite jaoks on määratud teised järelevalveasutused. Tehke kindlaks, milline järelevalveasutus on teie organisatsiooni jaoks pädev.
Miks on Holland Euroopa Kohtusse kaevatud?
NIS2 hilinenud ülevõtmise tõttu otsustas Euroopa Komisjon 8. juulil 2026 kaevata Madalmaad koos Iirimaa, Hispaania ja Prantsusmaaga Euroopa Kohtusse ülevõtmismeetmetest teatamata jätmise eest. Asjaolu, et küberturvalisuse seadus võeti vastu päev varem, ei lõpeta iseenesest seda menetlust.
Kas see kehtib ka minu tarnijate kohta?
Tarneahela turvalisus on üks hoolsuskohustusega seotud teemasid. Suur osa haavatavustest tekib tarnijate ja teenusepakkujate juures. Vaadake üle oma lepingud turvameetmete, teavitamiskohustuste ja auditeerimisõiguste osas.
