NIS2 praktikas: registreerimine, 24 tunni teavitus ja tarneahela tegelikkus

NIS2 rakendamine kulges ebatavaliselt. Ülevõtmise tähtaeg oli 17. oktoober 2024 ja enamik liikmesriike jäi sellest maha. Kaks aastat hiljem on pilt endiselt ebaühtlane ning paljudel ettevõtetel on tekkinud mulje, et midagi erilist ei juhtunudki.

See mulje on nüüd vale. Riiklikud seadused on vastu võetud, registreerimisportaalid on avatud ja järelevalveasutused on hakanud küsimusi esitama. Saksamaa avas oma registreerimisportaali 6. jaanuaril 2026 ja seadusega määratud tähtaeg oli 6. märts. Madalmaades jõustus Cyberbeveiligingswet 15. augustil 2026. Teised järgnesid aasta jooksul.

Kui olete selgust oodanud, siis see on käes ja vastus on, et olete tõenäoliselt pigem hiljaks jäänud kui liiga vara.

Keda see puudutab

NIS2 asendas 2016. aasta esialgse võrgu- ja infoturbe direktiivi ning laiendas kohaldamisala märkimisväärselt. Kohaldamisala määravad sektor ja suurus.

Olulised üksused hõlmavad väga kriitilisi sektoreid: energeetika, transport, pangandus, finantsturu taristu, tervishoid, joogivesi, reovesi, digitaristu, IKT-teenuste haldus, avalik haldus ja kosmos.

Tähtsad üksused hõlmavad muid kriitilisi sektoreid: posti- ja kullerteenused, jäätmekäitlus, kemikaalid, toit, teatavate toodete tootmine (sh meditsiiniseadmed, arvutid, elektroonika, masinad ja sõidukid), digiteenuse osutajad, nagu e-turud, otsingumootorid ja sotsiaalvõrgustike platvormid, ning teadusorganisatsioonid.

Suuruse lävend on üldjuhul keskmise suurusega ettevõtja või suurem, see tähendab vähemalt 50 töötajat või aastakäive üle 10 miljoni euro. Mõned üksuste liigid kuuluvad kohaldamisalasse olenemata suurusest, sealhulgas teatavad DNS-teenuse osutajad, tippdomeeninimede registrid, usaldusteenuse osutajad ja üldkasutatavate elektroonilise side teenuste osutajad.

Saksamaa järelevalveasutus hindas, et ainuüksi selles riigis kuulub kohaldamisalasse ligikaudu 29 500 üksust. 2026. aasta märtsi seadusjärgseks tähtajaks oli registreerunud umbes 11 500 ja mai lõpuks umbes 18 500. Lugege seda pigem hoiatuse kui rahustusena. See, et teised registreeruvad aeglaselt, ei tee kedagi erandiks.

Kaks asja tulevad ettevõtetele üllatusena. Esiteks hõlmab sektorite loetelu tavalisi tootjaid, mitte ainult taristuoperaatoreid. Kui toodate masinaid, elektroonikat või meditsiiniseadmeid mis tahes mahus, vaadake hoolikalt üle. Teiseks: isegi kui te ise kohaldamisalasse ei kuulu, kannavad teie kohaldamisalasse kuuluvad kliendid oma tarneahela kohustused lepingutega teile üle. Kohaldamisalast väljas olemine ei tähenda, et see teid ei puuduta.

Registreerimine on eraldi kohustus

Enamik liikmesriike nõuab kohaldamisalasse kuuluvatelt üksustelt registreerumist riiklikus asutuses ja just siin tekivad esimesed läbikukkumised.

Registreerimine tähendab tavaliselt üksuse, selle sektori klassifikatsiooni, teenuste, turbeküsimuste kontaktisikute ja nende liikmesriikide nimetamist, kus üksus tegutseb. Tähtajad on riigiti erinevad ja protsess on sageli keerulisem kui veebivorm.

Ärge eeldage, et olete erandiks, sest asutus pole teiega ühendust võtnud. NIS2 tugineb enesemääratlusele. Teie ülesanne on kohaldamisala kindlaks teha ja registreeruda, mitte järelevalveasutuse ülesanne teid üles leida.

Teavitamise ajakava

Intsidentidest teavitamine on direktiivi operatiivselt kõige nõudlikum osa ja tähtajad on lühikesed.

• 24 tunni jooksul olulisest intsidendist teadasaamisest: varajane hoiatus, milles märgitakse, kas intsidenti kahtlustatakse olevat põhjustanud ebaseaduslik või pahatahtlik tegevus ja kas sellel võib olla piiriülene mõju.
• 72 tunni jooksul: intsidendist teavitamine, mis ajakohastab varajast hoiatust esialgse hinnangu, raskusastme, mõju ja ründetunnustega.
• Taotluse korral: vahepealsed olukorra ülevaated.
• Ühe kuu jooksul: lõpparuanne, mis sisaldab üksikasjalikku kirjeldust, ohu liiki või algpõhjust, rakendatud leevendusmeetmeid ja võimalikku piiriülest mõju.

Oluline intsident on selline, mis on põhjustanud või võib põhjustada teenuste toimimise tõsiseid häireid või rahalist kahju või mis on mõjutanud või võib mõjutada teisi, põhjustades märkimisväärset varalist või mittevaralist kahju.

Keeruline on just 24 tunni varajane hoiatus. Kahekümne nelja tunniga ei jõua intsidenti uurida. See on eelteade ja direktiiv ootabki seda eelteatena. Meeskonnad, kes ootavad teavitamisega, kuni intsidendist aru saavad, jäävad tähtajast iga kord maha.

Kui teie organisatsioon töötleb ka isikuandmeid, võib teil paralleelselt käia GDPR-i 72 tunni rikkumisteavitus teisele asutusele, teistsuguse ulatuse ja teistsuguse lävendiga. Need protsessid tuleb kavandada koos, millest kirjutame oma GDPR-i juhendis.

Kümme meedet

Artikkel 21 nõuab riskijuhtimismeetmeid, mis hõlmavad vähemalt kümmet valdkonda. Lihtsas keeles:

1. Riskianalüüs ja infosüsteemide turvapoliitikad. Dokumenteeritud, ajakohased ja süsteeme haldavate inimeste poolt päriselt kasutatavad.
2. Intsidentide käsitlemine. Avastamine, reageerimine, taastamine ja eespool kirjeldatud teavitamise töövoog.
3. Talitluspidevus ja kriisiohjamine. Varukoopiate haldus, avariitaaste ja testitud taastamine, mitte lihtsalt ajastatud varundustöö.
4. Tarneahela turvalisus. Käsitleme allpool eraldi, sest sinna läheb suurem osa tööst.
5. Turvalisus hankimisel, arendamisel ja hooldamisel. Turvalise arenduse tavad, haavatavuste käsitlemine ja avalikustamine.
6. Tõhususe hindamine. Kuidas te teate, et teie kontrollimeetmed toimivad. Testimine, auditid, mõõdikud.
7. Küberhügieen ja koolitus. Põhitavad ja teadlikkus, sealhulgas juhtkonnal.
8. Krüptograafia ja krüpteerimise poliitikad. Kus krüpteerimist kasutatakse ja kuidas võtmeid hallatakse.
9. Personaliturve, juurdepääsu kontroll ja varahaldus. Liitujad, ümberpaigutatud ja lahkujad, vähimate õiguste põhimõte ja ajakohane varade inventuur.
10. Mitmikautentimine ja turvaline side. Mitmikautentimine või pidev autentimine, turvatud kõne-, video- ja tekstiside ning hädaolukorra sidesüsteemid.

Ükski neist ei ole eksootiline. Enamiku organisatsioonide puudujääk ei ole teadmine, mida teha, vaid tõendid. NIS2 järelevalve tugineb suuresti dokumentatsioonile ja dokumenteerimata kontrollimeede on sisuliselt puuduv kontrollimeede.

Tegelik töö on tarneahelas

NIS2 kõige tagajärjekam muudatus on rõhuasetus tarneahela riskidele. Kohaldamisalasse kuuluvad üksused peavad arvestama oma otseste tarnijate ja teenuseosutajate turvatavadega, sealhulgas nende toodete kvaliteedi ja turvalise arenduse tavadega.

Praktikas see kandub edasi. Kohaldamisalasse kuuluv haigla esitab nõuded oma tarkvaratarnijatele. Need tarnijad esitavad nõuded oma majutusteenuse osutajatele ja komponenditarnijatele. Ettevõtted, mis on ametlikust kohaldamisalast kaugel väljas, vastavad lõpuks NIS2-st tulenevatele turvaküsimustikele, sest nende klient kuulub kohaldamisalasse.

Kui müüte tarkvara või teenuseid mõnda loetletud sektorisse, oodake järgmist:

• Turvaküsimustikud on hanke tavapärane osa, enne lepingut, mitte pärast.
• Lepingulised turvanõuded, sealhulgas intsidendist teavitamise tähtajad, mis on seotud teie kliendi 24 tunni kohustusega.
• Tõendite küsimine: läbistustestide kokkuvõtted, SOC 2 või ISO 27001 staatus, haavatavuste halduse protsessi dokumentatsioon, SBOM-id.
• Auditeerimisõigused.

Tõhus vastus on koostada tõendite pakett üks kord. Suurem osa sellest, mida kliendid küsivad, on küsimustikest olenemata sama ja dokumendid kattuvad suuresti küberkerksuse määruse kohustustega. Ehitage tarkvara koostisosade loetelu (SBOM) koostamise töövoog, dokumenteeritud haavatavuste käsitlemise protsess ja intsidentide tegevusjuhend ning olete vastanud mõlema suuremale osale.

Juhtkonna vastutus

NIS2 paneb juhtorganitele vastutuse küberturvalisuse riskijuhtimismeetmete kinnitamise ja nende rakendamise järelevalve eest ning liikmesriigid võivad nõuda neilt isiklikku vastutust. Juhtkond peab läbima ka koolituse.

Seepärast on NIS2 arutelud ettevõtetes liikunud kiiremini kui enamik vastavusteemasid. Isiklik vastutus muudab seda, kui kiiresti nõukogu eelarve kinnitab.

Karistused

Oluliste üksuste puhul kuni 10 miljonit eurot või 2 % ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Tähtsate üksuste puhul kuni 7 miljonit eurot või 1,4 %. Asutused võivad anda ka siduvaid juhiseid, nõuda nõuetele mittevastavuse avalikustamist ning rasketel juhtudel peatada sertifitseerimise või keelata ajutiselt isikutel juhtimisülesannete täitmise.

Mis muutub

Komisjon esitas 20. jaanuaril 2026 NIS2 sihipäraste muudatuste ettepaneku (menetlus 2026/0012(COD)) koos küberturvalisuse määruse 2 (Cybersecurity Act 2) ettepanekuga. Väga kriitiliste sektorite üksused, mis on väikesed keskmise turukapitalisatsiooniga ettevõtjad (alla 750 töötaja ning käive kuni 150 miljonit eurot või bilansimaht kuni 129 miljonit eurot), muutuksid reeglina oluliste üksuste asemel tähtsateks üksusteks ja neile kohalduks selle kategooria kergem järelevalve. Liikmesriigid võiksid nõuda üksuse küberturvalisuse kohta Euroopa sertifitseerimiskava alusel väljastatud sertifikaati ja kehtiv sertifikaat vabastaks üksuse täiendavatest järelevalvemeetmetest nende nõuete osas, mida see hõlmab. Komisjon koostaks ka suunised, et ühtlustada tarneahela küsimustikke, mida kohaldamisalasse kuuluvad üksused oma tarnijatele saadavad, samas kui IKT-tarneahela riske käsitlevad uued reeglid on küberturvalisuse määruse 2 ettepanekus. Liikmesriikidel oleks muudatuste ülevõtmiseks 12 kuud.

See on endiselt ettepanek. 10. oktoobri 2026. aasta seisuga oli parlamendi juhtiv komisjon (ITRE) avaldanud oma raporti projekti 24. septembril ja nõukogu seisukohta ei olnud registreeritud. Kuni muudatused on vastu võetud ja üle võetud, kehtib kõik selles artiklis kirjutatu.

Kust alustada, kui te pole veel alustanud

Toimiv järjekord organisatsioonile, mis alustab peaaegu nullist:

Tehke kohaldamisala korralikult kindlaks. Sektor, suurus ja liikmesriigid, kus olete asutatud. Hankige see õigusnõustajalt kirjalikult, sest kõik muu tuleneb sellest.

Registreeruge. Kontrollige oma riikliku asutuse tähtaega ja protsessi. Kui tähtaeg on möödunud, registreeruge ikkagi.

Koostage varade inventuur. Riske ei saa hallata süsteemides, mida pole loetletud. See on kõige suurema mõjuga dokument ja kõige sagedamini puuduv.

Kirjutage intsidentide tegevusjuhend ja harjutage seda. Keskenduge 24 tunni teekonnale. Kes kuulutab intsidendi välja, kes hindab piiriülest mõju, kes esitab teate ja mis juhtub kell 3 öösel riigipühal.

Vaadake tarnijad üle. Loetlege kriitilised tarnijad, hinnake neid ja lisage turvatingimused lepingutesse nende uuendamisel.

Sulgege ilmsed lüngad. Mitmikautentimine kõikjal, testitud varukoopiad, paikade haldus, juurdepääsude ülevaatused, logimine. Glamuuritu töö, kuid just seda vaatab audit esimesena.

Dokumenteerige jooksvalt. Mitte tagantjärele kirjutatud poliitikakaust. Otsused pannakse kirja nende tegemise ajal, koos kuupäevade ja vastutajatega.

Aus märkus töömahu kohta

Toimiva turvaprogrammiga organisatsioonile on NIS2 peamiselt dokumenteerimise ja aruandluse harjutus. Organisatsioonile, kellel seda pole, on see päris ehitustöö, mida mõõdetakse kvartalites, mitte nädalates.

Viga on käsitleda seda õigusosakonna vastavusprojektina. Kohustused on operatiivsed. Need kuuluvad inimestele, kes süsteeme haldavad, ja dokumendid püsivad ajakohased ainult siis, kui need on osa meeskonna tööviisist, mitte midagi auditi jaoks valmistatut.

Abi saamine

Ehitame ja haldame tarkvarasüsteeme ettevõtetele üle Euroopa, sealhulgas seiret, logimist, varundust ja tarneahela nähtavust, mida NIS2 eeldab. Oleme kasulikud insenertehnilisel poolel: teeme kontrollimeetmed päriseks ja tõendid tavapärase töö kõrvalsaaduseks, mitte eraldi pingutuseks.

Võtke ühendust aadressil office@c9group.dev. Meie 2026. aasta ELi digivastavuse juhend selgitab, kuidas NIS2 sobitub kõige muuga, mis sel aastal jõustub, ja pärandsüsteemide hoolduse teenuse leht kirjeldab tööd, mis tavaliselt tuleb esimesena.

Me ei ole advokaadibüroo ega anna õigusnõu. Eriti kohaldamisala kindlakstegemine kuulub teie õigusnõustaja pädevusse.