Võrgu- ja infosüsteemide küberturvalisus

PÕHIPUNKTID

Küberturvalisus tähendab tegevusi, mis on vajalikud, et kaitsta võrgu- ja infosüsteeme, nende kasutajaid ja teisi isikuid küberohtude eest.

Kriitilise tähtsusega sektorid

Direktiivi kohaldatakse peamiselt keskmise suurusega ja suurte üksuste suhtes, kes tegutsevad järgmistes selle I lisas määratletud kriitilise tähtsusega sektorites:

• energia;
  • elektrienergia, sealhulgas tootmis-, jaotus- ja ülekandesüsteemid ning laadimispunktid;
  • kaugküte ja -jahutus;
  • nafta, sealhulgas tootmis-, hoiustamis- ja ülekandejuhtmed;
  • gaas, sealhulgas varustus-, jaotus- ja ülekandesüsteemid ning gaasi hoiustamine;
  • vesinik;
• transport: lennu-, raudtee-, vee- ja maanteetransport;
• pangandus- ja finantsturgude taristud, nagu krediidiasutused, kauplemiskohtade korraldajad ja kesksed vastaspooled;
• tervis, sealhulgas tervishoiuteenuste osutajad, põhifarmaatsiatoodete ja kriitilise tähtsusega meditsiiniseadmete tootjad ning ELi referentlaborid;
• joogivesi;
• reovesi.
• digitaristu, sealhulgas andmekeskusteenuste osutajad, pilvandmetöötlusteenused, üldkasutatavate elektroonilise side võrkude ja üldkasutatavate elektroonilise side teenuste osutajad;
• IKT-teenuste haldamine (ettevõtetevaheline);
• kosmos;
• avalik haldus kesk- ja piirkondlikul tasandil, välja arvatud kohtusüsteemid, parlamendid ja keskpangad, kuigi direktiivi ei kohaldata avaliku halduse üksuste suhtes, kes tegutsevad riigi julgeoleku, avaliku julgeoleku, riigikaitse või õiguskaitse valdkonnas.

Seda kohaldatakse ka muudele kriitilise tähtsusega sektoritele, nagu on määratletud II lisas:

• posti- ja kulleriteenused;
• jäätmekäitlus;
• kemikaalide valmistamine, tootmine ja levitamine;
• toiduainete tootmine, töötlemine ja turustamine;
• tootmine, eelkõige meditsiiniseadmed, arvutid, elektroonilised ja optilised tooted, teatavat liiki elektriseadmed ja masinad, mootorsõidukid ja muud transpordivahendid;
• digiteenuste osutajad – internetipõhiste kauplemiskohtade, otsingumootorite ja sotsiaalvõrgustike pakkujad ning
• teadusasutused.

Riiklik küberturvalisuse strateegia

Kõik liikmesriigid peavad võtma vastu riikliku strateegia küberturvalisuse kõrge taseme saavutamiseks ja säilitamiseks kriitilise tähtsusega sektorites, sealhulgas järgmised:

• juhtimisraamistik, milles selgitatakse asjaomaste sidusrühmade rolli ja kohustusi riiklikul tasandil;
• tarneahela turvalisusega seotud poliitika;
• nõrkuste haldamise poliitika;
• küberturvalisuse alase hariduse ja koolituse edendamise ja arendamise poliitika ning
• meetmed küberturvalisuse alase teadlikkuse parandamiseks kodanike seas.

Liikmesriigid peavad koostama 17 aprilliks 2025 nimekirja elutähtsatest ja olulistest üksustest ning domeeninimede registreerimise teenuseid pakkuvatest üksustest. Nad peavad selle loetelu korrapäraselt läbi vaatama ja vajaduse korral seda ajakohastama ning seejärel tegema seda vähemalt iga kahe aasta järel. Euroopa Komisjon võttis vastu suunised nende loetelude koostamisel kogutava teabe kohta ja selleks vajaliku vormi.

Komisjon on avaldanud ka suunised, milles selgitatakse suhteid direktiivi (EL) 2022/2555 ning kehtivate ja tulevaste sektoripõhiste ELi õigusaktide vahel, mis käsitlevad küberturvalisuse riskijuhtimismeetmeid või intsidentidest teatamise nõudeid. Suuniste lisas on esitatud mittetäielik loetelu sektoripõhistest õigusaktidest, mida komisjon peab direktiivi (EL) 2022/2555 artikli 4 kohaldamisalasse kuuluvaks.

Arvutiturbe intsidentide lahendamise üksused

Arvutiturbe intsidentide lahendamise üksused (CSIRTid) annavad üksustele tehnilist abi, sealhulgas

• korraldades küberohtude, nõrkade kohtade ja intsidentide seiret ja analüüsi riiklikul tasandil;
• andes varajasi hoiatusi, hoiatusi, teateid ja teavet asjaomastele üksustele ja teistele sidusrühmadele küberohtude, nõrkuste ja intsidentide kohta võimaluse korral lähitulevikus;
• lahendades intsidentide ja osutades abi, kui see on kohaldatav;
• kogudes ja analüüsides kohtuekspertiisiandmeid, analüüsides järjepidevalt riske ja intsidente ning tagades küberturvalisuse alase olukorrateadlikkuse;
• kontrollides elutähtsa või olulise üksuse taotlusel ennetavalt selle üksuse võrgu- ja infosüsteeme, et teha kindlaks potentsiaalselt olulise mõjuga nõrkused.

CSIRTide võrgustik

Direktiiviga luuakse riiklike CSIRTide võrgustik, et edendada kiiret ja tõhusat operatiivkoostööd.

Kaitseriskide koordineeritud avalikustamine

Liikmesriigid peavad tegema järgnevat:

• määrama ühe oma CSIRTidest IKT-toodetes või -teenustes avastatud nõrkuste koordineeritud avalikustamise koordinaatoriks;
• tagama, et liikmesriikide inimesed saavad nõrkusest teavitada taotluse korral anonüümselt.

Euroopa Liidu Küberturvalisuse Amet (ENISA) töötab välja nõrkuste andmebaasi ja haldab seda.

Koostöörühm

Direktiiviga luuakse koostöörühm, et toetada ja hõlbustada strateegilist koostööd ja teabevahetust. See koosneb liikmesriikide, komisjoni ja ENISA esindajatest. Vajaduse korral võib koostöörühm kutsuda Euroopa Parlamenti ja asjaomaste sidusrühmade esindajaid oma töös osalema.

Euroopa küberkriisiga tegelevate kontaktasutuste võrgustik

Euroopa küberkriisiga tegelevate kontaktasutuste võrgustik (EU-CyCLONe) koosneb liikmesriikide küberkriiside ohjamise asutuste esindajatest koos komisjoniga juhtudel, kui võimalikul või jätkuval ulatuslikul küberturbeintsidendil on või tõenäoliselt on oluline mõju käesoleva direktiivi kohaldamisalasse kuuluvatele sektoritele. Muudel juhtudel osaleb komisjon EU-CyCLONe tegevuses vaatlejana.

Võrgustik toetab ulatuslike küberturbeintsidentide ja kriiside koordineeritud ohjamist operatiivtasandil ning tagab korrapärase teabevahetuse liikmesriikide ning ELi institutsioonide, organite, talitluste ja asutuste vahel.

Võrgustiku ülesanded on muuhulgas järgmised:

• koordineerida ulatuslike küberturbeintsidentide ja kriiside ohjamist ning toetada selliste intsidentide ja kriisidega seotud otsuste tegemist poliitilisel tasandil;
• tõsta valmisoleku taset;
• arendada ühist olukorrateadlikkust ning
• hinnata ulatuslike küberturbeintsidentide ja kriiside tagajärgi ja mõju ning pakkuda välja võimalikke leevendusmeetmeid.

Küberturvalisuse riskijuhtimise meetmed

Üksused peavad võtma asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja organisatsioonilisi küberturvalisuse riskijuhtimismeetmeid. Meetmete kataloog hõlmab muu hulgas riskianalüüsi ja infosüsteemide turbe põhimõtteid, intsidentide käsitlemist, talitluspidevust, avariitaastet ja kriisiohjet, tarneahela turvalisust, nõrkuste käsitlemist ja avalikustamist, peamisi hügieenitavasid, krüptograafia (ja vajaduse korral krüpteerimise) kasutamisega seotud põhimõtteid ja menetlusi, personali turvalisust ning mitmetegurilise autentimise või pideva autentimise lahenduste kasutamist. Need meetmed peavad põhinema kõiki ohte hõlmaval lähenemisviisil.

Korraldusasutused peavad need meetmed heaks kiitma ja jälgima nende rakendamist ning neid võib rikkumiste eest vastutusele võtta.

Aruandlus

Üksused peavad teavitama CSIRTi või asjaomast asutust kõigist intsidentidest, mis

• on põhjustanud või võib põhjustada asjaomase üksuse teenuste osutamisel tõsiseid tegevushäireid või rahalist kahju;
• on mõjutanud või võib mõjutada teisi, põhjustades märkimisväärset materiaalset või mittemateriaalset kahju.

Lisaks koostab ENISA koos komisjoni ja koostöörühmaga iga kahe aasta järel aruande küberturvalisuse olukorra kohta ELis, mis esitatakse ka Euroopa Parlamendile.

Järelevalve ja täitmise tagamine

Direktiiviga nähakse ette õiguskaitsevahendid ja sanktsioonid, et tagada selle täitmine.

Vastastikune hindamine

Vastastikuseid hindamisi korraldatakse eesmärgiga õppida jagatud kogemustest, tugevdada vastastikust usaldust, saavutada küberturvalisuse ühtlaselt kõrge tase ning tugevdada liikmesriikide küberturvalisuse alast võimekust ja poliitikat, mis on vajalik käesoleva direktiivi rakendamiseks. Vastastikune hindamine hõlmab kohapealseid või virtuaalseid külastusi ja teabevahetust väljaspool tegevuskohta. Vastastikuses hindamises osalemine on vabatahtlik.

Rakendusaktid

Rakendusmääruses (EL) 2024/2690 on sätestatud eeskirjad direktiivi (EL) 2022/2555 kohaldamiseks seoses küberturvalisuse riskijuhtimismeetmete tehniliste ja metoodiliste nõuetega ning täpsustatud juhud, mil intsidenti peetakse oluliseks seoses järgnevaga:

• domeeninimede süsteemi teenuse osutajad;
• tippdomeeninimede registrid;
• pilvandmetöötlusteenuse osutajad;
• andmekeskuse teenuse osutajad,
• sisu levitamise võrguteenuse pakkujad;
• hallatud teenuse osutajad;
• hallatud turbeteenuse osutajad;
• Interneti-põhiste kauplemiskohtade, Interneti-põhiste otsingumootorite ja sotsiaalvõrguteenuste platvormide pakkujad, ja
• usaldusteenuse osutajad.

Kehtetuks tunnistamine

Direktiiviga (EL) 2022/2555 tunnistati kehtetuks direktiiv (EL) 2016/1148 (vt kokkuvõte) alates 18. oktoobrist 2024 ja rakendusmäärusega (EL) 2024/2690 tunnistati kehtetuks rakendusmäärus (EL) 2018/151, millega kehtestati direktiivi (EL) 2016/1148 kohaldamise eeskirjad.