31.1.2018   

ET

Euroopa Liidu Teataja

L 26/48

(1)

Direktiivi (EL) 2016/1148 kohaselt on digitaalse teenuse osutajatel vabadus võtta tehnilisi ja korralduslikke meetmeid, mida nad peavad oma võrgu- ja infosüsteemide turvalisust ohustavate riskide haldamiseks asjakohaseks ja proportsionaalseks, tingimusel et nende meetmetega tagatakse asjakohane turvalisuse tase ning võetakse arvesse direktiiviga ette nähtud elemente.

(2)

Asjakohaste ja proportsionaalsete tehniliste ja korralduslike meetmete kindlakstegemiseks peaks digitaalse teenuse osutaja käsitlema infoturvet süsteemselt, rakendades riskipõhist lähenemisviisi.

(3)

Süsteemide ja rajatiste turvalisuse tagamiseks peaksid digitaalse teenuse osutajad korraldama hindamisi ja analüüse. Need peaksid käsitlema järgimisi aspekte: võrgu- ja infosüsteemide süsteemne haldamine, füüsiline ja keskkonnaga seotud turvalisus, tarnete turvalisus ning juurdepääsukontroll.

(4)

Kui digitaalse teenuse osutajad teevad võrgu- ja infosüsteemide süsteemse haldamise raames riskianalüüsi, tuleks neil soovitada välja selgitada spetsiifilised riskid ja kirjeldada kvantitatiivsete näitajate abil nende olulisust, näiteks võiks kindlaks teha elutähtsat vara ähvardavad ohud ja nende võimaliku mõju tegevusele ning otsustada, kuidas neid olemasoleva suutlikkuse ja nõutavate ressursside alusel kõige paremini leevendada.

(5)

Personalipoliitika võiks hõlmata oskuste kujundamist, sealhulgas turvalisusega seotud oskuste arendamist ja teadlikkuse suurendamist puudutavaid aspekte. Tegevuse turvalisust käsitlevate põhimõtete üle otsustamisel peaksid digitaalse teenuse osutajad võtma arvesse muutuste juhtimise, haavatavustegurite haldamise, tegevus- ja haldustavade formaliseerimise ja süsteemide kaardistamise aspekte.

(6)

Turvaarhitektuuri põhimõtted võiksid eelkõige hõlmata võrkude ja süsteemide lahusust ning konkreetseid turbemeetmeid elutähtsate toimingute, nagu haldustoimingute jaoks. Võrkude ja süsteemide lahusus võiks võimaldada digitaalse teenuse osutajal eristada selliseid elemente nagu andmevood ja andmetöötlusressursid, mis kuuluvad kliendile, klientide rühmale, digitaalse teenuse osutajale või kolmandatele isikutele.

(7)

Füüsilise ja keskkonnaga seotud turvalisuse kindlustamiseks võetavad meetmed peaksid tagama organisatsiooni võrgu- ja infosüsteemide turvalisuse selliste ohtude põhjustatud intsidentide puhul nagu vargus, tulekahju, üleujutus või muud ilmastikuolud, telekommunikatsiooniprobleemid või voolukatkestused.

(8)

Elektri-, kütuse- või jahutusenergiaga varustamise kindlus võiks katta ka tarneahelat, mis hõlmab eelkõige väliste töövõtjate ja alltöövõtjate ning nende juhtimisega seotud turvalisust. Elutähtsate tarnete jälgitavus tähendab digitaalse teenuse osutaja suutlikkust teha kindlaks ja registreerida nende tarnete allikad.

(9)

Digitaalse teenuse kasutajatena tuleks käsitada füüsilisi ja juriidilisi isikuid, kes on internetipõhise kauplemiskoha või pilvandmetöötlusteenuse kliendid või tellijad või kes külastavad internetipõhise otsingumootori veebisaiti märksõnaotsingu tegemiseks.

(10)

Intsidendi mõju olulisuse kindlaksmääramisel tuleks käesolevas määruses nimetatud juhtumitesse suhtuda kui oluliste intsidentide mitteammendavasse loetelusse. Käesoleva määruse rakendamisest ja tööst, mida koostöörühm teeb, et koguda parimaid tavasid riskide ja intsidentide kohta ning arutada intsidentidest teatamise korra üle vastavalt direktiivi (EL) 2016/1148 artikli 11 lõike 3 punktidele i ja m, tuleks teha järeldusi. Tulemuseks võiksid olla põhjalikud suunised selle kohta, milliste teatamisparameetrite kvantitatiivsete piirmäärade ületamise korral tekib digitaalse teenuse osutajal direktiivi (EL) 2016/1148 artikli 16 lõike 3 kohane teatamiskohustus. Kui see on asjakohane, võiks komisjon kaaluda ka määruses praegu sätestatud piirmäärade läbivaatamist.

(11)

Selleks et pädevaid asutusi oleks võimalik potentsiaalsetest uutest riskidest teavitada, tuleks julgustada digitaalse teenuse pakkujaid vabatahtlikult teatama intsidentidest, mille omadustega nad ei ole varem kokku puutunud, nagu uued nõrkuste ärakasutamise moodused, ründevektorid või ohusubjektid, haavatavused ja ohud.

(12)

Käesolevat määrust tuleks hakata kohaldama alates direktiivi (EL) 2016/1148 ülevõtmise tähtaja möödumisele järgnevast päevast.

(13)

Käesoleva määrusega ette nähtud meetmed on kooskõlas direktiivi (EL) 2016/1148 artiklis 22 nimetatud võrgu- ja infoturbesüsteemide komitee arvamusega,

a)

võrgu- ja infosüsteemide süsteemne haldamine, mis tähendab infosüsteemide kaardistamist ja asjakohaste põhimõtete väljatöötamist infoturbe haldamise, sealhulgas riskianalüüsi, personali, toimingute turvalisuse, turvaarhitektuuri, andmete ja süsteemi elutsükli turvalise haldamise ning vajaduse korral krüpteerimise ja selle haldamise jaoks;

b)

füüsiline ja keskkonnaga seotud turvalisus, mis tähendab, et olemas on meetmed, millega kaitstakse digitaalse teenuse osutaja võrgu- ja infosüsteemide turvalisust kahju eest, rakendades kõiki ohte hõlmavat riskipõhist lähenemisviisi, mille puhul tegeldakse näiteks süsteemitõrgete, inimeksimuste, pahatahtliku tegevuse ja loodusnähtustega;

c)

tarnete turvalisus, mis tähendab asjakohaste põhimõtete väljatöötamist ja säilitamist, et tagada teenuste osutamiseks kasutatavate peamiste tarnete kättesaadavus ja vajaduse korral jälgitavus;

d)

võrgu- ja infosüsteemidele juurdepääsu kontroll, mis tähendab, et olemas on meetmed, millega tagatakse, et võrgu- ja infosüsteemide füüsilise ja loogilise juurdepääsu, sealhulgas võrgu- ja infosüsteemide haldusturvalisuse jaoks kasutatakse talitlus- ja turvanõuetel põhinevaid volitusi ja piiranguid.

a)

tuvastamisprotsessid ja -menetlused, mida hoitakse alal ja testitakse, et tagada õigeaegne ja piisav teadlikkus anomaalsetest juhtumitest;

b)

intsidentidest teatamise ja infosüsteemide nõrkade kohtade ja haavatavuste kindlakstegemise protsessid ja põhimõtted;

c)

kehtestatud korra kohane reageerimine ja võetud meetmete tulemustest teatamine;

d)

intsidendi raskusastme hindamine, intsidendianalüüsi põhjal saadud teadmuse dokumenteerimine ja sellise asjakohase info kogumine, mida saab kasutada tõendusmaterjalina ja mille põhjal saab protsesse pidevalt täiustada.

a)

toime analüüsi põhjal koostatud hädaolukorra lahendamise kavade koostamine ja kasutamine, et tagada digitaalse teenuse osutajate poolse teenuse pakkumise järjepidevus, mida hinnatakse ja testitakse regulaarselt, näiteks õppuste kaudu;

b)

avariitaastesuutlikkus, mida hinnatakse ja testitakse regulaarselt, näiteks õppuste kaudu.

a)

vaatluste või mõõtmiste kavandatud seeriate korraldamine, et hinnata, kas võrgu- ja infosüsteemid toimivad eesmärgipäraselt;

b)

inspekteerimine ja kontrollimine, et teha kindlaks, kas standardeid või suuniseid järgitakse, andmed on täpsed ning täidetakse tõhususe ja tulemuslikkuse eesmärke;

c)

protsess, mille eesmärk on tuvastada puudused võrgu- ja infosüsteemide turvamehhanismides, millega kaitstakse andmeid ja tagatakse eesmärgipärane toimimine. Selline protsess hõlmab toiminguvooga seotud tehnilisi protsesse ja personali.

a)

selliste mõjutatud füüsiliste ja juriidiliste isikute arv, kellega on teenuse osutamiseks sõlmitud leping, või

b)

teenust kasutanud mõjutatud kasutajate arv, mille aluseks on eelkõige varasemad andmeliiklusandmed.

a)

digitaalse teenuse osutaja pakutav teenus ei olnud kättesaadav üle 5 000 000 kasutajatunni, kusjuures kasutajatund tähendab liidus asuvate mõjutatud kasutajate arvu kuuekümne minuti jooksul;

b)

intsident on põhjustanud salvestatud, edastatud või töödeldud andmete või digitaalse teenuse osutaja võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate asjaomaste teenuste tervikluse, autentsuse või konfidentsiaalsuse kadu, mis mõjutab rohkem kui 100 000 kasutajat liidus;

c)

intsident on seadnud ohtu avaliku ohutuse, avaliku julgeoleku või inimelu;

d)

intsident on põhjustanud liidus vähemalt ühele kasutajale materiaalset kahju, mis ületab 1 000 000 eurot.