Meie 23.12.2020 nr 24.1-1/2020/7922
Arvamuse küsimine uue võrgu- ja infosüsteemide
turvalisuse direktiivi ettepaneku kohta
Euroopa Komisjon avalikustas 16. detsembril uue Euroopa Liidu küberpaketi, mille oluliseks osaks on uue
võrgu- ja infosüsteemide turvalisuse direktiivi ettepanek, NIS 2.0. Uus direktiiv asendaks kehtiva NIS
direktiivi, mis jõustus 2016. aastal ning on Eestis üle võetud küberturvalisuse seadusega.
NIS 2.0 ettepaneku tegemisel võttis Euroopa Komisjon arvesse kehtiva NIS direktiivi puudujääke ning
kiiresti muutuvat küberruumi, mille ohte on võimendanud COVID-19 kriis. Võrreldes kehtiva direktiiviga
on NIS 2.0 kohaldamisalas rohkem sektoreid ning osade seniste sektorite alla on lisandunud uued
allsektorid.
NIS 2.0 muudab ka direktiivi subjektide jaotust. Uus direktiivi subjektide liigitus on elutähtsad ja olulised
üksused (essential ning important entity). Ära kaob seega eraldi digitaalse teenuse osutaja kategooria.
Oluline vahe elutähtsate ja oluliste üksuste puhul seisneb nende üle järelevalves: elutähtsatele üksuste puhul
toimuks ex ante järelevalve ning oluliste üksuste puhul ex post järelevalve.
Ettepaneku kohaselt on uue direktiivi kohaldamisalas järgmised sektorid ja allsektorid (rasvasega uued):1
Essential entities: energy (electricity, district heating and cooling, oil and gas); transport (air, rail, water
and road); banking; financial market infrastructures; health; manufacture of pharmaceutical products
including vaccines; drinking water; waste water; digital infrastructure (internet exchange points; DNS
providers; TLD name registries; cloud computing service providers; data centre service providers; content
delivery networks; trust service providers; and public electronic communications networks and
electronic communications services); public administration; and space.
Important entities: postal and courier services; waste management; chemicals; food; manufacturing of
medical devices, computers and electronics, machinery equipment, motor vehicles; and digital providers
(online market places, online search engines, and social networking service platforms).
Kui kehtiva NIS direktiivi järgi on liikmesriikidel küllaltki lai kaalutlusruum määrata, millistele ettevõtetele
direktiivi nõudeid kohaldada, siis NIS 2.0 järgi kohalduksid direktiivi nõuded keskmise suurusega ja
suurtele ettevõtetele (nö suuruse kriteerium). Siinjuures lähtutakse komisjoni soovitusest 2003/361/EÜ
mikro-, väikeste ja keskmise suurusega ettevõtjate määratlemise kohta.2 On ka erandeid, millal ettevõttele
1
Tegemist on kokkuvõttega kohaldamisalast. Detailne nimekiri sektoritest, allsektoritest ja allsektorite alla
kuuluvatest üksuste tüüpidest NIS 2.0 ettepaneku lisades 1 ja 2.
2
Viidatud komisjoni soovituse järgi keskmise suurusega ettevõtted on ettevõtted, kes annavad tööd kuni 250
inimesele ja kelle aastakäive ei ületa 50 miljonit eurot või aastabilansi kogumaht 43 miljonit eurot. Väikeettevõtted
Suur-Ameerika 1 / 10122 Tallinn / 625 6342 /
[email protected] / www.mkm.ee
Registrikood 70003158
peaksid nõuded kohalduma olenemata tema suurusest, nt kui ta on ainus pakkuja. Liikmesriikidele jääb
paindlikkus kohaldada direktiivi nõudeid ka väiksematele ettevõtjatele, näiteks kui nad on oma teenuse
tõttu regionaalsel või riiklikul tasandil olulise tähtsusega.3
NIS 2.0 tugevdab ka turvanõudeid, adresseerib tarneahela turvalisust, täpsustab intsidentidest ja
küberohtudest teavitamise korda, näeb ette karmimad karistusmeetmed nõuete rikkumise puhuks ning
tugevdab liikmesriikide vahelist koostööd.
Majandus- ja Kommunikatsiooniministeerium palub NIS 2.0 ettepaneku kohta Teie arvamust, et
panna paika Eesti huvid direktiivi ettepaneku kohta ning vastavalt mõjutada ja aktiivselt osaleda
selle menetlemisel EL tasandil.
Teie arvamust kasutatakse sisendina Eesti seisukohtade koostamises. Eesti seisukohad NIS 2.0 ettepaneku
kohta on hetkel planeeritud 27. jaanuari 2021 Euroopa Liidu koordinatsioonikogu koosolekule ning
4. veebruari 2021 Vabariigi Valitsuse istungile. Ajagraafik tuleneb Euroopa Liidu asjade menetlemise
juhisest.4 Diskussioon ettepaneku üle algab Euroopa Liidu tasandil juba 12. jaanuaril 2021.
Palume Teie tagasisidet hiljemalt 11. jaanuariks 2021. Vabandame, et see on aasta algust arvestades
lühike tähtaeg – aga eelmises lõigus viidatult pole tempo siin olnud meie määrata.
NIS 2.0 direktiivi ettepanekuga seotud dokumentide lingid:
NIS 2.0 direktiivi ettepanek koos lisadega (siin avalikustatakse ka eestikeelne versioon);
NIS 2.0 direktiivi ettepaneku mõjuanalüüs.
Lugupidamisega
(allkirjastatud digitaalselt)
Siim Sikkut
side ja riigi infosüsteemide asekantsler
Anna-Liisa Pärnalaas
639 7697
[email protected]
Adressaadid:
Riikliku küberturvalisuse poliitika nõukoja MTÜ Ravimitootjate Liit
meililist Eesti Post
Eesti Elektroonikatööstuse Liit Eesti Linnade ja Valdade Liit
Eesti Keemiatööstuse Liit Eesti Kohtuekspertiisi Instituut
Eesti Masinatööstuse Liit Riigiprokuratuur
Eesti Kaubandus- ja Tööstuskoda Andmekaitse Inspektsioon
Eesti Toiduainetööstuse Liit Haridus- ja Noorteamet
on ettevõtted, kes annavad tööd kuni 50 inimesele ja kelle aastakäive või aastabilansi kogumaht ei ületa 10 miljonit
eurot.
3
Täpsemalt vt NIS 2.0 ettepaneku artikkel 2.
4
Üldjuhul esitatakse seisukohad EL õigusakti eelnõu kohta EL koordinatsioonikogule kooskõlastamiseks viie
nädala jooksul ning valitsusele arutamiseks ja otsustamiseks kuue nädala jooksul pärast algatuse kõikide
keeleversioonide avaldamist. Vt juhise p 17(1).
2 (3)
Kaitseliit Tallinna Tehnikaülikool
Kaitsevägi Tallinna Ülikool
Politsei- ja Piirivalveamet Tartu Ülikool
Kaitsepolitseiamet e-Riigi Akadeemia
Välisluureamet Rahvusvaheline Kaitseuuringute Keskus
Sihtasutus KredEx NATO Küberkaitsekoostöö Keskus
Eesti Interneti Sihtasutus Eesti Infotehnoloogia ja Telekommunikatsiooni
Tarbijakaitse ja Tehnilise Järelevalve Amet Liit
Riigi Infokommunikatsiooni Sihtasutus Eesti Kaitsetööstuse Liit
Haridus- ja Teadusministeerium Eesti Infoturbe Assotsiatsioon
Riigikantselei Julgeoleku ja riigikaitse Eesti Pangaliit
koordinatsioonibüroo Toomas Vaks
3 (3)