Seadus loetleb kindlad tegevusalad (nt e-kaubandus, IT-teenused, energia, transport), kus küberturbe nõuded kehtivad. Suuruslävend — 50+ töötajat või käive/bilansimaht üle 10 miljoni euro — määrab, kas teile kehtivad täies mahus olulise üksuse nõuded.

1Kontrolli seaduse tekstist erandeid, nõuete täitmisest on vabastatud mõned koolid ja omavalitsusasutused.
2Valitsuse määrus 121 annab ette üle 60 täpse nõude infoturbe tagamiseks.
3See tähendab, et "meil on IT partner" või "meil on pilv" ei vabasta kohustusest omada toimivaid turvameetmeid ja tõendeid.

"Võrgu- ja infosüsteemide küberturvalisuse nõuded" (erandi kirjeldus teenuseosutaja suuruse kohta)

www.riigiteataja.ee

Infopol lahendab

Infopol teeb nõuetest kontrollnimekirja, loob vajalikud dokumendid ja kogub tõendid ühte kohta, et saaksite kohustust täita ilma, et see muutuks eraldi projektiks.

Kui te haldate internetipõhist kauplemiskohta, olete seaduses nimetatud teenuse liik, millele rakenduvad küberturbe nõuded.

1"Internetipõhise kauplemiskoha pidaja" on seaduses eraldi nimetatud kategooria.
2Kui te olete ka eelneva punkti lävendite järgi "piisavalt suur", liigute kohustuslike nõuete alla.
3Praktikas tähendab see, et veebirakenduse turve, tarnijate haldus ja intsidentide protsess peavad olema tõendatavad.

Küberturvalisuse seadus (KüTS) § 3 (olulise üksuse liigid ja lävend e-kaubanduse puhul)

www.riigiteataja.ee

Infopol lahendab

Infopol loob valmis struktuuri: rollid, protseduurid, logid ja tõendid ühes kohas — et "näidake tõendeid" ei muutuks otsimiseks.

Seadus nõuab isiklikku vastutust juhatuselt — ja kui kedagi ei määrata, vastutavad kõik juhatuse liikmed.

1Iga teenuseosutaja peab määrama vähemalt ühe juhatuse liikme, kes kiidab heaks turvameetmed, jälgib nende rakendamist ja vastutab isiklikult tulemuste eest.
2See vastutav juhatuse liige on kohustatud läbima korrapäraseid koolitusi, et suuta hinnata riske, nende mõju ja riskijuhtimise viise — teadmatus ei vabasta kohustusest.
3Kui ühtegi juhatuse liiget ei määrata, kohalduvad kõik KüTS-i kohustused automaatselt igale juhatuse liikmele eraldi — erandeid ei ole.

KüTS § 61 (Teenuseosutaja juhatuse liikme kohustused)

www.riigiteataja.ee

Infopol lahendab

Infopol dokumenteerib vastutava juhatuse liikme määramise, koolitusajaloo ja turvameetmete kinnitused — nii on igal hetkel selge, kes vastutab ja millal viimati kohustust täideti.

Määrus paneb paika esmased turvameetmed, mis peavad olema reaalselt kasutusel.

1Nõuded on sõnastatud turbevaldkondadena, mille kohta peab olema kontroll ja tõend.
2See sunnib looma süsteemi, mitte üksikuid dokumente: kes teeb, millal teeb, kus on tõend.
3Ilma selleta kukuvad läbi auditid, partnerite turvaküsitlused ja intsidentide järelkontroll.

"Võrgu- ja infosüsteemide küberturvalisuse nõuded" § 5¹ "Esmased turvameetmed"

www.riigiteataja.ee

Infopol lahendab

Infopol muudab turvameetmed töövoogudeks ja tõenditeks: kes kinnitab, kes teeb, mis on tehtud, mis on puudu.

Tarnijate ja väliste teenuste haldus on eraldi turbevaldkond, mida peab juhtima.

1Suured kliendid ja hankijad peavad kontrollima tarneahela turvalisust, mis tähendab, et nad hakkavad kontrollima ka teid.
2Kui te ei suuda näidata, kuidas tarnijariske juhite, jääte lepingutest ja hangetest välja.
3See ei ole teoreetiline: küsimustikud, auditipäringud ja "tõendid palun" muutuvad normiks.

Võrgu- ja infosüsteemide küberturvalisuse nõuded § 5¹ lõige 1 punkt 4 (tarnijate haldus)

www.riigiteataja.ee

Infopol lahendab

Infopol annab tarneahela kontrolli vormid ja tõendite struktuuri, et "meil on partnerid" muutuks "me juhime riske ja tõendame".

KüTS paneb teenuseosutajale kohustuse küberintsidentidest teavitada ja need hallata.

1Teavitamine käib pärast teada saamist ja eeldab, et teil on protsess, mitte improviseerimine.
2Intsidentide logi, ajajoon ja otsused peavad olema taastatavad.
3Kui protsessi ei ole, tekib rikkumine juba reageerimise faasis.

KüTS § 11 (digitaalse teenuse osutaja teavitamiskohustus)

www.riigiteataja.ee

Infopol lahendab

Infopol annab valmis intsidentide töövoo, logimise ja raporti struktuuri, et teavitamise "kell" ei lööks teid rivist välja.

GDPR nõuab, et te suudate näidata, kuidas te andmeid kaitsete, ja rikkumisel tuleb tegutseda kiiresti.

1Kui te ei suuda tõendada, loetakse see praktiliselt samaks nagu "ei ole tehtud".
2Rikkumise korral on järelevalve teavitamise loogika ajakriitiline.
3Ilma dokumentatsiooni ja töövoota ei ole võimalik reageerida õigel ajal.

GDPR art 24 ja art 33 (ja vajadusel art 34)

eur-lex.europa.eu

Infopol lahendab

Infopol koondab GDPR-i tõendid (juhendid, rollid, protsessid, logid) ühte kohta, et küsimus "tõestage" ei muutuks paanikaks.

Kas teie ettevõte tegutseb KüTS-is nimetatud tegevusalal?