Lühidalt
NIS2 juhatuse kohustus on kinnitada turvameetmed, jälgida nende rakendamist ja vastutada nende eest. Juhtorgan ei pea ise seadistama tulemüüri, kuid peab teadma, millised riskid on aktsepteeritud, kes nende eest vastutab ja millised tõendid näitavad, et meetmed toimivad.
Praktiline miinimum: riskiregister, meetmete plaan eelarve ja tähtaegadega, intsidendiprotsess, kriitiliste tarnijate ülevaade, koolitus ja regulaarne juhtkonna ülevaatus. Iga punkti kohta peab olema otsus, mitte ainult slaid.
Mida seadus ütleb
NIS2 artikkel 20 kohustab juhtorganit kinnitama küberriskijuhtimise meetmed, jälgima nende rakendamist ja vastutama nende eest. Juhtorgani liikmed peavad läbima koolituse, et mõista riske ja nende mõju teenustele. Eestis täpsustab selle küberturvalisuse seadus (KüTS), sealhulgas juhatuse liikme määramise ja vastutuse.
See ei ole ainult formaalne kinnitus. Kui juhtorgan kinnitab meetmed, peab tal olema alus otsustada: riskiregister, eelarve, tehniline seis ja teadaolevad puudujäägid. Kui need puuduvad, kinnitatakse lootus, mitte olukord.
Mida juhtorgan kinnitab
| Otsus | Mida kinnitada | Tõend |
|---|---|---|
| Riskide juhtimine | Riskiregister, riskijääk, aktsepteeritud riskid | Koosoleku protokoll, riskiregistri versioon |
| Meetmete plaan | Prioriteedid, eelarve, vastutajad, tähtajad | Kinnitatud tegevuskava ja eelarverida |
| Intsidendid | Teatamise kord, kontaktid, õppuse toimumine | Plaan, õppuse raport, teatamislogi |
| Tarneahel | Kriitilised tarnijad, nõuded, exit-riskid | Tarnijate register ja lepingute ülevaatus |
| Koolitus | Juhtkonna ja töötajate koolituskava | Osalejate nimekiri ja materjalid |
Otsused peavad olema seotud ärimõjuga: maksevõime, teenuse katkestus, maine, lepingud ja õiguslikud kohustused. „Turvalisus on oluline“ ei ole otsus; „selle aasta prioriteet on varunduse taastetest ja MFA kriitilistel kontodel“ on.
Tõendid, mida juhatus peaks nägema
- Üks lehekülg riskidest: top 5 riski, mõju, omanik ja seis.
- Meetmete edenemine: plaan vs tegelik, tähtaja ületused ja põhjused.
- Intsidendid: arv, tõsidus, lahendusaeg ja kordumine.
- Varundus: viimase taastetesti tulemus ja RTO/RPO kõrvalekalle.
- Ligipääs: MFA katvus kriitilistel kontodel ja erandite loetelu.
- Tarneahel: kriitilised tarnijad, nende viimane ülevaatus ja avatud riskid.
Need ei pea olema kümme dashboard'i. Üks aus leht on parem kui viis rohelist graafikut, mis ei näita detaile.
Juhatuse päevakord: 45–60 minutit
- 5 min – otsused: mida täna kinnitada või tagasi lükata.
- 15 min – riskid: top-riskid, muutused ja aktsepteeritud riskid.
- 10 min – intsidendid ja õppused: mis juhtus, mida muudeti.
- 10 min – tõendid: varundus, MFA, tarnijad, auditileiud.
- 10 min – ressurss: eelarve, inimesed, järgmised tähtajad.
- 5 min – otsuste kinnitus: kes, mida ja millal.
Päevakord peab lõppema otsustega, mitte „võtame teadmiseks“. Kui otsust ei tehta, on riski omanik endiselt ebaselge.
Küsimused, mida juhatus peaks küsima
- Milline on meie suurim küberrisk ja kes selle eest vastutab?
- Millised kriitilised tarnijad meid kõige rohkem mõjutavad?
- Kas me suudame tõestada, et varukoopia taastub, mitte ainult et see valmis?
- Kui palju kriitilisi kontosid on ilma MFA-ta ja miks?
- Kui kaua kulub intsidendist teatamiseni ja kes otsustab?
- Millised auditileiud on üle tähtaja ja mis neid blokeerib?
- Kas meie eelarve katab plaanitud meetmed või ainult hädavajaliku?
Levinud vead
- Kinnitamine ilma andmeteta: juhatus kinnitab plaani, mida ta ei ole näinud.
- Delegeerimine ilma vastutust: „IT tegeleb“ ei tähenda, et juhtorganil puudub kohustus.
- Ainult intsidendid: ennetus ja tõendid jäävad kõrvale.
- Rohelised mõõdikud: katvus näitab litsentsi, mitte tegelikku kasutust.
- Erandid ilma tähtajata: ajutine erand muutub püsivaks riskiks.
90 päeva plaan
- 0–30 päeva: nimetage vastutav juhatuse liige, kinnitage riskiregistri omanik ja küsige ühe lehekülje seisu.
- 31–60 päeva: viige läbi juhatuse istung, kus otsustatakse top-riskid, eelarve ja tähtajad; kontrollige intsidendiprotsessi kontakte.
- 61–90 päeva: testige ühte kriitilist stsenaariumi (nt varunduse taaste või intsidendi teatamine) ja viige tulemus juhatusse tagasi.
Kui soovid välist vaadet, saab küberaudit anda tõendid ja prioriteedid, kuid juhtorgani otsust see ei asenda.
Küsimused juhatuse rolli kohta
Kas juhatus peab kõik meetmed ise ellu viima?
Ei. Juhtorgan kinnitab raamistiku, prioriteedid ja vastutuse ning jälgib tulemust. Igapäevane rakendamine on juhtide ja spetsialistide töö, kuid vastutus ja järelevalve jäävad juhtorganile.
Kas juhatuse liikmel on isiklik vastutus?
NIS2 nõuab juhtorgani vastutust ja koolitust; täpne isiklik vastutus sõltub liikmesriigi õigusest ja asjaoludest. Eestis tuleb kontrollida KüTS-i ja võimalikku vastutust; see artikkel ei ole õigusnõu.
Kui tihti juhatus küberteemaga tegelema peab?
Vähemalt regulaarselt, näiteks kord kvartalis, ja kohe olulise intsidendi, auditi või suure muudatuse järel. Sagedus peab vastama riskile, mitte ainult kalendrile.
Kas NIS2 nõuab eraldi küberkomiteed?
Ühtset kohustust eraldi komitee järele ei ole. Oluline on, et juhtorganil oleks selge vastutaja, päevakord, tõendid ja otsustusprotsess. Komitee võib aidata, kuid ei asenda juhtorgani vastutust.
Allikad
- NIS2 direktiiv (EL) 2022/2555, artikkel 20.
- Tehisabiline: NIS2 nõuded Eestis.
- Tehisabiline: NIS2 kontrollnimekiri.
See artikkel on selgitav, mitte õigusnõu. Kohustuse ulatuse ja vastutuse kinnitab sinu organisatsiooni õigusnõustaja ja pädev asutus.