NIS2 intsidendist teatamine

Mis on oluline küberintsident?

NIS2 mõttes on intsident sündmus, mis kahjustab andmete või teenuse kättesaadavust, autentsust, terviklust või konfidentsiaalsust. Oluline on see, kui sündmus põhjustab tõsise teenusekatkestuse või rahalise kahju või mõjutab teisi isikuid olulise materiaalse või mittemateriaalse kahjuga. Piiri ei määra ainult tehniline tõsidus, vaid mõju teenusele ja teistele osapooltele.

• Teenusekatkestus: kriitiline teenus ei ole kättesaadav või on oluliselt aeglustunud.
• Rahalise kahju risk: otsene kulu, kahjustatud tehingud või vajalik erakorraline töö.
• Mõju teistele: kliendid, partnerid või tarneahel kannatavad tuvastatava kahju.
• Korduvus ja ulatus: sama nõrkuse korduv kasutamine või mitme süsteemi haaramine.

Kahtluse korral ära oota lõplikku tõendit: varajane hoiatus on mõeldud just ebakindla olukorra jaoks. Otsuse tegemiseks pea plaani, kes hindab tõsidust ja kes teatab.

Napilt toimumata jäänud küberintsident

16.10.2026 jõustunud muudatusega lisandus mõiste napilt toimumata jäänud küberintsident: sündmus, mis oleks võinud kahjustada andmete või teenuse kättesaadavust, autentsust, terviklust või konfidentsiaalsust, kuid mis õnnestus ära hoida või ei tekkinud.

Sellest teatamine on vabatahtlik: küberturvalisuse seaduse § 8¹ järgi võib teenuseosutaja või muu isik RIA-le napilt toimumata jäänud intsidendist teatada. Kui sündmus vastab siiski olulise intsidendi kriteeriumidele, kehtib tavaline 24 tunni / 72 tunni / ühe kuu kohustus.

Kolm teatist

Vahepealset teavet võib järelevalveasutus küsida ka teatiste vahel. Hoia intsidendi logi ühes kohas, et iga etapp ei algaks nullist.

Mida teatada?

• Mis juhtus: lühike faktiline kirjeldus ilma oletusteta.
• Millal: avastamise aeg ja esialgne toimumisaeg.
• Mõju: katkestus, andmed, kliendid, rahaline risk, piiriülene mõju.
• Ulatus: mõjutatud teenused, süsteemid ja tarneahela osad.
• Indikaatorid: IoC-d, logiviited ja maskeeritud tõendid; ära saada paroole ega isikuandmeid.
• Meetmed: mis on peatatud, isoleeritud või parandatud.
• Kontakt: kes vastab täpsustavatele küsimustele ööpäevaringselt.

Kasuta ühtset malli ja hoia versioonid. Teatise koostamine ei tohiks sõltuda ühest inimesest, kes parajasti kohal on.

Laadi teatamise mall (.txt) – kolm teatist, vajalikud väljad ja kontrollnimekiri enne esitamist.

Kuidas valmistuda?

1. Kirjuta intsidendiplaan: tuvastamine, piiramine, kõrvaldamine, taastamine ja õppetunnid.
2. Määra rollid: intsidendi juht, tehniline kontakt, juriidiline ja kommunikatsiooni kontakt.
3. Hoia kontaktid: RIA/CERT-EE, Andmekaitse Inspektsioon, IKT-tarnijad ja kindlustus.
4. Valmista mallid: kolm teatist, sisemine teavitus ja klienditeavitus.
5. Testi: korralda lauaõppus ja kontrolli, kas 24 tunni otsus on tehtav.
6. Säilita logid: kinnita Logi säilitamise aeg ja kättesaadavus ka siis, kui süsteem on maas.

Intsidendi käsitlemise playbook

Teatamine on üks osa käsitlemisest. Esimese tunni otsused määravad, kui palju tõendeid säilib ja kui kiiresti saab teenuse taastada.

1. Määra intsidendi juht ja ava otsustelog: kes, mida, millal otsustas. Ilma logita tekib hiljem vaidlus.
2. Ära muuda tõendeid: isoleeri mõjutatud süsteemid võrgust, ära vorminda ega kustuta masinat enne logide ja mälupildi säilitamist.
3. Hinda ulatust: millised teenused, andmed ja kliendid on mõjutatud; kas mõju on piiriülene.
4. Teavita sisemiselt: juhtkond, juriidika, kommunikatsioon ja vajadusel andmekaitse. Välised teated kooskõlasta enne saatmist.
5. Piira ja taasta: eemalda juurdepääs, vaheta lekkinud võtmed, taasta varundusest kontrollitud järjekorras.
6. Dokumenteeri ja õpi: kirjuta ajatelg, juurpõhjus ja parandused; vaata õppetunnid läbi hiljemalt kahe nädala jooksul.

Tõendite säilitamine: hoia logid, mälupilt, kettapilt ja võrguühenduste väljavõtted muutumatuna; fikseeri kellaaeg ja tsoon; säilita seadmepääsu logi. Kui süsteem tuleb kiiresti taastada, tee enne pilt või vähemalt logide eksport.

24 tunni ajatelg

1. T+0 – avastamine: fikseeri aeg, allikas ja esmased sümptomid; ära muuda tõendeid.
2. T+1h – hindamine: kas tegu on olulise intsidendiga, kes otsustab ja kes teatab?
3. T+4h – piiramine: isoleeri mõjutatud osad, säilita logid ja teavita sisemisi osapooli.
4. T+12h – mustand: koosta varajane hoiatus, kontrolli faktid ja eemalda saladused.
5. T+24h – esitamine: saada teade RIA-le, salvesta kinnitus ja ajatempel.

Ajatelg on näidis, mitte kohustuslik protsess. Kui intsident avastatakse hiljem, loeb avastamise aeg, mitte esialgne kahtlus.

Otsustuspuu: kas teatada?

• Kas teenus oli oluliselt katkestatud või aeglustunud? Jah → teatamise tõenäosus kõrge.
• Kas andmed või raha olid ohus? Jah → hinda mõju ja teata.
• Kas mõju ulatub klientide või partneriteni? Jah → teata ja kaalu nende teavitamist.
• Kas tegu oli üksiku ebaõnnestunud katsega ilma mõjuta? Dokumenteeri; kui sündmus jäi napilt toimumata, saad sellest vabatahtlikult teatada.

Kahtluse korral saada varajane hoiatus – selle eesmärk ongi ebakindel olukord. Hilisem täpsustus parandab pilti, puuduv teavitus mitte.

Kuhu ja kellele?

Eestis teavitab kohustuslane Riigi Infosüsteemi Ametit, kasutades CERT-EE teatamiskeskkonda (raport.cert.ee). Isikuandmetega seotud rikkest tuleb lisaks teatada Andmekaitse Inspektsioonile 72 tunni jooksul (AKI). Klientide ja partnerite teavitamine sõltub lepingutest ja mõjust; pane see plaani eelnevalt kirja, mitte ära otsusta kriisi ajal.

Kui sinu ettevõte ei ole NIS2 kohustuslane, saab CERT-EE-le intsidendist siiski teatada. See aitab kaasa olukorrapildile ega asenda muid kohustusi.

Küsimused teatamise kohta