Lühidalt
NIS2 direktiivi artikkel 34 seab rahatrahvi ülempiiri: üliolulisele üksusele kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest, olulisele üksusele kuni 7 miljonit eurot või 1,4% ülemaailmsest aastakäibest — kumb on suurem. See on ülempiir, mitte automaatne karistus.
Praktikas on suurem risk sageli katkestus, andmekadu, kaotatud kliendid ja juhtkonna aeg. Trahv lisandub, kui järelevalve leiab olulise puuduse ja koostöö ei ole piisav.
Trahvide ülempiirid
| Üksuse liik | Maksimaalne rahatrahv |
|---|---|
| Ülioluline üksus | 10 mln € või 2% ülemaailmsest aastakäibest, kumb on suurem |
| Oluline üksus | 7 mln € või 1,4% ülemaailmsest aastakäibest, kumb on suurem |
Liikmesriik võib lisaks määrata perioodilisi karistusi ja muid järelevalvemeetmeid. Eesti täpsed menetlusreeglid ja karistuste kohaldamine tuleb lugeda kehtivast KüTS-ist ja RIA juhistest.
NIS2 trahvi ülempiiri kalkulaator
Vali üksuse liik ja sisesta ülemaailmne aastakäive. Kalkulaator näitab matemaatilist ülempiiri, mitte tegelikku trahvi. Andmed jäävad brauserisse.
Mida järelevalve hindab?
- Rikkumise raskus: kas puudus puudutas kogu süsteemi või üksikut protsessi.
- Kestus: kui kaua puudus püsis ja kas seda korrati.
- Mõju: kas tekkis katkestus, andmeleke või mõju teenusele.
- Hooletus: kas nõuet oli võimalik teada ja kas seda oli varem küsitud.
- Koostöö: kas ettevõte teavitas, parandas ja dokumenteeris.
- Tõendid: kas väidetud meede oli päriselt rakendatud, mitte ainult kirjas.
Seetõttu ei aita ainult poliitika dokument. Järelevalve küsib logisid, kinnitusi, testitulemusi ja otsuseid.
Juhatuse vastutus
NIS2 kohustab juhtorganit küberriskijuhtimist kinnitama ja selle eest vastutama. See tähendab, et juhatus peab nägema riskiregistrit, olulisemaid intsidente, parandusplaani ja ressursside otsuseid. Konkreetne isiklik vastutus ja võimalikud piirangud sõltuvad Eesti seadusest ja juhtumi asjaoludest; vajadusel tuleb kaasata jurist.
Praktiline tõend on juhatuse istungi protokoll, kus on kinnitatud riskid, meetmed, tähtajad ja omanikud — mitte ainult üldine „turvalisus on oluline“ avaldus.
Kuidas trahvi- ja vastutusriski vähendada?
- Kinnita, kas ja millise üksuse liigina NIS2 kohaldub; registreeri end RIA-le õigel ajal.
- Kaardista kümme miinimemeedet ja nende tõendid; ära jäta ainult poliitikaid.
- Testi intsidendi teavitamise rada 24/72 tunni nõuete vastu.
- Hoia tarneahela kriitilised tarnijad ja lepingutingimused ajakohasena.
- Vii juhatuse tasandil läbi ülevaatus ja dokumenteeri otsused.
- Paranda avastatud puudused enne, kui järelevalve need leiab.
Abiks: NIS2 kontrollnimekiri, intsidendi teatamise juhend ja küberauditi teenus.
Küsimused NIS2 trahvide kohta
Kui suur on NIS2 maksimaalne trahv?
Üliolulisele üksusele kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest, olulisele üksusele kuni 7 miljonit eurot või 1,4% ülemaailmsest aastakäibest — kumb on suurem.
Kuidas arvutatakse NIS2 trahvi ülempiir?
Üliolulisel üksusel on ülempiir suurem kahest: 10 miljonit eurot või 2% ülemaailmsest aastakäibest. Olulisel üksusel on see 7 miljonit eurot või 1,4% ülemaailmsest aastakäibest. See on matemaatiline ülempiir, mitte automaatne trahv.
Kas NIS2 trahv määratakse automaatselt?
Ei. Järelevalveasutus hindab rikkumise raskust, kestust, mõju, hooletust ja koostööd. Trahv on üks võimalik meede; enne võidakse teha ettekirjutus või nõuda puuduste kõrvaldamist.
Kas väikeettevõte võib NIS2 trahvi saada?
Kui ettevõte kuulub NIS2 kohaldamisalasse, kehtivad ka väikeettevõttele seadusest tulenevad kohustused. Väikeettevõtte erand võib vähendada dokumentatsiooni mahtu, mitte vastutust.
Kas juhatus vastutab NIS2 rikkumise eest?
NIS2 kohustab juhtorganit küberriskijuhtimist kinnitama ja selle eest vastutama. Konkreetne isiklik vastutus sõltub Eesti seadusest ja juhtumi asjaoludest; see vajab juristi hinnangut.
Mida teha, kui NIS2 rikkumine avastati?
Dokumenteeri ulatus ja mõju, käivita intsidendi- ja teavitusprotsess, kogu tõendid ning paranda puudus. Ära oota järelevalvet; koostöö ja tõendatud parandus on olulised.
Allikad
- Küberturvalisuse seadus (KüTS).
- NIS2 direktiiv (EL) 2022/2555, eriti artikkel 34.
- RIA järelevalve ja juhendid.
See on üldine teave, mitte õigusnõustamine. Konkreetse juhtumi trahvi- ja vastutusrisk hindab jurist koos järelevalveasutusega.