Subject: Küsimusi NIS2 teemadel
From: "Norman Ojasoo" <[email-masked]>
To: "ria uldmeil" <[email-masked]>
Date: Mon, 27 Jan 2025 14:22:39 +0200

E-kiri saadeti väljastpoolt RIA-t. Kui Sa ei tunne saatjat, siis ära ava
linke ega manuseid!

Tere

Selline mure on ,et töötan läbi NIS2 direktiivi ja olen märganud sellist
erisust, et see palju teenuse pakkujad kes lubavad NIS2 juurutamisel toeks
olla, viitavad oma teenuste õigustamiseks NIS2 artilitele 21, 22, 4 jne.

Need artiklid aga ei sea konkreetseid kohutusi ettevõtjale.

Toon esile mõned lõigud (punases)  ja tekkinud küsimused ja jään ootama
teie poolseid kommetnaare või veel toredam oleks kellagagi ajada 15
minutit juttu, et natuke selgemalt aru saada, millised RIA ootused
rakendamise osas on.

Kui vaatan nt Artikkel 21 sõnastust:

1.	Liikmesriigid tagavad, et elutähtsad ja olulised üksused võtavad
asjakohased ja proportsionaalsed tehnilised, tegevuslikud ja
korralduslikud meetmed, et juhtida riske, mis ohustavad nende üksuste
tegevuses või teenuste osutamisel kasutatavate võrgu- ja infosüsteemide
turvalisust, ning et ennetada või minimeerida intsidentide mõju nende
teenuste saajatele ja muudele teenustele.

*	Kas RIA on andnud omapoolsed suunised, kuidas ta need EU poolt
antud suuniseid Eestis rakendada soovib?

Võttes arvesse kaasaegseid ning, kui see on kohaldatav, asjakohaseid
Euroopa ja rahvusvahelisi standardeid ja rakendamiskulusid tagatakse
esimeses lõigus osutatud meetmetega ähvardavale ohule vastav võrgu- ja
infosüsteemide turvalisuse tase.

*	Kas kaasaegsete ja asjakohaste standardite all, mida võibolla saab
kohaldada, on peetud silmas EITSi ja ISO standardeid? Kas mul on mingi
oluline info jäänud kahe silma vahele või kust peaksettevõte kes ei ole
EITS/ISO27001 kohustusega, aga nüüd on NIS2 kohuslane, siis millistest
juhendistest ta lähtuma peab? Minuteada, ei ole RIA NIS2 osas konkreetseid
suuniseid andnud.

Olen veebist leidnud sellised:

Küberturvalisuse ABC | RIA
<https://www.ria.ee/kuberturbe-nouanded/nouanded-internetikasutajale/kuber
turvalisuse-abc>

Nõuded paroolile | RIA
<https://www.ria.ee/kuberturbe-nouanded/nouanded-asutusele-ja-ettevottele/
nouded-paroolile>

Ära hoia kõiki teenuseid interneti teel kättesaadavana | RIA
<https://www.ria.ee/kuberturbe-nouanded/nouanded-internetikasutajale/inter
netist-kattesaadavad-teenused>

Soovitused organisatsioonile küberintsidendi käsitlemisel | RIA
<https://www.ria.ee/kuberturbe-nouanded/nouanded-asutusele-ja-ettevottele/
soovitused-kuberintsidendi-kasitlemisel>

Soovitused elutähtsa/olulise teenuse osutajale | RIA
<https://www.ria.ee/kuberturbe-nouanded/nouanded-asutusele-ja-ettevottele/
soovitused-elutahtsaolulise-teenuse-osutajale>

Küberintsidendist teavitamine | RIA
<https://www.ria.ee/kuberturvalisus/kuberintsidentide-kasitlemine-cert-ee/
kuberintsidendist-teavitamine>

Nende meetmete proportsionaalsuse hindamisel võetakse igakülgselt arvesse
üksuse riskidele avatuse määra, üksuse suurust ning intsidentide esinemise
tõenäosust ja nende tõsidust, sealhulgas nende ühiskondlikku ja
majanduslikku mõju.

1.	Lõikes 1 osutatud meetmed põhinevad kõiki ohte hõlmaval
lähenemisviisil, mille eesmärk on kaitsta võrgu- ja infosüsteeme ning
nende süsteemide füüsilist keskkonda intsidentide eest, ning hõlmavad
vähemalt järgmist:

riskianalüüsi ja infosüsteemide turbe põhimõtteid;

b)

intsidentide käsitlemist;

c)

talitluspidevust, näiteks varundushaldus ja avariitaaste, ning
kriisiohjet;

d)

tarneahela turvalisust, sealhulgas sellised turvalisusesse puutuvad
aspektid, mis on seotud iga üksuse ja tema otseste tarnijate või
teenuseosutajate vaheliste suhetega;

e)

võrgu- ja infosüsteemide hankimise, arendamise ja hooldamise turvalisust,
sealhulgas nõrkuste käsitlemine ja avalikustamine;

f)

tööpõhimõtteid ja menetluskorda küberturvalisuse riskijuhtimismeetmete
tõhususe hindamiseks;

g)

küberhügieeni põhitavasid ja küberturvalisuse koolitust;

h)

krüptograafia ja, kui see on kohane, krüpteerimise kasutamise põhimõtteid
ja menetlusi;

i)

personali turvalisust, juurdepääsukontrolli põhimõtteid ja varade haldust;

j)

kui see on kohane, mitmikautentimise või pidevautentimise lahenduste,
turvalise hääl-, video- ja tekstiside ning turvaliste hädaolukorra
sidesüsteemide kasutamist üksuses.

Need suuresti väga üldised sõnastused ja ilma täpsemate suunisteta võib
neid ka väga laialt tõlgendada.

Ühtepidi räägime lahendusest, kus sul lisaks L7 tulemüüridele, kaasaegsele
antiiviirusele (edr toega) ja haldustööriistale (mida mis teeb
seadmehaldus, varahaldust, monitooringut, helpdeski/piletisüsteemi jne)
lisaks veel ka eraldi SIEM lahendust, mille ehitamise ja haldamise kulu
kokku on märkimisväärsed. Eriti koos korraliste küberturbe seirete ja
äritoimepidevuse/varunduse lahenduse/poliitiakte rakendamise testidega.

Teistpidi saad ehitada lahednuse, mis lihtsalt katab nõuded kuidagi ära.
On mingi tulemüür, on mingi antivirus, mõlemast saab kuidagi logi kätte.
Raporteerimine on ka olemas, sest kasutaja ütleb, kui midagi ei tööta ja
protsessis on kirjas, et kasutaja ongi meie “monitooringu agent” ning muud
riskid on aktsepteeritud jne.

Minu meelest on VÄGA ebamõistlik, et selle asemel, et oleks üks selge
tõlgendamise ja rakendamise juhend, koos checklistiga kõigile kohuslastele
peab käima mööda interneti avarusi tõlgendusi kokku otsimas ja ise
direktiivi tõlgendamas, et aru saada, mida täpselt vaja on, kelle
tõlgendus on kõige adekvaatsem jne. Ning siiski ei ole garantiid, et
asjaks läheb, ei näita keegi näpuga ja ei ütle, et midagi on tegemata või
tõlgendatud valesti.

Palun minu kirja mitte võtta ärritunud etteheitena (mida see ei ole), vaid
pigem abi palvena nädalaid dokumentidesse uppunu poolt, kes lihtsalt
soovib natuke lihtsust ja selgust ja on avatud sellele, et minu enda
ignoratsuse taha on jäänud mingid asjad.

Heade soovidega | Kind regards,

Norman Ojasoo

Arendusjuht, BlueIT

+372 555 422 44

 <mailto:[email-masked]> [email-masked]

 <http://www.blueit.ee/> www.blueit.ee