2024. aasta juulis suvepuhkusele suunduvatest lennureisijatest oskas vaid mõni üksik arvestada võimalusega, et pikisilmi oodatud reis jääb küberintsidendi tõttu ootamatult ära. USA küberturbetarkvara pakkuja ebaõnnestunud versiooniuuendus põhjustas Windowsi operatsioonisüsteemiga arvutites katkematu taaskäivitamise, tuues kaasa miljardeid eurosid kahju ning häirides lennuliiklust, börse, teleülekandeid ja tootmist.
Küberintsidentide mõju üldsusele lähiaastatel aina tõuseb ning käed rüpes istumine leevendust ei too. Milliseid samme astub Euroopa Liit (EL), et tagada inimeste, ettevõtete ja ühiskondade toimimine küberrünnete kuldajastul?
Küberrünnete osas niipea paremaks ei lähe ning aina enam peame mõtlema mõeldamatule.
Sellise mõtte ütles DG CONNECTi ehk küberturvalisuse eest vastutava peadirektoraadi pealik Robert Viola 2025. aasta jaanuaris. Tema tõdemus ning aina sagenevad pealkirjad küberrünnetest aitavad aru saada, miks on EL viimastel aastatel küberturvalisuse vallas vastu võtnud hulga õigusakte. Nende abil soovitakse tõsta Euroopa inimeste, ettevõtete ja asutuste küberkerksust.
Digilahendustest on saanud ühiskonna toimimise oluline osa, mitte pelgalt mugavam alternatiiv füüsilistele teenustele.
Sellepärast on paslik vaadata, mida EL 2024. aastal küberturvalisuse vallas korda saatis ning mida on oodata 2025. aastast.
NIS2
2023. aasta jaanuaris jõustus ELi küberturvalisuse 2. direktiiv ehk NIS2, mille eesmärk on tagada ühtlaselt kõrge küberturvalisus üle ELi. Riikidel oli aega 2024. aasta oktoobrini, et see oma riigi õigusesse üle võtta, kuid Eesti jäi ühes 20 teise liikmesriigiga ajahätta. Eelnõu koostajate hinnangul pidurdasid protsessi pidev suuniste täpsustamine ja sektori päringud. Eesmärk on NIS2 üle võtta 2025. aasta keskpaigaks. Siis selgub lõplikult, kui paljusid uusi ettevõtteid direktiiv mõjutab.
Direktiiv aitab elutähtsatel ja olulistel teenusepakkujatel läheneda küberturvalisusele strateegiliselt ning määratleb, kuidas ja keda ründe korral teavitada ning määratleb küberturvalisuse tagamise baasnõuded.
Küberkerksuse määrus
2024. aasta 10. oktoobril võtsid liikmesriigid vastu küberkerksuse määruse (ingl Cyber Resilience Act, CRA), mis paneb paika digielementide ning internetti ühendatud seadmete nagu nutitelerite ja kodukaamerate küberturvalisuse nõuded. Määrus tagab, et digikomponentidega tooted, näiteks asjade interneti lahendused, püsivad turvalised kogu tarneahela ulatuses ning elutsükli ajal.
CRA eesmärk on kehtestada ühtsed küberturvalisuse nõuded riist- ja tarkvaratoodetele, vältides õigusaktide kattumist. Määrus kohaldub toodetele, mis on otseselt või kaudselt ühendatud teise seadme või sidevõrguga, välja arvatud tooted, millele juba kehtivad ELi õigusnormid, näiteks meditsiiniseadmed, lennundustooted ja sõidukid. Tooted peavad omama CE-märgist, mis kinnitab vastavust määrusele ning ohutus-, tervishoiu- ja keskkonnakaitsenõuetele. See aitab tarbijatel mõista, kas toode on küberturvaline, ning kaitseb tarbijaid ja ettevõtteid ebaturvaliste digitoodete eest.
Erinevalt NIS2st on CRA rakendamiseks aega 2027. aasta detsembrini. Euroopa Komisjon peab koostöös liikmesriikidega looma esmalt üldised standardid (tüüp A) ja seejärel enam kui 20 tootekategooria standardid (tüüp C). Ettevõtted, kes soovivad toodetele ise vastavushinnanguid teha, peavad järgima oma kategooria tüüp C standardeid. Kui kõik kulgeb plaanipäraselt, valmivad peamised standardid 2026. aasta sügiseks.
Kübersolidaarsuse määrus
2024. aasta detsembris võtsid liikmesriigid vastu kübersolidaarsuse määruse (ingl Cyber Solidarity Act), et tugevdada ELi tasandil oluliste ja ulatuslike (enam kui kahte riiki mõjutavate) küberohtude avastamist, ennetamist ja reageerimist.
2025. jaanuaris avalikustatud määrus hõlmab kolme peamist meedet, milleks on Euroopa küberturvalisuse hoiatussüsteem küberohtude reaalajas avastamiseks ja neile reageerimiseks; küberturvalisuse hädaolukorra mehhanism, mis parandab valmisolekut ja reageerimisvõimet ulatuslike küberintsidentide korral, ning küberintsidentide läbivaatamise mehhanism, mille abil analüüsitakse ulatuslikke küberintsidente ning tehakse soovitusi ELi küberturvalisuse parandamiseks.
Möödunud aastal said eelmainitud seadustele lisaks punkti veel kaks küberialast regulatsiooni: aasta lõpus kiideti heaks küberturvalisuse seaduse (CSA+) muudatus, mis puudutab hallatud turbeteenuseid, ning määrus, mis paneb paika piiriüleste elektrivoogude kübernõuded.
Mida toob 2025. aasta?
Eelmisel aastal saadeti küberturvalisuse reguleerimise osas palju korda. Tänavu asub EL revideerima küberturvalisuse määrust, mis käsitleb Euroopa Liidu küberturvalisuse ameti ehk ENISA rolli ja küberturvalisuse sertifitseerimise raamistikku. Viie aasta tagune õigusakt vajab värskendamist, et kajastada ENISA muutunud kohustusi ja täiustada küberturvalisuse valdkonnas toimuvat sertifitseerimist.
Samuti hakatakse ajakohastama küberintsidentidele ja kriisidele reageerimise raamistikku, mis valmis 2017. aastal. Maailm on sellest ajast muutunud ning ELi valmisolek ja kerksus vajavad palju suuremat tähelepanu. Euroopa Komisjon on aastat alustanud agaralt, kui tutvustas 15. jaanuaril oma ettekujutust, kuidas tõsta tervishoiuvaldkonna küberturvalisuse taset.
Kuigi leidub kahtlejaid, kes peavad ELi samme küberturvalisuse vallas ebapiisavaks, soovib enamik eksperte õigusrahu, et olemasolevaid meetmeid tõhusalt rakendada. ELil ja liikmesriikidel, sealhulgas Eestil, tuleb nüüd keskenduda õigusaktide elluviimisele ja toetada sihtrühmi nende nõuete täitmisel.
Viimati uuendatud 17.02.2025
