--- title: NIS2 navigaator description: NIS2 direktiivi kohaldatavuse hinnang, artikli 21 lünkade analüüs ja vastavuse tegevuskava. category: Legal sublabel: Regulatsioon ja vastavus author: LegalQuants tags: license: Apache-2.0 source: https://github.com/LegalQuants/lq-skills --- # NIS2 vastavusnavigaator Juhenda kasutajat läbi täieliku NIS2 vastavushindamise: kohaldamisala kindlaksmääramine, art. 21 lünkanalüüs kümne riskijuhtimismeetme lõikes ja prioriseeritud vastavuse teekaart. Hõlmab ELi direktiivi 2022/2555 koos põhjaliku Saksamaa riigisisese ülevõtmisega (BSIG-neu) ning üldiste profiilidega Itaalia, Prantsusmaa, Hollandi, Austria ja Hispaania kohta. **Kellele see on mõeldud:** kasutaja on ettevõttesisene turva- või vastavusjuht — CISO, infoturbejuht, IT-turbejuht või vastavusametnik —, kes töötab vajaduse korral koos õigusnõustajaga. Küberturbeõiguse erialast tausta ei eeldata, samuti mitte AI-oskusi peale hindamisküsimustele lihtsas keeles vastamise. Väljund on sellele kasutajale struktureeritud otsusetugi; siduvad vastavusotsused ja vastutuse küsimused jäävad organisatsiooni juhtorgani ja kvalifitseeritud õigusnõustaja pädevusse. ## Seansi alustamine ### 1. Näita lahtiütlust (näita seansi alguses, ära blokeeri) > **Oluline:** see oskus annab struktureeritud NIS2 vastavusjuhiseid ELi direktiivi 2022/2555 ja riigisiseste ülevõtmisseaduste põhjal. See ei ole õigusnõuanne. Lõplikesse vastavusotsustesse tuleks kaasata sinu organisatsiooni CISO / infoturbejuht ning küberturbe regulatsioonis kogenud kvalifitseeritud õigusnõustaja. ### 2. Veebiotsing aktiveerimisel Otsi enne alustamist värskeid regulatiivseid arenguid — NIS2 ülevõtmine on paljudes liikmesriikides alles käimas ja järelevalvepraktika areneb kiiresti: ``` NIS2 enforcement updates [current year] NIS2 implementing regulation EU Commission [current year] ``` ELi ja BSI ametlike allikate täieliku kataloogi jaoks laadi [references/regulatory-sources.md](references/regulatory-sources.md), kui pead viitama konkreetsetele juhistele või suunama kasutaja ametlike ressursside juurde. ### 3. Määra jurisdiktsiooniline fookus > „Kas see hindamine keskendub (a) ELi tasandi NIS2 direktiivi kohustustele, (b) konkreetse liikmesriigi riigisisesele õigusele või (c) mõlemale?“ - **Ainult ELi tasand** → kasuta direktiivi viiteid (art. 21, art. 23, I/II lisa) - **Saksamaa** → laadi [references/germany-nis2umsucg.md](references/germany-nis2umsucg.md). Kasuta §-viiteid (§ 28, § 30, § 32 BSIG-neu) ja BSI-spetsiifilisi kohustusi - **Itaalia, Prantsusmaa, Holland, Austria või Hispaania** → laadi [references/eu-jurisdiction-profiles.md](references/eu-jurisdiction-profiles.md). Need profiilid toovad esile peamised riiklikud erinevused — põhjalik süvaanalüüs kohaliku nõustajaga on endiselt vajalik. Kontrolli ülevõtmise seisu veebiotsinguga, sest mitu seadust on alles menetluses - **Mõlemad (nt EL + Saksamaa)** → alusta direktiivist, lisa riiklikud eripärad seal, kus need erinevad - **Piiriülene kontsern** → märgi, et kohalduvad mitu ülevõtmist. Laadi asjakohased profiilid ja soovita igas jurisdiktsioonis kohalikku nõustajat - **Mis tahes muu liikmesriik** → ELi tasandi hindamine on täielikult kohaldatav. Riiklikud eripärad vajavad eraldi uurimist ### 4. Kindlusastme märkimine Küpsushinnangud (0–4, 2. etapp) hindavad *üksuse* seisundit — need ei mõõda, kui kindel see oskus oma järeldustes on. Jälgi seda eraldi ja too see esile alati, kui kohaldamisala otsus on piiripealne või viide vaidlustatud: - **Kõrge** — väljakujunenud tekst (direktiivi artikkel, jõus olev § BSIG), mis käsitleb otse asja → ütle see selgelt välja ja jätka. - **Keskmine** — mõistlik tõlgendus, kuid fakte on vähe või säte on äsja üle võetud / vaidlustatud → too eeldus esile, märgista see ja küsi puuduvat sisendit enne, kui sellele tugined. - **Madal** — piiripealne kohaldamisala (suuruse lävendi serv, kontsernistruktuuri ebaselgus) või viide, mida sa ei saa kaasasolevate viitematerjalide ega reaalajas otsinguga kontrollida → ära esita seda väljakujunenuna; anna see tagasi kohalikule nõustajale kinnitamiseks. Ära kunagi mõtle viiteid välja. Kui sa ei saa osutada konkreetsele sättele või allikale, ütle seda. --- ## 1. etapp: kohaldamisala ja liigitus (~5 minutit) Tee kindlaks, kas organisatsioon kuulub NIS2 kohaldamisalasse, ja liigita see oluliseks või tähtsaks üksuseks. See on iga üksuse kõige tavalisem esimene küsimus ja õige liigitus on alusmüür — see määrab järelevalve intensiivsuse, trahvide suuruse ja teavitamiskohustused. Saksamaa üksuste puhul maini BSI tasuta Betroffenheitsprüfung'i (betroffenheitspruefung-nis-2.bsi.de) täiendava esimese sammuna. Märgi, et see hõlmab ainult kohaldamisala — meie hindamine läheb edasi vastavuse küpsuse ja teekaardini. Esita küsimusi ÜKSHAAVAL selles järjekorras: | # | Kategooria | Küsimus | |---|----------|----------| | 1 | **Sektor** | „Millises sektoris (millistes sektorites) sinu organisatsioon tegutseb?“ Paku viiteks I/II lisa kategooriaid. | | 2 | **Teenused** | „Milliseid konkreetseid teenuseid sa selles sektoris osutad?“ (vajalik täpseks lisadega vastavusse viimiseks) | | 3 | **Suurus** | „Mitu töötajat sinu organisatsioonis on ning milline on aastakäive ja bilansimaht?“ | | 4 | **Kontsernistruktuur** | „Kas sinu organisatsioon kuulub kontserni? Kui jah, kas NIS2 seisukohast asjakohane tegevus toimub kontserni või üksuse tasandil?“ | | 5 | **Eristaatus** | „Kas mõni neist kehtib: DNS-teenuse osutaja, tippdomeeni register, usaldusteenuse osutaja, üldkasutatav elektroonilise side võrk, kriitilise teenuse ainus osutaja liikmesriigis?“ | ### Liigitamise loogika Laadi [references/sector-classification.md](references/sector-classification.md) I/II lisa sektorite täieliku vastavustabeli ja suuruse lävendite jaoks. **Otsustuspuu:** 1. **Sektori vastavus** → vii vastavusse I lisaga (suure kriitilisusega) või II lisaga (muud kriitilised) 2. **Suuruse test** → keskmine: ≥50 töötajat VÕI (käive >10 mln € JA bilanss >10 mln €). Suur: ≥250 töötajat VÕI (käive >50 mln € JA bilanss >43 mln €) 3. **Oluline üksus (essential)**, kui: I lisa + suur VÕI kvalifitseeritud usaldusteenuse osutaja, tippdomeeni register, DNS-teenuse osutaja, üldkasutatava side osutaja, keskvalitsuse asutus või KRITIS-operaator (DE) 4. **Tähtis üksus (important)**, kui: I lisa + keskmine VÕI II lisa + keskmine/suur 5. **Suurusest olenemata**: kontrolli viitefailis erikategooriaid 6. **Väljaspool kohaldamisala**, kui: alla keskmise lävendite JA eristaatust pole 7. **DORA kontroll**: DORA alla kuuluvad finantsüksused on NIS2 art. 21 ja art. 23 kohaldamisalast välja jäetud — suuna DORA vastavuse juurde (DORA toimib lex specialis'ena oma samaväärsete nõuetega) 8. **CIR kontroll**: digitaristu/teenuseosutajatest üksustele kehtivad lisaks art. 21-le täiendavad siduvad nõuded rakendusmääruse CIR 2024/2690 alusel — märgi see varakult **Kontsernistruktuur:** kohalda suuruse testi sellel tasandil, kus NIS2 seisukohast asjakohane teenus toimib. Tegevusliku integratsiooni korral kohalduvad konsolideeritud näitajad. Kontserni sõltumatud üksused: hinda eraldi. ### Liigituse väljund > **KOHALDAMISALA KINDLAKSMÄÄRAMINE** > - Sektor: [I/II lisa sektor ja allsektor] > - Suuruse liigitus: [väike / keskmine / suur] > - Üksuse kategooria: **[oluline / tähtis / väljaspool kohaldamisala]** > - Alus: [direktiivi art. / riigisisese õiguse viide] > - Erimärked: [DORA erand / CIR kohaldub / suurusest olenemata / puudub] > - Kindlusaste: **[kõrge / keskmine / madal]** — [alus; märgi iga piiripealne otsus nõustajale] > > *Saksamaa puhul:* BSI registreerimine [nõutav/ei ole nõutav], olek [tehtud / tähtaeg ületatud] **Näide:** Saksamaa hallatud IT-teenuste osutaja, kellel on 120 töötajat ja 25 mln € käive IKT-teenuste halduse sektoris (I lisa) → I lisa, keskmise suurusega ettevõte, **oluline üksus** (hallatud teenuste osutajad on olulised olenemata suurusest). BSI registreerimine nõutav (tähtaeg ületatud alates 6. märtsist 2026). Kohaldub CIR 2024/2690. Sellele üksusele kehtivad nii BSI ennetav järelevalve kui ka CIR-i täiendavad tehnilised nõuded — anna see selgelt edasi, sest see suurendab vastavuse ulatust tavalise tähtsa üksusega võrreldes märkimisväärselt. Kui **väljaspool kohaldamisala** → teavita kasutajat, soovita vabatahtlikku rakendamist (kohaldamisalasse kuuluvate klientide tarneahela surve on üha tavalisem) ja lõpeta hindamine. Muul juhul jätka 2. etapiga. --- ## 2. etapp: art. 21 lünkanalüüs (~15 minutit) Käi läbi kümme riskijuhtimismeedet art. 21 lg 2 punktidest a–j / § 30 BSIG-neu. Eesmärk on kiire küpsushinnang — piisav kriitiliste lünkade tuvastamiseks ja prioriseerimiseks, mitte täielik audit. Nii jääb hindamine kättesaadavaks üksustele, kes puutuvad NIS2-ga kokku esimest korda, andes samas rakendatava väljundi. Laadi [references/art21-measures.md](references/art21-measures.md) meetmete kirjelduste, hindamiskriteeriumide ja ISO 27001 viidete jaoks. ### Hindamise lähenemine Esita iga meetme kohta ÜKS sihitud küsimus ja hinda seejärel skaalal 0–4: | Hinne | Tase | Kirjeldus | |-------|-------|-------------| | 0 | **Puudub** | Teadlikkus puudub, meetmeid pole | | 1 | **Juhuslik** | Mitteametlik, reageeriv, isikust sõltuv | | 2 | **Määratletud** | Dokumenteeritud, kuid rakendatud ebajärjekindlalt | | 3 | **Juhitud** | Järjekindlalt rakendatud, jälgitud, üle vaadatud | | 4 | **Optimeeritud** | Pidevalt täiustatud, mõõdetud, integreeritud ettevõtte riskijuhtimisse | ### ISO 27001 viited Lisa iga meetme juurde lühike viide asjakohastele ISO 27001:2022 A-lisa kontrollimeetmetele. Paljudel NIS2-ga tegelevatel organisatsioonidel on juba ISO 27001, nii et see vastavustabel loob kohe praktilist väärtust — „sa täidad art. 21 lg 2 punkti a juba oma A.5.1 ja A.5.2 kontrollimeetmetega“ on just selline väljund, mis säästab tunde konsultandi aega. ### Kümme meedet Käi meetmed järjest läbi. Iga meetme puhul: 1. Selgita lühidalt, mida NIS2 nõuab (1–2 lauset) 2. Esita sihitud hindamisküsimus 3. Hinda kasutaja vastuse põhjal — selgita oma arutluskäiku, et kasutaja mõistaks hinnet ja saaks selle vaidlustada 4. Kui hinne on ≤ 2, märgi peamised lüngad Meetmete üksikasjad, küsimused ja hindamiskriteeriumid on failis [references/art21-measures.md](references/art21-measures.md). ### Lünkanalüüsi väljund Pärast kõigi kümne meetme hindamist esita koondtabel: ```markdown ## NIS2 Gap Analysis Summary | # | Measure (Art. 21(2)) | Maturity (0-4) | Status | |---|---------------------|----------------|--------| | a | Risk analysis & IS policies | [score] | [🔴/🟡/🟢] | | b | Incident handling | [score] | [🔴/🟡/🟢] | | c | Business continuity & crisis mgmt | [score] | [🔴/🟡/🟢] | | d | Supply chain security | [score] | [🔴/🟡/🟢] | | e | Network & IS acquisition/dev/maint | [score] | [🔴/🟡/🟢] | | f | Effectiveness assessment | [score] | [🔴/🟡/🟢] | | g | Cyber hygiene & training | [score] | [🔴/🟡/🟢] | | h | Cryptography & encryption | [score] | [🔴/🟡/🟢] | | i | HR security & access control | [score] | [🔴/🟡/🟢] | | j | MFA & secure communications | [score] | [🔴/🟡/🟢] | **Overall Score: [X] / 40** **Overall Rating: [🔴 Critical / 🟡 Needs Improvement / 🟢 On Track]** ``` Foorituli: 🔴 = 0–1, 🟡 = 2, 🟢 = 3–4. Kokku: 🔴 ≤ 15, 🟡 16–29, 🟢 ≥ 30. **Näide:** keskmise suurusega logistikaettevõte (tähtis üksus) võib saada järgmised hinded: (a) riskianalüüs 2 🟡 — poliitika on olemas, kuid viimati vaadati see üle 18 kuud tagasi; (d) tarneahel 1 🔴 — ainult juhuslikud kontrollid, lepingulisi klausleid pole; (j) MFA 3 🟢 — kohustuslik kogu kaug- ja privilegeeritud juurdepääsu puhul. Kokku 19/40, 🟡 vajab parandamist. Peamised prioriteedid: tarneahela turvalisus ja intsidentide käsitlemine. --- ## 3. etapp: vastavuse teekaart Koosta lünkanalüüsi põhjal prioriseeritud parandustegevuste teekaart. Saksamaa üksuste puhul joonda see BSI kuueetapilise #nis2know teekaardiga ja viita rakendusressurssidena BSI-standarditele 200-2/200-3 — see annab teekaardile Saksamaa juhtkonnale esitamisel lisakaalu. ### Prioriseerimise raamistik Olulised üksused on ennetava järelevalve all, seega on nende lüngad igal küpsustasemel kiireloomulisemad: | | Küpsus 0 | Küpsus 1 | Küpsus 2 | |--|-----------|-----------|-----------| | **Oluline üksus** | P1 — kohe | P1 — kohe | P2 — lühiajaline | | **Tähtis üksus** | P1 — kohe | P2 — lühiajaline | P3 — keskpikk | Meetmed küpsusega 3–4 → hooldusrežiim (teekaardis pole). - **P1 — kohe** (0–3 kuud): põhimõttelised lüngad, akuutne risk - **P2 — lühiajaline** (3–6 kuud): olulised lüngad, struktureeritud parandamine - **P3 — keskpikk** (6–12 kuud): täiustamine täieliku küpsuseni ### Teekaardi väljund Iga lünga kohta: (1) meede, (2) praegune olukord, (3) sihtolukord, (4) 2–3 peamist tegevust, (5) töömaht (S/M/L/XL), (6) prioriteet koos ajakavaga. ### Saksamaa-spetsiifilised punktid Kui jurisdiktsioon hõlmab Saksamaad, laadi [references/germany-nis2umsucg.md](references/germany-nis2umsucg.md) ja lisa: BSI registreerimise olek, § 38 juhtorgani kohustused, Nachweispflicht'i tähtaeg (dets 2028), valmisolek § 32 intsidentidest teavitamiseks, vajaduse korral seos KRITIS-Dachgesetz'iga. ### Juhtkonna ülevaade (art. 20 / § 38 BSIG) Lisa igasse teekaarti juhtorgani jaotis. NIS2 art. 20 loob sõnaselgelt juhtorgani kaasamise nõuded ja Saksamaa § 38 lg 2 BSIG lisab isikliku vastutuse. See jaotis on sageli hindamise kõige veenvam osa — see muudab abstraktse vastavuskohustuse ruumis viibivate inimeste jaoks isiklikuks: > **Juhtorgani kohustused** > - Kinnitada riskijuhtimismeetmed (art. 20 lg 1 / § 38 lg 1 BSIG) > - Läbida regulaarselt küberturbekoolitust (art. 20 lg 2 / § 38 lg 3 BSIG) — ei ole delegeeritav > - Teostada rakendamise üle järelevalvet — elluviimise võib delegeerida CISO-le, järelevalvet mitte > - *Saksamaa:* isiklik vastutus mittevastavusest tekkinud kahju eest (§ 38 lg 2 BSIG) --- ## Väljund: lõplik hindamisaruanne Ühenda kõik kolm etappi, kasutades malli failist [references/templates.md](references/templates.md). **Aruande struktuur:** 1. Juhtkonna kokkuvõte (kohaldamisala otsus, üldhinne, kolm peamist prioriteeti) 2. Kohaldamisala ja liigituse üksikasjad 3. Lünkanalüüsi hindetabel 4. Prioriseeritud vastavuse teekaart 5. Juhtorgani kohustused 6. Jurisdiktsioonispetsiifilised nõuded (kui kohaldub) 7. Soovitatavad järgmised sammud --- ## Peamised kaitsepiirded Mitteilmsed lõksud, mis päris hindamisi komistama panevad: 1. **Enesehindamise kohustus** — ametiasutustelt ametlikku teavitust ei tule. Üksused peavad oma staatuse ise kindlaks tegema. Paljud ei mõista, et nad kuuluvad kohaldamisalasse 2. **Tarneahela kaskaad** — kohaldamisalast välja jäävad organisatsioonid seisavad üha sagedamini silmitsi kohaldamisalasse kuuluvate klientide lepinguliste NIS2 nõuetega 3. **Kahekordne intsidentidest teavitamine** — NIS2 (24 h / 72 h / 1 kuu riiklikule asutusele) ja isikuandmete kaitse üldmäärus (GDPR) (72 h andmekaitseasutusele) kulgevad isikuandmeid hõlmavate intsidentide puhul paralleelselt. Erinevad tähtajad, adressaadid ja sisu 4. **Suuruse lävendi lõks** — VÕI/JA loogika püüab kinni ettevõtted, mis on töötajate arvult väikesed, kuid käibelt suured 5. **DORA erand** — DORA alla kuuluvad finantsüksused on NIS2 meetmetest ja teavitamisest välja jäetud. Suuna edasi, ära hinda 6. **CIR 2024/2690** — digitaristu üksustele kehtivad lisaks art. 21-le täiendavad siduvad nõuded 7. **Komisjoni muudatused (jaan 2026)** — ettepanek, ei ole jõus. Maini ainult strateegilise teadlikkuse huvides --- ## Mida see oskus ei tee See jaotis on funktsioon, mitte refleksiivne lahtiütlus — see ütleb kasutajale, millal tuleb oskusest kaugemale eskaleerida. - **See ei ole õigusnõuanne ega anna õiguslikku arvamust.** Väljund on struktureeritud juhis, mille vaatavad üle kvalifitseeritud nõustaja ja organisatsiooni CISO / infoturbejuht. See ei seo ühtegi järelevalveasutust. - **See ei anna lõplikku kohaldamisala otsust.** NIS2 on enesehindamise režiim; üksus vastutab ise oma liigituse eest. Oskuse otsus on põhjendatud lähtepunkt, mitte üksuse enda (ja vajaduse korral nõustaja kinnitatud) otsuse asendaja. - **See ei ole turvaaudit.** Art. 21 küpsushinnang on kiire triaaž lünkade esiletoomiseks ja prioriseerimiseks. See ei asenda ISO 27001 auditit, läbistustesti ega ametlikku vastavushindamist ega tõenda vastavust. - **See ei mõtle välja õiguslikku sisu.** See ei esita arvamusi täitmisele pööratavuse kohta („see on ebatavaline“, mitte „see on õigusvastane“) ega mõtle välja seadusviiteid, §-viiteid ega järelevalvemeetmeid. Kui vaidlustatud punkti kohta ei anna viidet ei viitefailid ega kasutaja, ütleb see seda selgesõnaliselt, selle asemel et oletada. - **See ei anna DORA nõuandeid.** DORA kohaldamisalasse kuuluvad finantsüksused on NIS2 art. 21 / art. 23 kohaldamisalast välja jäetud; oskus suunab need edasi, selle asemel et hinnata neid NIS2 alusel. - **Mitte-Saksamaa riiklikud profiilid on üldised.** Saksamaa (BSIG-neu) on käsitletud põhjalikult; Itaalia, Prantsusmaa, Holland, Austria ja Hispaania on ainult profiilitasemel orientatsiooniks. Mitu ülevõtmist on alles menetluses, seega soovitab oskus teha veebiotsingu praeguse seisu kohta ja kaasata igas jurisdiktsioonis kohaliku nõustaja. - **See ei jälgi reaalajas õigusloome ega järelevalve seisu.** See on kalibreeritud koostamise aegse regulatiivse olukorra järgi ja suunab kasutajat selgesõnaliselt enne sellele tuginemist kontrollima värskeid arenguid. ## Vastutus See oskus on esitatud **„nagu on“ Apache License 2.0 alusel** — ilma igasuguste garantiideta ja selle litsentsi §-des 7–8 sätestatud vastutuse piiramisega. See ei ole õigusnõuanne ega loo advokaadi ja kliendi suhet. Seadusega lubatud ulatuses ei võta autor (Oliver Schmidt-Prietz, Rechtsanwalt, Saksamaa) mingit vastutust selle oskuse või selle väljundi kasutamise või sellele tuginemise eest; kasutajad kasutavad seda omal vastutusel ning vastutavad ainuisikuliselt tulemuste kontrollimise ja oma vastavusotsuste eest.