NIS2 ja juhatuse isiklik vastutus: mida see tegelikult tähendab?

NIS2 direktiiv pidi Euroopa Liidu liikmesriikides üle võetama 2024. aasta oktoobriks. Eestis jõustus NIS2 nõudeid rakendav küberturvalisuse seadus 1. jaanuaril 2026. Ettevõtted küsivad peamiselt kahte asja: kas see puudutab meid ja mida täpselt peab tegema. Kuid on kolmas küsimus, mida peaaegu keegi ei küsi: kes konkreetselt vastutab, kui midagi läheb valesti? NIS2 artikkel 20 annab sellele selge vastuse — ja see vastus peaks iga juhatuse liikme äratama.

Isiklik vastutus ei ole metafoor

KüTS § 15 alusel võib RIA määrata olulise teenuse osutajale trahvi kuni 10 000 000 eurot või kuni 2% ülemaailmsest aastakäibest. Väga olulise teenuse osutaja puhul on piirmäär 7 000 000 eurot või 1,4% käibest. Need on ettevõtte trahvid.

Kuid NIS2 direktiivi artikkel 32(5) läheb kaugemale. See näeb ette, et pädev asutus võib nõuda juhatuse liikme ajutist keeldu täita juhtimisfunktsioone väga olulises üksuses, mis on korduvalt rikkunud küberturvalisuse nõudeid. Seda ei kata D&O kindlustus. Seda ei saa ettevõtte kontolt maksta. See on isiklik tagajärg isiklikule otsustele — või nende puudumisele.

RIA on alustanud KüTS subjektide süstemaatilise kaardistamise ja järelevalvemenetlustega. Passiivne ootamine ei ole strateegia — see on risk, mida juhatus kannab isiklikult.

Mida NIS2 juhatuselt tegelikult nõuab

Enamik ettevõtteid usaldab küberturvalisuse täielikult IT-osakonnale. See on arusaadav lähenemine — kuid NIS2 alusel ebapiisav. Direktiiv teeb selgeks, et küberturvalisus on juhtimisküsimus, mitte tehniline küsimus.

NIS2 artikkel 20(2) kohustab juhatuse liikmeid läbima küberturvalisuse koolituse. Direktiiv eeldab, et juhatus suudab hinnata küberohtude mõju äririskidele, mõistab, millised meetmed on asjakohased, ja teeb teadlikke otsuseid — mitte ei delegeeri kõike allpool. Koolitus ei pea olema mitmepäevane tehniline kursus. Piisab selgelt struktureeritud ülevaatest, mis katab peamised ohud, regulatiivsed kohustused ja juhatuse rolli intsidendihalduses.

NIS2 artikkel 20(1) kohustab juhatust formaalselt heaks kiitma küberturvalisuse meetmed. See tähendab, et juhatus ei saa öelda: "IT tegi, meie ei teadnud." Ettepanekud võib teha IT-juht, dokumendid võib kirjutada konsultant — kuid heakskiit peab tulema juhatuse istungilt ja see peab olema protokollitud.

See struktuuriline lünk ei lahene uue tulemüüriga ega välisaudiitoriga. See lahendub juhtimistasandil — formaalsete otsustega, korrektsete protokollidega ja selge vastutuse jaotusega juhatuse liikmete vahel.

Kolm sammu, millega alustada juba sel nädalal

• Kontrollige oma KüTS staatust. KüTS § 3 loetleb kriteeriumid — sektor, teenuse ulatus, taristu kriitilisus. Paljud ettevõtted eeldavad, et neile ei kohaldu, kuid ei ole seda kunagi formaalselt analüüsinud. RIA järelevalve käigus ei piisa enam "me arvasime, et ei puuduta meid" — see peab olema dokumenteeritud analüüs.
• Viige läbi juhatuse tasandi küberturvalisuse ülevaade. Mis meetmed on praegu rakendatud? Kes ettevõttes vastutab mille eest? Millised lüngad on olemas? Dokumenteerige see. See on teie NIS2 artikkel 20(1) tõend — ja teie isiklik kaitsedokument, kui RIA küsimusi esitab.
• Protokollitage kõik küberturvalisust puudutavad otsused. Sealhulgas otsus midagi praegu mitte muuta — kui see otsus on tehtud teadlikult ja põhjendatult. Juhatuse protokoll on kõige lihtsam ja kõige tõhusam kaitsevahend, mis maksab ainult koostamiseks kulunud aja.

NIS2 ei nõua täiuslikku küberturvalisust. See nõuab tõendatavat ja proportsionaalset juhtimist. Juhatus, kes suudab näidata, et on otsuseid teinud, ohtusid hinnanud ja meetmeid dokumenteerinud, on märkimisväärselt paremas positsioonis kui juhatus, kes on vastutuse täielikult delegeerinud ja loodab, et midagi ei juhtu.