Küberturvalisus ja tootejuhtimine

ELi küberkerksuse aruandluskell käivitub 11. septembril. Eesti tootja vajab 24 tunni protsessi

Küberkerksuse määruse põhinõuded kohalduvad hiljem, kuid aktiivselt ärakasutatud nõrkustest ja rasketest turvaintsidentidest teatamine algab 2026. aasta septembris.

Autor Martin Repinski25. august 2026

11. septembril 2026 hakkab kohalduma üks Euroopa Liidu küberkerksuse määruse esimesi praktilisi tähtaegu. Tootjad peavad hakkama teatama aktiivselt ärakasutatud nõrkustest ja rasketest intsidentidest, mis mõjutavad digielementidega toodete turvalisust.

Ajakava on lihtne valesti tõlgendada. Enamik määruse tooteohutuse, vastavuse ja elutsükli nõudeid kohaldub 11. detsembrist 2027. Artiklis 14 sätestatud teatamiskohustused algavad viisteist kuud varem. Eesti ettevõte, kes arendab ELi turule ühendatud seadet, kommertstarkvara või digitaalset komponenti, ei saa seega oodata aruandlusprotsessiga seni, kuni kogu 2027. aasta vastavusprogramm on valmis.

See ei ole reegel, mille järgi peab iga ettevõte teatama igast sisemisest küberjuhtumist. Esimene juhtimisülesanne on selgitada, kas ettevõte tegutseb digielementidega toote tootjana ja kas juhtum vastab ühele määruse teatamiskünnisele. Liigitus sõltub tootest, ettevõtte rollist ja juhtumi asjaoludest.

Kaks vastavuskella töötavad korraga

Küberkerksuse määrus jõustus 10. detsembril 2024. Euroopa Komisjoni ametlik kokkuvõte jagab rakendamise eri etappideks:

vastavushindamisasutuste teavitamise reegleid kohaldatakse alates 11. juunist 2026;
artikli 14 teatamiskohustusi kohaldatakse alates 11. septembrist 2026;
määruse põhisätteid kohaldatakse alates 11. detsembrist 2027.

See vahe on oluline nii eelarve kui ka vastutuse jaoks. Ettevõte võib alles koostada 2027. aastaks täielikku riskihinnangut, tehnilist dokumentatsiooni, tugiperioodi poliitikat ja vastavushindamise teed, kuid peab juba 2026. aastal suutma ära tunda ja teatada kindlatest nõrkustest ning intsidentidest.

Aruandlus ulatub ka varasemate toodeteni. Komisjoni järgi kohaldub teatamiskohustus ELi turul kättesaadavaks tehtud digielementidega toodetele, sealhulgas toodetele, mis lasti turule enne 11. detsembrit 2027. Varem välja antud toodet ei saa automaatselt kõrvale jätta üksnes seepärast, et see jõudis turule enne määruse põhinõuete kohaldumist.

Millised tooted ja ettevõtted on vaatluse all

Määrus kirjeldab digielementidega toodet kui tark- või riistvara, sealhulgas asjakohast kaugandmetöötluslahendust ja eraldi turule lastud komponenti. Üldine kohaldamisala hõlmab ELi turul kättesaadavaks tehtud tooteid, mille kavandatud või mõistlikult ettenähtav kasutus sisaldab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga.

Peamine teatamiskohustus lasub tootjal: isikul või organisatsioonil, kes arendab või valmistab sellise toote, laseb selle enda jaoks arendada või valmistada ning turustab seda oma nime või kaubamärgi all. Määratlus võib kohalduda nii tasulise, muul viisil rahaks tehtava kui ka ärilises kontekstis tasuta pakutava toote puhul.

Importijal, levitajal, volitatud esindajal ja avatud lähtekoodiga tarkvara haldajal on määruses erinevad rollid. ENISA märgib, et avatud lähtekoodiga tarkvara haldaja teatamiskohustus kehtib artiklis 24 määratud ulatuses. Seetõttu tuleb ettevõttel oma roll kirja panna tootepõhiselt, mitte eeldada, et märge „tarkvara kasutaja“, „edasimüüja“ või „avatud lähtekood“ annab tervikliku vastuse.

Teatamisahelat mõõdetakse tundides

Aruandlusprotsess algab hetkest, mil tootja saab teada aktiivselt ärakasutatud nõrkusest või raskest intsidendist, mis mõjutab toote turvalisust.

Aktiivselt ärakasutatud nõrkus tähendab nõrkust, mille kohta on usaldusväärseid tõendeid, et pahatahtlik osaline on seda süsteemi omaniku loata ära kasutanud. Raske intsidendi hindamisel vaadatakse mõju toote käideldavusele, autentsusele, terviklusele või konfidentsiaalsusele ning võimalikku pahavara sisestamist või käivitamist.

Ametlik ajakava koosneb kolmest etapist:

Varajane hoiatus 24 tunni jooksul. Esmane teade tuleb esitada põhjendamatu viivituseta ja igal juhul 24 tunni jooksul pärast teadlikuks saamist.
Teavitus 72 tunni jooksul. Tootja esitab üldinfo ja esmase hinnangu, sealhulgas teadaolevad parandus- või leevendusmeetmed.
Nõrkuse lõpparuanne. See tuleb esitada hiljemalt 14 päeva pärast parandus- või leevendusmeetme kättesaadavaks muutumist.
Raske intsidendi lõpparuanne. See tuleb esitada ühe kuu jooksul pärast 72 tunni teadet.

Teade esitatakse ühe korra ENISA loodud ja hallatava CRA ühtse teavitusplatvormi kaudu. Platvorm suunab teate tootja peamise tegevuskoha liikmesriigi koordineerivale CSIRTile ja üldjuhul ka ENISA-le. Komisjoni ja ENISA järgi on platvorm töökorras 11. septembril, mil teatamiskohustus algab.

ENISA augustikuine juhis märgib, et esindajad kasutavad EU Logini kontot. Konto saab luua ette, samal ajal kui tootja nimel teatamise õiguse kontroll toimub platvormi kasutamise käigus ega tohi teate esitamist takistada. Praktiliselt tähendab see, et ligipääsu omanik ja ettevõttesisene volitus tuleb määrata enne intsidenti, kuigi aruandluskell käivitub alles teatamiskohustusliku juhtumi teadasaamisel.

Eesti tooteettevõtte praktiline valmisolekuplaan

1. Koosta toote- ja rolliregister

Pane kirja iga ühendatud seade, tarkvaratoode, rakendus ja eraldi turustatav komponent. Lisa ELis kasutatav tootenimi, toodet turustav juriidiline isik, tugiteenuse omanik, riigid, kus toode on kättesaadav, ning ettevõtte roll tarneahelas.

2. Ühenda turvaseire toote õigusliku vastutusega

Turvameeskond võib avastada nõrkuse koodis, pilveteenuses või kolmanda osapoole komponendis, samal ajal kui tootja õiguslik vastutus asub kontsernis mujal. Eskalatsioonitee peab siduma tehnilise signaali juriidilise isiku, toote ja otsustajaga, kes saab määruse teatamiskünnist hinnata.

3. Määra teadlikuks saamise hetk

24 tundi jätab vähe ruumi ebakindlusele, millal ettevõte juhtumist teada sai. Protsess peab säilitama ajatemplid, signaali allika, olemasolevad tõendid, esmase hinnangu ja liigitamise eest vastutava inimese otsuse.

4. Valmista 24 ja 72 tunni info ette eraldi

Varajane hoiatus ei ole lõplik tehniline aruanne. ENISA vormijuhis eristab igas etapis vajalikku infot. Ettevõtte sisemised vormid võiksid koguda toote, teate liigi, teatamisaja, teadaoleva mõju, olemasolevad leevendused ja veel uurimisel oleva teabe.

5. Kaasa tarnijad ja kolmanda osapoole komponendid

Nõrkus jõuab tootesse sageli teegi, püsivara mooduli, pilvesõltuvuse või muu komponendi kaudu. Tarnijalepingud ja turvakontaktid peavad toetama kiiret teavitamist toote tootjale. Ettevõte peab teadma, kes suudab anda tõendeid, paranduse ja kliendile mõeldud leevendusjuhise ka väljaspool tavapärast tööaega.

6. Harjuta läbi üks realistlik stsenaarium

Lühike õppus näitab, kas toote-, turbe-, juhtimis-, õigus- ja kommunikatsioonimeeskond jõuab põhjendatud otsuseni enne 24 tunni lõppu. Eesmärk ei ole iga õiguslikku liigitust ette otsustada, vaid eemaldada välditav viivitus ligipääsust, vastutusest, tõendite kogumisest ja kinnitamisest.

Aruandlusvalmidus on osa toote majandusloogikast

Küberkerksuse määruse teatamistähtaeg muudab nõrkuste haldamise juhatuse tasandi tegevusvõimeks. Ebaselge omanikuga, toetamata sõltuvuste või killustunud intsidenditõenditega toode ei ole ainult tehniline risk. See võib tekitada erakorralist juhtimiskulu, klientide ebakindlust ja regulatiivset riski.

Eesti tehnoloogiaettevõtte mõistlik vastus on proportsionaalne. Iga turvasignaal ei ole teatamiskohustuslik ja iga ettevõte ei ole tootja. Kuid iga ettevõte, kes laseb ELi turule ühendatud riist- või tarkvara, peab suutma määrata oma rolli, käivitada kella järjepidevalt ning jõuda kiiresti õige otsustajani.

Esimene tähtaeg ei ole enam kauge 2027. aasta vastavuspunkt. See on 2026. aasta septembri intsidendihalduse nõue, mida mõõdetakse tundides.

Teave on kontrollitud 25. augustil 2026. Artikkel on üldine ärianalüüs ega ole individuaalne õigus-, küberturbe- ega vastavusnõuanne. Toote kohaldamisala, ettevõtja roll ja teatamiskünnis sõltuvad iga juhtumi asjaoludest.

Peamised allikad

Martin Repinski