Tähtaeg möödus peaaegu kaks aastat tagasi. NIS2, Euroopa Liidu uuendatud küberturvalisuse direktiiv, tuli kogu liidus siseriiklikku õigusesse üle võtta hiljemalt 17. oktoobriks 2024. Enamik liikmesriike on seda teinud ning neli, kes ei ole, on nüüd selle pärast kohtu ees. Kui teie organisatsioon osutab elutähtsaid teenuseid või on üks olulistest tegijatest mõnes hõlmatud sektoris, ei ole küsimus enam selles, kas reeglid teile kehtivad; vaid selles, kas suudate järelevalvele tõestada, et teie juurdepääsukontroll neile vastab. Ja esimest korda langeb see küsimus juhatusele, mitte üksnes IT-osakonnale.
Autentimine on nüüd seaduses nimetatud, mitte ainult juhistes
Varasemad hea tava raamistikud soovitasid mitmeastmelist autentimist. NIS2 läheb kaugemale. Selle riskijuhtimise põhimeetmed (artikkel 21) nõuavad organisatsioonidelt tehniliste kontrollide rakendamist, sealhulgas juurdepääsukontrolli poliitikad, krüptograafia ning – otsesõnu välja öelduna – mitmeastmelise autentimise või pideva autentimise lahenduste kasutamine seal, kus see on asjakohane.
Praktikas ei ole nõrk ega valikuline teine tegur enam kaitstav seisukoht. Kui audiitor küsib, kuidas privilegeeritud administraator teie VPN-i, Windowsi serveritesse või halduskonsooli sisse logib, on vastus “parool ja mõnikord SMS-kood” see, mis avab leiu.
Mis muutus 2026. aastal
Sel aastal muutus kaks asja ja kumbki neist ei leevenda autentimisnõuet.
- Neli liikmesriiki on kohtu ees. 8. juulil 2026 andis Euroopa Komisjon Iirimaa, Hispaania, Prantsusmaa ja Madalmaad Euroopa Liidu Kohtusse, kuna need ei olnud teatanud direktiivi täielikust ülevõtmisest; sellele eelnesid ametlikud märgukirjad 2024. aasta novembris ja põhjendatud arvamused 2025. aasta mais (Komisjoni pressiteade). Kui siseriiklik õigus hilineb, on kohustused edasi lükkunud, mitte kadunud.
- Välja on pakutud muudatus. 20. jaanuaril 2026 tegi Euroopa Komisjon ettepaneku muuta NIS2-d, et seda lihtsustada ja küberturvalisuse määrusega ühtlustada (COM(2026) 13). Ettepanek lihtsustab jurisdiktsioonireegleid, kitsendab mõne sektori määratlusi, täpsustab lunavaraintsidentidest teatamist ja loob uue kategooria “väike keskmise turukapitalisatsiooniga ettevõtja”: organisatsioonid, kus on alla 750 töötaja ja mille käive jääb alla 150 miljoni euro, keda käsitatakse olulise üksusena ja kelle üle tehakse järelevalvet üksnes tagantjärele. See on endiselt ettepanek ja seda ei ole vastu võetud. Artikli 21 turvameetmed, sealhulgas mitmeastmeline autentimine, ei ole nende asjade seas, mida ettepanek muuta kavatseb.
Autentimise seisukohalt on praktiline sõnum seega muutumatu: kui kuulute direktiivi kohaldamisalasse, on MFA olulistel juurdepääsuteedel juba täna juriidiline kohustus ja kavandatav muudatus ei sea eesmärgiks seda muuta.
Kellele see kehtib
NIS2 jagab organisatsioonid elutähtsateks ja olulisteks üksusteks laias sektorite ringis: energeetika, transport, pangandus ja finantsturu infrastruktuur, tervishoid, joogi- ja reovesi, digitaristu, avalik haldus ja palju muud, kusjuures teine tasand haarab kaasa postiteenused, jäätmekäitluse, tootmise, toidu, kemikaalid ja digiteenuse osutajad. Paljud organisatsioonid, kes jäid algsest NIS-direktiivist välja, on nüüd kindlalt selle järglase sees.
Rusikareeglina kuulub mõnes neist sektoritest tegutsev organisatsioon kohaldamisalasse siis, kui see jõuab keskmise suuruseni: vähemalt 50 töötajat või aastakäive üle 10 miljoni euro. Teatud liiki üksused kuuluvad kohaldamisalasse olenemata suurusest. Täpsed piirid määrab iga riigi siseriiklik õigus.
Kaks muutust viivad selle vastavuse linnukesest kaugemale:
- Juhtkonna vastutus. Juhatus peab küberturvalisuse riskijuhtimise meetmed heaks kiitma ja nende üle järelevalvet teostama ning võib rikkumiste eest isiklikult vastutada.
- Reaalsed karistused. Riskijuhtimis- või teatamiskohustuste rikkumise eest peab siseriiklik õigus sätestama elutähtsatele üksustele trahvi ülemmäära, mis on vähemalt 10 miljonit eurot või 2% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Olulistele üksustele on need näitajad 7 miljonit eurot või 1,4%. Riigid võivad kehtestada ka kõrgema ülemmäära.
Milline “NIS2-tasemel” autentimine tegelikult välja näeb
Mingi MFA olemasolu ei ole sama, mis direktiivi mõtte täitmine. Kolm asja eristavad kontrolli, mis audiitorit rahuldab, sellest, mis üksnes slaidil hea välja näeb:
- Vastupidavus andmepüügile ja vaherünnetele. SMS-koode saab pealt kuulata või SIM-vahetusega üle võtta ning nii neid kui ka ühe puudutusega push-kinnitust saab vaheründe (AiTM) võltsleht reaalajas edasi vahendada. Kasutaja seadme riistvarasse seotud võti, mida ei saa kopeerida ega korrata, välistab pealtkuulamise ja SIM-vahetuse. Vahendamisega on lugu keerulisem: selle peatavad lõplikult üksnes saidiga seotud meetodid, näiteks FIDO turvavõtmed; kinnitus, mis näitab, kust päring tuli, teeb vahendusserveri aga nähtavaks kasutajale, kes seda vaatab. Push-väsimus on eraldi probleem ja ükski võti ega biomeetria ei peata seda, kui teade on juba telefoni jõudnud: selle võidab üksnes see, mida teade näitab: täpne, loetav kirjeldus sellest, mida täpselt kinnitatakse, nii et midagi ei kinnitata kunagi pimesi.
- Privilegeeritud ja kaugjuurdepääsu katmine. Nõue ei ole “MFA veebipostis”. See on iga tee, mida ründaja tegelikult kasutaks: VPN, kaugtöölaud, serveri sisselogimised, halduskonsoolid.
- Tõendid. NIS2 puudutab sama palju kontrolli tõendamist kui selle olemasolu. Iga autentimine peaks jätma auditeeritava, võltsimiskindla kirje sellest, kes mida ja millal kinnitas.
Kus Notakey sobitub
Notakey on ehitatud just sellise profiiliga organisatsioonile: reguleeritud, turvateadlik ja audiitorite ees vastutav.
- Kasutaja võti genereeritakse telefoni turvalises riistvaras ega lahku sealt kunagi. Pole jagatud saladust, mida varastada, ega koodi, mida pealt kuulata.
- Iga sisselogimine ja iga tehing on krüptograafiliselt allkirjastatud, ajatempliga sündmus: auditijälg, mida NIS2 hindamine nõuab, tekitatud automaatselt, mitte tagantjärele rekonstrueerituna.
- See katab olulised juurdepääsuteed nende protokollide kaudu, mida teie süsteemid juba kõnelevad. Vaadake praktilisi juhendeid VPN-i 2FA kohta RADIUS-e kaudu, Windowsi kaugtöölaua kohta ja Linuxi SSH kohta.
- See töötab teie enda taristus või pilves, nii et autentimisandmed võivad jääda teie kontrolli alla; PSD2, eIDAS ja IKÜM kooskõla on sisse ehitatud, mitte külge poogitud.
Me teadlikult ei hakka teile ütlema, et Notakey “teeb teid NIS2-le vastavaks”; ükski toode ei tee seda üksinda. Mida see teeb, on autentimise-kujulise osa lüngast sulgemine ja teile tõendite andmine selle tõestamiseks.
Alustage pilootprojektist, mitte poliitikadokumendist
Kiireim viis teada saada, kas teie autentimine vastab NIS2-le, on katsetada seda oma keskkonna vastu: reaalne VPN, reaalne administraatori sisselogimine, käputäis reaalseid kasutajaid. See ütleb teie lünga – ja teie tõendite – kohta nädalaga rohkem, kui funktsioonide maatriks ütleb kvartaliga.
Proovige elavat demot, et allkirjastada tehing oma telefonist umbes kahe minutiga, või küsige demot ja me kaardistame teie VPN-i, SSO või Windowsi juurdepääsu töötavaks pilootprojektiks.
See artikkel on üldine teave, mitte õigusnõustamine. NIS2 võtab iga EL-i liikmesriik siseriiklikku õigusesse üle eraldi; kinnitage teie organisatsioonile kehtivad konkreetsed kohustused, künnised ja tähtajad kvalifitseeritud õigusnõustajaga.