Mida Balti riikide NIS2-seadused MFA kohta tegelikult nõuavad: Läti, Leedu, Eesti

NIS2 ise ütleb üksnes, et organisatsioon peab kasutama „mitmikautentimise või pideva autentimise lahendusi … kui see on asjakohane“ (artikli 21 lõike 2 punkt j, direktiiv 2022/2555). Kolm Balti riiki on sellest ühest reast teinud kolm üsna erinevat reeglistikku. Kui teie süsteemid töötavad rohkem kui ühes neist või kui püüate välja selgitada, milliste kontode kohta järelevalveasutus küsima hakkab, on need erinevused olulised. See postitus tsiteerib sätteid ja ütleb, kus igaüks neist tõlgendamisruumi jätab.

Kõigepealt EL-i tasandi erand: digitaristu teenuste osutajad, nagu DNS-, pilve- ja andmekeskuseteenuste osutajad, hallatud teenuste osutajad ja internetipõhised kauplemiskohad, järgivad riigisiseste reeglite asemel komisjoni rakendusmäärust. Selle lisa punkt 11.7 nõuab võrgu- ja infosüsteemidele juurdepääsuks MFA-d või pidevat autentimist „vastavalt vara klassifikatsioonile“ ning punkt 11.3.2 nõuab privilegeeritud ja süsteemihalduse kontodele tugevat autentimist, „näiteks mitmikautentimist“ (määrus 2024/2690, jõus alates 7. novembrist 2024). Kõik teised järgivad allpool kirjeldatud riigisiseseid reegleid.

Läti: määrus nimetab kontod

Läti reeglid on kolmest kõige täpsemad. Ministrite kabineti määrus nr 397 Minimālās kiberdrošības prasības (küberturvalisuse miinimumnõuded) on jõus alates 2. juulist 2025 (likumi.lv) ja põhineb riiklikul küberturvalisuse seadusel (Nacionālās kiberdrošības likums; likumi.lv).

Punkt 52 teeb MFA kohustuslikuks:

• 52.1 A-klassi infosüsteemide administraatorikontodele ja tavakasutajate kontodele;
• 52.2 B-klassi infosüsteemide administraatorikontodele;
• 52.3 B-klassi süsteemide tavakasutajate kontodele, kui neile pääsetakse ligi kaugühendusega välisvõrgust ja see juurdepääs ei käi juba läbi krüpteeritud VPN-i, mis nõuab MFA-d.

Klass on iga infosüsteemi omadus, mitte teie organisatsiooni oma. Punktid 32–34 tuletavad selle süsteemi konfidentsiaalsuse, tervikluse ja käideldavuse turvaklassidest: üks A-hinnang teeb süsteemist A-klassi süsteemi, muidu teeb üks B-hinnang sellest B-klassi süsteemi, ning kõik, mis kuulub kriitilise taristu hulka, on määratluse järgi A-klassi süsteem. Üliolulise teenuse osutajal võivad olla ainult B- ja C-klassi süsteemid ning määrus arvestab sellega: määruse kolmeaastane enesehindamise tsükkel hõlmab iga üksust, millel A-klassi süsteemi pole.

Punkt 55.8 lisab IKT kriitilise taristu omanikele ja üliolulise teenuse osutajatele võrgureegli: juurdepääs sisemistele ressurssidele väljastpoolt sisevõrku „on võimalik ainult krüpteeritud VPN-lahenduse kaudu koos mitmikautentimisega“. Punkt 56 kohaldab olulise teenuse osutajatele ainult punkte 55.1–55.4, nii et 55.8 neid ei seo.

MFA-reegliga kaasnevad kohustused, mida audiitor kontrollib samal auditil: administraatorikontosid ei tohi kasutada igapäevatööks ja tavakontosid ei tohi kasutada haldamiseks (punktid 51.5 ja 51.4); juurdepääs inforessurssidele, sealhulgas ebaõnnestunud juurdepääsukatsed, tuleb logida (punkt 58.3) ning logisid tuleb olenevalt süsteemi klassist säilitada 18, 12 või 6 kuud (punkt 57). Enesehindamise aruanne määruse lisa 16 vormil tuleb esitada igal aastal 1. oktoobriks kriitilise taristu omanikel ja kõigil, kellel on vähemalt üks A-klassi süsteem, ning iga kolme aasta järel ülejäänutel (punktid 141 ja 142); aruanne läheb Riiklikule Küberturvalisuse Keskusele (Nacionālais kiberdrošības centrs) või kriitilise taristu puhul Põhiseaduse Kaitse Büroole (Satversmes aizsardzības birojs).

Mida määrus ei tee: see ei nimeta ühtegi tehnoloogiat. Kõik, mida see ütleb, on „daudzfaktoru autentifikācija“, mainimata SMS-i, ühekordseid koode, FIDO-t ega andmepüügikindlust, ning paroolireegleid ei sea see üldse. Seaduse järgi ulatuvad trahvid üliolulise teenuse osutajatel 10 miljoni euroni või 2 %-ni käibest, kui käive ületab 500 miljonit eurot, ning olulise teenuse osutajatel 7 miljoni euroni või 1,4 %-ni käibest sama 500 miljoni euro künnise ületamisel.

Leedu: kõik, kasutajad kaasa arvatud, 24-kuulise tähtajaga

Leedu kirjutas oma küberturvalisuse seaduse (Kibernetinio saugumo įstatymas) NIS2 ülevõtmiseks ümber ja uus redaktsioon jõustus 18. oktoobril 2024. Artikli 14 lõike 5 punkt 11 loetleb nõutavate elementide seas „mitmikautentimise või pideva autentimise lahendused“ ning valitsuse 6. novembri 2024. aasta otsus nr 945 (Vyriausybės nutarimas Nr. 945; jõus alates 12. novembrist 2024) kinnitab üksikasjaliku küberturvalisuse nõuete kirjelduse (Kibernetinio saugumo reikalavimų aprašas; e-seimas).

MFA-reegel on selle kirjelduse tabeli 7 real 61 ja see on kolmest riigist kõige laiem: „kasutaja ja administraator peavad oma isikut kinnitama parooli ja täiendava autentimisvahendiga (mitmikautentimine)“. See on märgitud kohustuslikuks nii üliolulistele kui ka olulistele üksustele ega sõltu sellest, kus kasutaja asub või kuidas süsteem on klassifitseeritud. Sellega kaasnevad: haldamine ainult eraldi konto kaudu, mida igapäevatööks ei kasutata (rida 58); kontode peatamine kasutajatel pärast kolme ja administraatoritel pärast kahte kuud tegevusetust; tööjaama lukustumine hiljemalt 15 minuti järel ning keeld salvestada paroole brauserisse – selleks tohib kasutada ainult spetsiaalset paroolihaldurit. Kolmandatele isikutele kehtib MFA „võimaluse korral“. Organisatsiooniline osa, sealhulgas kirjalik juurdepääsuhalduse kord, mis sätestab, kuidas MFA-d kasutatakse (punkt 65.9), tuleb täita hiljemalt 12 kuud pärast registreerimist riiklikus küberturvalisuse infosüsteemis; tabeli 7 tehnilised nõuded, MFA kaasa arvatud, tuleb täita hiljemalt 24 kuud pärast registreerimist (punkt 72).

Seadus nõuab ka küberturvalisuse auditit vähemalt iga kolme aasta järel keskuse metoodika alusel ning juhtkonna koolitust vähemalt iga kahe aasta järel. Kohustused tekivad alles pärast üksuse registreerimist (artikli 11 lõige 2); järelevalvet teeb Riiklik Küberturvalisuse Keskus (Nacionalinis kibernetinio saugumo centras). Artikli 14 nõuete rikkumine loetakse „ohtlikuks rikkumiseks“, mis on kõrgeim trahviaste: üliolulistel üksustel kuni 10 miljonit eurot või 2 % ülemaailmsest käibest, olenevalt sellest, kumb on suurem, ning olulistel üksustel kuni 7 miljonit eurot või 1,4 %, olenevalt sellest, kumb on suurem. Eelarvelistel asutustel on madalamad ülemmäärad. Seadust muudeti 2026. aasta juunis uuesti; me ei ole saanud seda teksti lugeda, seega kontrollige, kas trahve ja registreerimist käsitlevad artiklid muutusid.

Eesti: seadus vaikib, standard mitte

Eesti küberturvalisuse seaduse (KüTS) muudatused jõustusid 1. jaanuaril 2026 (Riigi Teataja). Direktiivi mõisted essential entity ja important entity on seaduses ülioluline üksus ja oluline üksus, mitmikautentimist seadus aga kordagi ei maini. Selle asemel volitab § 7 Vabariigi Valitsust turvameetmeid määrusega kehtestama ning see määrus annab teenuseosutajatele valiku: rakendada Eesti infoturbestandardit (E-ITS) või tõendada, et nende meetmed vastavad standardile ISO/IEC 27001; vastavusaudit tuleb läbida iga kolme aasta järel (Vabariigi Valitsuse määrus nr 121).

MFA-st on seega juttu kahes kohas. Määruse lisa, mis loetleb esmased meetmed ja kehtib igale seaduse alla kuuluvale teenuseosutajale, ütleb, et teenuseosutaja peab „eelistama mitmeastmelist autentimist“ (punkt 2.5) – pehme sõnastus, pealegi võib teenuseosutaja selle meetme asendada samaväärsega. E-ITS-i etalonturbe kataloog on kindlam: „Kui IT-süsteem seda võimaldab, kasutatakse ainult parooliga autentimise asemel mitmikautentimist.“ (ORP.4.M8); privilegeeritud kontosid kaitstakse mitmikautentimisega väliste ründajate ja õiguste laiendamise vastu (ORP.4.M10); suure kaitsetarbe korral kasutatakse autentimiseks turvalist mitmikautentimist, „nt ID-kaardi või tookeni abil“ (ORP.4.M21); ning tundlikele isikuandmetele juurdepääsuks on nõutav mitmikautentimine (CON.2.M18) (E-ITS-i kataloog).

Tähtajad on helded. Üksused, mis vastasid tingimustele juba 1. jaanuaril 2026, pidid end Riigi Infosüsteemi Ametis (RIA) registreerima kolme kuu jooksul, ehk 2026. aasta märtsi lõpuks, ning neil on kolm aastat, 2029. aasta alguseni, et viia end nõuetega täielikult vastavusse. Uutel üksustel on registreerimiseks kolm kuud ja nõuete täitmiseks kolm aastat alates tingimustele vastamisest. Trahvid järgivad NIS2 ülemmäärasid: üliolulistel üksustel kuni 10 miljonit eurot või 2 % ülemaailmsest käibest ning olulistel üksustel kuni 7 miljonit eurot või 1,4 %, mõlemal juhul olenevalt sellest, kumb on suurem. Oluliste üksuste üle teeb RIA järelevalvet ainult tagantjärele.

Kõrvuti

Mida see tähendab kontode jaoks, mis teil tegelikult on

• VPN ja kaugjuurdepääs. Lätis on teise teguriga krüpteeritud RADIUS-VPN just see, mida punkt 55.8 kriitilise taristu omanikelt ja üliolulise teenuse osutajatelt nõuab, ning see viib B-klassi kasutajad punkti 52.3 alt välja; ilma selleta vajab iga B-klassi kaugkasutaja MFA-d rakenduses endas. Leedus VPN reeglit ei muuda, sest MFA-d vajab nagunii iga kasutaja. Eestis tasub RADIUS-t toetava VPN-i puhul oodata küsimust, mis lähtub E-ITS-i sõnastusest „kui IT-süsteem seda võimaldab“.
• Administraatorid. Administraatorikontod on koht, kus kolm reeglistikku kõige rohkem kattuvad: Läti nõuab neile MFA-d A- ja B-klassi süsteemides, Leedu kõikjal, E-ITS kõigil privilegeeritud kontodel. Läti ja Leedu nõuavad mõlemad ka eraldi administraatorikontot, mida igapäevatööks ei kasutata. Tulemüüri- ja serverikonsoolid, mis võtavad endiselt vastu ainult parooli, on kõige tõenäolisem auditileid.
• Tõendid. Läti tahab, et ebaõnnestunud sisselogimised logitaks ja säilitataks; Leedu tahab kirjalikku korda, mis ütleb, kuidas MFA-d kasutatakse; Eesti tahab auditit mõne standardi alusel. Autentimismeetod, mis jätab igast kinnitusest allkirjastatud ja ajatembeldatud kirje, annab teile materjali kõigi kolme jaoks, ilma et peaksite seda tagantjärele rekonstrueerima.
• Tehnoloogia. Ükski Balti seadus ei kirjuta meetodit ette ja ükski ei kasuta sõna „andmepüügikindel“. ENISA rakendusjuhised soovitavad andmepüügikindlat MFA-d „kus võimalik“ ja seavad FIDO2 esikohale; riigisisesed tekstid piirduvad „mitmikautentimisega“. See on miinimum, mitte siht, ja NIS2 autentimise postitus selgitab, mis eristab tegurit, mis rahuldab seaduse sõnastust, sellisest, mis peab ründajale vastu.

Notakey lisab RADIUS-VPN-idele, tulemüüri- ja serverisisselogimistele ning Windowsi ja veebirakendustele telefonis kuvatava kinnituse, mis näitab teenust, kontot ja lähteaadressi, ning jätab igast kinnitusest allkirjastatud kirje seadmesse, mida saate käitada oma andmekeskuses. VPN-i 2FA juhend näitab, kuidas see sobib Läti B-klassi kaugjuurdepääsu nõude või Leedu tabeli 7 rea 61 täitmiseks. Küsige demot ja me koostame teie riigi reeglis nimetatud kontode põhjal pilootprojekti kava või proovige elavat demot kõigepealt oma telefonis.

See artikkel tsiteerib õigusakte 29. oktoobril 2026 avaldatud kujul ja on üldine teave, mitte õigusnõustamine. Täpsustage teie organisatsioonile kehtivad kohustused, klassid ja tähtajad kvalifitseeritud õigusnõustajaga ning kontrollige Leedu 2026. aasta juuni muudatusi, mida me kirjutamise ajal lugeda ei saanud.