Status NIS 2 w Estonii
Czego wymaga dyrektywa, jak Estonia transponuje ją poprzez Cybersecurity Act i gdzie w tym obrazie znajduje się RIA.
Przegląd
Dyrektywa NIS 2 jest warstwą unijną. Wiąże każde państwo członkowskie, w tym Estonię, jednym progiem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Estonia musi wpisać ten próg do prawa estońskiego i prowadzić pod nim reżim nadzoru.
Estonia transponowała NIS 2 poprzez nowelizacje istniejącej Küberturvalisuse seadus (Cybersecurity Act), a nie zupełnie nową ustawę. Nowelizacje zostały uchwalone przez Riigikogu w grudniu 2025 r. i weszły w życie 1 stycznia 2026 r. Unijny termin transpozycji 17 października 2024 r. został przekroczony, dlatego Komisja Europejska wysłała Estonii uzasadnioną opinię w maju 2025 r.
Urząd Systemów Informatycznych (Riigi Infosüsteemi Amet, RIA) jest krajowym właściwym organem, pojedynczym punktem kontaktowym i CSIRT. CERT-EE jest jednostką reagowania na incydenty RIA. Dostawcy objęci zakresem już 1 stycznia 2026 r. musieli przekazać swoje dane do RIA w ciągu trzech miesięcy, przez państwowy portal eesti.ee.
Dyrektywa unijna
Dyrektywa (UE) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Ustanawia obowiązki, które każde państwo członkowskie musi transponować, w tym testy wielkości i sektora dla podmiotów kluczowych i ważnych.
Unijne wdrożenie
Rozporządzenie wykonawcze Komisji (UE) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane w Estonii bez transpozycji krajowej.
Estońska transpozycja
Küberturvalisuse seadus, nowelizacje NIS 2 obowiązujące od 1 stycznia 2026 r.
Estońska transpozycja NIS 2 jest pakietem nowelizacji do istniejącej Cybersecurity Act (przyjęty 10 grudnia 2025 r., RT I, 30.12.2025, 4), uzupełnionym rozporządzeniami wykonawczymi i wytycznymi RIA. Według uzasadnienia ustawy regulowany obwód rośnie z około 3 500 do około 6 500 podmiotów, w energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej i administracji publicznej.
Küberturvalisuse seadus, znowelizowana dla NIS 2
Estonia nie sporządziła nowej ustawy o cyberbezpieczeństwie. Istniejąca Cybersecurity Act została znowelizowana, by wnieść obowiązki NIS 2: kategorie podmiotów kluczowych i ważnych, uprawnienia nadzorcze RIA, obowiązki zgłaszania incydentów oraz sankcje. Szczegóły operacyjne uzupełniają rozporządzenia wykonawcze i wytyczne RIA.
RIA jako właściwy organ, CERT-EE jako CSIRT
RIA (Riigi Infosüsteemi Amet, Urząd Systemów Informatycznych) jest krajowym właściwym organem i pojedynczym punktem kontaktowym na mocy NIS 2. CERT-EE, krajowy CSIRT, mieści się wewnątrz RIA i obsługuje incydenty oraz koordynację. Regulatorzy sektorowi zachowują swoje istniejące role tam, gdzie stosuje się lex specialis.
Rejestracja i zgłaszanie
Nowelizacje Cybersecurity Act weszły w życie 1 stycznia 2026 r. Dostawcy objęci zakresem w tej dacie musieli powiadomić RIA w ciągu trzech miesięcy. Dostawcy, którzy spełnią kryteria później, mają trzy miesiące od tego momentu, a zmiany należy zgłaszać w ciągu dwóch tygodni. Zgłoszenie składa na eesti.ee członek zarządu. Dostawcy mają trzy lata od 1 stycznia 2026 r. na pełne spełnienie wymogów. Poważne incydenty trafiają do CERT-EE (raport.cert.ee lub cert@cert.ee) w rytmie dyrektywy: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, raport końcowy w ciągu jednego miesiąca.
Prawo lokalne obowiązuje wewnątrz Estonii
Operacje na terytorium estońskim podlegają estońskiej transpozycji. Niemiecki Geschäftsführer prowadzący estońską spółkę zależną czyta dla tej spółki Küberturvalisuse seadus, a nie niemiecki BSIG. Obowiązki dyrektywy są takie same; procedura, portal i sankcje żyją w prawie estońskim i są nadzorowane przez RIA.
Estonia nie może zejść poniżej unijnego progu minimalnego
Dyrektywa jest instrumentem minimalnej harmonizacji. Estonia może być surowsza. Nie może zejść poniżej dyrektywy co do obowiązków podmiotów kluczowych i ważnych, terminów zgłaszania incydentów ani rozliczalności organu zarządzającego.
RIA
Riigi Infosüsteemi Amet, Urząd Systemów Informatycznych. Krajowy właściwy organ, pojedynczy punkt kontaktowy i regulator cyberbezpieczeństwa na mocy NIS 2. Prowadzi krajowe centrum cyberbezpieczeństwa, wydaje wytyczne, prowadzi nadzór i koordynuje reagowanie na incydenty przez CERT-EE.
CERT-EE
Estoński krajowy CSIRT, organizacyjnie część RIA. Przyjmuje powiadomienia o incydentach, koordynuje reakcję między sektorem publicznym a operatorami infrastruktury krytycznej i łączy się z unijną siecią CSIRT.
ENISA
Unijna agencja cyberbezpieczeństwa. Publikuje wytyczne, zarządza europejską bazą danych o podatnościach i wspiera koordynację transgraniczną. Nie jest nadzorcą estońskich podmiotów; jest nim RIA.
Estonia jest w UE, więc niemiecka NIS2UmsuCG obowiązuje tutaj również.
Każde państwo członkowskie transponuje dyrektywę do własnego prawa. Estońska spółka zależna stosuje Küberturvalisuse seadus, nadzorowana przez RIA, nawet jeśli spółka matka znajduje się w Niemczech. Zgłaszanie przebiega przez CERT-EE, a nie przez niemiecki BSI. Merytoryczne obowiązki są zharmonizowane na poziomie dyrektywy, ale procedura i nadzorca są estońskie.
Nie ma publicznego rejestru NIS 2 w Estonii, więc możemy poczekać.
Znowelizowana Cybersecurity Act wymaga, by dostawcy objęci zakresem przekazali swoje dane do RIA: ci, którzy byli objęci 1 stycznia 2026 r., w ciągu trzech miesięcy, późniejsi w ciągu trzech miesięcy od spełnienia kryteriów. To, czy publiczny rejestr jest widoczny dla osób z zewnątrz, jest odrębnym pytaniem. Czekanie, aż egzekwowanie stanie się widoczne, to najczęstszy błąd.
Nie jesteśmy w sektorze krytycznym, więc NIS 2 nas nie dotyczy.
Obwód NIS 2 jest szerszy niż stara lista OES z NIS 1. Sektory takie jak gospodarka odpadami, usługi pocztowe i kurierskie, produkcja określonych wyrobów, produkcja żywności i dostawcy cyfrowi są teraz w zakresie na mocy Załącznika II, jeśli test wielkości jest spełniony. Administracje publiczne i niektórzy dostawcy cyfrowi są w zakresie niezależnie od wielkości. Sprawdzenie trzeba przeprowadzić względem załącznika sektorowego dyrektywy, a nie względem postrzegania przez podmiot siebie jako krytycznego.
Estonia weszła do NIS 2 z wysokiego poziomu bazowego cyfrowego rządu. RIA prowadziło już krajowe centrum cyberbezpieczeństwa, CERT-EE było już operacyjne, a Cybersecurity Act już istniała. Krok NIS 2 nie był nową architekturą, był szerszym zakresem i mocniejszym zarządzaniem: więcej sektorów w zakresie, sformalizowana rozliczalność organu zarządzającego oraz terminy zgłaszania incydentów dostosowane do dyrektywy.
Praktyczny ruch jest taki sam jak wszędzie indziej w UE: potwierdź zakres na mocy dyrektywy, samodzielnie zarejestruj się w RIA, ustanów cztery ciągłe obowiązki (utrzymywanie rejestracji, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Estoński poziom bazowy pomaga z dojrzałością techniczną, ale nie zastępuje dokumentowania samych środków NIS 2.
- Dyrektywa (UE) 2022/2555 (NIS 2): EUR-Lex
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690
- Küberturvalisuse seadus (Cybersecurity Act): Riigi Teataja
- Komisja Europejska, tracker transpozycji dyrektywy NIS 2: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, oficjalna strona (ria.ee)
- CERT-EE: estoński krajowy CSIRT, wewnątrz RIA
- Komunikaty prasowe Riigikogu o projekcie ustawy transponującej NIS 2
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
