Директива (ЕС) 2022/2555, известная как NIS2, значительно расширила круг организаций с обязательствами в области кибербезопасности. В Болгарии требования перенесены в Закон о кибербезопасности, в других странах ЕС — в национальные законы. Многие компании, никогда не думавшие о регулировании, теперь подпадают под действие директивы — часто не зная об этом.
Вот как провести первую проверку за несколько минут.
Шаг 1: В каком вы секторе?
Директива перечисляет 18 секторов в двух приложениях.
Приложение I — секторы высокой критичности: энергетика, транспорт, банковский сектор, инфраструктура финансового рынка, здравоохранение, питьевая вода, сточные воды, цифровая инфраструктура, управление ИКТ-услугами (B2B), государственное управление и космос.
Приложение II — прочие критические секторы: почтовые и курьерские услуги, обращение с отходами, химическая промышленность, продукты питания (производство, переработка и дистрибуция), производство (медицинские изделия, компьютеры и электроника, электрооборудование, машины, автомобили и прочие транспортные средства), цифровые провайдеры (онлайн-маркетплейсы, поисковые системы, социальные сети) и научные исследования.
Если ваша деятельность не относится ни к одному из этих секторов, NIS2, как правило, напрямую не применяется — но прочитайте шаг 5.
Шаг 2: Какого размера ваша компания?
NIS2 распространяется в основном на средние и крупные предприятия:
- средние — 50 и более сотрудников или годовой оборот (баланс) свыше 10 млн евро;
- крупные — 250 и более сотрудников или годовой оборот свыше 50 млн евро.
Малые и микропредприятия, как правило, не подпадают.
Шаг 3: Есть ли исключение, где размер не важен?
Некоторые категории подпадают независимо от размера — например, провайдеры публичных сетей и услуг электронной связи, поставщики доверительных услуг, реестры доменов верхнего уровня и DNS-провайдеры. Государство-член также может определить организацию, которая является единственным поставщиком существенной услуги или сбой в работе которой имел бы значительные последствия.
Шаг 4: Существенный или важный субъект?
| Тип субъекта | Кто | Максимальный штраф |
|---|---|---|
| Существенный | В основном крупные компании из Приложения I | до 10 млн € или 2% мирового оборота |
| Важный | Средние компании из Приложения I, средние и крупные из Приложения II | до 7 млн € или 1,4% мирового оборота |
Главное различие — в надзоре: существенные субъекты проходят проактивные проверки, важные — последующий надзор после сигнала или инцидента. Меры, которые они должны применять, одинаковы.
Шаг 5: Что делать, если вы подпадаете?
Статья 21 директивы требует мер по управлению киберрисками, в том числе:
- анализ рисков и политики безопасности информационных систем;
- обработка инцидентов;
- непрерывность бизнеса — резервные копии, аварийное восстановление, антикризисное управление;
- безопасность цепочки поставок;
- безопасность при приобретении, разработке и сопровождении систем;
- оценка эффективности мер;
- базовая кибергигиена и обучение;
- криптография и шифрование;
- кадровая безопасность, управление доступом и активами;
- многофакторная аутентификация и защищённые коммуникации.
Кроме того, о значимых инцидентах нужно сообщать в жёсткие сроки: раннее предупреждение — в течение 24 часов, уведомление — в течение 72 часов, итоговый отчёт — в течение месяца. Руководство утверждает меры, отвечает за их внедрение и обязано проходить обучение.
Даже если вы не подпадаете под NIS2, но поставляете компании, которая подпадает, она передаст требования по цепочке поставок — анкеты, пункты договоров, аудиты. На практике NIS2 затрагивает гораздо больше компаний, чем перечислено в законе.
Самый быстрый путь к соответствию
Если у вас уже есть или внедряется ISO/IEC 27001, вы закрыли большую часть мер статьи 21. Остаются специфические требования NIS2 — процедура уведомления, ответственность и обучение руководства, регистрация.
Не уверены, подпадаете ли вы? Проверка занимает один разговор — и она бесплатна.