Соответствие NIS2 и закону о кибербезопасности
Проверяем, подпадает ли компания под NIS2, какие у неё обязательства, и выполняем их вместе — управление рисками, отчётность об инцидентах и ответственность руководства.
NIS2 и кибербезопасность
Директива (ЕС) 2022/2555 (NIS2) значительно расширяет круг организаций с обязательствами в области кибербезопасности. В Болгарии требования перенесены в Закон о кибербезопасности. Под действие подпадают в основном средние и крупные компании из 18 секторов — от энергетики, транспорта и здравоохранения до производства, пищевой промышленности, почтовых услуг и цифровых провайдеров.
Директива делит организации на существенные и важные субъекты. Они обязаны применять меры управления киберрисками, сообщать о значимых инцидентах в жёсткие сроки, а их руководство отвечает за надзор и должно проходить обучение.
Подпадает ли ваша компания под NIS2?
Два вопроса дают ориентировочный ответ. Решают сектор и размер — а иногда только сектор.
Вы в сфере действия как важный субъект
Те же меры и сроки отчётности. Надзор последующий — по сигналу или после инцидента.
- Надзор
- Последующий — по сигналу
- Максимальный штраф
- €7 млн или 1,4% оборота
Высококритичные секторы
- Энергетика
- Транспорт
- Банки
- Финансовые рынки
- Здравоохранение
- Питьевая вода
- Сточные воды
- Цифровая инфраструктура
- Управление ИКТ-услугами
- Космос
Другие критичные секторы
- Почтовые и курьерские услуги
- Обращение с отходами
- Химическая продукция
- Производство и дистрибуция пищевых продуктов
- Производство (медизделия, электроника, машины, транспорт)
- Цифровые провайдеры
- Научные исследования
Три обязанности и десять мер
Закон требует не конкретных продуктов, а управляемых рисков: правильных мер, быстрой отчётности и ответственного руководства.
Управление рисками
Десять минимальных мер — технических, операционных и организационных, соразмерных риску.
Отчётность об инцидентах
О значимых инцидентах сообщают в CSIRT: 24 часа, 72 часа, 1 месяц.
Ответственность руководства
Руководство утверждает меры, контролирует их и проходит обучение каждые 2 года.
-
(a)Политики рисков Анализ рисков и политики безопасности информационных систем. -
(b)Инциденты Обнаружение, реагирование и отчётность по чёткой процедуре. -
(c)Непрерывность Резервные копии, восстановление после сбоев и управление кризисами. -
(d)Цепочка поставок Безопасность в отношениях с поставщиками и подрядчиками. -
(e)Безопасная разработка Приобретение, разработка и поддержка, вкл. работу с уязвимостями. -
(f)Эффективность Оценка того, работают ли меры на деле. -
(g)Кибергигиена Базовые практики и обучение сотрудников. -
(h)Криптография Политики шифрования и защиты данных. -
(i)Люди и доступ Безопасность персонала, контроль доступа и управление активами. -
(j)MFA и связь Многофакторная аутентификация и защищённые каналы, в т.ч. в экстренных ситуациях.
Пятница, 02:14 — часы начинают отсчёт
Как выглядит значимый инцидент, когда система по NIS2 готова. Сценарий типичный — сроки установлены законом.
Программа-вымогатель шифрует файловый сервер и ERP в ночную смену.
- T+0 Обнаружение В срок EDR подаёт сигнал. Дежурный изолирует сеть и запускает процедуру реагирования.
- 24 ч Раннее предупреждение В срок В CSIRT: значимый инцидент, вероятно злонамеренный, без трансграничного воздействия.
- 72 ч Уведомление В срок Первичная оценка тяжести и воздействия, индикаторы компрометации.
- 1 мес. Итоговый отчёт В срок Первопричина, принятые меры и выводы — цикл закрыт.
Никто не знает, кто и что сообщает. 24-часовой срок истекает в панике, а руководство отвечает лично.
Каждый знает свою роль, шаблоны готовы, резервные копии работают. Инцидент неприятный — но управляемый.
Больше, чем соответствие
Спокойствие перед надзором
Задокументированные меры и доказательства, готовые к проверке.
Меньше простоев
Инцидент локализуется за часы, а не за недели.
Преимущество в тендерах
Клиенты под NIS2 выбирают поставщиков с доказанной безопасностью.
Защищённое руководство
Чёткие решения и протоколы доказывают, что руководство выполнило обязанности.
Подготовленная команда
Люди распознают фишинг и знают, что делать при инциденте.
Путь к ISO 27001
Та же работа — это 70–80% сертифицируемой системы.
Внедрение в шесть шагов
Типичный проект для средней компании занимает 3–6 месяцев. Работаем параллельно с вашей текущей деятельностью.
- 01 1 нед. Проверка сферы Существенный, важный или вне сферы — с обоснованием.
- 02 2–3 нед. Gap-анализ Ваше положение относительно десяти мер ст. 21.
- 03 1 нед. План мер Приоритеты, ответственные, сроки и бюджет.
- 04 2–4 мес. Внедрение Политики, процедуры и технические меры — MFA, бэкапы, доступ.
- 05 2 нед. Обучение и тест Обучение руководства и учения по инциденту.
- 06 постоянно Поддержка Периодический пересмотр, внутренний аудит и обновление.
Пакет, готовый к проверке
Всё, что может запросить надзорный орган, — упорядочено и понятно.
Бесплатная проверка сферы- Заключение о сфере действия и категории субъекта
- Оценка рисков и план обработки
- Политика кибербезопасности, утверждённая руководством
- Процедура и шаблоны отчётности в CSIRT
- План непрерывности и восстановления
- Требования к поставщикам и их оценка
- Сертификат об обучении руководства
- Протокол учений по инциденту
Стандарты, которые покрывают NIS2
NIS2 не требует сертификата — но международные стандарты дают кратчайший путь к доказуемому соответствию.
01 Как понять, распространяется ли на нас NIS2?
Ключевые критерии — сектор и размер: как правило, средние (50+ сотрудников или годовой оборот свыше 10 млн €) и крупные компании. Есть исключения, где размер не важен. Проверка занимает один разговор.
02 Достаточно ли ISO 27001 для NIS2?
ISO 27001 покрывает большую часть мер и является лучшим каркасом, но у NIS2 есть и специфические требования — сроки уведомления и ответственность руководства. Мы закрываем и то, и другое.
03 Какие предусмотрены санкции?
Для существенных субъектов — до 10 млн € или 2% мирового годового оборота; для важных — до 7 млн € или 1,4%. Действует и персональная ответственность руководства.
Такого вопроса нет в списке — спросите нас напрямую, и мы ответим.
Первая консультация — бесплатно
Расскажите о компании и вашей цели. Вы получите чёткий план и предложение в течение одного рабочего дня.