Соответствие требованиям директивы кибербезопасности EU NIS 2

Правила усиленной кибербезопасности в Евросоюзе

Директива по кибербезопасности NIS 2 вводит обязательные меры информационной безопасности и требования к отчетности об инцидентах информационной безопасности. За невыполнение этих требований многие компании в определенных секторах подвергаются крупным штрафам.

Что такое директивы NIS и NIS 2?

NIS (Network and Information Systems) означает «сетевые и информационные системы». Директива NIS действует с 2016 года. Ранее правила касались в первую очередь компаний критической инфраструктуры и поставщиков цифровых услуг (онлайн-рынков, онлайн-поисковиков и сервисов облачных вычислений).

Предыдущий секторальный охват директивы NIS расширен с помощью NIS 2 на гораздо большую часть экономики, чтобы обеспечить всесторонний охват секторов и услуг, которые имеют решающее значение для основных социальных и экономических видов деятельности на внутреннем рынке.

Директива по кибербезопасности направлена ​​на повышение киберустойчивости и улучшение реагирования на инциденты безопасности в государственном и частном секторах в ЕС.

Когда вступила в силу NIS 2?

Директива NIS является первым законодательным актом по кибербезопасности в масштабах ЕС. К 9 мая 2018 года все страны-члены ЕС должны были внести этот акт в своё национальное законодательство. NIS 2 вступила в силу 16 января 2023 года, а предыдущая директива о безопасности сетей и информационных систем (NIS) была отменена с 18 октября 2024 года.

Кого касается NIS 2?

Директива NIS 2 касается организаций из следующих секторов:

Таким образом, Директива устанавливает требования к организациям, предоставляющим важнейшие услуги в сфере энергетики, логистики, финансов, здравоохранения, коммунальных служб, цифровой инфраструктуры, промышленности, государственного управления и исследований.

Касается ли директива NIS 2 малого бизнеса?

Компании, в которых работают менее 50 человек, и годовой оборот которых не превышает 10 миллионов евро, или годовой итоговый баланс не превышает 10 миллионов евро, считаются небольшими, и поэтому не подпадают под действие директивы NIS 2.

Однако есть исключения. В частности, независимо от размера под действие Директивы могут подпадать следующие организации:

1. Провайдеры трастовых услуг;
2. Операторы общедоступных сетей электронной связи или поставщики общедоступных услуг электронной связи;
3. Реестры имен TLD и поставщики услуг DNS, за исключением операторов корневых серверов имен;
4. Компании, которые являются единственным поставщиком услуг в государстве-члене ЕС, необходимых для поддержания критически важной социальной или экономической деятельности.

Таким образом, NIS 2 распространяется не только на крупные организации, но и на некоторые предприятия малого бизнеса, которые, в свою очередь, должны соблюдать требования Директивы, чтобы обеспечить высокий общий уровень кибербезопасности на всей территории ЕС и избежать штрафов за несоблюдение требований.

Требования NIS 2

Меры и область охвата

Директива NIS 2 направлена на улучшение существующего состояния кибербезопасности в ЕС. Это достигается путем управления киберкризисами, гармонизации требований к безопасности и отчетности, а также управления рисками кибербезопасности.

Стратегия и управление кибербезопасностью

Директива NIS 2 требует от организаций наличия стратегии и управления кибербезопасностью для противодействия возникающим киберугрозам. Это включает в себя такие меры, как управление рисками, управление инцидентами и сотрудничество.

Управление информационной безопасностью

Директива NIS 2 требует от организаций применять соответствующие и соразмерные технические, операционные и организационные меры управления рисками кибербезопасности. Сюда входят такие меры, как контроль доступа, шифрование и реагирование на инциденты.

Обязательства по отчетности

Директива NIS 2 требует в течение 24 часов после обнаружения значительного инцидента направить раннее предупреждение. В течение 72 часов необходимо подать уведомление об инциденте с первоначальной оценкой, а итоговый отчет — как правило, не позднее одного месяца после этого уведомления.

Обучение и информированность

Директива NIS 2 требует обучения членов органов управления и предусматривает поощрение регулярного обучения сотрудников в области кибербезопасности. Это включает в себя такие меры, как информационные кампании, программы обучения и симуляции.

Штрафы за невыполнение требований NIS 2

Директива NIS 2 предусматривает штрафные санкции за несоблюдение требований. Мера ответственности зависит от тяжести нарушения и размера организации.

Штрафы

Для важных организаций государства-члены должны предусмотреть максимальный административный штраф в размере не менее 7 млн евро или 1,4% общего мирового годового оборота, в зависимости от того, какая сумма выше. Для критически важных организаций соответствующие пороги составляют не менее 10 млн евро или 2%.

Санкции

Государства-члены могут накладывать санкции на организации, не выполняющие требования директивы NIS 2. Эти санкции могут включать приостановку или отзыв лицензий, разрешений и допусков.

Репутационный ущерб

Несоблюдение директивы NIS 2 может привести к репутационному ущербу для организации. Это может привести к потере клиентов, партнеров и инвесторов.

Важно отметить, что санкции за несоблюдение могут варьироваться в зависимости от страны и конкретных обстоятельств нарушения. Кроме того, важно убедиться в том, что организация соблюдает требования директивы NIS 2, чтобы избежать репутационного ущерба, который может быть даже выше штрафов.

Внедрение директивы NIS 2

Мы стремимся уделять первостепенное внимание безопасности систем, защите конфиденциальных данных и сохранению доверия наших клиентов. Обеспечение соответствия требованиям директивы NIS 2 поможет повысить уровень кибербезопасности и продемонстрировать приверженность высоким стандартам защиты. В результате вы получите:

Не ждите последнего момента или судебного иска, а займитесь обеспечением соответствия заранее. Печальный опыт внедрения GDPR показывает, что компании, проявившие беспечность, дорого заплатили за это. В то же время компании, которые обратились к нам заранее, смогли быстро и без лишних сложностей обеспечить соответствие требованиям директив ЕС. 

Наши эксперты компетентны не только в технических и организационных вопросах кибербезопасности, но и в нюансах законодательства ЕС. Хотите соответствовать всем требованиям NIS 2 и снизить риски высоких штрафов уже сегодня? Тогда закажите бесплатную консультацию здесь!