Відповідність вимогам директиви кібербезпеки EU NIS 2

Правила посиленої кібербезпеки в Євросоюзі

Директива з кібербезпеки NIS 2 запроваджує обов’язкові заходи інформаційної безпеки та вимоги до звітності про інциденти інформаційної безпеки. За невиконання цих вимог багато компаній у певних секторах піддаються значним штрафам.

Що таке директиви NIS і NIS 2?

NIS (Network and Information Systems) означає “мережеві та інформаційні системи”. Директива NIS діє з 2016 року. Раніше правила насамперед стосувалися компаній критичної інфраструктури та постачальників цифрових послуг (онлайн-ринків, онлайн-пошуковиків і сервісів хмарних обчислень).

Попереднє секторальне охоплення директиви NIS розширено за допомогою NIS 2 на значно більшу частину економіки, щоб забезпечити всебічне охоплення секторів і послуг, які мають вирішальне значення для основних соціальних та економічних видів діяльності на внутрішньому ринку.

Директива з кібербезпеки спрямована на підвищення кіберстійкості та поліпшення реагування на інциденти безпеки в державному та приватному секторах у ЄС.

Коли набула чинності NIS 2?

Директива NIS є першим законодавчим актом з кібербезпеки в масштабах ЄС. До 9 травня 2018 року всі країни-члени ЄС повинні були внести цей акт у своє національне законодавство. NIS 2 набула чинності 16 січня 2023 року, а попередню директиву про безпеку мереж та інформаційних систем (NIS) було скасовано з 18 жовтня 2024 року.

Кого стосується NIS 2?

Директива NIS 2 стосується організацій із таких секторів:

Таким чином, Директива встановлює вимоги до організацій, що надають найважливіші послуги у сфері енергетики, логістики, фінансів, охорони здоров’я, комунальних служб, цифрової інфраструктури, промисловості, державного управління та досліджень.

Чи стосується директива NIS 2 малого бізнесу?

Компанії, в яких працюють менше ніж 50 осіб, і річний оборот яких не перевищує 10 мільйонів євро, або річний підсумковий баланс не перевищує 10 мільйонів євро, вважаються невеликими, і тому не підпадають під дію директиви NIS 2.

Однак є винятки. Зокрема, незалежно від розміру під дію Директиви можуть підпадати такі організації:

1. Провайдери трастових послуг;
2. Оператори загальнодоступних мереж електронного зв’язку або постачальники загальнодоступних послуг електронного зв’язку;
3. Реєстри імен TLD і постачальники послуг DNS, за винятком операторів кореневих серверів імен;
4. Компанії, які є єдиним постачальником послуг у державі-члені ЄС, необхідних для підтримки критично важливої соціальної або економічної діяльності.

Таким чином, NIS 2 поширюється не тільки на великі організації, а й на деякі підприємства малого бізнесу, які своєю чергою, повинні дотримуватися вимог Директиви для забезпечення високого загального рівня кібербезпеки на всій території ЄС і уникнути штрафів за недотримання вимог.

Вимоги NIS 2

Заходи та сфера дії

Директива NIS 2 спрямована на поліпшення існуючого стану кібербезпеки в ЄС. Це досягається шляхом управління кіберкризами, гармонізації вимог безпеки та звітності, а також управління ризиками кібербезпеки.

Стратегія та управління кібербезпекою

Директива NIS 2 вимагає від організацій наявності стратегії та управління кібербезпекою для протидії кіберзагрозам, що виникають. Це охоплює такі заходи, як управління ризиками, управління інцидентами та співробітництво.

Управління інформаційною безпекою

Директива NIS 2 вимагає від організацій застосовувати належні та пропорційні технічні, операційні й організаційні заходи для управління ризиками кібербезпеки. Сюди входять такі заходи, як контроль доступу, шифрування та реагування на інциденти.

Зобов’язання щодо звітності

Директива NIS 2 вимагає протягом 24 годин після виявлення значного інциденту подати раннє попередження. Протягом 72 годин необхідно подати повідомлення про інцидент із початковою оцінкою, а остаточний звіт – як правило, не пізніше ніж через місяць після цього повідомлення.

Навчання та інформованість

Директива NIS 2 вимагає навчання членів органів управління та передбачає заохочення регулярного навчання працівників у сфері кібербезпеки. Це охоплює такі заходи, як інформаційні кампанії, програми навчання і симуляції.

Штрафи за невиконання вимог NIS 2

Директива NIS 2 передбачає штрафні санкції за недотримання вимог. Міра відповідальності залежить від тяжкості порушення та розміру організації.

Штрафи

Для важливих організацій держави-члени мають передбачити максимальний адміністративний штраф у розмірі щонайменше 7 млн євро або 1,4% загального світового річного обороту, залежно від того, яка сума є більшою. Для критично важливих організацій відповідні пороги становлять щонайменше 10 млн євро або 2%.

Санкції

Держави-члени можуть накладати санкції на організації, які не виконують вимоги директиви NIS 2. Ці санкції можуть включати призупинення або відкликання ліцензій, дозволів і допусків.

Репутаційна шкода

Недотримання директиви NIS 2 може призвести до репутаційного збитку для організації. Це може призвести до втрати клієнтів, партнерів та інвесторів.

Важливо зазначити, що санкції за недотримання можуть варіюватися залежно від країни та конкретних обставин порушення. Крім того, важливо переконатися в тому, що організація дотримується вимог директиви NIS 2, для уникнення репутаційного збитку, який може бути навіть вищим за штрафи.

Впровадження директиви NIS 2

Ми прагнемо приділяти першочергову увагу безпеці систем, захисту конфіденційних даних і збереженню довіри наших клієнтів. Забезпечення відповідності вимогам директиви NIS 2 допоможе підвищити рівень кібербезпеки та продемонструвати відданість високим стандартам захисту. У результаті ви отримаєте:

Не чекайте останнього моменту або судового позову, а займіться забезпеченням відповідності заздалегідь. Досвід впровадження GDPR показує, що компанії, які проявили недбалість, дорого за це заплатили. Водночас компанії, які звернулися до нас заздалегідь, змогли швидко й без зайвих труднощів забезпечити відповідність вимогам директив ЄС. 

Наші експерти компетентні не тільки в технічних та організаційних питаннях кібербезпеки, а й у нюансах законодавства ЄС. Бажаєте відповідати всім вимогам NIS 2 і знизити ризики високих штрафів уже сьогодні? Тоді замовте безплатну консультацію тут!