NIS2 अनुपालन: एक व्यावहारिक गाइड

Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17

NIS2 यूरोपीय संघ का मुख्य साइबर सुरक्षा कानून है: Directive (EU) 2022/2555। एक निर्देश (directive) के रूप में, यह हर सदस्य राज्य के राष्ट्रीय कानून के माध्यम से लागू होता है, जिसे 17 अक्टूबर 2024 तक लागू होना था। मूल दायित्व हर जगह एक जैसे हैं, लेकिन पंजीकरण, पर्यवेक्षण, दंड और कुछ विवरण देश-दर-देश अलग होते हैं, इसलिए जहाँ आप काम करते हैं वहाँ का राष्ट्रीय कानून हमेशा जाँचें।

क्या आप दायरे में हैं?

NIS2 18 क्षेत्रों की संस्थाओं को कवर करता है। Annex I उच्च महत्व वाले क्षेत्रों को सूचीबद्ध करता है: ऊर्जा, परिवहन, बैंकिंग, वित्तीय बाज़ार अवसंरचना, स्वास्थ्य, पेयजल, अपशिष्ट जल, डिजिटल अवसंरचना, व्यवसाय-से-व्यवसाय ICT सेवा प्रबंधन, लोक प्रशासन और अंतरिक्ष। Annex II अन्य महत्वपूर्ण क्षेत्रों को सूचीबद्ध करता है: डाक और कूरियर सेवाएँ, अपशिष्ट प्रबंधन, रसायन, खाद्य, विनिर्माण (चिकित्सा उपकरण, इलेक्ट्रॉनिक्स, मशीनरी और वाहन सहित), डिजिटल प्रदाता और अनुसंधान।

सामान्य नियम के अनुसार, कोई संस्था दायरे में आती है यदि वह यूरोपीय संघ में इनमें से किसी क्षेत्र में काम करती है और कम से कम मध्यम आकार की है (50 या अधिक कर्मचारी, या वार्षिक कारोबार और बैलेंस शीट €10 मिलियन से अधिक)। कुछ संस्थाएँ आकार चाहे जो हो दायरे में आती हैं, जैसे DNS सेवा प्रदाता, टॉप-लेवल डोमेन रजिस्ट्री, ट्रस्ट सेवा प्रदाता और सार्वजनिक इलेक्ट्रॉनिक संचार नेटवर्क के प्रदाता। संस्थाओं को आवश्यक या महत्वपूर्ण के रूप में वर्गीकृत किया जाता है; दोनों को एक ही उपाय पूरे करने होते हैं, लेकिन पर्यवेक्षण और अधिकतम जुर्माने अलग होते हैं।

NIS2 क्या अपेक्षा करता है

• शासन (अनुच्छेद 20): प्रबंधन निकायों को जोखिम-प्रबंधन उपाय मंजूर करने, उनकी निगरानी करने और साइबर सुरक्षा प्रशिक्षण लेने होंगे। विफलताओं के लिए उन्हें उत्तरदायी ठहराया जा सकता है।
• जोखिम-प्रबंधन उपाय (अनुच्छेद 21): एक सर्व-खतरा (all-hazards) दृष्टिकोण, जिसमें शामिल हैं (a) जोखिम विश्लेषण और सुरक्षा नीतियाँ; (b) घटना प्रबंधन; (c) व्यवसाय निरंतरता, बैकअप, आपदा पुनर्प्राप्ति और संकट प्रबंधन; (d) आपूर्ति-शृंखला सुरक्षा; (e) अधिग्रहण, विकास और रखरखाव में सुरक्षा, जिसमें कमज़ोरी प्रबंधन और प्रकटीकरण शामिल हैं; (f) इन उपायों की प्रभावशीलता का आकलन; (g) बुनियादी साइबर स्वच्छता और प्रशिक्षण; (h) क्रिप्टोग्राफी और एन्क्रिप्शन; (i) मानव संसाधन सुरक्षा, पहुँच नियंत्रण और परिसंपत्ति प्रबंधन; और (j) मल्टी-फ़ैक्टर या निरंतर प्रमाणीकरण तथा सुरक्षित संचार।
• घटना रिपोर्टिंग (अनुच्छेद 23): किसी महत्वपूर्ण घटना के लिए, जानकारी होने के 24 घंटे के भीतर CSIRT या सक्षम प्राधिकारी को प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना सूचना, और एक महीने के भीतर अंतिम रिपोर्ट।
• पंजीकरण: अधिकांश संस्थाओं को अपने राष्ट्रीय प्राधिकरण के साथ पंजीकरण कराना होता है।

कार्यान्वयन विनियमन

कुछ डिजिटल प्रदाताओं के लिए, आयोग ने अनुच्छेद 21 के उपायों को Implementing Regulation (EU) 2024/2690 में विस्तार से बताया है: DNS सेवा प्रदाता, TLD रजिस्ट्री, क्लाउड कंप्यूटिंग और डेटा सेंटर सेवाएँ, कंटेंट डिलीवरी नेटवर्क, प्रबंधित सेवा और प्रबंधित सुरक्षा सेवा प्रदाता, ऑनलाइन मार्केटप्लेस, सर्च इंजन, सोशल नेटवर्किंग प्लेटफ़ॉर्म और ट्रस्ट सेवा प्रदाता। इसका Annex अनुच्छेद 21 से कहीं अधिक विशिष्ट है। ControlMapping की NIS2 आवश्यकताएँ उसी Annex के बिंदु हैं, जिनमें ENISA के शीर्षक और ISO 27001 तथा NIST CSF 2.0 से ENISA की आधिकारिक मैपिंग शामिल है। अन्य संस्थाएँ अपने राष्ट्रीय कानून का पालन करती हैं, लेकिन Annex और ENISA का कार्यान्वयन मार्गदर्शन किसी के लिए भी एक विश्वसनीय संदर्भ हैं।

चरण

1. दायरे और वर्गीकरण की पुष्टि करें उस हर देश के राष्ट्रीय कानून के तहत जहाँ आप काम करते हैं, और जहाँ आवश्यक हो वहाँ पंजीकरण कराएँ।
2. प्रबंधन निकाय को जानकारी दें: उन्हें उपाय मंजूर करने और प्रशिक्षण पूरा करने होंगे, इसलिए शुरुआत वहीं से करें।
3. अनुच्छेद 21 के विरुद्ध गैप विश्लेषण चलाएँ, या यदि कार्यान्वयन विनियमन लागू होता है तो उसके Annex के विरुद्ध। यदि आपके पास ISO 27001 है, तो ISO 27001 → NIS2 तुलना से शुरू करें।
4. गायब उपाय लागू करें, जिसमें आपूर्ति-शृंखला सुरक्षा और कमज़ोरी प्रबंधन पर आमतौर पर सबसे अधिक नया काम लगता है।
5. रिपोर्टिंग प्रक्रिया बनाएँ: तय करें कि कौन यह निर्णय लेगा कि कोई घटना महत्वपूर्ण है या नहीं, और 24 घंटे तथा 72 घंटे की समय-सीमाएँ पूरी करने का अभ्यास करें, जिसमें कार्यालय समय के बाहर भी शामिल है।
6. प्रभावशीलता का साक्ष्य रखें (अनुच्छेद 21(2)(f)): ऑडिट, परीक्षण और मेट्रिक्स जो दिखाएँ कि उपाय काम करते हैं।

क्या ISO 27001 आपको NIS2 अनुपालन बनाता है?

अकेले नहीं, लेकिन यह काफ़ी दूर तक ले जाता है। ENISA की मैपिंग कार्यान्वयन विनियमन के हर बिंदु को ISO 27001 की धाराओं या Annex A नियंत्रणों से जोड़ती है, इसलिए ISO-प्रमाणित संगठन के पास अधिकांश तकनीकी और संगठनात्मक उपाय पहले से होते हैं। ISO जो नहीं देता: रिपोर्टिंग समय-सीमाएँ, प्रबंधन प्रशिक्षण और उत्तरदायित्व, पंजीकरण, और विशिष्ट तकनीकी आवश्यकताएँ जिन्हें कुछ Annex बिंदु Annex A से अधिक विस्तार से बताते हैं। आप अनुपालन में हैं या नहीं, इसका निर्णय आपका राष्ट्रीय प्राधिकरण करता है, आपकी प्रमाणन संस्था नहीं।

पर्यवेक्षण और दंड

राष्ट्रीय प्राधिकरण आवश्यक संस्थाओं की सक्रिय निगरानी करते हैं (ऑडिट, निरीक्षण, सुरक्षा स्कैन) और महत्वपूर्ण संस्थाओं की निगरानी आमतौर पर घटना या शिकायत के बाद करते हैं। आवश्यक संस्थाओं के लिए अधिकतम जुर्माना कम से कम €10 मिलियन या वैश्विक वार्षिक कारोबार का 2%, और महत्वपूर्ण संस्थाओं के लिए €7 मिलियन या 1.4%, जो भी अधिक हो।

यह साइट कैसे मदद करती है

यहाँ का हर NIS2 आवश्यकता बिंदु ENISA की मैपिंग के ज़रिए ISO 27001 और NIST CSF 2.0 से जुड़ता है, और उनके माध्यम से अन्य फ़्रेमवर्क से भी। नीचे की तालिका दिखाती है कि आपके पास मौजूद हर फ़्रेमवर्क NIS2 के कितने हिस्से को पहले से कवर करता है।

क्या आपके पास पहले से कोई और फ़्रेमवर्क है?

NIS2 की कितनी आवश्यकताएँ उन फ़्रेमवर्क से मैप होती हैं जिन्हें आप पहले से मानते हो सकते हैं। आवश्यकता-दर-आवश्यकता सूची के लिए गैप रिपोर्ट खोलें।

क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. गिनती उसी डेटा से आती है जिससे गैप विश्लेषण बनता है; मैपिंग का अर्थ है संबंधित आवश्यकताएँ, इस बात का प्रमाण नहीं कि एक दूसरे को संतुष्ट करती है।

प्रश्न

NIS2 कब से लागू होना शुरू हुआ?

सदस्य राज्यों को अपने राष्ट्रीय NIS2 कानून 18 अक्टूबर 2024 से लागू करने थे। कई देर से लागू हुए, इसलिए जहाँ आप काम करते हैं वहाँ की स्थिति जाँचें।

NIS2 की घटना रिपोर्टिंग समय-सीमाएँ क्या हैं?

किसी महत्वपूर्ण घटना की जानकारी होने के 24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना सूचना, और एक महीने के भीतर अंतिम रिपोर्ट।

क्या NIS2 यूरोपीय संघ के बाहर की कंपनियों पर लागू होता है?

हो सकता है। EU में सेवाएँ देने वाले कुछ डिजिटल प्रदाता, जिनकी वहाँ कोई स्थापना नहीं है, उन्हें किसी सदस्य राज्य में एक प्रतिनिधि नियुक्त करना होगा।

यह कानूनी या अनुपालन सलाह नहीं है। इस पर भरोसा करने से पहले आधिकारिक पाठ और अपने ऑडिटर, मूल्यांकनकर्ता या नियामक से जाँच लें।