Соответствие NIS2: практическое руководство

По параметру «Paul Gillet» · Обновлено 2026-10-17

NIS2 — основной закон ЕС в сфере кибербезопасности: Директива (ЕС) 2022/2555. Как директива, она реализуется через национальное законодательство каждого государства-члена, которое должно было быть принято к 17 октября 2024 года. Основные обязательства везде одинаковы, однако регистрация, надзор, санкции и некоторые детали различаются по странам, поэтому всегда проверяйте национальный закон в той юрисдикции, где вы работаете.

Попадаете ли вы в сферу действия?

NIS2 распространяется на субъекты в 18 секторах. Приложение I включает секторы высокой критичности: энергетику, транспорт, банковское дело, инфраструктуру финансовых рынков, здравоохранение, питьевую воду, сточные воды, цифровую инфраструктуру, управление ИКТ-услугами для бизнеса (B2B), государственное управление и космос. Приложение II включает прочие критически важные секторы: почтовые и курьерские услуги, управление отходами, химическую промышленность, производство и распределение продуктов питания, обрабатывающую промышленность (в том числе медицинских изделий, электроники, машиностроения и автомобилестроения), цифровых провайдеров и научные исследования.

Как правило, субъект попадает в сферу действия, если он работает в одном из этих секторов в ЕС и относится как минимум к средним предприятиям (50 и более сотрудников либо годовой оборот и баланс свыше 10 миллионов евро). Некоторые субъекты подпадают под действие независимо от размера, например поставщики услуг DNS, реестры доменов верхнего уровня, поставщики доверительных услуг и поставщики публичных сетей электронных коммуникаций. Субъекты относятся к категории существенных или важных; к обоим применяются одни и те же меры, но надзор и максимальные штрафы различаются.

Требования NIS2

• Управление (статья 20): органы управления организации должны утверждать меры управления рисками, контролировать их выполнение и проходить обучение по кибербезопасности. Они могут нести ответственность за нарушения.
• Меры управления рисками (статья 21): подход, учитывающий все виды угроз, и охватывающий: (а) анализ рисков и политики безопасности; (б) обработку инцидентов; (в) непрерывность деятельности, резервное копирование, аварийное восстановление и управление кризисами; (г) безопасность цепочки поставок; (д) безопасность при приобретении, разработке и обслуживании систем, включая обработку уязвимостей и их раскрытие; (е) оценку эффективности этих мер; (ж) базовую кибергигиену и обучение; (з) криптографию и шифрование; (и) безопасность в отношении персонала, контроль доступа и управление активами; (к) многофакторную или непрерывную аутентификацию и защищённые каналы связи.
• Отчётность об инцидентах (статья 23): о значительном инциденте направляется предварительное уведомление в CSIRT или компетентный орган в течение 24 часов с момента осведомлённости, уведомление об инциденте — в течение 72 часов, а итоговый отчёт — в течение одного месяца.
• Регистрация: большинство субъектов должны зарегистрироваться в национальном органе.

Имплементирующий регламент

Для отдельных цифровых провайдеров Комиссия детализировала меры статьи 21 в Имплементирующем регламенте (ЕС) 2024/2690: поставщики услуг DNS, реестры доменов верхнего уровня, облачные вычисления и услуги центров обработки данных, сети доставки контента, поставщики управляемых и управляемых услуг безопасности, интернет-маркетплейсы, поисковые системы, платформы социальных сетей и поставщики доверительных услуг. Его приложение значительно конкретнее самой статьи 21. Требования NIS2 в ControlMapping — это пункты данного приложения с названиями ENISA и официальным соответствием ENISA стандарту ISO 27001 и NIST CSF 2.0. Прочие субъекты руководствуются национальным законодательством, однако приложение и руководство ENISA по внедрению являются надёжным ориентиром для всех.

Этапы работы

1. Определите сферу действия и категорию субъекта в соответствии с национальным законодательством каждой страны, в которой вы работаете, и зарегистрируйтесь там, где это требуется.
2. Проинформируйте руководство организации: оно должно утвердить меры и пройти обучение, поэтому начните именно с этого.
3. Проведите анализ разрывов по статье 21 или, если применим Имплементирующий регламент, по его приложению. Если у вас есть ISO 27001, начните со сравнения ISO 27001 → NIS2.
4. Внедрите недостающие меры; больше всего новой работы обычно требуют безопасность цепочки поставок и обработка уязвимостей.
5. Создайте процедуру отчётности: определите, кто решает, является ли инцидент значительным, и отработайте соблюдение сроков 24 часа и 72 часа, в том числе в нерабочее время.
6. Храните доказательства эффективности (статья 21(2)(f)): аудиты, испытания и метрики, которые показывают, что меры работают.

Делает ли ISO 27001 вас соответствующим NIS2?

Сама по себе — нет, но она покрывает значительную часть требований. Соответствие ENISA связывает каждый пункт Имплементирующего регламента с пунктами ISO 27001 или средствами приложения A, поэтому организация, сертифицированная по ISO, в основном уже реализует большую часть технических и организационных мер. Чего ISO не даёт: сроки отчётности, обучение руководства и его ответственность, регистрацию и конкретные технические требования, которые некоторые пункты приложения детализируют сильнее, чем приложение A. Соответствие определяет ваш национальный орган, а не орган по сертификации.

Надзор и санкции

Национальные органы осуществляют упреждающий надзор за существенными субъектами (аудиты, проверки, сканирование безопасности) и последующий надзор за важными субъектами, обычно после инцидента или жалобы. Максимальные штрафы составляют не менее 10 миллионов евро или 2% мирового годового оборота для существенных субъектов и 7 миллионов евро или 1,4% для важных субъектов — в зависимости от того, что больше.

Как помогает этот сайт

Каждое требование NIS2 на этом сайте связано с ISO 27001 и NIST CSF 2.0 через соответствие ENISA, а через них — с другими стандартами. В таблице ниже показано, какую часть NIS2 покрывает каждый стандарт, который у вас уже есть.

Уже используете другой фреймворк?

Сколько требований NIS2, которые вы, возможно, уже выполняете, сопоставлено с каждым стандартом. Откройте отчёт о разрывах для построчного списка требований.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Подсчеты основаны на тех же данных, что и анализ разрывов; сопоставление означает связанные требования, а не доказательство того, что одно выполняет другое.

Вопросы

С какого момента NIS2 стал применяться?

Государства-члены должны были применять национальные законы NIS2 с 18 октября 2024 года. Некоторые страны опоздали, поэтому проверьте статус в вашей юрисдикции.

Каковы сроки отчётности об инцидентах по NIS2?

Предварительное уведомление — в течение 24 часов с момента осведомлённости о значительном инциденте, уведомление об инциденте — в течение 72 часов, итоговый отчёт — в течение одного месяца.

Распространяется ли NIS2 на компании за пределами ЕС?

Да, может. Некоторые цифровые провайдеры, которые предлагают услуги в ЕС без учреждения там, обязаны назначить представителя в одном из государств-членов.

Не является юридической или комплаенс-консультацией. Перед использованием сверьтесь с официальным текстом и уточните у своего аудитора, оценщика или регулятора.