UCCSAL
Центр адаптації та локалізації стандартів кібербезпеки
Чинна директива; обов’язки уточнює національне впровадження

NIS2

Директива (ЄС) 2022/2555

NIS2 встановлює вимоги до кіберстійкості визначених організацій у критично важливих секторах ЄС: управління ризиками, відповідальність керівництва та повідомлення про значні інциденти.

Огляд NIS2

Директива (ЄС) 2022/2555 спрямована на безперервність важливих для суспільства послуг. Вона поєднує вимоги до організацій із національними стратегіями, роботою команд реагування CSIRT і співпрацею держав.

Це законодавчий акт, який держави ЄС впроваджують у своє право. NIS2 не є сертифікатом або готовим переліком налаштувань: організація має визначити застосовні правила та підтвердити дієвість заходів.

ТипДиректива Європейського парламенту та Ради
Номер2022/2555
Набрання чинності2023-01-16
Строк впровадження державами2024-10-17
Структура9 глав, 46 статей, 3 додатки
Офіційний сайтЄвропейська комісія: NIS2

Для кого призначена директива

Основні користувачі — керівники, фахівці з кібербезпеки, юристи, власники послуг і команди закупівель організацій у сфері дії. Регулятори та CSIRT організовують нагляд, підтримку й обмін відомостями про інциденти.

Для яких галузей

Додатки I та II охоплюють 18 секторів. Належність до галузі — початок перевірки; також важливі конкретний вид послуг, розмір, юрисдикція та винятки.

Сектори високої критичності

Енергетика, транспорт, банки, інфраструктура фінансових ринків, охорона здоров’я, питна вода, стічні води, цифрова інфраструктура, управління ІКТ-послугами для бізнесу, публічне управління та космос.

Інші критичні сектори

Пошта й кур’єрські послуги, управління відходами, хімічна промисловість, харчова галузь, визначені види виробництва, цифрові провайдери та дослідницькі організації.

Сфера дії та категорії організацій

Загальне правило охоплює середні та більші організації визначених типів; для окремих послуг і спеціально визначених суб’єктів діють винятки незалежно від розміру. Класифікацію перевіряють за статтями 2–3 і національним законом, а не лише за кількістю працівників.

Основні суб’єкти — essential entities

Зокрема великі організації з додатка I, центральні органи публічного управління, кваліфіковані надавачі довірчих послуг, реєстри доменів верхнього рівня та DNS-провайдери. Стаття 3 передбачає додаткові категорії.

Важливі суб’єкти — important entities

Інші організації з додатків I та II, які охоплені директивою та не є основними. Обидві категорії мають вимоги до ризиків і повідомлень; різняться режими нагляду.

Роль керівництва і пропорційність

За статтею 20 органи управління схвалюють заходи управління кіберризиками, контролюють їх виконання та проходять навчання. Делегування технічної роботи не усуває управлінської відповідальності; її правові наслідки визначають застосовні правила.

Заходи мають відповідати ризикам: враховують розмір організації, її залежності, ймовірність і тяжкість інцидентів та суспільні наслідки. Практичний результат — погоджені пріоритети, ресурси, відповідальні особи й докази виконання.

Що охоплює управління ризиками

Стаття 21 визначає 10 напрямів заходів із урахуванням усіх загроз, включно з фізичними ризиками. Їх реалізацію пов’язують із конкретними послугами й перевіряють на практиці.

Політики та реагування

Аналіз ризиків і безпека систем; виявлення, опрацювання та усунення інцидентів.

Стійкість і постачальники

Безперервність, резервні копії, відновлення та кризове управління; безпека прямих постачальників і надавачів послуг.

Життєвий цикл та оцінювання

Безпечне придбання, розроблення й обслуговування систем, робота з уразливостями; перевірка ефективності заходів.

Навчання та криптографія

Базова кібергігієна й навчання; правила використання криптографії та, за потреби, шифрування.

Люди, доступ і комунікації

Безпека персоналу, контроль доступу й облік активів; багатофакторна або безперервна автентифікація, захищені комунікації та аварійний зв’язок, де це доречно.

Коли та як повідомляти про інцидент

Стаття 23 стосується значних інцидентів: тих, що спричинили або здатні спричинити серйозний збій послуг чи фінансові втрати для організації або значну матеріальну чи нематеріальну шкоду іншим. Повідомлення надсилають відповідному CSIRT або компетентному органу за застосовними правилами.

Раннє попередження: до 24 годин

Без невиправданої затримки після усвідомлення значного інциденту; зазначають підозру на зловмисні дії та можливі транскордонні наслідки, якщо це застосовно.

Повідомлення: до 72 годин

Від усвідомлення значного інциденту, без невиправданої затримки: первинна оцінка тяжкості, впливу та наявні індикатори компрометації. Для надавачів довірчих послуг щодо інцидентів, які впливають на ці послуги, строк становить 24 години.

Підсумковий звіт: до 1 місяця

Після подання повідомлення про інцидент: причини, наслідки та вжиті заходи. Якщо інцидент триває, подають звіт про перебіг, а підсумковий — протягом 1 місяця після опрацювання інциденту. Проміжний звіт надають на запит органу.

Нагляд і докази виконання

Основні суб’єкти можуть підлягати попередньому й подальшому нагляду. Для важливих суб’єктів нагляд здійснюють після отримання ознак можливого порушення. Політики мають підкріплюватися записами навчань, тестів відновлення, оцінок постачальників та усунення недоліків.

Регламент (ЄС) 2024/2690 деталізує вимоги для визначених цифрових і довірчих послуг. Настанова ENISA допомагає їх реалізувати, але не є обов’язковим правовим актом. Сертифікація ISO/IEC 27001 сама по собі не підтверджує виконання всіх обов’язків NIS2.

Національне впровадження та межі застосування

Держави ЄС мали впровадити директиву до 17 жовтня 2024 року. Конкретні вимоги до реєстрації, канали повідомлення, нагляд і строки перевіряють у державі відповідної юрисдикції. Для сфер зі спеціальними актами ЄС стаття 4 передбачає правила співвідношення вимог, зокрема з DORA.

NIS2 не поширюється автоматично на українські організації. Водночас для визначених цифрових провайдерів поза ЄС, які пропонують послуги в ЄС, стаття 26 передбачає представника в ЄС. Договірні вимоги клієнта, право України та обов’язки в ЄС перевіряють окремо.