Применяется ли NIS2 к моей компании? Проверка за пять минут

Директива NIS2 (ЕС) 2022/2555 расширила законодательство ЕС о кибербезопасности с нескольких сотен операторов на страну до тысяч обычных компаний. Применяется ли она к Вашей, зависит от трёх вопросов.

1. Относится ли Ваша основная деятельность к одному из перечисленных секторов?

В Приложении I перечислены секторы высокой критичности; в Приложении II — другие критически важные секторы.

• Приложение I: энергетика, транспорт, банковская деятельность, инфраструктура финансового рынка, здравоохранение, питьевая вода, сточные воды, цифровая инфраструктура (облачные сервисы, центры обработки данных, CDN, DNS, IXP, телекоммуникации, доверенные услуги), управляемые ИТ-услуги и управляемые услуги безопасности для бизнеса, государственное управление и космос.
• Приложение II: почтовые и курьерские услуги, обращение с отходами, химическая промышленность, производство и распределение продуктов питания, производство медицинских изделий, электроники, электрооборудования, машин и транспортных средств, онлайн-маркетплейсы, поисковые системы и социальные сети, а также научно-исследовательские организации.

2. Является ли Ваша компания как минимум средним предприятием?

Директива охватывает субъекты в этих секторах, являющиеся средними или крупными по определению ЕС: 50 и более сотрудников либо годовой оборот и итог баланса, превышающие 10 млн € каждый (ст. 2(1)). Малые и микропредприятия, как правило, не подпадают под её действие.

3. Относитесь ли Вы к исключениям, которые применяются независимо от размера?

• Поставщики публичных сетей или услуг электронной связи.
• Поставщики доверенных услуг, реестры доменов верхнего уровня, поставщики услуг DNS и регистраторы доменных имён.
• Единственный в государстве-члене поставщик услуги, необходимой для общества или экономики, или субъект, который орган власти признал критически важным.
• Органы государственного управления — в зависимости от национальных правил.

Существенный или важный субъект?

Крупные субъекты в секторах Приложения I, а также некоторые субъекты независимо от размера, например квалифицированные поставщики доверенных услуг и поставщики услуг DNS, являются существенными субъектами (ст. 3(1)). Большинство остальных субъектов, подпадающих под действие Директивы, являются важными субъектами (ст. 3(2)).

Это различие важно для надзора и штрафов: существенные субъекты могут подвергаться проактивным проверкам, и максимальные штрафы для них составляют не менее 10 млн € или 2% от мирового оборота; важные субъекты подлежат надзору постфактум, и максимальные штрафы для них составляют не менее 7 млн € или 1,4% (ст. 32–34).

Неприменимость закона не означает освобождения от ответственности

Организации, подпадающие под действие Директивы, должны управлять безопасностью своих прямых поставщиков (ст. 21(2)(d)). Если Вы продаёте ИТ-услуги, ПО или иные услуги такой компании, ожидайте анкет по безопасности и договорных положений, даже если закон не называет Вас прямо.

Наша бесплатная оценка по NIS2 начинается с этой проверки применимости, а затем оценивает Вашу готовность по каждой из десяти минимальных мер.