«Что такое директива NIS2 и почему наши клиенты в ЕС просят у нас документы по кибербезопасности?» — этот вопрос всё чаще звучит в турецких компаниях, поставляющих товары или услуги в Европу. NIS2 — это общая рамка Европейского союза в области безопасности сетей и информационных систем. Напрямую в Турции она не применяется, однако может затрагивать турецкие компании через клиентов, дочерние компании и цифровые услуги в ЕС.
В этой статье мы кратко излагаем сферу действия директивы, типы субъектов, сроки уведомления и график применения — строго в том объёме, в каком они изложены в тексте директивы и на официальных страницах институтов ЕС. Обязанности в самой Турции — это отдельная рамка; мы рассмотрели их в статье о Законе о кибербезопасности № 7545.
Что такое директива NIS2?
Её официальное название — Директива (ЕС) 2022/2555. Она была принята 14 декабря 2022 года и опубликована в Официальном журнале Европейского союза 27 декабря 2022 года. Версии текста на турецком языке нет; ссылки в этой статье основаны на английском тексте. По данным ENISA, директива вступила в силу 16 января 2023 года и заменила предыдущую директиву NIS (2016/1148).
Как директива, NIS2 адресована не компаниям, а государствам-членам (ст. 46). Для компаний обязательным является национальное законодательство, которым каждое государство-член перенесло директиву. В соответствии с этим выстроен и график:
- 17 октября 2024 года: дата, к которой государства-члены должны были принять и опубликовать национальные нормы (ст. 41).
- 18 октября 2024 года: начало применения национальных норм и отмена NIS1 (ст. 41, ст. 44).
- 17 апреля 2025 года: дата, к которой государства-члены должны были составить перечень основных и важных субъектов; перечень пересматривается не реже одного раза в два года (ст. 3(3)).
Перенос шёл в разных странах с разной скоростью. Согласно странице о переносе Европейской комиссии, 7 мая 2025 года Комиссия направила мотивированное заключение 19 государствам-членам, не уведомившим о полном переносе. Поэтому главный текст, который следует изучить компании, — это закон о соответствии NIS2 той страны, где она работает.
Кого охватывает директива? Основные и важные субъекты
Директива применяется к государственным или частным субъектам тех типов, которые перечислены в Приложениях I и II. Критерий — быть средним или более крупным предприятием согласно определению МСП в ЕС и оказывать услуги либо вести деятельность на территории ЕС (ст. 2(1)). Секторы сгруппированы в двух приложениях:
- Приложение I, секторы высокой критичности: энергетика, транспорт, банковское дело, инфраструктура финансовых рынков, здравоохранение, питьевая вода, сточные воды, цифровая инфраструктура, управление услугами ИКТ (бизнес для бизнеса), государственное управление и космос.
- Приложение II, другие критически важные секторы: почтовые и курьерские услуги, обращение с отходами, производство и распространение химических веществ, производство, переработка и распространение продуктов питания, обрабатывающая промышленность, цифровые поставщики и научные исследования.
Некоторые субъекты подпадают под директиву независимо от размера: поставщики общедоступных электронных коммуникаций, поставщики доверительных услуг, реестры доменов верхнего уровня и поставщики услуг DNS, поставщики услуг регистрации доменных имён, а также субъекты, которые государство-член считает единственными поставщиками или критически важными (ст. 2(2)–2(4)).
Охватываемые субъекты делятся на две группы (ст. 3). Основные субъекты (essential entities) — это преимущественно субъекты из Приложения I, превышающие пороги среднего предприятия, а также те, кого государство-член отнесло к этой категории. Важные субъекты (important entities) — все охватываемые субъекты, не признанные основными. Различие состоит в надзоре: основные субъекты подлежат превентивному надзору, например выездным проверкам и регулярным аудитам безопасности (ст. 32), а для важных субъектов предусмотрен последующий надзор (ex post), когда появляются доказательства или сведения о несоответствии (ст. 33).
Что требуется от компаний?
Ответственность руководства (ст. 20). Органы управления обязаны утверждать меры по управлению рисками кибербезопасности, контролировать их выполнение и проходить обучение; они могут быть привлечены к ответственности за нарушения ст. 21.
Меры по управлению рисками (ст. 21). Меры должны основываться на подходе, учитывающем «все опасности» (all-hazards), и охватывать как минимум следующее: анализ рисков и политики безопасности информационных систем; управление инцидентами; непрерывность деятельности и антикризисное управление; безопасность цепочки поставок; безопасность при приобретении и разработке систем, а также управление уязвимостями; оценку эффективности мер; базовую кибергигиену и обучение; криптографию; безопасность в сфере кадров, а также управление доступом и активами; в соответствующих случаях — многофакторную аутентификацию.
Уведомление об инцидентах (ст. 23). О «значительном инциденте» (significant incident), то есть инциденте, существенно влияющем на оказание услуг, поэтапно уведомляют национальную группу CSIRT или компетентный орган:
- Раннее предупреждение в течение 24 часов с момента, когда стало известно об инциденте,
- Уведомление об инциденте и первоначальная оценка в течение 72 часов,
- Промежуточный отчёт, если его запросит компетентный орган,
- Итоговый отчёт не позднее чем через один месяц после уведомления об инциденте; если инцидент продолжается, на эту дату — отчёт о ходе работ.
Что это значит для турецких компаний, работающих с ЕС
Директива не устанавливает общей обязанности для компаний за пределами ЕС; её влияние возникает на трёх основаниях, содержащихся в тексте.
1. Дочерняя компания, учреждённая в ЕС. Охватываемые субъекты, как правило, подпадают под юрисдикцию того государства-члена, где они учреждены (ст. 26(1)). Компания турецкой группы, учреждённая в ЕС и работающая в секторах Приложений I–II, при соблюдении условия о размере может подпадать под закон этой страны о соответствии NIS2.
2. Поставщики цифровых услуг, не учреждённые в ЕС. Поставщики услуг облачных вычислений, центров обработки данных, сетей доставки контента, управляемых услуг и управляемых услуг безопасности, а также онлайн-маркетплейсы, поисковые системы и платформы социальных сетей, если они не учреждены в ЕС, но предлагают там услуги, обязаны назначить представителя в ЕС (ст. 26(3)). Если представителя нет, любое государство-член, где оказывается услуга, может начать разбирательство. Это положение действует только для перечисленных видов услуг; для компаний из других секторов за пределами ЕС требования о представителе в тексте нет.
3. Статус поставщика охватываемого клиента. На практике это самое распространённое влияние. Ст. 21(2)(d) требует, чтобы безопасность цепочки поставок охватывала и отношения с прямыми поставщиками и поставщиками услуг, а ст. 21(3) предусматривает учёт уязвимостей каждого поставщика и его практик безопасной разработки. Преамбула директивы поощряет отражение этих мер в договорах с прямыми поставщиками. Сама директива не возлагает обязанность на поставщика, однако клиент в ЕС ради собственного соответствия может захотеть включить в договор положения о безопасности, обязательство уведомлять об инцидентах или право на аудит. Общим языком при выполнении таких запросов может стать такая рамка, как система менеджмента информационной безопасности ISO 27001.
Санкции: статья и вид
Размеры санкций директива оставляет государствам-членам в форме минимальных верхних пределов; в этой статье суммы не приводятся. Виды санкций таковы:
- Меры надзора и принуждения (ст. 32–33): предупреждение, обязательное предписание, требование устранить недостатки, требование выполнить рекомендации аудита, требование обнародовать нарушение.
- Дополнительные меры для основных субъектов (ст. 32(5)): если предыдущие меры не дали результата — временное приостановление соответствующего сертификата или разрешения и требование о временном запрете высшему руководителю исполнять управленческие функции.
- Административный штраф (ст. 34): за нарушения ст. 21 и ст. 23; предусмотрены отдельные верхние пределы для основных и важных субъектов и расчёт, привязанный к общемировому годовому обороту.
- Национальные санкции (ст. 36): государства-члены отдельно устанавливают правила об эффективных, соразмерных и сдерживающих санкциях.
Предложение об изменениях
Согласно странице NIS2 Европейской комиссии, 20 января 2026 года Комиссия в рамках нового пакета мер по кибербезопасности предложила адресные изменения NIS2, направленные на повышение правовой ясности. Это предложение; пока оно не принято, действующим текстом остаётся 2022/2555.
С чего начать?
Приведённые ниже шаги — общая схема, выведенная из статей директивы:
- Определите своё положение: отдельно перечислите дочерние компании, учреждённые в ЕС, цифровые услуги, напрямую предлагаемые в ЕС, и отношения поставки с охватываемыми клиентами в ЕС.
- Найдите закон страны: определите закон о соответствии NIS2 и компетентный орган каждого государства-члена, где вы работаете.
- Подготовьтесь к запросам клиентов: сопоставьте имеющиеся политики и подтверждения с десятью пунктами ст. 21(2).
- Пропишите порядок уведомления: определите, кто и в какой срок предоставит информацию при инциденте, способном затронуть клиента.
Заключение
NIS2 напрямую в Турции не применяется, но касается турецких компаний через дочерние компании в ЕС, цифровые услуги, предлагаемые в ЕС, и запросы охватываемых клиентов в рамках цепочки поставок. С точки зрения Orient Global, превращение пунктов ст. 21 уже сейчас в документированную карту соответствия упрощает ответы с единой основы и на вопросы клиентов из ЕС, и на местные обязанности по Закону № 7545.
Эта статья носит общий информационный характер и не является юридической или финансовой консультацией. По вашей конкретной ситуации обратитесь к специалисту.
#interimmanagement #forwarddeployedengineering