NIS2 для компании вне Евросоюза: что требует директива и что требуют клиенты
NIS2 для компаний за пределами ЕС открывается двумя дверями: самой директивой, если вы оказываете в ЕС определённые цифровые услуги, и вашими клиентами из ЕС, которые обязаны управлять безопасностью своих поставщиков. Мы определяем, какая дверь ваша, готовим меры и документы, которые попросят клиенты или орган в ЕС, и держим объём работ в границах того, что действительно написано в тексте.
Вопрос партнёру · письменный ответ в течение 24 часов
Касается ли NIS2 компании вне ЕС
Напрямую NIS2 касается компаний вне ЕС из определённого списка цифровых услуг, если они оказывают услуги в Союзе: облачные и дата-центры, CDN, MSP и MSSP, DNS, регистраторы доменов, маркетплейсы, поисковики и соцсети. Остальные компании вне ЕС обычно встречают NIS2 через договоры с клиентами, которые сами подпадают под директиву.
Директива применяется к субъектам видов из приложений I и II, которые являются средними предприятиями или крупнее по Рекомендации 2003/361/ЕС и оказывают услуги или ведут деятельность в Союзе (ст. 2(1)). Часть видов подпадает независимо от размера, например поставщики доверительных услуг, реестры доменов верхнего уровня и DNS-провайдеры (ст. 2(2)).
Две двери
Прямая. Статья 26(1)(b) относит облачных провайдеров, дата-центры, CDN, MSP, MSSP, DNS-провайдеров, реестры и регистраторов доменов, онлайн-маркетплейсы, поисковики и соцсети к юрисдикции страны их основного учреждения в ЕС. Если учреждения в ЕС нет, а услуги в Союзе оказываются, компания назначает представителя (ст. 26(3)).
Через клиентов. Клиент из ЕС, подпадающий под NIS2, обязан управлять безопасностью цепочки поставок (ст. 21(2)(d)). Его требования доходят до вас договором, анкетой и правом на аудит.
Представитель NIS2 в ЕС: кому нужен
Представитель нужен цифровому провайдеру из списка статьи 26(1)(b), который не учреждён в ЕС, но оказывает там услуги. Его назначают в одной из стран, где оказываются услуги, и компания подпадает под юрисдикцию этой страны.
Без представителя любая страна ЕС, где компания оказывает услуги, может принять против неё правовые меры за нарушение директивы (ст. 26(3)). Для этих же видов провайдеров Исполнительный регламент (ЕС) 2024/2690 от 17 октября 2024 года задаёт технические и методические требования к мерам статьи 21(2) и уточняет, какие инциденты считаются значительными.
Что делаем мы
Мы определяем, подпадает ли ваша услуга под один из видов статьи 26(1)(b), и готовим меры и документы, которые требует регламент 2024/2690. Представителя назначаете вы, договор с ним и юридическую оценку статуса готовит юрист.
Требования NIS2 к поставщикам: что передают клиенты из ЕС
Клиент из ЕС под NIS2 должен учитывать уязвимости каждого прямого поставщика и качество его продуктов и практик кибербезопасности, включая безопасную разработку. Поэтому он просит у вас описание мер, доказательства и право проверки.
Статья 21(3) прямо требует от субъекта NIS2 оценивать конкретного поставщика: его уязвимости, качество продуктов, практики кибербезопасности и процедуры безопасной разработки. На практике это превращается в анкету, приложение к договору о безопасности, сроки уведомления об инцидентах и право на аудит.
Финансовые клиенты
Если ваш клиент банк, платёжная или электронно-денежная организация, к нему вместо NIS2 применяются требования DORA: статья 4 NIS2 отдаёт приоритет отраслевым актам ЕС с не менее строгими требованиями. Вопросы при этом похожи, а договорные условия задаёт статья 30 DORA. Подготовку ответов мы ведём по отдельной услуге «анкета банка по ИБ».
Меры NIS2 по статье 21: десять пунктов простыми словами
Статья 21(2) перечисляет десять групп мер: анализ рисков, обработка инцидентов, непрерывность, безопасность цепочки поставок, безопасная разработка, оценка эффективности, кибергигиена и обучение, криптография, кадры и доступы, многофакторная аутентификация. Утверждает меры и отвечает за них руководство (ст. 20).
Меры должны быть соразмерны рискам, размеру компании и вероятности инцидентов, с учётом современного уровня техники и европейских и международных стандартов (ст. 21(1)). Члены органа управления утверждают меры, контролируют их выполнение, могут нести ответственность за нарушения и обязаны проходить обучение (ст. 20).
Мы сопоставляем то, что у вас уже есть, например меры по ISO/IEC 27001, с перечнем статьи 21(2), закрываем разрывы и собираем доказательства по каждому пункту. Для компании вне ЕС это обычно та же база, которой отвечают на анкеты клиентов.
Сроки уведомления NIS2 и национальные законы
О значительном инциденте субъект NIS2 подаёт раннее предупреждение в течение 24 часов, уведомление в течение 72 часов и итоговый отчёт не позднее месяца после уведомления. Конкретный порядок задаёт национальный закон страны, под юрисдикцией которой вы находитесь.
Страны ЕС должны были принять национальные меры до 17 октября 2024 года и применять их с 18 октября 2024 года (ст. 41). Не все успели: 8 июля 2026 года Еврокомиссия передала дела Ирландии, Испании, Франции и Нидерландов в Суд ЕС за то, что они не уведомили о полном переносе директивы. Поэтому мы сверяем требования по национальному закону конкретной страны в день начала работ.
Положения NIS2, которые затрагивают компании вне ЕС
Требование
Что это значит
Источник
Средние и крупные субъекты из приложений I и II, оказывающие услуги в Союзе (ст. 2(1))
Размер и вид услуги решают, подпадаете ли вы напрямую
Письменный вывод: подпадаете ли вы под NIS2 напрямую, через клиентов или не подпадаете, со ссылками на статьи
Сопоставление ваших мер со статьёй 21(2) и, для цифровых провайдеров, с регламентом 2024/2690
Пакет доказательств для клиентов из ЕС и процедуру уведомления об инцидентах со сроками
План закрытия разрывов с владельцами и датами
Что нужно от вас
Описание услуг, клиентов в ЕС и стран, где вы их обслуживаете
Анкеты и договорные требования, которые уже прислали клиенты
Время владельца ИТ и, при наличии, вашего юриста
Подписанное письмо о рамках работ
Границы работы
Применимость директивы к вам окончательно оценивает юрист или компетентный орган; мы готовим технический и организационный вывод
Представителя в ЕС назначаете вы, мы этой роли на себя не берём
Уведомления в CSIRT или орган подаёт ваша компания
Соответствие проверяет национальный орган страны юрисдикции
Риски разбираться с NIS2 своими силами, с чат-ботом или фрилансером
Своими силами
Компания решает, что директива её не касается, потому что офис вне ЕС. Через полгода приходит анкета клиента со ссылкой на статью 21, и отвечать нужно за две недели.
Чат-бот
Смешивает текст директивы с национальными законами и черновиками. Вывод о применимости без ссылок на статьи нельзя показать ни клиенту, ни органу.
Фрилансер
Продаёт общий пакет политик NIS2. В нём нет требований регламента 2024/2690 для облака или MSP. Клиент спрашивает именно о них.
Частые вопросы
Напрямую касается цифровых провайдеров из статьи 26(1)(b), если они оказывают услуги в Союзе: облачных провайдеров, дата-центров, CDN, MSP и MSSP, DNS-провайдеров, регистраторов доменов, маркетплейсов, поисковиков и соцсетей. Им нужен представитель в ЕС. Остальные компании вне ЕС обычно получают требования NIS2 через договоры с клиентами, которые подпадают под директиву.
Нужен, если ваша услуга относится к видам из статьи 26(1)(b), у вас нет учреждения в ЕС и вы оказываете услуги в Союзе. Представителя назначают в одной из стран, где оказываются услуги. Без него любая из этих стран может принять против компании правовые меры. Мы определяем, подпадает ли услуга, а назначение и договор оформляет юрист.
Описание мер по пунктам статьи 21(2), особенно доступы и многофакторную аутентификацию, обработку инцидентов и сроки уведомления клиента, резервное копирование, безопасную разработку и управление уязвимостями, а также ваших собственных поставщиков. Часто просят право на аудит и доказательства. Мы собираем базу ответов один раз и используем её для всех клиентов.
Банки, платёжные и электронно-денежные организации ЕС работают по DORA: статья 4 NIS2 отдаёт приоритет отраслевым актам с равноценными требованиями к мерам и уведомлениям. Если вы поставщик такой организации, требования приходят по DORA, через её договор и анкету. Если среди клиентов есть и финансовые, и нефинансовые организации, пригодятся обе карты требований.
Статья 23(4) требует раннего предупреждения в течение 24 часов с момента, когда стало известно о значительном инциденте, уведомления в течение 72 часов и итогового отчёта не позднее месяца после уведомления. Получатель и форма зависят от национального закона страны юрисдикции. Мы готовим процедуру с таблицей сроков для каждой страны, где вы работаете.
Цена зависит от того, подпадаете ли вы напрямую или через клиентов, от числа стран и услуг, от того, сколько мер уже работает и сколько анкет нужно закрыть. После платной 30-минутной консультации мы фиксируем объём и цену в письме о рамках работ. Цена фиксированная, и уточняющие вопросы клиентов по подготовленным ответам входят в неё.
