NIS 2 Щоб встановити стандарт кібербезпеки в Європейському Союзі, компанії з різних секторів мають документувати свої стратегії безпеки. Зворотний відлік розпочато, і настав час спільної активної підготовки!

NIS 2 є вдосконаленою версією Директиви NIS 2016 року, яка вже була покликана забезпечити високий рівень безпеки мережевих та інформаційних систем в Європейському Союзі, але мала деякі недоліки.

Найважливіші відмінності між NIS 1 та NIS 2 такі:

• Нова версія включає більше секторів і компаній, які мають важливе значення для суспільства й економіки, тобто таких галузей, як енергетика, охорона здоров'я, транспорт і цифрова інфраструктура.

• NIS 2 вимагає від відповідних компаній і організацій здійснювати ефективне управління ризиками й повідомляти про серйозні або значні інциденти з кібербезпекою компетентним державним органам, які потім можуть вжити необхідних заходів. NIS 1 містить лише загальні рекомендації щодо заходів безпеки й інформування про інциденти.

• Нова Директива щодо безпеки передбачає більш жорсткі санкції для держав-членів, які можуть становити до 20 мільйонів євро або чотирьох відсотків світового обороту, якщо відповідні компанії та організації не впроваджують необхідних заходів безпеки або не повідомляють про серйозні або значні інциденти з кібербезпекою компетентним державним органам. NIS 1 залишив визначення санкцій на розсуд держав-членів, що призвело до непослідовного їх застосування.

• NIS 2 підкреслює особисту відповідальність керівництва за кібербезпеку й передбачає, що вперше виконавчі віцепрезиденти несуть відповідальність своїми особистими активами у разі недотримання вимог законодавства.

Які компанії зобов'язані виконувати вимоги Директиви NIS 2?

Об’єкти життєзабезпечення: це організації, які працюють у сфері критичної інфраструктури. Це, наприклад, об’єкти енергетики, транспортної галузі, водного господарства, сфери охорони здоров'я та банківської справи.

Важливі об'єкти: до цієї категорії належать провідні підприємства харчової та хімічної промисловості, а також ті, що відповідають за виробництво електроприладів, машин і транспортних засобів.

Крім того, самі держави-члени мають можливість розширити цільові групи, на які поширюється дія NIS 2. Вони можуть вносити додаткові організації до своїх національних списків, зобов'язуючи місцеві органи влади, навчальні заклади тощо впроваджувати вимоги директив.

Директива NIS 2 впроваджується досить суворо, зокрема, передбачено великі штрафи за недотримання або невиконання зобов’язань щодо звітності. Розмір штрафних санкцій залежить від класифікації окремих компаній.

Компанії, віднесені до категорії «важливих», повинні сплатити штраф у розмірі від 7 мільйонів євро або щонайбільше 1,4 % від свого загального світового річного обороту за попередній фінансовий рік. Компаніям, що належать до «об’єктів життєзабезпечення» загрожують штрафи в розмірі до 10 мільйонів євро або щонайбільше 2 % від їхнього загального світового річного обороту.

Належна обачність у сфері кібербезпеки не підлягає обговоренню, і найвище керівництво зобов'язане очолити впровадження та моніторинг цих заходів із кібербезпеки.