NIS2 Пояснено: Вимоги, Терміни та Використання LogTotal по всій Європі

Що таке NIS2?

NIS2 є Директивою (ЄС) 2022/2555, основним законом ЄС про кібербезпеку для організацій, які підтримують діяльність енергосистем, водопостачання, лікарень, логістичних ланцюгів, постачання їжі та цифрової інфраструктури. Вона замінила попередню Директиву NIS (ЄС) 2016/1148 і перетворила слабо застосовувану, секторну систему в єдину структуру з загальними зобов’язаннями, загальними строками звітності та реальними повноваженнями на примус.

Отже, що таке NIS2 з практичної точки зору для команди безпеки? Три речі. По-перше, вона визначає, хто підлягає її дії через розміри порогів та два секторальні додатки, розділяючи організації на суттєві та важливі суб’єкти. По-друге, вона передбачає мінімальний набір заходів управління ризиками в Статті 21, від обробки інцидентів та ведення журналів до безпеки ланцюгів поставок та криптографії. По-третє, вона запроваджує поетапний процес сповіщення про інциденти в Статті 23, з першим сигналом, який має бути наданий національному CSIRT або компетентному органу протягом 24 годин від моменту усвідомлення суттєвого інциденту.

Оскільки NIS2 є директивою, а не регламентом, кожна держава-член пише свій національний закон. Основні зобов’язання є спільними, але портали реєстрації, наглядові органи та форми звітності відрізняються від Риму до Варшави, і саме тому важливий погляд на рівень країни.

Розпочніть безкоштовно

Дата виходу NIS2 і шлях до відповідності

Директива була опублікована в Офіційному журналі 27 грудня 2022 року і набула чинності 16 січня 2023 року. Держави-члени мали до 17 жовтня 2024 року на її транспозицію, з національними заходами, що застосовуються з 18 жовтня 2024 року. Декілька країн встигли: Італія та Бельгія були серед небагатьох, чиї закони набули чинності вчасно.

Комісія відповіла листами з офіційним повідомленням у листопаді 2024 року, вмотивованими висновками в травні 2025 року та, 8 липня 2026 року, направленням до Суду Справедливості ЄС для тих, хто залишається в відставанні. За даними трансформаційного трекера nisd2.eu, станом на 16 жовтня 2026 року національний закон діє у 24 з 27 держав-членів. Франція, Ірландія та Іспанія все ще без нього.

Для дотримання NIS2 важливо пам’ятати, що час розраховується на рівні країн, а не Європи. Зміни до BSIG в Німеччині застосовуються з 6 грудня 2025 року, Польський Акт о КСБ – з 3 квітня 2026 року, Голландський закон про кібербезпеку – з 15 серпня 2026 року, а Австрійський NISG 2026 – з 1 жовтня 2026 року. Кожен з них передбачає своє вікно реєстрації, тому багатонаціональний оператор може бути погоджений у Мілані, але вже відставати у Гданську.

Що вимагає Директива NIS2

Директива NIS2 класифікує зобов’язання на три категорії: управління, технічні засоби контролю та звітність.

Управління знаходиться у Статті 20. Органи управління повинні затвердити заходи з управління ризиками кібербезпеки, контролювати їхню реалізацію та проходити регулярне навчання. Відповідальність більше не зупиняється на CISO.

Технічні засоби контролю містяться в Статті 21(2), яка перераховує десять мінімальних заходів: аналіз ризиків та політики безпеки інформаційних систем; обробка інцидентів; безперервність бізнесу, резервне копіювання та кризове управління; безпека ланцюга поставок; безпечне придбання, розробка та підтримка, включаючи обробку вразливостей; оцінка ефективності контролю; кібергігієна та навчання; криптографія; HR-безпека, контроль доступу та управління активами; та багатофакторна аутентифікація плюс забезпечені комунікації. Для постачальників цифрової інфраструктури та ІТ-послуг, Реалізаційний Регламент (ЄС) 2024/2690 детально описує ці вимоги, включаючи явні вимоги до моніторингу та ведення журналів.

Звітність відображена у Статті 23, і саме тут групи операційного центру безпеки (SOC) відчувають тиск:

• 24 години: раннє попередження, що включає інформацію, чи підозрюється, що інцидент є зловмисним або має транскордонний вплив
• 72 години: сповіщення про інцидент з початковою оцінкою серйозності та впливу і доступними індикаторами компрометації
• Один місяць: кінцевий звіт з аналізом першопричини, заходи щодо пом’якшення наслідків та транскордонний вплив

24-годинне раннє попередження є правдоподібним тільки в тому випадку, якщо команда може фактично прочитати свої журнали протягом годин, а не днів.

Чому ЄС замінив NIS1 на NIS2

NIS1 не вдалося забезпечити узгодженість. Кожна держава-член вирішувала самостійно, які компанії вважаються операторами суттєвих послуг, тому дві лікарні однакового розміру в сусідніх країнах могли зіштовхуватися з повністю різними зобов’язаннями. Штрафи були низькими і рідко застосовувалися, а порогові значення для звітування про інциденти варіювалися настільки, що транскордонне розуміння ситуації ледве існувало.

Загроза змінювалася швидше, ніж закон. Між грудневим 2020 року пропозиціями Комісії і кінцевим текстом Європа бачили, як програми-вимагачі знищують ІТ лікарень, компроміси ланцюгів поставок SolarWinds і Kaseya досягають тисяч downstream-клієнтів, і атаку в лютому 2022 року на мережу KA-SAT компанії Viasat, що зупинила віддалене моніторування близько 5800 вітротурбін Enercon у Німеччині. Останній випадок зробив одну річ дуже зрозумілою: атака на постачальника IT-послуг може мати фізичні, OT-наслідки в іншому секторі та іншій країні.

NIS2 відповідає з ширшою сферою застосування, гармонізованими мінімальними контролями, явними обов’язками в ланцюзі поставок, особистою відповідальністю керівництва та загальним інцидентним годинником. Вона також формалізує співробітництво через EU-CyCLONe і мережу CSIRT, щоб значний інцидент у Ліоні більше не був суто французькою проблемою.

Штрафи та відповідальність керівництва за NIS2

Стаття 34 встановлює максимальні межі, яких повинні досягнути національні закони, принаймні:

Посилання на оборот стосується всього підприємства, а не місцевої дочірньої компанії, саме тому фінансові директори групи тепер читають брифінги NIS2.

Гроші – це лише частина експозиції. Для суттєвих суб’єктів, Стаття 32 дозволяє органам влади призупиняти сертифікації або дозволи і тимчасово відсторонювати генерального директора або законного представника від управлінських функцій, доки дефіцити не виправлять. Органи влади можуть також наказати суб’єкту публічно розкрити свою невідповідність.

На практиці, регулятори шукають докази. Організація, яка може показати, коли вона виявила інцидент, які журнали перевіряла і як досягла своїх висновків у 24-годинний і 72-годинний терміни, знаходиться в значно сильнішій позиції, ніж та, що реконструює часовий ряд після факту. Документований, повторюваний аналіз журналів є найдоступнішим страхуванням проти верхнього діапазону цих штрафів.

NIS2 проти DORA: який з них застосовується?

Однолінійне резюме директиви NIS2: горизонтальні правила кібербезпеки для 18 критичних секторів, національно трансформовані. DORA, Закон про цифрову операційну стійкість (Регламент (ЄС) 2022/2554), є протилежним з обох точок зору. Він є секторальним, охоплює банки, страховиків, інвестиційні компанії, платіжні установи, постачальників послуг криптоактивів та їх критичних ІТ-постачальників третьої сторони, і як регламент він застосовується безпосередньо в кожній державі-члені з 17 січня 2025 року.

Вони з’єднуються через Статтю 4 NIS2. Де секторальний акт ЄС вимагає не менше, ніж NIS2, цей акт переважає. DORA є тим lex specialis для фінансових суб’єктів, тому банк дотримується правил ризику, тестування та звітності DORA, а не версії NIS2.

Перекриття важливе для постачальників. Керований SOC або провайдер хмарних послуг може бути важливим суб’єктом за NIS2, а в той же час договірним ІТ-постачальником за DORA, який стикається з двома наборниками запитів на дані журналу.

NIS2 проти GDPR: продовження обслуговування відповідає захисту даних

GDPR захищає особисті дані людей. NIS2 захищає безперебійність послуг, від яких залежить суспільство. Різниця проявляється в тому, що викликає звіт: під GDPR, це порушення особистих даних, яке може створити ризик для окремих осіб, про яке повідомляють органу захисту даних протягом 72 годин. Під NIS2, це значний інцидент, що впливає на надання послуг, про яке повідомляють CSIRT або компетентному органу починаючи з 24 годин, незалежно від того, чи були зачеплені особисті дані.

Атака програмами-вимагачами на лікарню зазвичай викликає обидва. Стаття 35 NIS2 вимагає від органу кібербезпеки інформувати орган захисту даних, коли інцидент може включати порушення особистих даних, і забороняє подвійну штрафну санкцію за ту саму поведінку, якщо штраф GDPR вже було накладено. Максимальна межа GDPR залишається вищою: 20 мільйонів євро або 4% всесвітнього обороту.

Точкою тертя для команд SOC є самі журнали. Телеметрія безпеки переповнена особистими даними: імена користувачів, IP-адреси, заголовки електронної пошти, хости, пов’язані з названими співробітниками. Надсилання необроблених журналів зовнішньому аналітику, MSSP або AI-сервісу, щоб дотриматись терміну NIS2, може підняти питання про мінімізацію даних і передачі за GDPR. Псевдонімізація ідентифікаторів перед тим, як журнали залишать організацію, водночас зберігаючи ключ у внутрішньому користуванні, є способом задовольнити обидва режими одночасно.

Які організації підпадають під дію NIS2

NIS2 використовує правило розміру: середні та великі організації, тобто 50 або більше співробітників чи більше ніж 10 мільйонів євро річного обороту, що працюють в одному з 18 секторів.

• Додаток I, сектори високої критичності (11): енергетика, транспорт, банківська справа, ринкова фінансова інфраструктура, охорона здоров’я, питна вода, стічні води, цифрова інфраструктура, управління B2B ІТ-послугами, державне управління та космос.
• Додаток II, інші критичні сектори (7): поштові та кур’єрські послуги, управління відходами, хімічна промисловість, виробництво і розподіл продуктів харчування, виробництво (медичних пристроїв, електроніки, електричного обладнання, машин, автомобілів і іншого транспортного обладнання), цифрові постачальники та дослідження.

Великі суб’єкти в Додатку I з 250 або більше співробітниками чи більше ніж 50 мільйонів євро обороту зазвичай є суттєвими. Більшість інших є важливими. Деякі постачальники підпадають під дію незалежно від розміру, включаючи постачальників DNS-послуг, реєстрів TLD, кваліфікованих постачальників послуг довіри та загальні електронні комунікаційні мережі, а держави-члени можуть позначити малі суб’єкти, які є єдиним постачальником критичної послуги.

Практичний вплив ще ширший. Стаття 21 робить безпеку ланцюга поставок зобов’язанням, тому суб’єкти під дією директиви передають контрактні вимоги безпеки на постачальників. Інтегратор прошивки на 30 осіб, що обслуговує німецького автозаводчика, або підрядник з обслуговування холодильного обладнання, що обслуговує мережу супермаркетів, відчує NIS2 через аудиторські опитування задовго до того, як будь-який регулятор їх навідає.

LogTotal і журнали OT: двигун проти екосистеми

LogTotal, який SOC Prime перевів з публічного попереднього перегляду до загального релізу 15 жовтня 2026 року, створено для версії проблеми журналів під час інциденту. Ви обираєте набір журналів, і опенсорсний @socprime/logtotal-sanitizer замінює облікові дані, IP-адреси, імена хостів та імена користувачів на стабільні HMAC-токени у браузері, і тільки токенізовані події завантажуються. Це обробляє до 1,7 мільйона подій менш ніж за хвилину на звичайному обладнанні, не зберігаючи нічого після аналізу, і організація зберігає ключ для внутрішнього відображення токенів.

Сам двигун є формат-агностиком. Він автоматично визначає EVTX, CEF, JSON/NDJSON та syslog, тому все, що може бути виражене як текст, може бути розслідувано: журнали промислових ПК syslogs, SCADA системи збору історичних даних та подій інтерфейсу людина-машина (HMI), журнали робочих станцій інженерів, або трафік Modbus та BACnet, який був декодований у текстові записи.

Картографування країн: сценарії використання NIS2 та LogTotal у 10 ринках

NIS2 є законом ЄС, але його вплив поширюється на постачальників, сусідів та країни-кандидати, що обслуговують європейський ринок. Спільною ниткою по всіх десяти ринках є годинник звітності, що вимірюється в годинниках, роблячи швидке, конфіденційне перенесення журналів необхідністю, а не просто приємністю. Статус відображає стан на жовтень 2026 року.