NIS2 Пояснено: Вимоги, Терміни та Використання LogTotal по всій Європі

Що таке NIS2?

NIS2 – це Директива (ЄС) 2022/2555, основний закон ЄС з кібербезпеки для організацій, що підтримують роботу енергосистем, водопостачання, лікарень, логістичних ланцюгів, постачання харчових продуктів та цифрової інфраструктури. Вона замінила оригінальну Директиву NIS (ЄС) 2016/1148 та перетворила вільну, секторну систему на єдину основу із загальними зобов’язаннями, загальними термінами звітності та реальними повноваженнями щодо застосування.

Отже, що таке NIS2 з практичної точки зору для команди безпеки? Три речі. По-перше, вона визначає, хто підлягає регулюванню, через пороги розміру і два додатки сектора, розділяючи організації, що охоплюються, на основні та важливі суб’єкти. По-друге, вона передбачає мінімальний набір контрзаходів управління ризиками в статті 21, від обробки інцидентів і ведення журналу до безпеки ланцюгів постачання і криптографії. По-третє, вона накладає поетапний процес повідомлення про інциденти в статті 23, перший сигнал повинен бути поданий до національної CSIRT або компетентного органу протягом 24 годин після усвідомлення значного інциденту.

Оскільки NIS2 є директивою, а не регламентом, кожна держава-член складає свій власний національний закон. Основні зобов’язання є спільними, але портали реєстрації, наглядові органи та форми звітності різняться від Рима до Варшави, і саме тому важливий погляд на рівні країни.

Спробуйте LogTotal безкоштовно

Дата випуску NIS2 та шлях до дотримання

Директива була опублікована в Офіційному журналі 27 грудня 2022 року та набула чинності 16 січня 2023 року. Держави-члени мали до 17 жовтня 2024 року, щоб її транспонувати, з національними заходами, що починають застосовуватися з 18 жовтня 2024 року. Лише небагато змогли це зробити: Італія та Бельгія були серед небагатьох, які вчасно ввели закони в дію.

Комісія відповіла листами з офіційним повідомленням у листопаді 2024 року, обґрунтованими думками в травні 2025 року і, 8 липня 2026 року, зверненнями до Суду справедливості ЄС щодо інших затримуючихся. Відповідно до трансформаційного трекера nisd2.eu, станом на 16 жовтня 2026 року національне законодавство діє у 24 з 27 держав-членів. Франція, Ірландія та Іспанія все ще залишаються без такого.

Щодо дотримання NIS2, важливо пам’ятати, що терміни є національними, а не європейськими. Зміни до BSIG у Німеччині застосовуються з 6 грудня 2025 року, змінений Закон KSC у Польщі — з 3 квітня 2026 року, Нідерландський Закон про кібербезпеку — з 15 серпня 2026 року і Австрійський NISG 2026 — з 1 жовтня 2026 року. Кожна з них має власне вікно реєстрації, тому оператор, що працює в кількох державах, може бути сумісним у Мілані, а вже запізнюватися в Гданську.

Що вимагає Директива NIS2

Директива NIS2 розподіляє зобов’язання в три групи: управління, технічні контрзаходи та звітність.

Управління відповідно до статті 20. Органи управління повинні схвалювати заходи управління ризиками кібербезпеки, контролювати їхню реалізацію та регулярно проходити навчання. Відповідальність більше не закінчується на CISO.

Технічні контрзаходи розташовані в статті 21(2), яка містить десять мінімальних заходів: аналіз ризиків та політики безпеки інформаційних систем; обробка інцидентів; безперервність бізнесу, резервне копіювання та кризове управління; безпека ланцюга постачань; безпечне придбання, розробка та обслуговування, включаючи обробку вразливостей; оцінка ефективності контролів; кібергігієна і навчання; криптографія; безпека HR, контроль доступу та управління активами; і MFA плюс захищені комунікації. Для постачальників цифрової інфраструктури та ІКТ послуг Регламент (ЄС) 2024/2690 детально розгортає це, включаючи специфічні вимоги до моніторингу та ведення журналів.

Звітність належить до статті 23, і це саме те, де команди СОК відчувають тиск:

• 24 години: раннє попередження, включаючи чи підозрюється інцидент як злопам’ятний або має транскордонний вплив
• 72 години: повідомлення про інцидент із початковою оцінкою серйозності та впливу і доступними індикаторами компрометації
• Один місяць: остаточний звіт з визначенням кореневої причини, пом’якшенням та транскордонним впливом

24-годинне раннє попередження є правдоподібним лише тоді, коли команда може фактично переглянути свої журнали протягом годин, а не днів.

Чому ЄС замінив NIS1 на NIS2

NIS1 зазнала невдачі через узгодженість. Кожна держава-член вирішувала для себе, які компанії є операторами основних послуг, тому два лікарні однакового розміру в сусідніх країнах могли зіштовхнутися з абсолютно різними зобов’язаннями. Штрафи були низькими та рідко застосовувалися, а пороги звітності про інциденти були настільки різними, що ситуаційна обізнаність між країнами практично не існувала.

Картина загрози рухалася швидше, ніж закон. Між пропозицією Комісії в грудні 2020 року та остаточним текстом, Європа бачила, як програми-здирники виводили з ладу ІТ лікарень, компрометації ланцюгів постачання SolarWinds та Kaseya досягали тисяч користувачів, а атака в лютому 2022 року на мережу Viasat KA-SAT відключила дистанційний моніторинг приблизно для 5800 вітротурбін Enercon у Німеччині. Останній випадок ясно показав: атака на ІТ-постачальника може призвести до фізичних, OT-рівня наслідків у іншому секторі та іншій країні.

NIS2 відповідає розширеним охопленням, гармонізованими мінімальними контролями, явними обов’язками ланцюгів постачання, особистою відповідальністю для управління і загальним годинником інцидентів. Вона також формалізує координацію через EU-CyCLONe та мережу CSIRTs, так що значний інцидент у Ліоні тепер не є виключно французькою проблемою.

Штрафи за NIS2 та відповідальність керівництва

Стаття 34 встановлює максимум, який повинні досягнути національні закони щонайменше:

Посилання на оборот стосується всього підприємства, а не місцевого дочірнього підприємства, тому тепер головні фінансові директори на рівні груп з цікавістю читають брифінги NIS2.

Гроші – лише частина загрози. Для основних суб’єктів стаття 32 дозволяє владі призупиняти сертифікації або дозволи та тимчасово усувати директора чи юридичного представника від управлінських функцій, поки не буде усунуто недоліки. Влада також може наказати суб’єкту відкрито розкрити свою невідповідність.

На практиці, регулятори шукають докази. Організація, яка може показати, коли вона виявила інцидент, які журнали вона досліджувала і як вона досягла своїх 24-годинних та 72-годинних висновків, перебуває в значно сильнішому положенні, ніж та, котра відтворює хронологію після факту. Документований, повторюваний аналіз журналу є найдешевшим страхуванням від верхньої планки цих штрафів.

NIS2 проти DORA: яка з них застосовується?

Однолінійне резюме директиви NIS2: горизонтальні правила кібербезпеки для 18 критично важливих секторів, що транспонуються на національному рівні. DORA, Закон про цифрову операційну стійкість (Регламент (ЄС) 2022/2554), є протилежністю в обох випадках. Він є специфічним для сектору, охоплюючи банки, страховиків, інвестиційні фірми, платіжні установи, постачальників криптоассетів та їхні критично важливі ІКТ постачальники третіх сторін, і як регламент він застосовується прямо у кожній державі-члені з 17 січня 2025 року.

Два пов’язуються через статтю 4 NIS2. Де акт ЄС, специфічний для сектору, накладає вимоги, щонайменше еквівалентні NIS2, цей акт має перевагу. DORA є цей lex specialis для фінансових суб’єктів, тому банк дотримується правил DORA щодо ризиків ІКТ, тестування та звітування, а не версій NIS2.

Перекриття важливе для постачальників. Керований SOC або провайдер хмарних послуг може бути важливим суб’єктом під NIS2 і, в той же час, договірним ІКТ постачальником під DORA, підпадаючи під два набори запитів про докази журналу.

NIS2 проти GDPR: безперервність служби зустрічається із захистом даних

GDPR захищає персональні дані людей. NIS2 захищає безперервність послуг, на яких залежить суспільство. Різниця проявляється в тому, що викликає звіт: під GDPR це є порушення даних персоналу, що, ймовірно, створює ризик для особи, повідомлене до органу захисту даних протягом 72 годин. Під NIS2 це суттєвий інцидент, що впливає на надання послуг, повідомляється до CSIRT або компетентного органу починаючи з 24 годин, незалежно від того, чи були зачеплені якісь персональні дані.

Зазвичай атака із вірусом-здирником на лікарню викликає як те, так і інше. Стаття 35 NIS2 вимагає, щоб орган кібербезпеки інформував орган із захисту даних, коли інцидент може включати порушення даних персоналу, і вона запобігає подвійному штрафу за таку саму поведінку, якщо штраф за порушення GDPR вже був накладений. Ліміт GDPR залишається вищим: 20 мільйонів євро або 4% від світового обороту.

Точка тертя для команд СОК — це самі журнали. Телекетрія безпеки сповнена персональних даних: імен користувачів, IP-адрес, заголовків електронних листів, імен хостів, пов’язаних із зазначеними працівниками. Надсилання незакодованих журналів зовнішньому аналітику, MSSP або AI-сервісу для дотримання терміну NIS2 може викликати питання GDPR про мінімізацію даних і передавання. Псевдонімізування ідентифікаторів, перш ніж журнали залишають організацію, залишаючи ключ на місці, — це як команди задовольняють обидва режими одночасно.

Які організації зачіпає NIS2

NIS2 використовує правило обмеження розміру: середні та великі організації, тобто 50 або більше працівників або понад 10 мільйонів євро річного обороту, які працюють в одному з 18 секторів.

• Додаток I, сектори високої критичності (11): енергетика, транспорт, банківська справа, інфраструктура фінансових ринків, охорона здоров’я, питна вода, стічні води, цифрова інфраструктура, управління ІКТ послугами для B2B, державна адміністрація та космос.
• Додаток II, інші критичні сектори (7): поштові та кур’єрські послуги, управління відходами, хімічна промисловість, виробництво та розподіл харчових продуктів, виробництво (медичні прилади, електроніка, електричне обладнання, машинобудування, автомототранспорт і інше транспортне обладнання), цифрові провайдери та дослідження.

Великі суб’єкти з Додатку I, що мають 250 або більше працівників або понад 50 мільйонів євро обороту, зазвичай є основними. Більшість інших — це важливі. Деякі провайдери покриваються незалежно від розміру, зокрема провайдери DNS, реєстри TLD, надавачі кваліфікованих послуг довіри та мережі суспільних електронних комунікацій, і держави-члени можуть визначати малі суб’єкти, які є єдиними постачальниками критичної послуги.

Практичне охоплення ще ширше. Стаття 21 робить безпеку ланцюга постачання обов’язковою, тому суб’єкти в межах охоплення передають договірні безпекові вимоги постачальникам. Інтегратор прошивки з 30 працівниками, який обслуговує німецького виробника автомобілів, або підрядник з обслуговування холодильного обладнання, що обслуговує мережу супермаркетів, відчують NIS2 через аудиторські анкети задовго до того, як будь-який регулятор зателефонує.

LogTotal та журнали OT: двигун проти екосистеми

LogTotal, який SOC Prime перейшов із публічного попереднього перегляду до загального релізу 15 жовтня 2026 року, створений для вирішення проблеми журналів у час інциденту. Ви обираєте набір журналів, і open-source @socprime/logtotal-sanitizer замінює облікові дані, IP-адреси, імена хостів та імена користувачів на стійкі HMAC токени у браузері, і лише токенізовані події завантажуються. Він обробляє до 1,7 мільйона подій менш ніж за хвилину на звичайному обладнанні, нічого не зберігає після аналізу, а організація зберігає ключ для повернення токенів внутрішньо.

Сам двигун не залежить від формату. Він автоматично визначає EVTX, CEF, JSON/NDJSON та syslog, тому все, що може бути виражено як текст, може бути дослідним: системні журнали промислових ПК, SCADA історики та події HMI, журнали інженерних робочих станцій або трафік Modbus та BACnet, коли він перетворений у текстові записи.

Картографування країн: NIS2 та випадки використання LogTotal у 10 ринках

NIS2 є законодавством ЄС, але його вплив поширюється на постачальників, сусідів та країни-кандидати, які обслуговують європейський ринок. Спільний знаменник серед усіх десяти нижчих ринків – це годинник звітності, що вимірюється в годинах, що робить швидкий, що зберігає конфіденційність журнал триаж практичною необхідністю, а не хорошим бонусом. Статус відображає жовтень 2026 року.