NIS2: касается ли директива вашей компании

Если в вашей компании меньше 50 сотрудников в пересчёте на полную ставку, а годовой оборот или итог баланса не больше 10 миллионов евро, бельгийский закон NIS2 почти наверняка не касается вас напрямую. Он распространяется на организации не меньше среднего размера, которые работают в одном из секторов из двух его приложений, плюс на короткий список исключений, где размер не важен. Небольшая компания скорее столкнётся с NIS2 косвенно: клиент, который под закон подпадает, обязан следить за безопасностью своих поставщиков, а вы можете оказаться одним из них.

Чтобы понять, касается ли закон вас, хватит трёх вопросов. Если клиент уже прислал вам анкету по безопасности, вам нужен раздел о цепочке поставок ниже.

Что такое NIS2 в Бельгии

NIS2 называют европейскую Директиву (ЕС) 2022/2555. Бельгия перенесла её в национальное право законом от 26 апреля 2024 года о рамках кибербезопасности сетей и информационных систем общего значения для общественной безопасности (его называют законом NIS2) и королевским указом от 9 июня 2024 года. По данным Centre for Cybersecurity Belgium (CCB, бельгийский центр кибербезопасности), закон вступил в силу 18 октября 2024 года. CCB выполняет роль национального органа по кибербезопасности. На его сайте Safeonweb@Work организации регистрируются, и там же лежит большая часть практических разъяснений.

Подпадаете ли вы под закон: три вопроса

Страница CCB о NIS2 формулирует это так: в принципе закон касается вас, если вы оказываете услугу из приложения I или II, ваша компания не меньше средней и она зарегистрирована в Бельгии.

1. Оказываете ли вы услугу из приложения I или II?

В приложение I («сектора повышенной критичности») входят энергетика, транспорт, банки, инфраструктура финансовых рынков, здравоохранение, питьевая вода, сточные воды, цифровая инфраструктура, управление ИТ-услугами для бизнеса (B2B), государственное управление и космос. В приложение II («другие критические сектора») входят почтовые и курьерские услуги, обращение с отходами, химическая продукция, производство, переработка и дистрибуция продуктов питания, производство отдельных видов продукции (медицинские изделия, электроника, электрооборудование, машины, транспортные средства), цифровые провайдеры и научные исследования.

Две категории звучат шире, чем есть на самом деле:

• Под «цифровыми провайдерами» понимаются онлайн-маркетплейсы, поисковые системы и социальные сети. Интернет-магазин, который продаёт собственные товары, маркетплейсом не считается.
• «Управление ИТ-услугами (B2B)» означает managed service providers и managed security service providers, то есть компании, которые администрируют чужие системы или их защиту. Небольшая ИТ-фирма, которая обслуживает системы клиентов, может подойти под определение, но обычно не дотягивает до порога по размеру.

Каждый сектор определён через ссылки на законодательство ЕС, и детали здесь важны. CCB публикует таблицу определений и Excel-файл NIS2 Scope Test, который проводит по шагам (на английском).

2. Ваша компания хотя бы средняя?

Правило о размере взято из Рекомендации Комиссии 2003/361/EC, европейского определения малого и среднего бизнеса. Как объясняет CCB, сначала смотрят на персонал в эквиваленте полной занятости (FTE):

Из двух денежных показателей, оборота и итога баланса, можно взять меньший. На практике компания не меньше средней, если у неё 50 FTE и больше или если и оборот, и итог баланса превышают 10 млн €. Примеры самого CCB: компания с 35 FTE, оборотом 1 млн € и итогом баланса 50 млн € считается малой, а компания с 80 FTE и оборотом 1 млн € считается средней.

Осторожно, если ваша компания входит в группу. Тогда Рекомендация складывает показатели партнёрских и связанных предприятий, и небольшая бельгийская «дочка» крупной группы на бумаге может оказаться средней или крупной. Правда, статья 3, § 2 бельгийского закона позволяет CCB учесть, насколько дочерняя компания независима от группы, прежде всего в том, какие системы она использует и какие услуги оказывает. Для этого расчёта страница CCB о NIS2 отсылает к руководству Комиссии по определению МСП.

3. Есть ли исключение независимо от размера?

Некоторые организации подпадают под закон при любом размере. CCB перечисляет:

• поставщиков доверительных услуг, квалифицированных и неквалифицированных;
• DNS-провайдеров и реестры доменов верхнего уровня;
• операторов публичных сетей электронной связи и общедоступных услуг электронной связи;
• организации, признанные критическими по бельгийскому закону об устойчивости критических организаций;
• государственные органы, подчинённые федеральному государству.

Компании, которые оказывают услуги регистрации доменных имён (регистраторы), должны зарегистрироваться в CCB даже при малом размере, но это единственная обязанность, которую на них накладывает это исключение.

Кроме того, по статье 11 закона CCB может признать организацию существенной или важной независимо от размера, например если она единственная в Бельгии оказывает услугу, необходимую для критически важной общественной или экономической деятельности. Это происходит по согласованию с самой организацией. Если с вами такого не было, это вас не касается.

Быстрая проверка

• Моя компания оказывает услугу из приложения I или II (сверено с определениями, а не только с названием сектора).
• У нас 50 FTE и больше, или и оборот, и итог баланса больше 10 млн €.
• Я учёл компании группы там, где этого требуют правила для МСП.
• Мы поставщик доверительных услуг, DNS-провайдер, реестр домена верхнего уровня или оператор публичной электронной связи.
• CCB связался с нами, чтобы признать нас существенной или важной организацией.

Если вы отметили первые два пункта вместе или любой из двух последних, прочитайте следующий раздел и пройдите scope test от CCB. Если не отметили ничего, вы почти наверняка не организация NIS2, и вам нужен раздел после следующего.

Если закон вас касается

Организация, подпадающая под закон, бывает «существенной» (essential) или «важной» (important). По словам CCB, разница в основном в том, насколько строгие надзор и санкции: существенные организации регулярно проходят оценку соответствия, а важные в принципе проверяют постфактум, например после инцидента.

Основные обязанности по закону:

• Регистрация в CCB через Safeonweb@Work. По статье 13 на это давалось пять месяцев после вступления закона в силу, по данным CCB до 18 марта 2025 года. Цифровые провайдеры, например облачные сервисы и дата-центры, должны были зарегистрироваться до 18 декабря 2024 года. Если вы только сейчас поняли, что закон вас касается, свяжитесь с CCB, не откладывая.
• Меры по управлению рисками (статья 30): одиннадцать обязательных направлений, от анализа рисков и работы с инцидентами до резервных копий, безопасности цепочки поставок, многофакторной аутентификации и шифрования. Для их внедрения CCB рекомендует свою систему CyberFundamentals (CyFun).
• Уведомление CCB о значительных инцидентах (статья 35): раннее предупреждение в течение 24 часов с момента, когда вы узнали об инциденте, уведомление об инциденте в течение 72 часов и итоговый отчёт не позже чем через месяц после этого уведомления.
• Ответственность руководства (статья 31): орган управления утверждает меры, контролирует их выполнение и несёт ответственность за нарушения, а его члены проходят обучение по кибербезопасности.

Штрафы по статье 59 достигают 7 млн € или 1,4 % общего мирового годового оборота для важных организаций и до 10 млн € или 2 % для существенных, в зависимости от того, какая сумма больше. При повторении тех же нарушений в течение трёх лет штраф удваивается.

На этом этапе вам нужны разъяснения CCB и, скорее всего, специалист. Мы не юристы и не аудиторы по NIS2, и эта статья не оценивает вашу ситуацию.

Если закон вас не касается: цепочка поставок

Статья 30, § 3, 4° бельгийского закона, которая переносит статью 21(2)(d) директивы, обязывает каждую организацию NIS2 обеспечивать безопасность своей цепочки поставок, включая аспекты безопасности в отношениях с её прямыми поставщиками и подрядчиками.

Если вы работаете с больницей, энергетической компанией, производителем продуктов питания или средним производственным предприятием, вам могут прислать анкету, новый пункт в договор или просьбу показать, что вы делаете для безопасности. CCB прямо пишет об этом на своей странице о NIS2: организация NIS2 может потребовать от прямых поставщиков определённого уровня CyFun, и CCB советует всем, кто может оказаться в такой цепочке, выполнять как минимум уровень CyFun Basic.

У CyFun четыре уровня. Small задуман как стартовый уровень для микроорганизаций и тех, у кого мало технических знаний, для первой самооценки. Basic содержит стандартные меры безопасности для всех компаний; это первый уровень, который проверяет орган по оценке соответствия. Important и Essential идут дальше. Инструменты (средство выбора уровня и таблица для самооценки) бесплатно доступны на странице CyFun. Версии системы 2023 и 2025 годов можно использовать обе до 18 апреля 2027 года.

Во Фландрии консультации по кибербезопасности можно было частично оплатить через KMO-portefeuille (фламандскую субсидию для малого и среднего бизнеса). Сейчас это уже не вариант: по данным VLAIO, бюджет на 2026 год закончился 15 октября 2026 года (на нидерландском), а с 1 января 2027 года программа прекращается. По кибербезопасности VLAIO теперь отсылает к своим программам улучшения кибербезопасности (cybersecurity verbetertrajecten). Что ещё доступно, мы разобрали в статье о закрытии KMO-portefeuille.

Что спросить у подрядчика, который делает ваш сайт или программу

Если анкету рассылаете вы сами или просто хотите понимать, где вы находитесь, вот вопросы, которые мы задали бы любому подрядчику, который разрабатывает или обслуживает для вас программы:

• Кому принадлежат код, домен и аккаунт хостинга, и можно ли получить их передачу письменно?
• У кого есть администраторский доступ к сайту, серверу и базе данных, личный ли он (а не общий логин), и включена ли многофакторная аутентификация?
• Как часто обновляются CMS, плагины и серверное ПО, и кто это делает?
• Где хранятся данные и находится ли хостинг в ЕС?

Подрядчика, который письменно отвечает на все четыре вопроса, проще показать службе безопасности клиента.

Чем можем помочь мы

Мы делаем сайты и веб-приложения, так что на эти четыре вопроса о своей работе должны отвечать и мы сами. На страницах о разработке сайтов и ценах написано, что входит в работу, например хостинг в ЕС, обновления и резервные копии в ежемесячной поддержке. Услуг по соответствию NIS2 и аудитов мы не оказываем. Зато можем бесплатно посмотреть, что ваш текущий сайт показывает внешнему миру.