Директива NIS2: Посилення протидії кіберзлочинності

У 2024 році рівень кіберзлочинності зріс до історичного максимуму, вплинувши на уряди та галузі в усьому світі та створивши загрозу інформаційній безпеці. Згідно з доповіддю Cybersecurity Ventures, очікується, що до 2025 року збитки від кіберзлочинності сягнуть 10,5 трлн доларів США на рік проти 3 трлн доларів США 2015 року{{Footnote.A74148}}.

Цей сплеск зумовлений дедалі складнішими кібератаками, інцидентами з програмами-вимагачами та витоками даних, частота й серйозність яких збільшується щороку. У звіті Всесвітнього економічного форуму про глобальні ризики 2023 року{{Footnote.A74149}} підкреслюється, що кіберзагрози є одними з найбільших глобальних ризиків, які потребують негайного посилення заходів кібербезпеки.

Для боротьби з цією загрозою Європейський Союз запровадив Директиву NIS2, яка є суттєвим оновленням оригінальної Директиви NIS (Директиви про мережеві та інформаційні системи) від 2016 року, з розширеною сферою дії, що охоплює більше критично важливих об’єктів інфраструктури та провайдерів основних послуг.

Директива NIS2 спрямована на підвищення кібербезпеки критично важливої інфраструктури в усьому ЄС, забезпечуючи більшу стійкість і надійніший захист від витоків даних і збоїв, спричинених зловмисниками.

Експерт із питань безпеки Девід Кларк пояснює ключові відмінності між NIS і NIS2

Сфера дії та охоплення: Оригінальна Директива NIS стосувалась передусім операторів основних послуг і постачальників цифрових послуг. Нова Директива NIS2 розширює сферу дії, охоплюючи середні та великі компанії з ширшого кола секторів, таких, як охорона здоров’я, транспорт, енергетика, банківська справа та державне управління. Це означає, що відтепер більше компаній і державних установ зобов’язані дотримуватися жорстких стандартів кібербезпеки.

Вимоги до безпеки: NIS2 запроваджує більш конкретні вимоги до безпеки. Компанії повинні впроваджувати відповідні заходи з управління ризиками, проводити регулярні оцінки захищеності та приймати стратегії реагування на інциденти. Директива вимагає використання шифрування та контролю доступу для захисту конфіденційних даних.

Звітування про інциденти: Оригінальна Директива NIS вимагала від компаній повідомляти про значні інциденти без зайвих зволікань. NIS2 посилює цю вимогу, зобов’язуючи повідомляти про інциденти протягом 24 годин із моменту їх виявлення для швидшого реагування на атаки та збої в роботі.

Контроль і забезпечення виконання вимог: NIS2 посилює роль національних органів влади у контролі виконання вимог Директиви. Штрафи за порушення вимог також стали більш суворими, і потенційно можуть сягати 10 млн євро або 2% від світового річного обороту компанії, залежно від того, яка сума вище.

Безпека ланцюга постачання: NIS2 підкреслює важливість захисту критично важливого ланцюга постачання, вимагаючи від компаній і урядів оцінки ризиків кібербезпеки, які створюють їхні постачальники та провайдери послуг.

Кого це стосується?

Розширення сфери дії NIS2 означає, що вона впливатиме на ширше коло секторів, до яких належать енергетика, транспорт, банківська справа, інфраструктура фінансових ринків, охорона здоров’я, постачання та розподіл питної води, цифрова інфраструктура, державне управління та авіакосмічна промисловість. Середні та великі підприємства, які працюють у цих секторах, мають забезпечити відповідність вимогам нової Директиви починаючи з 17 жовтня 2024 року.

Потенційні штрафи та санкції

Недотримання вимог Директиви NIS2 може призвести до накладення значних штрафів. Компанії, які не дотримуються необхідних норм або не повідомляють про інциденти вчасно, можуть бути оштрафовані на суму до 10 млн євро або 2% від світового річного обороту. Такі суворі санкції підкреслюють важливість дотримання вимог Директиви, щоб не допустити фінансових і репутаційних втрат.

Чи діє Директива за межами території ЄС?

Під дію NIS2 підпадають навіть ті особи, які не перебувають на території ЄС. Якщо ваша компанія працює на території ЄС або з будь-яким суб’єктом ЄС, на вас поширюється дія цієї Директиви, а також застосовуються будь-які подальші санкції за недотримання її вимог.