NIS2 на практика: регистрация, докладване до 24 часа и реалностите на веригата на доставки

Въвеждането на NIS2 протече необичайно. Срокът за транспониране беше 17 октомври 2024 г. и повечето държави членки го пропуснаха. Две години по-късно картината все още е неравномерна, което създаде у много компании впечатлението, че не се е случило кой знае какво.

Това впечатление вече е погрешно. Националните закони са приети, порталите за регистрация са отворени, а надзорните органи започнаха да задават въпроси. Германия отвори портала си за регистрация на 6 януари 2026 г. със законов срок до 6 март. Нидерландия въведе в сила своя Cyberbeveiligingswet (закон за киберсигурността) на 15 август 2026 г. Други държави последваха през годината.

Ако сте чакали яснота, тя дойде, и отговорът е, че по-скоро закъснявате, отколкото да сте подранили.

Кой попада в обхвата

NIS2 замени първоначалната директива за мрежова и информационна сигурност от 2016 г. и значително разшири обхвата. Той се определя по сектор и по размер.

Съществените субекти обхващат секторите с висока степен на критичност: енергетика, транспорт, банково дело, инфраструктури на финансовия пазар, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на услуги в областта на ИКТ, публична администрация и космическо пространство.

Важните субекти обхващат други критични сектори: пощенски и куриерски услуги, управление на отпадъци, химикали, храни, производство на определени продукти, включително медицински изделия, компютри, електроника, машини и превозни средства, доставчици на цифрови услуги като онлайн места за търговия, онлайн търсачки и платформи за социални мрежи, както и научноизследователски организации.

Прагът по размер по правило е средно предприятие или по-голямо, т.е. 50 или повече служители или годишен оборот над 10 милиона евро. Някои видове субекти попадат в обхвата независимо от размера си, включително определени доставчици на DNS услуги, регистри на имена на домейни от първо ниво, доставчици на удостоверителни услуги и доставчици на обществени електронни съобщения.

Надзорният орган на Германия изчисли, че само в тази държава в обхвата попадат около 29 500 субекта. До законовия срок през март 2026 г. се бяха регистрирали около 11 500, а до края на май броят им достигна около 18 500. Приемете това като предупреждение, а не като успокоение. Бавната регистрация на други компании от бранша не създава изключение.

Две неща хващат компаниите неподготвени. Първо, списъкът със сектори включва обикновени производители, а не само оператори на инфраструктура. Ако произвеждате машини, електроника или медицински изделия в какъвто и да е мащаб, проверете внимателно. Второ, дори ако сте извън обхвата, клиентите ви, които са в него, ще прехвърлят върху вас по договорен път задълженията си за веригата на доставки. Да сте извън обхвата не означава, че не сте засегнати.

Регистрацията е отделно задължение

Повечето държави членки изискват субектите в обхвата да се регистрират при националния орган и именно тук се случват първите провали.

Регистрацията обикновено означава да се идентифицират субектът, секторът, към който спада, услугите му, звената за контакт по въпросите на сигурността и държавите членки, в които работи. Сроковете се различават в отделните държави, а процедурата често е по-сложна от уеб формуляр.

Не приемайте, че сте освободени, защото органът не се е свързал с вас. NIS2 разчита на самоидентификация. Ваша работа е да определите обхвата и да се регистрирате, а не работа на регулатора да ви намери.

Сроковете за докладване

Докладването на инциденти е най-тежката в оперативно отношение част от директивата, а сроковете са кратки.

• До 24 часа от узнаването за значителен инцидент: ранно предупреждение, в което се посочва дали има съмнение, че инцидентът е причинен от незаконни или злонамерени действия, и дали би могъл да има трансгранично въздействие.
• До 72 часа: уведомление за инцидента, което актуализира ранното предупреждение с първоначална оценка, тежест, въздействие и индикатори за компрометиране.
• При поискване: междинни доклади за състоянието.
• До един месец: окончателен доклад с подробно описание, вида на заплахата или основната причина, приложените мерки за смекчаване и евентуалното трансгранично въздействие.

Значителен е инцидентът, който е причинил или може да причини сериозно оперативно смущение или финансови загуби, или е засегнал или може да засегне други лица, като им причини значителни имуществени или неимуществени вреди.

Ранното предупреждение до 24 часа е трудната част. Двадесет и четири часа не стигат за разследване. Това е сигнал „внимание", и директивата го очаква именно като такъв. Екипите, които изчакват да разберат инцидента, преди да го докладват, ще изпускат срока всеки път.

Ако организацията ви обработва и лични данни, може успоредно да подавате уведомление за нарушение по ОРЗД до 72 часа до друг орган, с различен обхват и различен праг. Тези процеси трябва да се проектират заедно, което разглеждаме в нашето ръководство за ОРЗД.

Десетте мерки

Член 21 изисква мерки за управление на риска, които обхващат най-малко десет области. Казано просто:

1. Анализ на риска и политики за сигурност на информационните системи. Документирани, актуални и реално използвани от хората, които управляват системите.
2. Справяне с инциденти. Откриване, реакция, възстановяване и описаният по-горе процес на докладване.
3. Непрекъснатост на дейността и управление при кризи. Управление на резервните копия, възстановяване след бедствия и проверено възстановяване, а не просто планирана задача за архивиране.
4. Сигурност на веригата на доставки. Разгледана отделно по-долу, защото там отиват повечето усилия.
5. Сигурност при придобиването, разработката и поддръжката. Практики за сигурна разработка, обработка и разкриване на уязвимости.
6. Оценка на ефективността. Как знаете, че контролите ви работят. Тестове, одити, показатели.
7. Киберхигиена и обучение. Основни практики и осведоменост, включително за ръководството.
8. Политики за криптография и криптиране. Къде се използва криптиране и как се управляват ключовете.
9. Сигурност на човешките ресурси, контрол на достъпа и управление на активите. Назначаване, преместване и напускане на служители, минимални привилегии и актуален опис на активите.
10. Многофакторно удостоверяване и защитени комуникации. MFA или непрекъснато удостоверяване, защитени гласови, видео и текстови комуникации, както и системи за комуникация при извънредни ситуации.

Нищо от това не е екзотично. Пропускът в повечето организации не е, че не знаят какво да правят, а доказателствата. Надзорът по NIS2 се опира силно на документация, а недокументиран контрол на практика е липсващ контрол.

Истинската работа е във веригата на доставки

Най-съществената промяна в NIS2 е акцентът върху риска във веригата на доставки. Субектите в обхвата трябва да вземат предвид практиките за сигурност на преките си доставчици и доставчици на услуги, включително качеството на продуктите им и техните практики за сигурна разработка.

На практика това се предава надолу по веригата. Болница в обхвата налага изисквания на доставчиците си на софтуер. Тези доставчици налагат изисквания на своите хостинг доставчици и доставчици на компоненти. Компании, които са далеч извън формалния обхват, се оказват принудени да попълват въпросници за сигурност, произтичащи от NIS2, защото клиентът им е в обхвата.

Ако продавате софтуер или услуги в някой от изброените сектори, очаквайте:

• Въпросници за сигурност като стандартна част от процеса по възлагане, преди договора, а не след него.
• Договорни изисквания за сигурност, включително срокове за уведомяване за инциденти, съобразени с 24-часовото задължение на клиента ви.
• Искания за доказателства: резюмета от тестове за проникване, статус по SOC 2 или ISO 27001, документация на процеса за управление на уязвимостите, SBOM.
• Права за одит.

Ефективният отговор е да съберете пакета с доказателства веднъж. Повечето от онова, което клиентите питат, е едно и също в различните въпросници, а документите в голяма степен се припокриват със задълженията по Акта за киберустойчивост. Изградете процес за генериране на спецификация на софтуерните компоненти (SBOM), документиран процес за обработка на уязвимости и наръчник за действие при инциденти и ще сте отговорили на по-голямата част и от двете.

Отговорност на ръководството

NIS2 прави ръководните органи отговорни за одобряването на мерките за управление на риска в областта на киберсигурността и за надзора над прилагането им, а държавите членки могат да ги държат лично отговорни. Ръководството е задължено и да преминава обучение.

Затова разговорите за NIS2 в компаниите вървят по-бързо от повечето теми, свързани със съответствието. Личната отговорност променя колко бързо управителният съвет одобрява бюджет.

Санкции

За съществените субекти: до 10 милиона евро или 2% от общия годишен световен оборот, в зависимост от това коя сума е по-висока. За важните субекти: до 7 милиона евро или 1,4%. Органите могат също да дават задължителни указания, да разпореждат оповестяване на несъответствието, а при сериозни случаи да спират сертифицирането или временно да забраняват на определени лица да изпълняват ръководни функции.

Какво се променя

На 20 януари 2026 г. Комисията предложи целенасочени изменения на NIS2 (процедура 2026/0012(COD)), публикувани заедно с предложение за Акт за киберсигурността 2. Субектите в секторите с висока степен на критичност, които са малки дружества със средна пазарна капитализация (под 750 служители и оборот до 150 милиона евро или балансово число до 129 милиона евро), по правило биха станали важни, а не съществени субекти, с по-лекия надзор, който съпътства тази категория. Държавите членки биха могли да изискват сертификат за киберсигурността на субекта по европейска схема за сертифициране, а валиден сертификат би освободил субекта от допълнителни надзорни мерки по изискванията, които той покрива. Комисията би изготвила и насоки за уеднаквяване на въпросниците за веригата на доставки, които субектите в обхвата изпращат на доставчиците си, а предложението за Акт за киберсигурността 2 съдържа новите правила за риска във веригата на доставки на ИКТ. Държавите членки биха имали 12 месеца да транспонират промените.

Това все още е предложение. Към 10 октомври 2026 г. водещата комисия в Парламента (ITRE) беше публикувала проектодоклада си на 24 септември, а позиция на Съвета не беше регистрирана. Докато измененията не бъдат приети и транспонирани, всичко в тази статия важи така, както е написано.

Откъде да започнете, ако още не сте

Работеща последователност за организация, която започва почти от нулата:

Определете правилно обхвата. Сектор, размер и държавите членки, в които сте установени. Вземете писмено становище от юрист, защото всичко останало следва от това.

Регистрирайте се. Проверете срока и процедурата на националния си орган. Ако срокът е изтекъл, регистрирайте се въпреки това.

Изградете описа на активите. Не можете да управлявате риска в системи, които не сте описали. Това е документът с най-голям ефект и този, който най-често липсва.

Напишете наръчника за инциденти и го упражнете. Съсредоточете се върху пътя до 24 часа. Кой обявява инцидента, кой оценява трансграничното въздействие, кой подава уведомлението и какво става в 3 часа през нощта на официален празник.

Направете преглед на доставчиците. Избройте критичните си доставчици, оценете ги и включете условия за сигурност в договорите при подновяването им.

Затворете очевидните пропуски. MFA навсякъде, проверени резервни копия, управление на актуализациите, прегледи на достъпа, логове. Нищо бляскаво, но точно това одитът ще погледне първо.

Документирайте в движение. Не папка с политики, написана после. Решения, записани в момента на вземането им, с дати и отговорници.

Честно за усилията

За организация с работеща програма за сигурност NIS2 е предимно упражнение по документиране и докладване. За организация без такава програма това е истинско изграждане, което се измерва в тримесечия, а не в седмици.

Грешката е да се третира като проект за съответствие, който е грижа на правния отдел. Задълженията са оперативни. Те са на хората, които управляват системите, а документите остават актуални само ако са част от начина, по който екипът работи, а не нещо, изготвено за одит.

Как да получите помощ

Изграждаме и поддържаме софтуерни системи за компании в цяла Европа, включително мониторинга, логовете, резервните копия и видимостта във веригата на доставки, които NIS2 очаква. Полезни сме в инженерната част: да направим контролите реални, а доказателствата да са страничен продукт от нормалната работа, а не отделно усилие.

Свържете се с нас на office@c9group.dev. Нашето ръководство за цифровото съответствие в ЕС през 2026 г. разглежда как NIS2 се съчетава с всичко останало, което влиза в сила тази година, а страницата на услугата за поддръжка на наследени системи описва работата, с която обикновено се започва.

Не сме адвокатска кантора и не даваме правни съвети. Определянето на обхвата в частност е работа на вашия юрист.