NIS2 praktiškai: registracija, pranešimas per 24 valandas ir tiekimo grandinės realybė

NIS2 įgyvendinimas vyko neįprastai. Perkėlimo į nacionalinę teisę terminas buvo 2024 m. spalio 17 d., ir dauguma valstybių narių jo nesilaikė. Po dvejų metų vaizdas vis dar nevienodas, todėl daugeliui įmonių susidarė įspūdis, kad nieko ypatingo neįvyko.

Dabar šis įspūdis klaidingas. Nacionaliniai įstatymai priimti, registracijos portalai atidaryti, o priežiūros institucijos pradėjo užduoti klausimus. Vokietija savo registracijos portalą atidarė 2026 m. sausio 6 d., o įstatyme nustatytas terminas buvo kovo 6 d. Nyderlandų Cyberbeveiligingswet įsigaliojo 2026 m. rugpjūčio 15 d. Per metus prisijungė ir kitos šalys.

Jei laukėte aiškumo, jis atsirado, ir atsakymas yra toks: greičiausiai jūs vėluojate, o ne skubate.

Kam taikoma

NIS2 pakeitė pirminę 2016 m. tinklų ir informacinių sistemų saugumo direktyvą ir gerokai išplėtė taikymo sritį. Ji nustatoma pagal sektorių ir dydį.

Esminiai subjektai apima labai svarbius sektorius: energetiką, transportą, bankininkystę, finansų rinkų infrastruktūrą, sveikatą, geriamąjį vandenį, nuotekas, skaitmeninę infrastruktūrą, IRT paslaugų valdymą, viešąjį administravimą ir kosmosą.

Svarbūs subjektai apima kitus ypatingos svarbos sektorius: pašto ir kurjerių paslaugas, atliekų tvarkymą, chemines medžiagas, maistą, tam tikrų produktų gamybą, įskaitant medicinos priemones, kompiuterius, elektroniką, mašinas ir transporto priemones, skaitmeninių paslaugų teikėjus, pavyzdžiui, internetines prekyvietes, paieškos sistemas ir socialinių tinklų platformas, taip pat mokslinių tyrimų organizacijas.

Dydžio riba paprastai yra vidutinė įmonė arba didesnė, t. y. 50 ar daugiau darbuotojų arba didesnė nei 10 mln. eurų metinė apyvarta. Kai kurių tipų subjektams direktyva taikoma neatsižvelgiant į dydį, įskaitant tam tikrus DNS paslaugų teikėjus, aukščiausio lygio domenų vardų registrus, patikimumo užtikrinimo paslaugų teikėjus ir viešųjų elektroninių ryšių paslaugų teikėjus.

Vokietijos priežiūros institucija apskaičiavo, kad vien šioje šalyje direktyva taikoma maždaug 29 500 subjektų. Iki 2026 m. kovo mėnesio įstatyme nustatyto termino užsiregistravo apie 11 500, o iki gegužės pabaigos jų skaičius išaugo iki maždaug 18 500. Tai vertinkite kaip įspėjimą, o ne kaip nuraminimą. Tai, kad kiti registruojasi lėtai, nesuteikia jums išimties.

Įmones dažniausiai užklumpa du dalykai. Pirma, sektorių sąraše yra įprasti gamintojai, ne tik infrastruktūros operatoriai. Jei bet kokiu mastu gaminate mašinas, elektroniką ar medicinos priemones, atidžiai pasitikrinkite. Antra, net jei direktyva jums netaikoma, jūsų klientai, kuriems ji taikoma, savo tiekimo grandinės prievoles perkels jums per sutartis. Tai, kad direktyva jums netaikoma, nereiškia, kad ji jūsų nepaveiks.

Registracija yra atskira prievolė

Daugumoje valstybių narių subjektai, kuriems taikoma direktyva, privalo užsiregistruoti nacionalinėje institucijoje, ir būtent čia pasitaiko pirmųjų nesėkmių.

Registruojantis paprastai nurodomas subjektas, jo sektoriaus klasifikacija, teikiamos paslaugos, kontaktiniai asmenys saugumo klausimais ir valstybės narės, kuriose jis veikia. Terminai skiriasi priklausomai nuo šalies, o procesas dažnai būna sudėtingesnis nei vienos interneto formos užpildymas.

Nemanykite, kad jums taikoma išimtis, jei institucija su jumis nesusisiekė. NIS2 grindžiama savęs identifikavimu. Jūsų pareiga nustatyti, ar direktyva jums taikoma, ir užsiregistruoti, o ne priežiūros institucijos pareiga jus surasti.

Pranešimo terminai

Pranešimas apie incidentus yra operatyviai sudėtingiausia direktyvos dalis, o terminai griežti.

• Per 24 valandas nuo sužinojimo apie didelį incidentą: išankstinis įspėjimas, kuriame nurodoma, ar įtariama, kad incidentą sukėlė neteisėti ar piktavaliai veiksmai, ir ar jis galėtų turėti tarpvalstybinį poveikį.
• Per 72 valandas: pranešimas apie incidentą, kuriuo atnaujinamas išankstinis įspėjimas ir pateikiamas pirminis vertinimas, sunkumas, poveikis ir kompromitavimo požymiai.
• Paprašius: tarpinės būklės ataskaitos.
• Per vieną mėnesį: galutinė ataskaita su išsamiu aprašymu, grėsmės tipu arba pagrindine priežastimi, taikytomis švelninimo priemonėmis ir bet kokiu tarpvalstybiniu poveikiu.

Didelis incidentas yra toks, kuris sukėlė arba gali sukelti didelių veiklos sutrikimų ar finansinių nuostolių arba paveikė ar gali paveikti kitus asmenis, padarydamas didelės materialinės ar nematerialinės žalos.

Sunkiausia dalis yra išankstinis įspėjimas per 24 valandas. Dvidešimt keturių valandų nepakanka tyrimui atlikti. Tai įspėjimas, ir direktyva jo tikisi kaip įspėjimo. Komandos, kurios prieš pranešdamos laukia, kol supras incidentą, kiekvieną kartą praleis terminą.

Jei jūsų organizacija tvarko ir asmens duomenis, gali tekti lygiagrečiai per 72 valandas pranešti apie asmens duomenų saugumo pažeidimą pagal BDAR kitai institucijai, su kita taikymo sritimi ir kita riba. Šiuos procesus reikia projektuoti kartu, ir tai aptariame mūsų BDAR vadove.

Dešimt priemonių

21 straipsnis reikalauja rizikos valdymo priemonių, apimančių bent dešimt sričių. Paprastai tariant:

1. Rizikos analizė ir informacinių sistemų saugumo politika. Dokumentuota, aktuali ir iš tikrųjų naudojama sistemas prižiūrinčių žmonių.
2. Incidentų valdymas. Aptikimas, reagavimas, atkūrimas ir aukščiau aprašytas pranešimo procesas.
3. Veiklos tęstinumas ir krizių valdymas. Atsarginių kopijų valdymas, atkūrimas po nelaimių ir išbandytas atkūrimas, o ne vien suplanuota atsarginių kopijų užduotis.
4. Tiekimo grandinės saugumas. Aptariamas atskirai toliau, nes čia sutelkiama didžioji pastangų dalis.
5. Saugumas įsigyjant, kuriant ir prižiūrint sistemas. Saugaus kūrimo praktika, pažeidžiamumų valdymas ir atskleidimas.
6. Veiksmingumo vertinimas. Kaip žinote, kad jūsų kontrolės priemonės veikia. Testavimas, auditai, rodikliai.
7. Kibernetinė higiena ir mokymai. Pagrindinės praktikos ir sąmoningumas, taip pat ir vadovybei.
8. Kriptografijos ir šifravimo politika. Kur naudojamas šifravimas ir kaip tvarkomi raktai.
9. Žmogiškųjų išteklių saugumas, prieigos kontrolė ir turto valdymas. Atvykstantys, pereinantys ir išeinantys darbuotojai, mažiausių privilegijų principas ir aktualus turto sąrašas.
10. Daugiaveiksnis autentiškumo patvirtinimas ir saugūs ryšiai. MFA arba nuolatinis autentiškumo patvirtinimas, saugūs balso, vaizdo ir teksto ryšiai bei avarinių ryšių sistemos.

Nė viena iš jų nėra egzotiška. Daugumai organizacijų trūksta ne žinojimo, ką daryti, o įrodymų. NIS2 priežiūra labai remiasi dokumentais, o nedokumentuota kontrolės priemonė praktiškai prilygsta neegzistuojančiai.

Tiekimo grandinė yra tikrasis darbas

Svarbiausias NIS2 pokytis yra dėmesys tiekimo grandinės rizikai. Subjektai, kuriems taikoma direktyva, privalo atsižvelgti į savo tiesioginių tiekėjų ir paslaugų teikėjų saugumo praktiką, įskaitant jų produktų kokybę ir saugaus kūrimo praktiką.

Praktiškai tai plinta kaskada. Ligoninė, kuriai taikoma direktyva, perkelia reikalavimus savo programinės įrangos tiekėjams. Tie tiekėjai perkelia reikalavimus savo prieglobos paslaugų teikėjams ir komponentų tiekėjams. Įmonės, kurios formaliai gerokai už taikymo srities ribų, galiausiai pildo iš NIS2 kilusius saugumo klausimynus, nes jų klientui direktyva taikoma.

Jei parduodate programinę įrangą ar paslaugas bet kuriam iš išvardytų sektorių, tikėkitės:

• Saugumo klausimynų kaip standartinės pirkimų dalies, prieš sutarties pasirašymą, o ne po jo.
• Sutartinių saugumo reikalavimų, įskaitant pranešimo apie incidentus terminus, kurie susiję su jūsų kliento 24 valandų prievole.
• Įrodymų prašymų: skverbties testų santraukų, SOC 2 ar ISO 27001 būklės, pažeidžiamumų valdymo proceso dokumentacijos, SBOM.
• Teisės atlikti auditą.

Efektyviausias atsakas yra vieną kartą parengti įrodymų paketą. Didžioji dalis to, ko klientai prašo, įvairiuose klausimynuose kartojasi, o šie dokumentai iš esmės sutampa su Kibernetinio atsparumo akto prievolėmis. Sukurkite programinės įrangos komponentų sąrašo (SBOM) generavimo procesą, dokumentuotą pažeidžiamumų valdymo procesą ir incidentų veiksmų planą, ir atsakysite į didžiąją dalį abiejų reikalavimų.

Vadovybės atsakomybė

NIS2 įpareigoja valdymo organus tvirtinti kibernetinio saugumo rizikos valdymo priemones ir prižiūrėti jų įgyvendinimą, o valstybės narės gali juos patraukti asmeninėn atsakomybėn. Vadovybė taip pat privalo dalyvauti mokymuose.

Būtent todėl pokalbiai apie NIS2 įmonėse pajudėjo greičiau nei daugelis kitų atitikties temų. Asmeninė atsakomybė keičia tai, kaip greitai valdyba patvirtina biudžetą.

Sankcijos

Esminiams subjektams iki 10 mln. eurų arba 2 procentų visos pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Svarbiems subjektams iki 7 mln. eurų arba 1,4 procento. Institucijos taip pat gali duoti privalomus nurodymus, įpareigoti paskelbti apie neatitiktį, o sunkiais atvejais sustabdyti sertifikavimą arba laikinai uždrausti asmenims eiti vadovaujamąsias pareigas.

Kas keičiasi

2026 m. sausio 20 d. Komisija pasiūlė tikslinių NIS2 pakeitimų (procedūra 2026/0012(COD)), paskelbtų kartu su pasiūlymu dėl Kibernetinio saugumo akto 2. Labai svarbių sektorių subjektai, kurie yra mažos vidutinės kapitalizacijos įmonės (mažiau nei 750 darbuotojų ir apyvarta iki 150 mln. eurų arba balanso suma iki 129 mln. eurų), paprastai taptų svarbiais, o ne esminiais subjektais, kuriems taikoma lengvesnė priežiūra. Valstybės narės galėtų reikalauti sertifikato apie subjekto kibernetinio saugumo būklę pagal Europos sertifikavimo schemą, o galiojantis sertifikatas atleistų subjektą nuo tolesnių priežiūros priemonių dėl jo apimamų reikalavimų. Komisija taip pat parengtų gaires, kaip standartizuoti tiekimo grandinės klausimynus, kuriuos subjektai, kuriems taikoma direktyva, siunčia savo tiekėjams, o Kibernetinio saugumo akto 2 pasiūlyme pateikiamos naujos IRT tiekimo grandinės rizikos taisyklės. Valstybės narės pakeitimus į nacionalinę teisę turėtų perkelti per 12 mėnesių.

Tai vis dar pasiūlymas. 2026 m. spalio 10 d. duomenimis, atsakingas Parlamento komitetas (ITRE) rugsėjo 24 d. paskelbė savo pranešimo projektą, o Tarybos pozicija nebuvo užregistruota. Kol pakeitimai nepriimti ir neperkelti į nacionalinę teisę, viskas, kas parašyta šiame straipsnyje, taikoma taip, kaip parašyta.

Nuo ko pradėti, jei dar nepradėjote

Veiksmų seka organizacijai, kuri pradeda beveik nuo nulio:

Tinkamai nustatykite taikymo sritį. Sektorius, dydis ir valstybės narės, kuriose esate įsisteigę. Gaukite teisininko išvadą raštu, nes nuo to priklauso visa kita.

Užsiregistruokite. Pasitikrinkite savo nacionalinės institucijos terminą ir tvarką. Jei terminas jau praėjo, vis tiek užsiregistruokite.

Sudarykite turto sąrašą. Negalite valdyti rizikos sistemose, kurių nesate surašę. Tai vienas naudingiausių dokumentų ir dažniausiai trūkstamas.

Parašykite incidentų veiksmų planą ir jį išbandykite. Sutelkite dėmesį į 24 valandų kelią. Kas paskelbia incidentą, kas vertina tarpvalstybinį poveikį, kas pateikia pranešimą ir kas vyksta 3 val. nakties per valstybinę šventę.

Peržiūrėkite tiekėjus. Surašykite svarbiausius tiekėjus, įvertinkite juos ir atnaujindami sutartis įtraukite į jas saugumo sąlygas.

Pašalinkite akivaizdžias spragas. MFA visur, išbandytos atsarginės kopijos, pataisų valdymas, prieigos peržiūros, žurnalų rinkimas. Nepatrauklu, tačiau būtent į tai auditas pažiūrės pirmiausia.

Dokumentuokite eigoje. Ne vėliau parašytas politikų segtuvas, o sprendimai, užfiksuoti tada, kai jie priimami, su datomis ir atsakingais asmenimis.

Atvirai apie pastangas

Organizacijai, turinčiai veikiančią saugumo programą, NIS2 daugiausia yra dokumentavimo ir pranešimų teikimo užduotis. Organizacijai, kuri jos neturi, tai tikras kūrimo darbas, matuojamas ketvirčiais, o ne savaitėmis.

Klaida yra laikyti tai atitikties projektu, už kurį atsakingas teisės skyrius. Prievolės yra operatyvinės. Jos tenka žmonėms, kurie prižiūri sistemas, o dokumentai lieka aktualūs tik tada, kai yra komandos darbo dalis, o ne kažkas, kas parengiama auditui.

Pagalba

Kuriame ir prižiūrime programinės įrangos sistemas įmonėms visoje Europoje, įskaitant stebėseną, žurnalų rinkimą, atsargines kopijas ir tiekimo grandinės matomumą, kurių tikimasi pagal NIS2. Esame naudingi inžinerinėje pusėje: kad kontrolės priemonės būtų tikros, o įrodymai atsirastų kaip įprasto darbo šalutinis produktas, o ne kaip atskira pastanga.

Susisiekite su mumis adresu office@c9group.dev. Mūsų 2026 m. ES skaitmeninės atitikties vadove aptariama, kaip NIS2 dera su visais kitais šiais metais įsigaliojančiais reikalavimais, o senų sistemų priežiūros paslaugos puslapyje aprašytas darbas, nuo kurio paprastai pradedama.

Nesame advokatų kontora ir teisinių konsultacijų neteikiame. Ypač taikymo srities nustatymas yra jūsų teisininko reikalas.