NIS2 praksē: reģistrācija, ziņošana 24 stundu laikā un piegādes ķēdes realitāte

NIS2 ieviešana noritēja neparasti. Transponēšanas termiņš bija 2024. gada 17. oktobris, un lielākā daļa dalībvalstu to nokavēja. Divus gadus vēlāk aina joprojām ir nevienmērīga, un daudziem uzņēmumiem tas radījis iespaidu, ka nekas īpašs nav noticis.

Tagad šis iespaids ir maldīgs. Valstu likumi ir pieņemti, reģistrācijas portāli ir atvērti, un uzraudzības iestādes sākušas uzdot jautājumus. Vācija atvēra savu reģistrācijas portālu 2026. gada 6. janvārī ar likumā noteiktu termiņu 6. martā. Nīderlande savu Cyberbeveiligingswet ieviesa 2026. gada 15. augustā. Citas valstis sekoja gada gaitā.

Ja gaidījāt skaidrību, tā ir pienākusi, un atbilde ir tāda, ka jūs, visticamāk, kavējaties, nevis esat priekšā laikam.

Uz ko tā attiecas

NIS2 aizstāja sākotnējo 2016. gada tīklu un informācijas sistēmu drošības direktīvu un ievērojami paplašināja tās darbības jomu. To nosaka nozare un uzņēmuma lielums.

Būtiskās vienības aptver ļoti kritiskas nozares: enerģētiku, transportu, banku darbību, finanšu tirgus infrastruktūru, veselību, dzeramo ūdeni, notekūdeņus, digitālo infrastruktūru, IKT pakalpojumu pārvaldību, valsts pārvaldi un kosmosu.

Svarīgās vienības aptver citas kritiskas nozares: pasta un kurjerpakalpojumus, atkritumu apsaimniekošanu, ķīmiskās vielas, pārtiku, noteiktu ražojumu izgatavošanu, tostarp medicīnisko ierīču, datoru, elektronikas, mašīnu un transportlīdzekļu, digitālo pakalpojumu sniedzējus, piemēram, tiešsaistes tirdzniecības vietas, meklētājprogrammas un sociālās platformas, kā arī pētniecības organizācijas.

Lieluma slieksnis parasti ir vidējs uzņēmums vai lielāks, tas ir, 50 vai vairāk darbinieku vai gada apgrozījums virs 10 miljoniem eiro. Daži vienību veidi ietilpst darbības jomā neatkarīgi no lieluma, tostarp noteikti DNS pakalpojumu sniedzēji, augšējā līmeņa domēnu reģistri, uzticamības pakalpojumu sniedzēji un publisko elektronisko sakaru pakalpojumu sniedzēji.

Vācijas uzraudzības iestāde lēsa, ka tikai šajā valstī direktīva attiecas uz aptuveni 29 500 vienībām. Līdz likumā noteiktajam termiņam 2026. gada martā bija reģistrējušās aptuveni 11 500, bet līdz maija beigām ap 18 500. Uztveriet to kā brīdinājumu, nevis kā mierinājumu. Tas, ka citi reģistrējas lēni, nerada izņēmumu.

Uzņēmumus parasti pārsteidz divas lietas. Pirmkārt, nozaru sarakstā ir arī parasti ražotāji, ne tikai infrastruktūras operatori. Ja jūs jebkādā apjomā ražojat mašīnas, elektroniku vai medicīniskās ierīces, iedziļinieties rūpīgi. Otrkārt, pat ja direktīva uz jums neattiecas, jūsu klienti, uz kuriem tā attiecas, ar līgumiem novirzīs savus piegādes ķēdes pienākumus uz jums. Tas, ka neietilpstat darbības jomā, nenozīmē, ka jūs tas neskar.

Reģistrācija ir atsevišķs pienākums

Vairumā dalībvalstu vienībām, uz kurām direktīva attiecas, jāreģistrējas valsts iestādē, un tieši šeit notiek pirmās kļūmes.

Reģistrācija parasti nozīmē norādīt vienību, tās nozares klasifikāciju, tās pakalpojumus, kontaktpunktus drošības jautājumos un dalībvalstis, kurās tā darbojas. Termiņi dažādās valstīs atšķiras, un process bieži ir sarežģītāks par tīmekļa veidlapu.

Nepieņemiet, ka uz jums tas neattiecas tikai tāpēc, ka iestāde ar jums nav sazinājusies. NIS2 balstās uz pašidentifikāciju. Jūsu uzdevums ir noteikt, vai ietilpstat darbības jomā, un reģistrēties; regulatora uzdevums nav jūs atrast.

Ziņošanas termiņi

Ziņošana par incidentiem ir direktīvas operacionāli prasīgākā daļa, un termiņi ir stingri.

• 24 stundu laikā pēc tam, kad uzzināts par nozīmīgu incidentu: agrīnais brīdinājums, norādot, vai ir aizdomas, ka incidentu izraisījušas nelikumīgas vai ļaunprātīgas darbības, un vai tam var būt pārrobežu ietekme.
• 72 stundu laikā: paziņojums par incidentu, kas papildina agrīno brīdinājumu ar sākotnējo novērtējumu, smagumu, ietekmi un kompromitācijas indikatoriem.
• Pēc pieprasījuma: starpposma ziņojumi par stāvokli.
• Viena mēneša laikā: galīgais ziņojums ar detalizētu aprakstu, draudu veidu vai pamatcēloni, piemērotajiem mazināšanas pasākumiem un pārrobežu ietekmi, ja tāda ir.

Nozīmīgs incidents ir tāds, kas ir izraisījis vai var izraisīt nopietnus darbības traucējumus vai finansiālus zaudējumus, vai ir ietekmējis vai var ietekmēt citas personas, radot ievērojamu materiālu vai nemateriālu kaitējumu.

Grūtākā daļa ir agrīnais brīdinājums 24 stundu laikā. Divdesmit četras stundas nepietiek izmeklēšanai. Tas ir iepriekšējs signāls, un direktīva to arī sagaida kā iepriekšēju signālu. Komandas, kas ar ziņošanu gaida, līdz būs izpratušas incidentu, katru reizi nokavēs termiņu.

Ja jūsu organizācija apstrādā arī personas datus, jums, iespējams, paralēli būs jāveic VDAR paziņošana par pārkāpumu 72 stundu laikā citai iestādei, ar citu tvērumu un citu slieksni. Šie procesi jāprojektē kopā, un par to rakstām mūsu VDAR ceļvedī.

Desmit pasākumi

21. pants prasa riska pārvaldības pasākumus, kas aptver vismaz desmit jomas. Vienkāršiem vārdiem:

1. Riska analīze un informācijas sistēmu drošības politika. Dokumentēta, aktuāla, un cilvēki, kas uztur sistēmas, to tiešām izmanto.
2. Incidentu apstrāde. Atklāšana, reaģēšana, atjaunošana un iepriekš aprakstītā ziņošanas plūsma.
3. Darbības nepārtrauktība un krīžu pārvaldība. Rezerves kopiju pārvaldība, darbības atjaunošana pēc katastrofas un pārbaudīta atjaunošana, nevis tikai ieplānots rezerves kopēšanas uzdevums.
4. Piegādes ķēdes drošība. Aplūkota atsevišķi tālāk, jo tieši tur aiziet lielākā daļa pūļu.
5. Drošība iegādē, izstrādē un uzturēšanā. Drošas izstrādes prakse, ievainojamību apstrāde un atklāšana.
6. Efektivitātes novērtēšana. Kā jūs zināt, ka jūsu kontroles darbojas. Testēšana, auditi, rādītāji.
7. Kiberhigiēna un apmācība. Pamatprakse un izpratne, arī vadībai.
8. Kriptogrāfijas un šifrēšanas politika. Kur tiek izmantota šifrēšana un kā tiek pārvaldītas atslēgas.
9. Personāla drošība, piekļuves kontrole un aktīvu pārvaldība. Pieņemšana darbā, pārcelšana, aiziešana, mazāko privilēģiju princips un aktuāls aktīvu reģistrs.
10. Daudzfaktoru autentifikācija un aizsargāti sakari. MFA vai nepārtraukta autentifikācija, aizsargāti balss, video un teksta sakari un ārkārtas sakaru sistēmas.

Nekas no tā nav eksotisks. Vairumā organizāciju trūkst nevis zināšanu par to, kas jādara, bet pierādījumu. NIS2 uzraudzība balstās uz dokumentāciju, un nedokumentēta kontrole praktiski ir tas pats, kas kontroles neesamība.

Īstais darbs ir piegādes ķēde

Būtiskākās izmaiņas NIS2 ir uzsvars uz piegādes ķēdes riskiem. Vienībām, uz kurām direktīva attiecas, jāņem vērā savu tiešo piegādātāju un pakalpojumu sniedzēju drošības prakse, tostarp to produktu kvalitāte un drošas izstrādes prakse.

Praksē tas plūst tālāk pa ķēdi. Slimnīca, uz kuru direktīva attiecas, izvirza prasības saviem programmatūras piegādātājiem. Tie izvirza prasības saviem mitināšanas pakalpojumu sniedzējiem un komponentu piegādātājiem. Uzņēmumi, kas formāli atrodas tālu ārpus darbības jomas, galu galā aizpilda no NIS2 izrietošas drošības anketas, jo uz viņu klientu direktīva attiecas.

Ja pārdodat programmatūru vai pakalpojumus kādā no uzskaitītajām nozarēm, rēķinieties ar:

• Drošības anketām kā standarta iepirkuma daļu, pirms līguma, nevis pēc tā.
• Līgumiskām drošības prasībām, tostarp termiņiem paziņošanai par incidentiem, kas sasaistīti ar jūsu klienta 24 stundu pienākumu.
• Pierādījumu pieprasījumiem: ielaušanās testu kopsavilkumi, SOC 2 vai ISO 27001 statuss, ievainojamību pārvaldības procesa dokumentācija, SBOM.
• Audita tiesībām.

Efektīvākā atbilde ir vienreiz sagatavot pierādījumu kopumu. Lielākā daļa klientu jautājumu dažādās anketās ir vieni un tie paši, un dokumenti lielā mērā pārklājas ar Kibernoturības akta pienākumiem. Izveidojiet programmatūras komponentu saraksta (SBOM) ģenerēšanas plūsmu, dokumentētu ievainojamību apstrādes procesu un incidentu rīcības instrukciju, un jūs būsiet atbildējuši uz lielāko daļu no abiem.

Vadības atbildība

NIS2 uzliek vadības struktūrām atbildību par kiberdrošības riska pārvaldības pasākumu apstiprināšanu un to īstenošanas uzraudzību, un dalībvalstis var tās saukt pie personiskas atbildības. Vadībai arī jāapmeklē apmācības.

Tāpēc sarunas par NIS2 uzņēmumos virzījušās ātrāk nekā vairums atbilstības tēmu. Personiskā atbildība maina to, cik ātri valde apstiprina budžetu.

Sodi

Būtiskajām vienībām līdz 10 miljoniem eiro vai 2 % no kopējā gada apgrozījuma pasaulē atkarībā no tā, kura summa ir lielāka. Svarīgajām vienībām līdz 7 miljoniem eiro vai 1,4 %. Iestādes var arī dot saistošus norādījumus, likt publiskot neatbilstību un nopietnos gadījumos apturēt sertifikāciju vai uz laiku aizliegt personām pildīt vadības funkcijas.

Kas mainās

2026. gada 20. janvārī Komisija ierosināja mērķtiecīgus NIS2 grozījumus (procedūra 2026/0012(COD)), kas publicēti kopā ar priekšlikumu Kiberdrošības aktam 2. Ļoti kritisko nozaru vienības, kas ir mazi vidējas kapitalizācijas uzņēmumi (mazāk nekā 750 darbinieku un apgrozījums līdz 150 miljoniem eiro vai bilances kopsumma līdz 129 miljoniem eiro), parasti kļūtu par svarīgām, nevis būtiskām vienībām, ar vieglāku uzraudzību, kas piemērojama šim līmenim. Dalībvalstis varētu pieprasīt sertifikātu par vienības kiberdrošības stāvokli saskaņā ar Eiropas sertifikācijas shēmu, un derīgs sertifikāts atbrīvotu vienību no turpmākiem uzraudzības pasākumiem attiecībā uz tajā aptvertajām prasībām. Komisija arī izstrādātu vadlīnijas, lai standartizētu piegādes ķēdes anketas, ko vienības sūta saviem piegādātājiem, savukārt jaunie noteikumi par IKT piegādes ķēdes riskiem ir iekļauti Kiberdrošības akta 2 priekšlikumā. Dalībvalstīm būtu 12 mēneši izmaiņu transponēšanai.

Tas joprojām ir priekšlikums. 2026. gada 10. oktobrī atbildīgā Parlamenta komiteja (ITRE) bija publicējusi savu ziņojuma projektu 24. septembrī, un Padomes nostāja vēl nebija reģistrēta. Kamēr grozījumi nav pieņemti un transponēti, viss šajā rakstā minētais ir spēkā, kā rakstīts.

Ar ko sākt, ja vēl neesat sākuši

Izmantojama secība organizācijai, kas sāk gandrīz no nulles:

Pareizi nosakiet, vai ietilpstat darbības jomā. Nozare, lielums un dalībvalstis, kurās esat reģistrēti. Saņemiet to rakstiski no juristiem, jo viss pārējais izriet no šī.

Reģistrējieties. Pārbaudiet savas valsts iestādes termiņu un procesu. Ja termiņš ir pagājis, reģistrējieties tik un tā.

Izveidojiet aktīvu reģistru. Jūs nevarat pārvaldīt risku sistēmās, kuras neesat uzskaitījuši. Neviens cits dokuments nedod tik lielu atdevi, un tieši tā visbiežāk trūkst.

Uzrakstiet incidentu rīcības instrukciju un izmēģiniet to. Koncentrējieties uz 24 stundu ceļu. Kurš izsludina incidentu, kurš novērtē pārrobežu ietekmi, kurš iesniedz ziņojumu un kas notiek trijos naktī svētku dienā.

Pārskatiet piegādātājus. Uzskaitiet savus kritiskos piegādātājus, novērtējiet tos un, atjaunojot līgumus, iekļaujiet tajos drošības noteikumus.

Novērsiet acīmredzamās nepilnības. MFA visur, pārbaudītas rezerves kopijas, atjauninājumu pārvaldība, piekļuves pārskatīšana, žurnālu vešana. Tas nav aizraujoši, un tieši uz to audits paskatīsies vispirms.

Dokumentējiet pa ceļam. Nevis politiku mape, kas uzrakstīta vēlāk, bet lēmumi, kas pierakstīti brīdī, kad tie pieņemti, ar datumiem un atbildīgajiem.

Godīgi par darba apjomu

Organizācijai ar funkcionējošu drošības programmu NIS2 galvenokārt ir dokumentēšanas un ziņošanas uzdevums. Organizācijai bez tādas tas ir īsts būvdarbs, ko mēra ceturkšņos, nevis nedēļās.

Kļūda ir uztvert to kā atbilstības projektu, par kuru atbild juridiskā nodaļa. Pienākumi ir operacionāli. Tie pieder cilvēkiem, kas uztur sistēmas, un dokumenti paliek aktuāli tikai tad, ja tie ir daļa no komandas ikdienas darba, nevis kaut kas, kas sagatavots auditam.

Palīdzība

Mēs veidojam un uzturam programmatūras sistēmas uzņēmumiem visā Eiropā, tostarp uzraudzību, žurnālu vešanu, rezerves kopēšanu un piegādes ķēdes pārredzamību, ko sagaida NIS2. Mēs esam noderīgi inženiertehniskajā pusē: padarām kontroles reālas, un pierādījumi rodas kā parastā darba blakusprodukts, nevis kā atsevišķs darbs.

Sazinieties ar mums: office@c9group.dev. Mūsu 2026. gada ES digitālās atbilstības ceļvedī aprakstīts, kā NIS2 iederas kopā ar visu pārējo, kas stājas spēkā šogad, bet lapā par mantoto sistēmu uzturēšanas pakalpojumu aprakstīts darbs, ar ko parasti jāsāk.

Mēs neesam juridiskais birojs un nesniedzam juridiskas konsultācijas. Īpaši jautājums par to, vai direktīva uz jums attiecas, jāizlemj jūsu juristiem.