Надлежащее проведение самооценки в соответствии с новым Законом о национальной системе кибербезопасности (НЦК) требует не только определения того, подпадает ли компания под действие этих правил, но и уточнения ее статуса. Закон делит получателей обязательств на две основные категории: ключевые организации и важные организации. Хотя обе группы обязаны внедрять меры по управлению рисками кибербезопасности и подавать заявку на регистрацию до 3 октября 2026 года, масштабы надзора и потенциальные финансовые санкции существенно различаются.
Как отличить ключевой объект от важного?
Принадлежность к определенной категории определяется двумя основными факторами: экономическим сектором, в котором работает компания, и ее размером (измеряемым показателями занятости и финансовыми показателями).
| Критерий | Ключевая сущность | Важная сущность |
| Экономические сектора | Ключевые сектора (включая энергетику, транспорт, банковское дело, здравоохранение, водоснабжение, цифровую инфраструктуру, ИКТ). | Важные сектора (включая почтовые/курьерские услуги, переработку отходов, химическую промышленность, пищевую промышленность, промышленное производство, цифровые услуги). |
| Размер компании | Крупные предприятия в ключевых секторах экономики (≥250 сотрудников или оборот >50 миллионов евро / баланс >43 миллионов евро). | Средние предприятия в ключевых секторах, а также средние и крупные предприятия в важных секторах. |
| Квалификация независимо от размера | Поставщики доверительных услуг, регистраторы доменных имен, органы государственного управления или лица, специально обозначенные в связи с системным риском. | В Законе указаны организации, признанные важными, независимо от масштаба их деятельности. |
Предварительное и последующее наблюдение: ключевое системное различие
Наиболее существенное практическое различие между этими двумя категориями касается способа, которым регулирующие органы осуществляют контроль за соблюдением нормативных требований:
- надзор предварительный): Регуляторы имеют право проводить профилактические и плановые проверки. Они могут в любое время — без предварительного уведомления — запрашивать документацию, заказывать независимые аудиты безопасности за счет компании или проверять процедуры.
- надзор постконкурентный): Режим надзора осуществляется постконкурентно. Органы власти принимают меры контроля и принудительного исполнения только после получения доказательств, отчета или обоснованного подозрения в нарушении правил (например, после серьезного инцидента или жалобы).
Организационные обязанности
Обе категории организаций должны внедрить аналогичный набор технических и организационных мер, включая:
- регулярный анализ рисков и политика безопасности ИКТ-систем
- Процедуры обработки инцидентов, планирование обеспечения непрерывности бизнеса (BCP) и управление кризисными ситуациями
- проверка безопасности цепочки поставок (аудит поставщиков программного обеспечения и ИТ-услуг),
- обязательное использование криптографии и шифрования там, где это оправдано.
Для обеих групп крайний срок полного внедрения системы управления информационной безопасностью (СУИБ) остается неизменным — 3 апреля 2027 года.
Финансовые санкции и управленческая ответственность
Различия в важности сектора также отражаются в размере штрафов за невыполнение обязательств:
- Для ключевых юридических лиц: штрафы могут составлять до 10 000 000 евро или до 2% от общего годового оборота компании по всему миру за предыдущий финансовый год (в зависимости от того, какая сумма больше).
- Для крупных юридических лиц: максимальные санкции до 7 000 000 евро или до 1,4% от общего годового оборота в мировом масштабе (в зависимости от того, какая сумма больше).
Стоит подчеркнуть, что поправка к КСЦ также предусматривает личную ответственность руководителей подразделений (членов правления). В случае ключевых организаций надзорные органы в крайних случаях систематического несоблюдения рекомендаций после аудита будут уполномочены требовать временного отстранения лица от исполнения управленческих функций.
Подводить итоги
Хотя к крупным организациям применяется более мягкая модель контроля, основанная на ретроспективноманализе, объем необходимых процедур обеспечения безопасности практически идентичен таковому для ключевых организаций. Поверхностное толкование нормативных актов и задержка их внедрения из-за отсутствия превентивных мер контроля представляют собой высокий коммерческий риск – первый серьезный инцидент в крупной организации приведет к проведению аудита. Для защиты организации от серьезных санкций целесообразно начинать анализ технологических и правовых пробелов одновременно с подготовкой заявки на регистрацию.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Закон действует по состоянию на 13 августа 2026 года.
