Анализ директивы и проекта закона
Директива NIS2 вносит фундаментальные изменения в подход к кибербезопасности в Европейском Союзе. Впервые она прямо возлагает личную ответственность за кибербезопасность на членов руководящих органов, включая советы директоров компаний. Это означает, что кибербезопасность больше не является исключительной прерогативой ИТ-отделов или отделов по соблюдению нормативных требований, а стала областью прямого управленческого надзора.
В статье мы поясним:
- Что такое директива NIS2?
- на кого распространяются новые правила?
- Какие обязанности и санкции применяются к членам органов управления?
- Как подготовиться к новым нормативным актам в соответствии с состоянием законодательной работы по состоянию на январь 2026 года.
Что такое директива NIS2 и почему она важна для советов директоров?
Директива NIS2 (Директива (ЕС) 2022/2555 Европейского парламента и Совета от 14 декабря 2022 г.) касается мер по обеспечению высокого общего уровня кибербезопасности в ЕС. Она заменяет предыдущую Директиву NIS1 и значительно расширяет как сферу действия, так и перечень обязательств.
Данная директива не имеет прямого применения – она требует имплементации в национальное законодательство.
Государства-члены должны были имплементировать ее до 17 октября 2024 года.
В Польше реализация осуществляется посредством поправки:
- Принять меры в отношении национальной системы кибербезопасности
- и некоторые другие акты (проект – парламентский документ № 1955, этап парламентских слушаний).
Кого затрагивает NIS2?
Директива NIS2 охватывает следующие положения:
- ключевые сущности,
- важные сущности.
Их определения изложены в статье 3 Директивы. Окончательные списки определяются государствами-членами.
На этом этапе предприниматели могут провести предварительную самооценку, проанализировав, среди прочего:
- соответствуют ли они критерию, по крайней мере, среднего предпринимателя
- работают ли они в секторах, охватываемых NIS2 (например, энергетика, транспорт, здравоохранение, цифровые услуги, критическая инфраструктура, доверительные услуги)?
- независимо от того, имели ли они ранее статус оператора основных услуг или важной организации.
Как NIS2 меняет ответственность членов руководящих органов?
Наиболее существенным изменением в NIS2 является прямое возложение ответственности на органы управления. В соответствии со статьей 20(1) Директивы, органы управления:
- утвердить меры по управлению рисками в сфере кибербезопасности
- контролировать их реализацию,
- может нести ответственность за нарушения.
Эти обязательства носят личный характер и не могут быть эффективно переданы исключительно ИТ-отделам, внешним поставщикам или их представителям.
Какие меры кибербезопасности должны контролировать советы директоров?
Организации, подпадающие под действие NIS2, должны внедрять меры по управлению рисками, минимальный набор которых изложен в статье 21(2) Директивы. К ним относятся, среди прочего:
- Анализ рисков и политики безопасности для ИТ-систем
- процедуры обработки инцидентов,
- механизмы обеспечения непрерывности бизнеса (резервное копирование, восстановление данных),
- кризисное управление,
- безопасность цепочки поставок.
Эти меры должны быть адекватными, соразмерными и постоянно обновляться, а контроль за их соблюдением возложен на органы управления.
Обязанность сообщать об инцидентах – роль правления
Директива NIS2 вводит подробные правила сообщения о серьезных инцидентах в сфере кибербезопасности (статья 23).
Хотя официальное уведомление подает организация, члены правления несут ответственность за следующее:
- разработка процедур для выявления и оценки инцидентов,
- правильная квалификация событий,
- Своевременность и полнота заявок.
Отсутствие процедур или неверная оценка инцидента могут рассматриваться как нарушение надзорных обязанностей.
Необходимо ли членам совета директоров обладать знаниями в области кибербезопасности?
В стандарте NIS2 прямо не установлены требования к сертификации или конкретному образованию, но на практике он требует, чтобы члены руководящих органов:
- понимать киберриски,
- смогли оценить последствия инцидентов (юридические, финансовые, операционные)
- принимали обоснованные надзорные решения.
На практике это означает необходимость:
- обучение менеджменту,
- постоянная консультативная поддержка,
- регулярные отчеты по кибербезопасности.
Обеспечение безопасности цепочки поставок — это ответственность руководства
Директива NIS2 уделяет особое внимание безопасности цепочки поставок. Регулирующие органы должны осуществлять надзор, в частности, за следующими аспектами:
- оценка уязвимости ключевых ИТ-поставщиков
- риски, возникающие из-за зависимости от третьих лиц,
- адекватность договорных положений, касающихся кибербезопасности.
Кибератака на поставщика может повлечь за собой ответственность для организации, подпадающей под действие NIS2.
Какие санкции предусмотрены за нарушение обязательств NIS2?
Директива NIS2 предусматривает как санкции в отношении организаций, так и персональные санкции в отношении лиц, осуществляющих управленческие функции.
Возможные санкции включают:
- временный запрет на выполнение управленческих функций,
- административные штрафы:
- до 10 миллионов евро или 2% от мирового оборота – ключевые подразделения,
- до 7 миллионов евро или 1,4% от мирового оборота – крупные организации.
В проекте польского закона дополнительно предусмотрена возможность наложения штрафов на руководителей организаций в соответствии с Законом о бухгалтерском учете и Законом о государственных финансах.
Как юридическая фирма Graś i Wspólnicy помогает в подготовке к NIS2?
Юридическая фирма «Graś i Wspólnicy» оказывает поддержку советам директоров и руководящему персоналу в подготовке их организаций к выполнению требований Директивы NIS2, в частности, путем:
- Аудиты соответствия NIS2 и национальной системы кибербезопасности
- Консультации для членов правления по вопросам личной ответственности
- поддержка во внедрении процедур управления рисками и инцидентами
- анализ безопасности цепочки поставок и договорных положений
- Обучение менеджменту в области кибербезопасности и юридической ответственности.
Цель состоит не только в выполнении формальных требований, но и в реальном снижении правовых и операционных рисков.
Краткое содержание
Директива NIS2 коренным образом меняет модель подотчетности в сфере кибербезопасности, перекладывая бремя надзора непосредственно на руководящие органы. Члены совета директоров также должны учитывать свою личную ответственность, включая финансовую и организационную ответственность.
Уже на этапе законодательной работы целесообразно:
- проведение аудита на соответствие требованиям,
- обзор структур принятия решений,
- подготовка правлений к выполнению новых надзорных обязанностей.
Часто задаваемые вопросы – NIS2 и ответственность руководства
Распространяется ли директива NIS2 на все компании?
Нет. Директива охватывает ключевые и важные организации, работающие в конкретных секторах.
Можно ли передать ответственность ИТ-отделу?
Нет. Руководящие органы несут личную ответственность за надзор.
Существует ли риск отстранения от работы в правлении?
Да – директива предусматривает такие санкции в крайних случаях.
Стоит ли готовиться до вступления закона в силу?
Да. Своевременные действия снижают риск санкций и личной ответственности.
Данная статья носит исключительно информационный характер и не является юридической консультацией
Правовой статус по состоянию на 20 января 2026 года.
Автор:
Редактор серии:
