NIS2 та Закон про кібербезпеку: чого вони від вас вимагають?

Закон про кібербезпеку ( Cyberbeveiligingswet , Cbw), що імплементує Директиву NIS2 у Нідерландах, набрав чинності 15 серпня 2026 року. Він замінює попередній Закон про безпеку мереж та інформаційних систем ( Wet beveiliging netwerk-en informatiesystemen , Wbni) та застосовується до організацій, визначених як важливі суб’єкти господарювання у вісімнадцяти секторах, включаючи енергетику, питну воду, цифрову інфраструктуру, охорону здоров’я, транспорт, державне управління, виробництво, управління відходами та поштові послуги. Він охоплює понад 8,000 організацій у Нідерландах.

Його визначають три зобов'язання. Перше – це обов'язок дбайливості ( zorgplicht ): суб'єкт господарювання, що входить до сфери застосування, повинен вживати відповідних та пропорційних технічних, операційних та організаційних заходів для управління ризиками для своєї мережі та інформаційних систем, а також для обмеження наслідків інцидентів. Друге – це обов'язок звітувати ( meldplicht ): про значний інцидент необхідно повідомити компетентну групу реагування на інциденти комп'ютерної безпеки та керівника сектору у встановлені законом терміни, починаючи з раннього попередження протягом двадцяти чотирьох годин, повнішого повідомлення протягом сімдесяти двох годин та остаточного звіту протягом місяця. Третє – це реєстрація ( registratieplicht ) у Національному центрі кібербезпеки (NCSC).

Що відрізняє NIS2 від попередніх норм кібербезпеки, так це те, де лежить відповідальність. Органи управління повинні затверджувати заходи з управління ризиками та контролювати їх впровадження, вони можуть нести відповідальність за збої та повинні проходити навчання. Обов'язок дбайливості також поширюється на ланцюг поставок, що означає, що він має бути реалізований через контракти з постачальниками та постачальниками послуг.

Чи застосовується NIS2 до вашої організації?

NIS2 застосовується, якщо ваша організація працює в одному з вісімнадцяти перелічених секторів і відповідає пороговому розміру, або якщо вона належить до категорії, на яку поширюється дія NIS2, незалежно від розміру. Закон про кібербезпеку застосовується з 15 серпня 2026 року, і загального перехідного періоду немає: зобов'язання застосовуються зараз.

Нідерланди імплементували директиву пізніше європейського терміну. ​​У багатьох старих статтях досі згадується «термін у 2025 році». Ця дата вже неактуальна. Важливо те, що нідерландські правила чинні, і що наглядові органи можуть їх забезпечувати.

Які сектори та організації входять до сфери застосування?

Закон охоплює вісімнадцять секторів, перелічених у двох додатках. Перший додаток містить сектори високої важливості, такі як енергетика, транспорт, банківська справа, інфраструктура фінансового ринку, охорона здоров'я, питна вода, водовідведення, цифрова інфраструктура, державне управління та космос. Другий додаток містить інші критичні сектори, такі як поштові та кур'єрські послуги, управління відходами, хімічна промисловість, харчова промисловість, виробництво, цифрові постачальники та дослідження.

У цих секторах розмір визначає, чи охоплюється ваша організація. Згідно з NCSC, ваша організація підпадає під дію, якщо вона відповідає принаймні одному з цих критеріїв:

• Персонал: у ньому працює 50 або більше осіб (в еквіваленті повної зайнятості)
• Оборот і баланс: у ньому працює менше 50 осіб, але його річний обіг та загальна сума балансу перевищують 10 мільйонів євро
• Group: партнерські та пов'язані підприємства враховуються в цих цифрах, тому невелика дочірня компанія великої групи все ще може бути охоплена

Деякі організації охоплюються незалежно від їхнього розміру. До них належать постачальники послуг DNS, постачальники мереж або послуг загального користування електронними комунікаціями, постачальники довірчих послуг, реєстратори доменних імен верхнього рівня та урядові організації.

У межах сфери застосування закон розрізняє суттєві та важливі суб'єкти господарювання. Як правило, більші організації у секторах з високою критичністю є суттєвими суб'єктами господарювання; інші є важливими суб'єктами господарювання. Це розмежування має значення для нагляду та для максимального штрафу. Нідерландське управління цифрової інфраструктури (RDI) пропонує інструмент самооцінки (NIS2-Zelfevaluatie) на сайті regelhulpenvoorbedrijven.nl, який допоможе вам визначитися з цією позицією. Якщо результат незрозумілий, наприклад, через групову структуру або змішану діяльність, проведіть його оцінку та зафіксуйте обґрунтування.

Чого вимагає обов'язок піклування?

Обов’язок дбайливості вимагає вжиття відповідних та пропорційних заходів для управління ризиками для вашої мережі та інформаційних систем. «Пропорційність» означає, що заходи повинні відповідати вашому розміру, вашій схильності до ризику та можливому впливу інциденту на суспільство та економіку.

Директива встановлює мінімальний базовий рівень у статті 21(2) Директиви NIS2. Коротко кажучи, ваші заходи повинні охоплювати:

• Аналіз ризиківполітики щодо аналізу ризиків та безпеки ваших інформаційних систем
• Обробка інцидентівпроцедури виявлення, обробки та відновлення після інцидентів
• Безперервність: забезпечення безперервності бізнесу, резервне копіювання, відновлення та кризове управління
• Ланцюг постачання: безпека у ваших стосунках з постачальниками та постачальниками послуг
• Розробка та супровідбезпека під час придбання, розробки та обслуговування систем, включаючи обробку вразливостей
• Тестування: процедури оцінки ефективності ваших заходів
• Гігієна та дресирування: базове навчання персоналу з кібергігієни та кібербезпеки
• Криптографія та доступвикористання шифрування, безпека людських ресурсів, контроль доступу та управління активами, включаючи безпечну автентифікацію

Закон не встановлює одного конкретного стандарту. Багато організацій використовують існуючу систему інформаційної безпеки для структурування своїх заходів. Для керівника важливо, чи можете ви довести, що ваші заходи базуються на оцінці ризиків і дійсно працюють.

Як працює обов'язок звітності та забезпечення дотримання правил?

Про значний інцидент необхідно повідомляти у три етапи: раннє попередження протягом 24 годин, повідомлення про інцидент протягом 72 годин та остаточний звіт протягом одного місяця. Ви повідомляєте компетентній групі реагування на інциденти комп’ютерної безпеки (CSIRT) та своєму керівнику сектору.

24-годинне попередження є коротким і не обов'язково має бути повним. Воно головним чином сигналізує про те, що щось відбувається, і про те, чи може бути злий намір або транскордонні наслідки. 72-годинне повідомлення дає першу оцінку серйозності та наслідків. У заключному звіті описуються причина, вжиті заходи та будь-які транскордонні наслідки.

Нагляд поділяється за секторами. Залежно від вашої діяльності, вашим наглядачем може бути, наприклад, Інспекція з питань навколишнього середовища та транспорту (ILT), Банк Нідерландів (DNB), Нідерландське управління фінансових ринків (AFM), Інспекція з питань охорони здоров'я та догляду за молоддю (IGJ), Нідерландське управління з безпеки харчових продуктів та споживчих товарів (NVWA) або RDI. Наглядові органи мають повноваження щодо забезпечення дотримання законодавства, які включають накладення адміністративних штрафів.

NIS2 також перетинається із Загальним регламентом про захист даних (GDPR). Якщо інцидент стосується персональних даних, може знадобитися окреме повідомлення до Нідерландського органу захисту даних ( Autoriteit Persoonsgegevens ). Узгодьте свою процедуру NIS2 з процедурою щодо порушення безпеки даних, щоб один інцидент не призвів до двох окремих, неузгоджених процесів.

Які зміни чекають на керівництво, персонал та компанію?

Найважливіша зміна полягає в тому, що кібербезпека більше не є питанням виключно ІТ-відділу. NIS2 покладає відповідальність на керівний орган і очікує внеску всієї організації, включаючи персонал і постачальників.

Що означає NIS2 для працівників?

NIS2 не створює нових індивідуальних прав чи обов'язків безпосередньо для працівників; обов'язки покладаються на організацію. Однак на практиці роботодавець повинен перетворити обов'язок дбайливості на правила та навчання для персоналу.

Базове навчання з кібергігієни та кібербезпеки є частиною мінімальних заходів. Це означає, що ваші співробітники повинні, наприклад:

• Awareness: взяти участь у навчанні з фішингу, паролів та безпечної роботи
• Внутрішня звітністьзнати, як і кому повідомляти про підозрюваний інцидент або вразливість, щоб ви могли вкластися у 24-годинний термін
• Доступвикористовувати безпечну автентифікацію та мати доступ лише до тих систем, які їм потрібні для роботи

Запишіть ці правила в інструкції або посібнику для персоналу. Якщо ви запроваджуєте нові системи моніторингу або поведінки працівників, перевірте правила щодо конфіденційності та, де це доречно, роль робочої ради ( ondernemingsraad ).

Що має зробити керівний орган?

Орган управління повинен затвердити заходи з управління ризиками кібербезпеки та контролювати їх впровадження. Його члени повинні пройти навчання, щоб мати достатньо знань для оцінки ризиків та заходів. Якщо організація не виконує вимоги, орган управління може бути притягнутий до відповідальності.

На практиці це означає, що рада директорів більше не може просто делегувати кібербезпеку. Директори повинні:

• Вирішувати: офіційно затвердити оцінку ризиків та заходи, а також зафіксувати це рішення
• Контролюватиотримувати регулярні звіти про стан заходів та про інциденти
• Вивчайтепроходити навчання та постійно оновлювати ці знання
• Виділитипереконатися, що є достатньо бюджету, людей та чітко визначені ролі

Чи може директор нести особисту відповідальність за заподіяну шкоду, залежить від загальних правил голландського законодавства про компанії та фактів справи. Чітке прийняття рішень та документація допомагають продемонструвати, що рада директорів серйозно поставилася до своєї ролі.

Які штрафи та інші наслідки?

Органи нагляду можуть накладати штрафи на суму до 10 мільйонів євро або 2% від світового річного обороту на важливі суб'єкти господарювання та до 7 мільйонів євро або 1.4% на важливі суб'єкти господарювання, залежно від того, що більше. Це максимальні суми; фактичний штраф залежить від серйозності порушення та обставин.

Штрафи – це не єдиний ризик. Керівник також може використовувати інші заходи примусу, щоб змусити вас дотримуватися вимог. Серйозний інцидент також може призвести до претензій з боку клієнтів або ділових партнерів, до договірних наслідків з постачальниками та шкоди репутації. Тому гарна підготовка захищає вас кількома способами.

Як ви працюєте з постачальниками та укладаєте контракти?

Обов’язок дбайливості поширюється на ваш ланцюг поставок, тому ви також повинні керувати ризиками кібербезпеки ваших постачальників та постачальників послуг. На практиці це робиться здебільшого через контракти.

Питання, які слід врахувати в договорах з постачальниками, включають:

• Вимоги безпекизаходи, які має вжити постачальник відповідно до вашої власної оцінки ризиків
• Повідомлення про інцидент: короткий термін для постачальника, щоб повідомити вас про інциденти, щоб ви могли вкластися у власні терміни звітності
• Аудит та інформаціяваше право запитувати інформацію та перевіряти відповідність вимогам
• Субпідрядправила використання субпідрядників та передачі зобов'язань
• Відповідальність та припиненнящо станеться, якщо постачальник не виконає вимоги, і як ви можете припинити співпрацю

Спочатку перегляньте чинні контракти з вашими найважливішими постачальниками ІТ- та послуг. Нові контракти можуть з самого початку містити стандартні положення NIS2.

Що вам як організації слід перевірити в рамках охоплення?

Закон застосовується з 15 серпня 2026 року без загального перехідного періоду. Ці перевірки охоплюють зобов'язання, які наглядовий орган розгляне в першу чергу.

• За допомогою самооцінки RDI визначте, чи є ви важливою чи суттєвою організацією, включно з компаніями групи та запишіть обґрунтування.
• Зареєструйтесь у NCSC та постійно оновлюйте реєстрацію.
• Доручіть керівному органу офіційно схвалити оцінку ризиків та заходи, а також зафіксувати це рішення.
• Запланувати навчання для керівного органу та базове навчання з кібергігієни для персоналу.
• Назвіть особу, яка вирішує, чи є інцидент значним, і яка звітує протягом 24 годин, 72 годин та одного місяця.
• Узгодити процедуру NIS2 із 72-годинним повідомленням про витік даних до Органу захисту даних Нідерландів згідно з GDPR.

Що вам слід перевірити як постачальнику?

Клієнти, що входять до сфери дії договору, передають вам свої обов'язки щодо турботи через договори. Перевірте, що вас просять підписати, перш ніж погоджуватися.

• Перевірте, чи підпадає ваша організація під дію Закону, наприклад, як постачальник цифрових або ІТ-послуг.
• Перевірте, чи є досяжним термін повідомлення про інцидент, який вам пропонують прийняти, враховуючи власний 24-годинний термін вашого клієнта.
• Узгодьте обсяг та вартість аудиту та прав клієнта на інформацію.
• Перевірте положення про відповідальність та розірвання договору, що додаються до вимог безпеки.
• Перевірте, які зобов'язання ви повинні передати своїм субпідрядникам.

Що ми можемо зробити для вас з NIS2 та Законом про кібербезпеку?

Наша команда ІТ-юристів допомагає організаціям з визначенням обсягу робіт та їхнім постачальникам, від оцінки обсягу робіт до нагляду.

• Ми встановлюємо, чи є ваша організація важливою або суттєвою, зокрема в групових структурах.
• Ми розробляємо рішення правління, політики безпеки та процедуру звітності про інциденти.
• Ми розробляємо та переглядаємо положення NIS2 у договорах з постачальниками та клієнтами.
• Ми консультуємо директорів щодо їхніх обов'язків та відповідальності згідно з голландським законодавством про компанії.
• Ми допомагаємо під час розслідування, яке проводить RDI або ваш керівник сектору, та складаємо заперечення (bezwaar) проти рішення про штраф.

Резюме

• Закон про кібербезпеку, нідерландська реалізація NIS2, застосовується з 15 серпня 2026 року до понад 8,000 організацій у вісімнадцяти секторах.
• Ваша організація, як правило, охоплюється страховкою, якщо в ній працює щонайменше 50 співробітників, або якщо обіг та загальний баланс перевищують 10 мільйонів євро; деякі постачальники охоплюються страховкою незалежно від розміру.
• Основні зобов'язання – це обов'язок піклуватися, повідомляти про значні інциденти (24 години, 72 години, один місяць) та реєструватися в NCSC.
• Керівний орган затверджує та контролює заходи, проводить навчання та може нести відповідальність; безпека ланцюга поставок значною мірою здійснюється через контракти.
• Штрафи можуть сягати 10 мільйонів євро або 2% від світового обороту для важливих організацій та 7 мільйонів євро або 1.4% для важливих організацій.

Часті питання