Директи́ва про заходи́́ для висо́кого́ спі́льного рі́вня кібербезпе́ки на всій терито́рії У́нії, скорочено Директива NIS 2, — нормативно-правовий акт Європейської Унії метою якої є посилення рівня кіберстійкості в Унії.
Вона скасовує Директиву (ЄУ) 2016/1148 про мережеву та інформаційну безпеку (Директива NIS)In: Amtsblatt der Europäischen Union. L. Nr. 194, 19. Juli 2016, S. 1. з 18 жовтня 2024 року, яка вже мала на меті забезпечити високий загальний рівень безпеки мережевих та інформаційних систем в Унії.
До Регламенту (ЄС) № 910/2014 (Регламент eIDAS) і Директиви (ЄУ) 2018/1972 (Директива EECC) внесено зміни.
Ґрунт На тлі зростаючої залежності від цифрових технологій пандемія COVID-19 продемонструвала, наскільки чутливими можуть бути цифровізовані суспільства до неочікуваних ризиків. У ході цього Європейська комісія переглянула чинну директиву та визначила такі критичні зауваження:
недостатня кіберстійкість компаній, що працюють в ЄУ, нерівномірна стійкість між державами-членами та секторами, недостатнє спільне розуміння основних загроз та викликів, з якими стикаються держави-члени, відсутність спільного реагування на кризу.
Після кількох раундів голосування остаточна версія Директиви NIS 2 була прийнята Європейською комісією 14 грудня 2022 року.
Зміст Директива вимагає від держав-членів Європейської Унії прийняти національну стратегію кібербезпеки. Крім того, для реагування на ризики та інциденти мають бути призначені національні групи реагування на інциденти комп'ютерної безпеки (CSIRT). Так звана (SPoC) служить для забезпечення транскордонної співпраці між органами влади держав-членів.
Директива NIS 2 встановлює суворіші вимоги до національних органів влади, ніж попередня директива, та стандартизує санкції, доступні в державах-членах. Директива запроваджує суворіші наглядові заходи для національних органів влади, суворіші вимоги до забезпечення дотримання закону та гармонізує режими санкцій у всіх державах-членах.
Імплементація
Австрія В Австрії необхідні національні правила мають бути включені до Закону про безпеку мереж та інформаційних систем (NISG).
Німеччина Директива мала бути транспонована в національне законодавство до 18 жовтня 2024 року. З цією метою Федеральне міністерство внутрішніх справ представило проєкт законопроекту в липні 2023 року.NIS2UmsuCG-Referentenentwurf-BMI-CI1-Bearbeitungsstand-03072023.pdf Після семінару та подальшого проєкту законопроекту остаточний проєкт законопроекту було представлено 7 травня 2024 року. Урядовий проєкт законопроекту було опубліковано 24 липня 2024 року. Згідно з прогнозами, це торкнеться приблизно 30 000 німецьких установ та компаній. Це значно більше, ніж за чинним законодавством.
Німеччина пропустила крайній термін імплементації, який був досягнуто 18 жовтня 2024 року. Через нові вибори до Бундестагу, які відбулися 23 лютого 2025 року, усі проєкти законів та інші пропозиції, які ще не були прийняті попереднім Бундестагом, мають бути повторно подані та обговорені, тому впровадження NIS-2 у Німеччині очікується не раніше другого кварталу 2025 року. Графік правового регулювання імплементаційного закону незрозумілий.
Розширення сфери застосування На відміну від правового регулювання 2016 року (BSI-KritisV), виданого на основі німецького Закону BSI про захист критичної інфраструктури, культура та засоби масової інформації, місцевий громадський транспорт та оптова торгівля медичними товарами не входять до сфери дії директиви NIS 2, але додаються нові сфери, такі як космос, реєстратори доменів верхнього рівня та постачальники довірчих послуг. Збільшення кількості постраждалих установ пов'язане, головним чином, з тим, що порогові значення, відомі з BSI-KritisV, тут більше не застосовуються. Крім того, існує кілька градацій: тепер розрізняють так звані життєво важливі установи та важливі установи, головним чином на основі кількості працівників або плинності кадрів. Як і раніше, також існують критично важливі установи.
Україна
Інституції Впровадження директиви вимагає від відповідних установ реєстрації в Агентство Європейської Унії з питань мережевої та інформаційної безпеки, негайного інформування національного органу з кібербезпеки про значні збої, інциденти та кіберзагрози для їхніх критично важливих послуг, налагодження управління ризиками та впровадження найсучасніших заходів ІТ-безпеки. Можна припустити, що існуючі стандарти, такі як IT-Grundschutz, ISO/IEC 27001 та Каталог критеріїв хмарних обчислень C5, ймовірно, охоплюватимуть лише частину вимог NIS-2, і що для впровадження директиви необхідно вжити подальших .
Посилання
Примітки