NIS2 у Болгарії – що має знати кожен бізнес

Що таке NIS2

NIS2 (Directive (EU) 2022/2555) – це європейська директива щодо безпеки мереж та інформаційних систем, тобто оновлена європейська директива щодо мережевої та інформаційної безпеки. Вона замінює першу директиву NIS 2016 року (Directive 2016/1148), яка вже не відповідала зростаючим кіберзагрозам в ЄС.

Основні відмінності порівняно з NIS1:

• Розширена сфера дії – із 7 до 18 секторів, що охоплюють значно більшу частину економіки
• Гармонізовані санкції – мінімальні пороги штрафів, подібні до моделі GDPR
• Особиста відповідальність – керівники особисто відповідають за недотримання вимог
• Розмежування essential/important – два типи суб'єктів з різним режимом нагляду
• Суворіші вимоги до звітування – триетапна процедура у разі інцидентів
• Безпека ланцюга постачання – чіткий обов'язок оцінювати постачальників

Транспонування в Болгарії

Транспонування NIS2 в Болгарії суттєво запізнилося. Ось хронологія:

• 16 січня 2023 р. – NIS2 набуває чинності на рівні ЄС
• 17 жовтня 2024 р. – кінцевий строк транспонування. Болгарія пропускає строк
• Листопад 2024 р. – Європейська комісія розпочинає процедуру щодо порушення проти Болгарії та ще 22 держав-членів
• Травень 2025 р. – ЄК надсилає обґрунтований висновок, що є останнім кроком перед поданням позову до Суду ЄС
• 17 лютого 2026 р. – Народні збори ухвалюють зміни до Закону про кібербезпеку, якими транспонують NIS2

За оцінками Міністерства електронного врядування (МЕУ), від 10 000 до 12 000 організацій у Болгарії підпадають під дію NIS2 – значно більше, ніж близько сотні операторів суттєвих послуг за старою NIS1.

Які компанії підпадають під дію директиви

NIS2 поділяє суб'єктів на дві категорії: суттєві (essential, Додаток I) і важливі (important, Додаток II). Різниця полягає в рівні нагляду та розмірі штрафів.

Поріг за розміром підприємства

За загальним правилом NIS2 охоплює середні та великі підприємства:

• 50+ працівників, або
• річний оборот €10M+

Виняток: для деяких критичних секторів (DNS, TLD, хмарні послуги, центри обробки даних, постачальники довірчих послуг) розмір не має значення – вони підпадають під дію незалежно від кількості працівників.

18 секторів

10 обов'язкових заходів за ст. 21

Стаття 21 NIS2 (транспонована в Закон про кібербезпеку) визначає 10 обов'язкових заходів з управління ризиками кібербезпеки, які має впровадити кожна організація, що підпадає під дію директиви:

1. Політики аналізу ризиків і безпеки інформаційних систем

   Організації мають розробити та підтримувати в актуальному стані політики оцінки ризиків, що ґрунтуються на систематичному аналізі загроз для інформаційних систем. Це включає методологію оцінки ризиків, реєстр ризиків і план обробки ризиків.

   ст. 21(2)(а) NIS2

2. Управління інцидентами

   Процедури запобігання, виявлення, аналізу та реагування на інциденти, пов'язані з кібербезпекою. Включає план реагування на інциденти, команду реагування, процедури ескалації та документування.

   ст. 21(2)(б) NIS2

3. Безперервність діяльності та кризове управління

   Плани безперервності бізнесу (BCP), управління резервними копіями, відновлення після аварій (DRP) і кризове управління. Організація повинна мати змогу продовжувати функціонувати під час і після кіберінциденту.

   ст. 21(2)(в) NIS2

4. Безпека ланцюга постачання

   Оцінка ризиків, пов'язаних із постачальниками та субпідрядниками, включно з ризиками, пов'язаними з конкретними ІКТ-продуктами та послугами. Організації мають включати вимоги до кібербезпеки в договори з постачальниками.

   ст. 21(2)(г) NIS2

5. Безпека під час придбання, розробки та підтримки мережевих та інформаційних систем

   Включно з обробкою та розкриттям інформації про вразливості. Організації мають застосовувати безпеку за замовчуванням (безпеку на етапі проєктування (security by design)) під час розробки та впровадження систем.

   ст. 21(2)(д) NIS2

6. Політики та процедури оцінювання ефективності заходів з управління ризиками

   Регулярні аудити, тести на проникнення (penetration testing), оцінки вразливостей і внутрішні перевірки ефективності впроваджених заходів кібербезпеки.

   ст. 21(2)(е) NIS2

7. Базові практики кібергігієни та навчання з кібербезпеки

   Програми підвищення обізнаності персоналу, регулярні навчання з розпізнавання фішингу, соціальної інженерії та інших загроз. У Болгарії: обов'язкове навчання керівництва кожні 2 роки.

   ст. 21(2)(ж) NIS2

8. Політики та процедури використання криптографії та шифрування

   Визначення, коли і як використовувати шифрування для захисту даних у стані спокою та під час передавання, управління криптографічними ключами, політики щодо алгоритмів і довжини ключів.

   ст. 21(2)(з) NIS2

9. Безпека людських ресурсів, політики контролю доступу та управління активами

   Контроль доступу на основі принципу мінімальних привілеїв, управління ідентифікаційними даними, інвентаризація активів, політики щодо працівників (прийняття на роботу та звільнення (onboarding/offboarding)) і процедури доступу.

   ст. 21(2)(и) NIS2

10. Багатофакторна автентифікація та захищені комунікації

    Використання багатофакторної автентифікації (MFA) або безперервної автентифікації, захищених голосових, відео- та текстових комунікацій, а також захищених систем зв'язку в надзвичайних ситуаціях.

    ст. 21(2)(й) NIS2

Звітування про інциденти

NIS2 запроваджує триетапну процедуру звітування про значні інциденти:

Коли інцидент є «значним»?

Інцидент вважається значним, якщо:

• Він спричинив або може спричинити серйозне порушення надання послуг чи фінансові втрати для суб'єкта
• Він зачепив або може зачепити інших фізичних чи юридичних осіб, завдавши значної матеріальної або нематеріальної шкоди

Подвійне звітування: NIS2 + GDPR

Коли кіберінцидент зачіпає також персональні дані, організація має звітувати за обома режимами паралельно:

Особиста відповідальність керівництва

Однією з найсуттєвіших змін, які принесла NIS2, є запровадження особистої відповідальності керівництва організацій. Стаття 20 директиви (транспонована в Закон про кібербезпеку) вимагає, щоб:

• Керівництво затверджувало заходи з управління ризиками кібербезпеки за ст. 21
• Керівництво несло особисту відповідальність за невиконання обов'язків
• Керівництво проходило навчання з кібербезпеки – у Болгарії: обов'язково кожні 2 роки (суворіше, ніж передбачає директива)
• Керівництво має забезпечити навчання й для працівників з виявлення ризиків

Штрафи та санкції

NIS2 запроваджує гармонізований режим санкцій у всьому ЄС із мінімальними порогами, визначеними в директиві. Болгарський Закон про кібербезпеку передбачає:

Додаткові механізми санкцій:

• Щоденні санкції – у разі тривалого невиконання штраф може нараховуватися за кожен день, доки порушення не буде усунуто
• Тимчасове зупинення діяльності – для суттєвих суб'єктів наглядовий орган може розпорядитися про тимчасове зупинення або обмеження надання послуг
• Публічне оприлюднення – наглядовий орган може публікувати інформацію про порушників
• Відсторонення керівництва – див. розділ про особисту відповідальність вище

Суворіші вимоги, специфічні для Болгарії

Під час транспонування NIS2 Болгарія запровадила кілька суворіших вимог, ніж передбачено директивою:

1. Розширений харчовий сектор

   Директива охоплює лише підприємства виробництва та оптової дистрибуції харчових продуктів. Болгарський закон розширює сферу дії на всі харчові підприємства (включно з роздрібною торгівлею), що відповідають критерію розміру. Це стосується десятків великих продовольчих мереж і дистриб'юторів.

2. Обов'язкове навчання керівництва кожні 2 роки

   Директива вимагає навчання керівництва, не уточнюючи періодичності. Болгарський закон запроваджує обов'язкове навчання кожні 2 роки з документуванням і сертифікацією. Керівників, які не пройшли навчання, можуть притягнути до особистої відповідальності.

3. 14-денний строк для реєстраційних змін

   У разі зміни обставин (новий керівник, зміна контактних даних, зміна статусу) суб'єкти мають повідомити наглядовий орган протягом 2 тижнів. Директива не встановлює конкретного строку.

4. Технологічні обмеження

   Болгарський закон надає МЕУ право встановлювати технологічні обмеження щодо конкретних ІКТ-продуктів і послуг, які становлять загрозу для національної безпеки. Це може зачепити постачальників з певних держав і вимагати заміни обладнання.

NIS2 vs GDPR – порівняння

Багато організацій уже дотримуються GDPR і запитують, чим відрізняється NIS2. Ось детальне порівняння:

7 кроків для підготовки

Якщо ваша організація підпадає під дію NIS2, рекомендуємо такий план дій:

1. Визначте, чи підпадаєте ви під дію директиви

   Перевірте, чи ваш сектор входить до 18, охоплених NIS2, і чи відповідаєте ви критерію розміру (50+ працівників або оборот €10M+). Визначте, чи ви суттєвий, чи важливий суб'єкт. Не забувайте про болгарське розширення харчового сектору.

2. Проведіть аналіз прогалин

   Оцініть свій поточний рівень відповідності 10 заходам за ст. 21. Виявіть прогалини (gaps) і визначте їхню пріоритетність за рівнем ризику. Якщо ви вже дотримуєтеся GDPR, значна частина організаційних заходів, імовірно, вже є. Проведіть комплексний аудит, який охоплює обидва режими.

3. Забезпечте залученість керівництва

   Поінформуйте раду директорів/керівників про їхню особисту відповідальність за NIS2. Забезпечте бюджет на кібербезпеку. Заплануйте обов'язкове навчання керівництва (у Болгарії – кожні 2 роки). Без залученості «згори» проєкт NIS2 приречений.

4. Розробіть план дій

   На основі аналізу прогалин складіть конкретний план із відповідальними особами, строками та бюджетом. Визначте пріоритети: управління інцидентами та звітування (правило 24 годин), оцінка ризиків, безпека ланцюга постачання. Установіть реалістичні строки – до 1 червня 2026 р. для повної відповідності.

5. Впровадьте технічні заходи

   Багатофакторна автентифікація (MFA) для всіх критичних систем. Шифрування даних у стані спокою та під час передавання. Система управління вразливостями. Плани безперервності та відновлення (BCP/DRP). Сегментація та моніторинг мережі. Проведення тестів на проникнення (penetration testing).

6. Створіть процедуру звітування про інциденти

   Розробіть єдину процедуру, яка охоплює і NIS2 (24 години / 72 години / 1 місяць до CERT), і GDPR (72h до КЗЛД). Визначте команду реагування. Перевірте процедуру на навчальних інцидентах (настільних симуляціях (tabletop exercises)). Забезпечте канал звітування 24/7.

7. Документуйте та підтримуйте

   Відповідність NIS2 – це не одноразовий проєкт. Документуйте всі політики, процедури та навчання. Проводьте регулярні аудити й тести. Оновлюйте оцінку ризиків у разі зміни загроз або бізнес-середовища. Ведіть реєстр інцидентів і вжитих заходів.