NIS2 и Законът за киберсигурността: попада ли моята фирма в обхвата им?
От 15 август 2026 г. в Нидерландия е в сила Законът за киберсигурност (Cyberbeveiligingswet). Може би вече сте чули термина NIS2 от клиент, доставчик или консултант. В тази статия накратко ще прочетете какво представлява законът, кого засяга и какво означава той за малка фирма, която сама не попада в неговия обхват.
Тази статия предоставя общо разяснение и не представлява правен съвет. Актуалните правила са публикувани при NCSC и в текста на закона.
Какво представлява?
NIS2 е европейска директива от 2022 г. (Директива (ЕС) 2022/2555), която цели да направи организациите в ключови сектори по-устойчиви в киберпространството. Всяка държава транспонира директивата в собствен закон. В Нидерландия това е Законът за киберсигурност (Cyberbeveiligingswet, Cbw). Законът е в сила от 15 август 2026 г., без преходен период, и заменя предишния Закон за сигурността на мрежите и информационните системи (Wbni). Според NCSC в неговия обхват попадат над 8000 организации. NCSC е компетентният орган за контакт.
Попада ли моята фирма в обхвата му?
Това зависи от два въпроса: Вашия сектор и Вашия размер.
1. Работите ли в сектор, посочен в закона?
| Приложение 1 | Приложение 2 |
|---|---|
| Енергетика, транспорт, банково дело, инфраструктура на финансовите пазари, здравеопазване, питейна вода, отпадни води, цифрова инфраструктура, управление на ИКТ услуги, държавна администрация, космическо пространство | Пощенски и куриерски услуги, управление на отпадъци, химически вещества, хранителни продукти, производство (преработваща промишленост), доставчици на цифрови услуги, научни изследвания |
За някои сектори важат допълнителни условия. Следователно не всяка фирма, която има нещо общо с хранителни продукти, автоматично попада в обхвата.
2. Достатъчно голяма ли е Вашата фирма? Накратко казано, в обхвата попадат средни и големи организации. Вие се броите, ако:
- имате 50 или повече служители (еквивалент на пълно работно време), или
- имате по-малко от 50 служители, но Вашият годишен оборот и балансовото Ви число надвишават 10 милиона евро.
Партньорските и свързаните предприятия се включват в броенето. Следователно фирма с 20 служители, която е част от група от 200, може все пак да попадне в обхвата.
Изключения, независимо от размера. Няколко вида организации винаги попадат в обхвата, колкото и малки да са. Например доставчици на DNS услуги, регистри на домейни от първо ниво, доставчици на обществени електронни съобщителни мрежи и услуги, доставчици на доверителни услуги и държавни организации. Ако сте определени по Закона за устойчивостта на критичните субекти, Вие попадате и в обхвата на Закона за киберсигурност.
Проверете сами с помощта на самооценката
Държавната инспекция за цифрова инфраструктура (RDI) предлага безплатна самооценка по NIS2. Вие отговаряте на въпроси за Вашия сектор, размер и услуги и получавате резултат. От него става ясно и дали сте съществен или важен субект. Разликата е най-вече в надзора: при съществените субекти надзорният орган може да извършва проверки и по собствена инициатива, докато при важните субекти проверките са предимно впоследствие. Вашата фирма част ли е от група или работите в няколко държави? Тогава ще Ви помогне наръчникът за сложни бизнес модели на NCSC.
Какво трябва да направите, ако попадате в обхвата?
- Регистрация. Регистрирате организацията си чрез MijnNCSC.
- Задължение за полагане на грижа. Изготвяте анализ на риска и предприемате подходящи и пропорционални мерки. NCSC посочва най-малко десет теми, сред които обработка на инциденти, резервни копия и възстановяване, сигурност на веригата на доставки, обучение, актуализации, управление на достъпа, многофакторна автентикация или passkeys, криптиране и тестване дали мерките Ви работят. Ръководството одобрява мерките и упражнява надзор.
- Задължение за уведомяване. Значителен инцидент уведомявате чрез MijnNCSC: в рамките на 24 часа първоначално предупреждение, в рамките на 72 часа уведомление с първоначална оценка на тежестта и въздействието, и в рамките на месец окончателен доклад.
Това уведомление е отделно от задължението за уведомяване при пробив на данни по ОРЗД. То важи за всеки, който обработва лични данни, включително самостоятелно заети лица, и се подава до Органа за защита на личните данни. Следователно атака, при която са откраднати и данни на клиенти, може да се наложи да бъде уведомена и по двата начина.
Не попадате в обхвата? Веригата все пак може да Ви засегне
Повечето малки фирми не попадат в обхвата на закона. Тогава нямате задължение за регистрация, нямате задължение за уведомяване пред NCSC и не подлежите на надзор. Но организациите, които все пак попадат в обхвата, трябва да вземат предвид и рисковете при своите преки доставчици и доставчици на услуги. Според NCSC законът не налага задължения directно на доставчиците, но клиентите могат да поставят изисквания относно тяхната цифрова сигурност. Тези изисквания обикновено се включват в договор или въпросник.
Доставяте ли услуги на по-голяма организация, например като уеб разработчик, ИТ администратор или счетоводна кантора? Тогава може да получите въпроси като: използвате ли двустепенна проверка, кой има достъп до нашите данни, къде се съхраняват резервните копия и колко бързо уведомявате при инцидент?
- Изискванията трябва да бъдат пропорционални на риска, свързан с Вашата услуга. Доставчик с достъп до системите получава по-строги изисквания от пекаря, който доставя обяда.
- Става дума за преки доставчици. Доставчиците на Вашите доставчици не попадат в обхвата.
- Законът не изисква сертификат. Той може да помогне в разговора, но не представлява гаранция.
- Започнете навреме: направете преглед на вече предприетите мерки и документирайте договорeностите с Вашия клиент.