NIS2 жана Нидерландиянын киберкоопсуздук жөнүндө мыйзамы: сиздин уюмуңуз эмнени билиши керек

Том Мивис, адвокат Law & More

Киберкоопсуздук мындан ары жөн гана техникалык маселе эмес. Бул ошондой эле ар кандай өлчөмдөгү уюмдарга таасир этүүчү юридикалык жана башкаруу маселеси.

Европалык NIS2 Директивасы жана Нидерландиянын Киберкоопсуздук Мыйзамы менен санариптик туруктуулук үчүн жоопкерчилик башкаруу кеңешине бекем өтөт. Нидерландиянын Киберкоопсуздук Мыйзамы 2026-жылдын 15-августунда күчүнө кирет. Ошондуктан, бизнес ээлери, директорлор жана комплаенс боюнча кызматкерлер кыска мөөнөттө төмөнкүлөрдү белгилеши керек:

• алардын уюму жаңы эрежелердин алкагына киреби;
• алардан келип чыккан милдеттенмелер;
• кандай чаралар талап кылынат;
• жана уюм бул милдеттенмелерди кантип аткара алат.

Бул макалада NIS2 жана Нидерландиянын Киберкоопсуздук Актысынын негизги элементтери баяндалат: колдонуу чөйрөсү, кам көрүү милдети, кабарлоо милдети, башкармалыктын жоопкерчилиги, аткарылышы жана уюмдар азыр жасай ала турган кадамдар.

NIS2 деген эмне?

NIS2 – бул 2022/2555 (ЕБ) Директивасынын расмий аталышы. Ал жалпысынан NIS1 деп аталган биринчи Европалык тармактык жана маалыматтык коопсуздук директивасынын ордун басат.

Мүчө мамлекеттер NIS2ни 2024-жылдын 17-октябрына чейин улуттук мыйзамдарга которууга милдеттүү болушкан. 2024-жылдын 18-октябрынан тартып NIS2 мурунку директиваны расмий түрдө алмаштырган.

Анын максаты - Европа Биримдигиндеги кибер туруктуулуктун деңгээлин жогорулатуу жана жакшыраак шайкеш келтирүү. Бул эки негизги багыт боюнча жүрөт. Биринчиден, кеңири чөйрө: NIS1ге караганда көптөгөн уюмдар эрежелерге кирет. Экинчиден, көзөмөлдү күчөтүү жана катуураак аткаруу, кеңири куралдар топтому жана директорлор үчүн так жоопкерчиликтер менен.

NIS1 маанилүү кызмат көрсөтүүчү операторлорду жана санариптик кызмат көрсөтүүчүлөрдү айырмаласа, NIS2 маанилүү жана маанилүү субъекттер менен иштейт. Бул айырмачылык жөн гана терминологиялык эмес: башка нерселер менен катар ал көзөмөлдүн интенсивдүүлүгүн жана потенциалдуу айып пулдардын деңгээлин аныктайт.

NIS2ге кайсы уюмдар кирет?

NIS2 жогорку маанилүү жана башка маанилүү тармактарга бөлүнгөн он сегиз белгиленген сектордо иштеген уюмдарга тиешелүү.

Жогорку деңгээлдеги тармактарга энергетика, транспорт, банк иши, каржы рыногунун инфраструктурасы, саламаттыкты сактоо, ичүүчү суу жана агынды суулар, санариптик инфраструктура, бизнес колдонуучулары үчүн МКТ кызматтарын башкаруу, мамлекеттик башкаруу жана мейкиндик кирет.

Башка маанилүү тармактарга почта жана курьердик кызматтар, калдыктарды башкаруу, химиялык заттар, тамак-аш, өндүрүш, санариптик провайдерлер жана изилдөө институттары кирет.

Өлчөмдүн босогосу

Бул тармактардын ичиндеги негизги эреже - уюм NIS2ге кирет, эгерде ал орто же ири ишкана катары квалификацияланса. Критерийлер - кеминде 50 кызматкер же жылдык жүгүртүү же баланстын жалпы суммасы 10 миллион евродон ашышы.

Бул негизги эрежеден четтөөлөр бар. Айрым уюмдар көлөмүнө карабастан, алардын кызмат көрсөтүүлөрү өзгөчө маанилүү деп эсептелгендиктен, алардын иш-аракеттеринин алкагында болот:

• коомдук электрондук байланыш тармактарын жана кызматтарын көрсөтүүчүлөр;
• ишенимдүү кызмат көрсөтүүчүлөр;
• домендик аталыштарды каттоо кызматын көрсөтүүчүлөр;
• жогорку деңгээлдеги домендик аталыштардын реестрлери;
• мамлекеттик сектордун органдары.

2026-жылдын 15-августунан тартып жаңы милдеттенмелер Нидерландиядагы 8,000ден ашык уюмга тиешелүү. Бул учурдагы Тармактык жана маалыматтык системалардын коопсуздугу жөнүндө мыйзамда камтылган санга салыштырмалуу бир топ көп.

Ошондуктан, мурда өздөрүн маанилүү тармактын бир бөлүгү катары көрбөгөн уюмдар, анын ичинде орто өлчөмдөгү өндүрүүчүлөр, тамак-аш өндүрүүчүлөр, изилдөө институттары жана санариптик кызмат көрсөтүүчүлөр, жабыркашы мүмкүн. Эң негизгиси, уюмдар өздөрүнүн иш-аракеттеринин алкагында экендигин баалоо үчүн өздөрү жооптуу. Жетекчиден бул тууралуу эч кандай кат келбейт.

Камкордук милдети: кандай чаралар көрүлүшү керек?

NIS2 жана Нидерландиянын Киберкоопсуздук Мыйзамынын өзөгү - камкордук милдети. Маанилүү жана маанилүү субъекттер өздөрүнүн тармактык жана маалымат системаларына келтирилген тобокелдиктерди башкаруу үчүн тиешелүү жана пропорционалдуу техникалык, операциялык жана уюштуруу чараларын көрүшү керек.

Эрежелер саясат кандай болгон күндө да төмөнкү темаларды камтышы керектигин аныктайт:

• тобокелдиктерди талдоо жана маалыматтык коопсуздук саясаты;
• окуяларды башкаруу;
• бизнестин үзгүлтүксүздүгү, камдык көчүрмөнү башкаруу жана кырсыктан кийин калыбына келтирүү;
• жеткирүү чынжырынын коопсуздугу;
• кибергигиена жана кызматкерлерди окутуу;
• аялуу жактарын башкаруу саясаты;
• көп факторлуу аутентификация;
• коопсуз байланыш;
• криптография;
• чаралардын натыйжалуулугун мезгил-мезгили менен баалоо.

Чаралар уюмдун көлөмүнө жана ал чындыгында дуушар болгон тобокелдиктерге пропорционалдуу болушу керек. Ошондуктан, анча маанилүү эмес субъект жогорку тобокелдиктеги сектордогу ири маанилүү субъект сыяктуу эле чараларды көрүшү керек эмес.

Бул кам көрүү милдетин милдеттүү эмес кылбайт. Уюмдар кайсы тобокелдиктерди аныктаганын, кандай чараларды көргөнүн жана ал чаралар эмне үчүн ылайыктуу экенин далилдей алышы керек. Көзөмөлгө чаралардын өздөрү гана эмес, алардын таразаланышы, жазылышы жана мезгил-мезгили менен бааланышы да алынат.

Окуядан кийин кабарлоо милдети

Кам көрүү милдети менен катар, NIS2 олуттуу окуялар үчүн этап-этабы менен билдирүү милдетин киргизет. Эгерде окуя кызмат көрсөтүүлөрдүн үзгүлтүксүздүгүнө олуттуу таасир этсе же тийгизиши мүмкүн болсо, жалпысынан төмөнкү мөөнөттөр колдонулат:

• 24 сааттын ичинде улуттук компьютердик коопсуздук инциденттерине жооп кайтаруу тобуна же компетенттүү органга эрте эскертүү берүү;
• 72 сааттын ичинде, оордугун жана таасирин алгачкы баалоо менен расмий билдирүү;
• бир айдын ичинде окуяны, анын болжолдуу негизги себебин, көрүлгөн чараларын жана чек ара аркылуу тийгизген ар кандай кесепеттерин баяндаган акыркы отчет.

Бул мөөнөттөр алдын ала так жол-жоболорду белгилөөнү зарыл кылат. Уюм окуя качан кабарланышы керектигин, кимге кабарлоого уруксат берилгенин, кандай маалымат жеткиликтүү болушу керектигин, ким координациялай турганын жана кеңеш менен жетекчиге кантип кабарланарын билиши керек.

Окуя учурунда гана кабарлоо процессин орнотууга аракет кылган уюм өз убагында же толук көлөмдө кабарлай албай калуу коркунучуна дуушар болот.

Директорлор кеңешинин жоопкерчилиги

NIS2нин маанилүү элементи - кибертобокелдиктерди башкаруу жоопкерчилиги түздөн-түз башкаруу кеңешине жүктөлөт. Кеңеш коопсуздук чараларын бекитип, алардын ишке ашырылышын көзөмөлдөп, уюмдун кибертобокелдиктерин баалай алышы жана өзү жетиштүү окутуудан өтүшү керек.

Ошондуктан, киберкоопсуздукту мындан ары IT бөлүмүнүн гана милдети катары кароого болбойт. Бул үзгүлтүксүз чечимдерди кабыл алуунун жана тобокелдиктерди башкаруунун бир бөлүгү болушу керек болгон башкаруу темасы.

Директивада ошондой эле уюм талаптарды аткарбаган учурда жогорку жетекчиликтин жеке жоопкерчилиги ачык каралган. Кеңештин катышуусун тиешелүү түрдө жазып алыңыз, мисалы, өткөрүлгөн окутууларды, кеңештин чечимдерин, бекитилген саясатты, тобокелдиктерди баалоону, отчеттуулукту жана ишке ашырууну көзөмөлдөөнү документтештирүү аркылуу.

Голландиялык ишке ашыруу

NIS2нин Нидерландияда ишке ашырылышы бир топ кечиктирилди. 2024-жылдын 17-октябрындагы транспозициянын мөөнөтү аткарылган жок.

2026-жылдын 8-июлунда Европа Комиссиясы Нидерландияны, Ирландияны, Испанияны жана Францияны транспозициялоо чараларын билдирбегендиги үчүн Европа Биримдигинин Сотуна жөнөтүүнү чечти. Ошентип, Нидерландия Европа Биримдигинин артта калган төрт өлкөсүнүн катарына кирди.

Убакыт таң калыштуу. Бир күн мурун, 2026-жылдын 7-июлунда, Сенат Киберкоопсуздук жөнүндө мыйзамды жана Маанилүү субъекттердин туруктуулугу жөнүндө мыйзамды бекиткен. Мыйзамдын жолдомо жөнөтүлө электе кабыл алынгандыгы сот ишинин жыйынтыгына таасир этеби же жокпу, азырынча белгисиз; бул Соттун чечими.

Эки Мыйзам тең 2026-жылдын 15-августунда күчүнө кирет. Киберкоопсуздук жөнүндө мыйзам NIS2 Директивасын ишке ашырат; Критикалык субъекттердин туруктуулугу жөнүндө мыйзам критикалык инфраструктуранын туруктуулугуна багытталган Европалык CER Директивасын ишке ашырат. Акыркысы менен камтылган уюмдар расмий түрдө 2026-жылдын 15-августунан тартып критикалык субъекттер катары белгиленет.

Күчүнө киргенден кийин, учурдагы Тармактык жана маалыматтык системалардын коопсуздугу жөнүндө мыйзам (Wbni) күчүн жоготот. Ага буга чейин кирген уюмдар үчүн бул оор милдеттенмелерди билдирет; биринчи жолу анын алкагында иштеп жаткан уюмдар үчүн таптакыр жаңы режим.

NCSCде каттоодон өтүү

Маанилүү жаңы милдеттенме - Улуттук киберкоопсуздук борборунда каттоодон өтүү. Маанилүү жана маанилүү субъекттер улуттук субъекттердин реестрине киргизилиши керек. Бул каттоо 2026-жылдын 15-августунан тартып милдеттүү болуп саналат жана MijnNCSC порталы аркылуу жүргүзүлөт, ал жерде катардагы уюмдар үчүн eHerkenning жана мамлекеттик сектордогу органдар үчүн SSOnRijk колдонулат. Катталган маалыматтарга киргизилген өзгөртүүлөр он төрт күндүн ичинде билдирилиши керек.

Каттоо жөн гана административдик формалдуулук эмес. Катталгандан кийин, уюмдар өздөрүнүн CSIRT кызматтарына туташа алышат, ал туруктуулукту жогорулатуучу жана окуя болгон учурда колдоо көрсөтүүчү өнүмдөрдү жана кызматтарды көрсөтөт. Каттоону өз убагында даярдаңыз, ошондо ишке ашыруу күчүнө киргенден кийин гана башталбайт.

Көзөмөл жана аткаруу

Киберкоопсуздук жөнүндө мыйзам дифференциацияланган көзөмөл режимин караштырат. Маанилүү субъекттер проактивдүү көзөмөлгө алынат: жетекчи эч кандай конкреттүү окуя же сигналсыз үзгүлтүксүз жана өз демилгеси менен текшере алат. Маанилүү субъекттер реактивдүү көзөмөлгө алынат, мында жетекчи принцип боюнча окуяга, арызга же башка конкреттүү сигналга жооп катары иш-аракет кылат.

Көзөмөл бир нече органдарга бөлүнгөн. 2026-жылдын 15-августунан тартып Нидерландиянын Санариптик инфраструктура боюнча башкармалыгы тогуз тармактагы уюмдарды көзөмөлдөйт; башка тармактар ​​үчүн башка көзөмөлчүлөр дайындалат. Уюмуңуз үчүн кайсы жетекчи компетенттүү экенин аныктаңыз.

Аткаруу куралдарынын топтому кеңири жана төмөнкүлөрдү камтыйт:

• коопсуздукту сканерлөө же коопсуздук аудити;
• милдеттүү көрсөтмө;
• административдик аткаруу жөнүндө буйрук же айып пул төлөө жөнүндө буйрук;
• укук бузуу жөнүндө жарыялоо;
• административдик айып пул салуу;
• маанилүү субъекттер үчүн: сертификацияны, уруксатты же директорлор кеңешинин мүчөсүн токтото туруу.

Маанилүү юридикалык жактар ​​үчүн айып пулдун максималдуу өлчөмү кеминде 10 миллион еврону же жалпы дүйнөлүк жылдык жүгүртүүнүн 2%ын түзөт, кайсынысы жогору болсо. Маанилүү юридикалык жактар ​​үчүн ал кеминде 7 миллион еврону же дүйнөлүк жылдык жүгүртүүнүн 1.4%ын түзөт, кайсынысы жогору болсо. Акыркы деңгээл иштин жагдайларына, анын ичинде укук бузуунун мүнөзүнө, оордугуна жана узактыгына, күнөөнүн даражасына жана көрүлгөн чараларга жараша болот.

Сиздин уюм азыр эмне кыла алат?

• Өзүн-өзү баалоо жүргүзүңүз. Уюм белгиленген сектордо иштеп жатканын жана өлчөмдөгү босогого туура келерин аныктаңыз.
• Туура категорияны аныктаңыз. Уюм маанилүү же маанилүү субъект катары квалификацияланабы жана кайсы жетекчи компетенттүү экенин аныктаңыз.
• Каттоону даярдаңыз. NCSCде каттоо үчүн керектүү маалыматтарды MijnNCSC аркылуу чогултуңуз.
• Камкордук чараларын сынап көрүңүз. Тобокелдиктерди талдоо, окуяларга жооп кайтаруу, бизнестин үзгүлтүксүздүгү, жеткирүү чынжырынын коопсуздугу, кибергигиена, аялуу жактар, көп факторлуу аутентификация жана криптография боюнча учурдагы чараларды баалаңыз.
• Кабарлоо процессин орнотуңуз. Окуя тууралуу кабарлоого болобу же жокпу, ким баалай турганын, ким кабарлай турганын жана 24 сааттык, 72 сааттык жана бир айлык мөөнөттөр кандайча аткарылганын жазып алыңыз.
• Кеңешти көрсөтмөлүү түрдө катыштырыңыз. Кеңеш кандай чечимдерди кабыл алганын, кандай окутуулар өткөрүлгөнүн жана алардын аткарылышын көзөмөлдөө кандайча жүргүзүлгөнүн жазып алыңыз.
• Жеткирүү чынжырын кошуңуз. Авариялык жагдайлардын көпчүлүгү уюмдун өзүндө эмес, жеткирүүчүлөрдө жана кызмат көрсөтүүчүлөрдө пайда болот. Коопсуздук келишимдери, кабарлоо милдеттери жана аудит укуктары боюнча келишимдериңизди карап чыгыңыз.

Аягында

Киберкоопсуздук жөнүндө мыйзам жана Маанилүү субъекттердин туруктуулугу жөнүндө мыйзам киберкоопсуздук боюнча милдеттенмелердин бир кыйла катаалдашуусун билдирет. Кеңири чөйрө, конкреттүү милдеттерди аткаруу чаралары, кыска мөөнөттөр, директорлордун жеке жоопкерчилиги жана олуттуу аткаруу куралдарынын топтому уюмдардын бул теманы четке кагууга мүмкүнчүлүгү жок экенин билдирет. 2026-жылдын 15-августунда күчүнө киргендиктен, даярдык көрүү убактысы аз.

Law & More бизнеске, директорлорго жана комплаенс кызматкерлерине NIS2 жана Нидерландиянын Киберкоопсуздук Мыйзамы боюнча өз позицияларын аныктоого, камкордук чараларын түзүүгө жана сыноого, NCSCде каттоону даярдоого жана киберкоопсуздук саясатын мыйзамдуу түрдө ишке ашырууга көмөктөшөт.

Жаңы эрежелер боюнча уюмуңуздун позициясын баалоону каалайсызбы? Милдеттенмесиз талкуу үчүн биз менен байланышуудан тартынбаңыз.

Көп берилүүчү суроолор

Төмөндө биз бул тема боюнча эң көп берилүүчү суроолорго жооп беребиз.