NIS2 жана Киберкоопсуздук жөнүндө мыйзам: ал сизден эмнени талап кылат?

NIS2 Директивасынын, Киберкоопсуздук жөнүндө мыйзамдын ( Cyberbeveiligingswet , Cbw) Нидерландияда ишке ашырылышы 2026-жылдын 15-августунан бери күчүндө. Ал мурунку Тармак жана маалымат системаларынын коопсуздугу жөнүндө мыйзамдын ( Wet beveiliging netwerk-en informatiesystemen , Wbni) ордуна келет жана энергетика, ичүүчү суу, санариптик инфраструктура, саламаттыкты сактоо, транспорт, мамлекеттик башкаруу, өндүрүш, калдыктар жана почта кызматтары сыяктуу он сегиз тармактагы маанилүү же маанилүү субъекттер катары белгиленген уюмдарга тиешелүү. Ал Нидерландиядагы 8,000ден ашык уюмга жетет.

Аны үч милдеттенме аныктайт. Биринчиси - камкордук милдети ( zorgplicht ): анын алкагындагы субъект өзүнүн тармагына жана маалымат системаларына келтирилген тобокелдиктерди башкаруу жана окуялардын кесепеттерин чектөө үчүн тиешелүү жана пропорционалдуу техникалык, операциялык жана уюштуруу чараларын көрүшү керек. Экинчиси - билдирүү милдети ( meldplicht ): олуттуу окуя жөнүндө компетенттүү компьютердик коопсуздук окуяларына жооп кайтаруу тобуна жана тармактык жетекчиге мыйзамдуу мөөнөттөрдө кабарлоо керек, башында жыйырма төрт сааттын ичинде эрте эскертүү, жетимиш эки сааттын ичинде толук билдирүү жана бир айдын ичинде акыркы отчет. Үчүнчүсү - Улуттук киберкоопсуздук борборунда (NCSC) каттоо ( registratieplicht ).

NIS2ни мурунку киберкоопсуздук жөнгө салууларынан айырмалап турган нерсе - бул жоопкерчиликтин кайда экендиги. Башкаруу органдары тобокелдиктерди башкаруу чараларын бекитип, алардын ишке ашырылышын көзөмөлдөшү керек, алар кемчиликтер үчүн жоопкерчилик тартышы мүмкүн жана алар окутуудан өтүшү керек. Камкордук милдети жеткирүү чынжырына да тиешелүү, демек, ал жеткирүүчүлөр жана кызмат көрсөтүүчүлөр менен түзүлгөн келишимдер аркылуу күчүнө кириши керек.

NIS2 сиздин уюмуңузга тиешелүүбү?

Эгерде сиздин уюмуңуз тизмедеги он сегиз сектордун биринде иштесе жана өлчөмдөгү чекке жетсе же ал көлөмүнө карабастан камтылган категорияга кирсе, NIS2 колдонулат. Киберкоопсуздук жөнүндө мыйзам 2026-жылдын 15-августунан бери колдонулуп келет жана жалпы өткөөл мезгил жок: милдеттенмелер азыр колдонулат.

Нидерландия бул директиваны Европанын мөөнөтүнөн кечирээк ишке ашырды. Көптөгөн эски макалаларда дагы эле "2025-жылга чейинки мөөнөт" деп айтылат. Бул дата мындан ары тиешелүү эмес. Эң негизгиси, Нидерландиянын эрежелери күчүндө жана көзөмөлдөөчүлөр аларды аткара алышат.

Кайсы тармактар ​​жана уюмдар камтылат?

Мыйзам эки тиркемеде көрсөтүлгөн он сегиз тармакты камтыйт. Биринчи тиркемеде энергетика, транспорт, банк иши, каржы рыногунун инфраструктурасы, саламаттыкты сактоо, ичүүчү суу, агынды суулар, санариптик инфраструктура, мамлекеттик башкаруу жана космос сыяктуу өтө маанилүү тармактар ​​камтылган. Экинчи тиркемеде почта жана курьердик кызматтар, калдыктарды башкаруу, химиялык заттар, тамак-аш, өндүрүш, санариптик провайдерлер жана изилдөө сыяктуу башка маанилүү тармактар ​​камтылган.

Бул секторлордун ичинде сиздин камтылаарыңызды өлчөмү аныктайт. NCSCнин маалыматы боюнча, сиздин уюмуңуз төмөнкү критерийлердин жок дегенде бирине жооп берсе, анын алкагында болот:

• Кызматкерлер: ал 50 же андан көп адамды жумуш менен камсыз кылат (толук убакыттагы эквиваленттерде)
• Жүгүртүүлөр жана баланс: ал 50дөн аз адамды жумуш менен камсыз кылат, бирок жылдык жүгүртүүсү да, балансынын жалпы суммасы да 10 миллион евродон ашат
• группа: өнөктөш жана байланышкан ишканалар бул көрсөткүчтөргө эсептелинет, ошондуктан чоң топтун чакан туунду компаниясы дагы эле камтылышы мүмкүн

Айрым уюмдар көлөмүнө карабастан камтылат. Аларга DNS кызмат көрсөтүүчүлөр, коомдук электрондук байланыш тармактарынын же кызматтарынын көрсөтүүчүлөрү, ишеним кызмат көрсөтүүчүлөрү, жогорку деңгээлдеги домендик аталыштардын реестрлери жана мамлекеттик уюмдар кирет.

Мыйзамдын алкагында маанилүү жана маанилүү субъектилерди айырмалайт. Эреже катары, өтө маанилүү тармактардагы ири уюмдар маанилүү субъектилер болуп саналат; башкалары маанилүү субъектилер. Бул айырмачылык көзөмөл жана максималдуу айып пул салуу үчүн маанилүү. Нидерландиянын Санариптик Инфраструктура Башкармалыгы (RDI) сиздин позицияңызды аныктоого жардам берүү үчүн regelhulpenvoorbedrijven.nl сайтында өзүн-өзү баалоо куралын (NIS2-Zelfevaluatie) сунуштайт. Эгерде натыйжа түшүнүксүз болсо, мисалы, топтук түзүлүштөн же аралаш иш-аракеттерден улам, аны баалап, себептерин жазып алыңыз.

Камкордук милдети эмнени талап кылат?

Камкордук милдети тармагыңызга жана маалымат системаларыңызга келтирилген тобокелдиктерди башкаруу үчүн тиешелүү жана пропорционалдуу чараларды талап кылат. "Пропорционалдуу" дегени чаралар сиздин өлчөмүңүзгө, тобокелдикке дуушар болушуңузга жана окуянын коомго жана экономикага тийгизген мүмкүн болгон таасирине дал келиши керек дегенди билдирет.

Директива NIS2 Директивасынын 21(2) беренесинде минималдуу баштапкы чекитти белгилейт. Кыскасы, сиздин чараларыңыз төмөнкүлөрдү камтышы керек:

• Тобокелдиктерди талдооТобокелдиктерди талдоо жана маалымат системаларыңыздын коопсуздугу боюнча саясат
• Инциденттерди башкарууИнциденттерди аныктоо, иштетүү жана алардан кийин калыбына келтирүү жол-жоболору
• Туруктуулукбизнестин үзгүлтүксүздүгү, камдык көчүрмөлөр, калыбына келтирүү жана кризистик башкаруу
• Жеткирүү чынжыры: жеткирүүчүлөр жана кызмат көрсөтүүчүлөр менен болгон мамилелериңиздеги коопсуздук
• Иштеп чыгуу жана тейлөө: системаларды сатып алууда, иштеп чыгууда жана тейлөөдө, анын ичинде алсыздыктарды чечүүдө коопсуздук
• тестирлөөчараларыңыздын натыйжалуулугун баалоо жол-жоболору
• Гигиена жана окутууКызматкерлер үчүн кибергигиенанын жана киберкоопсуздуктун негиздери боюнча окутуу
• Криптография жана мүмкүндүк алуушифрлөөнү колдонуу, адам ресурстарынын коопсуздугу, кирүүнү көзөмөлдөө жана активдерди башкаруу, анын ичинде коопсуз аутентификация

Мыйзам бир гана конкреттүү стандартты белгилебейт. Көптөгөн уюмдар өз чараларын түзүү үчүн маалыматтык коопсуздуктун учурдагы алкагын колдонушат. Жетекчи үчүн маанилүү нерсе, сиз өз чараларыңыз тобокелдиктерди баалоого негизделгенин жана чындыгында иштей турганын көрсөтө аласызбы же жокпу.

Отчет берүү жана аткаруу милдети кандайча иштейт?

Олуттуу окуя үч этап менен кабарланышы керек: 24 сааттын ичинде эрте эскертүү, 72 сааттын ичинде окуя жөнүндө кабарлоо жана бир айдын ичинде акыркы отчет. Сиз компетенттүү компьютердик коопсуздук окуяларына жооп кайтаруу тобуна (CSIRT) жана тармактык жетекчиңизге кабарлайсыз.

24 сааттык эскертүү кыска жана толук болушу шарт эмес. Ал негизинен бир нерсе болуп жатканын жана кара ниеттик же чек ара аркылуу таасир этүү мүмкүн экендигин билдирет. 72 сааттык эскертүү оордуктун жана таасирдин алгачкы баалоосун берет. Акыркы отчетто себеби, көрүлгөн чаралар жана чек ара аркылуу кесепеттер баяндалат.

Көзөмөл тармактар ​​боюнча бөлүнөт. Ишмердүүлүгүңүзгө жараша, сиздин жетекчиңиз, мисалы, Адам айлана-чөйрөсү жана транспорт инспекциясы (ILT), De Nederlandsche Bank (DNB), Нидерландиянын Финансы рыноктору боюнча башкармалыгы (AFM), Саламаттыкты сактоо жана жаштарды коргоо инспекциясы (IGJ), Нидерландиянын Азык-түлүк жана керектөөчү товарлардын коопсуздугу боюнча башкармалыгы (NVWA) же RDI болушу мүмкүн. Көзөмөлдөөчүлөрдүн аткаруу ыйгарым укуктары бар, анын ичинде административдик айып пулдарды салуу.

NIS2 ошондой эле Жалпы маалыматтарды коргоо жобосу (GDPR) менен дал келет. Эгерде окуя жеке маалыматтарга байланыштуу болсо, Нидерландиянын Маалыматтарды коргоо органына ( Autoriteit Persoonsgegevens ) өзүнчө билдирүү талап кылынышы мүмкүн. NIS2 процедураңызды маалыматтарды бузуу жол-жобоңуз менен шайкеш келтириңиз, ошондо бир окуя эки башка, координацияланбаган процесске алып келбейт.

Компаниянын, жетекчиликтин жана кызматкерлердин ишинде кандай өзгөрүүлөр болду?

Эң маанилүү өзгөрүү - киберкоопсуздук мындан ары бир гана IT бөлүмүнүн маселеси эмес. NIS2 жоопкерчиликти башкаруу органына жүктөйт жана кызматкерлер менен жеткирүүчүлөрдү кошо алганда, бүтүндөй уюмдун салым кошуусун күтөт.

NIS2 кызматкерлер үчүн эмнени билдирет?

NIS2 кызматкерлер үчүн түздөн-түз жаңы жеке укуктарды же милдеттенмелерди түзбөйт; милдеттенмелер уюмга жүктөлөт. Бирок, иш жүзүндө жумуш берүүчү камкордук милдетин кызматкерлер үчүн эрежелерге жана окутууга айландырышы керек.

Кибергигиенанын жана киберкоопсуздуктун негизги окутуулары минималдуу чаралардын бир бөлүгү болуп саналат. Бул сиздин кызматкерлериңиз, мисалы, төмөнкүлөрдү аткарышы керек дегенди билдирет:

• билүүФишинг, сырсөздөр жана коопсуз иштөө боюнча тренингдерге катышуу
• Ички отчеттуулук: шектүү окуя же алсыздык жөнүндө кимге жана кантип кабарлай турганын билиңиз, ошондо сиз 24 сааттык мөөнөттү аткара аласыз
• мүмкүндүк алуукоопсуз аутентификацияны колдонуңуз жана алардын иши үчүн керектүү системаларга гана кире аласыз

Бул эрежелерди саясатка же кызматкерлер үчүн колдонмого жазып алыңыз. Эгерде сиз кызматкерлердин системаларын же жүрүм-турумун көзөмөлдөөнүн жаңы эрежелерин киргизсеңиз, купуялуулук эрежелерин жана тиешелүү болгон учурда жумушчу кеңештин ( ondernemingsraad ) ролун текшериңиз.

Башкаруу органы эмне кылышы керек?

Башкаруу органы киберкоопсуздук тобокелдиктерин башкаруу чараларын бекитип, алардын ишке ашырылышын көзөмөлдөшү керек. Анын мүчөлөрү тобокелдиктерди жана чараларды баалоо үчүн жетиштүү билимге ээ болушу үчүн окутуудан өтүшү керек. Эгерде уюм талаптарды аткарбаса, башкаруу органы жоопкерчиликке тартылышы мүмкүн.

Иш жүзүндө, бул директорлор кеңеши мындан ары киберкоопсуздукту жөн гана өткөрүп бере албай турганын билдирет. Директорлор төмөнкүлөрдү аткарышы керек:

• чечүүТобокелдикти баалоону жана чараларды расмий түрдө бекитүү жана ал чечимди каттоо
• кароолчу: чаралардын абалы жана окуялар жөнүндө үзгүлтүксүз отчетторду алып туруу
• үйрөнүү: окутуудан өтүңүз жана ал билимди жаңыртып туруңуз
• БөлүүБюджет, адамдар жана так ролдор жетиштүү экенине ынаныңыз

Директордун зыян үчүн жеке жоопкерчиликке тартылышы Нидерландиянын компаниялар жөнүндөгү мыйзамынын жалпы эрежелерине жана иштин фактыларына жараша болот. Так чечим кабыл алуу жана документтештирүү директорлор кеңеши өз ролун олуттуу кабыл алганын көрсөтүүгө жардам берет.

Айып пулдар жана башка кесепеттер кандай?

Көзөмөлчүлөр маанилүү ишканаларга 10 миллион еврого чейин же дүйнөлүк жылдык жүгүртүүнүн 2% өлчөмүндө, ал эми маанилүү ишканаларга 7 миллион еврого чейин же 1.4% өлчөмүндө, кайсынысы жогору болсо, ошого жараша айып пул сала алышат. Булар максималдуу сумма; чыныгы айып пул бузуунун олуттуулугуна жана жагдайларга жараша болот.

Айып пулдар жалгыз тобокелчилик эмес. Жетекчи сизди аткарууга мажбурлоо үчүн башка мажбурлоо чараларын да колдоно алат. Олуттуу окуя кардарлардын же бизнес өнөктөштөрдүн дооматтарына, жеткирүүчүлөр менен келишимдик кесепеттерге жана беделге зыян келтирүүгө алып келиши мүмкүн. Ошондуктан, жакшы даярдык сизди бир нече жол менен коргойт.

Жеткирүүчүлөр жана келишимдер менен кандай мамиледесиздер?

Камкордук милдети сиздин жеткирүү чынжырыңызга да тиешелүү, андыктан сиз жеткирүүчүлөрүңүздүн жана кызмат көрсөтүүчүлөрүңүздүн киберкоопсуздук тобокелдиктерин да башкарышыңыз керек. Иш жүзүндө бул көбүнчө келишимдер аркылуу жасалат.

Жеткирүүчү менен келишимдерде каралышы керек болгон пункттар төмөнкүлөрдү камтыйт:

• Коопсуздук талаптарысиздин тобокелдикти баалооңузга ылайык, жеткирүүчү көрүшү керек болгон чаралар
• Кырсык жөнүндө билдирүү: жеткирүүчү сизге окуялар жөнүндө кабарлоо үчүн кыска мөөнөт, ошондо сиз өзүңүздүн отчет берүү мөөнөттөрүңүздү аткара аласыз
• Аудит жана маалыматмаалымат суроо жана шайкештикти текшерүү укугуңуз
• Субподряддыксубподрядчиктерди колдонуу жана милдеттенмелерди өткөрүп берүү эрежелери
• Жоопкерчилик жана токтотууЭгерде жеткирүүчү талаптарды аткарбаса, эмне болот жана мамилени кантип токтотсо болот

Эң маанилүү IT жана кызмат көрсөтүүчүлөрүңүз менен болгон учурдагы келишимдерди алгач карап чыгыңыз. Жаңы келишимдерге башынан эле стандарттуу NIS2 жоболору кириши мүмкүн.

Уюм катары эмнени текшеришиңиз керек?

Мыйзам 2026-жылдын 15-августунан бери жалпы өткөөл мезгилсиз колдонулуп келет. Бул текшерүүлөр жетекчи биринчи кезекте карай турган милдеттенмелерди камтыйт.

• RDI өзүн-өзү баалоосу менен сиз маанилүү же маанилүү уюм экениңизди аныктаңыз, топтук компанияларды кошуңуз жана себептерин жазып алыңыз.
• NCSCде катталып, каттоону жаңыртып туруңуз.
• Башкаруу органы тобокелдикти баалоону жана чараларды расмий түрдө бекитип, ал чечимди каттоодон өткөрсүн.
• Башкаруу органы үчүн окутууну жана кызматкерлер үчүн кибергигиенанын негизги окутууларын пландаштырыңыз.
• Окуянын маанилүү экендигин аныктаган жана 24 сааттын, 72 сааттын жана бир айдын ичинде кабарлаган адамдын атын атаңыз.
• NIS2 процедурасын GDPR боюнча Нидерландиянын Маалыматтарды коргоо органына берилүүчү 72 сааттык маалыматтардын бузулушу жөнүндө билдирүү менен шайкеш келтириңиз.

Жеткирүүчү катары эмнени текшеришиңиз керек?

Customers in scope pass their duty of care on to you through contracts. Check what you are asked to sign before you agree.

• Мисалы, санариптик же IT кызмат көрсөтүүчү катары өзүңүздүн уюмуңуз Мыйзам менен камтылганын текшериңиз.
• Кардарыңыздын өзүнүн 24 сааттык мөөнөтүн эске алуу менен, сизден кабыл алуу суралган окуя жөнүндө билдирүүнүн акыркы мөөнөтү аткарыла тургандыгын текшериңиз.
• Кардардын аудит жана маалымат укуктарынын көлөмү жана баасы боюнча макулдашыңыз.
• Коопсуздук талаптарына тиркелген жоопкерчилик жана келишимди токтотуу жоболорун текшериңиз.
• Кайсы милдеттенмелерди өзүңүздүн субподрядчиктериңизге өткөрүп беришиңиз керектигин текшериңиз.

NIS2 жана Киберкоопсуздук Актысы боюнча биз сиз үчүн эмне кыла алабыз?

Биздин IT юристтер тобу уюмдарга жана алардын жеткирүүчүлөрүнө, масштабды баалоодон баштап көзөмөлгө чейин жардам берет.

• Биз сиздин уюмуңуз топтук түзүмдөрдү кошо алганда, маанилүү же маанилүү бирдик экенин аныктайбыз.
• Биз директорлор кеңешинин токтомун, коопсуздук саясатын жана окуя жана отчет берүү жол-жобосун даярдайбыз.
• Биз жеткирүүчүлөрдүн жана кардарлардын келишимдериндеги NIS2 жоболорун иштеп чыгабыз жана карап чыгабыз.
• Биз директорлорго алардын милдеттери жана Нидерландиянын компаниялар мыйзамына ылайык жоопкерчилиги боюнча кеңеш беребиз.
• Биз RDI же сиздин тармактык жетекчиңиз тарабынан жүргүзүлгөн тергөө учурунда жардам беребиз жана айып пул салынган чечимге каршы каршылык билдирүүнү (bezwaar) даярдайбыз.

Жыйынтык

• NIS2нин Нидерландияда ишке ашырылышы болгон Киберкоопсуздук жөнүндө мыйзам 2026-жылдын 15-августунан бери он сегиз тармактагы 8,000ден ашык уюмга тиешелүү.
• Эгерде сиздин уюмуңузда кеминде 50 кызматкер болсо же жүгүртүү жана баланстык көрсөткүчтөрдүн жалпы суммасы 10 миллион евродон ашса, анда ал камсыздандырууга алынат; кээ бир провайдерлер көлөмүнө карабастан камсыздандырууга алынат.
• Негизги милдеттерге камкордук көрсөтүү, олуттуу окуялар жөнүндө кабарлоо (24 саат, 72 саат, бир ай) жана NCSCге каттоодон өтүү кирет.
• Башкаруу органы чараларды бекитет жана көзөмөлдөйт, окутуудан өтөт жана жоопкерчилик тарта алат; жеткирүү чынжырынын коопсуздугу көбүнчө келишимдер аркылуу ишке ашырылат.
• Айып пулдар маанилүү субъекттер үчүн 10 миллион еврого же дүйнөлүк жүгүртүүнүн 2%ына, ал эми маанилүү субъекттер үчүн 7 миллион еврого же 1.4%га жетиши мүмкүн.

Көп берилүүчү суроолор