Jūsų NIS2 atitikties byla
per 5 dienas

Daugiafaktorė autentifikacija (MFA)

« Kurioms paslaugoms taikote MFA? Paštui, VPN, RDP, tinklo ir debesies administravimui, privilegijuotoms paskyroms. »

El. pašto saugumas

« Kokias kontrolės priemones naudojate nuo el. laiškų klastojimo (SPF, DKIM, DMARC)? Ar išjungėte paveldėtus protokolus (IMAP, POP3, nesaugų SMTP)? »

Reagavimo į incidentus planas

« Koks jūsų reagavimo į incidentus planas ir per kiek laiko mums pranešite apie kibernetinio saugumo incidentą? »

Subrangos ir tiekimo grandinė

« Ar naudojatės 4-ojo lygio subrangovais? Ar sutiksite su sutarčių sąlygomis, įpareigojančiomis laikytis NIS2 (kontrolės priemonės, pranešimas apie pažeidimą, audito teisė)? »

Atsarginės kopijos ir tęstinumas

« Ar daromos atsarginės kopijos? Ar vientisumas ir atkūrimo procedūros tikrinamos bent kartą per metus? »

Saugumo valdymas

« Ar jūsų informacijos saugumo politika remiasi pripažintu orientyru (NIST, ISO 27001)? »

Kam taikoma?

Direktyva taikoma „vidutinėms“ arba „didelėms“ įmonėms (pagal Europos teisę), veikiančioms kritiškai svarbiais laikomuose sektoriuose: iš vienos pusės - energetika, transportas, sveikata, bankai, vanduo, skaitmeninė sritis, viešasis administravimas; iš kitos - paštas, atliekos, chemija, maisto pramonė, gamyba, moksliniai tyrimai. Valstybė taip pat gali įtraukti mažesnes struktūras, jei jos atlieka svarbų vaidmenį.

Ko NIS2 iš tikrųjų reikalauja

Paprastai tariant: įdiegti „proporcingas“ saugumo priemones, mokėti nustatyti savo rizikas, apsaugoti duomenis, aptikti ataką, į ją sureaguoti ir po to atkurti veiklą. Be to - patalpų fizinis saugumas, prieigos ir įgaliojimų kontrolė bei paslaugų teikėjų ir tiekėjų saugumo tikrinimas.

Nelaimės atveju - tikslūs terminai

Įvykus „reikšmingam“ incidentui, institucijai reikia pranešti trimis etapais: ankstyvasis perspėjimas per 24 val., išsamesnis pranešimas per 72 val., po to galutinė ataskaita per mėnesį. Paveiktiems klientams taip pat nedelsiant turi būti pranešta apie priemones, kurių jiems reikia imtis.

Sankcijos be dramatizavimo

Baudų viršutinę ribą nustato direktyva: iki 10 mln. € arba 2 % pasaulinės apyvartos (taikoma didesnė suma) „esminiams“ subjektams; iki 7 mln. € arba 1,4 % pasaulinės apyvartos „svarbiesiems“ subjektams. Tai įstatymo nustatytos ribos, o ne automatinė sąskaita, o bauda skiriama tik po taisomųjų priemonių laiptų - išsamiau žr. toliau.

Datos, kurias verta įsiminti

Direktyva galioja nuo 2023 m. sausio 16 d. Kiekviena valstybė narė savo pareigas į nacionalinę teisę turėjo perkelti ne vėliau kaip 2024 m. spalio 17 d., kad taikymas faktiškai prasidėtų nuo 2024 m. spalio 18 d. - dienos, kai buvęs NIS1 aktas buvo panaikintas.

Prancūzijoje: kas vadovauja šiam klausimui

ANSSI yra paskirta institucija, padedanti siekti NIS2 atitikties. Ji paskelbė „Référentiel Cyber France“ (ReCyF, prieinamas nuo 2026 m. kovo 17 d.) ir siūlo platformą „MonEspaceNIS2“ bei „ClubSSI“, padedančius įmonėms susivokti.

Kas jau vyksta pas kaimynus

Vokietijoje BSI institucija nurodo, kad įstatymo nustatytas susijusių įmonių registracijos terminas jau praėjo: tos, kurios dar to nepadarė, turi tai padaryti nedelsdamos. Konkretus ženklas, kad Europos judėjimas jau prasidėjo, toli už teisės aktų ribų.

Svarstomas supaprastinimas

2026 m. Europos Komisija pateikė pasiūlymą („omnibuso paketą“) NIS2 atitikčiai palengvinti, ypač mažiausioms struktūroms: šis palengvinimas paliestų maždaug 28 700 įmonių, iš jų 6 200 labai mažų ir mažų įmonių.

Privati klinika arba tyrimų laboratorija

Patenka į I priedo sektorių „Sveikata“, jei tai Europos teisės prasme sveikatos priežiūros įstaiga ir ji viršija vidutinio dydžio ribą.

Automobilių pramonės subrangovas arba mašinų gamintojas

Patenka į II priedo sektorių „Gamybos pramonė“ (transporto priemonės, elektros įranga, mašinos, elektronika), viršijus dydžio ribą.

Debesijos paslaugų teikėjas arba valdomųjų paslaugų bendrovė (MSP/MSSP)

Priklauso I priedo „Skaitmeninei infrastruktūrai“ arba „IRT paslaugų valdymui“: taikoma nuo vidutinio dydžio (svarbus subjektas), esminis subjektas - jei didelė. Vienintelė dydžio išimtis: jei ji kartu yra kvalifikuotas patikos paslaugų teikėjas, domenų vardų registras ar DNS paslaugų teikėjas.

Savivaldybė arba regioninė viešoji įstaiga

Patenka į I priedo sektorių „Viešasis administravimas“, jei valstybė narė ją paskiria, ypač kai jos paslaugų sustojimas turėtų reikšmingą poveikį kritiškai svarbiai visuomeninei ar ekonominei veiklai.

Maisto perdirbėjas arba urmininkas

Priklauso II priedo „Maisto produktų gamybai, perdirbimui ir platinimui“, jei užsiima urmo veikla arba pramonine gamyba / perdirbimu.

Įmonė „už 18 sektorių ribų“, bet susijusio subjekto tiekėja

Tiesiogiai į NIS2 apimtį nepatenka, bet gali būti į ją pastumta sutartimi: žr. šio puslapio skyrių „Grandininis poveikis“ aukščiau.

K. Kas yra NIS2 direktyva vienu sakiniu?

Tai Europos aktas, kuris nuo 2024 m. spalio 18 d. pakeitė ankstesnį 2016 m. kibernetinio saugumo įstatymą: Europos Komisija jį apibūdina kaip aktą, kuris „didina bendrą ES kibernetinio saugumo ambicijų lygį, platesne taikymo sritimi, aiškesnėmis taisyklėmis ir sustiprintomis priežiūros priemonėmis“.

K. Esu MVĮ - ar man tikrai taikomos dydžio ribos?

Tekstas visų pirma taikomas Europos prasme „vidutinėms“ ar „didelėms“ įmonėms - tiksliam teisiniam kriterijui, kuris remiasi Rekomendacija 2003/361/EB (praktiškai: nuo 50 darbuotojų arba kartu daugiau nei 10 mln. EUR apyvarta ir balansas), veikiančioms viename iš 18 išvardytų sektorių. Žemiau jūsų iš principo tiesiogiai netaikoma, nebent jūsų valstybė įtraukia mažesnes struktūras, laikomas esminėmis, arba jei tiekiate esminį subjektą (grandininis poveikis, žr. aukščiau šiame puslapyje).

K. Ar kaip vadovas galiu būti asmeniškai atsakingas?

Taip, ir tai mažiausiai žinomas teksto punktas: oficiali direktyvos teisinė santrauka nurodo, kad valdymo organas turi patvirtinti rizikos valdymo priemones ir prižiūrėti jų įgyvendinimą, ir kad jis gali būti laikomas atsakingu už pažeidimą. Kibernetinis saugumas todėl nėra vien informatikos klausimas: tai valdysenos klausimas, siekiantis iki vadovo.

K. Kaip konkrečiai sužinoti, ar mano įmonė turi registruotis?

Kiekviena valstybė narė turi nuolat atnaujinti oficialų esminių ir svarbių subjektų sąrašą, peržiūrimą kas dvejus metus (pirmasis Europos terminas: 2025 m. balandžio 17 d.). Prancūzijoje ANSSI siūlo nemokamą internetinį savęs įvertinimo įrankį „MonEspaceNIS2“, kuris tiesiogiai atsako į klausimą „ar tai taikoma man?“.

K. Ar Prancūzija vėluoja? Ką tai man keičia šiandien?

Taip: Prancūzijos perkėlimo įstatymas vis dar nepaskelbtas, gerokai po Europos termino. 2026 m. liepos mėn. Europos Komisija net perdavė Prancūziją ES Teisingumo Teismui dėl to, kad ji nepranešė apie perkėlimo priemones (žr. išsamų kalendorių aukščiau). Konkrečiai: jokia „Prancūzijos NIS2“ sankcija dar neįmanoma, kol neišleistas dekretas, bet kai jis bus paskelbtas, jau pasiruošusioms įmonėms nieko nereikės gaudyti.

K. Kas iš tikrųjų pasikeitė, palyginti su ankstesniu NIS1 aktu?

NIS1 (2016) apsiribojo energetika, transportu, sveikata, finansais, vandeniu ir skaitmenine sritimi. NIS2 labai išplečia šią apimtį: dabar pridedami plačiajai visuomenei skirti elektroniniai ryšiai, socialiniai tinklai ir skaitmeninės platformos, atliekų tvarkymas, kritinių produktų gamyba, pašto paslaugos ir viešasis administravimas. Daug iki šiol į akiratį nepatekusių įmonių dabar patenka į taikymo sritį.

K. Ar numatytas palengvinimas mažoms struktūroms?

Taip, svarstoma: Europos Komisija 2026 m. pateikė supaprastinimo paketą, kad sumažintų su NIS2 susijusią administracinę naštą, ypač mažiausiems subjektams. Šis palengvinimas paliestų maždaug 28 700 įmonių, iš jų 6 200 labai mažų ir mažų įmonių. Tekstas dar nėra galutinai priimtas: verta stebėti, bet ruoštis reikia nelaukiant.

Didžiausia administracinė bauda: ne mažiau kaip 10 000 000 EUR ARBA ne mažiau kaip 2 % ankstesnių finansinių metų pasaulinės apyvartos - taikoma didesnė iš dviejų sumų.

Didžiausia administracinė bauda: ne mažiau kaip 7 000 000 EUR ARBA ne mažiau kaip 1,4 % ankstesnių finansinių metų pasaulinės apyvartos - ta pati logika, pasirenkama didesnė suma.

Kas baudžia?

Kiekviena valstybė narė paskiria vieną ar kelias „kompetentingas institucijas“, atsakingas už direktyvos priežiūrą ir vykdymą. Prancūzijoje šis vaidmuo patikėtas ANSSI.

Kraštutinė priemonė - tik esminiams

Jei ankstesnės priemonės nepadeda, institucija gali prašyti teismo laikinai sustabdyti sertifikavimą ar leidimą, ar net laikinai nušalinti vadovą (generalinį direktorių arba teisinį atstovą) nuo pareigų iki atitikties užtikrinimo. Ši kraštutinė eskalacija taikoma TIK esminiams subjektams, ne svarbiesiems.

Suma nėra automatinė

Įstatymas reikalauja kiekvienu atveju atsižvelgti į: pažeidimo sunkumą ir trukmę, pakartotinumą, padarytą žalą, tyčią ar neatsargumą, priemones žalai sumažinti, elgesio kodeksų ar sertifikatų laikymąsi, bendradarbiavimo su institucija lygį. Dvi įmonės toje pačioje situacijoje automatiškai negauna tos pačios baudos.

Vadovai - asmeniškai atsakingi

Tekste aiškiai numatyta, kad subjektui vadovaujantys fiziniai asmenys (generalinis direktorius, teisinis atstovas) gali būti laikomi atsakingais už pareigų užtikrinti atitiktį pažeidimą - tiek esminių, tiek svarbiųjų subjektų atveju.

O jei tai kartu ir duomenų nutekėjimas?

Jei incidentas kartu yra ir asmens duomenų pažeidimas, NIS2 institucija privalo nedelsdama apie tai informuoti kompetentingą BDAR instituciją (Prancūzijoje - CNIL). Abu režimai koordinuojami - tai nėra automatinis sankcijų kaupimas, o abipusis institucijų informavimas.

Skaičiais pagrįsti pavyzdžiai? Dar ne, sąžiningai

Šios stebėsenos metu oficialiame šaltinyje nerasta jokio viešai paskelbto NIS2 sankcijos sprendimo. Sistema priklauso nuo kiekvienos valstybės narės perkėlimo įstatymo, kuris baigiamas rengti. Ženklas, kad judėjimas prasidėjo: Vokietijoje BSI institucija nurodo, kad įstatymo nustatytas susijusių subjektų registracijos terminas jau praėjo.