Директива ЄС з кібербезпеки

Що таке Навчання з кібербезпеки за NIS2

NIS2 (Directive (EU) 2022/2555) робить навчання з кібербезпеки названим технічним та організаційним заходом для ключових і важливих субʼєктів по всьому ЄС. Article 20 покладає персональну відповідальність на членів керівного органу за програму. Санкції сягають €10 млн або 2% глобального обороту для ключових субʼєктів, а національні компетентні органи зараз скоупують свої перші інспекції.

Автор Dmytro Koziatynskyi Перевірено 25 квітня 2026 р.

Стаття 21(2)(g) NIS2 робить навчання з кібербезпеки обовʼязковим технічним та організаційним заходом для ключових і важливих субʼєктів

NIS2 — це Директива Європейського Союзу про мережеві та інформаційні системи 2, формально Directive (EU) 2022/2555. Вона набула чинності 16 січня 2023 року і замінила NIS Directive 2016 року, розширивши покриття приблизно до 160 000 організацій у 18 секторах. Держави-члени мали час до 17 жовтня 2024 року на транспозицію директиви у національне законодавство. Більшість пропустила цей дедлайн. Бельгія опублікувала свій NIS 2-Wet / Loi NIS 2 вчасно і ввела його в дію у жовтні 2024 року. Німеччина досі займається законопроєктом NIS2UmsuCG. Нідерланди продовжують просувати чернетку Cyberbeveiligingswet. Франція видала настанови ANSSI до формальної транспозиції. Італія, Іспанія та Ірландія перебувають на різних стадіях декрету, real decreto чи general scheme. Операційний дедлайн у будь-якій країні — це та дата, яку встановлює національний закон про транспозицію, але обовʼязки за директивою застосовуються до субʼєктів у сфері дії незалежно від національних затримок.

Article 21(2)(g) прямо називає навчання з кібербезпеки. Стаття вимагає від субʼєктів запровадити «basic cyber hygiene practices and cybersecurity training» як один із десяти мінімальних заходів управління ризиками. Формулювання коротке, але практичний ефект великий. Кожен ключовий і важливий субʼєкт має запровадити названу програму навчання, документувати, хто її пройшов, оновлювати її з регулярною каденцією і подавати записи, коли національний компетентний орган проводить аудит. Директива не приписує навчальної програми, тож тягар демонстрації пропорційності навчання до ризику і розміру субʼєкта лежить на самому субʼєкті.

Article 20 підвищує ставки. Стаття вимагає, щоб керівний орган кожного ключового і важливого субʼєкта схвалював заходи управління кіберризиками, наглядав за їх впровадженням і проходив спеціальне навчання, щоб мати достатньо знань для ідентифікації ризиків та оцінки практик. Далі директива робить членів керівного органу персонально відповідальними за порушення обовʼязку з управління ризиками. Національні компетентні органи можуть публічно розкривати порушення, призупиняти сертифікації і тимчасово забороняти названим особам виконувати управлінські функції. Навчання, яке зупиняється на загальному персоналі, не відповідає Article 20. Навчання, яке ігнорує членів керівного органу, не відповідає Article 20.

Режим санкцій розділений за рівнем субʼєкта. Ключові субʼєкти (енергетика, транспорт, банківська справа, інфраструктура фінансового ринку, охорона здоровʼя, питна вода, стічні води, цифрова інфраструктура, включно з DNS, реєстри TLD, хмара, дата-центри, ICT-managed services, державне управління, космос) стикаються з адміністративними штрафами до €10 млн або 2% глобального річного обороту, залежно від того, що вище. Важливі субʼєкти (поштові та курʼєрські, управління відходами, хімія, харчова промисловість, виробництво медичних виробів, компʼютерів, електроніки, машинобудування, автомобілебудування, транспортне обладнання, цифрові провайдери, включно з онлайн-маркетплейсами, пошуковими системами, соціальними мережами, дослідженнями) стикаються з санкціями до €7 млн або 1,4% глобального річного обороту. Формулювання «cyber hygiene» у Article 21(2)(g) — це стаття, яку аудитори цитують першою, коли семплують програму навчання.

Як NIS2 регулює навчання з кібербезпеки і кібер-гігієну

Етап 1: Визначення сфери дії (ключовий vs важливий субʼєкт)

Субʼєкт спершу перевіряє, чи він взагалі підпадає під NIS2. Покриття охоплює 18 секторів, розділених на Annex I (ключові) і Annex II (важливі), з пороговими значеннями розміру на основі EU Commission Recommendation 2003/361/EC. Загалом середні і великі підприємства (50+ працівників, €10 млн+ обороту або балансу €43 млн+ для важливих; 250+ працівників, €50 млн+ обороту для ключових) перебувають у сфері дії. Секторно-специфічні винятки захоплюють деяких менших субʼєктів незалежно від розміру, включно з провайдерами довірчих послуг, реєстрами доменних імен верхнього рівня, провайдерами DNS-послуг та провайдерами публічних електронних комунікаційних мереж. Не-EU субʼєкти, що пропонують послуги в ЄС за Article 26, потрапляють у сферу дії і мають призначити EU-представника.

Етап 2: Управління за Article 20 і навчання керівного органу

Article 20 покладає схвалення і нагляд за заходами управління кіберризиками на сам керівний орган. Та сама стаття вимагає, щоб кожен член керівного органу проходив навчання, яке дає йому достатньо знань для ідентифікації ризиків та оцінки практик. Далі директива накладає персональну відповідальність за порушення, включно з опцією для національних компетентних органів тимчасово заборонити названій особі виконувати управлінські функції. Інструктажу лише для ради вже недостатньо. Керівний орган потребує задокументованого, рольового треку, що адресує управлінські обовʼязки, ризикову позицію субʼєкта та наслідки невідповідності.

Етап 3: Програма практик кібер-гігієни і навчання з кібербезпеки за Article 21(2)(g)

Article 21(2)(g) вимагає базових практик кібер-гігієни і навчання з кібербезпеки по всій робочій силі. Найбільш захищена інтерпретація поєднує рольові сценарні вправи (фішинг, вішинг, business email compromise, deepfake, OAuth consent abuse, безпека мобільних пристроїв) з модулями політичної грамотності (гігієна паролів і облікових даних, шифрування і дисципліна блокування, інцидент-репортинг, прийнятне використання). Формулювання cyber hygiene узгоджується з настановами ENISA з заходів управління ризиками. Аудитори шукають доказ, що програма пропорційна ризику, оновлюється з регулярною каденцією (щорічна — це підлога, щомісячна каденція з рольовим контентом — практичний бенчмарк), і що записи про проходження переживають семпльований аудит.

Етап 4: Article 21(2)(b) обробка інцидентів і Article 23 каденція звітування про інциденти

Article 21(2)(b) вимагає названих процедур обробки інцидентів, що охоплюють виявлення, реагування та відновлення. Article 23 далі визначає каденцію звітування: попереднє попередження компетентному органу або CSIRT протягом 24 годин з моменту усвідомлення значного інциденту, повідомлення про інцидент протягом 72 годин і фінальний звіт протягом одного місяця. Фронт-лайн персонал має розпізнати значний інцидент і негайно почати ланцюг повідомлення. Це розпізнавання — натренована навичка, відпрацьована через вправи з культури звітування, загальні модулі інцидент-репортингу і сценарії з порушеннями персональних даних, що віддзеркалюють фактичний шлях повідомлення.

Етап 5: Article 21(2)(d) безпека ланцюга постачання і Article 21(2)(i) HR-безпека

Article 21(2)(d) вимагає заходів безпеки ланцюга постачання, включно з прямими постачальниками і провайдерами послуг. Закупівлі, інженерія і команди безпеки потребують сценарного навчання щодо ризиків third-party app OAuth, верифікації онбордингу вендорів і патернів зміни платіжних інструкцій, що спричиняють більшість BEC-збитків. Article 21(2)(i) вимагає безпеки людських ресурсів, політик контролю доступу і управління активами. Joiner-mover-leaver awareness, управління гостьовим доступом, процедури верифікації для запитів хелпдеску, шифрування і дисципліна блокування — усе це прямо мапиться на цей захід. Національні компетентні органи зараз семплують, чи програма навчання сягає цих суміжних областей, а не лише основного фішингового модуля.

Етап 6: Національні компетентні органи, аудити і режим санкцій

Кожна Держава-член призначає один або кілька національних компетентних органів. CCB (Centre for Cybersecurity Belgium) наглядає за бельгійськими субʼєктами за NIS 2-Wet / Loi NIS 2. BSI виконує цю роль для Німеччини за очікуваним NIS2UmsuCG. ANSSI обслуговує Францію. NCSC наглядає за Ірландією. AGID і ACN покривають Італію. Шкала санкцій дозволяє адміністративні штрафи до €10 млн або 2% глобального річного обороту для ключових субʼєктів, €7 млн або 1,4% для важливих субʼєктів, плюс публічні догани, накази про призупинення і персональну відповідальність членів керівного органу. ENISA координує EU-wide настанови і керує центральною мережею CSIRT. Перший інспекційний цикл зараз скоупується у юрисдикціях, де закон про транспозицію набув чинності.

Як Держави-члени застосовують вимоги NIS2 щодо навчання

Бельгійський NIS 2-Wet / Loi NIS 2 чинний з жовтня 2024 року

Бельгія стала першою EU-юрисдикцією з повністю операційною транспозицією NIS2. NIS 2-Wet / Loi NIS 2 набув чинності у жовтні 2024 року, точно у дедлайн директиви. Centre for Cybersecurity Belgium (CCB) — національний компетентний орган і CSIRT. Його фреймворк CyFun перекладає заходи Article 21(2) у аудитовані контролі, включно з навчанням, з оцінкою на основі зрілості, якої ключові субʼєкти мають досягти у встановлені вікна. Аудиторські повноваження CCB включають шкалу санкцій €10 млн або 2% глобального обороту для ключових субʼєктів і шкалу €7 млн або 1,4% для важливих субʼєктів. CCB опублікував імплементаційні королівські укази та секторно-специфічний реєстраційний портал. Бельгійські ключові субʼєкти зараз працюють у дієвому правозастосовному режимі, що означає, що питання доказів навчання вже не гіпотетичне.

Німецькі затримки чернетки NIS2UmsuCG і правовий лімб для ключових субʼєктів

Німеччина пропустила дедлайн транспозиції 17 жовтня 2024 року. Чернетка NIS2-Umsetzungs- und Cybersicherheitsstaerkungsgesetz (NIS2UmsuCG) кілька разів проходила через кабінет, не набувши чинності. BSI продовжує видавати практичні настанови у рамках чинного IT-Sicherheitsgesetz, але німецькі субʼєкти знають, що обовʼязки NIS2 застосовуються після публікації закону про транспозицію. Кілька великих операторів ключових послуг побудували програми навчання заздалегідь, щоб бути готовими до інспекції з першого дня. Сама директива є обовʼязковою для Держав-членів, не безпосередньо для приватних субʼєктів, поки національний закон її не транспонує, але доктрина прямого ефекту Європейського суду означає, що субʼєкт у сфері дії, який цілком ігнорує Article 21(2)(g) в очікуванні німецького закону, не може очікувати симпатичної інспекції в день, коли закон зʼявиться.

Фреймворк CyFun від CCB як показовий приклад Article 21(2)(g) на практиці

Бельгійський фреймворк CyFun — найчіткіший опублікований приклад того, як національний компетентний орган перекладає заходи NIS2 з управління ризиками у аудитовані контролі. CyFun мапить кожен захід Article 21(2) на набір названих контролів, призначає рівень зрілості (Basic, Important, Essential) і вимагає від субʼєкта продемонструвати прогрес до цільової зрілості у секторно-специфічний дедлайн. Контроль з навчання сидить усередині спроможності Awareness and Training і посилається як на Article 20 (керівний орган), так і на Article 21(2)(g) (workforce cyber hygiene). Фреймворк також вказує на рольовий контент, на який тепер посилаються інші органи: фішингові сценарії, drills з інцидент-репортингу, обізнаність про ланцюг постачання і модулі управління керівного органу. Субʼєкти, що оперують у кількох Державах-членах, дедалі частіше використовують CyFun як робочу базову лінію в очікуванні кожного національного закону.

Як RansomLeak задовольняє вимоги NIS2 щодо кібер-гігієни і навчання

Article 21(2)(g): практики кібер-гігієни і навчання з кібербезпеки

RansomLeak проводить сценарні вправи з фішингу, вішингу, смішингу, BEC, deepfake, мобільних пристроїв і OAuth abuse, що прямо мапяться на практики кібер-гігієни, яких вимагає Article 21(2)(g). Кожен модуль постачається як SCORM 1.2 і SCORM 2004 пакет, а також як hosted assignment, із записами про проходження, експортованими у форматі, який семплують національні компетентні органи. Каталог покриває базову лінію робочої сили плюс рольові треки, що демонструють пропорційність до розміру і ризику субʼєкта.

Article 21(2)(b): обробка інцидентів — виявлення, реагування і відновлення

Загальні вправи з інцидент-репортингу, культури звітування і реагування на порушення персональних даних відпрацьовують шлях розпізнавання та ескалації, від якого залежить каденція Article 23. Учні практикують реальне рішення: чи це значний інцидент за директивою, кого повідомити і які докази зберегти. 24-годинне попереднє попередження, 72-годинне повідомлення і місячний фінальний звіт викладаються як ланцюгова шкала часу, не як статичний слайд.

Article 21(2)(d): безпека ланцюга постачання, включно з прямими постачальниками

Вправи з ризиків third-party app OAuth, шахрайства з рахунками і платежами та процедур верифікації покривають поверхню атак ланцюга постачання, яку більшість національних компетентних органів виокремлює у своїх перших аудиторських циклах. Треки закупівель і інженерії включають верифікацію онбордингу вендорів, OAuth consent governance і патерн зміни платіжних інструкцій, що спричиняє більшість BEC-збитків. Доказ навчання привʼязує кожне проходження до названої ролі, що дотикається до постачальників.

Article 21(2)(i): HR-безпека, контроль доступу, управління активами

Вправи з joiner-mover-leaver awareness, управління гостьовим доступом, шифрування і дисципліни блокування, обовʼязків співробітників з безпеки і процедур верифікації мапяться на заходи HR-безпеки і контролю доступу. Каталог явно адресує як новачків (гігієна провіжнінгу), так і тих, хто звільняється (депровіжнінг і повернення активів), що закриває розрив, який цитує більшість аудиторських висновків.

Article 21(2)(j): політики криптографії і шифрування

Вправи з шифрування і дисципліни блокування, безпеки мобільних пристроїв та використання VPN покривають обовʼязки з криптографії і шифрування на endpoint, знімному носії та віддаленому доступі. Учні практикують щоденні рішення, які перетворюють письмову політику криптографії на спостережувану поведінку, включно з каденцією блокування пристрою, обробкою знімних носіїв і дисципліною довірених мереж.

Article 20: схвалення керівним органом, нагляд і персональна відповідальність

Окремий трек керівного органу адресує управлінські обовʼязки, які Article 20 покладає саме на керівництво. Контент покриває схвалення заходів управління ризиками, каденцію нагляду, режим персональної відповідальності, повноваження публічного розкриття і заборони національних компетентних органів та поточний інструктаж щодо загроз, який потрібен керівному органу для оцінки практик. Трек постачається з окремим записом про проходження, тож докази керівного органу ніколи не змішуються із записами загального персоналу.

Article 23: каденція звітування про інциденти (24 години, 72 години, один місяць)

Вправи з культури звітування і загального інцидент-репортингу репетирують тристадійний шлях повідомлення проти робочого годинника. Учні практикують контент 24-годинного попереднього попередження, структуру 72-годинного повідомлення і обсяг місячного фінального звіту, плюс тригер повідомлення отримувачу послуги. Drills віддзеркалюють те, що CSIRT і компетентний орган реально отримують, не підручниковий опис.

Article 21(2)(e): безпека у придбанні мережевих та інформаційних систем

Вправи з AI security (виявлення deepfake-аудіо, prompt injection, third-party app OAuth risks, дозволи мобільних застосунків) покривають AI-специфічну поверхню, на яку зараз посилаються кілька національних компетентних органів за Article 21(2)(e). Треки закупівель та інженерії адресують питання безпеки придбання для AI-компонентів, залежностей ланцюга постачання і OAuth-інтеграцій у ключові системи.

Як RansomLeak будує готову до аудиту програму NIS2

Аудити NIS2 семплують докази, не наміри. Сценарна вправа, яка поміщає учня у поштову скриньку, вішинг-дзвінок, BEC-привід чи deepfake-відеоконференцію, продукує запис про проходження, який аудитор може мапити на Article 21(2)(g) і на конкретний ризик, який вона адресує. 30-хвилинне compliance-відео продукує запис, що каже: учень подивився відео. Директива не приписує формат, але національні компетентні органи зазвичай читають «пропорційність ризику» як доказ того, що навчання відбиває поточну техніку зловмисників. Базова лінія Verizon DBIR 2024 (68% інцидентів повʼязані з незловмисним людським фактором) і шахрайство Arup із deepfake на €25 млн обидва вписуються у ризикову картину NIS2, на яку посилаються компетентні органи. Сценарний контент відстежує цю реальність так, як записані відео не можуть.

Рольові призначення — це те, як програма NIS2 демонструє пропорційність. Трек керівного органу задовольняє Article 20: управлінський контент, режим персональної відповідальності і поточний інструктаж щодо загроз, потрібний для оцінки практик. Трек загального персоналу задовольняє базову лінію Article 21(2)(g): фішинг, гігієна паролів, безпека мобільних пристроїв, дисципліна блокування і шифрування, інцидент-репортинг. IT і трек хелпдеску адресує Article 21(2)(b) і Article 21(2)(i): вішинг, MFA-reset соціальна інженерія, процедури верифікації, joiner-mover-leaver гігієна. Трек закупівель та інженерії адресує Article 21(2)(d) і (e): ризики third-party app OAuth, верифікація вендорів, supply chain BEC patterns. Кожен трек постачається із власним списком проходження, тож докази для аудиту сегментовані за роллю з першого дня.

Експорт-пакет — це те, що національні компетентні органи запитують під час інспекції. Записи проходження RansomLeak експортуються per learner, per role, per module, з часовими позначками підтверджень політик, доказами проходження сценаріїв і метаданими контенту модуля, які привʼязують вправу назад до конкретного заходу Article 21, який вона підтримує. Дані лягають у форматі, який CCB, BSI, ANSSI, NCSC, AGID, ACN та решта пулу EU-компетентних органів семплують під час перевірок. Програми, що побудували експорт-пакет до першого інспекційного циклу, зекономлять дні часу аудиторської відповіді у порівнянні з програмами, що намагаються зібрати докази після надходження запиту.

Що таке навчання з кібербезпеки за NIS2 і хто має його робити?

Навчання з кібербезпеки за NIS2 — це названа програма практик кібер-гігієни і навчання з кібербезпеки, потрібна за Article 21(2)(g) Directive (EU) 2022/2555 для ключових і важливих субʼєктів у Європейському Союзі. Директива набула чинності 16 січня 2023 року з дедлайном транспозиції 17 жовтня 2024 року, який пропустила більшість Держав-членів. Мандат на навчання застосовується приблизно до 160 000 організацій у 18 секторах, включно з енергетикою, транспортом, банківською справою, охороною здоровʼя, водопостачанням, цифровою інфраструктурою, державним управлінням, поштовими послугами, виробництвом, харчовою промисловістю, хімією і цифровими провайдерами.

Article 20 покладає персональну відповідальність на членів керівного органу за програму. Національні компетентні органи можуть публічно розкривати порушення, призупиняти сертифікації і тимчасово забороняти названим особам виконувати управлінські функції. Санкції за Article 34 сягають €10 млн або 2% глобального річного обороту для ключових субʼєктів і €7 млн або 1,4% для важливих субʼєктів, залежно від того, що вище.

Готові до аудиту програми поєднують рольові сценарні вправи (фішинг, BEC, deepfake, OAuth abuse) з контентом управління керівного органу і експортованими записами проходження, які мапять кожен модуль на конкретний захід Article 21, який він підтримує.

Додаткове читання

Глибші посібники по дотичних темах.

Навчання за NIS2 Посібник з навчання з безпеки Огляд compliance-навчання Ціноутворення навчання з безпеки Найкраще навчання з безпеки 2026 Вправи з кіберобізнаності

Дотичні терміни глосарія

Швидкі визначення термінів із цього стандарту.

NIS2 ENISA Essential Entity Important Entity Cybersecurity Act ECCC Cyber Hygiene Management Body

Часті запитання

Що питають GRC- та security-лідери про цей стандарт.

Що таке Article 21(2)(g) NIS2?

Article 21(2)(g) Directive (EU) 2022/2555 (NIS2) вимагає від кожного ключового і важливого субʼєкта запровадити «basic cyber hygiene practices and cybersecurity training» як один із десяти мінімальних заходів управління кіберризиками. Це стаття, яку аудитори цитують першою, коли семплують програму навчання.

Директива не приписує навчальну програму. Тягар демонстрації пропорційності програми до ризику і розміру субʼєкта лежить на самому субʼєкті. Національні компетентні органи семплують записи проходження, обсяг контенту і каденцію оновлень під час інспекцій.

Чи вимагає NIS2 навчання з безпеки?

Так. NIS2 робить навчання з кібербезпеки названим технічним та організаційним заходом за Article 21(2)(g) для робочої сили, а Article 20 окремо вимагає, щоб члени керівного органу проходили навчання, яке дає їм достатньо знань для ідентифікації ризиків та оцінки практик.

Навчання, що сягає загального персоналу, але пропускає керівний орган, не відповідає Article 20. Навчання, що адресує керівництво, але не робочу силу, не відповідає Article 21(2)(g). Відповідна програма покриває обидва шари і документує проходження окремо для кожного.

Хто рахується ключовим vs важливим за NIS2?

Ключові субʼєкти — великі організації у секторах, включно з енергетикою, транспортом, банківською справою, інфраструктурою фінансового ринку, охороною здоровʼя, питною водою, стічними водами, цифровою інфраструктурою (DNS, реєстри TLD, хмара, дата-центри), ICT-managed services, державним управлінням і космосом. Важливі субʼєкти — середні організації у цих секторах плюс поштові і курʼєрські, управління відходами, хімія, харчова промисловість, виробництво медичних виробів, компʼютерів, електроніки, машинобудування, автомобілебудування, транспортне обладнання, цифрові провайдери (онлайн-маркетплейси, пошукові системи, соціальні мережі) і дослідження.

Порогові значення розміру слідують EU Commission Recommendation 2003/361/EC. Ключові субʼєкти зазвичай мають 250+ працівників або €50 млн+ обороту; важливі субʼєкти — 50+ працівників або €10 млн+ обороту чи балансу €43 млн+. Секторно-специфічні винятки захоплюють деяких менших субʼєктів, включно з провайдерами довірчих послуг, реєстрами TLD, провайдерами DNS і провайдерами публічних електронних комунікацій незалежно від розміру.

Що означає «cyber hygiene» у NIS2?

Кібер-гігієна у сенсі Article 21(2)(g) — це щоденний набір практик, які потрібні робочій силі, щоб тримати системи, з якими вона працює, у безпеці. Настанови ENISA і фреймворки національних компетентних органів зазвичай читають це як розпізнавання фішингу, гігієну паролів і облікових даних, дисципліну мобільних і знімних носіїв, звички блокування і шифрування, рефлекси інцидент-репортингу і базис контролю доступу.

Формулювання навмисно практичне. Навчання, яке викладає політику в абстракції без репетирування поведінки, не відповідає планці Article 21(2)(g) у тому сенсі, як її зараз інтерпретує більшість національних компетентних органів.

Чи персонально відповідальні члени керівного органу за NIS2?

Так. Article 20 вимагає, щоб керівний орган кожного ключового і важливого субʼєкта схвалював заходи управління кіберризиками і наглядав за їх впровадженням. Та сама стаття робить членів керівного органу персонально відповідальними за порушення цього обовʼязку. Національні компетентні органи можуть публічно розкривати порушення і тимчасово забороняти названим особам виконувати управлінські функції.

Режим відповідальності структурний, не символічний. Це одна з найзначніших змін у порівнянні з NIS Directive 2016 року, і це причина, чому програма NIS2 потребує виділеного треку навчання керівного органу з власним записом проходження.

Які докази шукають національні компетентні органи?

Гранулярні записи: хто пройшов який модуль, коли, який контент модуль покривав, яку роль обіймає учень і як модуль мапиться на конкретний захід Article 21(2). Аудитори і компетентні органи семплують записи, вони не довіряють зведенням dashboard.

Програми, що постачають експорт-пакети per learner, per role, per module з часовими позначками підтверджень політик і доказами проходження сценаріїв, відповідають на інспекції за години. Програми, які мають збирати докази після надходження запиту, зазвичай витрачають дні, іноді тижні, на ту саму відповідь.

Як NIS2 впливає на навчання ланцюга постачання?

Article 21(2)(d) вимагає від субʼєктів управляти безпекою ланцюга постачання, включно з прямими постачальниками і провайдерами послуг. Навчання має сягати команд закупівель, інженерії і безпеки, які дотикаються до онбордингу постачальника, OAuth-інтеграції, верифікації вендорів і змін платіжних інструкцій.

Вправи з ризиків third-party app OAuth, шахрайства з рахунками і платежами та процедур верифікації покривають поверхню атак ланцюга постачання, яку більшість національних компетентних органів виокремлює у своїх перших аудиторських циклах. Загальний фішинговий контент сам по собі не задовольняє захід ланцюга постачання.

Який таймлайн правозастосування NIS2 у 2025-2026?

Дедлайн транспозиції 17 жовтня 2024 року минув. Бельгія мала свій NIS 2-Wet / Loi NIS 2 чинним на дедлайн, і CCB наглядає. Німецький NIS2UmsuCG, нідерландський Cyberbeveiligingswet, французький декрет під керівництвом ANSSI, італійський декрет-закон про транспозицію, іспанський Real Decreto та ірландський general scheme усі перебувають на різних стадіях національного законодавства.

Перші інспекційні цикли зараз скоупуються у юрисдикціях, де закон про транспозицію набув чинності. Субʼєкти у сфері дії мають розглядати 2025-2026 як рік, коли питання доказів аудиту переходить з теоретичного в операційне, незалежно від того, чи їхня конкретна Держава-член фіналізувала національний закон.

Джерела та матеріали для подальшого читання

Першоджерела, на які посилається сторінка, та суміжні рекомендації.

Directive (EU) 2022/2555 (NIS2) — EUR-Lex
NIS2 Directive policy page — European Commission
NIS Directive (new) — ENISA
NIS 2 Law — Centre for Cybersecurity Belgium (CCB)
National Cybersecurity Coordination Centre — NCC-EU

Зробіть цей стандарт audit-ready

Запишіться на 30-хвилинну демонстрацію. Ми підберемо послідовність вправ, логіку призначень і експорт доказів, який очікує ваш аудитор.

Замовити демо Переглянути вправи