Директива NIS2 и её влияние на передачу файлов в 2026

Директива NIS2 (EU 2022/2555) транспонирована в национальные законы государств-членов к 17 октября 2024 года и активно применяется в 2026 году. Она включает сервисы передачи файлов в категории «цифровая инфраструктура» и «цифровые поставщики», когда те обслуживают существенные или важные организации. Для российских компаний, чьи европейские партнёры или дочерние структуры подпадают под NIS2, это прямое требование при выборе поставщика услуг передачи файлов: документированное управление рисками кибербезопасности по Статье 21, 24-часовое раннее предупреждение о значимых инцидентах по Статье 23 и штрафы до 10 миллионов евро или 2% от глобального оборота. Покупатели этих услуг наследуют обязательства цепочки поставок.

Кого фактически охватывает NIS2

NIS2 существенно расширила периметр по сравнению с предыдущей директивой NIS. Существенные организации включают энергетику, транспорт, банковский сектор, здравоохранение, питьевое водоснабжение, цифровую инфраструктуру (DNS, реестры TLD, облачные провайдеры, центры обработки данных, сети доставки контента). Важные организации добавляют почтовые службы, управление отходами, химическую промышленность, производство продовольствия, производство и цифровых поставщиков — поисковые системы, онлайн-рынки и социальные сети.

Сервис передачи файлов часто попадает под определения «управляемого поставщика услуг» или «управляемого поставщика услуг безопасности» из Приложения II, что делает его важной организацией. Даже небольшие провайдеры ниже порогов по размеру включаются, когда государство-член признаёт их критически важными.

Меры управления рисками по Статье 21

Десять мер по Статье 21(2) представляют собой базовый набор требований безопасности. Поставщики услуг передачи файлов должны внедрить: политики анализа рисков и информационной безопасности, управление инцидентами, непрерывность бизнеса и антикризисное управление, безопасность цепочки поставок, безопасность при приобретении и разработке сетевых и информационных систем, политики оценки эффективности, базовую кибергигиену и обучение, криптографию и шифрование, кадровую безопасность и контроль доступа, многофакторную аутентификацию.

Для сервиса передачи это означает конкретные результаты: задокументированная ISMS, AES-256-GCM для хранимых файлов, TLS 1.3 для транспорта, MFA для административного доступа, ежегодное пентестирование и программа обучения разработчиков и сотрудников поддержки.

Сроки уведомления об инцидентах

Статья 23 устанавливает самые жёсткие сроки из всех, что регуляторы когда-либо предъявляли к цифровым сервисам. При значимом инциденте организация направляет раннее предупреждение в течение 24 часов, полное уведомление об инциденте в течение 72 часов и окончательный отчёт в течение одного месяца.

Нарушение в сервисе передачи файлов, затронувшее данные клиентов, обычно квалифицируется как значимое, если оно охватывает многих пользователей или нарушает работу сервиса. В руководстве по реагированию на инциденты должны быть поимённо названы роли, круглосуточная цепочка эскалации и заранее подготовленные шаблоны для национального CSIRT. ENISA публикует руководство по критериям значимости: число затронутых пользователей, продолжительность, географический охват.

Обязательства по цепочке поставок действуют в обе стороны

Статья 21(2)(d) прямо указывает на безопасность цепочки поставок. Существенные и важные организации обязаны оценивать кибербезопасность своих прямых поставщиков. Больница, использующая поставщика услуг передачи файлов, должна оценить его практику безопасности, получить договорные обязательства по мерам безопасности и уведомлению об инцидентах, а также контролировать соответствие. Параллельно поставщик оценивает своих собственных поставщиков: облачных хостеров (AWS, OVHcloud, Scaleway, Hetzner), CDN, платформы наблюдаемости и провайдеры идентификации.

Ответственность органов управления

Статья 20 делает высшее руководство лично ответственным. Директора и должностные лица организаций в периметре должны утверждать меры управления рисками кибербезопасности, контролировать их реализацию и регулярно проходить обучение. В ряде государств-членов — Германии (через NIS2UmsuCG) и Франции — предусмотрены персональные санкции и дисквалификации директоров за серьёзную халатность. Советы директоров облачных и SaaS-поставщиков, обслуживающих критическую инфраструктуру, теперь включают кибербезопасность в постоянную повестку заседаний.

Сертификация и подтверждение соответствия

NIS2 поощряет использование европейских схем сертификации кибербезопасности в соответствии с Законом о кибербезопасности (EU 2019/881). Схема EUCC для ИКТ-продуктов и предстоящая схема EUCS для облачных сервисов предусматривают уровни уверенности «базовый», «существенный» и «высокий». Сервисы передачи файлов, ориентированные на регулируемых покупателей, получают SOC 2 Type II, ISO 27001, ISO 27701 по конфиденциальности и национальные сертификаты вроде SecNumCloud (Франция) или C5 (Германия). Практический результат: поставщики без ISO 27001 исключаются из закупочных шорт-листов у регулируемых покупателей по всему ЕС.

Трансграничная координация и юрисдикция

Сервис передачи файлов со штаб-квартирой в Ирландии, обслуживающий клиентов по всему ЕС, имеет ведущий надзорный орган в Ирландии по правилу «основного места осуществления деятельности» NIS2 для цифровых провайдеров. Но уведомления об инцидентах могут по-прежнему направляться органу по месту, где произошло значительное воздействие. Поставщики выстраивают отношения с национальным CSIRT заблаговременно, поскольку первое уведомление об инциденте — не время выяснять контактные данные. Список контактов сети CSIRT ENISA находится в открытом доступе.

Практические шаги для поставщиков и покупателей

Для поставщиков в 2026 году обязательный минимум: оценка соответствия Статье 21, задокументированная и проверенная советом директоров; назначенный руководитель по реагированию на инциденты с круглосуточным дежурством; проверенный реестр поставщиков с оговорками о безопасности; опубликованная страница доверия и соответствия, ссылающаяся на готовность к NIS2; отчёт о пентесте от квалифицированного провайдера, выданный в течение последних 12 месяцев.

Для покупателей следует запросить у поставщиков: самооценку по NIS2, контакт национального CSIRT, список субпроцессоров, SLA по уведомлению о нарушениях и криптографические спецификации продукта.

HexaTransfer шифрует файлы на стороне клиента с использованием AES-256-GCM, размещается на инфраструктуре ЕС и публикует политику реагирования на инциденты. Попробуйте на hexatransfer.com — бесплатно, без регистрации, максимум 10 ГБ.

NIS2 не изобрела новых практик безопасности. Она сделала их обязательными, добавила личную ответственность директоров и ужесточила сроки. Сервисы передачи файлов, которые уже работали по строгим программам безопасности, главным образом занялись документированием того, что делали. Те, кто не делал, получили два года интенсивных технических работ. Для покупателей в 2026 году вопрос не в том, знаком ли ваш поставщик с NIS2, а в том, может ли он подтвердить это письменно, когда спросит регулятор.