На кого распространяется NIS2? Новый закон о KSC и Ваша небольшая компания

Клиент прислал анкету по кибербезопасности, или в разговоре прозвучало, что «с апреля действует новый закон и все обязаны»? Давайте наведём порядок: не все. Ниже я показываю, как проверить, охвачена ли Ваша компания новыми нормами, а если нет, то почему Вы всё равно можете с ними столкнуться.

Я пишу о ситуации по состоянию на 19 октября 2026 г. Это не юридическая консультация. Даты я привожу по закону (Dz.U. 2026, поз. 252, то есть Dziennik Ustaw, Законодательный вестник Польши) и по сообщениям Министерства цифровизации Польши (Ministerstwo Cyfryzacji), а в конкретном деле проверяйте их в Dziennik Ustaw или у юриста.

Что такое NIS2 и закон о KSC

NIS2 — это директива ЕС 2022/2555 о кибербезопасности. Сама директива не возлагает обязанностей на компании, потому что каждая страна должна ввести её собственным законом. В Польше это делают поправки к закону о национальной системе кибербезопасности (ustawa o krajowym systemie cyberbezpieczeństwa, KSC).

Поправки приняты 23 января 2026 г., опубликованы в Dz.U. 2 марта 2026 г. (поз. 252) и вступили в силу 3 апреля 2026 г. Президент подписал закон, но в порядке последующего контроля направил в Конституционный трибунал запрос о положениях, касающихся поставщиков высокого риска (дело K 19/26). До середины октября 2026 г. Трибунал не назначил слушание, а сам запрос не приостанавливает применение закона.

Общая идея проста: компании, важные для экономики, должны системно защищать свои системы, сообщать о серьёзных инцидентах и заботиться о безопасности поставщиков.

На кого распространяется: три вопроса для начала

На вопрос, на кого распространяется NIS2, проще всего ответить тремя вопросами. Если хотя бы на один Вы ответите «нет», Ваша компания, скорее всего, вне закона.

1. Работаете ли Вы в одном из секторов, названных в законе? Речь, в частности, об энергетике, транспорте, здравоохранении, питьевой воде и сточных водах, цифровой инфраструктуре, обращении с отходами, продовольствии и отдельных отраслях производства (например, машины, электрооборудование, электроника, транспортные средства, медицинские изделия). Полный перечень находится в приложениях к закону.
2. Являетесь ли Вы средней или крупной компанией? Общее правило опирается на определение размера предприятия, принятое в ЕС: упрощённо, компания является как минимум средней, если в ней работают 50 человек или больше либо если и её годовой оборот, и сумма баланса превышают 10 млн евро (учитываются также данные связанных и партнёрских компаний). Микро- и малые компании, как правило, вне закона.
3. Укладывается ли Ваша деятельность в описание из приложения? Одного названия отрасли недостаточно. Значение имеет то, чем Вы фактически занимаетесь.

Есть исключения: независимо от размера закон охватывает, в частности, компании, регистрирующие домены, поставщиков услуг DNS, поставщиков доверенных услуг и операторов электронных коммуникаций, например небольших интернет-провайдеров. Поставщиков управляемых услуг в области кибербезопасности он охватывает уже начиная с порога малой компании. Если Вы оказываете такие услуги, не предполагайте заранее, что компания освобождена.

Сроки, которые стоит знать

Согласно закону от 23 января 2026 г. и сообщению министра цифровизации, картина выглядит так:

Срок подачи заявления уже истёк. Если компания охвачена законом, а заявления нет, не откладывайте: подайте его в приложении wykaz-ksc.gov.pl и свяжитесь с юристом. Компания, которая начнёт отвечать условиям позже, имеет 6 месяцев на заявление и 12 месяцев на выполнение требований, считая с этого дня. Времени до апреля 2027 г. достаточно, чтобы привести защиту в порядок, но не для того, чтобы откладывать решение.

Небольшая компания вне закона, но под давлением клиента

Для небольшой компании вероятнее другой сценарий: закон не охватывает её саму, но охватывает её клиента. Такой клиент должен заботиться о безопасности цепочки поставок, поэтому начнёт спрашивать поставщиков о мерах защиты: в анкете, в договоре или при аудите.

Пример (вымышленный): производитель машин насчитывает 60 сотрудников, поэтому как средняя компания из сектора производства машин он является важным субъектом (podmiot ważny). Его поставщик программного обеспечения для расчёта стоимости и небольшая фирма, которая обслуживает его сайт, получают письмо с вопросами. Есть ли у Вас резервные копии? Кто имеет доступ к панели? Как быстро Вы сообщите об инциденте? Поставщик, который не может ответить, рискует потерять заказ, хотя сам закону не подчиняется.

В такой ситуации речь не о сертификатах, а о том, чтобы спокойно задокументировать основы.

Контрольный список: основы, о которых спросят клиенты

Этот список не является юридическим требованием. Это набор вопросов, о которых крупные компании чаще всего спрашивают в анкетах для поставщиков.

• Доступы: у каждого сотрудника своя учётная запись, а после ухода из компании она сразу блокируется.
• Пароли и второй фактор: вход в почту, панель сайта и интернет-банк происходит с кодом из приложения или с аппаратным ключом.
• Обновления: система сайта, плагины и сервер обновляются регулярно, а не «когда-нибудь».
• Резервные копии: делаются автоматически, хранятся вне сервера и время от времени проверяются путём восстановления.
• Почта в домене: настроены SPF, DKIM и DMARC, чтобы никто не выдавал себя за Вашу компанию. Я описываю это в статье о корпоративной почте в спаме.
• Сообщение об инцидентах: Вы знаете, кто в компании принимает сообщение о взломе или утечке и что он делает в первый час.
• Список поставщиков: Вы знаете, кто имеет доступ к Вашим данным и системам (хостинг, бухгалтерия, агентство).
• Данные клиентов: хранятся там, где указано в политике конфиденциальности, и не лежат в открытых файлах.

Как ответить на анкету клиента

Не копируйте ответы «на всякий случай» и не отмечайте «да» там, где у Вас этого нет. Когда что-то нужно исправить, назовите срок. Клиенты предпочитают честное «внедряем до конца марта» ложному «у нас всё есть».

Готовый ответ, который можно адаптировать:

Здравствуйте, благодарю за анкету. Во вложении направляю ответы. Резервные копии мы делаем ежедневно и храним вне производственного сервера. Доступ к панелям имеют только именные пользователи с двухфакторной авторизацией. Элементы, которые мы внедряем до конца марта 2027 г., отмечены в таблице. С удовольствием обсужу детали в разговоре.

Если Вы не уверены, что ответить о сайте и сервере, поможет аудит безопасности: я проверяю формы, вход в систему, защиту от ботов и спама, а в отчёте Вы получаете оценки и список исправлений. Для первого взгляда хватит бесплатного инструмента Проверить сайт, который оценивает, в частности, безопасность сайта, почту в домене и скорость.

Чего не делать

• Не предполагайте, что «меня это не касается», не проверив сектор и размер компании. Для части субъектов размер не является единственным критерием.
• Не платите за «сертификат NIS2». Мне неизвестен официальный сертификат, которого было бы достаточно для выполнения закона. Остерегайтесь предложений, которые его обещают.
• Не ждите последнего месяца. Резервные копии, именные учётные записи и обновления можно внедрить за несколько дней, но процесс их документирования занимает больше времени.
• Не перекладывайте всё на поставщика. Даже если хостинг держит внешняя компания, за учётные записи, пароли и решения о доступах отвечаете Вы.

Итог

Новый закон о KSC охватывает прежде всего средние и крупные компании из выбранных секторов, а микро- и малые, как правило, вне его. Чаще всего Вы столкнётесь с ним опосредованно, когда клиент попросит подтвердить меры защиты. Пройдите контрольный список, исправьте недостатки и запишите ответы, прежде чем анкета попадёт в Ваш почтовый ящик.

Если Вы хотите знать, в каком состоянии Ваш сайт и сервер, напишите мне. Я проведу аудит безопасности с отчётом об исправлениях или внедрю кибербезопасность проекта: обновления, резервные копии, мониторинг и ограничения доступа. Я отвечаю в течение 24 часов.