Компания работает в трех странах ЕС: готов ли запрос на регистрацию NIS2 к определению объема услуг?
Отделите классификацию субъектов NIS2 от юрисдикции основного учреждения и национальной регистрации, прежде чем предлагать единый пакет соответствия для трех стран.
Сигналы для наблюдения
- Названное юридическое лицо и категория услуг могут быть проверены на предмет соответствия требованиям NIS2 и национальному законодательству.
- Место, где преимущественно принимаются решения по управлению рисками кибербезопасности, отличается от офисов продаж и объектов инфраструктуры.
- Подача заявки, ответ органа власти, проверка клиента или решение о запуске имеют дату и ответственного владельца в стране.
Компании, работающей в трех государствах-членах ЕС, не требуются автоматически три идентичные регистрации NIS2. Запрос на услугу готов только после того, как поставщик определит юридическое лицо и услугу, установит применимое правило юрисдикции NIS2, сопоставит каждое учреждение с национальными требованиями и назовет точную подачу документов или действие органа власти, а также ответственного и дату. Фраза «мы продаем во Франции, Германии и Испании» еще не определяет объем регистрационных работ.
С этой проблемой сталкивается руководитель по развитию бизнеса в сфере соответствия требованиям кибербезопасности, который просматривает подключенные с разрешения пользователя Telegram-группы поставщиков облачных и управляемых услуг, а также регулируемых отраслей. Полезный сигнал здесь — не количество стран, а задача по определению юрисдикции или регистрации, которая блокирует запуск, проверку клиента или ответ органу власти. Если заметить ее на день позже, можно пропустить назначенную покупателем рабочую встречу по национальному законодательству. Если слишком рано подготовить коммерческое предложение, можно пообещать три подачи документов там, где действует один маршрут по основному учреждению либо вообще не применяется статья 27.
Ниже приведен составной иллюстративный пример, а не реальный запрос компании или юридическое заключение:
«У SaaS-группы есть юридические лица в Германии, Нидерландах и Франции. Клиент говорит, что регистраций NIS2 нет. Нужен кто-то, кто займется всеми тремя».
В сообщении не указаны юридические лица, категория услуги, размер/объем, основное учреждение, место принятия решения по кибербезопасности, национальное законодательство, компетентные органы, текущие материалы, требования клиента и полномочия автора.
Основная ошибка — рассматривать сферу действия и регистрацию как одну услугу
Директива (ЕС) 2022/2555, известная как NIS2, устанавливает на уровне ЕС требования к управлению рисками кибербезопасности и отчетности об инцидентах для определенных основных и важных субъектов. Государства-члены должны были перенести ее в национальное законодательство к 17 октября 2024 года.
Директива не создает единый портал ЕС для подачи документов каждым субъектом из Приложения I или II. Сначала поставщику необходимо определить сферу действия: юридическое лицо, сектор, услугу, размер и возможное правило, применимое независимо от размера. Затем требуется анализ юрисдикции по статье 26. Только после этого можно определить объем задач по национальной регистрации или уведомлению.
Обзор NIS2 Европейской комиссии полезен для понимания общей структуры. Детали исполнения определяются действующим национальным законодательством и инструкциями органов власти. Отдел продаж не должен переносить категорию ЕС в национальную форму без проверки по этому второму источнику.
Для одной группы трансграничных поставщиков действует правило основного учреждения
Статья 26 дает особое правило юрисдикции поставщикам DNS, реестрам доменов верхнего уровня, службам регистрации доменов, облачным вычислениям, центрам обработки данных, сетям доставки контента, поставщикам управляемых услуг, поставщикам управляемых услуг безопасности, онлайн-торговым площадкам, онлайн-поисковикам и платформам социальных сетей.
Для этих субъектов юрисдикция обычно определяется по основному учреждению в Союзе. Директива в первую очередь указывает на государство-член, где преимущественно принимаются решения о мерах по управлению рисками кибербезопасности. Если это невозможно определить или такие решения не принимаются в Союзе, учитывается место проведения операций по кибербезопасности; если и его определить нельзя, используется учреждение с наибольшим числом сотрудников в Союзе.
Поэтому местоположение сервера, офис продаж или свидетельство о регистрации сами по себе не решают вопрос. Для обоснования нужны сведения об ответственности совета директоров или руководства, полномочиях по принятию решений в сфере безопасности, операционных командах и юридических учреждениях.
Для других субъектов карта стран может выглядеть иначе
Правило основного учреждения не является универсальным. Статья 26 обычно относит субъект, подпадающий под сферу применения, к государству-члену ЕС, в котором он учрежден, с отдельными правилами для государственных услуг электронной связи, государственного управления и названных трансграничных поставщиков.
Поэтому для промышленной группы с тремя производственными дочерними компаниями анализ может отличаться от анализа одного поставщика облачных услуг, обслуживающего три страны. У отдельных юридических лиц могут быть собственная сфера действия и национальные обязательства, даже если общая команда безопасности централизована.
Вот почему «три страны» — плохая единица для расчета цены. Полезная единица — решение по связке «субъект — услуга — юрисдикция» и следующие из него национальные действия.
Статья 27 имеет конкретную сферу и не обозначает любой национальный список
Статья 27 требует, чтобы государства-члены собирали регистрационные сведения о названных трансграничных поставщиках. К ним относятся наименование субъекта; сектор, подсектор и тип субъекта; основное и другие учреждения в ЕС либо представитель в ЕС; актуальные контактные данные; государства-члены, где предоставляются услуги; и диапазоны IP-адресов. IP означает Internet Protocol — систему адресации, используемую сетевыми устройствами.
Об изменениях необходимо уведомлять незамедлительно и не позднее, чем через три месяца после изменения. Власти передают указанную информацию Агентству Европейского Союза по кибербезопасности ENISA для реестра этих провайдеров.
Другим субъектам также может потребоваться заявить о себе в рамках национальных механизмов составления списков. Не называйте любую национальную форму подачи «регистрацией по статье 27», не проверив тип субъекта и местное правовое основание.
Поставщику из-за пределов ЕС нужен представитель, а не вымышленное учреждение
Если названный в статье 26 поставщик не учрежден в Союзе, но предлагает там услуги, он должен назначить представителя в одном из государств-членов, где эти услуги предлагаются. Представитель должен быть учрежден в Евросоюзе и прямо уполномочен письменным мандатом действовать от имени поставщика по обязательствам NIS2.
Эта роль не делает представителя самим поставщиком и не снимает с поставщика ответственность. В коммерческом предложении следует отдельно обозначить услуги представителя, регистрацию субъекта, консультацию по правовой сфере действия и постоянное соблюдение требований к управлению инцидентами и рисками.
Самый сильный контраргумент: покупатели хотят одного ответственного поставщика
Группа, действующая по всей Европе, вполне может хотеть, чтобы работу координировал один поставщик. Централизованная координация может сократить повторный сбор сведений и устранить противоречия в данных. Но юридические результаты от этого не становятся одинаковыми.
Корректное предложение — это скоординированная программа с отдельными заданиями по каждой стране: общий перечень субъектов и услуг, документированное обоснование юрисдикции, проверка национального законодательства, орган власти и форма, местный язык при необходимости, ответственный за подачу и подтверждение подачи. Один коммерческий договор может включать несколько разных юридических задач.
В описании объема работ нужны четыре уровня
Опишите потенциальный запрос в четырех строках:
- Юридическое лицо и услуга: точное юридическое лицо, сектор и услуга из Приложения, а также доказательства размера или применения специального правила.
- Юрисдикция: обычное учреждение, основное учреждение, страна оказания услуг или правило о представителе в ЕС — с подтверждающими фактами.
- Национальное действие: закон, орган власти, реестр или форма, язык, обязательные поля и крайний срок.
- Коммерческая граница: консультация, мандат представителя, подготовка, подача документов, переписка с органами власти и последующие обновления — каждый пункт включен либо исключен.
Статья о директиве NIS2 и национальном законодательстве объясняет проверку с двумя источниками. Для обсуждения сообщений об инцидентах, а не для регистрации, используйте Маршрут раннего предупреждения NIS2. Общая дата регулирования сначала должна пройти проверка спроса на основе регулирования.
TOP Prospect может связывать фрагменты из групп, которые пользователь намеренно подключил и к которым имеет право доступа, сохранять источник и время, удалять очевидные дубликаты и ранжировать запросы для проверки человеком. Сервис не может определить применимость закона, назвать компетентный орган без доказательств, подписать мандат представителя, подать регистрационные документы или связаться с автором сообщения. Страница цен описывает границы обнаружения.
Запрос по трем странам готов к оказанию услуг, когда поставщик может объяснить по каждому юридическому лицу, почему применяется конкретное правило юрисдикции и какое национальное действие из него следует. До этого предлагайте ограниченную проверку объема работ, а не умножайте одну предполагаемую регистрацию на три.
Часто задаваемые вопросы
Всегда ли для работы в трех странах ЕС требуется три регистрации NIS2?
Нет. Ответ зависит от организации и услуги. Статья 26 наделяет конкретных трансграничных цифровых провайдеров правилом юрисдикции основного учреждения, в то время как другие организации могут подпадать под действие государства-члена, в котором они созданы или предоставляют услуги. Реализация на национальном уровне все еще нуждается в проверке.
Какие провайдеры используют правило основного учреждения NIS2?
В статье 26 упоминаются службы DNS, реестры TLD, службы регистрации доменов, облачные вычисления, центры обработки данных, сети доставки контента, управляемые и управляемые службы безопасности, онлайн-торговые площадки, онлайн-поисковые системы и платформы социальных сетей.
Что делать, если подпадающий под требования поставщик услуг не учрежден в ЕС?
Указанные поставщики, предлагающие услуги в Союзе, должны назначить представителя, зарегистрированного в государстве-члене, где предлагаются услуги. Представителю необходим письменный мандат; это не снимает обязательств с провайдера.
Какую информацию охватывает регистрация по статье 27?
Для названных трансграничных провайдеров она охватывает наименование субъекта, сектор и тип, основное и другие учреждения в ЕС либо представителя, актуальные контактные данные, обслуживаемые государства-члены и диапазоны IP-адресов. Об изменениях необходимо уведомить без задержки и не позднее чем через три месяца.
Источники и дополнительное чтение
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.
