NIS2 і НКЦК: практичне зіставлення вимог відповідності для українських технологічних компаній

Україна одночасно будує власну національну рамку кібербезпеки — обов'язкові вимоги Національного координаційного центру кібербезпеки (НКЦК) — і готується до членства в ЄС, яке вимагатиме транспонувати NIS2. Для компаній, що працюють в обох регуляторних просторах, хороша новина в тому, що приблизно дві третини вимог до засобів контролю збігаються. Погана — що решта третина розходиться так, що це має реальні наслідки для бюджету й операцій.

Цей посібник дає практичне зіставлення двох рамок, визначає найцінніші спільні засоби контролю та пояснює, де робити цільові інвестиції, щоб задовольнити обидві одночасно.

Що охоплює кожна рамка

NIS2 (директива ЄС 2022/2555)

NIS2 замінила первинну директиву NIS у січні 2023 року та стала обов'язковою до виконання в державах-членах ЄС до жовтня 2024 року. Вона поширюється на essential і important суб'єктів у 18 секторах, зокрема енергетиці, транспорті, охороні здоров'я, цифровій інфраструктурі та «виробництві критичних товарів». Поріг включення — приблизно 50+ працівників або €10 млн+ річного обороту, хоча держави-члени можуть розширювати сферу дії.

Ключові риси: 10 мінімальних заходів безпеки за статтею 21, зобов'язання звітувати про інциденти за 24/72 години, персональна відповідальність членів керівного органу, максимальні штрафи €10 млн або 2% глобального обороту для essential entities.

Рамка НКЦК в Україні

Обов'язкові вимоги безпеки НКЦК поширюються на операторів критичної інфраструктури та державні інформаційні системи за Законом 2163-IX (липень 2022 року) та подальшими постановами Кабінету Міністрів. Рамка категоризує підпорядковані системи на три класи: I (найвища критичність, державні/військові системи), II (критична інфраструктура, енергетика, фінанси, транспорт) і III (системи значного суспільного впливу).

Вимоги побудовано навколо обов'язкового базового рівня безпеки, зобов'язань безперервного моніторингу, повідомлення про інциденти до Державного центру кіберзахисту (SCCD) та щорічних аудитів для систем класів I/II.

Спільна основа засобів контролю

Обидві рамки вимагають однакових базових спроможностей. Якщо ви вже впровадили їх для NIS2, то задовольняєте відповідну вимогу НКЦК з мінімальними додатковими зусиллями:

| Домен контролю | Посилання NIS2, ст. 21 | Розділ НКЦК | Розрив | |---|---|---|---| | Оцінка ризиків і політика | Ст. 21(2)(a) | §4.1–4.3 | Немає | | Процедури обробки інцидентів | Ст. 21(2)(b) | §6.1–6.4 | Строки звітування різняться | | Безперервність бізнесу та резервне копіювання | Ст. 21(2)(c) | §5.2–5.3 | Пороги RPO/RTO різняться | | Безпека ланцюга постачання | Ст. 21(2)(d) | §7.1–7.4 | НКЦК передбачає суворіші приписи | | Обробка вразливостей | Ст. 21(2)(e) | §8.1 | Немає | | Контроль доступу та MFA | Ст. 21(2)(i) | §3.3–3.5 | Немає | | Шифрування під час передавання та зберігання | Ст. 21(2)(h) | §3.6 | Вимоги до алгоритмів різняться | | Навчання з безпекової обізнаності | Ст. 21(2)(g) | §9.1 | Вимоги до періодичності різняться | | Сегментація мережі | Ст. 21(2)(f) | §3.8–3.9 | Немає | | Інвентаризація активів | Ст. 21(2)(e) | §2.1 | Немає |

Добре окреслене впровадження ISO 27001 охоплює приблизно 80% технічних вимог до засобів контролю обох рамок.

Де NIS2 іде далі

Відповідальність керівництва. Стаття 20 NIS2 робить керівні органи персонально відповідальними за збої у відповідності. Члени ради мають затверджувати заходи управління ризиками кібербезпеки та регулярно проходити навчання. У НКЦК немає еквівалентного механізму персональної відповідальності — зобов'язання лежить на організації, а не на окремих особах.

Транскордонна координація інцидентів. NIS2 вимагає від essential entities повідомляти національний CSIRT і, для інцидентів із транскордонним впливом, координуватися через мережу CyCLONe ENISA. Потоки повідомлень НКЦК суто внутрішні (до SCCD і галузевих органів).

Зобов'язання щодо тестування на проникнення. Імплементаційний регламент NIS2 (у розробці) вимагатиме тестування на проникнення на основі загроз (TLPT) для essential entities — подібно до TIBER-EU. НКЦК наразі вимагає сканування вразливостей, але не вимагає змагального тестування за стандартом TLPT.

Де НКЦК більш директивний

Криптографічні стандарти. НКЦК вимагає конкретні українські національні криптографічні стандарти (ДСТУ 4145, ДСТУ 7564) для певних систем, що взаємодіють з державою. NIS2 посилається на шифрування «на рівні сучасних досягнень» без приписування конкретних алгоритмів. Компанії, яким потрібна інтеграція з державними системами в Україні, мають впровадити модулі, сумісні з ДСТУ, навіть якщо їхня програма NIS2 використовує стандартні AES/RSA.

Звітування про інциденти в ланцюгу постачання. §7.3 НКЦК вимагає від організацій повідомляти SCCD про інциденти в ланцюгу постачання протягом 4 годин після виявлення — швидше за 24-годинне вікно первинного повідомлення за NIS2. Для систем класу I НКЦК також вимагає попереднього затвердження постачальників критичного програмного забезпечення.

Безперервний моніторинг. Системи класів I та II за НКЦК мають підтримувати безперервний моніторинг безпеки з пересиланням журналів до державної інфраструктури. NIS2 вимагає спроможності моніторингу, але не зобов'язує пересилати журнали державній установі.

Щорічні зовнішні аудити. Організації класів I/II за НКЦК стикаються з обов'язковими щорічними зовнішніми аудитами від акредитованих українських фірм. NIS2 дозволяє самооцінку для important entities, а аудити третіх сторін потрібні лише тоді, коли їх вимагають регулятори.

Стратегія подвійної відповідності, що працює

Найефективніший шлях до одночасного задоволення обох рамок використовує таку структуру:

Фаза 1 — спільна основа (місяці 1–3)

Збудуйте один раз, застосовуйте до обох:

• Система управління інформаційною безпекою (ISMS), узгоджена з ISO 27001
• Інвентаризація активів із класифікацією критичності
• Оцінка ризиків і план обробки
• Політика контролю доступу (MFA, керування привілейованим доступом)
• План реагування на інциденти та сценарії
• План безперервності бізнесу та аварійного відновлення
• Програма навчання з безпекової обізнаності

Ця фаза задовольняє вимоги, що перетинаються, і дає докази для аудиту обом регуляторам.

Фаза 2 — специфічне для NIS2 (місяці 4–5)

Цільові доповнення:

• Документація навчання ради та записи про затвердження (відповідність статті 20)
• Оновлення процесу повідомлення про інциденти до процедур ENISA/національного CSIRT
• Реєстр безпеки ланцюга постачання з рейтингами ризику для кожного стороннього постачальника
• Програма тестування на проникнення (підготовка до вимог TLPT)

Фаза 3 — специфічне для НКЦК (місяці 5–7)

Цільові доповнення:

• Інтеграція криптографічної бібліотеки ДСТУ для систем, що взаємодіють з державою
• Процес 4-годинного звітування до SCCD про інциденти в ланцюгу постачання
• Пересилання журналів SIEM до державної інфраструктури моніторингу (для класів I/II)
• Визначення обсягу зовнішнього аудиту та вибір аудитора

Постійні операції

• Щоквартальне сканування вразливостей і щорічний тест на проникнення
• Спроможність повідомляти про інциденти за 24 години (NIS2) / 4 години (ланцюг постачання НКЦК)
• Щорічний перегляд і затвердження радою (стаття 20 NIS2)
• Щорічний зовнішній аудит (НКЦК, класи I/II)

Ціна окремого ведення

Організації, які розглядають NIS2 і НКЦК як окремі проєкти відповідності, зазвичай витрачають на 40–60% більше часу й бюджету, ніж ті, що спершу проєктують єдиний набір засобів контролю. Найпоширеніші шаблони збоїв:

Дублювання документації. Ведення двох наборів політик безпеки, один відкалібрований під мову NIS2, а інший — під мову НКЦК, створює проблеми з контролем версій і з часом спричиняє справжній дрейф відповідності.

Окремі процедури реагування на інциденти. Ведення двох процесів повідомлення про інциденти (з різними строками, різними одержувачами та різними вимогами до доказів) операційно небезпечне. Єдиний процес, що задовольняє обидва — 4-годинне повідомлення SCCD про інциденти в ланцюгу постачання, 24-годинне повідомлення NIS2 про значні інциденти, — надійніший.

Ізольовані аудити. Окреме замовлення оцінки розривів NIS2 і аудиту відповідності НКЦК означає, що дві команди незалежно перевіряють ту саму інфраструктуру. Єдиний аудит, що зіставляє докази з обома рамками, коштує приблизно 60% сукупної ціни.

Практичні наступні кроки

Якщо ви починаєте з низького базового рівня, чекліст 90-денної готовності в нашому посібнику покупця з NIS2 і посібнику покупця з НКЦК дає послідовний перелік завдань. Посібники також охоплюють конкретні артефакти документації, які регулятори вимагають під час аудитів.

Якщо ви вже маєте сертифікат ISO 27001, розрив до подвійної відповідності NIS2 + НКЦК зазвичай становить 3–5 місяців цілеспрямованих зусиль, переважно у сферах документації відповідальності керівництва, процесів повідомлення про інциденти та криптографічних вимог НКЦК.

Команда консультантів AmonSul з відповідності веде проєкти подвійної відповідності від оцінки розривів до готовності до аудиту. Зв'яжіться з нами, щоб обговорити ваш конкретний обсяг.