С 2025 года в Евросоюзе действуют два документа, которые напрямую затрагивают компании за пределами ЕС: регламент DORA для финансового сектора и директива NIS2 для критической инфраструктуры и цифровых сервисов. Аудитор по информационной безопасности Кирилл Проскурня разбирает, кого они касаются на практике и что требуют от подрядчиков.
DORA: банки отвечают за своих поставщиков
DORA (Digital Operational Resilience Act) обязывает банки, страховые компании, платежные сервисы, криптобиржи и инвестиционные фирмы ЕС управлять рисками, связанными с IT-поставщиками. Ключевое слово здесь «поставщики». Если компания разрабатывает ПО для европейского банка, обслуживает его инфраструктуру или обрабатывает его данные, банк обязан проверить ее и включить в реестр критичных подрядчиков.
Кирилл Проскурня, который сопровождает подготовку к DORA для платежных платформ в Словакии и Эстонии, отмечает: «Банк пришлет анкету, запросит отчеты по тестированию на проникновение, план непрерывности и подтверждение, что инциденты регистрируются и расследуются. Если ответить нечем, контракт не продлят. Это уже происходит».
Что требует DORA от подрядчика:
- Договор с конкретными пунктами о безопасности, уровне сервиса и праве банка на аудит.
- Регулярное тестирование устойчивости, включая тесты на проникновение.
- Уведомление об инцидентах в сжатые сроки, обычно в течение нескольких часов.
- План выхода: как банк заберет данные и переключится на другого поставщика.
NIS2: шире, чем кажется
NIS2 охватывает энергетику, транспорт, здравоохранение, облачные сервисы, центры обработки данных, управляемые IT-услуги и даже производство отдельных категорий продукции. Директива распространяется на средние и крупные компании, но требование управлять цепочкой поставок тянет за собой и малые.
По опыту Кирилла Проскурни, компания из Украины, Казахстана или Грузии сталкивается с NIS2 в трех случаях: когда оказывает управляемые IT-услуги клиенту из ЕС, когда ее продукт встроен в инфраструктуру европейского заказчика, и когда она сама открывает юридическое лицо в Евросоюзе.
Санкции за нарушение NIS2 для существенных субъектов доходят до 10 млн евро или 2 процентов мирового оборота. Поставщика напрямую не штрафуют, но клиент перекладывает требования в договор.
Как подготовиться без лишних затрат
Оба документа не требуют конкретного сертификата, но на практике ISO/IEC 27001 закрывает большую часть требований. Кирилл Проскурня рекомендует такую последовательность:
- Понять, какие европейские клиенты попадают под DORA или NIS2, и запросить у них перечень требований к поставщикам.
- Провести анализ пробелов относительно ISO/IEC 27001 и дополнительных пунктов DORA: тестирование, инциденты, план выхода.
- Закрыть обязательный минимум: реестр активов, управление доступом, резервное копирование, журнал инцидентов.
- Оформить результаты так, чтобы на анкету клиента можно было ответить за день, а не за месяц.
Еще один практический момент касается сроков. DORA применяется с января 2025 года, и европейские финансовые организации уже обновляют договоры с подрядчиками. NIS2 внедряется через национальное законодательство стран ЕС, и в ряде стран переходный период заканчивается в 2026 году. Кирилл Проскурня советует не ждать запроса от клиента, а самостоятельно подготовить короткий документ на одну-две страницы с описанием мер безопасности, который можно отправлять при первом же вопросе.
«Регуляторы ЕС не ставят цель отрезать подрядчиков из других стран. Они требуют прозрачности. Компания, которая заранее выстроила управление безопасностью, получает преимущество перед конкурентами, которые будут собирать документы в последний момент», подчеркивает Кирилл Проскурня.
Консультацию по подготовке к DORA, NIS2 и ISO/IEC 27001 можно получить на сайте аудитора Кирилла Проскурни.
Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001, CISA, CIPP/E, CIPP/US, AIGP, основатель BALTUM. Имеет сертификаты NIS2 Essentials и DORA Essentials (TRECCERT). Профиль в LinkedIn.