NIS2 і кібербезпека в Україні: що це означає для команд поза офісом

Директива (ЄС) 2022/2555, відома як NIS2, встановлює спільний рівень кібербезпеки в державах-членах ЄС; транспонувати її вони мали до 17 жовтня 2024 року. Україна не є членом ЄС, тому директива тут безпосередньо не діє. Водночас Україна з червня 2022 року є кандидатом на вступ і наближає своє законодавство до європейського, зокрема у сфері кібербезпеки.

Основу українського регулювання становлять Закон «Про основні засади забезпечення кібербезпеки України» та Закон «Про критичну інфраструктуру». Закон № 4336-IX від 27 березня 2025 року суттєво їх доповнив. Він створює національну систему реагування на кіберінциденти, яку забезпечує Держспецзв’язку, визначає CERT-UA національною командою реагування (національним CSIRT) і доручає їй функції національного контактного центру відповідно до NIS2. Власники об’єктів критичної інформаційної інфраструктури мають повідомляти відповідний CSIRT про всі значні кіберінциденти, а строки, форми й критерії значного інциденту встановлює Держспецзв’язку (стаття 9-1 базового закону).

Хто має обов’язки в Україні, визначає не перелік секторів директиви, а статус організації: оператор критичної інфраструктури, власник об’єкта критичної інформаційної інфраструктури, державний орган чи орган місцевого самоврядування, що обробляє державні інформаційні ресурси. У державних органах утворюють підрозділи з кіберзахисту й призначають керівників з кіберзахисту, а в органах місцевого самоврядування ці функції виконують визначені особи (стаття 5-1). Якщо ж ви постачаєте послуги чи обладнання організаціям у ЄС, NIS2 може зачепити вас через їхні вимоги до безпеки ланцюга постачання.

І NIS2, і український закон про критичну інфраструктуру захищають насамперед послуги, а разом з ними системи, від яких ці послуги залежать. Аварійні бригади водоканалу, ремонтні бригади обленерго, екіпажі екстреної медичної допомоги чи штаб громади покладаються на системи, які перебувають поза центром обробки даних:

• телефони й планшети, на які надходять завдання, карти й плани;
• месенджери для координації реагування, зокрема споживчі чати, які люди почали використовувати самі;
• дані про місцеперебування, фото й записи про інциденти, створені в полі;
• хмарні сервіси й постачальники, на яких розміщені ці застосунки й дані;
• резервні домовленості на випадок, коли мобільна мережа чи центральна система не працює.

Стаття 21 NIS2 вимагає «належних і пропорційних» технічних, операційних та організаційних заходів і перелічує мінімум десять напрямів. Для української організації це не прямий обов’язок, але зручний перелік, з яким легко звірити власні вимоги з кіберзахисту, а для постачальників європейських партнерів часто й мову, якою з ними говорять. З погляду польових команд він виглядає так:

• Аналіз ризиків і політики безпеки: включіть до оцінки ризиків мобільні пристрої, польові застосунки й дані на них.
• Обробка інцидентів: втрачений телефон, захоплений обліковий запис у чаті чи витік треку місцеперебування є інцидентом; бригади мають знати, як про нього повідомити.
• Безперервність діяльності, резервні копії та кризове управління: сплануйте, як бригади працюватимуть, коли відмовить мережа чи центральна система, що на практиці означає офлайн-карти й дані на пристрої.
• Безпека ланцюга постачання: оцініть постачальників польових застосунків і сервіси за ними.
• Безпека під час придбання, розробки й обслуговування, зокрема обробка та розкриття вразливостей.
• Оцінка ефективності вжитих заходів.
• Кібергігієна й навчання: блокування екрана, оновлення, обізнаність щодо фішингу для бригад, а не лише для офісу.
• Політики криптографії та шифрування, які мають охоплювати повідомлення, фото й файли, надіслані з поля.
• Безпека персоналу, контроль доступу та управління активами: знайте, які пристрої існують, у кого вони, і своєчасно відкликайте доступ, коли хтось іде.
• Багатофакторна автентифікація та захищений голосовий, відео- й текстовий зв’язок, а також, де доречно, захищені системи екстреного зв’язку в межах суб’єкта.

В Україні посадові особи операторів критичної інфраструктури та власників об’єктів критичної інформаційної інфраструктури зобов’язані забезпечувати дотримання вимог з кіберзахисту й повідомляти про кіберінциденти; за невиконання вони відповідають згідно із законом (стаття 6). За неподання або несвоєчасне подання обов’язкових повідомлень передбачено адміністративну відповідальність посадових осіб (стаття 9-1). Польовими бригадами часто керують люди, які політики безпеки ніколи не бачили, тож керівник, що її підписує, має знати, як вона працює на виїзді.

Для порівняння: стаття 20 NIS2 покладає відповідальність на органи управління суб’єктів у ЄС, а стаття 34 встановлює нижню межу штрафів, щонайменше 10 млн € або 2 % світового річного обороту для суттєвих суб’єктів і 7 млн € або 1,4 % для важливих.

Sinkaos тримає польову координацію в одній системі, за яку ви можете відзвітувати: ключі для кожного пристрою та їх відкликання, MFA і ключі доступу, наскрізно зашифровані повідомлення й файли, робота офлайн, коли мережа відмовляє, журнал аудиту, захищений від непомітних змін, і вибір між хостингом в ЄС, власними серверами чи автономним вузлом. Він допомагає виконувати вимоги з кіберзахисту, але сам по собі відповідності не забезпечує. Подробиці на сторінці про безпеку і в розділі розгортання.