DORA, NIS2 и CRA: как разобраться в новом регулировании кибербезопасности ЕС
Три европейских регламента меняют правила игры для финансовых компаний, критических секторов и производителей цифровых продуктов. Разбираем, кто под них попадает, какие сроки горят и что делать уже сейчас.
17 января 2025 года финансовый сектор Европы проснулся в новой реальности: регламент DORA перестал быть теоретическим документом и стал обязательным законом. Одновременно с этим страны ЕС всё ещё переносят в национальное законодательство директиву NIS2, а производители цифровых продуктов отсчитывают месяцы до вступления в силу основных требований CRA. Три регуляторных акта, три разных адресата, один общий вопрос: как не утонуть в требованиях и превратить соответствие из бюрократии в реальную устойчивость?
Почему регуляторов стало так много
Причина проста и неприятна: кибератаки стали сложнее, дороже и разрушительнее, а экономика — всё более взаимосвязанной. Когда сбой в работе одного поставщика платежных услуг останавливает цепочку из десятков банков, регулятор больше не может позволить себе реагировать постфактум. Именно поэтому европейский ландшафт последних лет характеризуется резким ростом регуляторного давления и сложности — и это не временная кампания, а новая норма.
DORA, NIS2 и CRA — не единственные акты в этом созвездии. Они дополняют GDPR, отраслевые телеком-требования, сертификационные схемы вроде CSA и правила для критических объектов из директивы CER. Проблема не только в объёме требований, но и в их совместимости: один и тот же поставщик ИТ-услуг может одновременно попадать под DORA как критический вендор банка, под NIS2 как субъект критической инфраструктуры и под CRA как производитель продукта с цифровыми элементами. Разбираться в этой головоломке приходится каждой организации самостоятельно.
DORA: устойчивость финансового сектора
DORA (Digital Operational Resilience Act, Регламент (ЕС) 2022/2554) — это первый случай, когда требования к цифровой операционной устойчивости в финансовом секторе вводятся не директивой, а напрямую применимым регламентом. Это принципиальный момент: не нужно ждать, пока каждая страна перенесёт нормы в своё законодательство, — правила действуют одинаково для всех.
Регламент решает две задачи. Во-первых, он унифицирует разрозненные национальные требования, которые раньше распространялись на разные типы финансовых организаций: кредитные и платёжные учреждения, страховщиков, пенсионные фонды, управляющих активами. Теперь рамка общая и охватывает гораздо больше участников. Во-вторых, он заставляет финансовые институты выстроить и поддерживать по-настоящему robust-систему управления ИКТ-рисками — и это требование напрямую проецируется на их поставщиков технологий.
Что это значит для ИТ-провайдеров
Если вы поставляете банку или страховой компании сервис, от которого зависит критическая функция, вы автоматически оказываетесь в зоне внимания DORA. Финансовая организация обязана управлять рисками своего поставщика, проверять его, включать соответствующие условия в договоры и обеспечивать непрерывность услуг даже при сбое вендора. Для многих технологических компаний это стало неприятным открытием: их клиенты внезапно начали требовать не маркетинговых обещаний, а доказательств.
Сейчас DORA вступила в фазу эксплуатации и сопровождения. Именно из практики тестирования систем управления рисками, отчётности об инцидентах и оценки влияния сбоев на устойчивость сектора будут извлечены уроки и лучшие практики — в том числе в области непрерывности бизнеса и безопасности цепочки поставок. И эти практики, вероятнее всего, станут ориентиром для других отраслей.
Примечание: DORA — это lex specialis по отношению к NIS2. Финансовый сектор выведен из-под действия директивы именно потому, что для него существует собственный, более детальный регламент.
NIS2: восемнадцать критических секторов
Директива NIS2 (Директива (ЕС) 2022/2555) устанавливает единую правовую рамку для повышения устойчивости и кибербезопасности в 18 критических секторах по всей Европе. В отличие от DORA, это директива — то есть её нужно перенести в национальное законодательство каждой страны. И здесь начинается самое интересное.
NIS2 обновляет и усиливает предыдущую директиву NIS1, расширяя как список секторов, так и круг компаний. Основной адресат — средние и крупные предприятия. Телекоммуникации, у которых раньше было собственное отраслевое регулирование, теперь тоже входят в общий контур. Директива требует обновления национальных стратегий кибербезопасности и вводит более строгие требования, особенно в части цепочки поставок, обмена информацией, мониторинга, отчётности об инцидентах и — что важно — персональной ответственности руководства.
Сроки и состояние переноса
К началу 2025 года большинство европейских стран ещё не завершили перенос директивы в национальное законодательство. Испания, например, запустила процесс 16 января 2025 года с публичных консультаций по предварительному проекту закона о координации и управлении кибербезопасностью. Для компаний это означает неприятную неопределённость: требования уже известны, но национальные детали — процедуры отчётности, платформы, сертификационные режимы — всё ещё формируются.
Главная задача властей — обеспечить максимальную простоту. Включая единую платформу управления инцидентами и их отчётности, а также понятный режим сертификации. Задача бизнеса — провести оценку рисков, внедрить соответствующие меры безопасности и быть способным доказать соответствие. Именно здесь схемы безопасности и международные сертификаты вроде ISO 27000 становятся ключевым инструментом: они помогают не изобретать доказательства с нуля, а опираться на признанные рамки.
Отдельный вызов — очень короткие сроки уведомления об инцидентах. Компании, которые годами жили без формализованного процесса реагирования, обнаруживают, что теперь им нужно не только остановить атаку, но и уложить отчётность в жёсткие временные окна. Это меняет требования к системам мониторинга и к тому, как организована работа дежурных смен.
CRA: безопасность продуктов с цифровыми элементами
Третий акт — CRA (Cyber Resilience Act, Регламент (ЕС) 2024/2847) — вступил в силу 10 декабря 2024 года. Его основные обязательства начнут применяться с 11 декабря 2027 года, и это тот случай, когда кажущийся запас времени обманчив: регламент сложный, а производителям нужно успеть перестроить процессы разработки, а не просто дописать пару абзацев в документацию.
CRA дополняет DORA и NIS2, но адресован другому субъекту. Если первые два акта регулируют предоставление услуг, то CRA — продукты с цифровыми элементами, включая программное и аппаратное обеспечение. Речь идёт о гарантиях, которые производители дают потребителям и пользователям.
Что именно вводит регламент:
- принцип безопасности с этапа проектирования (security by design);
- обязательное управление уязвимостями на протяжении жизненного цикла продукта;
- отчётность об инцидентах;
- обязательство выпускать обновления безопасности;
- оценку соответствия и маркировку Еврокомиссии;
- требования к прозрачности;
- ответственность производителей, импортёров и дистрибьюторов.
По духу CRA перекликается с инициативами по маркировке, такими как американская Cyber Trust Mark для IoT-устройств, и с сертификационными схемами. Смысл один: покупатель должен иметь возможность отличить продукт, который будет получать патчи и не развалится от первой уязвимости, от продукта, который производитель забросит через полгода после релиза.
Где пересекаются три регламента
Самая коварная часть всей истории — не сам объём требований, а их взаимосвязь. Одна компания может оказаться в нескольких контурах одновременно, и тогда возникает вопрос: какие требования приоритетны, какие отчёты куда подавать и как не дублировать усилия?
| Акт | Кого касается | Ключевой фокус |
|---|---|---|
| DORA | Финансовый сектор и его ИТ-поставщики | Операционная устойчивость, управление ИКТ-рисками |
| NIS2 | 18 критических секторов, средние и крупные компании | Кибергигиена, отчётность, ответственность руководства |
| CRA | Производители продуктов с цифровыми элементами | Безопасность по дизайну, уязвимости, обновления |
Из этой таблицы видно главное: регуляторы движутся с разных сторон к одной цели — устойчивости цифровой экономики. Финансовый сектор получил самый детальный режим через DORA. Критические секторы — общую рамку через NIS2. Производители — требования к самому продукту через CRA. Физическая и логическая безопасность при этом должны рассматриваться совместно и целостно, а не как два независимых направления.
Внимание: типичная ошибка — рассматривать соответствие как разовый проект «сдать и забыть». Все три акта предполагают постоянный цикл: оценка рисков, меры, доказательства, отчётность, пересмотр. Компания, которая подготовилась один раз к дате вступления в силу и остановилась, через год окажется в том же положении, что и до начала работы.
Что делать бизнесу уже сейчас
Практический план выглядит не как список бюрократических галочек, а как последовательность инженерных и управленческих решений. Наш опыт пентестов показывает, что компании, которые подходят к регулированию через реальную проверку своих защитных механизмов, проходят аудит значительно спокойнее — потому что у них есть не бумаги, а работающие контроли.
- Определите свой регуляторный периметр. Под какие акты вы попадаете — как субъект, как поставщик или как производитель? Учтите, что роли могут совмещаться.
- Проведите оценку рисков. Не формальную, а такую, которая отвечает на вопрос: какие функции критичны и что произойдёт при их отказе.
- Опишите цепочку поставок. Кто ваши критичные вендоры, какие у них гарантии, что будет, если они исчезнут или будут скомпрометированы.
- Выстройте процесс реагирования на инциденты. С реалистичными сроками обнаружения, эскалации и отчётности.
- Опирайтесь на признанные рамки. ISO 27000 и аналогичные схемы экономят силы при доказательстве соответствия.
- Проверяйте, а не предполагайте. Тестирование на проникновение и упражнения по реагированию показывают, работают ли меры в реальности, а не в презентации.
Отдельно стоит сказать о роли руководства. NIS2 прямо усиливает ответственность топ-менеджмента, а DORA требует, чтобы управление ИКТ-рисками было встроено в общую систему управления, а не отдано на откуп одному отделу. Кибербезопасность перестаёт быть технической темой и становится вопросом корпоративного управления — с вытекающими последствиями для бюджета, приоритетов и карьеры конкретных людей.
Куда всё это движется
Европейский регуляторный ландшафт вряд ли упростится в обозримом будущем. Скорее наоборот: после DORA, NIS2 и CRA появятся имплементационные акты, уточнения, сертификационные схемы и национальные детали. Главный вызов для властей — обеспечить координацию между актами и ведомствами, чтобы бизнес не тонул в противоречивых требованиях. Главный вызов для компаний — не воспринимать соответствие как финальную точку, а встроить его в постоянный цикл управления рисками.
Ирония в том, что цель у всех одна: операционная устойчивость. Регуляторы приходят к ней через требования и отчётность, а бизнес — через реальную способность выдерживать атаки и восстанавливаться. Там, где эти два пути совпадают, и рождается настоящая безопасность. Компании, которые поняли это раньше других, получат не только соответствие, но и конкурентное преимущество — потому что устойчивость, в отличие от сертификата на стене, нельзя подделать.