Содержание
За 30 секунд
- Действует с 1 января 2025 года и частично транспонирует европейскую директиву NIS2 19.
- Применяется к поставщикам услуг, идентифицированным Агентством по кибербезопасности в секторах Постановления 860/2024: от средних предприятий и выше, а госучреждения и несколько категорий (телеком, доверительные услуги, .md) — при любом размере 12.
- О значительном инциденте сообщают Агентству в течение 24 часов, обновление — за 72 часа, итоговый отчёт — в течение месяца 1.
- Постановление 562/2025 установило сроки: анализ рисков за 6 или 9 месяцев, внедрение за 12 или 18, первая оценка соответствия сертифицированными аудиторами за 18 или 24 месяца, затем аудит не реже раза в три года 3.
- Отдельных штрафов в Кодексе о правонарушениях пока нет, но государственный контроль уже действует: внезапные проверки и обязательные предписания 5811.
- Действует
- с 1 января 2025 1
- Орган
- Агентство, национальный CSIRT 4
- Инцидент
- 24 ч · 72 ч · 1 месяц 1
- Аудит
- не реже раза в 3 года 3
Что такое закон 48/2023
Закон № 48 от 16 марта 2023 года о кибербезопасности опубликован в Официальном мониторе 28 апреля 2023 года и вступил в силу 1 января 2025 года (ст. 23) 1. Он определяет, кто отвечает за безопасность сетей и информационных систем, обеспечивающих критические услуги, какие минимальные меры нужно принять и как сообщать об инцидентах.
В преамбуле прямо сказано, что закон частично транспонирует Директиву (ЕС) 2022/2555 (NIS2) 19. Логика та же, но терминология иная: закон говорит о «поставщиках услуг»; деление на основных и важных поставщиков появляется только в постановлениях о применении 23.
К кому применяется
Поставщик услуг — юридическое лицо публичного или частного права, зарегистрированное в Республике Молдова, которое оказывает услуги в критических секторах, определённых Правительством, и идентифицировано компетентным органом (ст. 2) 1. Секторы перечислены в приложении 2 к Постановлению 860/2024: энергетика, транспорт, банки, инфраструктура финансового рынка, здравоохранение, вода, цифровая инфраструктура, управляемые ИКТ-услуги между компаниями, государственное управление и космос, а также «другие секторы» — почта и курьерские услуги, отходы, химия, продукты питания, производство, цифровые поставщики и исследования 2.
Общее правило: закон касается средних и крупных предприятий (ст. 3 ч. (1)), то есть от 50 сотрудников по Закону 179/2016, на который ссылается Постановление 860/2024 12. Но некоторые категории подпадают под закон независимо от размера:
| Без порога размера (ст. 3 ч. (2)) | Что это значит |
|---|---|
| Юридические лица публичного права | Все: органы местного публичного управления — как важные поставщики, остальные — как основные 2. |
| Электронные коммуникации, доверительные услуги | Операторы сетей и услуг, поставщики электронных подписей и печатей 1. |
| Регистратор .md и регистраторы доменов | Независимо от оборота 1. |
| Единственный поставщик услуги | Или тот, чей сбой имел бы значительные последствия по порогам Постановления 860/2024 (например, 10 000 пользователей, доля рынка 5%) 2. |
| Операторы критической инфраструктуры | Определяются специальным законодательством 1. |
Закон не применяется к деятельности, связанной с государственной тайной, обороной и национальной безопасностью, специальной розыскной деятельностью и уголовным преследованием (ст. 3 ч. (3)). Отраслевой закон с не менее эквивалентным действием имеет приоритет (ст. 3 ч. (5)–(7)) 1.
Касается ли вас закон 48? Проверьте за 30 секунд
Ориентировочно, по ст. 3 закона и Постановлению 860/2024. Отнесение решает Агентство; это не юридическая консультация.
Юридические лица публичного права подпадают под закон независимо от размера
Закон распространяется на все юридические лица публичного права (ст. 3 ч. (2) п. i)). Постановление 860/2024 относит их напрямую: органы местного публичного управления — к важным поставщикам, остальные — к основным.
- Уведомления об инцидентах направляются через Правительственный центр реагирования на инциденты (ст. 12 ч. (11)).
- Анализ рисков с отчётом, затем внедрение требований Постановления 562/2025 в сроки для вашей категории.
- Первую оценку соответствия проводят лица с сертификацией в аудите информационной безопасности.
Ваша деятельность входит в список без порога размера
Электронные коммуникации, доверительные услуги, регистратор зоны .md и регистраторы доменов, единственный поставщик основной услуги и операторы критической инфраструктуры подпадают под закон независимо от размера (ст. 3 ч. (2)). Конкретное отнесение делает Агентство административным актом.
- Подготовьте процедуру реагирования на инциденты под сроки 24 часа, 72 часа и один месяц.
- Проверьте пороги уведомления для вашего типа услуги в Постановлении 562/2025 (DNS, облако, центры обработки данных, доверительные услуги).
- Начните с внешнего теста на проникновение: он показывает, что видит злоумышленник, ещё до первой проверки.
Охватываемый сектор и средняя или крупная организация
Это ровно та категория, на которую нацелен закон (ст. 3 ч. (1)): Агентство может идентифицировать вас как поставщика услуг, а самоидентификация возможна и желательна. С этого момента действуют сроки Постановления 562/2025.
- Проведите инвентаризацию систем, поддерживающих услугу, и анализ рисков с отчётом об оценке.
- Запланируйте первую оценку соответствия: 18 месяцев для основных поставщиков, 24 — для важных.
- Тест на проникновение в начале даёт реальный список приоритетов для плана обработки рисков.
Менее 50 сотрудников, в охватываемом секторе
Порог размера в законе — средняя организация (от 50 сотрудников по Закону 179/2016). Вас всё же могут идентифицировать, если вы единственный поставщик услуги или если сбой у вас имел бы значительные последствия по порогам Постановления 860/2024 (например, 10 000 пользователей).
- Проверьте пороги в приложении 2 к Постановлению 860/2024 для вашего сектора.
- Если вы работаете на идентифицированных поставщиков, требования придут к вам через договор.
Поставщик для организаций, подпадающих под закон
Идентифицированный поставщик отвечает и за третью сторону, которая администрирует или размещает его системы (ст. 11 ч. (3)). Постановление 562/2025 требует выбирать вас по критериям безопасности и включать в договор уведомление об инцидентах, право на аудит и управление уязвимостями.
- Подготовьте доказательства, которые запросит клиент: свежий отчёт о тесте на проникновение с повторной проверкой.
- Согласуйте свою процедуру с сроками клиента: у него 24 часа.
Закон не распространяется на вас напрямую
Судя по ответам, вы не входите в секторы или категории закона. Его меры остаются хорошим ориентиром безопасности, и крупные клиенты всё чаще требуют их от поставщиков.
- Если ситуация изменится (рост, новый клиент из охватываемого сектора), пройдите проверку снова.
Ваши обязанности
Статья 11 требует трёх вещей, которые видны при проверке: оценки уязвимостей и рисков с отчётом (ч. (2) п. 1)), десяти минимальных мер безопасности (п. 2) лит. a)–j)) и их проверки, «в том числе путём проведения аудитов безопасности» (п. 6)) 1. Меры повторяют главы ст. 21 NIS2 9:
- Политики анализа рисков и безопасности информационных систем.
- Управление инцидентами: обнаружение, реагирование, поэтапное уведомление.
- Непрерывность деятельности: резервные копии, восстановление после аварий, управление кризисами.
- Безопасность цепочки поставок, в том числе в отношении прямых поставщиков.
- Безопасность при приобретении, разработке и сопровождении систем, включая управление уязвимостями.
- Оценка эффективности мер — тестирование, а не только документы.
- Кибергигиена и обучение персонала.
- Криптография и шифрование.
- Безопасность персонала, управление доступом и активами.
- Многофакторная аутентификация и защищённые коммуникации.
Приложение к Постановлению 562/2025 детализирует меры: как минимум один ответственный за безопасность подчиняется напрямую руководству, политика безопасности пересматривается ежегодно, риски переоцениваются не реже раза в год, журналы хранятся не менее 12 месяцев, а критический доступ требует многофакторной аутентификации 3. Поставщик отвечает и за третью сторону, которая администрирует или размещает его системы (ст. 11 ч. (3)) 1.
Сроки по Постановлению 562/2025
Постановление от 3 сентября 2025 года заменило прежние минимальные требования (Постановление 201/2017) и установило разные сроки по категориям 3:
| Обязанность | Основные поставщики | Важные поставщики |
|---|---|---|
| Анализ рисков и план обработки | 6 месяцев | 9 месяцев |
| Отчёт о рисках и план — в Агентство | 10 дней после утверждения | 10 дней после утверждения |
| Полное внедрение требований | 12 месяцев | 18 месяцев |
| Первая оценка соответствия сертифицированными аудиторами | 18 месяцев | 24 месяца |
| Затем аудит безопасности | не реже раза в 3 года; отчёт в Агентство в течение месяца | не реже раза в 3 года |
Действующий сертификат ISO/IEC 27001 освобождает от приложения к постановлению, но Агентство всё равно может вас оценить. Неприменяемое требование нужно обосновать и сообщить Агентству в течение 10 дней 3.
Сообщение об инцидентах: 24 ч, 72 ч, месяц
Инцидент имеет значительное воздействие, если его серьёзность в отчёте о рисках не ниже «высокой», если нарушен обязательный уровень услуг, если затронут другой поставщик или если причинён значительный ущерб (ст. 12 ч. (5)) 1. Сроки установлены законом; Постановление 562/2025 определяет содержание каждого этапа и пороги по типам услуг (DNS, облако, ЦОД, MSP) 13.
- 0 чВы узнаёте об инциденте
С этого момента идут сроки. Зафиксируйте его в журнале.
- ≤ 24 чПервичное уведомление
«Без неоправданной задержки» в Агентство; госучреждения — через Правительственный центр реагирования. Агентство также отвечает в течение 24 часов 1.
- ≤ 72 чОбновление
Первичная оценка: серьёзность, воздействие и индикаторы компрометации 1.
- 1 мес.
Уведомление направляется через платформу Агентства или на [email protected] 7. Третья сторона, администрирующая ваши системы, обязана уведомить вас в те же сроки (ст. 12 ч. (4)) 1.
Контроль, надзор и санкции
Агентство осуществляет надзор за поставщиками, в том числе через аудиты безопасности (ст. 18), и проводит государственный контроль на основе рисков (ст. 19) 1. Постановление 825/2025 допускает внезапные проверки с участием не менее двух инспекторов, а годовой план проверок публикуется. По итогам Агентство может выносить предупреждения, обязательные предписания и требовать выполнения рекомендаций аудита 5.
Место тестирования безопасности
Постановление не требует «ежегодного пентеста» дословно. Оно требует более точного: тестов безопасности, определяемых на основе риска, по документированной методологии, с фиксацией типа, охвата, времени и результатов, а критические находки устраняются (приложение к Постановлению 562/2025, п. 74–76); сканирования уязвимостей через запланированные интервалы (п. 88.2) и тестов в цикле разработки (п. 64.4) 3. Первую оценку соответствия проводят лица с сертификацией в аудите информационной безопасности 3.
| Что требует акт | Чего недостаточно | Что даёт тест на проникновение |
|---|---|---|
| Оценка уязвимостей и рисков с отчётом (ст. 11) | Таблица рисков, заполненная в офисе | Реальные уязвимости с оценкой и доказательствами, которые питают анализ 1 |
| Тесты по документированной методологии (п. 74–76) | Разовое сканирование без определённого охвата | Охват, методология, время, результаты — ровно то, что нужно фиксировать 3 |
| Устранение критических находок | Список находок без контроля устранения | Повторная проверка, подтверждающая устранение |
| Документированное согласие до тестирования (Постановление 824/2025) | Устная договорённость | Подписанное разрешение на тестирование: стороны, объект, период, типы тестов, ограничения 6 |
ИТ-поставщики и цепочка поставок
Даже если ваша компания не идентифицирована, закон может дойти до вас через клиента. Глава V приложения к Постановлению 562/2025 требует от идентифицированных поставщиков выбирать партнёров по критериям безопасности, включать в договор уведомление об инцидентах, право на аудит, управление уязвимостями и правила субподряда и вести реестр прямых поставщиков 3.
Для компании, занимающейся разработкой, хостингом или сопровождением, это означает новые вопросы на тендерах и при продлении договоров: есть ли у вас свежий тест на проникновение? Что вы исправили? Как вы сообщите нам об инциденте, чтобы мы уложились в 24 часа?
С чего начать: шесть шагов
- Проверьте отнесение
Сектор, размер, категории без порога. Если вы получили уведомление от Агентства, у вас 15 дней на возражения 2.
- Проведите инвентаризацию
Системы, обеспечивающие критическую услугу, кто к ним имеет доступ и что доступно из интернета.
- Протестируйте то, что открыто
Внешний тест на проникновение показывает, что найдёт злоумышленник, и задаёт приоритеты анализа рисков.
- Составьте анализ рисков
С отчётом и планом обработки, направленными в Агентство в течение 10 дней после утверждения 3.
- Подготовьте процедуру по инцидентам
На 24 ч, 72 ч и месяц, с заранее заполненным шаблоном и контактами Агентства 17.
- Соберите доказательства
Отчёт о тестировании с повторной проверкой, журналы за 12 месяцев и реестр поставщиков — ровно то, что потребует оценка соответствия 3.
Частые вопросы
Что такое закон 48/2023?
Как понять, подпадает ли моя компания под закон?
В какие сроки нужно сообщить об инциденте?
Требует ли закон тестов на проникновение?
Есть ли штрафы за несоблюдение?
Источники
Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.
- Закон № 48/2023 о кибербезопасности (консолидированная редакция)legis.md · проверено 22 октября 2026 г.
- Постановление Правительства № 860/2024: идентификация поставщиков услуг (секторы, пороги, процедура)legis.md · проверено 22 октября 2026 г.
- Постановление Правительства № 562/2025: обязанности по кибербезопасности и уведомление об инцидентахlegis.md · проверено 22 октября 2026 г.
- Постановление Правительства № 1028/2023: создание Агентства по кибербезопасностиlegis.md · проверено 22 октября 2026 г.
- Постановление Правительства № 825/2025: государственный контроль в области кибербезопасностиlegis.md · проверено 22 октября 2026 г.
- Постановление Правительства № 824/2025: скоординированное раскрытие уязвимостейlegis.md · проверено 22 октября 2026 г.
- Агентство по кибербезопасности: сообщить об инцидентеncsc.md · проверено 22 октября 2026 г.
- Информационная записка МЭРЦ к проекту постановления о контроле (декабрь 2025)gov.md · проверено 22 октября 2026 г.
- Директива (ЕС) 2022/2555 (NIS2)EUR-Lex · проверено 22 октября 2026 г.
- Закон № 48/2023, редакция, действующая с 29.03.2027 (изменён Законом 209/2026)legis.md · проверено 22 октября 2026 г.
- Кодекс о правонарушениях (действующая редакция)legis.md · проверено 22 октября 2026 г.
Об авторах
Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.
Информационный материал, не юридическая консультация. Правовые тексты могут меняться; конкретное отнесение определяет Агентство по кибербезопасности. Источники проверены на дату обновления.