Руководство по соответствию · ЕС и Румыния

NIS2 и GDPR:
меры, сроки, доказательства

Два пересекающихся режима: NIS2 защищает услуги, GDPR — персональные данные. Оба требуют регулярно проверять эффективность мер безопасности. Что требует каждый, что добавляет Румыния и как выглядят доказательства — по статьям, с источниками.

Обновлено 9 мин чтения 11 источников
Содержание
  1. Два режима, одна цель
  2. Кого касается NIS2
  3. Что требует статья 21
  4. Где упоминаются тесты на проникновение
  5. Отчётность об инцидентах: NIS2 и GDPR
  6. Румыния: постановление 155/2024
  7. Штрафы и ответственность руководства
  8. А в Республике Молдова?
  9. Как собрать доказательства через тест
  10. Частые вопросы
  11. Источники

За 30 секунд

  • NIS2 применяется с 18 октября 2024 года к средним и крупным субъектам в 18 секторах и, независимо от размера, к ряду критических категорий 1.
  • Ст. 21(2)(f) NIS2 и ст. 32(1)(d) GDPR требуют одного и того же: процесса оценки эффективности мер безопасности 18.
  • О значительном инциденте сообщают за 24 ч, 72 ч и месяц (NIS2), о нарушении данных — за 72 ч (GDPR) 18.
  • Румыния перенесла NIS2 постановлением 155/2024: обязательный аудит аудиторами, аттестованными DNSC, и отчёт за 6 ч при трансграничном влиянии 4.
  • Тесты на проникновение прямо названы в имплементационном регламенте, руководстве ENISA и руководствах EDPB как средство проверки 239.
NIS2 применяется
18.10.2024 1
Раннее предупреждение
24 ч 1
Уведомление GDPR
72 ч 8
Штраф NIS2 (основные)
10 млн € / 2% 1

Два режима, одна цель

NIS2 (Директива (ЕС) 2022/2555) принята 14 декабря 2022 года. Государства должны были перенести её до 17 октября 2024 года, меры применяются с 18 октября 2024 года, когда первая директива NIS утратила силу 1. Она касается непрерывности и безопасности услуг, важных для экономики и общества.

GDPR (Регламент (ЕС) 2016/679) защищает персональные данные. Ст. 32 требует мер безопасности, соответствующих риску, включая «процесс регулярного тестирования, анализа и оценки эффективности технических и организационных мер» (ст. 32(1)(d)) 8.

Кого касается NIS2

NIS2 применяется к субъектам из секторов приложений I и II, которые являются как минимум средними предприятиями. Некоторые категории охвачены независимо от размера: публичные сети и услуги электронной связи, поставщики доверительных услуг, реестры TLD, поставщики DNS, единственные поставщики в государстве и критические субъекты (ст. 2) 1.

ПриложениеСекторы
I — высокая критичностьЭнергетика, транспорт, банки, инфраструктура финансовых рынков, здравоохранение, питьевая вода, сточные воды, цифровая инфраструктура, управляемые ИКТ-услуги (B2B), госуправление, космос 1
II — другие критические секторыПочтовые и курьерские услуги, обращение с отходами, химия, продукты питания, производство, цифровые поставщики, исследования 1

Основные субъекты — это в основном крупные из приложения I, квалифицированные поставщики доверительных услуг, реестры TLD и DNS, центральное госуправление и критические субъекты; остальные — важные (ст. 3) 1. Разница важна для надзора и штрафов: основные проверяются ex ante, важные — ex post 1.

Что требует статья 21

Ст. 21(2) NIS2 устанавливает десять минимальных мер на основе подхода «все угрозы» 1:

  • a) анализ рисков и политики безопасности систем;
  • b) управление инцидентами;
  • c) непрерывность деятельности: резервные копии, аварийное восстановление, кризисное управление;
  • d) безопасность цепочки поставок;
  • e) безопасность при приобретении, разработке и сопровождении систем, включая обработку и раскрытие уязвимостей;
  • f) политики и процедуры оценки эффективности мер управления рисками;
  • g) кибергигиена и обучение;
  • h) криптография и, при необходимости, шифрование;
  • i) безопасность персонала, контроль доступа, управление активами;
  • j) многофакторная или непрерывная аутентификация и защищённая связь, включая экстренную.

Имплементационный регламент (ЕС) 2024/2690 детализирует эти меры для цифровых субъектов: DNS, TLD, облака, дата-центры, CDN, поставщики управляемых услуг (MSP, MSSP), онлайн-площадки, поисковые системы, соцсети и доверительные услуги (ст. 1) 2. Для остальных он остаётся полезным ориентиром.

Где упоминаются тесты на проникновение

Ни NIS2, ни GDPR не пишут «тест на проникновение» в статьях. Это делают тексты, которые их применяют: соображение 15 регламента 2024/2690 говорит, что тесты безопасности «могут включать … тесты на проникновение, сканирование уязвимостей», статическое и динамическое тестирование приложений или аудиты 2. Соображение 128 директивы отмечает, что органы могут использовать аудиты и тесты на проникновение 1.

ДокументЧто требует
Рег. 2024/2690, п. 6.5Политика тестирования; охват и частота по риску; задокументированная методология; результаты с критичностью по каждой находке; критичные находки устранены 2
Рег. 2024/2690, п. 6.10.2(b)Сканирование уязвимостей с плановой периодичностью и фиксацией результатов 2
ENISA, техническое руководствоОценка уязвимостей, тесты на проникновение, red teaming; как доказательство — отчёты предыдущих тестов 3
EDPB, руководство 01/2021Периодические ИТ-аудиты, оценка уязвимостей и тесты на проникновение как меры против нарушений 9

Отчётность об инцидентах: NIS2 и GDPR

  1. 24 ч
    NIS2: раннее предупреждение

    С момента, когда вы узнали о значительном инциденте (ст. 23(4)(a)) 1.

  2. 72 ч
    NIS2: уведомление об инциденте

    С первичной оценкой (ст. 23(4)(b)); по запросу — промежуточный отчёт 1.

  3. 72 ч
    GDPR: уведомление органа по защите данных

    «Без неоправданной задержки и, если возможно», в течение 72 часов (ст. 33(1)); обработчик сообщает контролёру без задержки 8.

  4. 1 мес.
    NIS2: итоговый отчёт

    Не позднее месяца после уведомления; при продолжающемся инциденте — сначала отчёт о ходе (ст. 23(4)(d), (e)) 1.

Людей, чьи данные затронуты, информируют, если риск для них высокий; это не требуется, если данные были зашифрованы и непонятны (ст. 34) 8. Каждое нарушение документируется, даже без уведомления (ст. 33(5)) 8. Руководство EDPB 9/2022 объясняет уведомление пошагово 10.

Два режима взаимодействуют: орган NIS информирует орган по защите данных, если нарушение ст. 21 или 23 может повлечь нарушение данных (ст. 35(1)). Если орган по защите данных уже оштрафовал за то же деяние, штраф NIS2 не добавляется (ст. 35(2)) 1.

Часы инцидента: что, кому и в какой срок сообщать

Ориентировочно, по ст. 23 NIS2, ст. 15 постановления 155/2024 и ст. 33–34 GDPR. Отсчёт начинается с момента, когда вы узнали об инциденте. Не юридическая консультация.

1. Под какой режим подпадает организация?

Румыния: постановление 155/2024

Румыния перенесла NIS2 срочным постановлением № 155/2024, опубликованным в Официальном мониторе № 1332 от 31 декабря 2024 года 4 и утверждённым с 23 поправками законом № 124/2025, действующим с 10 июля 2025 года 5. Орган — DNSC (Национальный директорат кибербезопасности) 4. Постановление применяется без ущерба для GDPR (ст. 2(5)) 5.

ШагСрок
Уведомление DNSC для регистрации30 дней с даты, когда положения стали к вам применимы (ст. 18(2)) 4
Решение DNSC60 дней (основные), 150 дней (важные) 4
Оценка уровня риска60 дней после решения (ст. 18(6)) 4
Самооценка зрелости60 дней после оценки риска, затем ежегодно (ст. 18(7), 12(4)) 4
План устранения (основные)30 дней после самооценки (ст. 12(5)) 4
Ответственные за безопасность30 дней после решения о регистрации (ст. 14(3)) 5
  • Обязательный аудит: основные и важные субъекты проходят аудит кибербезопасности с периодичностью, устанавливаемой приказом DNSC по уровню риска (ст. 11(5)) 4.
  • Аудит проводят аудиторы, аттестованные DNSC; аттестат действует 3 года, один аудитор не может проводить более 3 аудитов подряд у одного субъекта (ст. 58) 4.
  • Об инцидентах сообщают через платформу PNRISC за 24 ч / 72 ч / месяц и за 6 ч при трансграничном влиянии (ст. 15) 4.
  • Приказы DNSC 1/2025 и 2/2025 (Офиц. монитор № 776 от 20.08.2025) устанавливают уведомление о регистрации и методологию уровня риска 6.
  • Приказ DNSC 1/2026 (Офиц. монитор № 712 от 27.08.2026) утверждает меры управления рисками по 6 функциям и 3 уровням обеспечения и методологию самооценки; субъекты DORA применяют меры DORA 7.

Штрафы и ответственность руководства

РежимПотолок штрафа
NIS2, основные субъектыне менее 10 млн € или 2% мирового оборота, что больше (ст. 34(4)) 1
NIS2, важные субъектыне менее 7 млн € или 1,4% (ст. 34(5)) 1
Румыния, основные / важныеот 10 000 леев до 10 млн € или 2% / от 5 000 леев до 7 млн € или 1,4% (ст. 60(2)) 5
GDPR, безопасность и уведомлениедо 10 млн € или 2% (ст. 83(4)(a), для ст. 25–39) 8

NIS2 переносит ответственность наверх: органы управления утверждают меры, контролируют их и могут быть привлечены к ответственности; их члены обязаны проходить обучение (ст. 20) 1. Для основных субъектов орган может потребовать временного запрета на исполнение руководящих функций (ст. 32(5)(b)) 1. В Румынии руководство проходит аккредитованные курсы (ст. 14) 4.

А в Республике Молдова?

NIS2 не применяется в Республике Молдова напрямую. Закон № 48/2023 о кибербезопасности частично её переносит, со своими категориями, сроками и органом 11. Молдавские компании, работающие на клиентов из ЕС под NIS2, всё равно ощущают директиву через требования к безопасности цепочки поставок ст. 21(2)(d) 1.

Для Республики Молдова читайте руководство по закону 48/2023: кого он касается, какие сроки действуют и как сообщать об инциденте.

Как собрать доказательства через тест

  1. Охват по риску

    Охват и частота тестов определяются оценкой рисков (п. 6.5.2(a)) 2.

  2. Задокументированная методология

    Тестирование идёт по письменной методологии; ENISA ссылается на OWASP WSTG и OSSTMM (п. 6.5.2(b)) 23.

  3. Находки с критичностью

    Тип, охват, время и результаты с критичностью и мерами по каждой находке (п. 6.5.2(c)) 2.

  4. Устранение и повторная проверка

    Критичные находки устраняются (п. 6.5.2(d)); повторная проверка закрывает каждую с доказательством 2.

  5. Отчёт руководству

    Результаты независимых проверок докладываются органам управления (п. 2.3), которые отвечают за меры (ст. 20 NIS2) 12.

Частые вопросы

Требуют ли NIS2 и GDPR тестов на проникновение?
Статьи требуют процесса оценки эффективности мер (ст. 21(2)(f) NIS2, ст. 32(1)(d) GDPR). Регламент 2024/2690, руководство ENISA и руководства EDPB называют тесты на проникновение среди средств проверки 239.
С какой даты применяется NIS2?
С 18 октября 2024 года; срок переноса — 17 октября 2024 года 1.
В какой срок нужно сообщить об инциденте?
NIS2: предупреждение за 24 ч, уведомление за 72 ч, итоговый отчёт за месяц 1. GDPR: уведомление за 72 ч, если возможно 8. В Румынии — 6 ч при трансграничном влиянии 4.
Можно ли получить штраф и по NIS2, и по GDPR за один инцидент?
Не за одно и то же деяние: если орган по защите данных уже оштрафовал, штраф NIS2 не налагается; другие меры возможны (ст. 35(2) NIS2) 1.
Кто проводит аудит NIS2 в Румынии?
Аудиторы, аттестованные DNSC, с аттестатом на 3 года; расходы несёт субъект 4.
Применяется ли NIS2 в Республике Молдова?
Не напрямую. Закон № 48/2023 частично её переносит; поставщики клиентов из ЕС всё равно ощущают требования через цепочку поставок 111.

Источники

Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.

  1. Директива (ЕС) 2022/2555 (NIS2)eur-lex.europa.eu · проверено 22 октября 2026 г.
  2. Имплементационный регламент (ЕС) 2024/2690 — технические требования для цифровых субъектовeur-lex.europa.eu · проверено 22 октября 2026 г.
  3. ENISA — техническое руководство по внедрению NIS2 (v1.0, июнь 2025)enisa.europa.eu · проверено 22 октября 2026 г.
  4. Срочное постановление № 155/2024 о рамках кибербезопасности сетей и информационных систем (Румыния)legislatie.just.ro · проверено 22 октября 2026 г.
  5. Закон № 124/2025 об утверждении постановления 155/2024 (Румыния)legislatie.just.ro · проверено 22 октября 2026 г.
  6. DNSC — сообщение о приказах 1/2025 и 2/2025 (регистрация и уровень риска)agerpres.ro · проверено 22 октября 2026 г.
  7. Приказ DNSC № 1/2026 — меры управления рисками и самооценка зрелостиlegis.medleg.ro · проверено 22 октября 2026 г.
  8. Регламент (ЕС) 2016/679 (GDPR), консолидированный текстeur-lex.europa.eu · проверено 22 октября 2026 г.
  9. EDPB — Руководство 01/2021 с примерами уведомления о нарушениях данныхedpb.europa.eu · проверено 22 октября 2026 г.
  10. EDPB — Руководство 9/2022 об уведомлении о нарушениях данныхedpb.europa.eu · проверено 22 октября 2026 г.
  11. Закон № 48/2023 о кибербезопасности (Республика Молдова)legis.md · проверено 22 октября 2026 г.

Об авторах

Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.

Команда Pentest.mdИнженеры по безопасности с сертификатами CEH, CISSP, CISA и CISM

Информационный материал, не юридическая консультация. Тексты законов могут меняться, конкретную классификацию определяют компетентные органы. Источники проверены на дату обновления.

Связанные руководства

Руководство по закону 48/2023Руководство по DORA и TLPTРуководство по ISO 27001 и SOC 2Руководство по PCI DSS v4.0.1Как подготовиться к пентестуПентест или сканирование уязвимостей?Все руководства →

Подготовьте доказательства до аудита

Тест на проникновение с задокументированной методологией, находками по критичности, устранением и повторной проверкой — то, что требуют ст. 21 NIS2 и ст. 32 GDPR.

Запросить предложение →Задать вопрос