NIS2 и Закон о кибербезопасности: что делать и к какому сроку

CloudHosting отвечает на этот вопрос на бесплатном звонке на 30 минут, а латвийский закон решает его в основном двумя числами: компания из перечисленных отраслей с 50 и более работниками либо с оборотом или балансом не менее 10 миллионов EUR обычно является субъектом. Крупные коммерсанты в отраслях высокой критичности становятся существенными поставщиками услуг, остальные важными, и обязанности у обеих групп почти одинаковые. Размер не решает в трёх случаях: для признанных значимыми для национальной безопасности с 1 октября 2026 года, для владельцев критической ИКТ-инфраструктуры и для услуг регистрации доменных имён по статье 23. Самопроверка на этой странице даёт первый ответ, а в пограничных случаях решает официальный тест Министерства обороны.

CloudHosting берёт оплату за работу по NIS2 по шагам: бесплатный звонок на 30 минут, затем аудит ИТ и NIS2 от 200 EUR по фиксированной цене, согласованной до начала работ. Звонок показывает, касается ли вас закон вообще и что стоит проверить. Проект по закрытию пробелов считаем после аудита по тому, что он реально нашёл: компании с описанными процессами и работающими резервными копиями нужно заметно меньше работы, чем той, которая начинает с нуля, и брать с обеих одинаковую сумму было бы неправильно. Постоянное обслуживание после этого не обязательно и согласуется отдельно, поэтому вы никогда не соглашаетесь на неизвестную сумму.

Аудит пробелов NIS2 в CloudHosting обычно занимает несколько дней. Точный срок зависит от размера инфраструктуры, от того, сколько систем и процессов нужно изучить, и от того, как быстро ваша команда отвечает на вопросы и выдаёт доступы. За это время наши инженеры опрашивают ответственных людей, изучают конфигурации и документацию и сверяют всё с требованиями закона. Исправления планируются отдельно после отчёта, потому что их сроки зависят от найденного: часть пробелов закрывается быстро, другим нужен бюджет. Когда ваша команда внедрит изменения, мы проводим повторную оценку, чтобы убедиться, что пробелы действительно закрыты, а не просто отмечены как выполненные.

В конце проекта NIS2 с CloudHosting у вас есть шесть вещей: отчёт о пробелах с приоритетами, реестр рисков и комплект политик безопасности, план технических мер для вашей инфраструктуры, план реагирования на инциденты с порядком отчётности, отчёт для руководства понятным языком и повторная оценка после исправлений. Политики пишутся под вашу компанию и её реальные процессы, а не копируются из шаблона, потому что надзорный орган быстро замечает общие фразы. План реагирования говорит вашим людям, кто что делает и кто куда сообщает при инциденте. Отчёт для руководства можно показать правлению или надзорному органу как подтверждение, что работа действительно выполнена.

Аудит пробелов NIS2 в CloudHosting проверяет семь основных областей: управление рисками, политики безопасности, реагирование на инциденты и отчётность, непрерывность бизнеса с резервными копиями, безопасность цепочки поставок, контроль доступа и ответственность руководства. Список смешивает документы и инженерную работу: папка политик без работающих резервных копий проверку не пройдёт, как и хорошие копии без описанных процедур, потому что надзорный орган смотрит на обе стороны. Ответственность руководства означает, что решения о рисках должно понимать и утверждать руководство, а не перекладывать всё на ИТ-отдел. Аудит проверяет каждую область на вашей реальной инфраструктуре и процессах и за несколько дней передаёт список исправлений с приоритетами.

NIS2 это директива ЕС по кибербезопасности, которую Латвия ввела в действие Законом о национальной кибербезопасности, а CloudHosting в Риге помогает компаниям её выполнить: аудит, письменные политики и технические меры в одном проекте. Директива обязывает компании критических отраслей управлять киберрисками, защищать инфраструктуру и сообщать о серьёзных инцидентах. Сама по себе она компанию напрямую не связывает: каждая страна переносит её в национальное законодательство, поэтому в Латвии соответствие является юридической обязанностью, а не рекомендацией. На практике компания должна знать свои риски, иметь письменные правила работы с ними и уметь реагировать, когда что-то идёт не так.

Инженеры CloudHosting в Риге сводят поправки к Закону о национальной кибербезопасности, действующие с 18 июня 2026 года, к четырём изменениям. Отменён публичный список утверждённых аудиторов, поэтому аудит можно заказать любому аудитору, который отвечает требованиям Кабинета министров. Уточнён круг субъектов, из него исключены частные лица, выполняющие делегированные задачи госуправления в социальной и культурной сфере. Работодатель вправе запрашивать справку из Регистра наказаний для сотрудников с привилегированным доступом к критическим системам. А трёхмесячный срок назначения управляющего кибербезопасностью связан со сроком самооценки. Отдельно с 1 октября 2026 года признанные значимыми для национальной безопасности организации становятся существенными поставщиками независимо от размера.

Если игнорировать NIS2, надзорные органы могут назначить аудит, выдать обязательные предписания и наложить штрафы, а руководство может нести персональную ответственность; аудит пробелов CloudHosting за несколько дней самый дешёвый способ узнать свои риски первыми. Есть и менее заметный риск: неуправляемый инцидент рано или поздно всё равно всплывает через клиентов, партнёров или чужую обязательную отчётность, и объяснять надзорному органу, почему ничего не было сделано, гораздо хуже, чем показать документированный план с известными пробелами. Бездействие обязанность не отменяет, оно лишь переносит расходы на самый неподходящий момент.

CloudHosting SIA, латвийский поставщик IT-инфраструктуры, работающий с 2016 года, сам обслуживает дата-центр уровня Tier 3+ в Риге и может разместить, обслуживать и задокументировать инфраструктуру, которая нужна компании по NIS2 и латвийскому Закону о кибербезопасности. Это серверы в ЕС, резервные копии с письменно зафиксированными целями восстановления и проверенным восстановлением, межсетевые экраны FortiGate и сегментация сети, которые мы поставляем как партнёр Fortinet, контроль доступа, а также мониторинг и реагирование на инциденты 24/7, а инженеры отвечают в рабочие дни с 9:00 до 17:00 по рижскому времени. Мы также можем провести аудит и написать политики, чтобы меры и документы шли от одного поставщика. Ответственность за соответствие закон оставляет за компанией, но поставщик может сделать каждую меру реальной и доказуемой.

CloudHosting может поддерживать ваши меры защиты и после проекта: мониторинг и реагирование на инциденты 24/7, а инженеры отвечают в рабочие дни с 9:00 до 17:00 по рижскому времени. У соответствия есть срок годности: люди меняются, системы заменяются, и мера, которая прошла аудит, со временем может незаметно перестать работать. Для операционной части мы предлагаем управляемые файрволы Fortinet как партнёр Fortinet, серверы в дата-центре уровня Tier 3+ в Риге, который мы обслуживаем сами, и собственную сеть AS58269, поэтому те же инженеры, которые проводили аудит, могут дальше поддерживать меры в рабочем состоянии. Обслуживание не обязательно, согласуется отдельно и подбирается по результатам аудита.

Инженеры CloudHosting в Риге работают на русском, латышском и английском, поэтому первый звонок, интервью аудита и переписка могут быть на любом из трёх языков, а язык отчёта и политик согласуем до начала аудита. Латвийский закон и его сроки мы объясняем руководству по-русски или по-английски, если команде так удобнее. Инженеры отвечают в рабочие дни с 9:00 до 17:00 по рижскому времени, а для систем, которые мы размещаем или обслуживаем, мониторинг и реагирование на инциденты работают 24/7. Первый звонок на 30 минут бесплатный: +371 66 66 29 69 или info@cloudhosting.lv.

CloudHosting не привязывает клиентов NIS2: после аудита вы сами решаете, кто закрывает пробелы, мы, ваши ИТ-специалисты или другой подрядчик, а постоянное обслуживание не обязательно. Отчёт, политики и план реагирования передаются вам, поэтому другой подрядчик может продолжить с них. Размещённые услуги оплачиваются по счёту заранее за выбранный вами период от 1 до 60 месяцев, в евро, без автоматических списаний с карты; чтобы прекратить, достаточно не оплачивать следующий счёт, а досрочное прекращение внутри оплаченного периода требует уведомления за 20 дней. Если счёт остаётся неоплаченным, данные хранятся не менее 30 дней после блокировки услуги.