Новый закон · Черногория
Устойчивость критической инфраструктуры в Черногории — что требует новый закон
Закон об устойчивости критической инфраструктуры («Службени лист ЦГ», № 150/26) вводит одиннадцать секторов, план устойчивости с согласованием Министерства, координатора, ежегодный стресс-тест и — впервые — сертификаты по MEST ISO 31000 и MEST ISO 22301 как обязанность по закону. Мы готовим документацию и системы, которые требует закон.
На какой стадии закон
Скупщина Черногории приняла Закон об устойчивости критической инфраструктуры 29 сентября 2026 года; он опубликован в «Службеном листу Црне Горе», № 150/26 от 12 октября 2026 года, и вступил в силу 20 октября 2026 года — на восьмой день после опубликования. Законом в черногорское право переносится Директива (ЕС) 2022/2557 (CER), дополненная Регламентом (ЕС) 2023/2450 с перечнем ключевых услуг. Со дня вступления в силу прекращает действие Закон об определении и защите критической инфраструктуры («Службени лист ЦГ» № 72/19 и 33/26).
Что уже есть, а что только предстоит
Подзаконные акты принимаются в течение девяти месяцев со дня вступления в силу, то есть до 20 июля 2027 года (статья 48). До тех пор действуют существующие, если они не противоречат закону.
Два акта прямо сохраняют силу: Постановление об отраслевых критериях определения критической инфраструктуры («Службени лист ЦГ», № 91/26) и Решение Правительства об определении критической инфраструктуры, имеющее гриф «ВНУТРЕННЕЕ». Таким образом, критерии уже существуют, а перечень критических субъектов не является публичным — о включении вы узнаете из письменного уведомления, а не из реестра.
Текст на этой странице взят из закона, опубликованного в «Службеном листу Црне Горе»; мы оставляем за собой право на ошибку при переносе и рекомендуем сверяться с исходным текстом.
Одиннадцать секторов по статье 13
Закон применяется к государственным органам, органам государственного управления, единицам местного самоуправления, хозяйственным обществам и иным юридическим лицам, которые управляют критической инфраструктурой в этих секторах:
Принадлежности к сектору недостаточно
Это самое частое заблуждение. Критическим субъектом вы становитесь не потому, что работаете в энергетике или здравоохранении, а решением Правительства (статья 16, часть 3), по сводному предложению Министерства, после того как отраслевое министерство идентифицирует вас по критериям статьи 15: влияние нарушения на предоставление ключевых услуг, взаимозависимость с другими секторами, единая точка отказа и возможные трансграничные последствия. Отраслевые критерии и подсекторы устанавливает Правительство (статья 14), а Постановление об отраслевых критериях («Службени лист ЦГ», № 91/26) действует.
Что закон требует от критического субъекта
Обязанности статьи 17 и сроки, разбросанные по остальным статьям, — в одном месте и в том порядке, в котором их следует выполнять.
Точные обозначения стандартов
Закон требует стандарты MEST ISO 31000 — анализ и управление рисками, и MEST ISO 22301 — непрерывность деятельности. Префикс ISO/IEC носят стандарты, которые Международная организация по стандартизации принимает совместно с Международной электротехнической комиссией; в этой области это ISO/IEC 27001 и ISO/IEC 27701, которые часто упоминаются рядом. На этой странице мы используем точные обозначения.
Сертификация по ISO 31000
Статья 17, пункты 9 и 10, требует, чтобы критический субъект имел сертификат по черногорскому стандарту анализа и управления рисками MEST ISO 31000 и по стандарту непрерывности деятельности MEST ISO 22301, а статья 45 устанавливает штраф от 3 000 до 20 000 евро при их отсутствии.
Термин «сертификация» употреблён здесь в широком смысле и означает соответствие стандарту. На практике это выглядит так:
ISO 22301 — стандарт с требованиями: независимый аккредитованный орган сертифицирует систему менеджмента и выдаёт сертификат организации.
ISO 31000 — стандарт-руководство. Он применяется в полном объёме, а его применение подтверждается политикой управления рисками, реестром рисков, критериями приемлемости и записями о пересмотре. Для такой системы выдаётся подтверждение применения и соответствия ISO 31000, а соответствие оценивается и в рамках сертификации по ISO 22301, где управление рисками входит в объём проверки.
Кроме того, существует сертификация персонала — менеджер по рискам: сертификат физическому лицу после экзамена выдаёт орган по сертификации персонала — независимо от обучения. Это сертификат человека, а не системы, и он подтверждает компетентность того, кто ведёт управление рисками у вас.
Мы делаем и то и другое: выстраиваем систему по ISO 31000 и готовим доказательства соответствия, готовим организацию к сертификации по ISO 22301 и обучаем сотрудника, принимающего роль менеджера по рискам.
Команда по устойчивости
Создаётся для оперативного выполнения мер устойчивости, управления рисками и непосредственного устранения последствий инцидентов на уровне самого субъекта.
Координатор — шесть месяцев
Лицо, ответственное за устойчивость, назначается из числа работников в течение шести месяцев со дня решения Правительства. Требования: место жительства в Черногории, не ниже VIII уровня квалификации, годность по состоянию здоровья, отсутствие судимости, профессиональная подготовка и сданный квалификационный экзамен. Экзамен не сдают лица с VIII уровнем и пятью годами работы в сфере защиты критической инфраструктуры, физической и технической охраны либо защиты и спасения. Сведения о нём направляются в Министерство в течение 15 дней, об изменениях — в течение пяти дней.
Оценка рисков
Оценка в отношении угроз, способных нарушить предоставление ключевых услуг. По статье 29 она должна быть согласована с национальной и отраслевой оценкой рисков, а не только с вашим внутренним видением.
План устойчивости — девять месяцев
План содержит оценку рисков и меры предупреждения, защиты, реагирования и восстановления. На него требуется согласие Министерства в течение девяти месяцев со дня решения Правительства. Если Комиссия даёт указания, их следует выполнить в течение 60 дней. Пересмотр — не реже одного раза в четыре года и всякий раз при изменении обстоятельств.
Кто вправе разработать план
Работник с VIII уровнем квалификации и не менее чем пятилетним опытом работы в сфере физической и технической охраны, защиты критической инфраструктуры, защиты и спасения или устойчивости — в соответствующем секторе. Если такого работника нет, разработку по договору можно поручить юридическому лицу или предпринимателю, у которого он есть.
Сертификаты ISO 31000 и ISO 22301
Закон требует, чтобы критический субъект имел сертификат по черногорскому стандарту анализа и управления рисками MEST ISO 31000 и по стандарту непрерывности деятельности MEST ISO 22301. Отсутствие каждого из них — отдельное правонарушение.
Управление рисками по пяти пунктам
Анализ риска нарушения работы; процедуры раннего обнаружения, реагирования и смягчения последствий инцидентов; план непрерывности деятельности по MEST ISO 22301; акты об организации, развитии и поддержании управления инфраструктурой; меры физической и технической защиты объектов.
Стресс-тест — не реже раза в год
Проверка устойчивости под нагрузкой проводится не реже одного раза в год. Министерство может предписать учение, определить его вид, порядок и сроки и непосредственно контролировать проведение. По результатам учения план устойчивости пересматривается.
Инцидент — 24 часа и 30 дней
О значительном инциденте сообщается Министерству и отраслевому министерству безотлагательно, но не позднее 24 часов с момента, когда о нём стало известно. Подробный отчёт направляется в течение 30 дней.
Сведения для реестра — 15 дней
Данные для Отраслевого реестра направляются в течение 15 дней со дня получения уведомления: наименование, место нахождения, регистрационный и налоговый номер, ответственное лицо и координатор, официальный адрес для электронной связи, контактный телефон и сведения о деятельности. О любом изменении сообщается в течение 15 дней.
Обучение работников
Обучение работников в области управления рисками и устойчивости проводится по программе, разрабатываемой Министерством. Само предусмотренное законом обучение проводит лицензированный организатор образования взрослых (статья 25).
Штрафы
Санкции распределены по трём статьям в зависимости от тяжести. Наряду со штрафом может быть назначена защитная мера — запрет заниматься соответствующей деятельностью на срок от трёх до шести месяцев.
От 3 000 до 20 000 евро
За 23 нарушения: нет команды по устойчивости, нет оценки рисков, нет плана устойчивости или согласия в течение девяти месяцев, нет координатора в течение шести месяцев, координатор не отвечает требованиям, нет сертификата MEST ISO 31000, нет сертификата MEST ISO 22301, нет ежегодного стресс-теста, нет процедур раннего обнаружения инцидентов, нет плана непрерывности, нет мер физической и технической защиты. Ответственное лицо: от 500 до 2 000 евро.
От 2 500 до 20 000 евро
Об инциденте не сообщено в течение 24 часов, подробный отчёт не представлен в течение 30 дней, не приняты меры по устранению последствий, нет взаимодействия с Министерством. Ответственное лицо: от 500 до 2 000 евро.
От 1 000 до 10 000 евро
Сведения для реестра не представлены в течение 15 дней, об изменениях не сообщено, не исполнено предписание инспектора или не обеспечен доступ к плану устойчивости и документации. Ответственное лицо: от 300 до 1 500 евро.
Что мы делаем для критических субъектов
Документы и системы, которые закон требует поимённо. Нажмите на услугу — она будет отмечена в форме внизу страницы.
Оценка и анализ рисков
Оценка рисков в отношении угроз, способных прервать ключевую услугу, согласованная с национальной и отраслевой оценкой — в форме, которая выдерживает надзор и входит в план устойчивости.
Запросить предложение Статьи 20–22Подготовка плана устойчивости
Структура плана, оценка рисков, меры предупреждения, защиты, реагирования и восстановления, подготовка к согласованию с Министерством и к исполнению указаний Комиссии в течение 60 дней. План должен подписать специалист, отвечающий требованиям статьи 22 — вместе проверим, кто это у вас.
Запросить предложение Статья 17(9)Сертификация и соответствие по ISO 31000
Основа, политика и процесс управления рисками по MEST ISO 31000, с реестром рисков и порядком пересмотра — в форме, которой подтверждается соответствие стандарту. Мы готовим систему и документацию; сертификацию, где она применима, проводит независимый орган по сертификации.
Запросить предложение Статья 17(10)Сертификация по ISO 22301 — непрерывность деятельности
Анализ влияния на деятельность, стратегии восстановления, планы непрерывности и их тестирование по MEST ISO 22301. Эта же система покрывает план непрерывности по статье 29(3).
Запросить предложение Статья 29(2)Процедуры по инцидентам
Раннее обнаружение, реагирование и смягчение последствий с чёткими ролями — кто устанавливает, кто сообщает, кто отчитывается. Включает порядок уведомления в течение 24 часов и шаблон подробного отчёта для срока в 30 дней.
Запросить предложение Статья 28Стресс-тест и учение
Сценарии, подготовка и проведение учения, протокол, выводы и пересмотр плана устойчивости по результатам — чтобы ежегодная обязанность не осталась на бумаге.
Запросить предложение Статьи 17 и 23Команда и координатор
Формирование команды, описание обязанностей координатора, проверка соответствия кандидата требованиям статьи 23 и подготовка к квалификационному экзамену, который сдаётся перед комиссией Министерства.
Запросить предложение Статья 29(4)Акты об управлении инфраструктурой
Внутренние акты об организации, развитии и поддержании управления критической инфраструктурой и предоставления ключевых услуг.
Запросить предложение Статья 29(5)Физическая и техническая защита
Анализ действующих мер и план их дополнения — контроль доступа, видеонаблюдение, зонирование, процедуры охраны — для предотвращения несанкционированного доступа и умышленного причинения вреда.
Запросить предложение Статья 17(7)Внутреннее обучение
Обучение работников управлению рисками, действиям при инциденте и ролям в команде по устойчивости, с ведением учёта. Предусмотренное законом обучение проводит лицензированный организатор образования взрослых — мы готовим кандидатов и проводим внутренние занятия.
Запросить предложение Статьи 41–42Сведения для реестров
Подготовка и проверка данных для Отраслевого реестра критических субъектов и порядок уведомления об изменениях в течение 15 дней.
Запросить предложение Статья 3Разграничение с информационной безопасностью
Если вы одновременно подпадаете под Закон об информационной безопасности, часть обязанностей пересекается, а часть прямо исключена. Разграничим, чтобы одну и ту же работу не делать дважды.
Запросить предложениеКто что делает
Сертификаты по MEST ISO 31000 и MEST ISO 22301 выдаёт независимый орган по сертификации — мы готовим систему и документацию к этой проверке и сопровождаем вас на аудите. Обучение по статье 25 проводит лицензированный организатор образования взрослых — мы готовим кандидата и проводим внутренние занятия. Квалификационный экзамен координатора сдаётся перед комиссией, образуемой министром внутренних дел.
Частые вопросы
Являемся ли мы критической инфраструктурой?
Заранее знать это с уверенностью нельзя, и никто не может этого гарантировать. Принадлежность к одному из одиннадцати секторов статьи 13 — условие необходимое, но не достаточное: критическим субъектом вы становитесь только решением Правительства по статье 16(3), после идентификации отраслевым министерством по критериям статьи 15. Пришлите описание деятельности и ключевой услуги — пройдём критерии вместе.
С какого момента текут сроки?
Со дня решения Правительства по статье 16(3), а не со дня получения письменного уведомления. Координатор назначается в течение шести месяцев, план устойчивости с согласием Министерства — в течение девяти месяцев, сведения для реестра — в течение 15 дней с момента получения уведомления.
Сертификация по ISO 31000 — как подтверждается соответствие стандарту?
Статья 17(9) требует сертификат по черногорскому стандарту анализа и управления рисками MEST ISO 31000. Термин «сертификация» употреблён здесь в широком смысле и означает соответствие стандарту. ISO 31000 — стандарт-руководство: он применяется в полном объёме, а его применение подтверждается политикой управления рисками, реестром рисков, критериями приемлемости и записями о пересмотре. Для такой системы выдаётся подтверждение применения и соответствия ISO 31000, а соответствие оценивается и в рамках сертификации по ISO 22301, где управление рисками входит в объём проверки. Кроме того, существует сертификация персонала — менеджер по рискам: сертификат физическому лицу после экзамена выдаёт орган по сертификации персонала — независимо от обучения.
Кто вправе разработать план устойчивости?
По статье 22 — работник критического субъекта с квалификацией не ниже VIII уровня и пятилетним опытом в сфере физической и технической охраны, защиты критической инфраструктуры, защиты и спасения или устойчивости, в соответствующем секторе. Если такого работника нет, закон прямо разрешает поручить разработку по договору юридическому лицу или предпринимателю, у которого он есть.
Как это соотносится с Законом об информационной безопасности?
Раздельно. По статье 3 настоящий закон не применяется к мерам и обязанностям в области кибер- и информационной безопасности — их регулирует отдельный закон. К субъектам, подпадающим под оба акта, Закон об информационной безопасности применяется в части защиты информационно-коммуникационных систем.
А если мы только поставщик критического субъекта?
Закон возлагает обязанности на критического субъекта, а не на его поставщиков. Но на практике критический субъект переносит требования по непрерывности, действиям при инцидентах и мерам защиты на поставщиков через договор. Если вы работаете для оператора в энергетике, водоснабжении или здравоохранении, ожидайте эти требования в договоре, а не в законе.
Некоторые из наших референций
Более 400 организаций в Черногории и регионе прошли внедрение вместе с нами — от банков и государственных органов до производства, ИТ, лабораторий и гостиничного бизнеса.
Это лишь часть наших клиентов. Подробнее о нас →
Отправьте запрос — пройдём критерии вместе
Это специфическая материя, и опросником она не решается. Опишите деятельность, ключевую услугу и получали ли вы уже уведомление — мы конкретно ответим, что вас ждёт, что можем сделать мы и что должно идти через других. Позвоните нам или отправьте запрос — отвечаем в течение 24 часов.