NIS2 · Информация и ИТ · Черногория
NIS2 и Закон об информационной безопасности
Черногория перенесла NIS2 в своё законодательство в декабре 2024 года. Ключевые субъекты должны иметь сертификат по MEST ISO/IEC 27001 — срок июнь 2027 года. Здесь — кого это касается, какие сроки уже идут и почему NIS2 и NIST — не одно и то же.
NIS2 или NIST — не одно и то же
Эти два названия постоянно путают, потому что они похоже звучат, но речь идёт о двух совершенно разных вещах. То, что сейчас обязательно в Европейском союзе, называется NIS2.
- NIS2 — Директива (ЕС) 2022/2555. Европейский акт, который каждое государство-член переносит в своё законодательство. Он не добровольный: предусматривает надзор, обязанность сообщать об инцидентах и штрафы. Срок переноса истёк 17 октября 2024 года, и в 2026 году надзорные органы по всему ЕС уже активно штрафуют.
- NIST — Национальный институт стандартов и технологий США. Его Cybersecurity Framework 2.0 — добровольная рамка, а не нормативный акт. Нет органа, выдающего сертификат NIST, и нет аудита, который можно пройти или провалить.
На практике: если покупатель, банк или надзорный орган в Европе вас о чём-то спрашивает, он спрашивает о NIS2 и ISO 27001. NIST появляется, когда вы работаете с американским партнёром, — об этом ниже.
Что требует черногорский закон
Скупщина Черногории приняла Закон об информационной безопасности 19 ноября 2024 года, он действует с 5 декабря 2024 года. Закон согласован с Директивой (ЕС) 2022/2555, то есть с NIS2.
Закон делит обязанных лиц на ключевые и важные субъекты. Для ключевых субъектов обязанность не описана расплывчато как «применяйте меры безопасности» — закон прямо требует сертификат соответствия MEST ISO/IEC 27001, причём в течение 30 месяцев со дня вступления закона в силу. Это приводит к июню 2027 года. Вместе с сертификатом идёт и обязанность периодической проверки соответствия.
Если вы не уверены, входите ли в перечень ключевых или важных субъектов: перечень утверждает Правительство — по отраслям, указанным в законе, и независимо от размера организации, — а профильное министерство уведомляет включённых в него субъектов. Важные субъекты применяют предписанные меры без обязательного сертификата, а базовые меры безопасности и назначение ответственного сотрудника закон требует и от остальных компаний, использующих информационные системы. Позвоните нам, и мы проверим вместе, — это вопрос на пять минут, а ответ меняет план на ближайшие два года.
Сроки, которые уже идут
- 5 декабря 2024 — Закон об информационной безопасности вступил в силу.
- 31 октября 2025 — истёк срок перехода с ISO/IEC 27001:2013 на версию 2022. Сертификаты по старой версии с этой даты недействительны. Если на вашем сертификате указан 2013 год, действующего сертификата у вас нет — независимо от напечатанной на нём даты окончания.
- июнь 2027 — срок, до которого ключевые субъекты в Черногории должны иметь сертификат по MEST ISO/IEC 27001 (30 месяцев со дня вступления закона в силу).
- в процессе — к 2026 году NIS2 перенесли 22 из 27 государств — членов ЕС, надзор и штрафы уже применяются. Если вы экспортируете или работаете на европейского покупателя, вопрос об информационной безопасности придёт от него, а не от инспекции.
Внедрение ISO 27001 реально занимает от четырёх месяцев до более чем года, в зависимости от размера системы, поэтому срок 2027 года не планируют в 2027 году.
Почему всё вращается вокруг ISO 27001
Закон не изобрёл новую черногорскую систему безопасности — он сослался на уже существующий международный стандарт. Это хорошая новость: то, что вы сделаете для закона, пригодится и перед покупателем в Германии, и в тендере, и в банке.
ISO/IEC 27001 даёт то, что закон требует, но не описывает: перечень информационных активов, оценку рисков, Положение о применимости (SoA), политики и процедуры, обучение сотрудников, регистрацию и обработку инцидентов, внутренний аудит и анализ со стороны руководства. Сертификат выдаёт независимый аккредитованный орган по сертификации — мы готовим вас к нему.
Когда вам действительно нужен NIST
NIST Cybersecurity Framework 2.0 имеет смысл, когда вы работаете с американским покупателем, материнской компанией или партнёром, говорящим на этом языке. Тогда от вас требуют описать свою безопасность через их категории, а не сертифицироваться по ним, — потому что сертификации по NIST не существует.
Хорошая новость — делать работу дважды не нужно. NIST публикует официальное сопоставление CSF 2.0 с ISO/IEC 27001:2022 (через каталог OLIR), поэтому ту же систему, которую вы строите для закона и сертификата, можно перевести на язык NIST. Сопоставление одностороннее и не один к одному, но охватывает большую часть работы.
Наш совет такой же, как и при любых двойных требованиях: ISO 27001 как основа, NIST как словарь для американской стороны. Наоборот — строить по NIST, а потом сертифицироваться по 27001 — значит делать одну работу дважды.
Что мы делаем конкретно
- Проверка, являетесь ли вы обязанным лицом — краткий анализ отрасли и деятельности и того, что из закона касается вас.
- Gap-анализ — где вы сейчас относительно ISO/IEC 27001:2022 и требований закона.
- Внедрение — риски, SoA, документация, обучение сотрудников, внутренний аудит.
- Подготовка к сертификации и поддержка в день аудита с аккредитованным органом по сертификации.
- Переход с 2013 на 2022 — если ваш сертификат остался на старой версии.
- Сопоставление с NIST CSF 2.0, когда этого требует партнёр.
Частые вопросы о NIS2 и информационной безопасности
Касается ли NIS2 Черногории, если мы не в ЕС?
Не напрямую — директива обязывает государства-члены. Но Черногория перенесла её содержание в Закон об информационной безопасности, действующий с 5 декабря 2024 года. Значит, обязанность приходит к вам через черногорский закон. Кроме того, если вы работаете на покупателя из ЕС, он по NIS2 обязан проверять безопасность своей цепочки поставок, — поэтому вопрос приходит и с этой стороны.
Нужен ли мне сертификат NIST?
Такого сертификата не существует. NIST Cybersecurity Framework — добровольная рамка, и нет аккредитованного органа, выдающего сертификат по ней. Если партнёр требует «соответствия NIST», это показывают описанием собственных мер, чаще всего через сопоставление с ISO 27001, который является сертифицируемым стандартом.
У нас сертификат ISO 27001 2019 года — он действует?
Проверьте, какую версию стандарта он указывает. Если там ISO/IEC 27001:2013, сертификат больше не действует — срок перехода на версию 2022 истёк 31 октября 2025 года. Переход тогда выполняется не как дополнение, а как новая сертификация.
Сколько длится внедрение ISO 27001 до сертификата?
Для малых и средних организаций обычно от четырёх до восьми месяцев, в зависимости от зрелости процессов и доступности команды. Для крупных систем с несколькими площадками — более года. Из-за срока в июне 2027 года это значит, что работу нужно начинать значительно раньше.
А если мы важный, а не ключевой субъект?
Обязанности легче — упор на управление рисками и сообщение об инцидентах, без прямого требования сертификата. Это не значит, что сертификат не имеет смысла: большинству организаций он окупается из-за покупателей и тендеров, а не из-за инспекции.
Смежные страницы
Некоторые из наших референций
Более 400 организаций в Черногории и регионе прошли внедрение вместе с нами — от банков и государственных органов до производства, ИТ, лабораторий и гостиничного бизнеса.
Это лишь часть наших клиентов. Подробнее о нас →
Тендер требует стандарт?
Пришлите выдержку из тендерной документации — бесплатно проверим, что именно вам нужно. Позвоните нам или отправьте запрос — отвечаем в течение 24 часов.