Мороженое, жвачка и ёлочные гирлянды попали в «критическую инфраструктуру» ЕС

Производители мороженого, оптовики жвачки и изготовители ёлочных гирлянд могут неожиданно оказаться в ЕС объектами «критической инфраструктуры» — с теми же обязанностями по кибербезопасности, что у электростанций и водоканалов. К такому странному эффекту, как выяснило Politico, приводят слишком широкие формулировки директивы NIS2.

Сам закон — директива (ЕС) 2022/2555 — принят ещё в 2022 году, но страны ЕС до сих пор не могут его толком внедрить. Он распространяет правила кибербезопасности на 18 секторов, включая производство еды. Именно пищевая отрасль стала источником спорных толкований.

Почему продукты стали критически важными

Продовольствие включили в NIS2 по понятной причине: кибератака на цепочку поставок продуктов может затронуть всё население. Однако под действие директивы попадают и компании, которые сложно назвать жизненно важными.

Депутат Европарламента от Чехии Маркета Грегорова, которая работает над упрощением NIS2, усомнилась в таком подходе. Она отметила, что требования могут распространяться даже на крупных производителей мороженого. «Вряд ли мороженое станет тем, чего вам будет не хватать во время кризиса», — иронизирует Грегорова.

В продовольственном секторе границы действия директивы особенно размыты. По словам Андреаса Даума из юридической фирмы Noerr, под NIS2 могут попасть даже крупные оптовики жевательной резинки. Немецкое отраслевое объединение при этом уже успокоило участников рынка: небольших ремесленных пекарен требования не коснутся.

Гирлянды, школы и бюрократия

Под действие директивы может попасть даже производитель ёлочных гирлянд — формально он относится к той же группе, что почтовые службы и химические заводы. Как объяснил юрист Norton Rose Юрриан Янсен, причина кроется в классификаторе экономической деятельности ЕС. У каждого вида бизнеса есть свой код, а «производство наборов ёлочной подсветки» оказалось в перечне, на который ссылается NIS2. Поэтому гирлянды попали в директиву не из-за возможных рисков, а из-за формальной классификации.

NIS2 делит компании на две категории — «существенные» и «важные». Для первой действуют более строгие требования. Производители гирлянд, по словам Янсена, к ней не относятся: остановка этого сектора не угрожает общественной безопасности и не создаёт системного риска.

Похожие ситуации возможны и в других сферах. Например, крупную школу с солнечными панелями формально могут признать производителем электроэнергии и распространить на неё правила для энергетического сектора. А владелец дома, который вместе с жильём предоставляет арендаторам интернет, по документам может считаться оператором связи. В обоих случаях всё зависит от формулировок в договорах.

В чём корень проблемы?

Страны ЕС должны были принять национальные законы на основе NIS2 до 17 октября 2024 года. Однако процесс затянулся, поэтому многие компании только сейчас начинают разбираться, какие требования их касаются. Франция и Испания до сих пор не приняли необходимые законы, в Германии регистрация компаний продвигается медленно.

Еврокомиссия отмечает, что требования зависят от размера и значимости компании. Малый бизнес, как правило, от них освобождён, а для менее важных организаций действуют более мягкие правила.