У Німеччині набув чинності закон про імплементацію NIS2: що запитати в хмарного провайдера
6 грудня 2025 року в Німеччині набув чинності закон про імплементацію європейської директиви NIS2. Він запроваджує додаткові вимоги до кібербезпеки для певних організацій, зокрема для деяких постачальників хмарних послуг та операторів дата-центрів. Проте ці вимоги поширюються не на кожного провайдера автоматично: усе залежить від виду послуг і критеріїв, визначених законом.
Для українського бізнесу це привід уважніше оцінити інфраструктуру, від якої залежать його сервіси й дані. Саме розміщення в хмарі не гарантує, що після збою все вдасться швидко відновити. Сервер може вийти з ладу, дата-центр — зіткнутися з перебоями електроживлення, а резервна копія — не містити потрібних даних чи конфігурацій.
- На кого поширюються вимоги
- Резервна копія сама по собі не гарантує відновлення
- Чому другий сервер не завжди рятує від аварії
- Хто відповідає за безпеку
- Що станеться, якщо сервіс перестане працювати
- П’ять запитань, які варто поставити провайдерові
На кого поширюються вимоги
Застосовність NIS2 залежить від конкретного виду діяльності, категорії організації та визначених законом критеріїв. Тому не можна з’ясувати, чи підпадає компанія під вимоги, лише за тим, що вона називає себе хмарним провайдером або оператором дата-центру.
Регламент ЄС 2024/2690 уточнює вимоги до управління кіберризиками та критерії значущості інцидентів для низки цифрових послуг, зокрема хмарних і дата-центрів. Він застосовується до організацій, що потрапляють у сферу дії NIS2. Серед порушених тем — резервне копіювання, реагування на інциденти, контроль доступу та безпека постачальників.
Навіть якщо конкретний провайдер не підпадає під пряме регулювання, клієнтові все одно важливо оцінювати пов’язані з ним ризики. Особливо якщо сама компанія має дотримуватися вимог NIS2.
Резервна копія сама по собі не гарантує відновлення
Компанія може зберігати дані віртуальних машин, але не резервувати необхідні конфігурації. Тоді після аварії дані вдасться повернути, проте для повноцінного запуску сервісів знадобиться додаткова робота. Тому варто з’ясувати, що саме входить до резервного копіювання, де зберігаються копії та чи проводяться тести відновлення.
Важливо також визначити два показники. RPO показує, який обсяг даних компанія готова втратити, а RTO — скільки часу може тривати відновлення системи. Їхні значення залежать від конкретної системи й умов послуги.
Окремо уточніть, хто відповідає за резервне копіювання — клієнт чи провайдер. Наприклад, в оренді віртуального сервера воно не завжди входить до базової послуги.
Чому другий сервер не завжди рятує від аварії
Два сервери можуть працювати незалежно один від одного, але використовувати один комутатор або спільну систему живлення. Якщо такий компонент вийде з ладу, зупинитися можуть обидва.
Тому під час оцінювання відмовостійкості важливо враховувати не лише кількість серверів, а й резервування електроживлення, мережевих підключень і систем зберігання. Якщо бізнесові необхідно продовжувати роботу за серйозної аварії, варто з’ясувати, чи передбачено відновлення на іншому майданчику.
Хто відповідає за безпеку
Під час використання хмари частину заходів безпеки виконує провайдер, а частина залишається на клієнтові. Розподіл відповідальності залежить від послуги та договору. Наприклад, в оренді VPS клієнт зазвичай сам налаштовує операційну систему, застосунки й облікові записи. У керованих сервісах провайдер може взяти частину цих завдань на себе.
До укладення договору варто уточнити, хто встановлює оновлення, керує адміністративним доступом, відстежує підозрілу активність і бере участь у відновленні після інциденту.
Також корисно перевірити, чи підтримує послуга багатофакторну автентифікацію, чи можна розмежовувати права доступу та як вимикаються облікові записи співробітників, яким доступ більше не потрібен.
Якщо компанія сама підпадає під NIS2, передання систем зовнішньому провайдерові не знімає з неї власних обов’язків з управління кіберризиками.
Що станеться, якщо сервіс перестане працювати
Ще до аварії варто з’ясувати, як клієнт дізнається про проблему й куди звертатися, якщо звичайна підтримка недоступна. У договорі чи SLA перевірте умови доступності послуги, години роботи підтримки, порядок ескалації та правила інформування про інциденти.
NIS2 встановлює строки, у які організації, що підпадають під вимоги директиви, мають повідомляти компетентні органи про значущі інциденти. Це автоматично не визначає строки сповіщення клієнтів. Порядок інформування клієнта слід перевірити окремо в договорі та SLA.
Крім того, варто дізнатися, від яких зовнішніх постачальників залежить робота сервісу. Це можуть бути оператори зв’язку, DNS-провайдери або постачальники захисту від DDoS-атак.
П’ять запитань, які варто поставити провайдерові
Перед підписанням або продовженням договору можна поставити провайдерові кілька запитань:
- Де розміщені основні системи та резервні копії?
- Що входить до резервного копіювання і як часто перевіряється відновлення?
- Які зобов’язання щодо доступності та відновлення передбачені для обраної послуги?
- Які заходи безпеки виконує провайдер, а за що відповідає клієнт?
- Як провайдер повідомляє клієнтів про серйозні інциденти і куди звертатися в такій ситуації?
Закон про імплементацію NIS2 не виключає аварій і кібератак. Він встановлює вимоги до управління пов’язаними з ними ризиками для організацій, на які поширюється. Клієнтові хмарного провайдера важливо заздалегідь з’ясувати, як розподілена відповідальність, які заходи захисту передбачені та як відновлюватимуть сервіси.