Регулирование · ИТ-безопасность · СМБ
NIS2 для небольших ИТ-компаний и фрилансеров: пороги, сроки, обязанности
Немецкий закон о реализации NIS2 действует с 6 декабря 2025. Затронута ли компания напрямую, зависит от отрасли и размера, но и небольшие фирмы ощущают его как поставщики.
Главное
| Тема | По данным источника |
|---|---|
| Вступил в силу | 6 декабря 2025 (опубликован 5 декабря 2025, BGBl. I № 301) |
| «Особенно важные» организации | от 250 сотрудников или оборот выше 50 млн € и баланс выше 43 млн € |
| «Важные» организации | от 50 сотрудников или оборот и баланс выше 10 млн € каждый |
| Дополнительное условие | принадлежность к сектору из приложения 1 или 2 |
| Регистрация в BSI | в течение трёх месяцев; для уже подпадающих — до 6 марта 2026 |
| Уведомления о значительных инцидентах | раннее предупреждение 24 часа, уведомление 72 часа, итоговый отчёт не позднее чем через месяц |
| Штрафы | до 10 млн € («особенно важные») или до 7 млн € («важные») |
Важно: размер сам по себе ничего не решает. Регулируемой организацией компанию делает сочетание порога и сектора. При неуверенности помогает самооценка BSI, а в сомнительных случаях — юридическая консультация.
А если я ниже порогов?
Фрилансер или микрокомпания обычно имеют меньше 50 сотрудников и напрямую не затронуты — это моя оценка порогов, а не юридическая консультация. Тем не менее NIS2 ощутим через цепочку поставок: затронутые клиенты обязаны следить за рисками у своих подрядчиков и будут требовать подтверждений, например по контролю доступа, бэкапам и обработке инцидентов. Комментарий к проекту закона (usd, 2024) прямо называет среди мер безопасность цепочки поставок, управление уязвимостями, бэкап и непрерывность бизнеса, контроль доступа и многофакторную аутентификацию; совпадает ли это с окончательной редакцией, нужно проверить по тексту закона.
Практические подтверждения, которые стоит иметь в любом случае
- Бэкапы с проверенным восстановлением: см. бэкап по 3-2-1 и тест восстановления.
- Контроль доступа и многофакторный вход: как я делаю это в домашней лаборатории — Zero Trust для homelab.
- Прослеживаемая выкатка: задокументированный CI/CD-пайплайн показывает, как изменения попадают в прод.
- План на случай инцидента безопасности: кого и когда информировать? Тесно связано с обязанностью уведомлять по CRA.
Источники и ограничения
- ADVISORI: закон о реализации NIS2 (блог консалтинга; вступление в силу, пороги, сроки, штрафы)
- usd: NIS-2, главные пункты (комментарий к проекту 2024, только для списка мер)
- Обязывающим является Bundesgesetzblatt; оба источника не являются официальными текстами.
Не юридическая консультация. Я разработчик, а не юрист. Данные взяты из перечисленных источников (на октябрь 2026); решающим является текст закона.
Читать дальше
Homelab · Бэкап · Proxmox
Бэкап по 3-2-1 и тест восстановления: бэкап считается бэкапом, только если его удалось восстановить
Большинство историй про бэкапы заканчиваются одинаково: копия делалась, но никто не проверял, можно ли её восстановить. Вот как я бэкаплю свой хост Proxmox и как проверяю восстановление, не рискуя ничем рабочим.
Регулирование · Безопасность · DevOps
Обязанность уведомлять по CRA с 11 сентября 2026: 24 часа, 72 часа, 14 дней
С 11 сентября 2026 производители продуктов с цифровыми элементами обязаны сообщать об активно эксплуатируемых уязвимостях — в три этапа и по жёсткому таймеру. Что это значит для команд разработки и DevOps.
DevOps · Cloudflare · Zero Trust
Zero Trust для homelab: Cloudflare Tunnel и Access вместо открытых дашбордов
Внутренний дашборд был доступен публично через поддомен. Вот как я закрыл его с помощью Cloudflare Tunnel, Cloudflare Access и Tailscale.
Доступ · Безопасность · Бэкап
Безопасный доступ и бэкапы домашнего сервера: Tailscale, Cloudflare Tunnel, vzdump
Домашний сервер хорош ровно настолько, насколько хороши его доступ и бэкапы. Мой принцип: никакого проброса портов, каждый доступ — осознанное решение, бэкап каждый день.
Ещё из практики
Другие заметки, кейсы и проекты — на главной странице.
Все заметки Кейс MeisterMeld Кейс PflegeOasis Кейс Kernbohr-Expert На главную
Комментарии
Присоединяйтесь к обсуждению: комментарии работают через GitHub Discussions (вход через аккаунт GitHub). Контент GitHub/giscus загружается только после клика. Конфиденциальность