Подготовка бизнеса к изменениям в комплаенсе по кибербезопасности и конфиденциальности данных

Исследование Canon показало, что ИТ-руководители стабильно считают информационную безопасность среди топ-3 самых сложных и времязатратных задач за последние 5 лет.

Более того, информационная безопасность (33%) стала, по их мнению, главной сложностью, а сразу за ней следует нормативное соответствие (25%). Можно сказать, что информационная безопасность остается для них одной из главных забот, в то время как список юридических обязательств и технологических изысканий становится все шире.

Регулирование продолжает набирать обороты: ЕС и национальные правительства ужесточают требования к кибербезопасности и расширяют круг затронутых секторов рынка. Это означает, что теперь от большего числа организаций ожидается эффективное управление рисками, реагирование на инциденты, контроль за цепочкой поставок и планирование устойчивости систем.

В 2026 году этот нормативный сдвиг переходит от стадии подготовки к практическому внедрению. С января 2025 года вступило в силу постановление DORA, которое обязывает финансовые организации усилить управление рисками в сфере ИКТ, проводить тестирование устойчивости, сообщать о инцидентах и осуществлять контроль за ключевыми сторонними поставщиками услуг. Акт ЕС о кибербезопасности также вступает в ключевую фазу реализации: с сентября 2026 года производители продукции с цифровыми компонентами обязаны сообщать о текущих уязвимостях (эксплойтах) и серьезных инцидентах в сфере безопасности, что является подготовкой к более широкому применению закона, который начнет действовать в полной мере с декабря 2027 года. Эти ключевые моменты означают, что нормативное соответствие останется приоритетной задачей руководителей на грядущие годы.

Регламент NIS2 также является ключевым элементом этих изменений. Он предназначен для усиления кибербезопасности в странах ЕС и является расширенной версией предыдущего регламента — он включает в себя более строгие обязательства по управлению рисками и отчетности об инцидентах, а также более четко прописанную нормативно-правовую базу и расширенную ответственность руководителей старшего звена. По мере того, как государства-участники ЕС продолжают принимать и осуществлять национальное законодательство, транснациональным организациям необходимо будет внимательно следить за соблюдением местных требований.

Чтобы справиться с обязательствами, которые стоят перед вами уже сейчас, и адаптироваться под требования к информационной безопасности будущего, очень важно совместно с опытным партнером проработать процессы, сервисы и решения, которые защитят ваши бизнес-операции. Так компании смогут подготовиться к текущим и предстоящим изменениям в законодательстве, избежать потенциально дорогостоящих корректировок прямо перед вступлением законов в силу, а также занять более активную позицию в области информационной безопасности, уделив внимание следующим аспектам.

Компании должны четко понимать законодательство, которое регулирует их деятельность, отрасль и регионы работы. Сюда должна относиться работа с юрисконсультами, специалистами по комплаенсу и безопасности, которая позволит лучше понять не только непосредственные обязательства, но и более широкий эффект изменений на продукты, услуги, поставщиков и внутренние процессы.

Также ключевую роль играет внедрение процедуры мониторинга грядущих нормативных изменений, в том числе в национальном законодательстве, и нормативного аудита в этой отрасли. Для управления этими аспектами можно создать внутренний отдел или поручить работу стороннему поставщику через аутсорсинг — таким образом организации смогут предвосхищать новые требования и своевременно адаптироваться к ним.

Чтобы ориентироваться в меняющихся условиях комплаенса, командам по безопасности может потребоваться расширить свои знания и навыки — либо за счет найма специалистов, либо за счет обучения текущих сотрудников вопросам соблюдения требований безопасности, толкования законодательства, управления рисками и внедрения защитных мер. Это может повлиять на ресурсы, штат и бюджетирование в зависимости от требуемого уровня адаптации.

ИТ-командам необходимо разработать четкие процедуры управления уязвимостями, развертывания исправлений, реагирования на инциденты, тестирования устойчивости систем и уведомления о нарушениях в отношении данных. Эти процессы должны документироваться, тестироваться и регулярно проверяться для должного соблюдения таких обязательств, как NIS2, DORA и Акт ЕС о кибербезопасности. Если необходимо, организации также могут инвестировать в покупку дополнительного ПО, опций мониторинга и управляемых услуг, поддерживающих внедряемые процессы в долгосрочной перспективе.

Поставщики могут находиться вне вашей организации, однако их уровень безопасности, процедуры отчетности и готовность к соблюдению требований могут напрямую повлиять на уровень ваших рисков. Очень важно взаимодействовать с поставщиками и понимать их методы обеспечения безопасности, а также пересматривать контрактные обязательства и проводить регулярный аудит, чтобы их работа соответствовала вашим собственным стандартам комплаенса.

Некоторые инциденты безопасности могут значительно влиять на работу вашего бизнеса, и в этой связи важно обучать сотрудников должному выявлению рисков и прозрачной отчетности. Четкие процедуры эскалации, повышение информированности сотрудников и прозрачная отчетность помогут организациям извлекать уроки из инцидентов, соблюдать сроки оповещения и укреплять механизмы контроля, не создавая при этом культуру «поиска виноватых».

Новые и находящиеся в разработке правила оказывают положительное влияние на потребителей и на индустрию безопасности в целом. В конечном итоге это поможет создать более безопасную, устойчивую и прозрачную цифровую среду для бизнеса. Конечно же, все это связано с кратковременными дополнительными издержками и трудозатратами, однако долгосрочные преимущества от адаптивности и инициативности значительно превосходят связанные с переходом трудности.