Кратко

  • Предложение COM(2026) 13 расширяет реестр ENISA: туда должны войти важные и критически важные организации, а также поставщики услуг регистрации доменных имён.
  • Следующее предложение разрешает компетентным органам запрашивать сведения о перечисленных категориях поставщиков и авиаперевозчиках. Важные и критически важные организации как отдельная группа там не названы.

Реестр можно расширить одним предложением. Право читать его записи требует другого. В проекте Комиссии по упрощению NIS2 эти два решения не совпадают по точности.

Действующая статья 27 создаёт реестр ENISA для определённых категорий: DNS-служб, реестров доменов верхнего уровня, облачных и дата-центровых провайдеров, сетей доставки контента, управляемых услуг и некоторых онлайн-платформ. Национальные единые контактные пункты передают агентству сведения, предусмотренные статьёй. По запросу ENISA предоставляет компетентным органам доступ к информации о категориях, перечисленных в норме; где это необходимо, сохраняется конфиденциальность.

Важные и критически важные организации сейчас идут по другой правовой линии. Статья 3(4) требует от государств вести национальные списки и собирать сведения об этих организациях, включая их диапазоны IP-адресов. Действующая статья 27 прямо исключает IP-данные из пункта 2(f) из передаваемого ENISA набора. В рамках этой нормы данные остаются у национальных органов.

Комиссия предлагает передвинуть границу. Новая редакция статьи 27(1) включит в реестр ENISA важные и критически важные организации и поставщиков услуг регистрации доменных имён. Основой станут сведения по статье 3(4), поступающие через национальные контактные пункты. Отдельный список поставщиков в прежнем пункте 2 исчезнет; вместе с ним пропадёт и исключение, удерживающее диапазоны IP за пределами маршрута передачи.

Но состав поступающих данных и круг лиц, которые вправе их просматривать, — разные вопросы. Предложенное предложение о доступе позволяет компетентным органам по запросу получать сведения о DNS-провайдерах, реестрах доменов, регистраторах, облачных и дата-центровых сервисах, сетях доставки контента, управляемых услугах, онлайн-торговых площадках, поисковых системах, социальных платформах и авиаперевозчиках. Важные и критически важные организации в перечне как отдельная категория не появляются.

В проекте остаётся конкретный вопрос: охватывает ли это право доступа записи важных и критически важных организаций? Одновременно ENISA получает задачи по анализу трансграничных киберрисков и поддержке сотрудничества государств. Аналитическая работа агентства, запрос национального регулятора к записи и надзор за конкретной организацией — разные действия. Статья должна описать, как они соотносятся.

Диапазоны IP показывают практический смысл разграничения. Они помогают связать сетевые свидетельства с организацией и могут поддержать совместную работу нескольких стран. Для этого нужно определить, кто запрашивает запись, для какой задачи и кто исправляет устаревший диапазон. В ответе от 12 мая RIPE NCC попросил Комиссию назвать цель безопасности, определить объём сообщаемых сведений, исключить дублирование и обосновать сбор анализом затрат и выгод. Новая норма добавляет следующий вопрос: кто вправе открыть уже централизованное досье?

Широкий реестр и ограниченный круг запросов могут сосуществовать. ENISA может проводить трансграничный анализ, а национальные органы — получать только сведения, нужные для их полномочий. Если именно это задумано, закон должен сказать об этом прямо: включают ли запросы записи важных и критически важных организаций, чем анализ ENISA отличается от запросов властей и какая цель оправдывает каждый доступ.

Обновление RIPE Labs от 21 октября сообщает, что проект доклада выступает за минимизацию данных и национальный контроль диапазонов IP. По состоянию на 2 ноября Законодательная обсерватория Европарламента указывает, что комитет ещё не принял решение. В карточке дела есть проект доклада от 24 сентября и поправки, поданные 13 октября. Проверка проста: вправе ли компетентный орган запросить по статье 27(1) сведения о важной организации? Итоговая редакция должна назвать ответ, орган и цель. Если ответ приходится угадывать, правило доступа не закончено.

Источники: Директива NIS2 · Предложение Комиссии COM(2026) 13 · Ответ RIPE NCC от 12 мая 2026 года · Процедура Европарламента 2026/0012(COD)