Производители мороженого и гирлянд под угрозой: в Евросоюзе не могут разобраться с новой директивой по кибербезопасности

Новая директива Евросоюза по кибербезопасности NIS2, призванная защитить критическую инфраструктуру от кибератак, столкнулась с неожиданными проблемами при внедрении. Юристы и законодатели бьются над вопросом, какие именно компании должны получить статус критически важных: под действие закона могут попасть производители мороженого, жевательной резинки и рождественских гирлянд, сообщает издание Politico.

Неоднозначное внедрение NIS2

Директива NIS2, принятая Европейским союзом в 2022 году, должна была укрепить защиту ключевых секторов экономики от кибератак. Однако процесс ее внедрения в странах-членах ЕС затянулся. Государства должны были принять национальные законы к концу 2024 года, но многие из них только сейчас приступили к детальной проработке требований, что порождает путаницу среди бизнеса и его юридических консультантов.

Сложности возникли с определением того, какие именно сектора экономики следует относить к критической инфраструктуре. В то время как электростанции, водопроводы и энергосети сомнений не вызывают, формулировки директивы порождают неоднозначные толкования. В результате под действие закона могут попасть производители мороженого, жевательной резинки, рождественских гирлянд и даже крупные немецкие арендодатели.

По состоянию на июль 2026 года лишь несколько стран ЕС полностью внедрили директиву. В отношении Франции, Испании и Нидерландов Еврокомиссия подала иски в Суд Европейского союза за задержку с принятием национальных законов. В Германии, где принятие закона застопорилось в парламенте после распада правящей коалиции, компании также не торопятся с регистрацией — во многом из-за отсутствия чёткой правовой базы.

Неожиданные последствия для пищевой промышленности

Директива NIS2 включает производство, переработку и распределение продуктов питания, что само по себе логично, поскольку кибератака на продовольственную цепочку представляет угрозу для всего населения. Однако это привело к неожиданным последствиям.

Как отметила чешский депутат Европарламента Маркета Грегорова, которая курирует отдельный пакет по кибербезопасности, призванный упростить NIS2, производители мороженого могут подпадать под действие закона, если их размер соответствует определённым критериям.

Немецкая ассоциация уже успокоила своих членов, заверив ремесленные пекарни, что они не подпадают под действие закона. Однако оптовые торговцы жевательной резинкой выше определённого размера, по словам юристов, оказываются в сфере действия директивы.

Производители гирлянд и школы

Следующая неожиданность связана с производителями рождественских гирлянд. Как пояснил партнер юридической фирмы Norton Rose в Амстердаме Юрриан Янсен, «производство наборов для освещения рождественских елок» подпадает под соответствующую классификацию экономической деятельности, на которую ссылается директива NIS2.

Кроме того, эксперты обратили внимание на то, что крупные школы с солнечными панелями могут быть формально классифицированы как «производители» электроэнергии. В Европейском парламенте уже отмечали, что это налагает значительные затраты на учреждения, зачастую не имеющие собственных экспертов по кибербезопасности. Европейская комиссия в ответе на запрос не отрицала, что школы могут быть затронуты, но пообещала упростить правила.

Немецкие арендодатели, сдающие большое количество квартир и передающие арендаторам кабельное или интернет-соединение через коммунальные платежи, также могут быть признаны поставщиками телекоммуникационных услуг на основании решения 2021 года. Как отметил Андреас Даум из юридической фирмы Noerr, «это возможно, но зависит от того, как организована аренда». Применяется ли это к новым правилам кибербезопасности, пока неясно.

Задержки с внедрением в ключевых странах ЕС

Сложности с интерпретацией закона усугубляются задержками с его внедрением. Крупнейшие экономики ЕС — Франция, Испания и Нидерланды — до сих пор не приняли соответствующие национальные законы о кибербезопасности. В июле 2026 года Еврокомиссия подала иски в Суд ЕС против Франции, Испании и Нидерландов за невыполнение обязательств по транспонированию директивы.

При этом Европейская комиссия настаивает на том, что директива предусматривает «несколько механизмов» для поддержания справедливости, включая правила, освобождающие малый бизнес и предусматривающие более мягкие требования для менее критических организаций. Однако, как признают сами чиновники, ситуация остаётся запутанной и требует доработки.