Если вы живёте в ЕС, три закона определяют, как быстро компания должна признать, что её взломали. Сравнение NIS2, DORA и GDPR за 2026 год рассматривает сферу действия, 24-часовые и 72-часовые сроки для инцидентов, штрафы в диапазоне от €10 млн до €20 млн и то, какие государства-члены приняли соответствующие меры к ноябрю 2026 года. В этом посте это переведено на простой язык. Краткая версия уведомления об утечках по NIS2 DORA GDPR: сроки жёсткие, штрафы большие, а правила применяются неодинаково в каждой стране.

Что на самом деле означают сроки уведомления об утечках по NIS2, DORA и GDPR

Две цифры, которые выделяются в сравнении, — это 24 часа и 72 часа. Это сроки, которые начинают отсчитываться с момента, когда организация узнаёт о серьёзном инциденте. Это не обещания, что вам сообщат в течение дня или трёх.

На практике эти сроки в основном касаются уведомления компанией регулятора или надзорного органа. Такое раннее уведомление позволяет officials увидеть, не затрагивает ли атака несколько организаций одновременно. Более короткий первый срок (24 часа) обычно означает раннее предупреждение, тогда как более длительный (72 часа) оставляет время для более полной картины произошедшего. В исходном сравнении не расписаны все детали того, как каждый закон устанавливает свои сроки, поэтому сверяйтесь с официальным текстом каждого regulation или вашего национального органа для точных формулировок.

Три закона также охватывают разные области:

  • GDPR касается персональных данных и применяется к организациям, обрабатывающим данные людей в ЕС.
  • NIS2 касается безопасности сетевых и информационных систем в секторах, считающихся важными для общества.
  • DORA касается цифровой операционной устойчивости в финансовом секторе.

Из-за этого пересечения один инцидент может одновременно запустить действие более чем одного закона. Кибератака на финансовую фирму, в результате которой раскрываются данные клиентов, может вызвать вопросы по всем трём законам.

Когда компания обязана сообщить вам об утечке: что это значит для вас

Здесь ожидания нужно скорректировать. 24-часовой или 72-часовой срок не означает, что ваш почтовый ящик загорится на следующий день. Первое уведомление обычно направляется властям, а уведомление затронутых лиц — это отдельный шаг с собственными условиями. Эти условия зависят от соответствующего закона и от того, насколько серьёзна угроза для вас.

Что вы можете разумно извлечь из этой системы:

  • Регуляторы узнают первыми. Ожидайте, что формальный срок применяется к уведомлению органа, а не к публичному объявлению.
  • Ранние уведомления могут быть неполными. Краткое первое сообщение может не содержать причину, масштаб или информацию о том, были ли затронуты ваши данные.
  • Ваши права в основном вытекают из GDPR. Это закон, сосредоточенный на персональных данных, поэтому именно к нему стоит обращаться, когда вы хотите знать, о чём вы вправе быть уведомлены.
  • Сектор имеет значение. Если атакованы ваш банк, платёжный провайдер или жизненно важная служба, обязательства по NIS2 или DORA могут применяться в дополнение к GDPR.

Ничто из этого не заменяет вашу собственную осторожность. Даже хорошо работающая система уведомления оставляет разрыв между инцидентом и вашим уведомлением, поэтому полезно менять пароли, включать многофакторную аутентификацию и следить за необычной активностью в ваших аккаунтах, как только вы узнаёте об утечке.

Как сравниваются штрафы по NIS2, DORA и GDPR

В сравнении штрафы представлены как диапазон от €10 млн до €20 млн. Этот диапазон сигнализирует о том, насколько серьёзно законодатели относятся к пропущенным срокам и слабой безопасности. Непредставление уведомления вовремя само по себе является нарушением соответствия, отдельно от утечки.

Одна оговорка о точности. В исходном резюме приводится общий диапазон, но не построчная разбивка, показывающая, какой закон устанавливает какую цифру. Мы не будем угадывать суммы по каждому закону, поскольку структуры штрафов могут включать различные верхние пределы, проценты от оборота и варианты национальной имплементации. В частности, для DORA детали могут зависеть от того, как каждое государство-член устанавливает свои штрафы. Если вам нужны точные цифры для конкретного закона, читайте сам regulation или руководство вашего национального органа.

Что диапазон действительно показывает, так это то, что у регуляторов есть реальные рычаги воздействия. Для компаний, которым приходится соблюдать несколько пересекающихся обязательств, плохо обработанный инцидент может создать более одной проблемы с соответствием одновременно.

Как проверить, приняла ли ваша страна ЕС NIS2 и DORA

В сравнении также отслеживается, какие государства ЕС приняли меры к ноябрю 2026 года, что напоминает: правила ЕС не всегда вступают в силу везде одновременно. NIS2 — это директива, поэтому каждое государство-член должно преобразовать её в национальное право, и прогресс может различаться от страны к стране. Практические способы проверить, где находится ваша страна:

  1. Проверьте сайт национального органа по кибербезопасности. Он обычно публикует статус национального законодательства по NIS2 и перечисляет, кто должен регистрироваться или отчитываться.
  2. Обратитесь к вашему финансовому регулятору. Что касается DORA, национальный финансовый надзорный орган — лучший источник информации о том, как правила применяются к банкам, страховщикам и платёжным фирмам.
  3. Проверьте ваш орган по защите данных. Что касается GDPR, он объясняет, как подать жалобу и какие права на уведомление у вас есть.
  4. Читайте официальные тексты ЕС. Сами regulations и директивы — это окончательное слово о сроках и сфере действия.

Если ваша страна медлит, это не отменяет GDPR. Он применяется по всему ЕС уже много лет и остаётся вашим самым прямым инструментом, когда раскрываются персональные данные.

Ключевые выводы

Понимание уведомления об утечках по NIS2 DORA GDPR сводится к нескольким пунктам: 24-часовые и 72-часовые сроки в основном регулируют уведомления регуляторов, штрафы существенны, а национальное принятие различается. Потратьте несколько минут на этой неделе, чтобы узнать статус NIS2 и DORA в вашей стране, и пересмотрите свои права по GDPR на получение информации и подачу жалобы в ваш орган по защите данных.

Если вы хотите увидеть, как не относящийся к ЕС режим решает аналогичные вопросы, читайте наш материал о UK Cyber Security Resilience Bill, который включает критическую инфраструктуру в формальную национальную структуру и решает собственные обязанности по уведомлению об инцидентах. Сравнение с подходом ЕС показывает, как разные правительства сходятся к более быстрому и структурированному раскрытию информации об утечках.