Якщо ви живете в ЄС, три закони визначають, як швидко компанія повинна визнати, що її зламали. Порівняння NIS2, DORA та GDPR у 2026 році розглядає сферу застосування, 24-годинний та 72-годинний графіки інцидентів, штрафи в діапазоні від 10 до 20 млн євро та те, які держави-члени вжили заходів до листопада 2026 року. Цей пост перекладає це простою мовою. Коротка версія звітування про порушення NIS2 DORA GDPR: графіки стислі, штрафи великі, і правила не застосовуються однаково в кожній країні.

Що насправді означають графіки звітування про порушення NIS2, DORA та GDPR

Дві цифри, які виділяються в порівнянні, — це 24 години та 72 години. Це крайні терміни, які починають відраховуватися, коли організація дізнається про серйозний інцидент. Вони не є обіцянками, що вам повідомлять протягом одного дня чи трьох.

На практиці ці графіки стосуються головним чином звітування компанії регулятору або наглядовому органу. Цей ранній звіт дозволяє посадовцям побачити, чи атака вражає кілька організацій одночасно. Коротший перший термін (24 години) зазвичай означає раннє попередження, тоді як довший (72 години) залишає час для повнішої картини того, що сталося. Джерело порівняння не роз'яснює всіх деталей того, як кожен закон призначає свої графіки, тому перевіряйте офіційний текст кожного регулювання або вашого національного органу для точного формулювання.

Три закони також охоплюють різні сфери:

  • GDPR стосується персональних даних і застосовується до організацій, які обробляють дані людей у ЄС.
  • NIS2 стосується безпеки мережевих та інформаційних систем у секторах, які вважаються важливими для суспільства.
  • DORA стосується цифрової операційної стійкості у фінансовому секторі.

Через це перекриття один інцидент може одночасно спричинити застосування більше ніж одного закону. Кібератака на фінансову установу, яка розкриває дані клієнтів, може порушити питання за всіма трьома.

Коли компанія повинна повідомити вас про порушення: що це означає для вас

Тут очікування потрібно скоригувати. 24-годинний або 72-годинний графік не означає, що ваша поштова скринька засвітиться наступного дня. Перший звіт зазвичай надходить до органів влади, а повідомлення постраждалих осіб — це окремий крок із власними умовами. Ці умови залежать від відповідного закону та від того, наскільки серйозним є ризик для вас.

Що ви можете обґрунтовано взяти з цієї структури:

  • Регулятори дізнаються першими. Очікуйте, що формальний графік застосовується до звіту перед органом влади, а не до публічного оголошення.
  • Ранні повідомлення можуть бути неповними. Короткий перший звіт може не містити причини, масштабу або того, чи були задіяні ваші дані.
  • Ваші права походять головним чином із GDPR. Це закон, зосереджений на персональних даних, тому саме на нього слід дивитися, коли ви хочете знати, що вам належить почути.
  • Сектор має значення. Якщо ваш банк, платіжний провайдер або важлива служба постраждали, зобов'язання NIS2 або DORA можуть застосовуватися додатково до GDPR.

Ніщо з цього не замінює вашу власну обережність. Навіть добре налагоджена система звітування залишає розрив між інцидентом і вашим повідомленням, тому корисно змінювати паролі, вмикати багатофакторну автентифікацію та стежити за своїми обліковими записами щодо незвичайної активності, щойно ви почуєте про порушення.

Як порівнюються штрафи NIS2, DORA та GDPR

Порівняння окреслює покарання як діапазон від 10 до 20 млн євро. Цей діапазон сигналізує, наскільки серйозно законодавці ставляться до пропущених термінів і слабкої безпеки. Неспроможність повідомити вчасно сама по собі є порушенням відповідності, окремо від порушення.

Одне застереження щодо точності. Джерело-резюме дає загальний діапазон, але не розбивку рядок за рядком, яка показує, який закон встановлює яку цифру. Ми не будемо вгадувати суми за кожним законом, оскільки структури покарань можуть включати різні верхні межі, відсотки від обороту та національні варіанти імплементації. Зокрема для DORA деталі можуть залежати від того, як кожна держава-член встановлює свої покарання. Якщо вам потрібні точні цифри для конкретного закону, читайте саме регулювання або рекомендації вашого національного органу.

Що діапазон справді повідомляє вам, так це те, що регулятори мають реальні важелі впливу. Для компаній, які повинні виконувати кілька перекриваних зобов'язань, погано оброблений інцидент може створити більше ніж одну проблему відповідності одночасно.

Як перевірити, чи ваша країна ЄС ухвалила NIS2 та DORA

Порівняння також відстежує, які держави ЄС вжили заходів до листопада 2026 року, що є нагадуванням, що правила ЄС не завжди набувають чинності всюди одночасно. NIS2 є директивою, тому кожна держава-член повинна перетворити її на національний закон, і прогрес може відрізнятися від країни до країни. Практичні способи перевірити, де стоїть ваша:

  1. Пошукайте орган кібербезпеки вашого національного уряду. Він зазвичай публікує статус національного законодавства NIS2 і перелічує, хто повинен реєструватися або звітувати.
  2. Подивіться на ваш фінансовий регулятор. Щодо DORA національний фінансовий нагляд є найкращим джерелом про те, як правила застосовуються до банків, страховиків і платіжних компаній.
  3. Перевірте ваш орган захисту даних. Щодо GDPR він пояснює, як подати скаргу і які права на повідомлення ви маєте.
  4. Читайте офіційні тексти ЄС. Самі регулювання та директиви є остаточним словом щодо термінів і сфери застосування.

Якщо ваша країна повільна, це не скасовує GDPR. Він застосовується по всьому ЄС протягом багатьох років і залишається вашим найпрямішим інструментом, коли персональні дані розкриті.

Ключові висновки

Розуміння звітування про порушення NIS2 DORA GDPR зводиться до кількох моментів: 24-годинний та 72-годинний графіки переважно регулюють звіти регуляторам, штрафи є значними, а національне впровадження різниться. Витратьте кілька хвилин цього тижня, щоб перевірити статус NIS2 та DORA у вашій країні, і перегляньте свої права за GDPR на інформування та на скаргу до вашого органу захисту даних.

Якщо ви хочете побачити, як режим поза ЄС вирішує подібні питання, читайте наш матеріал про UK Cyber Security Resilience Bill, який залучає критичну інфраструктуру до формальної національної структури та вирішує власні обов'язки щодо звітування про інциденти. Порівняння з підходом ЄС показує, як різні уряди сходяться на швидшому та більш структурованому розкритті порушень.