Навигация в изменениях 2026 года: NIS2 и CRA в промышленной автоматизации ЕС

Европейская промышленность вступает в эпоху преобразующих нормативных изменений, начиная с 2026 года. Отрасли переработки, особенно химическая и энергетическая, теперь должны ориентироваться в двух мощных законодательных рамках:  Директиве NIS2 и  Законе о киберустойчивости (CRA). Вместе эти законы превращают кибербезопасность из добровольной «лучшей практики» в обязательное требование для выхода на рынок и обеспечения непрерывности работы.

Согласование NIS2 и CRA для критической инфраструктуры

Операторы критической инфраструктуры теперь испытывают двойное давление от этих взаимосвязанных правил. В то время как NIS2 сосредоточена на устойчивости работы «важных объектов», CRA направлен на цифровую целостность приобретаемых ими продуктов. Следовательно, химический завод не сможет соответствовать требованиям NIS2 без подтверждения, что его поставщики отвечают стандартам CRA. Эта взаимосвязь создаёт замкнутую систему ответственности от производителя микросхем до руководителя завода.

CRA: обязательная безопасность по замыслу для продукции автоматизации

CRA коренным образом меняет подход производителей к разработке  промышленных систем автоматизации и управления (ПСАУ). Теперь производители обязаны внедрять принципы безопасности по замыслу и безопасности по умолчанию на каждом этапе жизненного цикла продукта. Кроме того, компании должны предоставлять состав программного обеспечения (SBOM) для каждого цифрового компонента. Продукция, не соответствующая этим строгим требованиям, лишится маркировки CE, что фактически запретит её продажу на рынке ЕС с 2026 года.

NIS2: усиление управления эксплуатационными технологиями (ОТ)

В рамках NIS2 промышленные операторы обязаны внедрять комплексное управление рисками и протоколы отчётности о происшествиях. Это требование распространяется не только на традиционные информационные технологии, но и на  эксплуатационные технологии (ОТ) , включая сети  ПЛК и  РСУ . Операторы должны доказать способность обнаруживать угрозы и обеспечивать непрерывность работы во время кибератак. Поэтому высшее руководство должно нести прямую ответственность за кибербезопасность и проверку цепочки поставок.

Развивающаяся роль документации и проверок

Соответствие теперь требует значительного повышения прозрачности в административной части и технических проверках. Операторы обязаны вести строгие записи оценок рисков и проверок поставщиков для удовлетворения требований национальных органов. Кроме того, отделы закупок должны отдавать предпочтение поставщикам, которые активно устраняют уязвимости и обеспечивают долгосрочную поддержку безопасности. В результате «долг соответствия» становится реальным финансовым риском для компаний, отстающих в цифровой трансформации.

Мнение эксперта: конец «безопасности через неясность»

По моему мнению, эти нормативы означают окончательный конец «безопасности через неясность» в промышленном секторе. Долгие годы многие предприятия полагались на изоляцию своих  систем управления как основную защиту. Однако CRA и NIS2 признают, что современные, связанные между собой заводы требуют активной, документированной защиты. Я считаю, что этот сдвиг в конечном итоге приведёт к культуре «кибербезопасности», где цифровая защита будет восприниматься с той же серьёзностью, что и физическая защита от взрывов (ATEX) или функциональная безопасность (SIL).