Требует ли NIS2 наличия DMARC? Аутентификация электронной почты и киберигиена ЕС (2026)

Опубликовано 2026-06-29

Данные по состоянию на 2026-06-29 · методология v7. Агрегированные данные переписи по национальному окончанию домена (ccTLD — приближённый показатель страны, а не регистрации компании), по 261 миллионам оценённых доменов. «Может остановить выдачу себя за другого» = действующая политика DMARC (quarantine/reject). Ссылки на NIS2 ниже носят общий характер; это не юридическая консультация. См. как мы оцениваем.

NIS2 не упоминает DMARC по имени — но требует «надлежащих мер кибергигиены», а предотвращение выдачи кем-либо себя за ваш домен в электронной почте — это примерно настолько базовая мера, насколько вообще может быть кибергигиена. Директива ЕС NIS2 (срок имплементации — октябрь 2024 года) обязывает основные и важные субъекты принимать надлежащие, соразмерные технические меры против кибер-риска. Аутентификация электронной почты — SPF, DKIM и действующая политика DMARC — это стандартная мера против подделки, соответствующая этому обязательству. Перепись показывает, что большинство доменов ЕС ещё не достигли этого.

Насколько уязвимы домены ЕС сегодня?

Доля доменов на каждом национальном окончании с действующей политикой DMARC (чем выше, тем лучше; за остальных можно выдавать себя). По состоянию на 2026-06-29:

Страна (окончание)	Может остановить выдачу себя за другого
Нидерланды (.nl)	29,43%
Польша (.pl)	23,36%
Германия (.de)	21,38%
Испания (.es)	15,02%
Бельгия (.be)	14,91%
Франция (.fr)	13,65%
Швеция (.se)	10,18%
Ирландия (.ie)	8,79%
Италия (.it)	5,24%

Даже лидер ЕС — Нидерланды — имеет лишь 29,43% доменов, способных остановить выдачу себя за другого. Италия находится на отметке 5,24%. Для сравнения, мировой показатель применения составляет всего 10,59% — так что Европа лидирует в мире и всё равно оставляет подавляющее большинство своих предприятий уязвимыми для подделки.

Что это означает для бизнеса в сфере действия NIS2

Если вы являетесь основным или важным субъектом (или находитесь в цепочке поставок одного из них), аутентификация электронной почты — это дешёвая, заметная, защищаемая мера, которую стоит внедрить:

SPF + DKIM + действующий DMARC не позволяет преступникам отправлять письма от имени вашей организации — механизм, лежащий в основе мошенничества со счетами и мошенничества от имени руководителя.
Это бесплатная настройка DNS, а не покупка продукта — поэтому её отсутствие трудно оправдать при аудите.
Это проверяемо извне — аудиторы, страховщики и партнёры могут проверить это за секунды, и именно поэтому «домен можно подделать» — это вывод, который стоит закрыть, прежде чем его поднимет кто-то другой.

NIS2 не вручит вам чек-лист с надписью «установите p=reject». Но когда директива требует соразмерных мер против очевидных рисков, незащищённый домен, за который любой может выдать себя, — это пробел, который трудно защитить.

Часто задаваемые вопросы

Требует ли NIS2 DMARC юридически? NIS2 не называет DMARC. Она требует надлежащих, соразмерных мер кибергигиены и управления рисками; аутентификация электронной почты (SPF/DKIM/DMARC) — это стандартная мера, устраняющая риск подделки электронной почты, поэтому она широко считается входящей в сферу действия. Уточните детали у своего консультанта по соответствию.

Какова минимальная позиция аутентификации электронной почты? Опубликованные SPF и DKIM и DMARC, настроенный на действующую политику (quarantine или reject). Запись DMARC со значением p=none отслеживает, но не защищает.

Как страны ЕС соотносятся по этому показателю? По состоянию на 2026-06-29 применение варьируется примерно от 5,24% (.it) до 29,43% (.nl). Большинство доменов ЕС всё ещё не могут остановить выдачу себя за другого.

Дорого ли это исправить? Нет — это настройка DNS, бесплатная для изменения. Затраты — это время на то, чтобы сделать это в правильном порядке.

Проверьте релевантную для NIS2 почтовую позицию вашего домена

Узнайте, можно ли выдать себя за ваш домен — и что именно исправить — конфиденциально и бесплатно.

Проверьте ваш домен → · Исправить DMARC → · Европа против мира → · Может ли кто-то подделать ваш домен? → · Только агрегированные данные. Данные хранятся и обрабатываются в ЕС.