Ce înseamnă Directiva NIS2 și cui i se aplică în mod concret?

Articol creat in colaborare cu

Directiva NIS2 stabilește cerințe de securitate cibernetică pentru companiile și instituțiile din anumite sectoare importante. Aceste cerințe nu privesc doar departamentul IT. Ele implică și managementul companiei și vizează modul în care sunt identificate și gestionate riscurile, protejată infrastructura, administrată relația cu furnizorii și raportate incidentele de securitate.

La nivel european, NIS2 stabilește cerințe pentru gestionarea riscurilor, raportarea incidentelor și supravegherea entităților din sectoare critice.

Primul pas pentru o companie este să afle dacă intră sub incidența NIS2 și ce obligații îi revin. Directiva este relevantă în special pentru organizațiile care depind de infrastructură IT critică, servicii cloud, comunicații sau aplicații esențiale pentru funcționarea activității.

GTS Romania furnizează servicii de securitate cibernetică, infrastructură, conectivitate și cloud care pot susține firmele în organizarea unor medii digitale mai sigure și mai stabile.

Ce urmărește Directiva NIS2

NIS2 a fost creată pentru a crește nivelul de securitate cibernetică în Uniunea Europeană, mai ales în domenii în care un incident poate afecta servicii esențiale, clienți, parteneri, lanțuri de aprovizionare sau activitatea economică. Directiva înlocuiește cadrul anterior NIS1 și extinde semnificativ numărul sectoarelor vizate.

În practică, NIS2 cere organizațiilor vizate să nu trateze securitatea cibernetică doar ca pe o problemă tehnică punctuală. Compania trebuie să știe ce riscuri are, ce sisteme sunt critice, cine răspunde de securitate, cum sunt protejate datele, cum se gestionează furnizorii și ce se întâmplă dacă apare un incident.

Pentru o companie, directiva aduce în atenție:

• măsuri de gestionare a riscurilor de securitate cibernetică;

• proceduri pentru prevenirea, detectarea și gestionarea incidentelor;

• responsabilitate mai clară la nivel de conducere;

• atenție la securitatea lanțului de aprovizionare și a furnizorilor;

• raportarea incidentelor semnificative către autoritățile competente.

Aceste cerințe trebuie înțelese în funcție de activitatea concretă a companiei. Nu toate organizațiile au aceleași obligații, iar încadrarea depinde de sector, dimensiune, tipul serviciilor oferite și rolul pe care firma îl are în economie.

Cui i se aplică NIS2 în mod concret

Directiva se aplică în principal entităților mijlocii și mari care activează în sectoare considerate esențiale sau importante. 

Printre sectoarele vizate se află energia, transporturile, serviciile bancare, infrastructurile pieței financiare, sănătatea, apa potabilă, apele uzate, infrastructura digitală, serviciile TIC gestionate, administrația publică și sectorul spațial. Sunt incluse și alte domenii, precum servicii poștale și de curierat, gestionarea deșeurilor, industria alimentară, producția anumitor echipamente și furnizorii digitali.

Pentru firme, acest lucru înseamnă că NIS2 nu se limitează la companii de IT. Poate viza organizații care oferă servicii considerate importante pentru economie sau societate, chiar dacă obiectul lor principal de activitate nu este securitatea cibernetică.

O firmă ar trebui să verifice dacă se află într-unul dintre următoarele cazuri:

• activează într-un sector inclus în NIS2;

• are dimensiunea unei întreprinderi mijlocii sau mari, potrivit criteriilor aplicabile;

• furnizează servicii digitale, cloud, data center, comunicații sau servicii TIC gestionate;

• administrează sisteme fără de care clienții, partenerii sau alte organizații nu își pot desfășura activitatea;

• poate fi considerată relevantă pentru continuitatea unor servicii esențiale.

Există situații în care și entități mai mici pot intra în analiză, în funcție de rolul lor, de sector sau de riscul asociat activității. De aceea, firma nu ar trebui să presupună automat că este exclusă doar pentru că nu are un număr foarte mare de angajați.

Ce înseamnă entități esențiale și entități importante

NIS2 împarte organizațiile vizate în două categorii: entități esențiale și entități importante. Diferența ține de rolul companiei, sectorul în care activează, dimensiune și nivelul de impact pe care l-ar putea avea un incident. La nivel european, aceste categorii sunt supuse unor regimuri de supraveghere diferite, dar ambele au obligații legate de securitate și raportare.

O entitate esențială este, în general, o organizație a cărei activitate are impact major asupra funcționării unor servicii critice. O entitate importantă poate avea, la rândul ei, obligații semnificative, chiar dacă regimul de supraveghere va fi diferit.

Pentru a înțelege încadrarea, firma trebuie să analizeze:

• sectorul principal de activitate;

• serviciile pe care le oferă clienților sau altor organizații;

• dimensiunea companiei;

• dependența altor entități de sistemele sau serviciile sale;

• impactul pe care l-ar avea o întrerupere a activității.

Această evaluare nu trebuie făcută superficial. O companie care furnizează servicii digitale, infrastructură, conectivitate sau suport pentru alte firme poate avea o relevanță mai mare decât pare la prima vedere.

Ce trebuie să pregătească firmele vizate

Pentru firmele care intră sub incidența NIS2, pregătirea nu înseamnă doar achiziția unui software de securitate. Este nevoie de o abordare organizată, care să includă politici interne, măsuri tehnice, responsabilități clare și proceduri aplicabile în cazul incidentelor.

În România, cadrul de transpunere include mecanisme pentru identificarea și înregistrarea entităților esențiale și importante, cu instrumente precum NIS2@RO și ENIRE@RO dezvoltate la nivelul DNSC pentru sprijinirea procesului.

În mod practic, firma ar trebui să pregătească:

• o evidență a sistemelor IT importante pentru activitate;

• o evaluare a riscurilor cibernetice relevante;

• politici clare pentru acces, parole, conturi și drepturi de utilizator;

• măsuri pentru backup, restaurare și continuitatea activității;

• proceduri pentru identificarea, gestionarea și raportarea incidentelor.

De asemenea, trebuie analizată relația cu furnizorii. Dacă firma depinde de servicii cloud, internet, data center, aplicații externe sau administrare IT, aceste relații trebuie privite și din perspectiva securității.

De ce contează furnizorii în conformarea la NIS2

NIS2 pune accent pe riscurile din lanțul de aprovizionare. Asta înseamnă că o companie trebuie să fie atentă nu doar la propriile servere și aplicații, ci și la furnizorii care susțin infrastructura digitală. Un incident produs la un furnizor poate afecta accesul la date, aplicații, comunicații sau servicii utilizate zilnic.

Înainte de a alege sau păstra un furnizor IT, firma ar trebui să verifice:

• ce măsuri de securitate aplică furnizorul;

• cum sunt gestionate incidentele tehnice sau cibernetice;

• ce nivel de suport este disponibil;

• cum este protejată infrastructura folosită pentru servicii cloud, conectivitate sau găzduire;

• ce responsabilități sunt asumate contractual.

Pentru companiile care vor să își consolideze infrastructura digitală în contextul NIS2, GTS Romania furnizează servicii de conectivitate, cloud, data center și securitate cibernetică ce pot fi integrate în analiza riscurilor și în planurile de continuitate ale firmei.

Cum își dă seama o firmă dacă trebuie să se pregătească

Primul pas este verificarea sectorului de activitate și a serviciilor furnizate. Al doilea pas este analiza dimensiunii companiei și a rolului pe care aceasta îl are pentru clienți, parteneri sau infrastructuri importante. Al treilea pas este evaluarea dependenței de sisteme digitale: aplicații, servere, rețele, platforme, baze de date și furnizori externi.

O firmă nu ar trebui să aștepte o problemă sau o solicitare formală pentru a începe această analiză. Chiar și atunci când încadrarea nu este evidentă, măsurile cerute de NIS2 sunt utile pentru reducerea riscurilor: controlul accesului, backup testat, monitorizare, răspuns la incidente, instruirea personalului și documentarea responsabilităților.

Directiva NIS2 se aplică în mod concret organizațiilor care activează în sectoare importante pentru economie și societate, în special entităților mijlocii și mari, dar pot exista și situații particulare pentru entități cu rol critic sau profil de risc ridicat. 

Pentru o companie, cel mai sigur demers este să își verifice încadrarea, să își inventarieze sistemele importante și să trateze securitatea cibernetică drept o responsabilitate de business, nu doar ca pe o sarcină tehnică a departamentului IT.