Directiva NIS2: ce este și care sunt implicațiile pentru companii

Directiva europeană NIS2 (Network and Information Security 2), care intra în vigoare pe 17 octombrie 2024, reprezintă o actualizare a directivei precedente NIS (din 2016) și introduce măsuri de securitate cibernetică mai stricte pentru infrastructurile critice și serviciile esențiale din Europa.
Scopul său este de a asigura o reziliență și o protecție majoră împotriva amenințărilor cibernetice, îmbunătățind securitatea rețelelor și a sistemelor informatice utilizate de sectoarele considerate vitale pentru funcționarea societății și economiei europene.

Aplicare

Întreprinderile mici sunt, în general, excluse, cu excepția celor care desfășoară activități considerate de o importanță deosebită pentru societate. Acestea vor fi obligate să respecte cerințe mai stricte de securitate, să implementeze măsuri avansate de supraveghere și să se conformeze obligațiilor riguroase de raportare.

Este important de subliniat că NIS2 nu se limitează doar la clasificarea organizațiilor sau furnizorilor de servicii ca esențiali sau importanți, ci include și întregul lanț de aprovizionare, extinzând considerabil domeniul de aplicare.
De exemplu, o companie IT care furnizează hardware sau software unui client ce utilizează aceste produse pentru a oferi un serviciu esențial intră automat sub incidența directivei.

Sectore esențiale

• Energie: electrică, termică, petrol, gaz, hidrogen.
• Transporturi: aerian, feroviar, naval, rutier.
• Bancar.
• Infrastructuri piețe financiare.
• Sănătate: furnizori de asistență, laboratoare, cercetare și dezvoltare, companii farmaceutice, producători de dispozitive medicale critice.
• Apă potabilă.
• Apă reziduală.
• Infrastructuri digitale: furnizori de puncte de schimb de internet, servicii DNS, cloud, data center, rețele publice de comunicații, servicii electronice accesibile publicului.
• Gestionare servicii ICT business-to-business: furnizori de servicii gestionate și de securitate.

Sectore importante

• Servicii poștale și curierat.
• Gestionarea deșeurilor.
• Fabricarea, producția și distribuția substanțelor chimice.
• Producția, procesarea și distribuția alimentelor.
• Fabricarea (dispozitive medicale, electronice, echipamente electrice, vehicule și alte mijloace de transport).
• Furnizori de servicii digitale (e-commerce, motoare de căutare, rețele sociale).
• Cercetare.

Impactul NIS2 asupra companiilor

NIS2 are implicații semnificative, în special pentru companiile publice și private din sectoarele critice, dar și pentru cele conexe, mai ales dacă produc componente, software sau servicii care sprijină infrastructurile critice sau fac parte din lanțurile de aprovizionare.

Sunt solicitate măsuri avansate de securitate, cum ar fi:

• Gestionarea vulnerabilităților.
• Protecția datelor.
• Control mai strict asupra accesului la sisteme.

Aceasta necesită o regândire a politicilor de securitate cibernetică, inclusiv:

• Evaluarea riscurilor: Identificarea amenințărilor potențiale și a vulnerabilităților din sistemele IT/OT.
• Planuri de gestionare a crizelor: Dezvoltarea strategiilor pentru răspuns la incidente, recuperare rapidă și comunicarea încălcărilor.
• Conformitate extinsă: Asigurarea conformității interne și a conformității furnizorilor și partenerilor.

Sancțiuni și responsabilități

NIS2 introduce un sistem de sancțiuni pentru companiile care nu se conformează, inclusiv amenzi semnificative bazate pe cifra de afaceri anuală.
De asemenea, responsabilitatea managementului este întărită, obligând conducerea să supravegheze implementarea măsurilor de securitate, transformând conformitatea într-o obligație la nivelul întregii conduceri.

Acțiuni recomandate

Companiile vizate ar trebui să înceapă imediat o evaluare a stării de conformitate și să adopte următoarele măsuri:

• Cartografierea proceselor și infrastructurilor critice: Identificarea sistemelor care intră sub incidența directivei NIS2.
• Formarea personalului: Creșterea conștientizării și pregătirii personalului în privința securității cibernetice.
• Colaborarea cu partenerii și furnizorii: Asigurarea conformității întregului lanț de aprovizionare, deoarece o vulnerabilitate la un furnizor poate compromite întreaga rețea.

NIS2 reprezintă o schimbare semnificativă în peisajul securității cibernetice din Europa, iar companiile trebuie să țină cont de aceste cerințe pentru a evita sancțiunile și a-și proteja infrastructurile esențiale.