NIS2; riscuri și oportunități pentru întreprinderi

Introducere și referințe legislative

NIS este un acronim care înseamnă „Securitatea rețelelor și a informațiilor”.

Prin acest acronim, Comunitatea Europeană a dorit să desemneze efortul legislativ de a defini o abordare standardizată a securității cibernetice în toate statele membre ale UE.

În 2018 a fost adoptat primul regulament european, denumit NIS1 (Directiva UE 2016/1148), care a fost transpus la nivel național prin Decretul legislativ nr. 65 din 18 mai 2018.

Decretul NIS a prevăzut, de asemenea, adoptarea unei „strategii naționale de securitate cibernetică” prin înființarea echipei italiene CSIRT (Echipa de intervenție în cazul incidentelor de securitate informatică), căreia i-au fost atribuite sarcini tehnice legate de prevenirea, gestionarea și monitorizarea incidentelor cibernetice, în colaborare cu echipele CSIRT europene.

NIS1 a fost ulterior înlocuit de NIS2 (Directiva UE 2022/2555), transpusă la nivel național prin Decretul legislativ nr. 138 din 4 septembrie 2024.

NIS 2 își propune să depășească limitările NIS 1, care a lăsat prea multă libertate de apreciere statelor membre în procesul de transpunere, ceea ce a dus la neîndeplinirea obiectivului de armonizare, și care a exclus, de asemenea, anumite categorii de entități care ar fi trebuit să fie reglementate, având în vedere importanța lor pentru piața europeană.

În plus, NIS2 a fost introdus pentru a răspunde ritmului crescut de digitalizare înregistrat în toate statele membre și accelerat de pandemie, fenomen care a extins suprafața expusă atacurilor cibernetice fără o consolidare corespunzătoare a sistemelor de securitate.

În cele din urmă, un alt obiectiv al NIS2 este acela de a obliga operatorii de servicii esențiale și importante, precum și furnizorii de servicii digitale, să adopte măsuri de securitate adecvate și să raporteze prompt incidentele autorităților competente și utilizatorilor serviciilor lor.

Noua directivă a fost armonizată cu alte reglementări sectoriale specifice la nivel european, printre care:

- Directiva privind reziliența operațională digitală în sectorul financiar (DORA). Este vorba despre regulamentul adoptat la 10 noiembrie 2022, care are ca scop consolidarea măsurilor de securitate în favoarea rezilienței și a securității cibernetice a sectorului financiar prin punerea în aplicare a unei serii de măsuri de securitate obligatorii care garantează integritatea informațiilor și securitatea cibernetică a serviciilor;

- Directiva privind reziliența entităților critice (CER); menită să asigure claritatea juridică și coerența între diferitele directive.

Companiile în cauză au fost împărțite în:

• Sectoare esențiale (energie; transporturi; sănătate; aprovizionare cu apă; administrație publică; finanțe; sectorul spațial; infrastructură digitală)
• Sectoare importante (cercetare; produse chimice; alimentație; producție industrială; furnizori de servicii digitale; servicii poștale; gestionarea deșeurilor)
• Organisme publice: Administrația centrală (organisme constituționale și relevante din punct de vedere constituțional; Cabinetul Primului Ministru și ministerele; agenții fiscale; autorități independent ) | Administrația regională (regiuni și provincii autonome) | Administrația locală (orașe metropolitane; municipalități cu peste 100.000 de locuitori; capitale regionale; autorități locale de sănătate) | Alte entități publice (organisme de reglementare economică; furnizori de servicii economice; asociații; furnizori de servicii de asistență socială, recreative și culturale; organisme și instituții de cercetare; institute zooprofilactice experimentale) | Alte tipuri de entități (entități care furnizează servicii de transport public local; instituții de învățământ care desfășoară activități de cercetare; entități care desfășoară activități de interes cultural; întreprinderi interne; societăți în care s-au făcut investiții și societăți controlate de stat)
• Furnizorii: organizațiile care prestează servicii esențiale entităților vizate de NIS2 trebuie să își consolideze securitatea digitală, chiar dacă sunt incluse în mod explicit în Sectoare de activitate obligatorii.

Conținutul NIS2

Obligațiile generale prevăzute în NIS2 pot fi rezumate pe baza a patru piloni principali:

Guvernanță: Conducerea trebuie să aprobe măsurile de gestionare a riscurilor adoptate de organizație și să evalueze eficacitatea acestora în timp: să participe la cursuri periodice de formare pe teme de securitate cibernetică și să ofere cursuri similare angajaților.

Gestionarea riscurilor: organizația trebuie să evalueze riscurile legate de securitate și de rețea și să adopte măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a preveni sau a reduce la minimum impactul incidentelor asupra beneficiarilor serviciilor sale.

Continuitatea activității: organizația trebuie să adopte soluții care să asigure continuitatea activității (de exemplu, copii de siguranță, plan de recuperare în caz de dezastru și procedură de gestionare a crizelor), menite să reducă la minimum impactul eventualelor întreruperi ale serviciilor furnizate.

Lanțul de aprovizionare: compania trebuie să evalueze punctele vulnerabile ale fiecărui furnizor direct, precum și calitatea generală a produselor furnizorilor săi și practicile acestora în materie de securitate cibernetică. Evaluarea va viza furnizorii de TIC și alți furnizori critici care ar putea provoca întreruperi ale serviciului pentru care organizația a fost inclusă în perimetrul NIS2.

Prin urmare, companiile vor trebui să fie în măsură să măsoare și să raporteze următoarele:

• Analiza riscurilor și politicile de securitate a sistemelor informatice
• Proceduri de gestionare a incidentelor
• Soluții pentru continuitatea activității (copii de siguranță și recuperarea în caz de dezastru) și proceduri de gestionare a crizelor și de comunicare
• Politici privind securitatea lanțului de aprovizionare (furnizori și prestatori de servicii)
• Securitatea în procesul de achiziție, dezvoltare, întreținere și gestionare a vulnerabilităților sistemelor informatice și ale rețelelor

Calendarul NIS2

Companiile și administrațiile publice vor trebui să efectueze o evaluare pentru a stabili dacă intră sau nu sub incidența obligațiilor prevăzute de Directiva NIS2.

În perioada 1 decembrie 2024 – 28 februarie 2025, companiile trebuie să se autentifice pe portalul ACN (Agenția Națională pentru Securitate Cibernetică) folosind datele de autentificare SPID. În această perioadă, utilizatorii desemnați ca /Serviciul de înregistrare.

În special, societățile comerciale au următoarele obligații:

• Precizați dacă entitatea face parte dintr-un grup de societăți și indicați codul fiscal al societății-mamă, dacă este cazul.
  
• Enumerați societățile afiliate și indicați codurile lor fiscale.
  
• Enumerați codurile ATECO care descriu activitatea entității.
• Menționați reglementările sectoriale relevante ale Uniunii Europene.
• Furnizați cifrele privind cifra de afaceri, bilanțul contabil și numărul de angajați pentru a stabili categoria în care se încadrează compania.
• Enumerați tipurile de entități din care face parte compania.

Până la data de 17 ianuarie 2025, operatorii registrelor de nume de domeniu de nivel superior, furnizorii de servicii legate de sistemul de nume de domeniu și de înregistrare a numelor de domeniu, furnizorii de servicii de cloud computing, centrele de date, furnizorii de rețele de distribuire a conținutului, furnizorii de servicii gestionate, furnizorii de servicii de securitate gestionate, precum și furnizorii de piețe online, furnizorii de motoare de căutare online și furnizorii de platforme de rețele sociale ar trebui să se fi înregistrat pe platformă.

Până la 31 martie 2025, ACN a întocmit o listă a entităților esențiale și importante pe baza înregistrărilor primite prin intermediul platformei.

În perioada 1 aprilie 2025 – 15 aprilie 2025, ACN a informat entitățile în cauză dacă au fost incluse pe lista entităților esențiale sau importante.

Până la data de 15 aprilie 2025, entitățile care au primit notificarea erau obligate să desemneze, printr-un act specific, o entitate responsabilă cu îndeplinirea obligațiilor prevăzute în decret.

După aceea, entitățile vizate de directivă vor trebui să respecte următoarele cerințe:

• până la 1 ianuarie 2026; obligația de raportare a incidentelor
• până la 1 octombrie 2026; obligațiile referitoare la organismele administrative și măsurile de securitate trebuie îndeplinite

În fiecare an, ACN va actualiza lista entităților implicate. Companiile și administrațiile publice vor avea posibilitatea să se înregistreze în fiecare an, în perioada ianuarie-februarie, dacă se consideră că fac parte din categoria entităților vizate.

Riscuri pentru companii, dar și oportunități

După intrarea în vigoare a NIS2 și identificarea operatorilor vizați, autoritățile competente pot efectua activități de supraveghere și controale inopinate pentru a verifica respectarea directivei de către aceștia. În caz de nerespectare, se vor aplica sancțiuni societăților implicate.

Sancțiunile sunt foarte severe: pentru marile întreprinderi, până la 10 milioane de euro sau 2 % din cifra de afaceri globală; pentru întreprinderile mijlocii, până la 7 milioane de euro sau 1,4 % din cifra de afaceri globală.

Deși respectarea reglementărilor necesită un efort și o investiție considerabile din partea companiilor, trebuie recunoscut totodată că aceste reglementări urmăresc să ofere o soluție substanțială la problema atacurilor cibernetice, la care companiile italiene sunt încă foarte vulnerabile și pe care adesea tind să le ascundă din motive de imagine. Din punct de vedere economic, pagubele medii estimate pentru fiecare atac cibernetic în parte depășesc 2 milioane de euro, indiferent de cifra de afaceri a companiei.

Cum poate ERA să vă ajute în gestionarea conformității cu NIS2

În ciuda tuturor aspectelor menționate mai sus, care ar putea sugera că întreprinderile sunt extrem de interesate și implicate în problemele legate de securitatea cibernetică, nu este deloc neobișnuit, mai ales în rândul IMM-urilor, să întâlnim întreprinderi care au făcut foarte puțin sau chiar nimic Despre ERA Group și Despre ERA Group , în prezent, nu sunt în măsură să-și definească poziția în ceea ce privește riscurile la care sunt expuse, atât din punct de vedere tehnic, cât și în ceea ce privește respectarea diverselor reglementări existente.

Unele companii abordează problema securității cibernetice prin intermediul polițelor de asigurare. Cu toate acestea, companiile de asigurări sunt adesea reticente în a oferi acest tip de protecție companiilor care nu au întreprins niciodată acțiuni concrete în domeniul cibernetic. Acest lucru se datorează faptului că nu există o metodă fiabilă de estimare precisă a pagubelor cauzate de un atac cibernetic. Prin urmare, „pachetele NIS2” se concentrează pe servicii de evaluare a riscurilor cibernetice, dar lasă în seama companiilor luarea măsurilor necesare pentru a remedia eventualele lacune. ERA poate oferi un serviciu mai cuprinzător, bazându-se pe o rețea de furnizori cu înaltă calificare, la condiții comerciale foarte competitive.

Mai exact, sprijinul oferit de ERA constă în:

• O evaluare a structurii organizaționale și tehnice a companiei; cu ajutorul chestionarelor de autoevaluare care utilizează indicatori predefiniti;
• Cursuri de sensibilizare și formare; incluzând cursuri de bază pentru întreg personalul și module avansate pentru conducerea de nivel superior și intermediar; în conformitate cu orientările NIS2;
• Teste specifice și de înaltă calitate privind analiza vulnerabilităților; combaterea atacurilor de tip phishing și evaluarea riscurilor legate de ransomware;
• Asistență din partea unor consultanți specializați pe parcursul fazei de remediere care urmează evaluării;
• Asistență specializată din partea unor consultanți specializați, pentru a ghida deciziile strategice în domeniul securității cibernetice.

Soluția noastră include analiza conformității cu reglementările NIS2, care reprezintă, fără îndoială, cea mai urgentă preocupare; totodată, putem însoți clientul în gestionarea proiectului din faza de remediere, adică faza în care clientul trebuie să remedieze diversele „deficiențe” identificate în cadrul procesului de diagnosticare; aceasta este faza în care dificultățile unor companii sunt cele mai evidente, atât în ceea ce privește competențele interne, cât și disponibilitatea de timp și resurse.