NIS2 este directiva europeană care stabilește cerințe obligatorii de securitate cibernetică pentru organizațiile din sectoarele critice ale Uniunii Europene. Directiva (UE) 2022/2555 introduce măsuri de management al riscurilor, obligații de raportare a incidentelor și responsabilități pentru conducerea organizațiilor.
NIS2 extinde semnificativ domeniul de aplicare al vechii directive, introduce cerințe mai clare și măsuri obligatorii de management al riscurilor, precum și obligații mai stricte de raportare.
De ce a fost introdusă Directiva NIS2?
Pentru a înțelege mai bine ce este NIS2, trebuie analizat contextul creșterii amenințărilor cibernetice la nivel european.
NIS2 a fost adoptată ca răspuns la creșterea semnificativă a amenințărilor cibernetice și la necesitatea de a crea un nivel comun de reziliență la nivelul UE. Comparativ cu NIS1, noua directivă:
- extinde numărul sectoarelor critice acoperite
- impune responsabilități mai stricte entităților considerate esențiale sau importante
- consolidează cooperarea între statele membre
- introduce cerințe mai clare privind managementul riscurilor și raportarea incidentelor
Directiva obligă statele membre să adopte strategii naționale coerente de securitate cibernetică și să dezvolte capacități superioare de reacție în situații de criză.
Cine intră sub incidența NIS2?
Înțelegerea clară a conceptului ce este NIS2 ajută organizațiile să determine dacă intră sub incidența noii directive europene.
NIS2 acoperă un număr semnificativ mai mare de sectoare față de directiva anterioară, incluzând atât entități esențiale, cât și entități importante. În total, directiva se aplică în 18 sectoare, iar categoriile vizate includ:
Sectoare de importanță ridicată
- energie
- transport
- sănătate
- administrație publică
- infrastructură digitală
- finanțe și bancar
- apă și gestionarea apei uzate
Alte sectoare critice
- servicii digitale (marketplace-uri, cloud, motoare de căutare)
- poștă și curierat
- gestionarea deșeurilor
- producția de echipamente critice
- industria alimentară
- spațiu
- chimicale
Entitățile vizate sunt în general întreprinderi mijlocii și mari, însă NIS2 prevede și excepții prin care anumite organizații intră în scope indiferent de dimensiune, în special cele din infrastructura digitală și furnizorii de încredere.
Când intră în vigoare directiva NIS2
Directiva NIS2 trebuie transpusă în legislația națională de către statele membre ale Uniunii Europene până la 17 octombrie 2024. După această dată, organizațiile vizate trebuie să respecte noile cerințe privind managementul riscurilor și raportarea incidentelor de securitate cibernetică.
Ce obligații introduce NIS2 pentru organizații?
Înțelegerea corectă a conceptului ce este NIS2 ajută organizațiile să identifice obligațiile de securitate cibernetică impuse de legislația europeană.
Directiva impune un set amplu de cerințe obligatorii pentru entitățile acoperite, incluzând:
1. Măsuri de management al riscurilor
Organizațiile trebuie să implementeze procese de evaluare și gestionare a riscurilor prin politici care acoperă:
- securitatea lanțului de aprovizionare
- analiza vulnerabilităților
- controlul accesului
- securitatea operațională
- criptarea și protecția comunicațiilor
2. Raportarea incidentelor
Incidentele cibernetice semnificative trebuie raportate în termene stricte către autoritățile naționale competente.
3. Supraveghere și controale
Entitățile pot fi supuse auditului, inspecțiilor și investițiilor obligatorii pentru a demonstra conformitatea.
4. Responsabilitatea conducerii
Conducerea poate fi considerată direct responsabilă pentru nerespectarea obligațiilor, iar sancțiunile pot include sancțiuni financiare și interdicții temporare asupra exercitării funcțiilor de conducere.
Ce sancțiuni prevede NIS2?
Directiva introduce un regim sancționator strict, asemănător cu cel prevăzut de GDPR. Sancțiunile pot ajunge până la:
- 10 milioane EUR sau
- 2% din cifra de afaceri globală a organizației,
oricare dintre acestea este mai mare.
În plus, pentru entitățile esențiale, autoritățile pot dispune măsuri corective imediate, suspendări sau alte acțiuni obligatorii.
Ce companii trebuie să respecte NIS2
Directiva NIS2 se aplică în principal organizațiilor din sectoarele critice precum energie, transport, sănătate, infrastructură digitală și servicii financiare. În general, sunt vizate întreprinderile mijlocii și mari, însă anumite organizații pot intra sub incidența directivei indiferent de dimensiune dacă furnizează servicii esențiale.
Care sunt beneficiile implementării NIS2?
Pentru multe organizații care încearcă să înțeleagă ce este NIS2, conformarea reprezintă și o oportunitate de consolidare a securității cibernetice.
Deși directiva impune cerințe riguroase, conformarea aduce beneficii importante pentru organizații:
- reducerea riscurilor operaționale
- creșterea rezilienței în fața atacurilor cibernetice
- un nivel mai ridicat de încredere din partea partenerilor și clienților
- continuitate operațională îmbunătățită
- aliniere la standardele internaționale
NIS2 contribuie la crearea unui ecosistem digital mai sigur, în care incidentele sunt tratate coerent și eficient la nivelul Uniunii Europene.
NIS2 reprezintă o schimbare majoră în peisajul securității cibernetice din UE, stabilind standarde comune și stricte pentru protejarea sistemelor informatice din sectoarele critice. Extinderea domeniului de aplicare, responsabilitatea conducerii și sancțiunile severe evidențiază importanța adoptării unei culturi de securitate solide.
Organizațiile vizate trebuie să își adapteze procesele, să investească în măsuri de prevenție și să își consolideze capacitatea de reacție, pentru a asigura conformitatea și pentru a reduce riscurile generate de amenințările cibernetice tot mai complexe.
Dacă organizația ta dorește să își evalueze nivelul de securitate cibernetică și să își consolideze reziliența digitală, echipa LEXA oferă audituri de securitate cibernetică și evaluări de risc pentru companii.
În concluzie, pentru organizațiile care se întreabă ce este NIS2 și cum le afectează activitatea, directiva introduce cerințe clare privind managementul riscurilor și raportarea incidentelor.
