În acest material discutăm despre cât de mari sunt amenzile pentru firmele neconforme NIS2 și propunem o serie de măsuri minime pentru infrastructura IT.

NIS2 aduce obligații noi și sancțiuni semnificative

Directiva NIS2 schimbă modul în care organizațiile din Uniunea Europeană trebuie să gestioneze securitatea cibernetică. Dacă vechea directivă se aplica unui număr relativ redus de operatori de servicii esențiale, NIS2 extinde considerabil lista domeniilor și introduce cerințe mai stricte privind managementul riscurilor, raportarea incidentelor și responsabilitatea conducerii.

Conformitatea nu mai reprezintă doar o recomandare sau o bună practică, ci o obligație legală pentru numeroase organizații din sectoare considerate esențiale sau importante. În plus, conducerea companiei are un rol activ în supravegherea implementării măsurilor de securitate și poate fi trasă la răspundere pentru nerespectarea obligațiilor prevăzute de directivă.

Pe lângă riscurile operaționale generate de atacurile informatice, organizațiile trebuie să ia în calcul și impactul financiar al neconformității. Amenzile prevăzute de NIS2 sunt comparabile cu cele întâlnite în alte reglementări europene importante și pot ajunge la milioane de euro, în funcție de categoria în care este încadrată organizația și de gravitatea încălcărilor.

Ce amenzi prevede Directiva NIS2?

Directiva NIS2 stabilește un cadru minim de sancțiuni pe care statele membre trebuie să îl transpună în legislația națională. Valoarea exactă și modalitatea de aplicare sunt stabilite prin legislația fiecărui stat, însă directiva impune plafoane minime pentru sancțiunile administrative.

În cazul entităților esențiale, sancțiunile pot ajunge până la:

• 10 milioane de euro sau
• 2% din cifra de afaceri anuală, dacă această valoare este mai mare.

În cazul entităților importante, sancțiunile pot ajunge până la:

• 7 milioane de euro sau
• 1,4% din cifra de afaceri anuală, dacă această valoare este mai mare.

Pe lângă sancțiunile financiare, autoritățile competente pot dispune și alte măsuri, precum:

• emiterea unor ordine obligatorii pentru remedierea neconformităților;
• efectuarea de audituri și controale suplimentare;
• obligarea implementării unor măsuri tehnice specifice;
• suspendarea temporară a unor activități sau servicii, în cazurile prevăzute de legislație;
• măsuri privind responsabilitatea persoanelor din conducere, acolo unde legislația națională permite acest lucru.

În practică, autoritățile urmăresc în primul rând reducerea riscurilor și remedierea deficiențelor identificate, însă organizațiile nu ar trebui să trateze sancțiunile ca pe singurul risc. Un incident cibernetic major poate produce pierderi financiare, întreruperea activității și afectarea reputației într-o măsură mult mai mare decât valoarea unei amenzi.

Cum se poate verifica dacă o firmă intră sub incidența directivei NIS2?

Pasul 1. Identificarea domeniului de activitate

Primul criteriu care trebuie analizat este sectorul în care activează organizația. Directiva NIS2 acoperă un număr mult mai mare de domenii decât legislația anterioară, incluzând atât infrastructurile critice, cât și numeroase sectoare economice considerate importante.

Printre acestea se regăsesc energia, transporturile, serviciile financiare, sănătatea, telecomunicațiile, administrația publică, infrastructura digitală, serviciile cloud, centrele de date, furnizorii de servicii IT administrate, producția industrială, serviciile poștale, gestionarea apei și multe alte domenii.

Dacă organizația își desfășoară activitatea într-unul dintre aceste sectoare, este recomandată continuarea evaluării.

Pasul 2. Verificarea dimensiunii organizației

În majoritatea cazurilor, NIS2 se aplică organizațiilor mijlocii și mari, respectiv celor care au minimum 50 de angajați sau înregistrează o cifră de afaceri anuală ori un bilanț anual de cel puțin 10 milioane de euro.

Totuși, există și excepții. Unele organizații pot intra sub incidența directivei indiferent de dimensiune dacă furnizează servicii considerate esențiale pentru funcționarea statului sau a economiei.

Pasul 3. Evaluarea importanței serviciilor furnizate

Un alt aspect important îl reprezintă impactul pe care un incident cibernetic l-ar putea avea asupra activității organizației și asupra beneficiarilor serviciilor sale.

Dacă indisponibilitatea sistemelor informatice ar conduce la întreruperea unor servicii importante, la afectarea unui număr mare de clienți sau la perturbarea lanțurilor de aprovizionare, există posibilitatea ca organizația să fie încadrată în categoria entităților esențiale sau importante.

Pasul 4. Analizarea rolului în lanțul de aprovizionare

Atacurile asupra lanțului de aprovizionare au devenit una dintre cele mai utilizate metode de compromitere a organizațiilor mari. Din acest motiv, NIS2 acordă o importanță deosebită relațiilor dintre furnizori, parteneri și beneficiari.

Chiar dacă o companie nu operează o infrastructură critică, aceasta poate intra sub incidența directivei dacă furnizează produse sau servicii indispensabile unor organizații deja obligate să respecte NIS2.

Pasul 5. Realizarea unui audit de conformitate

Evaluarea finală ar trebui realizată împreună cu specialiști în securitate cibernetică și conformitate legislativă.

Un audit permite identificarea obligațiilor aplicabile, analiza nivelului actual de securitate, evidențierea vulnerabilităților și elaborarea unui plan de măsuri care să conducă la respectarea cerințelor impuse de directivă.

5 măsuri minime de securitate IT care ar trebui implementate

NIS2 nu impune utilizarea unor produse sau tehnologii specifice, însă solicită implementarea unor măsuri tehnice și organizatorice adecvate nivelului de risc. Printre cele mai importante măsuri se numără:

• Evaluarea și managementul riscurilor cibernetice, prin identificarea activelor critice, analizarea vulnerabilităților și implementarea unor politici de securitate actualizate.
• Autentificarea multifactor (MFA) pentru accesul la conturile privilegiate, serviciile cloud, VPN și alte sisteme critice, reducând semnificativ riscul compromiterii conturilor.
• Actualizarea permanentă a sistemelor și gestionarea vulnerabilităților, prin instalarea actualizărilor de securitate și remedierea rapidă a vulnerabilităților cunoscute.
• Copii de siguranță și planuri de recuperare în caz de dezastru, astfel încât activitatea să poată fi reluată rapid după un atac ransomware sau un incident major.
• Monitorizarea continuă a infrastructurii IT și răspunsul la incidente, utilizând soluții care permit detectarea activităților suspecte, investigarea incidentelor și raportarea acestora în termenele prevăzute de legislație.

Aceste măsuri reprezintă doar o parte dintre cerințele prevăzute de NIS2. În funcție de specificul fiecărei organizații, pot fi necesare controale suplimentare privind securitatea lanțului de aprovizionare, managementul identității, criptarea datelor, continuitatea activității sau instruirea personalului.

Cum poate ajuta Zemernett?

Zemernett oferă un serviciu complet de consultanță și implementare pentru conformitate NIS2, acoperind toate etapele necesare într-un singur proiect. Procesul începe cu o evaluare NIS2, prin care sunt analizate obligațiile aplicabile organizației, nivelul actual de securitate și măsurile necesare pentru alinierea la cerințele directivei.

Pe întreaga durată a procesului, organizațiile beneficiază de un singur punct de contact, fără a fi nevoie să coordoneze mai mulți furnizori sau specialiști. De la implementarea măsurilor tehnice și organizatorice până la pregătirea pentru audit și colaborarea cu auditorul independent atestat de Directoratul Național de Securitate Cibernetică (DNSC), toate activitățile sunt coordonate de echipa Zemernett.

Ulterior, pot fi furnizate servicii de conformitate administrată pentru monitorizarea continuă a infrastructurii IT, menținerea măsurilor implementate și suportul necesar pentru respectarea cerințelor NIS2 pe termen lung.

Concluzie

NIS2 reprezintă una dintre cele mai importante schimbări legislative din domeniul securității cibernetice la nivel european. Organizațiile vizate trebuie să trateze conformitatea ca pe un proces continuu, nu ca pe o acțiune punctuală realizată doar înaintea unui audit.

Deși amenzile pot ajunge la milioane de euro, obiectivul principal al directivei este creșterea nivelului de reziliență cibernetică și reducerea impactului incidentelor informatice asupra economiei și serviciilor esențiale. Implementarea unor măsuri tehnice adecvate contribuie atât la respectarea obligațiilor legale, cât și la protejarea activității organizației.

Prin servicii complete de evaluare NIS2, consultanță, implementare, coordonarea auditului și conformitate administrată, Zemernett poate sprijini organizațiile în toate etapele procesului de aliniere la cerințele directivei, oferind expertiză tehnică și un punct unic de contact pe parcursul întregului proiect.

Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).