Directiva NIS 2.0

Foto: Energynomics.ro

Comisia Europeană s-a aflat în proces de revizuire a Directivei (UE) 2016/1148 privind securitatea rețelelor și a sistemelor informatice, începând cu luna iunie a acestui an. Ca urmare a acestui proces, a fost lansată propunerea de Directivă NIS 2.0 care va fi trimisă spre dezbatere și aprobare în Parlamentul European.  

Directiva NIS 2.0 aduce o serie de modificări majore. Noua Directivă se va adresa tuturor organizațiilor mijlocii și mari dintr-o serie de sectoare definite în anexele propunerii. În plus, vor fi incluse și entități mici, în funcție de nivelul critic pentru economie sau societate. 

Noutățile principale aduse de Directiva NIS 2.0 sunt următoarele: 

• limbajul directivei se modifică, împărțind entitățile între esențiale și importante, cărora li se aplică un regim diferit de supraveghere (la cele esențiale este de tip ex-ante, iar la cele importante este de tip ex-post) 
• au fost extinse categoriile de sectoare abordate 
• implementarea cerințelor de securitate impuse companiilor devine responsabilitatea legală a managerilor 
• abordează securitatea ‘lanțurilor de aprovizionare’ (supply chain) și relațiile cu furnizorii 
• simplifică obligațiile de raportare 
• introduce măsuri de supraveghere mai stricte pentru autoritățile naționale 
• include cerințe mai riguroase de asigurare a respectării legii,  
• armonizează regimul de sancțiuni în toate statele membre ale UE. 

În prezent prin propunerea de Directivă NIS 2.0 sunt vizate zece sectoare pentru entitățile esențiale: energia, transporturile, domeniul financiar-bancar, infrastructurile pieței financiare, sănătatea, apa potabilă, apa reziduală, infrastructura digitală, administrația publică și spațiul. De asemenea, noua Directivă prevede o serie de sectoare pentru entitățile importante: servicii poștale și de curierat, managementul deșeurilor, substanțe chimice, manufactura, furnizori de servicii digitale. 

Propunerea NIS 2.0 va mai contribui totodată și la intensificarea schimbului de informații și a cooperării privind gestionarea crizelor cibernetice la nivel național și la nivelul UE. 

Conform propunerii, fiecare stat membru ar urma să adopte o strategie națională pentru a asigura reziliența entităților critice și să efectueze evaluări periodice ale riscurilor. Aceste evaluări ar contribui, de asemenea, la identificarea unor entități critice care ar urma să fie supuse unor obligații menite să le consolideze reziliența în fața riscurilor non-cibernetice; printre obligații se numără evaluarea riscurilor la nivel de entitate, implementarea unor măsuri tehnice și organizatorice și notificarea incidentelor. 

România a anticipat deja multe dintre noutățile si modificările aduse de noua Directivă. Prin propunerea pe care CERT-RO a făcut-o Guvernului privind înființarea noului Directorat Național de Securitate Cibernetică se vine în întâmpinarea noilor cerințe ale Directivei NIS 2.0.  

Se va analiza și se vor iniția actualizările necesare la Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, lege care transpune în legislația națională prevederile Directivei NIS. 

Sursa 

Noua strategie de securitate cibernetică a UE și noi norme menite să sporească reziliența entităților fizice și digitale critice