Directiva NIS 2: noi norme privind securitatea cibernetică a rețelelor și a sistemelor informatice

Securitatea cibernetică implică protejarea rețelelor și a sistemelor informatice (NIS), a utilizatorilor acestora și a altor persoane afectate împotriva incidentelor și amenințărilor cibernetice. Pentru a răspunde expunerii sporite a Europei la amenințările cibernetice, Directiva 2022/2555, cunoscută și sub denumirea de NIS2, a înlocuit predecesoarea sa, Directiva 2016/1148 sau NIS1. NIS2 ridică nivelul comun de ambiție al UE în ceea ce privește securitatea cibernetică, printr-un domeniu de aplicare mai larg, norme mai clare și instrumente de supraveghere mai puternice. Aceasta impune statelor membre să își consolideze capacitățile în materie de securitate cibernetică, introducând în același timp măsuri de gestionare a riscurilor și cerințe de raportare către entități din mai multe sectoare și stabilind norme pentru cooperare, schimbul de informații, supravegherea și asigurarea respectării măsurilor de securitate cibernetică.

Directiva prevede că fiecare stat membru trebuie să adopte o strategie națională de securitate cibernetică, care să includă politici privind securitatea lanțului de aprovizionare, gestionarea vulnerabilității și educația și sensibilizarea în materie de securitate cibernetică. De asemenea, statele membre trebuie să întocmească și să actualizeze periodic o listă a operatorilor de servicii esențiale, asigurându-se că aceste entități respectă cerințele directivei. 

Pe lângă sectoarele deja acoperite de NIS 1, cum ar fi energia, transporturile, asistența medicală, finanțele, gestionarea apei și infrastructura digitală, aceste norme se aplică furnizorilor de servicii publice de comunicații electronice, mai multor servicii digitale, cum ar fi platformele sociale, gestionarea apelor uzate și a deșeurilor, fabricarea de produse critice, serviciile poștale și de curierat, administrația publică, atât la nivel central, cât și la nivel regional sau spațial. De regulă, entitățile mijlocii și mari din aceste sectoare critice vor trebui să ia măsuri adecvate de gestionare a riscurilor în materie de securitate cibernetică și să notifice autorităților naționale relevante incidentele semnificative. Acestea sunt incidente care ar putea provoca perturbări sau daune semnificative. 

Directiva include, de asemenea, dispoziții privind supravegherea, punerea în aplicare și evaluările inter pares voluntare pentru a consolida încrederea reciprocă și capacitățile în materie de securitate cibernetică în întreaga UE. Acesta introduce, de asemenea, răspunderea conducerii superioare pentru nerespectarea măsurilor de gestionare a riscurilor în materie de securitate cibernetică, aducând astfel securitatea cibernetică în atenția consiliului de administrație.

Directiva instituie o rețea de echipe de intervenție în caz de incidente de securitate informatică (CSIRT) pentru a face schimb de informații cu privire la amenințările cibernetice și pentru a răspunde la incidente. Aceste echipe sunt esențiale pentru menținerea conștientizării situației și pentru oferirea de asistență. Pentru a gestiona incidentele sau crizele de securitate cibernetică de mare amploare, directiva creează Rețeaua europeană a organizațiilor de legătură în materie de crize cibernetice (EU-CyCLONe). Această rețea sprijină gestionarea coordonată și asigură schimbul periodic de informații între statele membre și instituțiile UE în cazul unor incidente și crize de mare amploare. 

În paralel, Grupul de cooperare NIS este o platformă instituită prin Directiva NIS pentru a facilita cooperarea strategică și schimbul de informații între statele membre ale UE, Comisia Europeană și Agenția UE pentru Securitate Cibernetică (ENISA). Grupul publică orientări și recomandări fără caracter obligatoriu pentru a sprijini punerea în aplicare a Directivei NIS.

Contextul

NIS 1 (Directiva 2016/1148) a fost prima legislație cuprinzătoare a UE menită să stimuleze securitatea cibernetică a rețelelor și a sistemelor informatice pentru a proteja serviciile vitale pentru economia și societatea UE. În decembrie 2020, Comisia a propus revizuirea NIS 1, ceea ce a dus la adoptarea NIS 2, care a intrat în vigoare în ianuarie 2023. Statele membre trebuiau să transpună Directiva NIS2 în legislația națională până la 17 octombrie 2024. NIS 2 a abrogat NIS 1 începând cu 18 octombrie 2024.