Securitatea rețelelor și a sistemelor informatice

ASPECTE-CHEIE

Securitate cibernetică se referă la activitățile necesare pentru protejarea rețelelor și a sistemelor informatice, a utilizatorilor unor astfel de sisteme și a altor persoane afectate de amenințări cibernetice

Sectoare critice

Directiva se aplică în principal entităților mijlocii și mari care își desfășoară activitatea în următoarele sectoare cu o importanță critică ridicată, astfel cum sunt definite în anexa I la directivă:

• sectorul energiei;
  • sectorul energiei electrice, inclusiv sisteme de producție, distribuție și transport și puncte de reîncărcare;
  • sectorul încălzirii centralizate și răcirii centralizate;
  • petrol, inclusiv conductele de producție, depozitare și transport;
  • gaze, inclusiv sisteme de alimentare, de distribuție și de transport și sistemele de depozitare; și
  • hidrogen;
• transport aerian, feroviar, maritim și rutier.
• sectorul bancar și infrastructuri ale pieței financiare, cum ar fi instituțiile de credit, operatorii de locuri de tranzacționare și contrapărțile centrale;
• sănătate, inclusiv furnizorii de servicii medicale, producătorii de produse farmaceutice de bază și de dispozitive medicale esențiale, precum și laboratoarele de referință ale UE;
• apa de băut;
• apa uzată;
• infrastructură digitală, inclusiv furnizorii de servicii de centre de date, servicii de cloud computing, rețele publice de comunicații electronice și servicii de comunicații electronice accesibile publicului;
• gestionarea serviciilor TIC (business-to-business);
• spațiu;
• administrația publică la nivel central și regional, cu excepția sistemului judiciar, a parlamentelor și a băncilor centrale; directiva nu se aplică entităților administrației publice care desfășoară activități în domeniul securității naționale, al siguranței publice, al apărării sau al aplicării legii.

Se aplică, de asemenea, altor sectoare critice, astfel cum sunt definite în anexa II:

• servicii poștale și de curierat;
• gestionarea deșeurilor;
• fabricarea, producția și distribuția de substanțe chimice;
• producția, prelucrarea și distribuția de alimente;
• fabricare, în special a dispozitivelor medicale, a produselor informatice, electronice și optice, a anumitor tipuri de echipamente electrice și mașini, a autovehiculelor și a altor echipamente de transport;
• furnizori digitali de piețe online, de motoare de căutare online și de rețele sociale; și
• organizații de cercetare.

Strategia națională de securitate cibernetică

Fiecare stat membru trebuie să adopte o strategie națională pentru a atinge și a menține un nivel ridicat de securitate cibernetică în sectoarele critice, inclusiv:

• un cadru de guvernanță care clarifică rolurile și responsabilitățile părților interesate relevante la nivel național;
• politici privind securitatea lanțurilor de aprovizionare;
• politici privind gestionarea vulnerabilităților;
• politici privind promovarea și dezvoltarea educației și a formării privind securitatea cibernetică; și
• măsuri de îmbunătățire a nivelului de sensibilizare a cetățenilor cu privire la securitatea cibernetică.

Statele membre trebuie să întocmească o listă a entităților esențiale și importante, precum și a entităților care furnizează servicii de înregistrare a numelor de domenii, până la 17 aprilie 2025. Acestea trebuie să revizuiască și, dacă este cazul, să actualizeze această listă în mod regulat și, ulterior, cel puțin o dată la doi ani. Comisia Europeană a adoptat orientări cu privire la informațiile care trebuie colectate la întocmirea acestor liste, precum și un model pentru acest lucru.

De asemenea, Comisia a publicat orientări care clarifică normele privind relația dintre Directiva (UE) 2022/2555 și actele juridice actuale și viitoare ale UE specifice sectorului care abordează măsurile de gestionare a riscurilor în materie de securitate cibernetică sau cerințele de raportare a incidentelor. Anexa la orientări oferă o listă neexhaustivă a actelor juridice sectoriale pe care Comisia le consideră ca intrând în domeniul de aplicare al articolului 4 al Directivei (UE) 2022/2555.

Echipele de intervenție în caz de incidente de securitate informatică

Echipele de intervenție în caz de incidente de securitate informatică (echipe CSIRT – Computer security incident response teams) oferă asistență tehnică entităților, inclusiv:

• monitorizarea și analizarea amenințărilor cibernetice, a vulnerabilităților și a incidentelor la nivel național;
• asigurarea unor mecanisme de avertizare timpurii, alerte, anunțuri și diseminare de informații către entitățile în cauză și către alte părți interesate cu privire la amenințările cibernetice, vulnerabilități și incidente, în timp aproape real, dacă este posibil;
• răspunsul la incidente și acordarea de asistență, atunci când este cazul;
• colectarea și analizarea datelor criminalistice și furnizarea de analize dinamice de risc și de incident și conștientizarea situației în materie de securitate cibernetică; și
• furnizarea, la cerere, a unei scanări proactive a rețelelor și a sistemelor informatice pentru a detecta vulnerabilitățile cu un impact potențial semnificativ.

Rețeaua CSIRT

Directiva instituie o rețea a echipelor naționale CSIRT pentru a promova cooperarea operațională rapidă și eficace.

Divulgarea coordonată a vulnerabilităților

Statele membre trebuie:

• să desemneze una dintre echipele lor CSIRT pentru a coordona dezvăluirea vulnerabilităților descoperite în produsele sau serviciile TIC; și
• să se asigure că persoanele din statele membre pot raporta vulnerabilitățile, în mod anonim atunci când solicită acest lucru.

Agenția pentru Securitate Cibernetică a Uniunii Europene (ENISA) va crea și menține o bază de date a vulnerabilităților.

Grupul de cooperare

Directiva instituie un grup de cooperare pentru a sprijini și a facilita cooperarea strategică și schimbul de informații. Acesta este compus din reprezentanți ai statelor membre, ai Comisiei și ai ENISA. După caz, Grupul de cooperare poate invita să participe la lucrările sale Parlamentul European și reprezentanți ai părților interesate relevante.

Rețeaua europeană a organizațiilor de legătură în materie de crize cibernetice

Rețeaua europeană a organizațiilor de legătură în materie de crize cibernetice (EU-CyCLONe) este formată din reprezentanți ai autorităților de gestionare a crizelor cibernetice din statele membre, împreună cu Comisia, în cazurile în care un incident de securitate cibernetică de mare amploare potențial sau în curs de desfășurare are sau este probabil să aibă un impact semnificativ asupra sectoarelor reglementate de directivă. În celelalte cazuri, Comisia va participa la activitățile rețelei în calitate de observator.

Rețeaua sprijină gestionarea coordonată, la nivel operațional, a incidentelor de securitate cibernetică de mare amploare și a crizelor și asigură schimbul periodic de informații relevante între statele membre și instituțiile, organismele, oficiile și agențiile UE.

Rețeaua are sarcina, printre altele, de a:

• coordona gestionarea incidentelor de securitate cibernetică de mare amploare și a crizelor și de a sprijini procesul decizional la nivel politic;
• crește gradul de pregătire;
• dezvolta o conștientizare comună a situației; și
• evalua consecințele și impactul incidentelor de securitate cibernetică de mare amploare și crizelor și de a propune posibile măsuri de atenuare.

Măsuri de gestionare a riscurilor de securitate cibernetică

Entitățile trebuie să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru gestionarea riscurilor de securitate cibernetică. Catalogul de măsuri include, printre altele, politici privind analiza riscurilor și securitatea sistemelor informatice, gestionarea incidentelor, continuitatea activității, recuperarea în caz de dezastru și gestionarea crizelor, securitatea lanțului de aprovizionare, gestionarea și divulgarea vulnerabilităților, practici de igienă de bază, politici și proceduri privind utilizarea criptografiei (și a criptării, după caz), securitatea resurselor umane și utilizarea autentificării multifactoriale sau a soluțiilor de autentificare continuă. Aceste măsuri trebuie să se bazeze pe o abordare care să țină seama de toate riscurile.

Organismele de conducere trebuie să aprobe aceste măsuri și să supravegheze punerea lor în aplicare și pot fi trase la răspundere pentru încălcări.

Raportarea

Entitățile trebuie să își notifice echipa CSIRT sau autoritatea competentă cu privire la orice incident care:

• a provocat sau poate provoca perturbări operaționale grave sau pierderi financiare pentru entitate;
• a afectat sau poate afecta alte persoane, cauzând prejudicii materiale sau morale considerabile.

În plus, ENISA va întocmi, împreună cu Comisia și grupul de cooperare, un raport bienal privind situația în materie de securitate cibernetică în UE, care va fi, de asemenea, înaintat Parlamentului European.

Supravegherea și asigurarea respectării legii

Directiva prevede căi de atac și sancțiuni pentru a asigura punerea în aplicare.

Evaluările inter pares

Evaluările inter pares sunt instituite pentru a învăța din experiențele comune, a consolida încrederea reciprocă, a atinge un nivel comun ridicat de securitate cibernetică, precum și a consolida capacitățile și politicile de securitate cibernetică ale statelor membre necesare pentru punerea în aplicare a acestei directive. Aceste evaluări implică vizite fizice sau virtuale și schimburi de informații ex situ. Participarea la aceste evaluări inter pares este voluntară.

Act de punere în aplicare

Regulamentul de punere în aplicare (UE) 2024/2690 prevede normele privind aplicarea Directivei (UE) 2022/2555 în ceea ce privește cerințele tehnice și metodologice ale măsurilor de gestionare a riscurilor de securitate cibernetică și precizează, de asemenea, cazurile în care un incident este considerat semnificativ în ceea ce privește:

• furnizorii de servicii de sistem de nume de domeniu;
• registrele de nume de domenii de nivel superior;
• furnizorii de servicii de cloud computing;
• furnizorii de servicii pentru centre de procesare a datelor;
• furnizorii de rețele de distribuție de conținut;
• furnizorii de servicii gestionate;
• furnizorii de servicii de securitate gestionate;
• furnizorii de piețe online, de motoare de căutare online și de platforme de servicii de rețele sociale; și
• prestatorii de servicii de încredere.

Abrogare

Directiva (UE) 2022/2555 a abrogat Directiva (UE) 2016/1148 (a se vedea sinteza) de la 18 octombrie 2024, iar Regulamentul de punere în aplicare (UE) 2024/2690 a abrogat Regulamentul de punere în aplicare (UE) 2018/151, care stabilea normele de aplicare a Directivei (UE) 2016/1148.