Securitate cibernetică (NIS2): firmele mijlocii și mari din sectoare critice se înregistrează la DNSC

Esențiale: firmele mari din sectoarele din anexa nr. 1 (sectoare cu importanță critică ridicată).

„Sunt considerate esențiale entitățile din categoria întreprinderilor mari conform art. 8 și care se încadrează în sectoarele prevăzute în anexa nr. 1”art. 5 alin. (2) ↗

Esențiale sunt și firmele mijlocii care furnizează rețele publice sau servicii de comunicații electronice destinate publicului.

„Sunt considerate esențiale entitățile din categoria întreprinderilor mijlocii conform art. 8 și care sunt furnizori de rețele publice de comunicații electronice sau furnizori de servicii de comunicații electronice destinate publicului.”art. 5 alin. (3) ↗

Esențiale sunt și firmele mijlocii care furnizează servicii de securitate gestionate.

„Sunt considerate esențiale entitățile din categoria întreprinderilor mijlocii conform art. 8 și care sunt furnizori de servicii de securitate gestionate.”art. 5 alin. (4) ↗

Importante: firmele mijlocii și mari din anexele nr. 1 și 2 care nu sunt deja esențiale.

„Sunt considerate entități importante entitățile din categoriile întreprinderilor mari și mijlocii conform art. 8 , care se încadrează în anexele nr. 1 și 2 și care nu sunt identificate drept entități esențiale conform art. 5”art. 6 alin. (1) ↗

Indiferent de mărime, sunt esențiali furnizorii DNS, prestatorii calificați de servicii de încredere și registrele TLD (art. 5 alin. (1) începe cu „indiferent de dimensiunea pe care o au”).

„d) furnizorii de servicii DNS; ... e) prestatori de servicii de încredere calificați; ... f) registrele de nume TLD.”art. 5 alin. (1) lit. d)-f) ↗

Furnizorii de rețele publice sau servicii de comunicații electronice și prestatorii de servicii de încredere sunt entități importante, indiferent de mărime (dacă nu sunt deja esențiali).

„Următoarele entități sunt considerate importante dacă nu au fost identificate drept entități esențiale conform art. 5 și indiferent de dimensiunea pe care o au: a) entitățile din anexele nr. 1 și 2 identificate în conformitate cu art. 9 ; ... b) furnizorii de rețele publice de comunicații electronice și furnizorii de servicii de comunicații electronice destinate publicului; ... c) prestatorii de servicii de încredere.”art. 6 alin. (2) ↗

Se aplică firmelor înființate și înregistrate în România, din sectoarele din anexe.

„Entitățile care intră în domeniul de aplicare al prezentei ordonanțe de urgență sunt entitățile din sectoarele prevăzute în anexele nr. 1 și 2 , înființate și înregistrate pe teritoriul României conform prevederilor legale.”art. 7 alin. (1) ↗

Mărimea se stabilește după Legea nr. 346/2004 (IMM). Mare = depășește criteriile de întreprindere mijlocie.

„O entitate este considerată întreprindere mare dacă depășește criteriile stabilite pentru întreprinderile mijlocii astfel cum sunt prevăzute la art. 4 alin. (1) lit. c) din Legea nr. 346/2004”art. 8 alin. (1) ↗

Întreprindere mijlocie = 50-249 de salariați și cifră de afaceri de până la 50 mil. euro sau active de cel mult 43 mil. euro.

„c) întreprinderi mijlocii - au între 50 și 249 de salariați și realizează o cifră de afaceri anuală netă de până la 50 milioane euro, echivalent în lei, sau dețin active totale care nu depășesc echivalentul în lei a 43 milioane euro.”Legea nr. 346/2004, art. 4 alin. (1) lit. c) ↗

Firmele din sectoarele din anexe care se încadrează ca esențiale sau importante se notifică la DNSC pentru înregistrare, în 30 de zile.

„Entitățile care desfășoară activitate în sectoarele din anexa nr. 1 sau anexa nr. 2 notifică DNSC în vederea înregistrării în cel mult 30 de zile de la data intrării în vigoare a prezentei ordonanțe de urgență sau în termen de cel mult 30 de zile de la data la care prevederile prezentei ordonanțe de urgență le sunt aplicabile, atunci când, conform art. 5 și 6 , se încadrează ca entități esențiale sau entități importante.”art. 18 alin. (2) ↗

Schimbările de denumire, adresă, contact sau sector se comunică DNSC în cel mult 2 săptămâni.

„pentru informațiile prevăzute la alin. (3) lit. a)-d) , lit. f) și j) , fără întârzieri nejustificate și, în orice caz, în termen de cel mult 2 săptămâni de la data modificării;”art. 18 alin. (8) lit. a) ↗

Dacă nu mai îndeplinești condițiile, ceri radierea în 30 de zile, cu acte doveditoare.

„Entitățile care nu mai îndeplinesc condițiile și criteriile prevăzute de dispozițiile prezentei ordonanțe de urgență notifică DNSC în vederea radierii din registru și furnizează acte doveditoare pentru aceasta în termen de 30 de zile de la data la care se constată schimbările.”art. 18 alin. (13) ↗

Iei măsuri tehnice, operaționale și organizatorice de gestionare a riscurilor cibernetice.

„Entitățile esențiale și entitățile importante iau măsuri tehnice, operaționale și organizatorice proporționale și adecvate pentru a identifica, evalua și gestiona riscurile aferente securității rețelelor și a sistemelor informatice pe care acestea le utilizează în desfășurarea activităților lor sau furnizarea serviciilor lor”art. 11 alin. (1) ↗

Faci audit de securitate cibernetică, cu periodicitatea stabilită prin ordin DNSC.

„Entitățile esențiale și entitățile importante sunt obligate să se supună efectuării unui audit de securitate cibernetică în condițiile și cu periodicitatea stabilite prin ordinul directorului DNSC prevăzut la art. 12 alin. (1) , în funcție de nivelul de risc prevăzut la alin. (3) .”art. 11 alin. (5) ↗

Conducerea aprobă măsurile, le supraveghează și răspunde pentru încălcări.

„Organele de conducere ale entităților esențiale și ale entităților importante aprobă măsurile de gestionare a riscurilor de securitate cibernetică pe care le iau în vederea respectării art. 11-13 și, după caz, a dispozițiilor ordinului comun prevăzut la art. 37 alin. (8) lit. b) , supraveghează punerea acestora în aplicare și sunt responsabile de încălcările acestor dispoziții”art. 14 alin. (1) ↗

Membrii conducerii urmează cursuri acreditate de securitate cibernetică.

„Membrii organelor de conducere ale entităților esențiale și ale entităților importante urmează cursuri de formare profesională acreditate”art. 14 alin. (2) ↗

Raportezi la CSIRT-ul național incidentele cu impact semnificativ asupra serviciilor, fără întârzieri nejustificate.

„Entitățile esențiale și entitățile importante raportează, fără întârzieri nejustificate, echipei de răspuns la incidente de securitate cibernetică naționale orice incident care are un impact semnificativ asupra prestării serviciilor lor”art. 15 alin. (1) ↗

DNSC decide înscrierea în registru: în 60 de zile pentru entitățile esențiale și în 150 de zile pentru cele importante.

„(4) În termen de 60 de zile de la primirea notificării prevăzute la alin. (2) , conducerea DNSC emite o decizie pentru identificarea și înscrierea în registru a entităților esențiale. (5) În termen de 150 de zile de la primirea notificării prevăzute la alin. (2) , conducerea DNSC emite o decizie pentru identificarea și înscrierea în registru a entităților importante.”art. 18 alin. (4)-(5) ↗

În 60 de zile de la decizia DNSC trimiți evaluarea nivelului de risc.

„În termen 60 de zile de la data comunicării deciziei directorului DNSC prevăzute la alin. (4) , respectiv alin. (5) , entitățile esențiale și entitățile importante transmit către DNSC evaluarea nivelului de risc a entității în conformitate cu art. 10 alin. (2) .”art. 18 alin. (6) ↗

Apoi, în încă 60 de zile, faci autoevaluarea maturității măsurilor de securitate.

„În termen de 60 de zile de la transmiterea evaluării nivelului de risc prevăzute la alin. (6) , entitățile realizează o autoevaluare a nivelului de maturitate a măsurilor de gestionare a riscurilor de securitate cibernetică prevăzută la art. 12 alin. (4) .”art. 18 alin. (7) ↗

Informațiile care arată un impact transfrontalier al incidentului se raportează în cel mult 6 ore de când le afli.

„Entitățile esențiale și entitățile importante raportează, fără întârzieri nejustificate, dar nu mai târziu de 6 ore de la momentul la care au luat cunoștință de orice informație care îi permite echipei de răspuns la incidente de securitate cibernetică naționale să constate un impact transfrontalier al incidentului.”art. 15 alin. (3) ↗

Neînregistrarea la DNSC (notificarea din art. 18 alin. (2)) este contravenție.

„o) nerespectarea de către entitățile din sectoarele prevăzute în anexele nr. 1 și 2 a obligației de notificare conform art. 18 alin. (2) în termenul indicat;”art. 60 alin. (1) lit. o) ↗

Entitate importantă: pentru încălcarea obligațiilor de securitate și raportare (lit. a)-d), f)-m) etc.), amendă de la 5.000 lei la 7 mil. euro sau 1,4% din cifra de afaceri mondială, oricare e mai mare.

„pentru entitățile importante, amendă de la 5.000 lei la cel mult 7.000.000 euro în echivalentul în lei sau cel mult 1,4% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravențiile prevăzute la alin. (1) lit. a)-d) , f)-m) , dd) , jj) și mm) ;”art. 60 alin. (2) lit. a) ↗

Entitate esențială: de la 10.000 lei la 10 mil. euro sau 2% din cifra de afaceri mondială, oricare e mai mare.

„pentru entitățile esențiale, amendă de la 10.000 lei la cel mult 10.000.000 euro în echivalentul în lei sau cel mult 2% din cifra de afaceri anuală la nivel mondial, luându-se în considerare valoarea cea mai mare dintre acestea, pentru contravențiile prevăzute la alin. (1) lit. a)-m) , dd) , jj) și mm) ;”art. 60 alin. (2) lit. b) ↗

Pentru neînregistrare și alte obligații administrative (lit. n)-t) etc.): 1.000-300.000 lei pentru entitățile importante.

„pentru entitățile importante, amendă de la 1.000 lei la 300.000 lei, pentru contravențiile prevăzute la alin. (1) lit. n)-t) , ee) , ff) , kk) , ll) și nn)-qq) ;”art. 60 alin. (2) lit. c) ↗

Pentru aceleași fapte, entitățile esențiale: 1.500-500.000 lei.

„pentru entitățile esențiale, amendă de la 1.500 lei la 500.000 lei, în cazul alin. (1) lit. n)-t) , ee) , ff) , kk) , ll) și nn)-qq) ;”art. 60 alin. (2) lit. d) ↗

Firmele nou-înființate sau fără cifră de afaceri în anul anterior: amendă de 1-50 de salarii minime brute.

„Pentru persoanele juridice nou-înființate și pentru persoanele juridice care nu au înregistrat cifra de afaceri în exercițiul financiar anterior sancționării, amenda prevăzută la alin. (2) se stabilește în cuantum de minimum unu și maximum 50 de salarii minime brute pe economie.”art. 60 alin. (5) ↗

Poți plăti jumătate din amendă în 15 zile de la comunicare.

„contravenientul poate achita, în termen de cel mult 15 zile de la data înmânării sau comunicării actului de constatare a contravenției și de aplicare a sancțiunii, jumătate din cuantumul amenzii aplicate”art. 60 alin. (7) ↗

DNSC este autoritatea competentă pentru securitatea cibernetică și supraveghere.

„DNSC este autoritatea competentă responsabilă cu securitatea cibernetică și cu sarcinile de supraveghere și asigurare a respectării măsurilor pentru un nivel comun ridicat de securitate cibernetică.”art. 24 alin. (1) ↗