Ghid
Backup-ul sub NIS2: ce cere DNSC
Backup-ul este una dintre cele zece măsuri minime din art. 13, iar controlul PR.DS-11.1 este măsură cheie la toate cele trei niveluri. Ghidul citează textul exact și vă arată cele patru întrebări la care pică majoritatea firmelor.
- Temei
- art. 13 lit. h)
- Control
- PR.DS-11, Ordinul DNSC 1/2026
- Copie offline
- „ar trebui”, PR.DS-11.1
- Test de restaurare
- cel puțin anual, PR.DS-11.2
DefinițieO copie offline este o copie de backup deconectată de rețea, pe care un atacator aflat în rețea nu o poate șterge sau cripta. O copie izolată fizic are același scop, prin separare fizică.
Ce spune legea despre backup?
Art. 13 lit. h) din OUG 155/2024 include între măsurile minime continuitatea activității, inclusiv gestionarea copiilor de rezervă, redresarea în caz de dezastru și managementul crizelor. Detaliile sunt în controlul PR.DS-11 din Măsurile aprobate prin Ordinul DNSC 1/2026: backup-urile sunt create, protejate, menținute și testate.
Ce cere controlul PR.DS-11?
PR.DS-11.1, măsură cheie la toate nivelurile, cere ca backup-urile datelor critice să fie făcute și stocate pe un sistem diferit de dispozitivul cu datele originale. PR.DS-11.2 cere verificarea periodică a fiabilității și integrității, de la nivelul Important. PR.DS-11.3 cere o locație de stocare separată, tot de la acest nivel.
| Control | Ce cere | Niveluri |
|---|---|---|
| PR.DS-11.1 | Backup-uri ale datelor critice, stocate pe un sistem diferit de cel cu datele originale. Măsură cheie. | Bază, Important, Esențial |
| PR.DS-11.2 | Fiabilitatea și integritatea backup-urilor verificate și testate periodic. | Important, Esențial |
| PR.DS-11.3 | Backup-uri securizate într-o locație de stocare separată, cu controale echivalente mediului principal. | Important, Esențial |
| PR.DS-11.4 | Teste de recuperare coordonate cu continuitatea și răspunsul la incidente. | Esențial |
| PR.DS-11.5 | Backup-urile sistemelor critice păstrate separat de cele ale informațiilor critice. | Esențial |
Este obligatoriu backup-ul offline?
Ordinul DNSC privind măsurile obligatorii prevede că cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic. Formularea apare în ghidul de implementare al controlului PR.DS-11.1 și folosește „ar trebui”. Controlul în sine cere stocarea pe un sistem diferit. Legea nu numește o tehnologie; copia offline este reperul DNSC pentru recuperarea după ransomware.
„Cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic pentru a asigura recuperarea în cazul unei breșe de securitate a rețelei sau al unui atac ransomware.” (Ghid de implementare PR.DS-11.1)
Cât de des trebuie testată restaurarea?
Ghidul de implementare al controlului PR.DS-11.2 spune că testarea ar trebui să aibă loc cel puțin anual sau mai frecvent, pe bază de eșantion, și să includă toate tipurile de surse de date. Procedurile de recuperare se testează ca să confirme că datele pot fi restaurate cu acuratețe și în întregime.
Păstrați un proces-verbal pentru fiecare test: ce ați restaurat, cât a durat față de ținta RTO, ce probleme au apărut. Este dovada pe care o veți arăta la un control. Găsiți un model în șabloanele gratuite.
De ce pică firmele la backup?
Atacatorii cu drepturi de administrator caută întâi backup-urile, pentru că o firmă cu copii intacte nu plătește. Dacă toate copiile sunt accesibile din rețea cu aceleași conturi, un singur cont compromis le poate distruge pe toate. De aceea contează separarea, nu doar existența unei copii.
Cele patru întrebări
- Sunt backup-urile pe un sistem separat de producție?
- Este cel puțin o copie complet offline sau izolată fizic?
- A fost testată o restaurare completă în ultimele 12 luni, cu proces-verbal?
- Ar putea un atacator cu drepturi de administrator să șteargă sau să cripteze toate copiile?
Ce variante există pentru copia offline?
Copia offline se poate păstra pe suporturi proprii deconectate, pe bandă magnetică sau într-un seif extern operat de un furnizor. Alegerea depinde de volum, de ținta de recuperare și de cine are acces fizic. Ghidul PR.DS-11.3 menționează regula 3-2-1: trei copii, două tipuri de suport, o copie în altă locație.
| Variantă | Avantaj | De urmărit |
|---|---|---|
| Suporturi proprii | Control complet, cost mic pentru volume mici | Disciplina rotației și păstrarea în altă locație |
| Bandă magnetică | Volume mari, deconectată de la rețea | Echipament, teste de citire |
| Seif extern | Separare fizică operată de altcineva | Furnizorul intră în lanțul de aprovizionare (art. 11 alin. (8)) |
Vezi și ghidul despre Ordinul DNSC 1/2026 și amenzile NIS2.
Ce faceți mai departe
Întrebări frecvente
Backup-ul în cloud este suficient?
Controlul PR.DS-11.1 cere un sistem diferit, iar cloud-ul poate îndeplini asta. Întrebarea practică este dacă un administrator compromis poate atinge și copia din cloud. Dacă da, copia nu vă protejează împotriva unui atac cu drepturi de administrator.
Un NAS în aceeași rețea contează ca backup separat?
Este un sistem diferit de server, dar ghidul PR.DS-11.1 spune că backup-urile nu ar trebui stocate în aceeași rețea cu sistemele originale. În practică are nevoie de separare de rețea și de conturi.
Ce sunt RTO și RPO?
RTO este cât de repede trebuie restaurate sistemele. RPO este câte date vă permiteți să pierdeți. Ghidul PR.DS-11.1 spune că ar trebui definite și revizuite periodic.
Se aplică și sistemelor OT?
Da. Ghidul PR.DS-11.1 spune că strategiile de backup ar trebui să acopere și sistemele OT: configurațiile sistemelor de control, datele operaționale și setările dispozitivelor critice.
Backup-ul trebuie criptat?
Art. 13 lit. c) cere politici de criptografie, iar PR.DS-11.3 cere pentru stocarea backup-urilor controale echivalente mediului principal. Criptarea copiilor este practica firească, mai ales când ies din sediu.
Ce amendă riscă o firmă fără backup adecvat?
Lipsa măsurilor din art. 11–13 intră în categoria cea mai mare: până la 7.000.000 EUR sau 1,4% pentru entități importante și până la 10.000.000 EUR sau 2% pentru cele esențiale (art. 60 alin. (2)).
Surse oficiale
- OUG 155/2024, art. 13 lit. h), forma consolidată
- Măsurile aprobate prin Ordinul DNSC 1/2026
- Ordinul DNSC 1/2026