Ghid
NIS2 pentru firmele IT și furnizorii de servicii gestionate
Firmele IT sunt vizate de NIS2 de două ori: ca entități în Anexa 1 și ca furnizori ai clienților care au propriile obligații privind lanțul de aprovizionare. Furnizorii medii de servicii de securitate gestionate sunt entități esențiale.
Intră firmele IT sub NIS2?
Da. Furnizorii de servicii gestionate și de servicii de securitate gestionate sunt în Anexa 1, sectorul 9, gestionarea serviciilor TIC între firme. De la 50 de angajați sunt vizați: cei mari sunt esențiali, cei mijlocii importanți, iar furnizorii medii de securitate gestionată sunt esențiali (art. 5 alin. (4)).
Ce trebuie să conțină notificarea către DNSC?
Notificarea are datele firmei, sectorul, serviciile, contactele și intervalele de adrese IP publice (art. 18 alin. (3)). Firmele IT au de obicei mai multe intervale și mai multe servicii de declarat, deci merită pregătite din timp. Modificările ulterioare se raportează în 2 săptămâni sau 3 luni, în funcție de dată.
Ce obligații vin de la clienți?
Clienții aflați sub NIS2 trebuie să țină seama de vulnerabilitățile și practicile de securitate ale fiecărui furnizor direct (art. 11 alin. (8)) și pot fi întrebați de DNSC despre furnizorii lor de servicii gestionate (art. 11 alin. (9)). Așteptați-vă la chestionare de securitate și la clauze noi în contracte.
- Aveți pregătit un document standard de răspuns la chestionare.
- Precizați în contract cine răspunde pentru backup, actualizări și incidente.
- Stabiliți cum anunțați clientul la timp, ca el să respecte termenele de 24 de ore și 72 de ore.
Trebuie să public un contact pentru vulnerabilități?
Da. Entitățile au procese de gestionare a vulnerabilităților TIC și publică pe site modul de raportare (art. 36 alin. (7)). Un fișier security.txt conform RFC 9116, cu o adresă de contact și o dată de expirare, este un mod simplu și verificabil de a arăta asta. Site-ul acesta are unul.
Cum folosiți instrumentele împreună cu clienții?
Rulați cu fiecare client verificarea de domeniu și autoevaluarea, apoi folosiți rezumatul pentru conducere ca punct de plecare într-o discuție. Rezultatul nu este un audit, dar arată în zece minute unde sunt golurile. Calendarul termenelor ajută clienții să nu rateze datele de după decizia DNSC.
Întrebări frecvente
O firmă IT mică intră sub NIS2?
De regulă nu, dacă nu furnizează servicii DNS, de comunicații sau de încredere și dacă DNSC nu o identifică pe baza art. 9. Clienții ei o pot totuși întreba despre securitate, ca furnizor direct.
Ce diferență e între MSP și MSSP?
Un furnizor de servicii gestionate administrează sisteme IT pentru alte firme. Un furnizor de servicii de securitate gestionate face asta pentru securitate. Al doilea este esențial de la nivelul de întreprindere mijlocie.
Un furnizor de cloud sau un centru de date intră?
Da, de la nivelul de întreprindere mijlocie: ambele sunt în Anexa 1, sectorul 8. Pentru centrele de date, autoritatea sectorială este ANCOM (art. 37 alin. (1)).
Unde se stabilește jurisdicția?
Furnizorii de servicii gestionate intră sub OUG 155/2024 când sediul lor principal din Uniunea Europeană este în România (art. 7 alin. (3)).
Ce se întâmplă dacă firma mea face backup pentru clienți?
Clientul rămâne răspunzător pentru obligația lui din art. 13 lit. h), dar se va uita la dumneavoastră ca furnizor. Vedeți ce cere controlul PR.DS-11 în ghidul despre backup.