Amenzile pentru neindeplinirea obligatiilor legale pleaca de la un minim de 0,5% din cifra de afaceri si pot ajunge pana la 5%

Marile companii din domenii cheie, precum si furnizorii lor de servicii digitale, trebuie sa se pregateasca pentru a respecta obligatiile prevazute de legislatia privind asigurarea unui nivel comun ridicat de securitate a retelelor si sistemelor informatice (legislatia NIS), pentru a evita amenzi consistente, avertizeaza expertii.

Domeniile vizate sunt: energie, transporturi, sectorul bancar, infrastructuri ale pietei financiare, sanatate, furnizarea si distribuirea de apa potabila, infrastructura digitala, precum si furnizorii de servicii digitale (piete online, motoare de cautare online, servicii de cloud computing).

Astfel, companiile active pe aceste piete trebuie sa deruleze o analiza interna pentru a identifica daca sunt operatori de servicii esentiale sau furnizori de servicii digitale in sensul legislatiei NIS. Pasii acestui proces sunt prevazuti de normele metodologice adoptate in vara aceasta ca parte a legislatiei NIS. Procesul nu poate fi insa finalizat in absenta altor norme, precum cele privind cerintele minime de securitate sau lista serviciilor esentiale, la care autoritatile inca lucreaza.

„De la momentul intrarii in vigoare a normelor minime de securitate, companiile vor avea la dispozitie doar sase luni pentru a stabili in ce masura se califica drept operatori de servicii esentiale sau, dupa caz, furnizori de servicii digitale in sensul legislatiei NIS. Avand in vedere complexitatea acestui demers, exista riscul ca analiza interna respectiva, in special efortul de auto-evaluare a companiilor, sa necesite insa un termen mai indelungat. Pentru a nu risca depasirea termenului legal de conformare si, implicit, eventuale sanctiuni, companiile ar trebui sa isi puna deja problema demararii analizei interne.‟, recomanda avocatul Costin Sandu (foto stanga) din cadrul Schoenherr si Asociatii SCA.

Specialistii estimeaza ca derularea acestei analize interne si luarea masurilor de conformare ar putea presupune costuri semnificative pentru companii, precum si angrenarea unei echipe de proiect consistente. „Este de asteptat ca aceste analize sunt deja avute in vedere de catre companii in definirea bugetelor pentru anul viitor.‟, apreciaza Costin Sandu.

„Directiva NIS reglemeteaza numeroase aspecte tehnice care cuprind retelele IT si securitatea acestora. Analiza gradului de rezilienta si a proceselor interne de mentenanta si securitate IT se poate concluziona cu recomandari de imbunatatire. De cele mai multe ori, aceste recomandari necesita resurse financiare si umane, cat si timp, pentru a fi implementate. Mai mult, companiile vor fi nevoite sa dezvolte capacitati de raspuns la incidente de securitate cibernetica, atat procedural, cat si din punct de vedere tehnic si al resursei umane.‟, a remarcat Tiberiu Anghel (foto dreapta), Chief Strategy Officer la firma de securitate cibernetica CyBourn.

Normele in vigoare si ghidurile recent emise de CERT-RO prevad o contributie semnificativa a CERT-RO in procesul de analiza interna de identificare a operatorilor de servicii esentiale, respectiv a furnizorilor de servicii digitale. Astfel, este recomandat pentru companii sa ia deja legatura cu serviciul specializat din cadrul CERT-RO.

Rezultatul analizei interne va dicta sau nu obligatia companiilor de a notifica autoritatea de reglementare in domeniu, CERT-RO si, ulterior primirii acestor notificari, autoritatea va decide daca societatile respective vor fi inscrise in registrele tinute de autoritate si vor fi supuse obligatiilor de conformare la legislatia NIS.

Sursa | Legislatia NIS include:
● Legea nr. 362 din 28 decembrie 2018 privind asigurarea unui nivel comun ridicat de securitate a retelelor si sistemelor informatice
● Ordinul Ministerului Comunicatiilor si Societatii Informationale nr. 599/2019 privind aprobarea Normelor Metodologice de identificare a operatorilor de servicii esentiale si furnizorilor de servicii digitale
● Ordinul Ministerului Comunicatiilor si Societatii Informationale nr. 600/2019 privind aprobarea Normelor metodologice de organizare si functionare a Registrului operatorilor de servicii esentiale
● Ordinul Ministerului Comunicatiilor si Societatii Informationale nr. 601/2019 pentru aprobarea Metodologiei de stabilire a efectului perturbator semnificativ al incidentelor la nivelul retelelor si sistemelor informatice ale operatorilor de servicii esentiale