Firmele vizate de NIS2, DORA și CRA nu au automat trei raportări pentru un incident. Rolul companiei decide obligațiile

O companie românească ce vinde software, administrează servicii digitale și are clienți financiari poate întâlni NIS2, DORA și Cyber Resilience Act la același incident, fără să fie obligată automat la trei raportări identice. Evaluarea depinde de societatea care are obligația, de activitatea sa și de produsul sau serviciul afectat. Fiecare termen trebuie calculat de la momentul prevăzut de cadrul aplicabil.

Pentru entitățile financiare acoperite, DORA are rolul de reglementare europeană sectorială față de NIS2 în materia cerințelor relevante privind administrarea riscului și raportarea, explică Playtech. Prin urmare, simpla prezență a unei bănci în domeniul ambelor reglementări nu înseamnă că aceasta trebuie să dubleze aceeași notificare.

Distincția contează și în contractele de tehnologie: furnizorul trebuie să transmită informațiile necesare clientului financiar, iar clientul își evaluează propriile obligații. Informarea băncii și notificarea unei autorități sunt acțiuni diferite; prima nu o înlocuiește automat pe a doua.

Activitatea firmei stabilește ce reguli se aplică

NIS2 vizează organizațiile și serviciile din sectoarele pe care le acoperă. Printre acestea se află energia, apa, sănătatea, transporturile, infrastructura digitală și unele activități industriale. Sectorul, dimensiunea firmei și criteriile legale determină încadrarea, existând și situații în care mărimea organizației nu o scoate din domeniul directivei.

Existența unui site nu este suficientă pentru ca o firmă să intre sub NIS2. Nici faptul că organizația nu se consideră infrastructură critică nu justifică ignorarea regulilor. Analiza trebuie să urmărească activitatea efectivă și structura societății: administrarea unor servicii poate conduce la o încadrare diferită de simpla revânzare a echipamentelor.

În România, transpunerea NIS2 are la bază OUG nr. 155/2024. Actul a fost aprobat, cu modificări, prin Legea nr. 124/2025, iar evaluarea include și celelalte reguli naționale aplicabile.

DORA privește reziliența operațională digitală a sectorului financiar, adică administrarea riscurilor informatice și capacitatea de a menține sau recupera operațiunile. Se aplică începând cu 17 ianuarie 2025 entităților financiare incluse în domeniul său, între care anumite categorii de bănci, asigurători și furnizori de servicii financiare. Acoperă incidentele, testarea rezilienței și relațiile cu furnizorii de tehnologie.

O firmă de tehnologie care are o bancă drept client nu dobândește prin această relație statutul de entitate financiară și întregul set de obligații DORA. Poate însă să își asume prin contract cerințe de securitate, acces la informații, sprijin în gestionarea incidentelor și continuitate a serviciilor. Furnizorii terți desemnați critici intră și într-un mecanism european de supraveghere.

Cyber Resilience Act (CRA), regulamentul privind produsele cu elemente digitale, acoperă echipamente și programe informatice oferite pe piața europeană în condițiile sale. Responsabilitățile diferă între producător, importator și distribuitor. Folosirea unui produs nu transferă utilizatorului obligațiile producătorului.

Nici serviciile cloud nu intră în CRA doar fiindcă sunt digitale. Pentru încadrare contează definițiile regulamentului, legătura serviciului cu produsul și excluderile prevăzute.

Același grup poate avea responsabilități juridice separate

Un exemplu ipotetic este firma care dezvoltă software comercial, furnizează servicii administrate și colaborează cu o instituție financiară. Serviciile sale pot necesita evaluarea încadrării în NIS2, produsul poate necesita analiza CRA, iar contractul cu banca poate conține cerințe rezultate din DORA. Cele trei relații nu echivalează cu trei obligații legale directe de același fel.

Separarea se păstrează și în interiorul unui grup. Filiala de tehnologie, prestatorul extern și societatea financiară pot avea încadrări proprii. Dacă o altă societate din grup comercializează produsul afectat, responsabilitatea aferentă producătorului trebuie examinată la acea societate, nu atribuită automat întregului grup.

Într-o asemenea situație, furnizorul poate avea o întrerupere a propriilor servicii, banca poate înregistra un incident informatic major, iar producătorul poate identifica exploatarea activă a unei vulnerabilități. Investigarea cauzei poate fi comună, dar criteriile care declanșează raportarea, destinatarii notificării și conținutul cerut rămân distincte.

Procedura internă trebuie să precizeze, pentru fiecare entitate, serviciu și produs, cine răspunde pentru obligație, cine transmite datele și cine autorizează notificarea. Contractele cu clienții trebuie incluse în această verificare: ele pot impune informarea înainte de expirarea termenului legal de raportare.

Termenele se calculează de la momente diferite

Detectarea unei probleme, luarea la cunoștință și clasificarea sa drept incident major nu sunt repere interschimbabile. Calendarul de raportare trebuie să păstreze punctul de pornire propriu fiecărui cadru:

• NIS2: pentru un incident semnificativ, regula generală cere avertizarea timpurie în maximum 24 de ore după luarea la cunoștință, apoi notificarea în maximum 72 de ore. Raportul final se transmite, în principiu, în interval de o lună calculat de la notificarea incidentului. Există particularități, inclusiv pentru unele servicii.
• DORA: notificarea inițială trebuie făcută cât mai repede. Regula generală limitează intervalul la patru ore după clasificarea ca incident major și la 24 de ore după luarea la cunoștință. Când clasificarea intervine după acest ultim interval, notificarea urmează regula specială de patru ore calculată de la clasificare. Raportul intermediar trebuie transmis, în general, în maximum 72 de ore după notificarea inițială. Pentru raportul final, limita este o lună calculată după raportul intermediar sau, când există actualizări, după ultimul raport intermediar actualizat.
• CRA: producătorii vizați transmit avertizarea în interval de 24 de ore și notificarea în interval de 72 de ore după luarea la cunoștință, folosind platforma unică de raportare stabilită de ENISA. În CRA, raportul final privind o vulnerabilitate exploatată activ trebuie transmis în maximum 14 zile după ce devine disponibilă măsura corectivă. Pentru un incident grav, termenul final este o lună calculată de la notificarea transmisă în etapa de 72 de ore.

În DORA, înregistrarea exactă a clasificării este astfel necesară pentru stabilirea termenului inițial. Pentru raportările ulterioare contează data transmiterii notificării sau a raportului intermediar, nu o regulă unică bazată pe detectare.

Pragurile de raportare trebuie verificate separat. O alertă antivirus nu reprezintă automat un incident semnificativ în sensul NIS2. Similar, identificarea unei vulnerabilități în timpul testării nu demonstrează că aceasta este exploatată activ.

Pentru producătorii acoperiți de CRA, obligațiile de raportare sunt aplicabile începând cu 11 septembrie 2026 și privesc vulnerabilitățile exploatate activ, precum și incidentele grave care afectează securitatea produsului. Notificarea nu poate aștepta stabilirea tuturor detaliilor tehnice sau finalizarea remedierii.

Contractul trebuie să permită informarea înainte de încheierea investigației

O clauză prin care furnizorul informează banca numai după terminarea investigației poate împiedica evaluarea și raportarea la timp de către client. Comunicarea inițială trebuie să separe constatările confirmate de ipoteze și să permită completări ulterioare.

Faptul că furnizorul lucrează la remediere nu îi oferă automat băncii datele de care aceasta are nevoie. De aceea, obligațiile contractuale de comunicare trebuie separate de obligațiile legale directe ale fiecărei societăți, inclusiv în privința destinatarului și a termenului.

Evidența comună trebuie să păstreze cronologia și responsabilii

Un registru comun al incidentului poate susține raportări diferite dacă păstrează distinct orele detectării, luării la cunoștință, clasificării și transmiterii notificărilor. Trebuie păstrate și informațiile cunoscute la fiecare moment. Impactul poate fi reevaluat pe parcurs, fără rescrierea retroactivă a cronologiei.

Inventarul tehnic trebuie să lege infrastructura de activitățile dependente de ea, nu să enumere doar servere. Pentru produse sunt relevante versiunile și componentele afectate; pentru serviciile financiare, dependențele externe și posibilitatea continuării sau recuperării operațiunilor. Evidența trebuie să permită identificarea serviciilor, clienților și furnizorilor implicați.

Pregătirea operațională presupune responsabilități și acces stabilite anterior incidentului:

• Conducerea are de înțeles riscul, echipa tehnică trebuie să furnizeze informații care pot fi verificate, iar funcțiile juridice și de conformitate stabilesc procedura de urmat.
• Cu furnizorul extern de securitate trebuie clarificat ce informații transmite și în ce interval. Externalizarea nu elimină automat răspunderea legală a organizației.
• Responsabilul trebuie să aibă un înlocuitor, inclusiv în afara programului și în perioadele de concediu.
• Drepturile de acces la platforme, datele de contact ale autorităților și modelele de raportare se pregătesc înainte de criză.

Un exercițiu comun poate verifica aceeași situație din perspectiva serviciului, a produsului și a clienților, urmărind termenele și destinatarii. Eventualele obligații privind încălcarea securității datelor personale se evaluează separat: o notificare de securitate nu acoperă automat celelalte cerințe legale sau contractuale.

Principalele cerințe ale CRA devin aplicabile la 11 decembrie 2027, ulterior obligațiilor sale de raportare.

Parteneri

Articole recomandate din rețeaua noastră

News24Spania merge la alegeri anticipate pe 29 noiembrie după ce Parlamentul a respins pachetul pentru locuințeDolce SportRomânia găzduiește primul IRONMAN 70.3 la Mamaia și Constanța pe 26 septembrie 2027GetPonyDeschiderea A0 Nord de la DN1 la DN7 este posibilă în 2026, dar lucrările rămase sunt ampleBravonetBela Bajaria părăsește Netflix după zece ani, cu Peter Rice desemnat succesorLylaKatie S. Davis explică de ce dificultățile de la școală nu înseamnă automat ADHDRevista IoanaCe să verifici la apartamentul de închiriat înainte să semnezi. Șase controale pe care le faci la vizionare