DORA, NIS2 și CRA: cum arată noul peisaj de reglementare cibernetică din Europa

Pe 17 ianuarie 2025, instituțiile financiare din Uniunea Europeană s-au trezit cu o schimbare care nu mai putea fi amânată: DORA a intrat în vigoare. Pentru mulți, ultimele luni au fost o cursă contra cronometru prin proceduri, contracte cu furnizori și teste de reziliență. Pentru alții, abia acum începe partea grea. În spatele acestui moment stă o transformare mult mai amplă: Europa a construit, în câțiva ani, unul dintre cele mai dense cadre de reglementare cibernetică din lume, iar DORA, NIS2 și CRA sunt piesele lui centrale.

Nu este vorba doar despre trei acte normative în plus față de GDPR sau de reglementările sectoriale din telecomunicații. Este vorba despre o schimbare de logică: securitatea cibernetică încetează să mai fie o problemă internă de IT și devine o obligație de guvernanță, cu responsabilitate la nivel de conducere, termene scurte de raportare și consecințe reale pentru cine nu se conformează. Contextul care a generat această schimbare este simplu de înțeles: atacurile cibernetice au devenit mai sofisticate și mai costisitoare, iar sectoarele tot mai interconectate au nevoie simultan de securitate și de stabilitate operațională. Obiectivul declarat al tuturor acestor reglementări este unul singur — îmbunătățirea rezilienței operaționale, acolo unde securitatea fizică și cea logică trebuie tratate împreună, holistic.

Cele trei regulamente, pe scurt

Înainte de a intra în detalii, merită să înțelegem ce acoperă fiecare act și cui i se adresează. Cele trei reglementări nu se suprapun întâmplător — ele acoperă trei straturi diferite ale aceluiași ecosistem: serviciile financiare, infrastructura critică și produsele digitale pe care le folosim cu toții.

Observați detaliul important din tabel: deși toate trei fac parte din același val de reglementare, ele se află în faze diferite de aplicare. Această decalare este, în sine, una dintre marile provocări pentru companii, pentru că obligă la planificare pe termen lung, nu la o singură adaptare punctuală.

DORA și sectorul financiar

DORA — Digital Operational Resilience Act, Regulamentul (UE) 2022/2554 — a fost publicat în decembrie 2022 și se aplică direct sectorului financiar. Scopul lui este să omogenizeze reglementările care vizau până acum tipuri diferite de entități: instituții de credit și de plată, asigurări și intermediere, fonduri de pensii, administratori de fonduri. Acum, toate acestea intră sub aceeași umbrelă, iar numărul de entități vizate a crescut semnificativ.

Dar partea cu adevărat interesantă pentru cine lucrează în securitate nu este ce se întâmplă în interiorul băncilor, ci efectul în lanț asupra furnizorilor lor. DORA obligă instituțiile financiare să aibă și să mențină un cadru robust de management al riscului, cu impact direct și exigent asupra furnizorilor ICT care susțin servicii sau produse esențiale. Cu alte cuvinte, dacă vinzi servicii unei bănci, cerințele DORA devin, în practică, cerințele tale.

Regulamentul nu se oprește la intrarea în vigoare. Urmează faza de operare și mentenanță, din care se vor extrage lecții și bune practici din testarea managementului riscului, din impactul asupra rezilienței organizaționale și sectoriale și din raportarea incidentelor. Este de așteptat ca aceste bune practici să deschidă drumul și în alte sectoare, mai ales în zone precum continuitatea afacerii și securitatea lanțului de aprovizionare.

Notă: DORA este lex specialis față de NIS2. Asta înseamnă că sectorul financiar, cu reglementarea lui specifică, este exclus din sfera NIS2 — nu se aplică ambele simultan aceluiași subiect.

NIS2 și cele 18 sectoare critice

NIS2 — Directiva (UE) 2022/2555 — stabilește un cadru juridic unificat pentru a îmbunătăți reziliența și securitatea cibernetică în 18 sectoare critice din UE, aplicabil în general companiilor medii și mari. Ea actualizează și întărește directiva anterioară, NIS1, iar ambiția este clară: capacități de securitate cibernetică mai bune și coordonare reală la nivel european.

Ce aduce nou? În primul rând, extinde cerințele către mai multe sectoare, inclusiv telecomunicațiile, care aveau până acum propria reglementare sectorială. În al doilea rând, introduce măsuri de management al riscului și cerințe de notificare mai stricte, cu accent special pe lanțul de aprovizionare. Și, poate cel mai important din perspectivă organizațională, aduce o implicare și o responsabilizare mai mare a conducerii de vârf.

Un detaliu care merită subliniat: directiva reglementează și figura chief information security officer (CISO), ceea ce semnalează o schimbare culturală. Securitatea cibernetică nu mai este o funcție tehnică ascunsă undeva în organigramă, ci o responsabilitate de guvernanță, cu procese care trebuie să demonstreze principiul diligenței necesare.

Starea actuală de implementare este, însă, inegală. Directiva este încă în curs de transpunere în majoritatea țărilor europene. În Spania, de exemplu, procesul a început pe 16 ianuarie 2025, printr-o consultare publică pe proiectul de lege privind coordonarea și guvernanța securității cibernetice. Această transpunere trebuie însoțită, conform directivei, de abrogarea obligațiilor sectoriale de securitate cibernetică prevăzute în Legea generală a telecomunicațiilor și trebuie să asigure coeziune cu alte reglementări, precum cele privind entitățile critice care derivă din viitoarea transpunere a directivei CER.

Provocările transpunerii

Aici intervine o tensiune pe care o vedem des în practică: cu cât cadrul de reglementare devine mai complex, cu atât provocarea principală pentru autorități este să promoveze cât mai multă simplitate. Simplitate în platforma de gestionare și raportare a incidentelor, simplitate în regimul de certificare, resurse disponibile și consiliere reală pentru companii. La rândul lor, companiile vizate trebuie să facă evaluări de risc, să implementeze măsurile de securitate corespunzătoare și să fie capabile să demonstreze conformarea.

Aici, schemele de securitate și certificările internaționale — de exemplu familia ISO 27000 — se consolidează ca elemente cheie care facilitează această muncă. În plus, sectoarele vor fi obligate să raporteze incidentele de securitate cibernetică după proceduri definite și în termene foarte scurte, ceea ce presupune procese pregătite din timp, nu improvizate în momentul crizei.

Atenție: unul dintre cele mai frecvente puncte oarbe este lanțul de aprovizionare. NIS2 cere explicit cerințe mai stricte aici, iar multe companii descoperă târziu că furnizorii lor nu pot demonstra un nivel de securitate compatibil.

CRA și produsele cu elemente digitale

Al treilea act, CRA — Cyber Resilience Act, Regulamentul (UE) 2024/2847 — a intrat în vigoare pe 10 decembrie 2024 și privește cerințele de securitate cibernetică pentru produsele cu elemente digitale, inclusiv software și hardware. Dacă DORA și NIS2 vizează furnizarea de servicii, CRA completează tabloul la nivel de produs, acolo unde lucrurile ajung efectiv la consumator.

Obligațiile principale se aplică din 11 decembrie 2027, iar obiectivul este să îmbunătățească garanțiile pe care producătorii de produse digitale le oferă consumatorilor și utilizatorilor. Regulamentul introduce câteva concepte care schimbă fundamental modul în care se construiesc produsele:

• securitatea din faza de proiectare (security by design);
• managementul vulnerabilităților pe tot ciclul de viață;
• raportarea incidentelor;
• obligația de a menține actualizările de securitate;
• evaluări de conformitate și marcajul Comisiei Europene;
• obligații de transparență;
• responsabilitatea producătorilor, importatorilor și distribuitorilor.

Este util să privim CRA în contextul unei tendințe globale. Inițiative similare de etichetare, precum Cyber Trust Mark pentru dispozitive IoT din Statele Unite, arată că ideea de a oferi utilizatorului o garanție vizibilă despre securitatea unui produs prinde rădăcini la nivel internațional. Diferența este că CRA transformă această idee în obligație legală pe piața europeană.

Termenele sunt strânse, iar regulamentul este complex. Actorii implicați — de la producători de software până la distribuitori de hardware — trebuie să înceapă pregătirile cu mult înainte de 2027, pentru că adaptarea unui ciclu de dezvoltare la cerințe de securitate din faza de proiectare nu se face peste noapte.

De ce contează pentru compania ta

Dincolo de detalii tehnice, există un fir roșu care leagă cele trei reglementări: ele mută securitatea cibernetică din zona „bine de avut” în zona „obligatoriu de demonstrat”. Iar această schimbare are consecințe practice pentru aproape orice companie conectată la economia digitală europeană, chiar dacă nu se consideră vizată direct.

Gândiți-vă la un furnizor de software care vinde unui spital, unei bănci sau unei companii de utilități. Chiar dacă firma respectivă nu intră direct sub incidența NIS2, clienții ei intră. Iar cerințele lor privind lanțul de aprovizionare se transmit în jos, prin contracte și evaluări de conformitate. În practică, reglementarea circulă pe lanțul de aprovizionare mai repede decât pe cale legislativă.

De aici decurg câteva întrebări pe care merită să le pună orice echipă de securitate acum, nu în 2027:

1. Știm exact ce date și sisteme critice avem și cine le operează?
2. Putem demonstra, cu dovezi, că avem un cadru de management al riscului, nu doar politici scrise?
3. Avem procese pregătite pentru raportarea incidentelor în termene foarte scurte?
4. Putem evalua și verifica nivelul de securitate al furnizorilor noștri?
5. Are conducerea de vârf vizibilitate și responsabilitate reală asupra acestor subiecte?

Din experiența noastră în testare de penetrare, răspunsul la aceste întrebări este adesea incomplet. Multe organizații au politici frumoase pe hârtie, dar nu au dovezi că măsurile funcționează în practică. Iar reglementările noi nu cer doar intenția de a fi în siguranță — cer capacitatea de a demonstra, cu teste și evaluări, că reziliența este reală.

Important: testarea de reziliență și evaluările de conformitate nu sunt exerciții birocratice. Ele sunt exact mecanismul prin care se transformă o politică de securitate într-o capacitate verificabilă. Fără ele, conformarea rămâne o declarație de intenție.

Provocările care urmează

Dacă ar fi să rezumăm peisajul, provocarea nu este doar complexitatea fiecărui act în parte, ci interoperabilitatea dintre ele, termenele stabilite și interrelația dintre autoritățile competente. Coordonarea și simplificarea reglementară — în special în actele de implementare, în conformare și în certificările cerute actorilor — sunt provocările care ne așteaptă.

Pentru autorități, miza este să ofere claritate și resurse, astfel încât companiile să nu se piardă în labirintul cerințelor. Pentru companii, miza este să nu trateze conformarea ca pe un proiect izolat, ci ca pe o schimbare de proces care atinge guvernanța, contractele cu furnizorii, dezvoltarea de produs și cultura organizațională.

Există și o veste bună în toată această complexitate. Companiile care au investit deja în scheme de securitate solide și în certificări internaționale pornesc cu un avantaj real, pentru că fundația le este deja construită. Iar cele care tratează reglementarea ca pe o oportunitate de a-și întări efectiv reziliența, nu doar de a bifa cerințe, vor descoperi că aceleași măsuri care le țin în conformitate le țin și în siguranță atunci când un atac real lovește.

În fond, DORA, NIS2 și CRA nu sunt trei ghiduri birocratice separate, ci trei unghiuri ale aceleiași întrebări: cât de pregătită este Europa să reziste atunci când sistemele ei esențiale sunt atacate? Iar răspunsul nu se scrie în legislație, ci în modul în care fiecare organizație își construiește, testează și demonstrează reziliența.