Administrația publică gestionează datele cetățenilor și serviciile de care aceștia nu se pot lipsi: evidența populației, fiscalitate, asistență socială, achiziții, ghișee electronice. Spre deosebire de un operator privat, o instituție publică nu își poate suspenda activitatea până la remediere și nici nu își poate alege clienții. Peisajul de risc este agravat de sisteme moștenite, de bugete de securitate reduse și de fragmentarea infrastructurii între zeci de instituții cu niveluri foarte diferite de maturitate, legate însă între ele prin schimburi de date.
Directiva (UE) 2022/2555 (NIS 2) include administrația publică în Anexa I, printre sectoarele cu criticitate ridicată. Obligațiile privesc analiza riscurilor, măsurile tehnice și organizatorice, raportarea incidentelor și continuitatea serviciilor publice, iar responsabilitatea pentru aprobarea și supravegherea măsurilor revine explicit conducerii instituției.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Administrație publică
Entități esențiale:
Entitățile administrației publice centrale, cu excepția celor din SNAOPSN, instituțiile de învățământ
superior, domeniul juridicar, justiție, inclusiv Ministerul Public, ORNISS, Parlamentul României,
Guvernul României, Administrația Prezidențială, ASF, BNR și ANCOM.
- Ministere și autorități centrale
- Instituții publice autonome cu rol național/regional
- Autorități locale ale municipiilor reședință de județ și județene
- Structuri informatice guvernamentale cu funcții critice (ex: evidența persoanelor, fiscale, cadastru, justiție etc.)
Aceste instituții sunt obligate să notifice DNSC și să implementeze integral cerințele articolului 21 din NIS 2.
Amenințări cibernetice specifice administrației publice
- Atacuri de tip ransomware asupra sistemelor publice de gestiune
- Furtul și publicarea datelor personale ale cetățenilor
- Blocarea platformelor de servicii electronice (e-guvernare, taxe, educație, sănătate)
- Compromiterea corespondenței oficiale (email spoofing, phishing)
- Acces neautorizat la baze de date sensibile (populație, justiție, fiscalitate)
Cerințe NIS 2 pentru administrația publică
Măsuri obligatorii:
- Adoptarea de politici de securitate la nivelul conducerii instituției
- Identificarea activelor IT critice și evaluarea riscurilor asociate
- Sisteme de monitorizare și detecție incidente (SIEM, IDS)
- Planuri de continuitate a activității și răspuns la criză (BCP, IRP)
- Măsuri de segmentare rețea și control acces (autentificare MFA, least privilege)
- Audituri interne și externe de securitate
- Securizarea comunicațiilor între instituții și cu cetățenii (criptare, semnături electronice)
- Formarea continuă a funcționarilor publici în domeniul securității cibernetice
- Teste de penetrare și simulări de atacuri (red teaming)
- Protecția datelor personale conform GDPR și interoperabilitate cu eIDAS
Cooperare interinstituțională
- Coordonare cu DNSC și STS
- Participarea la rețele de partajare a informațiilor despre amenințări (ISAC-uri)
- Integrarea în arhitecturi naționale și europene de securitate (ex: GovNET, CSIRT Gov, Gateway-uri NIS)
Administrația publică, în calitate de furnizor de servicii esențiale către cetățeni, trebuie să își consolideze rapid capacitățile de apărare cibernetică. Aplicarea cerințelor NIS 2 reprezintă nu doar un cadru legal, ci o necesitate pentru a proteja încrederea publicului, continuitatea guvernării și suveranitatea digitală a statului.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.