Furnizorii de servicii TIC gestionate se află într-o poziție de risc aparte: au acces privilegiat, permanent și de la distanță în infrastructurile clienților lor. Un singur atacator care compromite un astfel de furnizor ajunge, prin instrumentele legitime de administrare, în zeci sau sute de organizații deodată, inclusiv în entități esențiale din alte sectoare. Atacurile asupra lanțului de aprovizionare au devenit tocmai de aceea una dintre căile preferate de intrare, fiindcă ocolesc perimetrul fiecărei victime în parte.
Directiva (UE) 2022/2555 (NIS 2) include gestionarea serviciilor TIC, în relația între întreprinderi, în Anexa I, printre sectoarele cu criticitate ridicată. Furnizorii au obligații proprii de securitate, dar sunt și obiect al cerințelor pe care clienții lor trebuie să le impună contractual: securitatea lanțului de aprovizionare este una dintre măsurile minime prevăzute expres de directivă.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Gestionarea serviciilor TIC B2B
Entități importante:
Furnizorii de servicii gestionate
Furnizorii de servicii de securitate gestionate
- Furnizori de infrastructură și servicii cloud
- Operatorii de centre de date
- Furnizori de servicii de rețea, suport și mentenanță
- Integratori IT și furnizori de platforme industriale
- Furnizori de soluții de securitate cibernetică externalizată (SOC, SIEM, MSSP)
Aceste entități devin puncte critice în lanțurile de aprovizionare digitală și sunt supuse notificării și controlului de către DNSC.
Amenințări specifice serviciilor TIC B2B
- Acces neautorizat la platformele și sistemele clienților prin canale privilegiate
- Răspândirea malware-ului prin patch-uri, update-uri sau toolchain compromis
- Atacuri asupra serviciilor SOC externalizate care monitorizează rețele critice
- Vulnerabilități în rețelele de backup, disaster recovery și management la distanță
- Atacuri asupra sistemelor de acces de la distanță (VPN, RDP, SSH, API)
Cerințe NIS 2 pentru furnizorii de servicii TIC B2B
Măsuri obligatorii:
- Politici și proceduri de securitate aprobate de conducere
- Evaluarea periodică a riscurilor și clasificarea serviciilor critice
- Implementarea de controale de acces și izolare a mediilor clienților
- Monitorizarea activă a infrastructurii oferite (SOC, SIEM, NDR)
- Politici stricte de patch management și hardening
- Segmentarea rețelelor clienților și izolare VLAN
- Controlul furnizorilor sub-contractați (due diligence, SLA-uri)
- Audituri independente de securitate și simulări de criză
- Planuri de răspuns la incidente și notificare conform Art. 23 NIS 2
- Instruirea echipelor tehnice și suport în conformitate cu standarde ENISA
Interdependențe critice
- Poziție centrală în lanțurile de servicii IT pentru entități esențiale
- Expunere ridicată la atacuri cu scop disruptiv sau de spionaj industrial
- Riscuri de tip „supply chain attack” similare cazurilor SolarWinds, Kaseya
Furnizorii de servicii TIC B2B trebuie să se conformeze cu strictețe cerințelor NIS 2, nu doar pentru a asigura propria reziliență, ci și pentru a proteja ecosistemul de clienți interconectați. Securitatea cibernetică a acestor entități este o condiție fundamentală pentru stabilitatea infrastructurii digitale europene.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.