Infrastructura digitală este stratul pe care se sprijină toate celelalte sectoare: puncte de interconectare a traficului, servicii DNS, registre de nume de domeniu, furnizori de cloud, centre de date, rețele de distribuție a conținutului, servicii de încredere și rețele publice de comunicații electronice. Un incident la acest nivel nu rămâne niciodată local: indisponibilitatea unui furnizor de DNS sau a unui centru de date se traduce imediat în servicii oprite la spitale, bănci, administrație și operatori de utilități, adică exact la entitățile care depind de el fără să îl controleze.
Directiva (UE) 2022/2555 (NIS 2) tratează infrastructura digitală drept sector cu criticitate ridicată în Anexa I și impune obligații pe măsura efectului de propagare: analiza riscurilor, măsuri tehnice și organizatorice proporționale, raportarea incidentelor și continuitatea serviciului. Pentru acești operatori, securitatea proprie este, în fapt, o condiție a securității clienților lor.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Subsectoare vizate de NIS 2 – Infrastructura digitală
Entități esențiale:
- Furnizorii de IXP (internet exchange point)
- Furnizorii de servicii DNS, cu excepția operatorilor de servere pentru nume primare
- Registrele de nume TLD
- Furnizorii de servicii de cloud computing
- Furnizorii de servicii de centre de date
- Furnizorii de rețele de difuzare de conținut
- Prestatorii de servicii de încredere
- Furnizorii de rețele publice de comunicații electronice
Aceste entități trebuie să notifice DNSC, să se supună supravegherii și să aplice prevederile Art. 21 din Directivă.
Amenințări specifice infrastructurii digitale
- Atacuri DDoS asupra furnizorilor de rețele și centre de date
- Compromiterea infrastructurilor DNS și deturnarea traficului
- Breșe de securitate în serviciile de cloud și furt de date masive
- Atacuri asupra sistemelor de management al virtualizării și rețelelor SDN
- Acces neautorizat prin API-uri expuse public sau configurări greșite
Cerințe NIS 2 pentru sectorul digital
Măsuri obligatorii:
- Guvernanță de securitate la nivelul managementului executiv
- Politici clare pentru segmentarea rețelelor și protejarea traficului
- Implementarea de sisteme de detecție și răspuns la amenințări (SIEM, NDR, XDR)
- Planuri de continuitate și redundanță a serviciilor (BCP, georeplicare, backup-uri izolate)
- Audituri tehnice, exerciții de criză și teste de penetrare
- Asigurarea securității în lanțul de aprovizionare (verificări furnizori, SLA, due diligence)
- Formarea continuă a echipelor tehnice și operaționale
- Criptarea traficului intern și extern, protecția API și interfețelor de management
Interdependențe operaționale
- Conectivitate cu toate celelalte sectoare critice
- Infrastructura digitală ca element de suport pentru servicii de cloud public guvernamental
- Expunerea ridicată la atacuri cibernetice cu potențial geopolitic
Fără o infrastructură digitală sigură și rezilientă, funcționarea serviciilor publice, a companiilor și a administrației devine imposibilă. Directiva NIS 2 impune operatorilor digitali o responsabilitate crescută în gestionarea riscurilor cibernetice. Conformarea cu această directivă înseamnă protejarea coloanei vertebrale a societății digitale europene.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.