Infrastructurile pieței financiare (locurile de tranzacționare, contrapărțile centrale și sistemele de compensare-decontare) funcționează pe platforme care trebuie să proceseze volume mari de ordine cu întârzieri de ordinul milisecundelor. Un atac reușit aici nu afectează o singură instituție, ci lanțul întreg de decontare: întreruperea unei sesiuni de tranzacționare, alterarea datelor de piață sau indisponibilitatea unei contrapărți centrale se transmit instantaneu tuturor participanților. La riscul tehnic se adaugă unul de percepție, fiindcă piețele reacționează la neîncredere la fel de rapid ca la o defecțiune reală.
Directiva (UE) 2022/2555 (NIS 2) include infrastructurile pieței financiare în Anexa I, printre sectoarele cu criticitate ridicată. Ca și în cazul instituțiilor de credit, cadrul trebuie citit împreună cu Regulamentul (UE) 2022/2554 (DORA), care detaliază gestionarea riscului TIC, testarea rezilienței operaționale și supravegherea furnizorilor terți critici pentru entitățile financiare.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Piații financiare
Subsectoare incluse:
- Operatorii de locuri de tranzacționare, astfel cum sunt definite la articolul 3 alin. 1 pct. 40 din Legea
nr. 126 din 11 iunie 2018 privind piețele de instrumente financiare - Contrapărțile centrale (CPC), astfel cum sunt definite la art. 3 alin. (1) pct. 16 din Legea nr. 126 din 11
iunie 2018 privind piețele de instrumente financiare, cu modificările și completările ulterioare
- Contrapărți centrale (CCP)
- Operatori ai sistemelor de plăți
- Sisteme de compensare/decontare valori mobiliare
- Operatori de infrastructură de piață (ex: burse)
Conform NIS 2 și OUG 155/2024, aceste instituții au obligația de a se înregistra la DNSC și de a implementa toate măsurile de la Art. 21.
Amenințări relevante în sectorul financiar
- Fraude electronice și phishing
- Vizarea clienților și infrastructurii interne (e-banking, mobile banking)
- Atacuri DDoS asupra platformelor de tranzacții
- Perturbă funcționarea bursei, a sistemelor de plăți sau interbancare
- Breșe de securitate în aplicații financiare
- Exploatarea vulnerabilităților pentru extragerea datelor sau modificarea tranzacțiilor
- Compromiterea datelor bancare și personale
- Consecințe juridice (GDPR), daune financiare și reputaționale
Cerințe NIS 2 pentru infrastructura financiară
Măsuri obligatorii:
- Guvernanță IT și politici formale de securitate
- Evaluarea anuală a riscurilor IT, financiare și de continuitate
- Sisteme de detecție și alertare (SIEM, SOAR, EDR)
- Răspuns la incidente și notificare DNSC/BNR/ASF în max. 24h
- Planuri de continuitate operațională (BCP), exerciții de criză
- Securitatea aplicațiilor și infrastructurii critice (plăți, core banking)
- Controale asupra furnizorilor (due diligence, SLA, audituri)
- Instruirea personalului bancar și tehnic (social engineering, fraude)
Aliniere la alte reglementări
- DORA (Reg. UE 2022/2554) privind reziliența operațională digitală
- EBA Guidelines on ICT Risk
- ESMA Cybersecurity Principles
Piața financiară este un ecosistem complex care impune un nivel extrem de ridicat de protecție. Prin aplicarea cerințelor Directivei NIS 2 și alinierea la standardele internaționale de securitate, entitățile financiare din România pot deveni mai reziliente, protejând astfel integritatea sistemului financiar și încrederea clienților.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.