Instituțiile de credit administrează două lucruri pe care un atacator le urmărește deopotrivă: banii și încrederea. Un incident care oprește plățile, blochează rețeaua de ATM-uri sau afectează serviciile de internet banking are efect imediat și vizibil asupra clienților, iar unul care compromite integritatea datelor poate rămâne nedetectat mult timp. Fraudarea prin inginerie socială, atacurile asupra furnizorilor de servicii IT și campaniile de tip ransomware rămân principalele vectoare, într-un sector în care fereastra de indisponibilitate acceptată se măsoară în minute.
Directiva (UE) 2022/2555 (NIS 2) include sectorul bancar în Anexa I, printre sectoarele cu criticitate ridicată. Pentru entitățile financiare trebuie citită însă împreună cu Regulamentul (UE) 2022/2554 (DORA), care reglementează în detaliu riscul TIC și se aplică, în domeniul său, ca reglementare specială. În practică, o instituție de credit are de armonizat cerințele ambelor cadre, nu de ales între ele.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Subsectoare vizate de NIS 2 – Sectorul bancar
Entități esențiale:
Instituțiile de credit, astfel cum sunt definite la articolul 4 punctul 1 din Regulamentul (UE) nr. 575/2013
al Parlamentului European și al Consiliului din 26 iunie 2013 privind cerințele prudențiale pentru
instituțiile de credit și societățile de investiții și de modificare a Regulamentului (UE) nr. 648/2012
- Instituții de credit (bănci comerciale, cooperative de credit)
- Case de economii
- Instituții de credit transfrontaliere
Obligațiile se aplică inclusiv filialelor băncilor străine care operează pe teritoriul României.
Amenințări cibernetice relevante
- Fraude electronice (phishing, vishing, smishing)
- Atacuri DDoS asupra platformelor bancare online
- Compromiterea aplicațiilor mobile sau de internet banking
- Intruziuni în infrastructura internă prin malware sau ransomware
- Breșe de securitate care afectează datele financiare ale clienților
Cerințe NIS 2 pentru sectorul bancar
Măsuri obligatorii:
- Guvernanță de securitate IT și raportare la nivel de top management
- Evaluări de risc IT și scenarii de impact financiar
- Sisteme de detecție și răspuns automatizat (SIEM, EDR, SOAR)
- Teste de penetrare periodice și audituri IT independente
- Managementul vulnerabilităților și actualizarea sistemelor critice
- Planuri de continuitate și răspuns la incidente (BCP/IRP), testate periodic
- Controlul strict al accesului și autentificare multi-factor pentru toate sistemele bancare
- Protecția datelor clienților conform GDPR și reglementărilor EBA
- Supravegherea furnizorilor critici (cloud, procesatori de plăți, servicii IT)
Aliniere cu alte reglementări:
- DORA – reziliență operațională digitală în sectorul financiar
- EBA Guidelines on ICT and Security Risk Management
- Cerințele BNR privind guvernanța IT și continuitatea operațională
Într-un context de digitalizare accelerată și amenințări tot mai sofisticate, băncile trebuie să adopte un cadru solid de securitate cibernetică. Aplicarea prevederilor Directivei NIS 2 nu este doar o conformare legală, ci o condiție esențială pentru a proteja încrederea clienților, integritatea financiară și stabilitatea sistemului bancar.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.