NIS2 pentru furnizorii de cloud: când este vizat un furnizor de servicii de cloud computing
Cine oferă altora un serviciu cloud, fie infrastructură, platformă sau software, este entitate importantă de la 50 de angajați sau cu o cifră de afaceri și un total al bilanțului de peste 10 milioane EUR fiecare, și entitate esențială de la 250 de angajați (§ 28 BSIG). Simpla utilizare a serviciilor cloud nu vă face vizați prin acest rând. Furnizorii de cloud intră și sub Regulamentul de punere în aplicare (UE) 2024/2690.
Ce este un serviciu de cloud computing
Patru trăsături susțin definiția: clientul obține resurse la cerere, ajunge la ele prin rețea, rezerva crește și scade odată cu cererea, iar mai mulți clienți împart resursele.
Aceasta se potrivește puterii de calcul și stocării ca serviciu (IaaS), platformelor precum bazele de date ca serviciu (PaaS) și software-ului pe care mulți clienți îl folosesc prin rețea (SaaS).
Un singur server cu capacitate fixă, pe care îl operați pentru un singur client, de regulă nu are aceste trăsături. Poate intra însă sub un alt rând, de exemplu serviciu de centru de date sau serviciu gestionat.
§ 2 nr. 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
De la ce mărime este vizat un furnizor
Entitate importantă: cel puțin 50 de angajați, sau o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare.
Entitate esențială: cel puțin 250 de angajați, sau o cifră de afaceri de peste 50 milioane EUR și un total al bilanțului de peste 43 milioane EUR. Acest lucru este posibil pentru că furnizorii de cloud sunt enumerați în Anexa 1.
Spre deosebire, de exemplu, de serviciile DNS sau de serviciile de încredere calificate, furnizorii de cloud nu sunt vizați indiferent de mărime.
Calculul urmează Recomandarea 2003/361/CE. Pot conta și întreprinderile partenere și cele legate.
§ 28(1), (2) și (4) BSIG
Ce nu contează
Utilizarea serviciilor cloud, de exemplu e-mail, contabilitate sau stocare de la un furnizor, nu înseamnă oferirea unui serviciu cloud. Compania dumneavoastră nu este atunci vizată prin acest rând din Anexa 1. Furnizorul este unul dintre furnizorii dumneavoastră, de care țineți cont în măsurile dumneavoastră dacă firma este vizată din alt motiv.
Nici un cloud pe care compania îl operează doar pentru sine nu este un serviciu oferit. Dacă o firmă îl operează contra cost pentru alte firme din același grup, cereți o verificare de la caz la caz.
Reguli mai detaliate pentru furnizorii de cloud
Furnizorii de servicii de cloud computing intră și sub Regulamentul de punere în aplicare (UE) 2024/2690. Acesta descrie mai detaliat cerințele tehnice pentru cele zece domenii și, în această măsură, are prioritate față de BSIG. Fiind regulament, se aplică cu aceeași formulare în fiecare țară UE.
Regulamentul stabilește și când un incident la acești furnizori este semnificativ și trebuie raportat.
Pentru furnizorii de cloud, sediul principal din UE decide ce țară este competentă: țara în care se iau în principal deciziile privind securitatea cibernetică. Vă înregistrați deci într-o singură țară UE, chiar dacă vă oferiți serviciul în mai multe.
§ 30(3) BSIG · Regulamentul de punere în aplicare (UE) 2024/2690 · Art. 26 NIS 2
Și catalogul C5 al BSI?
C5 este un catalog de criterii al BSI pentru serviciile cloud. NIS2 nu cere o atestare C5. Mulți clienți o cer însă, iar o atestare existentă poate servi drept dovadă pentru măsurile dumneavoastră.
Un exemplu
O firmă inventată: un furnizor de software de resurse umane pe care îl folosesc prin rețea în jur de 900 de clienți. 60 de angajați, cifră de afaceri de 12 milioane EUR.
Software-ul rulează pentru toți clienții pe o platformă comună, care crește odată cu cererea. Acesta este un serviciu de cloud computing.
Cu 60 de angajați, firma este o entitate importantă.
Se înregistrează la BSI, pentru că deciziile privind securitatea cibernetică se iau în Germania.
Pune în aplicare măsurile conform § 30 BSIG, la nivelul de detaliu cerut de Regulamentul de punere în aplicare (UE) 2024/2690.
Lista activelor sale cuprinde aplicația, bazele de date, conturile de găzduire, autentificarea clienților și furnizorii, de exemplu operatorul centrului de date.
Cum face asta parcursul ghidat
În parcursul ghidat de pe nisd2.eu, munca începe cu lista lucrurilor cu care lucrează compania dumneavoastră.
Un pas întreabă despre procese, software, dispozitive, încăperi și rețele și despre cine le furnizează. De aici rezultă lista activelor dumneavoastră.
Un pas arată în ce țară UE vă înregistrați, cu regula pentru furnizorii digitali precum cloud.
Lângă fiecare pas se află legea, explicată în cuvinte simple.
La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont.
Întrebări frecvente
Este SaaS un serviciu de cloud computing conform NIS2?
De regulă da, dacă mulți clienți folosesc software-ul prin rețea, pe o platformă comună și scalabilă. Aceasta corespunde definiției din Art. 6(30) NIS 2 și § 2 nr. 4 BSIG.
Doar folosim servicii cloud. Suntem furnizor de cloud?
Nu. Utilizarea serviciilor cloud nu înseamnă oferirea lor. Compania dumneavoastră poate fi vizată din alt motiv; atunci furnizorul de cloud este unul dintre furnizorii dumneavoastră.
De la ce mărime este vizat un furnizor de cloud?
De la 50 de angajați sau cu o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare (§ 28(2) BSIG). De la 250 de angajați, sau cu o cifră de afaceri de peste 50 milioane EUR și un total al bilanțului de peste 43 milioane EUR, este entitate esențială.
Unde se înregistrează un furnizor de cloud activ în mai multe țări UE?
În țara UE a sediului său principal, unde se iau în principal deciziile privind securitatea cibernetică (Art. 26 NIS 2).
Surse
- Legea BSI (BSIG) § 2 nr. 4, §§ 28 și 30, Anexa 1, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), Art. 6(30), Art. 26 și Anexa I, EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690, EUR-Lex
- Recomandarea Comisiei 2003/361/CE, EUR-Lex
- BSI: catalogul de criterii C5, bsi.bund.de
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
