Regulamentul de punere în aplicare (UE) 2024/2690

Regulamentul de punere în aplicare (UE) 2024/2690 (CIR): pe cine obligă și ce cere

Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei, pe scurt CIR, stabilește în detaliu cum pun în aplicare anumiți furnizori digitali cele zece măsuri de securitate NIS2 și când un incident la ei este semnificativ. Se aplică direct în fiecare țară UE, dar doar pentru unsprezece tipuri de furnizori, de exemplu cloud, centre de date și servicii gestionate. Pentru orice altă companie nu este etalonul, ci doar o posibilă referință.

Începeți

Programați o discuție

Decide altcineva? O pagină pentru conducerea dumneavoastră

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Pe cine obligă regulamentul

Articolul 1 numește unsprezece tipuri de entități. Regulamentul le numește „entitățile relevante”.

Art. 1 și 16 din Regulamentul de punere în aplicare (UE) 2024/2690

Furnizori de servicii DNS
Registre de nume TLD
Furnizori de servicii de cloud computing
Furnizori de servicii de centre de date
Furnizori de rețele de furnizare de conținut
Furnizori de servicii gestionate
Furnizori de servicii de securitate gestionate
Furnizori de piețe online
Furnizori de motoare de căutare online
Furnizori de platforme de servicii de rețele sociale
Prestatori de servicii de încredere

Este un regulament, nu o directivă. De aceea se aplică în fiecare țară UE fără o lege națională. A fost publicat în Jurnalul Oficial la 18 octombrie 2024 și a intrat în vigoare 20 de zile mai târziu.

Dacă un astfel de furnizor intră deloc sub NIS2 decid directiva și legea națională, în Germania § 28 BSIG. Regulamentul spune doar cum anume pune în aplicare măsurile.

Ce cere anexa

Anexa are 13 secțiuni. Fiecare corespunde unui punct din Art. 21(2) NIS 2 și are cerințe individuale numerotate.

Nr. 1

Politica privind securitatea rețelelor și a sistemelor informatice

Un document de politică pe care conducerea îl revizuiește cel puțin o dată pe an, plus roluri și responsabilități clare.

Nr. 2

Politica de gestionare a riscurilor

Identificarea, evaluarea și tratarea riscurilor. Rezultatele se revizuiesc cel puțin o dată pe an.

Nr. 3

Gestionarea incidentelor

Detectarea, înregistrarea, clasificarea, tratarea și analiza ulterioară a incidentelor.

Nr. 4

Continuitatea activității și gestionarea crizelor

Planuri pentru situații de urgență, copii de siguranță și redundanță, gestionarea crizelor.

Nr. 5

Securitatea lanțului de aprovizionare

O politică pentru relațiile cu furnizorii direcți și un registru al acestor furnizori.

Nr. 6

Achiziție, dezvoltare și întreținere

Securitate la cumpărarea și dezvoltarea sistemelor, modificări, testare, actualizări și tratarea vulnerabilităților.

Nr. 7

Evaluarea eficacității

Stabiliți cum verificați dacă măsurile funcționează.

Nr. 8

Igienă cibernetică și instruire

Reguli de bază pentru toată lumea, conștientizare și instruire, inclusiv pentru conducere.

Nr. 9

Criptografie

O politică privind criptarea, cu gestionarea cheilor.

Nr. 10

Securitatea resurselor umane

Responsabilități, verificări acolo unde este cazul și proceduri pentru plecări și schimbări de rol.

Nr. 11

Controlul accesului

Drepturi de acces, conturi privilegiate, identificare, autentificare și, acolo unde este cazul, mai mulți factori (nr. 11.7).

Nr. 12

Gestionarea activelor

Un inventar al sistemelor și activelor, clasificarea lor și modul de lucru cu ele.

Nr. 13

Securitate de mediu și fizică

Protecție împotriva căderii alimentării, a incendiului și a apei, acces fizic controlat.

Și aici se aplică proporționalitatea: contează riscul, mărimea și probabilitatea și gravitatea incidentelor (Art. 2(2)). Acolo unde anexa spune „unde este cazul” și un furnizor nu aplică o cerință, el documentează motivul într-un mod ușor de înțeles.

Când un incident este semnificativ

Pentru entitățile relevante, regulamentul stabilește când un incident este semnificativ și trebuie deci raportat. Articolul 3 se aplică tuturor: de exemplu o pierdere financiară directă de peste 500.000 EUR sau 5 la sută din cifra de afaceri anuală, oricare este mai mică, exfiltrarea de secrete comerciale sau un acces reușit, suspectat a fi rău intenționat, care poate cauza perturbări grave ale activității.

Dacă în șase luni apar cel puțin două incidente cu aceeași cauză aparentă și împreună ating pragul pierderii financiare, ele contează împreună ca semnificative (articolul 4).

Articolele 5 până la 14 stabilesc praguri pentru fiecare tip de furnizor. Un exemplu: un serviciu cloud complet indisponibil mai mult de 30 de minute (articolul 7). Mentenanța planificată nu contează.

Art. 3 până la 14 din Regulamentul de punere în aplicare (UE) 2024/2690 · Art. 23(3) NIS 2

Cum se raportează la BSIG german

Pentru cele unsprezece tipuri de furnizori, regulamentul are prioritate față de măsurile din § 30 BSIG (§ 30(3) BSIG).

Nu se aplică niciunei alte companii. Măsurile acestora se raportează la § 30 BSIG. Comisia nu a adoptat încă un act de punere în aplicare pentru toate entitățile (§ 30(4) BSIG).

Conform § 44(2) BSIG, IT-Grundschutz al BSI se consideră că îndeplinește § 30 doar pentru instituțiile administrației federale. Pentru companii poate structura munca, dar nu este o dovadă recunoscută de lege.

§ 30(3) și (4) · § 44(2) BSIG

Ce înseamnă asta pentru o companie cu 50 până la 150 de angajați

Cele mai multe companii de această mărime, de exemplu producători, firme din industria alimentară sau firme de gestionare a deșeurilor, nu fac parte din niciunul dintre cele unsprezece tipuri. Regulamentul nu le obligă. Ele își raportează măsurile la § 30 BSIG.

Puteți citi regulamentul ca referință, dacă vreți să vedeți cum arată o măsură în detaliu. Aceasta nu este o obligație.

Dacă însă compania dumneavoastră este un furnizor de servicii IT care operează sau administrează sistemele clienților, poate fi un furnizor de servicii gestionate. Atunci regulamentul vi se aplică direct.

Un exemplu

Două firme inventate, fiecare cu 90 de angajați.

Un producător de mașini de ambalat: construcția de mașini este enumerată în Anexa 2 a BSIG, deci firma este o entitate importantă. Regulamentul nu o obligă. Își revizuiește politica de securitate la un interval stabilit de ea.

Un furnizor de servicii IT care operează servere, rețele și stații de lucru pentru 200 de clienți: este un furnizor de servicii gestionate. Regulamentul i se aplică direct.

Pentru furnizorul de servicii IT aceasta înseamnă, printre altele: conducerea revizuiește politica de securitate cel puțin o dată pe an, evaluarea riscurilor se revizuiește cel puțin o dată pe an, iar accesul la sistemele sale folosește mai mulți factori acolo unde este cazul.

Dacă are un incident, verifică pragurile din articolele 3 și 10 ale regulamentului înainte de a decide dacă raportează.

Cum face asta parcursul ghidat

Parcursul ghidat de pe nisd2.eu acoperă ce cere BSIG de la fiecare entitate și cunoaște furnizorii cărora li se aplică regulamentul.

Fiecare dintre cele zece domenii din § 30(2) BSIG devine cel puțin un pas pe care îl completați.

Pasul despre politica de securitate spune că, pentru furnizorii cărora li se aplică regulamentul, politica se revizuiește cel puțin o dată pe an.

Dacă firma dumneavoastră este înregistrată în infrastructură digitală, gestionarea serviciilor TIC sau furnizori digitali, fiecare cerință rămâne deschisă pentru dumneavoastră cu detaliile regulamentului, chiar și după ce parcursul ghidat a acoperit partea datorată de orice entitate.

La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont.

Începeți cu politica de securitate în parcursul ghidat

Întrebări frecvente

Ce este CIR 2024/2690?

Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024. Pentru unsprezece tipuri de furnizori digitali, el stabilește cerințele tehnice și metodologice ale măsurilor din Art. 21(2) NIS 2 și precizează când un incident la ei este semnificativ.

Se aplică regulamentul companiei mele?

Doar dacă este unul dintre cele unsprezece tipuri din articolul 1, de exemplu cloud, centru de date sau servicii gestionate, și intră sub NIS2 conform legii naționale. Nu se aplică nimănui altcuiva.

Trebuie regulamentul transpus în legea națională?

Nu. Ca regulament, se aplică direct în fiecare țară UE. În Germania, BSIG îi dă prioritate pentru furnizorii vizați (§ 30(3) BSIG).

Câte secțiuni are anexa?

13. Ele urmează literele (a) până la (j) din Art. 21(2) NIS 2. Controlul accesului (nr. 11), de exemplu, conține autentificarea multifactor (nr. 11.7).

Este suficient un certificat ISO 27001?

Regulamentul se sprijină, printre altele, pe ISO/IEC 27001 și 27002 (considerente). Un certificat nu îi înlocuiește însă cerințele. Verificați separat fiecare cerință din anexă.

Surse

Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei din 17 octombrie 2024, JO L, 2024/2690, 18 octombrie 2024, EUR-Lex
Directiva (UE) 2022/2555 (NIS 2), Art. 21 și 23, EUR-Lex
Legea BSI (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025

În practică

Unde apare acest lucru în parcursul ghidat

Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.

Parcursul în sine este în germană și engleză.

Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.