Incident semnificativ în temeiul NIS 2
Două criterii calitative de declanșare, un regulament cu cifre pentru anumiți furnizori digitali și un jurnal scris de decizie pentru toți ceilalți.
De ce contează definiția
Caracterul semnificativ este ceea ce pornește întregul ceas de raportare din articolul 23 NIS 2: o avertizare timpurie în 24 de ore, o notificare a incidentului în 72 de ore, un raport final în termen de o lună. Dacă evenimentul este semnificativ, ceasul pornește în momentul în care aflați. Dacă nu este, nu datorați nimic CSIRT-ului și autorității competente.
Articolul 23 alineatul (3) NIS 2 vă oferă doar două formulări generale. Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei (CIR) adaugă cifre clare, dar numai pentru un grup restrâns de furnizori digitali (DNS, TLD, cloud, centru de date, CDN, MSP, MSSP, piață online, motor de căutare, rețea socială, servicii de încredere). Pentru orice alt sector NIS 2, testul rămâne calitativ.
Majoritatea CISO subestimează acest decalaj. Dacă activați în producție, alimentație, sănătate sau gestionarea deșeurilor, nu există o cifră în euro, nu există un număr de minute, nu există un prag de utilizatori. Trebuie să decideți, trebuie să decideți rapid și trebuie să fiți capabil să explicați mai târziu de ce.
Directiva NIS 2 (UE) 2022/2555, art. 23 alin. (3)
Un incident este considerat semnificativ dacă: (a) a provocat sau poate provoca perturbări operaționale grave ale serviciilor sau pierderi financiare pentru entitatea în cauză; (b) a afectat sau poate afecta alte persoane fizice sau juridice, cauzând prejudicii materiale sau morale considerabile.
Aceasta este singura definiție generală a unui incident semnificativ din dreptul UE. Ambele puncte folosesc „este în măsură să cauzeze”, deci trebuie să cântăriți și daunele potențiale, nu doar daunele efective. Textul nu cuantifică niciodată grav, considerabil sau material.
CIR (UE) 2024/2690, art. 3
Un incident este considerat semnificativ în sensul articolului 23 alineatul (3) din Directiva 2022/2555 în ceea ce privește entitățile relevante în cazul în care sunt îndeplinite unul sau mai multe dintre următoarele criterii: (a) incidentul a cauzat sau poate cauza pierderi financiare directe pentru entitatea relevantă care depășesc 500 000 EUR sau 5 % din cifra de afaceri anuală totală a entității relevante aferentă exercițiului financiar anterior, reținându-se valoarea cea mai mică; (b) incidentul a cauzat sau poate cauza exfiltrarea secretelor comerciale ale entității relevante, astfel cum se prevede la articolul 2 punctul 1 din Directiva (UE) 2016/943; (c) incidentul a cauzat sau poate cauza decesul unei persoane fizice; (d) incidentul a cauzat sau poate cauza daune considerabile asupra sănătății unei persoane fizice; (e) s-a produs un acces reușit, presupus rău-intenționat și neautorizat la rețele și la sistemele informatice, care poate cauza perturbări operaționale grave; (f) incidentul îndeplinește criteriile prevăzute la articolul 4; (g) incidentul îndeplinește unul sau mai multe dintre criteriile prevăzute la articolele 5-14.
Șapte criterii (literele a-g). Cinci de fond plus două trimiteri. Art. 1 CIR prevede că aceste cifre se aplică numai unor furnizori digitali specifici (DNS, TLD, cloud, centru de date, CDN, MSP, MSSP, piață online, motor de căutare, platformă socială, servicii de încredere). Articolele 5-14 adaugă praguri minime de disponibilitate per sector pentru același grup. Dacă sectorul dumneavoastră nu se află pe acea listă, aceste cifre nu vă obligă, iar testul calitativ de la art. 23 alin. (3) este tot ce aveți.
§32 BSIG (Germania, exemplu de transpunere)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Fiecare stat membru trebuie să transforme art. 23 în drept național. §32 BSIG repetă cascada și desemnează ca destinatar un birou comun de raportare înființat de BSI și de Oficiul Federal pentru Protecția Populației și Asistență în caz de Dezastre (BBK). Nu adaugă nicio cifră proprie pentru sectoarele nedigitale. NISG 2026 al Austriei se aplică din 1 octombrie 2026. Franța și Țările de Jos nu își notificaseră transpunerea până în iulie 2026 (Comisia le-a dat în judecată la Curtea de Justiție).
Șapte criterii (literele a-g)
Cinci criterii de declanșare de fond plus două trimiteri. (a) 500 000 EUR sau 5 % din cifra de afaceri (oricare este mai mică), (b) secrete comerciale exfiltrate, (c) o persoană decedată, (d) prejudiciu grav adus sănătății unei persoane, (e) o intruziune răuvoitoare reușită, în măsură să provoace o perturbare gravă, (f) incidente recurente conform art. 4, (g) praguri specifice entității conform art. 5-14. Oricare singur criteriu declanșează caracterul semnificativ pentru furnizorii digitali vizați.
Incidente recurente
Incidentele mici se cumulează. Dacă aceeași cauză-rădăcină produce cel puțin două incidente în șase luni, iar împreună depășesc limita de pierdere financiară de la art. 3 alin. (1) lit. (a), CIR le tratează ca pe un singur incident semnificativ. A le număra separat pe fiecare este greșit.
Specificul DNS și TLD
Pentru furnizorii de servicii DNS (art. 5): rezoluție complet indisponibilă mai mult de 30 de minute, timp mediu de răspuns peste 10 secunde mai mult de o oră sau date compromise (cu excepția unei configurări greșite care afectează mai puțin de 1 000 de domenii și cel mult 1 % dintre ele). Registrele TLD (art. 6): orice întrerupere completă a rezoluției autoritative, timp de răspuns peste 10 secunde timp de o oră sau orice compromitere a datelor TLD. Articolele 7 până la 14 stabilesc praguri pentru cloud, centre de date, CDN, MSP și MSSP, piețe online, motoare de căutare, rețele sociale și servicii de încredere.
Criteriul A: perturbare operațională gravă sau pierdere financiară pentru entitatea dumneavoastră
Acesta este criteriul orientat spre interior. Directiva nu vă oferă nicio cifră în euro, nicio durată, niciun procent. Considerentul 101 numește trei aspecte de analizat: cât din serviciu este afectat, cât durează incidentul și pe câți utilizatori îi afectează. Folosiți-le pentru a vă structura gândirea. Nu le tratați ca pe o listă de bifat.
Criteriul B: daune materiale sau morale considerabile aduse terților
Acesta este criteriul orientat spre exterior. Clienți, cetățeni, operatori din aval, lanțul dumneavoastră de aprovizionare. Daunele morale includ prejudiciul adus reputației și încrederii. O întrerupere scurtă care blochează fluxul de lucru al unui spital, scurge date ale clienților sau scoate din funcțiune un serviciu municipal poate îndeplini acest criteriu chiar dacă propria dumneavoastră pierdere este mică.
Un ransomware oprește producția timp de două zile
Operațiunile se opresc. Criteriul A de la art. 23 alin. (3) NIS 2 (perturbare operațională gravă) este îndeplinit. Avertizare timpurie 24 h, notificarea incidentului 72 h, raport final 1 lună (art. 23 NIS 2 / §32 BSIG).
S-a făcut clic pe un e-mail de phishing, nicio parolă introdusă
Limitare reușită, niciun impact asupra serviciilor sau a terților. Notificarea voluntară în temeiul art. 30 NIS 2 este disponibilă dacă doriți să comunicați și nu impune obligații suplimentare (art. 30 alin. (2)).
Pană la furnizorul de cloud, propriul serviciu întârziat
Dacă propriul dumneavoastră serviciu devine semnificativ mai lent sau se oprește, criteriul A este îndeplinit. Verificați și criteriul B: suferă clienții sau operatorii din aval? (art. 23 alin. (3) NIS 2)
Un atac DDoS scoate portalul clienților din funcțiune timp de patru ore
Întrerupere semnificativă pentru clienți. Ambele criterii de la art. 23 alin. (3) NIS 2 sunt potențial îndeplinite. Pentru furnizorii de DNS, cloud sau servicii de încredere, verificați și art. 5-14 CIR.
O configurare greșită expune datele clienților
Articolul 33 GDPR: 72 h către autoritatea de supraveghere. Dacă este depășit și un prag NIS 2 (art. 23 alin. (3) NIS 2 sau art. 3 CIR), suplimentar articolul 23 NIS 2: avertizare timpurie de 24 h către CSIRT. Ambele ceasuri pornesc în momentul cunoașterii.
Furnizor compromis, propriul serviciu afectat
Verificați mai întâi daunele aduse propriei entități sau clienților dumneavoastră. Nu orice incident al unui furnizor declanșează propria obligație de notificare. În paralel: documentați supravegherea furnizorilor în temeiul art. 21 alin. (2) lit. (d) NIS 2.
Nu sunteți sigur dacă pragul este depășit? Avertizarea timpurie poate fi actualizată în notificarea de 72 de ore (art. 23 alin. (4) lit. (b)). Pentru evenimentele sub prag puteți notifica voluntar fără a vă asuma obligații suplimentare (art. 30).
Articolul 30 alineatul (1) NIS 2 permite notificarea voluntară a incidentelor, a amenințărilor cibernetice și a evitărilor la limită către CSIRT. Acest lucru se aplică entităților din domeniul de aplicare al directivei și entităților din afara acestuia care doresc să notifice un eveniment semnificativ.
Articolul 30 alineatul (2) NIS 2 este protecția cheie: raportarea voluntară nu trebuie să conducă la impunerea vreunei obligații suplimentare asupra entității care notifică. Raportarea unui caz la limită nu comportă niciun risc de îndatoriri suplimentare. Acest lucru elimină scuza evidentă de a nu notifica un incident neclar.
Articolul 23 alineatul (2) NIS 2 adaugă o obligație separată. Entitățile esențiale și importante comunică, fără întârzieri nejustificate, destinatarilor serviciilor lor orice măsuri sau remedii pe care aceștia le pot lua pentru a atenua riscurile generate de o amenințare cibernetică semnificativă. Aceasta nu este notificarea către CSIRT; este comunicarea externă către clienți.
În Germania, §35 alin. (2) BSIG pune în aplicare acest lucru: entitățile din finanțe, asigurări sociale, infrastructură digitală, gestionarea serviciilor TIC și servicii digitale trebuie să informeze clienții amenințați de o amenințare cibernetică semnificativă despre ce pot face, acolo unde interesele clienților prevalează asupra propriilor interese. Separat, BSI poate dispune ca o entitate să își informeze clienții despre un incident semnificativ (§35 alin. (1) BSIG), de exemplu prin publicare pe site-ul web.
Orientările BSI în temeiul §32 BSIG
BSI repetă definiția din § 2 nr. 11 BSIG și interpretează „ar putea cauza” astfel: efectele s-ar putea produce în mod realist. Raportările se fac prin portalul BSI. Nu publică nicio cifră pentru sectoarele nedigitale. BSI notează că ministerul federal de interne poate defini ulterior „semnificativ” mai detaliat printr-un regulament (§ 56 alin. (4) BSIG).
Ghidul tehnic de punere în aplicare al ENISA
Ghidul tehnic de punere în aplicare al ENISA (TIG, versiunea 1.0 din iunie 2025; tabelul său de corespondențe a fost actualizat la versiunea 1.2 în august 2025) oferă sfaturi practice privind evaluarea impactului și trimite la pragurile CIR acolo unde acestea se aplică. TIG nu are caracter obligatoriu și predă în mod explicit sectoarele din afara domeniului CIR înapoi autorităților naționale.
Alte state membre
NISG 2026 al Austriei se aplică din 1 octombrie 2026. Franța și Țările de Jos nu își notificaseră transpunerea până în iulie 2026 (Comisia le-a dat în judecată la Curtea de Justiție). Germania este exemplul folosit aici.
Mit 1: Vom ști când vom vedea.
Realitate: Art. 23 alin. (4) lit. (a) vă oferă 24 de ore de când aflați de un incident semnificativ pentru a trimite avertizarea timpurie. În acest interval trebuie să decideți, să consemnați raționamentul în scris și să îl puteți apăra la audit. Dacă nu v-ați notat criteriile înainte de incident, veți lua decizia sub presiune, fără un document pe care să vă bazați. Construiți cadrul de decizie acum, nu în ziua respectivă.
Mit 2: Doar încălcările de date contează ca incidente semnificative.
Realitate: Art. 23 alin. (3) lit. (a) acoperă perturbarea operațională și pierderea financiară, fără nicio mențiune privind datele cu caracter personal. O linie de fabrică oprită de un ransomware, fără exfiltrare de date, este un incident semnificativ. O platformă logistică indisponibilă timp de trei ore poate fi unul, dacă întreruperea perturbă grav serviciul sau cauzează daune considerabile clienților. NIS 2 nu este GDPR.
Mit 3: Incidentele mici sub prag nu se cumulează.
Realitate: pentru furnizorii digitali din CIR, incidentele cu aceeași cauză-rădăcină aparentă care se produc de cel puțin două ori în șase luni se numără ca un singur incident semnificativ dacă pierderile lor financiare depășesc împreună pragul de la art. 3 alin. (1) lit. (a) (art. 4 CIR). NIS 2 în sine nu are o astfel de regulă, dar un tipar de incidente mici este tot un motiv să vă uitați din nou.
Anexele I și II la NIS 2 acoperă 18 sectoare. Doar grupul digital de la art. 1 CIR (11 tipuri de entități) primește cifre. Aceasta este o mică parte din entitățile vizate. Pentru energie, transport, bănci, infrastructura piețelor financiare, sănătate, apă potabilă, ape uzate, administrație publică, spațiu, poștă, gestionarea deșeurilor, substanțe chimice, alimentație, producție și cercetare, testul rămâne calitativ.
Acolo puteți fi util în discuție. Răspunsul onest la întrebarea consiliului („ce contează ca semnificativ pentru noi?”) este: UE a lăsat acest lucru la aprecierea dumneavoastră, iată cei trei factori din considerentul 101, iată jurnalul de decizie pe care îl vom produce în ziua respectivă, iată cine îl semnează, iată formularul de raportare BSI pe care îl vom depune. Răspunsul ce poate fi apărat nu este o cifră. Este o decizie consemnată în scris.
- Directiva (UE) 2022/2555 (NIS 2), art. 23 și considerentul 101 (eur-lex.europa.eu/eli/dir/2022/2555/oj)
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei, articolele 1, 3, 4, 5-14 (eur-lex.europa.eu/eli/reg_impl/2024/2690/oj)
- BSIG § 32 (Germania): gesetze-im-internet.de/bsig_2025
- ENISA, Ghidul tehnic de implementare NIS2, versiunea 1.0, 26 iunie 2025: enisa.europa.eu
- BSI, FAQ NIS-2 și portalul BSI: bsi.bund.de, portal.bsi.bund.de
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
