Într-o lume în care crizele au devenit aproape ”normalitate”, protecţia infrastructurii critice, precum cea de energie, transport sau apă potabilă, şi implicit rezilienţa companiilor care operează această infrastructură (entităţi critice) în faţa unor atacuri cibernetice, ameninţări teroriste, sabotaj sau dezastre naturale sunt esenţiale. Din acest motiv, Comisia Europeană a elaborat directiva privind rezilienţa entităţilor critice, care impune acestora respectarea unor standarde riguroase pentru a asigura servicii esenţiale populaţiei şi continuitatea activităţilor în economie.
Ce presupune directiva?
Directiva, care a intrat în vigoare în octombrie 2024, vizează entităţi critice din 11 sectoare: energie, transporturi, sector bancar, pieţe financiare, sănătate, apă potabilă, ape reziduale, infrastructură digitală, administraţie publică, spaţiu şi industria alimentară.
În temeiul Directivei privind rezilienţa entităţilor critice, ţările membre UE vor trebui să efectueze evaluări ale riscurilor privind serviciile esenţiale şi vor trebui să identifice entităţile critice până în iulie 2026. Odată identificate ca fiind critice, aceste entităţi vor trebui să efectueze propriile evaluări ale riscurilor şi să adopte măsuri de sporire a rezilienţei pentru a preveni, răspunde şi atenua incidentele care pot perturba furnizarea de servicii esenţiale.
Directiva stabileşte, de asemenea, norme pentru identificarea entităţilor critice de importanţă europeană deosebită, respectiv dacă furnizează un serviciu esenţial pentru şase sau mai multe ţări UE.
De asemenea, companiile care operează în sectoare considerate critice trebuie să acorde o atenţie deosebită implementării acestei directive, investind în tehnologii de securitate, formând personalul şi colaborând cu autorităţile competente.
Calendarul implementării
Directiva impune un calendar strict pentru transpunerea în legislaţia naţională şi pentru identificarea entităţilor critice.
- Octombrie 2024: Statele membre UE încep să transpună directiva în legislaţia naţională.
- Ianuarie 2026: Statele UE adoptă o strategie pentru creşterea rezilienţei entităţilor critice.
- Iulie 2026: Statele UE desemnează şi notifică entităţile critice.
- Într-un interval de nouă luni de la momentul desemnării ca entităţi critice, acestea trebuie să efectueze evaluarea riscurilor.
- În zece luni de la momentul desemnării ca entităţi critice, acestea trebuie să demonstreze conformitatea cu cerinţele directivei.
Ce paşi trebuie să urmeze entităţile vizate
Evaluarea riscurilor: Companiile trebuie să identifice şi să evalueze în mod regulat toate riscurile potenţiale care le-ar putea afecta operaţiunile, inclusiv atacurile cibernetice, dezastrele naturale şi terorismul.
Elaborarea unui plan de rezilienţă: Pe baza evaluării riscurilor, companiile trebuie să elaboreze un plan detaliat pentru a face faţă incidentelor şi pentru a-şi restabili rapid activitatea.
Formarea angajaţilor: Angajaţii trebuie să fie instruiţi în mod regulat cu privire la cele mai bune practici de gestionare a riscurilor la care sunt expuse companiile.
Raportarea incidentelor: Companiile trebuie să raporteze imediat incidentele semnificative către autorităţile competente.
