NIS2 Roemenië: wat betekent het voor uw organisatie?

Wat betekent dit voor mijn bedrijf?

1. Registratie

DNSC houdt een lijst bij van de essentiële en belangrijke entiteiten. Wanneer uw organisatie binnen de scope van de Roemeense cybersecurity wet, valt, dient u uw organisatie te registreren bij DNSC binnen de 30 dagen na de inwerkingtreding van de cybersecurity wet of binnen de 30 dagen nadat u voldoet aan de voorwaarden van een essentiële of belangrijke entiteit volgens respectievelijk Art. 5 en Art. 6 van de Roemeense cybersecurity wet. Registreren kan via het invullen van een formulier. Volgende informatie dient door de entiteit te worden overgemaakt aan DNSC:

• Naam van de entiteit
• Adres van de hoofdzetel, e-mailadres, telefoonnummer en andere contactgegevens
• Adressen van andere vestigingen in de EU, indien van toepassing
• Contactgegevens van de communicatieverantwoordelijke
• Contactgegevens van de vertegenwoordiger, indien de entiteit niet in de EU is gevestigd
• Sector en subsector
• Lijst van lidstaten waar de entiteit diensten verleent
• IP-adresbereik
• Bewijs dat aan de voorwaarden voor de categorisering van een essentiële of belangrijke entiteit is voldaan

Wijzigingen in bovenstaande gegevens dienen onmiddellijk en binnen de 2 weken na de wijziging gemeld worden.

Jaarlijks dienen essentiële en belangrijke entiteiten een zelfbeoordeling uit te voeren om het maturiteitsniveau van de beheersmaatregelen voor cyberbeveiligingsrisico’s te bepalen. Deze jaarlijkse zelfbeoordeling wordt ingediend door de entiteit bij het DNSC. Essentiële entiteiten stellen 30 dagen na de voltooiing van de zelfbeoordeling een plan op hoe de vastgestelde afwijkingen gecorrigeerd zullen worden. Dit wordt eveneens aan het DNSC bezorgd.

2. Beheersmaatregelen

Als uw organisatie gecategoriseerd is als essentiële of belangrijke entiteit, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen. Deze cybersecurity beheersmaatregelen betreffen minstens:

• Beleid en procedures m.b.t. risicoanalyse en beveiliging van informatiesystemen en de periodieke evaluatie ervan
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen
• Beleid en procedures m.b.t. het gebruik van cryptografie en indien van toepassing encryptie
• Beveiliging van toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden
• Beveiligingsaspecten ten aanzien van personeel, toegangsbeheerbeleid en activabeheer
• Incidentenbeheer
• Bedrijfscontinuïteit en crisisbeheer en indien nodig, het gebruik van beveiligde back-upsystemen
• Beveiligingsaspecten ten aanzien van cyberhygiëne en cyberbeveiligingstraining
• Gebruik van multifactorauthenticatie of continue authenticatieoplossingen voor spraak-, video- en tekstcommunicatie, beveiligde noodcommunicatiesystemen binnen de entiteit indien van toepassing.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten.

3. Rapportageverplichting van significante incidenten

Belangrijke en essentiële entiteiten zijn verplicht het Roemeense CSIRT in kennis te stellen wanneer zich een significant incident voordoet. Daarnaast dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de verlening van de diensten betreffende de (sub)sectoren van bijlage I en II affecteert.

Een incident wordt volgens de Roemeense cybersecurity wet als significant beschouwd wanneer het:

• een ernstige operationele verstoring van de dienstverlening of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken; of
• andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken’

Het significante incident wordt door de essentiële en belangrijke entiteit gemeld via het PNRISC-formulier volgens volgende de procedure:

1. onmiddellijk en binnen de 24 uur nadat zij kennis heeft gekregen van het significante incident, dient de entiteit  een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen;
2. onmiddellijk en binnen de 72 uur nadat zij kennis heeft gekregen van het significante incident, communiceert de entiteit een incidentenmelding dat een informatie-update bevat en een initiële beoordeling van het incident;
3. op verzoek van het bevoegde CSIRT dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van:
   
   1. Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan;
   2. Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
   3. Toegepaste en lopende risicobeperkende maatregelen;
   4. De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is een maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van incident wordt een eindverslag ingediend.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden. 

Tot slot kunnen alle entiteiten, ongeacht of zij vallen binnen het toepassingsgebied van de NIS2-wet vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden via het online formulier.  

Meer informatie omtrent incident meldingen kan u hier vinden.

4. Verplichtingen en verantwoordelijkheden van het management

De bestuursorganen van essentiële en belangrijke entiteiten zijn verantwoordelijk voor de naleving van de cybersecurity wet en dienen verschillende verplichtingen na te komen waaronder:

• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen
• Voortdurend bijscholen van de werknemers van de entiteit op het gebied van cybersecurity

De bestuursorganen zijn aansprakelijk bij niet-naleving van de Roemeense cybersecurity wet.

5. Samenwerken met autoriteiten

Essentiële en belangrijke entiteiten dienen samen te werken met de nationale autoriteiten. Betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, rapporteren van incidenten, samenwerking met de inspectiedienst enzovoort.