🏛️NIS2 pentru Administrație publică centrală — termene, obligații, amenzi

Cadru documentat, abordare all-hazard, acoperind politici de risc, securitatea sistemelor, gestiunea incidentelor, business continuity (cu RTO/RPO pentru sistemele care sustin servicii pentru cetateni — ANAF SPV, ONRC RECOM, portalul Casei de Pensii, registrul electoral), criptografie, MFA, training, controlul accesului si securitatea resurselor umane. NIS2 Art. 21(2) impune cele zece masuri minime (a-j), aliniate pe ISO/IEC 27001 si ISO/IEC 27002 [C3]. Pentru entitatile administratiei publice centrale, OUG 155/2024 si Ordinul DNSC 2/2025 (Monitorul Oficial 776 din 20 august 2025) detaliaza metodologia de evaluare a riscului si criteriile de determinare a gradului de perturbare a serviciilor [C13]. Baseline-ul tehnic pentru comunicatii securizate intre institutiile centrale este coordonat de STS — institutie centrala de specialitate responsabila cu telecomunicatiile speciale si infrastructurile ICT critice ale statului (Presedintie, Guvern, ministere) si operatorul SNUAU 112 [C12]. Organul de conducere — ministru, secretar general, presedinte de agentie — aproba si supravegheaza implementarea conform NIS2 Art. 20, cu raspundere personala [C9].

Pentru o institutie publica care prelucreaza date personale ale cetatenilor (ANAF — date fiscale; CNPP — date de pensii; AEP — date electorale), un incident cibernetic atinge in majoritatea cazurilor si date personale, deci declanseaza doua fluxuri paralele. NIS2 Art. 23 catre CSIRT/DNSC: early warning maxim 24h de la constientizare, notificare incident 72h, raport final maxim o luna [C4]. GDPR Art. 33 catre ANSPDCP: notificare bresa de date cu caracter personal maxim 72h de la constientizare, daca exista risc pentru drepturile si libertatile persoanelor; Legea 190/2018 confirma explicit autoritatile si organismele publice (inclusiv ministerele si organele centrale) ca operatori sub regim GDPR [C16]. Cele doua termene de 72h se masoara independent — momentul de start poate fi diferit. Practic, CISO + DPO al institutiei impart un singur runbook care alimenteaza simultan formularul DNSC si formularul ANSPDCP, fara duplicari si fara intarzieri. Lectia AEP / campania noiembrie 2024 a fost ca momentul declasificarii oficiale si momentul declansarii raportarii ANSPDCP au fost decuplate, ceea ce a complicat comunicarea publica [I1].

Pentru un minister sau o agentie centrala, "business continuity" inseamna cetateni care pot depune declaratii fiscale, pensionari care isi primesc plata la timp, firme care isi pot consulta registrul, alegatori care isi pot verifica datele de inregistrare. NIS2 Art. 21(2)(c) cere business continuity si crisis management ca cerinte minime [C3]. Practic: planuri offline functionale (formulare hartie de rezerva, fluxuri manuale catre ghisee), exercitii anuale cu tabletop si simulari (cu scenarii DDoS, ransomware, defacement), backup-uri offline imutabile (cu rotire si testare restore), redundanta geografica pentru datele critice. ENISA raporteaza ca administratia publica a fost in 2024 sectorul cel mai vizat din UE (38% din toate incidentele) si ca DDoS reprezinta ~60% din volumul incidentelor sectoriale [C10]. Lectia campaniei electorale 2024 (I1) si a atacurilor Killnet 2022 (I5) este ca disponibilitatea conteaza pentru legitimitate publica, nu doar pentru SLA.

Institutiile publice centrale opereaza in baza unor contracte ICT cu furnizori privati (integratori, host-eri, dezvoltatori de software de uz public, cloud providers, sub-contractori). NIS2 Art. 21(2)(d) cere securitatea lantului de aprovizionare [C3]; Art. 22 prevede evaluari coordonate la nivel UE pentru lanturile critice de furnizori ICT [C3]. Practic: clauze contractuale cu fiecare furnizor (SLA pe incident response, SBOM, drepturi de audit, exit-strategy, sub-outsourcing controlat), inventar al furnizorilor critici, monitorizare continua, testare a concentrarii pe furnizori transversali (un furnizor folosit pe mai multe ministere = punct unic de esec). Achizitiile publice de cybersecurity tools (vulnerability management, SIEM/SOAR, MFA, vault) intra sub aceleasi cerinte de evaluare a furnizorilor — caietele de sarcini trebuie sa contina cerinte explicite NIS2 + Reg. (UE) 2024/2847 (CRA) pentru produsele cu elemente digitale.

Regulamentul (UE) 2024/1183 (eIDAS 2) cere Statelor Membre sa puna la dispozitia cetatenilor portofele de identitate digitala UE (EUDI Wallet) pana la 6 decembrie 2026 (24 luni dupa adoptarea implementing acts pe 28 noiembrie 2024) [C11]. Entitatile administratiei publice care expun servicii online cu autentificare pentru cetateni (ANAF SPV, casele de pensii, ONRC, portaluri ministeriale, AEP) sunt obligate sa accepte EUDI Wallet ca metoda valida de identificare [C11]. Practic, pentru o agentie publica centrala in 2026: integrare cu schema nationala eID, suport pentru Qualified Electronic Attestations of Attributes (QEAA), aliniere protocoale (OIDC4VCI / OIDC4VP, mdoc/ISO 18013-5), audit de securitate a tokenului de sesiune si scenarii de revocare. Stack-ul de identitate publica devine subiect direct atat al NIS2 Art. 21(2)(j) (MFA / autentificare continua), cat si al regulamentului eIDAS 2 — doua regimuri paralele care trebuie sa dea aceleasi controale tehnice.

Tip: Cyber campaign officially attributed (declassified SRI report) to a state actor with sustained resources; vectors: targeted phishing, SQL injection, XSS, credential theft, compromise of a GIS server connected to the internal network

Impact: Peste 85.000 atacuri cibernetice intre 19 si 25 noiembrie 2024 asupra sistemelor electorale. Credentialele administrative ale site-urilor bec.ro, roaep.ro si registrulelectoral.ro au fost scurse pe un forum cibercriminal rusesc cu mai putin de o saptamana inainte de primul tur al alegerilor prezidentiale. La 6 decembrie 2024, Curtea Constitutionala a Romaniei a anulat rezultatele primului tur, citand interferenta straina cu impact asupra integritatii procesului electoral.

Lecția: Infrastructura electorala este NIS2 Anexa I prin natura ei (entitate publica centrala autonoma). Compromiterea unui singur server GIS conectat la reteaua interna a permis pivoting catre conturi administrative. NIS2 Art. 21(2)(d) si (i) cer segregare retea, MFA, asset management. Lectia operationala: orice server expus public conectat la AD-ul institutiei = punct unic de esec catre tot perimetrul.

Tip: Data breach / exfiltration with extortion; 0.8 BTC ransom demand (~EUR 30 000) — incident made public on 31 January 2024 after a hacker group boasted online (reported by Digi24)

Impact: Aproximativ 250 GB date exfiltrate de pe serverele Camerei Deputatilor, inclusiv documente personale ale parlamentarilor — carti de identitate, analize medicale, contracte bancare, date despre vehicule personale. O parte din date publicate, inclusiv ID-ul premierului Marcel Ciolacu si al liderului UDMR Kelemen Hunor. Premierul a anuntat schimbarea cartii de identitate dupa incident.

Lecția: Parlamentul este exclus din scopul direct NIS2 (Anexa I exclude judiciarul, parlamentele, bancile centrale [C2]), dar incidentul ilustreaza modelul de risc pentru orice institutie centrala care detine date sensibile despre demnitari si oficiali. Tactica de double-extortion (criptare + exfiltrare cu santaj public) este standard pentru entitatile publice romanesti din 2023 incoace; raspunsul corect e refuzul platii si raportare imediata catre ANSPDCP sub GDPR Art. 33 [C16].

Tip: Conti ransomware (16 April 2022) followed by Hive (31 May 2022 on CCSS); initial ransom demand USD 10 million, later raised to USD 20 million

Impact: 8 mai 2022 — presedintele Rodrigo Chaves declara stare de urgenta nationala, prima oara cand un atac ransomware genereaza un astfel de raspuns. Peste 600 GB date exfiltrate; colectarea taxelor blocata; vamile oprite; comertul international perturbat. Pierderi estimate peste 125 milioane USD pentru economia tarii in luna ramasa fara servicii fiscale functionale. Atacul secundar Hive pe Casa de Asigurari Sociale a oprit 759 servere, 10.400 computere, si a fortat reprogramarea a peste 30.000 programari medicale.

Lecția: Un atac ransomware coordonat poate scoate efectiv din functiune statul timp de saptamani. Lectia pentru NIS2 Art. 21(2)(c) si Strategia RO 2022-2027 [C14]: backup-uri offline testate trimestrial, planuri de continuitate cu fluxuri manuale, exercitii anuale care simuleaza pierderea totala a unei agentii centrale. Cyber Solidarity Act (Reg. 2025/38) a fost adoptat partial ca raspuns la astfel de scenarii [C15].

Tip: Exploitation of Microsoft Exchange ProxyLogon vulnerabilities (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065); officially attributed by the Norwegian Government to actors operating from China (HAFNIUM)

Impact: Date exfiltrate din sistemele de email ale Stortingului in martie 2021. Atribuirea oficiala a fost facuta pe 19 iulie 2021, in aceeasi zi cu atribuirea coordonata SUA / UK / UE / NATO pentru campania ProxyLogon. Ambasada Chinei a fost convocata la Ministerul de Externe norvegian. Incidentul a urmat unui atac anterior in decembrie 2020 (atribuit APT28 / Rusia).

Lecția: Patch-management deficitar pentru vulnerabilitati cunoscute Microsoft Exchange (publicate la 2 martie 2021, exploit-uri in-the-wild in zilele urmatoare) intr-un perimetru sensibil politic. NIS2 Art. 21(2)(e) si Reg. (UE) 2024/2847 (CRA) cer gestionarea vulnerabilitatilor in timp util si raportare obligatorie a CVE-urilor exploatate activ. Pentru ministerele romanesti, baseline-ul tehnic STS pe comunicatii securizate este una dintre apararile-cheie [C12].

GDPR — Regulation (EU) 2016/679 + Law 190/2018 · GDPR direct aplicabil din 25 mai 2018; Legea 190/2018 publicata 31 iulie 2018, defineste obligatiile autoritatilor si organismelor publice romanesti [C16]

Autoritatile si organismele publice (Camera Deputatilor, Senat, Administratia Prezidentiala, Guvern, ministere, alte organe centrale, autoritati autonome) sunt explicit listate ca operatori in regim GDPR sub Legea 190/2018 [C16]. ANSPDCP supravegheaza si poate aplica sanctiuni. Diferenta cheie fata de NIS2: GDPR se activeaza la bresa de date personale, NIS2 la incident cibernetic semnificativ — pot coincide, dar nu obligatoriu. Sanctiunile sunt cumulative.

Regulation (EU) 2024/1183 (eIDAS 2 — European Digital Identity Framework) · Direct aplicabil din 20 mai 2024; EUDI Wallet obligatoriu pana la 6 decembrie 2026 (24 luni dupa adoptarea implementing acts pe 28 noiembrie 2024) [C11]

Statele Membre trebuie sa puna la dispozitia cetatenilor portofele digitale UE; orice entitate publica care expune servicii online cu autentificare (ANAF SPV, ONRC, casele de pensii, MFE, etc.) trebuie sa accepte EUDI Wallet pe langa metodele existente (cnp+pwd, certificat digital calificat) [C11]. Cumulativ cu NIS2 Art. 21(2)(j), care cere MFA pentru conturile administrative interne — eIDAS 2 vine cu portofelul digital al cetateanului ca al doilea factor extern.

Cyber Resilience Act — Regulation (EU) 2024/2847 · Intrat in vigoare 10 decembrie 2024; obligatii principale aplicabile din 11 decembrie 2027, raportare vulnerabilitati active din 11 septembrie 2026

Pentru institutiile publice centrale, CRA actioneaza dinspre achizitii — orice produs cu elemente digitale (software, hardware retea, IoT, dispozitive de control acces, camere conectate) cumparat dupa 2027 trebuie sa fie conform CRA. Aceasta inseamna SBOM, raportare obligatorie a vulnerabilitatilor active in 24h catre ENISA, gestiune pe toata durata de viata a produsului. Caietele de sarcini publice trebuie sa pretinda explicit conformitatea CRA pentru produsele cu elemente digitale.

Cyber Solidarity Act — Regulation (EU) 2025/38 · Intrat in vigoare 4 februarie 2025 [C15]

Stabileste Rezerva de Cybersecurity a UE — servicii de raspuns la incident furnizate de providers privati de incredere, deployabile la cererea Statelor Membre sau a institutiilor UE pentru incidente majore [C15]. Pentru o entitate publica centrala romaneasca, in caz de incident sever (de tipul I1/I3), accesul la aceasta rezerva se face prin DNSC catre ENISA. Sistemul European de Alerta Cibernetica si Mecanismul de Urgenta Cibernetica reduc timpul de raspuns in incidente cross-border si large-scale.

Romanian National Cybersecurity Strategy 2022-2027 (HG 1321/2021) · Cadru strategic national; adoptata prin Hotararea Guvernului nr. 1321/2021 din 30 decembrie 2021 [C14]

Strategia stabileste 5 obiective: retele sigure si reziliente, Romania actor relevant in cooperarea internationala, cultura nationala de cybersecurity, dezvoltare a expertizei, cadru de inovatie. Pentru institutiile publice centrale, strategia impune alocarea unei parti din buget pentru asigurarea securitatii cibernetice si participarea la sistemul national de management al incidentelor coordonat de DNSC + STS [C14]. Constituie cadrul pe care s-au construit ulterior OUG 155/2024 si Ordinele DNSC 1-2/2025.