🏦NIS2 pentru Sector bancar — termene, obligații, amenzi

Cadru documentat care acopera politici de risc, securitatea sistemelor, controale criptografice si MFA, training, evaluare a eficacitatii. NIS2 Art. 21(2) impune cele zece masuri minime (a-j), abordare all-hazard, aliniate pe standarde europene si internationale, incluzand ISO/IEC 27001 si ISO/IEC 27002 [C3]. DORA suprapune un strat specific sectorului financiar (politici, identificare active, protectie criptografica, detectie, raspuns). EBA/GL/2019/04 ramane aplicabil pentru institutiile de credit si firmele de investitii, cu scopul restrans dupa intrarea DORA in aplicare [C12]. Organul de conducere aproba si supravegheaza implementarea (NIS2 Art. 20) [C14].

Pentru o banca aflata sub NIS2+DORA, aceleasi categorii de evenimente pot declansa doua fluxuri de raportare paralele. NIS2 Art. 23: early warning catre CSIRT in maxim 24h de la constientizare, notificare incident in 72h, raport final in maxim o luna [C4]. DORA Art. 19 (RTS Joint Committee): notificare initiala in 4h dupa clasificarea ca major si 24h dupa detectare, raport intermediar in 72h, raport final in 1 luna [C8]. Practic, CISO are nevoie de un singur runbook care sa scuipe ambele formulare in paralel — incluzand BNR/ASF pe latura DORA si DNSC pe latura NIS2.

Entitatile financiare semnificative (incluzand bancile peste un anumit prag) sunt obligate sa efectueze advanced testing prin TLPT cel putin o data la 3 ani [C9]. Daca se folosesc testeri interni, fiecare al 3-lea ciclu trebuie subcontractat unor testeri externi (DORA Art. 26(8)) [C9]. Cadrul tehnic de referinta este TIBER-EU, actualizat in februarie 2025 pentru aliniere cu RTS DORA pe TLPT [C11]. Romania este pe lista statelor care au adoptat TIBER-EU, deci putem rula intern teste TLPT compatibile cu cadrul european [C11]. Scope-ul acopera functiile critice / importante in productie, nu in pre-prod.

DORA Art. 28(3) cere mentinerea unui registru al furnizorilor ICT terti la nivel de entitate, sub-consolidat si consolidat, cu template standard impus de Comm. Impl. Reg. (EU) 2024/2956 [C10]. Registrul este folosit de autoritatile competente si ESAs pentru a desemna furnizorii critici (CTPP) supusi regimului de oversight DORA. NIS2 Art. 21(2)(d) suprapune cerinta de securitate a lantului de aprovizionare pentru toate entitatile esentiale, nu doar cele financiare [C3]. Practic: clauze contractuale obligatorii (exit-strategy, audit, sub-outsourcing), monitorizare continua, evaluare a concentrarii.

DORA cere politici de continuitate ICT, planuri de raspuns si recuperare, testare regulata a scenariilor (inclusiv switch-over, recovery, crisis communication). NIS2 Art. 21(2)(c) adauga business continuity si crisis management ca cerinte minime [C3]. Pentru institutiile de credit, EBA/GL/2019/04 (BCM si DR) ramane referinta operationala, in noul scope restrans dupa DORA [C12]. Banca trebuie sa demonstreze RTO/RPO documentate pentru fiecare functie critica si testare anuala a planurilor (Art. 25 DORA — testing basic). Lectie din incidentele ICBC si Evolve: planuri de continuitate pe care nu le-ai testat real nu functioneaza in criza.

Tip: Ransomware LockBit exploatand CitrixBleed (CVE-2023-4966)

Impact: Decuplare a sistemelor financiare; SIFMA a notificat membrii ca tranzactiile US Treasury nu pot fi decontate prin ICBC; restaurare partiala in 8-9 noiembrie 2023.

Lecția: Patch-management deficitar pentru o vulnerabilitate cunoscuta (patch Citrix 10 oct 2023) a oprit decontari pe pietele globale. NIS2 Art. 21(2)(e) si DORA Art. 9 cer gestionarea vulnerabilitatilor in timp util.

Tip: Ransomware (LockBit suspectat) la furnizor ICT tert

Impact: 57.028 persoane afectate; date privind planurile de compensatie amanata gestionate pentru Bank of America compromise; disclosure SEC Infosys pe 3 noiembrie 2023; notificare Bank of America pe 24 noiembrie 2023.

Lecția: Lant ICT: compromiterea unui furnizor (Infosys McCamish) a expus date sensibile ale unui client major. DORA Cap. V si NIS2 Art. 21(2)(d) cer evaluare si monitorizare contractuala continua pentru toti furnizorii ICT.

Tip: Ransomware LockBit (incident descoperit 29 mai 2024)

Impact: 7,6 milioane persoane afectate; SSN, numere de cont bancar si contact pentru majoritatea clientilor de retail; partenerii Banking-as-a-Service (Affirm, Wise) au raportat la randul lor expunere prin contracte ICT.

Lecția: Modelul Banking-as-a-Service propaga incidentul la zeci de fintech-uri partenere prin contracte ICT. DORA Art. 28 (registru furnizori) + testarea concentrarii reduc blast radius-ul.

Tip: Exploit zero-day SQL injection CVE-2023-34362, operat de Clop ransomware

Impact: Pana in iulie 2023: 383 organizatii si 20+ milioane persoane afectate; in 2024, totalul a depasit 2.700 de organizatii si ~95 milioane persoane. Victime confirmate in finance: Tesco Bank, Putnam Investments, multiple firme financiare prin furnizori (ex. Zellis payroll).

Lecția: Atac supply-chain pe un software de transfer fisiere larg utilizat. NIS2 Art. 21(2)(d) si DORA Cap. V impun inventar al lantului ICT si proceduri de raspuns pentru furnizori critici.

DORA — Regulamentul (UE) 2022/2554 · Direct aplicabil din 17 ianuarie 2025; nu necesita transpunere nationala [C7]

Suprapunere completa peste NIS2 pentru institutiile de credit. Diferente cheie: DORA cere raportare initiala in 4h dupa clasificare (NIS2: 24h early warning) [C4][C8]; DORA cere TLPT la 3 ani pentru entitati semnificative (NIS2 nu are TLPT obligatoriu) [C9]; DORA cere registru ICT third-party cu template standardizat (NIS2 cere doar masuri de lant-de-aprovizionare proportionate) [C10][C3].

EBA/GL/2019/04 — Guidelines on ICT and security risk management · Aplicabil prin reglementari BNR/ASF; scop restrans dupa intrarea DORA in aplicare (EBA/GL/2025/02) [C12]

Cadrul de baza pentru institutiile de credit si firmele de investitii pe ICT risk management si BCM. Dupa 17 ian 2025, anumite cerinte au migrat sub DORA, dar ghidul ramane referinta in zonele neacoperite de DORA.

PSD2 — Directiva (UE) 2015/2366 + RTS SCA (Reg. delegat 2018/389) · RTS Strong Customer Authentication aplicabile din 14 septembrie 2019 [C15]

Pentru orice banca care opereaza servicii de plata, SCA este obligatoriu pentru tranzactii electronice de la distanta. Mecanismele de autentificare ale clientilor trebuie incadrate in cadrul mai larg de ICT risk management cerut de DORA si NIS2.

MiCA — Regulamentul (UE) 2023/1114 · Aplicabil integral din 30 decembrie 2024 [C16]

Relevant pentru bancile care emit token-uri de bani electronici (EMT) sau ofera custodie crypto-assets. Cerintele de securitate cibernetica pentru CASPs se suprapun cu obligatiile DORA, intrucat majoritatea CASPs vor fi tratati ca entitati financiare sub DORA.

TIBER-EU — Cadrul ECB pentru threat-led red teaming · Adoptat in Romania; framework versionat 2025 aliniat cu DORA [C11]

Cadrul tehnic de referinta pentru TLPT-urile cerute de DORA Art. 26. Furnizeaza methodology, criterii pentru threat intelligence provider si red team, raportare.