☁️NIS2 pentru Cloud computing și data centers — termene, obligații, amenzi

Furnizorii cloud, data centre si CDN trebuie sa implementeze cele zece masuri minime din NIS2 Art. 21(2)(a-j): politici de risc si securitate, tratarea incidentelor, continuitate si recuperare, securitatea lantului de aprovizionare, achizitia si dezvoltarea ICT (inclusiv vulnerability handling), evaluarea eficacitatii, igiena cibernetica si training, criptografie, securitate HR si control acces, multi-factor authentication [C3]. Spre deosebire de telecom, pentru cloud / data centre / CDN exista un Regulament de Implementare propriu — Reg. (UE) 2024/2690 — care concretizeaza Art. 21(2) in 13 sectiuni tehnice: politica de securitate a retelelor si sistemelor informatice; risc-management; tratare incidente; BCM si crisis management; securitatea lantului de aprovizionare; achizitia si dezvoltarea sigura a sistemelor ICT; securitatea retelei; protectie anti-malware; igiena cibernetica si training; control acces; securitatea personalului; asset management; securitate fizica si environmental [C10]. Cadru tehnic uzual: ISO/IEC 27001:2022 + ISO/IEC 27017 (cloud security) + ISO/IEC 27018 (PII cloud); pentru data centre — EN 50600 si TIA-942; pentru baseline cloud — CSA STAR si ENISA Cloud Computing Risk Assessment. Organul de conducere aproba si supravegheaza implementarea (NIS2 Art. 20) — completat prin Legea 124/2025 cu obligatia de instruire profesionala periodica in cibersecuritate pentru membrii organului de conducere [C6][C16].

Reg. (UE) 2024/2690 Art. 7 stabileste, pentru cloud computing service providers, ca un incident e semnificativ daca: (a) serviciul e complet indisponibil > 30 min; (b) disponibilitatea e limitata pentru > 5% din utilizatorii UE ai serviciului sau pentru > 1 milion de utilizatori UE (cel mai mic dintre cele doua), pentru > 1 ora; (c) integritatea / confidentialitatea datelor e compromisa prin actiune malitioasa suspectata; (d) compromiterea afecteaza > 5% sau > 1 mil. utilizatori UE [C9]. Pentru data centre service providers (Art. 8): indisponibilitate completa, sau limitare > 1 ora, sau compromitere fizica a accesului la facilitate [C8]. Pentru CDN (Art. 9): praguri proprii bazate pe trafic si disponibilitate. Procedura de raportare e standard NIS2 Art. 23: early warning catre CSIRT (DNSC) in maxim 24h de la constientizare, notificare detaliata in 72h, raport final in maxim o luna [C4]. In plus, NIS2 Art. 23(2) cere notificarea clientilor / destinatarilor serviciului cand incidentul e probabil sa-i afecteze negativ in furnizarea serviciului contractat — un element-cheie pentru orice operator cloud sau colocation multi-tenant. Lectia din evenimentul Azure West Europe 2025 [I7]: un singur eveniment termic poate scoate offline un cluster regional intreg — monitorizare termica + safety shutdown automat + plan de comunicare cu clientii sunt deja parte din 'masura proportionala'.

Reg. (UE) 2024/2690 Sectiunea 6 (Achizitie si dezvoltare sigura) + Sectiunea 7 (Securitatea retelei) cere izolare logica intre tenanti, izolare hardware unde e necesar pentru workload-uri critice, segmentare retea si separare a planurilor de management vs. data plane [C10]. NIS2 Art. 21(2)(h) (criptografie) impune criptografie de calitate pentru date at-rest si in-transit; Sectiunea 10 din Anexa Reg. 2024/2690 cere politica de criptare cu rotatie de chei + KMS dedicat [C3][C10]. NIS2 Art. 21(2)(j) (autentificare multi-factor) impune MFA pe orice acces la sisteme critice — pe partea operatorului, asta inseamna MFA obligatoriu pe consolele de administrare cloud, jump-host-uri, SSH la hypervisors si la orchestratorii Kubernetes [C3]. Lectia din breach-ul Snowflake 2024 [I6]: operatorul cloud nu poate transfera complet responsabilitatea MFA catre client — modelul de responsabilitate impartita cere ca CSP-ul sa ofere si sa enforceze MFA by default. ENISA Threat Landscape 2024 confirma ca breach-urile pe cloud vin in mare parte din configuratii laxe si MFA absent [C17]. Pentru data centre colocation, izolarea fizica per client (custom cage, locking cabinets, biometric access logs) e standard minim cerut prin Sectiunea 13 (Securitate fizica).

NIS2 Art. 21(2)(d) impune evaluarea si gestionarea riscurilor de securitate cibernetica pe lant-ul de aprovizionare, inclusiv aspecte legate de furnizori directi si terti [C3]. Reg. 2024/2690 Sectiunea 5 detaliaza: inventar de furnizori cu evaluare de criticitate, due diligence pre-contractual, clauze contractuale care impun aceleasi obligatii de raportare incidente catre operator, drepturi de audit, SBOM pentru componente software, monitorizare continua a furnizorilor critici [C10]. Lectia din OVH Strasbourg 2021 [I1] — decizia ulterioara care a obligat OVH la peste 400.000 EUR pentru date pierdute fara backup off-site — demonstreaza ca clauzele standard de exonerare a furnizorului cloud sunt strict limitate sub regimul european. Lectia din CrowdStrike 2024 [I4]: o singura actualizare defectuoasa a unui vendor de securitate a oprit 8,5 milioane de sisteme Windows in 24h; din 11.09.2026 vendorii ICT sunt obligati prin CRA (Reg. (UE) 2024/2847) sa raporteze vulnerabilitatile exploatate in 24h, sa publice SBOM si sa furnizeze updates de securitate pe toata durata de viata a produsului [C14]. Pentru CSP-uri care servesc clienti financiari, DORA Reg. 2022/2554 adauga supraveghere directa daca sunt desemnati CTPP — la 18.11.2025 ESAs au desemnat AWS, Microsoft Azure si Google Cloud printre primii 19 CTPPs [C13].

Reg. (UE) 2024/2690 Sectiunea 13 (Securitate fizica si environmental) impune protectia perimetrului, controlul accesului fizic biometric, monitorizare video, sisteme de detectie incendiu + agent de stingere fara aer-conditionat (FM-200 / Novec / IG-541), redundanta N+1 sau 2N pe alimentare + racire, monitorizare temperatura / umiditate / presiune in sala [C10]. Lectia din OVH Strasbourg 2021 [I1]: incendiul a pornit intr-o camera UPS, designul Eco-Room a transformat fluxul de aer in cos de chimney; cele doua UPS-uri identificate ca origine fusesera in mentenanta recenta. Lectia din Contabo Nuremberg 2024 [I5]: o fluctuatie de tensiune a pornit comutarea pe UPS, dar sistemul de racire nu a repornit dupa restabilirea grid-ului — toate VPS si dedicated servers au fost oprite preventiv pentru a nu depasi 40°C in sala. Lectia din Microsoft Azure West Europe 2025 [I7]: un eveniment termic a oprit toate unitatile de racire -> safety shutdown automat al cluster-elor. Cadru tehnic uzual: EN 50600 (data centre facilities and infrastructures), TIA-942 (Telecommunications Infrastructure Standard for Data Centers), Uptime Institute Tier I-IV. Testare anuala obligatorie a planurilor de continuitate sub NIS2 Art. 21(2)(c) si Sectiunea 4 din Anexa Reg. 2024/2690 [C3][C10].

Tip: Incendiu major intr-un data centre — origine in camera de alimentare (UPS), design Eco-Room a alimentat focul

Impact: SBG2 (2 MW, ~30.000 servere) distrus complet; SBG1 grav avariat; 100 pompieri si 44 vehicule au luptat 6 ore cu incendiul. Sute de mii de site-uri si servicii offline simultan. Class action initiat de peste 140 clienti pentru daune peste 10 mil. EUR; in 2023 o decizie franceza a obligat OVH la peste 400.000 EUR pentru date de backup pierdute, demonstrand ca clauzele standard de exonerare a furnizorului cloud sunt strict limitate sub regimul european.

Lecția: Incident-pivot pentru sectorul. NIS2 Art. 21(2)(c) (continuitate / crisis management) + Sectiunea 13 din Anexa Reg. 2024/2690 (securitate fizica si environmental) cer redundanta N+1 sau 2N pe alimentare + racire, sisteme de detectie si stingere fara aer-conditionat, separare a camerelor de UPS de sala IT. Pentru clienti: backup off-site geo-redundant nu mai e optional — e parte din modelul de responsabilitate impartita.

Tip: Activitate automata de scaling a generat denial-of-service intern pe reteaua AWS

Impact: 7 decembrie 2021, ~10:30 EST: dispozitive de retea ce conectau reteaua interna Amazon cu reteaua AWS s-au supraincarcat; servicii foundationale (DNS intern, autorizare, EC2 control plane, monitorizare) au fost afectate; recuperare completa la 14:22 PST. Clienti afectati la nivel global: Amazon Connect, Disney+, Netflix, Robinhood, Tinder, Coinbase, iRobot, McDonalds app etc.

Lecția: Hyperscaler-i nu sunt imuni. NIS2 Art. 21(2)(b) (tratarea incidentelor) + Sectiunea 3 din Anexa Reg. 2024/2690 (incident handling) cer playbook-uri cu trigger automat pentru izolare cascada. Pentru clientii cloud din RO: arhitectura multi-region + multi-cloud nu mai e exotica — e parte din 'masura proportionala' la riscul de furnizor unic, mai ales daca CSP-ul e desemnat CTPP sub DORA.

Tip: Schimbare pe router-ul Microsoft WAN a declansat re-anuntarea rapida a BGP prefixes -> churn global de routare

Impact: 25 ianuarie 2023, 07:05-12:43 UTC: pierderi de pachete pana la 100% pe rute Azure pentru multe locatii; servicii afectate Azure, Microsoft 365 (Teams, Outlook, SharePoint), Power Platform. Bulk-ul incidentului ~90 min, efecte reziduale a doua zi. Microsoft a explicat ca o comanda pe router a fost propagata in WAN si toate router-ele si-au recomputat adjacency / forwarding tables aproape simultan.

Lecția: Configuration management si change management pe backbone-ul cloud nu sunt proceduri "back-office" — sunt parte din NIS2 Art. 21(2)(e) si Sectiunea 6 din Anexa Reg. 2024/2690 (achizitie / dezvoltare sigura). Pentru un CSP la scara, orice schimbare pe productie cere staged rollout, automated rollback si simulare prealabila pe environment izolat.

Tip: Update defectuos Channel File 291 in Falcon sensor (mismatch 20 vs. 21 input fields, out-of-bounds memory read)

Impact: 19 iulie 2024 — aprox. 8,5 milioane de sisteme Windows blocate (BSOD); cel mai mare outage IT din istorie; sectoare afectate: aviatie (Delta — 7.000 zboruri anulate, ~500 mil. USD pierderi declarate prin 8-K SEC), spitale, banci, retail, guverne. CISA a emis advisory in 19.07.2024; pagube globale estimate la zeci de miliarde USD.

Lecția: Acelasi vendor de securitate prezent pe milioane de sisteme = punct unic de esec. NIS2 Art. 21(2)(d) (lant aprovizionare) + Reg. (UE) 2024/2847 (CRA) cer SBOM, vulnerability disclosure si pre-deployment testing pe orice update kernel-mode. Lectia operationala: kill-switch pentru kernel drivers terti + staged rollout (canary, regional, global) + Microsoft a anuntat ca va muta EDR / antivirus in afara kernel-ului Windows.

Tip: Conturi clienti Snowflake compromise via credentiale furate (infostealer malware) + lipsa MFA pe partea clientului

Impact: Mai-iunie 2024 — sute de instante Snowflake compromise; clienti afectati includ Live Nation / Ticketmaster (declarata in 8-K SEC ~560 mil. inregistrari clienti), Santander, Advance Auto Parts, AT&T (date de apel), Pure Storage, Neiman Marcus, LendingTree. Atacatorul UNC5537 (tracked de Mandiant) a folosit credentiale Snowflake fara MFA.

Lecția: Modelul de responsabilitate impartita are limite reale. NIS2 Art. 21(2)(j) + Sectiunea 10 din Anexa Reg. 2024/2690 cer MFA obligatoriu pe orice acces la sisteme critice — operatorul cloud nu poate transfera complet aceasta responsabilitate clientului. Snowflake a anuntat ulterior ca va enforces MFA by default pe conturi noi. Lectia pentru operatorii cloud din RO: MFA on-by- default este standard minim, nu un feature optional.

Reg. de Implementare (UE) 2024/2690 — masuri tehnice si praguri incident NIS2 pentru cloud, data centre, CDN, DNS, TLD, MSP, MSSP, trust services · Direct aplicabil din 7 noiembrie 2024 (twentieth day after publication in OJ on 18.10.2024) [C8]

Documentul tehnic-juridic central pentru sectorul cloud / data centre / CDN. Anexa contine 13 sectiuni tematice: politica de securitate retele si sisteme; risc-management; incident handling; BCM si crisis management; supply chain; achizitie / dezvoltare sigura ICT; securitate retea; anti-malware; igiena cibernetica + training; control acces; securitate personal; asset management; securitate fizica si environmental [C10]. Pentru raportarea incidentelor, Art. 7 fixeaza pragurile pentru cloud, Art. 8 pentru data centre, Art. 9 pentru CDN [C9]. Aplicare proportionala — "where appropriate, where applicable, or to the extent feasible" — lasa spatiu pentru contextul fiecarui furnizor, dar inseamna si ca DNSC va cere justificare formala pentru orice masura neimplementata.

EU Data Act — Reg. (UE) 2023/2854 · Intra in vigoare 11 ianuarie 2024; complet aplicabil din 12 septembrie 2025; taxele de switching cloud devin interzise din 12 ianuarie 2027 [C12]

Chapter VI introduce obligatii broad de facilitare a switching-ului intre furnizori de servicii data processing (IaaS, PaaS, SaaS) [C12]. Furnizorii trebuie sa elimine bariere tehnice si contractuale, sa asigure portabilitate + interoperabilitate, sa ofere migration / exit processes contractuale si tehnice. Daca standardele lipsesc, e obligatorie exportul fallback intr-un format structurat, machine-readable. Pentru orice CSP roman, asta inseamna revizuirea tuturor contractelor de servicii cloud pana la 12.09.2025 — termen aplicabilitate generala.

DORA — Reg. (UE) 2022/2554 (pentru CSP-urile catre entitati financiare) · Aplicabil din 17 ianuarie 2025; prima lista CTPP publicata 18 noiembrie 2025 (AWS, Azure, Google Cloud, IBM Cloud si alti 15) [C13]

Daca un CSP / data centre din RO serveste banci, asiguratori, IFN-uri sau institutii financiare in UE, intra simultan sub NIS2 (catre DNSC) si DORA (regim de oversight). Furnizorii desemnati Critical ICT Third-Party Providers (CTPPs) sub DORA Art. 31 sunt supravegheati direct de un Lead Overseer (EBA, ESMA sau EIOPA). Clauzele contractuale obligatorii (Art. 30 DORA) sunt mai stricte decat NIS2 — incluzand drepturi de audit fizic la data centre, sub- contracting cu pre-aprobare, exit strategy testabila [C13].

Cyber Resilience Act — Reg. (UE) 2024/2847 · Intra in vigoare 10 decembrie 2024; obligatii de raportare incidente / vulnerabilitati din 11 septembrie 2026; complet aplicabil 11 decembrie 2027 [C14]

CRA acopera produsele cu elemente digitale (PDE) — hardware si software pus pe piata UE. Pentru un operator cloud / data centre, relevanta vine din lant- ul de aprovizionare: orice hypervisor, router, firewall, EDR, agent de monitorizare e PDE si trebuie sa aiba SBOM publicat, vulnerability disclosure, durata de viata clarificata si security updates pe toata durata [C14]. SaaS pur e in mare parte exclus, dar componenta software a unui produs hibrid (ex: aplicatie + cloud back-end) e in scop. Pentru CSP-urile care servesc managed services, CRA e suprapus peste NIS2 Art. 21(2)(d).

EUCS — schema europeana de certificare cibernetica pentru cloud (Cybersecurity Act, Reg. (UE) 2019/881) · Schema in faza de finalizare la ENISA; participare formal voluntara, dar NIS2 + EU Data Act permit Statelor Membre sa impuna utilizarea CSP-urilor EUCS-certificate pentru entitati publice si esentiale [C11]

EUCS introduce patru niveluri de asigurare (Basic, Substantial, High, High+), acopera 121+ controale tehnice si organizationale. Controversa principala — cerinta de imunitate la legi extra-UE (CLOUD Act US, lege similara CN) la nivelul High+ — a intarziat publicarea finala. Pentru operatorii din RO care servesc autoritati publice, parteneri financiari sau date sensibile, EUCS la nivel Substantial sau High va fi un instrument-cheie de competitivitate in 2026-2027 [C11].