✈️NIS2 pentru Transport aerian — termene, obligații, amenzi

NIS2 Art. 21(2) impune cele zece masuri minime (a-j) — analiza de risc, gestiunea incidentelor, continuitate, securitatea lantului de aprovizionare, MFA, criptografie, training, evaluare a eficacitatii — abordare all-hazard, aliniate pe standarde europene si internationale, inclusiv ISO/IEC 27001 si ISO/IEC 27002 [C3]. Pe latura aviatica, Part-IS suprapune cerinte specifice: Information Security Management System (ISMS) cu risc-assessment (IS.I.OR.205), risc-treatment (IS.I.OR.210), detectie si raspuns (IS.I.OR.220), Information Security Management Manual (ISMM) si retentie de 5 ani a inregistrarilor [C7]. Organul de conducere aproba si supravegheaza implementarea (NIS2 Art. 20), poate fi tinut responsabil pentru incalcari [C15]. Pentru operatorii aeroportuari din Romania, AACR este autoritatea care monitorizeaza conformitatea Part-IS, in cooperare cu DNSC pe componenta de cybersecurity training (Modulele 27 si 28 din PNPSAC) [C18].

Pentru o entitate aviatica acoperita simultan de NIS2 si Part-IS, acelasi eveniment poate declansa doua fluxuri de raportare paralele. NIS2 Art. 23: early warning catre CSIRT (DNSC) in maxim 24h de la constientizare, notificare incident in 72h, raport final in maxim o luna [C4]. Part-IS IS.I.OR.230: notificare catre autoritatea competenta (AACR pentru entitati romanesti) in maxim 72h de la incident cu impact pe siguranta aviatiei, plus rapoarte de follow-up [C7]. In plus, Reg. (CE) 300/2008 si ICAO Annex 17 cer raportarea evenimentelor de unlawful interference, inclusiv cibernetice, prin canalele de securitate aviatica (in Romania: Ministerul Transporturilor + AACR) [C12][C13]. Un CISO de aeroport are nevoie de un singur runbook care alimenteaza, in paralel, formularul DNSC + formularul AACR + raportarea catre EATM-CERT EUROCONTROL daca incidentul afecteaza ATM [C14].

Industria aeronautica functioneaza pe lanturi adanci: avionica, software de bord, sisteme ATM, software de check-in (vMUSE, Altea), platforme de bag drop, sisteme PSS (Passenger Service Systems), sisteme de mentenanta MRO. Incidentele recente confirma blast-radius-ul lantului: ransomware Collins Aerospace (septembrie 2025) a oprit check-in la Heathrow, Bruxelles si Berlin Brandenburg, fortand procesare manuala timp de ore [I1]; SITA in 2021 a expus date pentru 4,5 milioane de pasageri Air India [I3]; LockBit la Boeing in 2023 a scurs 50 GB de date din parts and distribution [I2]. NIS2 Art. 21(2)(d) cere evaluarea furnizorilor critici, clauze contractuale, monitorizare continua [C3]. Pentru Part-IS, operatorul ramane responsabil chiar daca delega functii ICT/ISMS — IS.I.OR.235 [C7]. Recomandare practica: SBOM pentru avionica si software de aeroport, clauze de notificare <24h in contracte, exit strategy pentru hyperscalere si furnizori PSS.

Aviatia este 24/7, cu marja zero pentru downtime in ATM si redusa in operare aeroportuara. NIS2 Art. 21(2)(c) cere business continuity, backup management si crisis management [C3]. ICAO Doc 10213 (Global Cyber Risk Considerations) si Strategia EUROCONTROL de Cybersecurity anticipeaza ca atacurile vor avea loc — accentul cade pe reducerea magnitudinii si duratei impactului [C13][C14]. Pentru ANSP-uri (ROMATSA), EATM-CERT colecteaza si distribuie cyber intelligence, coordoneaza raspuns paneuropean, suporta CERT-urile nationale [C14]. Lectia din Air Serbia 2025: lipsa log-urilor de securitate a impiedicat determinarea timpului exact de intruziune; planuri de continuitate care nu au fost testate pe runbook real nu functioneaza sub presiune [I6]. RTO/RPO documentate per functie critica (ATC, supraveghere, comunicatii, check-in, bag drop, AODB, BHS) si testare anuala minim.

NIS2 Art. 20 cere ca organul de conducere sa aprobe masurile de risc-management, sa supravegheze implementarea si poate fi tinut responsabil pentru incalcari; Statele Membre pot impune interdictii temporare de exercitare a functiilor de conducere pentru entitati esentiale [C15]. In Romania, OUG 155/2024 a transpus aceste prevederi [C6]. Part-IS adauga figura 'accountable manager' (manager responsabil) — persoana cu autoritate sa asigure resursele si politica de securitate [C7]. Specific aviatic: AACR, in consultare cu DNSC, stabileste continutul Modulului 27 (Cybersecurity awareness training) si Modulului 28 (Specific cybersecurity training) din Programul National de Pregatire in Securitatea Aviatiei Civile (PNPSAC) [C18]. Pentru entitatile esentiale, training periodic obligatoriu pentru personal cu acces la sisteme critice (turn de control, AODB, BHS, sisteme de securitate aeroportuara, sisteme MRO).

Tip: Ransomware (revendicat de gruparea Everest) pe sistemul de check-in si bag drop

Impact: Atac inceput pe 19 septembrie 2025; ENISA a confirmat oficial ca a fost ransomware. Sute de zboruri anulate si intarzieri majore, aeroporturile au revenit la procesare manuala. Bruxelles a cerut anularea a aproape jumatate din zboruri intr-o zi; Heathrow a operat aproape de normal prin contingencies. UK NCA a arestat un suspect in West Sussex sub Computer Misuse Act.

Lecția: Furnizor unic ICT pe functie operationala critica = punct unic de cadere multi-aeroport. NIS2 Art. 21(2)(d) si Part-IS supply chain (IS.I.OR.235) cer evaluare concentrare, clauze de notificare rapida si planuri de bypass manual testate periodic.

Tip: Ransomware LockBit, exploat CVE-2023-4966 (CitrixBleed)

Impact: Listat pe site-ul de leak LockBit pe 28 octombrie 2023; Boeing confirma intruziunea pe 2 noiembrie 2023; pe 10 noiembrie 2023, LockBit dumpa ~50 GB de date dupa esuarea negocierilor. Impact pe lantul de aprovizionare al partilor de aeronava.

Lecția: Patch-management pe vulnerabilitati cunoscute (Citrix Bleed avea fix din 10 octombrie 2023). NIS2 Art. 21(2)(e) si Part-IS IS.I.OR.205 cer gestionarea vulnerabilitatilor in timp util, cu trecere prin scope critic (production, sisteme expuse Internet).

Tip: Atac cibernetic 'highly sophisticated but limited' identificat pe 24 februarie 2021

Impact: Air India a confirmat 4,5 milioane de pasageri afectati cu date din intervalul 26 august 2011 - 3 februarie 2021: nume, data nasterii, pasaport, ticket, status frequent flyer. SITA are peste 2.500 de clienti aviatie in 200+ tari. Air India a publicat statement-ul cu numirea SITA abia pe 15 mai 2021 — intarziere de comunicare de cinci saptamani.

Lecția: Furnizor PSS = single point of failure pentru zeci de airlines. NIS2 Art. 23 cere notificare catre CSIRT in 24h/72h; intarzierea de cinci saptamani Air India ar fi cumulat azi sanctiuni atat NIS2 cat si GDPR (Art. 33).

Tip: DDoS hacktivist KillNet / Anonymous Sudan / Anonymous Russia

Impact: Februarie 2023: site-uri publice ale aeroporturilor germane oprite, fara impact pe zboruri sau pe sisteme operationale. Aprilie 2023: 'maraton EUROCONTROL de 100 ore' anuntat de KillNet; comunicatiile interne si externe afectate pentru 2.000 angajati care au trecut pe canale comerciale; siguranta traficului aerian neafectata. Cazuri similare in Statele Unite (octombrie 2022) si Germania (ianuarie 2023).

Lecția: DDoS hacktivist pro-rus = vector recurent pe public-facing sites din transport. Anti-DDoS la edge, WAF pentru aplicatii publice, segregarea retelelor publice de cele operationale — cerinte minime NIS2 Art. 21(2)(a) si (e).

Tip: Cyberattack cu compromis Active Directory

Impact: Memo intern din 10 iulie 2025 amana distribuirea fluturasilor de salariu iunie 2025; salariile platite dar PDF-urile inaccesibile. Pe 14 iulie 2025, echipa interna nu reusise eradicarea acceselor; lipsa de log-uri de securitate impiedica determinarea timpului exact de intruziune, estimat in primele zile din iulie 2025. Risc inalt de compromis date personale.

Lecția: Loguri si telemetrie pe AD = preconditie pentru investigatie. NIS2 Art. 21(2)(a) (analiza de risc) si (i) (monitoring) cer logging centralizat cu retentie suficienta. Daca nu poti raspunde la 'cand a intrat atacatorul?', nu poti respecta Art. 23 (early warning 24h).

Reg. Delegat (UE) 2022/1645 (Part-IS Delegated) · Direct aplicabil din 16 octombrie 2025; nu necesita transpunere nationala [C8]

Pentru organizatii de proiectare si productie (Part-21) si operatori de aerodroame (Part-ADR) plus apron management service providers. Pentru CN Aeroporturi Bucuresti, AIBC Cluj, AITS Timisoara, Aeroportul Iasi — Part-IS Delegated devine cadrul tehnic principal pe ISMS aviatic.

Reg. Impl. (UE) 2023/203 (Part-IS Implementing) · Direct aplicabil din 22 februarie 2026; nu necesita transpunere nationala [C7]

Pentru organizatii Part-145 (mentenanta), Part-CAMO, Part-ORO (operatori aerieni, dar AOC direct exclus), Part-ATCO (training controlori), Part-ATM/ANS (ROMATSA), ATO (training). ISMM obligatoriu, retentie inregistrari 5 ani, raportare 72h la AACR pentru evenimente cu impact pe siguranta. Romaero (Part-145) si zona MRO a TAROM intra in scope.

Reg. (CE) 300/2008 — aviation security (anti-unlawful interference) · Aplicabil de la 11 martie 2008; programe nationale in Romania prin PNSAC + PNPSAC [C12]

Cadrul de baza pentru protectia aviatiei civile impotriva actelor de interferenta ilicita, inclusiv cibernetice (prin amendamentele ulterioare). In Romania: Programul National de Securitate a Aviatiei Civile (PNSAC) + Programul National de Pregatire (PNPSAC), gestionate de Ministerul Transporturilor si AACR. Modulele cibernetice 27 si 28 (consultate cu DNSC).

Reg. (UE) 2018/1139 — EASA Basic Regulation · Direct aplicabil din septembrie 2018 [C11]

Regulamentul de baza al EASA, sub care sunt emise toate sub-regulamentele Part-* (Part-145, Part-CAMO, Part-ORO, Part-ATCO, Part-ATM/ANS, Part-ADR, Part-21) plus Part-IS. Pentru orice entitate aviatica romaneasca, conformitatea tehnica trece prin acest regulament + sub-acte.

ICAO Annex 17 — Security (Safeguarding Civil Aviation Against Acts of Unlawful Interference) · Standard international SARPs; implementat in UE prin Reg. (CE) 300/2008; in Romania prin AACR [C13]

Standard 4.9.1 si Doc 8973 Chapter 18 acopera explicit amenintarile cibernetice. Doc 10213 (Global Cyber Risk Considerations) furnizeaza ghidare pentru analiza de risc cibernetic in aviatie. ICAO + EASA + EUROCONTROL formeaza triunghiul de coordonare pentru ANSP-uri si aeroporturi din UE.