🔏NIS2 pentru Trust Service Providers (TSP / QTSP) — termene, obligații, amenzi

TSP-urile sunt unul dintre cele 8 grupuri de furnizori explicit acoperite de Reg. (UE) 2024/2690 — primul regulament de implementare al NIS2, adoptat pe 17 octombrie 2024 cu intrare in vigoare la a 20-a zi de la publicare [C9]. Anexa regulamentului detaliaza 13 titluri tehnice (policy securitate, risc, incident handling, BCM, supply chain, securitate in achizitie, anti-malware, securitate retea, criptografie, securitate fizica/mediu, personal, asset management, control acces) plus o sectiune specifica de criptografie aliniata cu standardele europene si internationale (ETSI EN 319 401, ETSI EN 319 411-1, ETSI EN 319 411-2) [C11]. Art. 14 stabileste praguri tari specifice TSP pentru ce inseamna "incident semnificativ": indisponibilitate >1 ora/saptamana, >1% sau >200.000 utilizatori afectati, compromis acces fizic la zone restrictionate, sau impact pe integritate/confidentialitate/autenticitate la >0,1% sau >100 utilizatori [C10]. Acestea sunt praguri stricte, mai joase decat pentru cloud, DNS si MSP, datorita naturii de "lant de incredere global" — un certificat compromis poate fi folosit pentru MITM in tot ecosistemul european.

QTSP-urile sunt obligate prin Art. 20(1) din Reg. (UE) 910/2014 sa fie auditate la fiecare 24 luni pe propria cheltuiala de catre un conformity assessment body acreditat (CAB) [C12]. Raportul de audit este transmis catre supervisory body (in Romania - ADR) pentru recunoasterea sau mentinerea statutului calificat. In paralel, Art. 19 din eIDAS (modificat de Reg. (UE) 2024/1183) cere notificarea catre supervisory body in maxim 24h de la constientizare pentru orice breach de securitate sau pierdere de integritate cu impact semnificativ [C8][C12]. NIS2 Art. 23 suprapune un al doilea flux: early warning catre CSIRT (DNSC) in 24h, notificare detaliata in 72h, raport final in maxim o luna [C4]. In practica, operatorii TSP romani trimit un singur runbook care alimenteaza ambele autoritati (ADR si DNSC). Esecul de a respecta oricare din cele doua ferestre poate atrage atat sanctiunile NIS2 Art. 34 (pana la 10 mil. EUR sau 2% cifra de afaceri pentru entitati esentiale) [C5], cat si pierderea statutului calificat de pe Trusted List.

Reg. (UE) 2024/1183 (eIDAS 2.0, adoptat 11 aprilie 2024) modifica Reg. (UE) 910/2014 si introduce EUDI Wallet ca pilon central al identitatii digitale UE [C8]. Cele patru regulamente de implementare adoptate pe 28 noiembrie 2024 si publicate pe 4 decembrie 2024 detaliaza cerintele tehnice: Reg. 2024/2977 (person identification data si electronic attestations of attributes), Reg. 2024/2978 (notificari), Reg. 2024/2979 (integritate si functionalitati de baza ale wallet-ului), Reg. 2024/2980 (protocoale si interfete) [C13]. Pentru TSP operationali in Romania, asta inseamna doua linii noi de business critice: (a) emitere de Qualified Electronic Attestations of Attributes (QEAA) care vor fi consumate de EUDI Wallet-urile cetatenilor; (b) certificate pentru Relying Parties care vor accepta atestari din wallet. Statele Membre sunt obligate sa puna la dispozitie portofele digitale catre cetateni pana la sfarsitul 2026 — asta inseamna ca QTSP-urile romani trebuie sa fie pregatite operational pentru acest val de cerere pana atunci [C13].

ENISA + JRC + 18 agentii nationale UE au publicat in noiembrie 2024 un statement comun care identifica tranzitia infrastructurilor critice catre post-quantum cryptography pana in 2030 ca prioritate maxima, cu solutii hibrid (clasic + post-quantum) ca pas obligatoriu de tranzitie [C16]. Pentru TSP, asta inseamna planificarea de la ROOT CA / Intermediate CA pana la subscriber certificates: (a) audit complet al algoritmilor si lungimilor de chei in toate lant-urile active; (b) selectie de algoritmi post-quantum (ML-KEM, ML-DSA, FALCON, SLH-DSA din standarde NIST FIPS 203-205 publicate august 2024); (c) plan de migrare hibrid - certificate cu doua semnaturi (clasica + PQ) sau certificate dual-stack; (d) compatibilitate cu eIDAS 2.0 Art. 5a si cu specificatiile EUDI ARF. NIS2 Art. 21(2)(h) impune deja "policies and procedures regarding the use of cryptography" ca masura minima, iar Reg. 2024/2690 detaliaza ce inseamna asta operational [C3][C9]. Pentru piata enterprise care vrea identitate hibrida post-quantum native, CAI Technology ofera CAI-AUTH ca SDK identity provider cu suport criptografic hibrid (vezi cai_products_relevant).

Cele mai multe incidente in lantul global de TSP au fost cauzate de furnizori compromisi (Comodo 2011 [I2], DigiNotar 2011 [I1]) sau de afiliati Registration Authority cu controale slabe. NIS2 Art. 21(2)(d) si Reg. 2024/2690 (titlul Supply chain security) impun TSP-urilor sa documenteze, sa evalueze si sa controleze toti furnizorii directi - inclusiv producatorii de HSM, vendorii de software CA, partenerii RA si dezvoltatorii de middleware [C3][C9]. Lectiile Symantec 2017 [I4] si Entrust 2024 [I5] arata ca incalcari sistemice de baseline requirements (CA/Browser Forum + ETSI EN 319 411) pot duce la distrust browser-level - iar pe TSP roman care depinde de chain catre browsere, un distrust al unui CA upstream e echivalent cu pierderea de business. Controale concrete: autentificare cu MFA pentru orice RA / partner; logging si audit trails complete; HSM-uri certificate Common Criteria EAL4+ sau FIPS 140-3 Level 3+; contracte cu obligatii NIS2-clone pentru subcontractori - NIS2 Art. 21(2)(d) cere asta direct [C3].

Tip: Compromitere CA root + emitere de 531 de certificate frauduloase folosite pentru MITM pe servicii Google in Iran

Impact: Atacatorii (un actor numit "ComodoHacker", revendicat iranian, atribuit ulterior drept state-sponsored) au compromis DigiNotar in iunie 2011 si au emis certificate pentru google.com, skype.com, addons.mozilla.org, microsoft update si altele. Aproximativ 300.000 de utilizatori iranieni Gmail au fost expusi la MITM. DigiNotar a intrat in faliment in septembrie 2011 - prima CA majora UE care a cazut din cauza unei compromiteri operationale. ENISA a publicat raportul "Operation Black Tulip" - referinta inca activa pe pagina ENISA in 2024.

Lecția: DigiNotar nu rula anti-virus pe servere si nu avea segregare de retea care sa blocheze deplasarea laterala dupa initial compromise. NIS2 Art. 21(2)(b) (incident handling), (e) (network security) si (i) (asset management) acopera exact aceste cerinte; Reg. 2024/2690 le detaliaza pe titluri tehnice [C3][C9]. Lectia pentru QTSP-uri romani: anuntarea targetelor de status "compromised" trebuie sa fie activa, multi-tiered, cu segregare a retelei CA fata de toate celelalte sisteme.

Tip: Compromis Registration Authority afiliat + emitere 9 certificate frauduloase pentru 7 domenii

Impact: Pe 15 martie 2011, un RA afiliat in sudul Europei (InstantSSL.it) a fost compromis; atacatorii au emis certificate frauduloase pentru mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.com si login.live.com. Atacul a fost atribuit unei adrese IP din Iran. Comodo a accelerat rolling-out MFA pentru toti resellerii; 2 RA-uri suplimentare au fost compromise ulterior dar fara emitere de certificate noi.

Lecția: Incidentul a aratat ca punctul de risc nu e doar CA-root, ci si lantul de RA afiliati. NIS2 Art. 21(2)(d) (supply chain) si (j) (MFA pe toate accesele administrative) sunt exact ce a lipsit Comodo in 2011 [C3]. Pentru QTSP-urile romani cu retea de parteneri RA/business agents - contract clauses NIS2-clone, audit periodic, MFA obligatorie, logging centralizat.

Tip: Mis-issued intermediate CA certificate (eroare procedurala) folosit pentru MITM pe *.google.com

Impact: Pe 24 decembrie 2012, Google a detectat un certificat fraudulos pentru "*.google.com" emis de un intermediate CA legat de TURKTRUST. Cel putin un intermediate certificate a fost folosit pentru "MITM traffic management" pe domenii pe care clientul nu le detinea. Google, Mozilla si Microsoft au actionat coordonat - Chrome update pe 25 decembrie, Firefox a suspendat root certificatul, Windows a actualizat Certificate Trust List.

Lecția: Un intermediate CA certificate emis gresit are autoritatea completa a CA-root — adica poate emite certificate pentru ORICE domeniu. NIS2 Art. 21(2)(e) (acquisition, development, maintenance) + Reg. 2024/2690 (Cryptography si Access Control) impun controale stricte de procedura pe orice emitere de intermediate sau cross-certificate. Pentru QTSP-uri romani: separation of duties, dual-control pe orice operatie CA-root.

Tip: Mis-issuance sistemica (initial 127 certificate, scope final >30.000 certificate pe ani)

Impact: Google Chrome a anuntat in martie 2017 un investigation impotriva Symantec dupa o serie de esecuri de validare; scope-ul a crescut de la 127 la peste 30.000 de certificate. Google a anuntat distrust incremental peste versiunile Chrome 66+ (martie/aprilie 2018), retragerea statutului EV si validitate maxima de 9 luni (279 zile) pentru certificate noi. Symantec a vandut business-ul CA catre DigiCert in 2017 - efectiv exit din market.

Lecția: Pentru o CA, mis-issuance la scara mare e fatal - browser distrust echivaleaza cu pierderea totala a business-ului. ETSI EN 319 411-1 si Reg. 2024/2690 (titlul "Security in acquisition") + Art. 14 (praguri TSP) sunt cadrul minim de monitoring. Pentru QTSP romani, monitorul continuu pe CT logs (Certificate Transparency), alerting pe orice emitere in afara perimetrului si auditing automatic e baseline-ul actual.

Tip: Pattern de compliance failures: revocari intarziate, lipsa incident reports, erori administrative

Impact: Google a anuntat pe 28 iunie 2024 distrust al certificatelor Entrust emise dupa 31 octombrie 2024 (incepand cu Chrome 127). Mozilla a urmat pe 1 august 2024 cu distrust dupa 30 noiembrie 2024 in Firefox. Microsoft si Apple urmau sa puna in aplicare masuri similare. Entrust a parteneriat cu SSL.com si actioneaza acum efectiv ca Registration Authority care revinde certificate SSL.com. Istoric, nici una din cele 14 CA distrustui-te public nu a reusit sa recupereze increderea.

Lecția: Lectia 2024 este ca distrust-ul nu mai e pus pe pauza pentru CA mari - Google si Mozilla acum aplica criterii strict standardizate. NIS2 Art. 21(2)(b) (incident handling) + eIDAS Art. 19 (notificare 24h) + Reg. 2024/2690 Art. 14 (praguri TSP) toate impun un raportaj proactiv si transparent. Pentru QTSP romani: incident response runbook integrat ADR + DNSC, plus monitorul activ al feedback-ului din browser root programs (Mozilla Root Store Policy, CCADB - Common CA Database).

Regulamentul (UE) 910/2014 (eIDAS 1.0) - cadrul de baza al serviciilor de incredere · Direct aplicabil din 1 iulie 2016; consolidat 18 octombrie 2024 cu amendamentele introduse de Reg. 2024/1183 si NIS2 [C8]

Cadrul material de baza pentru TSP/QTSP. Art. 19 (notificare incidente 24h), Art. 20 (audit conformity assessment la 24 luni), Art. 21-24 (cerinte specifice pentru certificate calificate de semnatura/sigiliu/website authentication), Art. 25-34 (timestamp + e-delivery), Art. 35-40 (semnaturi/sigilii) raman direct aplicabile. NIS2 nu inlocuieste eIDAS, ci se suprapune pe cybersecurity. Audit eIDAS = ETSI EN 319 401 + EN 319 411-2 + ETSI TS 119 403.

Regulamentul (UE) 2024/1183 (eIDAS 2.0) - European Digital Identity · Adoptat 11 aprilie 2024, publicat in OJ 30 aprilie 2024, in vigoare 20 mai 2024 [C8]

Modifica Reg. 910/2014 si introduce EUDI Wallet + categorii noi de servicii de incredere calificate: electronic ledgers, electronic attestations of attributes (QEAA), remote signing services. Recital 50 aliniaza obligatiile de cybersecurity ale TSP cu Directiva NIS2 [C8]. In practica, orice QTSP roman care vrea sa serveasca cazul de EUDI Wallet (certificate pentru wallet provider, QEAA pentru atributele utilizatorului) trebuie sa fie deja in conformitate cu cadrul NIS2 + eIDAS 2.0 + 4 implementing acts (2024/2977-2980).

Regulamentul (UE) 2024/2690 - masuri tehnice NIS2 (acopera TSP direct) · Adoptat 17 octombrie 2024, in vigoare 7 noiembrie 2024 (a 20-a zi dupa publicare) [C9]

Spre deosebire de telecom, TSP-urile SUNT acoperite explicit de Reg. 2024/2690. Anexa contine 13 titluri tehnice care fac operational Art. 21(2) NIS2; Art. 14 stabileste praguri stricte specifice TSP pentru ce inseamna "incident semnificativ" (>1 ora indisponibilitate, >1% sau >200.000 utilizatori afectati etc.) [C10]. DNSC va folosi acest regulament direct in audituri NIS2 pe TSP.

Cyber Resilience Act - Regulamentul (UE) 2024/2847 · In vigoare 10 decembrie 2024; raportare obligatorie din 11 septembrie 2026; obligatii principale aplicabile din 11 decembrie 2027 [C17]

CRA se aplica produselor cu elemente digitale - inclusiv software-ul CA, HSM firmware-ul, middleware-ul pentru semnatura electronica, aplicatiile EUDI Wallet [C17]. Pentru TSP, asta inseamna o a doua diligenta de supply chain: orice produs cu elemente digitale folosit in lant trebuie sa fie CE-marked conform cerintelor CRA - ceea ce schimba radical contractele cu vendori HSM si software providers. Combinatia NIS2 (procese) + CRA (produse) inchide bucla.

ETSI EN 319 401, EN 319 411-1, EN 319 411-2 + ETSI TS 119 403 · Standarde tehnice europene armonizate; non-legale dar referinta de audit pentru CAB-uri si supervisory bodies [C11]

EN 319 401 (general policy requirements TSP) + EN 319 411-1 (certificate issuance) + EN 319 411-2 (EU qualified certificates) constituie pachetul tehnic pe baza caruia CAB-urile auditeaza QTSP-uri. ENISA a aliniat Reg. 2024/2690 cu aceste standarde - 13 titlurile tehnice ale anexei sunt direct mapate. Versiunile curente: EN 319 401 V3.2.1 (ianuarie 2026), EN 319 411-1 V1.5.1 (aprilie 2025), EN 319 411-2 V2.6.1 (iunie 2025) [C11].