Ghid complet de conformitate NIS2/OUG 155/2024 pentru bănci, casse de economii și instituții de credit supuse supravegherii bancarenationale. Aflați obligațiile critice de securitate cibernetică, raportare de incidente și gestionare a riscurilor ICT în etapa actuală de aplicare și conformare.
DNSC clasifică entitățile ca esențiale sau importante în baza OUG 155/2024, inclusiv în sectorul bancar, unde întreprinderile mari sunt în general esențiale, iar cele mijlocii importante, în funcție de criterii specifice; BNR cooperează cu DNSC privind schimbul de informații referitoare la incidente DORA, fără a stabili clasificarea NIS2.
Instituția trebuie să implementeze și să mențină documentat un cadru complet de gestionare a riscurilor ICT, conform Regulamentului DORA (Capitolul III din OUG 155/2024 nu se aplică entităților reglementate DORA). Acest cadru include identificarea și evaluarea periodică a amenințărilor cibernetice specifice operațiunilor de plată și gestionării depozitelor, cu revizuiri cel puțin anuale și actualizări după incidente semnificative.
Orice incident major de securitate cibernetică trebuie raportate în avertisment inițial către DNSC și BNR în maximum 24 de ore, urmat de notificarea completă în maximum 72 de ore. Incidentele majore includ cele care afectează disponibilitatea serviciilor critice, integritatea datelor clienților sau confidențialitatea informațiilor financiare.
Instituția are obligația de a evalua riguroasă și contractuală securitatea tuturor furnizorilor terți de servicii ICT critice, inclusiv fintech-urile integrate, platforme de plăți și soluții cloud. Contractele trebuie să includă clauze de audit al securității, clauze de denunțare imediată la breșe și restricții asupra subcontractării fără aprobări prealabile.
Testele de penetrare și evaluările de vulnerabilități se efectuează asupra sistemelor critice (sisteme core banking, platforme de plăți, servicii de depozite). Raporturile trebuie documentate intern și o sinteză executivă trebuie comunicată BNR la cerere, cu evidență a remedierii vulnerabilităților critice.
Obligațiile ICT ale băncilor sunt reglementate de DORA, nu de Capitolul III din OUG 155/2024; nu există o raportare duală NIS2+DORA. Aceasta înseamnă conformitate cu cerințele de raportare, clasificare a incidentelor și gestionare a riscurilor operaționale digitale către autoritatea competentă BNR, conform DORA.
Instituția trebuie să raporteze o avertismare inițială către DNSC și BNR în maximum 24 de ore de la descoperirea incidentului. Notificarea completă, cu detalii tehnice și impact assessment, trebuie transmisă în maximum 72 de ore. Nerespectarea acestor termene poate atrage penalități de până la €10 milioane sau 2% din cifra de afaceri anuală.
Banca poartă responsabilitate deplină pentru conformitatea celui de-al treilea furnizor. Trebuie efectuată o evaluare de conformitate și renegocierea contractului cu clauze NIS2-specifice. Dacă furnizorul refuză sau nu poate demonstra conformitate, instituția trebuie să înceapă procesul de migrare sau înlocuire și să raporteze situația BNR.
Pentru entități esențiale, plafonul general al amenzilor NIS2 este de €10 milioane sau 2% din cifra de afaceri anuală mondială, ceea ce este mai mare. Pentru bănci însă, gestionarea riscurilor ICT și raportarea incidentelor nu intră sub Capitolul III din OUG 155/2024, ci sub DORA, iar nerespectarea acestor obligații este sancționată de BNR, ca autoritate competentă, conform regimului DORA.