Acest ghid se adresează operatorilor de colectare și procesare a deșeurilor (municipali, industriali și periculoși) clasificați ca entități importante sub NIS2. Veți afla ce obligații de securitate cibernetică trebuie implementate, cum să raportați incidentele în termenele legale și cum să evitați penalitățile de până la 7 milioane EUR.
Orice operator de colectare, transport și procesare a deșeurilor municipale, industriale sau periculoși care furnizează servicii esențiale și deține sisteme IT critice (flote de colectare, sisteme de urmărire a deșeurilor periculoase, platforme de gestiune rutelor). Entitățile care nu sunt furnizori de servicii esențiale dar procesează deșeuri periculoase cu impact asupra mediului și sănătății publice intră sub clasificarea de entități importante conform OUG 155/2024.
Trebuie să implementați controale tehnice și organizatorice pentru toate sistemele IoT montate pe vehicule de colectare (senzori GPS, sisteme de urmărire a capacității containerelor, dispozitive de comunicație). Acestea trebuie să funcționeze cu autentificare puternică, criptare end-to-end și monitoring continuu al anomaliilor pentru a preveni interceptarea datelor de locație și comandelor de operare.
Toate documentele digitale privind compoziția, transportul și eliminarea deșeurilor periculoase trebuie stocate într-un mediu cu control acces bazat pe roluri, audit log complet și criptare a datelor în repaus. Accesul la aceste informații trebuie limitat strict la personalul autorizat și trebuie documentat fiecare consultare pentru conformitate cu reglementările de mediu și securitate cibernetică.
Orice incident care compromite disponibilitatea sau integritatea sistemelor de rutare, colectare sau urmărire a deșeurilor periculoase trebuie raportat autorității (DNSC) în termen de 24 de ore ca avertisment urgent, urmat de notificare completă în maxim 72 de ore. Aceasta include atât atacurile externe cât și defecțiunile cauzate de lipsa de patch-uri de securitate sau misconfigurări.
Trebuie să stabiliți și să auditați contracte de securitate cu toți furnizorrii de hardware și software IoT (senzori, gateway-uri, platforme cloud). Obligații concrete includ: verificarea originii pieselor, managementul vulnerabilităților în ciclul de viață al dispozitivelor, și clauzule contractuale care impun actualizări de securitate regulare și notificarea imediată în caz de descoperire de vulnerabilități.
Trebuie să documentați proceduri detaliate de gestionare a întreruperilor serviciilor de colectare cauzate de atacuri cibernetice, inclusiv: timpii de recuperare obiectivi (RTO), niveluri de recuperare acceptabile (RPO), contactele de urgență și canalele de raportare către DNSC. Planul trebuie testat anual prin simulări și revizuit dacă sistemele critice sunt modificate.
Aceasta este incident de securitate cibernetică care afectează serviciu esențial. Trebuie să anunțați DNSC în termen de 24 de ore cu detalii preliminare (tip atac, sisteme afectate, impactul asupra colectării), apoi notificare completă în maxim 72 de ore. Neraportarea în termen atrage amendă de până la 7 milioane EUR sau 1,4% din cifra de afaceri anuală.
Manifeste digitale trebuie stocate în sistem cu control acces bazat pe roluri (doar personalul de transport și eliminare autorizat poate accesa), criptare a datelor în repaus, și audit log complet care înregistrează cine, când și ce informații a consultat. Orice modificare a datelor trebuie auditată și trasabilă pentru a proba conformitate cu regulamentele de mediu și NIS2.
Pentru entități importante (cum sunteți dumneavoastră), penalitățile maxime sunt 7 milioane EUR sau 1,4% din cifra de afaceri anuală globală. Acestea se aplică pentru neimplementare a măsurilor de securitate esențiale, neraportare de incidente în termenul de 72 ore, sau neglecta obligațiilor de audit și testare a planurilor de răspuns la incidente. DNSC va efectua inspecții și teste de penetrare pentru a verifica conformitate.