Energia este primul sector din anexa nr. 1 a OUG 155/2024 și împarte cu infrastructura digitală cel mai mare scor standard dintre sectoarele private: 95 de puncte pentru o organizație mică. O companie mijlocie ajunge la 190, deci la nivelul important, iar una mare la 285, nivelul esențial, cu 218 controale la autoevaluare.
Cine intră sub NIS2 în energie
Energia are în anexa nr. 1 cinci subsectoare, preluate din Directiva NIS2:
- energie electrică: producătorii, operatorii de transport și de distribuție, furnizorii, operatorii desemnați ai pieței de energie electrică, participanții la piață care oferă servicii de agregare, de consum dispecerizabil sau de stocare a energiei și operatorii punctelor de reîncărcare care oferă servicii de reîncărcare utilizatorilor finali;
- încălzire și răcire centralizată: operatorii de termoficare și de răcire centralizată;
- petrol: operatorii conductelor de transport al petrolului, operatorii instalațiilor de producție, rafinare, tratare, depozitare și transport, precum și entitățile centrale de stocare;
- gaze naturale: furnizorii, operatorii de distribuție, de transport, de înmagazinare și de GNL, întreprinderile din sectorul gazelor naturale și operatorii instalațiilor de rafinare și tratare;
- hidrogen: operatorii de producție, înmagazinare și transport al hidrogenului.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 95 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 190 | important | 133 de controale, prag 3 |
| Mare | esențială | 285 | esențial | 218 controale, prag 3,5 și minimum 3 pe fiecare categorie |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Energie” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru energieCe sisteme intră în evaluare, de la birou la stația de transformare
Într-o companie de energie, evaluarea privește atât rețeaua de birou, cât și sistemele care conduc producția și rețeaua. Intră de obicei:
- sistemele SCADA și de dispecerat, stațiile de transformare și automatizările din teren;
- contorizarea inteligentă și sistemele de citire de la distanță;
- facturarea, portalul pentru clienți și centrul de apel;
- platformele de tranzacționare și de prognoză a producției și a consumului;
- invertoarele și monitorizarea de la distanță a parcurilor fotovoltaice și eoliene;
- conexiunile de mentenanță ale furnizorilor de echipamente.
Atacul asupra Electrica, decembrie 2024
Pe 9 decembrie 2024, grupul Electrica a anunțat un atac cibernetic, pe care DNSC l-a atribuit grupării Lynx Ransomware. Potrivit Ministerului Energiei, ransomware-ul a lovit sistemele IT ale Distribuție Energie Electrică România, iar sistemul SCADA a rămas izolat și funcțional. DNSC a confirmat că sistemele critice pentru alimentarea cu energie nu au fost afectate.
Diferența a făcut-o separarea. Când rețeaua operațională este izolată de cea de birou, un ransomware în IT înseamnă facturi întârziate și un centru de apel încărcat, nu consumatori fără curent.
DNSC a recomandat atunci companiilor să-și scaneze infrastructura după fișierul malițios, să izoleze sistemele afectate, să păstreze nota de răscumpărare și jurnalele și să restaureze din copii de rezervă doar după curățarea completă. Sunt măsurile pe care NIS2 le cere pregătite dinainte: plan de răspuns la incidente, jurnale păstrate și copii de rezervă testate.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
În energie, prioritatea este ca un incident în IT să rămână în IT. Începem de obicei cu:
- PenTest extern și intern, care verifică dacă rețeaua de birou ajunge la sistemele operaționale și ce este expus din internet, cu rapoarte în 48 de ore de la finalizarea scanării; testarea OT se planifică separat, cu operatorul;
- SOC 24/7/365, care urmărește și conexiunile dintre IT și OT, inclusiv accesul furnizorilor;
- Proton Workspace, pentru e-mailul și documentația tehnică, criptate în tranzit și în stocare, cu acces zero.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
Un parc fotovoltaic intră sub NIS2?
Da, dacă firma care îl operează este mijlocie sau mare: producătorii de energie electrică sunt în anexa nr. 1. Mărimea se stabilește după Legea nr. 346/2004, care ține cont și de întreprinderile partenere sau legate. De aceea, o firmă de proiect mică dintr-un grup mare trebuie analizată atent, nu exclusă din oficiu.
O rețea de stații de încărcare pentru mașini electrice intră?
Operatorii punctelor de reîncărcare care oferă servicii utilizatorilor finali sunt în anexa nr. 1, la energie electrică. Contează firma care răspunde de administrarea și operarea stațiilor, iar regula de mărime se aplică la fel.
Un furnizor de energie fără rețea proprie intră?
Da. Furnizarea de energie electrică și de gaze naturale este în anexă, chiar dacă firma nu deține infrastructură. Evaluarea se concentrează atunci pe facturare, pe platformele de tranzacționare și pe datele clienților.
Operatorul de termoficare al orașului intră?
Da, operatorii de termoficare sunt un subsector al energiei. Se încadrează după mărimea companiei, indiferent dacă este privată sau a autorității locale.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc · Agerpres, atacul asupra Electrica, 11 decembrie 2024.