Fabricarea este în anexa nr. 2 a OUG 155/2024 și are o definiție îngustă: intră doar producătorii de dispozitive medicale și ramurile din diviziunile C26–C30 ale clasificării NACE. Firmele mijlocii și mari sunt entități importante, cu scorul standard 115, respectiv 172,5, deci nivelul important.
Ce producători intră sub NIS2
Anexa nr. 2 enumeră exact ramurile care intră; restul industriei prelucrătoare rămâne în afara sectorului:
- producătorii de dispozitive medicale și de dispozitive medicale pentru diagnostic in vitro, alții decât cei critici, încadrați la sănătate;
- fabricarea calculatoarelor și a produselor electronice și optice (diviziunea C26);
- fabricarea echipamentelor electrice (C27);
- fabricarea de mașini, utilaje și echipamente (C28);
- fabricarea autovehiculelor, a remorcilor și semiremorcilor (C29), inclusiv a pieselor și echipamentelor pentru autovehicule;
- fabricarea altor mijloace de transport (C30): nave, material rulant feroviar, aeronave.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 57,5 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 115 | important | 133 de controale, prag 3 |
| Mare | importantă | 172,5 | important | 133 de controale, prag 3 |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Fabricare” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru fabricareCe sisteme intră în evaluare într-o fabrică
Într-o fabrică, evaluarea privește atât biroul, cât și hala. Intră de obicei:
- sistemul de execuție a producției și legătura lui cu ERP-ul;
- automatele, roboții și mașinile cu comandă numerică conectate la rețea;
- schimbul de comenzi și de avize de livrare cu clienții, prin EDI sau prin portalurile lor;
- documentația tehnică, desenele și programele mașinilor, adesea proprietatea clientului;
- sistemele de testare și de calitate de la capătul liniei;
- accesul de la distanță al producătorilor de utilaje, pentru service.
Kojima și Toyota, martie 2022
La sfârșitul lui februarie 2022, Kojima Industries, un furnizor de componente din plastic pentru Toyota, a fost lovit de un atac cibernetic. Pe 1 martie, Toyota a oprit 28 de linii de producție din 14 fabrici din Japonia, pentru că sistemul de comenzi către furnizori nu mai funcționa. Au rămas neproduse aproximativ 13.000 de vehicule.
Lecția pentru un furnizor auto din România: clientul tău lucrează cu stocuri minime, iar sistemul tău de comenzi și livrări face parte din linia lui de producție. Dacă ești firmă mijlocie sau mare din diviziunea C29, intri și tu sub NIS2. Dacă ești mic, clientul îți va cere oricum măsuri de securitate prin contract.
Industria auto are și propriul standard pentru furnizori, TISAX, bazat pe catalogul VDA ISA. Multe controale se suprapun cu NIS2, așa că le poți pregăti împreună, cu un singur inventar și un singur plan de remediere.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
În fabrici, ținta este să nu oprești linia nici prin atac, nici prin testare. Începem cu:
- PenTest extern și intern pe rețeaua IT și pe punctele de trecere spre hală, cu rapoarte în 48 de ore de la finalizarea scanării; echipamentele de producție se testează doar planificat;
- SOC 24/7/365, pentru fabricile care lucrează în schimburi și în weekend;
- Proton Workspace, pentru documentația tehnică și desenele primite de la clienți, criptate în tranzit și în stocare, cu cheile de criptare în controlul tău.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
Producem mobilă. Intrăm la fabricare?
Nu. Sectorul fabricare din NIS2 acoperă doar diviziunile C26–C30 și dispozitivele medicale. Poți intra pe altă cale doar dacă DNSC te desemnează.
Producem cablaje pentru mașini. Intrăm?
Da, dacă firma este mijlocie sau mare: echipamentele electrice și electronice pentru autovehicule fac parte din diviziunea C29.
Ce nivel are o fabrică mare?
Nivelul important: scorul standard este 172,5, sub pragul de 200. O fabrică mare de dispozitive medicale critice, încadrată la sănătate, ar avea însă 217,5, deci nivelul esențial.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc · Security Affairs, Toyota oprește producția, 28 februarie 2022 (în engleză).