Gestionarea deșeurilor este în anexa nr. 2 a OUG 155/2024. Scorul standard este cel mai mic dintre toate sectoarele: 15 puncte pentru o organizație mică, 30 pentru una mijlocie și 45 pentru una mare. Toate rămân sub pragul de 100, așa că aplici nivelul de bază: 34 de controale și pragul 2,5 la autoevaluare.
Cine intră sub NIS2 la deșeuri
Anexa nr. 2 a OUG 155/2024 preia lista din Directiva NIS2, care trimite la definiția din directiva-cadru privind deșeurile. Intră:
- firmele care colectează și transportă deșeuri, inclusiv operatorii de salubritate;
- firmele care valorifică deșeuri, inclusiv prin sortare și reciclare;
- operatorii depozitelor de deșeuri și ai instalațiilor de tratare și eliminare;
- comercianții și brokerii de deșeuri;
- nu intră întreprinderile pentru care gestionarea deșeurilor nu este activitatea economică principală, de exemplu o fabrică ce își predă deșeurile unui operator autorizat.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 15 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 30 | de bază | 34 de controale, prag 2,5 |
| Mare | importantă | 45 | de bază | 34 de controale, prag 2,5 |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Gestionarea deșeurilor” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru deșeuriCe sisteme intră în evaluare la o firmă de deșeuri
Activitatea depinde de trasabilitate și de documentele care însoțesc fiecare transport. Intră de obicei:
- cântarele și sistemul de cântărire de la intrarea în depozit sau în stația de sortare;
- urmărirea GPS a flotei și planificarea rutelor de colectare;
- evidența și raportarea deșeurilor către autoritățile de mediu;
- facturarea către clienți și relația cu primăriile, prin contractele de delegare;
- automatizarea liniilor de sortare și a instalațiilor de tratare;
- e-mailul și stațiile de lucru din birou.
Nivel de bază nu înseamnă fără obligații
Scorul mic reflectă evaluarea DNSC: o perturbare în gestionarea deșeurilor are, în medie, un impact mai mic decât una în energie sau în sănătate. Obligațiile din lege rămân însă aceleași pentru orice entitate importantă: notificarea, evaluarea nivelului de risc, autoevaluarea, raportarea incidentelor semnificative și auditul.
Diferența este de volum. Nivelul de bază are 34 de controale, față de 218 la nivelul esențial, și un prag de 2,5 la autoevaluare. În practică, o firmă de deșeuri începe cu ce o expune cel mai des: parole slabe și conturi fără autentificare multifactor, sisteme neactualizate și copii de rezervă netestate.
Scorul poate crește. Dacă activezi și în alt sector, de exemplu dacă produci energie din deșeuri sau epurezi ape uzate pentru alții, se aplică scorul cel mai mare. O firmă mare care produce și energie ajunge la 285, nivelul esențial.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
Pentru o firmă de deșeuri, nivelul de bază permite un început simplu. Începem cu:
- PenTest extern, care arată ce este expus din internet, cu rapoarte în 48 de ore de la finalizarea scanării;
- Proton Workspace, cu autentificare cu cheie fizică și Proton Pass pentru parole, ca să rezolvi conturile și parolele dintr-un singur loc;
- SOC 24/7/365, când vrei detecție și răspuns permanent, fără echipă proprie.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
Firma de salubritate a unei primării intră?
Da, dacă este mijlocie sau mare: colectarea deșeurilor este gestionare a deșeurilor, indiferent cine deține firma.
Am nivelul de bază. Mai am nevoie de audit?
Da. Entitățile esențiale și importante trec printr-un audit de securitate cibernetică făcut de un auditor atestat DNSC, cu periodicitatea stabilită în funcție de nivelul de risc.
Calculatorul îmi arată nivelul de bază chiar dacă sunt firmă mare. E corect?
Da. Scorul standard al unei firme mari din acest sector este 45, sub pragul de 100. Se schimbă doar dacă activezi și în alt sector sau dacă DNSC îți validează alte valori de impact și probabilitate.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc.