Fabricarea, producția și distribuția de substanțe chimice este în anexa nr. 2 a OUG 155/2024. Firmele mijlocii și mari sunt entități importante, cu scorul standard 120, respectiv 180, deci nivelul important în ambele cazuri. Ce face sectorul diferit este altceva: aici, un incident cibernetic poate deveni un incident de siguranță.
Cine intră sub NIS2 în industria chimică
Anexa nr. 2 a OUG 155/2024 preia lista din Directiva NIS2, care folosește definițiile din Regulamentul (CE) nr. 1907/2006 (REACH). Intră:
- întreprinderile care fabrică substanțe;
- întreprinderile care distribuie substanțe sau amestecuri, inclusiv distribuitorii en-gros de produse chimice;
- întreprinderile care produc articole din substanțe sau amestecuri, adică obiecte a căror formă determină funcția, de exemplu piese din mase plastice.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 60 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 120 | important | 133 de controale, prag 3 |
| Mare | importantă | 180 | important | 133 de controale, prag 3 |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Substanțe chimice” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru industria chimicăCe sisteme intră în evaluare într-o fabrică chimică
Într-o fabrică chimică, sistemele de proces și cele de siguranță contează la fel de mult ca rețeaua de birou. Intră de obicei:
- sistemul de control distribuit și automatele care conduc procesul;
- sistemele instrumentate de siguranță, care opresc procesul la parametri periculoși;
- laboratorul de control al calității și sistemul lui de gestiune;
- rețetele și documentația de produs, adesea secrete comerciale;
- gestiunea stocurilor, fișele cu date de securitate și documentele de transport pentru mărfuri periculoase;
- accesul de la distanță al furnizorilor de echipamente și de automatizări.
Triton: când ținta este sistemul de siguranță
În 2017, la o fabrică petrochimică din Arabia Saudită, atacatorii au ajuns la sistemele instrumentate de siguranță Triconex, produse de Schneider Electric, cu un program creat special, numit ulterior Triton sau Trisis. O primă oprire a instalației, în iunie, a fost pusă pe seama unei defecțiuni. După a doua, în august, investigația a găsit programul. Atacatorii erau în rețeaua IT a companiei de ani de zile.
Sistemele de siguranță sunt ultima barieră înainte de un accident. În evaluarea NIS2 merită tratate separat: în inventar, în propriul segment de rețea, cu acces de la distanță limitat la strictul necesar și cu orice modificare făcută doar prin procedură.
Pentru firmele care intră și sub legislația Seveso, privind accidentele majore cu substanțe periculoase, planul de urgență și planul de răspuns la incidente cibernetice trebuie să se potrivească: aceeași echipă, aceleași scenarii, aceleași contacte.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
În industria chimică, testarea nu trebuie să atingă procesul. Începem cu:
- PenTest extern și intern pe rețeaua IT și pe punctele de trecere spre rețeaua de proces, cu rapoarte în 48 de ore de la finalizarea scanării; sistemele de proces se testează doar planificat, cu operatorul;
- SOC 24/7/365, pentru fabricile care lucrează în schimburi;
- Proton Workspace, pentru rețete, documentație tehnică și corespondența cu partenerii, criptate în tranzit și în stocare, cu acces zero.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
Un distribuitor de produse chimice fără fabrică intră?
Da, dacă este mijlociu sau mare. Distribuția de substanțe și amestecuri este în anexă, nu doar fabricarea.
Producem medicamente. Intrăm la chimice?
Nu. Fabricarea produselor farmaceutice este în sectorul sănătate, din anexa nr. 1, cu alt scor și alt tip de entitate: o firmă mare este entitate esențială.
Ce nivel are o firmă chimică mare?
Nivelul important: scorul standard este 180, sub pragul de 200 al nivelului esențial. Aplici 133 de controale, cu pragul 3 la autoevaluare.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc · MIT Technology Review, despre Triton, 5 martie 2019 (în engleză).