De ce este importantă directiva privind reziliența entităților critice și ce trebuie să știe companiile vizate

Într-o lume în care crizele au devenit aproape ”normalitate”, protecția infrastructurii critice, precum cea de energie, transport sau apă potabilă, și implicit reziliența companiilor care operează această infrastructură (entități critice) în fața unor atacuri cibernetice, amenințări teroriste, sabotaj sau dezastre naturale sunt esențiale. Din acest motiv, Comisia Europeană a elaborat directiva privind reziliența entităților critice, care impune acestora respectarea unor standarde riguroase pentru a asigura servicii esențiale populației și continuitatea activităților în economie. 

Ce presupune directiva?

Directiva, care a intrat în vigoare în octombrie 2024, vizează entități critice din 11 sectoare: energie, transporturi, sector bancar, piețe financiare, sănătate, apă potabilă, ape reziduale, infrastructură digitală, administrație publică, spațiu și industria alimentară.

În temeiul Directivei privind reziliența entităților critice, țările membre UE vor trebui să efectueze evaluări ale riscurilor privind serviciile esențiale și vor trebui să identifice entitățile critice până în iulie 2026. Odată identificate ca fiind critice, aceste entități vor trebui să efectueze propriile evaluări ale riscurilor și să adopte măsuri de sporire a rezilienței pentru a preveni, răspunde și atenua incidentele care pot perturba furnizarea de servicii esențiale. 

Directiva stabilește, de asemenea, norme pentru identificarea entităților critice de importanță europeană deosebită, respectiv dacă furnizează un serviciu esențial pentru șase sau mai multe țări UE.  

De asemenea, companiile care operează în sectoare considerate critice trebuie să acorde o atenție deosebită implementării acestei directive, investind în tehnologii de securitate, formând personalul și colaborând cu autoritățile competente. 

Calendarul implementării  

Directiva impune un calendar strict pentru transpunerea în legislația națională și pentru identificarea entităților critice.  

• Octombrie 2024: Statele membre UE încep să transpună directiva în legislația națională.
• Ianuarie 2026: Statele UE adoptă o strategie pentru creșterea rezilienței entităților critice.
• Iulie 2026: Statele UE desemnează și notifică entitățile critice.
• Într-un interval de nouă luni de la momentul desemnării ca entități critice, acestea trebuie să efectueze evaluarea riscurilor.
• În zece luni de la momentul desemnării ca entități critice, acestea trebuie să demonstreze conformitatea cu cerințele directivei. 

Ce pași trebuie să urmeze entitățile vizate 

Evaluarea riscurilor: Companiile trebuie să identifice și să evalueze în mod regulat toate riscurile potențiale care le-ar putea afecta operațiunile, inclusiv atacurile cibernetice, dezastrele naturale și terorismul. 

Elaborarea unui plan de reziliență: Pe baza evaluării riscurilor, companiile trebuie să elaboreze un plan detaliat pentru a face față incidentelor și pentru a-și restabili rapid activitatea. 

Formarea angajaților: Angajații trebuie să fie instruiți în mod regulat cu privire la cele mai bune practici de gestionare a riscurilor la care sunt expuse companiile. 

Raportarea incidentelor: Companiile trebuie să raporteze imediat incidentele semnificative către autoritățile competente.