Sunt furnizor de servicii de încredere conform NIS 2?

Directiva NIS 2 (2022/2555), Anexa I sectorul 8 (Infrastructura digitală)

Furnizorii de IXP (internet exchange point); Furnizorii de servicii DNS, cu excepția operatorilor de servere pentru nume primare; Registrele de nume TLD; Furnizorii de servicii de cloud computing; Furnizorii de servicii de centre de date; Furnizorii de rețele de furnizare de conținut; Furnizorii de servicii de încredere; Furnizorii de rețele publice de comunicații electronice; Furnizorii de servicii de comunicații electronice accesibile publicului

Textual din OJ L 333/146. Sectorul 8 este Infrastructura digitală. Furnizorii de servicii de încredere sunt unul dintre tipurile de entități enumerate. Lista sectorului nu separă calificat de necalificat; acea separare este făcută de articolul 3 NIS 2 și de eIDAS.

Articolul 2(2)(a)(ii) și 3(1)(b) NIS 2 + articolele 3(16) și 3(20) eIDAS

Articolul 2(2) NIS 2: Indiferent de dimensiunea lor, prezenta directivă se aplică, de asemenea, entităților de tipul celor menționate în anexa I sau II, în cazul în care: (a) serviciile sunt furnizate de: […] (ii) prestatorii de servicii de încredere; […] Articolul 3(1)(b) NIS 2: prestatorii de servicii de încredere calificați și registrele de nume de domenii de prim nivel, precum și prestatorii de servicii DNS, indiferent de dimensiunea lor; Articolul 3(20) eIDAS: „prestator de servicii de încredere calificat” înseamnă un prestator de servicii de încredere care prestează unul sau mai multe servicii de încredere calificate și căruia i se acordă statutul de calificat de către organismul de supraveghere; Articolul 3(16) eIDAS (astfel cum a fost modificat prin Regulamentul (UE) 2024/1183): „serviciu de încredere” înseamnă un serviciu electronic prestat în mod obișnuit în schimbul unei remunerații, care constă în oricare din următoarele: (a) emiterea certificatelor pentru semnături electronice, a certificatelor pentru sigilii electronice, a certificatelor pentru autentificarea unui site internet sau a certificatelor pentru prestarea altor servicii de încredere; […] (n) înregistrarea într-un registru electronic a datelor electronice și a documentelor în format electronic;

Două definiții suprapuse. Articolul 3(16) eIDAS vă spune ce contează ca serviciu de încredere. Articolul 3(20) vă spune cine este furnizor calificat: cel căruia organismul de supraveghere i-a acordat statutul de calificat. NIS 2 spune apoi: orice furnizor de servicii de încredere este inclus indiferent de numărul de angajați sau de cifra de afaceri (articolul 2(2)(a)(ii)), iar unul calificat este întotdeauna entitate esențială (articolul 3(1)(b)).

§28 BSIG + Vertrauensdienstegesetz (Germania)

§28 BSIG transpune domeniul de aplicare din Anexa I în dreptul german și face din furnizorii calificați de servicii de încredere „besonders wichtige Einrichtungen” (§28 alin. (1) pct. 2), iar din ceilalți furnizori de servicii de încredere „wichtige Einrichtungen” (§28 alin. (2) pct. 1), indiferent de mărime. Vertrauensdienstegesetz (VDG) este legea națională de însoțire a Regulamentului eIDAS; desemnează Bundesnetzagentur ca organism de supraveghere pentru serviciile de încredere și operează lista germană de încredere.

Regulamentul eIDAS se aplică direct, fără transpunere germană. VDG adaugă doar mecanismul de supraveghere. NIS 2 se așază separat deasupra ambelor: §28 BSIG plasează TSP-urile calificate în nivelul cel mai înalt (besonders wichtige Einrichtung) și celelalte TSP-uri în nivelul wichtige Einrichtung, indiferent de mărime, cu BSI ca autoritate de reglementare cibernetică.

BSI este autoritatea competentă NIS 2. Operează portalul de înregistrare conform §33 BSIG, primește notificările de incidente semnificative conform §32 BSIG și supraveghează măsurile de gestionare a riscurilor conform §30 BSIG. TSP-urile calificate ajung în nivelul „besonders wichtige Einrichtung” prin §28 alin. (1) BSIG, celelalte TSP-uri în nivelul „wichtige Einrichtung” prin §28 alin. (2), ceea ce înseamnă pentru cele calificate supraveghere mai strictă și aceleași termene de raportare a incidentelor ca operatorii KRITIS.

Bundesnetzagentur este organismul de supraveghere pentru serviciile de încredere conform Vertrauensdienstegesetz. Operează lista germană de încredere, acreditează statutul calificat, primește rapoartele de evaluare a conformității din auditul de 24 de luni conform articolului 20(1) eIDAS. Atunci când un incident este atât un incident semnificativ conform §32 BSIG, cât și o încălcare a securității pe care TSP-urile calificate trebuie să o notifice conform articolului 24 alineatul (2) litera (fb) eIDAS, raportați ambele, ambelor autorități.

ENISA publică orientarea tehnică de punere în aplicare pentru CIR, care acoperă și furnizorii de servicii de încredere, și scrie pragul de securitate cibernetică care alimentează așteptările supraveghetorilor naționali. Același organism scrie acum pachetul de lucru privind serviciile de încredere pentru Portofelul european pentru identitate digitală, care extinde perimetrul TSP-urilor calificate începând din 2026.

eIDAS este un regulament, deci regulile privind serviciile de încredere sunt uniforme în întreaga UE. NIS 2 este o directivă, deci fiecare stat membru o transpune: NL prin Cyberbeveiligingswet, AT prin NISG, în timp ce în FR transpunerea este încă un proiect de lege în parlament. Anexa I sectorul 8 și regula indiferent de mărime din articolul 2(2)(a)(ii) sunt identice în toate. Autoritatea competentă pentru latura NIS 2 diferă de la o țară la alta.