Pe scurt: Directiva UE NIS2 obligă mult mai multe companii decât înainte la măsuri de management al riscurilor și la notificarea incidentelor de securitate semnificative. În Germania, ea este transpusă prin legea de transpunere NIS2 și de consolidare a securității cibernetice (NIS2UmsuCG, lege germană); autoritatea competentă este BSI (Oficiul Federal German pentru Securitatea Informațiilor). Pentru serverele web, asta înseamnă mai ales: actualizările, managementul vulnerabilităților și gestionarea incidentelor trebuie să fie organizate și dovedibile. Această pagină este informare generală, nu consultanță juridică.
Fără consultanță juridică: dacă compania dumneavoastră intră sub incidența NIS2 și ce obligații se aplică în detaliu clarificați pe baza indicațiilor BSI și cu consultanță juridică. Nu indicăm în mod deliberat praguri sau termene care depind de încadrarea dumneavoastră.
Ce este NIS2
NIS2 este a doua directivă UE privind securitatea rețelelor și a informației. Ea extinde considerabil cercul companiilor obligate față de reglementarea anterioară și face distincția între entități esențiale și entități importante. Ce sectoare și clase de mărime sunt cuprinse stabilește legea.
În Germania, NIS2UmsuCG transpune directiva și reformulează în acest scop, printre altele, legea BSI. BSI este interlocutorul pentru înregistrare, notificări și supraveghere și oferă pe site-ul său informații și ajutor pentru încadrare. Informații de încredere și actuale despre termene și proceduri găsiți acolo, nu în rezumate generale.
Obligațiile NIS2 pentru companii, pe scurt
Pentru companiile afectate, obligațiile pot fi grupate aproximativ în trei domenii:
Managementul riscurilor. Companiile trebuie să ia măsuri tehnice și organizatorice adecvate și proporționale. Aici intră de obicei concepte pentru analiza riscurilor și securitatea informației, gestionarea incidentelor de securitate, menținerea activității cu copii de siguranță și management de criză, securitatea lanțului de aprovizionare, securitatea la achiziție, dezvoltare și întreținere, inclusiv gestionarea vulnerabilităților, controlul accesului și criptografia.
Notificări. Incidentele de securitate semnificative trebuie notificate către BSI. Directiva prevede pentru aceasta o procedură în etape, de la o primă notificare timpurie până la un raport final. Termenele exacte și căile de notificare pentru Germania le găsiți în indicațiile BSI.
Responsabilitatea conducerii. Conducerea trebuie să aprobe măsurile, să supravegheze implementarea lor și să se instruiască în materie de securitate cibernetică. Mai multe găsiți la Răspunderea conducerii.
Ce înseamnă asta pentru serverele web
Serverele web sunt adesea cel mai deschis sistem al unei companii. PHP2Shell arată cât de repede o vulnerabilitate dintr-o componentă de bază poate afecta toate aplicațiile care rulează pe ea. Cele două vulnerabilități CVE-2026-109618 și CVE-2026-109619 permit executarea de cod fără autentificare; BSI a declarat nivelul de avertizare 3 (portocaliu) și a recomandat o actualizare imediată.
Pentru o companie supusă NIS2 rezultă de aici întrebări practice: știm ce servere folosesc PHP și în ce versiune? Cine urmărește anunțurile de securitate și decide asupra actualizărilor de urgență? Putem recunoaște un atac și cine evaluează dacă un incident este semnificativ și deci supus notificării? Este reglementat ce preiau hosterul și prestatorii?
Un patch nu elimină programele malițioase introduse anterior și nu dovedește că nu s-a întâmplat nimic. Și acest lucru face parte din evaluarea incidentului.
Măsuri concrete pentru infrastructura web
Punctele următoare nu sunt o listă exhaustivă, dar acoperă cele mai frecvente lacune:
| Măsură | Legătură |
|---|---|
| Inventarul tuturor serverelor web, versiunilor PHP și aplicațiilor | Analiza riscurilor |
| Procedură fixă pentru actualizările de securitate, inclusiv repornire și dovadă | Managementul vulnerabilităților |
| Monitorizare și păstrarea jurnalelor | Gestionarea incidentelor |
| Copii de siguranță testate și plan de repornire a activității | Continuitatea activității |
| Repartizarea sarcinilor cu hosterul și agențiile, în scris | Lanțul de aprovizionare |
| Autentificare multifactor pentru accesele de administrator | Controlul accesului |
| Căi de notificare și responsabilități pregătite | Obligații de notificare |
Drept cadru metodic se potrivește IT-Grundschutz de la BSI. Un plan de urgență IT pentru serverele web leagă tehnica, responsabilitățile și căile de notificare.
Gândiți împreună NIS2 și protecția datelor
Un atac asupra unui server web poate fi simultan un incident NIS2 și o încălcare a protecției datelor. Atunci rulează în paralel două proceduri, cu autorități și cerințe diferite. Notificarea către autoritatea de protecție a datelor conform art. 33 RGPD este descrisă la Obligația de notificare RGPD: 72 de ore. Planificați ambele căi din timp, pentru ca nimeni să nu fie nevoit să improvizeze în caz grav.
Un alt punct privește prestatorii. Multe companii lasă site-urile în grija agențiilor și serverele în operarea hosterilor. Obligația de a lua în considerare riscurile lanțului de aprovizionare înseamnă în practică: reglementați contractual cine instalează actualizările de securitate, cât de repede sunt tratate vulnerabilitățile critice, cum sunteți informat despre incidente și ce dovezi primiți. Situația din jurul PHP2Shell este o bună piatră de încercare pentru a vedea dacă aceste reglementări există deja și au funcționat în caz grav. Dacă lipsește un răspuns, acesta este un punct pentru managementul dumneavoastră al riscurilor.
Cum ajută PHP SOS concret?
- Inventariem infrastructura dumneavoastră web și evaluăm riscurile și lacunele într-o formă pe care o puteți folosi pentru managementul riscurilor.
- Configurăm o procedură dovedibilă pentru actualizările de securitate și o preluăm la cerere printr-un contract de mentenanță de securitate.
- Prin monitorizarea de securitate și păstrarea jurnalelor creăm baza pentru recunoașterea și evaluarea incidentelor.
- În caz de incident furnizăm faptele tehnice pentru notificarea dumneavoastră către BSI; încadrarea juridică rămâne la dumneavoastră și la consultanța juridică.
Întrebări frecvente
Este compania mea afectată de NIS2?
Depinde, printre altele, de sector și de dimensiunea companiei. Criteriile exacte rezultă din legea germană de transpunere. BSI (Oficiul Federal German pentru Securitatea Informațiilor) pune la dispoziție pe site-ul său informații despre aplicabilitate; în caz de îndoială, clarificați întrebarea cu consultanță juridică.
Ce înseamnă NIS2 pentru site-ul unei companii?
Serverele web, portalurile pentru clienți și magazinele fac parte din sistemele ale căror riscuri trebuie să le gestioneze o companie afectată. Aici intră actualizările, managementul vulnerabilităților, controlul accesului și capacitatea de a recunoaște și notifica incidentele.
Ce termene de notificare se aplică conform NIS2?
Directiva prevede o procedură de notificare în etape pentru incidentele de securitate semnificative. Termenele, căile și formularele obligatorii pentru Germania le găsiți în indicațiile BSI și în textul legii. Nu indicăm aici în mod deliberat termene fără legătură cu situația dumneavoastră.
Se aplică NIS2 și furnizorilor?
NIS2 cere entităților afectate să ia în considerare și securitatea lanțului lor de aprovizionare. De aceea, mulți clienți își întreabă prestatorii și furnizorii despre măsurile de securitate, chiar dacă aceștia nu intră direct sub incidența legii.