Cyber Security and Resilience (Network and Information Systems) Bill din Marea Britanie a intrat în septembrie 2026 în examinarea detaliată din comisia Camerei Lorzilor. Proiectul extinde cadrul NIS britanic, introduce desemnarea furnizorilor critici și oferă guvernului și autorităților puteri suplimentare atunci când riscurile pentru sistemele informatice amenință servicii esențiale sau securitatea națională.
SecurityWeek relatează că amendamente depuse la final de august ar permite miniștrilor să restricționeze folosirea unor furnizori tehnologici evaluați drept risc ridicat de către organizațiile din sectoare critice. Proiectul și documentele de amendare sunt publice, dar propunerea nu este încă lege, iar textul final se poate modifica. Niciun furnizor nominalizat nu a fost interzis public prin acest mecanism.
Un furnizor critic nu este neapărat un furnizor mare
Fișa oficială GOV.UK se concentrează pe dependență și consecințe. Un furnizor poate fi desemnat când bunurile sau serviciile sale conectate susțin un serviciu esențial, digital ori gestionat, iar un incident ar putea produce perturbări semnificative economiei sau vieții cotidiene. Autoritățile trebuie să analizeze și dacă serviciul poate fi obținut realist din altă parte și dacă alte reguli acoperă deja riscul.
Această logică este importantă pentru furnizorii mici. O companie specializată de software, un MSP sau un partener de hosting poate deveni un punct unic de eșec chiar dacă are cifră de afaceri ori personal redus. În forma propusă, furnizorii desemnați ar avea cerințe statutare de securitate, supraveghere și posibile sancțiuni, iar detaliile vor urma prin legislație secundară și consultare.
Ce pot aplica acum organizațiile din România și UE
- Clasifică furnizorii după dependența serviciului și consecința operațională plauzibilă, nu doar după cheltuială ori dimensiune
- Identifică dependențele concentrate, componentele fără alternativă, accesul privilegiat și sistemele pe care fiecare furnizor le poate afecta
- Înregistrează produsele și versiunile susținute, serviciile expuse, responsabilii pentru vulnerabilități, termenele și dovada remedierii
- Definește alternative sigure, planuri de ieșire și proceduri manuale controlate înainte ca furnizorul să devină indisponibil
- Cere contractual notificare, acces la dovezi, transparență privind subcontractorii și recuperare testată, proporțional cu riscul
Legătura cu NIS2 este guvernanța, nu echivalența juridică
Proiectul britanic modifică reglementările NIS din Regatul Unit și nu este Directiva NIS2 a Uniunii Europene. Entitățile din România trebuie să urmeze cadrul românesc, cerințele DNSC și obligațiile sectoriale aplicabile. Totuși, ambele abordări expun aceeași problemă de management: organizația rămâne responsabilă pentru serviciile care depind de furnizori pe care nu îi operează direct.
Un pachet util de dovezi leagă serviciul critic de furnizor, inventar, expunerea curentă, decizia de risc, controlul contractual, calea de incident și testul de recuperare. Un chestionar completat o dată pe an nu demonstrează că o vulnerabilitate exploatată a primit responsabil, termen, remediere și verificare.
Cele trei straturi ale ecosistemului AWARELY
Awarely Monitor poate lega produsele, CVE-urile, semnalele de exploatare, responsabilii, termenele și dovada închiderii. Awarely Learning poate testa dacă achizițiile, helpdesk-ul, managementul și operațiunile știu să escaladeze un incident de furnizor. Secretus poate proteja credențiale, indicatori și material de recuperare transmis unui furnizor autorizat în timpul remedierii.
Platformele susțin lanțul de dovezi; nu clasifică juridic furnizorul, nu înlocuiesc due diligence-ul contractual și nu garantează conformitatea. Valoarea lor este operațională: transformă riscul de furnizor dintr-o afirmație într-un set recurent de decizii demonstrabile.
Surse și verificare
Deschide sursele originale pentru context, actualizări și formularea exactă a afirmațiilor.