Ministerul Energiei a pus în consultare publică proiectul de Ordonanță de Urgență privind înființarea și operaționalizarea Centrului de Răspuns la Incidente de Securitate Cibernetică în Energie (CRISCE), care aduce o soluție necesară și urgentă pentru protejarea infrastructurii critice din domeniul energetic național.
Aceasta este prima echipă CSIRT sectorială din România, un demers impus de Directiva NIS2, care va gestiona securitatea cibernetică în acest sector vulnerabil. Proiectul de act normativ implementează și prevederile noului Regulament Delegat (UE) 2024/1366 privind securitatea fluxurilor transfrontaliere de energie electrică.
Cheltuielile necesare pentru finanțarea și resursele necesare pentru funcționarea CRISCE , respectiv cheltuielile de organizare și funcționare, inclusiv cheltuielile de personal, vor fi finanțate din cheltuielile administrative prevăzute la art. 8 din O.U.G. nr. 60/2022, constituite din dobânzi acumulate în conturile Ministerului Energiei la sumele virate de Banca Europeană pentru Investiții (BEI), fiind estimate anual, după cum urmează:
– 2024: 4.402 mii lei;
– 2025: 12.292 mii lei;
– 2026: 18.311 mii lei;
– 2027: 10.378 mii lei;
– 2028: 10.378 mii lei;
Rezultând o medie anuală de 11.152 mii lei, potrivit Notei de Fundamentare a Proiectului.
Cheltuielile pentru implementarea și funcționarea CRISCE vor fi acoperite integral din veniturile din Fondul pentru Modernizare, fără a afecta bugetul de stat.
Proiectul de OUG urmărește crearea unei structuri dedicate gestionării și prevenirii incidentelor cibernetice din sectorul energetic, contribuind la protejarea rețelelor și sistemelor informatice ale companiilor din acest domeniu strategic. CRISCE va asigura monitorizarea constantă a infrastructurii energetice, va coordona răspunsul la incidente cibernetice și va colabora cu instituțiile naționale și internaționale pentru a combate amenințările în creștere.
CRISCE va funcționa ca structură fără personalitate juridică în subordinea directă a Ministrului Energiei și va asigura securitatea cibernetică pentru întreg sectorul energetic din România, acesta fiind și autoritate desemnată pentru îndeplinirea atribuțiilor prevăzute de Regulamentul Delegat (UE) 2024/1366 privind securitatea fluxurilor transfrontaliere de energie electrică.
CRISE va fi compus din 34 de specialiști de top în domeniul securității cibernetice, recrutați în urma unei proceduri de selecție riguroase, cu o comisie externă formată din specialiști ai autorităților și instituțiilor publice cu atribuții în domeniul securității cibernetice. Aceștia vor fi remunerați la nivelul pieței private din sectorul cibernetic, iar activitatea lor va fi evaluată la fiecare 12 luni.
Aceste posturi includ funcții de conducere, cum ar fi manager superior securitate cibernetică și coordonator superior securitate cibernetică, precum și funcții de execuție pentru experți în diverse domenii ale securității cibernetice. Această structură organizatorică este esențială pentru a răspunde eficient la amenințările cibernetice și pentru a implementa măsurile de securitate necesare.
CRISCE acționează:
– ca o umbrelă pentru entitățile din sectorul energiei, contribuind prin:
o integrarea eforturilor de management al incidentelor de securitate cibernetică de la nivelul întregului sector (în caz de incidente corelate sau prezente în mai multe entități);
o sprijin și facilitarea managementului incidentelor cibernetice din cadrul entităților din sector;
o coordonarea strategică a măsurilor de prevenție și răspuns la incidente cibernetice la nivel de sector;
o facilitarea construirii mecanismelor tehnice de securitate cibernetică (ex. macro sisteme de management integrat al securității cibernetice) care protejează în mod unitar întregul sector;
o sprijin către entități pentru recuperarea în caz de pagube produse de incidentele cibernetice, raportarea și cooperarea cu CSIRT-ul național în caz de incidente cibernetice.
! Însă, CRISCE nu asigură răspunderea juridică pentru entități; fiecare entitate își păstrează răspunderea juridică pentru implementarea mecanismelor și a măsurilor de securitate cibernetică. CSIRT Energy vine doar ca un sprijin extern, cu viziune integrată, independent, obiectiv și echidistant față de entitățile din sector.
CRISCE va conține 34 posturi, astfel:
o CISO, cu rol de Director de Securitate Cibernetică – este responsabil cu managementul întregii structuri, raportarea directă către ministrul energiei și reprezentarea CRISCE în interiorul și exteriorul Ministerului Energiei.
o 5 echipe x 4 posturi operaționale per tură
1 echipă = 2x (Analist tehnic + Administrator securitate)
Administratorul gestionează incidentele și asigură reacția rapidă.
1 tură = 12 ore. Într-o echipă de 4 persoane, fac cu schimbul doi câte doi. Pentru menținerea unui randament ridicat al echipelor din CSIRT, este necesar lucrul în reprize de max 2-3 ore per pereche de analist+administrator, urmat de perioadă de odihnă. Astfel, se asigură permanența 24/7 cu câte 2 specialiști activi (analist+administrator) apți fizic și intelectual să reacționeze prompt.
Calculele din practică, arată că pentru asigurarea funcționării de ture de 12 ore în acest ritm, este nevoie de minim 18 specialiști + 1 rezervă. Având în vedere că echipele sunt formate din 4 specialiști, prin urmare numărul minim este 20, care înseamnă 5 echipe. Concediile trebuie planificate strict.
(O simulare privind desfășurătorul organizării turelor este prezentat în documentul ”Model ture 12 ore x echipe de câte 4.csv”).
o Specialist management proiecte IT – asigură coordonarea implementării proiectelor de dezvoltare.
o Arhitect integrator soluții IT/OT/Cloud – asigură integrarea tuturor soluțiilor IT/OT/Cloud agreate la nivelul viitorului sistem de securitate cibernetică din sectorul energetic.
o Arhitect de securitate cibernetică – specializat în soluții și arhitecturi de securitate cibernetică.
o Specialist dezvoltare soluții – asigură dezvoltarea de interfețe, integrarea soluțiilor, funcționarea personalizată pentru nevoile specifice ale CRISCE.
o Administrator de securitate cibernetică (pentru Minister) – asigură, în principal, protecția infrastructurii Ministerului, din perspectivă de administrare (este complementar și face echipă cu specialiștii din departamentul de administrare IT).
o 2x Specialiști forensic IT/OT (investigații, reverse engineering) – sunt specialiștii de bază care asigură analiza forensic a incidentelor identificate în Minister și în industria energetică.
o Specialist strategii și proceduri – abordează aspectele de strategie și proceduri, inclusiv necesitățile de aliniere la reglementări și standarde.
o Analist de securitate cibernetică (analiză, raportare, comunicare) – abordează aspectele de punere în practică a reglementărilor + comunicarea bottom-up (raportarea și comunicările către management)
o Specialist managementul riscurilor – abordează din perspectivă strategică managementul riscurilor (mix de teorie cu expertiza provenită din zona practică)
- 2x Auditori de securitate cibernetică – gestionează monitorizarea conformității cu reglementările (verifică implementarea practică și asigură dubla-verificare a măsurilor puse în practică)
o Specialist R&D&I și asimilare tehnologii emergente – monitorizează și actualizează constant nevoile de evoluție tehnologică + participă în proiectele de inovare și update tehnologic (mix între cunoașterea teoretică + evoluția pieței de profil + input din zona practică).
Proiectul de OUG stabilește că CRISCE va funcționa sub directă și nemijlocită subordine a ministrului energiei și va colabora cu toate structurile organizatorice din cadrul Ministerului Energiei, precum și cu entitățile din sectorul energetic. Acest cadru de colaborare este crucial pentru a asigura o gestionare integrată a securității cibernetice la nivel sectorial.
CRISCE va îndeplini funcțiile de Computer Security Incident Response Team (CSIRT) la nivel sectorial. Aceasta presupune că CRISCE va monitoriza continuu rețelele și sistemele informatice din sectorul energetic pentru a detecta și răspunde la incidente de securitate cibernetică, precum și pentru a coordona răspunsul la incidentele majore și pentru a furniza suport tehnic specializat în investigarea și remedierea acestora. Importanța acestui articol constă în clarificarea responsabilităților CRISCE, asigurând astfel un răspuns integrat și coordonat la amenințările cibernetice.
Atribuțiile specifice ale CRISCE. Printre acestea se numără intervenția proactivă și reactivă, în timp real, la atacurile cibernetice din sectorul energetic, monitorizarea continuă a rețelelor și sistemelor informatice din sectorul energetic, detectarea și analiza amenințărilor și vulnerabilităților cibernetice, implementarea și actualizarea măsurilor de securitate cibernetică, coordonarea răspunsului la incidentele de securitate cibernetică, dezvoltarea și menținerea relațiilor de colaborare cu alte CSIRT-uri și instituții relevante, realizarea de investigații forensice detaliate pentru a analiza urmele lăsate de atacatori și pentru a înțelege pe deplin mecanismele de atac utilizate, și protejarea proprie împotriva atacurilor cibernetice. Acest articol reglementează rolul complex și multidimensional al CRISCE, necesar pentru a asigura o protecție robustă și cuprinzătoare a infrastructurilor energetice.
CRISCE are responsabilitatea de a implementa măsurile necesare pentru asigurarea conformității cu normele stabilite prin Codul de securitate cibernetică în energie, inclusiv monitorizarea și protejarea fluxurilor transfrontaliere de energie electrică. În acest sens, CRISCE trebuie să colaboreze cu autoritățile și operatorii de rețea din alte state membre ale Uniunii Europene pentru a coordona măsurile de securitate cibernetică în conformitate cu prevederile Codului. Aceste obligații sunt fundamentale pentru a asigura o coordonare eficientă la nivel european și pentru a garanta că rețelele energetice din România sunt protejate împotriva atacurilor cibernetice care ar putea afecta stabilitatea energetică nu doar la nivel național, ci și în contextul fluxurilor transfrontaliere. Adoptarea acestui cadru legislativ european impune implementarea unor măsuri coordonate și uniforme, astfel încât să se asigure integritatea și securitatea energetică într-un spațiu interconectat, precum cel al Uniunii Europene.
Atribuțiile CRISCE legate de monitorizarea și evaluarea permanentă a riscurilor cibernetice în ceea ce privește fluxurile transfrontaliere de energie electrică. CRISCE are obligația de a elabora și implementa politici și proceduri pentru gestionarea riscurilor de securitate cibernetică, având ca obiectiv principal protecția rețelelor și sistemelor implicate în fluxurile de energie electrică la nivel transfrontalier. Această prevedere este deosebit de importantă, având în vedere faptul că fluxurile transfrontaliere sunt vulnerabile la atacuri cibernetice sofisticate, care pot avea consecințe de amploare asupra stabilității energetice nu doar a României, ci și a altor state membre interconectate. Implementarea acestui regulament european impune un nivel ridicat de vigilență și cooperare internațională, asigurând că România contribuie activ la protejarea securității energetice europene, în conformitate cu standardele stabilite de Codul de securitate cibernetică în energie.
În plus, CRISCE va fi autorizat de Directoratul Național de Securitate Cibernetică (DNSC) pentru a exercita funcția de echipă de răspuns la incidente (CSIRT) sectorială. Această funcție include elaborarea de strategii și proceduri de securitate cibernetică, monitorizarea conformității, evaluarea și auditarea măsurilor de securitate, precum și coordonarea răspunsului la incidente.
CRISCE va funcționa într-un imobil special destinat, diferit de sediul Ministerului Energiei. Imobilul va fi echipat cu sisteme avansate de securitate fizică și cibernetică, control al accesului, monitorizare video, sisteme de alimentare cu energie de backup, răcire și ventilare adecvată, rețea de comunicații redundantă, și alte dotări tehnice necesare pentru a asigura protecția și eficiența operațiunilor.Prin derogare de la prevederile Legii-cadru nr. 153/2017 privind salarizarea personalului plătit din fonduri publice, proiectul de OUG Ordonanță de urgență reglementează salarizarea specialiștilor CRISCE la un nivel competitiv, asigurându-se astfel atragerea și retenția personalului calificat. De asemenea, prevede posibilitatea realizării de venituri extrabugetare din prestații de servicii de securitate cibernetică pentru persoane fizice și juridice din sectorul energetic, care vor fi destinate funcționării CRISCE, precum și dezvoltării proiectelor și programelor de securitate cibernetică din sectorul energetic.
În contextul tranziției energetice și al interconectării rețelelor energetice la nivel european, protecția împotriva riscurilor cibernetice este esențială pentru stabilitatea și siguranța acestor sisteme. Astfel, alocarea unui procent din fondurile Fondului pentru modernizare pentru cheltuielile administrative necesare funcționării CRISCE vine ca o măsură de suport pentru a proteja infrastructurile energetice critice de potențiale atacuri cibernetice și de alte amenințări cibernetice emergente.
| Știri BVB