Obligații GDPR & NIS2 — CAEN 6203: Activități de management al resurselor informatice

GDPR și NIS2 pentru furnizori de servicii IT gestionate — CAEN 6203

Furnizorii de servicii IT gestionate (MSP) administrează infrastructura, sistemele și rețelele altor companii. Acest rol creează unul dintre cele mai clare profiluri de împuternicit (procesator) din GDPR — accesul continuu și privilegiat la sistemele care stochează date personale ale clienților este implicit în serviciu. În același timp, MSP-urile sunt explicit vizați în NIS2 ca vectori critici de risc cibernetic pentru clienții lor.

De ce MSP-urile sunt în centrul atenției GDPR și NIS2

• Acces privilegiat la sisteme critice — remote access, administrare servere, backup management, monitorizare — toate implică procesarea indirectă a datelor personale ale clienților
• Vectori de atac în cascadă — un MSP compromis poate fi punct de intrare pentru toți clienții săi; NIS2 recunoaște explicit acest risc în sectoarele incluse
• Responsabilitate pentru breșele care afectează clienții — dacă o breșă la nivelul MSP expune date ale clienților, ești procesatorul responsabil și trebuie să notifici clientul (operatorul) imediat, fără întârziere
• Subprocesori proprii — platformele RMM, soluțiile de backup cloud, sistemele de ticketing sunt subprocesori ai MSP-ului și necesită DPA-uri separate

Obligații NIS2 specifice pentru CAEN 6203

MSP-urile care deservesc companii din sectoare incluse în NIS2, sau care sunt ele însele furnizori ICT B2B de dimensiune medie/mare, intră în sectorul ICT service management din Anexa II NIS2. Obligațiile includ: înregistrarea la DNSC, implementarea MFA pe toate accesele privilegiate, politica documentată de gestionare a vulnerabilităților și un plan de continuitate testat anual. Pragul: 50+ angajați sau 10M+ EUR cifră de afaceri.

Contractele cu clienții — cheia conformității unui MSP

• DPA (Data Processing Agreement) în fiecare contract MSP — obligatoriu art. 28 GDPR; fără DPA, relația de procesare nu are bază legală
• Lista subprocesatorilor aprobați — clienții au dreptul să știe ce instrumente terțe le atingi datele; modificările necesită notificare prealabilă
• SLA cu clauze de securitate și notificare breșe — timpii de răspuns la incidente și procedura de notificare a clientului trebuie specificate contractual
• Registrul de prelucrări separat per client — documentează tipul de date accesate, scopul și durata pentru fiecare contract MSP

Verificatorul de mai jos calculează dacă firma ta de servicii IT gestionate intră sub NIS2 și ce obligații specifice îți revin în funcție de dimensiune.