Modul 2: Guvernanță TIC comună, securitate și furnizarea serviciilor la nivelul instituțiilor UE | TIC AD7

Prezentare generală

Arhitectură de întreprindere, interoperabilitate, guvernanța serviciilor, securitate, protecția vieții private, accesibilitate, achiziții publice și constrângeri instituționale ale UE.

Starea modulului

•Parcurs: Fundamente ICT comune
•Ultima verificare: 2026-10-27
•Domeniu de aplicare: Pregătire independentă EPSOHQ, corelată cu atribuțiile din anunț; sursele oficiale prevalează.

Arhitectura înaintea produselor

Un administrator AD7 trebuie să transpună nevoile instituționale în servicii care pot fi în continuare întreținute, securizate și interoperabile. Începeți cu capabilitățile, fluxurile de informații, nivelurile serviciilor, constrângerile și riscurile. Selectarea produselor are loc după definirea arhitecturii-țintă și a criteriilor de evaluare. Un proiect elegant din punct de vedere tehnic, dar imposibil de operat, achiziționat, auditat sau abandonat în mod controlat este incomplet.

Deciziile de arhitectură trebuie să consemneze contextul, opțiunile, decizia aleasă, consecințele și factorii care declanșează revizuirea. Reversibilitatea este importantă. Interfețele și formatele de date portabile reduc dependențele. Un radar tehnologic separă tehnologiile adoptate, aflate în faza de testare, evaluate și suspendate, astfel încât experimentarea să nu devină pe nesimțite arhitectură de producție.

Interoperabilitate și constrângeri ale sectorului public

Actul privind Europa interoperabilă creează un cadru pentru interoperabilitatea transfrontalieră a sistemelor de rețea și de informații din sectorul public. Interoperabilitatea are niveluri juridice, organizaționale, semantice și tehnice. Un API nu soluționează de unul singur diferențele privind temeiurile juridice, responsabilitatea pentru procese sau semnificația datelor.

Accesibilitatea trebuie inclusă în criteriile de acceptare. Securitatea și protecția datelor trebuie integrate în proiectare. Achizițiile necesită cerințe măsurabile, o evaluare echitabilă și o strategie de ieșire. Evidențele, transparența și posibilitatea de auditare influențează jurnalele, perioadele de păstrare și dovezile care fundamentează deciziile.

Securitate și confidențialitate încă din faza de proiectare

Folosiți riscurile pentru a selecta controalele. Apărarea în profunzime combină identitatea, dispozitivele terminale, rețelele, aplicațiile, datele, monitorizarea și recuperarea. Principiul privilegiului minim limitează accesul la ceea ce îi este necesar unui subiect. Separarea atribuțiilor reduce probabilitatea ca o singură identitate să poată iniția, aproba și ascunde o acțiune sensibilă.

Protecția datelor începând cu momentul conceperii presupune definirea scopului, a temeiului juridic, a reducerii la minimum a datelor, a perioadei de păstrare, a accesului, a transferurilor și a drepturilor persoanelor vizate înainte de implementare. Criptarea protejează confidențialitatea, dar nu stabilește, în sine, caracterul legal al prelucrării. Pseudonimizarea reduce posibilitatea de corelare, dar rămâne o prelucrare a datelor cu caracter personal atunci când reidentificarea este încă posibilă.

Guvernanța serviciilor

Definiți responsabilul serviciului, responsabilul produsului, responsabilul tehnic și responsabilul pentru date. Stabiliți indicatorii de nivel al serviciului înaintea obiectivelor de nivel al serviciului. Monitorizați rezultatele pentru utilizatori împreună cu disponibilitatea. Un serviciu poate fi disponibil din punct de vedere tehnic, dar imposibil de utilizat din cauza eșecului autentificării, a latenței sau a unei dependențe critice.

Fiecare serviciu de producție necesită monitorizare, roluri pentru gestionarea incidentelor, dovezi privind copierea de siguranță și restaurarea, ipoteze privind continuitatea, proceduri de escaladare către furnizori și un plan de dezafectare. Aprobarea modificărilor trebuie să fie proporțională cu riscul. Modificările standard, cu risc redus, pot fi preautorizate; modificările de urgență necesită în continuare trasabilitate și revizuire retrospectivă.

Setul principal de surse

•Actul privind Europa interoperabilă — Regulamentul (UE) 2024/903
•NIS2 — Directiva (UE) 2022/2555
•RGPD — Regulamentul (UE) 2016/679
•Directiva privind accesibilitatea site-urilor web — Directiva (UE) 2016/2102
•Metodologia PM² a Comisiei Europene — Portalul PM²

Politica digitală a UE: identificați actorul înaintea obligației

Supliment verificat la 27 octombrie 2026. Aceste distincții sprijină raționamentul tehnic și redactarea pe teme legate de UE. Sunt un instrument de recapitulare, nu o predicție a întrebărilor EPSO sau a dosarului EUFTE.

Instrument	Întrebarea principală	Dovezi practice de solicitat	Capcană privind domeniul de aplicare
Regulamentul privind IA	Care sunt scopul preconizat al sistemului, clasificarea riscului și rolul organizației?	Inventarul cazurilor de utilizare, justificarea clasificării, evidențele de supraveghere și evaluare	Eticheta „conform în materie de IA” a unui furnizor nu poate rezolva orice implementare
NIS2	Este organizația o entitate care intră în domeniul de aplicare al directivei și al normelor naționale relevante?	Gestionarea riscurilor, procesul privind incidentele, controalele lanțului de aprovizionare și guvernanța	Nu aplicați implicit o directivă adresată statelor membre fiecărei instituții a UE
Regulamentul (UE, Euratom) 2023/2841	Ce obligații de securitate cibernetică privesc instituțiile, organele, oficiile și agențiile Uniunii?	Cadrul instituțional de gestionare a riscurilor, responsabilitățile și coordonarea incidentelor	Regimul instituțional necesită propria analiză a domeniului de aplicare
DORA	Este vorba de o entitate financiară vizată sau de un acord relevant cu un furnizor terț de servicii ICT?	Controalele riscurilor ICT, registrul contractual, testele de reziliență și modalitățile de ieșire	DORA este specific sectorului; nu este regula generală pentru orice proiect informatic din sectorul public
Regulamentul privind reziliența cibernetică	Intră în domeniul de aplicare un produs cu elemente digitale și un operator economic?	Gestionarea vulnerabilităților, informațiile privind asistența și dovezile de conformitate	Un control operațional de securitate și conformitatea produsului răspund la întrebări diferite
GDPR / Regulamentul (UE) 2018/1725	Ce regim al datelor cu caracter personal și ce roluri de operator/persoană împuternicită se aplică?	Evidențele privind scopul, temeiul juridic, reducerea la minimum, păstrarea și accesul	Locația cloudului sau o setare de criptare nu pot, singure, face prelucrarea legală
Regulamentul privind datele	Ce normă privind accesul la date sau schimbarea furnizorului de servicii de prelucrare a datelor este relevantă?	Formatele de export, dependențele, ieșirea contractuală și testele de tranziție	Portabilitatea nu înseamnă că orice aplicație migrează fără adaptare
Regulamentul privind guvernanța datelor / Directiva privind datele deschise	Este vorba de reutilizarea datelor protejate din sectorul public, de un intermediar de partajare sau de informații reutilizabile din sectorul public?	Condițiile de autorizare, garanțiile de acces și clasificarea seturilor de date	Aceste instrumente nu transformă toate datele deținute în date deschise fără restricții
Programul de politică „Deceniul digital”	Ce capacitate sau rezultat în materie de servicii pentru 2030 este urmărit?	Indicatori privind competențele, conectivitatea, întreprinderile sau serviciile publice	O țintă de politică nu este certificatul de securitate al unui sistem individual

Citiți textul aplicabil și modificările în vigoare înainte de a memora o dată de punere în aplicare. Intrarea în vigoare, aplicarea generală, obligațiile etapizate și obligațiile efective de raportare ale unei entități pot diferi. De exemplu, Comisia distinge obligațiile de raportare prevăzute de CRA de principalele sale obligații ulterioare. Tratați obligațiile juridice, obiectivele de politică, standardele tehnice și cadrele voluntare de guvernanță ca tipuri distincte de autoritate.

Gaia-X poate oferi context privind cloudul și ecosistemul de date. Nu este un regulament al UE și nici o certificare juridică generală. O afirmație privind suveranitatea necesită în continuare dovezi privind controlul cheilor, accesul, subcontractanții, portabilitatea și expunerea juridică. Actul european privind cipurile vizează capacitatea de producție a semiconductorilor și reziliența aprovizionării; nu certifică o sarcină de lucru cloud individuală. Corelați instrumentul cu decizia care trebuie luată.

Patru decizii originale privind domeniul de aplicare

Infrastructură: un producător oferă un aparat conectat cu marcaj CE. Acest lucru nu demonstrează recuperarea testată a serviciului instituției. Solicitați separat dovezi privind produsul și dovezi privind recuperarea locală.
Managementul proiectelor: un furnizor promite „conformitate cu toate reglementările UE”. Solicitați o hartă a domeniului de aplicare pe actori și instrumente, responsabilii, dovezile de acceptare și dependențele nerezolvate înainte de a aproba cerința.
Cloud și rețele: doi furnizori utilizează servicii diferite de identitate și de baze de date gestionate. Un export de date nu dovedește, în sine, existența unui plan de ieșire executabil. Testați dependențele, timpul de recuperare, accesul și integritatea datelor.
Știința datelor: un indicator de referință privind acuratețea nu demonstrează utilizarea legală a datelor sau o supraveghere adecvată. Întrebați separat despre scopul preconizat, normele aplicabile, proveniența datelor, performanța pe subgrupuri și deciziile umane.

Guvernanță TIC comună, securitate și furnizarea serviciilor la nivelul instituțiilor UE