NIS2 în România: cine este vizat și ce ai de făcut

Directiva europeană NIS2 (Directiva (UE) 2022/2555) a schimbat regulile de securitate cibernetică pentru mii de companii din România. Dacă vechea lege NIS viza în principal operatorii de infrastructură critică, NIS2 se aplică și companiilor medii și mari din sectoare pe care puțini le-ar fi asociat cu securitatea cibernetică: producție, alimentar, gestionarea deșeurilor sau curierat. În România, directiva a fost transpusă prin OUG 155/2024, iar autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).

Cine intră sub incidența NIS2

Regula generală combină două criterii: sectorul în care activezi și dimensiunea companiei.

Sectoarele sunt împărțite în două anexe ale directivei:

Sectoare de criticitate ridicată (Anexa I): energie, transport, bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, gestionarea serviciilor TIC între companii, administrație publică și spațiu.
Alte sectoare critice (Anexa II): servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimentar, producția de dispozitive medicale, electronice, mașini și autovehicule, furnizori digitali și cercetare.

Ca dimensiune, sunt vizate în principiu companiile cu cel puțin 50 de angajați sau o cifră de afaceri anuală de peste 10 milioane de euro. Există însă excepții importante: unele entități intră sub incidența legii indiferent de dimensiune — de exemplu furnizorii de servicii DNS, registrele de nume de domeniu sau furnizorii de servicii de încredere.

Dacă faci parte dintr-un grup, la calculul dimensiunii se iau în considerare și companiile partenere sau legate, nu doar firma ta.

Entitate esențială sau importantă?

Entitățile vizate se împart în două categorii. De regulă, companiile mari din sectoarele Anexei I sunt entități esențiale, iar celelalte companii vizate sunt entități importante. Obligațiile de fond sunt foarte asemănătoare; diferă modul de supraveghere — proactiv pentru entitățile esențiale, reactiv pentru cele importante — și nivelul maxim al amenzilor: până la 10 milioane de euro sau 2% din cifra de afaceri globală pentru entitățile esențiale, respectiv până la 7 milioane de euro sau 1,4% pentru cele importante.

Ce obligații apar

NIS2 nu cere un anumit produs sau o anumită tehnologie, ci un mod de lucru demonstrabil. Pe scurt:

Măsuri de gestionare a riscurilor (articolul 21): analiză de risc, politici de securitate, gestionarea incidentelor, continuitatea activității și backup, securitatea lanțului de aprovizionare, autentificare multi-factor, criptare, instruirea angajaților.
Raportarea incidentelor semnificative către autoritate, în termene scurte: o avertizare timpurie în 24 de ore, o notificare în 72 de ore și un raport final în cel mult o lună.
Responsabilitatea conducerii (articolul 20): conducerea aprobă măsurile, supraveghează implementarea și urmează instruiri de securitate cibernetică.
Înregistrarea entității la autoritatea competentă.

Chiar dacă nu ești vizat direct

Multe companii mici descoperă că NIS2 le afectează oricum, prin clienții lor. Entitățile vizate trebuie să gestioneze riscurile din lanțul de aprovizionare, așa că le vor cere furnizorilor — inclusiv celor de servicii IT, logistică sau producție — dovezi de securitate și clauze contractuale noi. O igienă de securitate demonstrabilă devine, astfel, condiție de contract.

Primii pași recomandați

Clarifică încadrarea. Pornește de la sector, dimensiune și tipul serviciilor oferite. Poți începe cu evaluarea noastră NIS2 gratuită, care durează câteva minute.
Fă o analiză de decalaj. Compară măsurile existente cu cerințele articolului 21 și stabilește priorități în funcție de risc și buget.
Desemnează un responsabil. Fără un „proprietar” al securității — intern sau externalizat — măsurile nu se implementează și nu se mențin.
Pregătește procesul de raportare. Termenele de 24 și 72 de ore nu lasă loc de improvizație: stabilește dinainte cine raportează, prin ce canal și cu ce informații.

NIS2 poate părea copleșitoare la început, dar majoritatea cerințelor înseamnă bune practici pe care o companie bine administrată le are deja, măcar parțial. Diferența o fac documentarea, responsabilitatea clară și verificarea periodică.