Acasă / Servicii / Conformitate NIS2

Conformitate NIS2

Directiva europeană NIS2 — transpusă în România prin OUG 155/2024 — obligă mii de companii să implementeze măsuri de securitate cibernetică, să raporteze incidentele și să își responsabilizeze conducerea. Te ducem de la „nu știm dacă ne vizează” la conformitate demonstrabilă.

Cere o ofertă (+40) 21 589 1182Sună-ne acum

Ce este NIS2, pe scurt

NIS2 (Directiva UE 2022/2555) este noul cadru european de securitate cibernetică. Față de vechea lege NIS, extinde masiv aria de aplicare: nu mai vizează doar operatorii critici, ci și companiile medii și mari din 18 sectoare — de la energie, transport, sănătate și bancar, până la producție, alimentar, deșeuri, poștă și servicii digitale.

În România, autoritatea competentă este DNSC, iar entitățile vizate trebuie să se auto-identifice, să se înregistreze și să demonstreze implementarea măsurilor de securitate.

De ce nu poate fi ignorată

Amenzi de până la 10 mil. EUR sau 2% din cifra de afaceri globală pentru entitățile esențiale (7 mil. EUR sau 1,4% pentru cele importante)
Răspundere personală a conducerii: managementul aprobă măsurile, urmează instruiri și răspunde pentru neconformare
Termene stricte de raportare a incidentelor: avertizare timpurie în 24h, notificare în 72h, raport final în 30 de zile
Efect în lanț: chiar dacă nu ești vizat direct, clienții tăi aflați sub NIS2 îți vor cere contractual măsuri de securitate

Cine intră sub incidența NIS2

Regula generală: companii cu cel puțin 50 de angajați sau peste 10 mil. EUR cifră de afaceri anuală, care activează într-unul dintre sectoarele vizate. Unele entități intră indiferent de dimensiune.

Sectoare de criticitate ridicată (Anexa I)

Energie · transport · sector bancar · infrastructuri ale pieței financiare · sănătate · apă potabilă · ape uzate · infrastructură digitală · gestionarea serviciilor TIC (B2B) · administrație publică · spațiu

Alte sectoare critice (Anexa II)

Servicii poștale și de curierat · gestionarea deșeurilor · substanțe chimice · alimentar · fabricarea de dispozitive medicale, electronice, mașini și echipamente, autovehicule · furnizori digitali (marketplace, motoare de căutare, rețele sociale) · cercetare

Obligațiile principale — și cum le acoperim

Măsurile cerute de art. 21 din directivă, mapate pe serviciile Unity Solutions.

Analiza riscurilor și politici de securitate

Analiză de risc documentată și politici adaptate organizației — fundamentul dosarului de conformitate.

Gestionarea incidentelor

Proceduri de detectare, tratare și raportare către DNSC în termenele legale (24h / 72h / 30 zile).

Continuitate și backup

Planuri de continuitate a activității, backup testat și recuperare în caz de dezastru, management de criză.

Securitatea lanțului de aprovizionare

Evaluarea furnizorilor și cerințe de securitate în contracte — inclusiv pentru furnizorii tăi IT.

Igienă cibernetică și instruire

Training pentru angajați și pentru conducere — obligație explicită pentru management în NIS2.

Criptografie, MFA, controlul accesului

Autentificare multi-factor, criptare, gestiunea activelor și a accesului — implementate tehnic de echipa noastră.

Cum te ducem la conformitate

Metodologie aliniată cu bune practici europene — inclusiv cadrul CyFun® (CyberFundamentals, dezvoltat de Centrul pentru Securitate Cibernetică din Belgia ca referință pentru NIS2) — și cu experiența noastră ISO 27001.

Încadrare

Stabilim dacă și cum te vizează NIS2 (entitate esențială / importantă) și te sprijinim la înregistrarea la DNSC.

Analiză de decalaj

Evaluăm măsurile existente față de cerințele art. 21, pe structura celor 5 funcții: identificare, protecție, detectare, răspuns, recuperare.

Implementare

Plan de conformare prioritizat pe risc și buget: măsuri tehnice, politici, proceduri, training. Implementăm noi înșine partea tehnică.

Operare continuă

Monitorizare 24×7, gestionarea incidentelor și a raportărilor, audituri periodice — inclusiv prin serviciul CISO externalizat.

Întrebări frecvente despre NIS2

Care e diferența dintre entitate „esențială” și „importantă”?

Entitățile esențiale sunt, în general, companiile mari (peste 250 de angajați sau peste 50 mil. EUR cifră de afaceri) din sectoarele Anexei I, plus anumite categorii indiferent de dimensiune. Entitățile importante sunt celelalte companii vizate. Obligațiile de fond sunt similare; diferă regimul de supraveghere (proactiv vs. reactiv) și plafonul amenzilor.

Avem sub 50 de angajați — suntem excluși automat?

De regulă da, dar există excepții (de exemplu furnizori de servicii DNS, registre TLD, furnizori de servicii de încredere sau entități desemnate ca fiind critice). Și chiar excluși fiind, clienții voștri aflați sub NIS2 vă pot impune cerințe de securitate prin contract, ca parte din lanțul lor de aprovizionare.

Avem deja ISO 27001 — suntem acoperiți?

Un SMSI certificat ISO 27001 acoperă o mare parte din cerințe și este un avantaj serios, dar NIS2 adaugă obligații specifice: înregistrarea la autoritate, termenele stricte de raportare a incidentelor, răspunderea și instruirea explicită a conducerii, cerințe pe lanțul de aprovizionare. E nevoie de o mapare punctuală — exact ce facem în analiza de decalaj.

Ce este CyFun și de ce îl folosiți?

CyberFundamentals (CyFun®) este cadrul practic publicat de Centrul pentru Securitate Cibernetică din Belgia (CCB), construit pe funcțiile NIST CSF și mapat pe cerințele NIS2, cu niveluri de asigurare progresive (Small → Basic → Important → Essential). Îl folosim ca structură de evaluare pentru că traduce cerințele legale în măsuri concrete, verificabile.

Cât durează conformarea?

Depinde de punctul de plecare: o companie cu igienă IT bună poate atinge conformitatea de bază în câteva luni; una fără măsuri formalizate are nevoie de un program etapizat. Analiza de decalaj îți dă un calendar realist — de aceea începem mereu cu ea.

Nu aștepta prima solicitare de la DNSC

Începe cu evaluarea gratuită sau programează direct o discuție cu un consultant de conformitate.

Cere o ofertă (+40) 21 589 1182