Directiva NIS2 (Network and Information Security 2) este cel mai important act normativ de securitate cibernetică din ultimul deceniu la nivelul Uniunii Europene. În România a fost transpusă în legislația națională, iar efectul practic este simplu: mult mai multe firme au acum obligații legale de securitate, sub sancțiuni care pot ajunge la milioane de euro.
Dacă ești administrator sau IT manager într-o companie medie, întrebarea nu mai este „mă afectează?", ci „cât de repede trebuie să fiu pregătit?". Acest ghid îți dă răspunsurile esențiale, fără jargon.
Ce este, pe scurt, NIS2
NIS2 înlocuiește vechea directivă NIS din 2016 și extinde dramatic aria de aplicare. Obiectivul este să ridice nivelul minim de reziliență cibernetică în sectoarele considerate critice și importante pentru economie și societate. Spre deosebire de versiunea anterioară, NIS2 stabilește un set comun de măsuri de management al riscului și introduce răspunderea directă a conducerii companiei.
Ce firme din România sunt vizate
Regula generală: intri sub incidența NIS2 dacă activezi într-un sector reglementat ȘI depășești pragul de „entitate medie" — adică ai cel puțin 50 de angajați sau o cifră de afaceri / bilanț anual de peste 10 milioane de euro. Există și excepții în care firme mai mici sunt incluse din cauza rolului lor critic.
Sectoare de importanță înaltă (esențiale)
- Energie (electricitate, gaze, petrol, hidrogen)
- Transport (aerian, feroviar, naval, rutier)
- Sănătate (spitale, laboratoare, producători de dispozitive medicale)
- Apă potabilă și ape uzate
- Infrastructură digitală (cloud, data centere, DNS, rețele)
- Sector bancar și infrastructuri ale pieței financiare
- Administrație publică
Sectoare importante (de impact ridicat)
- Servicii poștale și de curierat
- Gestionarea deșeurilor
- Producție (dispozitive medicale, electronice, echipamente, autovehicule)
- Producția și distribuția de produse alimentare
- Furnizori de servicii digitale (marketplace-uri, motoare de căutare, rețele sociale)
- Cercetare
Atenție la efectul de lanț de aprovizionare: chiar dacă firma ta nu este direct reglementată, dacă ești furnizor pentru o entitate NIS2, vei fi obligat contractual să demonstrezi un nivel similar de securitate. În practică, NIS2 „curge" în jos prin întregul lanț.
Ce obligații concrete apar
- 1Măsuri tehnice și organizatorice de management al riscului: politici de securitate, controlul accesului, criptare, segmentarea rețelei, management de patch-uri.
- 2Plan de continuitate și recuperare după dezastru — inclusiv backup testat (vezi mai jos legătura cu strategia 3-2-1).
- 3Raportarea incidentelor semnificative către autoritatea competentă (DNSC) în termene stricte: alertă inițială în 24 de ore, notificare în 72 de ore.
- 4Securitatea lanțului de aprovizionare — evaluarea furnizorilor și a relațiilor directe.
- 5Răspunderea organelor de conducere: administratorii trebuie să aprobe măsurile și pot fi sancționați personal pentru neconformitate.
- 6Instruirea periodică a personalului în igienă cibernetică.
Sancțiuni: de ce nu poți amâna
Pentru entitățile esențiale, amenzile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri anuală globală, oricare este mai mare. Pentru entitățile importante, până la 7 milioane de euro sau 1,4%. Dincolo de bani, autoritatea poate suspenda temporar certificări și poate trage la răspundere personal conducerea.
Cum te pregătești — pas cu pas
Conformitatea NIS2 nu se rezolvă cu un singur produs cumpărat „la cheie". Este un proces de management al riscului. Iată traseul pragmatic pe care îl recomandăm clienților noștri:
- 1Determinarea aplicabilității: stabilești clar dacă și în ce categorie intri.
- 2Analiză de diferențe (gap analysis): compari starea actuală cu cerințele NIS2 și obții o listă de priorități.
- 3Plan de remediere cu termene și buget: nu rezolvi tot deodată, ci pe baza riscului.
- 4Implementare: politici, controale tehnice, segmentare, monitorizare, backup testat.
- 5Procedură de raportare a incidentelor și echipă/responsabil desemnat.
- 6Audit și îmbunătățire continuă — NIS2 nu este un proiect cu final, ci un regim permanent.
Pentru pașii 2-6, un partener cu experiență în audit de securitate cibernetică scurtează drastic timpul și evită investițiile inutile. Noi suntem auditor autorizat DNSC și certificat ISO 27001, exact cadrul de referință folosit de NIS2.
Legătura cu ISO 27001 și protecția datelor
Vestea bună: dacă ai deja un sistem de management al securității informației aliniat la ISO 27001, ești la 70-80% din drumul către NIS2. Cele două cadre se suprapun semnificativ. La fel, măsurile de protecția datelor (GDPR) și securitatea cibernetică sunt complementare — un incident de securitate este aproape întotdeauna și un potențial incident de date personale.
Concluzie
NIS2 nu este birocrație de dragul birocrației — este nivelul minim de igienă cibernetică pe care orice firmă serioasă ar trebui să-l aibă oricum. Diferența este că acum devine obligatoriu legal, cu sancțiuni reale. Firmele care încep devreme transformă conformitatea într-un avantaj comercial: devin furnizori preferați tocmai pentru că pot demonstra securitate.