Ce este NIS2 și ce înseamnă pentru organizațiile esențiale din România
Termenul limită pentru înregistrarea la DNSC, ca entitate esențială sau importantă conform NIS2, a fost 19 septembrie 2025.
Organizațiile care nu respectă cerințele directivei pot fi sancționate cu amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri globală anuală.
Directiva se aplică unui număr extins de organizații din sectoare esențiale și importante pentru economie și societate, inclusiv energie, transport, sănătate, servicii financiare, infrastructură digitală, administrație publică, apă potabilă și apă uzată.
Pentru multe dintre aceste organizații, obligațiile nu se opresc la înregistrare. Din contră, acesta este doar primul pas într-un proces mai amplu de gestionare a riscurilor cibernetice și de conformare.
Cuprins
Ce este NIS2?
În multe organizații, securitatea cibernetică este încă privită ca o problemă tehnică. Ceva ce ține de departamentul IT. Un subiect discutat în ședințe atunci când apare un incident sau când sistemele nu funcționează cum trebuie.
În ultimii ani atacurile cibernetice au devenit mai frecvente, mai sofisticate și mai costisitoare. În multe cazuri, impactul nu mai este limitat la infrastructura IT. El afectează operațiunile, reputația și uneori chiar capacitatea unei organizații de a funcționa.
În acest context, Uniunea Europeană a introdus Directiva NIS2, un cadru legislativ care schimbă modul în care securitatea cibernetică este tratată la nivel organizațional. Numele vine de la Network and Information Security 2 (Securitatea rețelelor și a informațiilor – versiunea 2). Această lege este felul în care Uniunea Europeană încearcă să spună: „Lumea digitală a devenit prea importantă ca să o lăsăm la voia întâmplării. Trebuie protejată serios.”
Pentru multe companii, primul moment de confruntare cu cerințele directivei va fi auditul NIS2.
De ce a apărut Directiva NIS2
Prima directivă, NIS Directive, adoptată în 2016, a fost primul cadru legislativ european dedicat securității rețelelor și sistemelor informatice. Scopul ei era să stabilească un nivel minim de securitate cibernetică în UE și să oblige anumite organizații critice să gestioneze riscurile IT și să raporteze incidente.
În 2022, Uniunea Europeană a adoptat Directiva NIS2, care înlocuiește vechea directivă. Aceasta a apărut deoarece mediul digital s-a schimbat: atacurile cibernetice sunt mai frecvente, lanțurile de aprovizionare sunt digitalizate, iar infrastructura critică depinde mult mai mult de sisteme informatice. Directiva stabilește cerințe pentru organizațiile care operează servicii esențiale sau importante pentru economie și societate.
Aceste cerințe includ:
- managementul riscurilor cibernetice
- măsuri tehnice și organizaționale de securitate
- raportarea incidentelor majore
- responsabilitatea managementului
Vom detalia aceste cerințe într-un articol dedicat cerințelor NIS2 pentru securitatea cibernetică.
Cadrul legislativ și implementarea în România
NIS2 este o directivă care trebuie transpusă și aplicată în fiecare stat membru UE.
La nivel local, responsabilitatea pentru implementarea și supravegherea acestor cerințe revine Directoratului Național de Securitate Cibernetică (DNSC). Practic, DNSC devine punctul central în relația dintre stat și organizațiile vizate de NIS2.
DNSC acționează ca autoritate competentă pentru NIS2, organism de control și supraveghere, punct de contact pentru raportarea incidentelor și coordonator național în domeniul securității cibernetice. Cu alte cuvinte, este instituția care va verifica dacă organizațiile respectă cerințele, dar și cea la care acestea trebuie să raporteze atunci când apare un incident de securitate.
Organizațiile vizate vor trebui să se înregistreze, să mențină o relație activă cu DNSC și să poată demonstra, în orice moment, că își gestionează riscurile cibernetice în mod adecvat.
Ce organizații sunt vizate de NIS2
Directiva extinde numărul organizațiilor care trebuie să respecte reguli de securitate cibernetică, definind două categorii principale:
- entități esențiale
- entități importante
Acestea includ organizații din sectoare precum:
- energie (electricitate, încălzire centralizată, răcire centralizată, petrol, gaze)
- transport (aerian, feroviar, rutier, pe apă)
- sănătate (spitale, laboratoare, producători de medicamente)
- servicii financiare (instituții de credit, bursa, operatori de locuri de tranzacționare)
- infrastructură digitală (furnizori de servicii DNS, cloud computing, IXP, centre de date, registre de nume TLD, furnizori de servicii de comunicații electronice)
- administrație publică (instituții centrale și regionale)
- apă potabilă și apă uzată
În general, directiva se aplică organizațiilor medii și mari din aceste domenii. Totuși, în anumite situații pot fi incluse și organizații mai mici dacă rolul lor este critic pentru funcționarea unui sector.
Cereți mai multe informații
Obține o evaluare a expunerii la riscuri IT și un plan de conformare în termenul legal.
Ce este un audit NIS2
Auditul NIS2 este o evaluare a modului în care o organizație gestionează securitatea cibernetică și riscurile asociate sistemelor sale informatice.
Scopul auditului este să determine dacă organizația respectă cerințele stabilite de directivă și dacă măsurile implementate sunt suficiente pentru a gestiona riscurile cibernetice.
Auditul analizează procesele organizaționale, politicile de securitate, controalele tehnice, modul în care sunt gestionate incidentele dar și responsabilitățile interne.
Pentru multe organizații, auditul este primul moment în care aceste elemente sunt analizate într-un mod structurat.
Ce verifică auditorii într-o organizație
Directiva NIS2 definește o serie de măsuri minime de securitate care trebuie implementate de organizațiile vizate.
Printre acestea se numără:
- politici de securitate cibernetică
- managementul riscurilor
- securitatea lanțului de aprovizionare
- controlul accesului la sisteme
- criptarea și protecția datelor
- detectarea și gestionarea incidentelor
- planuri de continuitate a activității
Important este că aceste măsuri să fie implementate, documentate și demonstrabile.
Cum se desfășoară un audit NIS2
În majoritatea cazurilor, auditul începe cu o analiză inițială a organizației.
Această etapă urmărește să înțeleagă infrastructura digitală, procesele critice și modul în care sunt gestionate riscurile cibernetice.
Urmează analiza conformității cu cerințele directivei.
Auditorii analizează documentația, discută cu echipele interne și verifică modul în care sunt implementate controalele tehnice.
Rezultatul final este un raport de audit care descrie nivelul de conformitate și zonele în care sunt necesare îmbunătățiri.
Ce se întâmplă dacă organizația nu este conformă
Directiva NIS2 introduce mecanisme de supraveghere mai stricte decât legislația anterioară.
Autoritățile competente pot solicita audituri, pot efectua controale și pot aplica sancțiuni în cazul neconformității.
În cazurile grave, sancțiunile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri globală anuală a organizației.
Dar pentru multe companii, riscul real este întreruperea activității în urma unui incident cibernetic major și pierderea încrederii clienților.
Cereți mai multe informații
Obține o evaluare a expunerii la riscuri IT și un plan de conformare în termenul legal.
Cum începe pregătirea pentru NIS2
Pentru organizațiile aflate la începutul procesului, pregătirea pentru NIS2 începe de obicei cu câteva etape fundamentale.
- Prima este identificarea sistemelor și serviciilor critice.
- Urmează evaluarea riscurilor cibernetice și definirea politicilor de securitate.
- Apoi stabilirea responsabilităților interne și documentarea proceselor.
În multe cazuri, organizațiile aleg să înceapă cu un audit independent pentru a înțelege nivelul real de pregătire.
Rolul unui audit independent
Un audit realizat de o echipă externă oferă organizației o perspectivă obiectivă asupra nivelului actual de securitate.
Evaluatorii pot identifica lacunele de conformitate și pot propune un plan de remediere.
Pentru multe organizații, auditul devine punctul de plecare al procesului de conformare.
Mai multe detalii despre modul în care se desfășoară acest proces pot fi găsite în pagina dedicată serviciului de audit NIS2 oferit de Systema.
Concluzie
NIS2 este deja în aplicare.
Termenul pentru înregistrarea la DNSC a expirat în septembrie 2025, iar pentru multe organizații acest moment a venit înainte de a exista o imagine clară asupra nivelului de pregătire.
Asta nu înseamnă că obligațiile au dispărut. Din contră. Organizațiile vizate trebuie în continuare să se înregistreze, să poată demonstra măsurile implementate și să fie pregătite pentru controale sau solicitări din partea autorităților.
