Imagină-ți că, peste noapte, un atac cibernetic blochează plățile, oprește aprovizionarea cu energie sau paralizează sistemul informatic al unui spital. Nu mai vorbim de scenarii SF, ci de riscuri reale, pentru care Uniunea Europeană a creat directiva nis2, un set de reguli obligatorii care schimbă felul în care organizațiile își protejează sistemele digitale.

Pentru companiile și instituțiile din România, întrebarea nu mai este „dacă”, ci „când” vor fi atinse de această reglementare. Dacă activezi într-un sector esențial – de la energie și transport până la sănătate, bănci sau furnizori de servicii digitale – ignorarea cerințelor nis2 poate însemna amenzi uriașe, blocarea activității și o lovitură serioasă de imagine.

Ce este, de fapt, nis2?

Pe scurt, nis2 este noua Directivă europeană privind securitatea rețelelor și a sistemelor informatice (Directiva (UE) 2022/2555), care înlocuiește vechea NIS și ridică standardele de securitate cibernetică în toate statele membre. Ea stabilește reguli minime pe care organizațiile cheie din economie trebuie să le respecte pentru a preveni, detecta și raporta incidentele de securitate.

Obiectivul principal al directivei este să reducă numărul și impactul atacurilor cibernetice asupra infrastructurilor critice: energie, transport, telecomunicații, sănătate, apă, servicii financiare, administrație publică și multe altele. În loc de recomandări generale, nis2 introduce obligații clare, termene stricte de raportare a incidentelor și sancțiuni care pot ajunge până la milioane de euro pentru organizațiile care nu se conformează.

Cum se aplică nis2 în România în 2025?

În România, directiva nis2 a fost transpusă în legislația națională la final de 2024, printr-o ordonanță care stabilește rolul autorității competente – Direcția Națională de Securitate Cibernetică (DNSC) – și obligațiile concrete pentru entitățile vizate. Practic, regulile nu mai sunt doar „ale Europei”, ci devin norme locale, cu controale, registre și sancțiuni aplicate de autoritățile române.

Pentru majoritatea organizațiilor afectate, anul 2025 este momentul în care trebuie să demonstreze că nu doar au auzit de nis2, ci și că au pus la punct politici, proceduri și măsuri tehnice care să reziste unui audit sau unei investigații după un incident de securitate.

Cine intră sub incidența nis2: entități esențiale și importante

Unul dintre cele mai mari mituri este că nis2 se aplică doar „marilor companii IT”. În realitate, directiva acoperă 18 sectoare considerate critice – de la energie și transport până la sănătate, apă, industrie prelucrătoare, servicii digitale sau administrație publică – și introduce un criteriu de mărime: în mod normal, sunt vizate companiile medii și mari, cu cel puțin 50 de angajați sau peste 10 milioane de euro cifră de afaceri anuală.

Entitățile sunt împărțite în două categorii:

  • Entități esențiale – de exemplu companii din energie, transport, bănci, infrastructuri ale pieței financiare, spitale și alte organizații de sănătate, furnizori de apă potabilă și apă uzată, administrație publică centrală sau furnizori de infrastructură digitală (centre de date, rețele de comunicații).
  • Entități importante – companii din industrii precum alimentație, producție, servicii poștale și de curierat, gestionarea deșeurilor, produse chimice, furnizori de servicii online, cercetare sau alte servicii critice pentru economie.

Chiar dacă nu te regăsești clar într-unul dintre aceste exemple, merită să verifici atent dacă activitatea ta este listată în anexele directivei sau în legislația națională de implementare. În plus, nis2 permite statelor membre să includă și companii mai mici, dacă acestea au un rol critic pentru societate sau economie – de exemplu un furnizor IT cheie pentru mai multe spitale sau operatori de infrastructură.

Criteriul de mărime: de ce nu mai poți spune „suntem prea mici”

Directiva a vrut să elimine diferențele mari dintre state și a introdus așa-numita regulă a „pragului de dimensiune”. Asta înseamnă că, dacă ești companie medie sau mare într-un sector vizat de nis2, intri automat în categorie, fără să mai aștepți să fii „identificat” de o autoritate. Pentru anumite tipuri de furnizori – de exemplu serviciile de încredere calificată sau registrele de domenii – obligațiile se aplică indiferent de mărimea companiei.

În România, până cel târziu în aprilie 2025 autoritățile trebuie să finalizeze lista oficială cu entități esențiale și importante și să actualizeze periodic acest registru. Dacă te numeri printre ele, vei primi notificări, dar responsabilitatea de a verifica dacă intri sub incidența nis2 nu dispare doar pentru că încă nu ai fost contactat.

Ce înseamnă, concret, „proceduri distincte” pentru nis2?

Mulți manageri cred că, dacă au deja un antivirus, un firewall și o copie de rezervă a datelor, sunt acoperiți. În realitate, nis2 cere un set de măsuri integrate de management al riscului de securitate cibernetică, documentate și aplicate zi de zi, nu doar pe hârtie. Aici intervin procedurile distincte, dedicate conformității cu directiva.

Nu este vorba doar de o politică IT nouă, ci de un mod diferit de a conduce organizația atunci când vine vorba de securitate. Reglementarea pune accentul pe responsabilitatea conducerii, pe lanțul de aprovizionare și pe capacitatea de a răspunde rapid la incidente. Fără proceduri clare, repetabile și auditate, conformitatea cu nis2 rămâne doar un deziderat.

Setul minim de proceduri pe care ar trebui să le ai

Deși fiecare organizație va adapta cerințele la propriile riscuri, există câteva categorii de proceduri fără de care nu poți vorbi serios despre conformitate cu nis2:

  • Proceduri de identificare și evaluare a riscurilor – un proces periodic prin care identifici activele critice (sisteme, aplicații, date), amenințările posibile și nivelul de risc acceptat. Rezultatul trebuie să fie documentat și folosit ca bază pentru toate celelalte măsuri.
  • Politici de acces și control al identității – reguli clare pentru conturi, parole, autentificare multifactor, drepturi de acces și revocarea lor atunci când oamenii pleacă din companie sau își schimbă rolul.
  • Proceduri de securizare a rețelei și a sistemelor – standarde pentru configurarea serverelor, a stațiilor de lucru, a echipamentelor de rețea, actualizări de securitate, segmentarea rețelei și protecția punctelor de acces la internet.
  • Plan de răspuns la incidente – pași concreți de urmat atunci când apare un atac: cine răspunde, cum se limitează pagubele, cum se colectează probele, cui se raportează intern și extern, ce mesaje se transmit clienților sau partenerilor.
  • Proceduri de backup și recuperare în caz de dezastru – reguli pentru copiile de siguranță, testarea periodică a restaurării și scenarii de continuitate a activității (business continuity) în caz de afectare majoră.
  • Managementul furnizorilor și al lanțului de aprovizionare – contracte, SLA-uri și verificări prin care te asiguri că partenerii care îți gestionează date sau sisteme respectă la rândul lor cerințele de securitate prevăzute de legislație.
  • Instruirea și conștientizarea angajaților – programe regulate de training, simulări de phishing, campanii interne de informare. Angajații sunt prima linie de apărare, nu o vulnerabilitate inevitabilă.

Termene și raportare a incidentelor: ce înseamnă „rapid” pentru autorități

O componentă sensibilă a directivei este raportarea incidentelor de securitate. Nu mai este suficient să „știi intern” că ai avut un atac și să îl rezolvi în liniște. Pentru entitățile esențiale și importante, regulile inspirate de nis2 prevăd notificarea autorităților în mai multe etape: o avertizare timpurie în aproximativ 24 de ore de la detectarea incidentului, un raport detaliat în cel mult 72 de ore și, la nevoie, o analiză finală a impactului în circa 30 de zile.

În practică, asta înseamnă că trebuie să ai deja pregătite fluxuri de raportare și oameni responsabili: cine decide că un incident este „semnificativ”, cine transmite notificarea către DNSC, cine discută cu presa sau cu partenerii, cine se ocupă de remediere. Fără aceste roluri stabilite din timp, orele trec foarte repede în mijlocul unei crize informatice, iar organizația riscă să încalce termenele de raportare.

Ai nevoie de ajutor? Apelează la o firma specializată prin care să ai un responsabil nis2 externalizat.

Ce riști dacă nu respecți regulile de securitate cibernetică

Regimul de sancțiuni este una dintre cele mai puternice pârghii ale directivei. Pentru entitățile esențiale, amenzile pot ajunge până la 10 milioane de euro sau 2% din cifra de afaceri globală anuală, iar pentru entitățile importante plafonul este de 7 milioane de euro sau 1,4% din cifra de afaceri, în funcție de care sumă este mai mare.

Pe lângă amenzile financiare, autoritățile pot dispune audituri suplimentare, pot impune limitarea sau suspendarea unor servicii și pot face publice anumite informații despre incident, ceea ce lovește direct în încrederea clienților și partenerilor. În cazuri grave, conducerea poate primi avertismente oficiale, poate fi temporar suspendată din funcții de management sau poate fi vizată de răspundere personală pentru neglijență.

Cum poți începe pregătirea pentru noile cerințe

Vestea bună este că multe dintre măsurile cerute de directivă coincid cu bunele practici generale de securitate cibernetică și management al riscului. Dacă ai deja implementat un standard precum ISO 27001 sau ai o guvernanță matură a IT-ului, nu pornești de la zero – însă va fi nevoie să verifici punct cu punct ce cere legislația și ce lipsește din documentația și procesele tale.

Un plan de acțiune simplu, dar eficient, poate arăta așa:

  • Pasul 1 – Verifică dacă ești vizat – analizează sectorul de activitate, dimensiunea companiei și rolul pe care îl ai în lanțul de aprovizionare. Dacă ești furnizor critic pentru alte entități, șansele să fii inclus cresc considerabil.
  • Pasul 2 – Fă un audit de securitate cibernetică – cu ajutor intern sau extern, identifică punctele slabe, nivelul actual de maturitate și diferența față de cerințele legale.
  • Pasul 3 – Stabilește responsabilitățile – desemnează persoane sau echipe responsabile de securitate, de raportarea incidentelor, de relația cu autoritățile și de trainingul angajaților.
  • Pasul 4 – Actualizează politici și proceduri – aliniază documentația internă la cerințele legale, descrie clar procesele și asigură-te că sunt comunicate și aplicate în practică.
  • Pasul 5 – Testează și îmbunătățește continuu – exerciții de tip tabletop, simulări de atac, testări de restaurare din backup îți arată dacă ceea ce este scris chiar funcționează într-o situație reală.

De ce nu este doar o obligație legală, ci o investiție în supraviețirea afacerii

Atacurile cibernetice nu mai sunt o raritate, ci o certitudine statistică. De la ransomware care criptează sistemele până la furt de date sensibile sau compromiterea conturilor de e-mail ale conducerii, fiecare organizație conectată la internet este o potențială țintă. Cadrul reglementat prin nis2 doar oficializează ceva ce ar fi trebuit oricum să se întâmple: trecerea securității IT de la nivelul de „problemă tehnică” la nivelul de prioritate strategică.

În plus, companiile care tratează serios securitatea și își aliniază procesele la standardele actuale au un avantaj competitiv clar: pot participa la licitații, pot colabora mai ușor cu parteneri internaționali, inspiră încredere clienților și pot reacționa mai rapid în fața unui incident. Într-o lume în care încrederea se poate pierde într-o singură zi, orice pas înainte în zona de securitate este, de fapt, un pas înainte pentru întreaga afacere.

Dacă te întrebi când este momentul potrivit să începi, răspunsul sincer este că termenul-limită a început deja să curgă – iar organizațiile care se mișcă primele vor fi cele care vor dormi cel mai liniștit la următorul titlu de știri despre un nou atac cibernetic major.

Întrebări frecvente despre nis2

Ce tipuri de organizații sunt obligate să respecte cerințele?

Obligațiile se aplică în principal companiilor medii și mari din sectoare critice – energie, transport, sănătate, apă, bănci, servicii digitale, industrie și administrație publică – care sunt încadrate ca entități esențiale sau importante conform legislației în vigoare.

Ce diferență este între o entitate esențială și una importantă?

Ambele categorii trebuie să aplice măsuri solide de securitate și să raporteze incidentele, însă entitățile esențiale sunt, în general, cele cu impact direct și major asupra societății – de exemplu rețelele de energie sau spitalele – și sunt supuse unui regim de supraveghere mai strict, inclusiv amenzi maxime mai mari.

Cât timp ai la dispoziție pentru a raporta un incident de securitate?

Regulile prevăd notificarea rapidă a autorităților: un raport inițial la scurt timp după detectarea incidentului, urmat de actualizări detaliate în următoarele ore și zile, pe măsură ce ai mai multe informații despre cauze și impact.

Cum te poți pregăti practic pentru nis2?

Primul pas este să validezi dacă intri sau nu în sfera directivei nis2, apoi să faci o analiză de tip gap între situația actuală și cerințele legale, eventual cu ajutorul unui specialist în securitate cibernetică. Pe baza acestei analize, stabilești un plan etapizat de implementare a măsurilor, cu responsabilități clare și termene realiste.

Este suficient să ai un standard precum ISO 27001 pentru a fi conform?

Un standard precum ISO 27001 sau alte framework-uri de securitate ajută enorm, dar nu garantează singur conformitatea. Va trebui să verifici dacă politicile și controalele existente acoperă cerințele specifice ale legislației naționale de implementare, inclusiv obligațiile de raportare, relația cu autoritățile și responsabilitatea conducerii.

Cei care văd aceste noi reguli doar ca pe o povară birocratică ratează esențialul: este, de fapt, o ocazie de a-ți consolida afacerea într-o economie în care atacurile cibernetice nu mai sunt o excepție, ci fundalul permanent al oricărei activități digitale.

Acest articol este oferit de echipa https://gdprcomplet.ro specializată în consultanță, audit și implementare GDPR pentru companii din toate industriile. Pentru întrebări legate de protecția datelor sau servicii dedicate afacerii tale, ne poți contacta la contact[@]gdprcomplet.ro