Directiva europeană NIS2 a extins obligațiile de securitate cibernetică de la câteva sectoare critice la mii de firme medii și mari din toată Uniunea. În România, ea a fost transpusă prin OUG nr. 155/2024, în vigoare din 31 decembrie 2024 și aprobată cu modificări prin lege în 2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).

Mai jos găsiți pe scurt ce înseamnă asta pentru o firmă și de unde puteți începe.

Cine este vizat

NIS2 se aplică, în general, firmelor mijlocii și mari (de la 50 de angajați sau cu o cifră de afaceri de peste 10 milioane de euro) care activează în sectoarele enumerate de directivă. Printre ele se numără energia, transporturile, sectorul bancar, sănătatea, apa, infrastructura digitală și furnizorii de servicii IT gestionate, dar și sectoare precum serviciile poștale, gestionarea deșeurilor, industria chimică, alimentară sau producția de echipamente electronice.

Firmele sunt împărțite în entități esențiale și entități importante, în funcție de sector și de mărime. Pentru unele servicii, cum ar fi cele de încredere sau furnizorii de rețele publice de comunicații electronice, mărimea firmei nu contează.

Dacă nu sunteți sigur că firma intră sub incidența NIS2, primul pas este să verificați codul CAEN, sectorul și pragurile de mărime față de anexele OUG 155/2024.

Notificarea la DNSC

Firmele vizate aveau obligația să se notifice la DNSC în termen de 30 de zile de la 20 august 2025, conform Ordinului DNSC nr. 1/2025. Termenul a expirat în septembrie 2025. Dacă firma dumneavoastră este vizată și nu a trimis notificarea, este bine să o faceți cât mai repede.

După ce DNSC emite decizia de identificare, urmează evaluarea nivelului de risc (în 60 de zile) și apoi autoevaluarea nivelului de maturitate a măsurilor de securitate (în alte 60 de zile), conform Ordinului DNSC nr. 2/2025.

Raportarea incidentelor

NIS2 impune un calendar strict pentru incidentele semnificative:

  • în 24 de ore de la aflarea incidentului: o avertizare timpurie;
  • în 72 de ore: notificarea incidentului, cu o primă evaluare a gravității și impactului;
  • în cel mult o lună: raportul final.

În practică, asta înseamnă că firma trebuie să aibă deja stabilit cine detectează un incident, cine decide dacă este semnificativ și cine trimite raportarea. Improvizația la ora 23 nu funcționează.

Ce măsuri de securitate se cer

Directiva cere măsuri „adecvate și proporționale” cu riscul, printre care:

  • politici de analiză a riscurilor și de securitate a sistemelor informatice;
  • gestionarea incidentelor și continuitatea activității (inclusiv backup și recuperare în caz de dezastru);
  • securitatea lanțului de aprovizionare, adică a furnizorilor care au acces la sistemele firmei;
  • gestionarea vulnerabilităților și testarea eficienței măsurilor;
  • instruirea angajaților și igiena cibernetică de bază;
  • criptografie, controlul accesului și autentificare multifactor acolo unde este cazul.

Conducerea firmei răspunde direct: trebuie să aprobe măsurile și să supravegheze aplicarea lor.

Ce riscă o firmă

Amenzile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri anuală la nivel mondial pentru entitățile esențiale și la 7 milioane de euro sau 1,4% pentru entitățile importante, în funcție de care valoare este mai mare.

De unde începeți

  1. Verificați dacă firma este vizată și dacă notificarea la DNSC a fost trimisă.
  2. Faceți un inventar al sistemelor, datelor și furnizorilor importanți.
  3. Evaluați diferențele dintre ce aveți acum și ce se cere. Aici o evaluare externă ajută, pentru că vede lucrurile fără obișnuințele din interior.
  4. Stabiliți un plan de măsuri prioritizat și procedura de raportare a incidentelor.
  5. Testați ce ați implementat, de exemplu printr-un audit de securitate.

Dacă aveți deja ISO/IEC 27001 sau lucrați spre certificare, o mare parte din cerințe se suprapun, dar nu toate: notificarea la DNSC și termenele de raportare sunt specifice NIS2.

Articolul are caracter informativ și nu reprezintă consultanță juridică. Pentru situația concretă a firmei, verificați textul actualizat al OUG 155/2024 și ghidurile DNSC.