Modulul 9 · 9.1
NIS2 și transpunerea română a directivei (OUG nr. 155/2024)
Modulul 9: Reguli și organizare · Timp de citire: 11 minute
Obiectiv de învățare: După această lecție veți putea explica ce reglementează transpunerea NIS2 în legislația națională, pentru cine se aplică și ce înseamnă aceasta, prin lanțul de furnizori, pentru firmele mici.
Noțiuni cheie: NIS2, entitate esențială și importantă, sector, dimensiune, obligație de diligență, obligație de notificare (24 de ore, 72 de ore, 1 lună), obligație de înregistrare, lanț de furnizori, autoevaluare
De la directiva europeană la legea națională
NIS2 este o directivă europeană din 2022 (Directiva (UE) 2022/2555) care urmărește să crească reziliența digitală a organizațiilor importante din întreaga UE. O directivă nu se aplică direct: fiecare stat o transpune printr-o lege proprie. În România, această transpunere s-a realizat prin Ordonanța de urgență a Guvernului nr. 155/2024, aprobată prin Legea nr. 124/2025. Ordonanța este în vigoare din 31 decembrie 2024. Pentru explicarea mecanismului, această lecție folosește ca exemplu și legea olandeză corespunzătoare, Cyberbeveiligingswet (Cbw), care intră în vigoare în Țările de Jos la 15 august 2026, tot fără perioadă de tranziție, odată cu legea olandeză privind reziliența entităților critice și cu regulamentul olandez de securitate cibernetică în care sunt detaliate regulile. Vechea lege olandeză privind securitatea rețelelor și sistemelor informatice (Wbni) a fost abrogată. În Țările de Jos nu există o perioadă de tranziție: cine intră sub incidența legii trebuie să respecte cerințele de la bun început.
Potrivit NCSC-ului din Țările de Jos, peste 8.000 de organizații intră sub incidența legii olandeze. Este o parte mică din totalul firmelor din Țările de Jos. Pentru majoritatea firmelor mici, întrebarea importantă nu este așadar "ce trebuie să fac eu pentru lege?", ci "ce îmi vor cere clienții mei pentru că ei intră sub incidența legii?". Revenim la asta mai jos.
În Țările de Jos, NCSC-ul este punctul de contact pentru Cbw și, din 1 ianuarie 2026, și pentru IMM-uri: fostul Digital Trust Center a devenit parte a NCSC-ului.
Intrați sub incidența legii? Sector și dimensiune
Dacă o organizație intră sub incidența transpunerii NIS2 depinde de două întrebări.
1. Activați într-un sector menționat în lege? Legea are două anexe.
| Anexa 1 (11 sectoare) | Anexa 2 (7 sectoare) |
|---|---|
| energie, transport, sectorul bancar, apă potabilă, infrastructură digitală, administrarea serviciilor TIC, spațiu cosmic, infrastructura pieței financiare, sănătate, ape uzate, administrație publică | furnizori digitali, servicii poștale și de curierat, gestionarea deșeurilor, produse alimentare, substanțe chimice, cercetare, producție (industrie prelucrătoare) |
Pentru unele sectoare se aplică condiții suplimentare stabilite de ministerul responsabil. Nu orice organizație care are legătură cu "produsele alimentare" intră automat sub incidența legii.
2. Sunteți suficient de mari? Organizația dumneavoastră se încadrează dacă:
- aveți 50 sau mai mulți angajați (echivalent normă întreagă), sau
- aveți mai puțin de 50 de angajați, dar cifra de afaceri anuală și bilanțul total sunt amândouă peste 10 milioane de euro.
Întreprinderile partenere și cele legate se iau în calcul. O firmă cu 20 de angajați care face parte dintr-un grup de 200 poate intra, așadar, sub incidența legii.
Excepții: indiferent de dimensiune. Câteva tipuri de organizații intră întotdeauna sub incidența legii, oricât de mici ar fi: furnizorii de servicii DNS, registrele domeniilor de nivel superior, furnizorii de rețele și servicii publice de comunicații electronice, prestatorii de servicii de încredere și organizațiile din administrația publică. De asemenea, furnizorii de servicii de înregistrare a numelor de domeniu trebuie să se înregistreze.
Esențial sau important
Organizațiile care intră sub incidența legii sunt entități esențiale sau importante. În linii mari: organizațiile mari din sectoarele anexei 1 și câteva tipuri desemnate indiferent de dimensiune sunt esențiale; restul sunt importante. Diferența constă în principal în modul de supraveghere: la entitățile esențiale, autoritatea poate controla și din proprie inițiativă, de exemplu prin inspecții și audituri; la entitățile importante, intervine în principal ulterior, atunci când există indicii că ceva nu este în regulă. Obligațiile în sine sunt în mare parte identice. Dacă sunteți esențial sau important se stabilește prin autoevaluarea de mai jos.
Verificați singuri
În Țările de Jos, Inspecția Națională pentru Infrastructură Digitală (RDI) pune la dispoziție o autoevaluare NIS2 gratuită. Se răspunde la o serie de întrebări despre sector, dimensiune și servicii și se obține un rezultat. Pentru situația dumneavoastră din România, recomandăm să consultați autoritatea competentă națională sau un consultant juridic, mai ales dacă firma dumneavoastră face parte dintr-un grup sau activează în mai multe țări.
Ce cere legea
Dacă organizația dumneavoastră intră sub incidența legii, se aplică trei obligații.
Obligația de înregistrare
Vă înregistrați organizația la autoritatea națională de securitate cibernetică. Astfel, autoritățile știu cine intră sub incidența legii și vă pot contacta în caz de amenințare.
Obligația de diligență
Realizați o analiză de risc și, pe baza acesteia, luați măsuri adecvate și proporționale pentru securitatea sistemelor dumneavoastră de rețea și informatice. NCSC-ul din Țările de Jos menționează cel puțin zece domenii, pe care le-ați întâlnit pe toate în această cursă:
- analiza de risc (lecția 1.1 și 9.3);
- gestionarea incidentelor cu un plan de incident (lecția 8.1);
- pregătirea pentru întreruperi: copii de siguranță, planuri de recuperare, managementul crizelor (modulul 6);
- securitatea lanțului de aprovizionare, inclusiv riscurile legate de furnizori (lecția 7.2);
- igiena cibernetică și formarea personalului (lecția 9.2);
- achiziția, dezvoltarea și întreținerea sigură a sistemelor, inclusiv actualizările (lecția 5.1);
- personal, politica de acces și gestionarea echipamentelor și software-ului (lecția 7.1);
- passkey-uri sau autentificare cu mai mulți factori și comunicații securizate (modulul 2);
- o politică privind criptografia (criptarea);
- evaluarea eficienței măsurilor, de exemplu prin testare periodică (lecția 6.3 și 9.3).
Conducerea organizației este responsabilă: aprobă măsurile și supraveghează implementarea lor. Potrivit directivei europene, membrii conducerii trebuie să urmeze și o formare privind riscurile cibernetice. Securitatea cibernetică nu mai este, așadar, o sarcină care poate fi lăsată doar în seama responsabilului IT.
Obligația de notificare
Un incident semnificativ se notifică autorității naționale de securitate cibernetică. Este vorba despre un incident care perturbă grav serviciile dumneavoastră, provoacă prejudicii financiare sau poate provoca daune importante altor persoane; pragurile exacte diferă în funcție de sector. Termenele curg din momentul în care luați cunoștință de incident:
| Termen | Ce trimiteți |
|---|---|
| În termen de 24 de ore | Avertizare timpurie: este probabil un act răuvoitor, există consecințe transfrontaliere, cine este persoana de contact |
| În termen de 72 de ore | Notificarea incidentului: o actualizare cu o primă evaluare a gravității și impactului |
| În termen de 1 lună de la notificare | Raport final: ce s-a întâmplat, cauza și măsurile luate (dacă incidentul durează mai mult: un raport intermediar) |
O singură notificare transmisă autorității naționale de securitate cibernetică ajunge atât la echipa CSIRT (echipa care acordă asistență în caz de incident), cât și la autoritatea de supraveghere. În plus, potrivit directivei, trebuie să îi informați, dacă este necesar, pe beneficiarii serviciilor dumneavoastră cu privire la incidentele semnificative care i-ar putea afecta.
Notificarea conform transpunerii NIS2 și notificarea conform GDPR: două lucruri diferite
Aceasta seamănă cu obligația de notificare a încălcărilor de securitate a datelor din GDPR (lecția 8.2), iar termenul de "72 de ore" apare în ambele cazuri. Totuși, este vorba despre două obligații separate.
| Transpunerea NIS2 | GDPR (încălcarea securității datelor) | |
|---|---|---|
| Pentru cine | Organizațiile care intră sub incidența legii de transpunere a NIS2 | Oricine prelucrează date cu caracter personal, inclusiv un liber profesionist |
| Despre ce | Incidente semnificative legate de serviciile dumneavoastră | Încălcări ale securității datelor cu caracter personal |
| Către cine | Autoritatea națională de securitate cibernetică | Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) |
| Termene | 24 de ore, 72 de ore, 1 lună | Fără întârzieri nejustificate, dacă este posibil în 72 de ore |
Un atac cu ransomware la o organizație aflată sub incidența legii, în cadrul căruia au fost furate și date ale clienților, trebuie notificat, așadar, la ambele autorități. Iar o firmă mică ce nu intră sub incidența transpunerii NIS2 are totuși obligația de notificare conform GDPR dacă se scurg date cu caracter personal.
Dacă nu intrați sub incidența legii: lanțul de furnizori
Pentru majoritatea cititorilor acestei cursuri, răspunsul la prima întrebare este: nu, firma mea nu intră sub incidența acestei legi. Brutăria cu doisprezece angajați, biroul contabil cu cinci, dezvoltatorul de site-uri web care lucrează singur. În acest caz nu aveți obligații legale din această lege: fără înregistrare, fără obligație de notificare la autoritate, fără supraveghere directă.
Dar legea vă poate afecta totuși prin intermediul clienților dumneavoastră. Organizațiile care intră sub incidența legii trebuie să își securizeze lanțul de aprovizionare: trebuie să țină cont de vulnerabilitățile furnizorilor și prestatorilor lor direcți de servicii. NCSC-ul din Țările de Jos precizează că legea nu impune obligații directe furnizorilor înșiși, dar că organizațiile aflate sub incidența legii pot impune cerințe privind securitatea digitală a furnizorilor lor. Aceste cerințe ajung apoi în contractul dumneavoastră sau într-un chestionar.
Un exemplu. O firmă mică de IT, cu șase angajați, administrează laptopurile și rețeaua unei firme medii de transport cu 140 de angajați. Firma de transport intră sub incidența legii (transport, dimensiune suficientă). Firma de IT însăși nu: "administrarea serviciilor TIC" apare în anexa 1, dar firma este prea mică. Totuși, primește un chestionar: aveți autentificare în doi pași pe instrumentele de administrare, cine are acces la sistemele noastre, cât de repede ne notificați un incident, unde sunt stocate copiile de siguranță?
Ce spune NCSC-ul din Țările de Jos despre acest lucru și ce înseamnă pentru dumneavoastră:
- Cerințele trebuie să fie proporționale. Un client ar trebui să țină cont de riscul pe care îl reprezintă serviciul dumneavoastră pentru el. Un furnizor cu acces la sisteme primește cerințe mai stricte decât cel care livrează prânzul.
- Este vorba despre furnizorii direcți. Furnizorii furnizorilor dumneavoastră nu intră sub incidența legii.
- Un certificat nu este obligatoriu. Legea nu impune o schemă de certificare. Un certificat poate ușura discuția, dar nu este o garanție și nu este o cerință legală.
- Începeți devreme discuția. Inventariați măsurile pe care le aveți deja în punctele de contact cu clientul și consemnați acordurile în scris.
Așadar nu exagerați. Transpunerea NIS2 nu transformă o firmă mică într-o organizație "supusă NIS2", iar un consultant care vă spune altceva pentru a vă vinde o certificare costisitoare prezintă doar o parte a poveștii. Dar nici nu subestimați situația: cine livrează către organizații mai mari trebuie să poată arăta, din ce în ce mai des, că bazele sunt în ordine. Măsurile de bază din această cursă sunt exact ceea ce cere, de obicei, un astfel de chestionar.
Această lecție oferă explicații generale și nu constituie consultanță juridică. Pentru regulile actuale, consultați sursele oficiale de mai jos, inclusiv sursa olandeză folosită ca exemplu, la https://www.ncsc.nl/cyberbeveiligingswet-nis2 (sursă olandeză) și textul legii olandeze la https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (sursă olandeză).
Rezumat
- Transpunerea română a directivei NIS2 este OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, în vigoare din 31 decembrie 2024; legea olandeză corespunzătoare (Cbw) este dată ca exemplu și se aplică din 15 august 2026, fără perioadă de tranziție.
- Intrați sub incidența legii dacă activați într-un sector din anexa 1 sau 2 și aveți 50 sau mai mulți angajați echivalent normă întreagă, sau cifra de afaceri anuală și bilanțul total sunt amândouă peste 10 milioane de euro; unele tipuri (precum furnizorii de servicii DNS și administrația publică) indiferent de dimensiune.
- Obligații: înregistrare la autoritatea națională de securitate cibernetică, obligație de diligență cu analiză de risc și măsuri adecvate sub responsabilitatea conducerii, și notificarea incidentelor semnificative în 24 de ore, 72 de ore și 1 lună.
- Notificarea conform transpunerii NIS2 este separată de notificarea încălcărilor de securitate a datelor conform GDPR, către ANSPDCP; uneori sunt necesare ambele.
- O firmă mică de regulă nu intră ea însăși sub incidența legii, dar poate primi, prin clienți care intră sub incidența ei, cerințe de securitate proporționale.
Test
Exercițiu
Exercițiul A9.1: Intră sub incidența transpunerii NIS2? Primiți șase descrieri scurte de organizații (sector, număr de angajați, cifră de afaceri, bilanț total, eventual un grup sau un client mare). Stabiliți pentru fiecare organizație: intră sub incidența legii, nu intră dar probabil va primi cerințe prin intermediul unui client, sau nu intră. Programul verifică răspunsurile și afișează, pentru fiecare organizație, pașii arborelui de decizie.
Lectură suplimentară
Despre transpunerea NIS2 nu există încă un articol în baza de cunoștințe WebOké; folosiți sursele oficiale de mai jos.
- NCSC (sursă olandeză), Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- NCSC (sursă olandeză), Valt mijn organisatie onder de Cyberbeveiligingswet?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- NCSC (sursă olandeză), Zorgplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- NCSC (sursă olandeză), Meldplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- NCSC (sursă olandeză), De Cyberbeveiligingswet en toeleveranciers: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Textul directivei NIS2 (UE): https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Textul legii olandeze (sursă olandeză), Cyberbeveiligingswet: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 și Cyberbeveiligingswet (Legea olandeză privind securitatea cibernetică): se aplică și companiei mele?