Pe scurt
O firmă intră de regulă sub NIS2 dacă activează într-unul dintre sectoarele din anexele directivei (de exemplu energie, transport, sănătate, apă, infrastructură digitală, producție, alimentație, curierat, deșeuri) și are cel puțin 50 de angajați sau peste 10 milioane de euro cifră de afaceri și bilanț. Unele entități intră indiferent de mărime. Firmele care intră trebuie să se înregistreze la DNSC, să aplice măsuri de securitate și să raporteze incidentele în 24 și 72 de ore.
Ce este NIS2
NIS2 este directiva europeană privind securitatea cibernetică. În România a fost transpusă prin OUG 155/2024, iar autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC). Față de prima directivă NIS, acoperă mult mai multe sectoare și firme.
Pasul 1: sectorul
Verifică dacă activitatea ta apare în anexele directivei:
- Sectoare cu grad ridicat de criticitate: energie, transport, bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă și apă uzată, infrastructură digitală, gestionarea serviciilor TIC (între firme), administrație publică, spațiu.
- Alte sectoare critice: servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, producția și distribuția de alimente, producție (dispozitive medicale, electronice, echipamente electrice, mașini și utilaje, autovehicule), furnizori digitali (marketplace-uri, motoare de căutare, rețele sociale), cercetare.
Pasul 2: mărimea
Regula generală: intră firmele medii și mari, adică de la 50 de angajați sau cu o cifră de afaceri anuală și un bilanț de peste 10 milioane de euro. Se iau în calcul și firmele partenere sau legate, nu doar entitatea juridică luată separat.
Pasul 3: excepțiile
Unele entități intră indiferent de mărime, de exemplu furnizorii de rețele sau servicii de comunicații electronice publice, prestatorii de servicii de încredere, registrele de domenii și furnizorii de DNS, unele entități din administrația publică sau firmele care sunt singurul furnizor al unui serviciu esențial într-o zonă.
Dacă intri sub NIS2
- Înregistrarea la DNSC.
- Măsuri de gestionare a riscurilor: analiza riscurilor, backup și continuitatea activității, autentificare în doi pași, controlul accesului și inventarul echipamentelor, actualizări, securitatea furnizorilor, criptare, training pentru angajați.
- Raportarea incidentelor semnificative: o avertizare timpurie în 24 de ore, o notificare în 72 de ore și un raport final în aproximativ o lună.
- Implicarea conducerii: conducerea aprobă măsurile, urmează un training și răspunde pentru ele.
Dacă nu intri, dar ești furnizor
Firmele vizate de NIS2 trebuie să-și verifice și lanțul de aprovizionare. Dacă lucrezi pentru o astfel de firmă, e foarte probabil să primești chestionare de securitate și clauze noi în contract: backup testat, autentificare în doi pași, notificarea incidentelor. Pregătirea din timp te ajută să nu pierzi clientul.
Cum te putem ajuta
Facem o evaluare a pregătirii, stabilim prioritățile, implementăm măsurile tehnice, scriem procedurile și planul de incidente și instruim echipa. Ghidul acesta este o orientare generală, nu consultanță juridică; pentru încadrarea exactă verifică textul OUG 155/2024 și îndrumările DNSC.