Ce trebuie să facă o companie pentru a respecta cerințele NIS2?

Articol creat in colaborare cu

O companie care intră sub incidența NIS2 trebuie să parcurgă o succesiune de pași cu termene precise: înregistrarea la Directoratul Național de Securitate Cibernetică (DNSC), evaluarea nivelului de risc, implementarea măsurilor de securitate, pregătirea raportării incidentelor și implicarea directă a conducerii. Conformarea nu începe cu achiziția unor soluții tehnice, ci cu stabilirea obligațiilor care se aplică firmei.

În România, Directiva NIS2 a fost transpusă prin Ordonanța de urgență nr. 155/2024, iar detaliile de aplicare sunt stabilite prin ordine ale directorului DNSC.

 

Înregistrarea la DNSC este primul pas

Entitățile care activează în sectoarele din anexele 1 și 2 ale OUG 155/2024 trebuie să transmită o notificare de înregistrare la DNSC în termen de 30 de zile de la data la care legea începe să li se aplice. Pentru firmele care se aflau deja în domeniul de aplicare, obligația a început pe 20 august 2025, odată cu intrarea în vigoare a Ordinului DNSC nr. 1/2025.

Notificarea conține datele de identificare ale firmei, informații despre dimensiune și serviciile prestate, plus o autoevaluare a impactului pe care l-ar avea perturbarea acestor servicii. Pe baza ei, DNSC decide dacă firma este entitate esențială sau entitate importantă. Lipsa înregistrării este sancționată, iar primele controale DNSC au vizat chiar această obligație.

 

Termenele care încep după decizia DNSC

Odată primită decizia de înregistrare, compania are un calendar strict:

• 30 de zile pentru desemnarea persoanelor responsabile cu securitatea rețelelor și sistemelor informatice;

• 60 de zile pentru transmiterea evaluării nivelului de risc;

• 60 de zile de la evaluarea riscului pentru autoevaluarea nivelului de maturitate a măsurilor de securitate;

• 30 de zile de la autoevaluare pentru planul de remediere, în cazul entităților esențiale.

Autoevaluarea maturității se transmite ulterior anual. DNSC compară informațiile raportate cu rezultatele controalelor și cu împrejurările incidentelor, așa că datele trebuie să reflecte situația reală, nu una dorită.

Înainte de autoevaluarea transmisă autorității, o analiză independentă a infrastructurii ajută la identificarea punctelor slabe. GTS Romania oferă serviciul IT Maturity Assessment, care analizează infrastructura IT a companiei și formulează recomandări concrete de îmbunătățire. Rezultatul este un punct de plecare pentru planul intern, nu un document care înlocuiește evaluările cerute de DNSC.

 

Măsurile de securitate se dimensionează în funcție de risc

Evaluarea nivelului de risc stabilește ce set de măsuri trebuie aplicat: de bază, important sau esențial. Metodologia ține cont de tipurile de atacuri, de actorii care reprezintă o amenințare, de dimensiunea firmei și de impactul unui incident.

Directiva NIS2 descrie domeniile pe care trebuie să le acopere aceste măsuri, printre care:

• analiza riscurilor și politicile de securitate a sistemelor informatice;

• gestionarea incidentelor;

• continuitatea activității, backup-ul și recuperarea în caz de dezastru;

• controlul accesului și autentificarea cu mai mulți factori, acolo unde este cazul;

• instruirea angajaților și regulile de igienă cibernetică.

O parte din aceste măsuri are o componentă tehnică, care poate fi externalizată. GTS Romania oferă servicii de Backup as a Service, Disaster Recovery as a Service, Firewall as a Service și protecție Anti DDoS, care susțin continuitatea și protecția infrastructurii. Ele acoperă însă doar partea tehnică. Politicile interne, procedurile și responsabilitățile rămân ale companiei, iar achiziția unor servicii nu asigură automat conformitatea.

 

Conducerea răspunde direct

NIS2 mută responsabilitatea asupra securității cibernetice la nivelul managementului. Organele de conducere trebuie să aprobe măsurile de gestionare a riscurilor, să supravegheze implementarea lor și să aloce resursele necesare. Membrii conducerii trebuie să urmeze, de asemenea, cursuri de formare în domeniul securității cibernetice.

În cazurile grave și repetate, legea prevede măsuri care vizează direct persoanele din conducere, inclusiv suspendarea temporară din funcție. Pentru o firmă, amenzile pot ajunge, în cazul entităților esențiale, la 10 milioane de euro sau 2% din cifra de afaceri anuală la nivel mondial, valoarea cea mai mare dintre cele două. Pentru entitățile importante, plafonul este de 7 milioane de euro sau 1,4% din cifra de afaceri. Acestea sunt plafoane maxime pentru anumite încălcări, nu valori aplicate automat.

 

Pregătește raportarea incidentelor înainte să apară

Un incident semnificativ trebuie raportat în etape. Directiva NIS2 prevede o avertizare timpurie în cel mult 24 de ore de la momentul în care firma ia cunoștință de incident, o notificare în cel mult 72 de ore și un raport final în termen de o lună.

Aceste termene nu pot fi respectate dacă procedura se improvizează în momentul atacului. Firma trebuie să stabilească dinainte cine identifică incidentul, cine decide dacă este semnificativ și cine comunică cu DNSC.

 

Verifică relația cu furnizorii IT

NIS2 include în obligațiile entității și securitatea lanțului de aprovizionare. Astfel, firma trebuie să știe ce furnizori au acces la sistemele sale, ce date gestionează aceștia și ce garanții de securitate oferă ei prin contract.

Pentru serviciile găzduite extern, verificarea pornește de la centrul de date. Centrele de date GTS Romania din București și Cluj-Napoca dețin certificarea ISO 27001 pentru managementul securității informației, un element pe care compania îl poate documenta în evaluarea propriilor furnizori.

Conformarea cu NIS2 urmează o ordine clară: înregistrarea la DNSC, desemnarea responsabililor, evaluarea riscului, autoevaluarea maturității și implementarea măsurilor potrivite nivelului stabilit. 

În paralel, conducerea își asumă supravegherea, iar echipa pregătește procedura de raportare a incidentelor și verifică furnizorii. O firmă care respectă termenele și raportează corect situația reală are o bază solidă pentru controalele DNSC.