Directiva NIS 2 (Network and Information Security 2) este cel mai important cadru european de securitate cibernetică pentru companii, transpus în legislația din România prin OUG 155/2024. Spre deosebire de prima versiune, NIS 2 extinde semnificativ lista sectoarelor vizate și introduce sancțiuni comparabile cu cele din GDPR.

Cine intră sub incidența NIS 2?

Directiva se aplică entităților esențiale și importante din 18 sectoare, printre care: energie, transport, sănătate, infrastructură digitală, servicii TIC, apă, administrație publică, spațiu, servicii poștale, gestionarea deșeurilor, industria alimentară, producție (dispozitive medicale, electronice, mașini, echipamente de transport), furnizori digitali și cercetare.

Regula generală: companiile cu peste 50 de angajați sau cifră de afaceri peste 10 milioane EUR din sectoarele vizate intră sub incidență. Există și excepții — unele entități sunt vizate indiferent de dimensiune (de exemplu, furnizorii de infrastructură critică).

Ce obligații ai ca firmă vizată?

• Managementul riscurilor: politici de analiză a riscurilor și de securitate a sistemelor informatice;
• Gestionarea incidentelor: detectare, răspuns și raportare — notificare inițială în 24 de ore de la incident semnificativ, raport complet în 72 de ore;
• Continuitatea afacerii: backup, disaster recovery și managementul crizelor;
• Securitatea lanțului de aprovizionare: inclusiv relația cu furnizorii IT;
• Igienă cibernetică și training pentru angajați și management;
• Criptare și autentificare multi-factor unde este cazul.

Sancțiuni

Pentru entitățile esențiale, amenzile pot ajunge la 10 milioane EUR sau 2% din cifra de afaceri globală (oricare e mai mare); pentru cele importante, 7 milioane EUR sau 1,4%. În plus, managementul poate fi tras la răspundere personal.

De unde începi?

1. Verifică dacă firma ta intră sub incidență (sector + dimensiune);
2. Fă un audit de securitate care să identifice decalajele față de cerințe;
3. Prioritizează: MFA, backup testat, plan de răspuns la incidente, monitorizare;
4. Documentează politicile și instruiește echipa;
5. Stabilește procedura de raportare către DNSC.

Openvision oferă o evaluare NIS 2 gratuită: îți spunem dacă intri sub incidență, unde ești acum și ce pași urmează — fără obligații.