Directiva NIS 2 (Network and Information Security 2) este cadrul legal european care stabilește cerințe de securitate cibernetică pentru companiile considerate esențiale sau importante pentru economie și societate. Spre deosebire de directiva anterioară, NIS 2 extinde semnificativ sfera de aplicare — nu mai vorbim doar de infrastructură critică la nivel de stat, ci și de companii mijlocii din sectoare precum energie, transport, sănătate, servicii digitale, producție și multe altele.
Ce presupune concret conformitatea
În România, punctul de plecare este OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025. Verifică forma consolidată și cerințele DNSC aplicabile la data evaluării, nu doar textul directivei europene.
Nu orice IMM intră automat în domeniul de aplicare. Încadrarea depinde de activitate, dimensiune și criterii speciale; există categorii incluse indiferent de dimensiune. Articolele 5–9 și anexele ordonanței sunt punctele de verificat. Cerințele unui client reglementat pot apărea și contractual, fără să transforme automat furnizorul într-o entitate reglementată.
NIS 2 este un set de obligații continue, nu un document de bifat o singură dată:
Evaluare de risc. Compania trebuie să identifice și să documenteze riscurile de securitate cibernetică specifice infrastructurii și proceselor sale, nu un șablon generic.
Măsuri tehnice și organizatorice. De la controlul accesului și criptarea datelor, până la politici de backup și planuri de continuitate a activității în caz de incident.
Managementul incidentelor. Companiile trebuie să poată detecta, raporta și gestiona incidente de securitate într-un interval de timp definit — inclusiv obligația de notificare către autoritățile competente.
Pentru incidentele semnificative, art. 15 prevede, în regula generală, avertizare timpurie în cel mult 24 de ore și raportare în cel mult 72 de ore de la luarea la cunoștință, apoi raport final în cel mult o lună de la raportare. Există excepții și reguli pentru incidentele încă în desfășurare; procedura internă trebuie să le reflecte.
Securitatea lanțului de aprovizionare. Riscurile nu se opresc la granițele companiei — furnizorii și partenerii tehnologici intră și ei în evaluarea de conformitate.
De ce contează chiar dacă nu ești "infrastructură critică"
Multe companii presupun greșit că NIS 2 le exclude pentru că nu operează în energie sau utilități. În realitate, criteriile de dimensiune (număr de angajați, cifră de afaceri) combinate cu sectorul de activitate includ o plajă mult mai largă de companii mijlocii decât s-ar aștepta majoritatea. Chiar și pentru companiile care nu intră direct sub incidența directivei, partenerii și clienții care sunt reglementați vor cere tot mai des dovezi de conformitate ca parte a relației contractuale.
De unde se începe
Primul pas practic este stabilirea încadrării. Apoi, o evaluare tehnică și organizatorică arată ce măsuri există și ce trebuie remediat. Un audit de securitate poate susține acest proces, dar nu reprezintă, singur, o certificare a conformității NIS 2.