NIS2: Ce obligații cibernetice noi impune legea românilor
NIS2 impune reguli stricte de securitate cibernetică în România: raportare în 24h, amenzi de până la 10 milioane euro.
Uniunea Europeană schimbă radical regulile securității cibernetice pentru companii și instituții publice. Directiva (UE) 2022/2555, cunoscută drept NIS2, a fost transpusă în legislația română prin OUG 155/2024, aprobată ulterior prin Legea nr. 124/2025. Directoratul Național de Securitate Cibernetică (DNSC) a emis deja ordinele de aplicare, iar mii de organizații din România intră sub incidența noilor obligații legale.
Ce aduce nou NIS2 față de vechea directivă
Spre deosebire de precedenta directivă NIS din 2016, NIS2 extinde masiv sfera entităților vizate. Legislația nu se mai limitează la operatorii de servicii esențiale precum energia, transporturile sau sănătatea, ci include acum sectoare noi: administrația publică, gestionarea deșeurilor, producția alimentară, serviciile poștale și industria spațială.
Organizațiile sunt clasificate în două categorii, în funcție de dimensiune și impact: entități esențiale și entități importante. Prima categorie cuprinde companiile mari din sectoare critice, supuse unor controale mai stricte și unor sancțiuni mai severe în caz de neconformare. DNSC a stabilit prin ordine separate criteriile exacte de încadrare, precum și termenele de raportare a incidentelor.
Obligații concrete pentru companii și instituții
Legea impune managementului organizațiilor responsabilitatea directă pentru implementarea măsurilor de securitate cibernetică, nu doar departamentelor IT. Conducerea trebuie să aprobe politici de gestionare a riscurilor, să asigure instruirea periodică a angajaților și să răspundă personal, inclusiv financiar, în caz de neglijență gravă.
Organizațiile vizate trebuie să raporteze incidentele cibernetice semnificative către DNSC în maximum 24 de ore de la detectare, printr-o notificare timpurie, urmată de un raport detaliat în 72 de ore. Termenul strict de raportare reprezintă una dintre cele mai importante schimbări față de cadrul legal anterior, care oferea companiilor mai mult timp de reacție.
Amenzile pentru nerespectarea legii pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri globală anuală, pentru entitățile esențiale — praguri similare cu cele din Regulamentul General privind Protecția Datelor (GDPR).
De la birocrație la protecție reală
Experții avertizează că simpla bifare a cerințelor legale, fără o schimbare reală a culturii organizaționale privind securitatea cibernetică, nu reduce riscurile efective. Atacurile cibernetice asupra infrastructurii critice din Europa au crescut constant în ultimii ani, de la spitale la furnizori de energie, iar autoritățile europene consideră NIS2 un răspuns necesar la o amenințare tot mai sofisticată.
Pentru organizațiile românești, provocarea imediată constă în identificarea corectă a categoriei în care se încadrează și implementarea, până la termenele stabilite de DNSC, a măsurilor tehnice și organizatorice cerute de lege. Companiile care ignoră procesul riscă nu doar sancțiuni financiare, ci și expunerea reală la atacuri cibernetice cu impact asupra operațiunilor și datelor clienților.
Următoarele luni vor arăta cât de pregătite sunt instituțiile românești să treacă de la conformarea pe hârtie la o reziliență cibernetică autentică, capabilă să reziste unor atacuri tot mai frecvente și mai complexe.
