Concluzii-cheie

• NIS2 se aplică organizațiilor mijlocii și mari din 18 sectoare critice, grupate în entități esențiale și entități importante, cu obligații și plafoane de sancțiuni diferite.
• Italia a transpus NIS2 prin Decreto Legislativo 138/2024, în vigoare din octombrie 2024, cu aplicarea deplină a sancțiunilor din 2026. Spania și-a aliniat transpunerea la termenele UE.
• Articolul 21 impune zece categorii de măsuri de gestionare a riscurilor de securitate cibernetică, de la criptare și MFA la securitatea lanțului de aprovizionare și continuitatea activității.
• Raportarea incidentelor urmează un calendar pe niveluri: avertizare timpurie la 24 de ore, notificarea incidentului la 72 de ore și un raport final la 1 lună — semnificativ mai strict decât GDPR.
• Conducerea superioară răspunde personal pentru aprobarea și supravegherea măsurilor de securitate cibernetică. Membrii consiliului trebuie să urmeze formare în securitate cibernetică.

Cui i se adresează acest ghid

• CISO și liderii de securitate care au nevoie de o referință consolidată privind domeniul de aplicare, măsurile și termenele NIS2.
• DPO și responsabilii de conformitate care mapează obligațiile NIS2 față de cadrele existente precum GDPR, ISO 27001 și reglementările sectoriale.
• CIO și directorii IT care planifică foaia de parcurs tehnică și bugetul necesar pentru a acoperi lacunele NIS2.
• Consiliile executive și organele de conducere responsabile de aprobarea programului de securitate cibernetică și de asumarea răspunderii personale.

NIS2 — Network and Information Security Directive 2 — este un cadru legislativ la nivelul UE care stabilește un nivel comun ridicat de securitate cibernetică în întreaga Uniune Europeană. A fost adoptată de Parlamentul European și de Consiliu în decembrie 2022, a intrat în vigoare la 16 ianuarie 2023 și a avut un termen de transpunere de către statele membre de 17 octombrie 2024.

Directiva s-a născut dintr-o necesitate. Atacurile cibernetice împotriva organizațiilor din UE au crescut brusc între 2022 și 2024, doar ransomware costând companiile europene miliarde anual. Directiva NIS originală, deși pionieră, a suferit de o implementare inconsecventă în statele membre și de un domeniu de aplicare restrâns, care a lăsat multe sectoare critice neprotejate.

NIS2 abordează aceste lacune prin patru modificări principale: acoperire sectorială mai amplă, măsuri minime de securitate armonizate, raportare mai strictă a incidentelor și — aspect crucial — răspunderea directă a organelor de conducere. Directiva introduce, de asemenea, competențe de supraveghere pentru autoritățile naționale, inclusiv inspecții la fața locului, audituri ad-hoc și posibilitatea de a suspenda funcțiile executive ale liderilor neconformi.

NIS2 folosește un mecanism de prag dimensional combinat cu clasificarea sectorială pentru a determina aplicabilitatea. Directiva se aplică, în mod implicit, tuturor entităților mijlocii și mari care operează în oricare dintre cele 18 sectoare vizate. Dimensiunea este determinată folosind definiția standard a IMM-urilor din UE, prevăzută în Recomandarea 2003/361/CE.

Entitățile esențiale se confruntă cu cea mai strictă supraveghere, cel mai ridicat plafon de sancțiuni și o supraveghere ex-ante proactivă din partea autorității competente. Ele operează în sectoare a căror perturbare ar avea consecințe sistemice asupra pieței unice.

Entitățile importante se confruntă cu un plafon de sancțiuni mai scăzut și cu o supraveghere ex-post: autoritățile acționează, în general, după ce primesc dovezi ale unei breșe sau ale unui incident, în loc să inspecteze proactiv. Obligațiile prevăzute la articolul 21 — cele zece măsuri de gestionare a riscurilor — sunt, în rest, identice cu cele ale entităților esențiale.

Articolul 21 din NIS2 impune ca entitățile vizate să adopte „măsuri tehnice, operaționale și organizatorice adecvate și proporționale” pentru a gestiona riscurile de securitate cibernetică. Directiva enumeră zece categorii de măsuri care trebuie abordate. Acestea nu sunt sugestii — sunt cerințe minime obligatorii din punct de vedere juridic, iar neimplementarea lor este o încălcare directă care expune entitatea și conducerea acesteia la sancțiuni.

Articolul 23 din NIS2 stabilește un calendar de raportare a incidentelor în trei etape, semnificativ mai strict decât GDPR. Cronometrul pornește în momentul în care entitatea ia cunoștință de un incident semnificativ — definit ca orice incident care a cauzat sau este capabil să cauzeze o perturbare operațională gravă sau o pierdere financiară, ori care a afectat alte persoane fizice sau juridice printr-un prejudiciu material sau nematerial considerabil.

Securitatea lanțului de aprovizionare este una dintre cele mai importante extinderi introduse de NIS2 în comparație cu Directiva NIS din 2016. Articolul 21(2)(d) impune în mod explicit entităților să ia în considerare „securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitate privind relațiile dintre fiecare entitate și furnizorii săi direcți sau prestatorii de servicii”. Aceasta nu este o declarație generică de bune practici — este o obligație de conformitate specifică.

Rațiunea este simplă: majoritatea incidentelor cibernetice dăunătoare din UE din ultimii ani au putut fi urmărite până la furnizori, prestatori de servicii sau componente software compromise. NIS2 urmărește să acopere această lacună extinzând răspunderea în materie de securitate cibernetică de-a lungul lanțului valoric, fără a plasa formal furnizorii în perimetrul reglementat, cu excepția cazului în care aceștia se califică în mod independent.

În practică, acest lucru înseamnă că o entitate vizată trebuie să își identifice furnizorii critici, să le evalueze postura de securitate, să impună cerințe de securitate prin contracte, să monitorizeze schimbările acestei posturi în timp și să trateze compromiterea unui furnizor critic drept incident raportabil în temeiul articolului 23 atunci când este atins pragul de impact.

Ce impune concret „securitatea lanțului de aprovizionare”

• Menține un inventar actualizat al furnizorilor critici și al prestatorilor de servicii — în special pentru cloud, servicii gestionate, furnizori de software și MSSP-uri.
• Evaluează postura de securitate cibernetică a furnizorilor critici înainte de integrare și, ulterior, la intervale definite — folosind chestionare, atestări, rapoarte de audit independente sau evaluări tehnice.
• Include clauze de securitate în contractele cu furnizorii: controale minime, obligații de notificare a incidentelor, drepturi de audit, aprobarea subîmputerniciților, angajamente privind prelucrarea datelor, reziliere în caz de încălcare.
• Monitorizează incidentele și vulnerabilitățile din partea furnizorilor: abonează-te la avertizări de securitate, menține canale de contact, include furnizorii în exercițiile tabletop.
• Propagă cerințele: furnizorii critici trebuie să impună obligații echivalente propriilor sub-furnizori critici, atunci când sunt relevante pentru serviciul furnizat.
• Include riscul de furnizor în planul de continuitate a activității: furnizori alternativi, strategii de ieșire, angajamente de portabilitate.

NIS2 introduce o structură de sancțiuni pe două niveluri care reflectă abordarea GDPR. Sancțiunile pot fi impuse atât entității, cât și membrilor organului său de conducere. Directiva acordă, de asemenea, autorităților naționale competențe extinse de supraveghere, inclusiv posibilitatea de a suspenda certificări și funcții executive.

Răspunderea personală a organelor de conducere

Articolul 20 face membrii organului de conducere personal responsabili pentru aprobarea măsurilor de gestionare a riscurilor de securitate cibernetică și pentru supravegherea implementării lor. Atunci când entitatea nu se conformează în mod persistent, autoritățile naționale pot — pe lângă amenzi — să interzică temporar membrilor individuali exercitarea funcțiilor de conducere. Aceasta este o schimbare fundamentală: NIS2 este primul instrument european de securitate cibernetică care sancționează direct persoane la nivel de consiliu.

NIS2 și GDPR sunt adesea confundate deoarece ambele impun obligații de notificare a incidentelor și ambele prevăd amenzi administrative raportate la cifra de afaceri globală. Totuși, sunt instrumente fundamental diferite care abordează riscuri diferite: GDPR protejează datele cu caracter personal, NIS2 protejează sistemele informatice și de rețea. Un singur eveniment — de exemplu, un atac ransomware — va declanșa frecvent ambele.

O abordare pe etape a conformității NIS2 funcționează mai bine decât încercarea de a face totul deodată. Lista de verificare de mai jos organizează activitatea în patru etape, de la delimitarea domeniului la îmbunătățirea continuă. Bifează elementele pe măsură ce le validezi cu dovezi.

Orizon este o platformă europeană de securitate cibernetică proiectată încă din prima zi în jurul cerințelor de suveranitate, documentare și dovezi continue impuse de NIS2. Conformitatea nu este un efect secundar al produselor noastre — este axa lor principală de proiectare. Tabelul de mai jos mapează capabilitățile principale ale Orizon la măsurile de la articolul 21 pe care le susțin direct.

1. Programează o evaluare de delimitare NIS2 împreună cu echipa noastră de conformitate pentru a-ți valida statutul de entitate vizată și prioritățile.
2. Solicită o analiză a lacunelor față de articolul 21 pe baza controalelor, politicilor și dovezilor tale actuale.
3. Începe o scanare gratuită a suprafeței de atac externe pentru a stabili o bază de referință a expunerii tale.