11 sept. NIS2 este în vigoare!
Începând cu 10 iulie 2025, România a oficializat aplicarea Directivei NIS2 prin Legea nr. 124/2025 (care modifică OUG nr. 155/2024). Nu vorbim doar despre o actualizare legislativă – ci despre o schimbare strategică majoră pentru reziliența afacerii și continuitatea operațională. Adițional, pe 20 august 2025, DNSC a publicat două ordine esențiale: unul privind procedura de notificare și înregistrare a entităților și altul privind criteriile și pragurile de determinare a gradului de perturbare a serviciilor.
De ce contează pentru managementul companiei?
NIS2 mută responsabilitatea pentru securitatea cibernetică de la IT la nivelul conducerii executive. CEO-ul și managementul sunt acum răspunzători legal pentru deciziile privind riscurile cibernetice.
În acest context, companiile trebuie să își declare statutul de entitate esențială sau importantă în termen de 30 de zile și să transmită un formular standardizat care include, printre altele, numirea responsabilului NIS.
Trei perspective strategice esențiale:
1. Guvernanța riscurilor devine avantaj competitiv
NIS2 cere ca managementul să aprobe, să finanțeze și să monitorizeze programele de securitate. Neconformarea nu înseamnă doar sancțiuni (până la 10 mil. € sau 2% din cifra de afaceri globală), ci și pierderi de încredere, interdicții la licitații și reputație afectată.
NIS2 cere ca managementul să aprobe, să finanțeze și să monitorizeze programele de securitate. Neconformarea nu înseamnă doar sancțiuni (până la 10 mil. € sau 2% din cifra de afaceri globală), ci și pierderi de încredere, interdicții la licitații și reputație afectată.
Ce înseamnă pentru companie: Riscul cibernetic este acum un indicator strategic, direct legat de performanța financiară și încrederea investitorilor. Pentru companiile listate la bursă, face parte din indicatorii măsurabili la raportarea către Adunarea Generală a Acționarilor.
2. De la conformitate la continuitatea afacerii
Legea impune politici clare pentru securitatea lanțului de aprovizionare, managementul vulnerabilităților și răspuns rapid la incidente (alertă în 24h, raport în 72h, concluzii în 30 zile).
Legea impune politici clare pentru securitatea lanțului de aprovizionare, managementul vulnerabilităților și răspuns rapid la incidente (alertă în 24h, raport în 72h, concluzii în 30 zile).
Ce înseamnă pentru tine: Nu este vorba despre bifarea unor cerințe, ci despre menținerea operațiunilor în scenarii de criză. Este un cadru de business continuity.
3. Auditul ca oglindă a responsabilității executive
Înregistrarea la DNSC, autoevaluările anuale și auditul extern sunt obligatorii. Pentru entitățile esențiale, responsabilul NIS2 trebuie să fie certificat și independent de IT. Mai mult, în cadrul procesului de notificare ca entitate esențială, compania are obligația de a desemna și comunica oficial către DNSC persoana responsabilă NIS.
Înregistrarea la DNSC, autoevaluările anuale și auditul extern sunt obligatorii. Pentru entitățile esențiale, responsabilul NIS2 trebuie să fie certificat și independent de IT. Mai mult, în cadrul procesului de notificare ca entitate esențială, compania are obligația de a desemna și comunica oficial către DNSC persoana responsabilă NIS.
Ce înseamnă pentru tine: Rezultatele auditului vor reflecta nu doar infrastructura tehnică, ci și angajamentul conducerii și coerența strategiei. Pentru prima dată o legislație din zona de securitate cibernetică, atrage raspunderea directă a managmentului în cazul erorilor decizionale ce au dus la apariția incidentelor de securitate cibernetică.
Ce are de făcut compania acum:
- Evaluează aplicabilitatea — În ce categorie intră compania ta? Audit intern privind maturitatea cibernetică – în special în raport cu cerințele NIS 2. Cartografierea riscurilor în lanțul de furnizori. Crearea sau actualizarea politicilor de securitate și guvernanță.
- Desemnează responsabilul NIS2— Cu autoritate și autonomie operațională. Înregistrarea acestui la DNSC pana pe 20 de septembrie este obligatorie. Implementarea si actualizarea planului de remediere rezultat in urma auditului NIS2.
- Planifică implementarea — Conformarea nu este un pachet instant. E nevoie de buget, calendar și expertiză.Implicarea managementului în planificare și bugetare. Stabilirea unui plan clar de răspuns la incidente și comunicare de criză.
NIS 2 nu se aplică doar organizației tale – se aplică rețelei tale.
În contextul noii Directive NIS2, responsabilitatea pentru securitatea cibernetică nu mai este exclusiv internă. Orice entitate esențială sau importantă trebuie să se uite cu aceeași rigoare și înspre exterior – mai exact, către subcontractorii și furnizorii săi de dimensiuni mici și medii.
Nu este suficient ca organizația principală să fie conformă. Este esențial ca fiecare partener relevant din lanțul de furnizori să:
- fie verificat din perspectiva capacităților de securitate;
- fie inclus în politicile de guvernanță cibernetică;
- urmeze propriul proces de audit și aliniere la cerințele de securitate prevăzute de NIS2.
Fiecare verigă necontrolată din ecosistemul tău devine un risc strategic, care poate anula eforturile interne de conformitate și protecție
Cum te poate sprijini Decalex în demersul de implementare NIS 2?
- Analiză de aplicabilitate (CAEN, dimensiune, risc) și înscriere în registrul DNSC;
- Pre-audit de conformitate cu OUG 155/2024 & Legea 124/2025;
- Proiectare și implementare măsuri tehnice/organizatorice;
- Realizarea auditului oficial NIS 2
- Asistență redactare documentație si training de personal
De ce Decalex?
- Suntem acreditați DNSC pentru a realiza audituri NIS 2
- Compania noastra este certificată ISO 9001 și ISO 27001 păstrând cel mai înalt standard în livrarea serviciilor de securitate cibernetică.
No Comments