facturaNIS2 în România: ce trebuie să știe companiile
Directiva europeană NIS2 ridică nivelul minim de securitate cibernetică pentru mii de organizații. Află cine este vizat, ce trebuie făcut și în cât timp.
Ce este NIS2
NIS2 (Directiva (UE) 2022/2555) stabilește măsuri comune de securitate cibernetică pentru entitățile din sectoare importante pentru economie și societate. În România, directiva a fost transpusă prin OUG 155/2024, iar autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).
Te privește?
Încadrarea depinde de sector și de dimensiune. De regulă sunt vizate întreprinderile medii și mari din sectoarele de mai jos, dar anumite entități (de exemplu unii furnizori de servicii digitale și de comunicații) intră indiferent de dimensiune.
| Categorie | Exemple de sectoare |
|---|---|
| Sectoare cu importanță ridicată | Energie, transport, bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă și uzată, infrastructură digitală, managementul serviciilor TIC (B2B), administrație publică, spațiu |
| Alte sectoare critice | Servicii poștale, gestionarea deșeurilor, produse chimice, alimente, producție (dispozitive medicale, electronice, echipamente, autovehicule), furnizori digitali (piețe online, motoare de căutare, rețele sociale), cercetare |
Atenție: și firmele care nu sunt direct încadrate pot fi afectate, dacă sunt furnizori ai unei entități reglementate. Încadrarea finală se stabilește conform legislației naționale și indicațiilor DNSC.
Cele 10 zone de măsuri obligatorii
- Politici de analiză a riscurilor și de securitate a sistemelor informatice
- Gestionarea incidentelor
- Continuitatea activității: backup, recuperare după dezastre, gestionarea crizelor
- Securitatea lanțului de aprovizionare, inclusiv relațiile cu furnizorii
- Securitate în achiziția, dezvoltarea și întreținerea sistemelor, inclusiv gestionarea vulnerabilităților
- Politici și proceduri pentru evaluarea eficacității măsurilor
- Igienă cibernetică de bază și instruire în securitate
- Politici privind criptografia și, după caz, criptarea
- Securitatea resurselor umane, controlul accesului și gestionarea activelor
- Autentificare multifactor, comunicații securizate și comunicații de urgență securizate
Raportarea incidentelor
| Etapă | Termen | Conținut |
|---|---|---|
| Alertă timpurie | Maximum 24 de ore | Incidentul semnificativ, dacă se suspectează o cauză ilicită sau efecte transfrontaliere |
| Notificarea incidentului | Maximum 72 de ore | Evaluare inițială, gravitate, impact, indicatori de compromitere |
| Raport final | Maximum o lună | Descriere detaliată, cauza, măsuri aplicate, impact transfrontalier |
Sancțiuni și răspunderea conducerii
| Tip entitate | Amenda maximă |
|---|---|
| Entități esențiale | Până la 10.000.000 EUR sau 2% din cifra de afaceri mondială anuală (valoarea mai mare) |
| Entități importante | Până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială anuală (valoarea mai mare) |
Conducerea trebuie să aprobe și să supravegheze măsurile și poate răspunde pentru nerespectarea lor. Membrii conducerii trebuie să urmeze și instruire în securitate cibernetică.
Pașii recomandați
- Încadrează-teStabilește dacă ești entitate esențială sau importantă, după sector și dimensiune.
- Implică conducereaManagementul aprobă și supraveghează măsurile și răspunde pentru ele.
- Analiză de lacuneCompară situația actuală cu măsurile cerute și prioritizează.
- DocumenteazăPolitici, proceduri, plan de răspuns la incidente și de continuitate.
- ImplementeazăTehnologie și procese: MFA, backup, monitorizare, gestionarea accesului.
- Pregătește raportareaStabilește cine, cum și în cât timp notifică DNSC.
- Verifică periodicAudit, teste și revizuire continuă.
Cum te ajută StillCo
StillCo este auditor de securitate cibernetică atestat DNSC (Tip Comun) și certificat ISO 27001 și ISO 9001. Te sprijinim la încadrare, analiza de lacune, implementarea măsurilor și pregătirea pentru audit.
Audit de securitate ·Backup și recuperare ·Instruire ·Pagina StillCo despre audit NIS2
Informațiile din această pagină au caracter orientativ și nu constituie consultanță juridică. Pentru încadrarea exactă consultați legislația în vigoare și indicațiile DNSC.
Întrebări frecvente
Ce este NIS2 și mă privește?
NIS2 este directiva europeană privind securitatea rețelelor și a sistemelor informatice, transpusă în România prin OUG 155/2024. Se aplică, în general, entităților medii și mari din sectoare esențiale sau importante, dar și unor furnizori ai acestora. Încadrarea depinde de sector și dimensiune, iar noi o putem verifica împreună.
Cât timp avem la dispoziție să raportăm un incident NIS2?
Directiva prevede o alertă timpurie în maximum 24 de ore, o notificare a incidentului în maximum 72 de ore și un raport final în maximum o lună. Procedura exactă este stabilită de DNSC.
Oferiți audit conform cerințelor DNSC?
Da. StillCo deține atestatul DNSC de auditor de securitate cibernetică (Tip Comun). Detaliile serviciului sunt în pagina dedicată auditului de securitate cibernetică.