NIS2 nu este doar o problemă de IT. Pentru firmele care intră în domeniul de aplicare, regulamentul cere implicare directă din partea conducerii: aprobarea măsurilor, supravegherea implementării și instruirea managementului. În plus, directiva se aplică în principal entităților medii și mari din sectoarele critice, dar poate include și anumite organizații mai mici, în funcție de activitate și rolul lor. În România, transpunerea a fost făcută prin OUG 155/2024, iar DNSC este autoritatea-cheie în acest cadru.
Primul pas pentru management este să clarifice dacă firma intră sau nu sub NIS2. Aici nu este suficient să întrebi „suntem IMM?”. Întrebarea corectă este: în ce sector activăm, ce servicii oferim, cât de critice sunt și ce dimensiune are compania? Dacă firma activează în sectoare vizate de NIS2, nu e bine să amâne analiza până apare un control sau un incident.
Al doilea pas este stabilirea responsabilităților. NIS2 cere ca managementul să aprobe măsurile de securitate și să urmărească implementarea lor, nu doar să lase totul „la IT” sau la un furnizor extern. Practic, conducerea trebuie să știe cine răspunde intern de coordonarea conformării, cine ține legătura cu furnizorii, cine aprobă bugetele și cine decide în caz de incident. Este util ca firma să aibă un responsabil clar, chiar dacă nu are un departament intern mare de securitate.
A treia verificare este registrul de riscuri. NIS2 vorbește despre măsuri tehnice, operaționale și organizaționale proporționale cu riscul. Pentru management, asta înseamnă o listă concretă: ce sisteme sunt esențiale, ce s-ar întâmpla dacă nu mai funcționează, ce date sunt critice, care sunt riscurile cele mai probabile și care este impactul lor asupra activității. Nu ai nevoie de un document teoretic de 100 de pagini, ci de o imagine clară a expunerii reale a firmei.
A patra zonă este lanțul de furnizori. NIS2 cere explicit atenție la securitatea furnizorilor și la relația cu prestatorii direcți. Pentru management, asta înseamnă să verifice dacă firma depinde de un singur furnizor pentru hosting, cloud, ERP, mentenanță, email, backup sau securitate și dacă există clauze contractuale minime privind securitatea, notificarea incidentelor și continuitatea serviciilor. Mulți manageri descoperă prea târziu că au externalizat aproape tot, dar fără să fi cerut garanții reale.
A cincea verificare este backup-ul și continuitatea operațională. NIS2 menționează clar backup management, disaster recovery și crisis management. Din perspectiva managementului, întrebările simple sunt cele mai importante: avem backup? unde este păstrat? a fost testată restaurarea? în cât timp putem reveni la funcționare? cine decide în timpul unei crize? Foarte multe firme cred că „au backup” doar pentru că există o opțiune bifată într-un serviciu, dar nu au testat niciodată restaurarea. Aici trebuie verificare reală, nu presupuneri.
A șasea componentă este raportarea incidentelor. NIS2 impune termene clare: avertizare timpurie în 24 de ore de la luarea la cunoștință a incidentului semnificativ, notificare în 72 de ore și, ulterior, raport final. Pentru management, asta înseamnă să existe dinainte un flux intern: cine identifică incidentul, cine îl escaladează, cine aprobă raportarea și cine comunică cu autoritățile sau partenerii. Dacă aceste lucruri se decid abia în timpul incidentului, compania pornește deja în întârziere.
A șaptea verificare este partea de dovezi și disciplină internă. NIS2 nu se reduce la „facem securitate”. Trebuie să poți demonstra că ai luat măsuri: politici aprobate, evidențe de instruire, evaluări de risc, proceduri de backup, liste de furnizori, teste, jurnal de incidente și decizii de management. Dacă nu există documentare minimă, multe măsuri rămân imposibil de dovedit.
În final, pentru management, checklistul NIS2 poate fi redus la câteva întrebări directe: intrăm în scopul legii, avem responsabil clar, știm care sunt riscurile, ne-am verificat furnizorii, avem backup testat, știm cum raportăm incidentele și putem demonstra ce am făcut? Dacă răspunsul la două-trei dintre ele este „nu știm încă”, atunci firma nu ar trebui să trateze NIS2 ca pe o formalitate. Este un exercițiu de guvernanță și reziliență, nu doar o obligație birocratică. Pentru analiza exactă a încadrării și a obligațiilor, mai ales în cazurile de frontieră, este bine ca firma să verifice actele oficiale și, la nevoie, să ceară consultanță juridică sau de conformitate.
Surse folosite
DNSC – Romanian NIS2 Act / OUG 155/2024
EUR-Lex – Directiva (UE) 2022/2555 (NIS2)
EUR-Lex – sumar oficial privind NIS2
Comisia Europeană – Regulamentul de punere în aplicare (UE) 2024/2690
ENISA – materiale oficiale și ghiduri privind NIS2
