NIS2 nu înseamnă că toate IMM-urile din România devin automat entități reglementate. Directiva europeană se aplică, de regulă, entităților mijlocii și mari din sectoare critice, iar încadrarea concretă depinde de domeniu, dimensiune, rol și legislația națională aplicabilă. Totuși, o firmă mică poate simți efectele NIS2 indirect, prin contracte, audituri, cerințe de securitate și proceduri impuse de clienți sau parteneri aflați sub obligații mai stricte.
Directiva NIS2 stabilește un cadru juridic comun pentru securitatea cibernetică în 18 sectoare critice și include măsuri de management al riscurilor, cerințe de raportare și prevederi privind securitatea lanțului de aprovizionare. Statele membre ale UE trebuiau să transpună directiva până la 17 octombrie 2024, iar NIS1 a fost abrogată din 18 octombrie 2024. În practică, pentru IMM-uri, întrebarea importantă nu este doar „suntem noi direct în NIS2?”, ci și „lucrăm pentru cineva care trebuie să demonstreze control asupra furnizorilor?”.
Un exemplu simplu: o firmă mică de software livrează o aplicație pentru o companie mare din energie, transport, sănătate, banking, infrastructură digitală sau servicii IT critice. Chiar dacă firma mică nu este, ea însăși, entitate esențială sau importantă, clientul poate cere dovezi privind actualizările de securitate, controlul accesului, backupul, gestionarea incidentelor sau subcontractorii folosiți. Nu este neapărat o obligație directă NIS2 pentru IMM, ci o cerință contractuală provenită din obligațiile clientului.
Aceeași logică poate apărea pentru furnizori IT, MSP-uri, firme de hosting, dezvoltatori de software, procesatori de date, integratori, consultanți tehnici sau subcontractori care ating sisteme, date ori servicii digitale importante. Dacă o companie reglementată trebuie să își gestioneze riscurile din lanțul de aprovizionare, va întreba mai atent cine are acces, cum sunt protejate conturile, cum se aplică patch-urile și ce se întâmplă în cazul unui incident.
Pentru o firmă mică, primul pas rezonabil este inventarul. Ce servicii oferă? Ce sisteme ale clientului atinge? Ce date prelucrează? Cine are acces administrativ? Ce subcontractori sunt implicați? Fără această hartă minimă, orice discuție despre conformare devine vagă și costisitoare. Inventarul nu trebuie să fie complicat: poate începe cu o listă actualizată de aplicații, conturi privilegiate, furnizori cloud, sisteme critice și persoane responsabile.
Al doilea pas este igiena de securitate. Autentificarea multifactor pentru conturile importante, parole unice printr-un manager de parole, actualizări regulate, backup testat, separarea accesului între angajați și subcontractori, dezactivarea conturilor vechi și jurnalizarea accesului sunt măsuri de bază, dar foarte importante. Ele nu garantează conformitatea juridică, însă reduc riscurile reale și pot deveni dovezi utile în relația cu un client mai mare.
Al treilea pas este procedura de incident. Un IMM ar trebui să știe cine decide, cine comunică, ce se izolează, ce se salvează ca dovadă și pe cine anunță dacă apare o compromitere. Nu este nevoie de un document de 80 de pagini pentru început, dar este nevoie de o procedură clară, testabilă și cunoscută de echipă. Dacă firma lucrează cu o organizație reglementată, contractul poate include termene și canale stricte de notificare.
Clauzele contractuale merită citite cu atenție. Unele cerințe pot solicita audit, drept de verificare, notificarea incidentelor, restricții privind subcontractarea, păstrarea logurilor sau standarde minime de securitate. O firmă mică nu ar trebui să accepte automat obligații pe care nu le poate îndeplini. Mai bine clarifică din timp: ce dovezi sunt necesare, cât de des, cine suportă costurile și ce se întâmplă dacă apare un incident.
Important: acesta nu este consultanță juridică definitivă. Aplicarea NIS2 depinde de situația concretă, de legislația națională, de sector, de dimensiunea firmei și de rolul exact în lanțul de furnizori. În plus, Comisia Europeană a propus la 20 ianuarie 2026 modificări pentru claritate juridică și simplificarea conformării, inclusiv pentru microîntreprinderi și întreprinderi mici; o propunere nu trebuie tratată ca lege finală până la finalizarea procesului aplicabil.
Concluzia practică este echilibrată: NIS2 nu transformă automat fiecare IMM într-o entitate reglementată, dar schimbă așteptările din piață. Firmele mici care livrează servicii digitale către clienți importanți vor avea un avantaj dacă pot demonstra măsuri simple, documentate și reale de securitate. În lanțul de furnizori, încrederea nu se mai bazează doar pe promisiuni, ci pe proceduri, dovezi și capacitatea de a reacționa rapid.
