NIS2 și Securitate Cibernetică — Obligații pentru Firme în 2026

Directiva NIS2 — ce trebuie să știe fiecare companie

Directiva NIS2 (Network and Information Security Directive 2) este cel mai important cadru legislativ european privind securitatea cibernetică, transpus în legislația românească prin Legea 362/2018 actualizată. Din 2026, obligațiile se extind semnificativ: nu mai sunt vizate doar infrastructurile critice, ci și companiile din lanțurile de aprovizionare, furnizorii de servicii digitale și entitățile medii din sectoare esențiale.

Cine intră sub incidența NIS2?

Directiva clasifică entitățile în două categorii:

• Entități esențiale — energie, transport, sănătate, apă, infrastructură digitală, administrație publică, spațiu
• Entități importante — producție industrială, alimentar, chimice, poștă/curierat, gestionare deșeuri, cercetare, servicii digitale

Pragul de aplicare: entitățile cu peste 50 de angajați sau cifra de afaceri/active peste 10 milioane EUR în sectoarele vizate. Atenție: furnizorii entităților esențiale pot fi vizați indirect prin cerințele de securitate a lanțului de aprovizionare.

Cerințe principale de conformitate

1. Evaluarea riscurilor — analiză periodică a riscurilor cibernetice (minim anuală)
2. Politici de securitate — documentate, aprobate de management, comunicate angajaților
3. Gestionarea incidentelor — proceduri de detectare, raportare (24h notificare inițială, 72h raport complet) și răspuns
4. Continuitatea activității — planuri de backup, disaster recovery, testare periodică
5. Securitatea lanțului de aprovizionare — evaluarea furnizorilor IT, clauze contractuale de securitate
6. Criptare și control acces — autentificare multi-factor, principiul cel mai mic privilegiu
7. Formarea personalului — training periodic securitate cibernetică (obligatoriu anual)

Sancțiuni pentru neconformitate

Sancțiunile NIS2 sunt semnificativ mai severe decât versiunea anterioară:

• Entități esențiale — amenzi până la 10 milioane EUR sau 2% din cifra de afaceri globală
• Entități importante — amenzi până la 7 milioane EUR sau 1.4% din cifra de afaceri globală
• Responsabilitate management — conducerea poate fi ținută personal responsabilă

Pași practici pentru conformitate NIS2

Recomandăm o abordare structurată:

1. Evaluați dacă organizația intră sub incidența NIS2 (sector + dimensiune)
2. Realizați un audit de securitate cibernetică (gap analysis vs cerințe NIS2)
3. Implementați măsurile tehnice prioritare (MFA, backup, firewall, endpoint protection)
4. Documentați politicile și procedurile de securitate
5. Stabiliți echipa de răspuns la incidente și procedurile de notificare DNSC
6. Planificați training-uri periodice pentru angajați

Ai nevoie de servicii IT și securitate cibernetică? Echipa Geseidl Consulting Group, lider CECCAR Prahova de 18 ani consecutiv, este pregătită să te ajute. Descoperă serviciile noastre sau contactează-ne pentru o consultație gratuită.