# Ce este NIS2 și ce se schimbă pentru companiile din România

> Directiva europeană de securitate cibernetică, transpusă în România prin OUG 155/2024, extinde obligațiile pentru asigurarea cadrului de securitate cibernetică la mii de organizații noi.

NIS2 este directiva europeană (UE) 2022/2555 privind un nivel comun ridicat de securitate cibernetică în Uniune. În România a fost transpusă prin Ordonanța de urgență 155/2024, aprobată prin Legea 124/2025, iar detaliile de aplicare vin prin ordine și metodologii ale Directoratului Național de Securitate Cibernetică (DNSC). Pe scurt, este cadrul care spune ce trebuie să facă organizațiile esențiale și importante care dețin infrastructuri critice pentru a se proteja de atacuri cibernetice și pentru a rămâne reziliente.

  
### Ce s-a schimbat față de NIS1

  Prima directivă NIS acoperea câteva sute de operatori din câteva sectoare. NIS2 extinde mult perimetrul: sunt vizate mii de organizații, din mai multe sectoare noi, iar regulile de identificare sunt mai clare. În plus, cadrul devine mai exigent pe trei paliere: responsabilitatea conducerii, gestionarea riscurilor din lanțul de aprovizionare și raportarea incidentelor în termene stricte.

  
### Cine intră sub incidența ei

  Regula generală combină sectorul cu mărimea. Dacă activezi într-un sector vizat și ești cel puțin întreprindere mijlocie (aproximativ 50 de angajați sau peste 10 milioane de euro cifră de afaceri), cel mai probabil te încadrezi. Există și entități care se încadrează indiferent de mărime, prin natura serviciului (de exemplu comunicații electronice, registre de domenii, furnizori de servicii de încredere calificați). Organizațiile sunt împărțite în entități esențiale și entități importante, cu regimuri de supraveghere diferite.

  
### Ce obligații aduce, concret

  NIS2 nu îți cere să bifezi securitatea o singură dată, ci să menții un proces continuu de management al riscului. Măsurile minime includ, printre altele: politici de analiză a riscului și de securitate a informațiilor, gestionarea incidentelor, continuitatea activității și copii de rezervă, securitatea lanțului de aprovizionare, securitate în achiziția și mentenanța sistemelor, criptografie, control al accesului și autentificare multifactor, igienă cibernetică și instruire. Toate proporțional cu riscul real al organizației.

  
### Conducerea răspunde

  O noutate importantă: securitatea nu mai este doar responsabilitatea departamentului IT. Organul de conducere aprobă măsurile, supraveghează implementarea și poate răspunde pentru neîndeplinirea obligațiilor. Pentru entitățile esențiale, sancțiunile pot fi consistente, iar în cazuri grave se pot dispune măsuri până la suspendarea temporară a unor funcții de conducere.

  
### Raportarea incidentelor

  Incidentele semnificative se raportează la DNSC în trepte: o alertă timpurie în 24 de ore, o notificare mai completă în 72 de ore și un raport final în aproximativ o lună. Termenele sunt scurte, de aceea contează să ai procedura și formularele pregătite din timp.

  
### Cum se traduce în practică: CyFun

  NIS2 arată ce trebuie obținut, dar nu intră în detalii tehnice. Pentru asta, DNSC a adoptat cadrul CyFun (CyberFundamentals, de la autoritatea belgiană) ca metodologie: o colecție structurată de controale, cu niveluri și cu o scală de maturitate. Astfel, obligațiile generale devin pași concreți, măsurabili.

  Pare mult la început, dar odată ce știi în ce categorie intri și ce nivel ți se cere, ai o direcție clară de urmat. Un prim reper îl poți obține în câteva minute cu instrumentul nostru gratuit de încadrare a entității.