Sub NIS2, o organizație este încadrată fie ca entitate esențială, fie ca entitate importantă. Nu e doar o etichetă: de ea depind regimul de supraveghere, frecvența controalelor și plafoanele de sancțiuni. Încadrarea rezultă din combinația dintre sectorul în care activezi și mărimea firmei, cu câteva excepții importante, incluzând impactul adus infrastructurilor critice.
Sectorul: cele două anexe
Legea folosește două liste. Anexa 1 cuprinde sectoarele de înaltă criticitate: energie, transport, sector bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC de tip business-to-business, administrație publică și spațiu. Anexa 2 cuprinde alte sectoare critice: servicii poștale și de curierat, gestionarea deșeurilor, fabricarea și distribuția de substanțe chimice, producția și distribuția alimentelor, fabricația (de exemplu dispozitive, calculatoare, echipamente), furnizorii de servicii digitale și cercetarea.
Mărimea: pragurile
Regula uzuală: intri sub incidența NIS2 dacă ești cel puțin întreprindere mijlocie, adică ai cel puțin 50 de salariați sau o cifră de afaceri anuală ori un bilanț de peste 10 milioane de euro. Sub aceste praguri, ca regulă generală nu te încadrezi, dar atenție la excepții, în special cea legată de impact.
Cum se face diferența esențial vs important
Simplificat: entitățile mari (peste 250 de salariați sau peste 50 de milioane de euro cifră de afaceri) din sectoarele de înaltă criticitate (Anexa 1) tind să fie esențiale. Entitățile mijlocii, precum și cele mari din sectoarele din Anexa 2, tind să fie importante. Diferența practică: entitățile esențiale sunt supravegheate proactiv (inclusiv controale din oficiu), cele importante mai degrabă reactiv, iar plafoanele de amendă sunt mai mari pentru cele esențiale. De asemenea, implementarea cerințelor de securitate este diferită, în funcție de încadrarea entității.
Excepțiile care intră indiferent de mărime
Unele categorii intră prin natura serviciului, chiar dacă sunt mici: furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului, furnizorii de servicii de încredere calificați, registrele de nume de domenii de nivel superior și furnizorii de servicii DNS, precum și, în anumite condiții, entitățile care sunt unic furnizor al unui serviciu esențial ori a căror perturbare ar avea impact major.
De ce contează să știi corect
Încadrarea greșită te impactează în ambele sensuri: dacă nu te încadrezi sub NIS2, nu ai nicio obligație, dar dacă te încadrezi, riști sancțiuni și pierzi timp prețios; dacă te supraevaluezi, cheltui pe implementarea măsurilor în mod excesiv, peste ceea ce ți se cere; dacă te subevaluezi, riști să nu atingi nivelul de conformitate cerut. Decizia oficială de identificare o emite DNSC, dar poți afla din timp unde te încadrezi.
Dacă nu ești sigur, instrumentul nostru gratuit de încadrare îți dă un răspuns orientativ în câteva minute, pornind exact de la sector și dimensiune.