NIS2 în sectorul public: Ce măsuri de securitate cibernetică devin obligatorii pentru primării?

NIS2 nu vizează doar companiile private. Administrația publică, de la ministere și agenții până la primării, este inclusă explicit în sfera de aplicare. Mai mult, primele sancțiuni ale DNSC au vizat tocmai sectorul public, ceea ce face ca pregătirea să fie urgentă pentru instituții.

De ce intră administrația publică sub NIS2

OUG 155/2024, care transpune Directiva (UE) 2022/2555 în România, listează în anexele sale sectoarele vizate. Printre acestea se află și sectorul administrației publice (sectorul 10), ceea ce aduce instituțiile publice, centrale și locale, în perimetrul NIS2.

Logica este simplă: instituțiile publice furnizează servicii esențiale pentru cetățeni și gestionează volume mari de date și sisteme informatice. O întrerupere sau un atac asupra acestor sisteme afectează direct funcționarea statului și încrederea publicului. De aceea, cerințele de reziliență cibernetică li se aplică la fel ca operatorilor privați din sectoarele critice.

Încadrarea concretă, inclusiv ca entitate esențială sau importantă, depinde de criteriile din lege. Pentru o verificare rapidă, folosește instrumentul gratuit de încadrare sau citește entitate esențială sau importantă.

Administrație centrală și administrație locală

Sectorul administrației publice acoperă atât nivelul central (ministere, agenții, autorități naționale), cât și, în condițiile legii, nivelul local (consilii județene, primării). Diferențele de capacitate sunt mari: o autoritate centrală dispune, de regulă, de structuri IT și de securitate, în timp ce o primărie dintr-o localitate mică poate funcționa cu resurse foarte limitate. NIS2 nu anulează aceste diferențe, dar cere ca măsurile să fie proporționale cu riscul, nu identice pentru toți. Cu alte cuvinte, o instituție mică nu trebuie să implementeze măsuri de nivelul unei autorități naționale, ci măsuri adecvate propriului profil de risc, documentate și asumate de conducere.

Important de reținut: faptul că o instituție este mică nu o scoate automat din sfera obligațiilor. Încadrarea concretă rezultă din criteriile legale, iar verificarea ei este primul pas responsabil, nu o presupunere.

Ce obligații are o instituție publică

Obligațiile sunt, în esență, aceleași ca pentru orice entitate vizată de NIS2, adaptate la specificul instituțional:

Înregistrare și notificare la DNSC, exclusiv prin platforma NIS2@RO, cu semnătură electronică calificată. Vezi ghidul de înregistrare la DNSC.
Analiză de risc asupra rețelelor și sistemelor informatice utilizate pentru furnizarea serviciilor.
Autoevaluare de maturitate pe cadrul CyFun, metodologia adoptată de DNSC, pentru a măsura unde se află instituția față de nivelul cerut.
Implementarea măsurilor de securitate proporțional cu riscul: politici, control al accesului, copii de rezervă, continuitatea activității, igienă cibernetică și instruire.
Raportarea incidentelor semnificative către DNSC, în termenele legale. Vezi raportarea incidentelor.
Desemnarea unui responsabil NIS și instruirea conducerii și a personalului.

Un element de reținut: conducerea instituției aprobă și supraveghează măsurile și poate răspunde pentru neîndeplinirea obligațiilor. Securitatea cibernetică nu este doar responsabilitatea compartimentului IT. Pe larg, în articolul despre răspunderea conducerii.

De ce contează: primele sancțiuni au vizat sectorul public

Pentru instituțiile publice, semnalul cel mai clar vine din practica de aplicare. Prima amendă NIS2 aplicată de DNSC, în valoare de 50.000 lei, a vizat o instituție din administrația publică centrală, pentru nerespectarea termenului de notificare.

Mesajul este fără echivoc: sectorul public nu beneficiază de o perioadă de grație informală. Primele controale s-au concentrat pe obligațiile administrative de bază, în special notificarea și înregistrarea, iar o instituție nu are nevoie de un incident de securitate pentru a fi sancționată. Pentru context, vezi analiza primei amenzi DNSC și amenzile NIS2.

Provocări specifice sectorului public

Instituțiile publice au particularități care cer o abordare atentă:

Bugete și achiziții reglementate, care pot încetini implementarea măsurilor dacă nu sunt planificate din timp.
Sisteme informatice moștenite, uneori vechi, greu de securizat fără proiecte dedicate.
Lipsa unui personal de securitate cibernetică dedicat, mai ales în instituțiile mici, precum primăriile din localități mici.
Dependența de furnizori externi pentru servicii IT, ceea ce aduce în prim-plan securitatea lanțului de aprovizionare.

Niciuna dintre aceste provocări nu este un motiv de amânare. Dimpotrivă, ele arată de ce pașii de bază, în mare parte gratuiți, trebuie făcuți cât mai devreme.

Securitatea furnizorilor și a serviciilor externalizate

Multe instituții publice depind de furnizori externi pentru găzduire, aplicații, mentenanță sau asistență IT. NIS2 aduce în prim-plan securitatea lanțului de aprovizionare, ceea ce înseamnă că o instituție rămâne responsabilă pentru serviciile pe care le folosește, chiar dacă le operează un terț. În practică, asta presupune clauze contractuale clare privind securitatea, alocarea responsabilităților în caz de incident și verificarea faptului că furnizorii respectă cerințe adecvate. Pentru o primărie care nu are echipă IT proprie, relația cu furnizorul devine, de fapt, un element central al conformării, nu un detaliu administrativ.

Măsuri concrete pentru o instituție cu resurse limitate

Chiar și cu buget și personal reduse, o instituție poate face pași utili imediat, fără proiecte complexe:

Inventarul sistemelor și al serviciilor: ce aplicații, servere și date sunt esențiale pentru activitate.
Control al accesului și autentificare, inclusiv parole puternice și, acolo unde este posibil, autentificare în mai mulți factori.
Copii de rezervă testate periodic, nu doar configurate și uitate.
Actualizări și igienă cibernetică de bază pentru stații și servere.
Instruirea personalului pe riscuri frecvente, de exemplu phishing și fraude prin e-mail.
Un plan de răspuns la incidente: o procedură scrisă și simplificată pentru gestionarea incidentelor de securitate, care stabilește etapele de alertare internă și autoritățile ce trebuie notificate.

Aceste măsuri nu necesită, în multe cazuri, investiții mari, ci organizare și disciplină. Ele reduc simultan riscul real și expunerea la sancțiuni.

Ce ar trebui să facă o primărie sau o instituție acum

Un plan de acțiune rezonabil, în ordinea priorităților:

Verifică încadrarea și, dacă nu ai făcut-o, depune notificarea la DNSC. Este prioritatea zero, mai ales că termenul inițial a trecut, dar obligația rămâne. Începe cu instrumentul de încadrare și înregistrare.
Desemnează responsabilul NIS și asigură-te că are mandat și date de contact comunicate către DNSC.
Fă analiza de risc. Poți porni de la instrumentul gratuit de analiză de risc.
Realizează autoevaluarea de maturitate CyFun și identifică decalajele față de nivelul cerut. Autoevaluarea și planul de măsuri sunt gratuite.
Planifică măsurile și documentează dovezile (politici, registre, proceduri). Vezi dovezile și registrele NIS2.
Instruiește conducerea și personalul, obligație întărită de cadrul legal.

Pentru instituțiile care au nevoie de sprijin specializat, Certudo oferă consultanță NIS2 și audit NIS2 realizat de auditori de securitate cibernetică atestați DNSC. Autoevaluarea CyFun și planul de măsuri rămân gratuite în platformă.

Un aspect util pentru sectorul public: pentru că achizițiile publice cer timp, merită ca eventualele costuri (semnătură electronică calificată, servicii externe, instrumente) să fie planificate din vreme în buget. Întârzierile administrative de achiziție nu reprezintă o scuză față de obligațiile legale, așa că anticiparea lor face diferența între o conformare ordonată și una făcută în grabă, sub presiune.

Concluzie

Administrația publică este în prima linie a aplicării NIS2 în România, atât ca obligații, cât și ca risc de sancțiune. Vestea bună este că pașii de început sunt clari și, în bună parte, fără costuri. O primărie sau o instituție care se înregistrează la timp și parcurge analiza de risc și autoevaluarea CyFun reduce semnificativ atât expunerea la amenzi, cât și riscul cibernetic real.

Verifică încadrarea și pregătește notificarea (gratuit)

Ai nevoie de sprijin pentru instituția ta? Contactează echipa Certudo.

Întrebări frecvente

Primăriile intră sub incidența NIS2?

Administrația publică, centrală și locală, este vizată de NIS2 prin anexele OUG 155/2024 (sectorul administrației publice). Încadrarea concretă depinde de criteriile din lege. Poți verifica rapid cu instrumentul gratuit de încadrare.

Ce obligații are o instituție publică?

În esență: înregistrare și notificare la DNSC, analiză de risc, autoevaluare de maturitate pe CyFun, implementarea măsurilor proporțional cu riscul și raportarea incidentelor semnificative.

De ce se vorbește despre sancțiuni pentru sectorul public?

Pentru că primele sancțiuni DNSC au vizat sectorul public: prima amendă NIS2, de 50.000 lei, a fost aplicată unei instituții din administrația publică centrală, pentru nerespectarea termenului de notificare. Vezi analiza primei amenzi.

De unde începe o primărie?

Cu verificarea încadrării și depunerea notificării la DNSC, apoi analiza de risc și autoevaluarea CyFun. Vezi ghidul de înregistrare la DNSC.

Autoevaluarea costă?

Nu. Autoevaluarea de maturitate CyFun și planul de măsuri sunt gratuite în platforma Certudo. Costuri apar doar dacă alegi servicii de consultanță sau audit.