În 2026, o organizație care poate intra sub incidența NIS2 ar trebui să poată răspunde clar la câteva întrebări: ne încadrăm în domeniul de aplicare? suntem entitate esențială sau importantă? care sunt serviciile și sistemele critice? ce riscuri avem? ce controale le reduc? cine răspunde de ele și ce dovezi putem prezenta că măsurile sunt implementate și funcționează?
01. Unde este România cu NIS2 în 2026
România nu mai este în etapa de pregătire pentru transpunerea NIS2. Comisia Europeană indică România cu statutul „Transposed” în situația implementării Directivei NIS2.
La nivel național, cadrul juridic este construit în jurul OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată și modificată ulterior prin Legea nr. 124/2025.
Mai important pentru organizații este faptul că implementarea a trecut și în zona operațională. DNSC a stabilit mecanisme pentru identificarea, notificarea și înscrierea entităților, inclusiv Instrumentul NIS2@RO și Platforma NIS2@RO.
02. Cum stabilești dacă organizația intră în domeniul NIS2
Prima greșeală este să începi direct cu politici și proceduri. Primul pas trebuie să fie scope assessment-ul.
Încadrarea nu se reduce la întrebarea „avem peste 50 de angajați?”. Trebuie analizate sectorul și serviciile furnizate, dimensiunea organizației, eventualele situații speciale prevăzute de cadrul legal, rolul serviciului în economie sau societate și dependențele relevante.
NIS2 acoperă o gamă extinsă de sectoare. Printre acestea se regăsesc, în funcție de încadrarea juridică aplicabilă, energie, transport, sector bancar și infrastructuri ale pieței financiare, sănătate, apă, infrastructură digitală, servicii ICT, administrație publică, servicii poștale, anumite activități de producție și alți furnizori prevăzuți de cadrul european și național.
Rezultatul acestei etape nu ar trebui să fie un simplu „da” sau „nu”, ci un document de applicability assessment care explică ipotezele, datele utilizate și justificarea încadrării.
| Întrebare | Ce verificăm | Dovadă utilă |
|---|---|---|
| Ce servicii furnizăm? | Activitatea reală, nu doar codurile declarate formal. | Servicii, contracte, structură operațională, clasificare. |
| În ce sector operăm? | Corelarea activității cu sectoarele și tipurile de entități prevăzute de cadrul NIS2. | Applicability assessment și justificarea încadrării. |
| Care este dimensiunea? | Criteriile relevante privind personalul și parametrii financiari, împreună cu eventualele reguli aplicabile organizației. | Date HR și financiare validate. |
| Există situații speciale? | Criticitatea serviciului, desemnări sau alte situații pentru care criteriul dimensiunii nu este singurul determinant. | Analiză juridică și operațională documentată. |
03. Ce trebuie să existe efectiv în organizație
NIS2 cere o abordare de management al riscului de securitate cibernetică. Asta înseamnă că organizația trebuie să depășească modelul în care cybersecurity este tratat exclusiv ca responsabilitatea echipei IT.
În practică, programul trebuie să acopere cel puțin zone precum analiza riscului și politicile de securitate, gestionarea incidentelor, continuitatea activității, backup și disaster recovery, securitatea supply chain, securitatea achiziției și dezvoltării sistemelor, managementul vulnerabilităților, evaluarea eficacității măsurilor, cyber hygiene, criptografie, controlul accesului și autentificarea.
Dar existența unei politici nu demonstrează că un control funcționează. Pentru fiecare risc material trebuie să existe o legătură clară între:
Risk → Control → Owner → Implementation → Evidence → Review.
| Area | Risk | Control | Evidence |
|---|---|---|---|
| Identity | Compromiterea unui cont și acces neautorizat. | MFA, Conditional Access, access review și separarea privilegiilor. | Policy export, configuration evidence, access review, authentication logs. |
| Endpoint | Dispozitive compromise sau neadministrate. | Device compliance, EDR, encryption, patch management. | Compliance reports, EDR status, encryption status, vulnerability reports. |
| Backup & Recovery | Pierderea datelor sau indisponibilitate după incident. | Backup controlat, separare, retenție și restore testing. | Backup reports, restore test, recovery records. |
| Third Parties | Compromitere sau întrerupere prin furnizori. | Vendor risk assessment și cerințe contractuale de securitate. | Vendor register, assessments, contracts, review records. |
| Incident Response | Detectare sau escaladare întârziată. | Incident process, severity model, contacts și exercises. | Incident register, tickets, exercise reports, lessons learned. |
04. Incident reporting: 24h → 72h → raport final
Una dintre schimbările importante aduse de NIS2 este disciplina de raportare a incidentelor semnificative.
Modelul prevăzut de Directiva NIS2 include o avertizare timpurie în maximum 24 de ore de la momentul în care entitatea ia cunoștință de incidentul semnificativ, urmată de o notificare în maximum 72 de ore.
Cadrul prevede apoi, după caz, raportări intermediare și un raport final în termen de o lună de la notificarea incidentului, conform regulilor aplicabile situației respective.
Aceste termene nu pot fi respectate doar prin existența unui document numit „Incident Response Policy”. Organizația trebuie să poată detecta, clasifica, escalada și investiga suficient de repede.
Un test simplu pentru management este următorul: dacă un incident semnificativ ar fi detectat astăzi la ora 22:00, știm cine ia decizia, cine investighează, cine notifică și ce informații putem furniza în primele 24 de ore?
05. Ce dovezi trebuie să poată prezenta organizația
O organizație matură nu începe să caute dovezi atunci când apare auditul sau solicitarea autorității. Evidence management-ul trebuie proiectat împreună cu controlul.
Pentru fiecare control relevant ar trebui să putem identifica cel puțin owner-ul, starea implementării, ultima verificare, excepțiile și artefactul care demonstrează funcționarea.
Exemplele de dovezi pot include:
- risk register și metodologia de evaluare;
- inventarul activelor și serviciilor critice;
- politici aprobate și istoricul revizuirilor;
- configurații de securitate și rapoarte tehnice;
- evidențe MFA și access control;
- rapoarte de patching și vulnerability management;
- status EDR și device compliance;
- backup reports și rezultate ale testelor de restaurare;
- vendor register și third-party assessments;
- incident register și post-incident reviews;
- training records și exerciții de awareness;
- management reviews și decizii privind acceptarea riscului.
Nu toate dovezile trebuie să fie documente PDF. Într-un mediu modern, o parte importantă a evidenței provine direct din platformele tehnice: identity provider, endpoint management, EDR, SIEM, ticketing, backup sau alte sisteme operaționale.
06. NIS2 readiness checklist pentru management
Pentru o evaluare inițială, managementul ar trebui să poată răspunde fără ambiguitate la următoarele întrebări.
Practical checklist
Ce aș verifica acum în organizație.
Avem documentată analiza prin care am stabilit dacă organizația intră sau nu în domeniul de aplicare NIS2?
Dacă suntem în scope, am parcurs procesul relevant de notificare și înregistrare și păstrăm evidențele aferente?
Avem inventariate serviciile critice, sistemele, activele, dependențele și furnizorii relevanți?
Există un cyber risk register actualizat, cu owner și tratament pentru riscurile materiale?
Controalele critice de identitate, endpoint, acces privilegiat, backup și monitoring sunt implementate și verificate?
Avem un proces funcțional pentru vulnerabilități, patching și remedierea constatărilor?
Furnizorii critici sunt evaluați și există cerințe de securitate proporționale cu riscul?
Incident response-ul poate funcționa efectiv în ferestrele de raportare NIS2, inclusiv în afara programului normal?
Backup-ul și recovery-ul au fost testate, nu doar configurate?
Putem prezenta rapid managementului sau unui evaluator dovezi pentru controalele pe care declarăm că le avem?
07. De la compliance formal la control demonstrabil
O implementare slabă începe cu lista documentelor care „trebuie făcute”. O implementare matură începe cu serviciile care trebuie protejate și cu riscurile care pot afecta organizația.
De acolo construim controalele, stabilim ownership-ul, implementăm măsurile tehnice și organizaționale și definim dovezile prin care putem verifica rezultatul.
Pentru management, imaginea finală ar trebui să fie simplă:
ce risc avem → ce control îl reduce → cine răspunde → care este starea → ce dovadă avem → ce trebuie făcut în continuare.
Acesta este punctul în care NIS2 încetează să fie doar o obligație de compliance și devine un mecanism util de guvernanță a riscului cibernetic.