Încadrarea NIS2 trebuie stabilită prin corelarea tipului de entitate și a serviciilor furnizate cu sectorul relevant, criteriile de dimensiune și excepțiile prevăzute de cadrul aplicabil. Codul CAEN și numărul de angajați sunt informații utile, dar nu reprezintă singure o concluzie de încadrare.
01. Ce stabilește încadrarea unei organizații în NIS2
Încadrarea companiei în Directiva NIS2 nu este un exercițiu administrativ și nici o decizie care ar trebui luată exclusiv după codul CAEN.
O clasificare greșită poate produce două efecte costisitoare: investiții disproporționate într-un perimetru care nu intră în domeniul de aplicare sau, mai grav, neglijarea unor obligații de securitate, raportare și guvernanță aplicabile organizației.
La nivel european, Directiva (UE) 2022/2555 se aplică, ca regulă generală, entităților de tipurile prevăzute în anexele I și II care se califică drept întreprinderi mijlocii sau depășesc plafoanele aplicabile acestora.
Directiva include însă și situații în care anumite entități intră în domeniul de aplicare indiferent de dimensiune.
În practică, analiza trebuie să privească entitatea juridică, serviciile efectiv livrate și sistemele care susțin acele servicii.
O companie poate avea un obiect principal de activitate aparent nerelevant, dar poate opera o platformă, infrastructură sau un serviciu digital care modifică analiza.
Entități esențiale și entități importante
NIS2 diferențiază între entități esențiale și entități importante. Clasificarea este relevantă inclusiv pentru modul de supraveghere și enforcement.
Cadrul acoperă sectoare precum energie, transport, sănătate, apă, infrastructură digitală, anumite servicii financiare, administrație publică, servicii TIC gestionate, servicii poștale, gestionarea deșeurilor, anumite activități de producție, furnizori digitali și cercetare.
Lista sectorului este însă doar punctul de plecare. Serviciul concret și definițiile juridice aplicabile trebuie analizate înainte de concluzie.
02. Dimensiunea contează, dar nu decide singură
Criteriul de dimensiune este unul dintre elementele centrale ale domeniului de aplicare NIS2.
Analiza nu ar trebui însă redusă la o singură întrebare precum „avem peste 50 de angajați?”.
Trebuie analizate criteriile aplicabile întreprinderii și, unde este relevant, structura organizațională și relațiile dintre entități.
Mai important, Directiva prevede categorii pentru care aplicabilitatea poate exista indiferent de dimensiunea entității.
Printre situațiile prevăzute la nivel european se numără anumite servicii de comunicații electronice, prestatorii de servicii de încredere, registrele de nume de domenii de prim nivel și furnizorii DNS, precum și alte cazuri determinate de caracterul critic sau impactul serviciului. citeturn0search1
03. Lanțul de furnizare poate schimba nivelul de expunere
O organizație care nu este direct încadrată poate avea în continuare o expunere contractuală și operațională importantă deoarece deservește organizații aflate sub incidența NIS2.
Un integrator care administrează Microsoft 365 , un MSP, un furnizor de backup, o companie de dezvoltare cu acces la producție sau un operator SOC poate reprezenta o dependență importantă pentru continuitatea clientului.
Acest lucru nu înseamnă automat că furnizorul devine entitate NIS2.
Înseamnă însă că poate fi evaluat prin cerințe de supply-chain security, chestionare, clauze contractuale, audituri și solicitări de dovezi.
Pentru multe organizații, efectul comercial al NIS2 poate apărea astfel înaintea unei activități directe de supraveghere.
04. Cum construim o evaluare de încadrare care rezistă la control
O evaluare defensabilă nu ar trebui să se bazeze pe o opinie verbală sau pe răspunsul la o singură întrebare.
Rezultatul ar trebui să explice ce am analizat, pe ce surse ne-am bazat, ce ipoteze am folosit și de ce am ajuns la concluzia respectivă.
1. Cartografierea entității și a serviciilor reale
Începem cu entitățile juridice relevante, structura grupului, dimensiunea și relațiile de proprietate.
Apoi documentăm serviciile livrate, tipurile de clienți, geografiile, dependențele tehnologice și sistemele care susțin serviciile respective.
Un exemplu frecvent este o companie descrisă intern drept „furnizor software”, dar care găzduiește aplicația, administrează identități, deține chei sau certificate și intervine direct în producția clientului.
Analiza trebuie să privească serviciul și responsabilitatea reală, nu doar dezvoltarea de cod.
2. Corelarea serviciilor cu sectorul și criteriile aplicabile
Pentru fiecare serviciu relevant trebuie identificate sectorul potențial, definiția legală, criteriul de dimensiune și eventualele excepții.
Este util să separăm explicit:
- faptele observate;
- cerința juridică relevantă;
- interpretarea;
- concluzia;
- dovezile care susțin concluzia.
3. Evaluarea impactului
Chiar înainte de concluzia finală privind scope-ul, trebuie înțeles ce s-ar întâmpla dacă serviciile relevante devin indisponibile, sunt compromise sau livrează informații eronate.
Analiza poate include procesele critice, RTO și RPO, accesurile privilegiate, punctele unice de eșec și furnizorii pentru care nu există o alternativă realistă.
4. Documentarea concluziei și a revizuirii
Dosarul final ar trebui să indice concluzia de încadrare, sursele, raționamentul, eventualele zone care necesită interpretare suplimentară, owner-ul și data următoarei revizuiri.
Reevaluarea poate fi declanșată de fuziuni, achiziții, schimbarea dimensiunii, intrarea într-un sector nou, lansarea unui serviciu gestionat sau schimbarea semnificativă a arhitecturii și responsabilităților.
| Întrebare | Ce verificăm | Evidence |
|---|---|---|
| Ce serviciu furnizăm? | Activitatea efectivă, nu doar descrierea comercială. | Contracte, service catalogue, procese. |
| În ce sector intră? | Anexele și definițiile aplicabile. | Legal / regulatory mapping. |
| Care este dimensiunea? | Criteriile relevante pentru entitate. | Date HR, financiare și structură. |
| Există o excepție? | Aplicabilitate indiferent de dimensiune. | Scope assessment. |
| Ce impact are serviciul? | Operațiuni, clienți și dependențe. | Risk assessment / BIA. |
| Putem demonstra concluzia? | Raționament, owner și revizuire. | Scope & evidence register. |
05. După încadrare: de la obligație la control demonstrabil
Dacă organizația intră în domeniul de aplicare, următoarea greșeală este tratarea NIS2 ca pe un set de politici.
Cerințele de management al riscului trebuie transpuse în controale tehnice și organizaționale cu ownership, criterii de eficacitate și dovezi.
În funcție de expunere, prioritățile pot include:
- identity & access management;
- MFA și acces privilegiat;
- incident handling;
- vulnerability management;
- backup și disaster recovery;
- business continuity;
- logging și monitoring;
- supply-chain security;
- asset management;
- security awareness;
- cryptography;
- evaluarea eficacității controalelor.
Pentru fiecare control important ar trebui să putem răspunde: cine este responsabil, cât de des este verificat, cum măsurăm eficacitatea și ce dovadă putem prezenta.
Practical checklist
10 întrebări pentru o încadrare NIS2 defensabilă.
Am identificat exact entitatea juridică analizată?
Am documentat serviciile efectiv furnizate, nu doar codurile CAEN?
Am corelat serviciile cu sectoarele și tipurile de entități relevante?
Am verificat corect criteriul de dimensiune?
Am verificat situațiile aplicabile indiferent de dimensiune?
Am analizat structura organizației și relațiile relevante dintre entități?
Am evaluat rolul organizației în supply chain?
Putem demonstra sursele și raționamentul concluziei?
Există un owner pentru validarea și menținerea încadrării?
Sunt definite evenimentele care declanșează reevaluarea?
06. Raportarea incidentelor trebuie pregătită înainte de incident
Pentru incidentele semnificative, NIS2 stabilește un mecanism etapizat de raportare.
| Etapă | Termen NIS2 | Scop |
|---|---|---|
| Early warning | 24 ore | Semnalarea inițială a incidentului semnificativ. |
| Incident notification | 72 ore | Actualizarea informațiilor și evaluarea inițială a severității și impactului. |
| Intermediate report | La solicitare | Actualizare privind evoluția incidentului. |
| Final report | Maximum o lună | Analiza incidentului, impactului și măsurilor de remediere. |
Aceste termene sunt prevăzute de mecanismul de raportare din art. 23 NIS2; pentru incidentele aflate încă în desfășurare există reguli suplimentare privind progress report-ul și raportul final. citeturn0search28
Pentru organizație, problema practică este să existe înainte de incident un proces clar: cine califică incidentul, cine escaladează, cine aprobă notificarea și cine păstrează dovezile.
Pentru o analiză mai largă a obligațiilor și controalelor, vezi și Ghidul NIS2 Rizea Networks .
07. Încadrarea este o decizie care trebuie să poată fi demonstrată
O companie nu devine pregătită pentru NIS2 printr-un document de clasificare și nici prin achiziția unei tehnologii.
O abordare matură începe cu stabilirea perimetrului, continuă cu înțelegerea riscurilor și ajunge la controale cu owner, evidence și verificarea eficacității.
Modelul pe care îl folosesc este:
Scope → Exposure → Risk → Control → Owner → Evidence → Effectiveness.
Încadrarea ne spune dacă și unde se aplică obligațiile. Programul de securitate trebuie apoi să demonstreze cum sunt gestionate riscurile în acel perimetru.