Directiva NIS2 pe înțelesul managerilor: cine e vizat, ce anume trebuie raportat în 24 și 72 de ore

Un atac cibernetic poate bloca activitatea unei companii, poate întrerupe servicii importante sau afecta datele clienților. Într-o astfel de situație, echipa IT trebuie să identifice problema și să limiteze efectele, însă responsabilitățile nu se opresc la intervenția tehnică. Conducerea companiei trebuie să știe ce obligații legale există, cine gestionează incidentul și când trebuie informate autoritățile.

Directiva NIS2 stabilește cerințe clare de securitate cibernetică pentru organizațiile care furnizează servicii importante pentru economie și societate. În România, cadrul național este reglementat prin OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025.

Pentru manageri, două dintre cele mai importante termene sunt cele pentru raportarea incidentelor semnificative în 24, respectiv 72 de ore . Acestea fac parte dintr-un proces mai amplu, care presupune identificarea riscurilor, pregătirea procedurilor și implicarea conducerii.

 

Ce companii sunt vizate de NIS2?

NIS2 se aplică unor organizații din sectoare considerate esențiale sau importante. Încadrarea depinde de activitatea desfășurată, dimensiunea companiei și, în anumite cazuri, de impactul serviciilor oferite asupra economiei și societății.

Printre domeniile vizate se numără:

• energia, transporturile, sănătatea și alimentarea cu apă;

• infrastructura digitală și anumite servicii IT gestionate;

• serviciile poștale, curieratul și gestionarea deșeurilor;

• producția și distribuția de produse alimentare;

• industria chimică și anumite activități de producție;

• anumite servicii digitale și instituții publice.

În general, criteriile de dimensiune vizează întreprinderile mijlocii și mari, dar există și categorii pentru care legea prevede reguli speciale, indiferent de dimensiune.

Simplul fapt că o firmă furnizează servicii unei organizații vizate de NIS2 nu înseamnă că intră automat sub incidența directivei. Totuși, pot exista cerințe contractuale de securitate impuse de clienți.

Pentru instituțiile financiare cărora li se aplică regulamentul DORA, obligațiile specifice de securitate și raportare trebuie analizate conform regimului juridic aplicabil.

 

Ce înseamnă un incident semnificativ?

Nu orice problemă tehnică trebuie raportată conform termenelor NIS2. Un calculator care nu pornește sau o eroare minoră a unei aplicații nu reprezintă automat un incident semnificativ.

Potrivit legislației, un incident este considerat semnificativ dacă a provocat sau riscă să provoace perturbări operaționale grave, pierderi financiare ori prejudicii materiale sau nemateriale considerabile altor persoane.

De exemplu, indisponibilitatea unui serviciu esențial, compromiterea unor sisteme importante sau un atac care afectează numeroși utilizatori necesită o evaluare atentă.

Compania trebuie să aibă criterii și proceduri prin care identifică rapid incidentele și stabilește dacă există obligația de raportare.

 

Ce trebuie raportat în primele 24 de ore?

În cel mult 24 de ore de la momentul în care compania a luat cunoștință de un incident semnificativ, trebuie transmisă o avertizare timpurie, fără întârzieri nejustificate.

Aceasta nu presupune finalizarea investigației. Scopul este informarea rapidă a echipei naționale de răspuns la incidente despre situația identificată.

Avertizarea timpurie trebuie să indice, după caz, dacă există suspiciuni că incidentul a fost provocat prin acțiuni ilicite sau răuvoitoare și dacă ar putea avea impact transfrontalier.

Managerii trebuie să înțeleagă că raportarea nu poate fi amânată până când echipa IT stabilește toate cauzele incidentului.

 

Ce informații trebuie transmise în 72 de ore?

În cel mult 72 de ore de la luarea la cunoștință a unui incident semnificativ, compania trebuie să transmită o raportare care actualizează informațiile inițiale.

Aceasta trebuie să includă, după caz:

• evaluarea inițială a gravității incidentului;

• impactul asupra serviciilor și activității companiei;

• informațiile noi obținute după avertizarea timpurie;

• indicatorii de compromitere identificați, dacă sunt disponibili;

• datele relevante pentru înțelegerea și gestionarea incidentului.

Raportarea de la 72 de ore nu reprezintă raportul final al investigației. Acesta trebuie transmis în termen de cel mult o lună de la notificarea incidentului și include informații detaliate despre cauze, consecințe și măsurile aplicate.

Dacă incidentul este încă în desfășurare, legislația prevede raportarea progreselor și transmiterea raportului final după gestionarea acestuia.

Există și situații speciale. În România, informațiile care permit identificarea unui impact transfrontalier trebuie raportate fără întârzieri nejustificate, în cel mult 6 ore de la luarea la cunoștință a acestora. Pentru anumite categorii de prestatori există, de asemenea, termene specifice.

 

Cine primește raportările și cine răspunde pentru ele?

În România, DNSC este autoritatea națională competentă în domeniul NIS2. Raportarea incidentelor prevăzută de OUG nr. 155/2024 se realizează către echipa națională de răspuns la incidente, prin Platforma națională pentru raportarea incidentelor de securitate cibernetică (PNRISC).

Raportarea trebuie integrată într-o procedură internă clară. Compania are nevoie de persoane responsabile pentru detectarea incidentelor, evaluarea impactului, comunicarea cu autoritățile și documentarea intervențiilor.

Conducerea are, la rândul său, obligații directe privind aprobarea și supravegherea măsurilor de gestionare a riscurilor de securitate cibernetică. Aceste responsabilități nu dispar prin externalizarea administrării IT către un furnizor.

 

Cum pregătești compania înainte de apariția unui incident?

Respectarea termenelor devine dificilă dacă organizația nu știe ce sisteme sunt critice, unde sunt stocate datele și cine trebuie să intervină în cazul unui atac.

Pregătirea trebuie să înceapă cu evaluarea infrastructurii și identificarea riscurilor, urmate de măsuri tehnice și organizaționale adaptate activității.

Printre priorități se numără:

• inventarierea sistemelor, aplicațiilor și datelor importante;

• stabilirea procedurilor de detectare și raportare a incidentelor;

• controlul accesului și utilizarea autentificării multifactor, după caz;

• actualizarea sistemelor și gestionarea vulnerabilităților;

• realizarea și testarea copiilor de siguranță;

• instruirea angajaților și verificarea măsurilor de securitate.

Aceste activități trebuie documentate și revizuite periodic. Simpla achiziție a unor soluții de securitate nu demonstrează că organizația îndeplinește toate obligațiile.

 

NIS2 începe cu responsabilități clare la nivelul conducerii

Pentru manageri, primul pas este stabilirea încadrării companiei și înțelegerea cerințelor care i se aplică. Urmează evaluarea riscurilor, desemnarea responsabilităților și pregătirea unui plan de intervenție.

Termenele de 24 și 72 de ore arată cât de importantă este capacitatea companiei de a identifica și evalua rapid incidentele semnificative. Dacă procedurile sunt stabilite înainte de apariția unei probleme, echipa poate acționa organizat și poate transmite informațiile necesare la timp.

Conformarea cu NIS2 nu înseamnă doar respectarea unor obligații de raportare, ci și protejarea serviciilor, datelor și activității de care depind compania și clienții săi.