Directiva NIS2 pentru manageri: cine e vizat și ce trebuie raportat în 24 și 72 de ore
Ce companii trebuie să raporteze incidentele conform Directivă NIS2? Organizațiile care furnizează servicii esențiale pentru economie și societate, precum energia, transporturile, sănătatea sau infrastructura digitală. Conducerea companiei trebuie să știe ce obligații legale există, cine gestionează incidentul și când trebuie informate autoritățile.
Rezumat:
Ce organizații sunt vizate de Directiva NIS2?
Directiva NIS2 stabilește cerințe clare de securitate cibernetică pentru organizațiile care furnizează servicii importante pentru economie și societate. În România, cadrul național este reglementat prin OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025.
Pentru manageri, două dintre cele mai importante termene sunt cele pentru raportarea incidentelor semnificative în 24, respectiv 72 de ore. Acestea fac parte dintr-un proces mai amplu, care presupune identificarea riscurilor, pregătirea procedurilor și implicarea conducerii.
NIS2 se aplică unor organizații din sectoare considerate esențiale sau importante. Încadrarea depinde de activitatea desfășurată, dimensiunea companiei și, în anumite cazuri, de impactul serviciilor oferite asupra economiei și societății.
Exemple de sectoare vizate includ:
- energia, transporturile, sănătatea și alimentarea cu apă;
- infrastructura digitală și anumite servicii IT gestionate;
- serviciile poștale, curieratul și gestionarea deșeurilor;
- producția și distribuția de produse alimentare;
- industria chimică și anumite activități de producție;
- anumite servicii digitale și instituții publice.
În general, criteriile de dimensiune vizează întreprinderile mijlocii și mari, dar există și categorii pentru care legea prevede reguli speciale, indiferent de dimensiune.
Simplul fapt că o firmă furnizează servicii unei organizații vizate de NIS2 nu înseamnă că intră automat sub incidența directivei. Totuși, pot exista cerințe contractuale de securitate impuse de clienți.
Pentru instituțiile financiare cărora li se aplică regulamentul DORA, obligațiile specifice de securitate și raportare trebuie analizate conform regimului juridic aplicabil.
Ce se consideră un incident semnificativ și cum se raportează?
Nu orice problemă tehnică trebuie raportată conform termenelor NIS2. Un calculator care nu pornește sau o eroare minoră a unei aplicații nu reprezintă automat un incident semnificativ.
Potrivit legislației, un incident este considerat semnificativ dacă a provocat sau riscă să provoace perturbări operaționale grave, pierderi financiare ori prejudicii materiale sau nemateriale considerabile altor persoane.
De exemplu, indisponibilitatea unui serviciu esențial, compromiterea unor sisteme importante sau un atac care afectează numeroși utilizatori necesită o evaluare atentă.
Compania trebuie să aibă criterii și proceduri prin care identifică rapid incidentele și stabilește dacă există obligația de raportare.
După ce se confirmă un incident semnificativ, compania trebuie să raporteze în cel mult 24 de ore o avertizare timpurie, fără întârzieri nejustificate. Scopul este informarea rapidă a echipei naționale de răspuns la incidente despre situația identificată.
Avertizarea timpurie trebuie să indice, după caz, dacă există suspiciuni că incidentul a fost provocat prin acțiuni ilicite sau răuvoitoare și dacă ar putea avea impact transfrontalier.
În cel mult 72 de ore de la luarea la cunoștință a unui incident semnificativ, compania trebuie să transmită o raportare care actualizează informațiile inițiale.
Aceasta include:
- evaluarea inițială a gravității incidentului;
- impactul asupra serviciilor și activității companiei;
- informațiile noi obținute după avertizarea timpurie;
- indicatorii de compromitere identificați, dacă sunt disponibili;
- datele relevante pentru înțelegerea și gestionarea incidentului.
Raportarea de la 72 de ore nu reprezintă raportul final al investigației. Acesta trebuie transmis în termen de cel mult o lună de la notificarea incidentului și include informații detaliate despre cauze, consecințe și măsurile aplicate.
Dacă incidentul este încă în desfășurare, legislația prevede raportarea progreselor și transmiterea raportului final după gestionarea acestuia.
Există și situații speciale. În România, informațiile care permit identificarea unui impact transfrontalier trebuie raportate fără întârzieri nejustificate, în cel mult 6 ore de la luarea la cunoștință a acestora. Pentru anumite categorii de prestatori există, de asemenea, termene specifice.
Cum se pregătește o companie pentru raportarea incidentelor conform NIS2?
În România, DNSC este autoritatea națională competentă în domeniul NIS2. Raportarea incidentelor prevăzută de OUG nr. 155/2024 se realizează către echipa națională de răspuns la incidente, prin Platforma națională pentru raportarea incidentelor de securitate cibernetică (PNRISC).
Raportarea trebuie integrată într-o procedură internă clară. Compania are nevoie de persoane responsabile pentru detectarea incidentelor, evaluarea impactului, comunicarea cu autoritățile și documentarea intervențiilor.
Conducerea are, la rândul său, obligații directe privind aprobarea și supravegherea măsurilor de gestionare a riscurilor de securitate cibernetică. Aceste responsabilități nu dispar prin externalizarea administrării IT către un furnizor.
Respectarea termenelor devine dificilă dacă organizația nu știe ce sisteme sunt critice, unde sunt stocate datele și cine trebuie să intervină în cazul unui atac.
Pregătirea trebuie să înceapă cu evaluarea infrastructurii și identificarea riscurilor, urmate de măsuri tehnice și organizaționale adaptate activității.
Activitățile recomandate includ:
- inventarierea sistemelor, aplicațiilor și datelor importante;
- stabilirea procedurilor de detectare și raportare a incidentelor;
- controlul accesului și utilizarea autentificării multifactor, după caz;
- actualizarea sistemelor și gestionarea vulnerabilităților;
- realizarea și testarea copiilor de siguranță;
- instruirea angajaților și verificarea măsurilor de securitate.
Aceste activități trebuie documentate și revizuite periodic. Simpla achiziție a unor soluții de securitate nu demonstrează că organizația îndeplinește toate obligațiile.
Pentru manageri, primul pas este stabilirea încadrării companiei și înțelegerea cerințelor care i se aplică. Urmează evaluarea riscurilor, desemnarea responsabilităților și pregătirea unui plan de intervenție.
Termenele de 24 și 72 de ore arată cât de importantă este capacitatea companiei de a identifica și evalua rapid incidentele semnificative. Dacă procedurile sunt stabilite înainte de apariția unei probleme, echipa poate acționa organizat și poate transmite informațiile necesare la timp.
Conformarea cu NIS2 nu înseamnă doar respectarea unor obligații de raportare, ci și protejarea serviciilor, datelor și activității de care depind compania și clienții săi.
Adrian Neagu
