Acest ghid are caracter informativ și nu înlocuiește consultanța juridică. Dacă nu știi sigur dacă firma ta intră sub incidența NIS2, verifică încadrarea cu un specialist sau cu DNSC.
Ce este NIS2
NIS2 este Directiva (UE) 2022/2555 privind măsurile pentru un nivel comun ridicat de securitate cibernetică în Uniunea Europeană. Ea înlocuiește prima directivă NIS și extinde mult numărul de sectoare și firme vizate.
În România, directiva a fost transpusă prin OUG nr. 155/2024, iar autoritatea competentă este DNSC — Directoratul Național de Securitate Cibernetică.
Cine intră sub incidența NIS2
În general, entitățile de dimensiune medie și mare din sectoarele enumerate în anexele directivei, împărțite în entități esențiale și entități importante. Printre sectoare se numără:
- energie, transport, sănătate, apă potabilă și ape uzate;
- bancar și infrastructuri ale pieței financiare;
- infrastructură digitală și servicii TIC;
- administrație publică;
- servicii poștale și de curierat, gestionarea deșeurilor;
- industria chimică, alimentară, producția de echipamente;
- furnizori digitali (piețe online, motoare de căutare, rețele sociale).
Unele entități intră sub incidență indiferent de mărime. Chiar și firmele care nu intră direct pot fi afectate indirect: clienții lor mari care intră sub NIS2 trebuie să își gestioneze și riscurile din lanțul de aprovizionare, deci vor cere garanții de securitate și de la furnizori.
Ce prevede NIS2 despre instruire
Conducerea
Directiva prevede (art. 20) că membrii organelor de conducere ale entităților vizate aprobă măsurile de gestionare a riscurilor de securitate cibernetică, supraveghează punerea lor în aplicare și trebuie să urmeze cursuri de formare în domeniu. Statele membre încurajează entitățile să ofere periodic formări similare și angajaților.
Măsurile de gestionare a riscurilor
Printre măsurile minime pe care entitățile trebuie să le ia (art. 21) se numără explicit practicile de bază în materie de igienă cibernetică și formarea în domeniul securității cibernetice.
De ce contează pentru conducere
- Directiva pune responsabilitatea direct pe conducere, nu doar pe departamentul IT.
- Prevede amenzi administrative care, la nivelul directivei, pot ajunge pentru entitățile esențiale la cel puțin 10 milioane de euro sau 2% din cifra de afaceri anuală mondială, iar pentru entitățile importante la cel puțin 7 milioane de euro sau 1,4% (se aplică valoarea mai mare). Cuantumurile concrete sunt stabilite de legislația națională.
- În caz de incident, firma trebuie să poată arăta ce măsuri a luat — inclusiv dacă și-a instruit oamenii.
Cum ajută simulările de phishing
Phishing-ul e una dintre cele mai frecvente căi de intrare în incidentele de securitate. Simulările de phishing combinate cu instruire periodică ajută concret:
- Formare practică pentru angajați și conducere, nu doar teoretică.
- Dovezi documentate: rapoarte cu data testelor, participarea și evoluția rezultatelor.
- Măsurarea riscului uman, ca parte din analiza de risc.
- Îmbunătățire continuă, demonstrabilă de la un test la altul.
- Verifică dacă firma ta intră sub NIS2 sau dacă clienții tăi intră.
- Include instruirea conducerii și a angajaților în planul de securitate.
- Fă un test de phishing ca punct de plecare.
- Repetă periodic și păstrează rapoartele.
Întrebări frecvente
Firma mea e mică. Mă privește NIS2?
În general, NIS2 vizează entitățile medii și mari din sectoarele enumerate, dar există excepții. Chiar dacă nu intri direct, clienții tăi care intră sub NIS2 îți pot cere garanții de securitate ca furnizor.
Simulările de phishing sunt obligatorii prin NIS2?
Directiva cere formare în securitate cibernetică și practici de igienă cibernetică, fără să impună o metodă anume. Simulările sunt o modalitate practică și măsurabilă de a demonstra această formare.
Cine răspunde în firmă?
NIS2 pune responsabilitatea pe organele de conducere, care aprobă și supraveghează măsurile de securitate și trebuie să urmeze ele însele formare.
Vrei să știi cum ar reacționa echipa ta?
Testăm angajații înaintea hackerilor: simulări de phishing realiste, instruire fără sancțiuni și un raport clar pentru conducere.