Implementarea directivei NIS2 în România schimbă radical modul în care organizațiile gestionează riscurile digitale, mutând responsabilitatea securității cibernetice de la departamentele IT direct la nivelul conducerii companiilor. Conform experților de la Espace IT, conformarea cu noul cadru nu mai poate fi tratată ca o simplă sarcină tehnică, ci necesită ca managementul să evalueze riscurile, să decidă măsurile de reducere a acestora și să aloce resursele necesare pentru implementarea lor efectivă.
Directiva NIS2 extinde semnificativ aria organizațiilor vizate, trecând de la șapte la 18 sectoare de activitate. Reglementările se adresează în principal entităților esențiale și importante, însă, în anumite condiții, obligațiile pot viza și microîntreprinderile care joacă un rol crucial pentru alte organizații sau pentru populație. Impactul se propagă și în lanțul de furnizori, deoarece companiile pot solicita partenerilor să demonstreze implementarea unor măsuri adecvate de securitate, chiar dacă aceștia nu sunt direct sub incidența NIS2.
Presiunea asupra companiilor este accentuată de evoluția amenințărilor cibernetice, raportul ENISA indicând faptul că în 2025 au fost publicate peste 48.000 de vulnerabilități noi, un număr cu 22% mai mare decât în anul precedent. Ransomware-ul rămâne principala amenințare pe termen scurt, în timp ce vulnerabilitățile furnizorilor pot afecta organizații care își protejează corect propriile sisteme. Alin Meteșan, fondator Espace IT, subliniază că, deși serviciile tehnice pot fi externalizate, factorii de decizie și responsabilitatea rămân în cadrul companiei.
În România, Directoratul Național de Securitate Cibernetică (DNSC) este autoritatea responsabilă pentru supravegherea, verificarea și controlul aplicării cerințelor NIS2. Gabriel Niculescu, coordonatorul Serviciului de Evidență și Sprijin din cadrul DNSC, recomandă companiilor să își mapeze toate activitățile și să identifice corect sectoarele în care se încadrează, analizând dimensiunea întreprinderii la nivel de grup. Această verificare riguroasă de la început este esențială pentru a stabili obligațiile specifice ce revin fiecărei entități.
Nivelul de maturitate digitală din România rămâne o provocare majoră în contextul noilor reglementări europene. Victor Negrescu, vicepreședinte al Parlamentului European, a observat că, deși NIS2 a fost transpusă, datele din 2024 arată că doar 53% dintre companiile românești analizate utilizau cel puțin trei măsuri de securitate ICT, comparativ cu 93% în Finlanda. Provocarea reală constă în trecerea de la o conformare formală la o reziliență autentică în fața atacurilor.
Legislația NIS2 prevede sancțiuni severe pentru entitățile care nu respectă normele de securitate. În cazul anumitor încălcări, amenzile pot ajunge la 10 milioane de euro sau la 2% din cifra de afaceri anuală la nivel mondial pentru entitățile clasificate ca esențiale. Această structură de penalități obligă managementul să prioritizeze investițiile în protecția datelor și în infrastructura digitală pentru a evita consecințe financiare masive.
