Dacă ai ajuns să citești despre NIS 2, probabil ești deja într-un punct familiar multor companii din România: știi că există, știi că te-ar putea viza, dar lucrurile devin neclare exact acolo unde contează cel mai mult.
Ce presupune, concret? Cine răspunde? Cât de mare este riscul dacă „mai așteptăm puțin”? Și, mai ales, ce trebuie făcut ca să fii cu adevărat conform, nu doar „pe hârtie”.
NIS 2 nu este o simplă actualizare legislativă. Este o schimbare de filozofie în modul în care Uniunea Europeană tratează securitatea cibernetică. Iar pentru firme, schimbarea se simte direct în responsabilități, costuri, riscuri și decizii de management.
De la „avem un antivirus” la responsabilitate reală
Una dintre cele mai mari confuzii pe care le întâlnim este ideea că NIS 2 ar fi o directivă tehnică, destinată exclusiv departamentelor IT.
În realitate, NIS 2 vorbește despre continuitatea afacerii, risc operațional, lanțuri de furnizori, decizii de management și, abia apoi, despre firewall-uri și patch-uri.
Gândește-te la un scenariu simplu:
o firmă de servicii digitale, cu 120 de angajați, care oferă soluții critice pentru clienți din energie sau sănătate. Un incident cibernetic oprește activitatea timp de două zile. Contractele prevăd penalități. Clienții cer explicații. Autoritatea cere notificare. Managementul trebuie să dovedească ce măsuri existau înainte de incident.
În acest punct, întrebarea nu mai este „cine din IT a greșit?”, ci dacă firma a avut sau nu un sistem de management al riscurilor cibernetice adecvat, așa cum cere NIS 2.
Cum se aplică NIS 2 în România, dincolo de texte legale
În România, NIS 2 este deja parte din dreptul intern, prin OUG nr. 155/2024 și Legea nr. 124/2025. DNSC este autoritatea responsabilă, iar firmele vizate trebuie să se înregistreze, să se evalueze și să demonstreze conformarea.
Pentru multe companii, aici apare blocajul.
Textele sunt tehnice. Terminologia este nouă. Noțiuni precum „entitate esențială”, „entitate importantă”, „măsuri proporționale cu riscul” sau „raportare etapizată a incidentelor” sună familiar, dar nu suficient de clar încât să poți lua decizii rapide și sigure.
De exemplu:
- este o firmă de logistică un „actor critic” sau doar un furnizor obișnuit?
- contează cifra de afaceri sau tipul de serviciu?
- ce înseamnă, practic, „măsuri adecvate” pentru o companie care nu este din IT?
Răspunsurile există, dar nu sunt universale. Ele depind de profilul fiecărei firme, de poziția sa în economie și de impactul real al unui incident.
Ce schimbă NIS 2 pentru firmele „obișnuite”
Unul dintre cele mai importante efecte ale NIS 2 este că mută responsabilitatea la nivel de conducere.
Administratorii și directorii nu mai pot delega complet securitatea cibernetică. Deciziile privind bugetele, prioritățile și riscurile devin parte din obligațiile lor legale.
În practică, asta înseamnă:
- nu mai este suficient să existe politici scrise, dacă ele nu sunt aplicate;
- nu mai este acceptabil ca relația cu furnizorii să ignore securitatea datelor;
- nu mai este opțional să știi ce faci în primele 24 de ore după un incident.
Pentru firmele care „știu câte ceva” despre NIS 2, dar nu știu exact de unde să înceapă, această directivă devine rapid o sursă de stres și incertitudine.
De ce implementarea reală nu seamănă cu o listă de bifat
Una dintre cele mai mari greșeli este abordarea NIS 2 ca pe un checklist rigid.
În realitate, conformarea este un proces adaptat fiecărei organizații.
Două firme din același sector pot avea obligații diferite, în funcție de:
- rolul lor în lanțul de servicii,
- tipul de date gestionate,
- dependența clienților de continuitatea serviciilor lor.
Exact aici apare valoarea unei abordări profesioniste: traducerea cerințelor legale într-un sistem funcțional, care chiar ajută firma, nu doar o protejează de sancțiuni.
De ce tot mai multe companii aleg să nu parcurgă singure acest drum
NIS 2 nu cere perfecțiune. Cere diligență, logică și coerență.
Dar pentru a le demonstra, este nevoie de:
- interpretare juridică,
- înțelegere a riscurilor operaționale,
- corelare cu realitatea tehnică a firmei.
La A&T COMPLIANCE CONSULTING SRL, lucrăm exact în acest punct de intersecție. Nu venim cu soluții standard și nici cu limbaj inaccesibil. Lucrăm cu firme care:
- au auzit de NIS 2,
- știu că trebuie să facă ceva,
- dar nu vor să riște interpretări greșite sau implementări formale, fără valoare reală.
Pentru ele, conformarea nu este doar o obligație legală, ci o decizie strategică: cum își protejează activitatea, clienții și reputația într-un context economic și digital tot mai fragil.
NIS 2 nu este despre frică. Este despre control.
În esență, NIS 2 obligă firmele să răspundă onest la o întrebare simplă:
Știm ce se întâmplă dacă mâine apare un incident major?
Dacă răspunsul este „nu complet” sau „depinde”, atunci discuția despre implementare devine nu doar utilă, ci necesară.
Iar experiența arată că firmele care aleg să fie asistate din timp ajung nu doar conforme, ci și mai stabile, mai clare în procese și mai pregătite pentru viitor.
Exact acesta este scopul nostru..