Implementarea directivei NIS2 în România marchează o schimbare majoră în gestionarea riscurilor digitale, mutând responsabilitatea securității cibernetice de la departamentele IT către nivelul conducerii organizațiilor. Conform analizei oferite de compania de consultanță Espace IT, managementul trebuie să înțeleagă riscurile, să aprobe măsurile de protecție, să aloce resursele necesare și să supravegheze implementarea acestora. Această abordare transformă securitatea dintr-o problemă tehnică într-una de guvernanță corporativă.
Noua reglementare extinde semnificativ aria de aplicare, vizând în prezent 18 sectoare de activitate, comparativ cu cele șapte sectoare prevăzute în cadrul anterior. Directiva vizează în principal entitățile esențiale și importante, însă, în anumite condiții, pot fi incluse și microîntreprinderile sau întreprinderile mici care îndeplinesc un rol crucial pentru populație sau pentru alte organizații. Cerințele pot ajunge să afecteze și furnizorii acestor companii, care vor fi obligați să demonstreze aplicarea unor măsuri de securitate adecvate.
Riscurile informatice sunt amplificate de creșterea numărului de vulnerabilități și de atacurile asupra lanțurilor de aprovizionare. Datele citate de Espace IT din raportul ENISA arată că, în 2025, au fost publicate peste 48.000 de vulnerabilități noi, ceea ce reprezintă o creștere de 22% față de anul precedent. Alin Meteșan, fondator Espace IT, subliniază că digitalizarea intensă crește vulnerabilitatea, iar deciziile și consecințele rămân la nivelul managementului companiei.
Pentru entitățile esențiale, nerespectarea cerințelor NIS2 poate atrage sancțiuni financiare extrem de ridicate. Penalitățile pot ajunge la suma de 10 milioane de euro sau la 2% din cifra de afaceri anuală la nivel mondial. Un prim pas esențial pentru companii este determinarea statutului de incidență, proces care trebuie să ia în calcul atât activitatea desfășurată, cât și dimensiunea întreprinderii, inclusiv evaluarea la nivel de grup.
În România, Directoratul Național de Securitate Cibernetică (DNSC) deține rolul de autoritate competentă pentru supravegherea și controlul respectării acestui cadru legal. Gabriel Niculescu, coordonatorul Serviciului de Evidență și Sprijin din cadrul DNSC, recomandă companiilor să își mapeze toate activitățile pentru a identifica corect sectoarele de incidență. Analiza nu trebuie să se limiteze doar la activitatea principală, ci să includă o evaluare completă a structurii organizaționale.
Securitatea cibernetică reprezintă un pilon critic al stabilității economice și a protecției infrastructurii critice la nivel național și european. Într-un peisaj digital în continuă evoluție, reglementările precum NIS2 vin să standardizeze nivelul de protecție împotriva atacurilor cibernetice, care pot afecta servicii vitale pentru societate. Această reglementare europeană obligă organizațiile să adopte un model de gestionare a riscurilor mult mai riguros și transparent.