Implementarea directivei NIS2 în România necesită o schimbare fundamentală de paradigmă, trecând de la un proiect pur tehnic la unul de guvernanță corporativă. Deși multe organizații tind să trateze această actualizare ca pe o simplă listă de soluții IT, precum firewall-uri sau backup-uri, cadrul legislativ impune o abordare diferită. Directiva (UE) 2022/2555 a fost transpusă în legislația națională prin OUG nr. 155/2024 și Legea nr. 124/2025, stabilind un cadru strict pentru securitatea cibernetică.
Conform prevederilor din OUG nr. 155/2024, responsabilitatea pentru gestionarea riscurilor de securitate cibernetică aparține direct organului de conducere. Articolul 11 alin. (1) obligă entitățile esențiale și importante să implementeze măsuri tehnice și organizatorice proporționale, însă Articolul 12 subliniază că aceste măsuri trebuie aprobate de conducere. Mai mult, membrii organelor de conducere au obligația de a urma cursuri de formare profesională acreditate pentru a putea evalua corect riscurile și impactul acestora asupra serviciilor furnizate.
Înainte de orice decizie tehnică, conducerea trebuie să stabilească apetitul la risc și contextul organizațional. Această decizie strategică este esențială pentru a defini ce înseamnă un risc acceptabil în raport cu obiectivele și partenerii externi. Fără această clarificare, echipa IT nu poate prioritiza corect cerințele, deoarece obligația de proporționalitate prevăzută de lege nu poate fi respectată fără un reper stabilit anterior la nivel de management, care să ghideze alocarea resurselor.
Un alt punct critic vizează alocarea bugetului și a responsabilităților de decizie. Finanțarea măsurilor de securitate nu trebuie delegată integral departamentului IT, deoarece prioritizarea investițiilor depinde de strategia de risc a companiei. Conducerea trebuie să decidă dacă se investește în guvernanță, în gestionarea riscurilor terților sau în capabilități tehnice de detecție. Totodată, trebuie definit clar cine are autoritatea de a aproba politicile de securitate sau de a escalada un incident către board.
Gestionarea dependențelor de furnizori și arhitectura de raportare reprezintă, de asemenea, decizii de management obligatorii. Articolul 15 din OUG nr. 155/2024 impune raportarea fără întârzieri a incidentelor semnificative către echipa națională de răspuns. În paralel, conform ghidului ENISA, securitatea lanțului de aprovizionare este un domeniu cu expunere mare, obligând conducerea să stabilească criterii de criticitate pentru furnizori și nivelul de diligență contractuală pe care organizația este dispusă să îl accepte.
Reglementările NIS2 fac parte dintr-un ecosistem de securitate cibernetică europeană tot mai riguros, care include și alte regulamente specifice, precum DORA pentru sectorul financiar. Aceste norme vizează creșterea rezilienței infrastructurilor critice din Uniunea Europeană prin standardizarea modului în care entitățile identifică și răspund la amenințările digitale. Implementarea lor corectă necesită o integrare profundă între cerințele juridice și operațiunile tehnice ale fiecărei organizații.