Implementarea Directivei NIS2 în România schimbă paradigma securității cibernetice, mutând responsabilitatea de la departamentele tehnice direct la nivelul decizional al companiilor. Conform analizei realizate de Espace IT, conformarea cu noile reguli europene nu mai poate fi gestionată exclusiv ca o sarcină a departamentului IT, ci necesită implicarea activă a managementului. Conducerea trebuie să înțeleagă riscurile, să aprobe măsurile de gestionare a acestora, să aloce resursele necesare și să supravegheze implementarea proceselor de protecție.
Cadrul european NIS2 extinde semnificativ aria de aplicabilitate, vizând în prezent 18 sectoare de activitate, față de cele șapte prevăzute în cadrul anterior. Măsurile vizează în principal entitățile esențiale și importante, însă pot include și microîntreprinderi care joacă un rol critic pentru populație sau alte organizații. Cerințele de securitate pot ajunge și la furnizorii acestora, care pot fi solicitați să demonstreze existența unor măsuri adecvate, chiar dacă nu intră direct sub incidența directivei.
Presiunea asupra organizațiilor este accentuată de evoluția amenințărilor digitale, raportul ENISA indicând peste 48.000 de vulnerabilități noi publicate în 2025, un număr cu 22% mai mare decât în anul precedent. Ransomware-ul rămâne principala amenințare pe termen scurt, iar vulnerabilitățile din lanțurile de aprovizionare pot afecta organizații care și-au protejat propriile sisteme. Pentru entitățile esențiale, nerespectarea reglementărilor poate atrage sancțiuni de până la 10 milioane de euro sau 2% din cifra de afaceri anuală mondială.
Victor Negrescu, vicepreședinte al Parlamentului European, a subliniat că, deși România a transpus NIS2, maturitatea în siguranța cibernetică rămâne o provocare. Datele europene arată că în 2024 doar 53% dintre companiile românești analizate utilizau cel puțin trei măsuri de securitate ICT, în comparație cu 93% în Finlanda. Alin Meteșan, fondator Espace IT, a menționat că, deși serviciile tehnice pot fi externalizate, factorii de decizie și responsabilitatea rămân în cadrul companiei.
Pentru o identificare corectă a obligațiilor, companiile trebuie să își mapeze toate activitățile și să analizeze dimensiunea întreprinderii la nivel de grup. Gabriel Niculescu, coordonatorul Serviciului de Evidență și Sprijin din cadrul DNSC, a recomandat analiza nu doar a activității principale, ci a întregului spectru operațional. În România, Directoratul Național de Securitate Cibernetică este autoritatea competentă care supraveghează, verifică și controlează respectarea acestui cadru legislativ european.
Directiva NIS2 face parte din eforturile Uniunii Europene de a crea un nivel ridicat de securitate comună în cadrul pieței unice digitale. Această reglementare vizează consolidarea rezilienței infrastructurilor critice în fața atacurilor cibernetice tot mai sofisticate, obligând statele membre să armonizeze standardele de protecție. Prin această abordare, UE urmărește reducerea impactului incidentelor digitale asupra economiei și serviciilor esențiale pentru cetățenii europenilor.