NIS2 a ajuns rapid în categoria subiectelor despre care toată lumea vorbește și pe care puțini le-au citit. Vestea bună: pentru o firmă medie, cerințele nu sunt exotice. Sunt lucrurile de bază pe care oricum ar trebui să le faci — doar că acum trebuie să le și poți dovedi.
Cine intră sub incidența directivei
Directiva vizează entități din domenii considerate esențiale și importante: energie, transport, sănătate, apă, infrastructură digitală, administrație publică, dar și producție, servicii poștale, gestionarea deșeurilor, alimentație, servicii digitale și altele. Criteriul se combină cu dimensiunea: în general, de la 50 de angajați sau 10 milioane de euro cifră de afaceri în sus.
Aici apare partea pe care mulți o ratează: chiar dacă firma ta nu intră direct, poți fi afectat ca furnizor. NIS2 cere entităților vizate să își gestioneze riscurile din lanțul de aprovizionare. În practică, asta înseamnă chestionare de securitate, clauze contractuale noi și cerințe pe care le vei primi de la clienții tăi mari — indiferent ce spune legea despre tine.
Ce cere, în esență
Dincolo de limbajul juridic, cerințele se rezumă la câteva categorii concrete:
- Analiza riscurilor și politici de securitate — scrise, aprobate de conducere, revizuite periodic.
- Tratarea incidentelor — proceduri clare și termene de notificare (alertă timpurie în 24 de ore, notificare în 72 de ore).
- Continuitatea activității — backup, gestionarea crizelor, capacitatea de a reveni după un incident.
- Securitatea lanțului de aprovizionare — inclusiv cerințe pentru furnizorii tăi IT.
- Igienă de securitate și instruire — actualizări, control al accesului, formarea angajaților.
- Autentificare multi-factor și comunicații securizate.
- Criptare, control al accesului și gestionarea activelor.
Un element important, adesea trecut cu vederea: răspunderea conducerii. Managementul trebuie să aprobe măsurile și poate răspunde personal pentru neîndeplinirea obligațiilor. Nu mai e un subiect care se deleagă integral „la IT”.
De unde începi, practic
Ordinea contează, pentru că bugetul e limitat. Așa arată o secvență realistă:
- Inventarul activelor. Nu poți proteja ce nu știi că ai: echipamente, aplicații, conturi, furnizori cu acces la datele tale.
- Autentificare multi-factor peste tot unde se poate. E cea mai mare reducere de risc per leu cheltuit.
- Backup verificat și izolat. Cu cel puțin o copie imutabilă, testată prin restaurări reale.
- Control al accesului. Fiecare om vede doar ce îi trebuie, conturile foștilor angajați sunt închise în aceeași zi.
- Jurnalizare centralizată. Fără loguri, o investigație după incident este ghicit.
- Procedura de incident. O pagină, nu treizeci: cine sună pe cine, ce se izolează, cine notifică autoritatea și în cât timp.
- Instruirea oamenilor. Cu simulări de phishing, pentru că rezultatele se măsoară.
- Documentația. La final, nu la început — documentezi ce ai implementat, nu ce ți-ai propus.
Greșeala cea mai frecventă
Multe firme cumpără întâi documentația: un set de politici copiate, semnate și puse într-un biblioraft. La primul control sau, mai rău, la primul incident, diferența dintre ce scrie în politici și ce se întâmplă în realitate devine evidentă — și agravantă.
Conformitatea nu e un dosar. E un set de măsuri care funcționează și care, întâmplător, sunt și documentate.
Cât durează și cât costă
Pentru o firmă cu 50–150 de utilizatori, un nivel rezonabil de conformitate se atinge în 2–4 luni de lucru etapizat. Costurile se împart în trei: licențe (MFA, EDR, backup), timp de implementare și mentenanță continuă. De obicei, cea mai mare parte a măsurilor cerute de NIS2 sunt deja în abonamentul IT — dacă abonamentul e unul serios.
Dacă vrei să știi unde te afli acum, începe cu o evaluare: ce cerințe ți se aplică, ce ai deja implementat și ce lipsește. Restul devine un plan cu termene, nu o sursă de anxietate.
