Dosarul dumneavoastră de conformitate
NIS2 în 5 zile

Autentificare multifactor (MFA)

„Pentru ce servicii impuneți MFA? Poștă electronică, VPN, RDP, administrare rețea-cloud, conturi privilegiate.”

Securitatea poștei electronice

„Ce controale utilizați împotriva uzurpării identității în e-mailuri (SPF, DKIM, DMARC)? Ați dezactivat protocoalele vechi (IMAP, POP3, SMTP nesecurizate)?”

Plan de răspuns la incidente

„Care este planul dumneavoastră de răspuns la incidente și în ce termen ne-ați notifica un incident de securitate cibernetică?”

Subcontractare și lanț de aprovizionare

„Apelați la subcontractanți de rangul 4? Veți accepta clauze contractuale care impun conformitatea NIS2 (controale, notificarea încălcărilor, drept de audit)?”

Copii de rezervă și continuitate

„Se efectuează copii de rezervă? Integritatea și procedurile de restaurare sunt testate cel puțin o dată pe an?”

Guvernanța securității

„Politica dumneavoastră de securitate a informației se sprijină pe un referențial recunoscut (NIST, ISO 27001)?”

Cine este vizat?

Directiva vizează întreprinderile „medii” sau „mari” (în sensul dreptului european) active într-o listă de sectoare considerate critice: energie, transport, sănătate, bănci, apă, digital, administrație publică, pe de o parte; poștă, deșeuri, chimie, agroalimentar, producție, cercetare, pe de altă parte. Un stat poate include aici și structuri mai mici, dacă acestea joacă un rol-cheie.

Ce vă impune cu adevărat NIS2

Pe scurt: să puneți în aplicare măsuri de securitate „proporționale”, să știți să vă identificați riscurile, să vă protejați datele, să detectați un atac, să reacționați și să reporniți după aceea. La acestea se adaugă securitatea fizică a sediilor, controlul accesului și al autorizărilor, precum și verificarea securității prestatorilor și a furnizorilor dumneavoastră.

În caz de incident, un calendar precis

Dacă survine un incident „semnificativ”, autoritatea trebuie informată în trei etape: o alertă timpurie în 24 de ore, o notificare mai detaliată în 72 de ore, apoi un raport final în termen de o lună. Clienții afectați trebuie, de asemenea, informați fără întârziere cu privire la măsurile de luat din partea lor.

Sancțiunile, fără dramatizare

Plafonul amenzilor este fixat de directivă: până la 10 M€ sau 2 % din cifra de afaceri mondială (suma cea mai mare) pentru entitățile „esențiale”; până la 7 M€ sau 1,4 % din cifra de afaceri mondială pentru entitățile „importante”. Sunt plafoane legale, nu o factură automată, iar amenda survine abia după o scară de măsuri corective - vedeți detaliile mai jos.

Datele de reținut

Directiva este în vigoare din 16 ianuarie 2023. Fiecare stat membru trebuia să își fi transpus obligațiile în legea națională cel târziu la 17 octombrie 2024, pentru o aplicare efectivă din 18 octombrie 2024, dată la care vechiul text NIS1 a fost abrogat.

În Franța, cine conduce dosarul

ANSSI este autoritatea desemnată să însoțească punerea în conformitate NIS2. Ea a publicat un „Référentiel Cyber France” (ReCyF, disponibil din 17 martie 2026) și propune o platformă „MonEspaceNIS2”, precum și un „ClubSSI” pentru a ajuta întreprinderile să se orienteze.

Ce se întâmplă deja la vecinii noștri

În Germania, autoritatea BSI indică faptul că termenul legal de înregistrare a întreprinderilor vizate este deja depășit: cele care nu au făcut-o încă trebuie să o facă fără să aștepte. Un semnal concret că mișcarea europeană este deja în desfășurare, mult dincolo de texte.

O simplificare este în studiu

Comisia Europeană a prezentat în 2026 o propunere („pachetul omnibus”) pentru a ușura conformitatea NIS2, în special pentru cele mai mici structuri: aproximativ 28 700 de întreprinderi ar fi vizate de această ușurare, dintre care 6 200 de microîntreprinderi și întreprinderi mici.

O clinică privată sau un laborator de analize

Intră în sectorul „Sănătate” din Anexa I de îndată ce este vorba despre o unitate de îngrijire în sensul dreptului european, dacă depășește pragul dimensiunii medii.

Un subcontractant auto sau un producător de mașini

Intră în sectorul „Industria prelucrătoare” din Anexa II (vehicule, echipamente electrice, mașini, electronice) peste pragul de dimensiune.

Un furnizor de cloud sau o societate de servicii IT gestionate (MSP/MSSP)

Face parte din „Infrastructura digitală” sau din „Gestionarea serviciilor TIC” din Anexa I: vizată de la dimensiunea medie (entitate importantă), entitate esențială dacă este mare. Singura excepție de dimensiune: dacă este și prestator calificat de servicii de încredere, registru de nume de domenii sau furnizor DNS.

O colectivitate sau o instituție publică regională

Intră în sectorul „Administrație publică” din Anexa I dacă statul membru o desemnează, în special atunci când oprirea serviciilor sale ar avea un impact semnificativ asupra activităților societale sau economice critice.

Un procesator agroalimentar sau un angrosist

Ține de „Producția, prelucrarea și distribuția de alimente” din Anexa II din momentul în care desfășoară o activitate de comerț cu ridicata sau o producție/ prelucrare industrială.

O întreprindere „din afara celor 18 sectoare”, dar furnizor al unei entități vizate

Nu se află direct în perimetrul NIS2, dar poate fi împinsă spre el prin contract: vedeți secțiunea „Efectul de ricoșeu” mai sus, pe această pagină.

Î. Ce este Directiva NIS2, într-o singură propoziție?

Este textul european care a înlocuit, din 18 octombrie 2024, vechea lege din 2016 privind securitatea cibernetică: Comisia Europeană îl descrie ca pe un text care „ridică nivelul comun de ambiție al UE în materie de securitate cibernetică, printr-un domeniu de aplicare mai larg, norme mai clare și instrumente de control consolidate”.

Î. Sunt un IMM, sunt cu adevărat vizat de pragurile de dimensiune?

Textul vizează mai întâi întreprinderile „medii” sau „mari” în sens european, un criteriu legal precis care trimite la Recomandarea 2003/361/CE (în practică: de la 50 de angajați sau de la peste 10 M EUR cifră de afaceri și bilanț cumulativ), active într-unul dintre cele 18 sectoare enumerate. Sub aceste praguri, nu sunteți în principiu supus direct, cu excepția cazului în care statul dumneavoastră include structuri mai mici considerate esențiale sau dacă furnizați o entitate care este esențială (efect de ricoșeu, vedeți mai sus pe această pagină).

Î. În calitate de director, pot fi tras personal la răspundere?

Da, și este punctul cel mai puțin cunoscut al textului: rezumatul legislativ oficial al directivei precizează că organul de conducere trebuie să aprobe măsurile de gestionare a riscurilor și să supravegheze punerea lor în aplicare și că poate fi tras la răspundere în caz de încălcare. Securitatea cibernetică nu este deci doar o chestiune informatică: este o chestiune de guvernanță care ajunge până la conducător.

Î. Cum aflu concret dacă întreprinderea mea trebuie să se înregistreze?

Fiecare stat membru trebuie să țină la zi o listă oficială a entităților esențiale și importante, revizuită la fiecare doi ani (primul termen european: 17 aprilie 2025). În Franța, ANSSI pune la dispoziție un instrument gratuit de autoevaluare online, „MonEspaceNIS2”, care răspunde direct la întrebarea „sunt vizat?”.

Î. Are Franța întârziere? Ce schimbă asta pentru mine astăzi?

Da: legea franceză de transpunere nu este încă publicată, cu mult peste termenul european. În iulie 2026, Comisia Europeană a trimis de altfel Franța în fața Curții de Justiție a UE pentru că nu și-a notificat măsurile de transpunere (vedeți calendarul detaliat mai sus). Concret: nicio sancțiune „NIS2 franceză” nu este încă posibilă atâta timp cât decretul nu a apărut, dar în ziua în care apare, întreprinderile deja pregătite nu vor avea nimic de recuperat.

Î. Ce se schimbă cu adevărat față de vechea lege NIS1?

NIS1 (2016) se limita la energie, transporturi, sănătate, finanțe, apă și digital. NIS2 extinde puternic acest perimetru: se adaugă acum comunicațiile electronice destinate publicului larg, rețelele de socializare și platformele digitale, gestionarea deșeurilor, fabricarea de produse critice, serviciile poștale și administrația publică. Multe întreprinderi care erau până acum în afara radarului intră acum în domeniul de aplicare.

Î. Este prevăzută o ușurare pentru structurile mici?

Da, în studiu: Comisia Europeană a prezentat în 2026 un pachet de simplificare pentru a reduce sarcina administrativă legată de NIS2, în special pentru cele mai mici entități. Aproximativ 28 700 de întreprinderi ar fi vizate de această ușurare, dintre care 6 200 de microîntreprinderi și întreprinderi mici. Textul nu este încă adoptat definitiv: de urmărit, fără a aștepta pentru a vă pregăti.

Amendă administrativă maximă: cel puțin 10 000 000 EUR SAU cel puțin 2 % din cifra de afaceri mondială a exercițiului precedent - se aplică suma cea mai mare dintre cele două.

Amendă administrativă maximă: cel puțin 7 000 000 EUR SAU cel puțin 1,4 % din cifra de afaceri mondială a exercițiului precedent - aceeași logică, se reține suma cea mai mare.

Cine sancționează?

Fiecare stat membru desemnează una sau mai multe „autorități competente” responsabile de supravegherea și de executarea directivei. În Franța, acest rol revine ANSSI.

Ultima soluție - doar pentru entitățile esențiale

Dacă măsurile precedente rămân fără efect, autoritatea poate cere unei instanțe suspendarea temporară a unei certificări sau a unei autorizații, ba chiar îndepărtarea temporară a unui conducător (director general sau reprezentant legal) din funcțiile sale, până la punerea în conformitate. Această escaladare extremă privește DOAR entitățile esențiale, nu entitățile importante.

Suma nu este automată

Legea impune să se țină seama, de la caz la caz, de: gravitatea și durata încălcării, recidivă, prejudiciul cauzat, intenție sau neglijență, măsurile luate pentru limitarea prejudiciului, aderarea la coduri de conduită sau certificări, nivelul de cooperare cu autoritatea. Două întreprinderi aflate în aceeași situație nu primesc automat aceeași amendă.

Conducătorii, personal responsabili

Textul prevede în mod explicit că persoanele fizice care conduc entitatea (director general, reprezentant legal) pot fi trase la răspundere în caz de încălcare a obligațiilor lor de punere în conformitate - atât pentru entitățile esențiale cât și pentru entitățile importante.

Și dacă este vorba și de o scurgere de date?

Dacă incidentul constituie, de asemenea, o încălcare a securității datelor cu caracter personal, autoritatea NIS2 trebuie să informeze fără întârziere autoritatea RGPD competentă (CNIL în Franța). Cele două regimuri se coordonează - nu este o cumulare automată de sancțiuni, ci o informare încrucișată între autorități.

Exemple cu cifre? Nu încă, în mod cinstit

La data acestei monitorizări, nicio decizie de sancționare NIS2 făcută publică nu a fost găsită la o sursă oficială. Dispozitivul depinde de legea de transpunere a fiecărui stat membru, aflată în curs de finalizare. Semn că mișcarea este angajată: în Germania, autoritatea BSI indică faptul că termenul legal de înregistrare a entităților vizate este deja depășit.