REMILT · BLOG
Ghiduri practice despre conformarea NIS 2, CyFun și DNSC — pentru conducere și echipe tehnice.
Primul lucru pe care îl decide NIS 2 pentru firma ta este dacă ești entitate esențială, importantă sau în afara scopului. Depinde de sector (Anexa 1 sau 2) și de dimensiune. Iată cum verifici, pe scurt.
OUG 155/2024 a transpus Directiva NIS 2, iar Legea 124/2025 a consolidat cadrul. Pentru o firmă, contează efectele practice: cine te reglementează, ce trebuie să notifici și ce termene te apasă.
36 / 134 / 218 cerințe. Cele trei niveluri CyFun nu le alegi tu după preferință — le determină evaluarea de risc ENIRE. Iată ce înseamnă fiecare în efort, dovezi și praguri de trecut.
Nu există un preț fix pentru „conformarea NIS 2”. Costul depinde de încadrare, nivelul de risc, dimensiune și de cât ai deja implementat. Iată variabilele care mișcă bugetul — și cum le estimezi.
Art. 14 cere entităților esențiale un responsabil cu securitatea care îndeplinește cinci condiții cumulative — inclusiv un curs acreditat DNSC. Pentru entitățile importante, regulile sunt mai relaxate. Iată diferența.
Când ai un incident semnificativ, ceasul pornește. NIS 2 cere o avertizare timpurie în 24 de ore, un raport în 72 de ore și un raport final într-o lună. Iată fluxul, ca să nu-l improvizezi în criză.
Art. 13 listează categoriile minime de măsuri de securitate pe care trebuie să le acoperi: de la analiza de risc și criptografie la lanțul de aprovizionare și MFA. Iată ce înseamnă fiecare, fără jargon.
Securitatea lanțului de aprovizionare este o cerință explicită NIS 2. Riscul nu vine doar din interior — furnizorii tăi IT, MSP și MSSP fac parte din suprafața ta de atac. Iată cum îi evaluezi metodic.
NIS 2 pare copleșitor până îl pui pe un calendar. Fiecare pas are un termen legat de precedentul. Iată ordinea reală — de la notificare la audit-readiness — ca să știi ce faci și când.
La un control DNSC, nu contează ce ai făcut, ci ce poți dovedi. Un evidence pack bine structurat leagă fiecare cerință de dovada ei. Iată cum arată un dosar pe care un auditor îl citește rapid.
O companie din sectorul energetic (Anexa 1, tipic esențială) pornește de la „nu am notificat” spre autoevaluare CyFun transmisă. Iată cronologia, blocajele OT/SCADA și deciziile care au contat.
„NIS 2 e doar pentru bănci și energie” — un mit costisitor pentru farmacii și distribuitorii de medicamente. Iată când intri în scop, ce nivel de obligații ai și cum verifici pentru firma ta.
Producția, prelucrarea și distribuția de alimente sunt în Anexa II — sectoare critice. Iată de ce industria alimentară intră tipic ca entitate importantă și ce obligații reale are.
Colectarea, tratarea și eliminarea deșeurilor sunt în Anexa II. Multe firme din sector au componente OT în instalații și maturitate digitală scăzută. Iată ce cere NIS 2 și de unde pornești.
Furnizarea de apă potabilă și epurarea apelor uzate sunt în Anexa I — sectoare de înaltă criticitate. Operatorii sunt tipic entități esențiale, cu sisteme SCADA de securizat. Iată ce presupune conformarea.
Serviciile poștale și de curierat sunt în Anexa II. Platformele de tracking, API-urile cu partenerii și datele clienților fac suprafața de atac. Iată obligațiile reale și punctele sensibile.
Fabricarea de mașini și echipamente este în Anexa II. Pentru industria auto, presiunea vine din două direcții: cerințele NIS 2 proprii și clienții mari care își evaluează furnizorii. Iată tabloul.
De la echipamente și mașini industriale la dispozitive și produse electrice și optice — sectorul Fabricare este în Anexa II. Iată ce cere NIS 2 producătorilor și care sunt punctele sensibile.
Cloud, centre de date, rețele de comunicații — infrastructura digitală este în Anexa I, cu entități tipic esențiale. Motivul: un incident aici se propagă în cascadă către toate sectoarele deservite.
Serviciile TIC gestionate (MSP) sunt un sector propriu în Anexa I — entități tipic esențiale. Motivul: o breșă la un MSP se propagă la toți clienții deserviți. Iată obligațiile și efectul de lanț.
Furnizorii de servicii de securitate gestionate (MSSP) sunt în același sector Anexa I ca MSP-urile — tipic esențiali. Paradoxul: cine păzește securitatea altora devine el însuși cel mai sensibil furnizor din lanț.
Raportarea unui incident semnificativ nu e un formular separat de restul crizei. Fluxul 24h/72h/o lună prin PNRISC și decizia de a opri, izola sau comunica intern curg din același eveniment — dacă le tratezi separat, pierzi timp exact când nu ai timp.
Sună direct un expert cu peste 31 de audituri NIS la activ — iar dacă nu răspunde, revine el în maximum 24 de ore.
Folosim doar cookie-uri esențiale pentru funcționarea site-ului. Cu acordul tău activăm și cookie-uri de analiză și marketing. Poți schimba preferințele oricând din subsolul paginii.
