Gestionarea deșeurilor sub NIS 2 — Anexa II, ce obligații, de unde începi
Scris de Adrian P. — expert cu 31+ audituri NIS la activ
Colectarea, tratarea și eliminarea deșeurilor sunt în Anexa II. Multe firme din sector au componente OT în instalații și maturitate digitală scăzută. Iată ce cere NIS 2 și de unde pornești.
Deșeurile sunt un sector critic (Anexa II)
Gestionarea deșeurilor — colectarea, tratarea și eliminarea deșeurilor periculoase și nepericuloase — este listată ca sector critic în Anexa II a cadrului NIS 2 (OUG 155/2024, aprobată prin Legea 124/2025). O entitate mijlocie sau mare de aici se încadrează, tipic, ca entitate IMPORTANTĂ.
Anexa II nu duce la statutul de esențială doar prin poziția în listă. Practic, asta înseamnă un regim ceva mai relaxat decât pentru sectoarele din Anexa I — dar obligațiile de fond (notificare, evaluare de risc, CyFun, măsurile de la art. 13) rămân valabile.
Specificul sectorului: OT în instalații
Spre deosebire de un birou clasic, operatorii de deșeuri au tehnologie operațională (OT) în instalațiile de sortare și tratare — echipamente de proces care nu se administrează ca un laptop. Securizarea acestei tehnologii operaționale este prima cerință specifică sectorului.
A doua zonă sensibilă sunt sistemele de raportare de mediu și de trasabilitate a deșeurilor — datele care dovedesc unde a ajuns fiecare flux. Protecția lor și evaluarea riscului furnizorilor și transportatorilor completează tabloul; incidentele semnificative se notifică ex-post către DNSC.
Provocările reale ale operatorilor
Trei provocări tipice fac conformarea mai grea decât pare pe hârtie: componentele OT din instalațiile de tratare (greu de securizat fără a opri procesul), site-urile distribuite cu maturitate digitală scăzută și echipele IT reduse. Nu e un context în care „mai adaugi o politică” și ai rezolvat.
Vestea bună: multe entități din sector, mai ales cele mici, ajung pe nivelul de risc de BAZĂ (36 de cerințe CyFun — igienă cibernetică), nu direct la volumele mari. Nivelul concret rezultă însă din evaluarea de risc, nu din presupunere.
De unde începi
Ordinea contează: verifici încadrarea (sector + dimensiune), notifici DNSC, desemnezi responsabilul cu securitatea, faci evaluarea de risc și autoevaluarea CyFun. Fiecare pas are un termen legat de precedentul, așa că un început ordonat economisește luni.
Reține că orice încadrare estimată rămâne o estimare — doar DNSC o stabilește oficial. Cel mai clar punct de plecare este pagina dedicată deșeurilor și fișa sectorială din registrul de sectoare, plus o verificare rapidă a încadrării.
Nu ești sigur dacă NIS 2 ți se aplică?
Verifică-ți încadrarea și primești un cost orientativ în câteva minute — fără obligații.
