Infrastructura digitală sub NIS 2 — de ce încadrarea e severă (Anexa I)
Scris de Adrian P. — expert cu 31+ audituri NIS la activ
Cloud, centre de date, rețele de comunicații — infrastructura digitală este în Anexa I, cu entități tipic esențiale. Motivul: un incident aici se propagă în cascadă către toate sectoarele deservite.
Anexa I — și de ce e justificat
Furnizorii de servicii cloud, centrele de date și rețelele de comunicații electronice formează sectorul Infrastructură digitală — listat în Anexa I a cadrului NIS 2 (OUG 155/2024, aprobată prin Legea 124/2025), alături de energie, apă și sănătate. O entitate mijlocie/mare de aici este, tipic, entitate ESENȚIALĂ.
Severitatea nu e arbitrară. Rațiunea este responsabilitatea cumulativă: un incident la nivelul infrastructurii digitale se propagă în cascadă către toate sectoarele care depind de aceste servicii. Spitalul, banca și fabrica pot avea securitate impecabilă — dacă furnizorul lor de infrastructură cade, cad și ele.
Ce cere NIS 2 acestor operatori
Cerințele specifice pornesc de la securizarea infrastructurii cloud, a centrelor de date și a rețelelor de comunicații — perimetrul de bază. Se adaugă asigurarea disponibilității ridicate și a rezilienței la DDoS: pentru un operator de infrastructură, indisponibilitatea E incidentul.
Urmează un plan robust și testat de continuitate și recuperare (BCP/DRP) și — semnul sectoarelor de înaltă criticitate — notificarea incidentelor către DNSC în 24 de ore (alerta timpurie), urmată de raportul la 72 de ore și de raportul final într-o lună.
Particularitatea: acești operatori SUNT lanțul de aprovizionare
Art. 13 cere tuturor entităților să-și gestioneze riscul din lanțul de aprovizionare. Pentru infrastructura digitală, perspectiva se inversează: acești operatori SUNT lanțul de aprovizionare digital al celorlalți. Fiecare client care îi evaluează ca furnizor critic le cere dovezi — securitatea lor devine marfă contractuală.
Provocările operaționale reflectă miza: impact în cascadă (un incident afectează toate sectoarele deservite), scară mare cu arhitecturi multi-tenant și SLA-uri de disponibilitate continuă, fără ferestre de oprire pentru mentenanță.
Ce înseamnă practic statutul de esențială
Entitate esențială înseamnă plafonul mare de sancțiuni (până la 10.000.000 EUR sau 2% din cifra de afaceri mondială), condițiile cumulative pentru CISO de la art. 14 (inclusiv cursul acreditat DNSC), planul de remediere când autoevaluarea nu atinge pragurile și, tipic, nivelul CyFun ESENȚIAL — 218 cerințe cu monitorizare continuă.
Reține că orice încadrare estimată rămâne o estimare — doar DNSC o stabilește oficial. Punctul de plecare este pagina dedicată infrastructurii digitale și fișa sectorială, plus o verificare rapidă a încadrării.
Nu ești sigur dacă NIS 2 ți se aplică?
Verifică-ți încadrarea și primești un cost orientativ în câteva minute — fără obligații.
