NIS2 și furnizorii de software: ce au de făcut ambele părți

01Unde se află NIS2 în toamna anului 2026

Directiva NIS2 (se deschide un site extern), Directiva (UE) 2022/2555, a fost publicată în Jurnalul Oficial la 27 decembrie 2022 și a intrat în vigoare la 16 ianuarie 2023. Statele membre trebuiau să adopte și să publice măsurile naționale până la 17 octombrie 2024 și să le aplice de la 18 octombrie 2024, ziua în care prima directivă NIS a fost abrogată.

Pentru că NIS2 este o directivă, o organizație este obligată de legea națională care o transpune. Transpunerea a fost inegală: unele state membre și-au aplicat legea la timp, altele abia în 2025 sau 2026, iar Comisia Europeană a deschis proceduri de constatare a neîndeplinirii obligațiilor împotriva statelor care au ratat termenul. Obligațiile de înregistrare, portalurile de raportare și autoritățile de supraveghere diferă, prin urmare, de la o țară la alta.

În România, directiva este transpusă prin Ordonanța de urgență nr. 155/2024 (se deschide un site extern) privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024 și în vigoare de la aceeași dată. Ordonanța a fost aprobată, cu modificări, prin Legea nr. 124/2025 (se deschide un site extern). Directoratul Național de Securitate Cibernetică (DNSC) (se deschide un site extern) este autoritatea competentă, echipa națională de răspuns la incidente de securitate cibernetică (CSIRT) și punctul unic de contact. Entitățile esențiale și importante se înregistrează la DNSC, efectuează un audit de securitate cibernetică după regulile DNSC și transmit anual o autoevaluare a nivelului de maturitate în gestionarea riscurilor.

02Entități esențiale și importante

NIS2 se aplică entităților publice și private din sectoarele din anexa I (sectoare cu o importanță critică ridicată: energie, transport, servicii bancare, infrastructuri ale piețelor financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC, administrație publică și spațiu) și din anexa II (alte sectoare de importanță critică: servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimente, producție, furnizori digitali și cercetare). Ca regulă, vizează organizațiile mijlocii și mari. Unele intră în domeniul de aplicare indiferent de dimensiune, cum ar fi prestatorii de servicii de încredere, furnizorii de servicii DNS și entitățile administrației publice centrale.

Articolul 3 împarte apoi aceste organizații în două categorii:

• Entități esențiale: în principal organizații mari din sectoarele din anexa I, plus entități esențiale indiferent de dimensiune, precum prestatorii calificați de servicii de încredere, registrele de nume de domenii de prim nivel, furnizorii de servicii DNS și entitățile administrației publice centrale. Sunt supravegheate proactiv, ceea ce poate include audituri și inspecții la fața locului.
• Entități importante: celelalte organizații din domeniul de aplicare al anexelor I și II. Supravegherea are loc ex post: autoritatea intervine când există indicii că entitatea nu respectă cerințele.

Ambele categorii au aceleași obligații de bază: măsuri de gestionare a riscurilor (articolul 21), raportarea incidentelor (articolul 23) și răspunderea conducerii (articolul 20). Diferența stă în supraveghere și în amenzi. Pentru încălcarea articolelor 21 sau 23, directiva cere ca legea națională să permită amenzi maxime de cel puțin 10 milioane EUR sau 2 % din cifra de afaceri anuală la nivel mondial pentru entitățile esențiale și de cel puțin 7 milioane EUR sau 1,4 % pentru entitățile importante, oricare dintre valori este mai mare. Statele membre decid dacă și în ce măsură se aplică amenzi entităților administrației publice. Pentru regimul sancțiunilor din România, consultați textul consolidat al OUG nr. 155/2024.

Este furnizorul de software vizat el însuși?

Dezvoltarea de software nu este, ca atare, un sector NIS2. Un furnizor poate totuși intra direct în domeniul de aplicare. Anexa I cuprinde furnizorii de servicii gestionate, pe care NIS2 îi definește larg: entități care instalează, gestionează, operează sau întrețin produse, rețele, infrastructuri sau aplicații TIC pentru clienți, la sediul acestora sau de la distanță. Un furnizor mijlociu sau mare care operează sau întreține aplicații pentru clienții săi poate intra, așadar, sub incidența NIS2 în nume propriu, la fel ca furnizorii de servicii de cloud computing și de centre de date. Pentru acești furnizori, Regulamentul de punere în aplicare (UE) 2024/2690 (se deschide un site extern) detaliază cerințele tehnice.

Cei mai mulți furnizori de software întâlnesc însă NIS2 prin clienții lor, care își transformă propria obligație privind lanțul de aprovizionare în clauze contractuale, chestionare și audituri. Produsele software sunt acoperite și de Regulamentul privind reziliența cibernetică (se deschide un site extern), Regulamentul (UE) 2024/2847: obligațiile sale de raportare pentru vulnerabilitățile exploatate activ și incidentele grave se aplică din 11 septembrie 2026, iar celelalte obligații din 11 decembrie 2027.

03Cele zece măsuri minime de la articolul 21

Articolul 21 cere măsuri tehnice, operaționale și organizatorice adecvate și proporționale, bazate pe o abordare care ia în calcul toate pericolele. Ele trebuie să reflecte stadiul actual al tehnologiei și standardele europene și internaționale relevante și să fie proporționale cu expunerea entității la riscuri, cu dimensiunea ei și cu gravitatea probabilă a incidentelor. Cel puțin, acoperă:

1. 01politici privind analiza riscurilor și securitatea sistemelor informatice;
2. 02gestionarea incidentelor;
3. 03continuitatea activității, de exemplu gestionarea copiilor de rezervă și recuperarea în caz de dezastru, și gestionarea crizelor;
4. 04securitatea lanțului de aprovizionare, inclusiv aspectele de securitate din relațiile cu furnizorii direcți și prestatorii de servicii;
5. 05securitatea în achiziția, dezvoltarea și întreținerea rețelelor și sistemelor informatice, inclusiv gestionarea și divulgarea vulnerabilităților;
6. 06politici și proceduri pentru evaluarea eficacității acestor măsuri;
7. 07practici de bază de igienă cibernetică și formare în domeniul securității cibernetice;
8. 08politici și proceduri privind criptografia și, după caz, criptarea;
9. 09securitatea resurselor umane, politici de control al accesului și gestionarea activelor;
10. 10autentificare multifactor sau continuă și comunicații vocale, video, text și de urgență securizate, după caz.

Punctele 4 și 5 sunt cele care îi privesc pe furnizori. Articolul 21 alineatul (3) cere entităților să țină seama de vulnerabilitățile specifice fiecărui furnizor direct, de calitatea generală a produselor și a practicilor sale de securitate cibernetică și de procedurile lui de dezvoltare securizată. Clienții dumneavoastră trebuie să se uite la modul în care construiți software-ul, nu doar la ce livrați.

04Conducerea aprobă, supraveghează și răspunde

Potrivit articolului 20, organele de conducere ale entităților esențiale și importante trebuie să aprobe măsurile de gestionare a riscurilor de securitate cibernetică, să le supravegheze punerea în aplicare și pot fi trase la răspundere pentru încălcări; OUG nr. 155/2024 preia această răspundere a conducerii. Membrii organelor de conducere trebuie să urmeze cursuri de formare, iar entitățile sunt încurajate să-și pregătească regulat și angajații. Pentru instituțiile publice, regulile naționale privind răspunderea instituțiilor și a funcționarilor publici continuă să se aplice.

Asta schimbă discuția cu furnizorii. O conducere care trebuie să aprobe măsurile vrea dovezi pe care le poate urmări: ce furnizori susțin ce servicii, ce riscuri rămân și ce a fost testat efectiv. Aceleași dovezi alimentează auditul de securitate cibernetică și autoevaluarea anuală cerute de DNSC.

05Raportarea incidentelor: 24 de ore, 72 de ore, o lună

Articolul 23 cere entităților să raporteze incidentele semnificative la CSIRT sau la autoritatea competentă; în România, DNSC îndeplinește ambele roluri. Un incident este semnificativ dacă a cauzat sau poate cauza perturbări operaționale grave ori pierderi financiare pentru entitate sau prejudicii materiale ori morale considerabile altora. Raportarea are loc în etape:

Când este cazul, entitățile trebuie să informeze fără întârzieri nejustificate și destinatarii serviciilor lor despre incidentele semnificative care pot afecta acele servicii. Legile naționale adaugă propriile formulare și platforme de raportare.

Termenul începe să curgă când entitatea ia cunoștință de incident. Dacă incidentul pornește din sistemul unui furnizor, clientul poate respecta termenul de 24 de ore doar dacă furnizorul îl detectează, îl recunoaște și îl transmite în câteva ore. Detectarea, jurnalizarea și un canal de notificare convenit sunt, așadar, clauze contractuale, nu simple detalii de inginerie.

06Ce va cere un client NIS2 furnizorului său de software

În practică, articolul 21 se traduce în măsuri tehnice și dovezi pe care un furnizor ar trebui să le poată arăta fără să pornească un proiect. Cele pe care le întâlnim cel mai des:

• Un ciclu de dezvoltare securizată. Modelarea amenințărilor pentru schimbările importante, revizuire de cod, teste automate de securitate și scanarea dependențelor în fluxul de livrare, build-uri semnate și o listă a componentelor software (SBOM) pentru fiecare versiune.
• Gestionarea și divulgarea vulnerabilităților. O cale publică de raportare a vulnerabilităților, timpi de răspuns conveniți în funcție de gravitate și o notificare către client când o vulnerabilitate îi afectează mediul.
• Controlul accesului pentru personalul furnizorului. Conturi nominale, autentificare multifactor, privilegii minime, acces privilegiat limitat în timp și un jurnal al fiecărei acțiuni administrative din mediul clientului.
• Jurnalizare și dovezi pentru incidente. Evenimentele relevante pentru securitate sunt înregistrate cu marcaje de timp fiabile, păstrate pe o perioadă convenită și exportabile, astfel încât clientul să poată răspunde la întrebările din avertizarea timpurie și din raportul final.
• Cooperare la incidente. O persoană de contact și un canal desemnate, un timp de notificare mult sub cele 24 de ore ale clientului și sprijin la analiza cauzei principale.
• Continuitate și recuperare. Copii de rezervă dovedite prin restaurare, obiective de recuperare aliniate cu ale clientului și o procedură exersată.
• Documentarea lanțului de aprovizionare. O listă actualizată a subcontractanților și a locațiilor de găzduire, precum și a principalelor componente și servicii terțe de care depinde soluția.
• Un plan de ieșire. Export de date în formate utilizabile, documentație și sprijin la predare, astfel încât clientul să poată schimba furnizorul fără să piardă controlul asupra serviciului.

Nimic din toate acestea nu este nou pentru echipele de inginerie mature. Ce schimbă NIS2 este faptul că clientul trebuie să le poată demonstra, inclusiv în fața DNSC. Pagina noastră despre încredere și conformitate descrie cum lucrăm ca furnizor, inclusiv sistemul nostru de management al securității informației, cu certificare ISO/IEC 27001.

07O listă de verificare pentru contracte și achiziții

1. 01Asociați furnizorii cu serviciile. Notați ce furnizori susțin ce servicii vizate și care au acces la sistemele sau datele dumneavoastră.
2. 02Clasificați după criticitate. Aplicați cerințele cele mai stricte furnizorilor care operează sau pot modifica sisteme critice.
3. 03Scrieți măsurile în contract. Cerințe de securitate, timp și canal de notificare a incidentelor, gestionarea vulnerabilităților, jurnalizare și păstrare, drepturi de audit sau de acces la dovezi, reguli și locații pentru subcontractare. Pentru autoritățile contractante, aceste cerințe își au locul în caietul de sarcini.
4. 04Cereți dovezi, nu declarații. Certificate cu domeniul lor de aplicare, rezultate ale testelor, un SBOM, data ultimului test de restaurare.
5. 05Stabiliți ieșirea de la început. Returnarea datelor, sprijinul la tranziție și perioada în care furnizorul menține serviciul în funcțiune.
6. 06Exersați împreună. Organizați un exercițiu de incident cu furnizorii critici, inclusiv avertizarea timpurie în 24 de ore.
7. 07Revizuiți regulat. Furnizorii, serviciile și amenințările se schimbă; un registru al furnizorilor actualizat o dată pe an este depășit cea mai mare parte a anului.

08Legea națională decide detaliile

Înregistrarea, platformele de raportare, formularele, autoritatea competentă și eventualele cerințe suplimentare vin toate din legea națională. În România, acestea decurg din OUG nr. 155/2024 și din reglementările DNSC, inclusiv auditul de securitate cibernetică și autoevaluarea anuală. Ca regulă, o entitate intră sub jurisdicția statului membru în care este stabilită. Articolul 26 face excepții: furnizorii de comunicații electronice publice intră sub jurisdicția fiecărei țări în care furnizează servicii, furnizorii de cloud, de centre de date și de servicii gestionate și alți câțiva furnizori digitali sub cea a țării sediului lor principal, iar entitățile administrației publice sub cea a statului care le-a înființat.

09Ce merită urmărit în lunile următoare

• Textul consolidat al OUG nr. 155/2024 și reglementările și ghidurile publicate de DNSC.
• Propunerea Comisiei privind Digital Omnibus (se deschide un site extern) din 19 noiembrie 2025, COM(2025) 837, care ar direcționa raportările de incidente în temeiul NIS2, al RGPD, al DORA și al altor acte printr-un punct unic de intrare administrat de ENISA. În octombrie 2026 propunerea se afla încă în fața Parlamentului European (se deschide un site extern)); până când este adoptată și se aplică, rămân valabile canalele și termenele actuale.
• Evaluările coordonate la nivelul UE ale riscurilor lanțurilor critice de aprovizionare TIC, potrivit articolului 22, de care entitățile trebuie să țină seama când aleg măsurile pentru furnizori.
• Calendarul Regulamentului privind reziliența cibernetică pentru produsele software, cu aplicare deplină din 11 decembrie 2027.

Pentru entitățile financiare, Regulamentul privind reziliența operațională digitală (DORA) înlocuiește regulile NIS2 privind gestionarea riscurilor TIC, raportarea incidentelor și supravegherea; consultați articolul nostru despre DORA și furnizorii terți de servicii TIC. Comisia întreține o prezentare a NIS2 și a actelor de punere în aplicare pe pagina sa dedicată directivei NIS2 (se deschide un site extern).