Încredere și conformitate pentru organizații reglementate

Directiva NIS2, Directiva (UE) 2022/2555, cere entităților esențiale și importante să gestioneze riscurile de securitate cibernetică pentru rețelele și sistemele lor informatice. Securitatea lanțului de aprovizionare este una dintre măsurile minime de la articolul 21 alineatul (2), iar articolul 21 alineatul (3) cere entităților să țină seama de practicile de securitate ale furnizorilor și prestatorilor de servicii direcți.

În România, directiva este transpusă prin OUG nr. 155/2024, în vigoare din 31 decembrie 2024 și aprobată cu modificări prin Legea nr. 124/2025. Directoratul Național de Securitate Cibernetică (DNSC) este autoritatea competentă, punctul unic de contact și echipa națională de răspuns la incidente (CSIRT). Entitățile esențiale și importante se înregistrează la DNSC, efectuează un audit de securitate cibernetică conform regulilor DNSC și transmit anual o autoevaluare a nivelului de maturitate în gestionarea riscurilor. Ca furnizor, vă ajutăm să documentați partea care ne privește: clauzele de securitate, canalele de incident și tratarea vulnerabilităților se stabilesc prin contract, iar controalele aplicabile colaborării sunt documentate pentru procesul dumneavoastră de evaluare a furnizorilor. Dacă și cum se aplică OUG nr. 155/2024 organizației dumneavoastră rămâne evaluarea dumneavoastră.

Regulamentul privind reziliența operațională digitală, Regulamentul (UE) 2022/2554, se aplică din 17 ianuarie 2025. Băncile, asigurătorii, societățile de investiții, instituțiile de plată și alte entități financiare trebuie să gestioneze riscurile TIC generate de părți terțe în cadrul lor de gestionare a riscurilor TIC, să țină un registru de informații privind toate acordurile contractuale pentru servicii TIC (articolul 28) și să includă în aceste contracte clauzele contractuale esențiale (articolul 30). În România, DORA este pus în aplicare prin OUG nr. 14/2026: Banca Națională a României (BNR) este autoritate competentă pentru instituțiile de credit, instituțiile de plată și instituțiile emitente de monedă electronică, iar Autoritatea de Supraveghere Financiară (ASF) pentru societățile de servicii de investiții financiare, societățile de asigurare și reasigurare, intermediarii de asigurări și administratorii de fonduri de pensii ocupaționale.

Atunci când furnizăm servicii TIC unei entități financiare, convenim clauzele enumerate la articolul 30: o descriere completă a serviciilor, locațiile în care sunt prestate și în care sunt prelucrate datele, asistența în cazul unui incident TIC, cooperarea cu autoritățile competente ale dumneavoastră și drepturile de reziliere. Pentru serviciile care susțin funcții critice sau importante, contractul acoperă și strategiile de ieșire și participarea noastră la testele dumneavoastră de reziliență.

Furnizăm informațiile de care are nevoie registrul dumneavoastră de informații și documentăm planurile de ieșire de la început, astfel încât schimbarea furnizorului să rămână o opțiune realistă.

Regulamentul privind inteligența artificială, Regulamentul (UE) 2024/1689, se aplică etapizat. Practicile interzise și alfabetizarea în domeniul IA se aplică din februarie 2025, iar obligațiile de transparență de la articolul 50 din august 2026. Așa cum a fost modificat în 2026 prin Regulamentul (UE) 2026/1744, regulile pentru sistemele cu grad ridicat de risc enumerate în anexa III se aplică de la 2 decembrie 2027.

Pentru sistemele cu grad ridicat de risc, regulamentul cere documentație tehnică (articolul 11), înregistrarea automată a evenimentelor (articolul 12) și un design pe care oamenii îl pot supraveghea efectiv (articolul 14), iar implementatorii trebuie să încredințeze această supraveghere unor persoane cu competența și autoritatea necesare (articolul 26). Construim pentru aceste cerințe de la prima lansare: pașii de aprobare și posibilitatea de a anula o decizie sunt plasați acolo unde deciziile afectează oameni, iar documentația este scrisă odată cu codul.

În România, stadiul în toamna anului 2026 este următorul: un memorandum al Guvernului a propus ANCOM ca autoritate de supraveghere a pieței și punct unic de contact, iar lista Comisiei Europene (actualizată la 7 septembrie 2026) indică ANCOM ca punct unic de contact al României; desemnarea națională nu este încă adoptată definitiv. Dacă organizația dumneavoastră acționează ca furnizor sau ca implementator depinde de felul în care sistemul este pus în funcțiune. Această întrebare face parte din evaluarea juridică, care rămâne la consilierii dumneavoastră juridici; noi furnizăm faptele tehnice de care are nevoie.

Echipele de achiziții, de securitate și juridice au nevoie de dovezi înainte de semnarea unui contract. Solicitați-ne certificatul ISO/IEC 27001 și aria sa de aplicare, răspunsurile la chestionarul dumneavoastră de securitate pentru furnizori și condițiile de prelucrare a datelor care s-ar aplica colaborării.

Trimiteți solicitarea prin pagina de contact și menționați cadrul după care evaluați furnizorii, de exemplu OUG nr. 155/2024, DORA sau cerințele unei autorități naționale. Oamenii potriviți vă vor contacta. Răspundem la solicitări în limba engleză.