Directiva europeană NIS2, transpusă în România prin OUG nr. 155/2024, schimbă fundamental modul în care organizațiile abordează securitatea cibernetică: responsabilitatea nu mai aparține exclusiv echipei IT, ci conducerii executive. Înainte de a achiziționa firewall-uri sau soluții de monitorizare, board-ul trebuie să ia cinci decizii strategice care definesc întregul program de conformitate. Pentru companiile din Moldova, care se pregătesc de integrarea europeană, această perspectivă oferă un model valoros de guvernanță modernă și responsabilă.
De ce NIS2 nu este doar un proiect tehnic
NIS2 este frecvent tratată, în prima fază a implementării, ca un proiect tehnic: firewall-uri, monitorizare, backup-uri testate, segmentare de rețea. Această abordare este incompletă și, în timp, ineficientă. Directiva (UE) 2022/2555 a fost transpusă în România prin Ordonanța de urgență nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025. Capitolul III al OUG construiește arhitectura de conformitate în jurul unei premise clare: răspunderea aparține organului de conducere, nu departamentului IT.
Care sunt cele cinci decizii pe care conducerea trebuie să le ia
1. Stabilirea apetitului la risc
Prima decizie nu este tehnică, ci strategică: ce înseamnă „risc acceptabil” pentru organizație, în raport cu obiectivele și așteptările părților interesate? Fără acest reper, orice evaluare de risc ulterioară rămâne arbitrară, iar echipa IT primește cerințe fără criteriu de prioritizare.
2. Alocarea drepturilor de decizie și a răspunderii
Art. 12 din OUG nr. 155/2024 instituie răspunderea directă a conducerii pentru măsurile de gestionare a riscurilor. Cine aprobă politica de securitate? Cine are autoritate de derogare? Cine escaladează un incident către board și în ce interval de timp? Absența acestei arhitecturi de decizie blochează programele de conformitate elaborate „de jos în sus”.
3. Definirea bugetului de securitate ca decizie de management
Finanțarea măsurilor de securitate nu poate fi delegată integral către IT. Conducerea trebuie să decidă ce se finanțează întâi, pornind de la o evaluare a expunerii, nu de la oferta furnizorilor. Auditarea periodică, impusă de art. 11 alin. (5), oferă un reper obiectiv pentru aceste decizii.
4. Arhitectura de asigurare și raportare
Art. 15 și 16 din OUG nr. 155/2024 impun obligații clare de raportare a incidentelor. Conducerea trebuie să decidă, din timp, lanțul de escaladare intern, cine autorizează notificarea către autoritatea competentă și cum se documentează deciziile luate în timpul incidentului.
5. Guvernanța dependențelor de furnizori
Lanțul de aprovizionare este una dintre cele mai mari expuneri reziduale, conform ghidului ENISA. Decizia de conducere constă în stabilirea criteriilor de criticitate pentru furnizori, a nivelului de diligență contractuală acceptat și a limitei de toleranță pentru dependențe fără plan de continuitate.
Ce înseamnă conformitate demonstrabilă pentru organizații
Un prestator GRC care începe implementarea prin instrumente tehnice, fără să fi clarificat mai întâi aceste decizii, produce documentație formal corectă, dar nedemonstrabilă în fața unui audit. Diferența dintre conformitate aparentă și conformitate demonstrabilă se vede în capacitatea organizației de a arăta cine a decis, pe ce bază legală și cu ce rezultat monitorizat.
Cum pot companiile să înceapă corect implementarea NIS2
Recomandarea practică: solicitați prestatorului de servicii GRC, ca prim livrabil, o matrice a deciziilor de conducere cerute de art. 11 și art. 12, cu termene, responsabili și criterii de acceptare. Pentru organizațiile din România, implementarea trebuie fundamentată pe cadrul național de transpunere, iar pentru cele din Moldova, această abordare oferă un model de bune practici aliniat standardelor europene.
Întrebări frecvente despre NIS2 și responsabilitatea conducerii
Cine este responsabil legal pentru conformitatea NIS2?
Organele de conducere ale entităților esențiale și importante sunt direct răspunzătoare pentru aprobarea măsurilor de gestionare a riscurilor, conform art. 12 din OUG nr. 155/2024.
Ce se întâmplă dacă nu se respectă NIS2?
Nerespectarea obligațiilor poate atrage sancțiuni administrative și răspunderea personală a membrilor conducerii, în funcție de gravitatea încălcărilor.
NIS2 se aplică și companiilor din Republica Moldova?
Directiva se aplică statelor membre UE, dar companiile moldovene care furnizează servicii în UE sau care fac parte din lanțuri de aprovizionare europene pot fi afectate indirect, prin cerințele partenerilor contractuali.
Concluzie: conducerea decide, IT-ul implementează
NIS2 redefinește securitatea cibernetică ca o problemă de guvernanță, nu doar de tehnologie. Pentru organizațiile care aspiră la standarde europene, această perspectivă este un pas firesc spre o cultură a responsabilității și transparenței. Deciziile luate astăzi la nivel de board vor determina capacitatea companiei de a face față amenințărilor de mâine.
Articol susținut de Safetech Innovations