Conformitate NIS2 și GDPR pentru companii: audit NIS2, consultanță și implementare

Cum verifici rapid dacă firma ta e vizată de NIS2

Răspunde la trei întrebări:

1. Mărimea: firma are cel puțin 50 de angajați sau o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane € fiecare? Dacă da, ești cel puțin întreprindere medie, adică pragul de la care NIS2 se aplică de regulă.
2. Sectorul: activezi într-unul dintre sectoarele din directivă?
   • sectoare de înaltă criticitate: energie, transport, bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, servicii TIC gestionate pentru alte firme, administrație publică, spațiu;
   • alte sectoare critice: servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimente (producție, prelucrare, distribuție), fabricarea de dispozitive medicale, electronice, echipamente electrice, mașini și vehicule, furnizori digitali (marketplace-uri, motoare de căutare, rețele sociale) și cercetare.
3. Excepțiile de mărime: ești furnizor de comunicații electronice publice, de servicii de încredere, de DNS sau registru de domenii, ori singurul furnizor al unui serviciu esențial într-o regiune? În aceste cazuri NIS2 se poate aplica indiferent de mărime.

Dacă ai răspuns „da” la 1 și 2 sau la 3, firma e probabil vizată. Dacă ești furnizor pentru o firmă vizată, vei primi probabil cerințe de securitate prin contract. Pentru o verificare pas cu pas, folosește instrumentul „Sunt entitate NIS2?”. Încadrarea exactă o stabilim în auditul NIS2, pe baza activității și a datelor firmei.

NIS2 și GDPR, pe scurt

NIS2 (Directiva (UE) 2022/2555) cere entităților vizate măsuri de gestionare a riscurilor de securitate cibernetică, raportarea incidentelor semnificative și implicarea conducerii. În România, directiva a fost transpusă prin OUG 155/2024, iar autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).

GDPR (Regulamentul (UE) 2016/679) se aplică oricărei firme care prelucrează date personale. Autoritatea de supraveghere este ANSPDCP, iar încălcările de securitate a datelor se notifică, de regulă, în 72 de ore.

Cele două regimuri se suprapun în multe puncte: control al accesului, criptare, backup, jurnalizare, răspuns la incidente. De aceea le tratăm într-un singur program, nu ca două proiecte separate. Pentru firmele care vor ulterior o certificare formală, folosim ca repere complementare ISO 27001, NIST CSF 2.0 și CIS Controls v8.

Ce este în joc

Amenzile prevăzute de NIS2 pentru entitățile esențiale pot ajunge la 10 milioane € sau 2% din cifra de afaceri globală, iar GDPR prevede amenzi de până la 4% din cifra de afaceri globală. Dincolo de sancțiuni, tot mai mulți clienți mari și instituții publice cer dovezi de conformitate de la furnizori.

Raportul IBM Cost of a Data Breach 2024 a estimat costul mediu global al unei încălcări de date la 4,88 milioane USD. Pentru un IMM, chiar și o fracțiune din această sumă poate depăși bugetul IT pe câțiva ani.

Intervale orientative de buget

Tip de companie	Buget orientativ
Sub 30 de angajați, o locație, IT simplu	5.000–8.000 € + TVA
Companie medie, 2–5 locații, infrastructură mixtă	10.000–25.000 € + TVA
Entitate esențială, cerințe complexe	de la 30.000 € + TVA

Ce primești concret: raportul de gap analysis cu scorul pe fiecare control, planul de remediere prioritizat, controalele tehnice implementate, politicile și registrele scrise și instruirea echipei. Totul este organizat ca un dosar pe care îl poți prezenta la un control DNSC sau ANSPDCP ori unui client care cere dovezi.

Cum începi

Primul pas este să afli unde ești. Pentru context, citește ghidul NIS2 pas cu pas pentru IMM-uri, lista celor 7 documente GDPR și NIS2 obligatorii și comparația DPO extern vs. intern.

Măsurile tehnice se implementează împreună cu serviciul de securitate cibernetică și continuitate, iar eficiența lor se poate verifica printr-un test de penetrare. Informațiile de pe această pagină au caracter general și nu înlocuiesc consultanța juridică. Cere auditul de conformitate.

Audit NIS2 și consultanță NIS2

Auditul NIS2 stabilește dacă firma intră sub directivă (entitate esențială sau importantă), ce măsuri de gestionare a riscurilor lipsesc și ce documente trebuie pregătite. Rezultatul este un raport cu decalajele față de cerințe și un plan de remediere prioritizat.

Consultanța NIS2 te ajută după audit: politici și proceduri, plan de răspuns la incidente, gestionarea furnizorilor, instruirea echipei și pregătirea pentru controlul DNSC. Măsurile tehnice (autentificare în doi pași, backup imutabil, jurnalizare, segmentarea rețelei) le putem implementa direct, iar verificarea tehnică poate porni de la un audit de securitate IT.

Nu știi încă dacă firma ta intră sub NIS2? Fă autoevaluarea NIS2 sau cere o ofertă pentru auditul de conformitate NIS2.