Nivelul de conformare al companiilor din România cu directiva europeană NIS 2 este evaluat la o notă de 7 din 10, cu anumite indulgențe. Această evaluare reflectă o situație în care marile companii manifestă un grad de pregătire mai ridicat, în timp ce entitățile de dimensiuni mai mici întâmpină dificultăți în a înțelege dacă se încadrează în sfera de aplicabilitate a noilor reguli.
Cristina Popescu, partener și head of CEE Insurance Practice Group la casa de avocatură CMS România, a subliniat că NIS 2 a provocat o schimbare fundamentală de paradigmă în modul în care este abordată securitatea cibernetică. Aceasta nu mai este privită exclusiv ca o problemă tehnică de IT, ci a fost mutată în zona de guvernanță și de responsabilitate managerială. Această evoluție este impusă și de riscul sancțiunilor financiare semnificative.
Amenzile prevăzute pentru nerespectarea reglementărilor pot atinge valori de până la 7 milioane de euro sau 1,4% din cifra de afaceri a companiei. În acest context, Cristina Popescu a observat că o eroare frecventă este comisă de furnizorii de servicii IT, care au tendința de a crede că sunt exceptați de la obligații dacă prestăd servicii exclusiv în interiorul grupului din care fac parte. Această interpretare greșită poate expune companiile la riscuri juridice și financiare.
Analizând procesul de implementare, experta a menționat că gradul de conformare în cazul multinaționalelor cu care colaborează CMS depășește 85%. Totuși, nu există certitudine că acest nivel de pregătire este replicat pe întreaga piață din România, unde apar frecvent nelămuriri privind încadrarea în lege. Un prim pas critic a fost identificarea statutului de entitate vizată și notificarea autorităților, proces care a implicat respectarea unor termene limită specifice.
Deși termenul limită pentru notificări a expirat la jumătatea lunii august anul trecut, autoritatea DNSC a continuat să primească notificări și după această dată. Conform informațiilor furnizate de Cristina Popescu, nu s-au aplicat sancțiuni pentru aceste notificări întârziate, ceea ce sugerează că pe palierul identificării și notificării situația este relativ stabilă. Totuși, provocarea principală rămâne aplicarea riguroasă a măsurilor de securitate la nivel de management.
Transpunerea directivei NIS 2 în legislația națională s-a realizat prin intermediul OUG 155/2024. Această reglementare vizează consolidarea rezilienței infrastructurilor critice și a sistemelor digitale împotriva atacurilor cibernetice. Implementarea acestui cadru juridic obligă companiile să își revizuiască procedurile interne de management al riscurilor, transformând securitatea digitală dintr-o sarcină de suport într-o prioritate strategică pentru consiliile de administrație.