Stav NIS 2 v Rumunsku
Co směrnice vyžaduje, jak ji Rumunsko transponuje a kde se v obraze nachází DNSC.
Přehled
Směrnice NIS 2 je vrstva EU. Zavazuje každý členský stát, Rumunsko nevyjímaje, jediným minimálním standardem pro základní a důležité subjekty. Rumunsko musí tento standard převést do národního práva a provozovat pod ním dozor.
Rumunsko transponovalo NIS 2 prostřednictvím národního zákona široce citovaného jako zákon 58/2024 (Legea nr. 58/2024), přijatého za účelem přenesení směrnice do rumunského práva v okně lhůty EU 17. října 2024. Sledovač transpozice Evropské komise uvádí, že Rumunsko oznámilo transpoziční opatření. Přesný název a odkaz na Monitorul Oficial by měly být před citací ověřeny proti oficiálnímu textu.
DNSC, Directoratul National de Securitate Cibernetica (Národní ředitelství pro kybernetickou bezpečnost), je příslušný orgán a provozuje funkci národního CSIRT. DNSC v roce 2021 pohltilo dřívější CERT-RO, takže kontaktní údaje stále označené jako CERT-RO v registrech EU odkazují na tutéž instituci. Registrace subjektů NIS 2 probíhá prostřednictvím kanálů DNSC.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanovuje povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a sektoru pro základní a důležité subjekty.
Prováděcí akt EU
Prováděcí nařízení (EU) 2024/2690
Technická a metodická opatření pro poskytovatele digitální infrastruktury. Přímo použitelné v Rumunsku, národní transpozice není potřeba.
Rumunská transpozice
Zákon 58/2024 (Legea nr. 58/2024), jak se široce cituje
Rumunská transpozice NIS 2. Přesný název, datum a odkaz na Monitorul Oficial by měly být zkontrolovány proti oficiálnímu textu. Sekundární normy a pokyny DNSC doplňují provozní detail.
Národní zákon (zákon 58/2024)
Přenáší povinnosti NIS 2 do rumunského práva. Definuje kategorie základních a důležitých subjektů, dozorové pravomoci DNSC, povinnosti hlášení incidentů a sankční režim. Provozní detail se stanovuje prostřednictvím sekundárních norem a pokynů DNSC. Přesné číslo a datum zákona by měly být ověřeny proti záznamu v Monitorul Oficial před jakoukoli citací ke souladu.
DNSC jako příslušný orgán a CSIRT
DNSC provádí dozor, audity a sankční postupy a provozuje národní CSIRT. CERT-RO bylo v roce 2021 pohlceno DNSC. Odkazy na CERT-RO ve starších registrech EU míří na tutéž instituci. Sektoroví regulátoři si zachovávají roli tam, kde platí lex specialis, například finanční sektor podle DORA.
Registrace a hlášení
Směrnice vyžaduje, aby subjekty byly pro členský stát identifikovatelné od 17. dubna 2025. V Rumunsku to probíhá prostřednictvím registračního kanálu DNSC. Významné incidenty následují harmonogram směrnice: včasné varování do 24 hodin, hlášení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce.
Na rumunském území platí rumunské právo
Činnosti na rumunském území se řídí rumunskou transpozicí. Český jednatel s rumunskou dceřinou společností čte pro tuto dceru rumunský zákon a pokyny DNSC, ne český zákon č. 264/2025 Sb. Povinnosti na úrovni směrnice jsou totožné. Postup, registrační kanál a sankce upravuje rumunské právo.
Rumunsko nesmí klesnout pod úroveň EU
Směrnice je minimální harmonizace. Rumunsko může jít přísněji. Nesmí klesnout pod ni, ani v povinnostech základních a důležitých subjektů, ani ve lhůtách hlášení, ani v odpovědnosti řídicího orgánu podle článku 20.
DNSC
Directoratul National de Securitate Cibernetica. Hlavní příslušný orgán. Provádí registraci, dozor, audity a sankční postupy, zveřejňuje pokyny a provozuje národní CSIRT. V roce 2021 pohltilo CERT-RO.
Národní CSIRT (pod DNSC)
Funkce CSIRT pro Rumunsko sídlí uvnitř DNSC. Toto je kanál pro hlášení incidentů podle NIS 2. Starší odkazy na CERT-RO míří na tuto tutéž funkci, nyní součást DNSC.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává pokyny, provozuje evropskou databázi zranitelností a koordinuje přeshraničně. Není dozorem pro rumunské subjekty. To přísluší DNSC.
Můžeme se prostě řídit postupem podle českého zákona, NIS 2 je všude stejná.
Povinnosti na úrovni směrnice jsou napříč členskými státy totožné. Postup, registrační portál, výše sankcí a styl dozoru upravuje národní právo. Rumunská dceřiná společnost se registruje u DNSC podle rumunského zákona, ne u NÚKIB podle zákona č. 264/2025 Sb. Obsah souladu se překrývá. Administrativní obal ne.
Rumunsko zatím nemá registrační kanál NIS 2, takže můžeme počkat.
Rumunsko oznámilo transpoziční opatření Evropské komisi a DNSC provozuje registrační kanál pro základní a důležité subjekty. Platí identifikační lhůta EU 17. dubna 2025. Čekání na dokonalý dvojjazyčný portál není obranou proti zjištění o působnosti.
Nejsme v energetickém ani finančním sektoru, takže NIS 2 neplatí.
Přílohy I a II směrnice uvádějí 18 sektorů, včetně digitální infrastruktury, poštovních a kurýrních služeb, odpadového hospodářství, potravin, výroby kritického zboží, výzkumu a veřejné správy. Test velikosti pak rozhodne, zda jde o základní nebo důležitý subjekt. Mnoho rumunských středně velkých firem, které se nikdy nepovažovaly za kritickou infrastrukturu, spadá do působnosti prostřednictvím těchto sektorů.
Article 20 puts the obligation on the management body to approve risk management, oversee its implementation and follow management training. DNSC will look at that approval, not at who wrote the policy.
Praktický krok v Rumunsku je stejný jako všude v EU: otestovat působnost proti směrnici, zaregistrovat se přes národní kanál DNSC, nastavit čtyři průběžné povinnosti (udržovat registrační data aktuální, hlášení incidentů, riziko dodavatelského řetězce, dohled řídicího orgánu) a zdokumentovat minimum.
- Směrnice (EU) 2022/2555 (NIS 2) na EUR-Lex
- Prováděcí nařízení (EU) 2024/2690
- Rumunský transpoziční zákon (široce citovaný jako Legea nr. 58/2024), k ověření proti Monitorul Oficial
- DNSC (Directoratul National de Securitate Cibernetica), oficiální stránky
- Evropská komise, sledovač transpozice NIS 2, stránka země Rumunsko
- ENISA, interaktivní mapa CSIRT, záznam Rumunska
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
