Ce este NIS2? Directiva UE privind securitatea cibernetică în cuvinte simple

O directivă UE

NIS2 înseamnă a doua directivă privind securitatea rețelelor și a sistemelor informatice. A fost publicată în Jurnalul Oficial al UE la 27 decembrie 2022 și a intrat în vigoare la 16 ianuarie 2023.

Scopul ei este un nivel comun ridicat de securitate cibernetică în întreaga UE. Ea înlocuiește prima Directivă NIS (UE) 2016/1148, abrogată la 18 octombrie 2024.

O directivă nu se aplică direct companiilor. Fiecare țară UE o transpune în propria lege. Termenul pentru aceasta a fost 17 octombrie 2024. Obligațiile pentru compania dumneavoastră apar abia odată cu această lege națională.

Art. 1, 41, 44 și 45 NIS 2

Cine este vizat

O companie este vizată dacă lucrează într-unul dintre cele 18 sectoare din Anexele I și II și este cel puțin de mărime mijlocie: de la 50 de angajați, sau cu o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare.

Unii furnizori sunt vizați indiferent de mărime, de exemplu furnizorii de telecomunicații, de servicii de încredere, de domenii de nivel superior și de DNS. Statele membre pot identifica și alte entități.

Art. 2 și 3 NIS 2 · Recomandarea 2003/361/CE

Entități esențiale și entități importante

Directiva împarte companiile vizate în două grupe. Mărimea se calculează conform Recomandării 2003/361/CE; pot conta și întreprinderile legate și cele partenere.

Obligațiile sunt aceleași pentru ambele grupe. Supravegherea diferă: autoritatea poate verifica entitățile esențiale fără un motiv anume, iar entitățile importante ulterior, când există indicii ale unei încălcări (Art. 32 și 33 NIS 2).

Ce se aplică la încălcări

Directiva cere fiecărei țări să prevadă amenzi cu un maxim de cel puțin 10 milioane EUR sau 2 la sută din cifra de afaceri mondială (entități esențiale) și de 7 milioane EUR sau 1,4 la sută pentru entitățile importante, oricare dintre valori este mai mare.

Legea germană stabilește plafoanele la 10 și 7 milioane EUR. Un procent din cifra de afaceri intră acolo în joc doar peste o cifră de afaceri de 500 milioane EUR (§ 65 BSIG).

La entitățile esențiale, unei persoane din conducere i se poate interzice temporar, în ultimă instanță, exercitarea funcțiilor de conducere. Pentru entitățile importante, directiva nu prevede acest lucru.

La ultima noastră verificare, în august 2026, BSI nu publicase nicio amendă conform noii BSIG.

Art. 32(5) și Art. 34 NIS 2 · § 65 BSIG

Ce s-a schimbat față de NIS 1

Sub prima Directivă NIS, statele membre decideau în mare parte singure ce operatori sunt vizați. Sub NIS2 decid sectorul și mărimea, iar companiile verifică singure dacă sunt vizate.

Noi sunt, printre altele, sectoare suplimentare, termene fixe de raportare în trei etape, obligațiile conducerii și o listă minimă de zece domenii, care include lanțul de aprovizionare.

Art. 2, 20, 21, 23 și 44 NIS 2

În Germania și în celelalte țări UE

În Germania, NIS2 se aplică prin NIS2UmsuCG, care a rescris Legea BSI. A intrat în vigoare la 6 decembrie 2025. Autoritatea competentă este BSI. Acolo, entitatea esențială se numește „besonders wichtige Einrichtung” (entitate deosebit de importantă).

În celelalte țări UE se aplică legea națională, în Țările de Jos de exemplu Cyberbeveiligingswet. Țara competentă este cea în care este stabilită compania dumneavoastră.

Art. 26 NIS 2 · BGBl. 2025 I nr. 301

Ce înseamnă asta pentru o companie cu 50 până la 150 de angajați

Într-unul dintre cele 18 sectoare, o astfel de companie este de regulă entitate importantă. La această mărime este esențială doar în excepții: într-un sector din Anexa I, cu o cifră de afaceri de peste 50 milioane EUR și un total al bilanțului de peste 43 milioane EUR, ca furnizor de telecomunicații sau dacă țara o identifică astfel.

Are aceleași patru obligații ca o companie mare. Dar măsurile trebuie să fie doar atât de amănunțite cât cer riscul, mărimea și costurile.

Autoritatea verifică o entitate importantă doar când există indicii ale unei încălcări.

Art. 3, 21(1) și 33 NIS 2