Stare NIS 2 în Irlanda
Ce impune Directiva, unde se află Irlanda în privința transpunerii și cine asigură supravegherea între timp.
Prezentare generală
Directiva NIS 2 se află la nivelul UE. Obligă fiecare stat membru, inclusiv Irlanda, la un singur prag minim de obligații pentru entitățile esențiale și importante. Irlanda trebuie să traducă acel prag în legislația irlandeză și să instituie supravegherea sub acesta.
Irlanda a ratat termenul de transpunere de 17 octombrie 2024. General Scheme of the National Cyber Security Bill 2024 a fost publicat la 30 august 2024. La începutul lunii octombrie 2026, niciun National Cyber Security Bill nu fusese introdus în Oireachtas. La 8 iulie 2026 Comisia Europeană a sesizat Curtea de Justiție a UE cu privire la Irlanda, împreună cu Spania, Franța și Țările de Jos, și a cerut Curții să impună o sumă forfetară și penalități zilnice până când Irlanda notifică transpunerea integrală. Până la intrarea în vigoare a Legii, transpunerea irlandeză a NIS 1 (European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continuă să se aplice.
National Cyber Security Centre (NCSC-IE) este CSIRT-ul național. Potrivit General Scheme, urmează să devină autoritatea competentă principală și punctul unic de contact pentru NIS 2, alături de autoritățile competente sectoriale: CRU pentru energie, apă potabilă și ape uzate, ComReg pentru infrastructură digitală, gestionarea serviciilor TIC, spațiu și furnizori digitali, Central Bank of Ireland pentru sectorul bancar și infrastructurile piețelor financiare (unde DORA se aplică drept lex specialis) și alte autorități pentru transport și sănătate. Din 1 iunie 2025, NCSC și funcțiile NIS aparțin Department of Justice, Home Affairs and Migration, care le-a preluat de la Department of the Environment, Climate and Communications.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva de securitate cibernetică a UE. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testul de mărime și sector pentru entitățile esențiale și importante. Se aplică Irlandei indiferent de stadiul transpunerii naționale.
Act de punere în aplicare al UE
Regulamentul de punere în aplicare (UE) 2024/2690
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Irlanda, fără transpunere națională necesară.
Transpunerea irlandeză
General Scheme of the National Cyber Security Bill 2024 (proiect); până la adoptare: S.I. No. 360/2018 (NIS 1)
Guvernul a aprobat redactarea prioritară la 24 iulie 2024 și a publicat General Scheme la 30 august 2024. Niciun proiect de lege nu a fost încă introdus în Oireachtas. Proiectul de lege și reglementările secundare care urmează vor purta detaliile operaționale. Până atunci, transpunerea NIS 1 rămâne în vigoare, completată de orientările NCSC-IE.
National Cyber Security Bill
Va introduce obligațiile NIS 2 în legislația irlandeză, va defini entitățile esențiale și importante, va stabili competențele de supraveghere și de aplicare și va ancora raportarea incidentelor. Detaliile operaționale vor fi completate de reglementări secundare și de orientările NCSC-IE. Astăzi: Heads of Bill publicate, textul final încă neadoptat.
NCSC-IE drept autoritate competentă principală
National Cyber Security Centre este CSIRT-ul național (CSIRT-IE). Potrivit General Scheme, urmează să devină autoritatea competentă principală și punctul unic de contact pentru NIS 2, iar autoritățile de reglementare sectoriale precum CRU, ComReg și Central Bank vor fi autorități competente pentru sectoarele lor. Publică deja orientări pregătitoare, inclusiv proiectul de orientare privind Risk Management Measures din iunie 2025, și face trimitere la cadrul belgian CyFun drept nivel de bază practic.
Înregistrare și raportare
Până la 17 aprilie 2025, fiecare stat membru trebuia să își stabilească lista entităților esențiale și importante (art. 3(3) NIS 2). Irlanda nu are încă o asemenea bază legală, iar portalurile de înregistrare și de raportare a incidentelor se deschid abia după intrarea în vigoare a Legii. Incidentele semnificative vor urma apoi Directiva: avertizare timpurie în 24 de ore, notificare a incidentului în 72 de ore, raport final în decurs de o lună.
Pe teritoriul irlandez se aplică legea irlandeză
Activitatea pe teritoriul irlandez urmează transpunerea irlandeză. Un director general german cu o filială irlandeză citește viitoarea National Cyber Security Act pentru acea filială, iar între timp Regulamentele NIS 1 din 2018, nu BSIG-ul german. Obligațiile din directivă sunt identice. Procedurile, portalurile și sancțiunile se află în legislația irlandeză.
Irlanda nu poate coborî sub pragul minim al UE
Directiva este o armonizare minimă. Irlanda poate merge mai strict. Irlanda nu poate coborî sub Directivă, nici în privința obligațiilor entităților esențiale și importante, nici a termenelor de raportare, nici a responsabilizării organului de conducere. Până când Irlanda transpune, obligațiile Directivei nu leagă direct companiile irlandeze. Odată ce Legea este în vigoare, aceasta nu poate stabili un prag mai scăzut decât Directiva.
NCSC-IE
National Cyber Security Centre. CSIRT-ul național (CSIRT-IE) și, potrivit General Scheme, viitoarea autoritate competentă principală și punct unic de contact pentru NIS 2. Publică orientări pregătitoare, va deschide portalurile de înregistrare și de raportare odată ce Legea este în vigoare și se coordonează cu ENISA și cu alte state membre.
Department of Justice, Home Affairs and Migration
Departamentul coordonator pentru transpunere. La 1 iunie 2025, guvernul a mutat funcțiile de securitate cibernetică, inclusiv pe cele din Regulamentele NIS 1 (S.I. No. 360/2018), de la Department of the Environment, Climate and Communications la Department of Justice (S.I. No. 234/2025). NCSC este un braț operațional al acestui departament. General Scheme of the National Cyber Security Bill 2024 este publicat; proiectul de lege în sine nu a fost încă introdus în Oireachtas.
ENISA
Agenția UE pentru securitate cibernetică. Publică orientări, operează baza europeană de date privind vulnerabilitățile și coordonează transfrontalier. Nu este un supraveghetor pentru entitățile irlandeze. Potrivit General Scheme, acest rol va reveni NCSC-IE și autorităților competente sectoriale odată ce Legea este în vigoare.
Până când Irlanda transpune, se aplică regulile germane, fiindcă societatea-mamă se află în Germania.
Nu. NIS 2 urmează principiul stabilirii. O filială irlandeză este reglementată în Irlanda, una germană în Germania. Societatea-mamă germană poate sprijini filiala irlandeză pe plan intern, dar obligația juridică de a se înregistra, de a raporta și de a fi supravegheată revine entității irlandeze și se raportează la NCSC-IE odată ce Legea este în vigoare. Până atunci, NIS 1 (S.I. No. 360/2018) guvernează pentru sectoarele deja acoperite.
Atât timp cât portalul nu este funcțional, nu trebuie să fac nimic.
Obligațiile NIS 2 de înregistrare și raportare ajung la o companie irlandeză numai prin Legea irlandeză, care nu este încă în vigoare. Până atunci, NIS 1 (S.I. No. 360/2018) se aplică operatorilor de servicii esențiale deja desemnați în temeiul său. Pregătirea tot merită: managementul riscului, un proces de incidente, clauzele de lanț de aprovizionare și instruirea organului de conducere durează luni să fie puse la punct, iar Legea va stabili termenul de înregistrare odată ce NCSC-IE deschide portalul.
Doar vechile OES din NIS 1 sunt vizate de NIS 2.
Nu. NIS 2 lărgește substanțial catalogul de sectoare și mărimi. Operatorii de servicii esențiale (OES) din NIS 1 sunt de regulă vizați în continuare sub NIS 2, dar perimetrul este mai larg și acum distinge între entități esențiale și importante. Entitățile medii și mari enumerate în Anexele I și II la Directivă intră în domeniul de aplicare, la fel ca unii furnizori mici cu un rol special, plus părți din administrația publică.
Majoritatea operatorilor din segmentul mediu al pieței irlandeze pe care îi întâlnim tratează NIS 2 ca pe un termen amânat și așteaptă National Cyber Security Bill. Juridic, asta este valabil deocamdată: o directivă leagă statul, nu compania, așa că până la intrarea în vigoare a Legii se aplică doar Regulamentele NIS 1, și doar operatorilor deja desemnați în temeiul lor. Practic, munca durează luni, așa că cine începe acum întâmpină Legea cu documentația deja pregătită.
Pasul practic este același ca peste tot în UE: rulați testul de aplicabilitate în raport cu Directiva, folosiți orientările pregătitoare NCSC-IE (proiectul de Risk Management Measures, CyFun) drept reper, instituiți cele patru obligații continue (mențineți datele de înregistrare la zi, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Odată ce Legea este în vigoare, munca rămasă constă în principal în introducerea documentației finalizate în procedurile irlandeze.
- Directiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690
- General Scheme of the National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, stare și orientări NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (iunie 2025)
- ComReg: potrivit General Scheme, autoritate competentă pentru infrastructură digitală, gestionarea serviciilor TIC, spațiu și furnizori digitali
- Central Bank of Ireland: autoritate competentă pentru DORA în sectorul financiar
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Comisia Europeană, 8 iulie 2026: Comisia sesizează Curtea de Justiție cu privire la Irlanda, Spania, Franța și Țările de Jos (digital-strategy.ec.europa.eu)
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
