NIS2 și GDPR:
măsuri, termene, dovezi

Două cadre, același obiectiv#

NIS2 (Directiva (UE) 2022/2555) a fost adoptată pe 14 decembrie 2022. Statele au avut de transpus-o până pe 17 octombrie 2024, iar măsurile se aplică din 18 octombrie 2024, când prima directivă NIS a fost abrogată ¹. Ea privește continuitatea și securitatea serviciilor esențiale pentru economie și societate.

GDPR (Regulamentul (UE) 2016/679) protejează datele personale. Art. 32 cere măsuri de securitate adecvate riscului, inclusiv „un proces pentru testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice” (art. 32(1)(d)) ⁸.

Cui se aplică NIS2#

NIS2 se aplică entităților din sectoarele din anexele I și II care sunt cel puțin întreprinderi mijlocii. Unele categorii intră indiferent de mărime: rețelele și serviciile publice de comunicații electronice, prestatorii de servicii de încredere, registrele TLD, furnizorii DNS, furnizorii unici într-un stat și entitățile critice (art. 2) ¹.

Entitățile esențiale sunt, în principal, cele mari din anexa I, prestatorii calificați de servicii de încredere, registrele TLD și DNS, administrația publică centrală și entitățile critice; restul sunt importante (art. 3) ¹. Diferența contează la supraveghere și la amenzi: esențialele sunt verificate ex ante, importantele ex post ¹.

Ce măsuri cere art. 21#

Art. 21(2) NIS2 stabilește zece măsuri minime, bazate pe o abordare de tip „toate riscurile” ¹:

• a) analiza riscurilor și politici de securitate a sistemelor;
• b) gestionarea incidentelor;
• c) continuitatea activității: copii de rezervă, recuperare în caz de dezastru, gestionarea crizelor;
• d) securitatea lanțului de aprovizionare;
• e) securitatea în achiziția, dezvoltarea și întreținerea sistemelor, inclusiv gestionarea și divulgarea vulnerabilităților;
• f) politici și proceduri pentru evaluarea eficacității măsurilor de gestionare a riscurilor;
• g) igienă cibernetică și formare;
• h) criptografie și, după caz, criptare;
• i) securitatea resurselor umane, controlul accesului, gestionarea activelor;
• j) autentificare multifactor sau continuă și comunicații securizate, inclusiv de urgență.

Regulamentul de punere în aplicare (UE) 2024/2690 detaliază aceste măsuri pentru entitățile digitale: DNS, TLD, cloud, centre de date, CDN, furnizori de servicii gestionate (MSP, MSSP), piețe online, motoare de căutare, rețele sociale și servicii de încredere (art. 1) ². Pentru celelalte entități, textul rămâne o referință utilă.

Unde apar testele de penetrare#

Nici NIS2, nici GDPR nu scriu „test de penetrare” în articole. Îl numesc însă textele care le pun în aplicare: considerentul 15 al Regulamentului 2024/2690 spune că testele de securitate „pot include … teste de penetrare cibernetică, scanarea de vulnerabilități”, teste statice și dinamice ale aplicațiilor sau audituri ². Considerentul 128 al directivei menționează că autoritățile pot recurge la audituri și teste de penetrare ¹.

Raportarea incidentelor: NIS2 și GDPR#

1. 24 h
   NIS2: avertizare timpurie

   De la momentul în care aflați de un incident semnificativ (art. 23(4)(a)) ¹.

2. 72 h
   NIS2: notificarea incidentului

   Cu o primă evaluare (art. 23(4)(b)); la cerere, un raport intermediar ¹.

3. 72 h
   GDPR: notificare la autoritatea de protecție a datelor

   „Fără întârzieri nejustificate și, dacă este posibil”, în 72 de ore (art. 33(1)); persoana împuternicită anunță operatorul fără întârziere ⁸.

4. 1 lună
   NIS2: raportul final

   În cel mult o lună de la notificare; pentru un incident în desfășurare, întâi un raport de progres (art. 23(4)(d), (e)) ¹.

Persoanele ale căror date au fost afectate se informează dacă riscul pentru ele e ridicat; nu e necesar dacă datele erau criptate și neinteligibile (art. 34) ⁸. Orice încălcare se documentează, chiar și cele care nu se notifică (art. 33(5)) ⁸. Ghidurile EDPB 9/2022 explică notificarea pas cu pas ¹⁰.

Cele două cadre comunică: autoritatea NIS informează autoritatea de protecție a datelor când o încălcare a art. 21 sau 23 poate implica o încălcare de date (art. 35(1)). Dacă autoritatea de protecție a datelor a amendat deja aceeași faptă, nu se mai aplică și amenda NIS2 (art. 35(2)) ¹.

România: OUG 155/2024#

România a transpus NIS2 prin OUG nr. 155/2024, publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024 ⁴, aprobată cu 23 de modificări prin Legea nr. 124/2025, în vigoare din 10 iulie 2025 ⁵. Autoritatea este DNSC (Directoratul Național de Securitate Cibernetică) ⁴. Ordonanța se aplică fără a aduce atingere GDPR (art. 2(5)) ⁵.

• Audit obligatoriu: entitățile esențiale și importante se supun unui audit de securitate cibernetică, cu periodicitatea stabilită prin ordin DNSC după nivelul de risc (art. 11(5)) ⁴.
• Auditul îl fac auditori atestați de DNSC; atestatul e valabil 3 ani, iar același auditor nu poate face mai mult de 3 audituri consecutive la aceeași entitate (art. 58) ⁴.
• Incidentele se raportează prin platforma PNRISC, la 24 h / 72 h / o lună, și în 6 h dacă au impact transfrontalier (art. 15) ⁴.
• Ordinele DNSC 1/2025 și 2/2025 (MO nr. 776 din 20.08.2025) stabilesc notificarea pentru înregistrare și metodologia nivelului de risc ⁶.
• Ordinul DNSC 1/2026 (MO nr. 712 din 27.08.2026) aprobă măsurile de gestionare a riscurilor, pe 6 funcții și 3 niveluri de asigurare, și metodologia de autoevaluare; entitățile supuse DORA aplică măsurile DORA ⁷.

Amenzi și răspunderea conducerii#

NIS2 mută răspunderea la vârf: organele de conducere aprobă măsurile, le supraveghează și pot fi trase la răspundere; membrii lor sunt obligați să urmeze o formare (art. 20) ¹. Pentru entitățile esențiale, autoritatea poate cere interzicerea temporară a exercitării funcțiilor de conducere (art. 32(5)(b)) ¹. În România, conducerea urmează cursuri de formare acreditate (art. 14) ⁴.

Și în Republica Moldova?#

NIS2 nu se aplică direct în Republica Moldova. Legea nr. 48/2023 privind securitatea cibernetică o transpune parțial, cu categorii, termene și o autoritate proprii ¹¹. Companiile moldovenești care lucrează pentru clienți din UE sub NIS2 simt directiva oricum, prin cerințele de securitate a lanțului de aprovizionare din art. 21(2)(d) ¹.

Pentru Republica Moldova, citiți ghidul Legii 48/2023: cine intră sub lege, ce termene are și cum se raportează un incident.

Cum construiți dovezile printr-un test#

1. Perimetru după risc

   Sfera și frecvența testelor se stabilesc pe baza evaluării riscurilor (pct. 6.5.2(a)) ².

2. Metodologie documentată

   Testarea urmează o metodologie scrisă; ENISA trimite la OWASP WSTG și OSSTMM (pct. 6.5.2(b)) ²³.

3. Constatări cu criticitate

   Tipul, sfera, momentul și rezultatele, cu criticitatea și acțiunile de atenuare pentru fiecare constatare (pct. 6.5.2(c)) ².

4. Remediere și re-test

   Constatările critice se atenuează (pct. 6.5.2(d)); re-testul închide fiecare constatare cu dovadă ².

5. Raport către conducere

   Rezultatele evaluărilor independente se raportează organelor de conducere (pct. 2.3), care răspund de măsuri (art. 20 NIS2) ¹².

Întrebări frecvente