NIS2 și Cyberbeveiligingswet (Legea olandeză privind securitatea cibernetică): se aplică și companiei mele?

Din 15 august 2026, în Țările de Jos se aplică Legea privind securitatea cibernetică (Cyberbeveiligingswet). Poate ați auzit deja termenul NIS2 de la un client, un furnizor sau un consultant. În acest articol aflați pe scurt ce este legea, cui i se aplică și ce înseamnă ea pentru o firmă mică ce nu intră ea însăși sub incidența legii.

Acest articol oferă explicații generale și nu constituie consultanță juridică. Regulile actuale sunt disponibile la NCSC și în textul legii.

Ce este?

NIS2 este o directivă europeană din 2022 (Directiva (UE) 2022/2555) care urmărește să crească reziliența digitală a organizațiilor din sectoarele importante. Fiecare țară transpune directiva într-o lege proprie. În Țările de Jos, aceasta este Legea privind securitatea cibernetică (Cyberbeveiligingswet, Cbw). Legea se aplică din 15 august 2026, fără perioadă de tranziție, și înlocuiește vechea Lege privind securitatea rețelelor și a sistemelor informatice (Wbni). Potrivit NCSC, peste 8.000 de organizații intră sub incidența ei. NCSC este punctul de contact.

Intră firma mea sub incidența legii?

Aceasta depinde de două întrebări: sectorul dumneavoastră și dimensiunea firmei.

1. Activați într-un sector menționat în lege?

Pentru unele sectoare se aplică condiții suplimentare. Prin urmare, nu orice firmă care are legătură cu produsele alimentare intră automat sub incidența legii.

2. Este firma dumneavoastră suficient de mare? Pe scurt, legea se aplică organizațiilor mijlocii și mari. Sunteți inclus dacă:

• aveți 50 sau mai mulți angajați (normă întreagă), sau
• aveți mai puțin de 50 de angajați, dar cifra de afaceri anuală și totalul bilanțului depășesc ambele 10 milioane de euro.

Întreprinderile partenere și cele legate se iau în calcul. O firmă cu 20 de angajați care face parte dintr-un grup cu 200 de angajați poate, așadar, să intre totuși sub incidența legii.

Excepții, indiferent de dimensiune. Câteva tipuri de organizații intră întotdeauna sub incidența legii, oricât de mici ar fi. De exemplu, furnizorii de servicii DNS, registrele de domenii de nivel superior, furnizorii de rețele și servicii publice de comunicații electronice, prestatorii de servicii de încredere și organizațiile din administrația publică. Dacă sunteți desemnat în temeiul Legii privind reziliența entităților critice, intrați și sub incidența Legii privind securitatea cibernetică.

Verificați singur cu autoevaluarea

Inspectoratul de Stat pentru Infrastructură Digitală (RDI) oferă gratuit o autoevaluare NIS2. Răspundeți la întrebări despre sector, dimensiune și servicii și primiți un rezultat. Din acesta reiese și dacă sunteți o entitate esențială sau o entitate importantă. Diferența constă în principal în supraveghere: la entitățile esențiale, autoritatea de supraveghere poate efectua controale și din proprie inițiativă, iar la entitățile importante mai ales ulterior. Firma dumneavoastră face parte dintr-un grup sau activați în mai multe țări? În acest caz vă ajută ghidul pentru modele de afaceri complexe al NCSC.

Ce trebuie să faceți dacă intrați sub incidența legii?

• Înregistrare. Vă înregistrați organizația prin MijnNCSC.
• Obligația de diligență. Realizați o analiză de risc și luați măsuri adecvate și proporționale. NCSC enumeră cel puțin zece subiecte, printre care gestionarea incidentelor, backup și recuperare, securitatea lanțului de aprovizionare, instruirea, actualizările, gestionarea accesului, autentificarea multifactor sau passkeys, criptarea și testarea eficacității măsurilor. Conducerea aprobă măsurile și supraveghează aplicarea lor.
• Obligația de raportare. Un incident semnificativ se raportează prin MijnNCSC: în termen de 24 de ore o avertizare timpurie, în termen de 72 de ore o notificare cu o primă evaluare a gravității și a impactului, iar în termen de o lună un raport final.

Această raportare este separată de obligația de notificare a breșelor de date conform RGPD. Aceasta se aplică tuturor celor care prelucrează date cu caracter personal, inclusiv persoanelor fizice autorizate, iar notificarea se face la Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens). Când este vorba de o breșă de date și dacă trebuie să o raportați aflați în Este aceasta o breșă de date și trebuie să o raportez? Un atac în care au fost furate și date ale clienților poate, așadar, să trebuiască raportat la ambele instituții.

Nu intrați sub incidența legii? Lanțul de aprovizionare vă poate afecta totuși

Majoritatea firmelor mici nu intră sub incidența legii. În acest caz nu aveți obligație de înregistrare, nici obligație de raportare către NCSC și nici supraveghere. Însă organizațiile care intră sub incidența legii trebuie să țină cont și de riscurile legate de furnizorii și prestatorii lor de servicii direcți. Potrivit NCSC, legea nu impune obligații furnizorilor înșiși, însă clienții pot formula cerințe privind securitatea digitală a acestora. Aceste cerințe apar apoi într-un contract sau într-un chestionar.

Furnizați servicii unei organizații mai mari, de exemplu ca dezvoltator web, administrator IT sau birou de contabilitate? Atunci puteți primi întrebări precum: folosiți autentificarea în doi pași, cine are acces la datele noastre, unde se află copiile de rezervă și cât de repede raportați un incident?

• Cerințele trebuie să fie adecvate riscului serviciului dumneavoastră. Un furnizor cu acces la sisteme primește cerințe mai stricte decât brutarul care aduce prânzul.
• Este vorba de furnizorii direcți. Furnizorii furnizorilor dumneavoastră nu sunt incluși.
• Legea nu impune un certificat. Acesta poate fi util în discuție, dar nu reprezintă o garanție.
• Începeți din timp: identificați măsurile pe care le aveți deja și consemnați înțelegerile cu clientul.

Lecturi suplimentare

• NCSC: Legea privind securitatea cibernetică (NIS2)
• NCSC: Intră organizația mea sub incidența Legii privind securitatea cibernetică?
• NCSC: Obligația de diligență
• NCSC: Obligația de raportare
• NCSC: Legea privind securitatea cibernetică și furnizorii
• RDI: Autoevaluare NIS2
• Textul Legii privind securitatea cibernetică

Doriți să aflați mai multe? Urmați cursul gratuit Siguranță online pentru antreprenori, lecția 9.1 NIS2 și Legea privind securitatea cibernetică.