NIS2 și Legea privind securitatea cibernetică: se aplică acestea și companiei dumneavoastră?

Începând cu 15 august 2026, în Țările de Jos este în vigoare Legea privind securitatea cibernetică. Poate ați auzit deja termenul NIS2 de la un client, un furnizor sau un consultant. În acest articol veți afla pe scurt ce reprezintă această lege, cine intră sub incidența ei și ce înseamnă pentru o companie mică ce nu intră ea însăși sub incidența ei.

Acest articol oferă explicații generale și nu reprezintă consultanță juridică. Regulile actuale se găsesc la NCSC și în textul legii.

Ce este?

NIS2 este o directivă europeană din 2022 (Directiva (UE) 2022/2555) care are scopul de a face organizațiile din sectoare importante mai reziliente digital. Fiecare țară transpune directiva într-o lege proprie. În Țările de Jos, aceasta este Legea privind securitatea cibernetică (Cbw). Legea este în vigoare din 15 august 2026, fără perioadă de tranziție, și înlocuiește vechea Lege privind securitatea rețelelor și sistemelor informatice (Wbni). Conform NCSC, peste 8.000 de organizații intră sub incidența acesteia. NCSC este punctul de contact.

Compania mea intră sub incidența legii?

Acest lucru depinde de două întrebări: sectorul dumneavoastră de activitate și dimensiunea companiei.

1. Activați într-un sector menționat în lege?

Pentru unele sectoare se aplică condiții suplimentare. Astfel, nu orice companie care are legătură cu produsele alimentare intră automat sub incidența legii.

2. Compania dumneavoastră este suficient de mare? Pe scurt, organizațiile mijlocii și mari intră sub incidența legii. Sunteți luat în considerare dacă:

• aveți 50 sau mai mulți angajați (normă întreagă), sau
• aveți mai puțin de 50 de angajați, dar cifra de afaceri anuală și totalul bilanțului depășesc ambele 10 milioane de euro.

Întreprinderile partenere și întreprinderile afiliate sunt luate în considerare. Astfel, o companie cu 20 de angajați care face parte dintr-un grup de 200 poate totuși intra sub incidența legii.

Excepții, indiferent de dimensiune. Câteva tipuri de organizații intră întotdeauna sub incidența legii, oricât de mici ar fi. De exemplu, furnizorii de servicii DNS, registrele domeniilor de nivel superior, furnizorii de rețele și servicii publice de comunicații electronice, prestatorii de servicii de încredere și organizațiile guvernamentale. Dacă ați fost desemnat în baza Legii privind reziliența entităților critice, atunci intrați și sub incidența Legii privind securitatea cibernetică.

Verificați singur cu ajutorul autoevaluării

Inspecția Națională pentru Infrastructură Digitală (RDI) oferă o autoevaluare NIS2 gratuită. Răspundeți la întrebări despre sectorul, dimensiunea și serviciile companiei dumneavoastră și primiți un rezultat. Acesta arată și dacă sunteți o entitate esențială sau o entitate importantă. Diferența constă mai ales în modul de supraveghere: pentru entitățile esențiale, autoritatea de supraveghere poate efectua controale și din proprie inițiativă, în timp ce pentru entitățile importante controalele se fac mai ales ulterior. Compania dumneavoastră face parte dintr-un grup sau activați în mai multe țări? Atunci vă poate ajuta ghidul privind modelele de afaceri complexe al NCSC.

Ce trebuie să faceți dacă intrați sub incidența legii?

• Înregistrare. Vă înregistrați organizația prin MijnNCSC.
• Obligația de diligență. Realizați o analiză de risc și luați măsuri adecvate și proporționale. NCSC menționează cel puțin zece domenii, printre care gestionarea incidentelor, copiile de rezervă și recuperarea, securitatea lanțului de aprovizionare, instruirea, actualizările, gestionarea accesului, autentificarea multifactor sau passkey-urile, criptarea și testarea eficienței măsurilor luate. Conducerea aprobă măsurile și supraveghează aplicarea lor.
• Obligația de notificare. Un incident semnificativ se notifică prin MijnNCSC: în termen de 24 de ore o avertizare inițială, în termen de 72 de ore o notificare cu o primă evaluare a gravității și impactului, iar în termen de o lună un raport final.

Această notificare este separată de obligația de notificare a încălcărilor de securitate a datelor prevăzută de RGPD. Aceasta se aplică oricui prelucrează date cu caracter personal, inclusiv persoanelor fizice autorizate, și se transmite către Autoriteit Persoonsgegevens (Autoritatea pentru Protecția Datelor). Un atac în care au fost furate și date ale clienților poate necesita, prin urmare, notificare la ambele instituții.

Nu intrați sub incidența legii? Lanțul de aprovizionare vă poate afecta totuși

Majoritatea companiilor mici nu intră sub incidența legii. În acest caz nu aveți obligație de înregistrare, nu aveți obligație de notificare către NCSC și nu există supraveghere. Însă organizațiile care intră sub incidența legii trebuie să țină cont și de riscurile asociate furnizorilor și prestatorilor lor direcți. Conform NCSC, legea nu impune obligații furnizorilor în sine, dar clienții pot stabili cerințe privind securitatea digitală a acestora. Aceste cerințe sunt apoi incluse într-un contract sau un chestionar.

Furnizați servicii unei organizații mai mari, de exemplu ca dezvoltator de site-uri web, administrator IT sau birou de contabilitate? Atunci puteți primi întrebări precum: folosiți verificarea în doi pași, cine are acces la datele noastre, unde sunt stocate copiile de rezervă și cât de repede notificați un incident?

• Cerințele trebuie să fie adecvate riscului asociat serviciului dumneavoastră. Un furnizor cu acces la sisteme primește cerințe mai stricte decât brutarul care aduce prânzul.
• Este vorba despre furnizori direcți. Furnizorii furnizorilor dumneavoastră nu sunt vizați.
• Legea nu impune un certificat. Acesta poate ajuta în discuție, dar nu reprezintă o garanție.
• Începeți din timp: identificați măsurile pe care le aveți deja și consemnați în scris acordurile cu clientul dumneavoastră.

Lectură suplimentară

• NCSC: Legea privind securitatea cibernetică (NIS2)
• NCSC: Organizația mea intră sub incidența Legii privind securitatea cibernetică?
• NCSC: Obligația de diligență
• NCSC: Obligația de notificare
• NCSC: Legea privind securitatea cibernetică și furnizorii
• RDI: Autoevaluare NIS2
• Textul legal al Legii privind securitatea cibernetică