Modulul 9 · 9.1
NIS2 și Legea securității cibernetice
Modulul 9: Reguli și organizare · Timp de citire: 11 minute
Obiectiv de învățare: După această lecție veți putea explica ce reglementează Legea securității cibernetice (NIS2) în Țările de Jos, pentru cine se aplică și ce înseamnă ea, prin lanțul de furnizori, pentru întreprinderile mici.
Noțiuni cheie: NIS2, Legea securității cibernetice (Cbw), entitate esențială și entitate importantă, sector, dimensiune, obligație de diligență, obligație de notificare (24 de ore, 72 de ore, 1 lună), obligație de înregistrare, lanț de furnizori, autoevaluarea autorității competente
De la directivă europeană la lege națională
NIS2 este o directivă europeană din 2022 (Directiva (UE) 2022/2555) menită să crească reziliența digitală a organizațiilor importante din întreaga UE. O directivă nu se aplică direct: fiecare țară o transpune într-o lege proprie. În Țările de Jos aceasta este Legea securității cibernetice (Cbw). Ea este în vigoare din 15 august 2026, simultan cu legea privind reziliența entităților critice și cu decretul privind securitatea cibernetică, în care regulile sunt detaliate suplimentar. Vechea lege privind securitatea rețelelor și sistemelor informatice (Wbni) a fost abrogată. Nu există o perioadă de tranziție: cine intră sub incidența ei trebuie să se conformeze de îndată.
Potrivit NCSC-ului olandez, peste 8.000 de organizații intră sub incidența acestei legi. Este o mică parte din toate întreprinderile din Țările de Jos. Pentru majoritatea întreprinderilor mici, întrebarea importantă nu este, așadar, "ce trebuie să fac eu pentru această lege?", ci "ce îmi vor cere clienții mei pentru că ei intră sub incidența ei?". Revenim la acest aspect mai jos.
NCSC-ul olandez este punctul de contact pentru Cbw, iar din 1 ianuarie 2026 și pentru IMM-uri: fostul Digital Trust Center face acum parte din NCSC.
Intrați dumneavoastră sub incidența ei? Sector și dimensiune
Dacă o organizație intră sub incidența Cbw depinde de două întrebări.
1. Activați într-un sector menționat în lege? Legea are două anexe.
| Anexa 1 (11 sectoare) | Anexa 2 (7 sectoare) |
|---|---|
| energie, transport, sector bancar, apă potabilă, infrastructură digitală, gestionarea serviciilor TIC, spațiu cosmic, infrastructura piețelor financiare, sănătate, ape uzate, administrație publică | furnizori digitali, servicii poștale și de curierat, gestionarea deșeurilor, produse alimentare, substanțe chimice, cercetare, fabricație (industrie prelucrătoare) |
Pentru unele sectoare se aplică condiții suplimentare stabilite de ministerul responsabil. Nu orice organizație care are ceva de-a face cu "produsele alimentare" intră, așadar, automat sub incidența legii.
2. Sunteți suficient de mare? Organizația dumneavoastră este luată în calcul dacă:
- aveți 50 sau mai mulți angajați (normă întreagă), sau
- aveți mai puțin de 50 de angajați, dar cifra de afaceri anuală și totalul bilanțului sunt amândouă peste 10 milioane de euro.
Întreprinderile partenere și cele afiliate sunt luate în calcul. O companie cu 20 de angajați care face parte dintr-un grup de 200 poate, așadar, să intre totuși sub incidența legii.
Excepții: indiferent de dimensiune. Câteva tipuri de organizații intră întotdeauna sub incidența legii, oricât de mici ar fi: furnizorii de servicii DNS, registrele domeniilor de nivel superior, furnizorii de rețele și servicii publice de comunicații electronice, prestatorii de servicii de încredere și organizațiile guvernamentale. De asemenea, furnizorii de servicii de înregistrare a numelor de domenii trebuie să se înregistreze.
Esențial sau important
Organizațiile care intră sub incidența legii sunt entități esențiale sau entități importante. În linii mari: organizațiile mari din sectoarele anexei 1 și câteva tipuri desemnate indiferent de dimensiune sunt esențiale; restul sunt importante. Diferența constă în principal în supraveghere: la entitățile esențiale, autoritatea de supraveghere poate controla și din proprie inițiativă, de exemplu prin inspecții și audituri; la entitățile importante, aceasta intervine mai ales ulterior, când există indicii că ceva nu este în regulă. Obligațiile în sine sunt în mare parte identice. Dacă sunteți esențial sau important determinați cu autoevaluarea de mai jos.
Verificați dumneavoastră înșivă
Autoritatea competentă pentru infrastructura digitală are o autoevaluare NIS2 gratuită la https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Răspundeți la o serie de întrebări despre sector, dimensiune și servicii și primiți un rezultat. Dacă aveți îndoieli, de exemplu pentru că întreprinderea dumneavoastră face parte dintr-un grup sau operează în mai multe țări, NCSC-ul olandez are un ghid pentru modele de afaceri complexe.
Ce cere legea
Dacă organizația dumneavoastră intră sub incidența ei, se aplică trei obligații.
Obligația de înregistrare
Vă înregistrați organizația în registrul entităților prin intermediul MijnNCSC (înregistrarea la autoritatea națională de securitate cibernetică). Astfel, statul știe cine intră sub incidența legii și vă poate contacta în cazul unei amenințări.
Obligația de diligență
Realizați o analiză de risc și, pe baza acesteia, luați măsuri adecvate și proporționale pentru securitatea sistemelor dumneavoastră de rețea și informatice. NCSC-ul olandez menționează cel puțin zece teme, pe care le-ați întâlnit pe toate în această cursă:
- analiza de risc (lecția 1.1 și 9.3);
- gestionarea incidentelor cu un plan de incident (lecția 8.1);
- pregătirea pentru întreruperi: copii de siguranță, planuri de recuperare, gestionarea crizelor (modulul 6);
- securitatea lanțului de aprovizionare, inclusiv riscurile legate de furnizori (lecția 7.2);
- igienă cibernetică și instruire (lecția 9.2);
- achiziționarea, dezvoltarea și întreținerea sigură a sistemelor, inclusiv actualizările (lecția 5.1);
- personal, politică de acces și gestionarea echipamentelor și software-ului (lecția 7.1);
- passkey-uri sau autentificare multifactor și comunicare securizată (modulul 2);
- o politică privind criptografia (criptarea);
- evaluarea eficacității măsurilor, de exemplu prin testare periodică (lecția 6.3 și 9.3).
Conducerea este responsabilă: aceasta aprobă măsurile și supraveghează implementarea lor. Potrivit directivei europene, conducătorii trebuie, de asemenea, să urmeze o instruire privind riscurile cibernetice. Securitatea cibernetică nu mai este, așadar, o sarcină pe care o delegați pur și simplu către „omul de IT”.
Obligația de notificare
Un incident semnificativ se raportează la NCSC-ul olandez, prin MijnNCSC. Este vorba despre un incident care perturbă grav furnizarea serviciilor dumneavoastră, provoacă pagube financiare sau poate cauza pagube majore altora; pragurile exacte diferă în funcție de sector. Termenele curg din momentul în care luați cunoștință de incident:
| Termen | Ce trimiteți |
|---|---|
| În termen de 24 de ore | Avertizare timpurie: este probabil intenționat rău, există consecințe transfrontaliere, cine este persoana de contact |
| În termen de 72 de ore | Notificare de incident: o actualizare cu o primă evaluare a gravității și a impactului |
| În termen de 1 lună de la notificare | Raport final: ce s-a întâmplat, cauza și măsurile luate (dacă incidentul durează mai mult: un raport de progres) |
O singură notificare prin MijnNCSC ajunge atât la CSIRT (echipa care ajută la gestionarea incidentului), cât și la autoritatea de supraveghere. În plus, potrivit directivei, trebuie să informați, dacă este necesar, beneficiarii serviciilor dumneavoastră despre incidentele semnificative care îi pot afecta.
Notificarea conform Cbw și notificarea conform GDPR: două lucruri diferite
Aceasta seamănă cu obligația de notificare a încălcărilor de securitate a datelor din GDPR (lecția 8.2), iar termenul de „72 de ore” apare în ambele. Totuși, sunt două obligații separate.
| Legea securității cibernetice | GDPR (încălcare a securității datelor) | |
|---|---|---|
| Pentru cine | Organizațiile care intră sub incidența Cbw | Oricine prelucrează date cu caracter personal, inclusiv un liber profesionist |
| Despre ce | Incidente semnificative legate de furnizarea serviciilor dumneavoastră | Încălcări ale securității datelor cu caracter personal |
| Către cine | NCSC-ul olandez prin MijnNCSC | Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) |
| Termene | 24 de ore, 72 de ore, 1 lună | Fără întârzieri nejustificate, dacă este posibil în termen de 72 de ore |
Un atac de tip ransomware la o organizație supusă Cbw în care au fost furate și date ale clienților trebuie, așadar, raportat la ambele autorități. Iar o întreprindere mică ce nu intră sub incidența Cbw are totuși obligația de notificare conform GDPR dacă se scurg date cu caracter personal.
Dacă nu intrați sub incidența ei: lanțul de furnizori
Pentru majoritatea cititorilor acestei cursuri, răspunsul la prima întrebare este: nu, întreprinderea mea nu intră sub incidența Cbw. Brutăria cu doisprezece angajați, biroul contabil cu cinci, dezvoltatorul de site-uri web pe cont propriu. Atunci nu aveți obligații legale conform Cbw: fără înregistrare, fără obligație de notificare către NCSC-ul olandez, fără supraveghere.
Dar legea vă poate ajunge totuși prin intermediul clienților dumneavoastră. Organizațiile supuse Cbw trebuie să își securizeze lanțul de aprovizionare: trebuie să țină cont de vulnerabilitățile furnizorilor și prestatorilor de servicii lor direcți. NCSC-ul olandez precizează că legea nu impune obligații furnizorilor în sine, dar că organizațiile supuse Cbw pot totuși impune cerințe privind securitatea digitală a furnizorilor lor. Aceste cerințe ajung apoi în contractul dumneavoastră sau într-un chestionar.
Un exemplu. O mică firmă IT cu șase angajați administrează laptopurile și rețeaua unei companii de transport mijlocii cu 140 de angajați. Compania de transport intră sub incidența Cbw (transport, suficient de mare). Firma IT în sine nu: „gestionarea serviciilor TIC” figurează, ce-i drept, în anexa 1, dar firma este prea mică. Totuși, primește un chestionar: aveți autentificare în doi pași pe instrumentele de administrare, cine are acces la sistemele noastre, cât de repede raportați un incident către noi, unde se află copiile de siguranță?
Ce spune NCSC-ul olandez despre acest subiect și ce înseamnă pentru dumneavoastră:
- Cerințele trebuie să fie adecvate. Un client trebuie să analizeze riscul pe care serviciul dumneavoastră îl reprezintă pentru el. Un furnizor cu acces la sisteme primește cerințe mai stricte decât brutarul care livrează prânzul.
- Este vorba despre furnizorii direcți. Furnizorii furnizorilor dumneavoastră nu intră sub incidența legii.
- Un certificat nu este obligatoriu. Cbw nu prescrie o etichetă de calitate. Un certificat poate facilita discuția, dar nu este o garanție și nici o cerință legală.
- Începeți discuția din timp. Faceți un inventar al măsurilor pe care le aveți deja în punctele de contact cu clientul și consemnați în scris acordurile.
Nu exagerați, așadar. Cbw nu transformă o întreprindere mică într-o organizație „supusă NIS2”, iar un consultant care vă spune asta pentru a vă vinde o certificare costisitoare vă spune doar o parte din poveste. Dar nici nu subestimați: cine furnizează unor organizații mai mari trebuie să poată demonstra din ce în ce mai des că bazele sunt în ordine. Măsurile de bază din această cursă sunt exact ceea ce cere, de obicei, un astfel de chestionar.
Această lecție oferă explicații generale și nu constituie consiliere juridică. Pentru regulile actuale privind Țările de Jos, consultați https://www.ncsc.nl/cyberbeveiligingswet-nis2 și textul legii la https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. Pentru situația din România, consultați transpunerea națională a directivei NIS2, OUG nr. 155/2024, aprobată prin Legea nr. 124/2025.
Rezumat
- Legea securității cibernetice este transpunerea olandeză a NIS2 și este în vigoare în Țările de Jos din 15 august 2026, fără perioadă de tranziție; în România, transpunerea NIS2 este OUG nr. 155/2024, în vigoare din 31 decembrie 2024.
- Intrați sub incidența ei dacă activați într-un sector din anexa 1 sau 2 și aveți 50 sau mai mulți angajați, sau cifra de afaceri anuală și totalul bilanțului peste 10 milioane de euro amândouă; unele tipuri (precum furnizorii de servicii DNS și administrația publică) indiferent de dimensiune.
- Obligații: înregistrare prin MijnNCSC, obligație de diligență cu analiză de risc și măsuri adecvate sub responsabilitatea conducerii, și notificarea incidentelor semnificative în 24 de ore, 72 de ore și 1 lună.
- Notificarea conform Cbw către NCSC-ul olandez este separată de notificarea încălcărilor de securitate a datelor conform GDPR către autoritatea de supraveghere a protecției datelor; uneori sunt necesare ambele.
- O întreprindere mică de obicei nu intră ea însăși sub incidența legii, dar poate primi, prin clienți care intră sub incidența ei, cerințe de securitate adecvate.
Test (quiz)
Exercițiu
Exercițiul A9.1: Intră sub incidența transpunerii NIS2? Primiți șase descrieri scurte ale unor organizații (sector, număr de angajați, cifră de afaceri, total al bilanțului, eventual un grup sau un client important). Stabiliți pentru fiecare organizație: intră sub incidența ei, nu intră sub incidența ei dar primește probabil cerințe prin intermediul unui client, sau nu intră sub incidența ei. Programul verifică și afișează, pentru fiecare organizație, pașii arborelui decizional.
Lecturi suplimentare
Despre Legea securității cibernetice din Țările de Jos nu există încă un articol în baza de cunoștințe a WebOké; folosiți sursele oficiale.
- NCSC-ul olandez, Legea securității cibernetice (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- NCSC-ul olandez, Intră organizația mea sub incidența Legii securității cibernetice (NIS2)?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- NCSC-ul olandez, Obligația de diligență: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- NCSC-ul olandez, Obligația de notificare: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- NCSC-ul olandez, Legea securității cibernetice și furnizorii: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Autoritatea competentă pentru infrastructura digitală, autoevaluarea NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Textul legii privind securitatea cibernetică (Țările de Jos): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0