NIS2 în fabrici

Directiva NIS2 extinde obligațiile de securitate cibernetică de la operatorii de energie, transport și telecom la o parte mare din industria prelucrătoare. În România, termenul inițial de înregistrare la DNSC a trecut în septembrie 2025, iar firmele de producție care intră în aria de aplicare și nu s-au notificat sunt deja în întârziere.

Cadrul legal

La nivel european, textul de bază este Directiva (UE) 2022/2555, numită NIS2. În România a fost transpusă prin OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024. Parlamentul a aprobat-o cu modificări prin Legea nr. 124/2025, publicată în Monitorul Oficial nr. 638 din 7 iulie 2025.

Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC). Pe 20 august 2025, în Monitorul Oficial nr. 776, au apărut primele două ordine de aplicare: Ordinul nr. 1/2025, despre notificarea în vederea înregistrării, și Ordinul nr. 2/2025, cu criteriile de evaluare a perturbării serviciilor și metodologia de evaluare a nivelului de risc al entităților.

Ce fabrici intră

Directiva are două anexe. Anexa I cuprinde sectoarele cu grad ridicat de criticitate, Anexa II alte sectoare critice. Producția industrială stă mai ales în Anexa II, care include:

• fabricarea de dispozitive medicale și dispozitive medicale pentru diagnostic in vitro
• fabricarea de calculatoare și produse electronice și optice (NACE Rev. 2, diviziunea 26)
• fabricarea de echipamente electrice (diviziunea 27)
• fabricarea de mașini, utilaje și echipamente n.c.a. (diviziunea 28)
• fabricarea de autovehicule, remorci și semiremorci (diviziunea 29)
• fabricarea altor mijloace de transport (diviziunea 30)
• fabricarea și distribuția de substanțe chimice
• producția, prelucrarea și distribuția de alimente, pentru firmele implicate în distribuția angro și în producția și prelucrarea industrială

Cine fabrică produse farmaceutice de bază și preparate farmaceutice (diviziunea 21) se află în Anexa I, la sectorul sănătății. Legea 124/2025 a completat în această anexă și distribuția de medicamente.

Al doilea filtru este mărimea. Directiva se aplică întreprinderilor care se încadrează cel puțin la categoria „mijlocii” după Recomandarea 2003/361/CE, adică, în linii mari, cu cel puțin 50 de angajați sau cu cifra de afaceri anuală și totalul bilanțului peste 10 milioane de euro. Pragurile exacte, inclusiv regulile pentru întreprinderi legate și partenere, sunt în recomandare. Dacă faci parte dintr-un grup, numără la nivelul la care cere recomandarea, nu doar firma din România.

Să zicem că un furnizor auto are 60 de angajați și produce echipamente electrice pentru autovehicule. Activitatea ține de diviziunea 29, mărimea depășește pragul, deci firma e în aria de aplicare, chiar dacă nu se consideră „infrastructură critică”. Verifică după activitatea efectivă, nu doar după codul CAEN principal.

Esențiale și importante

Entitățile din Anexa I care depășesc pragul de întreprindere mijlocie sunt, ca regulă, esențiale. Entitățile din Anexa II sunt, ca regulă, importante. Statul poate însă identifica drept esențială și o entitate din Anexa II, de exemplu dacă este unicul furnizor al unui serviciu. Încadrarea finală o dă decizia DNSC de înscriere în registru.

Diferența contează la supraveghere și la amenzi. Conform OUG 155/2024 modificată prin Legea 124/2025, amenzile maxime pentru categoria cea mai gravă de contravenții ajung la 7 milioane de euro sau 1,4% din cifra de afaceri anuală la nivel mondial pentru entitățile importante și la 10 milioane de euro sau 2% pentru cele esențiale, valoarea mai mare dintre ele. Pentru alte contravenții, inclusiv cele legate de notificarea incidentelor, plafoanele sunt de 300.000 de lei pentru entitățile importante și 500.000 de lei pentru cele esențiale.

Înregistrarea la DNSC

Ordinul 1/2025 a stabilit un termen de 30 de zile de la intrarea în vigoare pentru notificare, iar acel termen a expirat în septembrie 2025. Obligația nu a dispărut: o firmă care intră în aria de aplicare și nu s-a notificat trebuie să o facă acum, prin instrumentele publicate pe dnsc.ro. După decizia de înscriere urmează evaluarea nivelului de risc după metodologia din Ordinul 2/2025, cu termene care curg de la comunicarea deciziei.

Tot de la data comunicării deciziei, conducerea are 30 de zile să desemneze responsabilii cu securitatea rețelelor și sistemelor informatice (art. 14 alin. (3) din OUG, în forma din Legea 124/2025).

Raportarea incidentelor

Pentru un incident semnificativ, directiva cere trei pași:

• avertizare timpurie în cel mult 24 de ore de la momentul în care afli de incident
• notificarea incidentului în cel mult 72 de ore
• raport final în cel mult o lună de la notificare

În fabrică, asta înseamnă că trebuie să știi dinainte cine decide că un incident e semnificativ, cine trimite notificarea și ce informații ai deja la îndemână. Un ransomware care oprește serverul de rețete sau sistemul SCADA vineri seara nu e momentul în care cauți procedura.

Conducerea răspunde

Directiva cere ca organele de conducere să aprobe măsurile de gestionare a riscurilor, să supravegheze punerea lor în aplicare și să poată fi trase la răspundere. În România, Legea 124/2025 precizează că membrii organelor de conducere urmează cursuri de formare profesională acreditate și că adunarea generală a acționarilor și consiliul de administrație nu sunt organe de conducere în sensul ordonanței. Aprobarea și supravegherea măsurilor țin deci de conducerea executivă, nu doar de departamentul IT.

Lanțul de aprovizionare

Lista minimă de măsuri din articolul 21 al directivei include securitatea lanțului de aprovizionare, adică relația cu furnizorii direcți și prestatorii de servicii. Entitatea trebuie să țină cont de vulnerabilitățile fiecărui furnizor și de practicile lor de dezvoltare securizată.

Efectul se vede în ambele direcții. Dacă ești în aria de aplicare, vei pune întrebări furnizorilor tăi. Dacă nu ești, dar livrezi către cineva care este, vei primi chestionare și clauze noi în contracte.

Ce înseamnă pentru OT

Directiva vorbește despre „rețele și sisteme informatice”, fără să excludă producția. În practică, rețeaua de automatizare intră în evaluarea de risc la fel ca serverele de birou. Câteva puncte de verificat acum:

• un inventar al echipamentelor din rețeaua de producție: PLC-uri, HMI-uri, PC-uri industriale, switch-uri, cu versiunile de firmware și sistem de operare
• separarea dintre rețeaua de birou și cea de producție, cu reguli de firewall documentate
• accesul la distanță al furnizorilor de mașini: cine are cont, prin ce canal, cu ce autentificare, și cine aprobă fiecare sesiune
• routerele sau modemurile 4G montate de furnizori în tablourile electrice, care ocolesc firewall-ul fabricii
• backup-uri pentru programele PLC și configurațiile HMI, testate prin restaurare
• autentificare multifactor pentru accesul la distanță, pe care directiva o menționează explicit printre măsuri

Accesul la distanță pentru service merită verificat primul. Un router adus de furnizor odată cu mașina și configurat la punerea în funcțiune rămâne adesea în afara inventarului IT, deci și în afara evaluării de risc.

Ce e încă neclar

Cadrul secundar e încă în mișcare. După ordinele din august 2025, DNSC a emis și alte acte, între care norme din noiembrie 2025 privind supravegherea și controlul, iar textele lor se citesc direct pe legislatie.just.ro. Termenele precise pentru evaluarea riscului, autoevaluarea măsurilor și planul de remediere se iau din ordinele DNSC în vigoare și din decizia primită de fiecare entitate, nu din rezumate.

Dacă nu ești sigur că firma ta intră sub NIS2, primul pas practic e să compari activitățile efective și cifrele de mărime cu Anexele 1 și 2 din OUG 155/2024 și, la nevoie, să ceri un punct de vedere DNSC.

Pentru întrebări și experiențe concrete cu înregistrarea sau cu accesul furnizorilor la mașini, discutăm în grupul de WhatsApp „Digitalizare & Industry 4.0”.