De Tom Meevis, avocat la Law & More
Securitatea cibernetică nu mai este o chestiune pur tehnică. Este, de asemenea, o problemă juridică și de guvernanță care afectează practic fiecare organizație, indiferent de dimensiune.
Odată cu Directiva europeană NIS2 și Legea olandeză privind securitatea cibernetică, responsabilitatea pentru reziliența digitală se transferă ferm către consiliul de administrație. Legea olandeză privind securitatea cibernetică intră în vigoare la 15 august 2026. Prin urmare, proprietarii de afaceri, directorii și ofițerii de conformitate trebuie să stabilească rapid:
- dacă organizația lor se încadrează în domeniul de aplicare al noilor reguli;
- ce obligații decurg din acestea;
- ce măsuri sunt necesare;
- și cum poate organizația să își îndeplinească aceste obligații.
Acest articol prezintă principalele elemente ale NIS2 și ale Legii olandeze privind securitatea cibernetică: domeniul de aplicare, obligația de diligență, obligația de notificare, responsabilitatea consiliului de administrație, aplicarea legii și măsurile pe care organizațiile le pot lua acum.
Ce este NIS2?
NIS2 este denumirea oficială a Directivei (UE) 2022/2555. Aceasta succede primei directive europene privind securitatea rețelelor și a informațiilor, denumită în general NIS1.
Statele membre au fost obligate să transpună NIS2 în legislația națională până la 17 octombrie 2024. Începând cu 18 octombrie 2024, NIS2 a înlocuit oficial directiva anterioară.
Scopul său este de a crește și de a alinia mai bine nivelul de reziliență cibernetică în cadrul Uniunii Europene. Aceasta se desfășoară pe două direcții principale. În primul rând, un domeniu de aplicare mai larg: mult mai multe organizații intră sub incidența regulilor decât în cadrul NIS1. În al doilea rând, o supraveghere mai strictă și o aplicare mai strictă a legii, cu un set de instrumente mai amplu și responsabilități mai clare pentru directori.
În timp ce NIS1 făcea distincție între operatorii de servicii esențiale și furnizorii de servicii digitale, NIS2 se ocupă de entitățile esențiale și entitățile importante. Această distincție nu este doar terminologică: printre altele, ea determină intensitatea supravegherii și nivelul potențialelor amenzi.
Ce organizații se încadrează în NIS2?
NIS2 se aplică organizațiilor active în optsprezece sectoare desemnate, împărțite în sectoare cu caracter critic ridicat și alte sectoare critice.
Sectoarele cu o importanță critică ridicată includ energia, transporturile, sectorul bancar, infrastructura pieței financiare, asistența medicală, apa potabilă și apele uzate, infrastructura digitală, managementul serviciilor TIC pentru utilizatorii comerciali, administrația publică și spațiul.
Celelalte sectoare critice includ serviciile poștale și de curierat, gestionarea deșeurilor, produsele chimice, alimentele, industria prelucrătoare, furnizorii de servicii digitale și institutele de cercetare.
Pragul de dimensiune
În aceste sectoare, regula principală este că o organizație se încadrează în NIS2 dacă se califică drept întreprindere mijlocie sau mare. Criteriile sunt cel puțin 50 de angajați sau o cifră de afaceri anuală sau un bilanț total care depășește 10 milioane EUR.
Există excepții de la această regulă principală. Anumite organizații intră în domeniul de aplicare, indiferent de dimensiune, deoarece serviciile lor sunt considerate deosebit de importante:
- furnizorii de rețele și servicii publice de comunicații electronice;
- furnizorii de servicii de încredere;
- furnizori de servicii de înregistrare a numelor de domeniu;
- registre de nume de domenii de nivel superior;
- organisme din sectorul public.
Începând cu 15 august 2026, noile obligații se aplică la peste 8,000 de organizații din Țările de Jos. Aceasta reprezintă o creștere considerabilă în comparație cu numărul acoperit de actuala Lege privind securitatea rețelelor și sistemelor informatice.
Prin urmare, organizațiile care anterior nu se considerau parte a unui sector critic ar putea fi incluse, inclusiv producătorii de dimensiuni medii, producătorii de alimente, instituțiile de cercetare și furnizorii de servicii digitale. Este important de menționat că organizațiile sunt responsabile pentru evaluarea faptului dacă se încadrează în domeniul de aplicare. Nu va primi nicio scrisoare de la un supervizor care să le informeze în acest sens.
Obligația de diligență: ce măsuri sunt necesare?
Esența NIS2 și a Legii olandeze privind securitatea cibernetică este obligația de diligență. Entitățile esențiale și importante trebuie să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa rețelelor și sistemelor lor informatice.
Regulile identifică subiectele pe care politica trebuie să le abordeze în orice caz:
- analiza riscurilor și politica de securitate a informațiilor;
- gestionarea incidentelor;
- continuitatea afacerii, gestionarea copiilor de rezervă și recuperarea în caz de dezastru;
- securitatea lanțului de aprovizionare;
- igiena cibernetică și instruirea personalului;
- politica de gestionare a vulnerabilităților;
- autentificare multi-factor;
- comunicații securizate;
- criptografie;
- evaluarea periodică a eficacității măsurilor.
Măsurile trebuie să fie proporționale cu dimensiunea organizației și cu riscurile la care aceasta este expusă efectiv. Prin urmare, o entitate importantă mai mică nu trebuie să ia aceleași măsuri ca o entitate esențială mare dintr-un sector cu risc ridicat.
Aceasta nu face ca obligația de diligență să fie opțională. Organizațiile trebuie să fie capabile să justifice ce riscuri au identificat, ce măsuri au luat și de ce aceste măsuri sunt adecvate. Nu numai măsurile în sine, ci și modul în care acestea sunt ponderate, înregistrate și evaluate periodic sunt supuse supravegherii.
Obligația de notificare după un incident
Pe lângă obligația de diligență, NIS2 impune o obligație de notificare etapizată pentru incidentele semnificative. În cazul în care un incident are sau poate avea un impact substanțial asupra continuității serviciilor, se aplică, în termeni generali, următoarele termene limită:
- în termen de 24 de ore, o avertizare timpurie către echipa națională de răspuns la incidente de securitate informatică sau către autoritatea competentă;
- în termen de 72 de ore, o notificare oficială cu o evaluare inițială a gravității și impactului;
- în termen de cel mult o lună, un raport final care descrie incidentul, cauza probabilă a acestuia, măsurile luate și orice efecte transfrontaliere.
Aceste termene limită fac necesară stabilirea unor proceduri clare în avans. Organizația trebuie să știe când un incident este notificabil, cine este autorizat să notifice, ce informații trebuie să fie disponibile, cine coordonează și cum sunt informați consiliul de administrație și supraveghetorul.
O organizație care încearcă doar să instituie un proces de notificare în timpul unui incident își asumă un risc considerabil de a nu putea raporta la timp sau integral.
Responsabilitatea consiliului de administrație
Un element important al NIS2 este că responsabilitatea pentru gestionarea riscurilor cibernetice revine în mod expres consiliului de administrație. Consiliul trebuie să aprobe măsurile de securitate, să supravegheze implementarea acestora, să fie capabil să evalueze riscurile cibernetice ale organizației și să participe la o instruire suficientă.
Prin urmare, securitatea cibernetică nu mai poate fi tratată doar ca responsabilitate a departamentului IT. Este o temă de guvernanță care trebuie să facă parte din procesul decizional regulat și din gestionarea riscurilor.
Directiva abordează, de asemenea, în mod expres răspunderea personală a conducerii superioare în cazul în care organizația nu se conformează. Implicarea consiliului de administrație trebuie înregistrată în mod corespunzător, de exemplu prin documentarea instruirii efectuate, a deciziilor consiliului de administrație, a politicii aprobate, a evaluărilor riscurilor, a raportării și a supravegherii implementării.
Implementarea olandeză
Implementarea NIS2 în Olanda a fost întârziată substanțial. Termenul limită de transpunere din 17 octombrie 2024 nu a fost respectat.
La 8 iulie 2026, Comisia Europeană a decis să trimită Țările de Jos, împreună cu Irlanda, Spania și Franța, în fața Curții de Justiție a Uniunii Europene pentru nenotificarea măsurilor de transpunere. Țările de Jos s-au numărat astfel printre cele patru țări în urmă ale Uniunii Europene.
Momentul este izbitor. Cu o zi mai devreme, pe 7 iulie 2026, Senatul aprobase Legea privind securitatea cibernetică și Legea privind reziliența entităților critice. Rămâne de văzut dacă faptul că legea a fost adoptată înainte de trimiterea sesizării afectează rezultatul procedurii; acest lucru va fi decis de Curte.
Ambele legi intră în vigoare la 15 august 2026. Legea privind securitatea cibernetică implementează Directiva NIS2; Legea privind reziliența entităților critice implementează Directiva europeană CER, care vizează reziliența infrastructurilor critice. Organizațiile care intră sub incidența acesteia din urmă vor fi desemnate oficial ca entități critice începând cu 15 august 2026.
La intrarea în vigoare, actuala Lege privind securitatea rețelelor și sistemelor informatice (Wbni) expiră. Pentru organizațiile care intră deja sub incidența acesteia, aceasta înseamnă obligații mai stricte; pentru organizațiile care intră în domeniul de aplicare pentru prima dată, un regim complet nou.
Înregistrarea la NCSC
O nouă obligație importantă este înregistrarea la Centrul Național de Securitate Cibernetică. Entitățile esențiale și importante trebuie înscrise în registrul național al entităților. Această înregistrare este obligatorie începând cu 15 august 2026 și se desfășoară prin intermediul portalului MijnNCSC, utilizând eHerkenning pentru organizațiile obișnuite și SSOnRijk pentru organismele din sectorul public. Modificările datelor înregistrate trebuie raportate în termen de paisprezece zile.
Înregistrarea nu este doar o formalitate administrativă. Odată înregistrate, organizațiile se pot conecta la serviciile CSIRT-ului lor, care oferă produse și servicii pentru creșterea rezilienței, precum și asistență în caz de incident. Pregătiți înregistrarea din timp, astfel încât implementarea să nu înceapă abia după intrarea în vigoare.
Supraveghere și aplicare
Legea privind securitatea cibernetică prevede un regim de supraveghere diferențiat. Entitățile esențiale sunt supuse unei supravegheri proactive: supraveghetorul poate verifica în mod continuu și din proprie inițiativă, fără niciun incident sau semnal specific. Entitățile importante sunt supuse unei supravegheri reactive, în care supraveghetorul acționează, în principiu, ca răspuns la un incident, o reclamație sau un alt semnal concret.
Supravegherea este împărțită între mai multe autorități. Începând cu 15 august 2026, Autoritatea Olandeză pentru Infrastructură Digitală supraveghează organizațiile din nouă sectoare; alți supraveghetori sunt desemnați pentru alte sectoare. Stabiliți care supraveghetor este competent pentru organizația dumneavoastră.
Setul de instrumente pentru aplicarea legii este amplu și include:
- o scanare de securitate sau un audit de securitate;
- o instrucțiune obligatorie;
- un ordin administrativ de executare silită sau un ordin supus unei penalități cu titlu cominatoriu;
- publicarea unei încălcări;
- o amendă administrativă;
- pentru entitățile esențiale: suspendarea unei certificări, a unei autorizații sau a unui membru al consiliului de administrație.
Pentru entitățile esențiale, amenda maximă este de cel puțin 10 milioane EUR sau 2% din cifra de afaceri anuală mondială totală, oricare dintre acestea este mai mare. Pentru entitățile importante, amenda este de cel puțin 7 milioane EUR sau 1.4% din cifra de afaceri anuală mondială, din nou, oricare dintre acestea este mai mare. Nivelul final depinde de circumstanțele cazului, inclusiv de natura, gravitatea și durata încălcării, de gradul de culpabilitate și de măsurile luate.
Ce poate face organizația dumneavoastră acum?
- Efectuați o autoevaluare. Stabiliți dacă organizația este activă într-un sector desemnat și îndeplinește pragul de dimensiune.
- Determinați categoria corectă. Stabiliți dacă organizația se califică drept entitate esențială sau importantă și care supervizor este competent.
- Pregătiți înregistrarea. Colectați datele necesare pentru înregistrarea la NCSC prin intermediul MijnNCSC.
- Testați măsurile de diligență. Evaluați măsurile existente privind analiza riscurilor, răspunsul la incidente, continuitatea afacerii, securitatea lanțului de aprovizionare, igiena cibernetică, vulnerabilitățile, autentificarea multi-factor și criptografia.
- Configurați procesul de notificare. Înregistrați cine evaluează dacă un incident este notificabil, cine notifică și cum sunt respectate termenele limită de 24 de ore, 72 de ore și o lună.
- Implicați consiliul de administrație în mod demonstrabil. Înregistrați deciziile luate de consiliu, ce instruire a fost efectuată și modul în care se exercită supravegherea implementării.
- Includeți lanțul de aprovizionare. O mare parte din vulnerabilități nu apar în cadrul organizației în sine, ci la furnizori și prestatori de servicii. Revizuiți-vă contractele privind măsurile de securitate, obligațiile de notificare și drepturile de audit.
În încheiere
Legea privind securitatea cibernetică și Legea privind reziliența entităților critice reprezintă o înăsprire considerabilă a obligațiilor de securitate cibernetică. Un domeniu de aplicare mai larg, măsuri concrete de diligență, termene limită stricte de notificare, responsabilitatea personală a directorilor și un set substanțial de instrumente de aplicare a legii înseamnă că organizațiile nu pot lăsa deoparte acest subiect. Odată cu intrarea în vigoare la 15 august 2026, timpul de pregătire este scurt.
Law & More asistă companiile, directorii și ofițerii de conformitate în determinarea poziției lor în conformitate cu NIS2 și Legea olandeză privind securitatea cibernetică, în stabilirea și testarea măsurilor de diligență, în pregătirea înregistrării la NCSC și în integrarea legală a politicii de securitate cibernetică.
Doriți să fie evaluată poziția organizației dumneavoastră în conformitate cu noile reguli? Vă rugăm să ne contactați pentru o discuție fără obligații.
Întrebări frecvente
Mai jos răspundem la întrebările care ne sunt adresate cel mai des pe această temă.
Când intră în vigoare Legea olandeză privind securitatea cibernetică?
Pe 15 august 2026, Senatul a aprobat Legea privind securitatea cibernetică și Legea privind reziliența entităților critice pe 7 iulie 2026. La intrarea în vigoare, actuala Lege privind securitatea rețelelor și sistemelor informatice (Wbni) expiră.
Organizația mea se încadrează în NIS2?
Aceasta depinde de sectorul și de dimensiunea dumneavoastră. NIS2 acoperă optsprezece sectoare desemnate și, în cadrul acestor sectoare, ca regulă generală, organizațiile cu cel puțin 50 de angajați sau o cifră de afaceri anuală sau un bilanț total care depășește 10 milioane EUR. Anumite părți sunt acoperite indiferent de dimensiune.
Voi fi notificat dacă organizația mea se încadrează în domeniul de aplicare?
Nu. Organizațiile sunt responsabile pentru evaluarea faptului dacă se încadrează în Legea privind securitatea cibernetică. Așteptarea riscă să impună obligații care să se aplice înainte de efectuarea evaluării.
Care este diferența dintre o entitate esențială și una importantă?
Aceasta determină intensitatea supravegherii și nivelul potențialelor amenzi. Entitățile esențiale sunt supuse supravegherii proactive, în cadrul căreia supraveghetorul poate verifica din proprie inițiativă. Entitățile importante sunt supuse supravegherii reactive, determinate de un incident, o reclamație sau alt semnal.
Ce implică obligația de diligență?
Luarea unor măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa rețelei și sistemelor informatice, acoperind aspecte precum analiza riscurilor, gestionarea incidentelor, continuitatea afacerii, securitatea lanțului de aprovizionare, igiena cibernetică, vulnerabilitățile, autentificarea multi-factor și criptografia. Trebuie să puteți justifica de ce măsurile alese sunt adecvate.
Ce termene limită de notificare se aplică după un incident?
O avertizare timpurie în termen de 24 de ore, o notificare oficială în termen de 72 de ore cu o evaluare inițială a gravității și impactului și un raport final în termen de cel mult o lună. Stabiliți procesul de notificare în avans.
Trebuie să mă înregistrez organizația mea?
Da. Înregistrarea în registrul național al entităților este obligatorie începând cu 15 august 2026 și se desfășoară prin intermediul MijnNCSC, utilizând eHerkenning sau, pentru organismele din sectorul public, SSOnRijk. Modificările trebuie raportate în termen de paisprezece zile. După înregistrare, vă puteți conecta la serviciile CSIRT-ului dumneavoastră.
Ce responsabilitate revine consiliului de administrație?
Consiliul de administrație trebuie să aprobe măsurile de securitate, să supravegheze implementarea acestora, să fie capabil să evalueze riscurile cibernetice și să participe la instruire. Directiva abordează răspunderea personală a conducerii superioare pentru nerespectarea reglementărilor, deci deciziile, instruirea și supravegherea trebuie înregistrate în mod demonstrabil.
Cât de mari sunt amenzile?
Pentru entitățile esențiale, cel puțin 10 milioane EUR sau 2% din cifra de afaceri anuală mondială; pentru entitățile importante, cel puțin 7 milioane EUR sau 1.4%, în fiecare caz, oricare dintre acestea este mai mare. Nivelul final depinde de factori precum natura, gravitatea și durata încălcării și gradul de culpabilitate.
Cine supraveghează conformitatea?
Aceasta variază în funcție de sector. Începând cu 15 august 2026, Autoritatea Olandeză pentru Infrastructură Digitală supraveghează organizațiile din nouă sectoare; alți supraveghetori sunt desemnați pentru alte sectoare. Stabiliți care supraveghetor este competent pentru organizația dumneavoastră.
De ce a fost sesizată Curtea de Justiție cu Olanda?
Pentru transpunerea cu întârziere a NIS2. La 8 iulie 2026, Comisia Europeană a decis să trimită Țările de Jos, împreună cu Irlanda, Spania și Franța, în fața Curții de Justiție pentru nenotificarea măsurilor de transpunere. Faptul că Legea privind securitatea cibernetică a fost adoptată cu o zi mai devreme nu încheie în sine aceste proceduri.
Se aplică acest lucru și furnizorilor mei?
Securitatea lanțului de aprovizionare este unul dintre subiectele care necesită atenție. O mare parte din vulnerabilități apar la furnizori și prestatori de servicii. Revizuiți-vă contractele privind aranjamentele de securitate, obligațiile de notificare și drepturile de audit.
