NIS2 și Legea privind securitatea cibernetică: ce vă cere?

Implementarea în Olanda a Directivei NIS2, Legea privind securitatea cibernetică ( Cyberbeveiligingswet , Cbw), este în vigoare de la 15 august 2026. Aceasta înlocuiește Legea anterioară privind securitatea rețelelor și sistemelor informatice ( Wet beveiliging netwerk-en informatiesystemen , Wbni) și se aplică organizațiilor desemnate drept entități esențiale sau importante în optsprezece sectoare, inclusiv energie, apă potabilă, infrastructură digitală, asistență medicală, transporturi, administrație publică, producție, deșeuri și servicii poștale. Aceasta ajunge la peste 8,000 de organizații din Olanda.

Trei obligații îl definesc. Prima este o obligație de diligență ( zorgplicht ): o entitate din domeniul de aplicare trebuie să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa rețelei și sistemelor sale informatice și pentru a limita consecințele incidentelor. A doua este o obligație de raportare ( meldplicht ): un incident semnificativ trebuie notificat echipei competente de răspuns la incidente de securitate informatică și supraveghetorului sectorial în termenele legale, începând cu o avertizare timpurie în termen de douăzeci și patru de ore, o notificare mai completă în termen de șaptezeci și două de ore și un raport final în termen de o lună. A treia este înregistrarea ( registratieplicht ) la Centrul Național de Securitate Cibernetică (NCSC).

Ceea ce distinge NIS2 de reglementările anterioare privind securitatea cibernetică este locul în care se află responsabilitatea. Organismele de conducere trebuie să aprobe măsurile de gestionare a riscurilor și să supravegheze implementarea acestora, pot fi trase la răspundere pentru defecțiuni și sunt obligate să urmeze cursuri de formare. Obligația de diligență se extinde și la lanțul de aprovizionare, ceea ce înseamnă că trebuie să fie pusă în aplicare prin contracte cu furnizorii și prestatorii de servicii.

Se aplică NIS2 organizației dumneavoastră?

NIS2 se aplică dacă organizația dumneavoastră operează într-unul dintre cele optsprezece sectoare enumerate și îndeplinește pragul de dimensiune sau dacă aparține unei categorii care este acoperită indiferent de dimensiune. Legea privind securitatea cibernetică se aplică din 15 august 2026 și nu există o perioadă generală de tranziție: obligațiile se aplică acum.

Olanda a implementat directiva mai târziu decât termenul limită european. Multe articole mai vechi încă se referă la „un termen limită din 2025”. Această dată nu mai este relevantă. Ceea ce contează este că normele olandeze sunt în vigoare și că autoritățile de supraveghere le pot aplica.

Ce sectoare și organizații sunt incluse în domeniul de aplicare?

Legea acoperă optsprezece sectoare, enumerate în două anexe. Prima anexă conține sectoare cu o importanță deosebită, cum ar fi energia, transporturile, sistemul bancar, infrastructura pieței financiare, asistența medicală, apa potabilă, apele uzate, infrastructura digitală, administrația publică și spațiul. A doua anexă conține alte sectoare critice, cum ar fi serviciile poștale și de curierat, gestionarea deșeurilor, produsele chimice, alimentele, industria prelucrătoare, furnizorii digitali și cercetarea.

În cadrul acestor sectoare, dimensiunea determină dacă sunteți acoperit(ă). Conform NCSC, organizația dumneavoastră se încadrează în domeniul de aplicare dacă îndeplinește cel puțin unul dintre aceste criterii:

• Personalare 50 sau mai multe angajați (în echivalent normă întreagă)
• Cifra de afaceri și bilanțul contabilare mai puțin de 50 de angajați, dar atât cifra de afaceri anuală, cât și bilanțul total depășesc 10 milioane de euro
• grupÎntreprinderile partenere și cele afiliate sunt incluse în aceste cifre, astfel încât o filială mică a unui grup mare poate fi totuși inclusă

Unele organizații sunt acoperite indiferent de dimensiunea lor. Printre acestea se numără furnizorii de servicii DNS, furnizorii de rețele sau servicii publice de comunicații electronice, furnizorii de servicii de încredere, registrele de nume de domenii de nivel superior și organizațiile guvernamentale.

În cadrul domeniului de aplicare, legea face distincție între entități esențiale și entități importante. De regulă, organizațiile mai mari din sectoarele cu criticitate ridicată sunt entități esențiale; altele sunt entități importante. Distincția este importantă pentru supraveghere și pentru amenda maximă. Autoritatea Olandeză pentru Infrastructură Digitală (RDI) oferă un instrument de autoevaluare (NIS2-Zelfevaluatie) pe regelhulpenvoorbedrijven.nl pentru a vă ajuta să vă stabiliți poziția. Dacă rezultatul este neclar, de exemplu din cauza unei structuri de grup sau a unor activități mixte, solicitați evaluarea acestuia și înregistrați justificarea.

Ce impune obligația de diligență?

Obligația de diligență impune măsuri adecvate și proporționale pentru a gestiona riscurile la adresa rețelei și sistemelor dumneavoastră informatice. „Proporțional” înseamnă că măsurile trebuie să fie adecvate dimensiunii dumneavoastră, expunerii dumneavoastră la risc și impactului posibil al unui incident asupra societății și economiei.

Directiva stabilește o bază minimă la articolul 21 alineatul (2) din Directiva NIS2. Pe scurt, măsurile dumneavoastră trebuie să acopere:

• Analiza riscurilorpolitici privind analiza riscurilor și securitatea sistemelor dumneavoastră informatice
• Gestionarea incidentelorproceduri pentru detectarea, gestionarea și recuperarea după incidente
• Continuitatecontinuitatea afacerii, copii de rezervă, recuperare și gestionarea crizelor
• Lanțul de aprovizionaresecuritate în relațiile dumneavoastră cu furnizorii și prestatorii de servicii
• Dezvoltare și întrețineresecuritate la achiziționarea, dezvoltarea și întreținerea sistemelor, inclusiv gestionarea vulnerabilităților
• Testareaproceduri pentru a evalua dacă măsurile dumneavoastră sunt eficiente
• Igienă și instruireinstruire de bază în domeniul igienei cibernetice și securității cibernetice pentru personal
• Criptografie și accesutilizarea criptării, a securității resurselor umane, a controlului accesului și a gestionării activelor, inclusiv autentificarea securizată

Legea nu prescrie un standard specific. Multe organizații utilizează un cadru de securitate a informațiilor existent pentru a-și structura măsurile. Ceea ce contează pentru un supraveghetor este dacă poate demonstra că măsurile sale se bazează pe o evaluare a riscurilor și funcționează cu adevărat.

Cum funcționează obligația de raportare și cum se aplică legea?

Un incident semnificativ trebuie raportat în trei etape: o avertizare timpurie în termen de 24 de ore, o notificare a incidentului în termen de 72 de ore și un raport final în termen de o lună. Raportați către echipa competentă de răspuns la incidente de securitate informatică (CSIRT) și către supervizorul sectorului dumneavoastră.

Avertismentul cu 24 de ore este scurt și nu trebuie să fie complet. Acesta semnalează în principal că se întâmplă ceva și dacă ar putea exista o intenție răuvoitoare sau efecte transfrontaliere. Notificarea cu 72 de ore înainte oferă o primă evaluare a gravității și impactului. Raportul final descrie cauza, măsurile luate și orice consecințe transfrontaliere.

Supravegherea este împărțită pe sectoare. În funcție de activitățile dumneavoastră, supervizorul dumneavoastră poate fi, de exemplu, Inspectoratul pentru Mediul Uman și Transporturi (ILT), De Nederlandsche Bank (DNB), Autoritatea Olandeză pentru Piețele Financiare (AFM), Inspectoratul pentru Sănătate și Îngrijire a Tineretului (IGJ), Autoritatea Olandeză pentru Siguranța Alimentelor și a Produselor de Consum (NVWA) sau RDI. Supervizorii au competențe de aplicare a legii, care includ impunerea de amenzi administrative.

NIS2 se suprapune și cu Regulamentul general privind protecția datelor (RGPD). Dacă un incident implică date cu caracter personal, poate fi necesară o notificare separată către Autoritatea olandeză pentru protecția datelor ( Autoriteit Persoonsgegevens ). Aliniați procedura NIS2 cu procedura dumneavoastră privind încălcarea securității datelor, astfel încât un incident să nu ducă la două procese separate, necoordonate.

Ce schimbări pentru management, personal și companie?

Cea mai importantă schimbare este că securitatea cibernetică nu mai este o chestiune exclusivă a departamentului IT. NIS2 atribuie responsabilitatea organului de conducere și se așteaptă ca întreaga organizație, inclusiv personalul și furnizorii, să contribuie.

Ce înseamnă NIS2 pentru angajați?

NIS2 nu creează noi drepturi sau obligații individuale direct pentru angajați; obligațiile revin organizației. În practică, însă, angajatorul trebuie să transpună obligația de diligență în reguli și instruire pentru personal.

Instruirea de bază în domeniul igienei cibernetice și al securității cibernetice face parte din măsurile minime. Aceasta înseamnă că angajații dumneavoastră ar trebui, de exemplu:

• Conştientizareparticipați la instruire privind phishing-ul, parolele și lucrul în siguranță
• Raportare internă: să știți cum și cui raportează un incident sau o vulnerabilitate suspectată, astfel încât să puteți respecta termenul limită de 24 de ore
• Fără efort: utilizează autentificare securizată și au acces doar la sistemele de care au nevoie pentru munca lor

Înregistrați aceste reguli într-o politică sau într-un manual pentru personal. Dacă introduceți noi sisteme de monitorizare a comportamentului angajaților, verificați regulile privind confidențialitatea și, acolo unde este cazul, rolul consiliului de întreprindere ( ondernemingsraad ).

Ce trebuie să facă organul de conducere?

Organul de conducere trebuie să aprobe măsurile de gestionare a riscurilor de securitate cibernetică și să supravegheze implementarea acestora. Membrii săi trebuie să urmeze cursuri de formare, astfel încât să aibă suficiente cunoștințe pentru a evalua riscurile și măsurile. Dacă organizația nu se conformează, organul de conducere poate fi tras la răspundere.

În practică, aceasta înseamnă că consiliul de administrație nu mai poate delega pur și simplu securitatea cibernetică. Directorii ar trebui:

• Decideaprobă oficial evaluarea riscurilor și măsurile și înregistrează decizia respectivă
• Supraveghea: primesc rapoarte periodice privind stadiul măsurilor și incidentele
• Învațăurmați instruirea și mențineți aceste cunoștințe actualizate
• Alocaasigurați-vă că există suficient buget, suficient personal și roluri clare

Tragerea la răspundere personală a unui director pentru daune depinde de regulile generale ale dreptului societar olandez și de faptele cazului. Un proces decizional clar și o documentație clară ajută la demonstrarea faptului că consiliul de administrație și-a luat rolul în serios.

Care sunt amenzile și alte consecințe?

Autoritățile de supraveghere pot impune amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri anuală mondială entităților esențiale și de până la 7 milioane EUR sau 1.4% entităților importante, oricare dintre acestea este mai mare. Acestea sunt sume maxime; amenda efectivă depinde de gravitatea încălcării și de circumstanțe.

Amenzile nu sunt singurul risc. Un supraveghetor poate folosi și alte măsuri de aplicare a legii pentru a vă obliga să respectați reglementările. Un incident grav poate duce, de asemenea, la reclamații din partea clienților sau a partenerilor de afaceri, la consecințe contractuale cu furnizorii și la daune reputaționale. Prin urmare, o bună pregătire vă protejează în mai multe moduri.

Cum interacționați cu furnizorii și cum semnați contractele?

Obligația de diligență se extinde la lanțul dumneavoastră de aprovizionare, așadar trebuie să gestionați și riscurile de securitate cibernetică ale furnizorilor și prestatorilor de servicii. În practică, acest lucru se realizează în mare parte prin contracte.

Punctele care trebuie abordate în contractele cu furnizorii includ:

• Cerințe de securitatemăsurile pe care furnizorul trebuie să le ia, în conformitate cu propria evaluare a riscurilor
• Notificare incidentun termen limită scurt pentru ca furnizorul să vă informeze despre incidente, astfel încât să puteți respecta propriile termene de raportare
• Audit și informațiidreptul dumneavoastră de a solicita informații și de a verifica conformitatea
• Subcontractarereguli privind utilizarea subcontractanților și transferul obligațiilor
• Răspundere și încetareCe se întâmplă dacă furnizorul nu respectă cerințele și cum puteți încheia relația

Mai întâi, verificați contractele existente cu cei mai importanți furnizori IT și de servicii. Noile contracte pot include clauze standard NIS2 încă de la început.

Ce ar trebui să verificați ca organizație aflată în domeniul de aplicare?

Legea se aplică începând cu 15 august 2026, fără o perioadă generală de tranziție. Aceste verificări acoperă obligațiile pe care un supraveghetor le va examina mai întâi.

• Stabiliți prin autoevaluarea RDI dacă sunteți o entitate esențială sau importantă, includeți companiile din grup și înregistrați justificarea.
• Înregistrați-vă la NCSC și mențineți înregistrarea actualizată.
• Solicitați aprobarea oficială a evaluării riscurilor și a măsurilor de către organul de conducere și înregistrarea acestei decizii.
• Planificați instruirea pentru organul de conducere și instruirea de bază privind igiena cibernetică pentru personal.
• Numiți persoana care decide dacă un incident este semnificativ și care raportează în termen de 24 de ore, 72 de ore și o lună.
• Aliniați procedura NIS2 cu notificarea Autorității olandeze pentru protecția datelor cu 72 de ore înainte, în temeiul GDPR.

Ce ar trebui să verificați ca furnizor?

Clienții incluși în sfera de aplicare a acordului își transferă obligația de diligență către dumneavoastră prin intermediul contractelor. Verificați ce vi se cere să semnați înainte de a fi de acord.

• Verificați dacă propria organizație este acoperită de lege, de exemplu ca furnizor de servicii digitale sau IT.
• Verificați dacă termenul limită de notificare a incidentului pe care vi se solicită să îl acceptați este realizabil, având în vedere termenul limită de 24 de ore al clientului dumneavoastră.
• Stabiliți cu privire la domeniul de aplicare și costul auditului și al drepturilor informaționale ale clientului.
• Verificați clauzele de răspundere și de reziliere atașate cerințelor de securitate.
• Verificați ce obligații trebuie să transferați propriilor subcontractanți.

Ce putem face pentru dumneavoastră cu NIS2 și Legea privind securitatea cibernetică?

Echipa noastră de avocați IT asistă organizațiile în ceea ce privește domeniul de aplicare și furnizorii acestora, de la evaluarea domeniului de aplicare până la supraveghere.

• Stabilim dacă organizația dumneavoastră este o entitate esențială sau importantă, inclusiv în structuri de grup.
• Redactăm rezoluția consiliului de administrație, politicile de securitate și procedura de raportare a incidentelor.
• Redactăm și revizuim clauzele NIS2 din contractele cu furnizorii și clienții.
• Consiliem directorii cu privire la responsabilitățile și răspunderea lor în temeiul legislației societare olandeze.
• Vă asistăm în timpul unei investigații efectuate de RDI sau de supraveghetorul sectorului dumneavoastră și redactăm obiecția (bezwaar) împotriva unei decizii de amendă.

Rezumat

• Legea privind securitatea cibernetică, implementarea olandeză a NIS2, se aplică începând cu 15 august 2026 la peste 8,000 de organizații din optsprezece sectoare.
• Organizația dumneavoastră este, în general, acoperită dacă are cel puțin 50 de angajați sau dacă cifra de afaceri și bilanțul total depășesc ambele 10 milioane EUR; unii furnizori sunt acoperiți indiferent de dimensiune.
• Obligațiile principale sunt datoria de diligență, raportarea incidentelor semnificative (24 de ore, 72 de ore, o lună) și înregistrarea la NCSC.
• Organul de conducere aprobă și supraveghează măsurile, urmează cursuri de formare și poate fi tras la răspundere; securitatea lanțului de aprovizionare se desfășoară în mare măsură prin contracte.
• Amenzile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri mondială pentru entitățile esențiale și la 7 milioane de euro sau 1.4% pentru entitățile importante.

Întrebări frecvente