Nivelul de conformare al companiilor din România cu directiva europeană NIS 2 este estimat la o notă de 7 din 10, cu indulgență. Această evaluare a fost oferită de Cristina Popescu, partener și head of CEE Insurance Practice Group la casa de avocatură CMS România, în cadrul emisiunii ZF Live. Conform expertei, deși marile companii manifestă un grad de pregătire mai ridicat, numeroase entități de dimensiuni mai mici întâmpină dificultăți în a determina dacă se încadrează în sfera de aplicabilitate a noilor reguli.
O schimbare fundamentală de paradigmă a avut loc prin implementarea NIS 2, mutând focusul de pe zona tehnică de IT către zona de guvernanță și responsabilitate managerială. Cristina Popescu explică faptul că securitatea cibernetică nu mai este doar o chestiune de infrastructură, ci implică acum decizii la nivel de conducere. Această evoluție este accentuată de riscul sancțiunilor financiare severe, care pot ajunge la 7 milioane de euro sau 1,4% din cifra de afaceri a companiei.
În ceea ce privește procesul de identificare și notificare, Cristina Popescu consideră că pe acest palier companiile se descurcă destul de bine. Deși termenul limită pentru notificări a expirat la jumătatea lunii august a anului trecut, DNSC a continuat să primească documente de la entități. Din informațiile disponibile, nu s-au aplicat sancțiuni pentru notificările trimise după expirarea termenului stabilit, ceea ce indică o anumită flexibilitate în această etapă a procesului de conformare.
Totuși, apar erori frecvente în rândul furnizorilor de servicii IT, care consideră eronat că sunt exceptați de la obligații dacă prestăd servicii doar în interiorul propriului grup. În cazul multinaționalelor cu care colaborează CMS România, gradul de conformare depășește 85%, însă nu există certitudine că întreaga piață de afaceri atinge acest nivel. Există încă multe nelămuriri legate de modul în care entitățile trebuie să se încadreze în legislația locală.
Transpunerea directivei NIS 2 în legislația națională a fost realizată prin intermediul OUG 155/2024. Această reglementare impune standarde stricte de securitate cibernetică pentru sectoarele critice, vizând protecția infrastructurilor digitale împotriva atacurilor. Implementarea acestui cadru juridament obligatoriu forțează companiile să își revizuiască procedurile interne de management al riscurilor digitale pentru a evita penalitățile economice masive prevăzute de normele europene.
Implementarea reglementărilor europene precum NIS 2 face parte dintr-un context mai larg de armonizare a standardelor de securitate și guvernanță în Uniunea Europeană. Această procesare legislativă vizează creșterea rezilienței economiilor naționale în fața amenințăărilor cibernetice tot mai complexe. Într-un mediu digitalizat, conformarea cu astfel de directive devine un element esențial pentru stabilitatea operațională a companiilor și pentru protecția datelor critice la nivel de piață.