Opinie Robert Gîrdoc, Director PwC România și Răzvan Cioc, Manager PwC Romania : Conformarea la directiva de securitate cibernetică NIS2 a intrat în linie dreaptă. Ce trebuie să știe companiile?

Companiile din România care activează în sectoarele esențiale și critice pentru societate și economie, respectiv energie, transport, sănătate, financiar-bancar, apă potabilă și infrastructură digitală, precum și din alte domenii considerate importante precum serviciile poștale și de curierat, gestionarea deșeurilor, industria chimică sau cea alimentară trebuie să se conformeze prevederilor directivei europene NIS2 privind securitatea cibernetică. Guvernul a publicat la finalul anului 2024 ordonanța de urgență care transpune în legislația națională NIS2 și care impune o serie de măsuri de gestionare a riscurilor de securitate cibernetică precum continuitatea activității, gestionarea incidentelor sau securitatea lanțului de aprovizionare. Aceasta presupune, de asemenea, entităților vizate să raporteze autorităților competente incidentele care au un impact semnificativ asupra activității lor. Sarcinile de supraveghere și asigurare a respectării reglementărilor revine Directoratului Național de Securitate Cibernetică (DNSC), autoritate competentă responsabilă cu securitatea cibernetică.

De ce este importantă directiva NIS2?

Atacurile cibernetice au devenit o realitate cotidiană o dată cu creșterea nivelului de digitalizare, interconectarea sistemelor informatice și apariția noilor tehnologii – 5G, IoT, AI, dar și a instabilității geopolitice, iar cele mai vizate sunt companiile din sectoare critice. De altfel, în ordonanța de urgență a Guvernului de la finalul anului 2024 care transpune în legislația națională directiva NIS2, este amintit incidentul din primul trimestru al anului 2024, care a afectat 26 de spitale la nivel național. Consecințele atacurilor pot fi devastatoare, de la pierderea de date și întreruperea activității până la daune reputaționale și amenzi substanțiale.

Spre exemplu, în cazul unui atac cibernetic care afectează operațiunile din cauza unui proces de gestionare a riscurilor insuficient monitorizat la o entitate extrem de critică, printre consecințe se regăsesc cheltuieli precum plăți de răscumpărare, costuri pentru furnizorii externi de servicii, amenzi pentru încălcarea reglementarilor specifice, cat și a cerințelor DNSC, dar și răspunderea directorilor generali și executivi pentru prejudiciile suferite ca urmare a încălcării obligațiilor de monitorizare (cu excepția sectorului administrației publice).