Stato di NIS 2 in Romania
Cosa richiede la direttiva, come la Romania la recepisce e dove si colloca il DNSC nel quadro.
Panoramica
La direttiva NIS 2 è il livello dell'UE. Vincola ogni Stato membro, Romania inclusa, a un unico standard minimo per i soggetti essenziali e importanti. La Romania deve convertire quello standard in diritto nazionale e gestire la vigilanza ai sensi di esso.
La Romania ha recepito NIS 2 attraverso una legge nazionale ampiamente citata come Legge 58/2024 (Legea nr. 58/2024), promulgata per portare la direttiva nel diritto rumeno entro la finestra del termine UE del 17 ottobre 2024. Il tracker di recepimento della Commissione europea indica la Romania come avente notificato le misure di recepimento. Il titolo esatto e il riferimento del Monitorul Oficial dovrebbero essere verificati rispetto al testo ufficiale prima della citazione.
Il DNSC, il Directoratul National de Securitate Cibernetica (Direttorato nazionale per la sicurezza informatica), è l'autorità competente e svolge la funzione di CSIRT nazionale. Il DNSC ha assorbito il precedente CERT-RO nel 2021, quindi i dati di contatto ancora etichettati CERT-RO nei registri dell'UE si riferiscono alla stessa istituzione. La registrazione dei soggetti NIS 2 avviene attraverso i canali del DNSC.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza valida in tutta l'UE. Fissa gli obblighi che ogni Stato membro deve recepire, compreso il test dimensionale e settoriale per i soggetti essenziali e importanti.
Atto di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Romania, nessun recepimento nazionale necessario.
Recepimento rumeno
Legge 58/2024 (Legea nr. 58/2024), come ampiamente citata
Il recepimento rumeno di NIS 2. Il titolo esatto, la data e il riferimento del Monitorul Oficial dovrebbero essere verificati rispetto al testo ufficiale. Le norme secondarie e gli orientamenti del DNSC completano il dettaglio operativo.
Legge nazionale (Legge 58/2024)
Porta gli obblighi NIS 2 nel diritto rumeno. Definisce le categorie di soggetti essenziali e importanti, i poteri di vigilanza del DNSC, gli obblighi di notifica degli incidenti e il regime sanzionatorio. Il dettaglio operativo è stabilito attraverso norme secondarie e orientamenti del DNSC. Il numero e la data esatti della legge dovrebbero essere verificati rispetto alla voce del Monitorul Oficial prima di qualsiasi citazione in materia di conformità.
DNSC come autorità competente e CSIRT
Il DNSC gestisce vigilanza, audit e procedure sanzionatorie, e gestisce il CSIRT nazionale. Il CERT-RO è stato assorbito nel DNSC nel 2021. I riferimenti al CERT-RO nei registri dell'UE più datati puntano alla stessa istituzione. I regolatori di settore mantengono il loro ruolo dove si applica la lex specialis, per esempio il settore finanziario ai sensi di DORA.
Registrazione e notifica
La direttiva richiede che i soggetti siano identificabili dallo Stato membro a partire dal 17 aprile 2025. In Romania ciò avviene attraverso il canale di registrazione del DNSC. Gli incidenti significativi seguono il calendario della direttiva: preallarme entro 24 ore, notifica dell'incidente entro 72 ore, relazione finale entro un mese.
Sul territorio rumeno si applica il diritto rumeno
Le attività sul territorio rumeno seguono il recepimento rumeno. Un amministratore delegato tedesco con una controllata rumena legge la legge rumena e gli orientamenti del DNSC per quella controllata, non il BSIG. Gli obblighi a livello di direttiva sono identici. Procedura, canale di registrazione e sanzioni risiedono nel diritto rumeno.
La Romania non può scendere sotto il pavimento dell'UE
La direttiva è armonizzazione minima. La Romania può essere più rigorosa. La Romania non può scendere al di sotto di essa, né per gli obblighi dei soggetti essenziali e importanti, né per i termini di notifica, né per la responsabilità dell'organo di gestione ai sensi dell'articolo 20.
DNSC
Directoratul National de Securitate Cibernetica. Autorità competente capofila. Gestisce registrazione, vigilanza, audit e procedure sanzionatorie, pubblica orientamenti e gestisce il CSIRT nazionale. Ha assorbito il CERT-RO nel 2021.
CSIRT nazionale (sotto il DNSC)
La funzione di CSIRT per la Romania risiede all'interno del DNSC. Questo è il canale per le notifiche degli incidenti ai sensi di NIS 2. I riferimenti più datati al CERT-RO puntano a questa stessa funzione, ora parte del DNSC.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un'autorità di vigilanza per i soggetti rumeni. Quel ruolo spetta al DNSC.
Possiamo semplicemente seguire il manuale del BSIG, NIS 2 è uguale ovunque.
Gli obblighi a livello di direttiva sono identici in tutti gli Stati membri. Procedura, portale di registrazione, livelli sanzionatori e stile di vigilanza risiedono nel diritto nazionale. Una controllata rumena si registra presso il DNSC ai sensi della legge rumena, non presso il BSI ai sensi del BSIG. Il contenuto di conformità si sovrappone. L'involucro amministrativo no.
La Romania non ha ancora un canale di registrazione NIS 2, quindi possiamo aspettare.
La Romania ha notificato le misure di recepimento alla Commissione europea, e il DNSC gestisce il canale di registrazione per i soggetti essenziali e importanti. Si applica il termine di identificazione UE del 17 aprile 2025. Aspettare un portale bilingue perfetto non è una difesa contro un accertamento di applicabilità.
Non siamo nel settore dell'energia o finanziario, quindi NIS 2 non si applica.
Gli allegati I e II della direttiva elencano 18 settori, tra cui l'infrastruttura digitale, i servizi postali e di corriere, la gestione dei rifiuti, gli alimenti, la fabbricazione di beni critici, la ricerca e la pubblica amministrazione. Il test dimensionale decide poi se essenziale o importante. Molte aziende rumene di medie dimensioni che non si sono mai considerate infrastrutture critiche rientrano nell'ambito di applicazione attraverso questi settori.
La maggior parte degli operatori rumeni di fascia media che incontriamo tratta ancora NIS 2 come un tema per l'IT, non per l'organo di gestione. È lo stesso errore che vediamo altrove nell'UE. L'articolo 20 pone l'obbligo in capo all'organo di gestione di approvare la gestione del rischio, supervisionarne l'attuazione e seguire la formazione gestionale. Il DNSC guarderà a quell'approvazione, non a chi ha scritto la politica.
Il passo pratico in Romania è lo stesso di ovunque nell'UE: testare l'applicabilità rispetto alla direttiva, registrarsi attraverso il canale nazionale del DNSC, impostare i quattro obblighi continui (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di approvvigionamento, supervisione dell'organo di gestione) e documentare il minimo.
Costruiamo il registro degli obblighi NIS 2 sul livello dell'UE, non su un singolo recepimento nazionale. La stessa checklist si adatta a una controllata rumena ai sensi della Legge 58/2024 (come ampiamente citata), a una controllante tedesca ai sensi del BSIG e a una consociata olandese ai sensi della Cyberbeveiligingswet. I riferimenti agli articoli cambiano per paese. La sostanza degli obblighi no.
Per l'ambito rumeno si inizia con l'applicabilità, poi la tempistica degli incidenti, le clausole sulla catena di approvvigionamento e l'approvazione dell'organo di gestione. Dove il DNSC pubblica orientamenti settoriali, li colleghiamo. Non li copiamo.
- Direttiva (UE) 2022/2555 (NIS 2) su EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- Legge di recepimento rumena (ampiamente citata come Legea nr. 58/2024), da verificare rispetto al Monitorul Oficial
- DNSC (Directoratul National de Securitate Cibernetica), sito ufficiale
- Commissione europea, tracker di recepimento NIS 2, pagina paese Romania
- ENISA, mappa interattiva dei CSIRT, voce Romania