Estado da NIS 2 na Roménia
O que a diretiva exige, como a Roménia a transpõe e onde se situa o DNSC no panorama.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, a Roménia incluída, a uma única norma mínima para entidades essenciais e importantes. A Roménia tem de converter essa norma em lei nacional e gerir a supervisão ao seu abrigo.
A Roménia transpôs a NIS 2 através de uma lei nacional amplamente citada como Lei 58/2024 (Legea nr. 58/2024), promulgada para levar a diretiva ao direito romeno dentro da janela do prazo de 17 de outubro de 2024 da UE. O painel de acompanhamento da transposição da Comissão Europeia indica que a Roménia notificou medidas de transposição. O título exato e a referência ao Monitorul Oficial devem ser confirmados face ao texto oficial antes de qualquer citação.
O DNSC, o Directoratul National de Securitate Cibernetica (Diretório Nacional de Segurança Cibernética), é a autoridade competente e exerce a função de CSIRT nacional. O DNSC absorveu o antigo CERT-RO em 2021, pelo que os dados de contacto ainda rotulados como CERT-RO nos registos da UE se referem à mesma instituição. O registo das entidades NIS 2 corre pelos canais do DNSC.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Roménia, sem necessidade de transposição nacional.
Transposição romena
Lei 58/2024 (Legea nr. 58/2024), conforme amplamente citada
A transposição romena da NIS 2. O título exato, a data e a referência ao Monitorul Oficial devem ser verificados face ao texto oficial. Normas secundárias e orientação do DNSC preenchem o detalhe operacional.
Lei nacional (Lei 58/2024)
Leva as obrigações da NIS 2 para o direito romeno. Define as categorias de entidade essencial e importante, os poderes de supervisão do DNSC, os deveres de comunicação de incidentes e o regime sancionatório. O detalhe operacional é definido através de normas secundárias e da orientação do DNSC. O número e a data exatos da lei devem ser verificados face à entrada no Monitorul Oficial antes de qualquer citação de conformidade.
DNSC como autoridade competente e CSIRT
O DNSC gere a supervisão, as auditorias e os procedimentos sancionatórios, e opera o CSIRT nacional. O CERT-RO foi absorvido pelo DNSC em 2021. As referências ao CERT-RO em registos mais antigos da UE apontam para a mesma instituição. Os reguladores setoriais mantêm o seu papel onde a lex specialis se aplica, por exemplo o setor financeiro ao abrigo do DORA.
Registo e comunicação
A diretiva exige que as entidades sejam identificáveis pelo Estado-Membro a partir de 17 de abril de 2025. Na Roménia, isto corre pelo canal de registo do DNSC. Os incidentes significativos seguem o calendário da diretiva: alerta precoce em 24 horas, notificação de incidente em 72 horas, relatório final no prazo de um mês.
Em território romeno, aplica-se a lei romena
As atividades em território romeno seguem a transposição romena. Um diretor-geral alemão com uma filial romena lê a lei romena e a orientação do DNSC para essa filial, não o BSIG. As obrigações ao nível da diretiva são idênticas. O procedimento, o canal de registo e as sanções residem na lei romena.
A Roménia não pode ficar abaixo do patamar da UE
A diretiva é harmonização mínima. A Roménia pode ir mais longe. A Roménia não pode ficar abaixo, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de comunicação, nem quanto à responsabilidade do órgão de direção ao abrigo do artigo 20.º.
DNSC
Directoratul National de Securitate Cibernetica. Autoridade competente principal. Gere o registo, a supervisão, as auditorias e os procedimentos sancionatórios, publica orientação e opera o CSIRT nacional. Absorveu o CERT-RO em 2021.
CSIRT nacional (sob o DNSC)
A função de CSIRT para a Roménia situa-se dentro do DNSC. Este é o canal para as notificações de incidentes ao abrigo da NIS 2. Referências mais antigas ao CERT-RO apontam para esta mesma função, agora parte do DNSC.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena a nível transfronteiriço. Não é supervisora das entidades romenas. Isso cabe ao DNSC.
Podemos simplesmente seguir o manual do BSIG, a NIS 2 é igual em todo o lado.
As obrigações ao nível da diretiva são idênticas em todos os Estados-Membros. O procedimento, o portal de registo, os níveis sancionatórios e o estilo de supervisão residem na lei nacional. Uma filial romena regista-se no DNSC ao abrigo da lei romena, não no BSI ao abrigo do BSIG. O conteúdo de conformidade sobrepõe-se. O invólucro administrativo não.
A Roménia ainda não tem canal de registo NIS 2, por isso podemos esperar.
A Roménia notificou medidas de transposição à Comissão Europeia, e o DNSC gere o canal de registo para entidades essenciais e importantes. O prazo de identificação da UE de 17 de abril de 2025 aplica-se. Esperar por um portal bilingue perfeito não é defesa contra uma decisão de aplicabilidade.
Não estamos no setor da energia nem no financeiro, por isso a NIS 2 não se aplica.
Os anexos I e II da diretiva enumeram 18 setores, incluindo infraestrutura digital, serviços postais e de correio, gestão de resíduos, alimentação, fabrico de bens críticos, investigação e administração pública. O teste de dimensão decide depois se é essencial ou importante. Muitas empresas romenas de média dimensão que nunca se viram como infraestrutura crítica caem no âmbito através destes setores.
A maioria dos operadores romenos do segmento intermédio que encontramos ainda trata a NIS 2 como um tema para as TI, e não para o órgão de direção. É o mesmo erro que vemos noutros pontos da UE. O artigo 20.º coloca sobre o órgão de direção a obrigação de aprovar a gestão de risco, fiscalizar a sua implementação e seguir formação de gestão. O DNSC olhará para essa aprovação, não para quem redigiu a política.
O passo prático na Roménia é o mesmo que em todo o lado na UE: testar a aplicabilidade face à diretiva, registar-se através do canal nacional do DNSC, montar as quatro obrigações contínuas (manter os dados de registo atualizados, comunicação de incidentes, risco da cadeia de abastecimento, fiscalização do órgão de direção) e documentar o mínimo.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre uma única transposição nacional. A mesma lista de verificação serve uma filial romena ao abrigo da Lei 58/2024 (conforme amplamente citada), uma casa-mãe alemã ao abrigo do BSIG e uma congénere neerlandesa ao abrigo da Cyberbeveiligingswet. As referências de artigos mudam por país. A substância das obrigações não.
Para o âmbito romeno começa pela aplicabilidade, depois passa aos prazos de incidentes, às cláusulas da cadeia de abastecimento e à aprovação do órgão de direção. Onde o DNSC publica orientação setorial, ligamo-la. Não a copiamos.
- Diretiva (UE) 2022/2555 (NIS 2) no EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Lei de transposição romena (amplamente citada como Legea nr. 58/2024), a verificar face ao Monitorul Oficial
- DNSC (Directoratul National de Securitate Cibernetica), sítio oficial
- Comissão Europeia, painel de acompanhamento da transposição da NIS 2, página do país Roménia
- ENISA, mapa interativo dos CSIRT, entrada Roménia