Termenul de înregistrare la Directoratul Național de Securitate Cibernetică a trecut, iar în ultimele luni companiile au început să primească notificări. Reacția e aproape întotdeauna aceeași: cineva din conducere îl caută pe omul de IT și îl întreabă dacă „am rezolvat cu NIS2″. Omul de IT răspunde că are firewall, antivirus și backup. Ambii cred că discuția s-a încheiat. Nu s-a încheiat.
Directiva NIS2 a fost transpusă în România prin OUG 155/2024, în vigoare din 30 decembrie 2024, și completată prin Legea 124/2025. Acoperă 18 sectoare, de la energie și transport la sănătate, apă potabilă, producție și infrastructură digitală. Una dintre obligațiile care nu se pot ocoli este desemnarea unei persoane responsabile cu securitatea rețelelor și sistemelor informatice. Nu un departament. O persoană, cu nume, care răspunde în fața autorității.
De aici pornește întrebarea pe care și-o pun acum sute de companii: punem pe cineva din interior sau externalizăm rolul?
Ce face, concret, un responsabil NIS
Înainte de a alege, merită înțeles ce presupune rolul, pentru că multă lume și-l imaginează ca pe o semnătură pe un document.
Persoana desemnată se ocupă de înregistrarea entității la DNSC și de menținerea datelor actualizate, de analiza de risc și de compararea situației reale cu ce cere legea, de planul de măsuri cu priorități și termene, de politicile și procedurile care lipsesc, de verificarea implementării și de notificarea incidentelor semnificative către autoritate — notificarea inițială în 24 de ore de la identificarea incidentului.
Ultimul punct schimbă natura rolului. Nu e o funcție de proiect, care se termină când s-au predat documentele. E o funcție permanentă, care trebuie să existe și sâmbătă la ora 2 noaptea, când cineva observă că serverul de fișiere s-a criptat.
Varianta internă se rupe
Un angajat intern are un avantaj pe care nimeni nu i-l poate lua: cunoaște oamenii, procesele și scuzele. Știe cine folosește o parolă din 2019 și de ce departamentul de producție refuză să închidă un port.
Problema apare la competențe. Rolul cere să înțelegi și infrastructura, și legislația, și managementul riscului, și relația cu o autoritate de reglementare. Administratorul de rețea care ține în picioare rețeaua unei companii cu 200 de angajați e, de regulă, foarte bun la primul lucru și nu a făcut niciodată ultimele trei. Nu e vina lui. Nu pentru asta a fost angajat.
In practică rolul se atribuie formal aceleiași persoane care administrează sistemele, iar aceasta ajunge să se auditeze singură. E o problemă de fond, nu de formă. Omul care a configurat backupul e ultimul care va raporta că backupul nu se restaurează.
Varianta externalizată se rupe și asta
Un responsabil extern vine cu experiența din mai multe companii și nu are nimic de apărat. Vede în trei zile ce cineva din interior nu mai vede de trei ani. Și costă considerabil mai puțin decât un angajat cu aceleași competențe — SecureNET Systems, de exemplu, publică tarifele pe site: 590 de euro pe lună pentru o entitate importantă și 890 de euro pe lună pentru o entitate esențială.
Dezavantajul e simetric cu avantajul: nu e în clădire. Nu aude discuția de la cafea în care cineva povestește că a dat click pe un link ciudat. Depinde de ce i se raportează.
De aceea contractul contează mai mult decât CV-ul. Un responsabil extern care vine o dată pe trimestru, trimite un PDF și dispare nu îți acoperă obligația legală, oricâte certificări are. Întreabă înainte de semnătură: cât de des se revizuiește documentația, cine e persoana de contact în caz de incident, în cât timp răspunde, și ce se întâmplă când autoritatea cere ceva într-un termen scurt.
Părerea mea, după ce am văzut ambele variante căzând: externalizarea funcționează bine în companiile de sub 250 de angajați, iar peste pragul ăsta cea mai bună soluție e un om intern dublat de un Responsabil NIS2 externalizat care verifică. Nu pentru că omul intern nu ar fi bun, ci pentru că nimeni nu se aude pe sine greșind.
Ce nu se externalizează, niciodată
Aici se înșală multă lume, și e cea mai scumpă greșeală.
Legislația așază răspunderea pentru gestionarea riscurilor de securitate cibernetică în sarcina organelor de conducere. Ele aprobă măsurile și supraveghează implementarea. Amenzile pentru entitățile esențiale ajung la 10 milioane de euro sau 2% din cifra de afaceri anuală mondială, iar răspunderea poate fi personală.
Externalizarea mută execuția. Nu mută obligația. Un furnizor care îți promite că „preia răspunderea managementului” îți vinde ceva ce nu are cum să livreze, iar faptul că ți-a promis nu te va ajuta deloc într-un control.
Punctul pe care îl ratează aproape toată lumea
Există o obligație din NIS2 despre care nu vorbește nimeni la prima discuție: gestionarea riscului care vine din lanțul de furnizori.
O companie își poate pune în ordine propriile sisteme și să rămână expusă prin altcineva. Firma care îi administrează aplicația de facturare de la distanță. Contabilul extern care intră pe server. Furnizorul de software medical care are cont de administrator pe stația din recepție, deschis de trei ani, cu aceeași parolă. Niciunul nu apare în inventarul de echipamente, pentru că niciunul nu e un echipament.
Ce cere legea aici e banal de simplu și aproape nimeni nu îl are: o evidență a furnizorilor cu acces la sisteme, ce fel de acces au, pe ce bază contractuală, și cine îl închide când colaborarea se termină. Am văzut companii care aveau politici scrise impecabil și trei conturi active ale unor firme cu care nu mai lucrau din 2022.
Întrebarea de pus azi, înainte de orice consultanță: câți oameni din afara companiei pot intra chiar acum pe sistemele tale, și cine ține lista?
Cum verifici pe cine angajezi
Trei întrebări separă un furnizor serios de unul care vinde documente.
Prima: ce certificare are persoana care va fi desemnată efectiv, nu firma. Rolul e nominal. Un Responsabil NIS2 certificat ECE 6894 e o persoană cu nume, nu o companie cu logo.
A doua: a mai făcut asta pentru o entitate din sectorul tău? Un operator de utilități și o clinică medicală au aceleași obligații legale și zero infrastructură comună. Cine a lucrat doar în birouri va avea o surpriză la prima vizită într-o stație de tratare.
A treia, și cea mai utilă: cine face implementarea? Dacă răspunsul e „noi preluăm tot”, întreabă ce se întâmplă când contractul se termină. Modelul sănătos e ca echipa ta de IT să implementeze, iar responsabilul extern să coordoneze, să verifice și să documenteze. Așa rămâne competența în casă.
Restul e muncă. Prima analiză de risc durează câteva săptămâni, prima notificare la DNSC durează o oră, iar partea grea abia după aceea începe — să ții documentația vie când nimeni nu te mai întreabă de ea. Un ghid practic despre alegerea unui responsabil externalizat acoperă întrebările de contract în detaliu.
Companiile care au început în 2025 sunt acum la a doua revizuire a planului de măsuri. Cele care încă se întreabă dacă intră sub incidența legii au primit deja prima notificare.
