Estado da NIS 2 na Roménia
O que a diretiva exige, como a Roménia a transpõe e onde se situa o DNSC no panorama.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, a Roménia incluída, a uma única norma mínima para entidades essenciais e importantes. A Roménia tem de converter essa norma em lei nacional e gerir a supervisão ao seu abrigo.
A Roménia transpôs a NIS 2 através de uma lei nacional amplamente citada como Lei 58/2024 (Legea nr. 58/2024), promulgada para levar a diretiva ao direito romeno dentro da janela do prazo de 17 de outubro de 2024 da UE. O painel de acompanhamento da transposição da Comissão Europeia indica que a Roménia notificou medidas de transposição. O título exato e a referência ao Monitorul Oficial devem ser confirmados face ao texto oficial antes de qualquer citação.
O DNSC, o Directoratul National de Securitate Cibernetica (Diretório Nacional de Segurança Cibernética), é a autoridade competente e exerce a função de CSIRT nacional. O DNSC absorveu o antigo CERT-RO em 2021, pelo que os dados de contacto ainda rotulados como CERT-RO nos registos da UE se referem à mesma instituição. O registo das entidades NIS 2 corre pelos canais do DNSC.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Roménia, sem necessidade de transposição nacional.
Transposição romena
Lei 58/2024 (Legea nr. 58/2024), conforme amplamente citada
A transposição romena da NIS 2. O título exato, a data e a referência ao Monitorul Oficial devem ser verificados face ao texto oficial. Normas secundárias e orientação do DNSC preenchem o detalhe operacional.
Lei nacional (Lei 58/2024)
Leva as obrigações da NIS 2 para o direito romeno. Define as categorias de entidade essencial e importante, os poderes de supervisão do DNSC, os deveres de comunicação de incidentes e o regime sancionatório. O detalhe operacional é definido através de normas secundárias e da orientação do DNSC. O número e a data exatos da lei devem ser verificados face à entrada no Monitorul Oficial antes de qualquer citação de conformidade.
DNSC como autoridade competente e CSIRT
O DNSC gere a supervisão, as auditorias e os procedimentos sancionatórios, e opera o CSIRT nacional. O CERT-RO foi absorvido pelo DNSC em 2021. As referências ao CERT-RO em registos mais antigos da UE apontam para a mesma instituição. Os reguladores setoriais mantêm o seu papel onde a lex specialis se aplica, por exemplo o setor financeiro ao abrigo do DORA.
Registo e comunicação
A diretiva exige que as entidades sejam identificáveis pelo Estado-Membro a partir de 17 de abril de 2025. Na Roménia, isto corre pelo canal de registo do DNSC. Os incidentes significativos seguem o calendário da diretiva: alerta precoce em 24 horas, notificação de incidente em 72 horas, relatório final no prazo de um mês.
Em território romeno, aplica-se a lei romena
As atividades em território romeno seguem a transposição romena. Um diretor-geral alemão com uma filial romena lê a lei romena e a orientação do DNSC para essa filial, não o BSIG. As obrigações ao nível da diretiva são idênticas. O procedimento, o canal de registo e as sanções residem na lei romena.
A Roménia não pode ficar abaixo do patamar da UE
A diretiva é harmonização mínima. A Roménia pode ir mais longe. A Roménia não pode ficar abaixo, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de comunicação, nem quanto à responsabilidade do órgão de direção ao abrigo do artigo 20.º.
DNSC
Directoratul National de Securitate Cibernetica. Autoridade competente principal. Gere o registo, a supervisão, as auditorias e os procedimentos sancionatórios, publica orientação e opera o CSIRT nacional. Absorveu o CERT-RO em 2021.
CSIRT nacional (sob o DNSC)
A função de CSIRT para a Roménia situa-se dentro do DNSC. Este é o canal para as notificações de incidentes ao abrigo da NIS 2. Referências mais antigas ao CERT-RO apontam para esta mesma função, agora parte do DNSC.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena a nível transfronteiriço. Não é supervisora das entidades romenas. Isso cabe ao DNSC.
Podemos simplesmente seguir o manual do BSIG, a NIS 2 é igual em todo o lado.
As obrigações ao nível da diretiva são idênticas em todos os Estados-Membros. O procedimento, o portal de registo, os níveis sancionatórios e o estilo de supervisão residem na lei nacional. Uma filial romena regista-se no DNSC ao abrigo da lei romena, não no BSI ao abrigo do BSIG. O conteúdo de conformidade sobrepõe-se. O invólucro administrativo não.
A Roménia ainda não tem canal de registo NIS 2, por isso podemos esperar.
A Roménia notificou medidas de transposição à Comissão Europeia, e o DNSC gere o canal de registo para entidades essenciais e importantes. O prazo de identificação da UE de 17 de abril de 2025 aplica-se. Esperar por um portal bilingue perfeito não é defesa contra uma decisão de aplicabilidade.
Não estamos no setor da energia nem no financeiro, por isso a NIS 2 não se aplica.
Os anexos I e II da diretiva enumeram 18 setores, incluindo infraestrutura digital, serviços postais e de correio, gestão de resíduos, alimentação, fabrico de bens críticos, investigação e administração pública. O teste de dimensão decide depois se é essencial ou importante. Muitas empresas romenas de média dimensão que nunca se viram como infraestrutura crítica caem no âmbito através destes setores.
A maioria dos operadores romenos do segmento intermédio que encontramos ainda trata a NIS 2 como um tema para as TI, e não para o órgão de direção. É o mesmo erro que vemos noutros pontos da UE. O artigo 20.º coloca sobre o órgão de direção a obrigação de aprovar a gestão de risco, fiscalizar a sua implementação e seguir formação de gestão. O DNSC olhará para essa aprovação, não para quem redigiu a política.
O passo prático na Roménia é o mesmo que em todo o lado na UE: testar a aplicabilidade face à diretiva, registar-se através do canal nacional do DNSC, montar as quatro obrigações contínuas (manter os dados de registo atualizados, comunicação de incidentes, risco da cadeia de abastecimento, fiscalização do órgão de direção) e documentar o mínimo.
- Diretiva (UE) 2022/2555 (NIS 2) no EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Lei de transposição romena (amplamente citada como Legea nr. 58/2024), a verificar face ao Monitorul Oficial
- DNSC (Directoratul National de Securitate Cibernetica), sítio oficial
- Comissão Europeia, painel de acompanhamento da transposição da NIS 2, página do país Roménia
- ENISA, mapa interativo dos CSIRT, entrada Roménia
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
