NIS2 pentru furnizori: ce vi se va cere dacă lucrați cu o entitate NIS2
Dacă firma dvs. nu este entitate esențială sau importantă, NIS2 vă poate afecta totuși prin clienți. OUG 155/2024 obligă entitățile vizate să gestioneze securitatea lanțului de aprovizionare, deci să-și evalueze furnizorii și să le ceară garanții. Cererile ajung la dvs. sub formă de clauze contractuale, chestionare, dovezi și audituri.
Pe scurt
- Securitatea lanțului de aprovizionare este o măsură minimă obligatorie pentru entitățile NIS2 (art. 13 lit. d) din OUG 155/2024).
- Entitatea trebuie să țină seama de vulnerabilitățile și de practicile de securitate ale fiecărui furnizor direct și furnizor de servicii (art. 11 alin. 8).
- La cererea DNSC, entitățile transmit date despre furnizorii de cloud, centre de date, servicii gestionate și servicii de securitate gestionate (art. 11 alin. 9).
- Un furnizor care nu intră sub NIS2 nu are obligații directe față de DNSC, dar are obligațiile pe care le semnează în contract.
- Furnizorii pregătiți din timp transformă cerința într-un avantaj comercial.
Ce spune legea despre lanțul de aprovizionare?
OUG 155/2024 tratează lanțul de aprovizionare în trei locuri.
Art. 13 lit. d) include printre măsurile minime „securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitatea relației dintre entitate și prestatorii și furnizorii săi direcți”.
Art. 11 alin. (8) precizează ce trebuie evaluat: vulnerabilitățile specifice ale fiecărui furnizor direct și ale fiecărui furnizor de servicii, calitatea generală a produselor, calitatea practicilor de securitate cibernetică ale furnizorilor, inclusiv securitatea proceselor lor de dezvoltare. Se adaugă rezultatele evaluărilor coordonate la nivelul Uniunii Europene privind lanțurile critice de aprovizionare.
Art. 11 alin. (9) dă DNSC dreptul să ceară entităților date despre prestatorii de servicii de încredere, furnizorii de servicii DNS, registrele de nume de domenii, furnizorii de cloud, de centre de date, de servicii gestionate și de servicii de securitate gestionate cu care lucrează.
Pe scurt: entitatea NIS2 trebuie să știe cine îi sunt furnizorii, ce risc aduce fiecare și ce a făcut ca să reducă acel risc. Directiva NIS2 are aceeași logică la art. 21 alin. (2) lit. d) și alin. (3).
Firma mea nu intră sub NIS2. De ce mă privește?
Pentru că obligația clientului devine cerință comercială pentru dvs. O entitate esențială care cumpără servicii IT, mentenanță, software, găzduire sau acces de la distanță la sistemele ei nu poate demonstra conformarea fără să arate cum își controlează furnizorii.
Primul pas rămâne verificarea propriei încadrări. Unele firme care se consideră „doar furnizori” sunt ele însele entități vizate, de exemplu furnizorii de servicii gestionate sau de servicii de securitate gestionate. Puteți face o verificare orientativă pe CysNIS sau pe pagina verificare încadrare NIS2.
Dacă nu sunteți entitate NIS2, nu aveți obligații de înregistrare, notificare sau autoevaluare față de DNSC. Aveți însă obligațiile pe care le acceptați prin contract, iar acestea pot fi destul de detaliate.
Ce vi se va cere, concret, ca furnizor?
| Cerință tipică | Ce înseamnă pentru furnizor | De ce o cere clientul |
|---|---|---|
| Chestionar de securitate | Răspunsuri documentate despre controalele voastre | Evaluarea riscului per furnizor (art. 11 alin. 8) |
| Autentificare multifactor | MFA pe conturile cu acces la sistemele clientului | Măsură minimă (art. 13 lit. j) |
| Notificarea incidentelor | Anunțarea clientului într-un termen scurt, stabilit prin contract | Clientul are propriile termene: 24 h, 72 h, o lună |
| Jurnalizare și trasabilitate | Păstrarea jurnalelor de acces la sistemele clientului | Trasabilitatea tuturor activităților (art. 11 alin. 4) |
| Gestionarea vulnerabilităților | Actualizări la timp, raportarea vulnerabilităților în produse | Securitatea dezvoltării și întreținerii (art. 13 lit. e) |
| Dreptul de audit | Acceptarea unui audit sau a unor dovezi echivalente | Verificarea practicilor declarate |
| Continuitate | Copii de rezervă, plan de redresare pentru serviciul livrat | Continuitatea activității clientului (art. 13 lit. h) |
| Personal și acces | Liste de persoane cu acces, revocare la plecare | Controlul accesului (art. 13 lit. f) |
| Subcontractori | Informarea și aprobarea subcontractorilor | Lanțul nu se oprește la primul furnizor |
Termenele de notificare a incidentelor semnificative pe care le are clientul sunt explicate în articolul despre notificarea incidentelor NIS2. Clauza din contractul dvs. trebuie să-i lase timp să le respecte.
Cum își evaluează o entitate NIS2 furnizorii?
O abordare proporțională, ușor de apărat în fața unui auditor, are cinci pași:
- Inventarul furnizorilor, legat de inventarul de active: cine are acces la ce sistem, ce date prelucrează, ce serviciu critic susține.
- Clasificarea pe risc: un furnizor de rechizite nu se tratează ca un furnizor cu acces de administrator la rețea.
- Cerințe pe niveluri: un set minim pentru toți furnizorii, cerințe extinse pentru cei critici.
- Clauze contractuale pentru furnizorii noi și acte adiționale pentru cei existenți, prioritizate pe risc.
- Monitorizare și reevaluare: dovezi anuale, revizuire după incidente sau schimbări majore.
Rezultatul trebuie să fie documentat. Pe lângă cerința de la art. 11 alin. (7) privind lista activelor și a riscurilor, entitatea poate fi întrebată de DNSC despre furnizorii de servicii digitale (art. 11 alin. 9). Răspunsul se dă în termenul din cererea DNSC, deci registrul trebuie să existe dinainte.
Cum devine un furnizor „de încredere”?
Pentru un furnizor, pregătirea are un efect direct asupra vânzărilor: în licitații și negocieri cu entități NIS2, cel care răspunde complet și repede la chestionar trece mai ușor de selecție.
Lista de pregătire pentru furnizori:
- Un document scurt care descrie controalele de securitate aplicate serviciului livrat.
- MFA activat pe toate conturile cu acces la clienți.
- O procedură de răspuns la incidente cu termen de notificare a clientului.
- Jurnale de acces păstrate și disponibile la cerere.
- Un proces de actualizare și de gestionare a vulnerabilităților.
- Copii de rezervă testate pentru datele clienților.
- O listă a subcontractorilor și a datelor la care au acces.
- Un test de securitate recent pe aplicațiile expuse clienților.
- O persoană de contact pentru securitate, cunoscută de clienți.
- Un răspuns-model la chestionarele frecvente, actualizat anual.
Atenție la ofertele de „certificare NIS2” pentru furnizori. NIS2 nu certifică organizații; explicăm diferența în articolul „Certificare NIS2”: ce există și ce nu. Ce contează pentru client sunt dovezile concrete.
Ce se întâmplă cu furnizorii de servicii TIC pentru sectorul financiar?
Ordinul DNSC 1/2026 prevede o excepție: entitățile din sectorul „Gestionarea serviciilor TIC (business-to-business)” desemnate furnizori terți esențiali de servicii TIC conform Regulamentului DORA (UE) 2022/2554 aplică măsurile din DORA și nu realizează evaluarea nivelului de risc prevăzută de metodologia DNSC. Pentru ceilalți furnizori, contractele cu clienți din sectorul financiar vor reflecta cerințele DORA, pe lângă cele NIS2.
Greșeli frecvente
- Același chestionar pentru toți furnizorii. Produce sute de răspunsuri pe care nu le citește nimeni. Cerințele trebuie corelate cu riscul.
- Clauze fără termen de notificare. „Furnizorul va informa clientul” nu ajută când clientul are 24 de ore pentru avertizarea timpurie.
- Uitarea accesului de la distanță. Furnizorii de mentenanță cu acces permanent prin VPN sau instrumente de administrare de la distanță sunt adesea cel mai mare risc.
- Lipsa revocării. Conturi de furnizor active după încheierea contractului.
Cum vă ajută ProDefence
Membrii echipei ProDefence sunt auditori NIS atestați de DNSC, iar ProDefence lucrează de ambele părți ale contractului.
Pentru entitățile NIS2, consultanța NIS2 (de la 10.000 EUR pe proiect) include registrul furnizorilor, clasificarea pe risc, cerințele pe niveluri și clauzele contractuale. Auditul NIS2 (de la 5.000 EUR pe misiune) verifică dacă procesul funcționează. În CysNIS riscurile legate de furnizori se gestionează împreună cu celelalte riscuri și cu controalele din Ordinul DNSC 1/2026.
Pentru furnizori, un audit de securitate web și rețea oferă dovezi tehnice recente pentru chestionarele clienților, iar consultanța vă ajută să construiți setul de documente cerut în licitații. Scrieți-ne prin formularul de pe pagina de consultanță.
Întrebări frecvente
Sunt obligat să respect NIS2 dacă firma mea doar furnizează unei entități NIS2?
Nu direct. Un furnizor care nu este entitate esențială sau importantă nu are obligații de înregistrare, notificare sau autoevaluare față de DNSC. Are însă obligațiile acceptate prin contract, iar clientul NIS2 trebuie să le ceară ca să-și gestioneze lanțul de aprovizionare, conform art. 11 și art. 13 lit. d) din OUG 155/2024.
Ce articol din OUG 155/2024 se referă la furnizori?
Art. 13 lit. d) include securitatea lanțului de aprovizionare printre măsurile minime. Art. 11 alin. (8) spune ce trebuie evaluat la furnizori, iar art. 11 alin. (9) permite DNSC să ceară date despre furnizorii de cloud, centre de date, servicii gestionate și servicii de securitate gestionate.
Poate clientul să-mi auditeze firma?
Doar dacă ați acceptat acest lucru prin contract. Multe entități NIS2 vor cere dreptul de audit sau dovezi echivalente, cum ar fi rapoarte de testare sau certificări de management al securității, pentru furnizorii cu acces la sisteme critice.
Ce termen de notificare a incidentelor ar trebui să accept?
Unul care îi permite clientului să-și respecte propriile termene: avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final într-o lună pentru incidentele semnificative. De aceea clientul va cere, de regulă, un termen mai scurt decât 24 de ore.
Există o certificare NIS2 pentru furnizori?
Nu. NIS2 nu prevede certificarea organizațiilor. Clienții evaluează furnizorii pe baza dovezilor: răspunsuri la chestionare, controale tehnice, rapoarte de testare, certificări de management al securității acolo unde există.
Cum prioritizez evaluarea a sute de furnizori?
Prin clasificare pe risc: acces la sisteme, tipul datelor prelucrate și serviciul critic susținut. Furnizorii critici primesc evaluare completă și clauze extinse, ceilalți un set minim de cerințe. Revizuirea se face anual și după incidente.
Surse
- OUG nr. 155/2024, forma consolidată, art. 11 și 13, Portal Legislativ
- Ordinul directorului DNSC nr. 1/2026, MO nr. 712 din 27.08.2026
- Directiva (UE) 2022/2555 (NIS2), art. 21 alin. (2) lit. d) și alin. (3)
- Regulamentul de punere în aplicare (UE) 2024/2690
Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică și conformare NIS2 la ProDefence, a cărei echipă include auditori NIS atestați de DNSC.
