Unde e reglementarea de securitate cibernetică în UE și România: NIS2, noul Cybersecurity Act și DNSC (iulie 2026)

Vara lui 2026 a adus o accelerare vizibilă a reglementării de securitate cibernetică, atât la nivelul Uniunii Europene, cât și în România. Pe 7 iulie 2026, Comisia Europeană a prezentat un plan de acțiune pentru utilizarea sigură a inteligenței artificiale care întărește simultan reziliența cibernetică a Europei, completând cadrul juridic existent — AI Act, Cyber Resilience Act, NIS2, DORA și Cyber Solidarity Act. În paralel, propunerea de revizuire a Cybersecurity Act și amendamentele la NIS2 lansate la începutul anului trec prin dezbatere, iar în România implementarea NIS2 se apropie de faza operațională prin DNSC. Pentru o organizație obișnuită, întrebarea nu mai este „ne afectează?”, ci „ce trebuie să demonstrăm și până când?”.

La nivel UE: pachetul de securitate cibernetică și ENISA întărit

Pachetul propus de Comisie la începutul lui 2026 urmărește să consolideze reziliența cibernetică a Uniunii și, în același timp, să simplifice conformitatea. Elementele centrale, așa cum au fost comunicate public, includ o revizuire a Cybersecurity Act și amendamente la NIS2 menite să reducă suprapunerile de raportare și ambiguitățile de scop.

• ENISA (agenția UE pentru securitate cibernetică) primește un buget mărit cu peste 75% și responsabilități noi: alerte timpurii de amenințări, sprijin în răspunsul la ransomware și servicii îmbunătățite de gestionare a vulnerabilităților.
• Simplificarea NIS2: amendamentele urmăresc să ușureze conformitatea pentru circa 28.700 de companii din UE, dintre care aproximativ 6.200 sunt microîntreprinderi și firme mici, prin clarificarea cerințelor de management al riscului.
• Un cadru european de certificare de securitate cibernetică mai simplu, cu scop mai clar, guvernanță mai eficientă și un termen implicit de circa 12 luni pentru dezvoltarea unei scheme.
• Planul de acțiune AI + securitate cibernetică (7 iulie 2026) leagă utilizarea responsabilă a inteligenței artificiale de reziliența cibernetică, recunoscând că AI amplifică atât apărarea, cât și atacul.

Direcția este dublă: pe de o parte, cerințe mai clare și mai bine coordonate; pe de altă parte, o presiune reală ca organizațiile să treacă de la conformitatea „pe hârtie” la capabilități demonstrabile. Simplificarea nu înseamnă relaxare — înseamnă că se așteaptă mai puțină birocrație și mai multă dovadă că lucrurile chiar funcționează.

La nivel România: NIS2 prin OUG 155/2024, Legea 124/2025 și rolul DNSC

România a transpus inițial directiva NIS2 prin OUG 155/2024, consolidată ulterior cu amendamente prin Legea nr. 124/2025. Efectul practic este o extindere semnificativă a scopului: de la 7 sectoare esențiale sub NIS1 la 18 sectoare, aducând, conform DNSC, peste 5.000 de entități în sfera directă de aplicare. Direcția Națională de Securitate Cibernetică a modernizat infrastructura națională, introducând o platformă publică de tip Blacklist pentru domenii periculoase și o platformă structurată de raportare a incidentelor, aliniată cerințelor NIS2.

Contextul de risc este concret. Un barometru realizat între 30 iunie și 2 iulie 2026 arăta că 7 din 10 antreprenori nu luaseră măsuri suplimentare de securitate, în ciuda creșterii atacurilor și a costurilor unei breșe. Iar seria de incidente asupra instituțiilor publice românești din 2026 — inclusiv atacul asupra registrului funciar, cu date puse la vânzare — a mutat discuția din zona teoretică în cea operațională.

Ce înseamnă asta concret pentru o organizație

• Determină dacă intri în scopul NIS2 (esențial sau important) în funcție de sector și dimensiune, și dacă ai obligația de înregistrare la DNSC.
• Tratează managementul riscului ca proces continuu: inventar de active, evaluare, măsuri tehnice și organizatorice, cu responsabili și termene.
• Ai un flux de raportare a incidentelor pe care echipa îl cunoaște — inclusiv notificarea inițială rapidă către autoritate, când e cazul.
• Documentează măsurile pe lanțul de aprovizionare: cerințe pentru furnizori, clauze contractuale, verificări.
• Păstrează evidențe de conștientizare și training pentru personal — reglementarea privește oamenii, nu doar tehnologia.

Un program de awareness bine documentat — cine a fost instruit, când, pe ce subiecte și cu ce rezultat — nu este o garanție automată de conformitate, dar este exact genul de evidență pe care o cer atât NIS2, cât și logica unei apărări reale. Reglementarea și practica se întâlnesc în același punct: capacitatea de a demonstra că măsurile există și sunt înțelese.

Pe scurt: în iulie 2026, cadrul european devine mai coordonat și mai orientat spre dovezi, iar în România NIS2 trece de la lege la operațiuni, cu DNSC în centrul mecanismului. Organizațiile care tratează conformitatea ca pe un exercițiu de documente vor descoperi că adevăratul test este demonstrabilitatea — iar aceasta se construiește în timp, nu în ajunul unui audit.