Întrebarea apare în aproape fiecare discuție despre NIS2: „Am făcut deja GDPR, nu e cam același lucru?”. Răspunsul scurt este nu — dar cu o nuanță importantă. Cele două reglementări au obiective diferite, însă se sprijină pe aceleași fundamente tehnice și organizatorice. Dacă ați tratat GDPR serios, aveți deja o parte din drum parcurs. Dacă l-ați tratat ca pe un exercițiu de documente și bannere de cookies, NIS2 va scoate la iveală exact acele lipsuri.
Ce protejează fiecare
GDPR protejează persoana. Scopul lui este ca datele cu caracter personal — numele, adresa, salariul, istoricul medical al unui individ — să fie prelucrate legal, transparent și în siguranță. Perspectiva este a celui ale cărui date sunt folosite de organizația dumneavoastră.
NIS2 protejează funcționarea. Scopul directivei este ca serviciile esențiale și importante pentru societate și economie să rămână disponibile: energie, apă, sănătate, transport, infrastructură digitală, producție, servicii poștale, gestionarea deșeurilor și altele. Perspectiva este a celui care depinde de faptul că organizația dumneavoastră funcționează.
Diferența este concretă. Un ransomware care vă criptează serverele de producție, fără să scurgă niciun fișier cu date personale, poate să nu genereze o notificare GDPR — dar este exact tipul de incident pe care NIS2 îl vizează. Invers, un e-mail trimis din greșeală către destinatarul greșit este o chestiune de GDPR, nu una de continuitate a serviciului.
Unde se suprapun
Ambele reglementări cer, în esență, aceleași lucruri la nivel de bază:
- Analiză de risc documentată, nu intuitivă.
- Măsuri tehnice și organizatorice adecvate riscului identificat.
- Gestionarea incidentelor, cu proces clar de detectare, evaluare și raportare.
- Controlul accesului și principiul privilegiului minim.
- Securitatea lanțului de aprovizionare și responsabilitatea pentru furnizori.
- Evidențe care să demonstreze că măsurile există și funcționează.
Dacă aveți deja un registru al prelucrărilor, o procedură de breach notification și o politică de acces, nu porniți de la zero. Trebuie însă să le extindeți dincolo de datele personale, către toate sistemele care susțin serviciul pe care îl livrați.
Unde NIS2 merge mai departe
Aici apar diferențele care contează cel mai mult în practică.
Răspunderea conducerii
GDPR vorbește despre operator și despre responsabilul cu protecția datelor. NIS2 numește explicit organele de conducere: acestea trebuie să aprobe măsurile de gestionare a riscurilor, să supravegheze implementarea și pot răspunde pentru nerespectare. În plus, directiva cere ca managementul să urmeze instruiri de securitate. Nu mai este o temă pe care o delegați complet către IT.
Termene de raportare mai strânse și în mai multe etape
GDPR cere notificarea autorității în 72 de ore de la luarea la cunoștință a unei încălcări de securitate a datelor personale. NIS2 introduce un mecanism în trepte: o avertizare timpurie foarte rapidă după constatarea unui incident semnificativ, urmată de o notificare de incident și ulterior de un raport final. Practic, aveți nevoie de un proces funcțional de triaj, nu doar de un formular.
Continuitate și reziliență explicite
Articolul 21 din NIS2 enumeră măsurile minime așteptate: politici de analiză a riscurilor și de securitate a sistemelor informatice, gestionarea incidentelor, continuitatea activității și gestionarea crizelor cu backup și recuperare în caz de dezastru, securitatea lanțului de aprovizionare, securitate în achiziție și mentenanță, evaluarea eficacității măsurilor, igienă cibernetică și instruire, criptografie, securitatea resurselor umane și controlul accesului, autentificare multifactor și comunicații securizate.
GDPR menționează disponibilitatea și reziliența, dar fără acest nivel de detaliu. NIS2 transformă backupul testat, planul de recuperare și MFA din bune practici în așteptări explicite.
Lanțul de aprovizionare
Chiar dacă organizația dumneavoastră nu intră direct în domeniul de aplicare al NIS2, probabil livrați către cineva care intră. Entitățile vizate sunt obligate să evalueze securitatea furnizorilor direcți. Consecința practică: veți primi chestionare, cerințe contractuale și clauze privind notificarea incidentelor. NIS2 se propagă prin contracte, nu doar prin lege.
Deci mă ajută sau doar mă încarcă?
Dacă privim onest, NIS2 cere exact lucrurile pe care o companie ar trebui să le facă oricum pentru a supraviețui unui incident serios: să știe ce active are, cine are acces la ele, cum detectează o problemă, cum restaurează datele și cât timp durează restaurarea.
Diferența față de GDPR este că NIS2 este mai greu de „bifat pe hârtie”. Un plan de recuperare care nu a fost niciodată testat se vede imediat la primul incident. Din acest punct de vedere, directiva funcționează ca un argument intern util: transformă investițiile în securitate dintr-o cheltuială opțională într-o obligație cu termene și responsabili.
O singură bază, două reglementări
Recomandarea practică este să nu construiți două sisteme paralele. Creați o bază comună:
- Inventar unic de active, sisteme, aplicații și furnizori — cu marcaj pentru cele care prelucrează date personale și cele care susțin serviciul esențial.
- O singură metodologie de risc, aplicată asupra ambelor perspective.
- Un proces unic de incident, cu ramuri de raportare diferite în funcție de tipul incidentului și termenele aplicabile.
- Un set comun de controale tehnice: MFA, segmentare, patching, logare centralizată, backup conform regulii 3-2-1 cu teste de restaurare periodice.
- Un program unic de instruire, inclusiv pentru conducere.
Astfel, dovezile pe care le produceți servesc ambelor reglementări, iar efortul de audit scade semnificativ.
În practică, cea mai mare dificultate nu este înțelegerea cerințelor, ci menținerea lor în timp: inventare actualizate, backupuri testate, loguri monitorizate, furnizori reevaluați. Aici contează un partener care să transforme cerințele în proceduri operaționale și să le țină active lună de lună, nu doar în perioada auditului.