Directiva (UE) 2022/2555, cunoscută ca NIS2, a extins semnificativ cercul organizațiilor obligate să își gestioneze riscurile de securitate cibernetică. Mulți avocați se întreabă dacă noile reguli se aplică și cabinetelor. Răspunsul scurt: de regulă, nu direct, dar NIS2 poate ajunge la cabinet prin intermediul clienților.
Cadrul național: OUG nr. 155/2024 și Legea nr. 124/2025
În România, directiva a fost transpusă prin Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, publicată în Monitorul Oficial la 31 decembrie 2024.
Ordonanța a fost aprobată, cu modificări, prin Legea nr. 124/2025, publicată în Monitorul Oficial în iulie 2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC), care supraveghează aplicarea regulilor și a emis ordine de punere în aplicare.
Cine intră sub incidență
NIS2 folosește, ca regulă generală, un criteriu de dimensiune: sunt vizate întreprinderile mijlocii și mari care activează în sectoarele enumerate în anexele actului normativ. Entitățile se împart în două categorii:
- entități esențiale – în principal entitățile mari din sectoarele cu criticitate ridicată (de exemplu energie, transport, sănătate, sector bancar, infrastructură digitală), precum și anumite categorii indicate expres, indiferent de dimensiune;
- entități importante – celelalte entități mijlocii și mari din sectoarele acoperite, între care servicii poștale, gestionarea deșeurilor, industria alimentară, anumite ramuri de producție și furnizori digitali.
Serviciile juridice nu figurează, ca sector distinct, în anexele NIS2. Prin urmare, un cabinet de avocatură sau o societate profesională de avocați nu devine entitate esențială ori importantă doar prin natura activității sale. Verificați totuși situația concretă dacă structura dumneavoastră desfășoară și alte activități, de pildă servicii digitale sau de tehnologia informației.
Cum ajunge NIS2 la cabinetul de avocatură
Efectul indirect este cel mai relevant. Entitățile esențiale și importante trebuie să ia măsuri privind securitatea lanțului de aprovizionare, adică a relațiilor cu furnizorii și prestatorii lor direcți de servicii. Un avocat care primește acces la documente sensibile, la sistemele sau la datele unui client aflat sub incidența NIS2 poate fi tratat de acesta ca prestator relevant.
În practică, acest lucru se poate traduce prin:
- chestionare de evaluare a securității trimise înainte de contractare;
- clauze contractuale privind confidențialitatea, notificarea incidentelor și măsurile tehnice;
- cereri de a folosi canale securizate pentru schimbul de documente;
- solicitări de informații despre furnizorii de cloud și email ai cabinetului.
De reținut: obligațiile legale revin clientului aflat sub incidența NIS2. Pentru cabinet, acestea devin obligații contractuale, pe care le puteți negocia și care trebuie corelate cu secretul profesional reglementat de Legea nr. 51/1995.
Obligațiile principale ale entităților vizate
Pentru a înțelege ce vă pot cere clienții, este util să cunoașteți obligațiile lor principale, astfel cum rezultă din OUG nr. 155/2024:
- notificarea către DNSC, în termen de 30 de zile de la momentul în care entitatea intră sub incidența actului normativ;
- adoptarea unor măsuri tehnice, operaționale și organizatorice proporționale de gestionare a riscurilor, inclusiv politici de analiză a riscurilor, gestionarea incidentelor, continuitatea activității, controlul accesului, criptografie, autentificare multifactor și securitatea lanțului de aprovizionare;
- raportarea incidentelor semnificative în etape: o avertizare timpurie în cel mult 24 de ore de la constatare, o notificare în cel mult 72 de ore și un raport final în termen de o lună;
- implicarea conducerii, care aprobă măsurile, supraveghează implementarea și urmează programe de formare în domeniu.
Recomandări practice pentru cabinet
Chiar dacă nu sunteți direct vizați, clienții din sectoarele reglementate vor aștepta un nivel de securitate demonstrabil. Pregătiți din timp:
- o descriere scurtă a măsurilor de securitate ale cabinetului, pe care o puteți transmite la cerere;
- o procedură internă de gestionare și notificare a incidentelor;
- un inventar al furnizorilor care au acces la datele clienților;
- o analiză a clauzelor propuse de clienți, pentru a evita obligații care ar contraveni secretului profesional.
Pentru detalii privind procedurile de notificare și ordinele de aplicare, consultați periodic comunicările publicate pe dnsc.ro.
Articolul are caracter informativ și nu constituie consultanță juridică. Verificați forma în vigoare a actelor normative citate.