NIS2 în grupuri: DNSC fixează trei modele de implementare
Directoratul Național de Securitate Cibernetică (DNSC) a publicat pe 21 septembrie 2026, în Monitorul Oficial nr.
NIS2 în grupuri: DNSC fixează trei modele de implementare
Directoratul Național de Securitate Cibernetică (DNSC) a publicat pe 21 septembrie 2026, în Monitorul Oficial nr. 798, o decizie care rezolvă o ambiguitate ce ținea de un an sălile de board ale grupurilor multinaționale cu filiale în România: o politică de securitate scrisă la sediul din München sau Paris nu mai este suficientă pentru entitatea din București. Fiecare filială clasificată drept esențială sau importantă sub Directive (EU) 2022/2555 trebuie să demonstreze aplicarea efectivă pe propria infrastructură.
Trei modele, o singură răspundere
Decizia definește trei modalități prin care o entitate poate arăta că un control este în vigoare: preluat (aplică integral politica grupului, fără adaptare), implementat (îl operează cu resurse proprii, pe infrastructura proprie) și partajat (folosește un serviciu comun de grup — SOC, IAM, backup — cu contract și SLA măsurabile).
Distincția e importantă pentru CISO-ul filialei: pentru fiecare din cele 10 categorii de măsuri prevăzute în articolul 21 al Directivei NIS2, transpuse local prin Legea 244/2024, trebuie să existe o mapare explicită între control și modelul aplicat. Un audit DNSC care găsește doar politica de la nivel de grup, fără dovada rulării pe activele locale, se închide cu neconformitate. Ghidul ENISA de implementare tehnică merge în aceeași direcție: probele stau la entitatea evaluată, nu la HQ.
Ce se schimbă operațional
Un grup cu 4 entități în România care până acum raporta o singură matrice de conformitate va depune 4 matrici distincte. DNSC cere log-uri, tickete și rapoarte generate din sistemele care rulează efectiv pe entitatea evaluată — nu extrase agregate.
nis2_control_map:
entity: SC Filiala RO SRL
control: A.8.16_monitoring_activities
model: shared # preluat | implementat | partajat
provider: group_soc_de
sla_ref: MSA-2026-014
evidence:
- source: siem.group.local
tenant: ro-filiala
retention_days: 365
- artifact: monthly_review_2026-08.pdfFluxul de decizie pe fiecare control:
Modelul partajat va prinde majoritatea grupurilor: un SOC central operat pentru toate filialele este acceptabil, dar contractul intra-grup trebuie să conțină clauze de tenantizare, retenție și acces la date pentru auditor. Cine nu le are în vigoare până la primul ciclu de raportare — calendarul oficial NIS2 al Comisiei Europene marchează raportarea anuală ca obligație activă — pierde un an întreg pe remediere.
Poziția CAI Technology
Vedem la clienții de consulting că partea grea nu e alegerea modelului, ci evidența. Un control marcat „partajat” fără log-uri exportabile pe tenant este echivalent operațional cu unul absent. Recomandarea noastră pentru fiecare grup cu prezență în România: un exercițiu de reconciliere înainte de raportare, control cu control, cine îl operează, unde stau probele, cum se extrag. Echipa Lexnomia a pregătit clauze intra-grup aliniate deciziei DNSC și un checklist de audit pe cele trei modele — poți începe de la cadrul nostru de conformitate NIS2.