Automatizări AI · Securitate · 2 min citire
NIS2 și AI: cum introduceți sisteme noi fără să creșteți riscul cibernetic al instituției
Ce cere OUG 155/2024, cum afectează achiziția de soluții AI și lista de verificare de securitate pentru furnizori.
PE SCURT
NIS2, transpusă în România prin OUG 155/2024 (aprobată prin Legea 124/2025), acoperă administrația publică centrală și numeroase sectoare esențiale. Pentru entitățile acoperite, orice sistem nou, inclusiv o soluție AI, intră în managementul riscului, securitatea lanțului de aprovizionare și raportarea incidentelor. Amenzile pot ajunge la 10 milioane de euro sau un procent din cifra de afaceri pentru încălcările grave.
Contextul: aplicarea a început
În septembrie 2026, DNSC a pornit primele proceduri de sancționare, în primul rând pentru entitățile care nu s-au înregistrat. Administrația publică centrală este acoperită indiferent de mărime, iar sectoare precum sănătatea, apa, energia sau transportul sunt și ele în aria legii. Conducerea răspunde direct de aprobarea și supravegherea măsurilor de securitate.
Ce înseamnă NIS2 pentru un proiect AI
- Managementul riscului: sistemul AI intră în evaluarea de risc a entității.
- Lanțul de aprovizionare: furnizorul și subfurnizorii (de exemplu furnizorul de model AI) trebuie evaluați.
- Controlul accesului: autentificare multifactor, drepturi minime, jurnalizare.
- Incidentele: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în aproximativ o lună.
- Continuitatea: copii de rezervă și procedură de funcționare fără sistemul AI.
Cadrul NION: lista de verificare a furnizorului
- Unde sunt prelucrate și stocate datele și cine are acces.
- Ce subfurnizori sunt implicați (găzduire, model AI).
- Cum se autentifică utilizatorii și administratorii.
- Ce se jurnalizează și cât timp.
- Cum și în cât timp notifică furnizorul un incident.
- Ce se întâmplă cu datele la încetarea contractului.
Riscuri specifice sistemelor AI
- Instrucțiuni ascunse în documente: texte care încearcă să schimbe comportamentul asistentului. Se tratează prin limitarea acțiunilor pe care le poate face sistemul.
- Scurgeri de date prin răspunsuri: asistentul nu trebuie să aibă acces la mai mult decât are nevoie utilizatorul.
- Dependența de un singur furnizor: planul de ieșire face parte din contract.
Ghid practic: clauze de inclus în caietul de sarcini
- Conformitatea cu cerințele de securitate aplicabile entității.
- Notificarea incidentelor într-un termen compatibil cu obligațiile entității.
- Dreptul de audit și raportarea periodică.
- Lista subfurnizorilor și notificarea schimbărilor.
Despre NION
NION este o agenție de marketing digital și implementare de inteligență artificială, fondată în 2018 la Râmnicu Vâlcea. Lucrăm pe procese măsurabile: fiecare automatizare pornește de la un diagnostic, are un indicator de rezultat și se predă documentată. Ofertăm direct în SEAP/SICAP, în asociere sau ca subcontractant pentru ofertantul principal.
Surse
CODURI CPV
72000000-5 Servicii IT; 72220000-3 Servicii de consultanță în sisteme și consultanță tehnică; 72212000-4 Servicii de programare de software de aplicație
ÎNTREBĂRI FRECVENTE
Ce lege transpune NIS2 în România?
OUG 155/2024, aprobată prin Legea 124/2025. Autoritatea competentă este DNSC.
Se aplică NIS2 instituțiilor publice?
Administrația publică centrală este acoperită indiferent de mărime. Încadrarea altor entități se verifică prin instrumentele DNSC.
Ce termene de raportare a incidentelor există?
Avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final, de regulă, în aproximativ o lună.
Cât pot ajunge amenzile?
Pentru încălcările grave, până la 10 milioane de euro sau un procent din cifra de afaceri, conform OUG 155/2024.
Ce verificăm la un furnizor de soluții AI?
Locul prelucrării datelor, subfurnizorii, autentificarea, jurnalizarea, notificarea incidentelor și planul de ieșire.