In pregatirea NIS2, furnizorii critici si dependentele sunt relatiile externe care pot sustine servicii, sisteme, date, continuitate sau obligatii fata de clienti. Primul pas util este sa le identifici si sa notezi ce sustin, cine le gestioneaza intern si ce intrebari raman deschise.
Aceasta lista este o activitate de pregatire interna. Nu este audit de furnizori, nu este revizuire juridica de contracte, nu dovedeste conformitatea si nu inlocuieste DNSC, specialistii, auditorii sau echipele de securitate.
Pe scurt
- Furnizorii critici si dependentele trebuie mapate inainte de discutii NIS2 mai profunde, mai ales cand sustin servicii, sisteme, date sau continuitate.
- Lista este un instrument de pregatire interna, nu audit de furnizori, scor de securitate, revizuire de contracte sau dovada de conformitate.
- OUG 155/2024 Art. 13 include securitatea lantului de aprovizionare ca zona de masuri, dar articolul de fata ramane la nivel de orientare si intrebari.
- Schimbarile de furnizori pot fi relevante pentru revizuire interna, dar nu trebuie transformate automat in concluzii oficiale sau termene nesustinute.
- NIS2 Pilot poate organiza note, proprietari si incertitudini; nu auditeaza furnizori, nu valideaza contracte si nu emite decizii DNSC.
Ce inseamna furnizor critic in pregatirea NIS2
In acest articol, furnizor critic inseamna practic un furnizor sau serviciu extern de care poate depinde functionarea unui serviciu, a unui sistem, a unei activitati importante sau a unei relatii cu clienti relevanti. Nu folosim termenul ca definitie juridica noua si nu spunem ca un furnizor este oficial critic.
OUG 155/2024 Art. 13 include securitatea lantului de aprovizionare ca zona de masuri, iar Art. 11 da context pentru gestionarea riscurilor. Pentru pregatire interna, asta inseamna ca merita sa stii ce furnizori si dependente sustin serviciile importante inainte sa ceri o analiza mai profunda.
Ce inseamna dependenta
O dependenta este o relatie fara de care un proces, un sistem sau un serviciu poate functiona mai greu, mai lent sau deloc. Dependenta poate fi tehnica, operationala, contractuala sau de grup. Important este sa fie descrisa concret, nu presupusa din memorie.
Daca o companie este furnizor unic sau greu de inlocuit pentru altii, citeste si articolul despre furnizor unic sau impact regional in NIS2. Acel articol discuta perspectiva de incadrare; articolul de fata ramane la lista interna de dependente proprii.
Tipuri de dependente de documentat
| Tip de dependenta | Exemple practice | De ce conteaza in pregatirea NIS2 | Ce nu inseamna automat |
|---|---|---|---|
| Cloud / hosting | IaaS, PaaS, hosting pentru aplicatii, infrastructura folosita de servicii relevante. | Poate sustine disponibilitatea, datele, accesul si continuitatea unui serviciu important. | Nu inseamna ca furnizorul este auditat sau ca entitatea este conforma. |
| Software / SaaS | CRM, ERP, aplicatii de productie, platforme interne sau servicii livrate clientilor. | Poate afecta procesele, clientii, datele si dependenta operationala de un sistem extern. | Nu transforma simpla folosire a unui SaaS intr-o concluzie oficiala NIS2. |
| IT / securitate externalizata | Administrare IT, monitorizare, backup, suport tehnic, servicii de securitate contractate. | Ajuta la clarificarea cine detine informatia tehnica si cine raspunde operational. | Externalizarea nu elimina automat responsabilitatea interna a entitatii. |
| Telecom / conectivitate | Internet, VPN, linii dedicate, conectivitate intre sedii sau catre clienti. | Intreruperea poate afecta disponibilitatea serviciilor sau comunicarea operationala. | Nu inseamna ca orice problema de conectivitate devine incident NIS2. |
| Furnizor de proces business | Logistica, plati, call center, procesare operationala sau suport pentru clienti. | Poate sustine livrarea serviciului real al companiei, nu doar infrastructura IT. | Nu inlocuieste analiza activitatii reale, a sectorului si a rolului companiei. |
| Serviciu de grup / shared service | Infrastructura, securitate, administrare sau aplicatii furnizate de compania mama. | Clarifica ce controleaza entitatea locala si ce depinde de grup. | Nu decide singur reprezentarea, incadrarea sau obligatiile entitatii romanesti. |
| Integrare critica cu clienti | API-uri, schimburi de date, portaluri sau servicii integrate cu clienti importanti. | Poate arata dependenta operationala dintre serviciul companiei si clientii sai. | Nu inseamna ca exista automat impact regional sau furnizor unic. |
Ce sa notezi despre furnizorii si dependentele relevante
Lista trebuie sa fie simpla, verificabila si usor de revizuit. Daca o informatie nu este cunoscuta, noteaz-o ca incertitudine. O incertitudine marcata clar este mai utila decat o presupunere prezentata ca fapt.
Campuri utile pentru lista interna
- Numele sau categoria furnizoruluiNoteaza furnizorul concret sau categoria, daca numele exact nu poate fi confirmat imediat.
- Serviciul sau sistemul sustinutLeaga furnizorul de aplicatia, procesul, serviciul client sau sistemul pe care il sustine.
- Proprietarul internStabileste cine din companie poate confirma relatia: IT, procurement, legal, operatiuni sau management.
- Procesul de business afectatDescrie ce activitate reala ar fi afectata daca dependenta nu functioneaza.
- Clienti sau sectoare afectate, unde sunt cunoscutePastreaza formularea prudenta si marcheaza ce este confirmat fata de ce este presupus.
- Dificultatea de inlocuireNoteaza orientativ daca exista alternative rapide, alternative lente sau incertitudine.
- Note de continuitate si backupPoti nota ce stie managementul despre continuitate, fara sa transformi nota in test tehnic.
- Dependenta de acces sau dateClarifica daca furnizorul are acces la sisteme, date, administrare sau servicii expuse.
- Referinta la contract sau SLA, unde este relevantReferinta ajuta orientarea interna, dar nu este revizuire juridica a contractului.
- Incertitudini si intrebari ramasePastreaza intrebari pentru specialisti, procurement, legal sau cybersecurity.
- Data ultimei revizuiriLista trebuie actualizata cand apar schimbari importante sau informatii noi.
Scenarii practice
Dependentele devin vizibile cand pui serviciile, sistemele, clientii si furnizorii in aceeasi discutie. Exemplele de mai jos sunt orientative si nu stabilesc incadrarea oficiala.
SaaS dependent de un singur cloud provider
Compania stie aplicatia si clientii, dar trebuie sa documenteze cine gestioneaza cloudul, ce servicii depind de el si ce intrebari raman pentru specialisti.
Furnizor IT local dependent de conectivitate
Serviciul catre clienti poate depinde de telecom, VPN sau linii dedicate. Lista interna trebuie sa arate unde apare dependenta, fara a inventa concluzii oficiale.
Administrare IT sau securitate externalizata
Furnizorul extern poate pregati raspunsuri tehnice, dar entitatea trebuie sa pastreze proprietarii interni si deciziile separate.
Entitate locala cu infrastructura de grup
Compania romana poate folosi servicii comune ale grupului. Este util sa noteze ce controleaza local si ce trebuie clarificat cu grupul.
Serviciu pentru clienti reglementati depinde de un furnizor nisa
Dependenta poate merita analiza atenta, dar nu devine automat furnizor unic sau impact regional oficial.
Schimbare de furnizor dupa pregatirea initiala
Schimbarea trebuie revizuita intern pentru efecte asupra serviciilor, contactelor, continuitatii si intrebarilor deschise.
Cum se leaga de Art. 13 si de lista de active si riscuri
Art. 13 din OUG 155/2024 include, intre alte zone, securitatea lantului de aprovizionare si continuitatea activitatii. Aceste repere pot ajuta managementul sa pregateasca discutii despre furnizori, dar nu transforma articolul intr-un ghid de implementare sau audit.
Pentru contextul mai larg al sistemelor, datelor si riscurilor, vezi articolul despre lista de active si riscuri pentru pregatirea NIS2. Pentru masurile Art. 13 explicate prudent, vezi Articolul 13 OUG 155/2024: masuri minime de securitate. Pentru verificari recurente, vezi si revizuirea furnizorilor si dependentelor NIS2.
Cum se leaga de notificarea sau actualizarea datelor
Furnizorii si dependentele pot oferi context intern pentru datele de notificare, contacte, servicii, sisteme sau schimbari care trebuie revizuite. OUG 155/2024 Art. 18 si Ordinul DNSC nr. 1/2025 Art. 4-5 sunt relevante pentru contextul notificarii si al datelor pregatite.
Nu fiecare schimbare de furnizor inseamna automat o actualizare oficiala, iar acest articol nu stabileste termene. Daca apar schimbari materiale, compania ar trebui sa le verifice in raport cu sursele oficiale si, unde este cazul, cu specialisti. Pentru context, vezi si articolul despre notificarea initiala si actualizarea datelor NIS2.
Cum incepi lista de furnizori si dependente
- 1Porneste de la serviciile relevanteAlege serviciile, sistemele sau procesele care sustin activitatea importanta a companiei.
- 2Leaga fiecare serviciu de furnizoriNoteaza furnizori directi, servicii de grup, cloud, telecom, software si servicii externalizate.
- 3Stabileste proprietarul internFiecare dependenta trebuie sa aiba o persoana sau functie care poate confirma informatia.
- 4Marcheaza impactul si incertitudineaSeparati ce este confirmat de ce necesita discutie cu legal, procurement, IT sau specialisti.
- 5Revizuieste cand apar schimbariFurnizorii, serviciile, clientii si sistemele se pot schimba; lista trebuie verificata periodic.
Ce poate face NIS2 Pilot si ce nu poate face
NIS2 Pilot poate sustine organizarea interna a notelor, dependentelor si intrebarilor. Nu este un instrument de audit, vendor scoring, contract review, implementare cybersecurity sau certificare.
| Zona | Poate ajuta | Nu poate face |
|---|---|---|
| Note despre furnizori | Organizeaza furnizori, servicii sustinute, proprietari interni si date de revizuire. | Nu auditeaza furnizori, nu valideaza contracte si nu certifica securitatea vendorilor. |
| Dependente si impact | Ajuta la maparea dependentelor, a serviciilor afectate si a incertitudinilor. | Nu decide impact oficial, furnizor unic sau incadrare NIS2. |
| Intrebari pentru specialisti | Pastreaza intrebarile pentru legal, procurement, audit sau cybersecurity. | Nu ofera consultanta juridica, audit, pentest, SOC/SIEM sau incident response. |
| Pregatire pentru notificare | Ajuta la intelegerea datelor si schimbarilor care trebuie revizuite intern. | Nu transmite notificari si nu actualizeaza date oficiale DNSC. |
| Conformitate | Sustine organizarea interna si vizibilitatea asupra lipsurilor. | Nu dovedeste conformitatea, nu garanteaza conformitatea si nu emite decizii oficiale. |
Ce sa nu presupui
- Lista de furnizori nu este audit de furnizoriO evidenta interna nu verifica masurile reale ale furnizorului si nu valideaza securitatea lui.
- Referinta la contract nu este review juridicContractul sau SLA-ul poate fi util ca sursa, dar interpretarea lui trebuie verificata separat.
- Dependenta notata nu este dovada de conformitateLista ajuta pregatirea; nu arata ca masurile sunt suficiente sau implementate.
- Externalizarea nu transfera automat toata responsabilitateaEntitatea trebuie sa inteleaga ce controleaza intern si ce ramane de verificat cu furnizorii.
- Rezultatul unui instrument nu este decizie DNSCDNSC ramane autoritatea competenta pentru rezultatele oficiale ale procesului.
Surse oficiale folosite
Articolul foloseste OUG 155/2024 Art. 11 pentru contextul gestionarii riscurilor si Art. 13 pentru contextul securitatii lantului de aprovizionare si al continuitatii activitatii. Referintele la notificare folosesc OUG 155/2024 Art. 18 si Ordinul DNSC nr. 1/2025 Art. 4-5.
Nu folosim numerotarea Directivei UE pentru obligatii romanesti, nu folosim Ordinul DNSC nr. 2/2025 sau Ordinul DNSC nr. 3/2025 si nu tratam lista de furnizori ca audit, opinie juridica, certificare sau decizie oficiala.
Întrebări frecvente
Ce este un furnizor critic in pregatirea NIS2?
In acest articol, este un furnizor sau serviciu extern care poate afecta sisteme, date, continuitate, procese importante sau servicii catre clienti. Este o formulare practica pentru pregatire, nu o definitie juridica noua.
Trebuie auditati toti furnizorii pentru NIS2?
Acest articol nu stabileste o obligatie de audit pentru toti furnizorii. Recomanda doar o lista interna a dependentelor relevante si a intrebarilor care trebuie verificate cu rolurile sau specialistii potriviti.
Daca externalizam IT-ul, mai avem responsabilitati interne?
Externalizarea nu trebuie tratata ca transfer automat al intregii responsabilitati. Compania ar trebui sa pastreze proprietari interni, note, surse si intrebari de clarificat, in functie de cazul concret.
NIS2 Pilot poate evalua securitatea furnizorilor?
Nu. NIS2 Pilot nu auditeaza, nu scaneaza, nu puncteaza si nu certifica furnizori. Poate doar ajuta la organizarea notelor interne, dependentelor si intrebarilor.
Verificati orientativ situatia companiei
NIS2 Pilot va poate ajuta sa organizati intern furnizorii, dependentele si intrebarile ramase. Nu auditeaza furnizori, nu valideaza contracte si nu inlocuieste DNSC.
Verificați dacă compania dvs. intră în sfera NIS2 →Lista de active si riscuriAcest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot
Surse oficiale și context
Resurse utile
NIS2 și lanțul de aprovizionare: de ce furnizorii contează
Pregătire internăCe prevede GEO 155/2024 despre securitatea lanțului de aprovizionare, cum să identificați furnizorii critici și ce poate pregăti intern o organizație.
Deschideți resursa: NIS2 și lanțul de aprovizionare: de ce furnizorii contează →Lista de active si riscuri pentru pregatirea NIS2
Pregătire internăCum pregatesti intern o lista de active si o lista de riscuri pentru NIS2, ca materiale de lucru, nu ca audit sau dovada de conformitate.
Deschideți resursa: Lista de active si riscuri pentru pregatirea NIS2 →Articolul 13 OUG 155/2024: masuri minime de securitate explicate prudent
Pregătire internăArt. 13 din OUG 155/2024 listeaza categorii de masuri NIS2. Ce inseamna practic pentru pregatire interna, fara audit sau garantie.
Deschideți resursa: Articolul 13 OUG 155/2024: masuri minime de securitate explicate prudent →Intrebari pe care managementul ar trebui sa le puna IT-ului inainte de notificarea NIS2
Pregătire internăCe intrebari pune managementul echipei IT inainte de notificarea NIS2: sisteme, servicii, furnizori, contacte, riscuri si dovezi interne.
Deschideți resursa: Intrebari pe care managementul ar trebui sa le puna IT-ului inainte de notificarea NIS2 →Pregatire interna vs conformitate NIS2: care este diferenta
Pregătire internăDiferenta dintre pregatire interna, notificare oficiala, audit, implementare si conformitate NIS2, explicata fara promisiuni sau garantii.
Deschideți resursa: Pregatire interna vs conformitate NIS2: care este diferenta →Ce nu face NIS2 Pilot: diferenta fata de DNSC, platformele oficiale si consultanta
Pregătire internăNIS2 Pilot este un spatiu de pregatire interna. Nu transmite notificari la DNSC, nu decide incadrarea si nu inlocuieste platformele oficiale.
Deschideți resursa: Ce nu face NIS2 Pilot: diferenta fata de DNSC, platformele oficiale si consultanta →Revizuirea furnizorilor si dependentelor NIS2: ce verifici periodic
Pregătire internăCum faci o revizuire interna a furnizorilor si dependentelor NIS2: servicii, owneri, schimbari si date lipsa, fara audit.
Deschideți resursa: Revizuirea furnizorilor si dependentelor NIS2: ce verifici periodic →