Irlanda riscă sancțiuni financiare de aproximativ 2,8 milioane de euro, la care s-ar putea adăuga penalități pentru fiecare zi de întârziere, după ce nu a introdus în legislația națională noile reguli europene menite să protejeze infrastructura și serviciile esențiale împotriva atacurilor cibernetice.
Termenul stabilit de Uniunea Europeană pentru transpunerea Directivei NIS2 a expirat încă din 17 octombrie 2024.
Aproape doi ani mai târziu, Irlanda nu a finalizat procesul legislativ.
În luna iulie, Comisia Europeană a decis să trimită Irlanda la Curtea de Justiție a Uniunii Europene, împreună cu Spania, Franța și Țările de Jos.
Comisia a cerut instanței europene să impună atât o sancțiune financiară fixă, cât și penalități zilnice până când Irlanda va introduce complet directiva în legislația națională.
Compania de consultanță Aon estimează că, folosind metoda de calcul aplicată de Comisia Europeană pentru astfel de cazuri, expunerea financiară actuală a Irlandei ar fi de aproximativ 2,8 milioane de euro.
Suma ar putea continua să crească atât timp cât legislația nu este adoptată.
NIS2 este una dintre cele mai importante modificări ale regulilor europene privind securitatea cibernetică din ultimii ani.
Directiva extinde considerabil numărul companiilor și instituțiilor obligate să respecte standarde stricte de securitate informatică.
Regulile acoperă 18 sectoare considerate esențiale sau importante pentru funcționarea societății și economiei.
Printre acestea se numără energia, transporturile, sistemul medical, administrația publică, serviciile digitale, infrastructura de internet, serviciile de cloud computing, gestionarea apei, sectorul financiar și o serie de companii din industria alimentară și producție.
Pentru organizațiile vizate, directiva nu înseamnă doar instalarea unor sisteme tehnice de protecție.
Conducerile companiilor vor avea responsabilități directe pentru modul în care sunt gestionate riscurile de securitate cibernetică.
Organizațiile vor trebui să identifice vulnerabilitățile, să introducă măsuri pentru prevenirea atacurilor, să pregătească proceduri pentru situații de urgență și să raporteze incidentele cibernetice importante autorităților.
În anumite situații, conducerea unei companii poate fi trasă la răspundere pentru nerespectarea obligațiilor.
Noile reguli sunt mult mai extinse decât legislația europeană anterioară, cunoscută drept NIS1, care continuă să se aplice în Irlanda până la introducerea noului sistem.
Guvernul irlandez a explicat întârzierea prin complexitatea legislației.
Transpunerea NIS2 necesită practic o reorganizare amplă a actualului sistem de reglementare a securității cibernetice și stabilirea autorităților responsabile pentru numeroase sectoare ale economiei.
Pentru introducerea directivei este pregătită o nouă lege, National Cyber Security Bill, care trebuie să treacă prin Oireachtas, Parlamentul irlandez.
Proiectul se află însă încă în proces legislativ.
Aon cere Guvernului să acorde prioritate legii atunci când Parlamentul își reia activitatea în septembrie și să o adopte cât mai rapid.
Compania atrage atenția că mii de organizații din Irlanda vor fi afectate direct sau indirect de noile reguli.
Chiar și firmele care nu intră ele însele sub incidența NIS2 pot ajunge să fie afectate prin relațiile comerciale cu companii care trebuie să respecte directiva.
Furnizorii, contractorii și alte companii din lanțurile de aprovizionare ar putea fi obligați să demonstreze că respectă anumite standarde de securitate înainte de a putea lucra cu organizațiile reglementate.
Aon avertizează companiile să nu aștepte adoptarea legii înainte să înceapă pregătirile.
Riscurile cibernetice există deja, iar atacurile informatice nu depind de calendarul legislativ.
Organizațiile sunt îndemnate să verifice cine este responsabil de securitatea cibernetică la nivel de conducere, să analizeze vulnerabilitățile existente, să revizuiască procedurile de răspuns la incidente și să stabilească dacă vor intra sub incidența noii legislații.
Problema devine și mai importantă pe măsură ce firmele adoptă inteligența artificială și alte tehnologii noi, care pot aduce beneficii importante, dar pot crea și noi puncte vulnerabile.
Situația este cu atât mai stânjenitoare pentru Irlanda cu cât țara deține în această perioadă președinția Consiliului Uniunii Europene, în timp ce continuă să nu respecte un termen european important stabilit cu aproape doi ani în urmă.
Comisia Europeană începuse procedura împotriva Irlandei încă în noiembrie 2024, când a trimis o notificare oficială pentru nerespectarea termenului.
În mai 2025 a urmat o nouă etapă formală, prin care Bruxelles-ul a cerut Irlandei să ia măsurile necesare.
Cum transpunerea nu a fost finalizată, cazul a ajuns acum la Curtea de Justiție a Uniunii Europene.
Nu este prima dată când Irlanda riscă sancțiuni importante din cauza întârzierilor în introducerea legislației europene.
Statul a fost obligat anterior să plătească aproximativ 4,5 milioane de euro după ce a întârziat trei ani transpunerea Codului european al comunicațiilor electronice.
În cazul NIS2, miza nu este însă doar financiară.
Directiva a fost creată într-un moment în care atacurile cibernetice împotriva instituțiilor publice, spitalelor, companiilor energetice și infrastructurii digitale au devenit tot mai frecvente și mai sofisticate.
Irlanda are deja experiența directă a consecințelor unor asemenea atacuri.
Atacul informatic asupra HSE din 2021 a provocat perturbări majore în sistemul medical, a blocat numeroase servicii și a demonstrat cât de vulnerabile pot deveni serviciile publice esențiale atunci când sistemele informatice sunt compromise.
Prin NIS2, Uniunea Europeană încearcă tocmai să reducă riscul ca asemenea incidente să paralizeze servicii esențiale.
Pentru Irlanda, presiunea este acum dublă: să evite acumularea unor sancțiuni financiare și, în același timp, să introducă un sistem de securitate cibernetică pe care companiile și instituțiile îl așteaptă de aproape doi ani.
