Starea NIS2 în sectorul bancar: unde e sectorul în 2026

01Cine intră sub NIS2

Anexa I include sectorul bancar (instituțiile de credit), însă regula de coliziune contează mai mult decât încadrarea: pentru managementul riscului ICT și raportarea incidentelor, entitățile financiare aplică DORA (Regulamentul (UE) 2022/2554) ca lege specială, cu raportare către autoritatea competentă financiară, nu către DNSC. Detaliile sunt în ghidul complet al sectorului.

02Starea aplicării în 2026

Băncile au intrat în era NIS2 cu cel mai lung istoric de reglementare a riscului operațional din toate cele 18 sectoare — iar regimul lor real e DORA, aplicabil din ianuarie 2025, cu propriile cerințe de testare, registru al furnizorilor ICT și termene de raportare. Pentru o instituție de credit, „starea NIS2” înseamnă de fapt starea DORA: un singur cadru, o singură autoritate de supraveghere financiară, un singur set de ceasuri de raportare — OUG nr. 155/2024 recunoaște explicit acest regim dedicat.

Ce rămâne relevant din perspectiva NIS2 e perimetrul grupului: entitățile nefinanciare dintr-un grup bancar — o firmă de servicii IT interne, de exemplu — pot fi în scopul NIS2 pe cont propriu, cu obligațiile complete către DNSC. Starea practică a sectorului e deci matură pe entitatea financiară și mult mai puțin uniformă pe periferia de grup, unde încadrarea trebuie verificată entitate cu entitate.

Cadrul comun are aici o particularitate majoră: OUG nr. 155/2024 dă regim dedicat entităților aflate sub DORA (Regulamentul (UE) 2022/2554) — pentru managementul riscului ICT și raportarea incidentelor se aplică DORA ca lege specială, cu raportare către autoritatea competentă financiară, nu către DNSC. Fondul obligațiilor nu dispare: management de risc, incidente, continuitate, furnizori — cerute cel puțin la fel de strict, doar pe alt canal de supraveghere. Entitățile de grup care nu sunt financiare pot rămâne însă sub NIS2 pe cont propriu, cu obligațiile complete din OUG nr. 155/2024.

03Tabloul de amenințări

Tabloul de mai jos e calitativ — scenariile care definesc riscul sectorului acum, așa cum apar în evaluări și în practica de securitate, nu o statistică de incidente:

• Frauda prin compromiterea internet și mobile banking-ului rămâne amenințarea de volum: de la phishing pe clienți la atacuri asupra infrastructurii de autentificare.
• Indisponibilitatea serviciilor de plăți — prin DDoS sau prin incident la un furnizor critic — e scenariul cu vizibilitate publică imediată și raportare obligatorie.
• Riscul de concentrare pe furnizori critici (core banking externalizat, procesatori, cloud) e tratat explicit de DORA tocmai pentru că s-a dovedit sistemic: un furnizor căzut înseamnă mai multe instituții afectate simultan.
• BEC-ul și ingineria socială pe operațiuni produc pierderi directe fără nicio vulnerabilitate „tehnică” — iar apărarea ține de proces și de oameni, nu de perimetru.

04Cele 3 măsuri cu cel mai mare impact

Toate cele zece măsuri din art. 13 lit. a)–j) sunt obligatorii — dar nu mută riscul în mod egal. Dacă sectorul ar închide doar trei lacune în lunile următoare, analiza noastră le indică pe acestea:

• Securitatea lanțului de aprovizionare (art. 13 lit. d) · Directiva art. 21(2)(d)) — echivalentul e nucleul DORA: gestiunea furnizorilor ICT critici și registrul informațiilor; fondul cerinței e identic, doar cadrul diferă.
• Gestionarea incidentelor (art. 13 lit. g) · Art. 21(2)(b)) — procedura trebuie scrisă pe ceasurile DORA (4h/24h → 72h → 1 lună), cu roluri și șabloane pregătite înainte de primul incident, nu în timpul lui.
• Evaluarea eficacității măsurilor (art. 13 lit. b) · Art. 21(2)(f)) — cultura de testare (de la scanări la teste de reziliență) e cerința care desparte conformitatea pe hârtie de cea reală, iar DORA o cere explicit.

05Ce urmează

Direcția sectorului e consolidarea regimului DORA: testare de reziliență, registrul informațiilor privind furnizorii ICT, exerciții pe scenarii de indisponibilitate a furnizorilor critici. Pentru grupurile bancare, tema de urmărit e cartografierea periferiei: care entități de grup rămân sub NIS2 pe cont propriu și cine le ține obligațiile către DNSC — de la înregistrare (art. 18) la autoevaluarea anuală (art. 12 (4)). Strategia rațională rămâne „evaluezi o dată, acoperi ambele cadre”: același set de măsuri și de dovezi, mapat pe cerințele fiecărui regim.

06Metodologie și limite

Vrei imaginea completă? Raportul-pilon „Starea NIS2 în România 2026” leagă toate cele 18 mini-rapoarte sectoriale. Iar pentru propria organizație, încadrarea pornește de la sector, mărime și servicii — esențială, importantă sau în afara legii, plus pașii următori. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.