Un magazin online funcționează azi rareori ca sistem de sine stătător. În fundal se leagă de el gestiunea stocurilor, facturarea, plata online, conexiunile cu firmele de curierat, sistemul ERP, API-uri externe și diverse permisiuni de utilizator. Ceea ce pentru cumpărător pare un simplu webshop e în realitate parte dintr-un mediu IT mult mai complex.
Pe măsură ce o afacere de e-commerce crește, e tot mai greu de separat net webshopul de infrastructura care funcționează în spatele lui. De aceea, o problemă de securitate nu apare neapărat prin magazinul online în sine: poate porni și dintr-un cont de utilizator compromis, dintr-o gestionare greșită a permisiunilor sau dintr-o integrare externă vulnerabilă. Reglementarea de securitate cibernetică analizează, de aceea, funcționarea afacerii mult mai larg.
În cazul NIS2, prima întrebare cea mai bună nu e, de aceea, „webshopul meu corespunde cerințelor NIS2?”. Mai întâi trebuie clarificat dacă firma care operează magazinul online intră, în general, sub incidența reglementării. Dacă da, trebuie analizat separat și ce obligații i se aplică și dacă printre acestea figurează auditul obligatoriu de securitate cibernetică. A intra sub incidența NIS2 și obligația de audit nu sunt același lucru.
Nu orice webshop e obligat la NIS2
NIS2 a extins semnificativ reglementarea de securitate cibernetică a Uniunii Europene. Reglementarea stabilește cercul celor vizați pe baza sectoarelor și a tipurilor de organizații. Anexele 2 și 3 ale legii numesc, printre altele, firme din energetică, transport, sănătate, infrastructură digitală, servicii poștale, industrie alimentară, industrie chimică și anumiți producători, iar printre furnizorii de servicii digitale apar și piețele online. Asta nu înseamnă însă că orice firmă care vinde pe internet e automat obligată la NIS2. Un comerciant care își vinde propriile produse în propriul webshop nu se califică, în sine, drept piață online.
Piața online e o platformă care permite și altor comercianți sau utilizatori să încheie prin ea contracte la distanță. Tipic, deci, pe aceeași platformă apare oferta mai multor vânzători, ceea ce diferă esențial de funcționarea magazinului online propriu al unui singur comerciant. Aceasta e una dintre cele mai importante diferențe pe care operatorul unui webshop trebuie să le vadă limpede.
Când e vizat un magazin online?
Nu trebuie analizat în primul rând dacă există coș și plată online pe site, ci ce activitate economică desfășoară firma din spatele magazinului online.
Se poate întâmpla, de exemplu, ca o firmă să vândă online produse fabricate de ea, în timp ce activitatea de producție în sine intră într-unul dintre sectoarele vizate de Legea securității cibernetice. O altă firmă operează o piață online sau oferă un serviciu digital pe care legea îl numește separat.
În anexa 3 a legii figurează mai multe domenii relevante și din perspectivă e-commerce. Aici pot intra anumite firme din industria alimentară, producători și distribuitori de substanțe chimice, producători de dispozitive medicale, anumiți producători industriali, furnizori de servicii poștale și piețele online. Faptul de a fi vizat trebuie însă judecat întotdeauna pe baza activității efective a firmei.
Un webshop care comercializează produse electronice nu devine deci automat vizat doar pentru că vinde produse a căror fabricare figurează în lege. Activitatea comercială și cea de producție nu sunt identice din acest punct de vedere.
Contează și dimensiunea
Încadrarea sectorială nu determină în sine, în toate cazurile, obligația. Reglementarea maghiară actuală vizează, ca regulă generală, acele organizații din anexele 2 și 3 care ating dimensiunea de companie stabilită în lege sau alte condiții de mărime.
Legea operează, printre altele, cu un număr de angajați de cel puțin 50 de persoane, respectiv, în anumite cazuri, cu pragul de cifră de afaceri și de total de bilanț echivalent cu 10 milioane de euro. Acesta poate fi deja un ordin de mărime relevant și pentru numeroase afaceri de e-commerce cu trafic mai mare.
Încadrarea nu se poate rezolva însă întotdeauna prin verificarea numărului de angajați și a cifrei de afaceri anuale ale respectivului SRL. La grupurile de companii, la întreprinderile legate și partenere, calificarea de IMM poate necesita o analiză separată. La un webshop care funcționează în mai multe țări, are producție proprie sau e operat prin mai multe persoane juridice nu e voie, de aceea, să pornești exclusiv de la traficul propriu al magazinului online.
Există și câteva categorii independente de dimensiune
La anumite organizații, reglementarea nu pornește de la dimensiunea clasică de companie. Așa pot fi, de exemplu, furnizorul de comunicații electronice, furnizorul de servicii de încredere sau DNS, registrul de nume de domenii de nivel superior, respectiv furnizorul care face înregistrare de nume de domenii, cărora li se pot aplica reguli speciale.
De aceea, des invocata „limită NIS2 de 50 de persoane” e ușor înșelătoare. Nu e adevărată simplificarea că sub cincizeci de angajați sigur nu ai nimic de făcut, iar peste cincizeci sigur ai. Sectorul, dimensiunea firmei, activitatea ei efectivă și eventualul statut juridic special trebuie analizate împreună.
Și cui îi e obligatoriu auditul în sine?
Aceasta e o altă linie de demarcație importantă. Pe baza Legii maghiare a securității cibernetice, organizațiile obligate la audit trebuie să dovedească regulat, cu implicarea unui auditor independent, că îndeplinesc cerințele de securitate cibernetică prescrise.
Regula generală prevede un audit de securitate cibernetică la fiecare doi ani. Organizațiile nou înregistrate trebuie să încheie în termen de 120 de zile un acord cu un auditor care figurează în registrul corespunzător, iar primul audit trebuie efectuat, ca regulă generală, în termen de doi ani de la înregistrare.
Potrivit informării SZTFH din 10 iulie 2026, din cele 2520 de organizații obligate la audit înregistrate, 2132 și-au îndeplinit la termen această obligație.
Auditul nu e o simplă verificare de securitate a site-ului
În mediu de webshop e ușor să-ți imaginezi auditul de securitate cibernetică așa: un specialist verifică magazinul online, rulează câteva scanări de vulnerabilități, apoi emite un certificat. Realitatea e mult mai complexă.
NIS2 nu se concentrează pe protecția unui singur site, ci analizează riscurile ansamblului rețelelor și sistemelor informatice folosite pentru funcționarea organizației. Aici intră, printre altele, analiza de risc, gestionarea incidentelor, continuitatea afacerii, backupul și restaurarea, securitatea lanțului de aprovizionare, gestionarea accesurilor, criptografia, instruirea angajaților, precum și, în cazuri justificate, autentificarea multifactor.
La un magazin online, de aceea, în sfera analizată poate intra nu doar webshopul în sine, ci și ERP-ul, sistemul de depozit și de gestiune, e-mailul companiei, dispozitivele angajaților, accesurile de administrator, API-urile și integrările legate de serviciile externe. Asta e deja mult mai mult decât verificarea existenței unui certificat SSL pe site.
Nici un webshop închiriat nu „ia” NIS2 de pe umerii comerciantului
Aici e important să separăm responsabilitatea platformei de webshop de cea a firmei care o folosește. Un sistem SaaS modern preia numeroase sarcini tehnice de la comerciant: nu el trebuie să opereze propriul server web, să instaleze actualizări de securitate sau să supravegheze întregul cod al aplicației. E un avantaj serios, dar nu înseamnă că o firmă aflată sub incidența NIS2 îndeplinește automat cerințele doar pentru că folosește un sistem de webshop închiriat sigur. Conformitatea se referă la organizație în ansamblul ei.
NIS2 acordă o atenție specială riscurilor reprezentate de lanțul de aprovizionare și de furnizorii externi. O afacere de e-commerce obligată la audit trebuie, de aceea, să știe și pe ce sisteme externe se bazează, la ce date au acces acestea și cât de critice sunt din punct de vedere al continuității afacerii.
Ce înseamnă asta în cazul folosirii unui magazin online Sellvio?
Sellvio oferă mai multe posibilități tehnice care se potrivesc bine unei funcționări conștiente din punct de vedere al securității cibernetice. La interfața de administrare, de exemplu, se poate activa autentificarea cu doi factori, astfel, pe lângă parolă, poate fi necesar și un cod de unică folosință pentru autentificare. Asta e deosebit de important acolo unde există acces la comenzi, date de clienți, prețuri și setări care influențează funcționarea webshopului.
Sistemul asigură și o gestionare detaliată a permisiunilor. Utilizatorii noi nu primesc automat acces complet, iar administratorul poate regla la nivel de utilizator și de grup cine ce poate vedea, edita sau șterge. Astfel, de exemplu, un editor de conținut nu trebuie să aibă acces la administrarea utilizatorilor sau la alte module de care nu are nevoie.
Asta urmează bine principiul de bază potrivit căruia fiecare utilizator să aibă acces doar la sistemele și datele de care are nevoie efectiv pentru munca lui.
La API-uri permisiunile sunt deosebit de importante
Un webshop mai mare funcționează rareori izolat. Datele circulă continuu între magazinul online, ERP, sistemul de gestiune a depozitului, programul de facturare, sistemul logistic și alte aplicații externe. Cu cât se construiesc mai multe astfel de conexiuni, cu atât e mai important să reglezi exact la ce date poate avea acces fiecare integrare.
REST API-ul Sellvio folosește autentificare bazată pe OAuth 2.0, iar accesurile pot fi reglate prin sfere de permisiuni separate, așa-numitele scope-uri. Astfel, o integrare nu trebuie să primească automat acces la întregul set de date al webshopului, ci doar la datele de care are nevoie efectiv. Din perspectivă de securitate cibernetică, asta e o diferență esențială. Cu cât accesul unui sistem extern e mai restrâns și mai precis definit, cu atât e mai mic riscul în cazul unei configurări greșite sau al unei integrări compromise.
Patru întrebări pe care merită să și le pună orice webshop mai mare
Activitatea efectivă a firmei figurează printre sectoarele vizate de Legea securității cibernetice? Nu contează în sine existența webshopului, ci activitatea organizației din spatele lui.
Atinge firma pragul de dimensiune aplicabil sau intră într-o categorie specială pentru care sunt valabile reguli diferite?
De ce sisteme informatice electronice depinde funcționarea afacerii? Pe lângă webshop, aici pot intra ERP-ul, CRM-ul, gestiunea depozitului, facturarea, e-mailul și integrările API.
Se poate dovedi că măsurile de securitate nu există doar pe hârtie, ci chiar funcționează efectiv? La un audit, aceasta e o întrebare fundamentală.
Dacă nici la primele două puncte nu se poate da un răspuns clar, merită clarificată încadrarea NIS2 a firmei cu implicarea unui specialist.
Notă juridică: articolul e o informare profesională generală și nu reprezintă o poziție juridică sau oficială. Incidența NIS2 și a Legii securității cibernetice trebuie judecată în fiecare caz pe baza activității, dimensiunii, poziției în cadrul grupului de companii și a altor circumstanțe juridice ale firmei respective.