Pe scurt: NIS2 se aplică în România prin OUG 155/2024, modificată prin Legea 124/2025 și Legea 123/2026. Dacă firma dumneavoastră activează într-un sector din anexele legii și are cel puțin 50 de angajați sau o cifră de afaceri de peste 10 milioane de euro, intrați probabil în categoria entităților esențiale sau importante. Termenele nu curg de la data legii, ci de la decizia primită de la DNSC, iar amenzile încep de la 1.000 de lei, nu de la milioane de euro.
Cine intră sub incidența NIS2
Două condiții trebuie îndeplinite simultan: sectorul de activitate și dimensiunea companiei.
Sectorul. Legea împarte domeniile în două anexe. Entitățile esențiale vin din sectoare precum energie, transport, bănci și infrastructuri ale pieței financiare, sănătate, apă potabilă și uzată, infrastructură digitală, administrație publică. Entitățile importante acoperă servicii poștale și de curierat, gestionarea deșeurilor, industria alimentară, producția și chimia, furnizorii de servicii digitale, cercetarea. Legea 124/2025 a extins lista, de exemplu către anumiți distribuitori și revânzători din zona farmaceutică, identificați prin coduri CAEN.
Dimensiunea. Regula generală este „mijlocie și peste”: cel puțin 50 de angajați sau o cifră de afaceri anuală de peste 10 milioane de euro. Unii furnizori intră în domeniul de aplicare indiferent de mărime, de exemplu furnizorii de servicii de încredere sau anumite servicii de infrastructură digitală.
Dacă activați în două sau mai multe sectoare din anexe, legea cere să aplicați măsurile nivelului celui mai înalt care vi se aplică. Nu puteți alege regimul mai ușor.
Termenele curg de la decizia DNSC, nu de la lege
Aceasta este confuzia cea mai frecventă. Singurul termen legat de intrarea în vigoare a ordonanței a fost prima fereastră de notificare. Tot restul se calculează altfel.
- Notificarea la DNSC: 30 de zile de la data la care prevederile devin aplicabile companiei dumneavoastră. O firmă care a crescut peste pragurile de mai sus în 2026 are propria fereastră de 30 de zile, nu a pierdut un termen din ianuarie 2025.
- Decizia DNSC: 60 sau 150 de zile. Directoratul emite decizia de identificare și înscriere în registru în 60 de zile de la notificare pentru entitățile esențiale și în 150 de zile pentru cele importante.
- Desemnarea responsabilului de securitate: 30 de zile de la comunicarea deciziei. Este vorba de „responsabilul cu securitatea rețelelor și sistemelor informatice”, persoana care implementează și supraveghează măsurile.
O entitate importantă poate afla după aproape cinci luni că este entitate importantă. Abia atunci începe propriul calendar de obligații.
Ce trebuie să notificați
Notificarea se face prin instrumentul NIS2@RO și Platforma NIS2@RO, în forma stabilită prin Ordinul 1/2025. Conține datele de identificare și de contact, sectorul și subsectorul din anexă, statele membre în care furnizați servicii și intervalele de adrese IP publice ale companiei.
Ultimul element este, în practică, cel care întârzie cel mai des notificarea. Multe companii nu au documentat ce adrese IP publice folosesc și prin ce furnizori. Dacă nu știți să răspundeți acum la întrebarea aceasta, este un bun motiv de inventariere, independent de NIS2.
Obligațiile conducerii
Legea pune răspunderea pe organul de conducere, nu pe departamentul IT. Trei obligații distincte:
- Formare profesională acreditată pentru membrii conducerii, suficientă pentru a identifica riscurile și a evalua practicile de administrare a riscului cibernetic. O prezentare internă nu acoperă această cerință; cursul trebuie să fie acreditat. Întregul personal trebuie instruit periodic.
- Mijloace permanente de contact și resurse alocate pentru implementarea măsurilor.
- Desemnarea responsabilului de securitate, în 30 de zile de la decizia DNSC, cu înregistrarea desemnării.
Raportarea incidentelor: 24 de ore, 72 de ore, o lună
Termenele curg din momentul în care luați cunoștință de incidentul semnificativ, nu din momentul în care el s-a produs.
- 24 de ore: avertizarea timpurie către CSIRT-ul național de la DNSC, cu mențiunea dacă incidentul pare cauzat de fapte ilicite sau dacă poate avea impact transfrontalier.
- 72 de ore: raportul de incident, cu evaluarea inițială a severității și impactului și, dacă există, indicatorii de compromitere.
- O lună de la tratarea incidentului: raportul final, cu descrierea detaliată, tipul amenințării sau cauza principală, măsurile aplicate și impactul transfrontalier.
Un incident este semnificativ dacă a provocat o perturbare operațională gravă a serviciilor sau pierderi financiare entității, sau daune materiale ori morale considerabile altor persoane. Oricare dintre cele două situații este suficientă.
Stabiliți din timp cine are dreptul să declare un incident ca fiind semnificativ. Într-o sâmbătă dimineață, 24 de ore trec repede.
Autoevaluarea anuală
România a adăugat o obligație recurentă pe care multe transpuneri naționale nu o au: o autoevaluare anuală a maturității măsurilor de administrare a riscului, transmisă la DNSC și asumată de conducere.
Entitățile esențiale au apoi 30 de zile pentru a întocmi și transmite un plan de măsuri de remediere a deficiențelor identificate. Neanunțarea implementării planului sau netransmiterea dovezilor în termenul asumat sunt contravenții în sine. O companie poate fi sigură din punct de vedere tehnic și, totuși, sancționată pentru că a ratat ciclul anual.
Amenzile: cifrele reale
Sumele de 10 milioane și 7 milioane de euro care circulă în presă sunt plafonul a două benzi din cinci. Legea stabilește o scară în lei, cu un minim pentru fiecare bandă.
| Categorie | Interval |
|---|---|
| Entitate importantă, încălcări privind administrarea riscului și raportarea | de la 5.000 lei, până la 7.000.000 euro în echivalent lei sau 1,4% din cifra de afaceri mondială |
| Entitate esențială, aceleași categorii | de la 10.000 lei, până la 10.000.000 euro în echivalent lei sau 2% din cifra de afaceri mondială |
| Entitate importantă, al doilea grup de obligații | 1.000 – 300.000 lei |
| Entitate esențială, al doilea grup | 1.500 – 500.000 lei |
| Orice entitate, al treilea grup | 1.000 – 100.000 lei |
Pentru majoritatea contravențiilor, intervalul care se aplică efectiv unei companii din România este 1.000 – 300.000 lei. Încălcările grave, adică repetarea unei fapte, obstrucționarea auditului sau furnizarea de informații false, se sancționează cu 3.000 – 600.000 lei, iar la repetare limitele se majorează cu jumătate.
De unde începeți, practic
- Stabiliți dacă intrați în domeniul de aplicare, pe sector și pe dimensiune. Instrumentul NIS2@RO publicat de DNSC, un fișier Excel care se completează local, ajută la autoevaluarea încadrării și generează formularul de notificare.
- Inventariați infrastructura: ce sisteme susțin serviciile, ce adrese IP publice folosiți, cine are acces la ce, unde sunt datele.
- Notificați DNSC în termen și notați-vă data deciziei, pentru că de la ea curg celelalte termene.
- Desemnați responsabilul de securitate și înscrieți conducerea la un curs acreditat.
- Puneți la punct măsurile tehnice: autentificare multi-factor, segmentarea rețelei, firewall configurat, protecția stațiilor, backup cu teste de restaurare, jurnalizare și alerte.
- Documentați procedura de raportare și stabiliți cine declară un incident semnificativ.
- Puneți autoevaluarea anuală în calendar, nu în planul de proiect.
Ce facem noi și ce rămâne în sarcina dumneavoastră
PRO IT implementează și administrează partea tehnică: evaluarea riscurilor cu raport pentru conducere, firewall Fortinet, protecție endpoint Sophos, autentificare multi-factor și politici de acces, backup cu teste de restaurare, monitorizare și documentarea infrastructurii. Pentru pregătirea deciziilor avem auditul IT, care vă arată unde vă aflați față de cerințele de mai sus.
Încadrarea juridică, notificarea la DNSC, desemnarea formală a responsabilului și asumarea documentelor de către conducere rămân responsabilitatea companiei, de regulă împreună cu consultantul juridic. Nu vindem „conformitate NIS2” ca produs; niciun furnizor IT nu poate garanta conformitatea în locul conducerii.
Articolul are caracter informativ general și reflectă legislația în vigoare la data publicării: OUG 155/2024, aprobată cu modificări prin Legea 124/2025 și modificată prin Legea 123/2026, împreună cu Ordinele DNSC 1/2025 și 2/2025. Nu constituie consultanță juridică. Pentru încadrarea exactă a companiei dumneavoastră, consultați textul legal pe Portal Legislativ, informațiile oficiale de pe site-ul DNSC și un consultant juridic.
