NIS2 în România: ghid complet 2026 pentru companii

NIS2 este Directiva (UE) 2022/2555 privind măsurile pentru un nivel comun ridicat de securitate cibernetică în Uniune. Înlocuiește prima directivă NIS, extinde mult numărul de sectoare și de companii vizate și pune accent pe răspunderea conducerii, gestionarea riscurilor și raportarea incidentelor. Statele membre trebuiau să o transpună până la 17 octombrie 2024.

România a transpus directiva prin OUG 155/2024, adoptată la sfârșitul lui decembrie 2024 și aprobată cu modificări prin Legea 124/2025. Autoritatea națională competentă și CSIRT-ul național este DNSC — Directoratul Național de Securitate Cibernetică. Pentru anumite sectoare există și autorități sectoriale care au atribuții proprii; verificați pe dnsc.ro cui vă adresați în sectorul vostru.

Regula generală este plafonul de mărime: intră entitățile medii și mari care activează în sectoarele din anexele I și II ale directivei. Mărimea se stabilește după definiția UE a IMM-urilor — în linii mari, de la 50 de angajați sau peste pragurile financiare ale unei întreprinderi mici.

• Anexa I — sectoare cu un grad ridicat de criticitate: de exemplu energie, transport, bancar, infrastructuri ale piețelor financiare, sănătate, apă potabilă și uzată, infrastructură digitală, gestionarea serviciilor TIC (B2B), administrație publică, spațiu.
• Anexa II — alte sectoare critice: de exemplu servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimente, fabricarea anumitor produse (dispozitive medicale, electronice, echipamente electrice, mașini, autovehicule), furnizori digitali, cercetare.

Unele entități intră indiferent de mărime, printre ele: prestatorii calificați de servicii de încredere, furnizorii de servicii DNS, registrele de nume de domenii de prim nivel, furnizorii de rețele sau servicii publice de comunicații electronice și entitățile care sunt singurul furnizor al unui serviciu esențial pentru societate sau economie.

Directiva împarte entitățile vizate în două categorii. Diferența nu este în ce trebuie să faceți — măsurile Art. 21 și raportarea incidentelor se aplică ambelor — ci în felul în care sunteți supravegheați și în nivelul sancțiunilor.

Încadrarea nu este doar o etichetă. Ea decide cât de pregătiți trebuie să fiți în orice moment: o entitate esențială trebuie să poată prezenta dovezi la cerere, fără să aștepte un incident, în timp ce o entitate importantă va fi verificată de regulă abia când apare un motiv. Practic, ambele au interesul să țină documentația și dovezile la zi — o supraveghere ex-post începe exact în momentul cel mai prost, imediat după un incident. Consemnați raționamentul încadrării și revizuiți-l când se schimbă activitatea sau mărimea firmei.

1. Înregistrarea la DNSC în termenul stabilit de legea națională (30 de zile de la încadrare, conform reglementării naționale), cu datele cerute de Art. 27 — pașii în ghidul de notificare DNSC.
2. Măsurile de gestionare a riscurilor din Art. 21(2) — zece domenii, de la analiza riscurilor la MFA, traduse în controale tehnice.
3. Raportarea incidentelor semnificative (Art. 23): avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună.
4. Guvernanța (Art. 20): conducerea aprobă măsurile, supraveghează implementarea, urmează instruire și poate răspunde personal — vedeți răspunderea conducerii.

Aceste patru obligații se susțin reciproc. Înregistrarea vă face vizibili pentru autoritate, măsurile Art. 21 reduc probabilitatea unui incident, procedura de raportare vă protejează când incidentul are totuși loc, iar implicarea conducerii asigură bugetul și deciziile fără de care primele trei rămân pe hârtie.

Ceasul pornește când organizația ia cunoștință de un incident semnificativ, nu când investigația este completă. Pe lângă autoritate, poate fi necesar să informați destinatarii serviciilor despre amenințări cibernetice semnificative care îi pot afecta. Pregătiți un șablon și desemnați dinainte cine trimite.

Directiva stabilește plafoane minime pentru amenzile maxime pe care statele membre trebuie să le poată aplica: pentru entitățile esențiale, cel puțin până la 10 milioane EUR sau 2% din cifra de afaceri globală anuală, iar pentru cele importante cel puțin până la 7 milioane EUR sau 1,4% — în fiecare caz valoarea mai mare. Sumele exacte aplicabile în România sunt cele din legea națională.

Pe lângă amenzi, autoritățile pot emite avertismente, instrucțiuni obligatorii și termene de remediere. Pentru entitățile esențiale, directiva prevede chiar posibilitatea de a interzice temporar unei persoane cu funcție de conducere (la nivel de director general sau reprezentant legal) să își exercite atribuțiile, până la remedierea deficiențelor.

1. Încadrare: stabiliți în scris sectorul, mărimea și categoria (esențial/important).
2. Înregistrare: depuneți datele la DNSC pe formularul oficial și desemnați un responsabil de actualizare.
3. Inventar și evaluare: inventariați activele și faceți o evaluare față de cele zece măsuri Art. 21.
4. Plan de remediere: prioritizați pe risc — MFA, backup testat, patch-uri, acces furnizori.
5. Incidente: procedură scrisă, registru, șabloane și un exercițiu de simulare.
6. Conducere: aprobare formală, instruire pentru membrii conducerii, revizuire periodică.