NIS2 in Romania: cine intra si ce tine de IT

Prima amenda data de DNSC pe NIS2 n-a avut legatura cu vreun atac. Pe 29 septembrie 2026, directoratul a amendat cu 50.000 de lei un organ de specialitate al administratiei publice centrale care nu se notificase in termen pentru inscrierea in registru. Pentru o entitate esentiala, fapta asta are plafonul la 500.000 de lei.

NIS2 a intrat in legea romaneasca prin OUG 155/2024 si se aplica firmelor mijlocii si mari din 18 sectoare, plus catorva tipuri de entitati, indiferent de marime. Daca firma ta e pe lista, ai de facut trei lucruri mari: te inscrii la DNSC, numesti un responsabil cu securitatea retelelor si pui la punct masurile de securitate. Doar ultimul tine, in mare parte, de IT.

OUG 155/2024 se aplica dupa sector si dupa marime

Pentru cele mai multe firme, testul are doua intrebari, iar raspunsul trebuie sa fie da la amandoua.

Prima e sectorul. Ordonanta, aprobata cu modificari prin Legea 124/2025, imparte domeniile in doua anexe:

• Anexa 1, sectoare de importanta critica ridicata: energie, transport, bancar, infrastructuri ale pietei financiare, sanatate, apa potabila, ape uzate, infrastructura digitala, servicii IT gestionate pentru alte firme, administratie publica centrala, spatiu.
• Anexa 2, alte sectoare critice: servicii postale si de curierat, gestionarea deseurilor, substante chimice, alimente (productie industriala, prelucrare, distributie en-gros), fabricarea de dispozitive medicale, calculatoare si electronice, echipamente electrice, masini si utilaje, autovehicule si alte mijloace de transport, furnizori digitali, cercetare.

Furnizorii digitali din anexa 2 sunt pietele online, motoarele de cautare si retelele sociale. Legea defineste piata online ca serviciul prin care consumatorii incheie contracte cu alti comercianti, deci, dupa citirea noastra, un magazin online care isi vinde doar produsele proprii nu intra prin categoria asta. Un marketplace pe care vand si alti comercianti intra, daca trece de pragul de marime de mai jos.

A doua intrebare e marimea. Ordonanta trimite la Legea 346/2004, dupa care firma mijlocie are intre 50 si 249 de salariati si o cifra de afaceri de pana la 50 de milioane de euro sau active de pana la 43 de milioane. Peste aceste praguri, firma e mare. Firmele mari din anexa 1 sunt entitati esentiale, iar celelalte firme mijlocii si mari din cele doua anexe sunt, cu cateva exceptii, entitati importante. Microintreprinderile si firmele mici raman, ca regula, in afara.

Doua detalii schimba raspunsul pentru multe firme. Marimea se socoteste cu grupul: Legea 346/2004 aduna integral datele firmelor legate, deci un SRL cu 20 de oameni dintr-un grup de 300 face socoteala cu tot grupul. Iar o firma sub 50 de salariati, dar cu cifra de afaceri si active de peste 10 milioane de euro, e un caz de granita pe care, dupa citirea noastra, textul romanesc nu-l lamureste direct. Acolo intreaba un jurist.

Indiferent de marime intra administratia publica centrala, furnizorii de retele si servicii publice de comunicatii electronice, prestatorii de servicii de incredere (semnatura electronica, de exemplu), furnizorii de servicii DNS, registrele de domenii de prim nivel, entitatile critice si firmele pe care DNSC le identifica individual, de pilda pentru ca sunt singurul furnizor al unui serviciu esential.

Lista din Romania e mai lunga decat directiva NIS2

Directiva NIS2, adica Directiva (UE) 2022/2555, e de armonizare minima: statele pot cere mai mult. Romania a cerut. Ordonanta adauga categorii pe care directiva nu le are:

• la sanatate, distributia de medicamente si comertul cu amanuntul de produse farmaceutice in magazine specializate, adica farmaciile (codurile CAEN 4646 si 4773);
• la energie, beneficiarii proiectelor finantate din Fondul pentru Modernizare;
• la transportul aerian, operatorii de intretinere a aeronavelor si agentii aeronautici civili.

Pragul de marime ramane valabil si aici. Un lant de farmacii cu 60 de angajati e pe lista, o farmacie de cartier cu sase oameni nu. Daca ai citit despre NIS2 doar din materiale scrise pe textul directivei, verifica anexele ordonantei, nu pe cele europene.

Inscrierea la DNSC are termen, si a trecut

Articolul 18 cere notificarea catre DNSC in cel mult 30 de zile. Cerintele pentru notificare au aparut prin Ordinul DNSC nr. 1/2025, publicat pe 20 august 2025, iar DNSC a anuntat ca termenul general a expirat pe 22 septembrie 2025 si ca obligatia ramane si dupa. Pentru o firma care ajunge pe lista mai tarziu, de pilda pentru ca a crescut, cele 30 de zile curg de la data la care ordonanta incepe sa i se aplice.

Neinscrierea e contraventie chiar inainte ca DNSC sa te fi identificat: articolul 60 vorbeste despre entitatile din sectoarele din anexe, nu despre cele deja inscrise. Amenda e de la 1.000 la 300.000 de lei pentru o entitate importanta si de la 1.500 la 500.000 de lei pentru una esentiala, iar jumatate din ea se poate plati in 15 zile. Dupa termen, DNSC te poate notifica din oficiu sau la sesizarea oricarei persoane interesate.

Dupa inscriere, termenele curg unul dupa altul:

Coloana din dreapta e citirea noastra. Legea pune raspunderea pe organele de conducere, care aproba masurile, le supravegheaza aplicarea si raspund pentru incalcari (art. 14).

Responsabilul NIS nu poate fi omul de IT, la entitatile esentiale

Conducerea numeste responsabilii cu securitatea retelelor si sistemelor informatice, pe scurt, responsabilii NIS. La entitatile esentiale, cu exceptia administratiei publice, a microintreprinderilor si a firmelor mici, responsabilul trebuie sa aiba autoritate manageriala, sa raspunda direct conducerii, sa lucreze independent de structurile de IT si de tehnologie operationala si sa absolve, in 12 luni de la numire, un curs acreditat, recunoscut de DNSC.

Independenta e conditia care conteaza: cine administreaza serverele nu poate fi si cel care urmareste daca sunt administrate cum trebuie. Dupa citirea noastra, nici furnizorul extern de IT nu poate fi responsabilul unei entitati esentiale, fiindca nu are autoritate manageriala in firma ta. La entitatile importante, conditiile astea nu sunt cerute, iar alegerea ramane a conducerii.

Conducerea are si obligatii personale: membrii ei urmeaza cursuri acreditate de securitate cibernetica, iar firma asigura instruirea regulata a intregului personal (art. 14 alin. 2). Cursurile neurmate de conducere sunt contraventie separata (art. 60 alin. 1 lit. h).

Ce parte din NIS2 e treaba IT-ului

Articolul 13 din ordonanta da lista minima de masuri. Ordinul DNSC nr. 1/2026, publicat pe 27 august 2026, le transforma in controale, pe trei niveluri de asigurare: de baza, important si esential. Nivelul se stabileste dupa nivelul de risc al firmei, calculat cu metodologia DNSC. Anexele cu controalele sunt in Monitorul Oficial nr. 712 bis, nu pe portalul legislativ gratuit.

Lista amesteca politici si decizii cu lucruri care se fac in sisteme. Partea din sisteme e cea pe care o poate face furnizorul de IT:

Coloana din dreapta e recomandarea noastra, nu textul ordinului. La autentificare, nu orice metoda tine: am explicat separat de ce codul prin SMS nu opreste phishingul. La copii, primul lucru de verificat e daca datele din cloud au copie in afara furnizorului, fiindca Microsoft 365 si Google Workspace nu sunt backup.

Restul listei ramane la conducere si la consultant: politicile de analiza a riscurilor si de evaluare a masurilor, securitatea lantului de aprovizionare, securitatea resurselor umane, planul de continuitate si de criza, instruirea, din care IT-ul poate face doar partea practica, cum sunt emailurile de test trimise angajatilor. Plus inscrierea, responsabilul si autoevaluarea pe care o semneaza conducerea.

Inainte de autoevaluare, doua detalii. Un control poate fi declarat “nu se aplica” doar in limite stricte, cel mult unul la nivelul de baza, trei la important si cinci la esential, fiecare justificat in scris, iar masurile-cheie nu pot fi excluse deloc (Ordinul DNSC nr. 2/2026). Si jurnalele nu sunt optionale: ordonanta cere explicit jurnalizarea si trasabilitatea tuturor activitatilor din retele si sisteme.

Masurile sunt si partea cu amenzile mari. Pentru masurile care lipsesc, pentru raportarea incidentelor si pentru obligatiile conducerii, amenda merge pana la 10 milioane de euro sau 2% din cifra de afaceri anuala mondiala la entitatile esentiale si pana la 7 milioane de euro sau 1,4% la cele importante, oricare suma e mai mare (art. 60 alin. 2).

Auditul NIS2 il face altcineva decat cel care ti-a pus masurile

Entitatile esentiale si importante trec printr-un audit de securitate cibernetica, cu periodicitatea stabilita de DNSC dupa nivelul de risc (art. 11 alin. 5). Il face un auditor cu atestat DNSC. Legea ii opreste insa pe auditorii care iti asigura curent servicii de securitate cibernetica si pe cei care au avut, in ultimul an, un contract de servicii pentru sistemul auditat (art. 58 alin. 3).

Consecinta practica: prin lege, furnizorul care iti pune masurile nu poate fi si auditorul care le verifica. Daca cineva iti ofera pachetul complet, implementare plus audit pe aceleasi sisteme, intreaba-l cum se impaca asta cu articolul 58. Dupa raportul de audit ai 15 zile lucratoare sa trimiti la DNSC planul de remediere.

Un incident semnificativ se anunta in 24 de ore

Un incident e semnificativ cand a provocat sau poate provoca perturbari operationale grave ori pierderi financiare firmei, sau prejudicii considerabile altora. Se raporteaza prin platforma nationala PNRISC, in trei timpi: avertizarea timpurie in cel mult 24 de ore de cand afli de el, notificarea cu evaluarea initiala in cel mult 72 de ore si raportul final in cel mult o luna de la notificare (art. 15).

Termenul curge de cand firma afla de incident, nu de cand a inceput. Partea IT-ului e ca firma sa afle repede: un atac vazut luni dimineata, dupa ce a rulat tot weekendul, e un incident mai mare, raportat la fel de grabit.

Nota: Legea 58/2023, despre securitatea si apararea cibernetica a Romaniei, nu e transpunerea NIS2. Se aplica institutiilor publice, firmelor care le furnizeaza comunicatii electronice si celor care presteaza servicii publice ori de interes public, si cere notificarea incidentelor prin aceeasi platforma in cel mult 48 de ore (art. 21). Daca firma e si entitate esentiala sau importanta dupa OUG 155/2024, la raportare se aplica regulile din ordonanta (art. 17 din OUG).

Daca nu esti pe lista, cerintele vin de la clienti

Firma mica scapa de obligatiile directe, nu si de clientii ei. Entitatile din NIS2 trebuie sa tina seama, in masurile lor, de vulnerabilitatile fiecarui furnizor direct, de calitatea produselor lui si de practicile lui de securitate, inclusiv de cum isi dezvolta produsele (art. 11 alin. 8 si art. 13 lit. d). DNSC le poate cere si lista furnizorilor de cloud, de centre de date si de servicii IT gestionate pe care ii folosesc (art. 11 alin. 9).

Legea nu spune cum se verifica furnizorii. Dupa citirea noastra, asta inseamna chestionare de securitate la ofertare si clauze noi in contracte. Un furnizor mic al unei fabrici mijlocii sau al unui lant de farmacii poate primi intrebari despre autentificare, copii de rezerva, actualizari si cine are acces la ce. Cine are deja raspunsurile scrise trece mai usor de achizitii.

Ce faci saptamana asta

Daca esti intr-unul din cele 18 sectoare si firma, socotita cu tot grupul, are cel putin 50 de salariati, ordinea e simpla. Intai verifici daca esti inscris la DNSC. Daca nu esti, inscrierea vine prima, fiindca e obligatia pentru care DNSC a dat prima amenda. Apoi conducerea numeste responsabilul si porneste evaluarea de risc. In paralel, cere-i celui care se ocupa de IT starea celor sapte masuri din tabel, in scris.

Daca nu esti pe lista, dar vinzi catre firme care sunt, pregateste raspunsurile la aceleasi sapte intrebari inainte sa ti le puna clientul. Noi facem partea tehnica, nu inscrierea, politicile sau auditul. Prima verificare de securitate IT e gratuita si iti arata pe unde se poate intra, ordonat dupa cat te-ar costa fiecare problema.