Din septembrie 2026, NIS2 nu mai este un subiect de conferință. DNSC a început procedurile de sancționare, deocamdată pentru firmele care nu s-au înregistrat. Amenzile din lege pornesc de la 1.000 de lei și pot ajunge la 10 milioane de euro sau la un procent din cifra de afaceri.
Majoritatea antreprenorilor cu care vorbim au auzit de NIS2 și au două întrebări: „se aplică și la mine?” și „ce trebuie să fac concret?”. Articolul răspunde la amândouă, în ordinea asta.
Un avertisment necesar: nu suntem avocați, iar încadrarea unei firme se face pe situația ei concretă. Ce urmează este un ghid de orientare, nu o opinie juridică.
Ce este NIS2, pe scurt
NIS2 este directiva europeană privind securitatea cibernetică a rețelelor și sistemelor informatice. Scopul ei este simplu de formulat: firmele de care depinde funcționarea economiei și a societății trebuie să aibă un nivel minim, verificabil, de securitate cibernetică, și trebuie să raporteze incidentele serioase.
În România, directiva a fost transpusă prin OUG 155/2024, în vigoare din 30 decembrie 2024, aprobată și modificată prin Legea 124/2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC), care ține registrul entităților, primește raportările de incidente și aplică sancțiunile.
Legea împarte firmele vizate în două categorii: entități esențiale (în general, firmele mari din sectoarele critice) și entități importante (firmele mari și mijlocii din sectoarele vizate care nu sunt esențiale). Obligațiile sunt asemănătoare, dar supravegherea și amenzile diferă.
Se aplică firmei tale? Trei întrebări
Cea mai mare dificultate practică a NIS2 este tocmai stabilirea domeniului de aplicare. Nu orice firmă care folosește calculatoare intră sub incidența legii. Verificarea se face în trei pași.
1. Activezi într-un sector din anexele legii?
Anexele 1 și 2 ale OUG 155/2024 listează sectoarele vizate. Printre ele: energie, transporturi, sectorul bancar și infrastructurile pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, comunicații electronice, servicii cloud și centre de date, servicii IT și de securitate gestionate, administrație publică, servicii poștale și curierat, gestionarea deșeurilor, producția și distribuția de alimente, industria chimică, anumite activități de producție (inclusiv dispozitive medicale, electronice, mașini și echipamente), piețe online, motoare de căutare, platforme sociale și organizații de cercetare.
Atenție la un detaliu: anexele descriu tipuri concrete de entități, nu doar sectoare. Codul CAEN principal nu este suficient pentru încadrare. Contează activitatea efectivă.
2. Ești întreprindere mijlocie sau mare?
Ca regulă generală, NIS2 se aplică firmelor din aceste sectoare care depășesc pragul de întreprindere mică: cel puțin 50 de angajați sau o cifră de afaceri și un bilanț anual de peste 10 milioane de euro. Microîntreprinderile și firmele mici sunt, în general, în afara domeniului de aplicare.
Două nuanțe care prind multe firme pe picior greșit. Prima: dimensiunea se calculează inclusiv cu întreprinderile partenere sau legate, deci o firmă mică dintr-un grup poate fi încadrată prin grup. A doua: legea trimite la criteriile din Legea 346/2004, iar pragurile de acolo nu se citesc întotdeauna intuitiv. Când cifrele sunt aproape de prag, merită o verificare atentă.
3. Ești un caz special?
Anumite categorii intră sub incidența legii indiferent de dimensiune: furnizorii de servicii DNS, registrele de nume de domenii, prestatorii calificați de servicii de încredere, administrația publică centrală. În plus, DNSC poate încadra o firmă drept esențială sau importantă dacă este unicul furnizor al unui serviciu critic sau dacă întreruperea serviciului ei ar afecta semnificativ sănătatea, siguranța publică sau economia.
Dacă răspunsul la primele două întrebări este „da”, sau dacă te afli într-o zonă gri, recomandarea DNSC este să completezi evaluarea prin instrumentele NIS2@RO și să transmiți notificarea. DNSC analizează și comunică dacă firma este esențială, importantă sau în afara domeniului de aplicare. Nu firma decide singură.
„Nu intru direct.” Bine, dar clienții tăi intră
Aici este partea pe care majoritatea IMM-urilor o ratează.
Printre măsurile obligatorii pentru entitățile esențiale și importante se află securitatea furnizorilor și a lanțului de aprovizionare. O firmă aflată sub NIS2 trebuie să gestioneze riscul pe care i-l aduc furnizorii ei. În practică, asta înseamnă că îți va cere: clauze de securitate în contract, obligația de a o notifica în caz de incident, dovezi că ai măsuri de bază implementate, uneori drept de audit.
Dacă furnizezi servicii IT, software, mentenanță, logistică, contabilitate sau orice altceva unei firme din sectoarele de mai sus, aceste cerințe ajung la tine prin contract, nu prin lege. Iar răspunsul „noi nu suntem sub NIS2” nu te scapă de ele. Te scoate din lista de furnizori.
Pentru un IMM, aceasta este expunerea reală la NIS2 în cele mai multe cazuri: nu amenda de la DNSC, ci contractul pe care nu-l mai poți semna sau prelungi.
Dacă intri: ce trebuie să faci
Obligațiile principale, în ordinea în care apar:
Înregistrarea la DNSC. Pentru firmele care se încadrau deja la momentul lansării procedurii, termenul general a expirat la 22 septembrie 2025. Depășirea lui nu a eliminat obligația; DNSC a avertizat că sancțiunea pentru neînregistrare poate ajunge la 500.000 de lei, iar primele proceduri de sancționare vizează exact aceste firme. Pentru firmele care intră ulterior sub incidența legii, notificarea se transmite în cel mult 30 de zile.
Responsabilul NIS2. Firma trebuie să desemneze o persoană responsabilă de securitatea cibernetică și să o declare la DNSC. Pentru firmele mici este acceptabil un model de responsabil extern sau partajat, dar persoana trebuie să existe și să fie instruită.
Evaluarea riscului și autoevaluarea maturității. După decizia DNSC de înscriere în registru, firma are 60 de zile să transmită evaluarea propriului nivel de risc, conform metodologiei DNSC, și încă 60 de zile pentru autoevaluarea maturității măsurilor de securitate. Termenele curg în lanț, deci nu există o dată-limită unică pentru toată lumea.
Măsurile tehnice și organizatorice. Legea cere măsuri proporționale cu riscul, care acoperă, printre altele: analiza și gestionarea riscurilor, prevenirea și gestionarea incidentelor, continuitatea activității și recuperarea în caz de dezastru, copii de siguranță realizate și testate, securitatea furnizorilor, controlul accesului și gestionarea activelor, autentificare multifactor, instruirea angajaților și evaluarea periodică a eficacității măsurilor. Nu sunt recomandări. Lipsa lor este contravenție.
Raportarea incidentelor semnificative. Avertizare timpurie în maximum 24 de ore de la luarea la cunoștință, raportarea incidentului în maximum 72 de ore, raport final în cel mult o lună. Pentru informațiile privind impactul transfrontalier, termenul este de 6 ore.
Responsabilitatea conducerii. Conducerea trebuie să aprobe și să supravegheze măsurile, iar membrii organelor de conducere au obligația de formare. Legea 124/2025 consolidează răspunderea personală a managementului. Concret: conformarea NIS2 nu poate fi delegată integral departamentului IT sau furnizorului de IT.
Amenzile
Pentru încălcările majore (neimplementarea măsurilor, nerespectarea obligațiilor de audit și raportare), plafoanele sunt de până la 10 milioane de euro sau 2% din cifra de afaceri pentru entitățile esențiale și până la 7 milioane de euro sau 1,4% pentru entitățile importante, luându-se în calcul valoarea mai mare. Legea 124/2025 precizează că procentul se aplică cifrei de afaceri globale, nu doar celei din România.
Pentru alte abateri, amenzile sunt între 1.000 și 300.000 de lei pentru entitățile importante și între 1.500 și 500.000 de lei pentru cele esențiale. În situații agravante, cuantumul poate fi dublat.
DNSC a indicat că, într-o primă etapă, va aplica valori din zona inferioară a grilelor. Ceea ce nu înseamnă că amenda nu vine, ci că vine gradual.
Ce facem practic, în ambele cazuri
Vestea bună este că lista de măsuri din NIS2 nu conține nimic exotic. Este lista pe care un setup IT corect ar trebui să o acopere oricum: identități administrate central cu autentificare multifactor, backup testat, nu doar configurat, acces pe roluri, inventar al sistemelor și al furnizorilor, un plan de răspuns la incidente pe care cineva l-a citit și exersat, clauze de securitate în contractele cu furnizorii.
Un studiu publicat în septembrie 2026 pe un eșantion de 211 organizații din România arată de ce testarea contează: 45% s-au declarat cu maturitate cibernetică ridicată, dar doar 27% au trecut de trei verificări practice, monitorizare permanentă, plan de răspuns testat și exerciții regulate. Multe firme au măsurile pe hârtie. Puține le-au probat.
Dacă intri sub NIS2, ordinea este: verifică încadrarea prin NIS2@RO, înregistrează-te, desemnează responsabilul, fă o analiză a diferențelor față de lista de măsuri, remediază în ordinea riscului și pregătește documentația pentru evaluările cerute de DNSC.
Dacă nu intri direct, ordinea este aceeași, fără înregistrare. Pentru că măsurile de bază sunt cele pe care ți le vor cere clienții, și sunt cele care contează efectiv în ziua în care ceva se întâmplă.
Asta facem noi: verificăm încadrarea, facem analiza diferențelor, punem în ordine identitățile, accesul, backup-ul și documentația, și pregătim firma pentru discuția cu DNSC sau cu clientul care cere garanții. Dacă ai primit deja un chestionar de securitate de la un client sau nu ești sigur în ce categorie intri, e momentul potrivit pentru o discuție.
Surse: OUG 155/2024, Legea 124/2025, Ordinele DNSC 1/2025, 2/2025 și 1/2026, comunicările DNSC (dnsc.ro). Verifică întotdeauna textul oficial și cere consultanță juridică pentru încadrarea concretă a firmei tale.
