NIS2 în România: cine e obligat, până când și ce riscă firma

Într-o dimineață de marți, un director primește un email de la cel mai mare client al firmei. Nu e o comandă. E un chestionar de securitate, cu patruzeci de întrebări și un termen de două săptămâni.

Îl trimite mai departe responsabilului de IT, cu mesajul „poți să te uiți tu peste ăsta?". E reflexul normal. E și prima greșeală.

Legea din spatele chestionarului conține o precizare pe care aproape nimeni nu o citește. Adăugată în vara lui 2025, de două rânduri, ea scoate din discuție și adunarea generală a acționarilor, și consiliul de administrație: niciuna nu e „organ de conducere" în sensul ordonanței.2 Răspunderea nu urcă la acționari și nu coboară la departamentul IT. Rămâne la conducerea executivă.

Restul articolului e despre cum aflați dacă vă privește, ce e de făcut și în ce ordine.

Ce e NIS2 și ce cere, de fapt, de la o firmă

NIS2 e o lege europeană despre securitatea cibernetică. A apărut dintr-o observație simplă: când o firmă e atacată, efectul rareori se oprește la ea. Dacă se oprește un furnizor de energie, un spital sau o firmă care ține în funcțiune sistemele altora, se opresc și clienții lor. Legea încearcă să ridice nivelul minim de securitate exact în sectoarele de care depinde restul economiei.

Ce cere se rezumă la trei lucruri:

• Firma se face cunoscută. Se înregistrează la autoritatea națională, ca ea să știe cine e și ce serviciu ține în funcțiune.
• Își ține riscurile sub control și poate dovedi asta. Copii de siguranță testate, control asupra cui are acces la ce, autentificare în doi pași, un proces clar pentru incidente, instruirea angajaților, atenție la furnizori.
• Anunță când se strică ceva. Un incident semnificativ se anunță printr-o avertizare timpurie, în 24 de ore.

Merită spus și ce nu cere: nu impune ce produse să cumpărați și nu cere un anumit certificat. Cere să existe măsuri, să fie documentate și să le puteți arăta cuiva care întreabă.

Aici e și motivul pentru care subiectul depășește conformarea. Lista de mai sus e, aproape cuvânt cu cuvânt, lista lucrurilor care fac diferența între un incident de două ore și unul de două săptămâni. Firmele care le au deja nu au mult de făcut. Cele care nu le au ar avea de făcut oricum, lege sau nu.

Ce lege transpune NIS2 în România

NIS2 e o directivă europeană adoptată în 2022, iar directivele nu se aplică direct în firme: fiecare stat le rescrie în legea proprie, iar versiunea națională e cea care obligă.

La noi, actul se numește Ordonanța de Urgență nr. 155/2024. E în vigoare din 30 decembrie 2024 și a fost aprobată, cu modificări, prin Legea nr. 124/2025, publicată în Monitorul Oficial din 7 iulie 2025.12

Online apar destule materiale care pun NIS2 pe seama Legii nr. 58/2023, legea generală a securității și apărării cibernetice a României. Nu e actul care vă obligă ca firmă. Merită verificat temeiul legal ori de câte ori citiți despre NIS2, pentru că multe texte au fost scrise înainte ca lucrurile să se așeze.

Regulile concrete au venit abia un an mai târziu, prin Ordinele DNSC nr. 1 și nr. 2/2025, publicate pe 20 august 2025.34 Primul spune cum se face înregistrarea. Al doilea, cum se calculează nivelul de risc.

Ultima piesă a apărut în august 2026, prin Ordinul DNSC nr. 1/2026, publicat în Monitorul Oficial nr. 712 și, cu anexele, în nr. 712 bis din 27 august 2026. El aprobă lista efectivă a măsurilor de securitate și metodologia după care firma își evaluează singură cât de departe e de ele, și modifică totodată metodologia de evaluare a riscului din Ordinul nr. 2/2025. Publicarea nu a adus o perioadă de grație generală: fiecare firmă rămâne pe termenele care decurg din propria decizie DNSC.7

Cadrul a fost completat imediat. Ordinul DNSC nr. 2/2026, în vigoare din 18 septembrie 2026, stabilește câte controale pot fi declarate neaplicabile și cum se evaluează firmele care fac parte dintr-un grup. Decizia DNSC nr. 3/2026, publicată pe 21 septembrie, detaliază partea despre grupuri.10

Un material despre NIS2 care se oprește la Ordinele din 2025 nu conține tocmai partea care spune ce e de făcut. Iar unul care se oprește la 27 august nu știe încă ce controale pot fi scoase din calcul.

Firma intră sub NIS2? Verificarea în cinci întrebări

Întrebările de mai jos sunt o orientare rapidă, nu o încadrare oficială.

Cu „da" la primele două întrebări, există un motiv serios pentru o verificare formală a încadrării, înainte de a concluziona că legea nu se aplică.

Verificarea formală se poate face chiar azi, cu instrumentul oficial. DNSC publică un fișier Excel, Instrumentul NIS2@RO, care se descarcă și se completează local. Dă o evaluare preliminară a încadrării și, tot din el, se generează formularul de înregistrare. Scriem mai jos de unde se descarcă și cum funcționează.6

De ce încadrarea e mai complicată decât pare

Cele cinci întrebări de mai sus orientează. Nu dau însă încadrarea, pentru că legea o construiește în mai mulți pași, iar ordinea lor contează.

• Întâi activitatea, apoi dimensiunea. Se verifică mai întâi dacă activitatea desfășurată efectiv intră într-unul dintre sectoarele legii, și abia apoi dacă firma trece de praguri. Contează ce face firma, nu toate codurile CAEN înregistrate.
• Dimensiunea nu se calculează doar pe firma dumneavoastră. Pragurile se stabilesc după regulile din legislația privind întreprinderile mici și mijlocii, care cer luarea în calcul și a întreprinderilor legate și partenere, adică firmele care vă dețin, pe care le dețineți sau cu care împărțiți controlul.1 Firma din exemplu are 45 de angajați proprii, dar 80 împreună cu firma de depozitare din grup. Trece pragul fără să angajeze pe nimeni.
• Unele entități intră indiferent de mărime. Furnizorii unici pentru un serviciu de care depinde altcineva, entitățile desemnate individual de autoritate pentru rolul lor strategic sau impactul sistemic, și cele încadrate drept critice prin legislația privind reziliența entităților critice.1
• Altele sunt excluse complet. Instituțiile din domeniul apărării, ordinii publice și securității naționale nu intră sub această ordonanță.1
• Evaluarea se face pe servicii, nu pe firmă. Se analizează fiecare serviciu furnizat care s-ar putea încadra în anexele legii, nu firma ca bloc. O firmă poate avea un singur serviciu în domeniul de aplicare și restul activității în afara lui.1
• Încadrarea nu e definitivă. Se reface ori de câte ori se schimbă ceva: firma trece de un prag, intră într-un sector nou, cumpără sau vinde o altă firmă.

Patru recomandări, ca încadrarea să nu fie greșită

• 1. Nu porniți de la numărul de angajați. Porniți de la ce face firma, zi de zi. Dacă activitatea nu e într-un sector din anexe, restul discuției nu mai contează.
• 2. Cereți contabilității calculul la nivel de grup. Cu întreprinderile legate și partenere incluse. E cel mai frecvent loc în care o firmă se crede în afara legii și nu este.
• 3. Documentați analiza, cu dată și cu numele celui care a făcut-o. La o verificare, contează că ați analizat și când, nu doar la ce concluzie ați ajuns.
• 4. Nu decideți singur că nu vă privește. E singura concluzie din tot procesul care nu se poate corecta retroactiv. Restul pașilor se pot recupera cu întârziere; o încadrare greșită în minus se descoperă, de obicei, când e prea târziu.

O notă despre cine ce face, ca să nu cereți fiecăruia ceva ce nu poate da. Încadrarea juridică, notificarea și documentația legală se fac cu un consultant sau cu un avocat. Un furnizor de administrare IT, cum suntem noi, cei de la Risksoft, poate spune ce echipamente aveți, cine are acces la ce și ce măsuri de securitate lipsesc. Sunt două discuții diferite, iar amestecarea lor e cel mai frecvent mod de a pierde timp.

Entitate esențială sau importantă? Care e diferența

Cei doi termeni apar peste tot în lege, iar de ei depind și termenele, și amenzile. Aproape nimeni nu explică ce înseamnă, așa că o facem aici.

Entitățile esențiale sunt, în principal, firmele mari, adică cu 250 de angajați sau mai mulți, ori cu peste 50 de milioane de euro cifră de afaceri și peste 43 de milioane de euro total al bilanțului, din sectoarele cu importanță critică ridicată: energie, transport, sectorul bancar, infrastructurile pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, administrație publică. Tot aici intră, indiferent de mărime, câteva categorii numite expres de lege, de la furnizorii unici la entitățile critice.1

Entitățile importante sunt celelalte firme vizate: în general întreprinderi mijlocii din sectoarele cu importanță critică ridicată și firme mijlocii sau mari din celelalte sectoare, precum servicii digitale, gestionarea deșeurilor, producție alimentară, servicii poștale și de curierat.1

Categoria se verifică în funcție de sector și de criteriile aplicabile firmei, iar decizia o dă DNSC.

Firma din exemplu, transport, întreprindere mijlocie: cel mai probabil entitate importantă. Adică 150 de zile până la decizia DNSC și plafonul mai mic de amenzi. Obligațiile de securitate rămân însă aceleași ca la o entitate esențială.

Ce schimbă asta în practică:18

Diferența e de control și de sancțiune, nu de efort.

Atenție: „esențial" înseamnă două lucruri diferite

E confuzia cea mai frecventă din discuțiile despre NIS2 și vine din faptul că aceleași cuvinte apar în două contexte care nu au legătură directă.

• Încadrarea entității: esențială sau importantă. Rezultă din sectorul de activitate și din dimensiune, iar DNSC o confirmă printr-o decizie.
• Nivelul de asigurare: de Bază, Important sau Esențial. Rezultă din scorul de risc calculat după metodologia din Ordinul nr. 2/2025 și spune câte măsuri de securitate sunt de implementat.4

Cu alte cuvinte, o firmă poate fi încadrată ca entitate importantă și să ajungă la nivelul de asigurare „Esențial", dacă scorul de risc iese mare. Sau invers. Când cineva vă spune „sunteți esențiali", întrebați la care dintre cele două se referă, pentru că efortul de implementare depinde de al doilea, nu de primul.

Ce măsuri cere legea, concret

Până aici am vorbit despre cine intră și până când. Urmează întrebarea pe care o pune toată lumea imediat după: ce trebuie să existe, de fapt, în firmă?

Articolul 11 din ordonanță cere măsuri tehnice, operaționale și organizatorice, proporționale cu riscul, cu mărimea firmei și cu impactul pe care l-ar avea o oprire a serviciului.1

Până în august 2026, atât scria. Din 27 august 2026, prin Ordinul DNSC nr. 1/2026, există o listă închisă: 218 controale, grupate în șase funcții, Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare, fiecare control cu cod propriu și cu ghid de implementare.7

Nu toate sunt de implementat. Numărul depinde de nivelul de asigurare rezultat din evaluarea de risc, iar nivelurile sunt cumulative: ce se cere la Bază se cere și la Important, și tot așa.7

Mai jos sunt aceleași domenii, traduse în documente și practici care ori există în firmă, ori nu. E harta de parcurs înainte de a deschide catalogul oficial:

• Analiza riscurilor și politica de securitate. Un document care spune ce sisteme aveți, ce se poate întâmpla cu ele și ce faceți ca să nu se întâmple. Aprobat de conducere, cu dată pe el. Fără acest document, restul măsurilor nu au pe ce se sprijini.
  Concret, tehnic: o listă la zi a calculatoarelor, serverelor, echipamentelor de rețea și serviciilor cloud, una a programelor și serviciilor folosite și o evidență a locului unde stau datele firmei. Toate trei se cer de la nivelul de bază.
• Gestionarea incidentelor. O procedură scrisă care spune cine decide că un eveniment e incident, pe cine sunați în prima oră, ce se notează, cine anunță clienții afectați și cine transmite raportul la autoritate. Parcursă măcar o dată în simulare, nu doar scrisă.
  Concret, tehnic: jurnalele instrumentelor de protecție, de exemplu ale antivirusului și ale firewall-ului, sunt pornite, păstrate o perioadă stabilită și citite periodic. E măsură-cheie de la nivelul de bază. De la nivelul Important se cere și detectarea conexiunilor neautorizate la sistemele critice și a scurgerilor de date, ambele măsuri-cheie. La nivelul Esențial, rețeaua se monitorizează continuu.
• Continuitate și revenire în funcțiune. Copii de siguranță care se fac automat, se păstrează separat de sistemul principal și se restaurează de probă periodic. Plus un timp asumat în scris: în cât timp trebuie să revină fiecare serviciu după o oprire.
  Concret, tehnic: copiile de siguranță ale datelor importante stau pe alt sistem decât datele originale. E măsură-cheie de la nivelul de bază. De la nivelul Important, copiile se testează periodic și se păstrează într-o locație separată, protejată la fel ca sistemele principale. La nivelul Esențial se adaugă timpii de revenire asumați (în cât timp repornește fiecare serviciu și câte date se pot pierde, cel mult), iar copiile sistemelor se țin separat de copiile datelor.
• Securitatea lanțului de aprovizionare. O listă a furnizorilor care ating datele sau sistemele firmei, cu ce acces are fiecare și pe ce durată, plus clauze de securitate în contractele cu ei. Aici intră și regulile pentru achiziția, dezvoltarea și întreținerea sistemelor.
  Concret, tehnic: intervențiile de la distanță ale furnizorilor, inclusiv ale firmei de IT, se aprobă dinainte și se înregistrează, se fac cu autentificare puternică, iar conexiunea se închide la final. Activitatea furnizorilor de servicii se monitorizează. Toate se cer de la nivelul Important.
• Controlul accesului, echipamentele și autentificarea. Un inventar al echipamentelor și conturilor. Drepturi acordate pe rol, nu pe persoană, și revizuite periodic. O procedură de închidere a accesului când pleacă cineva. Autentificare în doi pași pe conturile de administrare și pe cele cu acces la date sensibile.
  Concret, tehnic: autentificarea în doi pași e obligatorie pentru orice acces de la distanță la rețeaua firmei; nimeni nu lucrează zilnic cu drepturi de administrator; fiecare are acces doar la ce îi trebuie pentru sarcinile lui. Toate trei sunt măsuri-cheie de la nivelul de bază. Tot de la nivelul de bază, rețelele Wi-Fi, inclusiv cea pentru vizitatori, se configurează și se urmăresc. De la nivelul Important, conturile cu drepturi de administrator sunt și monitorizate.
• Igiena cibernetică și instruirea angajaților. Actualizări aplicate la termen, drepturi minime, parole care nu se repetă, criptare acolo unde datele pleacă din firmă. Instruire pentru angajați, cu evidența cine a participat și când.
  Concret, tehnic: actualizările de securitate pentru sistemele de operare și componentele critice sunt instalate; pe calculatoare rulează un antivirus actualizat; firewall-ul, filtrul dintre rețeaua firmei și exterior, e activ pe toate rețelele firmei și pe calculatoare; rețeaua e împărțită în zone, ca un atac să nu ajungă ușor la sistemele critice; emailul și navigarea pe internet trec prin filtre. Patru dintre ele sunt măsuri-cheie de la nivelul de bază. La instruire, nivelul Esențial cere și dovada că instruirea chiar schimbă felul în care lucrează angajații.
• Verificarea faptului că măsurile funcționează. Proceduri prin care se testează periodic dacă ce ați implementat chiar ține, plus auditul de securitate cibernetică, cu frecvența stabilită prin ordin al DNSC.1
  Concret, tehnic: jurnalele sistemelor sunt păstrate, documentate și urmărite. E măsură-cheie de la nivelul de bază. De la nivelul Important există un plan scris pentru vulnerabilități, adică punctele slabe din programe și echipamente: cum se găsesc, în ce ordine se repară și cui se comunică. E tot măsură-cheie. La nivelul Esențial se adaugă scanări de vulnerabilități și teste făcute de specialiști.

Testul simplu, pentru fiecare dintre ele: dacă un auditor v-ar cere mâine dovada, ce i-ați arăta? Dacă răspunsul e „îi explic eu cum facem", măsura nu există încă.

Testul ăsta nu mai e o vorbă de bun-simț, ci metodologie oficială. La autoevaluare, fiecare control primește două note, pe o scară de la 1, Inițial, la 5, Optimizare: una pentru documentație, una pentru implementare, fiecare justificată în scris. Scorurile trebuie să treacă pragul nivelului: 2,5 la Bază, 3 la Important, 3,5 la Esențial. Firma care nu le atinge întocmește un plan de remediere.7

Două note, nu una. Dosarul de politici poate fi pus la punct, iar firma să pice pe implementare, pentru că partea a doua nu se rezolvă cu un document. Cere pe cineva care chiar se uită la alerte, confirmă și intervine.

Detaliul care schimbă discuția despre inventar: la cererea DNSC, firma trebuie să pună la dispoziție lista activelor relevante, adică echipamentele, sistemele și aplicațiile de care depinde serviciul, împreună cu lista riscurilor identificate în urma analizei.1 Cu alte cuvinte, inventarul echipamentelor și al acceselor nu mai e o bună practică de amânat, ci un document care se poate cere.

Două precizări din ordin, pentru cazuri speciale. Firmele din sectorul bancar și al infrastructurilor pieței financiare, cărora li se aplică regulamentul european DORA, sunt exceptate de la evaluarea nivelului de risc și aplică măsurile DORA. La fel și firmele din infrastructura digitală și din gestionarea serviciilor TIC pentru alte firme, atunci când sunt desemnate, după același regulament, furnizori terți esențiali de servicii TIC. Iar acolo unde se aplică reglementări sectoriale, cerințele implementate în temeiul lor se evidențiază într-o declarație de aplicabilitate întocmită de firmă.7

Cele 13 măsuri-cheie de la nivelul de bază sunt toate tehnice

Din cele 218 controale, 29 sunt marcate în ordin ca măsuri-cheie, alese după tipurile comune de atac. Sunt obligatorii, nu pot fi declarate neaplicabile și fiecare trebuie să treacă singură pragul nivelului: 2,5 la Bază, 3 la Important și la Esențial. Un scor total bun nu acoperă o măsură-cheie slabă.710

Dintre ele, 13 se cer încă de la nivelul de bază. Niciuna nu e un document:

Exemplele de dovadă sunt ale noastre, nu ale ordinului. Politicile se pot scrie la birou. Aceste 13 măsuri, nu: cer configurări pe fiecare calculator, cont și echipament de rețea, plus dovada că funcționează. Pe pagina de securitate cibernetică arătăm cum acoperim o parte dintre ele, în cinci straturi.

Ce controale pot fi declarate neaplicabile

Ordinul DNSC nr. 2/2026 permite marcarea unor controale ca neaplicabile, N/A, atunci când nu au legătură cu activitatea firmei. Numai în limite fixe, însă, și fiecare excludere se justifică în scris și se trece în declarația de aplicabilitate.10

Același ordin, detaliat prin Decizia DNSC nr. 3/2026, lămurește situația firmelor dintr-un grup. Controalele pot fi preluate de la grup sau partajate cu el, iar o politică scrisă la nivel de grup poate intra în evaluare, dacă se aplică formal firmei și dacă local există dovezile și măsurătorile care arată că funcționează. Răspunderea de a demonstra rămâne însă a firmei.10

Pentru firma de transport din exemplu, asta contează dublu: grupul a adus-o sub lege, iar tot grupul îi poate furniza o parte din politici. Dovada că se aplică la ea în firmă trebuie să o producă singură.

Și încă o cerință de organigramă, pentru entitățile esențiale: responsabilul cu securitatea rețelelor și sistemelor informatice trebuie să funcționeze independent de structurile IT ale firmei. Excepțiile sunt administrația publică și firmele mici și micro.1

Cum se face înregistrarea la DNSC și ce termene urmează

Termenul general de înregistrare a fost în septembrie 2025. Regula care contează acum e alta: 30 de zile din momentul în care firma ajunge să intre sub lege, fie că ajunge la 50 de angajați, fie că intră într-un sector nou, fie că face o achiziție.

De acolo încolo, totul se măsoară în zile, iar fiecare termen pornește din cel dinainte. Se adună mai repede decât pare:

Peste toate astea, permanent: un incident semnificativ are propriul ceas. Sunt zile calendaristice, nu lucrătoare. Un incident de vineri seara nu așteaptă până luni. Raportarea se face prin platforma națională PNRISC, la pnrisc.dnsc.ro, al cărei flux a fost simplificat în aprilie 2026.19

De unde se descarcă instrumentele DNSC

Pentru fiecare etapă, DNSC pune la dispoziție două mecanisme: unul online, Platforma NIS2@RO, cu cont de utilizator la platformanis2.ro, și unul descărcabil, pentru situațiile în care platforma nu e disponibilă. Toate pornesc din paginile oficiale înregistrare entități și obligațiile entităților înregistrate.56

Ce face, de fapt, Instrumentul NIS2@RO

Două lucruri, în ordinea asta. Întâi arată unde stă firma: se completează datele firmei, numărul mediu anual de salariați, cifra de afaceri netă, activele totale și serviciile furnizate, pe sectoare și subsectoare. La final apare o evaluare preliminară: în afara domeniului de aplicare, entitate importantă sau entitate esențială. Apoi generează formularul de notificare, gata de semnat și de trimis. E un fișier Excel care rulează local; la refolosire, se resetează întâi tot ce s-a completat.6

Două precizări din instrucțiunile lui, amândouă contraintuitive. Evaluarea preliminară nu ține loc de încadrare: formularul se transmite la DNSC indiferent de rezultat, pentru confirmarea statutului. Iar la rezultatul „în afara domeniului de aplicare", DNSC recomandă înregistrarea voluntară firmelor din sectoare importante care nu sunt în anexe și celor care estimează că vor trece pragurile.6

Cum se trimite formularul, în patru pași

1. Se completează datele, în platformă sau în instrumentul descărcat.
2. Se salvează formularul de notificare în format PDF.
3. Îl semnează reprezentantul legal al firmei: cu semnătură electronică calificată, la depunerea electronică, sau cu semnătură olografă, la depunerea pe hârtie.
4. Se trimite la evidenta@dnsc.ro, împreună cu documentele justificative, dacă e cazul, sau se depune pe hârtie la sediul DNSC, în Strada Italiană 22, sector 2, București.6

O firmă care a folosit instrumentul descărcabil pentru că platforma nu era disponibilă rămâne obligată să își facă cont pe Platforma NIS2@RO atunci când aceasta devine disponibilă.6

Pe cine sunați la DNSC

• Evidență și sprijin: (+40) 316.202.167
• Verificare și control: (+40) 316.202.156
• Atestarea auditorilor și autorizarea furnizorilor de formare: (+40) 316.202.182
• evidenta@dnsc.ro, acolo se trimite formularul de notificare
• nis@dnsc.ro, pentru ajutor la identificare, modificare sau radiere

Cine răspunde legal: conducerea sau departamentul IT?

Conducerea. Și e mai strict decât se așteaptă majoritatea patronilor.

Articolul 14 din ordonanță spune că organele de conducere aprobă măsurile de securitate, supraveghează cum sunt puse în practică și răspund dacă nu sunt. Tot ele au obligația să urmeze o formare în securitate cibernetică.1 Iar autoevaluarea anuală și planul de remediere se transmit la DNSC asumate de conducere.7

Aici intervine precizarea de la începutul articolului, adăugată de Legea 124/2025: adunarea generală a acționarilor și consiliul de administrație nu sunt „organe de conducere" în sensul acestei ordonanțe.2

Ce înseamnă asta: responsabilitatea nu poate fi transferată integral departamentului IT și nici mutată în sarcina acționarilor. Persoanele concrete care intră în categoria de „organe de conducere" se identifică însă în funcție de forma juridică și de structura de conducere a fiecărei firme, deci merită clarificat exact cine sunt, în cazul dumneavoastră, înainte să semneze cineva ceva.

Nu e un amănunt juridic. E motivul pentru care securitatea nu mai poate fi o linie de buget aprobată o dată și uitată. E și motivul pentru care formularul de notificare cere semnătura reprezentantului legal, nu a responsabilului de IT.

Dacă mai există un administrator sau un director care semnează contracte, secțiunea asta e cea pe care merită să o citească și el.

Firma nu intră sub NIS2, dar clienții cer dovezi. Ce e de făcut?

Răspundeți la chestionar. Nu pentru că obligă legea, ci pentru că obligă clientul.

NIS2 le cere firmelor care intră sub lege să gestioneze și riscurile care vin dinspre furnizori. Iar ele fac asta în singurul mod în care pot: prin contract.

Concret, pentru o firmă de 40 de angajați care nu e în niciun sector din anexe: la reînnoirea contractului cu un client mare vine un chestionar de securitate. De regulă, se cer:

• politici de securitate scrise;
• dovada că se fac copii de siguranță și că sunt testate;
• autentificare în doi pași;
• un proces clar pentru incidente;
• uneori, un certificat.

În practică nu contează că e o cerință comercială și nu una legală. Fără răspuns, contractul se pierde. Pentru majoritatea firmelor mici și mijlocii, acesta e costul cel mai apropiat al subiectului, nu amenda.

Ce amenzi sunt pentru NIS2 în România

Sancțiunile sunt prevăzute la articolul 60 și vin pe două paliere.1

• Amenzi fixe, pentru obligații administrative, adică înregistrarea, evaluarea de risc sau autoevaluarea netransmise la timp: între 1.000 și 300.000 de lei pentru entitățile importante, între 1.500 și 500.000 de lei pentru cele esențiale.
• Amenzi pentru încălcarea obligațiilor de securitate în sine: până la 7 milioane de euro sau 1,4% din cifra de afaceri anuală mondială pentru entitățile importante, și până la 10 milioane sau 2% pentru cele esențiale, oricare e mai mare.

Rețineți cuvântul „mondială": procentul se calculează la cifra de afaceri a întregului grup, nu doar la activitatea din România.

Prima amendă aplicată de DNSC a fost dintre cele administrative. Pe 29 septembrie 2026, o instituție din administrația publică centrală a primit 50.000 de lei pentru că a trimis după termen notificarea de înscriere în registru.11 Nu a fost amendată pentru un atac și nici pentru un incident neraportat, cum s-a scris în câteva locuri. Primul lucru verificat a fost deci cel mai simplu de făcut: să anunțați la timp că firma intră sub lege. Termenul general a expirat pe 22 septembrie 202512, iar pentru o firmă care ajunge sub lege mai târziu curg 30 de zile din acel moment.

Trei lucruri de făcut azi

• Aflați dacă firma a fost deja înregistrată la DNSCSe întâmplă des ca notificarea să fie trimisă de un consultant sau de un coleg, iar conducerea să nu știe nici că s-a trimis, nici ce s-a declarat în ea. Începeți cu contabilitatea și cu responsabilul de IT.
• Descărcați Instrumentul NIS2@RO și completați-l cu cifrele de la contabilitateE un fișier Excel oficial, se completează local și dă în aceeași zi o evaluare preliminară a încadrării. Cereți contabilității numărul mediu anual de salariați, cifra de afaceri netă și activele totale, la nivel de grup. Rezultatul nu e o încadrare oficială, dar arată dacă discuția e urgentă sau nu.
• Cereți cuiva să vă spună, în zece minute, câte calculatoare sunt în firmă și cine le foloseșteDacă răspunsul întârzie, nicio evaluare de risc nu are pe ce să stea. Iar lista activelor e chiar documentul pe care DNSC îl poate cere.

Firma de transport din exemplu a aflat că intră sub lege abia când contabilitatea a făcut calculul la nivel de grup. Până atunci, chestionarul de la client stătea nedeschis pe biroul responsabilului de IT.

Întrebări frecvente despre NIS2

De unde descarc formularul de notificare pentru DNSC?

Nu se descarcă gata făcut. Se generează, fie din Platforma NIS2@RO, fie din Instrumentul NIS2@RO, fișierul Excel publicat de DNSC pe pagina de înregistrare entități. Se completează, se salvează în PDF, îl semnează reprezentantul legal și se trimite la evidenta@dnsc.ro sau se depune pe hârtie la sediul DNSC.6

Instrumentul arată că firma e în afara domeniului de aplicare. Am terminat?

Nu. Instrucțiunile instrumentului cer transmiterea formularului către DNSC indiferent de rezultat, pentru confirmarea statutului. Rezultatul e o evaluare preliminară, care ghidează procesul de notificare. În plus, pentru firmele dintr-un sector important care nu apare în anexe sau care estimează că vor trece pragurile în perioada următoare, DNSC recomandă înregistrarea voluntară.6

NIS2 se aplică firmelor cu sub 50 de angajați?

De regulă, nu. Excepțiile sunt firmele care furnizează un serviciu fără înlocuitor și cele identificate individual de autoritate. Iar numărul de angajați se socotește la nivel de grup, nu doar pe firma proprie. Un furnizor al unei firme mari dintr-un sector vizat nu intră sub lege, dar primește cerințele pe cale contractuală.

Trebuie implementate toate cele 218 controale din Ordinul DNSC nr. 1/2026?

Nu. Numărul depinde de nivelul de asigurare rezultat din evaluarea de risc: 34 de controale la nivelul de Bază, 133 la Important și toate 218 la Esențial. Nivelurile sunt cumulative, iar încadrarea ca entitate esențială sau importantă nu stabilește singură nivelul.7

Pot fi declarate neaplicabile unele controale?

Da, dar în limite stricte, stabilite prin Ordinul DNSC nr. 2/2026: cel mult un control la nivelul de Bază, trei la Important și cinci la Esențial. Măsurile-cheie nu pot fi excluse la niciun nivel, iar la Esențial nici controalele privind aspectele de management. Fiecare excludere se justifică în scris și se trece în declarația de aplicabilitate. Un control exclus intră totuși în calculul scorului, cu valoarea 2,5 la Bază și 3 la Important și la Esențial.10

NIS2 cere monitorizare non-stop?

Ordinul DNSC nr. 1/2026 nu folosește expresiile „24/7” sau „non-stop”. La nivelul de bază cere ca jurnalele instrumentelor de protecție să fie păstrate și citite periodic. De la nivelul Important se adaugă detectarea conexiunilor neautorizate la sistemele critice și a scurgerilor de date. Monitorizarea continuă a rețelei se cere la nivelul Esențial. Nivelul firmei rezultă din evaluarea de risc.7

Ce înseamnă „incident semnificativ"?

Nu orice email de phishing. Legea vizează incidentele cu efect real: cele care provoacă o perturbare gravă a serviciului sau pierderi financiare, și cele care afectează alte persoane sau organizații, prin pagube materiale ori de altă natură. Un calculator infectat și izolat în zece minute nu intră aici. O oprire a serviciului furnizat clienților, da. La ezitare, întrebați înainte de a lăsa să treacă cele 24 de ore.1

Ce se întâmplă dacă firma nu s-a înregistrat la termen?

Expirarea termenului nu înlătură obligația de înregistrare, iar DNSC a început să o sancționeze: prima amendă, de 50.000 de lei, a fost aplicată pe 29 septembrie 2026 exact pentru o notificare trimisă după termen. Situația merită analizată și remediată cât mai repede, documentând momentul în care firma a constatat obligația și data la care a început demersurile. Pentru un caz concret, întrebați un consultant sau un avocat înainte de orice transmitere.

Ce amendă riscă o firmă pentru NIS2?

Depinde de obligația încălcată și de încadrarea firmei. Pentru obligațiile administrative netransmise la timp, adică înregistrarea, evaluarea de risc sau autoevaluarea, amenzile sunt între 1.000 și 300.000 de lei pentru entitățile importante și între 1.500 și 500.000 de lei pentru cele esențiale. Pentru încălcarea obligațiilor de securitate, amenda poate ajunge la 7 milioane de euro sau 1,4% din cifra de afaceri anuală mondială pentru entitățile importante și la 10 milioane de euro sau 2% pentru cele esențiale, oricare e mai mare. Detaliile sunt în secțiunea despre amenzi.

Cât durează pregătirea pentru NIS2?

Depinde de punctul de plecare. Adunate, termenele din lege înseamnă câteva luni bune de la înregistrare până la autoevaluare, în cel mai fericit caz. Partea care durează cel mai mult nu e hârtia, ci inventarul: cine ce echipament folosește, ce accese are și cine i le închide când pleacă. Despre partea asta am scris separat, în articolul despre conturile unui angajat care pleacă din firmă.

ISO 27001 înseamnă conformitate cu NIS2?

Nu. Sunt două lucruri diferite. Unul e un standard de management al securității informației, celălalt e o obligație legală, cu termene, notificări și un registru la DNSC. Un sistem certificat ajută, pentru că o parte din practici sunt deja documentate, dar nu scutește niciun pas din procedura legală.

Politicile sunt scrise. E suficient?

Nu. La autoevaluarea maturității, fiecare control primește două note separate, una pentru documentație și una pentru implementare. Un dosar complet de politici ridică prima notă. A doua se dă pe ce funcționează efectiv în firmă: cine se uită la alerte și când, cine confirmă un incident, cât durează până e oprit, dacă ultima restaurare de probă a copiilor de siguranță chiar a reușit. Scorul trebuie să treacă pragul nivelului: 2,5 la Bază, 3 la Important, 3,5 la Esențial.7