NIS2 în România: cine e obligat, până când și ce se întâmplă dacă nu

Actul corect se numește OUG 155/2024

Directiva europeană se numește NIS2, adoptată în 2022. În România a fost transpusă prin Ordonanța de Urgență nr. 155/2024, în vigoare din 30 decembrie 2024, aprobată cu modificări și completări prin Legea nr. 124/2025, publicată în Monitorul Oficial nr. 638 din 7 iulie 2025.1 Textul actualizat e public.

Vei găsi online destule articole care citează „Legea 58/2024". Nu e actul care te obligă. Merită să reții asta pentru un motiv practic: dacă cineva îți oferă servicii de conformare citând un temei legal greșit, ai deja un indiciu despre cât de atent a citit restul.

Normele de aplicare au venit un an mai târziu, prin Ordinele DNSC nr. 1 și nr. 2/2025, publicate în Monitorul Oficial nr. 776 din 20 august 2025.2 Primul stabilește cum te înregistrezi. Al doilea stabilește cum îți calculezi nivelul de risc.

Intri sau nu? Cinci întrebări

Dacă ai răspuns „da" la prima și la a doua, tratează-te ca fiind în domeniul de aplicare până când verifici oficial.

Dacă intri: ordinea în care se întâmplă lucrurile

Termenul general de notificare a fost în septembrie 2025, la 30 de zile de la publicarea ordinelor. Regula care contează acum e alta: ai 30 de zile din momentul în care devii entitate vizată — la depășirea pragului de angajați, la intrarea într-un sector nou, la o achiziție.

După notificare, procesul curge așa:3

• DNSC emite decizia de identificare și înscriere în registru: 60 de zile pentru entitățile esențiale, 150 de zile pentru cele importante.
• În 30 de zile de la comunicarea deciziei, desemnezi în scris responsabilul cu securitatea rețelelor și sistemelor informatice.
• În 60 de zile de la decizie, transmiți evaluarea nivelului de risc.
• În 60 de zile de la evaluarea de risc, faci autoevaluarea maturității măsurilor pe care le ai implementate.

În paralel, permanent: incidentele semnificative se raportează în 24 de ore printr-o notificare inițială, în 72 de ore printr-un raport intermediar și în 30 de zile printr-un raport final. Sunt zile calendaristice. Un incident de vineri seara nu așteaptă până luni.

Partea pe care majoritatea articolelor o ratează

Articolul 14 din ordonanță spune că organele de conducere aprobă măsurile de securitate, supraveghează punerea lor în aplicare și sunt responsabile de încălcarea acestor dispoziții. Membrii conducerii au și obligația de a urma formare în securitate cibernetică.1

Iar Legea 124/2025 a adăugat o precizare care schimbă complet discuția în firmele românești: adunarea generală a acționarilor și consiliul de administrație nu sunt „organe de conducere" în sensul acestei ordonanțe.

Tradus: răspunderea nu urcă la acționari și nu se dizolvă într-un consiliu. Rămâne la conducerea executivă. La tine.

Asta nu e un detaliu juridic. E motivul pentru care securitatea nu mai poate fi o linie de buget pe care o aprobi și o uiți. Persoana care semnează e persoana care răspunde.

Dacă nu intri, tot vei fi întrebat

NIS2 cere entităților vizate să își gestioneze și riscurile care vin din lanțul de aprovizionare. Practic, obligația se propagă prin contract.

Ce înseamnă asta pentru o firmă de 40 de oameni care nu e în niciun sector din anexe: la reînnoirea contractului cu un client mare, primești un chestionar de securitate. Ți se cer politici scrise, dovada că faci copii de siguranță, dovada că le testezi, autentificare în doi pași, un proces de gestionare a incidentelor. Uneori ți se cere un certificat.

Nu e o obligație legală a ta. E o condiție comercială. Iar diferența practică dintre cele două e zero: dacă nu poți răspunde, pierzi contractul.

Ce riscă firma

Sancțiunile sunt prevăzute la articolul 60 din ordonanță și au două paliere.1

Amenzile fixe merg de la 1.000 la 300.000 de lei pentru entitățile importante și de la 1.500 la 500.000 de lei pentru cele esențiale — pentru fapte ca netransmiterea notificării, a evaluării de risc sau a autoevaluării în termen.

Peste ele, pentru încălcarea obligațiilor de securitate: până la 7 milioane de euro sau 1,4% din cifra de afaceri anuală mondială pentru entitățile importante, și până la 10 milioane de euro sau 2% pentru cele esențiale. Procentul se calculează la cifra de afaceri globală a grupului, nu doar la cea din România.

Trei lucruri pe care le poți verifica azi

• Verifică dacă cineva a notificat DNSC în numele firmei tale Se întâmplă des ca notificarea să fie trimisă de un consultant sau de un coleg, iar conducerea să nu știe nici că s-a trimis, nici ce s-a declarat în ea.
• Verifică cine e desemnat responsabil cu securitatea, în scris Nu „se ocupă Mihai". Un document, cu o dată pe el.
• Cere-i cuiva să îți spună, în zece minute, câte calculatoare sunt în firmă și cine le folosește Dacă răspunsul întârzie, nicio evaluare de risc nu are pe ce să stea. Inventarul e primul lucru pe care îl cere orice audit și primul care lipsește.