NIS2 pentru firme în România: cum verifici dacă se aplică și ce trebuie pregătit

NIS2 nu se aplică automat oricărei firme din România și nici tuturor companiilor cu peste 50 de angajați. Verificarea pornește de la activitatea firmei, sectorul în care lucrează și dimensiunea ei. Dacă firma se încadrează, pregătirea înseamnă mult mai mult decât un antivirus.

Ce este NIS2 și cum se aplică în România?

NIS2 este numele Directivei (UE) 2022/2555 privind securitatea rețelelor și a sistemelor informatice. În România, cadrul principal este Ordonanța de urgență nr. 155/2024, aprobată și modificată prin Legea nr. 124/2025.

Legea protejează serviciile importante pentru economie și societate. Firmele vizate sunt împărțite în entități esențiale și entități importante, după sector, dimensiune și tipul serviciului. Directoratul Național de Securitate Cibernetică (DNSC) le identifică, le înregistrează, le supraveghează și le controlează.

NIS2 nu trebuie confundată cu obligațiile de raportare din Cyber Resilience Act, care îi vizează în principal pe producători.

Cum verifici dacă firma ta intră sub NIS2?

Nu decide după un singur criteriu. Parcurge cei cinci pași de mai jos.

1. Verifică sectorul și serviciile

   Anexele nr. 1 și 2 ale OUG nr. 155/2024 includ, orientativ: energie, transport, bănci și piețe financiare; sănătate, apă potabilă și ape uzate; infrastructură digitală, cloud, centre de date și anumite servicii IT gestionate; poștă și curierat; deșeuri; alimente; fabricarea anumitor produse; servicii și platforme digitale; cercetare.

   Eticheta „firmă IT”, „producător”, „curier” sau „magazin online” nu stabilește singură încadrarea. Contează serviciul concret prevăzut de lege.

2. Verifică activitățile autorizate și codurile CAEN

   Ia certificatul constatator și lista codurilor CAEN principale și secundare. Compară-le cu anexele legii. Un cod CAEN asemănător nu ajunge dacă firma nu prestează în realitate serviciul reglementat.

3. Stabilește dimensiunea întreprinderii

   Regula generală vizează întreprinderile mijlocii și mari din sectoarele acoperite. Dimensiunea se calculează după regulile pentru IMM-uri: numărul mediu anual de salariați, cifra de afaceri anuală, activele totale și, unde este cazul, datele întreprinderilor partenere sau legate.

4. Verifică excepțiile și situațiile speciale

   O firmă poate intra sub NIS2 indiferent de dimensiune. Pot conta tipul serviciului, rolul critic, impactul unei întreruperi, faptul că este singurul furnizor al unui serviciu esențial sau o decizie de identificare. Există reguli aparte pentru anumite servicii digitale, servicii de încredere, comunicații electronice și registre de nume de domenii.

5. Folosește instrumentele oficiale NIS2@RO

   DNSC oferă Instrumentul NIS2@RO și Platforma NIS2@RO pentru evaluare și notificare. Procedura este reglementată prin Ordinul directorului DNSC nr. 1/2025. Păstrează documentația analizei, chiar și când concluzia este că firma nu intră sub NIS2.

Microîntreprinderile și firmele mici intră sub NIS2?

De regulă, nu. O firmă mică nu intră sub NIS2 doar pentru că folosește calculatoare, stochează date sau lucrează cu alte companii. Are nevoie de o analiză în plus dacă prestează un serviciu cu regim special, are un rol critic sau este identificată de autoritate.

Există și un efect indirect. Dacă ești furnizorul unei entități esențiale sau importante, clientul îți poate cere prin contract măsuri de securitate, anunțarea rapidă a incidentelor, controlul accesului și dovezi. Asta nu te transformă într-o entitate NIS2, dar devine obligație contractuală.

Chiar dacă firma nu intră sub NIS2, măsurile de securitate recomandate pentru IMM-uri rămân un punct de plecare bun.

Ce pregătești dacă firma se încadrează?

Măsurile se aleg după riscurile reale, dimensiunea firmei și serviciile ei. Trebuie documentate, aplicate și verificate.

• Răspunderea conducerii. Conducerea înțelege riscurile, alocă resurse și urmărește măsurile. După decizia DNSC de identificare și înscriere în registru, firma desemnează responsabilii cu securitatea în termenul din lege. Conducerea și personalul au nevoie de instruire.
• Inventar și riscuri. Echipamente, servere, aplicații, servicii cloud, conturi cu drepturi mari, date importante și furnizori. Pentru fiecare, evaluezi amenințările și impactul și ții un registru de riscuri cu responsabili și termene.
• Controlul accesului. Autentificare în doi pași (MFA) pentru conturile importante, drepturi minime, conturi de administrator separate, acces retras imediat celor care pleacă și revizuiri periodice.
• Actualizări și vulnerabilități. Un proces pentru patch-uri și pentru sistemele fără suport. Excepțiile se aprobă și au termen.
• Backup și continuitate. Stabilești ce sisteme sunt critice, cât de des se salvează datele, unde stau copiile și cine pornește restaurarea. Testele de restaurare se fac periodic și se documentează.
• Răspunsul la incidente. Cine primește alerta, cine evaluează, cine limitează efectele și cine decide raportarea către DNSC.
• Furnizorii. Cloudul, mentenanța IT și aplicațiile externalizate intră în evaluare. Contractele lămuresc accesul, măsurile de securitate, anunțarea incidentelor și ce se întâmplă cu datele la final.

Planul de continuitate trebuie să includă backup testat și pași clari de recuperare.

Pentru incidentele semnificative, legea prevede trei etape: avertizare timpurie în cel mult 24 de ore de când ai aflat, notificarea incidentului în cel mult 72 de ore și un raport final, de regulă în cel mult o lună. Termenele se aplică în condițiile și cu excepțiile din lege.

Ce documente pregătești primele?

• Analiza privind încadrarea firmei sub NIS2.
• Inventarul sistemelor, conturilor, datelor și serviciilor.
• Registrul riscurilor și planul de remediere.
• Politica de securitate cibernetică.
• Regulile de acces și de folosire a conturilor de administrator.
• Procedura de gestionare și raportare a incidentelor.
• Planul de continuitate și recuperare.
• Evidența backupurilor și a testelor de restaurare.
• Registrul furnizorilor și al dependențelor critice.
• Evidența actualizărilor, vulnerabilităților și excepțiilor.
• Dovezile instruirii conducerii și a personalului.
• Registrul incidentelor și al măsurilor luate.

Cum arată un plan pentru primele 30 de zile?

Dacă pornești aproape de la zero, ghidul pentru o infrastructură IT fiabilă te ajută să stabilești prioritățile tehnice.

Ce sancțiuni pot exista?

DNSC și autoritățile competente pot cere informații, audituri, măsuri de remediere și dovezi. Sancțiunile depind de abatere și de tipul entității.

Pentru anumite contravenții, entitățile importante pot primi amenzi de până la 7 milioane de euro sau 1,4% din cifra de afaceri anuală la nivel mondial. Entitățile esențiale pot ajunge la 10 milioane de euro sau 2%. Valorile maxime nu se aplică automat; sancțiunea se stabilește după criteriile din lege.

Întrebări frecvente

Orice firmă IT este vizată?

Nu. Contează serviciul concret. Legea include categorii precum furnizorii de cloud, centrele de date, serviciile gestionate și serviciile de securitate gestionate.

Contează doar codul CAEN principal?

Nu. Se analizează și codurile secundare și serviciile prestate în realitate.

Este suficientă certificarea ISO 27001?

Nu automat. Ajută mult, dar obligațiile NIS2 se verifică separat, inclusiv înregistrarea, guvernanța și raportarea incidentelor.

Cine se ocupă de NIS2 în firmă?

Conducerea aprobă, finanțează și supraveghează măsurile. La aplicare participă responsabilii de securitate, IT, juridic, resurse umane și achiziții.