NIS2 în România: ghid tehnic de încadrare și conformitate

Cadrul aplicabil în România

Directiva (UE) 2022/2555, cunoscută drept NIS2, a fost transpusă în România prin OUG 155/2024. Ordonanța a fost aprobată și modificată prin Legea 124/2025. În practică, o organizație românească își verifică obligațiile în textul consolidat al ordonanței și în actele subsecvente emise de DNSC, nu doar în directivă.

Până la data acestui material, Ordinul DNSC 1/2025 reglementează notificarea pentru înregistrare, Ordinul 2/2025 stabilește pragurile de perturbare și metodologia de evaluare a nivelului de risc, iar Ordinul 3/2025 reglementează supravegherea, verificarea și controlul. Legea 123/2026 a completat regimul cercetării și raportării coordonate a vulnerabilităților. Acest ansamblu trebuie citit împreună.

OUG 155/2024 este norma operațională centrală. Politica internă, analiza juridică și matricea de controale trebuie raportate la articolele și ordinele aplicabile în România, chiar dacă documentația grupului folosește terminologia directivei.

Încadrarea începe cu serviciul furnizat

Articolele 5 și 6 trimit la tipurile de entități din anexele 1 și 2. Anexa 1 acoperă sectoarele de importanță critică ridicată, printre care energia, transporturile, sănătatea, apa, infrastructura digitală, serviciile TIC gestionate, administrația publică și spațiul. Anexa 2 include, între altele, serviciile poștale și de curierat, deșeurile, substanțele chimice, producția și distribuția de alimente, anumite activități de producție, furnizorii digitali și cercetarea.

Codul CAEN este un indiciu, nu concluzia juridică. Analiza trebuie să identifice serviciul efectiv, tipul de entitate descris în anexă, beneficiarii și teritoriul în care este furnizat. O societate poate avea un CAEN relevant autorizat fără să presteze serviciul vizat sau poate presta un serviciu relevant printr-o activitate secundară care nu apare în prezentarea comercială.

Fișa de încadrare ar trebui să păstreze descrierea serviciului, corespondența cu anexa, organigrama operațională, sediile, statele membre în care este furnizat și documentele financiare folosite pentru testul de dimensiune. O concluzie bazată numai pe denumirea sectorului este greu de susținut în fața unei cereri de clarificare.

Testul de dimensiune din articolul 8

Ca regulă, articolele 5 și 6 atrag întreprinderile mijlocii și mari din tipurile enumerate. OUG 155/2024 trimite la articolul 4 alineatul (1) litera c) din Legea 346/2004 pentru întreprinderea mijlocie: între 50 și 249 de salariați și o cifră de afaceri anuală netă de până la 50 de milioane de euro sau active totale de până la 43 de milioane de euro. Întreprinderea mare este cea care depășește criteriile pentru categoria mijlocie.

Articolul 8 exclude aplicarea articolului 4^5 din Legea 346/2004, dar nu autorizează ignorarea tuturor regulilor privind întreprinderile partenere și legate. Structura grupului, participațiile și situațiile financiare folosite trebuie verificate, nu înlocuite cu un calcul rapid al numărului de salariați dintr-o singură societate.

Instrumentul NIS2@RO solicită numărul mediu anual de salariați, cifra de afaceri și activele. Dosarul de notificare trebuie să conțină informații concludente, cum sunt extrasele relevante din situațiile financiare și documentele care susțin încadrarea.

Entitate esențială sau entitate importantă

Întreprinderile mari din anexa 1 sunt, în principiu, entități esențiale. Tot esențiali sunt, indiferent de dimensiune, furnizorii de servicii DNS, registrele de nume TLD, prestatorii de servicii de încredere calificați, entitățile administrației publice centrale, entitățile critice și cele identificate în baza articolului 9. Furnizorii mijlocii de comunicații electronice publice și furnizorii mijlocii de servicii de securitate gestionate intră, de asemenea, în categoria esențială.

Întreprinderile mijlocii și mari din anexele 1 și 2 care nu sunt esențiale sunt entități importante. Furnizorii de rețele ori servicii publice de comunicații electronice și prestatorii de servicii de încredere pot fi importanți indiferent de dimensiune, dacă nu au fost calificați drept esențiali.

Categoria influențează regimul de supraveghere, unele obligații de remediere și plafonul sancțiunilor. Ea nu schimbă ideea de bază: ambele categorii trebuie să gestioneze riscul, să își pregătească raportarea incidentelor și să poată prezenta dovezi.

Excepțiile care pot aduce în domeniu o entitate mică

Articolul 9 permite identificarea unor entități pe criterii de impact, inclusiv când sunt unicul furnizor al unui serviciu esențial pentru activități societale sau economice critice, când perturbarea poate afecta semnificativ siguranța, securitatea ori sănătatea publică, când poate apărea un risc sistemic important sau când entitatea are o importanță specifică la nivel național ori regional.

Aceste situații nu trebuie transformate într-o presupunere că orice furnizor mic este automat NIS2. Ele cer analiza condițiilor și, după caz, identificarea de către DNSC. Separat, anumite tipuri de entități digitale și de comunicații au reguli de dimensiune speciale direct în articolele 5 și 6.

Memoriul de aplicabilitate trebuie să arate atât regula generală, cât și motivul pentru care o excepție se aplică sau nu. Dacă serviciul susține o funcție publică ori o infrastructură critică, concluzia merită validată înainte de a fi folosită într-un contract sau într-o notificare.

Jurisdicția și normele sectoriale

Articolul 7 stabilește jurisdicția României și reguli speciale pentru furnizorii de servicii DNS, TLD, înregistrare de domenii, cloud, centre de date, rețele de livrare de conținut, servicii gestionate, servicii de securitate gestionate și anumite platforme digitale. Pentru grupurile care operează în mai multe state, sediul principal și locul deciziilor de securitate pot conta la fel de mult ca societatea care semnează contractul local.

OUG 155/2024 prevede expres că entităților cărora li se aplică DORA le sunt incidente numai articolele 5 până la 10 și articolul 18. Este aplicarea regulii de lex specialis pentru obligațiile echivalente din sectorul financiar. Concluzia nu trebuie extinsă automat la furnizorii lor sau la servicii care nu intră în domeniul DORA.

În sectoarele reglementate, analiza trebuie să aibă o coloană separată pentru cerințele sectoriale și o regulă de soluționare a suprapunerilor. O afirmație generică potrivit căreia organizația este deja reglementată nu este suficientă.

Notificarea și înscrierea în registrul DNSC

Entitatea care îndeplinește condițiile articolelor 5 sau 6 notifică DNSC în cel mult 30 de zile de la momentul în care OUG 155/2024 îi devine aplicabilă. Pentru o entitate care era deja în domeniu, termenul inițial nu trebuie tratat ca o perioadă de grație care se reia. Dacă notificarea nu a fost făcută, situația trebuie remediată și documentată.

Ordinul 1/2025 pune la dispoziție Platforma NIS2@RO, metoda principală de transmitere, și Instrumentul NIS2@RO pentru evaluare și pentru situațiile în care platforma este indisponibilă. Formularul acoperă identitatea, activitatea, dimensiunea, serviciile, prezența în UE, mijloacele permanente de contact, intervalele de adrese IP publice și documentele justificative.

DNSC emite decizia de identificare și înscriere în 60 de zile de la primirea notificării pentru o entitate esențială și în 150 de zile pentru una importantă. În 60 de zile de la comunicarea deciziei, entitatea transmite evaluarea nivelului de risc. În următoarele 60 de zile realizează autoevaluarea maturității măsurilor.

Autocalificarea din formular este preliminară. Decizia aparține DNSC, dar această competență nu mută asupra autorității obligația companiei de a își analiza situația și de a notifica la timp.

Guvernanța din articolul 14

Organele de conducere aprobă măsurile prevăzute de articolele 11 până la 13, supraveghează implementarea și răspund pentru încălcări. Membrii conducerii trebuie să urmeze cursuri profesionale acreditate, iar entitatea asigură regulat formarea întregului personal. Cybersecurity devine astfel un subiect de guvernanță, nu doar o sarcină tehnică.

Conducerea stabilește mijloace permanente de contact, alocă resurse și desemnează responsabilii cu securitatea rețelelor și sistemelor informatice în 30 de zile de la comunicarea deciziei DNSC. Cerințele mai stricte de autoritate managerială, raportare directă și independență față de IT și OT se aplică responsabilului din entitățile esențiale, cu excepțiile prevăzute pentru administrația publică, microîntreprinderi și întreprinderi mici.

Textul nu cere fiecărei societăți un departament nou sau un titlu de CISO. Cere un rol real, resurse și o linie de responsabilitate care poate funcționa în incident. Externalizarea serviciilor tehnice nu transferă aprobarea și supravegherea conducerii.

Măsurile de risc din articolele 11 și 13

Articolul 11 cere măsuri tehnice, operaționale și organizatorice adecvate și proporționale. Evaluarea ia în calcul expunerea, dimensiunea, probabilitatea și gravitatea incidentelor, impactul social și economic, stadiul tehnologiei, standardele relevante și costul implementării. Acesta este un test de risc, nu un catalog identic de produse.

Minimul legal acoperă politicile de analiză a riscului, evaluarea eficacității, criptografia, securitatea lanțului de aprovizionare, achiziția și dezvoltarea sigură, gestionarea vulnerabilităților, securitatea resurselor umane, controlul accesului, activele, incidentele, continuitatea, copiile de rezervă, redresarea, formarea și autentificarea multifactor, unde este cazul.

Articolul 11 adaugă protecția logică și fizică, jurnalizarea și trasabilitatea. Un registru de controale util leagă fiecare risc de măsură, proprietar, sistem, frecvență de testare și dovadă. Politica declară regula; configurația, testul și logul arată că regula funcționează.

Lanțul de aprovizionare și contractele

Entitatea trebuie să țină cont de vulnerabilitățile furnizorilor direcți, de calitatea produselor și de practicile lor de securitate, inclusiv procesele de dezvoltare. Aceasta nu înseamnă că fiecare furnizor primește același chestionar de o sută de întrebări. Segmentarea după acces, dependență și impact este mai ușor de apărat.

Contractele relevante trebuie să prevadă notificarea incidentelor și vulnerabilităților, termenele de cooperare, accesul la informații și dovezi, continuitatea, copiile de siguranță, subcontractorii critici, actualizările, ieșirea din serviciu și restituirea sau ștergerea datelor. Nivelul cerut trebuie corelat cu serviciul furnizat.

Faptul că un furnizor nu este el însuși entitate NIS2 nu îl scoate din analiza clientului. Presiunea contractuală din lanțul de aprovizionare este legitimă, dar nu trebuie prezentată furnizorului ca o obligație legală directă pe care nu o are.

Incidentul semnificativ și momentul luării la cunoștință

Raportarea obligatorie privește incidentele cu impact semnificativ asupra serviciilor. Testul este îndeplinit dacă incidentul a provocat sau poate provoca perturbări operaționale grave ori pierderi financiare sau dacă a afectat ori poate afecta alte persoane prin prejudicii materiale sau nonmateriale considerabile.

Procedura internă trebuie să definească momentul în care organizația are suficiente informații pentru a considera că a luat la cunoștință. Acesta nu poate fi împins până la finalul investigației criminalistice. Echipa operațională are nevoie de praguri de escaladare și de autoritatea de a convoca juridicul, conducerea și responsabilul NIS2 în afara programului.

Raportarea se face către echipa națională de răspuns prin PNRISC. Ea nu înlocuiește analiza altor obligații de notificare, de exemplu către o autoritate sectorială, un client sau autoritatea pentru protecția datelor atunci când incidentul include o încălcare a securității datelor cu caracter personal.

Secvența de 6, 24 și 72 de ore

OUG 155/2024 cere, în cel mult 6 ore de la luarea la cunoștință, transmiterea informației care permite echipei naționale să constate un impact transfrontalier. Pentru incidentul semnificativ, avertizarea timpurie se transmite în cel mult 24 de ore, iar raportarea inițială în cel mult 72 de ore. La cerere se furnizează un raport intermediar.

Raportul final se transmite în cel mult o lună de la raportarea de 72 de ore. El descrie incidentul și impactul, cauza probabilă, măsurile de atenuare și eventualul impact transfrontalier. Dacă incidentul este încă în desfășurare, se transmite un raport de progres și apoi raportul final în termen de o lună de la gestionarea incidentului.

Formularele pot fi pregătite dinainte. Registrul incidentului trebuie să păstreze ora detectării, ora escaladării, momentul luării la cunoștință, raționamentul privind semnificația, informațiile transmise, persoana care a aprobat și actualizările ulterioare.

Autoevaluare, audit și dosarul de dovezi

Entitățile esențiale și importante transmit anual autoevaluarea maturității, asumată de management. Entitățile esențiale transmit, în 30 de zile de la autoevaluare, planul de remediere a deficiențelor. Evaluarea nivelului de risc se face potrivit Ordinului 2/2025 și determină categoria măsurilor aplicabile.

OUG 155/2024 prevede audituri de securitate în condițiile și cu periodicitatea stabilite prin ordinul aplicabil, în funcție de risc. În control, DNSC poate cere politicile, datele, documentele, rezultatele auditurilor, listele de active și riscuri, testele proprii și alte probe ale implementării. Ordinul 3/2025 descrie procedura de supraveghere, verificare și control.

Dosarul apărabil nu este un biblioraft alcătuit în săptămâna controlului. El se formează din versiuni aprobate, minute de management, inventare actualizate, tichete de remediere, rapoarte de testare a restaurării, dovezi MFA, revizuiri de acces, evaluări de furnizori, exerciții de incident și decizii motivate privind riscurile acceptate.

Supravegherea și sancțiunile

DNSC poate desfășura supraveghere, verificare și control, poate dispune audituri ad-hoc și poate solicita acces la informații, date, echipamente și personal. Pentru entitățile importante, articolul 46 alineatul (4) restrânge supravegherea curentă la aplicarea anumitor măsuri, dar un incident semnificativ sau indicii temeinice de încălcare pot declanșa controlul.

Pentru încălcările principale privind măsurile, guvernanța și raportarea, entitățile importante pot primi amenzi de la 5.000 de lei până la echivalentul a 7 milioane de euro sau 1,4% din cifra de afaceri anuală mondială, fiind luată valoarea mai mare. Pentru entitățile esențiale, intervalul pornește de la 10.000 de lei și poate ajunge la 10 milioane de euro sau 2% din cifra de afaceri mondială, tot la valoarea mai mare. Alte încălcări au plafoane mai reduse.

Acestea sunt limite legale, nu sancțiuni automate. Individualizarea ține cont de criteriile ordonanței și de situația concretă. O prezentare serioasă către conducere trebuie să includă expunerea, dar să nu reducă programul NIS2 la o amenințare cu amenda.

Cercetarea și raportarea vulnerabilităților după Legea 123/2026

Legea 123/2026 a completat articolul 36 și Codul penal pentru cercetarea și raportarea vulnerabilităților. Înlăturarea caracterului penal funcționează numai dacă sunt îndeplinite cumulativ condițiile legale privind cercetarea și raportarea coordonată. Nu este o autorizare generală pentru testarea oricărui sistem.

Pentru entități, schimbarea confirmă nevoia unui proces de primire, triere, confirmare și remediere a raportărilor de vulnerabilități. Pagina de contact, regulile de divulgare și păstrarea cronologiei trebuie să fie accesibile oamenilor care pot răspunde tehnic și juridic.

Programul intern trebuie să separe testarea autorizată, raportarea externă primită și obligația de remediere. Fiecare are alt temei, alt proprietar și alt set de dovezi.

Un exemplu de dosar pentru o întreprindere mijlocie

O companie cu 82 de salariați produce și distribuie alimente. Indicatorii financiari o mențin în categoria întreprinderilor mijlocii, iar serviciul se regăsește în anexa 2. În absența unei calificări speciale ca entitate esențială, analiza preliminară indică o entitate importantă.

Dosarul ei începe cu memoriul de încadrare și documentele de dimensiune. Urmează notificarea NIS2@RO, decizia DNSC, evaluarea nivelului de risc, autoevaluarea maturității și hotărârea conducerii privind resursele și responsabilul. Registrul de risc leagă producția, ERP-ul, accesul la distanță, furnizorul de mentenanță, lanțul frigorific și copiile de rezervă de măsuri și dovezi.

Exercițiul de incident simulează indisponibilizarea ERP-ului și compromiterea contului furnizorului. Echipa testează oprirea accesului, continuitatea producției, restaurarea, evaluarea impactului, traseul PNRISC și informarea clienților. Acest exercițiu produce mai multă probă decât o declarație generală de conformitate.

Structura minimă a programului de conformitate

Înainte de achiziții suplimentare, funcția de conformitate poate construi o hartă controlabilă a obligațiilor. Ea trebuie revizuită după schimbarea serviciului, structurii grupului, furnizorilor critici, arhitecturii sau nivelului de risc.

Fiecare linie din hartă trebuie să aibă un proprietar și o dovadă. Formularea că măsura este în curs nu răspunde la întrebarea cine o finalizează, până când și cum va fi testată.

• Memoriu de aplicabilitate și calificare, cu anexele și articolul folosit
• Dosar de notificare, decizia DNSC și calendarul termenelor ulterioare
• Hotărâri de conducere, formare, responsabil și mijloace permanente de contact
• Inventare de servicii, active, dependențe, riscuri și furnizori direcți
• Registru de măsuri cu proprietari, termene, teste și probe
• Plan de incident cu praguri, PNRISC, formulare și jurnal cronologic
• Autoevaluări, audituri, planuri de remediere și urmărirea închiderii

Conformitatea trebuie să poată fi reconstituită

Un program NIS2 este credibil când un terț poate reconstitui de ce entitatea este în domeniu, ce riscuri a identificat, ce a aprobat conducerea, cum funcționează măsurile și ce s-a întâmplat într-un incident. Certitudinea absolută nu este standardul. Coerența dintre risc, decizie, implementare și dovadă este.

Pentru funcția juridică și de conformitate, miza este să transforme obligațiile în criterii verificabile. Pentru echipa tehnică, miza este să păstreze probele fără a opri operațiunile. Pentru conducere, miza este să decidă resursele și riscul acceptat în cunoștință de cauză.