Ce este NIS2, pe scurt
NIS2 este directiva europeană care obligă firmele din sectoare importante pentru economie și societate să își gestioneze riscurile de securitate cibernetică și să raporteze incidentele grave. În România a fost transpusă prin OUG nr. 155/2024, aprobată ulterior prin Legea nr. 124/2025. Autoritatea competentă este DNSC — Directoratul Național de Securitate Cibernetică.
Diferența majoră față de vechea lege NIS: sunt vizate mult mai multe firme, inclusiv de dimensiune medie, iar conducerea răspunde direct de măsurile de securitate.
Cine intră sub NIS2
Regula generală: firmele medii și mari (de regulă de la 50 de angajați sau peste 10 milioane de euro cifră de afaceri) care activează într-unul din sectoarele din anexele legii. Câteva exemple:
- energie, transport, sănătate, apă potabilă și ape uzate, infrastructură digitală;
- furnizori de servicii IT administrate și servicii de securitate administrate, cloud, centre de date;
- servicii poștale și de curierat, gestionarea deșeurilor, industria alimentară, chimică și unele ramuri ale producției;
- platforme online, organizații de cercetare, administrația publică centrală.
Firmele sunt împărțite în entități esențiale (de regulă firme mari din sectoarele cele mai critice) și entități importante. Unele categorii intră indiferent de mărime, iar DNSC poate desemna o firmă și dacă este, de exemplu, singurul furnizor al unui serviciu critic.
Chiar dacă firma ta e mică și nu intră direct sub NIS2, clienții tăi mari probabil intră — și îți vor cere măsuri de securitate prin contract. NIS2 îi obligă să își verifice și furnizorii.
Ce obligații ai
- Înregistrarea la DNSC — notificarea se face în 30 de zile de când legea devine aplicabilă firmei. Termenul general pentru firmele deja vizate a expirat în septembrie 2025, dar obligația rămâne: dacă nu te-ai înregistrat, fă-o acum.
- Evaluarea riscurilor și a nivelului de maturitate, după ce DNSC îți comunică decizia de identificare — fiecare cu termen de aproximativ 60 de zile.
- Măsuri tehnice și organizatorice proporționale cu riscul: politici, control acces, MFA, backup, actualizări, criptare, securitatea furnizorilor, plan de continuitate.
- Raportarea incidentelor semnificative către DNSC (detalii mai jos).
- Instruirea conducerii și a angajaților.
Raportarea incidentelor: 24h, 72h, o lună
- Avertizare timpurie în 24 de ore de când afli de incident — scurtă, chiar dacă nu știi încă toate detaliile;
- Notificarea incidentului în 72 de ore — cu o primă evaluare a gravității și impactului;
- Raport final în cel mult o lună — cauza, măsurile luate, efectele.
Termenele sunt scurte. Fără un plan de răspuns scris dinainte — cine decide, cine raportează, cine sună furnizorul IT — e aproape imposibil să le respecți în plin incident.
Răspunderea conducerii și amenzile
Conducerea firmei trebuie să aprobe și să supravegheze măsurile de securitate și să urmeze instruiri. Responsabilitatea nu poate fi „pasată” integral departamentului IT sau furnizorului.
Pentru încălcările grave, amenzile pot ajunge până la 10 milioane de euro sau un procent din cifra de afaceri pentru entitățile esențiale (limite mai mici pentru cele importante). Alte contravenții, inclusiv neînregistrarea, se sancționează cu amenzi de până la sute de mii de lei. DNSC a început deja procedurile de sancționare, în primul rând pentru firmele neînregistrate.
Un plan în 6 pași
- Verifică dacă firma ta intră sub OUG 155/2024 (sector + mărime) și înregistreaz-o la DNSC dacă e cazul.
- Fă un inventar: ce sisteme, date și furnizori sunt critici pentru activitate.
- Fă o evaluare a riscurilor și o analiză a diferențelor față de cerințe.
- Implementează întâi măsurile de bază: MFA, backup imuabil, actualizări, segmentarea rețelei, EDR.
- Scrie politicile și planul de răspuns la incidente; stabilește cine raportează la DNSC.
- Instruiește conducerea și angajații, apoi revizuiește anual.
Informațiile din acest ghid sunt orientative. Pentru încadrarea exactă a firmei tale, verifică textul legii și ghidurile publicate de DNSC sau cere o consultanță.
Consultanță și conformitate → · Securitate cibernetică pentru firme → · Fă auditul gratuit →