# OUG 155/2024 și Legea 124/2025: legea NIS2 din România, pe scurt

> OUG 155/2024 transpune Directiva NIS2 în România, iar Legea 124/2025 o aprobă cu modificări. Ce reglementează, ce a adus noul și care sunt actele de aplicare.

În România, cadrul NIS2 stă pe două acte principale, citite împreună: OUG 155/2024, care transpune directiva europeană, și Legea 124/2025, care o aprobă cu modificări. La acestea se adaugă ordinele de aplicare ale DNSC. Acest articol le pune în ordine și explică, pe scurt, ce aduce fiecare.

## Ce reglementează OUG 155/2024

OUG 155/2024 este actul normativ prin care Directiva (UE) 2022/2555, cunoscută ca NIS2, a fost transpusă în dreptul românesc. A fost publicată în Monitorul Oficial nr. 1278 din 30 decembrie 2024 și a intrat în vigoare de la publicare.

Ordonanța stabilește, printre altele:

- Sectoarele și categoriile de entități vizate, prin anexe care listează domeniile de activitate (energie, transport, sănătate, infrastructuri digitale, administrație publică și altele).
- Împărțirea în entități esențiale și entități importante, cu regimuri de supraveghere diferite.
- Obligațiile de bază: înregistrare și notificare la DNSC, măsuri de gestionare a riscurilor de securitate cibernetică, raportarea incidentelor semnificative.
- Rolul DNSC ca autoritate competentă la nivel național și regimul sancțiunilor.

Pentru o introducere mai largă în directivă și în ce se schimbă pentru companii, vezi [ce este NIS2](/blog/directiva-nis2-romania) și pagina generală [NIS2](/nis2).

## De la NIS1 la NIS2: de ce un cadru nou

NIS2 nu a apărut din senin. Prima directivă NIS (transpusă anterior în România) acoperea un număr restrâns de operatori, din câteva sectoare, cu reguli de identificare care lăsau loc de interpretare și cu diferențe mari între statele membre. Experiența ultimilor ani, marcată de creșterea atacurilor cibernetice și a dependenței de servicii digitale, a arătat că acel cadru era insuficient.

NIS2 răspunde acestor limite pe mai multe direcții: extinde semnificativ perimetrul (mult mai multe sectoare și organizații), clarifică regulile de identificare prin combinația sector plus mărime, ridică ștacheta pe responsabilitatea conducerii, pe securitatea lanțului de aprovizionare și pe raportarea incidentelor în termene stricte. Prin OUG 155/2024, aceste schimbări au devenit obligatorii și în România. Pentru o comparație mai detaliată, vezi [ce este NIS2 și ce se schimbă](/blog/directiva-nis2-romania).

## De ce o ordonanță de urgență

Transpunerea NIS2 avea un termen european, iar o ordonanță de urgență permite punerea în aplicare rapidă a cadrului, fără a aștepta întregul parcurs parlamentar. Totuși, o ordonanță de urgență nu rămâne definitivă de la sine: ea trebuie supusă aprobării Parlamentului, care o poate adopta ca atare sau cu modificări. Acest mecanism explică de ce avem două acte, OUG 155/2024 și Legea 124/2025, care împreună formează cadrul aplicabil. Până la aprobarea prin lege, ordonanța a produs deja efecte, iar obligațiile au curs din momentul intrării ei în vigoare.

## Ce a adus Legea 124/2025

O ordonanță de urgență trebuie aprobată ulterior prin lege de către Parlament. Acest lucru s-a întâmplat prin Legea 124/2025, care aprobă OUG 155/2024 cu 23 de modificări. Legea a fost publicată în Monitorul Oficial la 7 iulie 2025 și a intrat în vigoare la 10 iulie 2025.

Printre modificările relevante aduse la aprobare se numără:

- Întărirea obligațiilor de instruire a conducerii și a personalului, precum și consolidarea rolului de responsabil NIS. Instruirea organului de conducere și a angajaților devine o cerință mai apăsată (Art. 14 alin. (2)-(3)).
- Noi categorii de entități în sectorul sănătății, lărgind perimetrul entităților vizate.
- Includerea distribuției și a comerțului farmaceutic în sfera de aplicare.

Consecința practică este că cele două acte se citesc împreună: forma aplicabilă a cadrului NIS2 din România este OUG 155/2024 așa cum a fost modificată prin Legea 124/2025.

## Actele normative principale

Pentru orientare rapidă, tabelul de mai jos rezumă piesele principale ale cadrului NIS2 din România.

  
    Act normativRolReper
  
  
    Directiva (UE) 2022/2555 (NIS2)Actul european transpusCadrul comun de securitate cibernetică în UE
    OUG 155/2024Transpunere în dreptul românescMO nr. 1278 din 30 decembrie 2024, în vigoare de la publicare
    Legea 124/2025Aprobă OUG cu 23 de modificăriMO din 7 iulie 2025, în vigoare 10 iulie 2025
    Ordinul 1 (DNSC)Act de aplicareDetaliază aspecte procedurale și de aplicare
    Ordinul 2 (DNSC)Act de aplicareDetaliază aspecte procedurale și de aplicare
  

Ordinele DNSC completează cadrul legal cu reguli de detaliu, de exemplu privind modul de notificare, încadrarea entităților sau cerințele de securitate. Pentru textele oficiale și actualizări, sursa de referință rămâne [site-ul DNSC](https://www.dnsc.ro/).

## Rolul DNSC în aplicarea legii

OUG 155/2024 desemnează DNSC (Directoratul Național de Securitate Cibernetică) drept autoritate competentă la nivel național pentru NIS2. În această calitate, DNSC nu doar emite acte de aplicare, ci și administrează procesul practic de conformare și supraveghere:

- Operează platforma NIS2@RO, prin care se fac înregistrarea și notificarea.
- Emite deciziile de încadrare a entităților ca esențiale sau importante.
- Primește rapoartele de incident și coordonează răspunsul la nivel național.
- Exercită supravegherea, efectuează controale și aplică sancțiuni atunci când constată neconformități.

Pentru o organizație vizată, DNSC este deci atât punctul de contact pentru obligații, cât și autoritatea care verifică respectarea lor. De aceea, relația cu DNSC se gestionează proactiv, nu doar atunci când apare o problemă.

## De la lege la obligații concrete

Legea spune ce trebuie obținut, dar nu intră în detalii tehnice. Pentru operaționalizare, DNSC a adoptat cadrul CyFun (CyberFundamentals) ca metodologie de lucru: o colecție structurată de controale, cu niveluri și o scală de maturitate. Astfel, obligațiile generale din OUG 155/2024 devin pași concreți și măsurabili. Vezi [CyFun la DNSC](/blog/cyfun-dnsc) și pagina [CyFun](/cyfun).

În practică, parcursul tipic de conformare arată astfel:

- Verifici încadrarea și depui notificarea la DNSC. Vezi ghidul de [înregistrare la DNSC](/blog/inregistrare-dnsc-nis2).
- Faci analiza de risc și autoevaluarea de maturitate CyFun.
- Implementezi măsurile proporțional cu riscul și documentezi dovezile.
- Pregătești raportarea incidentelor și, acolo unde este cazul, auditul.

## De ce contează datele și termenele

Datele de publicare și de intrare în vigoare nu sunt simple detalii: ele fixează momentul de la care obligațiile produc efecte și de la care curg termenele. Întrucât OUG 155/2024 a intrat în vigoare de la publicare, iar termenele de notificare au fost ulterior stabilite, întârzierile se pot sancționa. Pentru calendarul obligațiilor vezi [termenele NIS2](/blog/termene-nis2-calendar), iar pentru regimul sancțiunilor, [amenzile NIS2](/blog/amenzi-nis2-romania).

## Unde găsești textele oficiale

Pentru o organizație care vrea să lucreze pe textul exact al legii, câteva repere de încredere ajută să eviți variantele neoficiale sau depășite:

- Portalul legislativ național ([legislatie.just.ro](https://legislatie.just.ro/)) pentru forma consolidată a OUG 155/2024 și pentru Legea 124/2025.
- [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) pentru textul Directivei (UE) 2022/2555, util când vrei să înțelegi intenția europeană din spatele unei prevederi.
- [Site-ul DNSC](https://www.dnsc.ro/) pentru ordinele de aplicare, ghidurile și anunțurile autorității.

Un sfat practic: verifică întotdeauna forma consolidată, adică textul OUG 155/2024 așa cum a fost modificat prin Legea 124/2025, nu forma inițială a ordonanței, care nu mai reflectă toate regulile în vigoare.

## Concluzie

Cadrul NIS2 din România nu este un singur text, ci un ansamblu: OUG 155/2024, modificată prin Legea 124/2025, plus ordinele de aplicare ale DNSC. Pentru o organizație vizată, important este să nu se piardă în detalii legislative, ci să treacă la pașii concreți: încadrare, notificare, analiză de risc, autoevaluare și măsuri.

Verifică-ți încadrarea și pregătește notificarea (gratuit)

Pentru o ofertă adaptată situației tale, contactează echipa Certudo.