Intru sub incidența NIS2? Sectoare, mărime, excepții

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 2: Intru sub incidența NIS2? Sectoare, mărime, excepții. În primul episod am pornit de la atacul asupra ANCPI din vara lui 2026. Am văzut că incidentele grave exploatează de cele mai multe ori lipsa măsurilor de bază. Și că securitatea cibernetică a devenit o responsabilitate a conducerii. Astăzi răspundem la întrebarea firească de după un astfel de caz: ne privește și pe noi? Informațiile prezentate reflectă cadrul legal din octombrie 2026.

În acest episod vă ajutăm să aflați, pas cu pas, dacă organizația dumneavoastră intră sub incidența NIS2. Vom vedea trei lucruri. Primul: ce s-a schimbat de la prima directivă europeană, NIS1, la NIS2, și cum s-a construit cadrul legal în România. Al doilea: cele trei criterii de încadrare, cele 18 sectoare vizate și excepțiile. Le vom pune apoi într-un arbore decizional simplu. Și al treilea: diferența dintre entitățile esențiale și cele importante și ce riscați dacă nu vă înregistrați la DNSC. La final veți ști ce întrebări să vă puneți și care este primul pas concret.

Să începem cu contextul. Prima directivă europeană privind securitatea rețelelor și a sistemelor informatice, cunoscută ca NIS1, datează din 2016. În decembrie 2022 a fost publicată directiva NIS2, care o înlocuiește, pe fondul unor amenințări tot mai grave și mai frecvente. NIS1 vorbea despre operatori de servicii esențiale și furnizori de servicii digitale. NIS2 vorbește despre entități esențiale și entități importante. NIS1 acoperea 7 sectoare și câteva servicii digitale. NIS2 acoperă 18 sectoare și, în România, aproximativ 15.000 de entități. Se schimbă și filozofia. Sub NIS1, autoritatea identifica operatorii. Sub NIS2, fiecare organizație își verifică singură încadrarea, după sector și mărime. Iar unele intră sub incidență indiferent de mărime. Apoi, conducerea. NIS1 nu prevedea o răspundere explicită a conducerii. NIS2 cere ca organele de conducere să aprobe, să supravegheze și să răspundă, inclusiv personal. Raportarea incidentelor are acum termene stabilite: 24 de ore, 72 de ore și o lună. Iar amenzile, stabilite înainte la nivel național, ajung acum până la 10 milioane de euro sau 2% din cifra de afaceri.

Cum a ajuns NIS2 în legislația României? În etape. Pe 31 decembrie 2024 a intrat în vigoare OUG 155/2024, care transpune directiva. În iulie 2025, Legea 124/2025 a aprobat ordonanța, cu modificări. Pe 20 august 2025 au apărut primele ordine DNSC, despre notificare și despre evaluarea nivelului de risc. În septembrie 2025 a expirat termenul inițial de notificare la DNSC. Pe 27 noiembrie 2025 a urmat ordinul privind supravegherea și controlul. În 2026, Legea 123/2026 a modificat ordonanța. Momentul de cotitură a venit pe 27 august 2026, când a fost publicat Ordinul DNSC 1/2026. El stabilește măsurile concrete de securitate și metodologia de autoevaluare a maturității, bazată pe cadrul CyFun. În septembrie au urmat un ordin care îl completează și o decizie pentru entitățile care fac parte dintr-un grup de întreprinderi. Mai sunt în lucru câteva acte, printre care ordinul privind auditul și cel privind furnizorii de formare. De aceea, fiecare episod arată data la care informațiile sunt valabile.

Acum, întrebarea principală: intrați sub incidență? NIS2 folosește trei criterii: sectorul de activitate, numărul de angajați și cifra de afaceri, împreună cu bilanțul anual. Regula generală este simplă. Legea se aplică întreprinderilor mijlocii și mari din cele 18 sectoare vizate. Pragul urmează definiția întreprinderilor mici și mijlocii, din Legea 346/2004. Concret, o organizație intră în calcul dacă are cel puțin 50 de angajați. Sau dacă are atât cifra de afaceri, cât și bilanțul anual de peste 10 milioane de euro. Întreprinderile mijlocii, cu 50 până la 249 de angajați și o cifră de afaceri de până la 50 de milioane de euro, intră sub incidență. Întreprinderile mari, cu cel puțin 250 de angajați sau cu o cifră de afaceri de peste 50 de milioane de euro, intră și ele. Microîntreprinderile și întreprinderile mici sunt, în principiu, excluse. Adică cele cu sub 50 de angajați și sub 10 milioane de euro cifră de afaceri sau bilanț. Rețineți însă cuvintele „în principiu”. Există excepții, la care ajungem imediat.

Care sunt cele 18 sectoare? Ele sunt împărțite în două anexe ale legii. Anexa I cuprinde 11 sectoare cu grad ridicat de criticitate. Energie, transport, sectorul bancar și infrastructurile pieței financiare. Sănătate, apă potabilă și ape uzate. Infrastructura digitală și serviciile informatice gestionate pentru alte firme. Administrația publică. Și spațiul. Anexa II cuprinde 7 sectoare cu grad redus de criticitate. Servicii poștale și de curierat, gestionarea deșeurilor și substanțele chimice. Producția și distribuția alimentelor. Fabricarea. Furnizorii digitali. Și cercetarea. Un detaliu pentru sectorul financiar. Băncile și infrastructurile pieței financiare cărora li se aplică regulamentul european DORA urmează măsurile de securitate din acest regulament. Furnizorii lor de servicii informatice pot intra, la rândul lor, sub NIS2. Și o atenție importantă: sectorul nu decide singur categoria entității. Revenim la acest lucru în câteva minute.

Să punem totul într-un arbore decizional, cu trei întrebări. Prima întrebare: activați într-unul dintre cele 18 sectoare? Dacă nu, organizația este, în principiu, în afara domeniului de aplicare. A doua întrebare: sunteți întreprindere mijlocie sau mare? Adică aveți cel puțin 50 de angajați, sau o cifră de afaceri și un bilanț de peste 10 milioane de euro? Dacă da, intrați sub incidență și trebuie să notificați DNSC. A treia întrebare, pentru organizațiile mai mici: se aplică vreo excepție? Dacă da, intrați sub incidență indiferent de mărime. Iar dacă există incertitudine, nu ghiciți. Faceți evaluarea de risc și de impact și obțineți decizia DNSC privind încadrarea. Aceasta este și recomandarea din comunicările DNSC.

Care sunt aceste excepții? Sunt situațiile în care o organizație mică intră sub incidența NIS2 din cauza rolului pe care îl are. Prima: sunteți singurul furnizor la nivel național al unui serviciu esențial. A doua: o perturbare a serviciului dumneavoastră ar afecta siguranța, securitatea sau sănătatea publică. A treia: o perturbare ar genera un risc sistemic, inclusiv unul transfrontalier, adică dincolo de granițele țării. A patra: sunteți o entitate critică, la nivel național sau regional, pentru sectorul dumneavoastră. Pentru o astfel de organizație, mărimea nu mai contează. Concluzia: dacă sunteți sub prag, nu vă opriți la a doua întrebare. Verificați excepțiile și, dacă aveți dubii, cereți decizia DNSC.

Dacă intrați sub incidență, următoarea întrebare este: în ce categorie? NIS2 împarte entitățile în esențiale și importante. O confuzie frecventă: nu toate entitățile din Anexa I sunt esențiale. Anexa arată doar că sectorul are o criticitate ridicată. Regula generală combină sectorul cu mărimea. Entitățile mari din Anexa I sunt esențiale. Entitățile mijlocii din Anexa I sunt importante. De exemplu, o firmă mijlocie din energie este, de regulă, entitate importantă. Iar entitățile din Anexa II, fie că sunt mijlocii, fie că sunt mari, sunt importante. Există și excepții de la această regulă, de exemplu administrația publică centrală sau furnizorii unici ai unui serviciu. Decizia finală de încadrare o emite DNSC, inclusiv pe criterii de impact.

Ce înseamnă, concret, diferența dintre cele două categorii? Prima diferență ține de măsurile de securitate. Entitățile esențiale aplică un set complet de măsuri, conform cadrului CyFun. Entitățile importante aplică un set redus. Atenție însă: nivelul concret al măsurilor rezultă din evaluarea nivelului de risc, nu automat din categorie. Despre nivelurile CyFun vorbim într-un episod dedicat. A doua diferență ține de supraveghere. Entitățile esențiale pot fi verificate proactiv, înainte de orice incident. A treia ține de plafonul amenzilor. Pentru entitățile esențiale, până la 10 milioane de euro sau 2% din cifra de afaceri anuală. Pentru cele importante, până la 7 milioane de euro sau 1,4%. În ambele cazuri se aplică valoarea mai mare. A patra ține de responsabilul NIS. Desemnarea lui este obligatorie, iar la entitățile esențiale persoana trebuie să îndeplinească, cumulativ, criterii stricte. Ce este comun? Aceleași obligații de raportare a incidentelor și aceeași răspundere a conducerii.

Ajungem la primul risc concret: neînregistrarea. Dacă organizația intră sub incidența NIS2, prima obligație este notificarea către DNSC, pentru înscrierea în registrul entităților. Termenul inițial de notificare a expirat în septembrie 2025. Dar obligația de notificare rămâne în vigoare. Dacă nu ați notificat încă, este momentul să o faceți. Neînregistrarea se sancționează separat, cu amendă de până la 500.000 de lei. Este o sancțiune distinctă de amenzile pentru celelalte obligații. DNSC face verificări suplimentare acolo unde suspectează că înregistrarea lipsește sau este incorectă. Și poate cere dovezi că organul de conducere și-a îndeplinit obligațiile. Mai este un motiv pentru care înregistrarea contează. Termenele obligațiilor următoare curg de la confirmarea înregistrării. Calendarul lor îl prezentăm în episodul următor.

Să recapitulăm. Prima idee: NIS2 se aplică întreprinderilor mijlocii și mari din 18 sectoare, aproximativ 15.000 de organizații în România. Fiecare își verifică singură încadrarea. A doua: mărimea nu este singurul criteriu. Unele organizații intră sub incidență indiferent de mărime, iar în caz de dubiu cereți decizia DNSC. A treia: categoria, esențială sau importantă, rezultă din sector și mărime. Iar neînregistrarea se sancționează cu amendă de până la 500.000 de lei.

Primul pas este să vă clasificați corect organizația și să notificați DNSC. Puteți face asta gratuit, în platforma Certudo, la adresa app.certudo.com. Acolo obțineți clasificarea organizației, pe baza sectorului și a mărimii, iar platforma vă ajută cu notificarea către DNSC. În episodul următor răspundem la întrebarea: am notificat DNSC, ce urmează în primul an? Vorbim despre calendarul care începe de la confirmarea înregistrării, despre raportarea incidentelor și despre amenzi. Vă mulțumim că ne-ați urmărit.