Ce este NIS2? Ghid complet pentru companiile din România

NIS2 a intrat în vigoare în România prin OUG 155/2024 și impune obligații concrete de securitate cibernetică mii de companii. Dacă firma ta activează în sectoare critice — sănătate, IT, energie, transport, financiar — și depășești anumite praguri de mărime, ești deja în domeniul de aplicare. Acest ghid îți explică exact ce înseamnă, cine intră și ce trebuie să faci.

Ce este NIS2?

NIS2 (Network and Information Security Directive 2) este Directiva UE 2022/2555, care înlocuiește vechea directivă NIS din 2016. Scopul ei este să ridice nivelul de securitate cibernetică în toată Uniunea Europeană printr-un set unitar de obligații pentru operatorii din sectoare critice.

Față de NIS1, domeniul de aplicare s-a extins semnificativ: mai multe sectoare, mai multe companii, obligații mai stricte și amenzi mult mai mari. România a transpus directiva prin OUG 155/2024, iar Legea 124/2025 a adus extinderi suplimentare, inclusiv pentru farmacii și distribuitorii de medicamente.

Cine intră sub NIS2 în România?

NIS2 se aplică în două categorii, în funcție de sectorul de activitate și dimensiunea companiei:

Criteriile de dimensiune funcționează prin SAU — îndeplinești oricare dintre ele și intri în categorie.

Sectoarele acoperite de NIS2

Anexa I — Sectoare înalt critice (entități esențiale)

• Energie (electricitate, gaz, petrol, hidrogen)
• Transport (aerian, feroviar, naval, rutier)
• Sectorul bancar și infrastructuri ale piețelor financiare
• Sănătate (spitale, laboratoare, producători de dispozitive medicale)
• Apă potabilă și apă uzată
• Infrastructură digitală (DNS, IXP, cloud computing, centre de date, rețele CDN)
• Gestionarea serviciilor TIC (MSP, MSSP)
• Administrație publică
• Spațiu cosmic

Anexa II — Alte sectoare critice (entități importante)

• Servicii poștale și de curierat
• Gestionarea deșeurilor
• Fabricarea, producerea și distribuirea de substanțe chimice
• Producerea, prelucrarea și distribuirea alimentelor
• Fabricare (dispozitive medicale, calculatoare, vehicule, echipamente electrice)
• Furnizori digitali (platforme online, motoare de căutare, rețele sociale)
• Cercetare

Ce obligații concrete impune NIS2?

Articolul 21 din Directiva NIS2 (transpus în OUG 155/2024) impune implementarea următoarelor măsuri:

1. Politici de securitate — documente formale privind riscurile și gestionarea incidentelor
2. Gestionarea incidentelor — proceduri clare de detectare, răspuns și raportare
3. Continuitatea activității — planuri BCP și de recuperare după dezastre (DR)
4. Securitatea lanțului de aprovizionare — evaluarea furnizorilor și partenerilor
5. Securizarea achizițiilor — cerințe minime pentru sisteme și software
6. Evaluarea eficacității — audituri și teste periodice
7. Instruirea personalului — training obligatoriu de conștientizare a riscurilor
8. Criptare și autentificare multifactor (MFA) — pe toate sistemele critice
9. Gestionarea activelor — inventar actualizat al sistemelor și datelor critice
10. Vulnerabilități — proceduri de divulgare responsabilă

Termene de raportare a incidentelor

• 24 ore — alertă timpurie la DNSC (dacă suspectezi un incident semnificativ)
• 72 ore — notificare completă cu clasificarea incidentului
• 1 lună — raport final cu analiza cauzelor și măsuri aplicate

Sancțiuni — ce riscă companiile care nu se conformează?

NIS2 introduce responsabilitate personală pentru conducerea companiei — nu doar amenzi pentru organizație. Directorul general poate fi declarat temporar inapt să exercite funcții de conducere dacă nu demonstrează că a luat măsuri adecvate.

• Entități esențiale: până la 10.000.000 EUR sau 2% din cifra de afaceri globală
• Entități importante: până la 7.000.000 EUR sau 1,4% din cifra de afaceri globală
• Suspendarea temporară a autorizațiilor de operare
• Obligarea la audituri de securitate externe

Cum verifici dacă firma ta intră sub NIS2 — pași concreti

1. Identifică codul CAEN principal al activității tale
2. Verifică dacă sectorul tău apare în Anexa I sau II (crosswalk-ul nostru mai jos)
3. Numără angajații echivalent normă întreagă (FTE) și verifică cifra de afaceri anuală
4. Dacă îndeplinești criteriile, înregistrează-te la DNSC și desemnează un punct de contact
5. Implementează măsurile tehnice și organizatorice cerute de art. 21

Ai nevoie de ajutor și cu GDPR? Citește ghidul nostru complet despre GDPR →