Actualizat: octombrie 2026
Ghid NIS2 pentru companii din România: de la obligație la control dovedit.
Cine intră sub lege, ce cere OUG 155/2024, cum raportezi un incident la DNSC și cum transformi cerințele într-un program pe care îl poți arăta. Pentru management, IT și conformitate, cu verificări interactive pe parcurs.
- OUG 155/2024legea NIS2 în România
- 24h · 72h · 1 lunătermenele de raportare
- până la 10 mil. €sau 2% din cifra de afaceri
Drumul unei firme prin NIS2
NIS2 pe scurt
Ghid NIS2: ce este directiva și ce schimbă pentru firmă
Acest ghid NIS2 explică obligațiile pe care firmele trebuie să le analizeze în baza Directivei (UE) 2022/2555: managementul riscurilor de securitate cibernetică, responsabilitatea conducerii, continuitatea activității, securitatea furnizorilor și raportarea incidentelor semnificative.
Pentru firmele vizate, conformitatea nu înseamnă doar politici. Înseamnă să poți arăta că riscurile sunt cunoscute, că măsurile sunt implementate, că un incident poate fi gestionat și că management-ul supraveghează efectiv programul de securitate.
Aplicabilitate
Aplicabilitate NIS2: intră firma ta sub lege?
Contează sectorul, mărimea și tipul serviciilor. Alege răspunsurile și vezi pe loc o primă orientare.
Alege domeniul și mărimea.
Rezultatul apare aici, pe loc.
- Esențială: sectoarele din Anexa I, firme mari.
- Importantă: firme mijlocii din Anexa I și firme mijlocii sau mari din Anexa II.
- Indiferent de mărime: furnizorii DNS, registrele de domenii, serviciile de încredere, comunicațiile electronice publice.
Orientativ, nu analiză juridică. Statutul oficial îl stabilește DNSC.
NIS2 în România
Ce spune legea în România și ce riscă firma
Directiva NIS2 a fost transpusă prin OUG nr. 155/2024. Iată reperele care contează pentru o decizie de management.
În vigoare din 31 decembrie 2024, aprobată prin Legea nr. 124/2025.
Înregistrează entitățile, stabilește statutul și primește raportările de incidente prin platforma NIS2@RO.
În vigoare din 27 august 2026: măsurile de securitate și metodologia de autoevaluare.
Termenul inițial a fost în septembrie 2025. Neînregistrarea: până la 500.000 lei (esențiale) sau 300.000 lei (importante).
Plafoane maxime. Se aplică valoarea mai mare. Conducerea poate răspunde pentru nerespectarea obligațiilor.
Responsabilitatea conducerii
NIS2 pune responsabilitatea la nivel de conducere
Securitatea cibernetică nu mai poate fi doar treaba departamentului IT. Conducerea trebuie să înțeleagă riscurile, să aprobe măsurile și să urmărească felul în care sunt implementate.
Într-un program matur, managementul nu doar semnează politici. Primește informații despre expunere, acceptă sau tratează riscuri, urmărește excepțiile și poate arăta că deciziile importante s-au luat pe baza unor informații verificabile.
- Responsabili clari pentru fiecare risc și fiecare măsură
- Aprobarea politicilor și a excepțiilor importante
- Raportare periodică despre lipsuri și progres
- Urmărirea remedierilor și a celor întârziate
- Dovezi pentru decizii și pentru analiza conducerii
Articolul 21
Cele 10 măsuri de securitate cerute de NIS2
În acest ghid NIS2, Articolul 21 e punctul central. Alege o măsură și vezi ce înseamnă în practică și ce dovadă arăți la un control.
Măsura 01 din 10
Analiza riscului și politici
Știi ce poate opri firma și ai reguli scrise despre cum tratezi aceste riscuri.
Registrul riscurilor, aprobat de conducere, cu responsabil și termen pentru fiecare risc.
Măsura 02 din 10
Gestionarea incidentelor
Ai un proces clar: cine observă, cine decide, cine raportează și cum se închide incidentul.
Procedura de incident, lista de contacte și un incident simulat, documentat.
Măsura 03 din 10
Continuitate și recuperare
Firma poate funcționa și își poate reveni după un atac sau o pană majoră.
Planul de continuitate și un test de restaurare a datelor cu rezultatul notat.
Măsura 04 din 10
Securitatea furnizorilor
Știi ce furnizori au acces la sistemele sau datele tale și cât risc aduc.
Lista furnizorilor critici, evaluarea lor și clauzele de securitate din contracte.
Măsura 05 din 10
Achiziții sigure și vulnerabilități
Sistemele noi intră sigure, iar vulnerabilitățile se repară în termene stabilite.
Procesul de patching, cu termene pe niveluri de gravitate și rapoarte de scanare.
Măsura 06 din 10
Evaluarea eficacității
Verifici periodic că măsurile chiar funcționează, nu doar că există pe hârtie.
Indicatori, rezultate de testare și analiza periodică făcută de management.
Măsura 07 din 10
Igienă cibernetică și instruire
Oamenii știu regulile de bază și își recunosc responsabilitățile.
Programul de instruire, prezența la sesiuni și rezultatele testelor de phishing.
Măsura 08 din 10
Criptografie
Datele importante sunt criptate acolo unde riscul o cere.
Politica de criptare și dovada configurării pe dispozitive, stocare și transfer.
Măsura 09 din 10
Control acces și active
Fiecare are doar accesul de care are nevoie, iar activele sunt inventariate.
Inventarul activelor, revizuirea periodică a drepturilor de acces, conturile privilegiate separate.
Măsura 10 din 10
Verificare în doi pași și comunicații sigure
Conturile sunt protejate cu MFA, iar comunicarea de urgență e pregătită.
Raportul de acoperire MFA și canalul de comunicare alternativ pentru criză.
Raportarea incidentelor
Raportarea incidentelor NIS2: 24h, 72h și raportul final
Mută cursorul ca să vezi ce ai de trimis la DNSC în fiecare moment. Termenele curg din clipa în care afli de un incident semnificativ, nu de când îl rezolvi.
- Avertizare timpurieîn maximum 24 de orede trimis
- Notificarea incidentuluiîn maximum 72 de orede trimis
- Raportul finalîn cel mult o lunăde trimis
Raportarea nu începe când apare incidentul. Firma trebuie să aibă deja stabilit cine clasifică evenimentul, cine decide escaladarea, ce informații se strâng și cine comunică cu autoritatea. De aceea un ghid NIS2 de implementare tratează raportarea ca proces, nu ca formalitate.
NIS2 și ISO/IEC 27001
NIS2 și ISO/IEC 27001 nu sunt același lucru, dar au aceeași fundație
O certificare ISO 27001 nu e dovadă automată de conformitate NIS2. Dar partea din mijloc o construiești o singură dată și o folosești pentru amândouă.
Vezi serviciul NIS2 și ISO 27001Implementare
Ghid NIS2 de implementare: drumul practic în 6 etape
Implementarea pornește de la perimetru, risc și activele critice, nu de la un teanc de politici.
Stabilește perimetrul
Entitatea, serviciile, activele critice, dependențele și cadrul aplicabil.
Evaluează riscul
Registrul riscurilor și lipsurile relevante.
Prioritizează măsurile
Ce rezolvi repede și ce cere schimbări structurale, cu responsabili.
Implementează
Măsurile tehnice, organizatorice și operaționale prioritare.
Testează și strânge dovezi
Controalele, recuperarea și fluxul de incident, cu dovezi.
Revizuiește
Analiza conducerii, indicatori, excepții și îmbunătățire.
Verificare rapidă
Ghid NIS2: 10 întrebări pentru evaluarea pregătirii
Răspunde sincer. Scorul se calculează pe loc, în browserul tău.
- 01Știm ce servicii și active sunt critice?
- 02Avem un registru al riscurilor actual, cu responsabili clari?
- 03Conducerea primește periodic informații despre riscuri și lipsuri?
- 04Accesul privilegiat e separat, controlat și verificat?
- 05Avem jurnale suficiente pentru investigație și dovezi?
- 06Răspunsul la incidente e documentat și testat?
- 07Backup-urile sunt testate prin restaurare, nu doar monitorizate?
- 08Furnizorii critici sunt evaluați din perspectiva riscului cibernetic?
- 09Vulnerabilitățile și actualizările au responsabil și termene?
- 10Putem demonstra cu dovezi că măsurile funcționează?
De la ghid la execuție
Vrei să transformi ghidul într-un program concret?
Serviciul NIS2 și ISO 27001 acoperă analiza lipsurilor, registrul riscurilor, planul de remediere, dosarul de dovezi și implementarea măsurilor prioritare.
Întrebări
Întrebări frecvente din ghidul NIS2
Cum aflu dacă firma mea intră sub NIS2?
Depinde de sector, de tipul entității, de mărime și de regulile din OUG 155/2024. Verificarea rapidă de pe această pagină îți dă o primă orientare, dar încadrarea trebuie confirmată pe situația concretă a firmei. Statutul oficial îl stabilește DNSC.
Care e legea NIS2 în România?
Directiva NIS2 a fost transpusă prin OUG nr. 155/2024, în vigoare din 31 decembrie 2024 și aprobată prin Legea nr. 124/2025. Autoritatea competentă este DNSC. Măsurile de securitate și metodologia de autoevaluare sunt detaliate în Ordinul DNSC nr. 1/2026.
Ce se întâmplă dacă nu ne-am înregistrat la DNSC?
Termenul inițial de înregistrare a expirat în septembrie 2025. Neînregistrarea poate fi sancționată cu amenzi de până la 500.000 de lei pentru entitățile esențiale și 300.000 de lei pentru cele importante. Dacă firma intră sub NIS2 și nu e înregistrată, înregistrarea trebuie făcută cât mai repede.
NIS2 înseamnă doar politici și proceduri?
Nu. Include măsuri tehnice, operaționale și organizatorice: analiza riscului, gestionarea incidentelor, continuitate, securitatea furnizorilor, vulnerabilități, control acces, jurnale și monitorizare. Documentele contează doar dacă arată cum funcționează aceste măsuri în realitate.
Care sunt termenele de raportare a incidentelor?
Pentru incidentele semnificative: avertizare timpurie în 24 de ore, notificarea incidentului în 72 de ore și raport final în cel mult o lună. Termenele curg din momentul în care afli de incident. Raportarea se face prin platforma NIS2@RO a DNSC.
ISO/IEC 27001 înlocuiește NIS2?
Nu. Sunt cadre diferite, dar analiza riscului, responsabilii, politicile, controalele și dovezile pot fi folosite pentru amândouă. Așa eviți două programe paralele.
Ce amenzi prevede NIS2?
Pentru entitățile esențiale, până la 10 milioane de euro sau 2% din cifra de afaceri globală. Pentru entitățile importante, până la 7 milioane de euro sau 1,4%. Se aplică valoarea mai mare.
Surse oficiale
Pentru NIS2, sursa oficială are prioritate
Ghidul folosește surse oficiale europene și naționale. Pentru decizii de conformitate, verifică întotdeauna textul legal în vigoare și cerințele DNSC.
Conținut informativ, verificat ultima dată în octombrie 2026. Pentru interpretarea juridică finală este recomandată consultanța unui avocat.