---
title: "NIS2: cum verificați dacă vă aplică și ce cer măsurile tehnice"
description: "Încadrarea în domeniul de aplicare al NIS2, diferența dintre entitățile esențiale și cele importante și ce înseamnă măsurile tehnice în practică."
url: "https://nixit.ro/resurse/nis2-domeniu-aplicare/"
lang: "ro-RO"
---
# NIS2: cum verificați dacă vă aplică și ce cer măsurile tehnice

Companiile ajung la NIS2 pe două căi. Fie citesc lista de sectoare și își recunosc propria activitate în ea, fie primesc un chestionar de securitate de la un client mare care le anunță, în trecere, că fac parte din lanțul lui de aprovizionare. În ambele situații prima întrebare este aceeași și rareori are un răspuns evident: intrăm efectiv în domeniul de aplicare, iar dacă da, în ce categorie?

Merită stabilit înainte de orice achiziție de tehnologie, pentru că răspunsul determină atât volumul de muncă, cât și regimul de supraveghere sub care intră organizația.

## Textul care se aplică este legea națională

NIS2 este o directivă, nu un regulament. Nu produce obligații în mod direct: fiecare stat membru o transpune în legislația proprie. În România, transpunerea s-a făcut prin Ordonanța de urgență nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025. Acesta este textul care se aplică unei companii din România, împreună cu actele emise pe baza lui.

Consecința practică este că directiva stabilește nivelul minim, dar statul membru poate include entități suplimentare și stabilește procedurile concrete de înregistrare, de raportare și de control. Autoritatea națională competentă este Directoratul Național de Securitate Cibernetică. Prin Ordinul DNSC nr. 1/2025, publicat în Monitorul Oficial din 20 august 2025, entitățile care se încadrează se notifică în vederea înregistrării prin Platforma NIS2@RO, după o autoevaluare cu instrumentul pus la dispoziție de DNSC, iar termenul de notificare este de 30 de zile. Canalele de raportare, formularele și termenele operative se citesc din reglementările DNSC; înainte de a lua o decizie de încadrare, verificați versiunea în vigoare a acestora.

## Sectorul, apoi dimensiunea

Încadrarea se verifică în doi pași, în această ordine.

Primul pas este sectorul. Directiva lucrează cu două liste. Prima cuprinde sectoarele considerate de criticitate ridicată: energie, transporturi, sectorul bancar, infrastructurile pieței financiare, sănătate, apă potabilă, apă uzată, infrastructură digitală, gestionarea serviciilor TIC între întreprinderi, administrație publică și spațiu. A doua listă adaugă sectoare critice: servicii poștale și de curierat, gestionarea deșeurilor, producția și distribuția de substanțe chimice, producția și distribuția de alimente, o parte importantă a industriei prelucrătoare, furnizorii de servicii digitale de tip piață online, motor de căutare sau platformă de socializare, precum și cercetarea.

Extinderea față de prima directivă NIS este semnificativă, iar industria prelucrătoare, distribuția și serviciile medicale private sunt zonele în care companiile descoperă cel mai des că nu mai sunt în afara reglementării.

Al doilea pas este dimensiunea. Regula generală este pragul întreprinderii mijlocii din definiția europeană a IMM-urilor, pe care o entitate îl atinge cu cel puțin 50 de angajați sau atunci când atât cifra de afaceri anuală, cât și totalul bilanțului depășesc 10 milioane de euro. Sub acest prag, o entitate rămâne în general în afara domeniului de aplicare; peste el intră. Din combinația celor doi pași rezultă și categoria: entitățile mari din sectoarele de criticitate ridicată sunt tratate ca entități esențiale, iar entitățile mijlocii din aceleași sectoare, împreună cu cele din a doua listă, ca entități importante.

Un detaliu care schimbă des rezultatul: calculul dimensiunii urmează regulile europene privind întreprinderile legate și partenere. O filială cu douăzeci de angajați care aparține unui grup mare poate depăși pragul, chiar dacă privită singură pare o firmă mică.

## Situațiile în care dimensiunea nu contează

Există categorii pentru care directiva se aplică indiferent de numărul de angajați și de cifra de afaceri. Printre acestea se află furnizorii de rețele publice de comunicații electronice și de servicii de comunicații electronice destinate publicului, prestatorii de servicii de încredere, registrele de nume de domeniu de nivel superior și furnizorii de servicii DNS.

Aceeași logică se aplică și entităților care sunt singurul furnizor dintr-un stat membru al unui serviciu esențial, celor a căror întrerupere ar putea avea un impact semnificativ asupra siguranței, securității sau sănătății publice ori ar putea genera un risc sistemic, precum și entităților cu importanță specifică la nivel național sau regional. O parte a entităților de administrație publică intră tot pe această cale.

Prin urmare, o companie mică din infrastructura digitală poate avea obligații complete, în timp ce o companie mai mare din alt sector poate rămâne în afara domeniului de aplicare. Concluzia trasă doar din numărul de angajați este nesigură.

## Ce diferă între cele două categorii

Lista măsurilor de administrare a riscurilor este aceeași pentru entitățile esențiale și pentru cele importante. Diferă supravegherea și sancțiunile.

Entitățile esențiale sunt supravegheate proactiv: autoritatea poate efectua inspecții, audituri de securitate și solicitări de informații fără să existe un indiciu prealabil de neconformitate. Entitățile importante sunt supravegheate reactiv, adică atunci când apar dovezi sau indicii că obligațiile nu sunt respectate, cel mai frecvent după un incident sau după o sesizare.

Pentru sancțiuni, directiva prevede plafoane maxime mai mari pentru entitățile esențiale decât pentru cele importante, exprimate atât ca sumă absolută, cât și ca procent din cifra de afaceri anuală la nivel mondial. Pentru entitățile esențiale sunt prevăzute și măsuri mai severe decât amenda, precum suspendarea unei autorizații sau interdicția temporară de a exercita funcții de conducere. Cuantumurile efective și procedura de aplicare rezultă din legislația națională.

## Înregistrare și raportare

Entitățile aflate în domeniul de aplicare au obligația de a se face cunoscute autorității, transmițând datele de identificare, sectorul, punctele de contact și, pentru anumite categorii, informații privind intervalele de adrese IP folosite. Pentru unele tipuri de furnizori de servicii digitale și de infrastructură digitală, informațiile alimentează și un registru ținut la nivel european. Actualizarea datelor la schimbare face parte din obligație.

Raportarea incidentelor semnificative se desfășoară în trei etape. Prima este o avertizare timpurie, datorată în cel mult 24 de ore de la momentul în care organizația a luat cunoștință de incident, cu informația minimă disponibilă atunci. Urmează, în cel mult 72 de ore, o notificare mai completă, cu o evaluare inițială a gravității, a impactului și, dacă se cunosc, a indicatorilor de compromitere. La final se transmite, în termen de o lună de la notificare, un raport care descrie cauza, măsurile aplicate și efectele; dacă incidentul este încă în desfășurare la acel moment, se transmite un raport de progres, iar raportul final urmează după închiderea incidentului. Autoritatea poate cere rapoarte intermediare, iar în anumite situații trebuie informați și beneficiarii serviciilor afectate.

Este util de observat unde eșuează de obicei acest mecanism. Termenul primei etape este suficient de scurt încât nu poate fi respectat printr-o decizie luată în timpul incidentului. Presupune că există dinainte o persoană care are mandatul de a raporta, un canal deja pregătit și o definiție internă a incidentului semnificativ.

## Măsurile tehnice, la nivel practic

Directiva cere o abordare a tuturor tipurilor de riscuri și măsuri proporționale cu expunerea, nu o tehnologie anume. Cerințele acoperă analiza riscurilor și politicile de securitate a sistemelor informatice, gestionarea incidentelor, continuitatea activității, inclusiv administrarea copiilor de siguranță și recuperarea în caz de dezastru, precum și gestionarea crizelor.

Mai departe intră securitatea lanțului de aprovizionare, cu accent pe relațiile directe cu furnizorii și prestatorii de servicii, securitatea în achiziția, dezvoltarea și mentenanța sistemelor, cu gestionarea vulnerabilităților, și evaluarea eficacității măsurilor adoptate. Ultima este cerința pe care organizațiile o tratează cel mai superficial: politica scrisă este ușor de produs, dovada că măsura funcționează cere măsurare.

Restul listei cuprinde practicile de igienă cibernetică și instruirea, utilizarea criptografiei și, unde este cazul, a criptării, securitatea resurselor umane împreună cu politicile de control al accesului și gestionarea activelor, precum și autentificarea cu mai mulți factori sau continuă, comunicațiile securizate de voce, video și text și sistemele securizate de comunicare în situații de urgență.

Ordinea de mai sus nu este o ordine de implementare. În practică, un inventar corect al activelor și al serviciilor este condiția pentru aproape toate celelalte măsuri, iar autentificarea cu mai mulți factori aplicată pe toate căile de acces administrativ este cel mai ieftin câștig disponibil.

## Răspunderea conducerii

NIS2 mută responsabilitatea din departamentul IT în organul de conducere. Conducerea trebuie să aprobe măsurile de administrare a riscurilor, să supravegheze punerea lor în aplicare și poate răspunde pentru încălcarea obligațiilor. În plus, membrii conducerii au obligația de a urma cursuri de formare și de a se asigura că instruire similară este oferită angajaților.

Consecința este că o listă de măsuri aprobată formal, dar fără buget și fără termene, este ea însăși o problemă de conformitate. Deciziile trebuie să fie documentate, cu date și cu persoane responsabile.

## O ordine realistă a lucrărilor

Pentru o organizație care pornește de la zero, secvența care funcționează începe cu o notă de încadrare documentată: sectorul, pragul de dimensiune, categoria rezultată și raționamentul, semnate de conducere. Este primul document cerut la o verificare și baza tuturor deciziilor ulterioare.

Urmează inventarul activelor și al serviciilor, apoi analiza de risc și setul minim de politici care corespund realității operaționale, nu unui șablon. Pe partea tehnică, prioritatea este autentificarea cu mai mulți factori, eliminarea serviciilor de administrare expuse, aducerea la zi a actualizărilor și copiile de siguranță izolate, cu restaurare testată.

Abia după acest fundament au sens procesul de raportare a incidentelor cu termenele interne aferente, testat printr-un exercițiu, registrul furnizorilor critici cu cerințe contractuale de securitate, măsurarea eficacității și programul de instruire. Înregistrarea la autoritate și organizarea dosarului de dovezi închid etapa. Pentru o companie de dimensiune medie, intervalul rezonabil este de câteva luni de lucru efectiv, nu de câteva săptămâni.

## Pasul următor

Cel mai util prim rezultat este o analiză a decalajului între ce cere legislația națională și ce există deja în organizație, cu efort estimat pe fiecare punct. O producem în cadrul serviciului de [securitate cibernetică și conformitate](/servicii/securitate-cibernetica/), iar dacă discuția pornește de la arhitectură și priorități, punctul de intrare este [consultanța IT](/servicii/consultanta-it/).