Cine intră sub incidența legii, cum se stabilește nivelul de asigurare, ce presupun cele 218 controale DNSC și autoevaluarea maturității și ce termene se aplică — pe înțelesul tuturor, cu trimiteri la textele oficiale.
România a transpus Directiva NIS2 (UE) 2022/2555 prin Ordonanța de urgență a Guvernului (OUG) nr. 155/2024, publicată în Monitorul Oficial nr. 1278 din 30 decembrie 2024 și modificată prin Legea nr. 124/2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).
Anexa 1 (grad ridicat de criticitate): energie, transport, sectorul bancar, infrastructuri ale piețelor financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC (B2B), administrație publică, spațiu.
Anexa 2 (alte sectoare critice): servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimente, fabricare (de exemplu dispozitive medicale, electronice, echipamente electrice, utilaje, vehicule), furnizori de servicii digitale (platforme de comerț online, motoare de căutare, rețele sociale), cercetare.
Mărimea se stabilește după definițiile IMM din Legea nr. 346/2004 (OUG 155/2024, art. 8): o întreprindere mijlocie are 50–249 de angajați și o cifră de afaceri de până la 50 de milioane € sau active totale de până la 43 de milioane €; peste aceste praguri este întreprindere mare. Microîntreprinderile și întreprinderile mici nu intră, în general, sub incidența NIS2, cu excepția categoriilor incluse indiferent de mărime.
Nu intrați direct sub incidența legii? Dacă clienții dumneavoastră sunt entități NIS2, cerințele lor de securitate pentru furnizori (contracte, chestionare, audituri) vă vor viza oricum.
De la data la care obligațiile devin aplicabile (OUG 155/2024, art. 18 alin. (2)). DNSC emite apoi o decizie prin care vă identifică drept entitate esențială sau importantă.
Conform metodologiei din Ordinul DNSC 2/2025 (art. 18 alin. (6)). Aceasta stabilește nivelul de asigurare — vezi secțiunea 3.
Conform metodologiei din Ordinul DNSC 1/2026, realizată exclusiv în platforma DNSC NIS2@RO (art. 18 alin. (7) și art. 12 alin. (4)).
Un plan de măsuri pentru deficiențele constatate, aprobat de conducere (art. 12 alin. (5)).
Entitățile esențiale și importante sunt auditate de auditori certificați de DNSC, cu o frecvență stabilită prin ordin DNSC în funcție de nivelul de risc (art. 11 alin. (5)).
Organele de conducere trebuie, de asemenea, să urmeze cursuri acreditate de securitate cibernetică (art. 14 alin. (2), astfel cum a fost modificat prin Legea nr. 124/2025).
Calitatea de entitate esențială sau importantă (secțiunea 1) este categoria juridică. Ce controale trebuie implementate este o altă întrebare: depinde de nivelul de asigurare, care rezultă din evaluarea nivelului de risc din Ordinul DNSC 2/2025, Anexa 2. Ordinul DNSC 1/2026 impune apoi implementarea controalelor aferente acelui nivel (Ordinul 1/2026, art. IV).
Scorul entității este suma a 25 de valori de risc — 5 tipuri de actori de amenințare × 5 categorii de atac. Fiecare valoare de risc este:
| Scorul entității | Nivel de asigurare | Controale de implementat |
|---|---|---|
| 0 – 99 | De bază | 34 |
| 100 – 199 | Important | 133 |
| 200 și peste | Esențial | 218 |
Evaluarea se realizează cu instrumentul DNSC sau în platforma NIS2@RO și este validată de DNSC; trebuie refăcută periodic și ori de câte ori situația se schimbă. Entitățile din sectorul bancar și din infrastructurile piețelor financiare care intră sub incidența DORA (Regulamentul (UE) 2022/2554) nu o efectuează (Ordinul 2/2025, Anexa 2, art. 6, astfel cum a fost modificat prin Ordinul 1/2026, art. V).
De reținut: deoarece mărimea multiplică fiecare valoare de risc, companiile din același sector pot avea niveluri diferite — o companie mică poate avea nivelul de bază, iar una mare din același sector nivelul esențial. O evaluare corectă contează: decide dacă aveți de implementat 34 sau 218 controale.
Ordinul DNSC nr. 1/2026 (Monitorul Oficial nr. 712 și 712 bis, 27 august 2026) aprobă măsurile de gestionare a riscurilor de securitate cibernetică și metodologia de autoevaluare a maturității acestora. Controalele urmează cele șase funcții din NIST Cybersecurity Framework 2.0 — Guvernanță, Identificare, Protecție, Detecție, Răspuns, Recuperare — iar cele trei niveluri sunt cumulative.
| Nivel | Controale | Maturitate totală țintă | Condiție suplimentară |
|---|---|---|---|
| De bază | 34 | ≥ 2.5 | Fiecare măsură cheie ≥ 2,5 |
| Important | 133 | ≥ 3.0 | Fiecare măsură cheie ≥ 3 |
| Esențial | 218 | ≥ 3.5 | Fiecare măsură cheie ≥ 3 și fiecare categorie ≥ 3 |
Fiecare control aplicabil primește două punctaje de la 1 (Inițial) la 5 (Optimizat) — unul pentru maturitatea documentării și unul pentru maturitatea implementării — iar fiecare punctaj trebuie justificat în scris. Punctajele se agregă de la controale la subcategorii, categorii și un scor total, comparat cu ținta nivelului dumneavoastră. Neatingerea țintelor înseamnă un plan de remediere.
Capcana practică: „facem asta” nu este suficient. Un control primește punctaj bun doar dacă este documentat formal și implementat consecvent, cu dovezi — exact aici pierd puncte majoritatea autoevaluărilor.
Directiva NIS2 impune amenzi maxime de cel puțin 10 milioane € sau 2% din cifra de afaceri anuală la nivel mondial (valoarea mai mare) pentru entitățile esențiale și de 7 milioane € sau 1,4% pentru entitățile importante (Directiva (UE) 2022/2555, art. 34). Ordonanța română stabilește sancțiunile la nivel național. Organele de conducere aprobă măsurile de securitate cibernetică, supraveghează implementarea lor și trebuie să fie instruite.
ArxIT Fortis nu este organism de certificare și nu efectuează auditul oficial DNSC. Vă ajutăm să vă pregătiți pentru el — cu soluții practice, nu doar cu un raport.
Confirmăm dacă și cum se aplică NIS2 și pregătim evaluarea nivelului de risc.
Fiecare control DNSC aplicabil punctat pentru documentare și implementare în portalul nostru pentru clienți.
Soluții practice și prioritizate pentru fiecare deficiență — MFA, backupuri, jurnalizare, segmentare, politici — cu sprijin la implementare acolo unde doriți.
Justificări și dovezi pregătite pentru autoevaluarea în NIS2@RO și pentru audit.
De regulă importantă: calitatea de entitate esențială în sectoarele din Anexa 1 se aplică întreprinderilor mari (OUG 155/2024, art. 5 alin. (2)), cu excepția categoriilor incluse indiferent de mărime. Decizia DNSC o confirmă.
Nu. Categoria juridică și nivelul de asigurare sunt diferite. Nivelul rezultă din scorul evaluării nivelului de risc (Ordinul 2/2025): 0–99 de bază, 100–199 important, 200+ esențial.
Autoevaluarea oficială se face exclusiv în platforma DNSC NIS2@RO; DNSC pune la dispoziție un instrument descărcabil doar ca alternativă, dacă platforma nu este disponibilă. Foile de calcul sunt utile pentru pregătire — nu pentru transmitere.
Nu. Auditurile oficiale sunt efectuate de auditori certificați de DNSC. Noi vă pregătim: verificarea încadrării și a nivelului, analiză GAP, îndrumare practică pentru remediere și un set de dovezi pregătit pentru autoevaluare și audit.
Această pagină conține informații generale, verificate ultima dată față de textele de mai sus la 14 octombrie 2026. Nu reprezintă consultanță juridică; pentru decizii privind obligațiile dumneavoastră, consultați textele oficiale și DNSC.