Directiva NIS 2 în România: cine intră sub incidență și ce pași trebuie să faci în 2026

Directiva NIS 2 (Network and Information Security 2) este cel mai important cadru european de securitate cibernetică pentru companii, transpus în legislația din România prin OUG 155/2024, aprobată prin Legea 124/2025. Spre deosebire de prima versiune, NIS 2 extinde semnificativ lista sectoarelor vizate și introduce sancțiuni comparabile cu cele din GDPR.

Cine intră sub incidența NIS 2?

Directiva se aplică entităților esențiale și importante din 18 sectoare, printre care: energie, transport, sănătate, infrastructură digitală, servicii TIC, apă, administrație publică, spațiu, servicii poștale, gestionarea deșeurilor, industria alimentară, producție (dispozitive medicale, electronice, mașini, echipamente de transport), furnizori digitali și cercetare.

Regula generală: companiile cu peste 50 de angajați sau cifră de afaceri peste 10 milioane EUR din sectoarele vizate intră sub incidență. Există și excepții — unele entități sunt vizate indiferent de dimensiune (de exemplu, furnizorii de infrastructură critică).

Ce obligații ai ca firmă vizată?

• Managementul riscurilor: politici de analiză a riscurilor și de securitate a sistemelor informatice;
• Gestionarea incidentelor: detectare, răspuns și raportare — avertizare timpurie în 24 de ore de la aflarea unui incident semnificativ, notificare în 72 de ore și raport final într-o lună, prin platforma PNRISC a DNSC;
• Continuitatea afacerii: backup, disaster recovery și managementul crizelor;
• Securitatea lanțului de aprovizionare: inclusiv relația cu furnizorii IT;
• Igienă cibernetică și training pentru angajați și management;
• Criptare și autentificare multi-factor unde este cazul.

Sancțiuni

Pentru entitățile esențiale, amenzile pot ajunge la 10 milioane EUR sau 2% din cifra de afaceri globală (oricare e mai mare); pentru cele importante, 7 milioane EUR sau 1,4%. În plus, managementul poate fi tras la răspundere personal. Separat, neînregistrarea la termen se amendează cu până la 500.000 lei (entități esențiale) sau 300.000 lei (importante); prima amendă NIS2 anunțată de DNSC, în septembrie 2026, a fost pentru o notificare făcută după termen.

De unde începi?

1. Verifică dacă firma ta intră sub incidență (sector + dimensiune): fă verificarea rapidă, apoi autoevaluarea oficială în instrumentul NIS2@RO al DNSC;
2. Fă un audit de securitate care să identifice decalajele față de cerințe;
3. Prioritizează: MFA, backup testat, plan de răspuns la incidente, monitorizare;
4. Documentează politicile și instruiește echipa;
5. Stabilește procedura de raportare către DNSC.

Pașii concreți ceruți de DNSC, cu termenele lor (notificarea, evaluarea nivelului de risc, autoevaluarea maturității, planul de remediere), sunt explicați, cu schemă, pe pagina Conformitate NIS 2.

Openvision oferă o evaluare NIS 2 gratuită: îți spunem dacă intri sub incidență, unde ești acum și ce pași urmează — fără obligații.