Ghiduri · Securitate informatică în instituții · publicat 30.09.2026
Intră firma dumneavoastră sub NIS2? Cum verificați din lege
Distribuitor de tutun, firmă de contabilitate, primărie: cum verificați singuri, din OUG 155/2024, dacă NIS2 vă privește. Sectorul, mărimea, excepțiile și ce urmează, cu trimitere la articole.
Pe 30 septembrie 2026, la un eveniment online despre NIS2, întrebările din chat au avut același fir: o firmă care distribuie produse din tutun intră sub NIS2?, o firmă de contabilitate cu peste 500 de clienți este entitate raportoare?, se aplică unei primării?. Oamenii nu întrebau ce au de făcut, ci dacă au ceva de făcut.
În România, NIS2 este Ordonanța de urgență nr. 155/2024, în vigoare din 31 decembrie 2024. Textul consolidat este public și gratuit pe portalul legislativ. Mai jos este ordinea în care îl puteți citi singuri, cu articolele la care să vă uitați.
Pasul 1: căutați activitatea în anexe
Anexa nr. 1 (sectoare cu grad ridicat de criticitate) are 11 sectoare: energie, transport, sectorul bancar, infrastructuri ale pieței financiare, sectorul sănătății, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC (business-to-business), administrație publică și spațiu.
Anexa nr. 2 (alte sectoare critice) are 7: servicii poștale și de curierat, gestionarea deșeurilor, fabricarea, producția și distribuția de substanțe chimice, producția, prelucrarea și/sau distribuția de alimente, fabricare (de exemplu dispozitive medicale și echipamente electronice), furnizori digitali și cercetare. Sectorul „cercetare” a fost adăugat prin Legea nr. 124/2025.
Fiecare sector are în anexă și tipul de entitate, adesea cu trimitere la o definiție din altă lege. Citiți rândul exact, nu doar titlul sectorului: de exemplu, la sănătate sunt furnizorii de servicii medicale definiți de Legea nr. 95/2006, iar la alimente sunt întreprinderile cu profil alimentar definite de Regulamentul (CE) nr. 178/2002.
Dacă activitatea dumneavoastră nu apare în niciuna dintre anexe, în principiu nu intrați. Dacă apare, treceți la pasul 2.
Pasul 2: verificați mărimea firmei
Art. 8 din ordonanță trimite la Legea nr. 346/2004 privind întreprinderile mici și mijlocii. Potrivit acesteia, o întreprindere mijlocie are între 50 și 249 de salariați și o cifră de afaceri anuală netă de cel mult 50 de milioane de euro sau active totale de cel mult 43 de milioane de euro. Peste aceste praguri, firma este mare.
- Firmele mari din anexa 1 sunt, de regulă, entități esențiale (art. 5).
- Firmele mari și mijlocii din anexele 1 și 2 care nu sunt esențiale sunt entități importante (art. 6).
- Firmele mici și microîntreprinderile sunt, ca regulă, în afara domeniului. Chiar ordonanța îi cere DNSC să ofere orientări IMM-urilor, „în special pentru cele excluse din domeniul de aplicare”.
Pasul 3: verificați excepțiile, care se aplică indiferent de mărime
Art. 5 alin. (1) numește entitățile care intră indiferent de mărime: entitățile administrației publice centrale din anexa 1, entitățile din anexe identificate de DNSC conform art. 9, entitățile identificate drept entități critice, furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD.
Art. 9 permite DNSC să identifice ca esențială sau importantă și o entitate mai mică, de exemplu dacă este singurul furnizor al unui serviciu esențial sau dacă perturbarea activității ei ar avea un impact semnificativ asupra siguranței, securității sau sănătății publice.
Cazul primăriilor
Aici apare cea mai mare confuzie, și are o explicație. Ordonanța definește larg „entitatea administrației publice” și include expres unitatea administrativ-teritorială. Dar o definiție nu pune pe nimeni într-un sector: o face doar anexa. Iar anexa 1, la sectorul „Administrație publică”, enumeră entitățile administrației publice centrale. Administrația publică locală nu este enumerată ca o categorie generală. O primărie poate intra totuși pe două căi: dacă UAT-ul desfășoară el însuși o activitate din anexe, de exemplu furnizează apă potabilă sau colectează și tratează ape uzate (caz în care se verifică tipul de entitate și condițiile pentru acel sector), sau dacă DNSC o identifică individual, conform art. 9, de exemplu pentru că perturbarea serviciului ei ar avea un impact semnificativ asupra sănătății sau siguranței publice.
Asta nu face securitatea mai puțin importantă pentru o primărie: taxele încasate electronic, registratura și datele cetățenilor sunt aceleași ținte. Înseamnă doar că obligația nu vine, de regulă, din NIS2.
Dacă intrați: primul pas este notificarea
Art. 18 spune că entitățile din sectoarele din anexe care se încadrează ca esențiale sau importante notifică DNSC în vederea înregistrării în cel mult 30 de zile de la data la care ordonanța le este aplicabilă. Urmează evaluarea nivelului de risc și măsurile, cu termenele din ordonanță și din reglementările DNSC. Pentru acestea, sursa este DNSC (dnsc.ro), nu un furnizor.
Dacă nu intrați: lanțul de aprovizionare vă poate atinge oricum
Entitățile reglementate trebuie să gestioneze și securitatea furnizorilor lor. Chiar dacă firma dumneavoastră este mică și în afara domeniului, un client spital, o companie de apă sau un furnizor de energie vă poate cere dovezi concrete: cum faceți copii de siguranță, dacă le-ați restaurat vreodată, cine are acces la date, cum sunt protejate e-mailurile. Aceste lucruri se pot demonstra fără nicio încadrare juridică.
Ce facem noi și ce nu facem
Nu facem încadrarea juridică și nu completăm autoevaluări în numele nimănui: acestea sunt asumate de conducerea entității. Ce putem face este partea măsurabilă, de exemplu un test real de restaurare a copiilor de siguranță sau configurarea corectă a e-mailului (SPF, DKIM, DMARC). Pentru a urmări ce se întâmplă, alertele de securitate în timp real adună din oră în oră avizele DNSC, CERT-EU și ale altor autorități. Politica noastră este pe pagina Securitatea informației.
Cereți verificarea gratuită Vedeți prețurile
Nu sunteți încă hotărât?
Abonați-vă gratuit la „AI la birou”: cel mult două e-mailuri pe lună, fiecare cu o sarcină reală pe care un sistem AI o poate prelua, unde se oprește și o alertă scurtă de securitate. Vă înscrieți doar dacă bifați acordul și confirmați din e-mailul pe care vi-l trimitem.
Datele: păstrăm adresa, data și ora cererii și a confirmării, ca dovadă a acordului, până vă dezabonați. Detalii în politica de prelucrare a datelor.