Ce lege transpune NIS2 în România?

Ordonanța de urgență (OUG) 155/2024, în vigoare din 31 decembrie 2024, aprobată cu modificări prin Legea 124/2025, în vigoare din 10 iulie 2025. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).

În cât timp trebuie raportat un incident semnificativ?

Avertizare timpurie în cel mult 24 de ore de la luarea la cunoștință, notificarea incidentului în cel mult 72 de ore și raportul final în cel mult o lună de la notificare (art. 15 din OUG 155/2024).

Ce urmează după înregistrarea la DNSC?

După decizia DNSC: evaluarea nivelului de risc în 60 de zile, apoi autoevaluarea maturității conform Ordinului DNSC 1/2026 în 60 de zile de la evaluarea riscului și, pentru entitățile esențiale sub țintă, un plan de remediere în 30 de zile. Autoevaluarea se repetă anual.

gociux← gociux.com/ro EN

NIS2 · România · situația la octombrie 2026

NIS2 în România: ce cere DNSC și când.

NIS2 nu mai este doar o lege pe hârtie. Înregistrarea a avut loc în 2025, iar din august 2026 DNSC a publicat setul concret de măsuri și metodologia de autoevaluare a maturității pe care fiecare entitate esențială și importantă trebuie să o depună. Mai jos: ordinea pașilor, termenele și unde contează inginerie, nu documente.

24havertizare timpurie după un incident semnificativ

72hnotificarea incidentului către DNSC

10M € / 2%amendă maximă, entități esențiale

Cadrul legal, în ordine

OUG 155/2024 (în vigoare din 31 decembrie 2024)Transpune Directiva NIS2 (UE 2022/2555) și desemnează DNSC ca autoritate competentă. Intră sub incidență entitățile din sectoarele din Anexa 1 și Anexa 2, în principal companiile mijlocii și mari, plus cele mai mici care sunt critice în sectorul lor.

Legea 124/2025 (în vigoare din 10 iulie 2025)Aprobă ordonanța cu modificări: instruire periodică în securitate cibernetică pentru tot personalul, o persoană responsabilă cu securitatea rețelelor și sistemelor informatice numită în 30 de zile de la decizia DNSC de înregistrare, amenzi calculate la cifra de afaceri globală, majorare obligatorie de 50% pentru recidivă și includerea în Anexa 1 a comerțului cu ridicata și cu amănuntul de produse farmaceutice (CAEN 4646, 4773) și a distribuitorilor de medicamente.

Ordinele DNSC 1/2025 și 2/2025 (în vigoare din 20 august 2025)Ordinul 1 reglementează notificarea pentru înregistrare (30 de zile, prin platforma sau instrumentul NIS2@RO). Ordinul 2 stabilește metodologia de autoevaluare a impactului perturbării serviciilor și a nivelului de risc de securitate cibernetică, care decide dacă implementezi măsuri de bază, importante sau esențiale.

Ordinul DNSC 1/2026 (Monitorul Oficial nr. 712, 27 august 2026)Aprobă măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturității. Fiecare control aplicabil primește un scor de la 1 la 5 pentru documentare și unul de la 1 la 5 pentru implementare, justificate în scris, folosind instrumentul EVAL_MMS corespunzător nivelului de asigurare (bază, important, esențial). Ordinul 2/2026 (în vigoare din 18 septembrie 2026) limitează controalele marcate „nu se aplică” la 1, 3 și respectiv 5, iar Decizia DNSC 3/2026 permite grupurilor de companii să partajeze controale, cu condiția ca fiecare entitate să demonstreze implementarea în propriul perimetru.

Calendarul tău, pas cu pas

în cel mult 30 de zile de la intrarea sub incidență · art. 18 alin. (2)Notificarea DNSC pentru înregistrareCu cele patru autoevaluări cerute de Ordinul 1/2025: impactul perturbării, statutul de entitate critică, dependența de infrastructura TIC de importanță națională, statutul de furnizor unic.

DNSC: 60 de zile (esențiale) / 150 de zile (importante) · art. 18 alin. (4)–(5)DNSC decide clasificareaEntitate esențială sau importantă și înscrierea în registrul național.

în 30 de zile de la decizie · Legea 124/2025Numirea persoanei responsabile cu securitatea

în 60 de zile de la decizie · art. 18 alin. (6)Evaluarea nivelului de riscConform Anexei 2 din Ordinul 2/2025. Scorul stabilește nivelul de asigurare și deci setul de controale aplicabil.

în 60 de zile de la evaluarea riscului · Ordinul 1/2026Autoevaluarea maturitățiiFiecare control aplicabil, punctat pentru documentare și implementare, cu justificare scrisă.

în 30 de zile de la autoevaluare · Ordinul 1/2026Planul de remediere (entități esențiale sub țintă)Transmis către DNSC și, după caz, autorității sectoriale. Apoi autoevaluarea se repetă anual.

Raportarea incidentelor: regula 24/72

Articolul 15 din OUG 155/2024 pornește ceasul din momentul în care afli de un incident semnificativ: avertizare timpurie în 24 de ore, notificarea incidentului în 72 de ore și raportul final în cel mult o lună de la notificare. Dacă incidentul are impact transfrontalier, informațiile relevante se transmit în cel mult 6 ore. Nimic din toate acestea nu e realist fără detecție care chiar funcționează și o procedură exersată. Exact partea pe care cele mai multe autoevaluări o supraestimează.

Conducerea răspunde

Conform articolului 14, organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează implementarea și răspund pentru încălcări. Membrii lor trebuie să urmeze cursuri de formare profesională acreditate, iar entitatea trebuie să instruiască tot personalul. Amenzile maxime sunt cea mai mare valoare dintre 10 milioane € sau 2% din cifra de afaceri anuală globală pentru entitățile esențiale și 7 milioane € sau 1,4% pentru cele importante. Doar neînregistrarea sau neefectuarea autoevaluării nivelului de risc poate costa până la 500.000 lei (esențiale) sau 300.000 lei (importante).

Cum te ajutăm

Verificarea încadrăriiEști sub incidență, ca entitate esențială sau importantă, și ce nivel de asigurare susține de fapt evaluarea ta de risc. Verificăm datele înainte să fie depuse.

Autoevaluarea maturității, cu dovezi pentru fiecare scorParcurgem setul de controale EVAL_MMS împreună cu echipa ta și atașăm dovezile: configurații, loguri, politici aplicate efectiv. Un scor de 4 trebuie să reziste unui audit DNSC, nu doar să arate bine în instrument.

Remediere prin inginerieGolurile care ridică scorurile cel mai repede sunt de obicei identitatea (Entra ID, MFA, acces privilegiat), logarea și detecția, backup-ul și recuperarea. Le construim cu aceleași unelte pe care le operăm într-un mediu PCI DSS Level 1.

O procedură de raportare 24/72 care funcționeazăDetecție conectată la SIEM, un arbore de decizie pentru „este semnificativ?”, șabloane de notificare DNSC precompletate și un exercițiu tabletop, ca primul incident real să nu fie prima repetiție.

Nu este consultanță juridică. Este un rezumat tehnic al textelor publice, la nivelul lunii octombrie 2026. DNSC continuă să publice ordine și ghiduri, așa că verifică obligațiile pe textele actuale de pe dnsc.ro și cu un jurist. Noi aducem munca tehnică prin care autoevaluarea devine adevărată.

Surse

Instrumente gratuite: evaluare NIS2 (aplicabilitate și maturitate pe art. 21(2)) · ceasul de raportare a incidentelor (termene 24h / 72h / o lună).

Autoevaluare de depus sau nu știi dacă intri sub incidență?

Spune-ne sectorul și dimensiunea companiei. Îți răspundem pe email, în română, cu o evaluare clară a obligațiilor și a ce înseamnă un scor onest.

Scrie-ne →