NIS2 în România (OUG 155/2024): ghidul complet pentru 2026

Dacă lucrezi într-o firmă de energie, transport, sănătate, finanțe sau în orice alt sector considerat important pentru funcționarea țării, probabil ai auzit deja de „NIS2” — la o conferință, într-un e-mail de la un avocat sau de la un coleg îngrijorat. Și probabil ai auzit și lucruri contradictorii: că e o directivă europeană, că e o lege românească, că amenzile ajung la milioane de euro, că „mai e timp” sau că „termenele au trecut deja”.

Articolul acesta pune ordine. Îți explicăm, pas cu pas și fără jargon, ce este NIS2, cum a devenit lege în România prin OUG 155/2024, ce obligații concrete ai, ce termene contează și — cel mai important — de unde începi practic. E un ghid lung, pentru că subiectul e mare. Folosește cuprinsul de titluri ca să sari direct la ce te interesează.

Ce este NIS2 și cum a devenit lege în România

De la directivă europeană la lege românească

NIS2 este numele scurt al Directivei (UE) 2022/2555 — o regulă europeană care le cere statelor membre să oblige organizațiile importante pentru societate (energie, transport, sănătate, bănci, apă, comunicații și multe altele) să își protejeze serios sistemele informatice. „NIS” vine de la Network and Information Security — securitatea rețelelor și a sistemelor informatice. Cifra 2 spune că e a doua versiune: prima directivă NIS, din 2016, s-a dovedit prea blândă și prea ușor de ignorat, așa că Uniunea Europeană a înlocuit-o cu una mult mai fermă.

O directivă europeană nu se aplică însă direct: fiecare stat trebuie să o „traducă” într-o lege națională. România a făcut acest pas la finalul lui 2024, prin Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil. Ordonanța a fost adoptată pe 30 decembrie 2024 și a intrat în vigoare pe 31 decembrie 2024.

Un detaliu care pare mărunt, dar nu e: denumirea corectă este OUG 155/2024 — ordonanță de urgență. O vei vedea uneori abreviată greșit „OG 155/2024”; e o eroare, pentru că ordonanțele simple (OG) și cele de urgență (OUG) sunt acte normative diferite. Dacă scrii documente interne de conformitate, folosește denumirea corectă.

Legea 124/2025: aprobarea în Parlament și câteva completări

O ordonanță de urgență e emisă de Guvern, dar trece apoi prin Parlament. Pe 7 iulie 2025 a fost publicată Legea nr. 124/2025, care aprobă OUG 155/2024 — cu alte cuvinte, Parlamentul a confirmat regulile și le-a dat stabilitatea unei legi. Legea a intrat în vigoare pe 10 iulie 2025 și a adus câteva completări care merită știute:

• Sectorul sănătății a fost extins: au fost incluse explicit entitățile autorizate pentru distribuția de medicamente și firmele care fac comerț cu ridicata și cu amănuntul de produse farmaceutice.
• Sectorul alimentar a fost reformulat: sunt vizate producția, prelucrarea și/sau distribuția de alimente — condițiile nu mai trebuie îndeplinite cumulativ, deci mai multe firme intră sub incidență.
• Definiția incidentului semnificativ a fost clarificată: un incident e semnificativ dacă îndeplinește cel puțin una dintre condiții — a provocat (sau poate provoca) perturbări operaționale grave ori pierderi financiare semnificative, sau poate afecta alte persoane prin prejudicii materiale ori de reputație.
• Instruirea conducerii a fost întărită: membrii organelor de conducere au obligația de a urma periodic programe de formare în securitate cibernetică, potrivite funcției lor și riscurilor entității.

Deci, când vorbim despre „legea NIS2 din România”, vorbim despre OUG 155/2024, aprobată prin Legea 124/2025. Acesta e cadrul legal complet.

Cine supraveghează: DNSC

Autoritatea care aplică legea este Directoratul Național de Securitate Cibernetică (DNSC). DNSC ține registrul entităților care intră sub incidența legii, primește raportările de incidente, emite ordine cu reguli de detaliu (cum ar fi metodologia de evaluare a riscului), atestă auditorii de securitate cibernetică și — da — aplică sancțiunile. Practic, pentru tot ce ține de NIS2 în România, interlocutorul tău instituțional este DNSC.

Intri sub incidența legii?

Întrebarea de la care pornește totul. Pe scurt, legea împarte organizațiile vizate în două categorii:

• Entități esențiale — în general, întreprinderile mari din sectoarele cele mai critice (anexa 1 a ordonanței: energie, transport, sectorul bancar, sănătate, apă, infrastructură digitală și altele), plus câteva categorii speciale indiferent de mărime — de exemplu furnizorii de servicii de securitate gestionate sau prestatorii de servicii de încredere calificați.
• Entități importante — întreprinderile mijlocii și mari din sectoarele din anexele 1 și 2 (anexa 2 acoperă, printre altele, servicii poștale, gestionarea deșeurilor, chimie, sectorul alimentar, fabricație, furnizori de servicii digitale) care nu se califică drept esențiale.

Pragurile de mărime se stabilesc după regulile pentru IMM-uri din Legea 346/2004 — simplificat, o firmă intră în discuție de regulă de la statutul de întreprindere mijlocie în sus: peste 50 de angajați sau peste 10 milioane de euro cifră de afaceri anuală. Există însă și excepții în care mărimea nu contează, iar acolo se ascund cele mai neplăcute surprize.

Distincția esențial/important nu e doar birocratică: entitățile esențiale au supraveghere mai strictă și amenzi mai mari. Am scris un articol separat, cu toate sectoarele, pragurile și cazurile speciale explicate pe îndelete: cine intră sub incidența OUG 155/2024. Dacă nu ești sigur unde te încadrezi, începe de acolo.

Obligațiile principale, una câte una

Să presupunem că intri sub incidența legii. Ce ai efectiv de făcut? Obligațiile se grupează în șase mari zone.

1. Înregistrarea la DNSC

Prima obligație, și cea mai simplă de bifat: trebuie să te înregistrezi în registrul entităților ținut de DNSC. Legea (art. 18 din OUG 155/2024) cere ca notificarea să fie transmisă în cel mult 30 de zile de la data la care prevederile ordonanței îți devin aplicabile.

Pentru valul inițial de entități, ceasul a pornit odată cu Ordinul directorului DNSC nr. 1/2025 (în vigoare din 20 august 2025), care a stabilit procedura concretă de notificare — termenul acelui prim val a expirat pe 22 septembrie 2025. Înregistrarea se face prin instrumentele puse la dispoziție de DNSC (formularul și platforma NIS2@RO).

Două lucruri de reținut aici:

• Dacă nu te-ai înregistrat încă, deși ar fi trebuit — nu aștepta să te găsească DNSC. Neînregistrarea e sancționabilă, iar înregistrarea din proprie inițiativă, chiar târzie, e întotdeauna poziția mai bună.
• Datele trebuie ținute la zi: modificările datelor de bază (denumire, adresă, date de contact, sector) se comunică în cel mult două săptămâni, iar alte date (de exemplu adresele IP) în cel mult trei luni.

Important: înregistrarea nu e o cerere de aviz. Nu „aplici” și aștepți să fii acceptat — e o obligație de notificare. Legea ți se aplică fie că te-ai înregistrat, fie că nu; înregistrarea doar oficializează relația cu DNSC.

2. Evaluarea riscului și autoevaluarea de maturitate

După ce DNSC îți confirmă înscrierea în registru, urmează două etape cu termene precise, stabilite prin Ordinul directorului DNSC nr. 2/2025 (în vigoare tot din 20 august 2025):

1. Evaluarea nivelului de risc — în termen de 60 de zile de la comunicarea deciziei DNSC de înscriere în registru, completezi o evaluare a nivelului de risc al entității tale, pe baza metodologiei DNSC. Rezultatul influențează cât de strict vei fi supravegheat și cu ce periodicitate vei fi auditat.
2. Autoevaluarea nivelului de maturitate — în termen de 60 de zile de la transmiterea evaluării de risc, transmiți o autoevaluare a maturității măsurilor tale de securitate: cât de bine stai, punct cu punct, la capitolele cerute de lege. Iar aceasta nu e o formalitate unică: legea cere ca autoevaluarea să fie transmisă anual, asumată de conducerea entității.

Autoevaluarea e, în practică, primul moment în care multe organizații realizează cât de mult (sau cât de puțin) au de lucru. Despre cum funcționează concret și cum o parcurgi eficient, am scris separat: cum îți faci autoevaluarea NIS2 în 30 de minute.

3. Măsurile de securitate: ce trebuie să ai, negru pe alb și în practică

Miezul legii. Art. 13 din OUG 155/2024 enumeră măsurile minime — tehnice, operaționale și organizatorice — pe care orice entitate esențială sau importantă trebuie să le aibă. Traduse pe scurt din limbaj juridic:

• Politici de analiză a riscurilor și de securitate a sistemelor informatice — reguli scrise: ce protejezi, de ce, cum.
• Politici și proceduri de evaluare a eficacității măsurilor — verifici periodic dacă ce ai pus în practică chiar funcționează.
• Politici privind criptografia și, după caz, criptarea — reguli despre cum protejezi datele ca să nu poată fi citite de cine nu trebuie.
• Securitatea lanțului de aprovizionare — te asiguri că furnizorii și prestatorii tăi nu devin poarta de intrare a atacatorilor. Un furnizor IT neglijent e problema ta.
• Securitatea achiziției, dezvoltării, întreținerii și casării sistemelor — de la cumpărare până la scoaterea din uz, sistemele se gestionează cu grijă (inclusiv ștergerea datelor de pe echipamentele casate).
• Securitatea resurselor umane, controlul accesului și gestionarea activelor — cine are acces la ce, ce se întâmplă când pleacă un angajat, ce echipamente și programe ai în inventar.
• Gestionarea incidentelor — o procedură clară: ce faci, cine anunță pe cine, cum documentezi.
• Continuitatea activității — copii de rezervă (backup), plan de redresare în caz de dezastru, gestionarea crizelor. Dacă mâine dimineață serverele nu mai pornesc, afacerea merge mai departe?
• Igiena cibernetică de bază și formarea angajaților — parole bune, actualizări la zi, oameni instruiți să recunoască un e-mail-capcană.
• Autentificare cu mai mulți factori — la conectare nu e suficientă parola; e nevoie și de o a doua confirmare (de exemplu un cod pe telefon), acolo unde e cazul.

Observă un lucru: aproape jumătate dintre măsuri încep cu „politici și proceduri”. Legea nu cere doar să faci lucrurile corect — cere să le ai scrise, aprobate și demonstrabile. La un control sau la un audit, „noi oricum facem backup” nu valorează nimic fără procedura documentată și dovezile aferente. Documentarea și implementarea sunt două obligații distincte, și se evaluează separat.

4. Raportarea incidentelor semnificative

Când se întâmplă un incident de securitate semnificativ — de exemplu un atac care îți blochează sistemele sau o scurgere de date cu efecte serioase — legea îți impune un calendar strict de raportare către DNSC, prin platforma națională de raportare a incidentelor (PNRISC). Conform art. 15 din OUG 155/2024:

• Avertizare timpurie în cel mult 24 de ore de la momentul în care ai luat cunoștință de incident — un prim semnal: se întâmplă ceva grav, bănuim că e acțiune răuvoitoare, poate afecta și pe alții.
• Notificarea incidentului în cel mult 72 de ore — o imagine mai completă: evaluarea inițială a gravității, a impactului, indicatorii de compromitere dacă există.
• Raport intermediar, la cerere — dacă echipa de răspuns solicită actualizări pe parcurs.
• Raport final în cel mult o lună de la notificarea incidentului — descrierea detaliată: ce s-a întâmplat, cauza probabilă, ce măsuri ai luat, impactul transfrontalier dacă există.

Rețineți cuvântul-cheie: termenele curg de când ai luat cunoștință de incident, nu de când s-a produs. Dar asta nu e o portiță — e o capcană pentru cine nu are detecție: dacă nu ai cum să afli că ești atacat, nu ai cum să respecți nici 24 de ore, nici 72.

24 de ore trec îngrozitor de repede când ai sistemele picate, clienții la telefon și conducerea în ședință de criză. De aceea procedura de raportare trebuie pregătită înainte: cine decide că incidentul e „semnificativ”, cine scrie notificarea, cine o transmite, unde sunt conturile și accesele. Am detaliat tot procesul, cu exemple, aici: raportarea incidentelor către DNSC — termene și pași.

5. Auditul de securitate cibernetică

Conformitatea nu rămâne la nivel de declarație pe propria răspundere. Legea (art. 11 din OUG 155/2024) prevede că entitățile esențiale și importante se supun unui audit de securitate cibernetică, în condițiile și cu periodicitatea stabilite prin ordin al directorului DNSC, în funcție de nivelul de risc. Auditul e realizat de auditori de securitate cibernetică atestați de DNSC — nu de orice consultant.

Ce înseamnă practic: la un moment dat, un auditor independent îți va cere politicile, procedurile, dovezile de implementare, registrele de incidente — și va verifica dacă realitatea corespunde cu hârtiile. Organizațiile care tratează documentarea „ca să fie” descoperă la audit că golurile se văd imediat. Cel mai sănătos mod de a te pregăti e să lucrezi de la început ca și cum auditul ar fi mâine: fiecare măsură documentată, fiecare implementare cu dovezi.

6. Răspunderea conducerii: nu se mai deleagă la IT

Poate cea mai mare schimbare de mentalitate adusă de NIS2. Conform art. 14 din OUG 155/2024, organele de conducere ale entității:

• aprobă măsurile de gestionare a riscurilor de securitate cibernetică;
• supraveghează punerea lor în aplicare;
• sunt responsabile de încălcări — răspunderea e a conducerii, nu a administratorului de sistem;
• urmează cursuri de formare în domeniu (obligație întărită prin Legea 124/2025: programe periodice, adecvate funcției și riscurilor entității) și se asigură că întregul personal relevant e instruit;
• desemnează, în termen de 30 de zile, responsabilii cu securitatea rețelelor și sistemelor informatice.

Cu alte cuvinte: directorul general nu mai poate spune „de asta se ocupă cei de la IT”. Legea îl pune pe el să aprobe măsurile, să le supravegheze și să răspundă când lipsesc. Dacă ești responsabilul de conformitate care citește acest articol, acesta e argumentul cu care obții atenția (și bugetul) conducerii.

Termenele care contează

Recapitulare rapidă, ca să le ai într-un singur loc:

Obligația	Termenul	Baza legală
Înregistrarea la DNSC	30 de zile de când legea îți devine aplicabilă (primul val: până la 22 septembrie 2025)	art. 18 OUG 155/2024; Ordinul DNSC 1/2025
Actualizarea datelor de înregistrare	2 săptămâni (date de bază) / 3 luni (alte date)	art. 18 OUG 155/2024
Evaluarea nivelului de risc	60 de zile de la decizia DNSC de înscriere în registru	Ordinul DNSC 2/2025
Autoevaluarea de maturitate	60 de zile de la transmiterea evaluării de risc, apoi anual	art. 18 și art. 12 OUG 155/2024
Desemnarea responsabililor cu securitatea	30 de zile	art. 14 OUG 155/2024
Avertizare timpurie incident	24 de ore de la luarea la cunoștință	art. 15 OUG 155/2024
Notificarea incidentului	72 de ore de la luarea la cunoștință	art. 15 OUG 155/2024
Raportul final de incident	cel mult o lună de la notificare	art. 15 OUG 155/2024
Auditul de securitate	periodicitate stabilită prin ordin DNSC, după nivelul de risc	art. 11 OUG 155/2024

Un termen nu apare în tabel pentru că nu există: nu există un termen general până la care „trebuie să fii conform”. Obligațiile de fond — măsurile de securitate, raportarea — se aplică deja. Ideea că „mai e timp până la o dată X” e cea mai răspândită și mai costisitoare neînțelegere legată de NIS2.

Sancțiunile, pe scurt

Regimul de amenzi e construit după modelul GDPR — adică poate lovi foarte tare. Conform art. 60 din OUG 155/2024, pentru contravențiile grave (nerespectarea măsurilor de securitate, a obligațiilor de raportare a incidentelor, a auditului și altele):

• Entitățile esențiale riscă amenzi de la 10.000 de lei până la cel mult 10.000.000 de euro (echivalent în lei) sau cel mult 2% din cifra de afaceri anuală la nivel mondial — luându-se în calcul valoarea mai mare dintre cele două.
• Entitățile importante riscă amenzi de la 5.000 de lei până la cel mult 7.000.000 de euro sau cel mult 1,4% din cifra de afaceri anuală la nivel mondial — tot valoarea mai mare.

Pentru contravenții mai puțin grave, amenzile merg până la 500.000 de lei (entități esențiale), respectiv 300.000 de lei (entități importante).

Cifrele maxime sunt spectaculoase, dar nu ele sunt mesajul principal. Mesajul e că fiecare obligație din acest articol — de la înregistrare până la raportul final de incident — are o sancțiune atașată, iar răspunderea urcă până la conducere. Am analizat în detaliu cum se aplică amenzile, pentru ce fapte și ce înseamnă pentru o firmă medie din România, aici: amenzile NIS2 în România, explicate.

Legătura cu autoevaluarea și CyberFundamentals

Când ajungi la pasul autoevaluării, vei întâlni un nume nou: CyberFundamentals (CyFun) — cadrul de securitate creat de Centrul pentru Securitate Cibernetică al Belgiei, pe care se bazează instrumentul de autoevaluare a maturității pus la dispoziție de DNSC prin platforma SecureRO.

De ce contează asta pentru tine: măsurile din art. 13 al ordonanței sunt formulate general („politici și proceduri referitoare la analiza riscurilor…”). CyFun le transformă în întrebări concrete, punct cu punct, organizate pe șase funcții (guvernare, identificare, protecție, detectare, răspuns, recuperare) și pe niveluri de exigență potrivite mărimii și criticității organizației. Fiecare măsură se notează pe două dimensiuni — cât e documentată și cât e implementată în realitate — exact distincția despre care vorbeam la capitolul măsurilor de securitate.

Practic, CyFun este „limba” în care îți vei măsura conformitatea NIS2 în România. Merită înțeles înainte să te apuci de autoevaluare — am explicat cadrul complet, fără jargon, aici: CyberFundamentals 2025 explicat.

De unde începi, practic

Dacă ai citit până aici, probabil te încearcă un sentiment de copleșire. E normal — dar drumul e mai clar decât pare. Iată ordinea de bătaie pe care o recomandăm:

Pasul 1: Stabilește dacă și cum intri sub incidență. Sector, mărime, cazuri speciale. Folosește ghidul nostru de încadrare. Dacă ești entitate esențială, exigențele și amenzile sunt mai mari — trebuie să știi din prima zi în care categorie ești.

Pasul 2: Rezolvă formalitățile cu DNSC. Înregistrarea (dacă n-ai făcut-o), evaluarea de risc, desemnarea responsabililor cu securitatea. Sunt pașii cei mai ușori și cei mai vizibili — nu lăsa tocmai obligațiile simple nebifate.

Pasul 3: Fă-ți autoevaluarea de maturitate. Sincer, nu cosmetizat. Scopul ei nu e nota, ci harta: îți arată exact unde ai goluri — ce politici lipsesc, ce măsuri există doar pe hârtie, ce nu e implementat deloc. Vezi ghidul de autoevaluare.

Pasul 4: Închide golurile, în ordinea riscului. Întâi lucrurile care opresc atacurile frecvente (copii de rezervă testate, autentificare cu mai mulți factori, actualizări, instruirea oamenilor) și procedura de raportare a incidentelor — cea pe care n-ai timp s-o improvizezi în 24 de ore. Apoi restul politicilor și dovezilor.

Pasul 5: Pregătește-te de audit din prima zi. Fiecare măsură — documentată și cu dovezi de implementare. Așa auditul devine o confirmare, nu o surpriză.

Unde te poate ajuta CERTO

Pașii 3, 4 și 5 sunt munca grea — și exact pentru ei am construit CERTO, platforma noastră de conformitate NIS2:

• evaluare completă pe cadrul CyberFundamentals 2025 — toate cele 218 măsuri, notate pe ambele dimensiuni (documentare și implementare), ca să vezi exact unde stai;
• generarea documentelor și politicilor cerute de lege, pornind de la situația ta reală;
• urmărirea incidentelor și a termenelor de raportare către DNSC, cu remindere — ca să nu descoperi la ora 23 că termenul de 24 de ore a trecut;
• portal pentru auditorul extern, cu rapoarte — dosarul tău de conformitate, gata de prezentat.

Un singur plan, 249 € pe lună, fără module ascunse. DNSC îți spune unde ești; CERTO te ajută să ajungi unde trebuie — și să demonstrezi asta.

Întrebări frecvente

NIS2 e obligatorie în România sau „doar o directivă”? E lege în vigoare: OUG 155/2024, aprobată prin Legea 124/2025. Obligațiile și sancțiunile se aplică deja entităților vizate.

Firma mea are 30 de angajați. Scap? De regulă, legea vizează întreprinderile de la mijlocii în sus (peste 50 de angajați sau peste 10 milioane de euro cifră de afaceri). Dar există categorii incluse indiferent de mărime — verifică încadrarea în articolul dedicat înainte să răsufli ușurat.

Ce risc dacă nu fac nimic? Amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri anuală la nivel mondial pentru entitățile esențiale (7 milioane / 1,4% pentru cele importante), plus răspunderea directă a conducerii. Și, dincolo de amenzi: un incident nepregătit te costă oricum — legea doar adaugă factura oficială.

Certificarea ISO 27001 mă face conform NIS2? Nu automat. Un sistem de management al securității bine făcut acoperă multe dintre cerințe, dar obligațiile specifice — înregistrarea la DNSC, autoevaluarea anuală, termenele de raportare de 24/72 de ore, auditul cu auditor atestat DNSC — rămân de îndeplinit separat.

De unde încep dacă azi nu am nimic? Pasul 1 din secțiunea de mai sus: stabilește-ți încadrarea. Apoi înregistrare, autoevaluare, plan de închidere a golurilor. Iar dacă vrei să nu duci tot procesul manual, CERTO există exact pentru asta.

---

Acest articol are caracter informativ și rezumă public prevederile OUG 155/2024, aprobată prin Legea 124/2025, și actele emise în aplicarea lor. Nu constituie consultanță juridică sau tehnică. Obligațiile tale concrete depind de sectorul, dimensiunea și activitatea organizației — iar legislația și ordinele DNSC pot suferi modificări; verifică întotdeauna forma în vigoare a actelor normative.

---

Vrei o imagine clară a poziției tale față de cerințele NIS2 și un plan concret de conformitate? Începe cu CERTO sau discută cu noi.