Acasă › NIS2 în România

NIS2 în România: OUG nr. 155/2024 explicată

Cine este entitate esențială sau importantă, cum și când notificați DNSC, ce urmează după decizia de înscriere și în ce termene raportați incidentele. Rezumat din textul ordonanței și al Legii nr. 124/2025, cu trimiteri la articole.

Verificați domeniul NIS2 Începeți gratuit

Pe scurt

  • Lege: OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025.
  • Notificare: DNSC, în 30 de zile de la data la care ordonanța vi se aplică.
  • După decizie: responsabili în 30 de zile, evaluarea riscului în 60, autoevaluarea în încă 60.
  • Incidente: 24 de ore, 72 de ore, 30 de zile, prin PNRISC.

Pe această pagină

  1. OUG pe scurt
  2. Cine intră
  3. Notificarea DNSC
  4. Raportarea incidentelor
  5. Măsuri și amenzi
  6. Ghiduri și instrumente
  7. Întrebări frecvente

Situația la 19 octombrie 2026. Ordonanța de urgență nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil transpune NIS2 în România. A fost publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024 și aprobată cu modificări prin Legea nr. 124/2025, în vigoare din 10 iulie 2025. Autoritatea competentă este DNSC, alături de autoritățile sectoriale, de exemplu BNR și ASF pentru sectorul financiar.

30 de zileTermenul de notificare a DNSC în vederea înregistrării, de la data la care ordonanța vi se aplică (art. 18 alin. 2).
60 / 150 de zileDNSC emite decizia de identificare și înscriere în registru: 60 de zile pentru entitățile esențiale, 150 pentru cele importante (art. 18 alin. 4 și 5).
30 de zileDe la comunicarea deciziei, conducerea desemnează responsabilii cu securitatea rețelelor și sistemelor informatice (art. 14 alin. 3, în forma Legii nr. 124/2025).
60 + 60 de zileEvaluarea nivelului de risc se transmite în 60 de zile de la decizie, iar autoevaluarea nivelului de maturitate în următoarele 60 de zile (art. 18 alin. 6 și 7).
24 h, 72 h, 30 de zileAvertizare timpurie, raportarea incidentului și raportul final, prin PNRISC (art. 15).

Cine intră sub OUG nr. 155/2024

  • Entități esențiale (art. 5): întreprinderile mari din sectoarele din anexa nr. 1; indiferent de mărime, administrația publică centrală, furnizorii de servicii DNS, registrele TLD și prestatorii calificați de servicii de încredere; întreprinderile mijlocii care furnizează rețele sau servicii publice de comunicații electronice sau servicii de securitate gestionate.
  • Entități importante (art. 6): întreprinderile mari și mijlocii din anexele nr. 1 și 2 care nu sunt esențiale, plus, indiferent de mărime, furnizorii de rețele și servicii publice de comunicații electronice și prestatorii de servicii de încredere.
  • Legea nr. 124/2025 a extins sectorul sănătății, inclusiv la distribuitorii angro și comerțul cu amănuntul de produse farmaceutice (CAEN 4646 și 4773).
  • Exemplu: un furnizor de servicii IT gestionate (MSP) cu 120 de angajați este de regulă întreprindere mijlocie din anexa nr. 1, deci entitate importantă; un furnizor de servicii de securitate gestionate de aceeași mărime este entitate esențială.

Mărimea se stabilește după Legea nr. 346/2004 (art. 8). Un prim răspuns oferă verificarea gratuită a domeniului NIS2; decide ordonanța și DNSC.

Notificarea către DNSC

  • Ce conține (art. 18 alin. 3): denumirea, sediul și datele de contact actualizate, celelalte sedii din UE, mijloacele permanente de contact, sectorul, subsectorul și tipul de entitate, statele membre în care prestați servicii, intervalele de adrese IP publice și informațiile din care rezultă încadrarea ca entitate esențială sau importantă.
  • Cum: cerințele de notificare și metoda de transmitere sunt stabilite prin Ordinul directorului DNSC nr. 1/2025 (Monitorul Oficial nr. 776 din 20 august 2025). La lansare, DNSC a indicat transmiterea notificărilor la evidenta@dnsc.ro, prin Instrumentul NIS de pe dnsc.ro; verificați pe dnsc.ro canalul actual, inclusiv Platforma NIS.
  • Modificări: denumirea, datele de contact, sectorul și încadrarea în cel mult 15 zile; reprezentantul, statele membre și adresele IP în cel mult 90 de zile (art. 18 alin. 8).

Notificare întârziată sau entitate nouă

Dacă erați deja în domeniul de aplicare și nu ați notificat DNSC, faceți-o cât mai repede: nerespectarea obligației de notificare este contravenție (art. 60 alin. 1 lit. o), cu amendă de la 1.000 la 300.000 lei pentru entitățile importante și de la 1.500 la 500.000 lei pentru cele esențiale. Dacă intrați abia acum sub ordonanță, de exemplu după ce ați trecut pragul de întreprindere mijlocie, aveți 30 de zile de la acea dată.

Raportarea incidentelor semnificative

În 24 de oreAvertizare timpurie de la data la care ați luat cunoștință de incident: dacă există suspiciuni de acțiuni ilicite sau impact transfrontalier (art. 15 alin. 7 lit. a).
În 72 de oreRaportarea incidentului, cu o evaluare inițială a gravității, a impactului și a indicatorilor de compromitere (lit. b).
În 30 de zileRaportul final de la raportarea incidentului; pentru un incident în desfășurare, raport de progres și raport final în 30 de zile de la gestionarea lui (lit. d și e).

Raportarea se face către echipa națională de răspuns la incidente de securitate cibernetică, prin Platforma națională pentru raportarea incidentelor de securitate cibernetică (PNRISC). Un incident este semnificativ dacă a provocat sau poate provoca perturbări operaționale grave sau pierderi financiare, ori dacă a afectat sau poate afecta alte persoane prin prejudicii considerabile (art. 15 alin. 6). Vă ajută verificarea incidentului semnificativ și calculatorul de termene.

Măsuri de securitate și amenzi

Entitățile iau măsuri tehnice, operaționale și organizatorice de gestionare a riscurilor (art. 11 și 13), aprobate și supravegheate de organele de conducere, ai căror membri urmează cursuri de formare acreditate (art. 14). Anual se transmite DNSC o autoevaluare a nivelului de maturitate, asumată de management; entitățile esențiale trimit în 30 de zile un plan de măsuri pentru deficiențele găsite (art. 12 alin. 4 și 5).

Amenzi (art. 60, în forma Legii nr. 124/2025): pentru entitățile esențiale până la 10.000.000 euro sau 2% din cifra de afaceri anuală la nivel mondial, pentru cele importante până la 7.000.000 euro sau 1,4%, luându-se valoarea mai mare, pentru încălcarea obligațiilor principale.

Ghiduri și instrumente

Instrumente gratuite în limba română, cu temei legal și dată de actualizare.

NIS2 se aplică organizației noastre?

Sector, mărime inclusiv grupul și excepții: esențială, importantă sau în afara domeniului.

Verificați ›

Incidentul este semnificativ?

Pragurile din Regulamentul de punere în aplicare (UE) 2024/2690, pas cu pas.

Verificați incidentul ›

Chestionare pentru furnizori

Ce întreabă clienții sub NIS2 și cum răspundeți o singură dată, bine.

Citiți ›

NIS2 în Dazr Compliance

Măsurile art. 21 ca sarcini recurente, registrul de incidente cu termene și aprobarea conducerii.

Vedeți ›

Cum gestionați totul în Dazr Compliance

  • Cadrul NIS2: măsurile de la art. 21 ca controale recurente cu responsabil, dovezi și memento-uri; cerințele din ordinul DNSC le adăugați ca controale proprii sau le mapați pe cele existente.
  • Registrul de incidente: numărătoare inversă pentru 24 de ore, 72 de ore și o lună (NIS2) și 72 de ore (GDPR), cu marcajele de timp ale fiecărei raportări.
  • Calendarul DNSC: data notificării, a deciziei, a evaluării riscului și a autoevaluării anuale, ca sarcini cu termen.
  • Furnizori (Pro): registrul furnizorilor cu contracte, certificate și date de revizuire.
  • Auditor (Pro): acces temporar doar în citire și jurnal de audit într-un singur PDF.
  • Date în UE: Dazr este o companie italiană, datele aplicației și copiile de rezervă rămân în UE (Germania), iar înregistrările spațiului de lucru sunt criptate cu AES-256-GCM.

Dazr nu transmite notificări sau raportări în numele dumneavoastră: acestea merg prin canalele DNSC și PNRISC. Dazr păstrează datele, dovezile și cronologia.

Surse: OUG nr. 155/2024 (Portal Legislativ), Legea nr. 124/2025 pentru aprobarea OUG nr. 155/2024, Directoratul Național de Securitate Cibernetică (DNSC), comunicatul DNSC din 21 august 2025 privind ordinele nr. 1/2025 și 2/2025, Directiva (UE) 2022/2555. Verificat la 19 octombrie 2026 pe textul ordonanței și al legii de aprobare.

Întrebări frecvente

Suntem entitate esențială sau importantă?

Depinde de sector și de mărime. Întreprinderile mari din anexa nr. 1 sunt de regulă esențiale, iar cele mijlocii și cele din anexa nr. 2 importante; unele tipuri, ca furnizorii de servicii DNS, intră indiferent de mărime. Încadrarea finală o stabilește DNSC prin decizia de identificare și înscriere în registru.

Am ratat termenul de notificare. Ce facem?

Notificați DNSC cât mai repede, cu toate informațiile de la art. 18 alin. (3). Nerespectarea obligației de notificare este contravenție (art. 60 alin. 1 lit. o), așa că o notificare completă, făcută acum, este cea mai bună opțiune.

Transmite Dazr notificările în locul nostru?

Nu. Notificarea și raportările de incidente se transmit prin canalele DNSC și PNRISC. Dazr urmărește termenele, păstrează marcajele de timp și dovezile și arată cine ce a făcut și când.

Ce plan ne trebuie?

Cadrul NIS2 și registrul de incidente sunt incluse în planul Free, pentru un utilizator și un cadru, fără card. Pro, la 99 € pe lună, adaugă până la cinci utilizatori și cinci cadre, declarația de aplicabilitate, politici, registrul furnizorilor și acces pentru auditor; îl puteți încerca gratuit 14 zile.

NIS2 cu responsabili, dovezi și termene.

Free: un utilizator și un cadru, fără card și fără limită de timp. Pro, la 99 € pe lună, adaugă până la cinci utilizatori și acces pentru auditor.

Începeți gratuit Prețuri

Această pagină conține informații generale și nu reprezintă consultanță juridică. Textele obligatorii sunt cele publicate în Monitorul Oficial.