Conformitate NIS2, de la înregistrarea la DNSC până la primul audit.
Te ajutăm să afli dacă firma sau instituția ta intră sub NIS2, să te înregistrezi corect la DNSC și să implementezi măsurile tehnice și organizatorice cerute de lege. Nu doar documente: rețele securizate, backup testat și monitorizare reală.
CE CERE LEGEA, PE SCURT
Înregistrare la DNSC
în 30 de zile de la îndeplinirea criteriilor
Măsuri de gestionare a riscurilor
tehnice, operaționale și organizatorice (art. 21)
Raportarea incidentelor
avertizare în 24h, notificare în 72h, raport final în 1 lună
Răspunderea conducerii
managementul aprobă măsurile și răspunde de ele
Legea care face din securitatea cibernetică o obligație a conducerii, nu doar a IT-ului.
Directiva NIS2 a fost transpusă în România prin OUG 155/2024, aprobată prin Legea 124/2025. Ea extinde mult lista organizațiilor obligate să își protejeze rețelele și sistemele informatice: de la spitale, primării și utilități, până la producători, transportatori, firme de curierat sau furnizori de servicii IT. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).
Textul oficial al directivei NIS2 (Comisia Europeană) (se deschide într-o filă nouă)Mai multe sectoare
18 sectoare, împărțite în „cu nivel ridicat de criticitate” (Anexa I) și „alte sectoare critice” (Anexa II).
Măsuri concrete
Analiză de risc, backup și continuitate, control acces și MFA, gestionarea vulnerabilităților, securitatea furnizorilor, instruire.
Termene scurte
Incidentele semnificative se raportează la DNSC în ore, nu în săptămâni. Fără un plan pregătit, termenele nu pot fi respectate.
Conducerea răspunde
Organele de conducere aprobă măsurile, supraveghează implementarea și trebuie să urmeze instruiri de securitate.
Verifică în 30 de secunde dacă NIS2 se aplică organizației tale.
Regula generală: intră sub NIS2 entitățile din sectoarele din anexe care sunt cel puțin întreprinderi mijlocii, adică au 50 sau mai mulți angajați, ori o cifră de afaceri anuală și un bilanț de peste 10 milioane EUR.
Există excepții de la criteriul de mărime: unii furnizori de servicii digitale și de comunicații, entitățile din administrația publică sau entitățile identificate direct de DNSC. Rezultatul de aici este orientativ; încadrarea finală se face pe baza activității reale.
Anexa I
Energie, transport, bancar, infrastructuri ale piețelor financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, servicii TIC gestionate (B2B), administrație publică, spațiu.
Anexa II
Servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, alimente, fabricare (dispozitive medicale, electronice, echipamente electrice, mașini, autovehicule), furnizori digitali, cercetare.
Alege sectorul și mărimea ca să vezi rezultatul.
REZULTAT ORIENTATIV
Cere o încadrare exactăÎnregistrarea nu e o formalitate. Este primul pas pe care DNSC îl verifică.
Este o obligație legală
Entitățile care îndeplinesc criteriile trebuie să se înregistreze la DNSC în 30 de zile. Lipsa înregistrării este ea însăși o abatere sancționabilă.
Declanșează restul obligațiilor
După înregistrare urmează autoevaluarea nivelului de maturitate, planul de măsuri și desemnarea responsabilului cu securitatea rețelelor și sistemelor informatice.
Te pune pe harta sprijinului
Entitățile înregistrate primesc alerte și pot raporta incidente pe canalul oficial, cu sprijin de la echipele de răspuns ale DNSC.
Contează la un control
O organizație înregistrată, cu măsuri documentate și în curs de implementare, arată diligență. Una care nu s-a înregistrat pornește din poziția cea mai slabă.
Amenzile sunt doar o parte din cost.
ENTITĂȚI ESENȚIALE
până la 10 mil. EUR
sau 2% din cifra de afaceri anuală la nivel mondial, valoarea cea mai mare
ENTITĂȚI IMPORTANTE
până la 7 mil. EUR
sau 1,4% din cifra de afaceri anuală la nivel mondial, valoarea cea mai mare
GDPR, DACĂ SUNT AFECTATE DATE PERSONALE
până la 20 mil. EUR
sau 4% din cifra de afaceri, aplicate separat de ANSPDCP
Măsuri dispuse de DNSC — avertismente, dispoziții obligatorii cu termen, audituri de securitate impuse pe cheltuiala entității.
Răspunderea persoanelor din conducere — la entitățile esențiale, legea prevede inclusiv interdicția temporară de a exercita funcții de conducere.
Contracte și licitații — clienții și autoritățile contractante cer tot mai des dovada măsurilor de securitate de la furnizori.
Luni dimineață, serverele sunt criptate. Ce urmează?
Un atac ransomware nu oprește doar activitatea. Sub NIS2 pornește și un ceas de raportare. Dacă sunt afectate date personale, pornește un al doilea, către ANSPDCP.
- T+0
Detectare
Izolarea sistemelor afectate, păstrarea dovezilor, activarea planului de răspuns.
- ≤ 24h
Avertizare timpurie DNSC
Inclusiv dacă incidentul pare cauzat de o acțiune ilicită sau are impact transfrontalier.
- ≤ 72h
Notificare DNSC și ANSPDCP
Evaluarea inițială a severității și impactului, indicatori de compromitere. ANSPDCP, dacă sunt date personale.
- ≤ 1 lună
Raport final
Cauza, măsurile aplicate și impactul. Raport intermediar, dacă DNSC îl solicită.
Fără pregătire
- Backup-ul era pe aceeași rețea și a fost criptat odată cu serverele.
- Copiile de rezervă nu au fost testate niciodată prin restaurare.
- Nimeni nu știe cine anunță DNSC, ce informații se trimit și în cât timp.
- Activitatea stă zile sau săptămâni, iar plata răscumpărării nu garantează recuperarea datelor.
Cu măsurile NIS2 implementate
- Backup izolat, cu copii offline sau imutabile, restaurare testată periodic.
- Rețea segmentată, MFA și conturi privilegiate controlate, care limitează răspândirea.
- Monitorizare și alertare, ca atacul să fie oprit din primele etape.
- Procedură de răspuns la incidente și șabloane de notificare pregătite din timp.
Consultanță și implementare, de la aceeași echipă.
Lucrăm cu primării, unități medicale și firme. Pe lângă documentație, configurăm efectiv firewall-urile, backup-ul și monitorizarea.
Încadrare și înregistrare DNSC
Stabilim dacă ești entitate esențială sau importantă și pregătim dosarul de înregistrare.
Analiză de risc și analiză gap
Inventar de active, evaluarea riscurilor și comparație cu cerințele art. 21, cu plan de măsuri prioritizat.
Politici și proceduri
Politica de securitate, gestionarea incidentelor, BCP/DRP, backup, control acces, furnizori, instruire.
Implementare tehnică
Hardening FortiGate și MikroTik, segmentare, VPN, MFA, backup izolat, management vulnerabilități și patch-uri.
Monitorizare și răspuns la incidente
Monitorizare SOC cu Wazuh, triaj și investigare, sprijin la notificările către DNSC și ANSPDCP.
Instruire personal și conducere
Igienă cibernetică pentru angajați și instruirea obligatorie a organelor de conducere.
// ETAPELE COLABORĂRII
- PASUL 1
Discuție inițială
Înțelegem activitatea și infrastructura.
- PASUL 2
Evaluare
Încadrare, analiză de risc și gap.
- PASUL 3
Implementare
Măsuri tehnice și documentație.
- PASUL 4
Menținere
Monitorizare, teste de restaurare, revizuire anuală.
Ce ne întreabă clienții cel mai des
De regulă, da, dacă nici cifra de afaceri și bilanțul nu depășesc pragurile. Există însă excepții: anumiți furnizori de servicii digitale și de comunicații, administrația publică sau entitățile identificate de DNSC. Și chiar dacă nu ești vizat direct, clienții tăi NIS2 îți pot cere măsuri de securitate prin contract.
Nu. Legea cere măsuri aplicate și eficiente, iar eficacitatea lor trebuie evaluată periodic. Documentele trebuie să descrie ce se întâmplă efectiv în infrastructură.
Un incident care a cauzat sau poate cauza perturbări operaționale grave ori pierderi financiare, sau care afectează alte persoane prin prejudicii materiale sau morale considerabile. Un ransomware care oprește serviciile intră aproape întotdeauna aici.
Depinde de mărimea organizației și de nivelul de la care pornești. După evaluarea inițială primești un plan de măsuri prioritizat și o ofertă detaliată pe etape.
Sunt obligații distincte. Un incident cu date personale poate impune atât raportarea la DNSC, cât și notificarea ANSPDCP în 72 de ore, iar sancțiunile se pot cumula.
Află unde te afli față de NIS2.
Lasă-ne câteva detalii și revenim cu o discuție de încadrare și pașii următori.
Informațiile de pe această pagină au caracter general și nu țin loc de consultanță juridică. Termenele și procedurile se aplică conform OUG 155/2024, aprobată prin Legea 124/2025, și ordinelor DNSC în vigoare.