Intri sub NIS2? Entități esențiale vs importante în România

Categoria entității și nivelul de asigurare

Încadrarea juridică drept entitate esențială sau importantă se face potrivit OUG 155/2024. Nivelul de asigurare Bază, Important sau Esențial stabilește controalele aplicabile potrivit Ordinului 1/2026 și se corelează cu nivelul de risc determinat prin Ordinul 2/2025. Nu selecta automat controalele doar după denumirea categoriei juridice.

DORA și cerințele sectoriale

Art. V din Ordinul 1/2026 exceptă de la evaluarea nivelului de risc entitățile din sectorul bancar și infrastructurile pieței financiare cărora li se aplică DORA; acestea aplică măsurile DORA. Regula se aplică și entităților din infrastructură digitală și gestionarea serviciilor TIC B2B desemnate furnizori terți esențiali de servicii TIC potrivit DORA. Simplul contract cu o bancă nu conferă această desemnare.

Excepția nu elimină automat toate obligațiile de înregistrare: art. 2 alin. (3) din OUG 155/2024 păstrează aplicabile art. 5–10 și art. 18 pentru entitățile vizate de DORA. Cerințele implementate potrivit reglementărilor speciale sau sectoriale se evidențiază în declarația de aplicabilitate prevăzută de art. III din ordin.

Criteriul 1: sectorul

Anexa 1 (sectoare cu importanță critică ridicată; clasificarea entității se verifică potrivit art. 5–8): energie (electricitate, petrol, gaze, hidrogen, termoficare), transport (aerian, feroviar, naval, rutier), sector bancar, infrastructuri ale pieței financiare, sănătate (inclusiv producători farma), apă potabilă, ape uzate, infrastructură digitală (DNS, TLD, cloud, data centere, CDN), administrarea serviciilor TIC B2B (MSP/MSSP), administrație publică, spațiu.

Anexa 2 (alte sectoare critice — entități în general importante): servicii poștale și curierat, managementul deșeurilor, chimice, alimente, producție (dispozitive medicale, computere și electronice, echipamente electrice, mașini și utilaje, autovehicule, alte mijloace de transport), furnizori digitali (marketplace-uri online, motoare de căutare, platforme sociale), organizații de cercetare.

Criteriul 2: dimensiunea

• ▸Întreprinderile mijlocii se identifică potrivit art. 8 din OUG 155/2024, care trimite la criteriile din Legea 346/2004. Verifică personalul, cifra de afaceri și activele totale; un singur prag financiar nu este un test complet.
• ▸Întreprinderile mari din anexa 1 sunt esențiale. Întreprinderile mijlocii din sectoarele acoperite sunt în general importante, cu excepții: de exemplu, furnizorii mijlocii de servicii de securitate gestionate sunt esențiali potrivit art. 5 alin. (4).
• ▸Pentru microîntreprinderi și întreprinderi mici, verifică excepțiile de la pragul de mărime și identificarea potrivit art. 9.

Excepțiile care anulează pragul de mărime

• ▸Furnizori de rețele sau servicii publice de comunicații electronice — indiferent de mărime.
• ▸Furnizori de servicii de încredere (semnătură electronică), registre TLD și furnizori DNS — indiferent de mărime.
• ▸Entitate unică furnizoare a unui serviciu esențial într-un stat membru sau a cărei perturbare ar avea impact sistemic.
• ▸Administrația publică centrală — automat.

Esențial vs important: ce se schimbă concret

• ▸Supraveghere: entitățile esențiale sunt supravegheate ex-ante (DNSC poate audita proactiv, oricând); cele importante ex-post (controlul vine de regulă după un incident sau o sesizare).
• ▸Amenzi: până la 10 mil. EUR / 2% din cifra de afaceri globală pentru esențiale; până la 7 mil. EUR / 1,4% pentru importante.
• ▸Ambele categorii au obligații de securitate și raportare, cu diferențele și excepțiile legale aplicabile. Setul concret de controale depinde de nivelul de asigurare rezultat din evaluarea riscului.

Cum verifici practic

• ▸Identifică-ți codul CAEN principal și compară-l cu sectoarele din anexele OUG 155/2024.
• ▸Verifică personalul, cifra de afaceri și activele totale potrivit criteriilor la care trimite art. 8.
• ▸Verifică dacă vreo excepție de mărime ți se aplică.
• ▸Dacă ești la limită, cere opinia DNSC — autoclasificarea greșită nu te scutește de sancțiuni.