OUG 155/2024 explicat: legea NIS2 a României, pe înțelesul tuturor

Ordinul DNSC 1/2026: controale și dovezi

Ordinul din 6 august 2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026, cu anexele în nr. 712 bis, aprobă măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturității. Este în vigoare de la publicare.

Catalogul cuprinde 218 controale în șase funcții: Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare. Se selectează controalele nivelului de asigurare aplicabil — Bază, Important sau Esențial — conform riscului. Măsurile-cheie aplicabile se tratează prioritar; documentația și implementarea primesc scoruri separate, justificate în scris.

Autoevaluarea maturității și termenele din OUG 155/2024

Art. 18 alin. (7) cere autoevaluarea inițială în 60 de zile de la transmiterea evaluării nivelului de risc. Art. 12 alin. (4) cere realizarea și transmiterea anuală a autoevaluării către DNSC și, după caz, autoritatea sectorială, cu asumarea managementului.

Pentru entitățile esențiale, art. 12 alin. (5) cere întocmirea și transmiterea planului de remediere în 30 de zile de la realizarea autoevaluării. Anexa 2 la Ordinul 1/2026 cere un plan pentru deficiențele care împiedică atingerea scorurilor-țintă. Publicarea ordinului nu pornește un termen nou, identic pentru toate entitățile.

DORA și cerințele sectoriale

Art. V din Ordinul 1/2026 exceptă de la evaluarea nivelului de risc entitățile din sectorul bancar și infrastructurile pieței financiare cărora li se aplică DORA; acestea aplică măsurile DORA. Regula se aplică și entităților din infrastructură digitală și gestionarea serviciilor TIC B2B desemnate furnizori terți esențiali de servicii TIC potrivit DORA. Simplul contract cu o bancă nu conferă această desemnare.

Excepția nu elimină automat toate obligațiile de înregistrare: art. 2 alin. (3) din OUG 155/2024 păstrează aplicabile art. 5–10 și art. 18 pentru entitățile vizate de DORA. Cerințele implementate potrivit reglementărilor speciale sau sectoriale se evidențiază în declarația de aplicabilitate prevăzută de art. III din ordin.

Ce reglementează OUG 155/2024

Ordonanța stabilește cadrul național de securitate cibernetică pentru entitățile esențiale și importante: măsurile minime de management al riscului, obligațiile de notificare a incidentelor, mecanismul de înregistrare la DNSC și regimul sancțiunilor.

Autoritatea competentă este DNSC (Directoratul Național de Securitate Cibernetică), care operează platforma NIS2@RO pentru înregistrarea entităților și instrumentul ENIRE@RO pentru evaluarea riscurilor.

Cine intră sub incidența legii

Regula de bază vizează întreprinderile mijlocii și mari din sectoarele acoperite. Dimensiunea se verifică potrivit art. 8 din OUG 155/2024, folosind criteriile legale privind personalul și datele financiare. Anexele grupează sectoarele; încadrarea entității se stabilește separat, potrivit art. 5–8:

• ▸Anexa 1, sectoare cu importanță critică ridicată — energie, transport, sector bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, administrarea serviciilor TIC B2B, administrație publică, spațiu.
• ▸Anexa 2, alte sectoare critice — servicii poștale și de curierat, managementul deșeurilor, substanțe chimice, alimente, producție (dispozitive medicale, electronice, mașini, autovehicule), furnizori digitali (marketplace-uri, motoare de căutare, rețele sociale), cercetare.
• ▸Excepții de mărime: unele entități intră sub NIS2 indiferent de dimensiune — furnizori de DNS, registre TLD, furnizori de servicii de încredere, rețele publice de comunicații electronice.

Obligațiile principale

• ▸Înregistrarea la DNSC prin platforma NIS2@RO — termenul inițial a expirat pe 19 septembrie 2025, dar obligația rămâne în vigoare; întârzierea în sine este sancționabilă.
• ▸Evaluarea nivelului de risc conform Ordinului DNSC nr. 2/2025, modificat prin Ordinul nr. 1/2026, se transmite în 60 de zile de la comunicarea deciziei de înscriere în registru, cu excepțiile prevăzute pentru DORA.
• ▸Implementarea măsurilor minime de securitate din Art. 21 al directivei: politici de risc, tratarea incidentelor, continuitate, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților, criptografie, controlul accesului, MFA.
• ▸Notificarea incidentelor semnificative către DNSC: avertizare timpurie în 24h, notificare detaliată în 72h, raport final în o lună.
• ▸Răspunderea conducerii: organele de conducere aprobă măsurile, supervizează implementarea și răspund personal pentru încălcări.

Sancțiuni

Pentru entitățile esențiale, amenzile pot ajunge la 10 milioane EUR sau 2% din cifra de afaceri globală anuală (oricare este mai mare). Pentru entitățile importante, plafonul este de 7 milioane EUR sau 1,4% din cifra de afaceri. Art. 60 alin. (2) lit. c)–d) din OUG 155/2024 prevede amenzi de până la 300.000 RON pentru entitățile importante și 500.000 RON pentru cele esențiale pentru faptele enumerate acolo, inclusiv anumite obligații de înregistrare și evaluare. Ordinul 1/2026 nu introduce amenzi proprii.

De unde începi

• ▸Stabilește dacă ești entitate esențială sau importantă (vezi ghidul nostru dedicat).
• ▸Înregistrează-te în NIS2@RO dacă nu ai făcut-o — întârzierea suplimentară agravează situația.
• ▸Fă inventarul activelor IT și pornește un proces continuu de management al vulnerabilităților — este cerință explicită în Art. 21 lit. (e).
• ▸Documentează tot: la control, DNSC cere dovezi, nu declarații.