O lege intrată în vigoare anul trecut obligă mii de firme din România să își securizeze sistemele informatice, sub amenzi care pornesc de la câteva mii de lei și pot ajunge la milioane de euro. Problema e că multe dintre ele nu știu că le privește.
Ce este NIS2
NIS2 este o directivă europeană care cere organizațiilor din sectoarele importante pentru societate să își protejeze sistemele informatice și să anunțe autoritățile atunci când sunt atacate.
În România a fost transpusă prin Ordonanța de urgență 155/2024, aprobată cu modificări prin Legea 124/2025, în vigoare din 10 iulie 2025. Autoritatea care supraveghează aplicarea ei este Directoratul Național de Securitate Cibernetică, DNSC.
Motivul pentru care există e simplu. Când sistemele unui spital, ale unei firme de energie sau ale unui operator de apă se opresc în urma unui atac, paguba nu rămâne la acea organizație. Ajunge la pacienți, la locuințe și la toate firmele care depind de ea.
Pe cine vizează
Trebuie îndeplinite două condiții în același timp.
Sectorul. Activitatea firmei trebuie să apară în una dintre cele două anexe ale legii. Acolo sunt energie, transport, bancar, sănătate, apă potabilă, ape uzate, infrastructură digitală, servicii IT, administrație publică centrală, spațiu, servicii poștale și de curierat, deșeuri, chimie, alimente, producție industrială, platforme online și cercetare.
Dimensiunea. Ca regulă, firma trebuie să aibă cel puțin 50 de angajați. Cele mai mici rămân în afară.
Există și excepții importante. Unele organizații intră indiferent cât sunt de mici: furnizorii de servicii DNS, registrele de domenii, furnizorii de servicii de comunicații electronice și prestatorii de servicii de încredere. Iar DNSC poate include o firmă mică dacă este singurul furnizor al unui serviciu esențial într-o zonă.
Ce trebuie făcut
Legea cere zece categorii de măsuri: analiza riscurilor, politici de securitate, criptare, verificarea furnizorilor, securitate la achiziția și întreținerea sistemelor, control al accesului și inventar al activelor, gestionarea incidentelor, copii de rezervă testate și plan de continuitate, igienă cibernetică de bază și autentificare multifactor.
Două lucruri se uită cel mai des. Răspunderea este a conducerii, iar administratorii trebuie să urmeze cursuri acreditate de securitate cibernetică. Și există obligația de înregistrare la DNSC, în cel mult 30 de zile de la momentul în care legea devine aplicabilă firmei.
Incidentele semnificative se raportează prin platforma PNRISC: avertizare în 24 de ore, raportare în 72 de ore și raport final în cel mult o lună.
Amenzile pornesc de la 5.000 de lei pentru entitățile importante și de la 10.000 de lei pentru cele esențiale, dar pot urca până la 7, respectiv 10 milioane de euro, ori până la 1,4% sau 2% din cifra de afaceri mondială.
Verifică singur, în două minute
Ca să afli dacă te privește, trebuie să compari activitatea reală a firmei cu anexele legii și să aplici regulile de dimensiune. E o muncă pe care puțini o fac.
DataAudit.net a construit un instrument gratuit care o face în locul tău. Bifezi activitățile, completezi numărul de angajați și cifrele financiare, iar rezultatul îți spune dacă ești entitate esențială, importantă sau în afara sferei, cu articolul din lege pentru fiecare motiv. O a doua rubrică îți dă un scor de conformitate și primele lucruri de rezolvat.
Totul rulează în browserul tău. Nu se trimit date către niciun server, nu se folosesc cookie-uri și nu se salvează răspunsurile.
Rezultatul este orientativ și nu ține loc de consultanță juridică. Încadrarea oficială o face DNSC.
Articol publicat inițial pe DataAudit.net.
