Ghid practic: pașii pentru conformitate NIS2 în România

Actualizat: 02.10.2026 · ~8 min de citit

Directiva NIS2 a fost transpusă în România prin OUG 155/2024 și Legea 124/2025, extinzând obligațiile de securitate cibernetică la peste 12.000 de organizații (estimare), clasificate ca entități esențiale sau importante. Termenul legal de înregistrare la DNSC este deja depășit, celelalte termene curg de la decizia DNSC pentru fiecare entitate, iar amenzile pot ajunge până la 10 milioane EUR sau 2% din cifra de afaceri globală, plus răspunderea personală a conducerii. Acest ghid rezumă pașii concreți pentru a ajunge la conformitate.

Pasul 1 — Verifică dacă ești vizat

Aplicabilitatea NIS2 se stabilește pe baza a două criterii cumulative: sectorul de activitate (energie, transport, sănătate, apă, infrastructură digitală, administrație publică, servicii digitale, producție critică etc.) și dimensiunea organizației (în general 50+ angajați sau peste 10 milioane EUR cifră de afaceri/bilanț). Există și excepții care includ entități indiferent de mărime. Vezi lista detaliată pe pagina Cine are nevoie de NIS2.

Pasul 2 — Realizează evaluarea de risc și autoevaluarea de maturitate

Conform OUG 155/2024, organizația trebuie să efectueze o evaluare a riscurilor de securitate cibernetică și o autoevaluare a nivelului de maturitate. Aceasta identifică activele critice, amenințările, vulnerabilitățile și gap-urile față de cerințele legale, și stă la baza planului de remediere. În practică, acesta este „diagnosticul NIS2" — punctul de plecare al oricărui proiect de conformare.

Pasul 3 — Numește un Responsabil NIS2

Legea impune desemnarea unei persoane responsabile cu securitatea cibernetică, înregistrată la DNSC (Directoratul Național de Securitate Cibernetică). Ai două opțiuni:

• Intern — angajarea unui specialist (cost de regulă 3.000–5.000 EUR/lună salariu brut, plus recrutare și formare continuă).
• Externalizat — un Responsabil NIS certificat DNSC, contractat ca serviciu, cu disponibilitate imediată și cost de la 335 EUR/lună fără TVA.

Pentru majoritatea IMM-urilor, externalizarea funcției de Responsabil NIS2 oferă competență certificată la o fracțiune din cost.

Pasul 4 — Implementează măsurile tehnice și organizatorice

NIS2 cere un set minim de măsuri de management al riscului: politici de securitate, gestionarea incidentelor, continuitatea activității și backup, securitatea lanțului de aprovizionare, controlul accesului, criptare, igienă cibernetică și instruirea personalului. Măsurile se documentează și se mențin actualizate — conformitatea NIS2 se menține în timp: revizuiri, raportări și actualizări periodice.

Pasul 5 — Înregistrează-te la DNSC și raportează incidentele

Entitățile vizate trebuie să se înregistreze în platforma DNSC și să respecte obligațiile de notificare a incidentelor semnificative în termenele legale (avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună). Lipsa unui proces clar de raportare este una dintre cele mai frecvente cauze de neconformitate.

Pasul 6 — Monitorizează și menține conformitatea

După implementare, conformitatea se menține prin monitorizare periodică, reevaluări de risc, actualizarea politicilor, exerciții de tip tabletop și raportare către conducere. Un Responsabil NIS2 externalizat asigură această continuitate fără a depinde de un singur angajat intern.

Cât durează și cât costă?

Un proiect tipic de conformare pornește cu diagnosticul NIS2 (de la 990 EUR fără TVA, o singură dată), urmat de implementare și de abonamentul lunar de Responsabil NIS2 externalizat (de la 335 EUR/lună fără TVA). Durata depinde de dimensiunea și complexitatea organizației, dar primul pas — evaluarea — poate începe imediat.

Nu ești sigur de unde să începi? Folosește simulatorul NIS2 ca să afli în câteva minute dacă ești vizat, apoi solicită o evaluare gratuită pentru pașii concreți.