Previzualizare. Pagina nu este publicată, iar formularul nu trimite date.
office@clarified.ro +40 774 456 127 Clarified IT

NIS2 · OUG 155/2024

Intră firma ta sub NIS2? Află în scris, cu temei legal.

Încadrarea nu se judecă doar după sector sau după numărul de angajați. Verificăm dacă OUG 155/2024 ți se aplică, în ce categorie, ce obligații ai și de când curg termenele. Primești concluzia argumentată, în scris.

Solicită evaluarea încadrării Descarcă fișa de verificare (PDF)

Nu este necesar acces administrativ la sisteme. Pot fi solicitate informații confidențiale strict necesare încadrării.

Înainte de orice: încadrarea

Trei întrebări care arată dacă NIS2 te privește.

Încadrarea se verifică la nivelul tipului de entitate și al activității prevăzute în anexă, nu doar după denumirea generală a industriei. Mai contează dimensiunea și excepțiile prevăzute de lege.

01

Activezi într-unul dintre cele 18 sectoare?

Anexa 1 · sectoare cu importanță critică ridicată

  • Energie
  • Transport
  • Sector bancar
  • Infrastructuri ale pieței financiare
  • Sănătate
  • Apă potabilă
  • Ape uzate
  • Infrastructură digitală
  • Servicii TIC gestionate
  • Administrație publică
  • Spațiu

Anexa 2 · alte sectoare de importanță critică

  • Servicii poștale și de curierat
  • Gestionarea deșeurilor
  • Substanțe chimice
  • Alimente
  • Fabricare
  • Furnizori digitali
  • Cercetare
Transport rutier

În categoria transport rutier din anexa nr. 1 sunt prevăzute autoritățile rutiere și operatorii de sisteme inteligente de transport. Alte activități sau situații ale societății pot determina separat includerea.

Sector bancar și infrastructuri financiare

Pentru entitățile financiare supuse DORA, obligațiile privind riscul TIC se analizează în cadrul regimului sectorial special. Prezența în anexa NIS2 nu înseamnă aplicarea integrală și cumulativă a acelorași obligații. Obligațiile de identificare și înregistrare se verifică distinct.

Furnizori digitali și servicii gestionate

Pentru anumite categorii de furnizori digitali și servicii gestionate se verifică și cerințele Regulamentului de punere în aplicare (UE) 2024/2690.

Temei: anexele nr. 1 și 2 la OUG 155/2024, în forma consolidată aplicabilă; Regulamentul (UE) 2022/2554 (DORA)

02

Îndeplinești criteriile legale de dimensiune?

De regulă, sunt vizate întreprinderile care îndeplinesc criteriile legale de dimensiune pentru includere. Evaluarea nu se face exclusiv după numărul de angajați: se verifică pragurile financiare, regulile aplicabile întreprinderilor partenere sau legate și excepțiile prevăzute de lege.

Sub 50 de angajați nu înseamnă automat excludere. Unele categorii sunt vizate indiferent de dimensiune, de exemplu administrația publică centrală, furnizorii de servicii DNS, registrele de nume TLD și prestatorii de servicii de încredere. Lista nu este exhaustivă, iar includerea indiferent de dimensiune nu înseamnă automat statut de entitate esențială: prestatorii calificați de servicii de încredere, de pildă, au alt regim decât cei necalificați.

Anumite categorii sunt esențiale inclusiv la dimensiune mijlocie, cum sunt furnizorii de servicii de securitate gestionate.

Temei: art. 5-9 din OUG 155/2024; Legea 346/2004

03

Ai clienți dintr-un sector vizat?

Entitățile vizate trebuie să gestioneze riscurile de securitate aferente furnizorilor direcți și prestatorilor de servicii. În acest scop, îți pot impune cerințe contractuale proporționale cu riscul.

Aceste cerințe nu te transformă automat într-o entitate direct supusă NIS2. Calitatea de furnizor nu stabilește, singură, aplicabilitatea legii.

Temei: art. 11 și 13 din OUG 155/2024; art. 21 alin. (2) lit. d) din Directiva (UE) 2022/2555

Nu ești sigur de răspuns? Exact asta lămurește evaluarea încadrării.

Ce ai de făcut și până când

După încadrare, legea pornește un calendar.

Termenele curg de la momente diferite pentru fiecare entitate. De aceea primul lucru pe care îl stabilim este unde te afli pe acest traseu.

  1. 30 de zile

    Notificarea în vederea înregistrării

    Se transmite în termen de 30 de zile de la data la care entitatea intră sub incidența prevederilor aplicabile.

    art. 18 alin. (2)

  2. 30 de zile

    Desemnarea responsabilului cu securitatea

    De la comunicarea deciziei de înscriere în registru. Desemnarea trebuie să respecte condițiile aplicabile funcției și categoriei entității. Un contract de suport IT nu înseamnă, singur, desemnarea legală a responsabilului.

    art. 14 alin. (3) și (4)

  3. 60 de zile

    Transmiterea evaluării nivelului de risc

    Pentru entitățile cărora li se aplică această procedură, evaluarea nivelului de risc se transmite în termen de 60 de zile de la comunicarea deciziei de înscriere. Nivelul de asigurare rezultat nu este același lucru cu statutul juridic de entitate importantă sau esențială.

    art. 18 alin. (6)

  4. 60 de zile

    Autoevaluarea inițială de maturitate

    Se întocmește și se transmite în termenul legal de 60 de zile de la transmiterea evaluării nivelului de risc. Privește atât documentația, cât și implementarea efectivă a măsurilor.

    art. 18 alin. (7); art. 12 alin. (4)

  5. 30 de zile

    Transmiterea planului de remediere

    Entitățile esențiale transmit planul de măsuri pentru remedierea deficiențelor în 30 de zile de la realizarea autoevaluării. Termenul privește transmiterea planului, nu finalizarea tuturor remedierilor.

    art. 12 alin. (5)

  6. În fiecare an

    Autoevaluarea periodică

    Se realizează anual, se asumă de conducere și se transmite potrivit procedurii aplicabile.

    art. 12 alin. (4)

  7. 24 h · 72 h · o lună

    Raportarea unui incident semnificativ

    Avertizarea timpurie se transmite fără întârzieri nejustificate și în cel mult 24 de ore de la luarea la cunoștință, iar notificarea incidentului în cel mult 72 de ore de la luarea la cunoștință. Raportul final se transmite în cel mult o lună de la notificarea incidentului, cu regulile speciale aplicabile incidentelor încă în desfășurare.

    Cele 72 de ore nu se adaugă celor 24: ambele se calculează de la luarea la cunoștință. La solicitarea autorității se transmite și un raport intermediar, iar prestatorii de servicii de încredere au un termen special de notificare.

    art. 15 alin. (7) și (8)

Ce prevede legea

Sancțiunile depind de abatere și de categoria entității.

Abateri administrative

Pentru anumite abateri administrative, inclusiv nerespectarea obligațiilor de înregistrare, se aplică sancțiunile corespunzătoare faptelor enumerate la art. 60. Plafonul depinde de abatere și de categoria entității.

art. 60 alin. (1) și (2)

Plafonul maxim

Pentru încălcările pentru care sunt prevăzute aceste limite, plafonul maxim al amenzii este valoarea mai mare dintre suma fixă și procentul legal din cifra de afaceri totală anuală mondială aferentă exercițiului financiar precedent: 7 milioane de euro sau 1,4% pentru entitățile importante, 10 milioane de euro sau 2% pentru cele esențiale. Cuantumul amenzii se individualizează potrivit legii.

art. 60 alin. (2) lit. a) și b), alin. (3) și (4)

Conducerea

Organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează punerea lor în aplicare și au obligații de formare. Răspund, în condițiile legii, pentru încălcarea obligațiilor care le revin.

art. 14 alin. (1) și (2)

Cum lucrăm

Patru etape. Începi cu prima și decizi apoi.

Fiecare etapă are un livrabil clar. Nu trebuie să te angajezi la tot traseul ca să știi unde ești.

01 · Punctul de pornire

Evaluarea încadrării

Analizăm activitatea efectivă, dimensiunea după regula legală aplicabilă, excepțiile și situația firmei.

Primești: fișa de încadrare, cu o concluzie argumentată, obligațiile și un calendar preliminar.

02

Evaluarea situației și planul

Inventar de referință, evaluarea riscurilor și comparația cu cerințele: ce funcționează, ce există doar în documente și ce lipsește.

Primești: registrul de riscuri și planul de remediere, cu priorități, responsabili, termene și estimare de cost.

03

Implementare

Configurăm controalele convenite și punem în funcțiune procedurile: acces, dispozitive, copii de siguranță, incidente, furnizori, instruire.

Primești: controale testate pe criterii de acceptanță convenite și dosarul de dovezi.

04

Operare și menținere

Revizuiri periodice, urmărirea remedierilor, actualizarea dovezilor și sprijin pentru evaluările periodice.

Primești: raportare pentru conducere și dovezi ținute la zi.

Solicită evaluarea încadrării Prima etapă nu te obligă la următoarele.

Pregătirea și transmiterea documentelor către DNSC se stabilesc separat în ofertă și se fac numai cu mandatul și asumarea clientului.

De ce Clarified IT

O firmă nu devine conformă cumpărând licențe.

Legea cere măsuri tehnice, operaționale și organizatorice, aprobate de conducere și susținute de dovezi. Așa lucrăm și noi.

Vezi un proiect: securitate și guvernanță Microsoft 365

  • Pornim de la ce ai deja

    Evaluăm soluțiile și contractele existente înainte să propunem ceva nou.

  • Documentație și practică, împreună

    La autoevaluare contează atât ce este scris, cât și ce se face efectiv. Lucrăm pe amândouă.

  • Dovezi, nu doar semnături

    Configurări, jurnale, rezultate de teste, instruiri: lucruri care pot fi arătate la un control.

  • Spunem și când nu ți se aplică

    Dacă pe datele analizate nu rezultă aplicabilitate directă, primești concluzia în scris, împreună cu cerințele contractuale pe care ți le pot impune clienții.

  • Roluri declarate

    Clarified nu efectuează auditul de securitate cibernetică reglementat în cadrul acestui serviciu, ci pregătește entitatea pentru audit. Pentru activitățile de nișă lucrăm cu parteneri numiți în ofertă.

Întrebări frecvente

Ce merită lămurit înainte de prima discuție.

Suntem o firmă mică. Ne privește NIS2?

Dimensiunea nu se judecă doar după numărul de angajați: se verifică pragurile financiare, regulile aplicabile întreprinderilor partenere sau legate și excepțiile prevăzute de lege. Sub 50 de angajați nu înseamnă automat excludere, iar unele categorii sunt vizate indiferent de dimensiune. Separat, clienții din sectoarele vizate îți pot impune cerințe contractuale de securitate, fără ca asta să te transforme într-o entitate direct supusă NIS2.

Nu ne-am înregistrat la DNSC. Ce se întâmplă acum?

Notificarea în vederea înregistrării se transmite în termen de 30 de zile de la data la care entitatea intră sub incidența prevederilor aplicabile. După expirarea termenului, DNSC poate notifica entitatea, din oficiu sau în urma unei sesizări, cu privire la obligația de a se supune procesului de identificare, iar nerespectarea obligației de notificare în termen este contravenție. Primul pas este să stabilim, cu argumente, dacă intri și în ce categorie.

Facem parte dintr-un grup internațional. Refacem totul în România?

Nu neapărat. Controalele gestionate la nivel de grup pot fi utilizate ca parte a implementării locale, cu demonstrarea aplicabilității, responsabilităților și funcționării lor pentru entitatea evaluată. Politica globală, singură, nu dovedește că sistemele și personalul din România sunt acoperite.

Avem deja un departament sau un furnizor IT. De ce am mai avea nevoie de voi?

Lucrăm împreună cu ei. Partea tehnică este doar o parte din ce se evaluează: legea cere și măsuri organizatorice, aprobate și supravegheate de conducere, iar la autoevaluare contează atât documentația, cât și implementarea.

Faceți și auditul de securitate cibernetică?

Nu. Clarified nu efectuează auditul de securitate cibernetică reglementat în cadrul acestui serviciu, ci pregătește entitatea pentru audit. Auditul reglementat se realizează de auditori atestați de DNSC, cu respectarea condițiilor legale de independență și incompatibilitate.

Fișa de încadrare ține loc de decizia autorității?

Nu. Fișa oferă o evaluare argumentată pe baza informațiilor disponibile și nu înlocuiește decizia sau competențele autorității. Arată ipotezele și documentele pe care se bazează concluzia.

Garantați că la final suntem conformi?

Nu promitem asta, pentru că nimeni nu poate promite cinstit. Conformitatea se demonstrează prin dovezi, autoevaluare și audit, iar răspunderea rămâne a entității. Ce primești de la noi este un traseu clar: unde ești, ce lipsește și în ce ordine se rezolvă.

Ce vă trebuie de la noi pentru evaluarea încadrării?

Evaluarea preliminară a încadrării nu necesită acces administrativ la sistemele IT. Pot fi solicitate informații și documente strict necesare privind activitatea, dimensiunea și situația societății, tratate confidențial. Practic, completezi un chestionar scurt și avem o discuție de clarificare.

Evaluarea încadrării

Întâi afli unde ești. Restul deciziilor vin după.

  1. Ne trimiți datele de bază despre firmă.
  2. Completezi un chestionar scurt și avem o discuție de clarificare.
  3. Primești fișa de încadrare, cu o concluzie argumentată, obligațiile și un calendar preliminar.

Preferi să vorbim direct? Cristian Apostol, +40 774 456 127, office@clarified.ro

Vrei întâi să verifici singur? Descarcă fișa de verificare (PDF)

Solicită evaluarea încadrării

Câmpurile marcate cu * sunt necesare. Nu include parole sau date sensibile.

Temeiuri legale

  • Ordonanța de urgență a Guvernului nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, în forma consolidată aplicabilă.
  • Directiva (UE) 2022/2555 (NIS2).
  • Regulamentul (UE) 2022/2554 (DORA) și Regulamentul de punere în aplicare (UE) 2024/2690.
  • Legea nr. 346/2004 privind stimularea înființării și dezvoltării întreprinderilor mici și mijlocii.

Informații verificate la 1 octombrie 2026. Pagina are caracter informativ și nu înlocuiește analiza situației concrete a fiecărei entități.

Solicită evaluarea încadrării