← Toate articolele Compliance · NIS2

NIS2 în România:
ghid pentru
entitățile esențiale

Directiva NIS2 (UE 2022/2555) e transpusă în România prin OUG 155/2024 (aprobată prin Legea 124/2025). Termenul de transpunere al directivei a fost 17 octombrie 2024; ordonanța a fost publicată la 31 decembrie 2024 și vizează entități esențiale și importante. Iată ce trebuie să faci practic.

Cine intră sub NIS2 în România

OUG 155/2024 distinge entități esențiale și entități importante, după sector și dimensiune. Sectoarele:

Sectoare de înaltă criticitate (în general entități esențiale)

• Energie (electricitate, gaze, hidrogen, petrol)
• Transport (aerian, feroviar, maritim, rutier)
• Bancar și piețe financiare
• Sănătate (spitale + producători medicamente)
• Apă potabilă + apă uzată
• Infrastructură digitală (DNS, TLD, cloud, data centers)
• Administrație publică (centrală + servicii de asistență TIC)
• Spațiu

Alte sectoare critice (în general entități importante)

• Servicii poștale și de curierat
• Gestionarea deșeurilor
• Producție, prelucrare și distribuție alimentară
• Producție (medical devices, computere, mașini)
• Servicii digitale (motoare căutare, marketplaces, social networks)
• Cercetare

Prag dimensiune: minimum 50 angajați SAU 10 mil EUR cifră afaceri / total bilanț. (Pentru sectoarele critice anumite entități intră indiferent de dimensiune.)

Cele 10 măsuri de la articolul 21

Articolul 21 NIS2 + OUG 155/2024 cere zece categorii de măsuri. Tabelul le arată pe cele pe care le verifică Deceneu; pentru continuitatea activității și recuperarea după dezastre, respectiv pentru igiena cibernetică și instruire, nu oferim acoperire.

Măsură	Acoperire CAI-Deceneu
1. Politici analiză risc	Verificare externă a configurației (Compliance Check, 5 €); politicile interne rămân la entitate
2. Tratarea incidentelor	Rezumat de incident NIS2 generat din audit, prin API, și reguli de detecție Wazuh/Sigma
4. Securitate lanț aprovizionare	Code Audit + SBOM
5. Securitate achiziții/dezvoltare	Code Audit (15€)
6. Evaluare eficacitate	Audituri repetate și monitorizare programată
8. Politici criptografie	Site Audit (TLS check)
9. Securitate resurse umane	Verificări de autentificare și control acces; partea de resurse umane rămâne la entitate
10. MFA și comunicații securizate	Verificare SPF/DKIM/DMARC/MTA-STS pentru e-mail; autentificarea multifactor rămâne la entitate

Reporting incidente — termenele

NIS2 introduce 3 termene cu impact major:

• 24h — early warning (DNSC + CSIRT)
• 72h — notificare incident (cu indicators of compromise)
• 1 lună — raport final cu lessons learned

Sancțiuni pentru entități esențiale: maxim 10 mil EUR sau 2% cifră anuală globală. Pentru entități importante: maxim 7 mil EUR sau 1.4%.

Cum se pregătește o entitate

1. Auto-evaluare gap NIS2 — verificare externă NIS2 prin Compliance Check (5 €)
2. Notificare către DNSC ca entitate esențială/importantă
3. Numire CSO/CISO intern sau outsourced
4. Plan tratament incident documentat + testat
5. Audit anual — Audit complet (Full Audit, 40 € per rulare), repetat în fiecare an
6. Audit lanț aprovizionare — verificare furnizori critici TIC

Ce merită cerut într-un contract de pentest

Articolul 21(2)(f) NIS2 cere politici pentru evaluarea eficacității măsurilor, dar nu prescrie conținutul unui contract. Dacă angajezi un furnizor de pentest, merită să ceri în scris:

• Frecvența: anual și după schimbări majore
• Scope: aplicații expuse pe Internet + infrastructură critică
• Standardele pe care le urmează testarea (de exemplu OWASP Top 10, ISO 27001)
• Păstrarea raportului: termenul din contract; arhivează raportul și tu
• Confidențialitate: acord de confidențialitate (NDA) și acces limitat la rezultate
• Re-testul după remediere: dacă e inclus și în ce interval

Resurse oficiale

• Directiva (UE) 2022/2555 — text NIS2
• DNSC — Direcția Națională Securitate Cibernetică
• OUG 155/2024, publicată în Monitorul Oficial la 31 decembrie 2024 (aprobată prin Legea 124/2025)
• ENISA — Agenția UE pentru Securitate Cibernetică