Ce este NIS2 și de ce te privește în 2026
Directiva NIS2 (UE 2022/2555) este cadrul european de securitate cibernetică care a înlocuit NIS1, versiunea anterioară considerată prea permisivă și prea îngustă ca acoperire. România a transpus directiva în legislația națională, creând obligații concrete pentru companiile din sectoarele critice. Dacă NIS1 atingea câteva sute de organizații, NIS2 extinde semnificativ cercul celor vizați — mai multe sectoare, praguri mai mici, responsabilitate mai clară.
De ce este 2026 momentul-cheie? Pentru că nu mai ești în faza de „studiem situația". Termenele de înregistrare în platforma DNSC curg, autoritățile de supraveghere sunt operaționale, iar mecanismele de control și sancționare sunt active. Fiecare lună de întârziere înseamnă o perioadă de neconformare documentată.
Diferența practică față de NIS1 este semnificativă pe trei planuri. În primul rând, mai multe sectoare sunt acum incluse — de la furnizori IT și cloud până la clinici private și operatori de date. În al doilea rând, pragul de intrare a scăzut: firme de dimensiune medie sunt acum pe listă, nu doar marile corporații. În al treilea rând, și acesta este elementul care schimbă cel mai mult dinamica internă, responsabilitatea a urcat explicit la nivelul conducerii. Nu mai poți delega securitatea cibernetică integral către IT și să consideri că problema e rezolvată.
Directiva NIS2 (UE 2022/2555) a fost adoptată la nivel european și transpusă în România prin legislația națională în vigoare. Pentru versiunea actualizată a actelor normative aplicabile, verifică întotdeauna lex.justice.ro și site-ul oficial DNSC.
Cine intră sub incidența NIS2: ești pe listă?
NIS2 împarte organizațiile vizate în două categorii cu regimuri diferite de obligații și sancțiuni. Înțelegerea acestei distincții nu e un detaliu tehnic — e primul lucru pe care trebuie să-l stabilești.
| Criteriu | Entitate Esențială | Entitate Importantă |
|---|---|---|
| Dimensiune | Mare (250+ angajați sau CA > 50M EUR) | Medie (50–249 angajați sau CA 10–50M EUR) |
| Sectoare tipice | Energie, transport, sănătate, bancă, infrastructură digitală | Servicii poștale, gestionarea deșeurilor, producție critică, furnizori IT |
| Amendă maximă | 10 milioane EUR sau 2% CA globală | 7 milioane EUR sau 1,4% CA globală |
| Supraveghere | Proactivă — DNSC poate iniția controale | Reactivă — în principal la incident sau sesizare |
Sectoarele vizate acoperă un spectru larg: energie, transport, sănătate, apă și apă uzată, infrastructură digitală, servicii IT și cloud, sector bancar, administrație publică și spațiu. Dacă activezi în oricare dintre aceste domenii și depășești pragurile de dimensiune, ești inclus.
Există câteva categorii cu risc ridicat de neinregistrare: furnizorii IT care consideră că „ei sunt cei care securizează pe alții, nu invers", companiile de logistică care nu se văd drept infrastructură critică, clinicile private care tratează NIS2 ca pe o problemă a spitalelor de stat și operatorii de date care confundă GDPR cu NIS2. Regula practică rămâne simplă: peste 50 de angajați sau cifră de afaceri peste 10 milioane euro într-un sector critic înseamnă că ești aproape sigur pe listă.
Obligațiile concrete pe care le ai în 2026
Odată ce știi că ești vizat, trebuie să înțelegi ce se cere concret. Nu e o listă de bune practici opționale — sunt cerințe legale cu termen și cu mecanism de verificare.
Prima obligație este înregistrarea în platforma pusă la dispoziție de Directoratul Național de Securitate Cibernetică. Trebuie să transmiți date despre organizație, sectorul de activitate, persoana de contact responsabilă și infrastructura critică operată. Dacă nu ai făcut-o deja, acesta este primul pas, nu ultimul.
Articolul 21 din directivă listează cerințele minime: gestiunea riscurilor de securitate, politici de control al accesului, criptarea datelor sensibile, planuri de continuitate a activității și recuperare după dezastru, securitatea lanțului de aprovizionare și testarea periodică a măsurilor implementate.
Dacă ai un incident semnificativ, ai obligația unui preaviz în maximum 24 de ore, urmat de un raport complet în 72 de ore și un raport final detaliat în 30 de zile. Aceste termene nu sunt orientative — nerespectarea lor este în sine o neconformare sancționabilă.
Managementul de top are obligația să aprobe măsurile de securitate cibernetică, să urmeze formare în domeniu și răspunde personal pentru neconformare. NIS2 spune explicit că nu poți delega ignoranța. Directorul general nu poate susține că „nu știa" dacă nu și-a îndeplinit obligația de supraveghere.
Amenzile și riscurile dacă ignori NIS2
Vorbim despre sancțiuni dintre cele mai mari din legislația europeană de conformare, comparabile ca structură cu GDPR. Diferența față de alte reglementări este că NIS2 adaugă și răspundere personală a conducătorilor, nu doar amenzi corporative.
Dincolo de amenzi, există riscul suspendării temporare a activității pentru neconformare gravă sau repetată. Într-un sector în care continuitatea operațională e vitală — sănătate, energie, transport — o astfel de sancțiune poate fi mai costisitoare decât amenda în sine.
Amenzile NIS2 se pot aplica și în absența unui incident cibernetic. Simpla neînregistrare la DNSC sau lipsa documentației cerute sunt motive suficiente pentru sancțiune. Nu trebuie să ai o breșă de securitate ca să fii amendat.
Cum te ajută ISO 27001 să te conformezi mai rapid
Dacă ai deja implementat sau ești în curs de certificare ISO/IEC 27001:2022, ai un avantaj real față de punctul zero. Standardul acoperă în proporție semnificativă cerințele tehnice și organizatorice din articolul 21 al directivei NIS2: evaluarea și tratarea riscurilor, securitatea operațională, controlul accesului, criptarea, gestionarea incidentelor, continuitatea activității.
"Când vine un client cu ISO 27001 implementat corect, prima discuție despre NIS2 e complet diferită. Nu pornim de la zero — identificăm gap-ul specific, îl documentăm și îl adresăm punctual. Asta înseamnă luni câștigate, nu săptămâni." — Rareș Nicorici, Lead Auditor IRCA
Dacă nu ești certificat ISO 27001, implementarea concomitentă cu conformarea NIS2 nu este o complicație — este de fapt o oportunitate de eficiență. Construiești o singură dată structura de guvernanță a securității informației, documentezi o singură dată politicile și procedurile, evaluezi riscurile o singură dată. Cele două cadre se suprapun suficient de mult pentru ca efortul combinat să fie mai mic decât suma celor două eforturi separate.
Ce rămâne specific NIS2 și nu este acoperit automat de ISO 27001: înregistrarea în platforma DNSC, obligațiile de raportare a incidentelor în termenele legale precise (24h, 72h, 30 zile) și responsabilitatea explicită la nivel de board prevăzută de directivă. Acestea trebuie adresate separat, dar sunt gestionabile rapid dacă restul structurii este deja în loc.
Pașii practici pe care îi faci acum, în 2026
Nu există o secvență universală perfectă, dar există o logică clară. Dacă nu știi de unde să începi, urmează această ordine:
- Verifici sectorul de activitate față de lista NIS2 și dimensiunea companiei (angajați, cifră de afaceri)
- Stabilești dacă ești entitate esențială sau importantă
- Accesezi platforma DNSC și completezi înregistrarea cu datele organizației
- Efectuezi o analiză de gap față de cerințele articolului 21 din directivă
- Prioritizezi: gestiunea accesului, backup și recuperare, plan de răspuns la incidente
- Documentezi un proces intern clar pentru raportarea incidentelor în 24h/72h/30 zile
- Verifici contractele cu furnizorii critici și clauzele de securitate cibernetică
- Asiguri că managementul de top a aprobat formal politica de securitate
- Păstrezi dovezi documentate pentru orice măsură implementată — DNSC cere dovezi, nu declarații
Greșelile frecvente pe care le vedem la companii în 2026
Experiența din teren arată că același set de erori apare repetat, indiferent de dimensiunea companiei sau sectorul de activitate. Le menționez direct, fără diplomație inutilă.
Sunt reglementări complementare, nu interschimbabile. Conformarea GDPR nu acoperă NIS2 și invers. O companie poate fi perfect conformă GDPR și total neconformă NIS2. Sunt obiective diferite, autorități diferite, termene diferite.
NIS2 cere explicit implicarea și răspunderea managementului de top. Dacă directorul general nu știe ce măsuri de securitate are compania și nu le-a aprobat formal, există deja o neconformare — indiferent cât de bun e departamentul IT.
Un plan de continuitate a activității care există doar în format PDF și nu a fost niciodată testat nu îndeplinește cerința. NIS2 cere măsuri funcționale, nu documente frumos formatate. Testarea periodică este parte din cerință.
Lanțul de aprovizionare este menționat explicit în cerințele NIS2. Dacă un furnizor critic al tău are o breșă de securitate, poți fi afectat și răspunzător. Contractele cu furnizorii trebuie să includă clauze de securitate cibernetică și să fie evaluate periodic.
Cea mai costisitoare greșeală rămâne așteptarea unui control pentru a începe. Spre deosebire de alte reglementări unde neconformarea e vizibilă doar după un incident, NIS2 permite sancționarea strictă și pe baza neconformărilor procedurale identificate în timpul unui control de rutină. Amenzile nu necesită ca ceva „rău" să se fi întâmplat deja.
Vrei să știi exact unde ești și ce ai de făcut?
Dacă după ce ai citit articolul nu ești sigur dacă ești vizat, sau știi că ești vizat dar nu știi de unde să începi concret, primul lucru logic este o discuție cu cineva care a trecut deja prin acest proces cu alte organizații.
Concluzia simplă: NIS2 nu e o amenințare viitoare — e o realitate prezentă în 2026. Dacă ești vizat și nu ai început, ești deja în întârziere. Dacă ai început dar nu ești sigur că ai acoperit tot, o analiză de gap îți dă claritatea necesară. Termenele curg. Documentele contează. Conducerea răspunde personal.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.