Cine intră obligatoriu sub NIS2 și de ce contează chiar acum?
Dacă firma ta are peste 50 de angajați sau o cifră de afaceri anuală de peste 10 milioane EUR și activezi în sectoare precum energie, transport, sănătate, IT, alimentar, administrație publică sau servicii financiare — ești deja în perimetrul NIS2. Sancțiunile prevăzute în legislația românească de transpunere ajung la 10 milioane EUR sau 2% din cifra de afaceri globală, oricare dintre valori este mai mare. Termenul de conformare nu mai e teoretic: 2026 e anul în care controalele devin operaționale.
Ultima actualizare: 2026-09-07
Ce riscuri concrete apar dacă ignori NIS2?
Nu vorbim de un formular bifat și uitat. Conform raportului ENISA Threat Landscape 2024, costul mediu al unui incident de securitate cibernetică pentru o organizație medie europeană a depășit 4,4 milioane EUR în daune directe și indirecte. Pentru o firmă cu 50-200 de angajați din România, asta înseamnă insolvență, nu doar amendă.
Hai să traducem asta în cifre pe care le simți lunar. Dacă echipa ta de IT alocă 12-15 ore pe săptămână pentru gestionarea reactivă a alertelor, fără o politică documentată de securitate, ești deja în afara cerințelor NIS2 de la primul control. La un cost mediu al unui specialist IT de 6.000 RON/lună, asta înseamnă peste 18.000 RON/an în timp neproductiv — fără să fi rezolvat nimic structural. Adaugă peste asta riscul de amendă și întrebi-te: cât costă să nu faci nimic?
Și contextul din piață nu ajută. Atacuri recente documentate de The Hacker News arată că routerele MikroTik sunt compromise prin SSH expus fără autentificare, că modulele de tip REVSTEALER dezactivează Windows Defender și Windows Update pentru a rula mineri de criptomonede, iar magazinele online bazate pe Magento au fost backdoor-ate prin vulnerabilități nepatchuite. Dacă infrastructura ta nu e auditată și documentată conform NIS2, ești o țintă ușoară — și o amendă garantată la primul incident raportat.
STOP. Calculează acum cât pierzi pe lună. Audit AI gratuit (răspuns 48h) →
Cine intră obligatoriu sub NIS2 în România?
Directiva NIS2 împarte entitățile în două categorii: esențiale și importante. Pragurile de dimensiune sunt clare.
| Categorie | Criterii dimensionale | Sectoare acoperite | Amendă maximă |
|---|---|---|---|
| Entitate esențială | Peste 250 angajați SAU CA > 50M EUR | Energie, transport, sănătate, apă, infrastructură digitală, spațiu | 10M EUR sau 2% CA globală |
| Entitate importantă | 50-249 angajați SAU CA 10-50M EUR | Servicii poștale, gestionare deșeuri, chimie, alimentar, producție, digital | 7M EUR sau 1,4% CA globală |
Dacă firma ta are între 50 și 249 de angajați și activezi în oricare dintre sectoarele de mai sus, ești entitate importantă — și obligațiile sunt reale, nu opționale. Autoritățile române de supraveghere (DNSC — Directoratul Național de Securitate Cibernetică) au deja cadrul legal activat prin Legea nr. 58/2023 de transpunere NIS2.
Ce trebuie să faci concret pentru a fi conform?
NIS2 nu e un audit pe hârtie. Cere implementare reală în 5 arii operaționale:
- Politici de securitate documentate — proceduri scrise, aprobate de management, revizuite anual. Estimat: 2-3 săptămâni cu un consultant specializat.
- Gestionarea riscurilor — analiză de risc formalizată, plan de tratament, revizuire periodică. Fără asta, primul control DNSC înseamnă notificare de neconformitate.
- Raportarea incidentelor — orice incident semnificativ trebuie raportat în 24 de ore (notificare preliminară) și în 72 de ore (raport detaliat). Dacă nu ai un proces intern activ, ratezi termenul garantat.
- Securitatea lanțului de aprovizionare — furnizori, parteneri, software terț. Dacă ai breach prin un vendor, responsabilitatea e tot a ta.
- Testare și continuitate — planuri de continuitate a afacerii, backup testat, proceduri de recuperare documentate.
Dacă nu știi de unde să începi sau echipa ta internă nu are resursele necesare, pachetul nostru de Conformitate NIS2 și GDPR acoperă toate cele 5 arii printr-un proces structurat, cu livrabile clare și termene realiste pentru firma ta.
Cum arată concret procesul de conformare?
Nu e un proiect de 2 ani. Cu resursele potrivite, conformarea se face în etape clare:
- Săptămâna 1-2: Audit inițial — identificăm ce ai deja și ce lipsește. Livrabil: raport gap analysis cu prioritizare.
- Săptămâna 3-5: Documentare politici și proceduri — adaptate la specificul firmei tale, nu șabloane generice.
- Săptămâna 6-8: Implementare tehnică — soluții de monitorizare, alertare, backup conform, segmentare rețea unde e necesar.
- Săptămâna 9-10: Testare și validare — simulăm un incident, verificăm că raportarea funcționează, că planul de continuitate e operațional.
- Ongoing: Mentenanță și suport — revizuiri trimestriale, actualizare la modificări legislative, suport în caz de incident real.
Conform Parlamentului European, NIS2 a intrat în vigoare în octombrie 2024 la nivel UE, iar statele membre au obligația să aplice sancțiunile începând din 2025-2026. România e în calendar.
O firmă de distribuție FMCG din Cluj, 80 de angajați, fără o politică de securitate documentată și fără plan de continuitate operațională. După 9 săptămâni cu echipa noastră: gap analysis complet, 14 documente de politică implementate, sistem de monitorizare activ și primul test de continuitate finalizat — toate înainte de primul control DNSC anunțat în zonă. Zero amenzi, zero întreruperi operaționale.
Pentru campaniile de conștientizare internă și comunicarea schimbărilor de politică de securitate către angajați, unii dintre clienții noștri folosesc și soluții de publicitate și comunicare business cu AI pentru a distribui rapid mesajele corecte intern și extern.
În luna asta mai avem 3 sloturi pentru Conformitate NIS2 și GDPR. Vezi pagina serviciului →
Întrebări frecvente
Firma mea cu 60 de angajați din IT intră sub NIS2?
Da. Dacă activezi în sectorul infrastructură digitală, servicii IT sau ești furnizor de servicii gestionate (MSP), intri ca entitate importantă. Obligațiile sunt identice ca structură cu cele ale entităților esențiale, cu amenzi de până la 7 milioane EUR sau 1,4% din cifra de afaceri globală.
Când încep controalele efective în România?
DNSC are cadrul legal activ din 2023. Controalele operaționale și notificările de neconformitate au început în 2025, cu aplicare completă în 2026. Dacă nu ești conform acum, ești expus la primul incident sau sesizare din industrie.
NIS2 se suprapune cu GDPR? Trebuie să mă conformez la ambele?
Da, și se suprapun parțial. GDPR vizează protecția datelor personale, NIS2 vizează securitatea rețelelor și sistemelor informatice. Multe măsuri tehnice sunt comune, motiv pentru care un proiect integrat NIS2 și GDPR este mai eficient decât două proiecte separate ca timp și cost.
Ce se întâmplă dacă am un incident și nu l-am raportat în 24 de ore?
Neraportarea în termen este o încălcare separată de incident în sine și atrage sancțiuni suplimentare. Autoritățile pot aplica atât amenda pentru incident, cât și amenda pentru neraportare. Procesul de raportare trebuie automatizat și testat înainte de a fi nevoie de el.
Cât costă un proiect de conformare NIS2 pentru o firmă de 50-100 angajați?
Depinde de nivelul de maturitate actual al infrastructurii și al documentației. Un gap analysis inițial durează 1-2 săptămâni și oferă o imagine clară a costului total. Comparativ cu o amendă de 7-10 milioane EUR, investiția în conformare este calculabilă și controlabilă.
Dacă nu ești sigur unde se situează firma ta față de cerințele NIS2, un audit inițial îți răspunde în 48 de ore. Fără obligații, fără costuri ascunse — doar un plan concret pe care poți să-l execuți.
Cere oferta de servicii IT aici