Reglyze
← Înapoi la Reglyze
Transpusă și aplicabilă

NIS 2: România, Ordinul directorului DNSC nr. 1/2026

Cadrul național care face NIS 2 măsurabilă este Ordinul directorului DNSC nr. 1/2026. România are un catalog național de măsuri, în vigoare din 27 august 2026: Măsurile de gestionare a riscurilor de securitate cibernetică, aprobate prin Ordinul directorului DNSC nr. 1/2026, cuprind 218 controale pe trei niveluri de asigurare. Nivelul pe care îl implementează o entitate decurge din scorul său de risc, potrivit metodologiei din Ordinul directorului DNSC nr. 2/2025, nu din categoria sa (Ordinul directorului DNSC nr. 1/2026, art. IV). Reglyze evaluează organizațiile din România pe baza cerințelor Directivei NIS 2: catalogul DNSC este catalogul național, iar Reglyze nu îl oferă încă drept listă de verificare.

Stadiul cadrului: în vigoare din 27 august 2026

Pe scurt

Actul de transpunere

Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil

În vigoare din: 2024-12-31

Autoritatea competentă

Directoratul Național de Securitate Cibernetică (DNSC)

https://www.dnsc.ro/
Cadrul național

Ordinul directorului DNSC nr. 1/2026

218 controale în șase funcții: Guvernare (GV), Identificare (ID), Protecție (PR), Detecție (DE), Răspuns (RS) și Recuperare (RC), grupate în 22 de categorii; 29 dintre controale sunt Măsuri cheie, obligatorii și tratate cu prioritate (Măsurile, art. 1 alin. (5)). Trei niveluri de asigurare, aflate în raport de incluziune ierarhică: nivelul de Bază (34 de controale), nivelul Important (133) și nivelul Esențial (218). Scorul de risc alege nivelul: între 0 și 99 de puncte, nivelul de Bază; între 100 și 199, nivelul Important; între 200 și 1.500, nivelul Esențial. Autoevaluarea nivelului de maturitate se transmite anual către DNSC.

Cine este vizat?

entități esențiale

Indiferent de dimensiune: entitățile administrației publice centrale, entitățile din anexe identificate potrivit art. 9, entitățile identificate drept entități critice, furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD (art. 5 alin. (1)). După dimensiune: întreprinderile mari din sectoarele prevăzute în anexa nr. 1 (art. 5 alin. (2)) și întreprinderile mijlocii care sunt furnizori de rețele publice de comunicații electronice sau furnizori de servicii de comunicații electronice destinate publicului (art. 5 alin. (3)). O particularitate națională: un furnizor de servicii de securitate gestionate din categoria întreprinderilor mijlocii este entitate esențială (art. 5 alin. (4)), în timp ce directiva îl consideră entitate importantă.

entități importante

Întreprinderile mari și mijlocii din sectoarele prevăzute în anexele nr. 1 și 2 care nu sunt identificate drept entități esențiale (art. 6 alin. (1)). Indiferent de dimensiune, dacă nu au fost identificate drept entități esențiale: entitățile din anexe identificate potrivit art. 9, furnizorii de rețele publice de comunicații electronice, furnizorii de servicii de comunicații electronice destinate publicului și prestatorii de servicii de încredere (art. 6 alin. (2)). Încadrarea ca entitate esențială sau importantă nu stabilește nivelul de măsuri: acesta decurge din scorul de risc al entității (Ordinul directorului DNSC nr. 1/2026, art. IV).

Regimul anterior: Legea nr. 362/2018 privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice, abrogată prin art. 66 alin. (1) lit. a) din OUG nr. 155/2024, cu excepția măsurilor adoptate sau impuse în temeiul dispozițiilor din capitolele IV și V, care rămân în vigoare până la revizuirea acestora. Intră în domeniul de aplicare entitățile din sectoarele prevăzute în anexele nr. 1 și 2, înființate și înregistrate pe teritoriul României (art. 7 alin. (1)). Furnizorii de rețele publice de comunicații electronice și furnizorii de servicii de comunicații electronice destinate publicului intră în domeniul de aplicare atunci când prestează servicii pe teritoriul României, indiferent de locul de înființare sau de înregistrare (art. 7 alin. (2)), iar furnizorii de servicii DNS, de servicii de cloud computing, de servicii de centre de date, de servicii gestionate și de servicii de securitate gestionate, printre alții, atunci când sediul lor principal din Uniunea Europeană este situat pe teritoriul României (art. 7 alin. (3)). Dimensiunea se stabilește după Legea nr. 346/2004: întreprinderile mijlocii au între 50 și 249 de salariați și o cifră de afaceri anuală netă de până la 50 de milioane de euro sau active totale de cel mult 43 de milioane de euro (art. 4 alin. (1) lit. c)), fără a se aplica art. 4^5 din aceeași lege, privind întreprinderile controlate în proporție de cel puțin 25 % de organisme publice (art. 8 din OUG nr. 155/2024).

Termene-cheie

2024-12-31

OUG nr. 155/2024 este publicată în Monitorul Oficial al României, Partea I, nr. 1332 și înregistrată la Senat pentru dezbatere în aceeași zi: intră în vigoare la această dată (art. 115 alin. (5) din Constituție). Abrogă Legea nr. 362/2018 (art. 66 alin. (1) lit. a)).

2025-07-07

Legea nr. 124/2025, publicată în Monitorul Oficial al României, Partea I, nr. 638, aprobă OUG nr. 155/2024 cu modificări și completări.

2025-08-20

Ordinul directorului DNSC nr. 1/2025 (cerințele privind procesul de notificare în vederea înregistrării și formularul de notificare) și Ordinul directorului DNSC nr. 2/2025 (criteriile și pragurile de determinare a gradului de perturbare a unui serviciu și metodologia privind evaluarea nivelului de risc al entităților) intră în vigoare la data publicării lor în Monitorul Oficial al României, Partea I, nr. 776.

2026-08-27

Ordinul directorului DNSC nr. 1/2026 intră în vigoare la data publicării sale în Monitorul Oficial al României, Partea I, nr. 712: catalogul național de 218 controale pe trei niveluri de asigurare și metodologia de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică.

Permanent

Entitatea care se încadrează ca entitate esențială sau importantă notifică DNSC în vederea înregistrării în cel mult 30 de zile de la data la care prevederile OUG nr. 155/2024 îi sunt aplicabile (art. 18 alin. (2)). DNSC emite decizia pentru identificarea și înscrierea în registru în termen de 60 de zile de la primirea notificării pentru o entitate esențială și de 150 de zile pentru o entitate importantă (art. 18 alin. (4) și (5)).

Permanent

De la comunicarea deciziei DNSC curg 30 de zile pentru desemnarea responsabililor cu securitatea rețelelor și sistemelor informatice (art. 14 alin. (3)) și 60 de zile pentru transmiterea evaluării nivelului de risc (art. 18 alin. (6)). În cel mult 60 de zile de la transmiterea acesteia urmează autoevaluarea nivelului de maturitate, transmisă apoi anual către DNSC (art. 18 alin. (7), art. 12 alin. (4)); în termen de 30 de zile de la realizarea fiecărei autoevaluări, entitățile esențiale transmit un plan de măsuri pentru remedierea deficiențelor identificate (art. 12 alin. (5)).

Permanent

Modificările informațiilor din notificare se comunică fără întârzieri nejustificate: în cel mult 2 săptămâni de la data modificării pentru informațiile prevăzute la art. 18 alin. (3) lit. a)-d), f) și j), între care denumirea, adresa sediului social principal și datele de contact, sectorul, subsectorul și tipul de entitate, și în cel mult trei luni pentru cele prevăzute la lit. e) și g)-i), între care intervalele de adrese IP publice (art. 18 alin. (8)).

Raportarea incidentelor semnificative (art. 15 din OUG nr. 155/2024): către DNSC, în calitate de CSIRT național, prin PNRISC, pentru toate sectoarele. De la momentul în care entitatea a luat cunoștință de incidentul semnificativ: o avertizare timpurie în cel mult 24 de ore și o raportare a incidentului în cel mult 72 de ore, iar pentru prestatorii de servicii de încredere în cel mult 24 de ore (art. 15 alin. (8)); un raport intermediar la cererea DNSC; un raport final în cel mult o lună de la transmiterea notificării incidentului (art. 15 alin. (7)). Un termen național: orice informație care îi permite DNSC să constate un impact transfrontalier al incidentului se raportează în cel mult 6 ore de la momentul la care entitatea a luat cunoștință de ea (art. 15 alin. (3)).

Sectoare prioritare

Infrastructura digitală și serviciile de securitate gestionate

Furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD sunt entități esențiale indiferent de dimensiune (art. 5 alin. (1)); furnizorii de rețele publice de comunicații electronice, furnizorii de servicii de comunicații electronice destinate publicului și prestatorii de servicii de încredere sunt entități importante indiferent de dimensiune, dacă nu sunt esențiale (art. 6 alin. (2)). Un furnizor de servicii de securitate gestionate din categoria întreprinderilor mijlocii este entitate esențială (art. 5 alin. (4)). ANCOM este autoritatea competentă sectorial pentru furnizorii de IXP, de servicii de centre de date, de rețele publice de comunicații electronice și de servicii de comunicații electronice destinate publicului, iar ADR pentru prestatorii de servicii de încredere (art. 37 alin. (1)). Potrivit scorului standard al sectoarelor Infrastructură digitală și Gestionarea serviciilor TIC din Ordinul directorului DNSC nr. 2/2025 (95, 190 și 285 de puncte), o microîntreprindere sau o întreprindere mică implementează, în mod implicit, nivelul de Bază al catalogului național, o întreprindere mijlocie nivelul Important, iar o întreprindere mare nivelul Esențial.

Sectorul sănătății, inclusiv comerțul cu produse farmaceutice

Sectorul sănătății din anexa nr. 1, astfel cum a fost modificată prin Legea nr. 124/2025, cuprinde în România și entitățile titulare ale unei autorizații de distribuție a medicamentelor menționate la art. 803 din Legea nr. 95/2006, precum și întreprinderile care desfășoară activitățile economice 4646 (Comerț cu ridicata al produselor farmaceutice și medicale) sau 4773 (Comerț cu amănuntul al produselor farmaceutice, în magazine specializate) din CAEN Rev. 3. Fiind tipuri de entități din anexa nr. 1, cele mari sunt entități esențiale, iar cele mijlocii entități importante (art. 5 alin. (2), art. 6 alin. (1)). Își raportează incidentele către DNSC, prin PNRISC, ca toate celelalte entități din domeniul de aplicare.

Administrația publică centrală

Din administrația publică, numai entitățile administrației publice centrale figurează în anexe. Sunt entități esențiale indiferent de dimensiune (art. 5 alin. (1) lit. a)), cu o listă de excepții mai lungă decât cea a directivei: instituțiile din domeniul apărării, ordinii publice și securității naționale, instituțiile de învățământ superior, justiția, Parlamentul României, Administrația Prezidențială, ASF, BNR și ANCOM, printre altele (anexa nr. 1, sectorul 10). O autoritate a administrației publice locale notifică incidentele în temeiul Legii nr. 58/2023, prin PNRISC, „de îndată, dar nu mai târziu de 48 de ore de la constatarea incidentului” (art. 21). Legea nr. 119/2026, care intră în vigoare la 6 luni de la publicarea sa din 3 iulie 2026, prevede: „Resursele digitale publice înregistrate în PNIDP intră sub incidența dispozițiilor Ordonanței de urgență a Guvernului nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025.” Niciun text nu stabilește ce înseamnă aceasta pentru încadrarea unei autorități locale.

Întrebări frecvente

Este Directiva NIS 2 transpusă în România?
Da. OUG nr. 155/2024 transpune Directiva (UE) 2022/2555 și a intrat în vigoare la 31 decembrie 2024, ziua publicării sale în Monitorul Oficial al României, Partea I, nr. 1332 și a înregistrării sale la Senat (art. 115 alin. (5) din Constituție). Parlamentul a aprobat-o cu modificări și completări prin Legea nr. 124/2025, iar Legea nr. 123/2026 i-a completat art. 36. OUG nr. 155/2024 a abrogat Legea nr. 362/2018 (art. 66 alin. (1) lit. a)). Ordinele directorului DNSC privind notificarea în vederea înregistrării și privind pragurile criteriilor de la art. 9 se aplică din 20 august 2025, iar catalogul național de măsuri din 27 august 2026.
Cine intră în domeniul de aplicare și cum se stabilește dimensiunea?
Entitățile din sectoarele prevăzute în anexele nr. 1 și 2, înființate și înregistrate pe teritoriul României (art. 7 alin. (1)). Întreprinderile mari din anexa nr. 1 sunt entități esențiale, iar celelalte întreprinderi mari și mijlocii din anexe sunt entități importante (art. 5 alin. (2), art. 6 alin. (1)); unele tipuri de entități sunt vizate indiferent de dimensiune, de exemplu furnizorii de servicii DNS (art. 5 alin. (1)). Dimensiunea se stabilește după Legea nr. 346/2004: întreprinderile mijlocii au între 50 și 249 de salariați și o cifră de afaceri anuală netă de până la 50 de milioane de euro sau active totale de cel mult 43 de milioane de euro (art. 4 alin. (1) lit. c)), fără a se aplica art. 4^5 din aceeași lege (art. 8 din OUG nr. 155/2024). Citită literal, o întreprindere cu mai puțin de 50 de salariați a cărei cifră de afaceri și ale cărei active totale depășesc ambele 10 milioane de euro, fără a depăși ambele plafoane de 50 și 43 de milioane de euro, nu se încadrează în nicio categorie a acestei legi, deși Recomandarea 2003/361/CE o consideră întreprindere mijlocie; nu am găsit nicio interpretare a DNSC pentru acest caz. Prin art. 9, o entitate dintr-un sector din anexe poate fi esențială sau importantă indiferent de dimensiune: de exemplu, unicul furnizor în România al unui serviciu prevăzut în anexa nr. 1 este entitate esențială, iar al unui serviciu prevăzut în anexa nr. 2, entitate importantă (Ordinul directorului DNSC nr. 2/2025, art. 2). Entităților cărora li se aplică Regulamentul DORA le sunt incidente doar dispozițiile art. 5-10 și art. 18, adică cele privind încadrarea și înregistrarea (art. 2 alin. (3)).
Cum notificăm DNSC în vederea înregistrării?
În cel mult 30 de zile de la data la care prevederile OUG nr. 155/2024 vă sunt aplicabile (art. 18 alin. (2)). Formularul de notificare se generează cu Instrumentul NIS2@RO al DNSC sau se completează în Platforma NIS2@RO, se salvează în format PDF și se semnează de reprezentantul legal al entității. Principala metodă de transmitere este Platforma NIS2@RO; când aceasta nu este disponibilă, Ordinul directorului DNSC nr. 1/2025 prevede transmiterea prin e-mail la [email protected] și, în lipsa acesteia, depunerea fizică la sediul DNSC (Cerințe, art. 10). DNSC emite decizia pentru identificarea și înscrierea în registru în termen de 60 de zile pentru o entitate esențială și de 150 de zile pentru o entitate importantă (art. 18 alin. (4) și (5)); o entitate care nu se încadrează în domeniul de aplicare nu se înregistrează în registrul entităților și este notificată în acest sens. Această pagină nu indică nicio adresă a Platformei NIS2@RO: la 29 octombrie 2026 nu am putut verifica dacă este în funcțiune.
Unde și în ce termene raportăm un incident semnificativ?
Către DNSC, în calitate de CSIRT național, prin PNRISC, Platforma națională pentru raportarea incidentelor de securitate cibernetică (art. 15 alin. (2)), a cărei pagină de raportare are opțiunea „III. Entitate înregistrată conform OUG 155/2024”. De la momentul în care ați luat cunoștință de incidentul semnificativ: o avertizare timpurie în cel mult 24 de ore, o raportare a incidentului în cel mult 72 de ore (24 de ore pentru prestatorii de servicii de încredere), un raport intermediar la cererea DNSC și un raport final în cel mult o lună de la transmiterea notificării incidentului (art. 15 alin. (7) și (8)). Orice informație care îi permite DNSC să constate un impact transfrontalier al incidentului se raportează în cel mult 6 ore de la momentul la care ați luat cunoștință de ea (art. 15 alin. (3)); directiva cere această informație fără un termen propriu. Același alineat precizează: „Simpla raportare nu expune entitatea unei răspunderi sporite.” Un incident este semnificativ dacă a provocat sau poate provoca perturbări operaționale grave ale serviciilor sau pierderi financiare pentru entitatea în cauză ori dacă a afectat sau poate afecta alte persoane fizice sau juridice, cauzând prejudicii materiale sau nonmateriale considerabile (art. 15 alin. (6)). Normele metodologice privind raportarea incidentelor, prevăzute la art. 15 alin. (17), nu erau publicate în Portalul Legislativ la 29 octombrie 2026.
Ce nivel al catalogului DNSC ni se aplică și cum ajută Reglyze?
Nivelul decurge din scorul de risc al entității, nu din încadrarea sa ca entitate esențială sau importantă (Ordinul directorului DNSC nr. 1/2026, art. IV). Metodologia din Ordinul directorului DNSC nr. 2/2025 înmulțește dimensiunea entității, natura atacului, impactul și probabilitatea: între 0 și 99 de puncte se implementează nivelul de Bază (34 de controale), între 100 și 199 nivelul Important (133), iar între 200 și 1.500 nivelul Esențial (218). Fiecare sector are un scor standard, iar entitatea își recalculează scorul general o dată la 3 ani și ori de câte ori este depășit pragul ridicat al impactului generat de perturbarea serviciului furnizat. Astfel, în mod implicit, un furnizor de servicii DNS cu cinci angajați, deși entitate esențială, implementează nivelul de Bază. Reglyze evaluează organizațiile din România pe baza cerințelor Directivei NIS 2 și redactează documente care indică OUG nr. 155/2024, termenele sale și DNSC ca destinatar al raportărilor; catalogul DNSC este catalogul național, iar Reglyze nu îl oferă încă drept listă de verificare. Analiza aplicabilității din Reglyze urmează criteriile directivei și nu aplică încă particularitățile românești: de exemplu, pentru un furnizor de servicii de securitate gestionate din categoria întreprinderilor mijlocii indică entitate importantă, deși OUG nr. 155/2024 îl consideră entitate esențială (art. 5 alin. (4)).
Cine sunt organele de conducere și ce le cere OUG nr. 155/2024?
OUG nr. 155/2024 nu spune care sunt organele de conducere, dar exclude două: „Adunarea generală a acționarilor și consiliul de administrație nu sunt organe de conducere a entităților esențiale și importante în sensul prezentei ordonanțe de urgență.” (art. 50 alin. (4)). Organele de conducere aprobă măsurile de gestionare a riscurilor de securitate cibernetică, supraveghează punerea lor în aplicare și sunt responsabile de încălcările acestor dispoziții (art. 14 alin. (1)). Membrii lor urmează „cursuri de formare profesională acreditate”, fără o frecvență stabilită și fără ca organismul de acreditare să fie numit, iar entitatea asigură, în mod regulat, formarea profesională a întregului personal (art. 14 alin. (2)). În termen de 30 de zile de la comunicarea deciziei DNSC, organele de conducere desemnează responsabilii cu securitatea rețelelor și sistemelor informatice (art. 14 alin. (3)).
Cine supraveghează respectarea obligațiilor și cine decide?
DNSC desfășoară activități de supraveghere, verificare și control și poate dispune audituri de securitate ad-hoc, realizate de un auditor de securitate cibernetică atestat (art. 46 alin. (1)); Ordinul directorului DNSC nr. 3/2025 prevede controale de fond, controale tematice și controale inopinate. La entitățile importante, supravegherea prevăzută la art. 46 alin. (1) lit. a) se realizează doar pentru punerea în aplicare a art. 48 alin. (2) lit. b)-g) (art. 46 alin. (4)); directiva prevede, pentru aceste entități, măsuri de supraveghere ex post (art. 33 alin. (1) din directivă). Contravențiile privind, între altele, măsurile de gestionare a riscurilor și raportarea incidentelor se constată de DNSC sau de personalul de control al autorităților competente sectorial, ANCOM și ADR, în sectoarele lor. Cele privind, între altele, notificarea în vederea înregistrării se constată numai de DNSC, aplicarea sancțiunii realizându-se prin decizie a directorului DNSC (art. 61 alin. (2)). Calea de atac este contenciosul administrativ, la Curtea de Apel București, fără parcurgerea procedurii prealabile, în termen de 30 de zile de la comunicare (art. 61 alin. (8)). Entitățile esențiale și entitățile importante sunt obligate să se supună unui audit de securitate cibernetică, realizat de auditori care dețin un atestat eliberat de DNSC (art. 11 alin. (5), art. 58 alin. (1)): entitatea auditată are dreptul de a selecta auditorul (art. 57 alin. (4)) și suportă costurile auditului, inclusiv ale celui ad-hoc (art. 46 și 57). Niciun ordin al directorului DNSC citit până la 29 octombrie 2026 nu stabilește periodicitatea auditului.

Surse oficiale

Ultima verificare: 2026-10-29 · următoarea verificare programată după 2027-01-03.

Sunteți pregătiți pentru conformitatea cu NIS 2?

Reglyze vă ghidează pas cu pas, cu ajutorul inteligenței artificiale, prin cerințele NIS 2: analiza aplicabilității și analiza lacunelor pe baza cerințelor directivei, apoi documente care indică actul românesc de transpunere, termenele sale și destinatarul corect al raportărilor.