NIS2 în România: cum abordezi încadrarea și notificarea prin Platforma NIS2@RO

După încadrare: nivelul de risc și autoevaluarea maturității

Actualizare la 5 septembrie 2026: Ordinul DNSC nr. 1/2026, publicat la 27 august 2026, aprobă măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturității. Evaluarea pentru identificare și notificare descrisă în acest ghid este distinctă de evaluarea nivelului de risc conform Ordinului nr. 2/2025 și de autoevaluarea maturității controalelor conform Ordinului nr. 1/2026.

Conform art. IV din noul ordin, controalele aplicabile se aleg după nivelul de asigurare corespunzător nivelului de risc. Calificarea juridică drept entitate esențială sau importantă nu trebuie folosită singură pentru a deduce nivelul de asigurare. Verifică și excepțiile DORA din art. V pentru sectoarele și desemnările expres prevăzute.

Pentru multe organizații, prima întrebare despre NIS2 este „suntem obligați?”. Răspunsul nu se obține doar din codul CAEN, numărul de angajați sau un chestionar online. În România, OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025, stabilește cadrul, iar DNSC pune la dispoziție Instrumentul NIS2@RO și Platforma NIS2@RO pentru a facilita identificarea, notificarea și evidența entităților. Rezultatul autoevaluării este un punct de pornire documentat, nu o decizie juridică și nu o confirmare automată de încadrare.

Ce verifici înainte de a începe

• Serviciile furnizate în realitate, nu doar denumirea generală a companiei sau a produsului.
• Corespondența dintre activități, sectoare/subsectoare și tipurile de entități din anexele OUG nr. 155/2024.
• Datele privind dimensiunea: numărul mediu anual de salariați, cifra de afaceri anuală netă și activele totale, inclusiv regulile aplicabile relațiilor de întreprindere.
• Situațiile specifice relevante, de exemplu impactul unei întreruperi, caracterul critic sau importanța națională/regională.
• Informații despre contactele permanente, persoana responsabilă cu securitatea cibernetică, rețelele și sistemele expuse public și prezența în alte state membre, dacă sunt aplicabile.

Cerințele DNSC pentru procesul de notificare arată că formularul este structurat în secțiuni pentru date generale, date specifice, situații specifice, documente anexate, evaluare preliminară și reprezentare. Această structură este un bun model pentru dosarul intern: fiecare răspuns important trebuie să poată fi susținut de o sursă, un export, un document financiar, o decizie sau o descriere verificabilă a serviciului.

Cum se folosesc Instrumentul și Platforma NIS2@RO

Cerințele din 11 august 2025 prevăd două mecanisme DNSC: Instrumentul NIS2@RO pentru evaluare și generarea datelor de notificare și Platforma NIS2@RO pentru înrolare, informare și cooperare. Platforma este accesibilă pe platformanis2.ro pe baza unui cont al entității. Dacă platforma este indisponibilă, instrumentul poate genera formularul de notificare; cerințele prevăd și modalități de transmitere de rezervă.

Nu transforma acest flux într-un exercițiu de bifare. Înainte de semnare și transmitere, asigură un review comun între persoana care cunoaște serviciile, financiar, juridic/compliance, IT/securitate și reprezentantul legal. Păstrează versiunea evaluării, anexele, aprobările și corespondența. Dacă apar schimbări relevante ulterior, urmărește obligația de actualizare a datelor declarate.

Greșeli care creează risc inutil

• Presupunerea că o firmă este automat inclusă sau exclusă fără a analiza serviciul concret și criteriile legale.
• Folosirea datelor financiare, de personal sau de infrastructură fără o dată de referință și fără documente suport.
• Completarea formularului de către o singură echipă, fără validare de business, financiară și juridică.
• Tratarea propunerii de calificare din autoevaluare ca decizie finală, deși DNSC poate cere clarificări sau poate concluziona altfel.
• Lipsa unui proprietar pentru actualizarea datelor de contact, a serviciilor sau a situației organizației.

Primul rezultat util

Un rezultat bun nu este doar un formular transmis. Este un dosar intern coerent: inventarul serviciilor, analiza sectorului și a dimensiunii, documentele suport, lista contactelor, decizia de reprezentare, versionarea răspunsurilor și o listă clară de întrebări rămase. Acest dosar accelerează răspunsul la solicitările DNSC și devine baza pentru guvernanță, măsuri de risc și planul de remediere.