NIS2 în România: cum abordezi încadrarea și notificarea prin Platforma NIS2@RO

Pentru multe organizații, prima întrebare despre NIS2 este „suntem obligați?”. Răspunsul nu se obține doar din codul CAEN, numărul de angajați sau un chestionar online. În România, OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025, stabilește cadrul, iar DNSC pune la dispoziție Instrumentul NIS2@RO și Platforma NIS2@RO pentru a facilita identificarea, notificarea și evidența entităților. Rezultatul autoevaluării este un punct de pornire documentat, nu o decizie juridică și nu o confirmare automată de încadrare.

Ce verifici înainte de a începe

• Serviciile furnizate în realitate, nu doar denumirea generală a companiei sau a produsului.
• Corespondența dintre activități, sectoare/subsectoare și tipurile de entități din anexele OUG nr. 155/2024.
• Datele privind dimensiunea: numărul mediu anual de salariați, cifra de afaceri anuală netă și activele totale, inclusiv regulile aplicabile relațiilor de întreprindere.
• Situațiile specifice relevante, de exemplu impactul unei întreruperi, caracterul critic sau importanța națională/regională.
• Informații despre contactele permanente, persoana responsabilă cu securitatea cibernetică, rețelele și sistemele expuse public și prezența în alte state membre, dacă sunt aplicabile.

Cerințele DNSC pentru procesul de notificare arată că formularul este structurat în secțiuni pentru date generale, date specifice, situații specifice, documente anexate, evaluare preliminară și reprezentare. Această structură este un bun model pentru dosarul intern: fiecare răspuns important trebuie să poată fi susținut de o sursă, un export, un document financiar, o decizie sau o descriere verificabilă a serviciului.

Cum se folosesc Instrumentul și Platforma NIS2@RO

Cerințele din 11 august 2025 prevăd două mecanisme DNSC: Instrumentul NIS2@RO pentru evaluare și generarea datelor de notificare și Platforma NIS2@RO pentru înrolare, informare și cooperare. Platforma este accesibilă pe platformanis2.ro pe baza unui cont al entității. Dacă platforma este indisponibilă, instrumentul poate genera formularul de notificare; cerințele prevăd și modalități de transmitere de rezervă.

Nu transforma acest flux într-un exercițiu de bifare. Înainte de semnare și transmitere, asigură un review comun între persoana care cunoaște serviciile, financiar, juridic/compliance, IT/securitate și reprezentantul legal. Păstrează versiunea evaluării, anexele, aprobările și corespondența. Dacă apar schimbări relevante ulterior, urmărește obligația de actualizare a datelor declarate.

Greșeli care creează risc inutil

• Presupunerea că o firmă este automat inclusă sau exclusă fără a analiza serviciul concret și criteriile legale.
• Folosirea datelor financiare, de personal sau de infrastructură fără o dată de referință și fără documente suport.
• Completarea formularului de către o singură echipă, fără validare de business, financiară și juridică.
• Tratarea propunerii de calificare din autoevaluare ca decizie finală, deși DNSC poate cere clarificări sau poate concluziona altfel.
• Lipsa unui proprietar pentru actualizarea datelor de contact, a serviciilor sau a situației organizației.

Primul rezultat util

Un rezultat bun nu este doar un formular transmis. Este un dosar intern coerent: inventarul serviciilor, analiza sectorului și a dimensiunii, documentele suport, lista contactelor, decizia de reprezentare, versionarea răspunsurilor și o listă clară de întrebări rămase. Acest dosar accelerează răspunsul la solicitările DNSC și devine baza pentru guvernanță, măsuri de risc și planul de remediere.