Entitate esențială sau importantă? Cum se face încadrarea NIS2

Actualizat: 02.10.2026 · ~7 min de citit

OUG 155/2024, aprobată și modificată prin Legea 124/2025, împarte organizațiile vizate de NIS2 în două categorii: entități esențiale și entități importante. Obligațiile de bază sunt aceleași pentru ambele, dar diferă plafonul amenzilor, condițiile pentru Responsabilul NIS, planul de remediere și modul de supraveghere. Încadrarea finală o stabilește DNSC prin decizia de identificare și înregistrare, însă o poți estima singur cu doi pași: sectorul și dimensiunea.

Pasul 1: În ce sector activezi?

Legea folosește două anexe:

• Anexa I, sectoare de înaltă criticitate: energie, transport, bancar, infrastructuri ale piețelor financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC (B2B), administrație publică, spațiu.
• Anexa II, alte sectoare critice: servicii poștale și de curierat, gestionarea deșeurilor, substanțe chimice, producția, prelucrarea și distribuția de alimente, fabricare (dispozitive medicale, electronice, echipamente electrice, mașini, autovehicule, alte mijloace de transport), furnizori de servicii digitale, cercetare.

Lista completă, cu subsectoare, e pe pagina Cine are nevoie de NIS2. Atenție la terminologie: legea clasifică drept esențiale sau importante entitățile; sectoarele sunt doar „de înaltă criticitate” sau „alte sectoare critice”.

Pasul 2: Ce dimensiune are organizația?

Dimensiunea se stabilește după Legea 346/2004, art. 4:

• Întreprindere mijlocie: cel puțin 50 de angajați, SAU cifră de afaceri și bilanț total peste 10 milioane EUR fiecare.
• Întreprindere mare: 250 de angajați sau mai mulți, SAU cifră de afaceri peste 50 milioane EUR și bilanț total peste 43 milioane EUR.
• Micro și mici: în general exceptate, cu excepțiile de mai jos.

Dacă firma face parte dintr-un grup, verifică regulile Legii 346/2004 pentru întreprinderi partenere și legate: datele lor se pot cumula, iar o firmă mică pe hârtie poate ieși mijlocie sau mare.

Rezultatul: matricea de încadrare

Situație	Categorie
Întreprindere mare din Anexa I	Esențială
Întreprindere mijlocie din Anexa I	Importantă
Întreprindere mijlocie sau mare din Anexa II	Importantă
Micro sau mică, fără excepție aplicabilă	În general, în afara NIS2

Excepții: vizate indiferent de mărime

• Ca entități esențiale: furnizorii de servicii DNS, registrele de nume TLD, prestatorii de servicii de încredere calificați, administrația publică centrală și entitățile critice (Legea 294/2024).
• Ca entități importante: furnizorii de rețele sau servicii publice de comunicații electronice și prestatorii de servicii de încredere necalificați.
• Desemnare individuală: DNSC poate include orice entitate (art. 9), de exemplu pe unicul furnizor al unui serviciu esențial într-o zonă.

Cloud, centrele de date, CDN-urile, MSP/MSSP și furnizorii de servicii digitale nu sunt vizați indiferent de mărime: pentru ei se aplică pragurile obișnuite.

Ce diferă concret între cele două categorii

Aspect	Esențiale	Importante
Amenzi categoria I (încălcări grave)	10.000 lei – 10 mil. EUR sau 2% din cifra de afaceri mondială	5.000 lei – 7 mil. EUR sau 1,4% din cifra de afaceri mondială
Amenzi categoria II	1.500 – 500.000 lei	1.000 – 300.000 lei
Responsabil NIS: condiții cumulative (art. 14 alin. 4)	Da: independent de structurile IT/OT, cu acces la resurse, formare de specialitate în 12 luni de la desemnare	Nu se aplică aceste condiții cumulative
Plan de remediere trimis la DNSC	Da, în 30 de zile de la autoevaluare	Nu ca obligație separată
Supraveghere (Directiva NIS2, art. 32–33)	Proactivă: inspecții și audituri pot fi dispuse oricând	Reactivă: în principal când există indicii de neconformitate

Condițiile cumulative pentru Responsabilul NIS din entitățile esențiale nu se aplică administrației publice și microîntreprinderilor. Pentru amenzi se aplică valoarea cea mai mare dintre suma fixă și procent.

Ce au în comun

• notificarea și înregistrarea la DNSC;
• desemnarea unui Responsabil NIS (în lege, „responsabil cu securitatea rețelelor și sistemelor informatice”), în 30 de zile de la comunicarea deciziei DNSC;
• evaluarea nivelului de risc după metodologia din Ordinul DNSC 2/2025 și autoevaluarea anuală a maturității, asumată de conducere;
• măsurile tehnice și organizatorice de gestionare a riscului (politici, incidente, continuitate, lanț de aprovizionare, acces, criptare, instruire);
• raportarea incidentelor semnificative: avertizare în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună;
• răspunderea conducerii și obligația ei de formare.

Nu ești vizat? Clienții tăi s-ar putea să fie

Entitățile esențiale și importante trebuie să gestioneze riscul furnizorilor (art. 21, securitatea lanțului de aprovizionare). Dacă vinzi servicii IT, software, mentenanță sau echipamente unei entități NIS2, te poți aștepta la chestionare de securitate, clauze contractuale noi și cerințe de dovezi. Așa ajung cerințele NIS2 și la firme pe care legea nu le vizează direct.

Greșeli frecvente la încadrare

• Codul CAEN ca singur criteriu. Contează activitatea efectiv desfășurată, inclusiv activitățile secundare din certificatul constatator.
• Ignorarea grupului. Angajații și cifrele firmelor legate pot schimba dimensiunea.
• Presupunerea că cloud sau MSP înseamnă automat NIS2. Pentru acestea se aplică pragurile normale.
• Așteptarea unei notificări de la DNSC. Obligația de notificare și înregistrare aparține entității.

Vrei un răspuns pentru organizația ta? Simulatorul NIS2 parcurge sectorul, dimensiunea și excepțiile în câteva minute. Pentru o confirmare pe datele reale ale firmei, cere o evaluare gratuită. Pașii următori sunt în ghidul de conformitate NIS2 și în calendarul termenelor.