Starea NIS2 în administrația publică: unde e sectorul în 2026

01Cine intră sub NIS2

Anexa nr. 1 pct. 10 din OUG nr. 155/2024 acoperă entitățile administrației publice CENTRALE, cu excluderile enumerate acolo (apărare, ordine publică și securitate națională, ORNISS, învățământ superior, justiție inclusiv Ministerul Public, Parlamentul, SGG, Cancelaria Prim-Ministrului, Administrația Prezidențială, ASF, BNR, ANCOM). Administrația LOCALĂ nu e inclusă ca sector — o primărie sau un consiliu județean poate intra însă prin alt sector (apă potabilă, ape uzate, sănătate, transport) sau prin identificare individuală conform art. 9. Nuanță importantă: entitățile administrației publice centrale intră în scop indiferent de mărime (art. 5 alin. (1) lit. a)), deci pragul de 50 de angajați nu e o scăpare automată pentru instituțiile mai mici. Detaliile sunt în ghidul complet al sectorului.

02Starea aplicării în 2026

Starea sectorului nu mai are nevoie de descrieri abstracte — a descris-o incidentul ANCPI din iulie 2026. Conform declarațiilor publice ale directorului DNSC, atacatorii au exploatat vulnerabilități cunoscute, notificate chiar recent de autoritate și rămase nereparate, plus credențiale pierdute și postate pe internet; serviciile au căzut, iar tranzacțiile imobiliare s-au blocat la nivel național. Nu un atac sofisticat, ci exact mecanismele banale de eșec — intervalul dintre „știm” și „am reparat”, parola scursă fără al doilea factor — pe care măsurile art. 13 le vizează direct.

Dincolo de cazul care a făcut titlurile, sectorul rămâne prins între obligații maximale și resurse minimale: instituțiile desemnate intră în scop indiferent de mărime, gestionează date personale la scară mare și servicii de care cetățenii depind zilnic, dar concurează pentru buget cu orice altă prioritate publică. Măsurile art. 13 se aplică proporțional cu riscul — iar aici prioritizarea contează mai mult ca oriunde: exact măsurile ieftine și disciplinate (patch-uri la termen, MFA, backup testat) sunt cele care ar fi schimbat povestea anului.

Cadrul comun e același pentru toate sectoarele: OUG nr. 155/2024 e în vigoare, aprobată cu modificări prin Legea nr. 124/2025, cu DNSC ca autoritate de supraveghere. Termenul inițial de înregistrare în NIS2@RO (art. 18) a expirat în 2025 — cine e în scop și nu s-a înregistrat e în întârziere, iar neînregistrarea se sancționează separat. Obligațiile curg indiferent de stadiul fiecăruia: măsurile art. 13, guvernanța și răspunderea conducerii (art. 14), raportarea incidentelor pe termenele art. 15 și autoevaluarea anuală de maturitate (art. 12 (4)).

03Tabloul de amenințări

Tabloul de mai jos e calitativ — scenariile care definesc riscul sectorului acum, așa cum apar în evaluări și în practica de securitate, nu o statistică de incidente:

• Ransomware-ul și exfiltrarea pe registrele și bazele de date ale instituțiilor rămân scenariul cu impact maxim: serviciile pentru cetățeni se opresc, iar datele pot fi și furate, nu doar criptate.
• Vulnerabilitățile cunoscute și nereparate pe sisteme expuse public — mecanismul confirmat la ANCPI — sunt calea de intrare cea mai previzibilă și cea mai evitabilă.
• Credențialele scurse și refolosite, fără MFA, transformă o parolă postată pe internet într-un acces direct la sistemele instituției.
• Phishing-ul pe funcționari, cu email-uri „oficiale” credibile, rămâne poarta de intrare cea mai frecventă în rețelele administrației.

04Cele 3 măsuri cu cel mai mare impact

Toate cele zece măsuri din art. 13 lit. a)–j) sunt obligatorii — dar nu mută riscul în mod egal. Dacă sectorul ar închide doar trei lacune în lunile următoare, analiza noastră le indică pe acestea:

• Managementul vulnerabilităților (art. 13 lit. e) · Directiva art. 21(2)(e)) — lecția centrală a anului: fiecare vulnerabilitate semnalată primește severitate, termen de remediere și responsabil, iar excepțiile se documentează — nu se uită.
• MFA pe sistemele importante (art. 13 lit. j) · Art. 21(2)(j)) — credențialele pierdute ajung pe internet; cu MFA, o parolă scursă e un semnal de alarmă, fără MFA e o ușă deschisă.
• Backup testat și plan de criză (art. 13 lit. h) · Art. 21(2)(c)) — întrebarea „cine rămâne blocat când cădem o săptămână?” definește prioritățile reale de continuitate; restaurarea dovedită prin test e singurul backup care contează.

05Ce urmează

După un incident cu asemenea vizibilitate, scrutinul public asupra sectorului va rămâne ridicat: fiecare instituție trebuie să presupună că deciziile ei de securitate de azi vor fi citite public mâine. Formal, obligațiile curg neschimbate — măsurile art. 13, guvernanța și răspunderea conducerii (art. 14), raportarea pe termenele art. 15, autoevaluarea anuală art. 12 (4) — iar partea reputațională se joacă pe ce poate DOVEDI instituția: că semnalările se tratau, că măsurile existau, că conducerea aproba și supraveghea. Analiza noastră completă a lecțiilor ANCPI e legată mai jos.

06Metodologie și limite

Vrei imaginea completă? Raportul-pilon „Starea NIS2 în România 2026” leagă toate cele 18 mini-rapoarte sectoriale. Iar pentru propria organizație, încadrarea pornește de la sector, mărime și servicii — esențială, importantă sau în afara legii, plus pașii următori. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.