Starea NIS2 în România 2026 — raport pe 18 sectoare

01Cadrul în vigoare: OUG nr. 155/2024, Legea nr. 124/2025 și DNSC

Cu alte cuvinte: nu mai există „NIS2 vine”. Cadrul e complet, termenele-cheie au trecut, iar diferența dintre entități nu mai e informarea, ci implementarea — și, mai ales, capacitatea de a o dovedi. Neînregistrarea, lipsa autoevaluării sau neraportarea unui incident sunt încălcări de sine stătătoare, sancționabile independent de orice atac: poți fi victima unui incident și amendat pentru tăcere.

02Cele două anexe și pragurile de mărime

Regula generală de intrare în scop e simplă: activezi într-unul dintre cele 18 sectoare din anexe și ai cel puțin 50 de angajați sau peste 10 milioane de euro cifră de afaceri. Clasificarea urmează sectorul și mărimea: firmele mari din Anexa I (250+ angajați sau peste 50 mil. €) sunt de regulă entități esențiale — supraveghere proactivă, plafon de amendă de 10 mil. € sau 2%; restul entităților în scop sunt de regulă importante — supraveghere reactivă, plafon de 7 mil. € sau 1,4%. Excepțiile contează: furnizorii de DNS, registrele TLD, serviciile de încredere și comunicațiile electronice publice intră indiferent de mărime, la fel entitățile administrației publice desemnate de lege.

03Ce se vede transversal, în toate sectoarele

Analiza celor 18 sectoare scoate la iveală mai puține diferențe decât ne-am fi așteptat — și câteva constante care se repetă indiferent de domeniu. Cea mai importantă e distanța dintre obligație și implementare la entitățile mijlocii: obligațiile sunt uniforme prin lege, dar capacitatea de a le duce variază enorm, iar zona în care distanța e cea mai mare e aceeași peste tot — nu tehnologia, ci formalizarea: politici aprobate de conducere, dovezi, registre, proceduri exersate.

• Lanțul de aprovizionare a devenit motorul de facto al aplicării: obligația entităților de a-și evalua furnizorii critici (art. 13 lit. d)) împinge cerințele prin contracte și chestionare mai repede decât orice control — inclusiv către firme care nu sunt ele însele în scop.
• Convergența IT/OT e firul roșu al sectoarelor industriale (energie, apă, deșeuri, chimie, alimente, producție): aceleași două lacune revin la evaluări — accesul de la distanță al furnizorilor fără MFA și separarea rețelelor declarată, dar nereală.
• Dublul regim juridic e regula, nu excepția: NIS2 + GDPR (sănătate, platforme, administrație), NIS2 + legislația de mediu (ape uzate, deșeuri, chimie), NIS2 + DORA (bancar, piețe financiare). Procedura de incident scrisă pentru un singur ceas e lacuna procedurală cea mai des întâlnită.
• Securitatea reală și conformitatea demonstrabilă nu coincid: sectoarele tehnice (MSP-uri, furnizori digitali) au adesea măsuri solide nedocumentate; sectoarele îndelung reglementate au documente fără adâncime tehnică. Legea — și piața — le cer pe amândouă.

Studiul de caz al anului vine din administrația publică: atacul asupra ANCPI, care a blocat tranzacțiile imobiliare la nivel național. Conform declarațiilor publice ale directorului DNSC, „nu a fost un atac foarte complex” — au fost exploatate vulnerabilități cunoscute, notificate chiar recent de autoritate și rămase nereparate, plus credențiale pierdute și postate pe internet; „putea fi prevenit”. Nicio lecție teoretică nu putea ilustra mai limpede miza reală a măsurilor art. 13: intervalul dintre „știm” și „am reparat”, plus o parolă scursă fără al doilea factor.

04Anexa I: sectoarele de criticitate înaltă — 11 mini-rapoarte

Fiecare mini-raport răspunde, pentru sectorul lui, la aceleași trei întrebări: unde e sectorul cu aplicarea legii, cum arată tabloul de amenințări și care sunt cele 3 măsuri art. 13 cu impactul cel mai mare acum.

05Anexa II: alte sectoare critice — 7 mini-rapoarte

Sectoarele Anexei II poartă aceleași obligații de fond, cu supraveghere de regulă reactivă și plafonul de amendă de 7 mil. € sau 1,4% — detaliile fiecăruia, în raportul dedicat.

06Ce urmează

Trei mecanisme vor da ritmul perioadei următoare. Primul e calendarul legal: autoevaluarea anuală de maturitate (art. 12 (4)) transformă conformitatea dintr-un proiect cu final într-un ciclu care revine — cu plan de remediere în 30 de zile pentru entitățile esențiale (art. 12 (5)). Al doilea e supravegherea: proactivă la esențiale, reactivă la importante, cu sancțiunile art. 60 aplicabile per obligație — iar incidentele publice arată că scrutinul nu mai e teoretic. Al treilea, și cel mai rapid, e piața: chestionarele de securitate pe lanțul de aprovizionare se înmulțesc de la un contract la altul. O limită onestă, la final: nu există încă date publice defalcate pe sectoare despre înregistrări sau incidente — când vor apărea, actualizăm acest raport cu cifre în locul calificativelor.

07Metodologie și limite

Dacă vrei să treci de la starea sectorului la starea propriei organizații: calculatorul gratuit Cremene îți dă verdictul de încadrare în 5 minute, iar biblioteca de ghiduri îți arată, pas cu pas, cum se închide fiecare obligație. Instrument de suport, nu garanție de conformitate — dar drumul devine clar.