Dacă ai o firmă mică, probabil ai auzit deja de NIS2 — de obicei împreună cu cifra „amenzi de 10 milioane de euro". Vestea bună: cel mai probabil firma ta nu intră direct sub directivă. Vestea mai puțin bună: asta nu înseamnă că scapi de ea. Clienții tăi mai mari, băncile, spitalele și instituțiile cu care lucrezi încep să-și verifice furnizorii — iar întrebarea „ce măsuri de securitate și backup aveți?" apare tot mai des în contracte. Hai să punem lucrurile în ordine, fără jargon.
Ce este NIS2, pe scurt
NIS2 este directiva europeană privind securitatea rețelelor și a informațiilor (Directiva UE 2022/2555), transpusă în România prin OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025. Autoritatea care o aplică este DNSC — Directoratul Național de Securitate Cibernetică, care a emis și normele de aplicare (Ordinele nr. 1/2025 și 2/2025).
Pe românește: statul obligă companiile din sectoarele critice — energie, sănătate, transport, bănci, apă, infrastructură digitală, servicii poștale, producție alimentară și altele — să ia măsuri serioase de securitate cibernetică, să se înregistreze la DNSC și să raporteze incidentele în termene stricte.
Firma mea e vizată direct?
Regula de bază: directiva vizează entitățile mijlocii și mari (în general de la 50 de angajați sau peste 10 milioane de euro cifră de afaceri) care activează în sectoarele din anexele legii. O firmă de 5–15 angajați, un cabinet medical individual sau un birou de contabilitate nu se încadrează, de regulă, direct — cu câteva excepții punctuale (de exemplu, anumiți furnizori de servicii digitale sunt vizați indiferent de mărime).
Dacă ai dubii, verificarea corectă se face după criteriile din OUG 155/2024, nu după articole de pe internet — iar încadrarea ți-o poate confirma un consultant sau chiar DNSC.
De ce te afectează chiar dacă nu ești vizat direct
Articolul 21 din directivă cere entităților vizate să-și securizeze inclusiv lanțul de aprovizionare — adică furnizorii. În practică, asta înseamnă că o clinică, o bancă sau un producător aflat sub NIS2 va începe să ceară partenerilor mici dovezi concrete: politici de securitate, backup testat, plan de continuitate. Chestionarele de furnizor au început deja să circule, iar una dintre primele întrebări tehnice este invariabil: „descrieți procedura de backup și ultima dată când ați testat o restaurare".
Cu alte cuvinte: NIS2 nu vine la tine cu amenda, vine la tine prin clienți. Iar firmele mici care pot răspunde cu „da, avem backup 3-2-1, testat, cu raport" vor câștiga contracte în fața celor care nu pot.
Termenele care contează în 2026
Pentru entitățile care intră sub incidența legii, calendarul arată așa: înregistrarea la DNSC (platforma NIS2@RO) se face în 30 de zile calendaristice de la momentul încadrării, cu o confirmare anuală până la 31 martie. La incidente, termenele sunt dure: avertizare timpurie în 24 de ore, notificare detaliată în 72 de ore și raport final în 30 de zile. Iar amenzile ajung până la 10 milioane de euro sau 2% din cifra de afaceri mondială pentru entitățile esențiale, respectiv 7 milioane de euro sau 1,4% pentru cele importante — cu răspundere care poate atinge personal conducerea.
Unde intră backup-ul în toată povestea
Printre măsurile minime cerute explicit de articolul 21 al directivei se numără continuitatea activității: gestionarea copiilor de rezervă (backup) și recuperarea în caz de dezastru. Nu e o recomandare — e pe lista obligatorie, la același nivel cu criptarea și autentificarea multi-factor.
Asta confirmă ce spunem clienților noștri de la început: backup-ul nu e o asigurare opțională, e infrastructură de bază. Un sistem 3-2-1 — o copie locală pe NAS cu snapshot-uri imuabile, o copie criptată în cloud, teste de restaurare documentate — acoperă exact cerința de continuitate din NIS2 și, în același timp, obligațiile de integritate și disponibilitate din GDPR.
Ce ar trebui să faci acum, practic
Dacă ești firmă mică și nu intri direct sub lege: nu te înregistrezi nicăieri și nu plătești nimic — dar pregătește-te pentru întrebările clienților mari. Concret: pune-ți backup-ul pe hârtie (ce se copiază, unde, cât de des), testează o restaurare măcar o dată pe an și păstrează dovada, și activează autentificarea în doi pași pe conturile critice. Dacă lucrezi cu spitale, bănci, primării sau companii mari, fă asta înainte să ți-o ceară ele.
Dacă bănuiești că firma ta ar putea fi vizată direct — verifică acum, nu după primul control. Termenul de 30 de zile de la încadrare curge indiferent dacă știai sau nu de el.
Întrebări frecvente
Firmele sub 50 de angajați sunt exceptate complet de NIS2?
De regulă da, cu excepții punctuale în câteva sectoare (anumite servicii digitale și de infrastructură). Dar cerințele ajung la firmele mici indirect, prin contractele cu clienții vizați de lege.
Ce riscă o firmă vizată care nu se înregistrează la DNSC?
Sancțiuni contravenționale conform OUG 155/2024, care pot ajunge la milioane de euro pentru entitățile esențiale și importante, plus răspundere pentru conducere.
Backup-ul în cloud e suficient pentru cerința de continuitate din NIS2?
Singur, nu. Cerința vizează un sistem complet: copii de rezervă gestionate, plan de recuperare în caz de dezastru și dovada că restaurarea funcționează. O sincronizare în Google Drive sau OneDrive nu e backup.
Citește și
Nu știi dacă backup-ul tău ar trece de un chestionar de furnizor?
Evaluarea gratuită de 30 de minute îți spune exact unde stai: ce ai acoperit, ce lipsește și ce ți-ar cere un client aflat sub NIS2. Fără obligații.