O companie mica nu ar trebui sa presupuna automat ca NIS2 nu conteaza, dar nici nu ar trebui sa traga singura concluzia ca este vizata. In Romania, OUG 155/2024 foloseste criteriul de marime din Art. 8, sectoarele din anexe si situatiile speciale din Art. 9.
Intrebarea prudenta nu este doar "cati angajati avem?", ci si: ce serviciu furnizam, in ce sector, cat de important este pentru clienti si ce trebuie verificat cu un specialist? DNSC ramane autoritatea pentru rezultatele oficiale ale procesului.
Pe scurt
- Marimea mica este un semnal important, dar nu este o concluzie oficiala despre NIS2.
- OUG 155/2024 foloseste criteriul de marime din Art. 8, dar acesta se citeste impreuna cu sectorul si activitatea reala.
- Art. 9 poate conta in situatii speciale, inclusiv rol unic, impact public, risc sistemic sau importanta regionala.
- Pregatirea interna inseamna date, documente si intrebari, nu verdict.
- DNSC ramane autoritatea pentru rezultatele oficiale ale procesului.
De ce "suntem mici" nu este o concluzie suficienta
O companie mica poate incepe cu o auto-verificare simpla: activitate, CAEN, sector, marime si posibile semnale speciale. Aceasta orientare ajuta managementul sa vada daca subiectul merita documentat mai atent.
Ce inseamna in practica: daca datele sunt clare si nu apar semnale speciale, discutia poate ramane la nivel de pregatire. Daca apar clienti reglementati, dependente operationale, rol greu de inlocuit sau neclaritati intre echipe, este mai prudent sa ceri review specializat.
Ce rol are criteriul de marime
Art. 8 din OUG 155/2024 trimite la logica de marime folosita pentru intreprinderi: numar mediu de salariati, cifra de afaceri si active. Acest criteriu conteaza, dar nu trebuie izolat de sector si de tipul de serviciu.
Pentru detaliile pragurilor si documentelor, citeste pagina dedicata despre criteriul de marime in NIS2. Aici ideea principala este mai simpla: marimea este un criteriu de orientare, nu un raspuns complet.
| Presupunere | De ce poate fi gresita | Ce trebuie verificat | Unde citesti mai departe |
|---|---|---|---|
| Suntem mici, deci sigur nu se aplica | Marimea conteaza, dar Art. 9 descrie situatii speciale in care discutia nu se inchide doar cu pragul. | Activitatea reala, sectorul, dependentele clientilor, rolul unic sau impactul regional. | Furnizor unic si impact regional |
| Avem un CAEN relevant, deci sigur suntem in scope | CAEN-ul este un punct de plecare pentru mapare, nu o decizie. | Sectorul din anexe, tipul de entitate, marimea, serviciile efectiv furnizate. | Cod CAEN si NIS2 |
| Nu avem departament IT mare, deci nu conteaza | NIS2 se uita la serviciu, sector, risc si dependente, nu doar la dimensiunea echipei IT. | Sistemele si serviciile folosite pentru clienti, IP-uri publice relevante si dependente operationale. | Informatii pentru notificarea DNSC |
| Lucram doar local, deci nu poate exista impact relevant | Un serviciu local poate fi important pentru o zona, o comunitate sau clienti reglementati. | Clientii afectati, alternativa reala, timpul de inlocuire, continuitatea serviciului. | Impact regional NIS2 |
| Clientul mare este responsabil, nu noi | Responsabilitatea clientului nu elimina automat rolul furnizorului in lantul de servicii. | Contractele, SLA-urile, rolul serviciului si ce depinde efectiv de compania mica. | Lantul de aprovizionare NIS2 |
| Daca nu suntem siguri, putem ignora subiectul | Incertitudinea este un motiv de documentare si review, nu de amanare fara analiza. | Ce ramane neclar, ce documente lipsesc si cand trebuie ceruta analiza specializata. | Cand ceri analiza specializata |
Ce ar trebui sa verifice o companie mica
O verificare utila nu incepe cu o concluzie, ci cu o lista scurta de date. Foloseste lista de mai jos ca pregatire interna, nu ca substitut pentru analiza oficiala.
Lista de verificare pentru companii mici
- Activitatea reala, nu doar CAEN-ulNoteaza ce servicii livrezi efectiv si cum difera de codurile declarate.
- Sectorul si subsectorul din anexeVerifica daca activitatea se poate mapa pe Anexa 1 sau Anexa 2 din OUG 155/2024.
- Indicatorii de marimePregateste salariati, cifra de afaceri si active, conform logicii Art. 8.
- Structura companiei sau a grupuluiClarifica daca firma este independenta, parte din grup sau are relatii operationale relevante.
- Clienti din sectoare esentiale sau importanteGrupeaza clientii pe domenii, fara sa transformi lista in concluzie oficiala.
- Dependenta fata de serviciul tauDescrie ce procese ale clientilor se opresc daca serviciul nu functioneaza.
- Semnale de furnizor unic sau impact regionalVerifica daca exista putine alternative, rol local important sau timp mare de inlocuire.
- Sisteme, servicii sau IP-uri publice relevanteInclude doar elementele care sustin serviciile furnizate si pot conta in pregatirea notificarii.
- Contracte si SLA-uriCauta clauze despre disponibilitate, interventie, continuitate si dependenta operationala.
- Note despre incertitudineScrie explicit ce nu este clar si ce trebuie intrebat la specialist sau prin canale oficiale.
Scenarii practice
Scenariile de mai jos sunt exemple de lucru. Ele nu spun ca firma este sau nu este in domeniul de aplicare, ci arata unde presupunerile rapide pot fi riscante.
IT pentru autoritati publice
Firma este mica, dar sustine sisteme folosite de clienti publici. Trebuie vazut rolul serviciului, nu doar numarul de angajati.
Furnizor local cu putine alternative
Daca inlocuirea ar dura mult sau ar afecta o zona, citeste si semnalele despre furnizor unic si impact regional.
SaaS folosit de clienti reglementati
Un produs digital mic poate sustine procese importante pentru clienti din sectoare vizate. Dependenta trebuie documentata.
Firma mica intr-un grup
Structura de grup poate schimba citirea marimii, rolului local sau serviciilor furnizate in Romania.
CAEN secundar relevant
Un CAEN secundar sau o activitate reala diferita de cea principala poate cere mapare mai atenta pe anexe.
Aproape de pragurile de marime
Cand cifrele sunt aproape de praguri, documentele financiare si relatiile de grup trebuie citite cu atentie.
Cand auto-verificarea este suficienta pentru orientare si cand nu
Auto-verificarea este utila pentru pregatire interna. Ea devine insuficienta cand raspunsul depinde de interpretare, documente neclare sau un rol operational greu de descris simplu.
| Zona | Utila pentru orientare | Necesita review mai atent |
|---|---|---|
| Activitate | Activitatea este simpla, bine descrisa si nu pare sa corespunda anexelor. | Activitatea reala difera de CAEN sau poate intra in mai multe sectoare. |
| Marime | Indicatorii sunt clar sub sau peste pragurile relevante si documentele sunt coerente. | Firma este aproape de praguri sau structura de grup schimba lectura. |
| Sector | Sectorul nu pare relevant si nu exista dependente speciale. | Exista clienti reglementati, servicii critice sau mapare neclara pe anexe. |
| Rol in lantul de servicii | Serviciul este auxiliar si usor de inlocuit, pe baza documentelor disponibile. | Serviciul este greu de inlocuit, local important sau sustine operatiuni esentiale. |
| Aliniere interna | Managementul, financiarul, operatiunile si IT-ul vad aceeasi situatie. | Echipele interne nu sunt de acord sau nu pot sustine concluzia cu documente. |
Ce poate face NIS2 Pilot si ce nu poate face
NIS2 Pilot poate ajuta o companie mica sa organizeze datele de prima orientare. Nu este un instrument oficial, nu este consultanta juridica si nu decide rezultatul procesului.
| Zona | Poate ajuta | Nu poate face |
|---|---|---|
| Prima verificare | Organizeaza datele despre marime, sector, CAEN si activitate reala. | Nu decide oficial daca firma intra sau nu intra in sfera NIS2. |
| Dovezi si documente | Ajuta la strangerea notelor, documentelor si intrebarilor pentru discutii. | Nu valideaza juridic documentele si nu semneaza notificari. |
| Incertitudine | Evidentiaza punctele unde raspunsul trebuie verificat mai atent. | Nu ofera consultanta juridica, audit, certificare sau evaluare autorizata de DNSC. |
| Proces oficial | Pregateste intern informatiile pentru specialisti sau pentru interactiunea oficiala. | Nu inlocuieste DNSC, Platforma NIS2@RO, Instrumentul NIS2@RO, avocatul sau auditorul cybersecurity. |
Ce sa nu presupui
Daca vrei o regula simpla, foloseste-o pe aceasta: nu trage concluzii automate. Verifica mai intai datele si sursele oficiale.
- Marimea mica nu inseamna intotdeauna ca subiectul este irelevant.
- Un CAEN relevant nu inseamna intotdeauna ca firma este in sfera NIS2.
- Lipsa unui departament mare de cybersecurity nu decide sfera de aplicare.
- Un serviciu local poate conta daca exista impact sau dependenta operationala.
- Rezultatul unui instrument sau al unei auto-verificari nu este incadrare oficiala.
Surse oficiale si cum se citesc
Pentru aceasta tema, baza principala este OUG 155/2024. Art. 5 si Art. 6 explica relatia dintre entitatile esentiale si importante, Art. 8 trateaza criteriul de marime, iar Art. 9 descrie situatii speciale. Anexa 1 si Anexa 2 trebuie citite impreuna cu activitatea reala.
Ordinul DNSC nr. 1/2025 este relevant pentru pregatire deoarece Art. 5 cere date despre dimensiunea entitatii si despre situatii specifice. Pentru a separa subiectele, citeste si ghidurile despre CAEN si NIS2, anexele OUG 155/2024 si sfera de aplicare NIS2.
Întrebări frecvente
Daca firma mea este mica, inseamna ca nu intra in NIS2?
Nu este o concluzie automata. Marimea mica conteaza, dar OUG 155/2024 trebuie citita impreuna cu sectorul, activitatea reala si situatiile speciale din Art. 9. Acest articol ofera orientare, nu o incadrare oficiala.
Ce verific prima data: CAEN, sectorul sau marimea?
In practica, verifica intai activitatea reala si CAEN-urile, apoi sectorul si subsectorul din anexe, apoi indicatorii de marime. Daca apar dependente, rol unic, clienti reglementati sau impact regional, verifica si Art. 9.
Ce este Art. 9 si de ce conteaza pentru companii mici?
Art. 9 din OUG 155/2024 descrie situatii speciale, cum ar fi furnizor unic, impact asupra sigurantei, securitatii sau sanatatii publice, risc sistemic ori importanta nationala sau regionala. Pentru o companie mica, Art. 9 este un motiv de analiza prudenta, nu un verdict automat.
NIS2 Pilot imi spune oficial daca firma este in scope?
Nu. NIS2 Pilot poate organiza informatii pentru pregatire interna si poate evidentia incertitudini, dar nu emite incadrare oficiala, nu ofera consultanta juridica si nu inlocuieste DNSC sau specialistii.
Verificati orientativ inainte sa trageti o concluzie
NIS2 Pilot va poate ajuta sa organizati datele de prima orientare si punctele de incertitudine, fara sa inlocuiasca DNSC, Platforma NIS2@RO, Instrumentul NIS2@RO, consultanta juridica sau analiza cybersecurity.
Verificați dacă compania dvs. intră în sfera NIS2 →Toate resursele NIS2 PilotAcest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot
Surse oficiale și context
Resurse utile
Criteriul de mărime în NIS2: ce numere contează pentru OUG 155/2024
Sfera de aplicareCum funcționează criteriul de mărime în NIS2: număr de salariați, cifră de afaceri și active, conform Art. 8 din OUG 155/2024. Ce pregătești și ce verifici.
Deschideți resursa: Criteriul de mărime în NIS2: ce numere contează pentru OUG 155/2024 →Cod CAEN și NIS2: de ce codul CAEN nu decide singur încadrarea
Sfera de aplicareCodul CAEN ajută la maparea pe sectoarele din anexele OUG 155/2024, dar nu decide singur încadrarea NIS2. Ce rol are CAEN și ce mai contează.
Deschideți resursa: Cod CAEN și NIS2: de ce codul CAEN nu decide singur încadrarea →Furnizor unic si impact regional in NIS2: cand marimea nu este singura intrebare
Sfera de aplicareArt. 9 din OUG 155/2024 arata situatii in care marimea nu inchide analiza: furnizor unic, impact public, risc sistemic si rol regional.
Deschideți resursa: Furnizor unic si impact regional in NIS2: cand marimea nu este singura intrebare →Cand ceri analiza specializata pentru incadrarea NIS2
Sfera de aplicareSemnale ca orientarea interna nu este suficienta pentru incadrarea NIS2: sector neclar, Art. 9, marime, documente si decizia DNSC.
Deschideți resursa: Cand ceri analiza specializata pentru incadrarea NIS2 →