Criteriul de mărime în NIS2: ce numere contează pentru OUG 155/2024

În NIS2, mărimea companiei este un criteriu important pentru încadrare, dar nu este singurul. OUG 155/2024 (Art. 8) folosește pragurile de mărime definite prin trimitere la Legea 346/2004: numărul mediu de salariați, cifra de afaceri anuală netă și totalul activelor. Mărimea se citește însă întotdeauna împreună cu sectorul și cu situațiile speciale, nu izolat.

OUG 155/2024 (Ordonanța de urgență a Guvernului nr. 155/2024) este actul care transpune în România regulile europene NIS2 privind securitatea cibernetică. Acest articol explică doar cum funcționează criteriul de mărime; el nu stabilește dacă o anumită companie intră sau nu în sfera de aplicare.

Ce înseamnă „criteriul de mărime“ în NIS2

Criteriul de mărime este modul în care legea împarte organizațiile în categorii — de la microîntreprindere până la întreprindere mare — pe baza unor cifre. Ideea de fond este simplă: cu cât o organizație este mai mare, cu atât o eventuală perturbare a serviciilor sale poate avea un impact mai larg, iar cerințele de securitate devin mai relevante.

În NIS2, mărimea nu funcționează singură. Ea răspunde la întrebarea „cât de mare este organizația?“, în timp ce sectorul răspunde la „ce face organizația?“. Ambele răspunsuri sunt necesare pentru a vedea dacă și cum ar putea fi vizată o entitate.

Cei trei indicatori: salariați, cifră de afaceri, active

Definiția de mărime se bazează pe trei indicatori, preluați din Legea 346/2004. Iată ce măsoară fiecare:

Cei trei indicatori se citesc împreună, nu separat. În practică, numărul de salariați este pragul principal, iar cifra de afaceri și activele ajută la încadrarea în categoria corectă atunci când valorile sunt aproape de o limită.

Ce spune Art. 8 din OUG 155/2024

Art. 8 nu reinventează definiția mărimii. El trimite la Legea 346/2004 privind stimularea înființării și dezvoltării întreprinderilor mici și mijlocii. Mai exact, Art. 8 prevede că o entitate este întreprindere mare dacă depășește criteriile pentru întreprinderile mijlocii, respectiv întreprindere mijlocie dacă îndeplinește acele criterii.

Asta înseamnă că pragurile concrete (numărul de salariați și valorile financiare) se citesc din Legea 346/2004, nu direct din OUG 155/2024. Tabelul de mai jos prezintă orientativcategoriile uzuale; valorile exacte trebuie verificate în textul oficial al Legii 346/2004.

Coloana „Relevanță pentru NIS2“ este orientativă. Ea arată tendința generală, nu o regulă fixă: chiar și o organizație mică poate deveni relevantă prin situațiile speciale din Art. 9.

Cum se combină mărimea cu sectorul (Art. 5 și Art. 6)

Mărimea capătă sens doar împreună cu sectorul. Două articole leagă cele două criterii. Conform Art. 5 alin. (2), sunt considerate esențiale entitățile din categoria întreprinderilor mari (conform Art. 8) care se încadrează în sectoarele din Anexa 1. Conform Art. 6 alin. (1), sunt considerate importante entitățile mari și mijlocii care se încadrează în Anexele 1 și 2 și care nu sunt deja esențiale.

Cu alte cuvinte, mărimea îți spune în ce categorie de dimensiune ești, iar sectorul îți spune dacă activitatea este vizată. Pentru a vedea cum sunt organizate sectoarele, vezi articolul despre cum se citesc anexele OUG 155/2024, iar pentru diferența dintre cele două categorii, articolul despre entități esențiale vs importante.

Când mărimea nu este singurul factor (Art. 9)

Există situații în care o entitate poate fi considerată esențială sau importantă indiferent de mărime. Art. 9 din OUG 155/2024 descrie astfel de cazuri, printre care:

• entitatea este singurul furnizor al unui serviciu esential pentru activități societale sau economice critice;
• o perturbare a serviciului ar putea avea un impact semnificativ asupra siguranței, securității sau sănătății publice;
• o perturbare ar putea genera un risc sistemic semnificativ, inclusiv transfrontalier;
• entitatea este critică prin importanța sa specifică la nivel național sau regional.

Practic, o organizație mică poate ajunge în atenția NIS2 nu prin mărime, ci prin rolul pe care îl are. De aceea, mărimea sub prag nu trebuie tratată ca o concluzie de tip „nu mă privește“.

Ce înseamnă în practică

În practică, criteriul de mărime te ajută să răspunzi la o întrebare de orientare: „organizația mea are dimensiunea care, împreună cu sectorul, ar putea-o aduce în atenția NIS2?“. Dacă ești întreprindere mijlocie sau mare și activezi într-un sector din anexe, pregătirea internă este clar utilă.

Asta înseamnă că mărimea este un punct de plecare, nu o decizie. Pasul firesc este să aduni cifrele de mai sus și să le citești împreună cu sectorul, înainte de discuția cu un specialist sau de procesul oficial. Pentru context general despre sfera de aplicare, vezi și sfera de aplicare NIS2 în România. Pentru ce nu trebuie presupus doar pe baza mărimii — în special de către organizațiile mici — vezi și companii mici și NIS2: ce nu trebuie presupus.

Cum poate ajuta NIS2 Pilot

NIS2 Pilot este un instrument de planificare internă, nu un instrument de clasificare juridică și nu înlocuiește DNSC. Te ajută să organizezi informațiile relevante — cifrele de mărime, sectorul de activitate și documentele existente — astfel încât să intri pregătit în discuția cu specialiștii sau în procesul de înregistrare. Instrumentul de orientare disponibil la Verificare sferă de aplicare te ajută să identifici punctele de incertitudine înainte de a consulta un specialist.

Întrebări frecvente

Ce indicatori de mărime contează pentru NIS2?

Conform Art. 8 din OUG 155/2024, mărimea se stabilește prin trimitere la definițiile din Legea 346/2004 și folosește trei indicatori: numărul mediu de salariați, cifra de afaceri anuală netă și totalul activelor (bilanțul anual). Acești indicatori determină dacă o organizație este microîntreprindere, întreprindere mică, mijlocie sau mare. Pragurile exacte se citesc din textul Legii 346/2004.

O companie mică poate fi vizată de NIS2?

Poate. De regulă, microîntreprinderile și întreprinderile mici nu intră în sferă doar pe criteriul de mărime. Însă Art. 9 din OUG 155/2024 prevede situații în care o entitate poate fi considerată esențială sau importantă indiferent de mărime — de exemplu, dacă este singurul furnizor al unui serviciu esențial. De aceea, mărimea mică nu înseamnă automat că o organizație este în afara sferei. Încadrarea oficială aparține DNSC.

De ce mărimea nu este de ajuns ca să știu dacă intru în NIS2?

Pentru că mărimea se citește împreună cu sectorul. Conform Art. 5 și Art. 6, o entitate poate fi esențială sau importantă atunci când mărimea (Art. 8) se combină cu apariția într-un sector din Anexa 1 sau Anexa 2. O companie mare dintr-un sector care nu apare în anexe nu este vizată doar pentru că este mare. Mărimea este un criteriu important, dar trebuie verificat alături de sector, tipul de entitate și situațiile speciale.

Ce date despre mărime pregătesc pentru procesul oficial?

Formularul de notificare către DNSC, descris în Ordinul DNSC 1/2025, include date despre mărimea entității (număr de salariați, cifră de afaceri, active) și documente justificative. Pregătirea din timp a acestor cifre, pe baza ultimului exercițiu financiar încheiat, face procesul mai simplu. NIS2 Pilot te ajută să organizezi aceste informații, dar nu transmite notificarea și nu stabilește încadrarea.

Acest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot