O companie ar trebui sa acorde atentie suplimentara analizei NIS2 atunci cand este furnizor unic, greu de inlocuit sau are un posibil impact regional ori asupra unor servicii publice. Aceste situatii nu dovedesc automat ca firma intra in sfera NIS2, dar pot face insuficienta o verificare generica bazata doar pe marime sau pe codul CAEN.
OUG 155/2024 este actul romanesc principal pentru NIS2, iar Art. 9 descrie situatii speciale in care perturbarea unui serviciu, rolul unic al furnizorului sau importanta nationala ori regionala pot conta. DNSC, Directoratul National de Securitate Cibernetica, ramane autoritatea pentru rezultatele oficiale ale procesului.
Pe scurt
- Art. 9 din OUG 155/2024 arata situatii in care marimea nu este singura intrebare pentru sfera NIS2.
- Un furnizor unic nu inseamna neaparat monopol juridic; poate insemna rol greu de inlocuit pentru un serviciu esential.
- Impactul regional trebuie tratat ca semnal de analiza atenta, nu ca eticheta oficiala stabilita de companie prin auto-verificare.
- CAEN-ul, marimea, activitatea reala, clientii si dependintele operationale trebuie citite impreuna.
- NIS2 Pilot poate organiza pregatirea interna, dar nu emite incadrare oficiala si nu inlocuieste DNSC sau specialistii.
Ce inseamna furnizor unic in practica
In limbaj practic, furnizor unic nu trebuie citit automat ca monopol in sens juridic. Poate insemna ca exista foarte putine alternative reale, ca serviciul este specializat, ca este legat de o zona geografica sau ca inlocuirea lui ar dura prea mult pentru clientii care depind de el.
Ce inseamna in practica: daca o intrerupere ar bloca activitati importante pentru clienti, comunitate sau un lant de servicii, compania ar trebui sa stranga dovezi si sa trateze cazul ca unul care poate necesita review specializat.
Ce poate insemna impact regional
Impact regional nu trebuie transformat intr-o definitie proprie sau intr-un test inventat. Pentru o companie, intrebarea prudenta este daca serviciul sau ar putea afecta continuitatea unor operatiuni intr-o zona, pentru clienti reglementati, servicii publice sau activitati esentiale.
Art. 9 lit. d) din OUG 155/2024 vorbeste despre importanta specifica la nivel national sau regional pentru sectorul ori tipul de servicii in cauza sau pentru alte sectoare interdependente. Aceasta este o baza pentru analiza atenta, nu pentru concluzii rapide.
| Situatie | De ce poate conta | Ce intrebari trebuie puse | Ce documente/dovezi ajuta |
|---|---|---|---|
| Furnizor unic pentru o zona sau localitate | Intreruperea serviciului poate afecta o comunitate sau o activitate locala importanta. | Exista alternative reale? Cat de repede ar putea fi inlocuit serviciul? | Contracte, zone deservite, clienti afectati, note de continuitate si SLA-uri. |
| Furnizor greu de inlocuit pentru clienti critici | Dependenta clientilor poate fi relevanta chiar daca furnizorul nu este mare. | Clientii sunt din sanatate, utilitati, transport, administratie, telecom sau infrastructura digitala? | Categorii de clienti, contracte tipice, descrierea serviciului si dependintele operationale. |
| Serviciu IT/SaaS folosit de entitati reglementate | Un serviciu digital poate sustine procese importante pentru mai multe organizatii vizate. | Serviciul este critic pentru operatiunile clientilor sau doar auxiliar? | Lista categoriilor de clienti, functii ale produsului, disponibilitate, date privind utilizarea. |
| Infrastructura locala sau serviciu operational cu impact regional | Rolul local sau regional poate conta in analiza impactului unei perturbari. | Ce zona geografica ar fi afectata si ce servicii ar fi intrerupte? | Harti de acoperire, procese deservite, clienti locali, planuri de continuitate. |
| Furnizor mic, dar cu rol critic intr-un lant de servicii | Marimea firmei nu descrie intotdeauna rolul sau intr-un lant operational. | Ce alte entitati depind de serviciu si ce se intampla daca acesta se opreste? | Fluxuri de servicii, dependinte, contracte, documentatie tehnica si note de risc. |
| Companie parte dintr-un grup, cu rol local specific | Entitatea romaneasca poate avea un rol restrans, dar important pentru livrarea locala. | Cine furnizeaza efectiv serviciul in Romania si cine detine sistemele relevante? | Organigrama de grup, contracte intra-grup, descrierea rolului local si a clientilor. |
Semne ca situatia merita analizata mai atent
- Exista putini furnizori alternativiDaca alternativa este greu de gasit sau implementat, rolul furnizorului merita descris clar.
- Clientii includ autoritati publice sau sectoare reglementateConteaza natura serviciilor sustinute, nu doar codul CAEN al furnizorului.
- Intreruperea ar afecta operatiuni esentialeAnalizeaza ce activitati s-ar opri si cat de repede ar putea fi reluate.
- Serviciul sustine spitale, utilitati, transport, servicii publice, telecom sau infrastructura digitalaAstfel de dependinte pot indica nevoie de analiza mai atenta si documente mai bune.
- Serviciul este specializat sau constrans localEchipamentele, licentele, cunostintele sau prezenta locala pot face inlocuirea dificila.
- Timpul de recuperare sau inlocuire ar fi ridicatUn serviciu care nu poate fi reluat rapid poate avea impact operational mai mare.
- Echipele interne nu se pun de acord asupra impactuluiDiferentele dintre juridic, operatiuni, IT si management sunt un motiv bun pentru review.
- Contractele sau SLA-urile arata dependenta operationalaClauzele despre disponibilitate, interventie sau continuitate pot sustine analiza.
Scenarii practice
Exemplele de mai jos sunt orientative. Ele arata unde poate aparea o intrebare NIS2 mai dificila, nu stabilesc ca firma respectiva intra sau nu intra in domeniul de aplicare.
IT pentru servicii publice locale
O firma mica poate administra sisteme folosite de institutii sau servicii locale. Intrebarea nu este doar marimea firmei, ci ce s-ar opri daca serviciul nu ar functiona.
SaaS folosit de clienti reglementati
Un produs digital poate sustine procese pentru mai multi clienti din sectoare critice. Dependenta reala trebuie documentata, nu presupusa.
Mentenanta pentru infrastructura regionala
Daca interventiile tin in functiune servicii locale sau regionale, contractele, SLA-urile si timpul de inlocuire pot deveni informatii importante.
Furnizor de nisa fara inlocuire rapida
Un serviciu foarte specializat poate crea dependenta operationala chiar daca furnizorul nu are dimensiunea unei companii mari.
Entitate locala intr-un grup mai mare
Rolul entitatii romanesti poate parea administrativ, dar trebuie vazut cine livreaza serviciul, unde sunt sistemele si ce clienti sau operatiuni depind de ea.
Cum se leaga de marime si codurile CAEN
Criteriul de marime si codurile CAEN raman importante. Art. 8 din OUG 155/2024 foloseste criteriul de marime in analiza, iar anexele trebuie citite prin activitatea reala. Totusi, marimea si CAEN-ul pot sa nu spuna toata povestea atunci cand serviciul este greu de inlocuit sau are impact mai larg.
Pentru context, citeste separat ghidurile despre criteriul de marime NIS2, de ce CAEN-ul nu este suficient si cum se citesc anexele OUG 155/2024. Acest articol completeaza acele resurse prin unghiul Art. 9: dependenta, perturbare, rol unic si impact regional.
Ce poate face NIS2 Pilot si ce nu poate face
NIS2 Pilot este un spatiu de planificare si pregatire interna. Poate ajuta echipa sa puna ordine in informatii, dar nu devine autoritate, consultant juridic sau auditor.
| Zona | Poate ajuta | Nu poate face |
|---|---|---|
| Note interne | Pastreaza rationamentul, ipotezele si intrebarile intr-un spatiu de pregatire. | Nu transforma notele interne intr-o incadrare oficiala. |
| Dependinte si dovezi | Ajuta echipa sa stranga informatii despre clienti, servicii, SLA-uri, zone si documente. | Nu valideaza juridic daca o dependenta indeplineste Art. 9. |
| Incertitudine | Evidentiaza zone unde auto-verificarea trebuie tratata cu prudenta. | Nu ofera consultanta juridica, audit sau evaluare autorizata de DNSC. |
| Pregatire pentru discutii | Pregateste intrebari pentru specialisti si pentru procesul oficial. | Nu transmite notificari oficiale si nu inlocuieste Platforma NIS2@RO, Instrumentul NIS2@RO sau DNSC. |
Ce pregatesti inainte sa ceri ajutor specializat
Pentru cazurile dificile, o discutie buna incepe cu fapte. Pregateste datele care arata activitatea reala, dependentele si intrebarea ramasa neclara. Pentru o verificare periodica a dependentelor, vezi si revizuirea furnizorilor si dependentelor NIS2.
Pachet orientativ de pregatire
- Categorii de clienti si serviciiGrupeaza clientii dupa sector, tip de serviciu si importanta operationala.
- Sectoare posibil afectateLeaga serviciile de anexele OUG 155/2024 doar ca ipoteza de lucru, nu ca verdict.
- Descrierea serviciului furnizatExplica ce face serviciul, pentru cine si ce procese sustine.
- Dificultatea de inlocuireNoteaza alternativele, timpul de migrare, echipamentele, licentele si cunostintele necesare.
- Contracte si SLA-uri relevanteSelecteaza documentele care arata disponibilitate, interventie, continuitate sau dependenta.
- Amprenta geograficaPrecizeaza localitatile, judetele, regiunile sau statele UE in care serviciul conteaza.
- Note despre impact si continuitateDescrie ce s-ar opri, cine ar fi afectat si ce planuri interne exista.
- CAEN-uri si activitate realaCompara codurile autorizate cu serviciile efectiv furnizate.
- Indicatori de marimePregateste salariati, cifra de afaceri, active si context de grup, unde se aplica.
- Intrebari ramase neclareFormuleaza explicit ce trebuie verificat cu specialistul sau prin canalele oficiale.
Surse oficiale si cum sa le citesti
Pentru aceasta tema, sursa principala este OUG 155/2024. Art. 9 lit. a)-d) trateaza furnizorul unic, impactul asupra sigurantei, securitatii sau sanatatii publice, riscul sistemic si importanta nationala ori regionala. Art. 10 arata ca impactul perturbarii se leaga de criterii precum drepturi fundamentale, economie, sanatate, aparare, ordine publica si impact transsectorial sau transfrontalier.
Ordinul DNSC nr. 1/2025 este relevant pentru pregatirea datelor deoarece formularul de notificare include date despre activitate, marime, servicii furnizate, prezenta in Uniunea Europeana, situatii specifice, documente anexate si evaluare preliminara. Pentru situatiile neclare, resursa despre cand ceri analiza specializata poate fi urmatorul pas.
Întrebări frecvente
Furnizor unic inseamna automat ca firma intra in NIS2?
Nu. Art. 9 din OUG 155/2024 trebuie citit impreuna cu activitatea reala, serviciul furnizat, impactul perturbarii si procesul oficial. Faptul ca o firma pare greu de inlocuit este un semnal de analiza, nu o incadrare oficiala facuta prin acest articol.
O companie mica poate avea nevoie de analiza NIS2 mai atenta?
Da, in anumite cazuri. Marimea ramane relevanta, dar Art. 9 descrie situatii speciale legate de furnizor unic, impact public, risc sistemic sau importanta nationala ori regionala. Aceste situatii trebuie verificate cu prudenta.
Cine decide rezultatul oficial al procesului?
DNSC ramane autoritatea competenta pentru rezultatele oficiale ale procesului de notificare si inregistrare. Compania poate pregati date si poate cere analiza specializata, dar nu ar trebui sa trateze o auto-verificare ca decizie oficiala.
NIS2 Pilot poate confirma impactul regional?
Nu. NIS2 Pilot poate ajuta la organizarea notelor, dovezilor si incertitudinilor interne, dar nu confirma impact regional, nu ofera consultanta juridica si nu inlocuieste DNSC, Platforma NIS2@RO, Instrumentul NIS2@RO sau specialistii.
Verificati orientativ daca situatia merita analizata mai atent
NIS2 Pilot va poate ajuta sa organizati datele de pregatire si semnalele de incertitudine, fara sa inlocuiasca DNSC, Platforma NIS2@RO, Instrumentul NIS2@RO, consultanta juridica sau analiza cybersecurity.
Verificați dacă compania dvs. intră în sfera NIS2 →Toate resursele NIS2 PilotAcest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot
Surse oficiale și context
Resurse utile
Criteriul de mărime în NIS2: ce numere contează pentru OUG 155/2024
Sfera de aplicareCum funcționează criteriul de mărime în NIS2: număr de salariați, cifră de afaceri și active, conform Art. 8 din OUG 155/2024. Ce pregătești și ce verifici.
Deschideți resursa: Criteriul de mărime în NIS2: ce numere contează pentru OUG 155/2024 →Cod CAEN și NIS2: de ce codul CAEN nu decide singur încadrarea
Sfera de aplicareCodul CAEN ajută la maparea pe sectoarele din anexele OUG 155/2024, dar nu decide singur încadrarea NIS2. Ce rol are CAEN și ce mai contează.
Deschideți resursa: Cod CAEN și NIS2: de ce codul CAEN nu decide singur încadrarea →Cum se citesc anexele OUG 155/2024: Anexa 1 și Anexa 2 explicate
Sfera de aplicareAnexa 1 și Anexa 2 din OUG 155/2024 listează sectoarele NIS2. Cum sunt structurate, cum găsești sectorul tău și ce înseamnă, fără concluzii oficiale.
Deschideți resursa: Cum se citesc anexele OUG 155/2024: Anexa 1 și Anexa 2 explicate →Cand ceri analiza specializata pentru incadrarea NIS2
Sfera de aplicareSemnale ca orientarea interna nu este suficienta pentru incadrarea NIS2: sector neclar, Art. 9, marime, documente si decizia DNSC.
Deschideți resursa: Cand ceri analiza specializata pentru incadrarea NIS2 →Companii mici si NIS2: ce nu trebuie presupus doar pe baza marimii
Sfera de aplicareO companie mica nu ar trebui sa presupuna automat ca NIS2 nu conteaza. Ce rol au Art. 8, Art. 9, sectorul si datele de verificat.
Deschideți resursa: Companii mici si NIS2: ce nu trebuie presupus doar pe baza marimii →