Ghid
NIS2 pentru instituțiile publice și primării
Doar administrația publică centrală este sector NIS2 în România. Primăriile și consiliile județene intră numai prin ce operează în alte sectoare sau dacă DNSC le identifică pe baza art. 9. Pentru cele vizate, amenzile din art. 60 se aplică.
Primăriile intră sub NIS2?
Nu ca sector. Anexa 1, punctul 10, vizează doar entitățile administrației publice centrale. Primăriile și consiliile județene intră numai prin ce operează într-un alt sector din Anexele 1 sau 2, cum ar fi apă, termoficare, deșeuri sau un spital public, ori dacă DNSC le identifică pe baza art. 9.
Ce instituții centrale sunt vizate?
Entitățile administrației publice centrale sunt esențiale indiferent de mărime (art. 5 alin. (1) lit. a)). Anexa 1 exclude însă apărarea, ordinea publică și securitatea națională, ORNISS, universitățile, justiția și Ministerul Public, Parlamentul, Secretariatul General al Guvernului, Cancelaria Prim-Ministrului, Administrația Prezidențială, ASF, BNR și ANCOM.
Se aplică amenzile instituțiilor publice?
Da. OUG 155/2024 nu are o excepție de la amenzile din art. 60 pentru administrația publică: acestea se aplică entităților esențiale și importante, inclusiv organismelor administrației centrale. Sunt excluse doar măsurile din art. 49, adică suspendarea autorizațiilor și interdicția temporară pentru conducere (art. 49 alin. (3)).
| Entitate | Încălcări | Amendă | Temei |
|---|---|---|---|
| Entitate importantă | Măsuri de securitate, audit, autoevaluare, obligațiile conducerii, raportarea incidentelor | de la 5.000 lei la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială, valoarea cea mai mare | art. 60 alin. (2) lit. a) |
| Entitate esențială | Aceleași, plus lit. e) din art. 60 alin. (1) | de la 10.000 lei la 10.000.000 EUR sau 2% din cifra de afaceri mondială, valoarea cea mai mare | art. 60 alin. (2) lit. b) |
| Entitate importantă | Înregistrare, evaluarea riscului, termene de remediere | 1.000–300.000 lei | art. 60 alin. (2) lit. c) |
| Entitate esențială | Aceleași | 1.500–500.000 lei | art. 60 alin. (2) lit. d) |
| Orice entitate | Încălcări grave (art. 50 alin. (2)); limitele cresc cu jumătate la încălcări repetate | 3.000–600.000 lei | art. 60 alin. (2^1) și (4) |
Ce cerințe are responsabilul cu securitatea într-o instituție publică?
Instituția desemnează responsabilul în 30 de zile de la decizia DNSC (art. 14 alin. (3)). Cerințele suplimentare din art. 14 alin. (4), adică autoritate managerială, subordonare directă conducerii și independență față de IT, nu se aplică administrației publice. Obligația de desemnare rămâne, iar persoana are nevoie de resursele necesare rolului.
Ce faceți dacă primăria operează o companie de apă sau de termoficare?
Verificați compania, nu primăria. Operatorul de apă, termoficare sau deșeuri este entitatea vizată, dacă este cel puțin de mărime medie. Apa potabilă, apele uzate și încălzirea centralizată sunt în Anexa 1, deșeurile în Anexa 2. Spitalele publice sunt furnizori de servicii medicale, deci sectorul sănătății.
Backup-ul și continuitatea se aplică și aici (art. 13 lit. h)). Vedeți ghidul despre backup.
Întrebări frecvente
Un consiliu județean este vizat de NIS2?
Nu ca administrație. Intră doar prin ce operează în alt sector sau dacă DNSC îl identifică pe baza art. 9.
Spitalele publice intră sub NIS2?
Da, ca furnizori de servicii medicale în sectorul sănătății din Anexa 1, dacă sunt cel puțin de mărime medie.
Universitățile intră sub NIS2?
Instituțiile de învățământ superior sunt excluse din punctul 10 al Anexei 1. Pot intra ca organizații de cercetare, în Anexa 2, dacă se încadrează.
Cine stabilește dacă o instituție este vizată?
DNSC, prin decizia de identificare și înscriere în registru. Dacă nu sunteți siguri, puteți notifica DNSC; DNSC decide și vă anunță dacă sunteți în afara domeniului.
Instituția trebuie să facă autoevaluarea anuală?
Da, dacă este entitate esențială sau importantă. Art. 12 alin. (4) se aplică, iar aprobarea aparține conducerii instituției.