URL: https://auditcybersecurity.ro/nis2-administratie-publica/
Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05.

Ghid

# NIS2 pentru instituțiile publice și primării

Doar administrația publică centrală este sector NIS2 în România. Primăriile și consiliile județene intră numai prin activitățile pe care le desfășoară în alte sectoare sau dacă DNSC le identifică pe baza [art. 9](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Pentru cele vizate, amenzile din art. 60 se aplică.

## Primăriile se încadrează în NIS2?

Nu ca sector. Anexa 1, punctul 10, vizează doar entitățile administrației publice centrale. Primăriile și consiliile județene intră numai prin activitățile pe care le desfășoară într-un alt sector din Anexele 1 sau 2, cum ar fi apă, termoficare, deșeuri sau un spital public, ori dacă DNSC le identifică pe baza [art. 9](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690).

Verifică instituția

## Ce instituții centrale sunt vizate?

Entitățile administrației publice centrale sunt esențiale indiferent de dimensiune ([art. 5 alin. (1) lit. a)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Anexa 1 exclude însă apărarea, ordinea publică și securitatea națională, ORNISS, universitățile, justiția și Ministerul Public, Parlamentul, Secretariatul General al Guvernului, Cancelaria Prim-Ministrului, Administrația Prezidențială, ASF, BNR și ANCOM.

## Se aplică amenzile instituțiilor publice?

Da. [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) nu are o excepție de la amenzile din art. 60 pentru administrația publică: acestea se aplică entităților esențiale și importante, inclusiv organismelor administrației centrale. Sunt excluse doar măsurile din art. 49, adică suspendarea autorizațiilor și interdicția temporară pentru conducere ([art. 49 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)).

| Entitate | Încălcări | Amendă | Temei |
|---|---|---|---|
| Entitate importantă | Măsuri de securitate, audit, autoevaluare, obligațiile conducerii, raportarea incidentelor | de la 5.000 lei la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială, valoarea cea mai mare | [art. 60 alin. (2) lit. a)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Entitate esențială | Aceleași, plus lit. e) din art. 60 alin. (1) | de la 10.000 lei la 10.000.000 EUR sau 2% din cifra de afaceri mondială, valoarea cea mai mare | [art. 60 alin. (2) lit. b)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Entitate importantă | Înregistrare, evaluarea riscului, termene de remediere | 1.000–300.000 lei | [art. 60 alin. (2) lit. c)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Entitate esențială | Aceleași | 1.500–500.000 lei | [art. 60 alin. (2) lit. d)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |
| Orice entitate | Încălcări grave (art. 50 alin. (2)); limitele cresc cu jumătate la încălcări repetate | 3.000–600.000 lei | [art. 60 alin. (2^1) și (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) |

## Ce cerințe are responsabilul cu securitatea într-o instituție publică?

Instituția desemnează responsabilul în 30 de zile de la decizia DNSC ([art. 14 alin. (3)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Cerințele suplimentare din [art. 14 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690), adică autoritate managerială, subordonare directă conducerii și independență față de IT, nu se aplică administrației publice. Obligația de desemnare rămâne, iar persoana are nevoie de resursele necesare rolului.

## Ce faceți dacă primăria operează o companie de apă sau de termoficare?

Verificați compania, nu primăria. Operatorul de apă, termoficare sau deșeuri este entitatea vizată, dacă este cel puțin de dimensiune medie. Apa potabilă, apele uzate și încălzirea centralizată sunt în Anexa 1, deșeurile în Anexa 2. Spitalele publice sunt furnizori de servicii medicale, deci sectorul sănătății.

Backup-ul și continuitatea se aplică și aici ([art. 13 lit. h)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Vedeți [ghidul despre backup](https://auditcybersecurity.ro/backup-nis2/).

Comunicare comercialăAirVault (airvault.ro), serviciul în care este implicată persoana care realizează acest ghid, păstrează o copie offline a backup-urilor într-un seif din România. Cum păstrează AirVault o copie offline.

## Întrebări frecvente

### Un consiliu județean este vizat de NIS2?

Nu ca administrație. Intră doar prin activitățile pe care le desfășoară în alt sector sau dacă DNSC îl identifică pe baza art. 9.

### Spitalele publice se încadrează în NIS2?

Da, ca furnizori de servicii medicale în sectorul sănătății din Anexa 1, dacă sunt cel puțin de dimensiune medie.

### Universitățile se încadrează în NIS2?

Instituțiile de învățământ superior sunt excluse din punctul 10 al Anexei 1. Pot intra ca organizații de cercetare, în Anexa 2, dacă se încadrează.

### Cine stabilește dacă o instituție este vizată?

DNSC, prin decizia de identificare și înscriere în registru. Dacă nu sunteți siguri, puteți notifica DNSC; DNSC decide și vă anunță dacă sunteți în afara domeniului de aplicare.

### Instituția trebuie să facă autoevaluarea anuală?

Da, dacă este entitate esențială sau importantă. Art. 12 alin. (4) se aplică, iar aprobarea aparține conducerii instituției.

## Surse oficiale

- [OUG 155/2024, Anexa 1 pct. 10 și art. 5, 14, 49, 60, forma consolidată](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)

Despre acest ghid

Publicat de AuditCyberSecurity.ro. Site-ul este informativ și nu vinde nimic. Persoana care îl realizează este implicată în AirVault, serviciu de backup offline; legătura este menționată ori de câte ori apare AirVault în pagină.

Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.