Ghid pe sector
NIS2 pentru companiile din energie
Energia este sector de importanță critică ridicată, în Anexa 1 din OUG 155/2024. Companiile mari sunt entități esențiale, cele mijlocii sunt importante, iar scorurile standard de risc sunt 190 și 285. Amenzile ajung la 10.000.000 EUR sau 2%.
- Sector
- Energie, Anexa 1
- Firmă mare
- entitate esențială
- Firmă mijlocie
- entitate importantă
- Scor standard
- 190 și 285
DefinițieO entitate critică este o entitate identificată conform legii privind reziliența. Pentru NIS2 ea este entitate esențială indiferent de mărime (art. 5 alin. (1) lit. c)), ceea ce contează în energie, unde și operatorii mai mici pot avea roluri critice.
Ce companii din energie intră sub NIS2?
Intră companiile mijlocii și mari din electricitate, încălzire sau răcire centralizată, petrol, gaze și hidrogen, plus beneficiarii Fondului pentru modernizare (OUG 60/2022). De la 50 de angajați sunteți vizați. Firmele mari sunt entități esențiale, iar cele mijlocii sunt importante, conform OUG 155/2024. Codurile CAEN sunt doar orientative.
| Subsector | Activități | CAEN orientativ |
|---|---|---|
| Electricitate | Producție, distribuție, furnizare, stații de încărcare | 35.1 |
| Încălzire și răcire | Încălzire sau răcire centralizată | 35.3 |
| Petrol | Conducte, rafinare, depozitare, transport | 06, 19 |
| Gaze | Furnizare, distribuție, transport, înmagazinare, GNL | 35.2 |
| Hidrogen | Producție, stocare, transport | – |
Când este o companie din energie esențială?
O companie mare din Anexa 1 este esențială, iar mare înseamnă de la 250 de angajați, testul ținând seama și de cifra de afaceri de 50 de milioane EUR și de bilanțul de 43 de milioane EUR. Indiferent de mărime, sunt esențiale entitățile critice și cele identificate de DNSC pe criteriile din art. 9.
Ce nivel de risc are o companie din energie?
Scorurile standard pentru energie din anexa metodologiei din Ordinul DNSC 2/2025 sunt 190 pentru o firmă mijlocie și 285 pentru una mare. Asta înseamnă de regulă nivelul Important, respectiv nivelul Esențial. Scorul real vine din ENIRE@RO sau din platforma NIS2@RO a DNSC și decide ce controale aplicați.
| Mărime | Scor standard | Interval | Nivel |
|---|---|---|---|
| Mijlocie | 190 | 100–199 | Important |
| Mare | 285 | 200–1.500 | Esențial |
La nivelul Esențial, măsurile cheie trebuie să atingă cel puțin 3, iar ținta generală este 3,5. Vezi ghidul despre Ordinul DNSC 1/2026.
Ce termene are o companie din energie?
Compania notifică DNSC în 30 de zile, iar DNSC decide în 60 de zile pentru entități esențiale și în 150 de zile pentru cele importante. De la decizie (T0) desemnați responsabilul în 30 de zile și trimiteți evaluarea nivelului de risc în 60 de zile. Entitățile esențiale depun și planul de remediere în 30 de zile de la autoevaluare.
| Ce | Când | Temei |
|---|---|---|
| Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | art. 18 alin. (2) |
| Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | art. 18 alin. (4)–(5) |
| Desemnarea responsabilului cu securitatea | T0 + 30 de zile | art. 14 alin. (3) |
| Evaluarea nivelului de risc | T0 + 60 de zile | art. 18 alin. (6) |
| Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | art. 18 alin. (7), art. 12 alin. (4) |
| Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | art. 12 alin. (5) |
| Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | art. 14 alin. (4) lit. e) |
| Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | art. 18 alin. (8) |
Cum se tratează sistemele OT?
Ghidul de implementare al controlului PR.DS-11.1 spune că strategiile de backup ar trebui să acopere și sistemele OT: configurațiile sistemelor de control, datele operaționale și setările dispozitivelor critice. În energie asta înseamnă că inventarul, testele de restaurare și planul de continuitate includ instalațiile, nu doar sistemele de birou ale companiei.
- Treceți în inventar sistemele de control și dispozitivele critice.
- Păstrați copii ale configurațiilor pe un sistem diferit, conform PR.DS-11.1.
- Coordonați testele de recuperare cu continuitatea și răspunsul la incidente; PR.DS-11.4 cere asta la nivelul Esențial.
Cum se raportează un incident în energie?
Un incident semnificativ se raportează în trei pași: avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final în o lună (art. 15). Informația despre impactul transfrontalier se transmite în 6 ore, ceea ce merită pregătit dacă rețelele sau clienții depășesc granițele României.
| Etapă | Termen | Temei |
|---|---|---|
| Avertizare timpurie | 24 de ore | art. 15 |
| Notificarea incidentului | 72 de ore | art. 15 |
| Raport final | o lună | art. 15 |
| Informare privind impactul transfrontalier | 6 ore | art. 15 alin. (3) |
Ce amenzi riscă o companie din energie?
O entitate esențială riscă 10.000 lei până la 10.000.000 EUR sau 2% din cifra de afaceri mondială, iar una importantă 5.000 lei până la 7.000.000 EUR sau 1,4%, valoarea cea mai mare (art. 60 alin. (2)). Procentul ridică limita doar peste 500 de milioane EUR cifră de afaceri.
Ce faceți mai departe
Întrebări frecvente
Un furnizor mic de energie intră sub NIS2?
De regulă nu, dacă firma este sub 50 de angajați. Excepțiile sunt entitățile critice și cele identificate de DNSC pe criteriile din art. 9.
Stațiile de încărcare sunt vizate?
Da. Subsectorul electricitate include stațiile de încărcare, alături de producție, distribuție și furnizare, cu aceleași praguri de mărime.
Beneficiarii Fondului pentru modernizare intră?
Da, sunt listați în sectorul energiei prin referire la OUG 60/2022. Verificați situația exactă cu verificarea gratuită.
Cine este responsabil de NIS2 într-o companie energetică?
Organele de conducere aprobă măsurile, le supraveghează și răspund pentru încălcări (art. 14 alin. (1)). Responsabilul cu securitatea se desemnează în 30 de zile de la decizia DNSC.
Cât de des se repetă autoevaluarea?
Anual, cu aprobarea conducerii (art. 12 alin. (4)). Autoevaluarea oficială se face cu instrumentele EVAL_MMS sau pe platforma NIS2@RO.