Cui se aplică NIS2 într-un grup de firme: încadrarea pe entitate și Decizia DNSC nr. 3/2026

„Cui se aplică NIS2″ are un răspuns simplu pentru o firmă singură și unul complicat pentru o firmă dintr-un grup. Complicația nu vine din lege, ci dintr-o presupunere: că dacă grupul are politici de securitate, filiala este acoperită. Nu este. Și, invers, că dacă filiala este mică, nu intră în scop pentru că se uită cineva la cifrele consolidate. Nici asta nu este adevărat.

Încadrarea se face pe entitate, nu pe grup

Art. 8 din OUG nr. 155/2024 definește întreprinderea mare și pe cea mijlocie prin trimitere la art. 4 alin. (1) lit. c) din Legea nr. 346/2004, fără aplicarea art. 4^5 din aceeași lege. Acel articol este exact cel care, în dreptul comun, impune cumularea datelor întreprinderilor legate și partenere.

Excluderea lui are două consecințe practice, în direcții opuse:

• o filială mijlocie a unui grup foarte mare rămâne mijlocie, nu devine automat întreprindere mare pentru că grupul este mare;
• dar și invers, o entitate nu poate invoca dimensiunea redusă a grupului pentru a scăpa: contează cifrele ei.

Peste asta se suprapun celelalte criterii: sectorul din anexele nr. 1 și 2, calificarea ca entitate esențială sau importantă conform art. 5 și 6, și situațiile de la art. 9 în care o entitate intră în scop indiferent de dimensiune. Metoda completă este explicată în articolul despre încadrarea unei organizații sub NIS2.

Unde se aplică: art. 7

Regula este că ordonanța se aplică entităților înființate și înregistrate în România. Există două abateri importante pentru grupuri:

• furnizorii de rețele publice de comunicații electronice și de servicii de comunicații electronice destinate publicului intră în scop atunci când prestează servicii pe teritoriul României, indiferent de locul înființării;
• pentru furnizorii digitali, servicii DNS, registre de nume TLD, servicii de înregistrare domenii, cloud, centre de date, rețele de livrare de conținut, servicii gestionate și servicii de securitate gestionate, piețe online, motoare de căutare și platforme de socializare, criteriul este sediul principal.

Concret: o filială română a unui grup european, înregistrată la noi, se raportează la DNSC pe cont propriu. O sucursală fără personalitate juridică sau o prestare transfrontalieră ridică întrebări diferite, care se rezolvă pe art. 7, nu pe organigrama grupului.

Actul care reglementează situația grupurilor

Multă lume caută regulile pentru grupuri în Ordinul directorului DNSC nr. 1/2026. Nu sunt acolo. Ordinul nr. 2 din 14 septembrie 2026 a introdus în Ordinul nr. 1/2026 un alineat nou, care trimite la un act separat: Decizia directorului DNSC nr. 3 din 14 septembrie 2026 pentru aprobarea Normelor de aplicabilitate a cerințelor de securitate cibernetică pentru entitățile care fac parte dintr-un grup de întreprinderi, publicată în Monitorul Oficial nr. 798 din 21 septembrie 2026 și în vigoare de la acea dată.

Acesta este documentul de citit dacă administrați conformarea pentru mai multe entități din același grup.

Ce nu se poate centraliza

Indiferent cât de integrat este grupul, următoarele rămân obligații ale entității locale:

Obligație	Temei	De ce nu se mută la grup
Notificarea în vederea înregistrării	art. 18 alin. (2)	registrul este al entităților, nu al grupurilor
Desemnarea responsabilului	art. 14 alin. (3)	decizia aparține organelor de conducere ale entității
Răspunderea conducerii	art. 14 alin. (1)	legea îi face responsabili pe administratorii entității
Autoevaluarea anuală de maturitate	art. 12 alin. (4)	se transmite asumată de managementul entității
Raportarea incidentelor	art. 15	termenele curg pentru entitatea afectată
Auditul de securitate cibernetică	art. 11 alin. (5) și art. 58	se face de un auditor atestat de DNSC, fără incompatibilități locale

Un grup poate face munca. Nu poate prelua semnătura.

Matricea care rezolvă discuția

Metoda care funcționează în practică este o matrice pe controale, ținută de entitatea locală, nu de grup:

Control	Cine operează	Dovada la nivel local	Cine răspunde
gestionarea jurnalelor	SOC de grup	extras din platformă pentru sistemele entității, contract intragrup	responsabilul local
politica de parole	grup, aplicată local	politica semnată local, raport de conformitate al directorului	responsabilul local
copiile de siguranță	partajat	test de restaurare pe un sistem al entității, cu proces-verbal	IT local plus grup
gestionarea incidentelor	local	procedura proprie și registrul de incidente	conducerea entității

Cheia este coloana a treia. La autoevaluare, nota de implementare se dă pe dovezi care privesc sistemele entității. O politică de grup excelentă, fără nicio dovadă că se aplică în România, produce o notă bună la documentație și una slabă la implementare, exact diferența care blochează pragul pe categorie la nivelul Esențial.

Controalele implementate prin cerințe din reglementări speciale sau prin aranjamente de grup se evidențiază în declarația de aplicabilitate, care devine astfel documentul central al conformării într-un grup.

Cinci capcane frecvente în grupuri

1. Serviciul de securitate al grupului nu este documentat contractual. Fără un acord intragrup scris, entitatea locală nu poate demonstra nici responsabilitatea, nici nivelul de serviciu.
2. Entitatea locală nu are acces la dovezi. Dacă jurnalele, rapoartele și rezultatele testelor stau exclusiv la grup, autoevaluarea locală se face pe încredere, iar la audit nu se poate proba.
3. Auditorul ales de grup este incompatibil local. Art. 58 alin. (3) interzice auditul de către cine prestează curent servicii de securitate entității. Un furnizor de grup poate fi exact în această situație.
4. Incidentul este raportat la grup, nu la DNSC. Procedura internă trebuie să declanșeze ambele fluxuri, iar termenul de 24 de ore curge indiferent de fusul orar al sediului central.
5. Responsabilul local este, de fapt, un angajat al grupului fără mandat scris. Desemnarea trebuie să fie o decizie a organelor de conducere ale entității române, cu atribuții și acces reale.

Ce faci în ordinea asta

1. Stabilești, pentru fiecare entitate din grup înregistrată în România, dacă intră în scop și în ce calitate.
2. Verifici că fiecare are notificarea transmisă și confirmată, separat.
3. Construiești matricea de controale central, local, partajat, cu dovezi locale.
4. Închei acordurile intragrup care documentează serviciile partajate.
5. Faci autoevaluarea pe entitate, cu asumarea conducerii locale.
6. Verifici incompatibilitățile înainte de a alege auditorul.

Unde te putem ajuta

Pentru încadrarea fiecărei entități din grup, platforma CysNis parcurge criteriile pas cu pas și separă obligațiile legale de recomandările tehnice. Pentru matricea de controale și pentru dovezile locale, o analiză de conformare NIS2 cu plan de remediere se face pe entitate, nu pe grup. ProDefence este auditor NIS acreditat de DNSC.

Documentele locale care lipsesc cel mai des în filiale, decizia de numire, politicile adoptate local, registrele și procedurile, se găsesc în pachetele de documentație NIS2. Pentru licențierea la nivel de grup, varianta este disponibilă la cerere. Dacă rolul de responsabil nu poate fi acoperit local, există responsabil NIS2 externalizat.

Surse

• Decizia directorului DNSC nr. 3/2026 și Normele de aplicabilitate pentru entitățile dintr-un grup de întreprinderi, Monitorul Oficial nr. 798 din 21 septembrie 2026.
• Ordinul directorului DNSC nr. 2/2026, Monitorul Oficial nr. 792 din 18 septembrie 2026.
• OUG nr. 155/2024, formă consolidată. Art. 5, 6, 7, 8, 9, 11, 12, 14, 15, 18 și 58.
• Ordinul directorului DNSC nr. 1/2026, Monitorul Oficial nr. 712 din 27 august 2026.

Materialul are caracter informativ și nu constituie consultanță juridică. Structurile de grup diferă mult între ele; analiza concretă se face pe documentele reale ale entităților.

Întrebări frecvente

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.