Primăriile nu intră automat sub incidența NIS2 doar pentru că sunt autorități publice. Totuși, faptul că aparțin administrației publice locale nu înseamnă că pot exclude aplicabilitatea OUG nr. 155/2024 fără o analiză documentată.
Încadrarea trebuie verificată în funcție de serviciile furnizate sau administrate, operatorii implicați, sistemele informatice care susțin aceste servicii și efectele pe care o perturbare le-ar putea produce asupra cetățenilor, sănătății, siguranței publice, economiei ori altor servicii critice.
Pentru a sprijini autoritățile locale în realizarea acestei evaluări, Prodefence, împreună cu platforma CysNis, publică „Ghidul practic pentru verificarea încadrării primăriilor în NIS2” — un document operațional care explică pas cu pas cum trebuie analizată aplicabilitatea cadrului național NIS2.
Primăriile intră automat sub NIS2?
Nu.
În cadrul sectorului „Administrație publică” din Anexa nr. 1 la OUG nr. 155/2024 sunt vizate entitățile administrației publice centrale, în condițiile prevăzute de actul normativ. Primăriile sunt autorități ale administrației publice locale și, prin urmare, nu sunt încadrate automat în NIS2 exclusiv în baza statutului lor administrativ.
Această concluzie nu încheie însă analiza.
OUG nr. 155/2024 transpune în România Directiva NIS2 și stabilește domeniul de aplicare în funcție de mai multe elemente: sectorul de activitate, tipul entității, serviciile furnizate, dimensiunea organizației și anumite criterii speciale de impact sau importanță.
Prin urmare, întrebarea corectă nu este doar:
„Primăria este administrație publică centrală sau regională?”
Întrebarea completă este:
„Primăria, un serviciu intern sau un operator local furnizează, operează ori susține un serviciu care se regăsește în anexele OUG nr. 155/2024?”
Aceasta este și regula centrală pe care se bazează ghidul elaborat de Prodefence.
De ce este necesară o analiză separată pentru fiecare primărie?
Structura și atribuțiile autorităților locale diferă semnificativ.
Unele primării îndeplinesc predominant funcții administrative, precum:
- taxe și impozite locale;
- registratură și gestionarea documentelor;
- urbanism și autorizări;
- evidența patrimoniului;
- servicii online pentru cetățeni.
Alte primării furnizează direct sau prin structuri aflate în subordine servicii precum:
- alimentarea cu apă potabilă;
- colectarea și tratarea apelor uzate;
- gestionarea deșeurilor;
- transportul public local;
- servicii medicale;
- infrastructură digitală;
- găzduirea aplicațiilor pentru alte instituții;
- servicii TIC gestionate pentru alte entități.
În consecință, două primării cu dimensiuni similare pot ajunge la rezultate diferite în urma verificării NIS2.
Una poate avea o neîncadrare documentată, iar cealaltă poate furniza un serviciu dintr-un sector menționat expres în Anexa nr. 1 sau Anexa nr. 2 la OUG nr. 155/2024.
Serviciile care trebuie verificate cu prioritate
Analiza trebuie să pornească de la inventarierea completă a serviciilor publice și operaționale, nu doar de la lista sistemelor IT existente.
Apă potabilă și ape uzate
Apa potabilă și apele uzate sunt sectoare incluse în Anexa nr. 1 la OUG nr. 155/2024.
Dacă primăria furnizează direct un asemenea serviciu, printr-un compartiment intern sau printr-o structură fără personalitate juridică, trebuie analizate:
- tipul exact de serviciu;
- populația deservită;
- sistemele informatice și operaționale utilizate;
- operatorii și furnizorii de care depinde serviciul;
- toleranța la indisponibilitate;
- efectele unei întreruperi;
- criteriile generale și speciale de încadrare.
Dacă serviciul este furnizat de o societate distinctă juridic, operatorul trebuie analizat separat. Primăria trebuie însă să documenteze relația de subordonare, participare, delegare sau dependență.
Gestionarea deșeurilor
Gestionarea deșeurilor este prevăzută în Anexa nr. 2.
Trebuie stabilit dacă primăria:
- furnizează efectiv serviciul;
- îl administrează printr-o structură internă;
- îl deleagă unui operator;
- acționează doar ca autoritate contractantă;
- participă la o asociație de dezvoltare intercomunitară;
- controlează o societate locală care prestează serviciul.
Simpla responsabilitate administrativă pentru organizarea serviciului nu trebuie confundată automat cu furnizarea efectivă a acestuia.
Transport public local
În cazul transportului public, analiza trebuie să identifice operatorul efectiv, tipul serviciului și corespondentul exact cu tipurile de entități din sectorul transporturilor.
Primăria și operatorul de transport nu trebuie tratate automat ca aceeași entitate.
Infrastructură digitală și servicii TIC
Faptul că o primărie utilizează:
- servere;
- servicii cloud;
- un centru de date;
- aplicații informatice;
- o platformă de taxe;
- e-mail instituțional;
- un website;
- o rețea internă,
nu înseamnă că primăria devine automat furnizor de infrastructură digitală sau furnizor de servicii TIC gestionate.
Este relevant dacă primăria furnizează asemenea servicii către alte entități, în condițiile și sub forma prevăzută de anexele OUG nr. 155/2024.
Un exemplu care necesită o analiză aprofundată este cel al unei primării care găzduiește aplicații, administrează infrastructură sau oferă servicii IT pentru mai multe UAT-uri.
Încadrarea se analizează pe entitatea care furnizează efectiv serviciul
Unul dintre cele mai importante aspecte este identificarea furnizorului real.
Serviciul poate fi operat de:
- aparatul propriu al primăriei;
- un serviciu public fără personalitate juridică;
- o instituție subordonată;
- o societate comercială locală;
- o regie autonomă;
- o asociație de dezvoltare intercomunitară;
- un operator delegat;
- un furnizor privat.
În cazul unei entități distincte juridic, analiza NIS2 trebuie realizată separat pentru acea entitate.
Primăria trebuie totuși să păstreze o evidență privind:
- serviciul furnizat;
- operatorul responsabil;
- contractul sau actul de delegare;
- dependențele operaționale;
- obligațiile de raportare;
- cerințele de securitate incluse în contract;
- mecanismele de continuitate;
- responsabilitățile în cazul unui incident.
Fluxul practic de verificare a încadrării
Ghidul Prodefence propune un proces operațional care poate fi aplicat de comune, orașe, municipii și municipii reședință de județ.
1. Inițierea formală a verificării
Conducerea instituției trebuie să dispună realizarea evaluării printr-o decizie internă.
Verificarea nu trebuie delegată exclusiv departamentului IT. Încadrarea presupune informații juridice, administrative, contractuale, tehnice și operaționale.
Echipa ar trebui să includă, după caz:
- reprezentantul conducerii;
- secretarul general;
- departamentul juridic;
- IT;
- achiziții;
- contabilitate sau buget;
- responsabilii serviciilor publice;
- reprezentanții operatorilor sau structurilor subordonate.
2. Colectarea profilului administrativ
Se centralizează cel puțin:
- denumirea și datele de identificare ale UAT;
- tipul unității administrativ-teritoriale;
- populația deservită;
- numărul de angajați;
- sediile și punctele de lucru;
- structurile interne;
- entitățile cu personalitate juridică distinctă;
- operatorii delegați;
- sistemele și aplicațiile informatice;
- furnizorii IT și tehnologici.
3. Inventarierea serviciilor
Fiecare serviciu trebuie analizat separat.
Nu este suficientă formularea generică „primăria furnizează servicii publice”. Trebuie stabilit:
- care este serviciul;
- cine îl furnizează efectiv;
- cui îi este furnizat;
- ce infrastructură îl susține;
- ce date sunt procesate;
- de ce furnizori depinde;
- cât timp poate fi indisponibil;
- ce impact ar avea perturbarea sa.
4. Maparea la anexele OUG nr. 155/2024
Pentru fiecare serviciu se verifică:
- dacă se regăsește într-un sector din Anexa nr. 1;
- dacă se regăsește într-un sector din Anexa nr. 2;
- dacă tipul exact de entitate corespunde celui prevăzut în anexă;
- dacă primăria este furnizorul efectiv;
- dacă serviciul este delegat unei entități separate;
- dacă sunt aplicabile criteriile speciale prevăzute de art. 9.
Scopul nu este forțarea încadrării, ci stabilirea unei concluzii verificabile și argumentate.
5. Evaluarea efectului perturbator
Atunci când este identificat un serviciu relevant, trebuie analizate consecințele unei perturbări.
Ordinul directorului DNSC nr. 2/2025 reglementează criteriile și pragurile utilizate pentru determinarea gradului de perturbare și metodologia de evaluare a nivelului de risc al entităților.
Evaluarea trebuie să urmărească cel puțin:
- numărul beneficiarilor afectați;
- durata estimată a întreruperii;
- efectele asupra sănătății și vieții persoanelor;
- impactul asupra siguranței publice;
- impactul financiar și economic;
- afectarea drepturilor și libertăților persoanelor;
- impactul asupra altor instituții și operatori;
- dependențele intersectoriale;
- afectarea datelor personale sau operaționale.
Un scenariu de perturbare poate avea ca punct de plecare:
- un atac ransomware;
- compromiterea unui cont privilegiat;
- indisponibilitatea unui furnizor cloud;
- o avarie a infrastructurii;
- compromiterea unei aplicații;
- pierderea conectivității;
- coruperea sau indisponibilitatea datelor;
- întreruperea unui serviciu tehnologic externalizat.
6. Utilizarea mecanismelor NIS2@RO
După colectarea și validarea datelor, rezultatul nu trebuie stabilit exclusiv printr-o apreciere informală.
Ordinul directorului DNSC nr. 1/2025 reglementează cerințele procesului de notificare în vederea înregistrării și metodele de transmitere a informațiilor. DNSC pune la dispoziție mecanismele NIS2@RO pentru identificare, calificare și notificare.
Primăria trebuie să păstreze:
- formularul completat;
- rezultatul generat;
- documentele justificative;
- ipotezele utilizate;
- capturile sau fișierele exportate;
- comunicările cu DNSC;
- răspunsurile la eventualele solicitări de clarificare;
- decizia conducerii.
Cele patru rezultate posibile ale analizei
1. Neîncadrare documentată
Primăria nu intră automat prin sectorul administrației publice centrale, nu furnizează direct servicii care corespund anexelor și nu sunt incidente criterii speciale relevante.
În acest caz se recomandă:
- aprobarea unei fișe de neîncadrare;
- arhivarea dosarului;
- stabilirea unei date de revizuire;
- reluarea analizei la apariția unor servicii sau operatori noi;
- implementarea unor măsuri minime de securitate cibernetică.
2. Posibilă încadrare – clarificare necesară
Există servicii relevante, dar rolul primăriei sau al operatorului nu este suficient de clar.
Exemple:
- serviciu local de apă furnizat printr-o structură internă;
- gestionarea directă a deșeurilor;
- operator subordonat;
- platformă IT utilizată de mai multe UAT-uri;
- serviciu TIC furnizat altor instituții;
- structură fără personalitate juridică.
Este necesară completarea analizei și utilizarea mecanismelor NIS2@RO.
3. Încadrare probabilă
Primăria sau o structură a acesteia furnizează direct un serviciu care corespunde unui sector și unui tip de entitate din anexele OUG nr. 155/2024 ori îndeplinește criterii speciale relevante.
Se pregătesc:
- notificarea;
- dosarul justificativ;
- evaluarea riscurilor;
- matricea de conformitate;
- planul de implementare;
- documentația de securitate;
- dovezile de aplicare a măsurilor.
4. Operator local potențial încadrabil
Primăria nu este furnizorul direct, dar o societate, instituție sau un serviciu public local poate intra sub incidența NIS2.
Operatorul trebuie să efectueze propria analiză, iar primăria trebuie să clarifice relațiile de guvernanță, responsabilitățile contractuale, raportările și cerințele de securitate.
De ce trebuie documentată și neîncadrarea?
O concluzie de tipul „primăria nu intră sub NIS2” nu este suficientă în lipsa documentelor care demonstrează modul în care a fost obținută.
Dosarul de verificare ar trebui să conțină:
- decizia de inițiere și componența echipei;
- datele administrative ale UAT;
- lista serviciilor publice;
- inventarul operatorilor și entităților locale;
- inventarul sistemelor IT și al furnizorilor;
- maparea serviciilor la anexele OUG nr. 155/2024;
- analiza criteriilor art. 9;
- scenariile și fișele privind perturbarea;
- rezultatele NIS2@RO;
- concluzia și aprobarea conducerii;
- istoricul revizuirilor.
Primăria trebuie să poată demonstra atât de ce intră, cât și de ce nu intră sub incidența NIS2.
Când trebuie reluată verificarea?
Analiza nu trebuie tratată ca un exercițiu unic.
Este recomandată revizuirea anuală și ori de câte ori apare una dintre următoarele situații:
- înființarea unui serviciu public nou;
- preluarea unui serviciu de la un operator;
- delegarea sau externalizarea unui serviciu;
- înființarea unei societăți locale;
- reorganizarea aparatului de specialitate;
- implementarea unei platforme digitale comune;
- furnizarea de servicii IT altor instituții;
- modificarea populației sau ariei deservite;
- apariția unui incident cibernetic semnificativ;
- modificarea legislației sau a instrucțiunilor DNSC.
Cadrul legislativ trebuie consultat în forma actualizată. OUG nr. 155/2024 a fost aprobată și modificată prin Legea nr. 124/2025, iar în iulie 2026 a intervenit și Legea nr. 123/2026, care completează art. 36 al ordonanței.
Ce trebuie să facă primăria după confirmarea încadrării?
După stabilirea unei încadrări sau a unei probabilități rezonabile de aplicabilitate, începe etapa de implementare NIS2.
Aceasta include, în principal:
- notificarea și înregistrarea;
- stabilirea guvernanței NIS2;
- desemnarea responsabilităților;
- evaluarea riscurilor;
- analiza infrastructurii și a dependențelor;
- stabilirea măsurilor de securitate;
- elaborarea politicilor și procedurilor;
- managementul incidentelor;
- securitatea lanțului de aprovizionare;
- continuitatea activității;
- instruirea conducerii și a personalului;
- monitorizarea implementării;
- păstrarea dovezilor;
- auditul și supravegherea conformității.
Pentru această etapă poate fi utilizat ghidul general „Primii pași în NIS2 România”, împreună cu instrumentele de implementare și monitorizare disponibile în platforma CysNis.
CysNis – suport digital pentru verificarea și implementarea NIS2
CysNis este o platformă dezvoltată de Prodefence pentru susținerea procesului de încadrare, implementare, monitorizare și documentare a cerințelor NIS2.
https://cysnis.ro/despre
https://cysnis.ro/prezentare-platforma
Platforma poate sprijini primăriile și operatorii locali în:
- centralizarea datelor de identificare;
- evaluarea preliminară a încadrării;
- gestionarea informațiilor necesare notificării;
- analiza efectului perturbator;
- construirea matricei de conformitate;
- evaluarea internă;
- gestionarea registrului de riscuri;
- planificarea implementării măsurilor;
- generarea și administrarea documentelor;
- monitorizarea progresului;
- supravegherea executivă de către conducere;
- pregătirea dovezilor pentru audit și control.
CysNis nu înlocuiește mecanismele oficiale DNSC și nici decizia autorității competente. Platforma oferă însă cadrul operațional necesar pentru pregătirea, organizarea și documentarea informațiilor care stau la baza procesului de conformitate.
Suport specializat Prodefence pentru primării și operatorii locali
Prodefence oferă servicii specializate pentru autoritățile publice locale și entitățile aflate în subordinea acestora:
- verificarea aplicabilității OUG nr. 155/2024;
- inventarierea și clasificarea serviciilor;
- maparea serviciilor la Anexele nr. 1 și nr. 2;
- analiza operatorilor și a relațiilor de delegare;
- evaluarea efectului perturbator;
- pregătirea dosarului de încadrare;
- suport pentru utilizarea mecanismelor NIS2@RO;
- consultanță pentru notificarea către DNSC;
- evaluarea inițială a nivelului de conformitate;
- elaborarea planului de implementare;
- responsabil NIS2 externalizat;
- audit tehnic și evaluări de securitate;
- instruirea conducerii și a personalului.
Descarcă ghidul practic
Ghidul include:
- interpretarea aplicabilității NIS2 pentru primării;
- cadrul legal și operațional;
- fluxul decizional de verificare;
- pașii practici de analiză;
- serviciile locale care trebuie verificate;
- modelul de evaluare a perturbării;
- checklist de încadrare;
- structura recomandată a dosarului;
- model de fișă pentru primărie;
- model de fișă pentru fiecare serviciu;
- scenarii practice;
- măsuri minime recomandate inclusiv în cazul neîncadrării.
Descarcă: Ghid de verificare incadrare NIS2 Primarii
Primăriile nu intră automat sub NIS2 ca administrații publice centrale sau regionale, dar au obligația practică de a verifica și documenta dacă serviciile furnizate, administrate sau operate le pot aduce în domeniul de aplicare al OUG nr. 155/2024.