Cerințe din 11 august 2025

Articolul 1

(1)Cerințele privind procesul de notificare în vederea înregistrării entităților esențiale și importante și metoda de transmitere a acestei notificări, denumite în continuare cerințe, asigură un cadru coerent și eficient pentru entitățile din sectoarele prevăzute în anexele nr. 1 și 2 la Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025, denumită în continuare Ordonanța de urgență a Guvernului nr. 155/2024, în procesul de notificare și au ca obiective generale:

a)procedurarea și standardizarea procesului de notificare în vederea înregistrării în Registrul entităților identificate drept esențiale sau importante;

b)stabilirea metodei de transmitere a informațiilor în cadrul procesului de notificare a Directoratului Național de Securitate Cibernetică, denumit în continuare DNSC, în vederea înregistrării entităților.

(2)Sintagmele și termenii utilizați în cuprinsul prezentelor cerințe au înțelesul acordat acestora de Ordonanța de urgență a Guvernului nr. 155/2024.

Articolul 2

(1)În vederea facilitării procesului de identificare și calificare a unei entități drept esențială sau importantă conform prevederilor Ordonanței de urgență a Guvernului nr. 155/2024, a notificării și înscrierii sale în registrul entităților, precum și a automatizării procesului, DNSC pune la dispoziția entităților două mecanisme, respectiv:

a)un instrument digital de evaluare și generare a datelor de notificare, denumit Instrument NIS2@RO;

b)o platformă de înrolare, informare și cooperare, denumită Platforma NIS2@RO.

(2)Platforma NIS2@RO se utilizează pentru facilitarea proceselor de interacțiune cu entitățile și a păstrării evidenței acestora.

(3)În situația în care Platforma NIS2@RO este indisponibilă, entitățile utilizează Instrumentul NIS2@RO în procesul de identificare în vederea înscrierii în registrul entităților prin generarea formularului de notificare.

(4)Ghidurile de utilizare sunt incluse în cele două mecanisme specifice și furnizează instrucțiuni despre modalitățile de lucru cu acestea.

Articolul 3

(1)Mecanismele prevăzute la art. 2 sunt destinate tuturor entităților, astfel cum acestea sunt definite de dispozițiile art. 4 lit. f) din Ordonanța de urgență a Guvernului nr. 155/2024, și se utilizează în relația cu DNSC.

(2)Accesarea celor două mecanisme se realizează astfel:

a)Platforma NIS2@RO - acces online, pe baza unui cont de utilizator al entității, după autentificarea pe site-ul platformanis2.ro;

b)Instrumentul NIS2@RO - utilizare locală, prin acces direct, după descărcarea fișierului de pe site-urile DNSC (dnsc.ro sau platformanis2.ro).

(3)Mecanismele prevăzute la alin. (2) facilitează evaluarea datelor și informațiilor furnizate de către entitate în vederea identificării acesteia drept esențială sau importantă și, ulterior evaluării încadrării în domeniul de aplicare a Ordonanței de urgență a Guvernului nr. 155/2024, generează formularul de notificare.

(4)După verificarea și, după caz, actualizarea informațiilor introduse de către entitate, formularul de notificare se salvează în format .PDF și se semnează electronic sau, după caz, olograf, de către reprezentantul/reprezentanții entității, urmând a fi transmis către DNSC prin intermediul uneia dintre metodele menționate la art. 10-12.

(5)DNSC evaluează informațiile cuprinse în notificare și poate solicita entității, după caz, completarea ori clarificarea datelor și informațiilor sau furnizarea de documente justificative suplimentare, în vederea stabilirii încadrării acesteia în domeniul de aplicare al Ordonanței de urgență a Guvernului nr. 155/2024.

Articolul 4

Formularul de notificare este prevăzut în anexa la prezentele cerințe și structurat în șase secțiuni, astfel: Date generale; Date specifice; Situații specifice; Documente anexate; Evaluare preliminară și Reprezentare entitate.

Articolul 5

(1)Secțiunea Date generale se referă la:

a)date privind identitatea entității, astfel: denumirea entității, CUI sau, după caz, nr. de înregistrare în alte registre naționale, pentru entitățile care nu sunt înregistrate în România;

b)date de contact ale entității, astfel: adresa sediului social, codul poștal, adresa de e-mail, adresa URL a site-ului, numărul de telefon fix, numărul de telefon mobil;

c)date privind activitatea desfășurată de către entitate, astfel: CAEN principal și, după caz, CAEN secundare autorizate. Se completează CAEN-urile secundare autorizate care au corespondență în sectoarele și subsectoarele cuprinse în anexele nr. 1 și 2 la Ordonanța de urgență a Guvernului nr. 155/2024.

(2)Secțiunea Date specifice se referă la:

a)date privind dimensiunea entității, astfel: numărul mediu anual de salariați, cifra de afaceri anuală netă și totalul activelor, conform dispozițiilor legale. Aceste informații trebuie să fie necesare, utile și concludente, pentru a determina dacă au fost îndeplinite condițiile prevăzute la art. 5, respectiv art. 6 din Ordonanța de urgență a Guvernului nr. 155/2024, cu luarea în considerare a criteriilor stabilite de art. 8 din același act normativ;

b)date privind serviciile furnizate, astfel: sectorul, subsectorul și tipul de entitate. Tipul de entitate este stabilit conform anexelor nr. 1 și 2 la Ordonanța de urgență a Guvernului nr. 155/2024;

c)atunci când aceasta este deja desemnată, date privind persoana responsabilă cu securitatea cibernetică, numită în considerarea dispozițiilor art. 14 alin. (3) și (4) din Ordonanța de urgență a Guvernului nr. 155/2024, astfel: numele, prenumele, funcția deținută în cadrul entității, adresa de e-mail și numărul de telefon mobil;

d)date privind mijloacele permanente de contact și persoana însărcinată cu monitorizarea mijloacelor de contact, astfel: numele, prenumele, adresa de e-mail, numărul de telefon mobil și, după caz, numărul de telefon fix;

e)date privind rețelele și sistemele informatice: totalitatea intervalelor de adrese IP publice ale entității;

f)date privind prezența în Uniunea Europeană, astfel: statele membre ale Uniunii Europene în care entitatea furnizează servicii care se încadrează în sectoarele din anexele nr. 1 și 2 la Ordonanța de urgență a Guvernului nr. 155/2024, adrese ale celorlalte sedii din Uniunea Europeană;

g)reprezentantul desemnat de către entitate, atunci când aceasta nu este stabilită în Uniunea Europeană, astfel: numele, prenumele, adresa de domiciliu și/sau, după caz, reședința, adresa de e-mail și numărul de telefon mobil în cazul persoanelor fizice și, în cazul persoanelor juridice, denumirea, adresa sediului social, precum și adresa de e-mail și numărul de telefon mobil.

(3)Secțiunea Situații specifice se referă la:

a)rezultatele autoevaluării impactului generat de perturbarea serviciului furnizat de entitate, conform ordinului prevăzut la art. 10 alin. (2) din Ordonanța de urgență a Guvernului nr. 155/2024;

b)faptul că entitatea a fost identificată sau nu drept entitate critică, conform dispozițiilor Legii nr. 294/2024 privind reziliența entităților critice și pentru modificarea unor acte normative;

c)rezultatele autoanalizei privind furnizarea de servicii care depind de infrastructuri informatice și de comunicații de interes național, astfel cum sunt definite la art. 2 lit. d) din Legea nr. 163/2021 privind adoptarea unor măsuri referitoare la infrastructuri informatice și de comunicații de interes național și condițiile implementării rețelelor 5G, în vederea stabilirii încadrării conform dispozițiilor art. 9 lit. d) din Ordonanța de urgență a Guvernului nr. 155/2024;

d)rezultatele autoanalizei privind faptul că entitatea este singurul furnizor al unui serviciu care este esențial pentru susținerea unor activități societale și economice critice, conform dispozițiilor art. 9 lit. a) din Ordonanța de urgență a Guvernului nr. 155/2024.

(4)Secțiunea Documente anexate se referă la informațiile necesare, concludente și suficiente din care să rezulte îndeplinirea condițiilor pentru identificare conform dispozițiilor art. 18 alin. (3) lit. j) din Ordonanța de urgență a Guvernului nr. 155/2024, fiind astfel obligatorie atașarea următoarelor, cu precizarea denumirilor fișierelor atașate, precum și a numărului acestora:

a)documentele care atestă încadrarea în plafoanele corespunzătoare întreprinderilor mijlocii sau mari, referitoare la numărul mediu anual de salariați, cifra de afaceri anuală netă și activele totale, conform cerințelor legale, având în vedere inclusiv dispozițiile art. 8 din Ordonanța de urgență a Guvernului nr. 155/2024, precum: extrase de informare de la registrul comerțului, copii ale indicatorilor relevanți din situațiile financiare anuale/raportările contabile anuale disponibile pe platformele Ministerului Finanțelor, respectiv o declarație pe propria răspundere a reprezentantului entității, însoțită de extrase relevante din situațiile financiare;

b)după caz, autoevaluarea conform ordinului pentru aprobarea criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a metodologiei de evaluare a nivelului de risc al entităților, prevăzut la art. 10 alin. (2) din Ordonanța de urgență a Guvernului nr. 155/2024;

c)alte documente solicitate de către DNSC, anterior finalizării procesului de înregistrare, care atestă veridicitatea datelor furnizate prin intermediul formularului de notificare, atunci când entitatea este notificată în acest sens, ulterior transmiterii formularului de notificare.

(5)Secțiunea Evaluare preliminară se referă la propunerea de calificare drept entitate esențială sau importantă, ca urmare a autoevaluării entității în conformitate cu prevederile Ordonanței de urgență a Guvernului nr. 155/2024 și cu prezentele cerințe.

(6)Secțiunea Reprezentare entitate se referă la reprezentantul/reprezentanții legal/legali al/ai entității, care atestă cele declarate, și prevede: numele, prenumele și, după caz, funcția deținută în cadrul entității și semnătura acestuia/ acestora.

Articolul 6

(1)În cazul utilizării Platformei NIS2@RO, formularul de notificare semnat cu semnătură electronică calificată de către reprezentantul/reprezentanții legal/legali al/ai entității și, după caz, documentele justificative se încarcă în platforma pusă la dispoziție conform prezentelor cerințe.

(2)În cazul utilizării Instrumentului NIS2@RO, formularul de notificare, semnat cu semnătură electronică calificată atunci când acesta se depune pe suport electronic sau semnat olograf, atunci când acesta se depune pe suport hârtie, de către reprezentantul/reprezentanții legal/legali al/ai entității și, după caz, documentele justificative se transmit DNSC, conform prezentelor cerințe:

a)în format electronic, la adresa de e-mail evidenta@dnsc. ro;

b)prin depunere fizică, pe suport hârtie, la sediul DNSC.

Articolul 7

(1)După confirmarea primirii, DNSC analizează notificarea și documentele anexate, pentru a verifica dacă sunt respectate cerințele legale.

(2)În cadrul procesului de evaluare a notificării, DNSC analizează informațiile și datele transmise de către entitate din perspectiva acurateței, exhaustivității, concludenței și pertinenței datelor. În urma analizei, DNSC poate solicita entității transmiterea de date și informații suplimentare pentru completarea sau clarificarea notificării sau, după caz, furnizarea de noi înscrisuri care să ateste informațiile sau datele transmise.

Articolul 8

(1)Atunci când o entitate este identificată drept esențială sau importantă în urma evaluării notificării, DNSC procedează la înregistrarea acesteia în registrul entităților.

(2)În vederea înregistrării entităților, în baza rezultatului evaluării, se emite decizia de înregistrare a entității în registrul entităților conform art. 18 alin. (4), respectiv alin. (5) din Ordonanța de urgență a Guvernului nr. 155/2024.

(3)Atunci când, în urma evaluării notificării, entitatea nu se încadrează în domeniul de aplicare al Ordonanței de urgență a Guvernului nr. 155/2024, aceasta nu se înregistrează în registrul entităților, urmând a fi notificată în acest sens.

Articolul 9

După finalizarea procesului de înregistrare conform dispozițiilor art. 8 alin. (1), DNSC transmite entității decizia pentru identificarea și înscrierea în registru, conform prevederilor Ordonanței de urgență a Guvernului nr. 155/2024.

Articolul 10

(1)Transmiterea formularului de notificare se realizează prin intermediul uneia dintre următoarele metode de transmitere:

a)Platforma NIS2@RO;

b)poșta electronică;

c)depunerea fizică.

(2)Principala metodă de transmitere este cea prevăzută la alin. (1) lit. a). Atunci când entitățile procedează la înrolarea în Platforma NIS2@RO, introducerea datelor și a documentelor necesare pentru derularea procesului de înregistrare, inclusiv pentru transmiterea formularului de notificare, se face exclusiv prin intermediul platformei.

(3)Atunci când Platforma NIS2@RO nu este disponibilă, transmiterea formularelor de notificare se efectuează prin poșta electronică, la adresa de e-mail evidenta@dnsc.ro, pusă la dispoziție de către DNSC.

(4)Atunci când nu este disponibilă niciuna dintre metodele prevăzute la alin. (1) lit. a) și b), entitățile procedează la depunerea fizică a documentelor, în format letric, la sediul DNSC de la adresa Str. Italiană nr. 22, București, sectorul 2, personal sau printr-un serviciu specializat de poștă și curierat cu confirmare de primire.

Articolul 11

Indiferent de metoda de transmitere a formularului de notificare, data la care se consideră a fi primită notificarea este cea la care DNSC confirmă primirea acesteia, dar nu mai târziu de 5 zile lucrătoare, atunci când sunt incidente prevederile art. 10 alin. (1) lit. a) și b), respectiv la momentul depunerii, atunci când sunt incidente prevederile art. 10 alin. (1) lit. c).

Articolul 12

(1)În cazul în care o entitate nu s-a înregistrat pe Platforma NIS2@RO în cadrul procesului de notificare din cauza indisponibilității platformei, entitatea este obligată să își creeze un cont atunci când aceasta devine disponibilă.

(2)În situația prevăzută la alin. (1), entitatea introduce în Platforma NIS2@RO datele din formularul de notificare transmis anterior, într-un termen de cel mult 20 de zile de la data la care platforma a devenit disponibilă, urmând ca DNSC să valideze și să confirme datele introduse în termen de 10 zile lucrătoare de la data finalizării completării acestora.

(3)DNSC transmite o notificare cu privire la disponibilitatea platformei persoanelor însărcinate cu monitorizarea mijloacelor de contact indicate de către entități în formular.

(4)Entitățile înregistrate în registrul entităților au obligația de a notifica DNSC cu privire la orice modificare a datelor declarate în formularul de notificare, conform prevederilor art. 18 alin. (8) din Ordonanța de urgență a Guvernului nr. 155/2024.

(5)Atunci când modificările operate conform alin. (4) sunt de natură a conduce la schimbarea calității entității din „importantă“ în „esențială“ sau din „esențială“ în „importantă“, entitatea reia procesul de notificare conform prevederilor prezentelor cerințe.

Articolul 13

DNSC asigură respectarea prevederilor Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor).

Articolul 14

Procesul de notificare în vederea înregistrării în registrul entităților nu depășește un termen de 30 de zile de la publicarea în Monitorul Oficial al României, Partea I, a prezentelor cerințe.

Articolul 15

Anexa face parte integrantă din prezentele cerințe.

Anexă

la cerințe

FORMULAR DE NOTIFICARE