Firma intră sub NIS2? Codul CAEN nu decide singur

Pentru a verifica preliminar dacă firma intră sub NIS2 în România, identifică serviciul furnizat efectiv și sectorul corespunzător, apoi analizează dimensiunea, situațiile speciale și efectul unei perturbări. Directiva NIS 2 stabilește domeniul de aplicare prin tipul entității și criteriul dimensiunii, cu excepții pentru anumite categorii.

Codul CAEN ajută la identificarea activității declarate, dar nu arată singur ce serviciu prestează firma. Cerințele românești de notificare solicită distinct codurile CAEN, indicatorii de dimensiune și sectorul, subsectorul și tipul serviciilor furnizate. Rezultatul verificării este o propunere de încadrare; DNSC analizează notificarea înainte de înscrierea în registrul entităților esențiale sau importante.

Pasul 1: identifică sectorul și serviciul real

Începe cu serviciile pe care firma le oferă beneficiarilor, inclusiv prin activități secundare autorizate. Descrie ce primește clientul, cine operează serviciul și dacă acesta corespunde unui tip de entitate din anexele sectoriale. Un cod principal cu o denumire generală poate ascunde o activitate relevantă, după cum un cod apropiat de denumirea unui sector nu dovedește prestarea serviciului definit acolo.

Lista sectoarelor cuprinde, între altele, energia, transporturile, sănătatea, apa potabilă, infrastructura digitală și gestionarea serviciilor TIC. Sunt acoperite și anumite activități din industria prelucrătoare, serviciile poștale, gestionarea deșeurilor și furnizarea unor servicii digitale. Pentru fiecare activitate posibil relevantă, compară operațiunile reale cu descrierea tipului de entitate, nu doar cu numele sectorului.

Ca exemplu ipotetic, o firmă care administrează de la distanță sistemele informatice ale clienților trebuie să examineze categoria furnizorilor de servicii gestionate. Folosirea unor sisteme similare exclusiv pentru propria contabilitate descrie altă activitate. Contractele și descrierea serviciilor ajută la lămurirea diferenței.

Pasul 2: stabilește dimensiunea firmei

După identificarea unei activități acoperite, determină dacă organizația este întreprindere mijlocie sau mare potrivit regulilor aplicabile. Pregătește numărul mediu anual de salariați, cifra de afaceri anuală netă și totalul activelor. Numărul angajaților, privit izolat, nu este suficient pentru această clasificare.

În regula generală, o întreprindere mare din sectoarele de importanță critică ridicată este entitate esențială. Întreprinderile mijlocii sau mari din sectoarele acoperite, care nu sunt calificate drept esențiale, pot fi entități importante. Categoria finală depinde și de serviciul identificat, astfel că dimensiunea se aplică activității relevante, nu tuturor firmelor dintr-o ramură economică luate laolaltă.

Dacă există întreprinderi partenere sau legate, verifică regulile de agregare a datelor înainte de a declara mărimea firmei. Păstrează indicatorii și documentele pe care se bazează calculul. Acest punct poate necesita interpretare juridică și contabilă specializată, mai ales când structura grupului sau controlul asupra altor societăți nu sunt evidente.

Pasul 3: verifică regulile speciale

O firmă mică nu poate încheia verificarea doar pentru că se află sub pragul obișnuit de dimensiune. Furnizorii de servicii DNS, prestatorii de servicii de încredere calificați și registrele de nume TLD sunt categorii esențiale indiferent de mărime. Pentru furnizorii de rețele sau servicii de comunicații electronice destinate publicului și pentru alți prestatori de servicii de încredere se aplică reguli distincte de calificare.

Verifică separat dacă organizația a fost identificată drept entitate critică și dacă este unicul furnizor în România al unui serviciu necesar unor activități societale sau economice critice. În aceste situații, contează statutul concret al entității și serviciul pe care îl furnizează. Când concluzia depinde de contracte, de definiția exactă a serviciului sau de prezența firmei în mai multe state, este necesară o analiză juridică specializată.

Pasul 4: evaluează efectul perturbării

Pentru serviciile relevante, estimează consecințele întreruperii, ale afectării confidențialității sau ale funcționării defectuoase. Analiza privește, după caz, persoanele afectate, economia, sănătatea, siguranța publică și efectele asupra altor sectoare ori peste graniță. Notează pe ce date se sprijină estimarea: beneficiarii dependenți de serviciu, alternativele disponibile și aria în care s-ar putea propaga efectele.

Ordinul DNSC nr. 2/2025 stabilește evaluarea gradului de perturbare și legătura dintre pragurile de impact și calificarea entităților. Pentru anumite entități din sectoarele acoperite, un impact ridicat poate conduce la calificarea drept entitate esențială, iar unul mediu la calificarea drept entitate importantă, în condițiile ordinului.

Evaluarea perturbării folosită la încadrarea inițială trebuie deosebită de scorul general de risc calculat pentru stabilirea măsurilor de securitate. Ordinul cere recalcularea acestui scor o dată la trei ani și când este depășit pragul ridicat al impactului, cu excepția prevăzută pentru entitățile care aplică deja cel mai înalt nivel de măsuri. Schimbările care pot modifica încadrarea trebuie analizate atunci când apar.

Ce pregătești pentru notificare

Dacă verificarea indică o posibilă încadrare, adună datele înainte de completarea formularului NIS2@RO. Pentru identificare sunt necesare denumirea și CUI-ul firmei, sediul și datele de contact, codul CAEN principal și codurile secundare autorizate relevante. Pentru activitate sunt cerute sectorul, subsectorul și tipul serviciilor furnizate.

Pentru dimensiune, pregătește indicatorii privind salariații, cifra de afaceri și activele, împreună cu documente justificative precum extrase din registrul comerțului ori date din situațiile financiare.
Pentru contact, pregătește mijloacele permanente de comunicare și datele persoanei care le monitorizează. Dacă responsabilul cu securitatea cibernetică a fost deja desemnat, sunt cerute și datele sale.
Pentru activitate și prezență, pregătește statele membre în care furnizezi servicii relevante, adresele celorlalte sedii din Uniunea Europeană și intervalele de adrese IP publice ale entității.
Pentru situațiile speciale, pregătește rezultatul autoevaluării impactului, informațiile privind statutul de entitate critică sau de furnizor unic și documentele justificative aplicabile.

Reprezentantul legal verifică și semnează formularul; încărcarea lui în platformă cere semnătură electronică calificată. Platforma NIS2@RO este metoda principală de transmitere, iar procedura prevede și metode alternative când aceasta nu este disponibilă. DNSC poate solicita clarificări înainte de decizie. După înregistrare, modificările datelor declarate se notifică, iar schimbarea categoriei din „importantă” în „esențială” sau invers impune reluarea notificării.

Citește și: