Entitate esențială vs. entitate importantă: diferențele care îți schimbă obligațiile NIS2
„Suntem entitate esențială sau importantă?" — este a doua întrebare pe care ne-o pun firmele, imediat după „intrăm sub NIS2?". Răspunsul contează mai mult decât pare: de statut depind intensitatea supravegherii DNSC, plafonul amenzilor și presiunea pe calendarul tău de conformare. Iată criteriile și consecințele, pe înțelesul managerilor.
Cum se stabilește statutul
Încadrarea combină două criterii din OUG 155/2024:
- Sectorul: anexa sectoarelor cu criticitate ridicată (energie, transport, bancar, sănătate, apă, infrastructură digitală, TIC gestionat, administrație publică, spațiu) generează în principal entități esențiale; anexa celorlalte sectoare critice (poștă, deșeuri, chimice, alimentar, producție, furnizori digitali, cercetare) generează entități importante;
- Mărimea: în linii mari, întreprinderile mari (250+ angajați sau 50+ milioane EUR cifră de afaceri) din sectoarele înalt critice devin esențiale; întreprinderile mijlocii din aceleași sectoare și firmele mari/mijlocii din celelalte sectoare devin de regulă importante.
Există și încadrări speciale indiferent de mărime: furnizori de servicii de încredere calificați, registre TLD și furnizori DNS, furnizori unici ai unui serviciu esențial, administrația publică centrală. Verifică sectoarele și pragurile în detaliu în ghidul de încadrare.
Diferențele practice, față în față
| Entitate esențială | Entitate importantă | |
|---|---|---|
| Supraveghere | Ex ante — controale planificate și inopinate, fără să fie nevoie de un incident | Ex post — controale de regulă după incidente, sesizări sau indicii de neconformitate |
| Amenda maximă | 10 mil. EUR sau 2% din cifra de afaceri mondială | 7 mil. EUR sau 1,4% din cifra de afaceri mondială |
| Sancțiuni suplimentare | Inclusiv suspendarea temporară a autorizațiilor și interdicții pentru conducere | Set similar, aplicat de regulă în urma controalelor ex post |
| Măsuri de securitate | În esență aceleași — cele 10 categorii de măsuri din lege, proporțional cu riscul | |
| Notificarea incidentelor | Identică: 24 h / 72 h / 30 de zile (detalii) | |
| Audit de securitate | Obligatoriu pentru ambele, cu periodicitate stabilită de DNSC în funcție de nivelul de risc | |
Ce înseamnă asta strategic pentru firma ta
Dacă ești entitate esențială
Controlul nu e o ipoteză, e o certitudine statistică: DNSC te poate verifica oricând, fără să aștepte un incident. Prioritatea ta este să ai dosarul de conformitate permanent pregătit: măsuri implementate și documentate, evaluarea de risc la zi, raport de audit valid de la un auditor atestat DNSC.
Dacă ești entitate importantă
Tentația e să lași garda jos — „vin doar dacă avem un incident". Exact acesta e riscul: controlul ex post vine în cel mai prost moment posibil, imediat după un incident, când orice lipsă devine circumstanță agravantă. Pregătirea din timp este singura poliță de asigurare reală — începe cu checklist-ul de pregătire.
Întrebări frecvente
Pot trece dintr-o categorie în alta?
Da — dacă firma crește peste praguri, își schimbă obiectul de activitate sau devine furnizor unic al unui serviciu esențial. Orice modificare relevantă se comunică DNSC în 14 zile și poate atrage o nouă decizie de încadrare.
Ca entitate importantă, pot fi verificat fără incident?
Da, dacă există indicii de neconformitate sau sesizări. „Ex post" descrie regimul obișnuit, nu o garanție de liniște.
Diferă costul conformării între cele două?
Măsurile de bază sunt aceleași, deci diferența de cost e dată mai mult de mărimea și complexitatea firmei decât de statut. Vezi analiza factorilor de cost.
Vrei să știi sigur în ce categorie ești?
Îți analizăm activitatea, mărimea și serviciile și îți spunem statutul probabil, obligațiile și calendarul — înainte să o facă DNSC printr-o decizie.
Cere o analiză pe auditornis2.ro