DIRECTIVE NIS2 : OBLIGATION DE NOTIFICATION POUR LES ENTITÉS CONCERNÉES, APRÈS LA PUBLICATION DES NORMES D’APPLICATION

Avec un retard de près de six mois par rapport au délai initialement annoncé (31 mars 2025), les normes d’application de la Directive NIS2¹  ont été publiées, par l’intermédiaire de l’Ordre n° 1/2025 portant approbation des Exigences relatives au processus de notification en vue de l’enregistrement et de la méthode de transmission des informations, et de l’Ordre n° 2/2025 portant approbation des Critères et seuils de détermination du degré de perturbation d’un service ainsi que de la Méthodologie d’évaluation du niveau de risque des entités, émis par le Directorat National de la Sécurité Cybernétique (DNSC) et publiés au Journal Officiel n° 776 du 20 août 2025.

Pour plus d’informations concernant la Directive NIS2, voir aussi notre article précédent : https://www.gruiadufaut.com/posts/transposition-de-la-directive-nis2-quelles-obligations-pour-les-entreprises-en-roumanie

Délai de notification

Selon les nouvelles réglementations, les entités visées par l’OUG n° 155/2024 ont l’obligation de notifier le DNSC quant à leur qualification en tant qu’entité essentielle ou importante, et ce au plus tard le 19 septembre 2025.

Dans l’attente de la mise en service de la plateforme digitale NIS2 annoncée, les notifications peuvent être transmises par l’intermédiaire de l’Outil NIS2 disponible sur le site du DNSC, qui génère un formulaire au format PDF, lequel doit être signé par le représentant légal et envoyé par courrier électronique².

Dès que la plateforme sera opérationnelle, chaque entité concernée aura l’obligation de créer son propre compte.

Le formulaire de notification est structuré en six sections :

• Données générales : dénomination et identification de l’entité, le cas échéant numéro d’enregistrement dans d’autres registres nationaux pour les entités non enregistrées en Roumanie, coordonnées, activité principale et, le cas échéant, secondaire autorisée (CAEN). Les codes CAEN secondaires autorisés correspondant aux secteurs et sous-secteurs figurant aux annexes n° 1 et 2 de l’OUG n° 155/2024 doivent être indiqués.
• Données spécifiques : dimension de l’entité (nombre d’employés, chiffre d’affaires, actifs), secteur et sous-secteur d’activité, données concernant le responsable de la sécurité cybernétique³ (lorsque celui-ci est déjà désigné ) et les personnes de contact, intervalles d’adresses IP publiques, présence dans d’autres États membres de l’UE.
• Situations spécifiques : résultats de l’autoévaluation de l’impact de la perturbation des services, statut d’entité critique (si elle a été ou non identifiée comme tel), analyse de la dépendance aux infrastructures IT&C d’intérêt national ou du rôle de fournisseur unique d’un service essentiel.
• Documents annexés : il est obligatoire de joindre les documents prévus par les dispositions légales, tels que les actes relatifs à la dimension de l’entité (extraits ONRC, états financiers, déclarations sur l’honneur), les résultats de l’autoévaluation et, le cas échéant, les documents supplémentaires demandés par le DNSC.
• Évaluation préliminaire : proposition de qualification en tant qu’entité essentielle ou importante, à la suite de l’autoévaluation effectuée conformément à l’OUG n° 155/2024 et aux exigences prévues par l’Arrêté n° 1/2025.
• Représentation de l’entité : données d’identification, fonction exercée et signature du représentant légal.

Enfin, la notification doit être signée au moyen d’une signature électronique qualifiée. En cas de transmission par l’Outil NIS2, l’utilisation d’une signature manuscrite est également permise.

Notes

1. La Directive (UE) 2022/2555, connue sous le nom de Directive NIS2, constitue le nouveau cadre européen en matière de cybersécurité, adoptée en 2022 et remplaçant la Directive NIS de 2016. Elle élargit les catégories d’entités concernées (énergie, transports, santé, infrastructures numériques, administration publique, services postaux, secteur alimentaire, technologies de l’information, etc.), introduit des obligations claires en matière de mise en œuvre de mesures de sécurité et de notification des incidents, ainsi que des sanctions sévères (amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial). Les États membres doivent la mettre en œuvre par le biais de leur législation nationale à compter du 17 octobre 2024 ; en Roumanie, elle a été transposée par l’OUG n° 155/2024.
2. L’adresse électronique est : evidenta@dnsc.ro
3. Conformément aux modifications récentes apportées à l’OUG n° 155/2024, les entités disposent d’un délai de 30 jours à compter de la réception de la notification d’inscription au registre du DNSC pour désigner cette personne.