Autoritatea pentru Digitalizarea României (ADR), prin Centrul Național de Coordonare în Securitate Cibernetică (NCC-RO), a aprobat prin Decizia nr. 516/2026 o schemă de ajutor de minimis. Schema ajută IMM-urile să se pregătească pentru Regulamentul (UE) 2024/2.847 (Cyber Resilience Act – CRA), care stabilește cerințe de securitate cibernetică pentru produsele hardware și software. Din septembrie 2026 se aplică obligațiile privind divulgarea coordonată a vulnerabilităților (CVD) și inventarul componentelor software (SBOM).
Thank you for reading this post, don't forget to subscribe!Buget și calendar
Bugetul total este de 2.000.000 euro: 1.000.000 euro din Programul Europa Digitală și 1.000.000 euro de la bugetul de stat. Din această sumă, 600.000 euro sunt alocați pentru 2026 și 1.400.000 euro pentru 2027. Schema este în vigoare din 28 septembrie 2026 (Monitorul Oficial nr. 821) și se aplică până la epuizarea fondurilor, dar nu mai târziu de 31 martie 2028. Plățile se pot face până la 30 iunie 2029. Se estimează că vor fi sprijinite aproximativ 266 de întreprinderi din toate regiunile țării.
Cine poate primi bani?
Pot aplica IMM-urile din România care dezvoltă, produc, integrează, distribuie sau folosesc produse digitale cărora li se aplică CRA. Eligibilitatea se stabilește după codul CAEN autorizat, în trei sectoare:
- Hardware, IoT și electronice: fabricarea de componente electronice, calculatoare, echipamente de comunicații și echipamente electrice.
- Software și servicii IT: sunt eligibile doar dacă produsul evaluat este un produs cu elemente digitale pus pe piață sau o componentă a unui astfel de produs.
- Telecomunicații și platforme digitale: rețele de telecomunicații, prelucrarea datelor, administrarea paginilor web și portaluri web.
Sunt excluse agricultura, pescuitul, siderurgia, cărbunele, transporturile, energia, combustibilii fosili, jocurile de noroc și produsele erotice. O întreprindere unică poate primi în total cel mult 300.000 euro ajutor de minimis pe 3 ani (Regulamentul (UE) 2023/2.831).
Cum se aplică: prin consorții
Cererea o depune un lider de consorțiu, adică un furnizor de servicii de securitate cibernetică. Acesta trebuie să aibă certificare ISO/IEC 27001 sau un expert senior certificat CISSP, CISA, CISM ori OSCP. Experiența în ISO 27001, IEC 62443, NIST CSF sau NIS2 este considerată echivalentă. Fiecare consorțiu cuprinde între 3 și 5 IMM-uri. Se semnează un contract tripartit între ADR/NCC-RO, liderul de consorțiu și IMM-uri.
Liderul nu primește ajutor de minimis. El încasează doar plata serviciilor la prețul pieței, iar ADR verifică tarifele pe baza devizelor pe om-ore.
Pachete de servicii
Grantul acoperă maximum 75% din valoarea eligibilă. IMM-ul plătește restul de minimum 25%, plus TVA-ul neeligibil și costurile de publicitate. Schema finanțează doar diagnoza și pregătirea. Nu sunt eligibile dezvoltarea de software, cercetarea, echipamentele, licențele, remedierea sau certificarea finală. Fiecare IMM primește un singur pachet:
| Pachet | Ce include | Valoare eligibilă / grant maxim |
| P1 – Diagnoză inițială | aplicabilitate CRA, gap analysis față de anexa I, maturitate SBOM, training managerial | 10.000 € / 7.500 € |
| P2 – Evaluare tehnică | P1 + scanare de vulnerabilități (CVSS), evaluare procese de dezvoltare, training IT/DevOps | 25.000 € / 18.750 € |
| P3 – Audit și testare | P2 + audit Secure SDLC, CI/CD, politică CVD, testare de penetrare | 45.000 € / 33.750 € |
| P4 – Portofolii complexe | P3 + optimizare SDLC complex, formare pentru arhitecți și conducere | 60.000 € / 45.000 € |
Livrabile obligatorii:
- Pentru toate pachetele (P1–P4): raportul de evaluare CRA (L1), registrul gapurilor (L2) și fișa de date anonimizate în format JSON (L5).
- Pentru P2–P4: planul de formare (L3) și raportul Vulnerability Assessment (L6).
- Pentru P3–P4: raportul de maturitate Secure SDLC (L4) și raportul Penetration Testing (L7).
Plăți și control
Grantul se plătește ca sumă forfetară (lump sum), conform Regulamentului (UE, Euratom) 2024/2.509, deci nu sunt necesare documente justificative pentru fiecare cheltuială. Banii intră în contul liderului de consorțiu, fără prefinanțare, în două tranșe:
- 30%: după ce NCC-RO acceptă rapoartele preliminare L1 și L2 pentru toate IMM-urile din consorțiu.
- 70%: în 60 de zile de la aprobarea raportului final și a tuturor livrabilelor.
Dacă proiectul este realizat parțial, grantul scade proporțional. Dacă nu este realizat, banii se pot recupera integral. Datele se raportează în RegAS, iar documentele se păstrează 10 ani. În caz de nereguli, ADR emite decizii de recuperare cu titlu executoriu. Sumele de recuperat poartă dobândă compusă: rata pieței plus 100 de puncte de bază.