Pe 27 august 2026 a fost publicat Ordinul DNSC nr. 1/2026, care aprobă măsurile de gestionare a riscurilor de securitate cibernetică pentru entitățile esențiale și importante și metodologia de autoevaluare a maturității acestora. Acesta clarifică modul în care companiile care intră sub incidența NIS2, transpusă în România prin OUG nr. 155/2024, trebuie să își evalueze și să își demonstreze măsurile de securitate.
Cerințele devin mai clare, iar implementarea lor poate fi evaluată și demonstrată mai riguros.
Nu mai este suficient să existe antivirus, firewall și câteva politici. Compania trebuie să poată demonstra că riscurile sunt identificate, măsurile sunt implementate, responsabilitățile sunt clare, iar deficiențele sunt urmărite și remediate.
Ce aduce Ordinul DNSC nr. 1/2026
Ordinul nr. 1/2026 aprobă două componente esențiale:
-
- măsurile de gestionare a riscurilor de securitate cibernetică;
- metodologia de autoevaluare a maturității acestor măsuri;
Pentru companii, întrebarea devine una foarte practică:
„Ce înseamnă, în mod real, să avem măsurile NIS2 implementate?”
Răspunsul nu mai poate fi doar o listă de produse sau tehnologii.
Trebuie să existe un proces clar prin care riscurile sunt evaluate, măsurile sunt implementate, iar rezultatele sunt verificate periodic.
Unde se încadrează CyFun
Ordinul nr. 1/2026 aprobă oficial o metodologie de autoevaluare a maturității, prevăzută în Anexa nr. 2 a ordinului.
DNSC utilizează cadrul CyberFundamentals – CyFun în evaluarea maturității cibernetice, iar din 4 septembrie 2026 sunt disponibile instrumentele oficiale de autoevaluare corespunzătoare nivelurilor de asigurare.
De unde începe calendarul obligațiilor
Nu există o singură dată-limită valabilă pentru toate companiile.
O parte dintre termene se calculează în funcție de momentul în care DNSC comunică entității decizia de identificare și înscriere în registru.
De la această dată se calculează termenele aplicabile entității.
| Moment | Acțiune principală |
|---|---|
| Decizia DNSC | Punctul de referință pentru calcularea termenelor aplicabile entității |
| +30 zile | Desemnarea responsabilului pentru securitatea rețelelor și sistemelor informatice |
| +60 zile | Transmiterea evaluării nivelului de risc |
| Următoarele 60 zile | Autoevaluarea nivelului de maturitate prin instrumentele oficiale DNSC |
| +30 zile după autoevaluare | Entități esențiale: transmiterea planului de măsuri pentru remedierea deficiențelor identificate |
OUG nr. 155/2024 stabilește obligația transmiterii evaluării nivelului de risc în termen de 60 de zile de la comunicarea deciziei DNSC, iar autoevaluarea nivelului de maturitate trebuie realizată în următoarele 60 de zile de la transmiterea evaluării nivelului de risc.
Calendarul concret trebuie verificat pentru fiecare organizație în funcție de categoria entității, obligațiile aplicabile și data comunicării deciziei DNSC.
1. Desemnarea responsabilului
Organizația trebuie să desemneze persoana sau persoanele responsabile pentru securitatea rețelelor și sistemelor informatice, conform cerințelor aplicabile.
Termenul prevăzut de OUG nr. 155/2024 este de 30 de zile de la comunicarea deciziei DNSC.
Rolul nu trebuie confundat cu simpla administrare IT.
Un administrator IT poate configura sisteme, conturi, firewall-uri sau backupuri.
Responsabilul pentru securitatea rețelelor și sistemelor informatice trebuie însă să urmărească și coordonarea măsurilor de securitate, riscurile, relația cu managementul, obligațiile aplicabile și existența dovezilor.
Este o funcție de guvernanță a securității, nu doar una tehnică.
2. Evaluarea nivelului de risc
Evaluarea nivelului de risc trebuie să arate managementului unde este expusă compania.
Aceasta ar trebui să răspundă la întrebări precum:
-
- ce servicii critice oferă organizația;
- de ce sisteme depind acestea;
- ce date și active sunt importante;
- ce amenințări sunt relevante;
- ce vulnerabilități există;
- ce impact ar avea indisponibilitatea sistemelor;
- ce riscuri sunt acceptabile și care trebuie tratate;
O evaluare de risc făcută doar pentru bifarea unei obligații administrative pierde exact valoarea pe care ar trebui să o aducă managementului.
Rezultatul trebuie să arate ce riscuri trebuie tratate mai întâi.
Dacă există zece probleme de securitate, managementul trebuie să știe care sunt cele două sau trei care pot produce cel mai mare impact asupra activității companiei.
Nivelul de risc determină și nivelul de asigurare
Ordinul nr. 1/2026 introduce o legătură importantă între evaluarea riscului și controalele care trebuie implementate.
Entitățile esențiale și importante trebuie să implementeze controalele aferente nivelului de asigurare corespunzător nivelului lor de risc, determinat conform metodologiei aprobate prin Ordinul DNSC nr. 2/2025.
Evaluarea nivelului de risc nu este, prin urmare, doar un document administrativ.
Ea influențează nivelul de asigurare și, implicit, controalele aplicabile organizației.
Obiectivul nu este aplicarea mecanică a tuturor măsurilor posibile, ci implementarea controalelor aplicabile profilului de risc și reducerea riscurilor care pot produce cel mai mare impact.
3. Autoevaluarea nivelului de maturitate
După evaluarea nivelului de risc urmează autoevaluarea maturității măsurilor implementate.
Nu mai este suficient să spui:
„Avem backup.”
Întrebările relevante devin:
-
- cine răspunde de backup;
- este monitorizat;
- este protejat împotriva atacurilor ransomware;
- când a fost realizat ultimul test de restaurare;
- există dovada documentată a testului;
Același principiu se aplică pentru controlul accesului, gestionarea actualizărilor de securitate, managementul vulnerabilităților, răspunsul la incidente, continuitatea activității sau securitatea furnizorilor.
NIS2 mută accentul de la existența unei măsuri de securitate la capacitatea organizației de a demonstra că acea măsură funcționează.
Autoevaluarea nu se face o singură dată
Autoevaluarea inițială nu încheie procesul.
OUG nr. 155/2024 prevede că entitățile esențiale și importante trebuie să realizeze și să transmită anual autoevaluarea nivelului de maturitate, iar aceasta trebuie asumată de management.
Această obligație transformă NIS2 dintr-un proiect punctual într-un proces recurent de evaluare și îmbunătățire.
Din 4 septembrie 2026 sunt disponibile instrumentele oficiale de autoevaluare
Pe 4 septembrie 2026, DNSC a anunțat disponibilitatea instrumentelor oficiale pentru autoevaluarea maturității măsurilor de gestionare a riscurilor de securitate cibernetică, corespunzătoare nivelurilor de asigurare aplicabile.
Pentru entitățile care au primit validarea scorului general al nivelului de risc, acesta este pasul practic următor: realizarea autoevaluării maturității prin instrumentele puse la dispoziție de DNSC.
Evaluarea se realizează prin platforma NIS2@RO sau, atunci când aceasta nu este disponibilă, prin instrumentul oficial aferent nivelului de asigurare aplicabil entității.
Pentru management și Responsabilul NIS2, consecința este clară: autoevaluarea nu mai este doar o cerință de pregătit, ci un proces care trebuie realizat efectiv cu instrumentele oficiale DNSC și în termenul aplicabil organizației.
Ce domenii trebuie să acopere măsurile NIS2
Cerințele de gestionare a riscurilor acoperă, printre altele:
-
- analiza riscurilor și securitatea sistemelor;
- controlul accesului și gestionarea activelor;
- managementul vulnerabilităților;
- securitatea furnizorilor și a lanțului de aprovizionare;
- managementul incidentelor;
- backup, recuperarea sistemelor și continuitatea activității;
- securitatea resurselor umane;
- instruirea și igiena cibernetică;
- autentificarea multifactor;
Lista nu este exhaustivă.
NIS2 nu poate fi tratat exclusiv de departamentul IT.
Sunt implicate managementul, IT-ul, HR-ul, juridicul, achizițiile, furnizorii și responsabilii proceselor critice din companie.
Planul de remediere și măsurile corective
Rezultatul evaluărilor nu ar trebui să rămână într-un raport.
Aici trebuie făcută o diferență între entitățile esențiale și cele importante.
Pentru entitățile esențiale
OUG nr. 155/2024 prevede că entitățile esențiale trebuie să întocmească și să transmită DNSC, în termen de 30 de zile de la realizarea autoevaluării, un plan de măsuri pentru remedierea deficiențelor identificate.
Planul trebuie să fie asumat de management.
Pentru entitățile importante
Articolul care introduce termenul de 30 de zile pentru planul formal de remediere nu stabilește aceeași obligație pentru entitățile importante.
Aceasta nu înseamnă însă că deficiențele identificate pot rămâne nerezolvate.
OUG nr. 155/2024 obligă organele de conducere ale entităților esențiale și importante să aplice, fără întârzieri nejustificate, măsurile corective necesare atunci când constată că cerințele nu sunt respectate.
Indiferent de categoria entității, rezultatul autoevaluării ar trebui transformat într-un plan de măsuri care să conțină cel puțin:
-
- deficiența identificată;
- riscul asociat;
- măsura propusă;
- responsabilul;
- termenul;
- bugetul;
- dovada de implementare;
În felul acesta, autoevaluarea nu rămâne doar un document de conformitate, ci devine baza deciziilor privind remedierea.
Excepție sectorială: Ordinul nr. 1/2026 introduce și excepții pentru anumite entități cărora li se aplică Regulamentul DORA. În aceste cazuri, obligațiile privind evaluarea nivelului de risc trebuie analizate în raport cu regimul sectorial aplicabil. De aceea, calendarul și obligațiile nu trebuie aplicate automat tuturor organizațiilor.
Managementul nu poate delega NIS2 către IT
Una dintre reacțiile frecvente este:
„Se ocupă IT-ul de NIS2.”
Este o abordare incompletă.
IT-ul poate implementa o mare parte dintre măsurile tehnice.
Responsabilul NIS poate coordona activitățile.
Consultanții pot sprijini implementarea.
Auditorii pot evalua situația.
Dar managementul trebuie să știe:
-
- care sunt riscurile importante;
- ce măsuri lipsesc;
- ce riscuri sunt acceptate;
- ce investiții sunt necesare;
- cine răspunde de implementare;
- dacă măsurile funcționează;
- ce dovezi există;
OUG nr. 155/2024 stabilește obligații directe pentru organele de conducere privind aprobarea măsurilor de gestionare a riscurilor și supravegherea implementării acestora.
Responsabilitatea operațională poate fi distribuită. Răspunderea managerială nu poate fi pur și simplu transferată către IT.
NIS2 nu înseamnă să implementezi toate măsurile posibile
O greșeală este transformarea conformării într-un checklist.
„Avem MFA?”
Da.
„Avem backup?”
Da.
„Avem firewall?”
Da.
Bifat.
Dar securitatea nu funcționează așa.
O măsură de securitate trebuie evaluată în raport cu:
riscul pe care îl reduce, activele pe care le protejează și impactul pe care un incident l-ar putea produce asupra activității companiei.
Mai mult, Ordinul nr. 1/2026 corelează controalele aplicabile cu nivelul de risc și cu nivelul de asigurare al entității.
Nu toate companiile au aceleași priorități.
O companie de producție dependentă de ERP și sisteme industriale poate avea un profil de risc foarte diferit de o companie care operează aproape integral în Microsoft 365.
De aceea, securitatea eficientă nu începe cu întrebarea:
„Ce soluție trebuie să cumpărăm?”
Ci cu:
„Care sunt riscurile care ne pot afecta cel mai grav activitatea?”
De la conformitate declarată la conformitate demonstrabilă
Este relativ ușor să spui:
„Avem politici.”
„Avem backup.”
„Facem actualizările de securitate.”
„Avem procedură de răspuns la incidente.”
Este mult mai dificil să demonstrezi:
-
- când a fost aprobată politica;
- cine răspunde de măsura respectivă;
- când a fost verificată;
- ce rezultat a avut verificarea;
- ce deficiențe au fost găsite;
- cine trebuie să le remedieze;
- până când;
- dacă măsura a redus efectiv riscul;
Conformitatea demonstrabilă înseamnă să poți prezenta dovezi că măsurile există, funcționează și sunt monitorizate.
7 întrebări pe care ar trebui să ți le pui acum
1. Ai clarificat încadrarea și situația înregistrării la DNSC?
Trebuie să știi dacă organizația intră în domeniul de aplicare și care este stadiul procesului de înregistrare.
2. Știi exact de la ce date curg termenele?
Calendarul trebuie construit pentru situația concretă a organizației tale, nu preluat dintr-o cronologie generică.
3. Ai desemnat responsabilul și are acesta autoritatea necesară?
Un rol nominal, fără acces la management, resurse și informații, nu este suficient.
4. Ai o evaluare reală a riscurilor?
Nu doar o listă de vulnerabilități tehnice, ci o evaluare care leagă riscurile de impactul asupra activității companiei tale.
5. Știi ce nivel de asigurare ți se aplică și ce controale rezultă din acesta?
Nivelul de risc trebuie tradus în controalele pe care trebuie să le implementezi.
6. Poți demonstra măsurile implementate?
Politicile, rapoartele, testele, logurile, aprobările și evidențele trebuie să susțină ceea ce declari.
7. Ai un plan de remediere și urmărire?
Trebuie să știi ce se rezolvă, cine răspunde, cât costă, când se finalizează și cum va fi verificat rezultatul.
Dacă răspunsurile la aceste întrebări sunt neclare, problema nu este doar una de conformitate.
Este un semn că nu ai încă suficientă vizibilitate asupra riscului cibernetic al organizației.
Cum arată o companie care are NIS2 sub control
Obiectivul nu ar trebui să fie obținerea unui scor cât mai bun la o autoevaluare.
Ar trebui să poți spune, cu dovezi, la următoarele întrebări:
Știi care sunt riscurile importante?
Știi ce nivel de asigurare ți se aplică?
Știi ce măsuri ai implementat?
Știi ce îți lipsește?
Știi cine răspunde?
Știi ce trebuie făcut în continuare?
Aceasta este diferența dintre securitatea bazată pe presupuneri și securitatea administrată.
Ai primit decizia DNSC sau te pregătești pentru evaluarea de risc?
Dacă ai primit decizia DNSC, următorul pas este să stabilești calendarul obligațiilor și ce trebuie făcut mai întâi.
Trebuie să clarifici:
care sunt obligațiile aplicabile organizației, de când curg termenele, care este nivelul de risc și nivelul de asigurare aplicabil, ce măsuri sunt deja implementate, ce lipsește și ce trebuie prioritizat.
Prin serviciul de Responsabil NIS2 Externalizat, ajut managementul și echipa IT să transforme aceste obligații într-un proces clar și ușor de urmărit: calendar, evaluarea riscurilor, priorități, responsabilități, plan de remediere și dovezi.
Articole recomandate
Directiva NIS2: Cum te afectează chiar dacă nu ești „infrastructură critică”
NIS2 nu vizează doar „infrastructura critică” — poate deveni o condiție de eligibilitate comercială pentru orice furnizor B2B. Vezi dacă directiva te afectează și pe tine.
Întrebări despre riscul cibernetic la care managementul ar trebui să știe răspunsul
Un consiliu de administrație ar trebui să poată răspunde la câteva întrebări esențiale despre riscul cibernetic. Verifică dacă managementul tău le știe.