Directiva NIS 2 aduce securitatea cibernetică în responsabilitatea conducerii și cere măsuri de gestionare a riscurilor și raportarea incidentelor pentru entitățile vizate. Aplicabilitatea și obligațiile concrete se stabilesc în raport cu activitatea organizației și cadrul național în vigoare.
Prezentarea Comisiei Europene explică domeniul directivei, managementul riscurilor și responsabilitatea conducerii.
Verifică unde se încadrează firma ta: autoevaluare NIS2
Discută cu noi despre audit și conformare NIS2Ordinul DNSC nr. 1/2026: măsurile și metodologia de autoevaluare
Ordinul directorului DNSC nr. 1 din 6 august 2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026, aprobă două instrumente de lucru pentru entitățile esențiale și importante: măsurile de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice și metodologia de autoevaluare a maturității acestor măsuri. Ordinul modifică și metodologia de evaluare a nivelului de risc, aprobată prin Ordinul DNSC nr. 2/2025.
Măsurile sunt organizate pe funcții — guvernare, identificare, protecție, detecție, răspuns și recuperare — și pe niveluri de asigurare: bază, important și esențial. Entitățile implementează controalele nivelului de asigurare corespunzător nivelului lor de risc, stabilit după metodologia aprobată prin Ordinul DNSC nr. 2/2025: un scor general între 0 și 99 înseamnă nivelul de bază, între 100 și 199 nivelul important, iar de la 200 în sus nivelul esențial. Cerințele din reglementări speciale sau sectoriale se evidențiază într-o declarație de aplicabilitate.
Autoevaluarea: documentare și implementare
Pentru fiecare măsură aplicabilă, metodologia cere două aprecieri separate: cât de bine este documentată măsura, prin politici, proceduri și responsabilități, și cât de bine funcționează în practică. Fiecare scor se justifică prin dovezi.
OUG 155/2024 prevede realizarea și transmiterea anuală a autoevaluării către DNSC și, după caz, către autoritatea competentă sectorial, asumată de managementul entității. Prima autoevaluare se face în 60 de zile de la transmiterea evaluării nivelului de risc. Pașii, scorurile și pragurile sunt explicate în ghidul de autoevaluare NIS2 pas cu pas. Cum se calculează nivelul de risc afli din ghidul despre nivelul de risc NIS2, iar cine poate face auditul, din ghidul despre auditul NIS2.
În practică, dovezile de implementare cer cel mai mult timp. Un raport PenTest arată ce vulnerabilități există și, la retestare, dacă remedierea a funcționat. Monitorizarea SOC arată ce evenimente sunt colectate, analizate și escaladate și cine răspunde.
Planul de remediere
Acolo unde nivelul țintă nu este atins, deficiențele se tratează printr-un plan de măsuri: ce lipsește, ce acțiuni urmează, cine răspunde, ce resurse sunt necesare, în ce termen și cum se verifică rezultatul. Pentru entitățile esențiale, OUG 155/2024 cere întocmirea și transmiterea planului, asumat de managementul entității, în 30 de zile de la realizarea autoevaluării.
Un plan credibil pornește de la prioritățile de risc, nu de la o listă de produse. CIO-as-a-Service poate coordona prioritățile, bugetul și responsabilitățile, iar retestarea PenTest confirmă închiderea constatărilor tehnice.
Prima amendă DNSC: 29 septembrie 2026
Pe 29 septembrie 2026, DNSC a aplicat prima amendă în temeiul OUG 155/2024: 50.000 de lei, unui organ de specialitate al administrației publice centrale, pentru nerespectarea termenului de notificare (contravenția prevăzută la art. 60 alin. (1) lit. o)). Sancțiunea nu a pornit de la un incident cibernetic, ci de la o obligație administrativă neîndeplinită la timp. Vezi știrea AGERPRES.
Pentru companii, mesajul este că termenele procedurale contează la fel de mult ca măsurile tehnice. Merită verificați întâi pașii de bază.
Ce verifici acum
- Încadrarea și notificarea. Dacă organizația este entitate esențială sau importantă și dacă s-a notificat la DNSC în vederea înregistrării.
- Evaluarea nivelului de risc. Realizată și transmisă în termenul prevăzut.
- Autoevaluarea. După metodologia din Ordinul DNSC nr. 1/2026, cu scoruri și dovezi pentru documentare și pentru implementare.
- Planul de remediere. Cu responsabili, resurse și termene; pentru entitățile esențiale, transmis în 30 de zile.
- Dovezile tehnice. Rapoarte PenTest și rezultate de retestare, rapoarte SOC, configurații și proceduri documentate.
Pentru calculatorul de maturitate, auditul prin auditori atestați DNSC și suportul TRU, vezi Audit și conformare NIS2.
De la obligații la măsuri organizate
Un program de securitate include oameni, procese și tehnologie. Evaluarea riscurilor, responsabilitățile, continuitatea activității și gestionarea incidentelor trebuie corelate cu infrastructura reală. Achiziția unui produs, luată separat, nu demonstrează conformitatea organizației.
Criptarea se evaluează în contextul utilizării
Proton Business acoperă nativ cerințele de criptare din NIS2: date criptate în tranzit și în stocare, cu acces zero, trafic criptat prin VPN, cheile de criptare în controlul tău, autentificare cu cheie fizică și Proton Pass pentru parole. Fără licențe premium și fără configurări separate. La Proton, criptarea cu acces zero e standard, pentru toate datele, spre deosebire de marile soluții big-tech. La Microsoft 365 și Google Workspace, datele sunt criptate, dar cheile le ține furnizorul. Cheile proprii cer planurile de top. Detaliile sunt în ghidul despre criptarea cerută de NIS2.
La e-mail contează expeditorul, destinatarul și metoda folosită. Mesajele dintre conturi Proton Business beneficiază de criptare end-to-end. Trimiterea obișnuită către alți furnizori nu este implicit end-to-end; sunt disponibile opțiuni dedicate, precum mesaje protejate prin parolă sau PGP. Vezi explicațiile Proton despre criptare.
Protejarea conturilor și dispozitivelor, controlul accesului și măsurile de recuperare rămân relevante în orice configurație. Alegem soluțiile în funcție de riscurile și fluxurile organizației.
Un punct de plecare pentru compania ta
Putem începe cu infrastructura existentă, principalele riscuri și responsabilitățile echipei. Stabilim ce trebuie evaluat, monitorizat sau configurat și cine execută activitățile. Contactează TRU pentru a discuta componentele tehnice și de management ale proiectului.
De la cerințe la activități și dovezi
Folosim serviciile potrivite pentru a construi componentele tehnice și de management ale programului de securitate. Stabilim ce acoperă fiecare proiect și ce rămâne în responsabilitatea organizației.
| Componentă | Contribuția serviciului TRU | Ce documentăm |
|---|---|---|
| Evaluarea vulnerabilităților | PenTest intern și extern, cu recomandări și retestare. | Aria autorizată, constatările, prioritățile și rezultatele reverificării. |
| Gestionarea incidentelor | SOC 24/7/365, cu analiză și escaladare. | Active incluse, contacte, evenimente investigate și acțiuni autorizate. |
| Protecția informațiilor | Proton Business, cu date criptate în tranzit și în stocare, cu acces zero. | Configurația, accesul și metodele de criptare aplicabile comunicărilor. |
| Organizarea programului IT | CIO-as-a-Service, pentru priorități și coordonare. | Planul de acțiune, bugetele și responsabilitățile convenite. |
Ce stabilim înainte de ofertă
Activitatea companiei și cadrul aplicabil, sistemele importante pentru funcționare, evaluările existente, furnizorii și oamenii responsabili. Apoi alegem o arie concretă de testare sau monitorizare și un plan de implementare. Un raport PenTest și un abonament SOC sunt componente ale programului; acestea nu reprezintă un certificat general de conformitate NIS2.
Cadrul de referință
Directiva (UE) 2022/2555 (NIS2), cadrul național instituit prin OUG 155/2024, aprobată cu modificări prin Legea 124/2025, și Ordinul DNSC nr. 1/2026 trebuie analizate împreună cu actele și instrucțiunile aplicabile organizației. Comisia Europeană · OUG 155/2024 · Legea 124/2025 · Ordinul DNSC 1/2026 · Prima amendă DNSC (AGERPRES) · DNSC.