Entitățile esențiale și importante desemnează responsabilii cu securitatea rețelelor și sistemelor informatice în termen de 30 de zile de la comunicarea deciziei directorului DNSC. La entitățile esențiale mai mari, persoana trebuie să aibă autoritate managerială, să fie subordonată direct conducerii și să funcționeze independent de IT. Răspunderea pentru măsuri rămâne la conducere, indiferent cine ocupă rolul.
Ce spune legea
Articolul 14 din OUG 155/2024 pune securitatea cibernetică în sarcina conducerii. Organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează implementarea lor și răspund pentru încălcări. Tot ele urmează cursuri de formare acreditate și asigură instruirea angajaților.
Același articol le cere să stabilească canale de contact permanente, să aloce resursele necesare și să desemneze responsabilii cu securitatea rețelelor și sistemelor informatice. Termenul este de 30 de zile de la comunicarea deciziei directorului DNSC prin care entitatea este înregistrată ca esențială sau importantă.
Pentru entitățile esențiale, altele decât cele din administrația publică, microîntreprinderile și întreprinderile mici, art. 14 alin. (4) adaugă condiții cumulative pentru persoana desemnată:
- are autoritate managerială;
- este subordonată direct organelor de conducere ale entității;
- funcționează independent de structurile IT și de tehnologie operațională;
- are acces la resursele necesare pentru supravegherea și implementarea măsurilor;
- a obținut un curs de specialitate acreditat, recunoscut de DNSC, în cel mult 12 luni de la desemnare.
Pentru entitățile importante și pentru entitățile esențiale mici, obligația de desemnare rămâne, dar fără aceste condiții.
Cine poate fi responsabil NIS2
- Un angajat cu autoritate
- Varianta firească acolo unde există deja un director de securitate sau un manager de risc, cu autoritate și buget. Condiția de independență față de IT înseamnă că, la entitățile esențiale mari, șeful IT nu poate cumula rolul: ar supraveghea propriile măsuri.
- Un consultant extern, prin mandat
- Legea folosește verbul „desemnează” și nu condiționează rolul de un contract de muncă. Un responsabil extern îndeplinește condițiile prin decizia de numire și un mandat scris: subordonare directă conducerii, acces la sisteme și documente, autoritatea de a cere măsuri furnizorilor. Răspunderea rămâne la conducere.
- Ce nu funcționează
- Un nume trecut în formular, fără timp, acces și autoritate. La audit și la control, DNSC caută dovezi că rolul este exercitat: evaluări, planuri, rapoarte, decizii.
Intern sau externalizat
Întrebarea reală este cine are timpul și competența, nu unde este angajat.
| Criteriu | Responsabil intern | Responsabil externalizat |
|---|---|---|
| Cost | Salariu, taxe, instruire. Un specialist cu experiență este scump și greu de găsit. | Abonament lunar, o fracție din costul unui angajat. Plătești timpul folosit. |
| Independența față de IT | Greu de obținut acolo unde IT-ul are 2–5 oameni și toți operează sisteme. | Dată de contract: nu operează sistemele, le supraveghează. |
| Timp până la pornire | Luni, dacă recrutezi. | Zile. |
| Continuitate | Depinde de o persoană. | Echipă, cu înlocuitor. |
| Cunoașterea companiei | Mare, din interior. | Se construiește în primele săptămâni, cu acces la oameni și documente. |
Externalizarea are sens la entitățile importante și la entitățile esențiale sub pragul condițiilor din art. 14 alin. (4), unde nu există un specialist intern, și la cele mari, ca soluție de tranziție până recrutează.
Ce face responsabilul NIS2, lună de lună
- ține la zi evaluarea nivelului de risc și pregătește autoevaluarea anuală a măsurilor, după Ordinul DNSC nr. 1/2026;
- transformă rezultatul autoevaluării în planul de remediere, cu termene și responsabili;
- scrie și actualizează politicile și procedurile cerute de măsuri și le duce la aprobarea conducerii;
- coordonează furnizorii de securitate: SOC, testare de penetrare, backup, criptare;
- pregătește auditul și relația cu auditorul atestat DNSC, apoi urmărește implementarea planului de după raport;
- coordonează notificarea incidentelor semnificative către DNSC în termenele legale: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună;
- raportează conducerii, periodic, stadiul măsurilor și riscurile rămase.
Cum ajută TRU
Prin CIO-as-a-Service preluăm rolul de responsabil NIS2 externalizat: decizia de numire și mandatul scris, evaluarea nivelului de risc, autoevaluarea, planul de remediere, politicile și coordonarea furnizorilor. Raportăm direct conducerii.
Auditul rămâne separat: îl fac auditori atestați DNSC, parteneri TRU, cu contract direct. Pentru măsurile tehnice ai, la nevoie, PenTest, SOC 24/7/365 și Proton Business.
Costul depinde de nivelul de risc și de cât din rol preluăm. Îl stabilim după o discuție de 30 de minute.
Surse
OUG 155/2024, forma consolidată, art. 14 și 60, aprobată cu modificări prin Legea nr. 124/2025 (Monitorul Oficial nr. 638 din 7 iulie 2025) · DNSC: legislație · Ordinul DNSC nr. 1/2026.