NIS2 în practică: măsuri de risc, dovezi de control și un plan realist de remediere

Ce a intrat în vigoare la 27 august 2026

Ordinul DNSC nr. 1 din 6 august 2026 a fost publicat în Monitorul Oficial nr. 712 din 27 august 2026, cu anexele nr. 1 și 2 în nr. 712 bis. Este un act adoptat, nu un proiect în consultare. Ordinul nu prevede o dată ulterioară de intrare în vigoare; se aplică regula publicării din art. 12 alin. (3) al Legii nr. 24/2000.

Anexa nr. 1 aprobă catalogul măsurilor, iar anexa nr. 2 metodologia de autoevaluare a maturității. Ordinul completează cadrul existent din OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, și modifică metodologia de risc din Ordinul DNSC nr. 2/2025. Obligațiile generale, autoevaluarea anuală și regimul de supraveghere și sancțiuni existau deja; nu au fost create integral de acest ordin.

218 controale, șase funcții și trei niveluri cumulative

Tabelul de aplicabilitate din anexa nr. 1, paginile 314–320, enumeră 218 controale. Acestea sunt organizate în șase funcții: Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare. Fiecare control are un cod, o cerință și un ghid de implementare.

Nivelurile de asigurare sunt Bază, Important și Esențial. Nivelul Important include controalele de Bază, iar Esențial include controalele nivelului Important. Conform art. IV, entitatea implementează controalele nivelului de asigurare corespunzător riscului stabilit prin metodologia Ordinului nr. 2/2025. Cele 218 reprezintă catalogul complet; nu sunt o listă identică pentru orice entitate.

Măsurile cheie sunt obligatorii și se tratează cu prioritate la nivelul la care sunt aplicabile. Controalele marcate ca Aspecte de management sunt revizuite la fiecare audit de evaluare a nivelului de asigurare. În matricea internă, păstrează codul controlului, aplicabilitatea, responsabilul, dovezile și deficiențele.

Două scoruri obligatorii pentru fiecare control

Anexa nr. 2 cere două valori întregi de la 1 la 5 pentru fiecare control: maturitatea documentației și maturitatea implementării efective. Fiecare valoare se justifică în scris, prin informații și argumente; dovezile operaționale trebuie să susțină stadiul de maturitate revendicat. O procedură aprobată nu demonstrează singură că procesul funcționează.

Metodologia calculează mediile separat pe subcategorii, apoi pe categorii; combină cele două dimensiuni la nivelul categoriei și obține scorul total din media scorurilor categoriilor. Nu folosi procentul de cursuri finalizate sau o medie simplă a tuturor controalelor ca substitut pentru acest calcul.

• Bază: scor total de cel puțin 2,5 și prag de cel puțin 2,5 pentru fiecare control marcat ca Măsură cheie.
• Important: scor total de cel puțin 3 și prag de cel puțin 3 pentru fiecare control marcat ca Măsură cheie.
• Esențial: scor general de cel puțin 3,5, scor de cel puțin 3 pentru fiecare categorie și prag de cel puțin 3 pentru fiecare control marcat ca Măsură cheie.

Acestea sunt pragurile din art. 2 alin. (11) al anexei nr. 2. Textul definește două scoruri pentru fiecare control, dar nu explicitează distinct formula scorului unic al Măsurii cheie. Pentru aplicarea acestui prag, urmează instrumentele și instrucțiunile DNSC; nu inventa o formulă internă prezentată drept metodologie oficială.

Evaluarea se realizează prin Platforma NIS2@RO. Dacă aceasta este indisponibilă, metodologia prevede instrumentele EVAL_MMS_B, EVAL_MMS_I și EVAL_MMS_E, descărcate de pe site-ul oficial DNSC și utilizate local conform instrucțiunilor publicate. Acesta este mecanismul prevăzut de act; disponibilitatea efectivă a platformei și instrumentelor trebuie verificată la DNSC.

DORA și declarația de aplicabilitate

Art. V modifică art. 6 din metodologia de risc: entitățile din sectorul bancar și infrastructurile pieței financiare cărora li se aplică DORA nu realizează evaluarea nivelului de risc al entității și aplică măsurile DORA. Aceeași regulă privește entitățile din infrastructură digitală și gestionarea serviciilor TIC B2B desemnate furnizori terți esențiali de servicii TIC potrivit DORA. Nu extinde această excepție automat la orice furnizor IT sau orice client al unei bănci.

Conform art. III, când există cerințe suplimentare din reglementări speciale ori sectoriale, măsurile se completează cu acestea. Cerințele implementate în temeiul acelor reglementări se evidențiază într-o declarație de aplicabilitate întocmită de entitate.

Intrarea în vigoare, termenele și remedierea

Intrarea în vigoare la publicare nu stabilește un nou termen identic de raportare pentru toate organizațiile și nu înlocuiește termenele legale aplicabile fiecărei entități. Art. 12 alin. (4) din OUG nr. 155/2024 prevede autoevaluarea anuală, asumată de management și transmisă către DNSC și, după caz, autoritatea competentă sectorial. Calendarul concret trebuie corelat cu înregistrarea entității, actele aplicabile și comunicările autorităților.

Dacă scorurile-țintă nu sunt atinse, art. 3 din anexa nr. 2 obligă entitatea să întocmească un plan de remediere a tuturor deficiențelor care au condus la neconformitate, cu acțiuni și termene asumate. Planul nu este o derogare de la obligații. Supravegherea și sancțiunile se raportează la OUG nr. 155/2024 și normele aplicabile; ordinul nu instituie o amendă automată pentru fiecare scor insuficient.

O politică de securitate este necesară, dar nu este finalul muncii. Cadrul NIS2 și OUG nr. 155/2024 cer măsuri de gestionare a riscurilor de securitate cibernetică proporționale cu riscurile. Pentru o organizație, întrebarea practică este: putem arăta că acest control este proiectat corect, implementat și verificat?

Exemple practice de măsuri și dovezi

• Analiza riscurilor și politici de securitate: inventar de active/servicii, metodologie, proprietari de risc, decizii și revizii.
• Gestionarea incidentelor: criterii de escaladare, roluri, contactele necesare, jurnal de decizii, comunicare și lecții învățate.
• Continuitate: backup, recuperare în caz de dezastru, managementul crizei și teste care verifică restaurarea, nu doar existența copiilor.
• Securitatea lanțului de aprovizionare: clasificarea furnizorilor după risc, cerințe contractuale și tehnice, monitorizare și plan pentru indisponibilitatea furnizorului.
• Achiziție, dezvoltare și mentenanță sigură: vulnerabilități, patching, schimbări, secrete, dependențe și scoaterea din uz a sistemelor.
• Acces, active și personal: principiul minimului privilegiu, revizuiri de acces, onboarding/offboarding, inventar și protecție adecvată a dispozitivelor.
• MFA, autentificare continuă unde este adecvată, criptografie și comunicații de urgență securizate, evaluate după risc.
• Igienă cibernetică și formare: mesaje aplicabile rolului, exerciții, măsurarea finalizării și îmbunătățire continuă.

Trei tipuri practice de dovezi pentru fiecare control

• Proiectare: politica, standardul, procedura sau decizia care explică scopul, proprietarul, frecvența și excepțiile.
• Implementare: configurări, inventare, contracte, înregistrări de acces, rapoarte de deployment sau alte dovezi că regula a fost pusă în practică.
• Eficacitate: rezultate de teste, revizuiri independente, exerciții, restaurări reușite, investigații sau indicatori care arată că mecanismul funcționează în condiții reale.

Această organizare practică a dovezilor completează cele două dimensiuni de scor din metodologia DNSC și evită două erori frecvente: a considera un document drept control implementat și a confunda un raport de configurare cu un test de eficacitate. Pentru fiecare măsură, notează data, sistemul sau populația acoperită, proprietarul, rezultatul, deficiențele și următorul termen de revizuire.

Un plan de 90 de zile este o metodă de organizare, nu un termen legal universal

• Zilele 0–15: stabilește domeniul, serviciile critice, proprietarii, inventarul de dovezi și riscurile evidente.
• Zilele 16–30: construiește matricea de gap, validează datele cu proprietarii și aprobă prioritățile de risc.
• Zilele 31–60: remediează lacunele cu impact mare, de exemplu acces privilegiat, MFA, expuneri cunoscute, backup nerecuperabil sau lipsa escaladării de incident.
• Zilele 61–90: testează controalele, închide sau acceptă explicit riscurile rămase, actualizează dosarul de dovezi și stabilește cadenta de review.

Ordinea se modifică atunci când un incident, o vulnerabilitate critică, o obligație sectorială sau o solicitare a autorității cere o acțiune mai rapidă. Nu amâna o problemă materială pentru că nu se potrivește în calendar. Acceptarea internă a unui risc nu înlătură obligația legală de implementare a unui control aplicabil. Păstrează o decizie documentată pentru orice risc acceptat temporar, inclusiv controlul compensatoriu și data de expirare.

Leagă awareness-ul de controlul real

Trainingul poate susține măsuri precum raportarea rapidă, igiena parolelor, MFA, verificarea cererilor de plată, lucrul cu furnizori și protecția informațiilor. În Learning Awarely, organizațiile pot administra cursuri, evaluări, progres, certificate și raportare în funcție de configurare și rol. Folosește aceste evidențe ca parte a programului de formare, fără a le prezenta drept dovada unică a conformității tehnice sau juridice.