Autoevaluarea maturității NIS2: EVAL

Autoevaluarea anuală a nivelului de maturitate este obligația care produce cele mai multe întrebări practice, pentru că este singura în care entitatea își dă singură note și le trimite autorității. Temeiul este art. 12 alin. (4) din OUG nr. 155/2024, iar metoda este stabilită prin Ordinul directorului DNSC nr. 1/2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026, cu anexele în numărul 712 bis.

Cine, ce și cât de des

Entitățile esențiale și importante realizează și transmit către DNSC, și după caz către autoritatea competentă sectorial, anual, o autoevaluare a nivelului de maturitate a măsurilor de gestionare a riscurilor, asumată de managementul entității. Nu este un exercițiu al departamentului IT, ci un document pe care conducerea și-l însușește.

Mecanismele puse la dispoziție de DNSC sunt două: Platforma NIS2@RO și instrumentele de evaluare pe nivel de asigurare, denumite oficial EVAL_MMS_B pentru nivelul Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial. Instrumentele se descarcă de pe site-ul DNSC și se folosesc local doar atunci când platforma nu este disponibilă.

Nivelul de asigurare nu se alege. El rezultă din nivelul de risc determinat conform metodologiei aprobate prin Ordinul directorului DNSC nr. 2/2025, iar entitatea implementează controalele aferente nivelului care îi corespunde.

Cum se dau notele

Pentru fiecare control se acordă două valori, de la 1 la 5: una pentru maturitatea documentației, una pentru maturitatea implementării. Ambele sunt obligatorii. Cele cinci stadii sunt:

Stadiu	Denumire
1	Inițial
2	Repetabil
3	Definit
4	Gestionat
5	Optimizare

Criteriile sunt concrete, nu impresioniste. Un exemplu de la stadiul 2, pe documentație: există documentație a procesului aprobată oficial, dar care nu a fost revizuită în ultimii 2 ani. Un exemplu de la stadiul 5: excepțiile documentate și aprobate reprezintă mai puțin de 0,5 la sută din cazuri la documentație, iar excepțiile de proces sub 1 la sută la implementare.

Scorurile se agregă ca medii aritmetice, de la subcategorie la categorie și apoi la scorul total al entității.

Pragurile de conformitate

Nivel de asigurare	Pe fiecare măsură cheie	Pe fiecare categorie	Scor total
Bază	minimum 2,5	nu se cere	minimum 2,5
Important	minimum 3	nu se cere	minimum 3
Esențial	minimum 3	minimum 3	minimum 3,5

Observați asimetria de la nivelul Esențial: pragul pe categorie este condiția care surprinde cel mai des. O entitate poate avea un scor general de 3,6 și totuși să nu atingă pragul, pentru că o singură categorie, de regulă detecția sau recuperarea, stă sub 3.

Excluderile N/A sunt limitate

Un control poate fi marcat ca inaplicabil, dar cu limite stricte, introduse prin Ordinul directorului DNSC nr. 2 din 14 septembrie 2026:

cel mult 1 control la nivelul Bază;
cel mult 3 controale la nivelul Important;
cel mult 5 controale la nivelul Esențial;
măsurile cheie nu pot fi excluse niciodată, iar la nivelul Esențial nici controalele de management;
fiecare excludere se justifică în scris, în declarația de aplicabilitate;
în calcul, controlul exclus intră cu valoarea 2,5 la nivelul Bază, respectiv 3 la Important și Esențial.

Practic, „nu ni se aplică” nu este o strategie de scor. Excluderea nu ridică media, iar justificarea rămâne un document pe care îl citește cineva.

Ce se întâmplă dacă nu atingi pragurile

Nu se întâmplă nimic automat, dar apare o obligație nouă: entitatea întocmește un plan de măsuri, cu acțiuni și termene asumate. Pentru entitățile esențiale, art. 12 alin. (5) din ordonanță prevede un plan de măsuri de remediere în termen de 30 de zile de la autoevaluare.

Din perspectiva unui control, un scor mic cu un plan credibil și termene respectate este o poziție mult mai bună decât un scor mare fără dovezi. Autoevaluarea nu este un concurs de note.

Excepții și situații speciale

Sectorul financiar sub DORA. Entitățile din sectorul bancar și din infrastructurile pieței financiare cărora li se aplică Regulamentul (UE) 2022/2554 nu realizează evaluarea nivelului de risc și aplică măsurile prevăzute de DORA. Regula a fost introdusă prin art. V din Ordinul nr. 1/2026.
Grupuri de întreprinderi. Entitățile care fac parte dintr-un grup aplică regulile din Decizia directorului DNSC nr. 3 din 14 septembrie 2026, publicată în Monitorul Oficial nr. 798 din 21 septembrie 2026.
Cerințe sectoriale. Măsurile se completează cu cerințe din reglementări speciale, iar cerințele implementate astfel se evidențiază tot în declarația de aplicabilitate.

Termenul, spus cinstit

Ordinul nr. 1/2026 nu conține un articol de termen sau de intrare în vigoare amânată. Obligația este anuală și vine din art. 12 alin. (4) din ordonanță. Pentru entitățile care au primit validarea scorului nivelului de risc, DNSC a comunicat public, odată cu lansarea instrumentelor în septembrie 2026, că autoevaluarea se transmite în termenul prevăzut de ordonanță. Verificați notificările primite în Platforma NIS2@RO: acolo apare termenul concret aplicabil entității dumneavoastră.

Cele șapte greșeli care scad scorul degeaba

Se completează doar nota de documentație, iar cea de implementare se copiază după ea.
Se dau note de 4 și 5 fără dovezi, apoi auditul le contrazice.
Se ignoră categoria slabă, deși la nivelul Esențial pragul pe categorie este eliminatoriu.
Se marchează N/A peste limita permisă sau pe măsuri cheie.
Declarația de aplicabilitate lipsește sau conține justificări de o frază.
Autoevaluarea nu este asumată formal de management, deși legea cere asta explicit.
Rezultatul nu este legat de planul de remediere, care rămâne un document separat, fără termene.

Unde te putem ajuta

Cea mai mare parte a diferenței dintre un scor declarat și un scor care rezistă stă în dovezi. O analiză de conformare NIS2 cu plan de remediere parcurge controalele pe dovezi și produce exact planul cerut de art. 12 alin. (5). ProDefence este auditor NIS acreditat de DNSC.

Pentru nota de documentație, politicile, procedurile și registrele din pachetele de documentație NIS2 acoperă cerințele scrise. Dacă nu ai cine să conducă exercițiul intern, rolul poate fi acoperit prin responsabil NIS2 externalizat. Iar dacă nu ești sigur de nivelul de asigurare, platforma CysNis pornește de la încadrare.

Surse

Ordinul directorului DNSC nr. 1/2026, cu Măsurile și Metodologia de autoevaluare a maturității, Monitorul Oficial nr. 712 și 712 bis din 27 august 2026.
Ordinul directorului DNSC nr. 2/2026, Monitorul Oficial nr. 792 din 18 septembrie 2026.
Decizia directorului DNSC nr. 3/2026 privind entitățile dintr-un grup de întreprinderi, Monitorul Oficial nr. 798 din 21 septembrie 2026.
Ordinul directorului DNSC nr. 2/2025 privind evaluarea nivelului de risc, Monitorul Oficial nr. 776 din 20 august 2025.
OUG nr. 155/2024, art. 11, 12 și 13.

Materialul are caracter informativ și nu constituie consultanță juridică. Termenele comunicate prin Platforma NIS2@RO prevalează asupra oricărei estimări din acest articol.

Întrebări frecvente

Cine trebuie să facă autoevaluarea de maturitate?

Entitățile esențiale și importante, anual, conform art. 12 alin. (4) din OUG nr. 155/2024. Autoevaluarea se transmite către DNSC și, după caz, către autoritatea competentă sectorial, și trebuie asumată de managementul entității, nu doar de departamentul IT.

Ce sunt instrumentele EVAL_MMS?

Sunt instrumentele de evaluare a maturității puse la dispoziție de DNSC, câte unul pentru fiecare nivel de asigurare: EVAL_MMS_B pentru Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial. Se folosesc local, descărcate de pe site-ul DNSC, doar atunci când Platforma NIS2@RO nu este disponibilă.

Care sunt pragurile de conformitate?

La nivelul Bază, minimum 2,5 pe fiecare măsură cheie și 2,5 scor total. La Important, minimum 3 pe fiecare măsură cheie și 3 scor total. La Esențial, minimum 3 pe fiecare măsură cheie, minimum 3 pe fiecare categorie și un scor general de minimum 3,5.

Câte controale pot fi marcate ca inaplicabile?

Cel mult 1 la nivelul Bază, 3 la Important și 5 la Esențial. Măsurile cheie nu pot fi excluse niciodată, iar la nivelul Esențial nici controalele de management. Fiecare excludere se justifică în scris în declarația de aplicabilitate, iar în calcul controlul exclus intră cu valoarea 2,5 sau 3, după nivel.

Ce se întâmplă dacă nu ating pragurile?

Entitatea are obligația de a întocmi un plan de măsuri cu acțiuni și termene asumate. Pentru entitățile esențiale, art. 12 alin. (5) din ordonanță prevede un plan de măsuri de remediere în termen de 30 de zile de la autoevaluare.

Entitățile financiare sub DORA fac autoevaluarea?

Entitățile din sectorul bancar și din infrastructurile pieței financiare cărora li se aplică Regulamentul (UE) 2022/2554 nu realizează evaluarea nivelului de risc și aplică măsurile prevăzute de DORA, conform art. V din Ordinul directorului DNSC nr. 1/2026.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.