NIS2 și ISO 27001: ce reutilizați și ce lipsește

Un sistem de management al securității informației conform ISO/IEC 27001 acoperă o parte importantă din munca cerută de NIS2: analiza riscurilor, politicile, controlul accesului, gestionarea incidentelor, continuitatea. Nu înseamnă însă conformare cu OUG 155/2024. Lipsesc obligațiile față de DNSC, rolul conducerii, termenele de notificare și evaluarea pe catalogul Ordinului DNSC 1/2026.

Pe scurt

ISO 27001 este un standard voluntar, cu certificare; NIS2 este o obligație legală, cu supraveghere din partea DNSC și cu amenzi.
Măsurile minime din art. 13 al OUG 155/2024 se suprapun în mare parte cu domeniile acoperite de ISO 27001.
Certificatul ISO 27001 nu înlocuiește autoevaluarea anuală a maturității pe instrumentele DNSC și nici auditul NIS.
Ordinul DNSC 1/2026 cere o declarație de aplicabilitate pentru cerințele provenite din reglementări speciale sau sectoriale.
Cea mai eficientă cale este o corespondență control cu control, nu o a doua documentație paralelă.

Care este diferența de fond dintre NIS2 și ISO 27001?

ISO 27001 descrie cum se construiește și se îmbunătățește un sistem de management al securității informației. Organizația își stabilește singură domeniul, își evaluează riscurile, alege controalele și le justifică într-o declarație de aplicabilitate. Certificarea o face un organism de certificare, la cererea organizației.

NIS2, prin OUG 155/2024, este lege. Domeniul nu îl alegeți voi: dacă sunteți entitate esențială sau importantă, obligațiile se aplică întregii entități. Nivelul controalelor rezultă din evaluarea nivelului de risc făcută după metodologia DNSC, iar Ordinul DNSC 1/2026 stabilește catalogul: 34 de controale la nivelul Bază, 133 la Important și 218 la Esențial.

Aspect	ISO/IEC 27001	NIS2 (OUG 155/2024 și Ordinul DNSC 1/2026)
Natură	Standard voluntar	Obligație legală
Domeniu	Ales de organizație	Întreaga entitate vizată
Controale	Alese pe baza riscului	Catalog național pe niveluri de asigurare
Evaluare externă	Audit de certificare	Audit de securitate și supraveghere DNSC
Raportare	Nu există raportare către autoritate	Autoevaluare anuală transmisă DNSC, notificarea incidentelor
Rolul conducerii	Angajament și analiză efectuată de management	Aprobare, supraveghere, răspundere, formare acreditată (art. 14)
Sancțiuni	Pierderea certificatului	Amenzi de până la 10 mil. EUR sau 2% din cifra de afaceri

Ce puteți reutiliza din ISO 27001?

Aproape tot ce ține de sistemul de management:

Analiza și tratarea riscurilor. OUG 155/2024 cere politici și proceduri de analiză a riscurilor și revizuirea lor periodică (art. 13 lit. a).
Inventarul activelor. DNSC poate cere lista activelor relevante și lista riscurilor identificate (art. 11 alin. 7).
Politicile de securitate, inclusiv criptografia (art. 13 lit. c), controlul accesului și gestionarea activelor (lit. f).
Gestionarea incidentelor (lit. g), ca proces intern.
Continuitatea activității, copiile de rezervă și redresarea (lit. h).
Relația cu furnizorii (lit. d), dacă procesul ISO acoperă efectiv furnizorii critici.
Auditul intern și analiza efectuată de management, ca mecanisme de verificare și îmbunătățire.
Dovezile. Înregistrările păstrate pentru certificare sunt, în mare parte, aceleași dovezi necesare la autoevaluarea NIS2.

Ce trebuie adăugat pentru NIS2?

Cerință NIS2	De ce nu o acoperă automat ISO 27001
Notificarea de înregistrare la DNSC	Obligație legală, fără echivalent în standard. Prima amendă DNSC (50.000 lei, 29.09.2026) a fost pentru nenotificarea de înregistrare
Autoevaluarea anuală a maturității, asumată de management (art. 12 alin. 4)	Se face pe instrumentele DNSC, cu pragurile 2,5 / 3 / 3,5
Planul de remediere în 30 de zile, pentru entitățile esențiale (art. 12 alin. 5)	Format și termen stabilite de lege
Aprobarea măsurilor și răspunderea conducerii (art. 14 alin. 1)	ISO cere implicare, nu răspundere juridică pentru încălcări
Formarea acreditată a conducerii (art. 14 alin. 2)	Standardul nu cere cursuri acreditate pentru conducere
Responsabilul NIS desemnat în 30 de zile, cu cinci condiții la entitățile esențiale (art. 14 alin. 3-4)	Rol diferit de cel al managerului de securitate din ISO
Notificarea incidentelor semnificative: 24 h, 72 h, o lună	Termene legale către DNSC
Jurnalizare și trasabilitatea tuturor activităților (art. 11 alin. 4)	Poate exista, dar extinderea cerută de lege trebuie verificată
Autentificare multifactor, după caz (art. 13 lit. j)	În ISO e o alegere bazată pe risc
Date despre furnizorii de servicii digitale, la cererea DNSC (art. 11 alin. 9)	Registrul trebuie pregătit în formatul cerut
Domeniul: întreaga entitate	Certificarea ISO poate acoperi doar o parte din organizație

Ultimul rând este cel mai des trecut cu vederea. Un certificat ISO 27001 pentru „dezvoltare software, sediul din București” nu acoperă depozitul, fabrica sau rețeaua de puncte de lucru. NIS2 le acoperă pe toate.

Ce este declarația de aplicabilitate din Ordinul DNSC 1/2026?

Art. III din Ordinul DNSC 1/2026 prevede că măsurile de gestionare a riscurilor se completează, atunci când este cazul, cu cerințe din reglementări speciale sau sectoriale aplicabile entității. Cerințele implementate astfel se evidențiază într-o declarație de aplicabilitate întocmită de entitate.

Pentru o organizație cu ISO 27001, conceptul este familiar, pentru că standardul are propria declarație de aplicabilitate. Cele două nu sunt același document și nu au același rol, dar pot fi construite din aceeași bază: o matrice în care fiecare control are sursa (Ordinul 1/2026, standard, reglementare sectorială), stadiul, responsabilul și dovada.

Dacă entitatea face parte dintr-un grup, art. III alin. (3) trimite la regulile din Decizia DNSC 3/2026, explicate în articolul despre NIS2 în grupuri de firme.

Cum faceți corespondența control cu control?

Porniți de la catalogul aplicabil. Lista de controale a nivelului vostru de asigurare din Ordinul DNSC 1/2026 este referința, nu anexa standardului. Detalii în articolul despre CyFun și cele 218 controale.
Legați fiecare control de documentele și înregistrările ISO existente. Unde există potrivire completă, notați dovada.
Marcați potrivirile parțiale. Cele mai frecvente: domeniul, jurnalizarea, MFA, furnizorii, formarea.
Adăugați obligațiile fără echivalent: înregistrare, notificare, autoevaluare, plan de remediere, responsabil, formarea conducerii.
Faceți o autoevaluare de probă pe instrumentul DNSC înainte de cea oficială. Pragurile sunt explicate în articolul despre autoevaluarea EVAL_MMS.
Unificați calendarul: auditul intern ISO, analiza efectuată de management, autoevaluarea NIS2 și auditul NIS pot fi planificate astfel încât dovezile să servească tuturor.

CysNIS are un tabel interactiv de corespondență între Ordinul DNSC nr. 1/2026, art. 21 din NIS2, CyFun, NIST CSF 2.0 și ISO/IEC 27001:2022, care scurtează mult primii trei pași.

Merită ISO 27001 dacă oricum trebuie să faceți NIS2?

Depinde de clienți. Dacă vindeți în străinătate sau participați la licitații în care certificarea ISO 27001 contează, un singur sistem de management care servește ambelor scopuri este cea mai eficientă cale. Dacă singura motivație este NIS2, prioritatea este catalogul DNSC, iar certificarea poate veni ulterior, pe aceeași bază.

Atenție la confuzia inversă: nu există „certificare NIS2” pentru organizații. Diferența este explicată în articolul „Certificare NIS2”: ce există și ce nu.

Cum vă ajută ProDefence

Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Prin consultanța NIS2 (de la 10.000 EUR pe proiect) facem corespondența dintre sistemul vostru ISO 27001 și controalele aplicabile din Ordinul DNSC 1/2026, identificăm ce lipsește și completăm documentația fără să o dublăm. Auditul NIS2 pornește de la 5.000 EUR pe misiune, cu respectarea regulilor de incompatibilitate pentru auditori.

Dacă aveți nevoie de rolul cerut de art. 14, responsabilul NIS2 externalizat pornește de la 1.200 EUR pe lună, contract de 12 luni. Prețurile sunt finale, ProDefence nu este plătitoare de TVA.

Controlul ISO 27001 privind conștientizarea și instruirea (A.6.3) și cerința de instruire din NIS2 pot fi acoperite de același program. Cursurile de pe CysEdu și jocurile interactive gratuite de pe CysGame oferă materiale gata făcute pentru acest program.

Întrebări frecvente

Dacă avem certificare ISO 27001, suntem conformi NIS2?

Nu automat. ISO 27001 acoperă o parte importantă din măsuri, dar NIS2 adaugă obligații legale fără echivalent: notificarea de înregistrare, autoevaluarea anuală pe instrumentele DNSC, planul de remediere, răspunderea și formarea conducerii, responsabilul NIS și notificarea incidentelor în 24 h, 72 h și o lună.

Acceptă DNSC certificatul ISO 27001 în locul auditului NIS?

OUG 155/2024 cere un audit de securitate cu periodicitatea stabilită prin ordin DNSC, iar autoevaluarea anuală se face pe instrumentele DNSC. Certificatul ISO nu este prevăzut ca înlocuitor, dar dovezile din sistemul ISO pot fi folosite la autoevaluare și la audit.

Ce este declarația de aplicabilitate cerută de Ordinul DNSC 1/2026?

Este documentul în care entitatea evidențiază cerințele implementate ca urmare a unor reglementări speciale sau sectoriale care completează măsurile din ordin (art. III). Nu este identică cu declarația de aplicabilitate din ISO 27001, dar se poate construi pe aceeași matrice de controale.

Care sunt cele mai frecvente lipsuri ale unei organizații certificate ISO 27001?

Domeniul certificării mai restrâns decât entitatea, jurnalizarea incompletă, MFA neaplicat peste tot unde e nevoie, procesul de furnizori aplicat formal, formarea acreditată a conducerii, responsabilul NIS și procedura de notificare către DNSC cu termenele legale.

Ce legătură are CyFun cu ISO 27001?

CyFun, adoptat de România ca bază pentru catalogul național de controale, preia elemente din standarde internaționale, inclusiv ISO 27001. De aceea corespondența control cu control este posibilă, dar referința pentru conformare rămâne Ordinul DNSC 1/2026.

Trebuie să refacem documentația ISO pentru NIS2?

Nu. Documentația existentă se completează: se adaugă procedurile fără echivalent și se extind politicile acolo unde domeniul sau nivelul de detaliu nu este suficient. O documentație paralelă creează inconsecvențe și dublează munca de întreținere.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică și conformare NIS2 la ProDefence, a cărei echipă include auditori NIS atestați de DNSC.