Cum alegi un consultant NIS2: 12 întrebări și semnalele de alarmă

Un consultant NIS2 bun se alege după trei criterii verificabile: lucrează pe textul OUG 155/2024 și al Ordinului DNSC 1/2026, nu pe promisiuni generale; spune exact ce livrează și ce rămâne în sarcina organizației; nu vinde lucruri care nu există, precum „certificarea NIS2” sau „autorizarea DNSC a responsabilului”.

Pe scurt

• Răspunderea pentru conformarea NIS2 rămâne la organele de conducere ale entității (art. 14 alin. (1) OUG 155/2024), oricine ar face munca.
• Nu există certificare NIS2 a organizațiilor, autorizare DNSC a responsabilului NIS sau cod COR dedicat acestuia.
• Ordinul DNSC 1/2026 stabilește 218 controale, grupate pe trei niveluri de asigurare: 34 Bază, 133 Important, 218 Esențial.
• Consultanța și auditul NIS pentru aceeași organizație trebuie separate: auditorul are incompatibilități stabilite de lege.
• Un contract bun enumeră livrabilele, termenele, dovezile și transferul de cunoștințe către echipa internă.

De ce contează alegerea consultantului NIS2

Piața de servicii NIS2 din România a crescut rapid după publicarea OUG 155/2024 și, mai ales, după Ordinul DNSC 1/2026 (Monitorul Oficial 712 și 712 bis din 27 august 2026). Odată cu cererea au apărut și oferte care amestecă obligațiile legale cu bunele practici, sau care promit rezultate pe care nicio firmă nu le poate garanta.

Miza nu e doar bugetul. Organele de conducere aprobă măsurile de gestionare a riscurilor, le supraveghează și răspund de încălcări (art. 14 alin. (1)). Entitățile transmit anual o autoevaluare a maturității, asumată de management (art. 12 alin. (4)), iar entitățile esențiale trimit, în 30 de zile, un plan de remediere (art. 12 alin. (5)). Dacă documentația primită de la consultant nu rezistă la o verificare DNSC, costul îl suportă organizația, nu consultantul.

Ce trebuie să facă, concret, un consultant NIS2

Înainte de întrebări, merită clarificat obiectul contractului. O consultanță NIS2 completă acoperă, de regulă:

1. Verificarea încadrării: sector, tip de entitate, mărime, grup de întreprinderi (Decizia DNSC 3/2026), obligația de notificare către DNSC.
2. Inventarul activelor și analiza riscurilor: lista pe care entitatea trebuie să o pună la dispoziția DNSC la cerere (art. 11 alin. (7)).
3. Evaluarea controalelor din Ordinul DNSC 1/2026, la nivelul de asigurare corespunzător nivelului de risc al entității (art. IV din ordin).
4. Politicile și procedurile cerute de art. 13 lit. a)-j): de la criptografie și lanțul de aprovizionare la continuitate, gestionarea incidentelor și autentificare multifactor.
5. Declarația de aplicabilitate pentru cerințele din reglementări speciale sau sectoriale (art. III alin. (2) din Ordinul 1/2026).
6. Pregătirea autoevaluării anuale și, pentru entitățile esențiale, a planului de remediere.
7. Formarea: conducerea urmează cursuri acreditate, iar personalul este format periodic (art. 14 alin. (2)).

Un consultant care nu poate spune unde se află fiecare dintre aceste elemente în oferta lui nu are încă o metodă, ci o intenție.

12 întrebări de pus înainte de a semna

Despre bază și metodă

1. Pe ce texte lucrați? Răspunsul corect numește OUG 155/2024 aprobată prin Legea 124/2025, Ordinul DNSC 1/2026, Ordinul DNSC 2/2025 pentru nivelul de risc și, dacă e cazul, Decizia DNSC 3/2026 pentru grupuri. Un răspuns care se oprește la „Directiva NIS2” e incomplet pentru România.

2. Cum stabiliți nivelul de asigurare aplicabil? Controalele se aleg după nivelul de risc al entității, nu după preferința consultantului. Cereți să vi se arate cum se ajunge de la scorul de risc la nivelul Bază, Important sau Esențial.

3. Cum tratați cele 218 controale? Întrebați dacă evaluarea se face pe fiecare control, cu dovezi, sau doar pe capitole. Cereți un exemplu de fișă de evaluare pentru un control.

4. Ce standarde folosiți pe lângă ordin? ISO/IEC 27001, NIST CSF 2.0 sau CyFun pot ajuta, dar nu înlocuiesc ordinul. Consultantul trebuie să explice corespondența, nu să vă vândă un standard în locul obligației legale.

Despre livrabile

5. Ce documente primim și în ce format? Cereți lista exactă: registru de active, registru de riscuri, politici, proceduri, declarație de aplicabilitate, plan de remediere. Formatul trebuie să fie editabil, pentru că documentele vor fi actualizate anual.

6. Documentele sunt adaptate sau generice? Un set de politici cu numele firmei schimbat nu rezistă la prima întrebare a unui auditor. Întrebați câte interviuri și ce analiză stau în spatele fiecărui document.

7. Ce rămâne la noi după proiect? Organizația trebuie să poată repeta autoevaluarea anuală fără să reînceapă de la zero. Cereți transfer de cunoștințe, nu doar dosare.

Despre roluri și răspundere

8. Cine este responsabilul NIS și cum îl pregătiți? Responsabilii se desemnează în 30 de zile de la comunicarea deciziei DNSC (art. 14 alin. (3)). Pentru entitățile esențiale, alin. (4) cere cinci condiții cumulative, inclusiv independența față de IT și un curs acreditat recunoscut de DNSC în 12 luni.

9. Vă puteți ocupa și de audit? Răspunsul corect este nu, pentru același client și pentru aceeași perioadă: auditorul NIS are incompatibilități stabilite de lege. Un consultant care își auditează propria muncă produce un raport fără valoare.

10. Cum lucrați cu conducerea? Conducerea aprobă măsurile și răspunde de ele. Un consultant serios programează întâlniri cu organele de conducere, nu doar cu departamentul IT.

Despre bani și termene

11. Cum se formează prețul? Tariful trebuie legat de perimetru: număr de entități, de locații, de sisteme, nivel de asigurare. Un preț fix „pentru orice firmă” ascunde de obicei șabloane.

12. Ce se întâmplă dacă DNSC schimbă cerințele? Ordinele DNSC s-au succedat rapid în 2025 și 2026. Contractul trebuie să spună cum se tratează modificările apărute în timpul proiectului.

Semnale de alarmă

Ce vi se spune	De ce e o problemă
„Vă certificăm NIS2”	Nu există certificare NIS2 a organizațiilor. Directiva privește certificarea unor produse, servicii și procese TIC, nu a firmelor.
„Responsabilul nostru este autorizat DNSC”	Nu există autorizare DNSC a responsabilului NIS și nici cod COR dedicat.
„Garantăm că nu primiți amendă”	Nimeni nu poate garanta decizia autorității. Se poate garanta doar calitatea muncii.
„Facem și auditul, ca să fie mai simplu”	Consultanța și auditul pentru aceeași organizație sunt incompatibile.
„Vă trimitem pachetul de documente în 48 de ore, fără interviuri”	Documentele generice nu reflectă riscurile reale ale entității.
„Nu e nevoie să implicăm conducerea”	Conducerea aprobă măsurile și răspunde de încălcări (art. 14).
„Termenele nu se aplică încă pentru dumneavoastră”	Termenele curg din momente precise: decizia DNSC, autoevaluarea, notificarea incidentului. Cereți trimiterea la articol.

Prima amendă aplicată de DNSC în baza OUG 155/2024, de 50.000 de lei, din 29 septembrie 2026, a sancționat nenotificarea de înregistrare (art. 60 alin. (1) lit. o)). Exemplul arată că obligațiile simple, ușor de ratat, sunt verificate primele.

Ce ar trebui să conțină contractul

• Perimetrul: entitățile, locațiile și sistemele incluse, cu nivelul de asigurare.
• Livrabilele: listă nominală, format editabil, versiune și dată.
• Calendarul: etape cu termene, inclusiv cele legate de obligațiile legale (desemnarea responsabilului, autoevaluarea, planul de remediere).
• Criteriile de acceptanță: cine aprobă fiecare livrabil și pe ce bază.
• Confidențialitatea: registrul de active și cel de riscuri sunt informații sensibile; cereți regulile de stocare și de distrugere.
• Transferul de cunoștințe: sesiuni cu echipa internă și cu conducerea.
• Modificările legislative: cum se ajustează proiectul dacă apare un nou ordin DNSC.
• Separarea de audit: declarația că firma nu va audita același perimetru.

Variante de colaborare

Nu toate organizațiile au nevoie de același model. Articolul despre cele trei variante de implementare NIS2 compară implementarea în regie proprie, cu un consultant pe proiect și prin responsabil NIS2 externalizat. Regula comună: se externalizează munca, nu răspunderea.

Pentru organizațiile care au echipă internă și au nevoie doar de structură, un pachet de documentație plus o platformă de evaluare poate fi suficient. Pentru cele fără personal de securitate, un responsabil externalizat cu prezență lunară este de obicei mai realist decât un proiect punctual.

Cum vă ajută ProDefence

Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Pentru clienții de consultanță, asta înseamnă documente scrise de oameni care știu ce verifică un auditor, iar regula de independență se aplică: nu audităm perimetrul pe care l-am consiliat.

• Consultanță NIS2, de la 10.000 EUR pe proiect: încadrare, active, riscuri, evaluarea celor 218 controale la nivelul aplicabil, politici, declarație de aplicabilitate, plan de remediere.
• Responsabil NIS2 externalizat, de la 1.200 EUR pe lună, contract de 12 luni.
• Pachete de documentație NIS2: 1.500 EUR pentru entitate importantă, 2.000 EUR pentru entitate esențială, licență pentru o singură organizație, vândute doar organizațiilor vizate de NIS2.
• CysNIS: verificarea încadrării, evaluarea controalelor, gestionarea riscurilor și documentarea parcursului, cu separare clară între obligație legală, recomandare tehnică și rezultat orientativ.

ProDefence nu este plătitor de TVA, deci prețurile afișate sunt finale. Primul pas recomandat: verificarea încadrării.

Întrebări frecvente

Surse

• OUG nr. 155/2024, text consolidat, Portal Legislativ
• Ordinul DNSC nr. 1/2026, Portal Legislativ
• Legea nr. 124/2025 pentru aprobarea OUG 155/2024, Monitorul Oficial 638 din 7 iulie 2025
• Decizia DNSC nr. 3/2026, Monitorul Oficial 798 din 21 septembrie 2026

Alexandru Angheluș, ProDefence. Lucrează pe implementarea și auditul NIS2 pentru entități esențiale și importante din România.