NIS2 pentru furnizori: ce vi se va cere dacă lucrați cu o entitate NIS2

,

Dacă firma dvs. nu este entitate esențială sau importantă, NIS2 vă poate afecta totuși prin clienți. OUG 155/2024 obligă entitățile vizate să gestioneze securitatea lanțului de aprovizionare, deci să-și evalueze furnizorii și să le ceară garanții. Cererile ajung la dvs. sub formă de clauze contractuale, chestionare, dovezi și audituri.

Pe scurt

  • Securitatea lanțului de aprovizionare este o măsură minimă obligatorie pentru entitățile NIS2 (art. 13 lit. d) din OUG 155/2024).
  • Entitatea trebuie să țină seama de vulnerabilitățile și de practicile de securitate ale fiecărui furnizor direct și furnizor de servicii (art. 11 alin. 8).
  • La cererea DNSC, entitățile transmit date despre furnizorii de cloud, centre de date, servicii gestionate și servicii de securitate gestionate (art. 11 alin. 9).
  • Un furnizor care nu intră sub NIS2 nu are obligații directe față de DNSC, dar are obligațiile pe care le semnează în contract.
  • Furnizorii pregătiți din timp transformă cerința într-un avantaj comercial.

Ce spune legea despre lanțul de aprovizionare?

OUG 155/2024 tratează lanțul de aprovizionare în trei locuri.

Art. 13 lit. d) include printre măsurile minime „securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitatea relației dintre entitate și prestatorii și furnizorii săi direcți”.

Art. 11 alin. (8) precizează ce trebuie evaluat: vulnerabilitățile specifice ale fiecărui furnizor direct și ale fiecărui furnizor de servicii, calitatea generală a produselor, calitatea practicilor de securitate cibernetică ale furnizorilor, inclusiv securitatea proceselor lor de dezvoltare. Se adaugă rezultatele evaluărilor coordonate la nivelul Uniunii Europene privind lanțurile critice de aprovizionare.

Art. 11 alin. (9) dă DNSC dreptul să ceară entităților date despre prestatorii de servicii de încredere, furnizorii de servicii DNS, registrele de nume de domenii, furnizorii de cloud, de centre de date, de servicii gestionate și de servicii de securitate gestionate cu care lucrează.

Pe scurt: entitatea NIS2 trebuie să știe cine îi sunt furnizorii, ce risc aduce fiecare și ce a făcut ca să reducă acel risc. Directiva NIS2 are aceeași logică la art. 21 alin. (2) lit. d) și alin. (3).

Firma mea nu intră sub NIS2. De ce mă privește?

Pentru că obligația clientului devine cerință comercială pentru dvs. O entitate esențială care cumpără servicii IT, mentenanță, software, găzduire sau acces de la distanță la sistemele ei nu poate demonstra conformarea fără să arate cum își controlează furnizorii.

Primul pas rămâne verificarea propriei încadrări. Unele firme care se consideră „doar furnizori” sunt ele însele entități vizate, de exemplu furnizorii de servicii gestionate sau de servicii de securitate gestionate. Puteți face o verificare orientativă pe CysNIS sau pe pagina verificare încadrare NIS2.

Dacă nu sunteți entitate NIS2, nu aveți obligații de înregistrare, notificare sau autoevaluare față de DNSC. Aveți însă obligațiile pe care le acceptați prin contract, iar acestea pot fi destul de detaliate.

Ce vi se va cere, concret, ca furnizor?

Cerință tipică Ce înseamnă pentru furnizor De ce o cere clientul
Chestionar de securitate Răspunsuri documentate despre controalele voastre Evaluarea riscului per furnizor (art. 11 alin. 8)
Autentificare multifactor MFA pe conturile cu acces la sistemele clientului Măsură minimă (art. 13 lit. j)
Notificarea incidentelor Anunțarea clientului într-un termen scurt, stabilit prin contract Clientul are propriile termene: 24 h, 72 h, o lună
Jurnalizare și trasabilitate Păstrarea jurnalelor de acces la sistemele clientului Trasabilitatea tuturor activităților (art. 11 alin. 4)
Gestionarea vulnerabilităților Actualizări la timp, raportarea vulnerabilităților în produse Securitatea dezvoltării și întreținerii (art. 13 lit. e)
Dreptul de audit Acceptarea unui audit sau a unor dovezi echivalente Verificarea practicilor declarate
Continuitate Copii de rezervă, plan de redresare pentru serviciul livrat Continuitatea activității clientului (art. 13 lit. h)
Personal și acces Liste de persoane cu acces, revocare la plecare Controlul accesului (art. 13 lit. f)
Subcontractori Informarea și aprobarea subcontractorilor Lanțul nu se oprește la primul furnizor

Termenele de notificare a incidentelor semnificative pe care le are clientul sunt explicate în articolul despre notificarea incidentelor NIS2. Clauza din contractul dvs. trebuie să-i lase timp să le respecte.

Cum își evaluează o entitate NIS2 furnizorii?

O abordare proporțională, ușor de apărat în fața unui auditor, are cinci pași:

  1. Inventarul furnizorilor, legat de inventarul de active: cine are acces la ce sistem, ce date prelucrează, ce serviciu critic susține.
  2. Clasificarea pe risc: un furnizor de rechizite nu se tratează ca un furnizor cu acces de administrator la rețea.
  3. Cerințe pe niveluri: un set minim pentru toți furnizorii, cerințe extinse pentru cei critici.
  4. Clauze contractuale pentru furnizorii noi și acte adiționale pentru cei existenți, prioritizate pe risc.
  5. Monitorizare și reevaluare: dovezi anuale, revizuire după incidente sau schimbări majore.

Rezultatul trebuie să fie documentat. Pe lângă cerința de la art. 11 alin. (7) privind lista activelor și a riscurilor, entitatea poate fi întrebată de DNSC despre furnizorii de servicii digitale (art. 11 alin. 9). Răspunsul se dă în termenul din cererea DNSC, deci registrul trebuie să existe dinainte.

Cum devine un furnizor „de încredere”?

Pentru un furnizor, pregătirea are un efect direct asupra vânzărilor: în licitații și negocieri cu entități NIS2, cel care răspunde complet și repede la chestionar trece mai ușor de selecție.

Lista de pregătire pentru furnizori:

  1. Un document scurt care descrie controalele de securitate aplicate serviciului livrat.
  2. MFA activat pe toate conturile cu acces la clienți.
  3. O procedură de răspuns la incidente cu termen de notificare a clientului.
  4. Jurnale de acces păstrate și disponibile la cerere.
  5. Un proces de actualizare și de gestionare a vulnerabilităților.
  6. Copii de rezervă testate pentru datele clienților.
  7. O listă a subcontractorilor și a datelor la care au acces.
  8. Un test de securitate recent pe aplicațiile expuse clienților.
  9. O persoană de contact pentru securitate, cunoscută de clienți.
  10. Un răspuns-model la chestionarele frecvente, actualizat anual.

Atenție la ofertele de „certificare NIS2” pentru furnizori. NIS2 nu certifică organizații; explicăm diferența în articolul „Certificare NIS2”: ce există și ce nu. Ce contează pentru client sunt dovezile concrete.

Ce se întâmplă cu furnizorii de servicii TIC pentru sectorul financiar?

Ordinul DNSC 1/2026 prevede o excepție: entitățile din sectorul „Gestionarea serviciilor TIC (business-to-business)” desemnate furnizori terți esențiali de servicii TIC conform Regulamentului DORA (UE) 2022/2554 aplică măsurile din DORA și nu realizează evaluarea nivelului de risc prevăzută de metodologia DNSC. Pentru ceilalți furnizori, contractele cu clienți din sectorul financiar vor reflecta cerințele DORA, pe lângă cele NIS2.

Greșeli frecvente

  • Același chestionar pentru toți furnizorii. Produce sute de răspunsuri pe care nu le citește nimeni. Cerințele trebuie corelate cu riscul.
  • Clauze fără termen de notificare. „Furnizorul va informa clientul” nu ajută când clientul are 24 de ore pentru avertizarea timpurie.
  • Uitarea accesului de la distanță. Furnizorii de mentenanță cu acces permanent prin VPN sau instrumente de administrare de la distanță sunt adesea cel mai mare risc.
  • Lipsa revocării. Conturi de furnizor active după încheierea contractului.

Cum vă ajută ProDefence

Membrii echipei ProDefence sunt auditori NIS atestați de DNSC, iar ProDefence lucrează de ambele părți ale contractului.

Pentru entitățile NIS2, consultanța NIS2 (de la 10.000 EUR pe proiect) include registrul furnizorilor, clasificarea pe risc, cerințele pe niveluri și clauzele contractuale. Auditul NIS2 (de la 5.000 EUR pe misiune) verifică dacă procesul funcționează. În CysNIS riscurile legate de furnizori se gestionează împreună cu celelalte riscuri și cu controalele din Ordinul DNSC 1/2026.

Pentru furnizori, un audit de securitate web și rețea oferă dovezi tehnice recente pentru chestionarele clienților, iar consultanța vă ajută să construiți setul de documente cerut în licitații. Scrieți-ne prin formularul de pe pagina de consultanță.

Întrebări frecvente

Sunt obligat să respect NIS2 dacă firma mea doar furnizează unei entități NIS2?

Nu direct. Un furnizor care nu este entitate esențială sau importantă nu are obligații de înregistrare, notificare sau autoevaluare față de DNSC. Are însă obligațiile acceptate prin contract, iar clientul NIS2 trebuie să le ceară ca să-și gestioneze lanțul de aprovizionare, conform art. 11 și art. 13 lit. d) din OUG 155/2024.

Ce articol din OUG 155/2024 se referă la furnizori?

Art. 13 lit. d) include securitatea lanțului de aprovizionare printre măsurile minime. Art. 11 alin. (8) spune ce trebuie evaluat la furnizori, iar art. 11 alin. (9) permite DNSC să ceară date despre furnizorii de cloud, centre de date, servicii gestionate și servicii de securitate gestionate.

Poate clientul să-mi auditeze firma?

Doar dacă ați acceptat acest lucru prin contract. Multe entități NIS2 vor cere dreptul de audit sau dovezi echivalente, cum ar fi rapoarte de testare sau certificări de management al securității, pentru furnizorii cu acces la sisteme critice.

Ce termen de notificare a incidentelor ar trebui să accept?

Unul care îi permite clientului să-și respecte propriile termene: avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final într-o lună pentru incidentele semnificative. De aceea clientul va cere, de regulă, un termen mai scurt decât 24 de ore.

Există o certificare NIS2 pentru furnizori?

Nu. NIS2 nu prevede certificarea organizațiilor. Clienții evaluează furnizorii pe baza dovezilor: răspunsuri la chestionare, controale tehnice, rapoarte de testare, certificări de management al securității acolo unde există.

Cum prioritizez evaluarea a sute de furnizori?

Prin clasificare pe risc: acces la sisteme, tipul datelor prelucrate și serviciul critic susținut. Furnizorii critici primesc evaluare completă și clauze extinse, ceilalți un set minim de cerințe. Revizuirea se face anual și după incidente.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică și conformare NIS2 la ProDefence, a cărei echipă include auditori NIS atestați de DNSC.

Probele digitale în dosarul penal: drumul de la incident la instanță

O probă digitală este utilă într-un dosar penal doar dacă se poate arăta de unde provine, că nu a fost modificată și cine a manipulat-o de la colectare până la depunere. Asta presupune conservare rapidă, copii integrale cu amprente criptografice, un registru al fiecărei operațiuni și o analiză tehnică pe care o poate verifica oricine.

Pe scurt

  • Datele informatice se pierd repede: jurnalele se suprascriu, conturile se închid, mesajele se șterg. Primele zile contează mai mult decât primele luni.
  • Integritatea unei probe digitale se demonstrează prin amprente criptografice (hash) calculate la colectare și prin lanțul de custodie.
  • Codul de procedură penală prevede conservarea datelor informatice (art. 154), percheziția informatică efectuată de un specialist (art. 168) și predarea datelor informatice (art. 170).
  • Infracțiunile de la art. 360-366 și art. 325 Cod penal sunt de competența DIICOT indiferent dacă există un grup organizat; frauda informatică (art. 249) ajunge la DIICOT doar în contextul unui grup infracțional organizat.
  • Persoana vătămată poate formula plângere și poate propune probe. O documentare tehnică solidă face propunerea mai ușor de evaluat.

Ce este o probă digitală și de ce este fragilă?

În infracțiunile informatice, aproape tot ce contează există sub formă de date: jurnalele unui server, antetul unui e-mail, istoricul autentificărilor într-un cont cloud, un fișier executabil, o conversație dintr-o aplicație de mesagerie, metadatele unui document. Spre deosebire de un obiect fizic, aceste date pot fi modificate fără urme vizibile, pot dispărea automat după o perioadă de păstrare sau pot fi alterate involuntar chiar de cei care încearcă să le salveze.

Exemplul tipic: după un incident, administratorul de sistem deschide calculatorul afectat, navighează prin fișiere, rulează un antivirus și apoi îl reinstalează. Fiecare pas a modificat datele de acces ale fișierelor, a șters urme din memorie și, la final, a eliminat orice posibilitate de reconstituire. Intenția a fost bună, rezultatul este o probă pierdută.

Raportul anual DNSC pentru 2025 arată de ce subiectul nu mai este de nișă: ransomware-ul a crescut cu 153%, compromiterea conturilor a ajuns la 1.125 de incidente (de peste patru ori mai multe decât în 2024), iar fraudele și tentativele de fraudă la 3.937. Multe dintre aceste cazuri ajung, mai devreme sau mai târziu, în fața unui procuror.

Lanțul de custodie: întrebarea „cine a atins proba?”

Lanțul de custodie este documentația care urmărește proba de la momentul colectării până la depunerea în dosar. Pentru fiecare transfer sau operațiune se consemnează:

  • ce anume s-a colectat (dispozitiv, cont, fișier, export de jurnale);
  • de unde, când și de către cine;
  • cu ce instrument și prin ce metodă;
  • amprenta criptografică calculată la colectare;
  • unde a fost păstrată și cine a avut acces;
  • fiecare operațiune ulterioară, cu ora și persoana responsabilă.

De ce contează amprenta criptografică?

O funcție hash (de exemplu SHA-256) produce, pentru orice fișier sau imagine de disc, o valoare unică. Dacă se modifică un singur bit, valoarea se schimbă complet. Calculată la colectare și recalculată la analiză sau în instanță, amprenta arată că datele examinate sunt identice cu cele colectate. Fără ea, orice obiecție privind integritatea probei devine greu de combătut.

Ce prevede Codul de procedură penală?

Fără a intra în interpretări juridice, care aparțin avocatului și procurorului, câteva instrumente procedurale sunt esențiale pentru probele digitale:

Instrument Articol CPP Pe scurt
Conservarea datelor informatice art. 154 Măsură prin care datele (inclusiv de trafic) sunt păstrate de deținător când există o suspiciune rezonabilă; poate fi prelungită de procuror o singură dată
Percheziția informatică art. 168 Cercetarea unui sistem sau suport de stocare, efectuată de un specialist
Predarea obiectelor, înscrisurilor sau datelor informatice art. 170 Obligarea deținătorului să predea datele cerute

Pentru victimă, concluzia practică este simplă: autoritățile pot dispune aceste măsuri, dar ele au efect doar dacă datele încă există. O firmă care a exportat la timp jurnalele, a păstrat copii integrale și a documentat incidentul îi oferă procurorului un material pe care măsurile procedurale se pot sprijini.

Unde ajunge dosarul: competența DIICOT

Legea 508/2004 stabilește, la art. 12, competența DIICOT. Două situații merită reținute:

  • Infracțiunile contra siguranței sistemelor și datelor informatice (art. 360-366 Cod penal: acces ilegal, interceptare ilegală, alterarea integrității datelor, perturbarea funcționării sistemelor, transfer neautorizat de date, operațiuni ilegale cu dispozitive sau programe) și falsul informatic (art. 325) sunt de competența DIICOT indiferent dacă au fost săvârșite de un grup infracțional organizat.
  • Frauda informatică (art. 249, 2-7 ani) și celelalte fapte de la art. 249-252 ajung la DIICOT dacă au fost săvârșite în scopul unui grup infracțional organizat. Altfel, rămân la parchetele obișnuite.

Un exemplu public: după atacul ransomware de la Apele Române din decembrie 2025, dosarul penal a fost înregistrat la DIICOT, Structura Centrală, pe 22 decembrie 2025, în urma plângerii instituției.

Pașii practici pentru o companie victimă

  1. Opriți intervențiile neplanificate. Nimeni nu reinstalează, nu formatează și nu „curăță” sistemele afectate până la conservare.
  2. Izolați, nu opriți. Sistemele se deconectează de la rețea, dar rămân pornite dacă e posibil.
  3. Exportați jurnalele volatile. Serviciile cloud, firewall-ul, VPN-ul și serverele de e-mail păstrează uneori jurnale doar câteva zile.
  4. Faceți copii integrale și calculați amprente. Imagini de disc și de memorie, nu doar copii ale câtorva fișiere.
  5. Deschideți registrul de custodie din prima oră.
  6. Păstrați comunicările atacatorului în format original (cu antete, nu doar capturi de ecran).
  7. Cereți o analiză tehnică care reconstituie incidentul și separă faptele de ipoteze.
  8. Implicați avocatul înainte de depunerea plângerii, ca să decidă ce se depune și cum.

Când dosarul devine prea mare: rolul analizei documentare

În cazurile complexe, problema nu mai este lipsa probelor, ci volumul lor. Un dosar de fraudă sau de atac informatic poate cuprinde mii de pagini, sute de e-mailuri, exporturi de conturi bancare, jurnale de sistem și înregistrări audio-video. Avocatul trebuie să găsească rapid contradicțiile, lipsurile și legăturile dintre documente.

Aici, analiza tehnică independentă are două roluri: verifică faptele tehnice (ce arată efectiv un jurnal, dacă un e-mail provine de unde pretinde, ce dovedesc metadatele) și organizează materialul într-o cronologie verificabilă, cu trimitere la sursa fiecărei afirmații. Diferența dintre o afirmație și o constatare susținută de date este, adesea, diferența dintre un argument respins și unul ascultat.

Detalii despre această etapă găsiți în articolul despre analiza unui dosar voluminos, cronologie și probe digitale.

Cum vă ajută ProDefence

Pentru companii și persoane victime ale unui incident, serviciul de investigare a infracțiunilor informatice urmează etapele preluare, conservare, analiză, documentare, remediere. Rolul nostru este tehnic: să stabilim ce s-a întâmplat și să documentăm dovada. Livrăm raport tehnic, probe documentate într-o formă utilizabilă în procedura penală, indicatori de compromitere și suport tehnic pe parcursul procedurii, la cererea clientului sau a autorităților. Decizia de a sesiza autoritățile vă aparține.

Pentru avocați, departamente juridice și echipe de conformitate, ProCIS (procis.ro) transformă dosarele voluminoase în informație verificabilă, pe trei niveluri:

  • Fundamentul dosarului: inventar, identificarea fiecărui document, reconciliere cu opisul, rezumat factual;
  • Analiză aprofundată: cronologie factuală, index de persoane și entități, legături între documente, comparare de versiuni, discrepanțe și lipsuri;
  • Investigație și analiză tehnică: mesaje electronice, fișiere, metadate, jurnale de sistem, inclusiv în cazuri de ransomware și alte infracțiuni informatice.

Fiecare fișier primește amprentă criptografică la primire, fiecare operațiune este jurnalizată, iar instrumentele AI lucrează doar pe material pseudonimizat, cu verificarea analistului. ProCIS nu oferă consultanță juridică și nu apreciază admisibilitatea probelor: avocatul decide ce se depune. Solicitările se trimit prin procis.ro.

Întrebări frecvente

Pot fi folosite într-un dosar penal probele colectate de firmă?

Pot fi propuse, iar valoarea lor depinde de modul în care au fost colectate și documentate. Copiile integrale, amprentele criptografice și un lanț de custodie complet permit verificarea integrității. Aprecierea finală aparține organelor de urmărire penală și instanței, iar strategia de depunere aparține avocatului.

Ce este lanțul de custodie al unei probe digitale?

Este documentația care arată, pentru fiecare probă, ce s-a colectat, de unde, când, de către cine, cu ce instrument și cu ce amprentă criptografică, plus fiecare operațiune ulterioară. Lanțul de custodie răspunde la întrebarea esențială: a putut cineva modifica proba între colectare și instanță?

Sunt suficiente capturile de ecran?

Rareori. O captură de ecran arată ce se vedea, dar nu conține antetele unui e-mail, metadatele unui fișier sau jurnalele de autentificare. Capturile sunt utile ca element complementar, alături de exporturile în format original și de amprentele criptografice ale acestora.

Cine este competent să cerceteze un atac informatic?

Potrivit Legii 508/2004, infracțiunile de la art. 360-366 și art. 325 Cod penal sunt de competența DIICOT indiferent dacă există un grup organizat. Frauda informatică (art. 249) ajunge la DIICOT doar dacă a fost comisă în scopul unui grup infracțional organizat; altfel, la parchetul competent.

Ce face ProCIS diferit de un avocat?

ProCIS face analiză documentară și tehnică: organizează dosarul, construiește cronologia, identifică discrepanțe și analizează datele electronice. Nu oferă consultanță juridică, nu califică juridic faptele și nu stabilește strategia. Avocatul folosește rezultatele și decide ce se depune și cum.

Cât de repede trebuie să acționez după un incident?

Cât mai repede. Multe servicii păstrează jurnalele doar câteva zile, iar orice intervenție neplanificată pe sistemele afectate poate șterge urme. Conservarea datelor în primele ore are, de regulă, mai multă valoare decât orice analiză făcută luni mai târziu.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, coordonează investigațiile tehnice ale incidentelor informatice și analiza documentară prin ProCIS.

Vocea clonată cu AI: cum recunoști apelul „Te sună copilul” și cum îți protejezi familia

,

Înșelătoria cu voce clonată folosește inteligența artificială pentru a imita vocea unei rude, care sună panicată și cere bani urgent. Apărarea cea mai eficientă e simplă: închideți, sunați înapoi persoana pe numărul pe care îl știți și cereți parola de familie stabilită dinainte. Fără aceste două verificări, nu trimiteți niciun ban.

Pe scurt

  • Poliția Română a avertizat în februarie 2026 asupra fraudei „Te sună copilul”: vocea unui membru al familiei, clonată cu AI din înregistrări publicate online.
  • Raportul anual DNSC pe 2025 arată fraude în creștere cu 91% și semnalează deepfake-uri cu vocea și imaginea unor persoane publice, folosite pentru investiții false.
  • O parolă de familie, cunoscută doar de voi, distruge scenariul atacatorului în câteva secunde.
  • Urgența, secretul și plata pe căi neobișnuite (cripto, curier, transfer către un străin) sunt cele trei semne clasice.
  • Dacă ați plătit deja, sunați imediat banca, păstrați toate dovezile și sesizați Poliția.

Cum funcționează înșelătoria cu voce clonată

Instrumentele de sinteză vocală pot reproduce timbrul, ritmul și intonația unei persoane pornind de la înregistrări audio. Sursele sunt cele pe care le publicăm singuri: clipuri pe rețele sociale, mesaje vocale, transmisiuni în direct, interviuri.

Scenariul tipic are patru pași:

  1. Colectarea: atacatorul găsește înregistrări cu vocea unui tânăr și datele familiei (nume, oraș, școală, locul de muncă al părinților), adesea din profiluri publice.
  2. Pretextul: un accident, o reținere la poliție, un telefon pierdut, o urgență medicală.
  3. Apelul: o voce aproape identică spune câteva fraze scurte, plânge sau vorbește întretăiat, apoi „predă telefonul” unui presupus polițist, avocat sau medic.
  4. Plata: banii trebuie trimiși imediat, adesea prin curier, transfer către o persoană necunoscută sau în cripto, „ca să nu afle nimeni”.

Același mecanism apare și în reclamele cu persoane publice. Banca Națională a României a avertizat la 18 februarie 2026 că postări deepfake cu guvernatorul Mugur Isărescu erau folosite pentru propuneri false de investiții.

Cele mai frecvente semne de alarmă

Semn Ce înseamnă
Urgență extremă, „acum, în cinci minute” Vă lipsește timpul de verificare. Exact asta urmărește atacatorul.
Cerere de secret: „nu le spune lui tata / mamei” Izolarea victimei împiedică un al doilea apel de control.
Vocea vorbește puțin, apoi preia altcineva Clona e folosită doar pentru câteva fraze convingătoare.
Număr necunoscut sau ascuns Persoana reală are numărul ei. Sunați-o acolo.
Plată prin curier, cripto sau către un străin Nicio instituție nu încasează cauțiuni sau amenzi așa.
Răspunsuri vagi la întrebări personale Clona nu știe amintiri comune.
Zgomot de fond „dramatic” Sirene, plâns, zgomot de stradă, adăugate pentru presiune.

Niciun semn luat separat nu e o dovadă. Combinația dintre urgență, secret și o metodă de plată neobișnuită este însă suficientă ca să opriți conversația.

Parola de familie: cea mai ieftină protecție

Poliția Română recomandă o „parolă de familie” și un apel de verificare pe numărul cunoscut. Iată cum o stabiliți corect.

Cum alegeți parola

  • Un cuvânt sau o expresie scurtă, ușor de reținut sub stres, dar imposibil de ghicit din profilurile voastre publice.
  • Fără nume de animale de companie, date de naștere, echipa preferată sau orașul natal: toate apar online.
  • Stabiliți-o față în față, nu prin mesaj sau e-mail.
  • Includeți bunicii și copiii suficient de mari să o înțeleagă.

Cum o folosiți

Regula e una singură: orice cerere de bani sau de date venită pe telefon, în numele familiei, se confirmă cu parola. Dacă interlocutorul nu o știe sau „a uitat-o de emoție”, închideți și sunați persoana pe numărul ei obișnuit.

Schimbați parola dacă bănuiți că a fost auzită de altcineva sau după ce ați folosit-o într-o situație reală.

Ce faceți în timpul unui apel suspect

  1. Nu confirmați date. Nu spuneți numele persoanei care „ar trebui” să sune. Lăsați-l pe interlocutor să se prezinte.
  2. Puneți o întrebare de control. Cereți parola de familie sau o amintire pe care doar voi o știți.
  3. Închideți. Nu e nepoliticos. O urgență reală supraviețuiește unui apel de verificare de un minut.
  4. Sunați persoana pe numărul cunoscut. Dacă nu răspunde, sunați pe cineva care e lângă ea: partener, coleg, profesor.
  5. Contactați instituția invocată. Dacă vi se spune că e implicată poliția sau un spital, căutați singuri numărul oficial.
  6. Notați tot. Ora, numărul apelant, ce vi s-a cerut, numele invocate.

Am trimis deja banii. Ce fac?

Rapiditatea contează. Nu vă putem promite că banii se recuperează, dar fiecare oră în plus reduce șansele.

  1. Sunați imediat banca pe numărul de pe spatele cardului sau din aplicație. Cereți blocarea și, dacă se poate, rechemarea plății.
  2. Dacă ați plătit în cripto, notați adresa portofelului, ora și suma; contactați platforma de schimb folosită.
  3. Păstrați dovezile: istoricul apelurilor, capturi de ecran cu mesajele, chitanțe, numărul de curier, eventuale înregistrări. Nu le ștergeți și nu răspundeți atacatorului.
  4. Sesizați Poliția și depuneți plângere, cu toate dovezile.
  5. Anunțați familia, ca atacatorul să nu încerce din nou cu alt membru.
  6. Schimbați parolele conturilor dacă ați comunicat orice date de autentificare.

Dacă suma e mare sau atacul a implicat și compromiterea unor conturi, o analiză tehnică a mesajelor, a numerelor și a căilor de plată poate documenta faptele într-o formă utilă pentru plângerea penală.

Cum vă reduceți expunerea vocii online

Nu trebuie să dispăreți de pe internet. Câteva setări reduc însă materialul disponibil pentru clonare:

  • Treceți profilurile copiilor pe privat și revizuiți cine vede clipurile cu voce.
  • Evitați mesajele vocale lungi către grupuri mari sau necunoscute.
  • Nu publicați simultan vocea, numele complet, școala și numerele de telefon ale membrilor familiei.
  • Folosiți un mesaj de căsuță vocală neutru, fără nume și fără detalii.
  • Vorbiți cu părinții în vârstă: ei sunt ținta preferată, iar o discuție de zece minute poate preveni o pierdere mare.

De ce funcționează: manipularea percepției

Clona vocală nu păcălește urechea, ci emoția. Frica pentru un copil suspendă verificarea rațională exact în momentul în care ar fi nevoie de ea. Mecanismul este analizat pe larg în ghidul „Inteligența artificială & manipularea percepției umane” (Mircea Constantin Șcheau și Alexandru-Ciprian Angheluș, 2025), realizat cu sprijin instituțional DNSC, Poliția Română, Cyberint și CSA România, disponibil pe cyberaid.eu/ADA.

Răspunsul eficient e un obicei, nu o tehnologie: o oprire scurtă, o întrebare de control, un apel înapoi.

Cum vă ajută ProDefence

  • CysEdu oferă cursuri, ghiduri interactive și simulări practice pentru persoane și familii, în campania „Analizează. Decide. Acționează.” Exercițiile pe scenarii de fraudă ajută mai mult decât o listă de reguli citită o singură dată.
  • Pentru mesaje, linkuri sau fișiere suspecte primite odată cu apelul, serviciul de analiză a fraudelor electronice și a fișierelor suspecte stabilește ce sunt și ce risc reprezintă.
  • Dacă frauda s-a produs, investigarea infracțiunilor informatice documentează tehnic ce s-a întâmplat. Rolul nostru este tehnic: să stabilim ce s-a întâmplat și să documentăm dovada. Decizia de a sesiza autoritățile vă aparține.
  • Pentru riscurile care îi privesc direct pe copii, vedeți pagina protecția copilului în mediul digital.

Pentru antrenament înainte de un apel real, CysGame oferă gratuit chestionare și misiuni interactive despre phishing și protecția datelor, bune de parcurs în familie, inclusiv cu bunicii.

Întrebări frecvente

Cât de ușor se poate clona vocea cuiva?

Instrumentele actuale de sinteză vocală pot imita timbrul și intonația unei persoane pornind de la înregistrări publicate online, precum clipuri sau mesaje vocale. Calitatea variază, dar într-un apel scurt, cu zgomot de fond și emoție, diferențele sunt greu de observat. De aceea verificarea nu trebuie să se bazeze pe ureche.

Ce este parola de familie?

Este un cuvânt sau o expresie stabilită față în față între membrii familiei, pe care o cereți la orice solicitare urgentă de bani făcută pe telefon. Poliția Română a recomandat-o în avertismentul din februarie 2026 privind fraudele „Te sună copilul”. Nu trebuie să poată fi ghicită din profilurile publice.

Pot să-mi dau seama după voce că e o clonă?

Uneori: pauze nenaturale, intonație plată, răspunsuri vagi la întrebări personale. Nu vă bazați însă pe asta. Regula sigură este procedurală: închideți și sunați persoana pe numărul cunoscut, apoi cereți parola de familie.

Am trimis bani unui escroc. Îi mai pot recupera?

Nu există o garanție. Șansele sunt mai mari dacă sunați banca imediat, cereți blocarea și rechemarea plății, păstrați toate dovezile și depuneți plângere la Poliție fără întârziere. Plățile prin curier sau în cripto sunt mai greu de urmărit.

Cum îi protejez pe părinții sau bunicii mei?

Stabiliți împreună parola de familie, explicați-le scenariul tipic și repetați regula: nicio plată cerută la telefon fără un apel de verificare. Notați-le pe hârtie numerele voastre corecte, lângă telefon. O simulare făcută de voi, cu acordul lor, fixează obiceiul.

Ce rol are AI Act în aceste fraude?

AI Act impune, din 2 august 2026, obligații de transparență pentru conținutul generat și pentru deepfake-uri. Infractorii nu respectă însă reguli de marcare, așa că protecția practică rămâne verificarea independentă a oricărei cereri urgente.

Surse

  • Poliția Română, avertisment privind fraudele „Te sună copilul” cu voce clonată, februarie 2026
  • Banca Națională a României, avertisment privind postările deepfake cu guvernatorul BNR, 18 februarie 2026
  • DNSC, Raportul anual de activitate 2025 (august 2026)
  • Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act), art. 50
  • M. C. Șcheau, A.-C. Angheluș, „Inteligența artificială & manipularea percepției umane” (2025), cyberaid.eu/ADA

Alexandru Angheluș, ProDefence. Coautor al ghidului „Inteligența artificială & manipularea percepției umane”, lucrează pe analiza fraudelor online și educația în securitate cibernetică.

Cât costă conformarea NIS2 în România: bugetul real, pe componente

,

Costul conformării NIS2 în România depinde de nivelul de risc stabilit de DNSC, de mărimea organizației și de cât de matură este deja securitatea ei. Nu există un preț unic: bugetul se compune din timp intern, consultanță, audit, responsabil NIS, documentație, tehnologie și formare. Fiecare componentă se poate estima separat.

Pe scurt

  • Bugetul NIS2 are șapte componente; cele mai subestimate sunt timpul intern și remedierea tehnică.
  • Nivelul de asigurare (Bază, Important sau Esențial) stabilește câte controale trebuie implementate: 34, 133 sau toate cele 218 din Ordinul DNSC 1/2026.
  • Unele costuri sunt unice (proiectul inițial, documentația), altele recurente (autoevaluarea anuală, responsabilul, formarea).
  • Răspunderea rămâne la organele de conducere, care aprobă măsurile și trebuie să aloce resursele (art. 14 din OUG 155/2024).
  • Neconformarea are un cost propriu: amenzi de până la 10 mil. EUR sau 2% din cifra de afaceri pentru entitățile esențiale.

De ce nu există un preț fix pentru NIS2?

OUG 155/2024 cere măsuri „proporționale și adecvate” cu nivelul de risc al entității (art. 11 alin. 1 și 2). Proporționalitatea se judecă după expunerea la risc, dimensiunea entității, probabilitatea și gravitatea incidentelor, inclusiv impactul social și economic (art. 11 alin. 10).

În practică, aceasta înseamnă că două firme din același sector pot avea bugete foarte diferite. Ordinul DNSC 1/2026 împarte controalele pe trei niveluri de asigurare:

Nivel de asigurare Controale aplicabile Prag de maturitate
Bază 34 2,5
Important 133 3
Esențial 218 3,5

Nivelul nu îl alege organizația. El rezultă din evaluarea nivelului de risc făcută după metodologia aprobată prin Ordinul DNSC 2/2025 (art. IV din Ordinul 1/2026). De aici pornește orice estimare serioasă: fără nivelul de asigurare, orice cifră este o presupunere. Detaliile despre catalog sunt în articolul despre CyFun și cele 218 controale.

Care sunt componentele bugetului NIS2?

1. Timpul intern

Este componenta pe care o ignoră aproape toate estimările. Conducerea trebuie să aprobe măsurile și să supravegheze aplicarea lor. Echipa IT inventariază activele, aplică controale și strânge dovezi. Juridicul revizuiește contractele cu furnizorii. Resursele umane organizează formarea. Chiar dacă externalizați o parte din muncă, cineva din organizație trebuie să furnizeze informații și să ia decizii.

2. Consultanța pentru implementare

Consultantul face analiza decalajelor față de controalele aplicabile, analiza de risc, planul de implementare și documentația, apoi însoțește aplicarea. La ProDefence, consultanța NIS2 pornește de la 10.000 EUR pe proiect. Prețul crește cu numărul de locații, de sisteme critice și de entități dintr-un grup.

3. Responsabilul NIS

Fiecare entitate desemnează, în 30 de zile de la comunicarea deciziei DNSC de înscriere în registru, responsabilii cu securitatea rețelelor și sistemelor informatice (art. 14 alin. 3). Puteți angaja un specialist sau externaliza rolul. Responsabilul NIS2 externalizat ProDefence pornește de la 800 EUR pe lună, cu contract de 12 luni. Atenție: pentru entitățile esențiale (cu excepțiile din lege), persoana trebuie să îndeplinească cinci condiții cumulative, printre care subordonarea directă față de conducere și un curs acreditat recunoscut de DNSC în 12 luni (art. 14 alin. 4).

4. Documentația

Politici, proceduri, registre, planuri de continuitate și de răspuns la incidente. Le puteți redacta intern, le puteți primi în cadrul consultanței sau le puteți cumpăra ca pachet pregătit pentru adaptare. Pachetele de documentație NIS2 ProDefence costă 1.500 EUR pentru o entitate importantă și 2.000 EUR pentru o entitate esențială, plată unică, cu licență pentru o singură organizație.

5. Remedierea tehnică

Aici apar diferențele mari. Autentificarea multifactor, jurnalizarea și trasabilitatea activităților (art. 11 alin. 4), copiile de rezervă și redresarea în caz de dezastru, gestionarea vulnerabilităților, segmentarea rețelei. O organizație care are deja aceste practici plătește puțin; una care pornește de la zero poate cheltui mai mult pe tehnologie decât pe toate celelalte componente la un loc.

6. Auditul

OUG 155/2024 obligă entitățile să se supună unui audit de securitate, cu periodicitatea stabilită prin ordin DNSC (art. 11 alin. 5). Periodicitatea nu este încă reglementată, dar auditul trebuie bugetat. La ProDefence, auditul NIS2 pornește de la 5.000 EUR pe misiune. Un auditor nu își poate audita propria implementare, deci auditul și consultanța se contractează cu atenție la incompatibilități.

7. Formarea

Membrii organelor de conducere urmează cursuri de formare acreditate, iar întregul personal trebuie format în mod regulat (art. 14 alin. 2). Este un cost recurent, mic pe persoană, dar care se înmulțește cu numărul de angajați.

Ce costuri sunt unice și ce costuri se repetă anual?

Componentă Tip de cost Observație
Analiza decalajelor și planul Unic, actualizat periodic Se reia când se schimbă nivelul de risc
Documentația Unic, cu revizuiri Politicile se revizuiesc periodic (art. 13 lit. a)
Remedierea tehnică Mai ales unic Licențele și întreținerea devin recurente
Responsabilul NIS Recurent Lunar, intern sau externalizat
Autoevaluarea maturității Recurent, anual Transmisă DNSC, asumată de management (art. 12 alin. 4)
Planul de remediere Recurent 30 de zile după autoevaluare, pentru entitățile esențiale (art. 12 alin. 5)
Formarea Recurent Conducere și personal
Auditul Periodic Periodicitate încă nereglementată

Distincția contează pentru aprobarea bugetului. Un proiect de conformare se poate finanța ca investiție, dar responsabilul, autoevaluarea și formarea trebuie trecute în cheltuielile de funcționare.

Ce crește și ce scade costul?

Factori care cresc bugetul:

  1. nivel de asigurare Esențial, cu toate cele 218 controale;
  2. mai multe entități într-un grup, fiecare cu obligații proprii (vezi NIS2 în grupuri de firme);
  3. sisteme vechi, fără jurnalizare sau fără suport pentru autentificare multifactor;
  4. tehnologie operațională (OT) în energie, apă sau transport;
  5. lipsa unui inventar de active și a unei analize de risc anterioare;
  6. furnizori critici fără clauze de securitate în contracte.

Factori care scad bugetul:

  1. un sistem de management al securității informației deja funcțional;
  2. documentație existentă care poate fi adaptată, nu rescrisă;
  3. o echipă IT care documentează deja schimbările și incidentele;
  4. o autoevaluare inițială onestă, care evită munca pe controale deja îndeplinite.

Cât costă neconformarea?

OUG 155/2024 prevede două paliere de amenzi. Pentru faptele de la art. 60 alin. (1) lit. n)-t), amenzile sunt între 1.000 și 300.000 lei pentru entitățile importante și între 1.500 și 500.000 lei pentru entitățile esențiale. Palierul mare ajunge la 7 mil. EUR sau 1,4% din cifra de afaceri pentru entitățile importante și la 10 mil. EUR sau 2% pentru entitățile esențiale.

Riscul nu este teoretic. La 29.09.2026, DNSC a aplicat prima amendă în baza OUG 155/2024: 50.000 lei, pentru nenotificarea de înregistrare. Pe lângă amenzi, un incident major are costurile lui directe: oprirea activității, refacerea sistemelor, notificări, pierderea clienților.

Cum planificați bugetul pe 12 luni?

  1. Luna 1: verificați încadrarea și aflați nivelul de risc. Un prim filtru orientativ este verificarea încadrării pe CysNIS.
  2. Luna 1-2: desemnați responsabilul NIS și faceți analiza decalajelor pe controalele nivelului vostru.
  3. Luna 2-3: prioritizați: măsurile cheie și controalele cu cel mai mare risc întâi. Estimați remedierea tehnică pe baza listei, nu din ochi.
  4. Luna 3-9: implementați, documentați, strângeți dovezi.
  5. Luna 9-10: autoevaluarea maturității cu instrumentul DNSC (vezi autoevaluarea EVAL_MMS și pragurile).
  6. Luna 10-12: planul de remediere și pregătirea auditului.

Pentru comparația dintre implementarea în regie proprie, cu consultant sau prin responsabil externalizat, citiți cele trei variante de implementare NIS2.

Cum vă ajută ProDefence

Membrii echipei ProDefence sunt auditori NIS atestați de DNSC, iar ProDefence lucrează pe toate componentele bugetului, cu tarife de pornire publicate. ProDefence nu este plătitoare de TVA, deci prețul afișat este cel final.

Pentru planificare și urmărirea progresului, CysNIS adună într-un singur loc verificarea încadrării, evaluarea controalelor, riscurile și documentarea parcursului NIS2. Dacă vreți o estimare pe situația voastră, scrieți-ne prin formularul de pe pagina de consultanță.

O parte din bugetul de instruire se poate reduce folosind materiale existente: cursurile de pe CysEdu acoperă instruirea angajaților pe niveluri, iar CysGame oferă gratuit jocuri interactive de conștientizare. Instruirea specifică a organelor de conducere rămâne o linie separată în buget.

Întrebări frecvente

Cât costă, în medie, implementarea NIS2?

Nu există o medie relevantă, pentru că bugetul depinde de nivelul de asigurare (Bază, Important sau Esențial), de numărul de sisteme și de maturitatea de pornire. O estimare corectă se face după analiza decalajelor pe controalele din Ordinul DNSC 1/2026 aplicabile nivelului vostru de risc.

Este obligatoriu să lucrăm cu un consultant?

Nu. OUG 155/2024 nu impune consultanța. Puteți implementa cu echipa internă, cu un consultant sau cu un responsabil externalizat. Obligatorii sunt măsurile, autoevaluarea anuală, desemnarea responsabilului și auditul, iar răspunderea rămâne la organele de conducere în toate variantele.

Care este cel mai subestimat cost?

Timpul intern și remedierea tehnică. Conducerea, IT-ul, juridicul și resursele umane participă oricum, iar controalele precum autentificarea multifactor, jurnalizarea și copiile de rezervă pot cere investiții în tehnologie mai mari decât consultanța.

Prețurile ProDefence includ TVA?

ProDefence nu este înregistrată ca plătitor de TVA, deci prețul afișat este cel final. Tarifele publicate sunt de pornire: consultanță de la 10.000 EUR, audit de la 5.000 EUR, responsabil externalizat de la 800 EUR pe lună, documentație 1.500 sau 2.000 EUR.

Ce costuri se repetă în fiecare an?

Autoevaluarea anuală a maturității transmisă DNSC, planul de remediere pentru entitățile esențiale, responsabilul NIS, formarea conducerii și a personalului, întreținerea tehnologiei și auditul, cu periodicitatea care va fi stabilită prin ordin DNSC.

Cât de mari pot fi amenzile pentru neconformare?

Pentru o parte din fapte, între 1.000 și 300.000 lei (entități importante) și între 1.500 și 500.000 lei (entități esențiale). Palierul mare ajunge la 7 mil. EUR sau 1,4% din cifra de afaceri, respectiv 10 mil. EUR sau 2%.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică și conformare NIS2 la ProDefence, a cărei echipă include auditori NIS atestați de DNSC.

Vulnerabilități critice în PHP (21.10.2026): ce trebuie să facă orice organizație

Actualizare: 21.10.2026, seara. Corecturile au fost publicate. Vulnerabilitățile sunt CVE-2026-109618 și CVE-2026-109619, iar versiunile corectate sunt PHP 8.2.35, 8.3.36, 8.4.27 și 8.5.12. Articolul a fost completat cu detaliile din avizele oficiale.

PHP Foundation a publicat pe 21 octombrie 2026 corecturi pentru două vulnerabilități critice în PHP, ambele cu scor CVSS v4.0 de 9,2. Ambele pot duce la executare de cod de la distanță, fără autentificare, iar pentru Apache cu mod_php exploatarea a fost confirmată cu setările implicite. Orice organizație care rulează PHP, direct sau prin aplicații, găzduire ori echipamente care îl conțin, trebuie să actualizeze acum.

Pe scurt

  • Două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619, fiecare cu scor CVSS v4.0 de 9,2, ambele de tip „folosire după eliberare” (use-after-free) cu risc de executare de cod de la distanță.
  • Sunt afectate toate versiunile anterioare lui 8.2.35, 8.3.36, 8.4.27 și 8.5.12. Actualizarea este singura remediere completă.
  • Centrul Național de Securitate Cibernetică al Marii Britanii (NCSC) a emis o alertă pentru organizațiile britanice. Riscul este însă global: PHP rulează pe 69,3% dintre site-urile al căror limbaj de server este cunoscut (W3Techs, 21.10.2026).
  • Pentru sistemele care nu pot fi actualizate imediat există măsuri temporare parțiale; dacă nici acestea nu sunt posibile, NCSC recomandă scoaterea sistemului din funcțiune.
  • Versiunile PHP ieșite din suport (8.1 și mai vechi) nu primesc corecturi, iar NCSC le semnalează drept motiv special de îngrijorare. Aproximativ o treime din site-urile PHP rulează încă versiunea 7 sau mai veche.

Ce s-a anunțat și de ce contează pentru toată lumea

Pe 20 octombrie, PHP Foundation a anunțat din timp o actualizare de securitate pentru două vulnerabilități critice, fără detalii, ca administratorii să se poată pregăti. Corecturile și avizele tehnice au fost publicate pe 21 octombrie. Formula este tipică pentru o divulgare coordonată: informațiile care i-ar ajuta pe atacatori apar abia odată cu remedierea.

NCSC a transformat anunțul într-o alertă oficială pentru organizațiile din Regatul Unit, cu o recomandare neobișnuit de fermă: dacă sistemul nu poate fi remediat, trebuie luată în calcul scoaterea lui din funcțiune. Alerta este adresată organizațiilor britanice, dar nimic din natura problemei nu este local. PHP este limbajul pe care rulează WordPress, Drupal, Joomla, Magento, Laravel, Moodle, Nextcloud, majoritatea platformelor de comerț electronic și o mare parte din găzduirea partajată din lume. Un atacator care scanează internetul nu ține cont de granițe.

Cele două vulnerabilități pe scurt

CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), executare de cod prin coruperea memoriei la epuizarea ei. Când o alocare de memorie eșuează, PHP întrerupe brusc cererea. Dacă asta se întâmplă în timp ce datele cererii sunt doar parțial inițializate, etapa de închidere a cererii poate folosi date invalide. Un atacator poate provoca intenționat epuizarea memoriei prin cereri multipart special construite, fără să depășească post_max_size. Avizul confirmă executarea de cod de la distanță fără autentificare pe Apache cu mod_php, cu setările implicite; PHP-FPM este considerat probabil vulnerabil.

CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), executare de cod prin stare globală rămasă de la o cerere anterioară. Procesele PHP care servesc mai multe cereri pot păstra referințe către memorie deja eliberată la finalul cererii precedente. O cerere ulterioară, servită de același proces, poate folosi această memorie. Avizul confirmă o cale de executare de cod în PHP 8.5 când fatal_error_backtraces este activ și o cale prin funcția de progres al încărcării sesiunii, validată pe mod_php și PHP-FPM.

Ramura PHPVulnerabilVersiune corectată
8.5sub 8.5.128.5.12
8.4sub 8.4.278.4.27
8.3sub 8.3.368.3.36
8.2sub 8.2.358.2.35
8.1 și mai vechipotențial afectate (NCSC)fără corectură oficială

De ce trebuie tratat ca urgență

Ambele vulnerabilități sunt exploatabile prin rețea, fără autentificare și fără acțiunea utilizatorului, cu impact maxim asupra confidențialității, integrității și disponibilității. Executarea de cod are loc cu drepturile procesului serverului web, adică exact nivelul de la care un atacator poate citi baza de date a aplicației, poate planta o ușă din spate sau poate pregăti un atac ransomware.

Precedentul recent arată cât de scurt este intervalul. Vulnerabilitatea CVE-2024-4577 din PHP-CGI pe Windows, publicată în iunie 2024, a fost exploatată în doar câteva zile, inclusiv de grupări ransomware. După lansarea unei corecturi, atacatorii compară codul vechi cu cel nou și reconstruiesc vulnerabilitatea. Acum, când avizele descriu chiar și vectorii de atac, fereastra până la primele atacuri automate se măsoară în ore sau zile.

Unde se ascunde PHP în infrastructura dumneavoastră

Primul pas recomandat de NCSC este identificarea tuturor sistemelor care rulează orice versiune de PHP. În practică, PHP apare în mai multe locuri decât cred majoritatea organizațiilor:

  • site-uri și aplicații web: site-ul de prezentare, magazinul online, portalul de clienți, intranetul, platforma de e-learning;
  • găzduire partajată și cPanel/Plesk: furnizorul actualizează PHP, dar adesea fiecare site își alege versiunea, iar versiunile vechi rămân disponibile;
  • containere: imaginile Docker pe bază de php nu se actualizează singure; trebuie reconstruite și redistribuite;
  • pachete din distribuțiile Linux: Debian, Ubuntu, Red Hat și derivatele lor portează corecturile în versiuni proprii, deci numărul versiunii nu va coincide cu cel anunțat de php.net; verificați avizul de securitate al distribuției;
  • echipamente și produse terțe: interfețe de administrare ale firewall-urilor, NAS-urilor, routerelor, sistemelor de monitorizare sau telefoniei IP, care includ PHP fără ca acest lucru să fie vizibil; NCSC trimite la inventarul de produse dependente de PHP întreținut de NCSC-NL;
  • servicii administrate de furnizori: agenția web, integratorul sau furnizorul SaaS care operează aplicația în numele dumneavoastră.

Ce faceți acum, pas cu pas

Actualizarea

  1. Inventariați. Listați toate sistemele cu PHP, cu versiunea exactă (php -v sau pagina de informații a aplicației) și cu responsabilul fiecăruia. Sistemele expuse la internet au prioritate.
  2. Actualizați la 8.2.35, 8.3.36, 8.4.27 sau 8.5.12, ori la pachetul corectat al distribuției Linux. Sistemele expuse la internet primele, apoi cele interne.
  3. Reporniți toate procesele PHP-FPM, Apache sau serviciul web. Procesele vechi continuă altfel să ruleze codul vulnerabil.
  4. Reconstruiți imaginile de container și redistribuiți-le; nu este suficientă actualizarea pe gazdă.
  5. Verificați efectiv versiunea care rulează după actualizare, nu doar pachetul instalat.
  6. Contactați furnizorii. Întrebați găzduirea, agenția web și producătorii de echipamente când livrează corectura și ce trebuie să faceți dumneavoastră.

Măsuri temporare, dacă nu puteți actualiza imediat

Avizele PHP spun explicit că nu există o configurare care să elimine complet riscul. Măsurile de mai jos reduc expunerea până la actualizare, nu o înlocuiesc. După fiecare modificare, toate procesele PHP trebuie repornite.

  • dezactivați progresul încărcării sesiunii, session.upload_progress.enabled=0, dacă aplicația nu îl folosește (recomandat și după actualizare);
  • pe PHP 8.5, setați fatal_error_backtraces=0;
  • blocați cererile multipart la nivelul serverului frontal sau al WAF dacă aplicația nu le folosește, și limitați dimensiunea cererii, numărul de câmpuri, de părți și de antete per parte;
  • păstrați post_max_size conservator și reduceți max_input_nesting_level;
  • dacă performanța permite, setați pm.max_requests=1 în PHP-FPM, ca fiecare proces să servească o singură cerere;
  • restricționați accesul din internet sau puneți aplicația în mod de mentenanță; dacă nici asta nu e posibil, luați în calcul oprirea temporară, cum recomandă NCSC.

Verificarea după actualizare

NCSC recomandă ca sistemele care au rămas expuse să fie verificate pentru semne de compromitere și uși din spate. Urmăriți în jurnalele serverelor web cereri multipart neobișnuite sau foarte mari, erori repetate de memorie epuizată, procese noi lansate de utilizatorul serverului web și fișiere PHP apărute recent în directoarele de încărcare sau temporare.

Dacă rulați o versiune de PHP ieșită din suport

Ramurile PHP susținute oficial sunt 8.2 și 8.3 (doar corecturi de securitate) și 8.4 și 8.5 (suport activ). Ramura 8.2 iese complet din suport la 31 decembrie 2026. Versiunile 8.1, 8.0, 7.x și mai vechi nu primesc corecturi, iar NCSC precizează că toate versiunile pot fi afectate și că cele nesusținute sunt un motiv special de îngrijorare.

Potrivit W3Techs, 27% dintre site-urile PHP rulează încă versiunea 7, iar aproape 8% versiunea 5. Pentru ele nu va exista o corectură oficială. Opțiunile realiste sunt migrarea pe o ramură susținută, un furnizor de suport extins sau distribuția Linux care încă întreține versiunea respectivă, ori izolarea strictă a aplicației, împreună cu măsurile temporare de mai sus. Momentul este bun și pentru a planifica migrarea aplicațiilor de pe 8.2, înainte de sfârșitul anului.

Ce înseamnă pentru entitățile NIS2

În Uniunea Europeană, entitățile esențiale și importante din Directiva NIS2 au obligația de a gestiona vulnerabilitățile și de a aplica măsuri tehnice proporționale cu riscul. În România, cadrul este OUG nr. 155/2024, iar răspunderea pentru aceste măsuri revine organelor de conducere. O vulnerabilitate critică anunțată public, cu termen cunoscut, este exact situația în care un auditor va verifica ulterior cât de repede ați reacționat și cum ați documentat decizia. Păstrați evidența: când ați aflat, ce sisteme ați identificat, când le-ați actualizat și ce ați făcut cu cele care nu puteau fi actualizate.

Dacă, după actualizare, găsiți semne de compromitere, situația devine un incident. Pentru entitățile NIS2, incidentele semnificative se notifică autorității competente (în România, DNSC), iar dacă sunt afectate date personale se evaluează și notificarea către autoritatea de protecție a datelor, conform art. 33 GDPR.

Întrebări frecvente

La ce versiune de PHP trebuie să actualizez?

La PHP 8.2.35, 8.3.36, 8.4.27 sau 8.5.12, în funcție de ramura folosită, ori la pachetul corectat de distribuția Linux. După actualizare, reporniți toate procesele PHP și verificați versiunea care rulează efectiv.

Ce versiuni de PHP sunt afectate?

Toate versiunile anterioare lui 8.2.35, 8.3.36, 8.4.27 și 8.5.12. NCSC precizează că toate versiunile pot fi afectate, iar cele ieșite din suport (8.1 și mai vechi) nu primesc corecturi.

Alerta NCSC este valabilă doar pentru Marea Britanie?

Alerta este adresată organizațiilor britanice, dar vulnerabilitățile sunt în PHP însuși, care rulează pe aproximativ 69% dintre site-urile al căror limbaj de server este cunoscut. Riscul este același pentru orice organizație din lume care folosește PHP.

Ce fac dacă nu pot actualiza imediat?

Aplicați măsurile temporare din avizele PHP: dezactivați session.upload_progress dacă nu îl folosiți, setați fatal_error_backtraces=0 pe PHP 8.5, blocați sau limitați cererile multipart, apoi reporniți procesele. Ele nu elimină complet riscul. Dacă nu sunt posibile, NCSC recomandă scoaterea sistemului din funcțiune până la remediere.

Am un site WordPress pe găzduire partajată. Trebuie să fac ceva?

Verificați în panoul de găzduire ce versiune de PHP folosește site-ul și dacă este o ramură susținută. Întrebați furnizorul dacă a aplicat deja versiunile 8.2.35, 8.3.36, 8.4.27 sau 8.5.12. Dacă site-ul rulează pe PHP 7 sau pe o versiune 8 ieșită din suport, cereți trecerea pe o versiune actuală.

Cum verific dacă serverul a fost deja compromis?

Căutați în jurnalele serverului web cereri multipart neobișnuite, erori repetate de memorie epuizată, procese pornite de utilizatorul serverului web și fișiere PHP apărute recent în directoarele de încărcare sau temporare. Dacă găsiți indicii, nu ștergeți nimic înainte de a păstra probele și cereți o analiză tehnică.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, lucrează în investigarea incidentelor informatice, analiza malware și conformarea NIS2.

Atac ransomware: ce faci în primele 72 de ore ca să limitezi pierderile și să păstrezi probele

După un atac ransomware, primul lucru de făcut este izolarea sistemelor afectate de rețea, fără a le opri, reinstala sau „curăța”. Apoi se păstrează probele, se anunță conducerea și se evaluează obligațiile de notificare (DNSC, ANSPDCP), iar decizia privind plângerea penală se ia pe baza unei analize tehnice, nu sub presiunea atacatorului.

Pe scurt

  • Ransomware-ul a crescut în România cu 153% în 2025 față de 2024, potrivit raportului anual DNSC, cu 256 de victime: instituții publice, firme și persoane fizice.
  • Primele ore se folosesc pentru izolare și conservarea probelor, nu pentru reinstalare. Un sistem formatat nu mai poate spune ce s-a întâmplat.
  • DNSC recomandă ferm ca victimele să nu contacteze și să nu negocieze cu atacatorii.
  • Accesul ilegal, alterarea datelor și perturbarea sistemelor sunt infracțiuni (art. 360-366 Cod penal) de competența DIICOT, indiferent dacă autorii formează sau nu un grup organizat.
  • Entitățile NIS2 au termene stricte: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final într-o lună.

De ce contează atât de mult primele 72 de ore?

Un atac ransomware nu începe în momentul în care apare mesajul de răscumpărare. De obicei, atacatorii au intrat în rețea cu zile sau săptămâni înainte, au obținut conturi cu drepturi ridicate, au copiat date și abia la final au criptat fișierele. Mesajul de pe ecran este ultima etapă, nu prima.

În primele 72 de ore se decid trei lucruri: cât de mult se extinde paguba, dacă mai există urme care arată cum a intrat atacatorul și dacă firma își poate îndeplini obligațiile legale la timp. Orice decizie luată în grabă, cum ar fi reinstalarea serverelor „ca să mergem mai departe”, poate șterge exact informațiile de care este nevoie pentru a închide breșa și pentru a susține o plângere penală.

Cazul Apele Române arată amploarea pe care o poate avea un astfel de incident. DNSC a fost notificat la 20 decembrie 2025, iar circa 1.000 de sisteme IT&C au fost compromise la administrația națională și la 10 din cele 11 administrații bazinale: servere GIS, baze de date, stații de lucru, servere de e-mail, web și DNS. Atacatorii nu au folosit un program exotic, ci BitLocker, o funcție legitimă de criptare din Windows. Tehnologia operațională nu a fost afectată, iar instituția a depus plângere penală, cu dosar înregistrat la DIICOT.

Primele ore: ce faci și ce nu faci

Ce faci imediat

  1. Izolezi sistemele afectate de rețea. Scoți cablul de rețea sau dezactivezi conexiunea, dar lași calculatorul pornit dacă se poate. Memoria RAM conține informații (procese, conexiuni, uneori chei de criptare) care se pierd la oprire.
  2. Oprești extinderea. Blochezi conturile suspecte, schimbi parolele conturilor de administrator de pe un dispozitiv curat și întrerupi accesul la distanță (VPN, RDP) până la clarificare.
  3. Păstrezi tot ce a lăsat atacatorul. Mesajul de răscumpărare, fișierele cu instrucțiuni, adresele de contact, e-mailurile suspecte, jurnalele de sistem, de firewall și de VPN.
  4. Anunți conducerea și desemnezi un coordonator. O singură persoană ține legătura cu echipa tehnică, cu juriștii și cu autoritățile.
  5. Notezi cronologia. Ora la care s-a observat incidentul, cine ce a făcut, ce sisteme au fost deconectate. Această cronologie va fi folosită în notificări și în dosar.

Ce nu faci

  • Nu reinstalezi, nu formatezi și nu rulezi programe de „curățare” pe sistemele afectate înainte de conservarea probelor.
  • Nu ștergi mesajele atacatorului și nu răspunzi la ele.
  • Nu restaurezi din copiile de rezervă până nu știi dacă și acestea sunt compromise. Atacatorii caută intenționat backup-urile.
  • Nu comunici public detalii tehnice înainte de a înțelege incidentul.

Plătim răscumpărarea?

Poziția DNSC este fermă: victimele nu contactează și nu negociază cu atacatorii. Motivele sunt practice. Plata nu garantează primirea unei chei de decriptare funcționale, nu garantează că datele copiate nu vor fi publicate sau vândute și finanțează următorul atac. Raportul IBM Cost of a Data Breach 2025 arată că 63% dintre organizații au refuzat să plătească, iar incidentele de extorcare dezvăluite de atacatori au costat în medie 5,08 milioane USD.

Răspunsul corect la întrebarea „plătim?” vine din alte întrebări: există copii de rezervă curate? Cât durează restaurarea? Ce date au fost copiate? Analiza tehnică răspunde la acestea, iar fără ea orice decizie este luată pe ghicite.

Conservarea probelor: diferența dintre „am fost atacați” și un dosar penal

O plângere penală care spune doar „am fost atacați” are șanse mici să avanseze. O plângere însoțită de probe tehnice documentate, cu cronologie, vector de intrare, conturi folosite și indicatori de compromitere, oferă procurorului un punct de plecare concret.

Conservarea înseamnă:

  • copii integrale ale discurilor și ale memoriei sistemelor relevante, făcute înainte de orice intervenție;
  • amprente criptografice (hash) calculate la colectare, care demonstrează ulterior că datele nu au fost modificate;
  • jurnalele sistemelor, ale echipamentelor de rețea și ale serviciilor cloud, exportate înainte să fie suprascrise (multe servicii păstrează jurnalele doar câteva zile);
  • un registru al operațiunilor: cine a colectat ce, când și cu ce instrument.

Codul de procedură penală prevede măsuri precum conservarea datelor informatice (art. 154) și percheziția informatică (art. 168), dispuse de autorități. Cu cât firma a păstrat mai bine urmele de la început, cu atât aceste măsuri au pe ce se sprijini.

Ce obligații de notificare ai?

Obligație Cine Termen Temei
Avertizare timpurie a incidentului semnificativ Entități esențiale și importante (NIS2) 24 de ore OUG 155/2024
Notificarea incidentului Entități esențiale și importante 72 de ore OUG 155/2024
Raport final Entități esențiale și importante o lună OUG 155/2024
Notificarea încălcării securității datelor personale Orice operator, când e cazul 72 de ore de la constatare GDPR art. 33
Plângere penală Victima (decizia aparține conducerii) fără termen fix, dar cât mai repede Cod penal, Cod de procedură penală

Dacă firma nu intră sub NIS2, poate totuși raporta incidentul către DNSC și cere sprijin. Detaliile termenelor NIS2 sunt explicate în articolul despre notificarea incidentelor în 24 și 72 de ore.

Plângerea penală: unde și cu ce?

Faptele tipice unui atac ransomware se încadrează în capitolul Codului penal privind siguranța sistemelor informatice: accesul ilegal la un sistem informatic (art. 360, până la 7 ani pentru sisteme cu acces restricționat), alterarea integrității datelor (art. 362, 1-5 ani), perturbarea funcționării sistemelor (art. 363, 2-7 ani). Potrivit Legii 508/2004, aceste infracțiuni sunt de competența DIICOT, indiferent dacă au fost comise de un grup infracțional organizat.

Plângerea este mai utilă dacă include:

  • cronologia incidentului;
  • descrierea sistemelor afectate și a impactului;
  • mesajul de răscumpărare și orice comunicare a atacatorului;
  • raportul tehnic preliminar și indicatorii de compromitere;
  • confirmarea că probele au fost conservate și pot fi puse la dispoziție.

Decizia de a sesiza autoritățile aparține firmei. Rolul unei analize tehnice independente este să ofere o bază solidă pentru această decizie.

Zilele 2 și 3: de la izolare la refacere controlată

După conservarea probelor, analiza tehnică urmărește trei întrebări: pe unde au intrat atacatorii, ce au făcut în rețea și ce date au atins. Răspunsurile determină cum se reface infrastructura:

  1. Închiderea vectorului de intrare. Un VPN fără autentificare multifactor, un server expus pe internet, un cont compromis prin phishing. Dacă vectorul rămâne deschis, restaurarea doar pregătește următorul atac.
  2. Verificarea copiilor de rezervă înainte de restaurare, pe un mediu izolat.
  3. Restaurarea pe priorități: întâi serviciile critice pentru activitate și pentru clienți.
  4. Monitorizarea pe baza indicatorilor de compromitere, pentru a detecta revenirea atacatorului.
  5. Comunicarea controlată către clienți, parteneri și angajați, coordonată cu juriștii.

Cum vă ajută ProDefence

ProDefence intervine tehnic în incidentele de ransomware, cu un principiu simplu: rolul nostru este tehnic, să stabilim ce s-a întâmplat și să documentăm dovada. Lucrăm în cinci etape: preluare, conservare, analiză, documentare, remediere.

Primiți:

  • raport tehnic cu reconstituirea incidentului: vectorul de intruziune, acțiunile atacatorului, sistemele și datele afectate;
  • probe documentate într-o formă utilizabilă în procedura penală;
  • indicatori de compromitere pentru verificarea restului infrastructurii;
  • plan de remediere prioritizat;
  • suport tehnic pe parcursul procedurii, la cererea dumneavoastră sau a autorităților.

Detalii pe pagina Investigarea infracțiunilor informatice. Dacă incidentul a început cu un fișier sau un e-mail suspect, vedeți și analiza fraudelor electronice și a fișierelor malware.

Pentru avocații care preiau dosarul ulterior, serviciul ProCIS organizează materialul tehnic și documentar într-o cronologie verificabilă. Pentru entitățile NIS2 care au nevoie de cineva care să gestioneze notificările și măsurile în mod permanent, există serviciul de responsabil NIS2 externalizat.

Pentru entitățile NIS2, un atac ransomware declanșează și obligația de notificare către DNSC, iar măsurile și documentația aferente se pot structura pe CysNIS. Pentru prevenție, CysGame are gratuit misiuni interactive despre ransomware și phishing, utile în instruirea angajaților.

Întrebări frecvente

Ce fac imediat după ce descopăr un atac ransomware?

Izolați sistemele afectate de rețea fără a le opri, dacă este posibil. Nu reinstalați, nu formatați și nu rulați programe de curățare. Păstrați mesajul de răscumpărare, jurnalele și e-mailurile suspecte, anunțați conducerea și notați cronologia. Apoi verificați obligațiile de notificare către DNSC și ANSPDCP și cereți o analiză tehnică.

Este legal să plătesc răscumpărarea?

Întrebarea juridică trebuie discutată cu un avocat. Din punct de vedere practic, DNSC recomandă ferm ca victimele să nu contacteze și să nu negocieze cu atacatorii. Plata nu garantează decriptarea, nu împiedică publicarea datelor copiate și finanțează alte atacuri. Decizia se ia doar după evaluarea copiilor de rezervă și a datelor afectate.

Puteți recupera datele criptate?

Depinde de varianta de ransomware, de existența unor copii de rezervă neafectate și de modul în care s-a făcut criptarea. Uneori există soluții, de cele mai multe ori nu. Nicio firmă serioasă nu garantează recuperarea înainte de analiză. Analiza stabilește ce se poate restaura și din ce surse.

Unde depun plângerea penală pentru un atac ransomware?

Faptele tipice (acces ilegal, alterarea datelor, perturbarea sistemelor, art. 360-366 Cod penal) sunt, potrivit Legii 508/2004, de competența DIICOT, indiferent dacă autorii formează un grup organizat. Plângerea este mai solidă dacă este însoțită de cronologie, raport tehnic și confirmarea că probele au fost conservate.

Trebuie să anunț ANSPDCP?

Dacă atacul a afectat date cu caracter personal și există un risc pentru persoanele vizate, operatorul notifică ANSPDCP în 72 de ore de la constatare, conform art. 33 GDPR. Ransomware-ul modern copiază adesea datele înainte de criptare, deci evaluarea trebuie făcută în fiecare caz.

Firma mea nu intră sub NIS2. Pot cere ajutor DNSC?

Da. Orice organizație poate raporta un incident către DNSC și poate cere sprijin. Termenele de 24 de ore, 72 de ore și o lună sunt obligatorii doar pentru entitățile esențiale și importante, dar o raportare rapidă ajută și celelalte organizații.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, lucrează în investigarea incidentelor informatice, analiza malware și conformarea NIS2.

Notificarea de incident sub OUG nr. 155/2024: 24 de ore, 72 de ore, o lună

,

Prima amendă dată de DNSC pe OUG nr. 155/2024, la 29 septembrie 2026, a fost pentru nerespectarea obligației de notificare în vederea înregistrării, nu pentru un incident. O parte din presă a confundat cele două notificări. Articolul de față este despre cealaltă: notificarea incidentelor, obligația care se declanșează la orice oră și care are cele mai scurte termene din toată ordonanța.

Cele trei termene

Temeiul este art. 15 din OUG nr. 155/2024. Pentru un incident cu impact semnificativ, entitatea transmite:

EtapăTermenCe este
Avertizare timpurie24 de oresemnalarea rapidă, de la momentul în care entitatea a luat cunoștință de incident
Notificarea incidentului72 de oreevaluarea inițială, cu severitatea, impactul și ce se știe până atunci
Raport finalo lunăde la notificarea de 72 de ore; pentru un incident încă în desfășurare, la o lună de la gestionarea lui

Există și o regulă specială: pentru prestatorii de servicii de încredere, art. 15 alin. (8) prevede un termen de 24 de ore.

Termenele nu curg de la momentul în care incidentul s-a produs, ci de la momentul în care entitatea a luat cunoștință de el. Asta mută discuția pe detecție: o organizație care află despre incident după trei săptămâni nu câștigă trei săptămâni, ci intră în altă discuție, despre capacitatea de detecție.

Ce declanșează obligația

Nu orice incident se raportează, ci incidentul cu impact semnificativ. Definiția se află la art. 15 alin. (6), a cărui parte introductivă a fost rescrisă prin Legea nr. 124/2025. Calificarea este o decizie, iar decizia trebuie luată de cineva, repede, pe baza unor criterii scrise dinainte.

Aici se pierde cel mai des timpul. Nu la redactarea notificării, ci la întrebarea „este semnificativ?”, pusă pentru prima dată în mijlocul unui incident, într-o ședință care se amână.

Separat, art. 16 reglementează raportarea voluntară, pentru incidente, amenințări sau evenimente evitate la limită care nu ating pragul obligatoriu. Este un instrument util, mai ales pentru entitățile care vor să construiască relație cu autoritatea înainte de a avea o problemă reală.

Ce lipsește încă din cadru

Art. 15 alin. (17) prevede că normele metodologice privind raportarea incidentelor se stabilesc prin ordin al directorului DNSC, iar art. 65 alin. (1) lit. c) fixa pentru asta un termen de 120 de zile de la intrarea în vigoare a ordonanței. La data acestui articol nu am identificat un asemenea ordin publicat în Monitorul Oficial.

Practic, asta înseamnă că nu există un formular de incident aprobat prin act normativ, așa cum există pentru înregistrare. Raportarea se face prin canalele comunicate de DNSC. Verificați ce canal este activ pentru entitatea dumneavoastră și, mai ales, testați-l înainte de a avea nevoie de el. Un cont pe care nimeni nu l-a deschis vreodată nu este un canal de raportare.

Ce conține fiecare etapă

Structura urmează logica din Directiva (UE) 2022/2555, pe care ordonanța o transpune. Pe scurt:

  • La 24 de ore, avertizarea timpurie indică dacă incidentul pare cauzat de acte ilicite sau rău intenționate și dacă poate avea impact transfrontalier. Este scurtă prin construcție. Nu se așteaptă certitudinea.
  • La 72 de ore, notificarea actualizează informația, oferă o evaluare inițială a incidentului, inclusiv severitatea și impactul, și, acolo unde sunt disponibili, indicatorii de compromitere.
  • Raportul final descrie detaliat incidentul, tipul de amenințare sau cauza probabilă, măsurile de atenuare aplicate și în curs, și, dacă este cazul, impactul transfrontalier.

Regula practică: avertizarea timpurie nu este un raport. Dacă echipa ta încearcă să afle totul înainte de a trimite ceva la 24 de ore, va rata termenul.

Cine raportează și cine semnează

Obligația este a entității. În practică, fluxul funcționează dacă sunt stabilite trei lucruri, în scris, înainte:

  1. Cine califică incidentul ca semnificativ, și cine îl înlocuiește dacă este indisponibil.
  2. Cine transmite, cu acces funcțional la canalul de raportare, verificat periodic.
  3. Cine informează conducerea, pentru că răspunderea pentru măsuri rămâne la organele de conducere, conform art. 14 alin. (1).

Responsabilul cu securitatea rețelelor și sistemelor informatice, desemnat conform art. 14 alin. (3), este de regulă persoana potrivită pentru primele două, dar rolul trebuie scris, nu presupus.

Ce se sancționează

Nerespectarea obligațiilor de raportare a incidentelor se sancționează pe literele din art. 60 alin. (1) corespunzătoare art. 15, nu pe litera o), care privește exclusiv notificarea de înregistrare. Aceste fapte se află în plaja mare de amenzi de la art. 60 alin. (2) lit. a) și b), până la 7.000.000 de euro sau 1,4 la sută din cifra de afaceri anuală mondială pentru entitățile importante, respectiv 10.000.000 de euro sau 2 la sută pentru cele esențiale, luându-se valoarea cea mai mare.

Merită reținut raportul de proporție. Prima amendă, pentru neînregistrare, a fost de 50.000 de lei, pe palierul de jos. Neraportarea unui incident major se află pe palierul de sus.

Opt lucruri de pregătit înainte

  1. Criteriile scrise de calificare a unui incident ca semnificativ, adaptate serviciilor tale.
  2. Persoana de decizie și înlocuitorul, cu date de contact care funcționează noaptea.
  3. Canalul de raportare, testat, cu credențiale valabile și cu mai mult de o persoană care le are.
  4. Șabloanele pentru cele trei etape, completabile în minute, nu în ore.
  5. Ceasul: cine pornește cronometrul de 24 de ore și unde se consemnează momentul luării la cunoștință.
  6. Registrul de incidente, în care intră și cele neraportabile, pentru că din el se vede tendința.
  7. Fluxul paralel către alte autorități, dacă incidentul implică date cu caracter personal sau alte obligații sectoriale.
  8. Un exercițiu de simulare pe an, măcar la masă, cu cronometru real.

Ultimul punct este cel care schimbă cel mai mult rezultatul. O procedură necitată niciodată este o procedură care nu există.

Unde te putem ajuta

Procedura de raportare, criteriile de calificare, registrul de incidente și șabloanele pentru cele trei etape se găsesc în pachetele de documentație NIS2. Dacă vrei să știi dacă fluxul chiar funcționează, o analiză de conformare NIS2 cu plan de remediere îl verifică pe dovezi, nu pe organigramă. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Pentru organizațiile fără o persoană disponibilă la orice oră, rolul poate fi acoperit prin responsabil NIS2 externalizat. Iar dacă încă nu știi sigur dacă ești în scop, platforma CysNis parcurge criteriile de încadrare pas cu pas.

Raportul final cere o cronologie clară și cauze documentate. Când materialul strâns (jurnale, alerte, rapoarte, corespondență) devine voluminos, ProCIS îl organizează într-o cronologie de fapte în care fiecare constatare trimite la documentul-sursă.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Canalele și formularele de raportare se pot modifica; verifică pe dnsc.ro și în Platforma NIS2@RO înainte de a le folosi în situație reală.

Întrebări frecvente

Care sunt termenele de raportare a incidentelor sub OUG nr. 155/2024?

Avertizare timpurie în 24 de ore, notificarea incidentului în 72 de ore și raport final în cel mult o lună de la notificarea de 72 de ore. Pentru un incident aflat încă în desfășurare, raportul final se transmite la o lună de la gestionarea lui. Pentru prestatorii de servicii de încredere, art. 15 alin. (8) prevede un termen de 24 de ore.

De când curg cele 24 de ore?

De la momentul în care entitatea a luat cunoștință de incident, nu de la momentul în care incidentul s-a produs. De aceea capacitatea de detecție influențează direct respectarea termenului.

Ce incidente se raportează?

Doar cele cu impact semnificativ, definite la art. 15 alin. (6), a cărui parte introductivă a fost rescrisă prin Legea nr. 124/2025. Pentru incidente, amenințări sau evenimente evitate la limită sub acest prag există raportarea voluntară, prevăzută de art. 16.

Există un formular DNSC pentru notificarea incidentelor?

Art. 15 alin. (17) prevede că normele metodologice privind raportarea incidentelor se stabilesc prin ordin al directorului DNSC. La data acestui articol nu am identificat un asemenea ordin publicat în Monitorul Oficial. Raportarea se face prin canalele comunicate de DNSC, care trebuie testate înainte de a fi necesare.

Amenda din 29 septembrie 2026 a fost pentru neraportarea unui incident?

Nu. A fost pentru nerespectarea obligației de notificare în vederea înregistrării, temeiul fiind art. 60 alin. (1) lit. o), care trimite la art. 18 alin. (2). Nerespectarea obligațiilor de raportare a incidentelor se sancționează pe alte litere ale art. 60 alin. (1).

Cine trebuie să transmită notificarea de incident?

Obligația este a entității. În practică, responsabilul cu securitatea rețelelor și sistemelor informatice, desemnat conform art. 14 alin. (3), este persoana potrivită pentru calificarea incidentului și pentru transmitere, dar rolul și înlocuitorul trebuie stabilite în scris, cu acces funcțional la canalul de raportare.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Cui se aplică NIS2 într-un grup de firme: încadrarea pe entitate și Decizia DNSC nr. 3/2026

,

„Cui se aplică NIS2″ are un răspuns simplu pentru o firmă singură și unul complicat pentru o firmă dintr-un grup. Complicația nu vine din lege, ci dintr-o presupunere: că dacă grupul are politici de securitate, filiala este acoperită. Nu este. Și, invers, că dacă filiala este mică, nu intră în scop pentru că se uită cineva la cifrele consolidate. Nici asta nu este adevărat.

Încadrarea se face pe entitate, nu pe grup

Art. 8 din OUG nr. 155/2024 definește întreprinderea mare și pe cea mijlocie prin trimitere la art. 4 alin. (1) lit. c) din Legea nr. 346/2004, fără aplicarea art. 4^5 din aceeași lege. Acel articol este exact cel care, în dreptul comun, impune cumularea datelor întreprinderilor legate și partenere.

Excluderea lui are două consecințe practice, în direcții opuse:

  • o filială mijlocie a unui grup foarte mare rămâne mijlocie, nu devine automat întreprindere mare pentru că grupul este mare;
  • dar și invers, o entitate nu poate invoca dimensiunea redusă a grupului pentru a scăpa: contează cifrele ei.

Peste asta se suprapun celelalte criterii: sectorul din anexele nr. 1 și 2, calificarea ca entitate esențială sau importantă conform art. 5 și 6, și situațiile de la art. 9 în care o entitate intră în scop indiferent de dimensiune. Metoda completă este explicată în articolul despre încadrarea unei organizații sub NIS2.

Unde se aplică: art. 7

Regula este că ordonanța se aplică entităților înființate și înregistrate în România. Există două abateri importante pentru grupuri:

  • furnizorii de rețele publice de comunicații electronice și de servicii de comunicații electronice destinate publicului intră în scop atunci când prestează servicii pe teritoriul României, indiferent de locul înființării;
  • pentru furnizorii digitali, servicii DNS, registre de nume TLD, servicii de înregistrare domenii, cloud, centre de date, rețele de livrare de conținut, servicii gestionate și servicii de securitate gestionate, piețe online, motoare de căutare și platforme de socializare, criteriul este sediul principal.

Concret: o filială română a unui grup european, înregistrată la noi, se raportează la DNSC pe cont propriu. O sucursală fără personalitate juridică sau o prestare transfrontalieră ridică întrebări diferite, care se rezolvă pe art. 7, nu pe organigrama grupului.

Actul care reglementează situația grupurilor

Multă lume caută regulile pentru grupuri în Ordinul directorului DNSC nr. 1/2026. Nu sunt acolo. Ordinul nr. 2 din 14 septembrie 2026 a introdus în Ordinul nr. 1/2026 un alineat nou, care trimite la un act separat: Decizia directorului DNSC nr. 3 din 14 septembrie 2026 pentru aprobarea Normelor de aplicabilitate a cerințelor de securitate cibernetică pentru entitățile care fac parte dintr-un grup de întreprinderi, publicată în Monitorul Oficial nr. 798 din 21 septembrie 2026 și în vigoare de la acea dată.

Acesta este documentul de citit dacă administrați conformarea pentru mai multe entități din același grup.

Ce nu se poate centraliza

Indiferent cât de integrat este grupul, următoarele rămân obligații ale entității locale:

ObligațieTemeiDe ce nu se mută la grup
Notificarea în vederea înregistrăriiart. 18 alin. (2)registrul este al entităților, nu al grupurilor
Desemnarea responsabiluluiart. 14 alin. (3)decizia aparține organelor de conducere ale entității
Răspunderea conduceriiart. 14 alin. (1)legea îi face responsabili pe administratorii entității
Autoevaluarea anuală de maturitateart. 12 alin. (4)se transmite asumată de managementul entității
Raportarea incidentelorart. 15termenele curg pentru entitatea afectată
Auditul de securitate ciberneticăart. 11 alin. (5) și art. 58se face de un auditor atestat de DNSC, fără incompatibilități locale

Un grup poate face munca. Nu poate prelua semnătura.

Matricea care rezolvă discuția

Metoda care funcționează în practică este o matrice pe controale, ținută de entitatea locală, nu de grup:

ControlCine opereazăDovada la nivel localCine răspunde
gestionarea jurnalelorSOC de grupextras din platformă pentru sistemele entității, contract intragrupresponsabilul local
politica de parolegrup, aplicată localpolitica semnată local, raport de conformitate al directoruluiresponsabilul local
copiile de siguranțăpartajattest de restaurare pe un sistem al entității, cu proces-verbalIT local plus grup
gestionarea incidentelorlocalprocedura proprie și registrul de incidenteconducerea entității

Cheia este coloana a treia. La autoevaluare, nota de implementare se dă pe dovezi care privesc sistemele entității. O politică de grup excelentă, fără nicio dovadă că se aplică în România, produce o notă bună la documentație și una slabă la implementare, exact diferența care blochează pragul pe categorie la nivelul Esențial.

Controalele implementate prin cerințe din reglementări speciale sau prin aranjamente de grup se evidențiază în declarația de aplicabilitate, care devine astfel documentul central al conformării într-un grup.

Cinci capcane frecvente în grupuri

  1. Serviciul de securitate al grupului nu este documentat contractual. Fără un acord intragrup scris, entitatea locală nu poate demonstra nici responsabilitatea, nici nivelul de serviciu.
  2. Entitatea locală nu are acces la dovezi. Dacă jurnalele, rapoartele și rezultatele testelor stau exclusiv la grup, autoevaluarea locală se face pe încredere, iar la audit nu se poate proba.
  3. Auditorul ales de grup este incompatibil local. Art. 58 alin. (3) interzice auditul de către cine prestează curent servicii de securitate entității. Un furnizor de grup poate fi exact în această situație.
  4. Incidentul este raportat la grup, nu la DNSC. Procedura internă trebuie să declanșeze ambele fluxuri, iar termenul de 24 de ore curge indiferent de fusul orar al sediului central.
  5. Responsabilul local este, de fapt, un angajat al grupului fără mandat scris. Desemnarea trebuie să fie o decizie a organelor de conducere ale entității române, cu atribuții și acces reale.

Ce faci în ordinea asta

  1. Stabilești, pentru fiecare entitate din grup înregistrată în România, dacă intră în scop și în ce calitate.
  2. Verifici că fiecare are notificarea transmisă și confirmată, separat.
  3. Construiești matricea de controale central, local, partajat, cu dovezi locale.
  4. Închei acordurile intragrup care documentează serviciile partajate.
  5. Faci autoevaluarea pe entitate, cu asumarea conducerii locale.
  6. Verifici incompatibilitățile înainte de a alege auditorul.

Unde te putem ajuta

Pentru încadrarea fiecărei entități din grup, platforma CysNis parcurge criteriile pas cu pas și separă obligațiile legale de recomandările tehnice. Pentru matricea de controale și pentru dovezile locale, o analiză de conformare NIS2 cu plan de remediere se face pe entitate, nu pe grup. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Documentele locale care lipsesc cel mai des în filiale, decizia de numire, politicile adoptate local, registrele și procedurile, se găsesc în pachetele de documentație NIS2. Pentru licențierea la nivel de grup, varianta este disponibilă la cerere. Dacă rolul de responsabil nu poate fi acoperit local, există responsabil NIS2 externalizat.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Structurile de grup diferă mult între ele; analiza concretă se face pe documentele reale ale entităților.

Întrebări frecvente

Cum se calculează pragurile de mărime pentru o filială dintr-un grup?

Pe entitate. Art. 8 din OUG nr. 155/2024 trimite la art. 4 alin. (1) lit. c) din Legea nr. 346/2004, fără aplicarea art. 4^5, adică fără cumularea datelor întreprinderilor legate și partenere. O filială mijlocie a unui grup mare rămâne mijlocie.

Politica de securitate a grupului acoperă filiala din România?

Nu prin ea însăși. Fiecare entitate trebuie să poată arăta că măsurile funcționează la ea, cu dovezi care privesc propriile sisteme. La autoevaluare, o politică de grup fără dovezi locale produce o notă bună la documentație și una slabă la implementare.

Ce act reglementează situația entităților dintr-un grup?

Decizia directorului DNSC nr. 3 din 14 septembrie 2026, care aprobă Normele de aplicabilitate a cerințelor de securitate cibernetică pentru entitățile care fac parte dintr-un grup de întreprinderi, publicată în Monitorul Oficial nr. 798 din 21 septembrie 2026. Ordinul nr. 2/2026 este cel care trimite la ea din Ordinul nr. 1/2026.

Ce obligații nu pot fi preluate de societatea-mamă?

Notificarea în vederea înregistrării, desemnarea responsabilului, răspunderea organelor de conducere, autoevaluarea anuală asumată de managementul entității, raportarea incidentelor și auditul realizat de un auditor atestat. Grupul poate face munca, dar nu poate prelua semnătura.

O sucursală a unei firme străine intră sub NIS2 în România?

Depinde de art. 7. Regula este că ordonanța se aplică entităților înființate și înregistrate în România. Pentru furnizorii de comunicații electronice destinate publicului contează prestarea serviciului pe teritoriu, iar pentru furnizorii digitali criteriul este sediul principal.

Poate furnizorul de securitate al grupului să facă auditul filialei?

De regulă nu. Art. 58 alin. (3) interzice auditul de către cine prestează curent servicii de securitate cibernetică sau servicii CSIRT entității respective, ori are un contract pentru rețeaua auditată în derulare sau încheiat în ultimul an.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Autoevaluarea maturității NIS2: instrumentele EVAL_MMS, pragurile 2,5, 3 și 3,5 și planul de remediere

,

Autoevaluarea anuală a nivelului de maturitate este obligația care produce cele mai multe întrebări practice, pentru că este singura în care entitatea își dă singură note și le trimite autorității. Temeiul este art. 12 alin. (4) din OUG nr. 155/2024, iar metoda este stabilită prin Ordinul directorului DNSC nr. 1/2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026, cu anexele în numărul 712 bis.

Cine, ce și cât de des

Entitățile esențiale și importante realizează și transmit către DNSC, și după caz către autoritatea competentă sectorial, anual, o autoevaluare a nivelului de maturitate a măsurilor de gestionare a riscurilor, asumată de managementul entității. Nu este un exercițiu al departamentului IT, ci un document pe care conducerea și-l însușește.

Mecanismele puse la dispoziție de DNSC sunt două: Platforma NIS2@RO și instrumentele de evaluare pe nivel de asigurare, denumite oficial EVAL_MMS_B pentru nivelul Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial. Instrumentele se descarcă de pe site-ul DNSC și se folosesc local doar atunci când platforma nu este disponibilă.

Nivelul de asigurare nu se alege. El rezultă din nivelul de risc determinat conform metodologiei aprobate prin Ordinul directorului DNSC nr. 2/2025, iar entitatea implementează controalele aferente nivelului care îi corespunde.

Cum se dau notele

Pentru fiecare control se acordă două valori, de la 1 la 5: una pentru maturitatea documentației, una pentru maturitatea implementării. Ambele sunt obligatorii. Cele cinci stadii sunt:

StadiuDenumire
1Inițial
2Repetabil
3Definit
4Gestionat
5Optimizare

Criteriile sunt concrete, nu impresioniste. Un exemplu de la stadiul 2, pe documentație: există documentație a procesului aprobată oficial, dar care nu a fost revizuită în ultimii 2 ani. Un exemplu de la stadiul 5: excepțiile documentate și aprobate reprezintă mai puțin de 0,5 la sută din cazuri la documentație, iar excepțiile de proces sub 1 la sută la implementare.

Scorurile se agregă ca medii aritmetice, de la subcategorie la categorie și apoi la scorul total al entității.

Pragurile de conformitate

Nivel de asigurarePe fiecare măsură cheiePe fiecare categorieScor total
Bazăminimum 2,5nu se cereminimum 2,5
Importantminimum 3nu se cereminimum 3
Esențialminimum 3minimum 3minimum 3,5

Observați asimetria de la nivelul Esențial: pragul pe categorie este condiția care surprinde cel mai des. O entitate poate avea un scor general de 3,6 și totuși să nu atingă pragul, pentru că o singură categorie, de regulă detecția sau recuperarea, stă sub 3.

Excluderile N/A sunt limitate

Un control poate fi marcat ca inaplicabil, dar cu limite stricte, introduse prin Ordinul directorului DNSC nr. 2 din 14 septembrie 2026:

  • cel mult 1 control la nivelul Bază;
  • cel mult 3 controale la nivelul Important;
  • cel mult 5 controale la nivelul Esențial;
  • măsurile cheie nu pot fi excluse niciodată, iar la nivelul Esențial nici controalele de management;
  • fiecare excludere se justifică în scris, în declarația de aplicabilitate;
  • în calcul, controlul exclus intră cu valoarea 2,5 la nivelul Bază, respectiv 3 la Important și Esențial.

Practic, „nu ni se aplică” nu este o strategie de scor. Excluderea nu ridică media, iar justificarea rămâne un document pe care îl citește cineva.

Ce se întâmplă dacă nu atingi pragurile

Nu se întâmplă nimic automat, dar apare o obligație nouă: entitatea întocmește un plan de măsuri, cu acțiuni și termene asumate. Pentru entitățile esențiale, art. 12 alin. (5) din ordonanță prevede un plan de măsuri de remediere în termen de 30 de zile de la autoevaluare.

Din perspectiva unui control, un scor mic cu un plan credibil și termene respectate este o poziție mult mai bună decât un scor mare fără dovezi. Autoevaluarea nu este un concurs de note.

Excepții și situații speciale

  • Sectorul financiar sub DORA. Entitățile din sectorul bancar și din infrastructurile pieței financiare cărora li se aplică Regulamentul (UE) 2022/2554 nu realizează evaluarea nivelului de risc și aplică măsurile prevăzute de DORA. Regula a fost introdusă prin art. V din Ordinul nr. 1/2026.
  • Grupuri de întreprinderi. Entitățile care fac parte dintr-un grup aplică regulile din Decizia directorului DNSC nr. 3 din 14 septembrie 2026, publicată în Monitorul Oficial nr. 798 din 21 septembrie 2026.
  • Cerințe sectoriale. Măsurile se completează cu cerințe din reglementări speciale, iar cerințele implementate astfel se evidențiază tot în declarația de aplicabilitate.

Termenul, spus cinstit

Ordinul nr. 1/2026 nu conține un articol de termen sau de intrare în vigoare amânată. Obligația este anuală și vine din art. 12 alin. (4) din ordonanță. Pentru entitățile care au primit validarea scorului nivelului de risc, DNSC a comunicat public, odată cu lansarea instrumentelor în septembrie 2026, că autoevaluarea se transmite în termenul prevăzut de ordonanță. Verificați notificările primite în Platforma NIS2@RO: acolo apare termenul concret aplicabil entității dumneavoastră.

Cele șapte greșeli care scad scorul degeaba

  1. Se completează doar nota de documentație, iar cea de implementare se copiază după ea.
  2. Se dau note de 4 și 5 fără dovezi, apoi auditul le contrazice.
  3. Se ignoră categoria slabă, deși la nivelul Esențial pragul pe categorie este eliminatoriu.
  4. Se marchează N/A peste limita permisă sau pe măsuri cheie.
  5. Declarația de aplicabilitate lipsește sau conține justificări de o frază.
  6. Autoevaluarea nu este asumată formal de management, deși legea cere asta explicit.
  7. Rezultatul nu este legat de planul de remediere, care rămâne un document separat, fără termene.

Unde te putem ajuta

Cea mai mare parte a diferenței dintre un scor declarat și un scor care rezistă stă în dovezi. O analiză de conformare NIS2 cu plan de remediere parcurge controalele pe dovezi și produce exact planul cerut de art. 12 alin. (5). Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Pentru nota de documentație, politicile, procedurile și registrele din pachetele de documentație NIS2 acoperă cerințele scrise. Dacă nu ai cine să conducă exercițiul intern, rolul poate fi acoperit prin responsabil NIS2 externalizat. Iar dacă nu ești sigur de nivelul de asigurare, platforma CysNis pornește de la încadrare.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Termenele comunicate prin Platforma NIS2@RO prevalează asupra oricărei estimări din acest articol.

Întrebări frecvente

Cine trebuie să facă autoevaluarea de maturitate?

Entitățile esențiale și importante, anual, conform art. 12 alin. (4) din OUG nr. 155/2024. Autoevaluarea se transmite către DNSC și, după caz, către autoritatea competentă sectorial, și trebuie asumată de managementul entității, nu doar de departamentul IT.

Ce sunt instrumentele EVAL_MMS?

Sunt instrumentele de evaluare a maturității puse la dispoziție de DNSC, câte unul pentru fiecare nivel de asigurare: EVAL_MMS_B pentru Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial. Se folosesc local, descărcate de pe site-ul DNSC, doar atunci când Platforma NIS2@RO nu este disponibilă.

Care sunt pragurile de conformitate?

La nivelul Bază, minimum 2,5 pe fiecare măsură cheie și 2,5 scor total. La Important, minimum 3 pe fiecare măsură cheie și 3 scor total. La Esențial, minimum 3 pe fiecare măsură cheie, minimum 3 pe fiecare categorie și un scor general de minimum 3,5.

Câte controale pot fi marcate ca inaplicabile?

Cel mult 1 la nivelul Bază, 3 la Important și 5 la Esențial. Măsurile cheie nu pot fi excluse niciodată, iar la nivelul Esențial nici controalele de management. Fiecare excludere se justifică în scris în declarația de aplicabilitate, iar în calcul controlul exclus intră cu valoarea 2,5 sau 3, după nivel.

Ce se întâmplă dacă nu ating pragurile?

Entitatea are obligația de a întocmi un plan de măsuri cu acțiuni și termene asumate. Pentru entitățile esențiale, art. 12 alin. (5) din ordonanță prevede un plan de măsuri de remediere în termen de 30 de zile de la autoevaluare.

Entitățile financiare sub DORA fac autoevaluarea?

Entitățile din sectorul bancar și din infrastructurile pieței financiare cărora li se aplică Regulamentul (UE) 2022/2554 nu realizează evaluarea nivelului de risc și aplică măsurile prevăzute de DORA, conform art. V din Ordinul directorului DNSC nr. 1/2026.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

CyFun și fișierul Excel de autoevaluare: de unde vin cele 218 controale din Ordinul nr. 1/2026

,

„CyFun excel” este o căutare foarte concretă: oamenii vor fișierul. Merită însă clarificat de la început ce descarci, de unde, și mai ales ce raport are fișierul belgian cu obligația din România. Pentru că nu sunt același lucru, deși seamănă izbitor.

Ce este CyFun

CyberFundamentals Framework, prescurtat CyFun, este un cadru dezvoltat de Centre for Cybersecurity Belgium, care este și proprietarul principal al schemei. Cerințele și ghidajul sunt construite pe baza NIST Cybersecurity Framework, ISO/IEC 27001 și 27002, IEC 62443 și CIS Critical Security Controls. Versiunea CyFun 2025 a fost aliniată explicit la NIST CSF 2.0 și la legislația europeană, adăugând măsuri de guvernanță, lanț de aprovizionare și tehnologie operațională.

Are trei niveluri de asigurare, Basic, Important și Essential, plus un chestionar separat pentru nivelul „small”, destinat microorganizațiilor. Formularea corectă nu este „CyFun are patru niveluri”, ci trei niveluri de asigurare și un chestionar suplimentar.

Fișierul Excel, ce este și ce conține

Instrumentele de autoevaluare se descarcă de pe site-ul oficial al schemei, cyfun.eu. Sunt trei fișiere separate, câte unul pe nivel, fiecare cu un filtru care afișează doar cerințele nivelului ales, astfel încât să nu fie nevoie de transferul scorurilor între fișiere.

Logica de evaluare este cea care contează cel mai mult:

  • fiecare control se notează pe două dimensiuni, maturitatea documentației și maturitatea implementării;
  • scala este de la 1 la 5;
  • scorurile se agregă ca medii, de la subcategorie la categorie și apoi la scorul total;
  • un tab de sinteză afișează nivelul total, imaginea pe categorii, lista măsurilor cheie și o diagramă radar;
  • conformitatea se stabilește prin comparare cu pragurile din schema de evaluare a conformității, marcate vizual.

Pe aceeași pagină se găsesc și broșurile cadrului, sinteza măsurilor cheie și, util pentru cine lucrează cu mai multe cadre, un fișier de mapare CyFun 2025 către NIS2 și către alte standarde.

De ce vă sună cunoscut, dacă ați citit Ordinul nr. 1/2026

Catalogul național de măsuri aprobat prin Ordinul directorului DNSC nr. 1/2026 are aceeași arhitectură:

ElementCyFun 2025Ordinul DNSC nr. 1/2026
FuncțiiGovern, Identify, Protect, Detect, Respond, RecoverGuvernare, Identificare, Protecție, Detecție, Răspuns, Recuperare
IerarhieFuncție, Categorie, Subcategorie, Controlidentică
Codificarede tipul GV.OC-01.1identică
Scordocumentație și implementare, 1 la 5documentație și implementare, 1 la 5
NiveluriBasic, Important, EssentialBază, Important, Esențial

Cifrele din catalogul românesc, numărate din tabelul de aplicabilitate al ordinului: 218 controale în total, dintre care 34 la nivelul Bază, 133 la nivelul Important și toate 218 la nivelul Esențial, cu 29 de măsuri cheie și 15 controale marcate ca aspect de management. Nivelurile sunt incluzive: Important conține tot ce are Bază, Esențial conține tot.

Filiația nu este o coincidență. România a adoptat formal cadrul CyFun și figurează, pe site-ul oficial al schemei, în grupul proprietarilor acesteia, alături de Belgia, Irlanda, Malta și Cipru. Ghidurile de implementare din ordin citează explicit CyFun printre cadrele de referință.

Atenție: fișierul belgian nu înlocuiește instrumentul DNSC

Aceasta este partea pe care căutarea „cyfun excel” o ratează. Obligația din România, prevăzută de art. 12 alin. (4) din OUG nr. 155/2024, este de a transmite anual către DNSC o autoevaluare a nivelului de maturitate, asumată de management. Mecanismele puse la dispoziție de DNSC sunt Platforma NIS2@RO și instrumentele proprii, denumite oficial EVAL_MMS_B pentru nivelul Bază, EVAL_MMS_I pentru Important și EVAL_MMS_E pentru Esențial, care se descarcă de pe site-ul DNSC atunci când platforma nu este disponibilă.

O autoevaluare făcută în fișierul belgian nu este o autoevaluare transmisă către DNSC. Pragurile diferă și ele: metodologia românească cere minimum 2,5 pe fiecare măsură cheie și 2,5 în total la nivelul Bază, minimum 3 și 3 la Important, iar la Esențial minimum 3 pe fiecare măsură cheie, 3 pe fiecare categorie și un scor general de minimum 3,5.

La ce e totuși bun fișierul CyFun

  • Pentru pregătire. Dacă vrei să înțelegi logica de scor înainte de a intra în platformă, fișierul belgian o explică pe îndelete, cu ghidaj pe fiecare control.
  • Pentru mapare. Fișierul de corespondență CyFun către NIS2 și către ISO 27001 ajută dacă ai deja un sistem de management și vrei să vezi ce acoperă și ce nu.
  • Pentru grupuri internaționale. O filială din Belgia și una din România pot vorbi aceeași limbă tehnică, chiar dacă raportează către autorități diferite.
  • Pentru antrenament intern. Este un instrument bun pentru a face echipa să exerseze diferența dintre „avem o politică” și „politica este aplicată și revizuită”.

Un detaliu de calendar, dacă lucrezi cu parteneri belgieni: versiunile CyFun 2023 și 2025 coexistă până la 18 aprilie 2027, iar atestările emise pe versiunea 2023 rămân valabile cel târziu până la 18 aprilie 2028.

Greșeala cea mai costisitoare la scor

Ambele modele cer două note, nu una. Organizațiile care au documentație bună și implementare slabă își notează adesea documentația și presupun că acoperă și implementarea. Rezultatul apare direct în media pe categorie și, la nivelul Esențial, poate bloca pragul de 3 pe categorie chiar dacă scorul general pare acceptabil.

Regula practică: nota de implementare se dă pe dovezi, nu pe intenție. Dacă nu poți arăta o înregistrare, o probă, un jurnal sau un raport, nota nu trece de 2.

Unde te putem ajuta

O autoevaluare corectă începe cu nivelul de asigurare corect. Dacă nu știi încă unde te încadrezi, platforma CysNis parcurge criteriile pas cu pas. Dacă ai nivelul și vrei ca scorurile să reziste la o verificare, o analiză de conformare NIS2 cu plan de remediere se face pe dovezi, control cu control. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Documentația care ridică nota de documentație, politici, proceduri, registre și decizii, se găsește în pachetele de documentație NIS2.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Cifrele privind numărul de controale sunt numărate din tabelul de aplicabilitate al Ordinului nr. 1/2026. Instrumentele și adresele se pot modifica.

Întrebări frecvente

De unde descarc fișierul Excel CyFun?

De pe site-ul oficial al schemei, cyfun.eu, de la pagina CyberFundamentals Framework 2025. Sunt trei instrumente separate, câte unul pentru fiecare nivel de asigurare: Basic, Important și Essential. Tot acolo se găsesc broșurile cadrului și fișierele de mapare către NIS2 și către alte standarde.

Câte niveluri are CyFun?

Trei niveluri de asigurare: Basic, Important și Essential. În plus există un chestionar separat pentru nivelul „small”, destinat microorganizațiilor. Formularea „patru niveluri” este imprecisă.

Pot folosi fișierul CyFun pentru autoevaluarea cerută de DNSC?

Nu ca înlocuitor. Obligația din art. 12 alin. (4) din OUG nr. 155/2024 se îndeplinește prin Platforma NIS2@RO sau, când aceasta nu este disponibilă, prin instrumentele DNSC denumite EVAL_MMS_B, EVAL_MMS_I și EVAL_MMS_E. Fișierul belgian este util pentru pregătire, mapare și antrenament intern.

Câte controale are catalogul din Ordinul DNSC nr. 1/2026?

218 controale în total, cu 34 aplicabile la nivelul Bază, 133 la nivelul Important și toate 218 la nivelul Esențial. Sunt marcate 29 de măsuri cheie. Nivelurile sunt incluzive, fiecare îl conține integral pe cel inferior.

Cum se calculează scorul de maturitate?

Fiecare control primește două note, de la 1 la 5: una pentru maturitatea documentației și una pentru maturitatea implementării. Mediile urcă de la subcategorie la categorie și apoi la scorul total. Pragurile din metodologia românească sunt 2,5 la nivelul Bază, 3 la Important, iar la Esențial minimum 3 pe fiecare măsură cheie și pe fiecare categorie, cu scor general de minimum 3,5.

Folosește România cadrul CyFun?

Da, l-a adoptat formal și figurează în grupul proprietarilor schemei, alături de Belgia, Irlanda, Malta și Cipru. Catalogul aprobat prin Ordinul nr. 1/2026 are aceeași arhitectură, aceleași șase funcții și aceeași codificare a controalelor, iar ghidurile de implementare citează CyFun printre cadrele de referință.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Sari la conținut