„Certificare NIS2″: ce există cu adevărat și ce se vinde sub această etichetă

,

„Certificare NIS2″ este una dintre cele mai căutate expresii pe această temă, și merită un răspuns scurt înainte de orice explicație: o organizație nu se certifică NIS2. Nu există o astfel de certificare, nici în dreptul european, nici în cel românesc.

Ceea ce se vinde sub această etichetă sunt cu totul alte lucruri, unele perfect legitime, altele fără valoare juridică. Diferența contează, pentru că din ea rezultă și ce poți arăta unui client, unui partener sau unui control.

Ce spune directiva

Singurul articol despre certificare din Directiva (UE) 2022/2555 este art. 24, „Utilizarea sistemelor europene de certificare a securității cibernetice”, iar obiectul lui este explicit:

„Pentru a demonstra conformitatea cu anumite cerințe de la articolul 21, statele membre le pot solicita entităților esențiale și entităților importante să utilizeze anumite produse TIC, servicii TIC și procese TIC […] care sunt certificate în cadrul sistemelor europene de certificare a securității cibernetice adoptate în temeiul articolului 49 din Regulamentul (UE) 2019/881.”

Produse, servicii și procese. Nu organizații. Considerentul (80) al directivei confirmă abordarea, vorbind despre promovarea standardelor europene și internaționale relevante „în absența unor sisteme europene adecvate de certificare a securității cibernetice”. Art. 25 adaugă că statele membre încurajează utilizarea standardelor, fără a impune un anumit tip de tehnologie.

Prima schemă europeană adoptată în acest cadru este EUCC, instituită prin Regulamentul de punere în aplicare (UE) 2024/482. Și ea certifică produse TIC, pe criterii comune, nu organizații.

Ce spune legea română

OUG nr. 155/2024 nu prevede nicio certificare a entităților. Cuvântul „certificare” apare doar în legătură cu Regulamentul (UE) 2019/881 și cu achizițiile de produse și servicii TIC. Mecanismele prin care o entitate își demonstrează starea sunt altele, două la număr:

  • autoevaluarea anuală a nivelului de maturitate, art. 12 alin. (4), asumată de managementul entității și transmisă la DNSC, cu metodologia din Ordinul directorului DNSC nr. 1/2026;
  • auditul de securitate cibernetică, art. 11 alin. (5) și art. 58, realizat de un auditor cu atestat valabil eliberat de DNSC.

Niciunul dintre ele nu se numește certificare și niciunul nu produce un certificat de conformitate NIS2.

Ce se vinde, de fapt, sub eticheta „certificare NIS2″

Ce esteCe certificăCe valoare are
Certificări de persoane, de tipul NIS 2 Foundation sau NIS 2 Lead Implementercompetența unei persoanereală, dar personală; nu spune nimic despre entitate
Cursuri de responsabil NISpregătirea persoanei desemnateutilă pentru art. 14 alin. (4) lit. e), nu pentru conformitatea entității
„Atestate de conformitate NIS2″ emise privatopinia furnizoruluistrict contractuală, fără efect juridic în dreptul român
ISO/IEC 27001sistemul de management al securității informațieicertificare reală, acreditată, dar cu alt obiect
EUCCproduse TICschemă europeană reală, dar nu pentru organizații

Toate pot fi utile. Niciuna nu este „certificare NIS2″.

Excepția belgiană, și de ce nu se aplică la noi

Singurul model din Uniune apropiat de o „certificare NIS2″ este schema belgiană CyberFundamentals, dezvoltată de Centre for Cybersecurity Belgium. Chiar și acolo terminologia este atentă: verificare pentru nivelurile Basic și Important, certificare pentru nivelul Essential, emise de organisme de evaluare a conformității autorizate, cu o etichetă CyFun opțională. Rezultatul este o prezumție de conformitate cu legea belgiană de transpunere, nu un certificat NIS2 european.

România a adoptat formal cadrul CyFun și face parte din grupul proprietarilor schemei, alături de Belgia, Irlanda, Malta și Cipru. Structura catalogului de controale din Ordinul nr. 1/2026 arată clar această filiație. Dar, la data acestui articol, în dreptul românesc nu există un text care să acorde vreunei certificări o prezumție de conformitate cu OUG nr. 155/2024. Regimul belgian nu se extinde automat.

ISO 27001 și NIS2

Un certificat ISO/IEC 27001 acoperă o parte importantă din cerințele tehnice și organizatorice, și ușurează mult munca. Ce nu acoperă, în România:

  • notificarea în vederea înregistrării la DNSC și actualizările ei, art. 18;
  • termenele de raportare a incidentelor, art. 15;
  • autoevaluarea anuală a maturității transmisă autorității și planul de remediere, art. 12 alin. (4) și (5);
  • desemnarea responsabilului și condițiile de la art. 14 alin. (4);
  • formarea acreditată a organelor de conducere și răspunderea lor, art. 14 alin. (1) și (2).

Mai există un aspect practic: scorurile din Ordinul nr. 1/2026 se dau pe fiecare control, separat pentru documentație și pentru implementare, cu justificare scrisă. Un certificat, oricât de bun, nu produce singur aceste scoruri.

Ce arăți când un client îți cere „certificarea NIS2″

Întrebarea are, de obicei, o intenție legitimă: partenerul vrea o asigurare. Răspunsul corect nu este „nu există”, ci un set de documente care spun mai mult decât un certificat:

  1. dovada notificării și, dacă a fost emisă, decizia DNSC de înscriere în registrul entităților;
  2. confirmarea nivelului de risc și a nivelului de asigurare aplicabil;
  3. autoevaluarea maturității transmisă, cu scorul total și cel pe măsurile cheie;
  4. declarația de aplicabilitate, cu justificarea excluderilor;
  5. planul de măsuri de remediere, dacă pragurile nu sunt atinse;
  6. raportul ultimului audit realizat de un auditor atestat de DNSC;
  7. decizia de numire a responsabilului și dovada formării conducerii.

Un furnizor care poate pune pe masă aceste șapte lucruri demonstrează mai mult decât unul cu un „atestat de conformitate” cumpărat.

Patru întrebări pentru orice ofertă de „certificare NIS2″

  • Ce certifică documentul: o persoană, un produs sau organizația?
  • Cine îl emite și în baza cărui act normativ?
  • Ce efect juridic are în relația cu DNSC?
  • Ce se întâmplă cu el dacă entitatea nu atinge pragurile din Ordinul nr. 1/2026?

Dacă la a doua întrebare răspunsul nu conține un act publicat în Monitorul Oficial sau în Jurnalul Oficial al Uniunii Europene, documentul are valoare de opinie comercială.

Unde te putem ajuta

Nu vindem certificări NIS2, pentru că nu există. Ce se poate face este verificabil: o analiză de conformare NIS2 cu plan de remediere, pe dovezi, și auditul de securitate cibernetică. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Documentele care se cer cel mai des, deciziile, politicile, registrele și procedurile, se găsesc în pachetele de documentație NIS2.

Dacă întrebarea de fapt este dacă intri în scop, platforma CysNis parcurge criteriile de încadrare pas cu pas.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Cadrul european de certificare evoluează; verifică actele în vigoare la momentul deciziei.

Întrebări frecvente

Există o certificare NIS2 pentru firme?

Nu. Directiva (UE) 2022/2555 nu instituie nicio schemă de certificare a organizațiilor. Singurul articol despre certificare, art. 24, privește produse, servicii și procese TIC. OUG nr. 155/2024 nu prevede nici ea certificarea entităților.

Atunci ce se vinde sub numele de certificare NIS2?

Certificări de persoane, de tipul NIS 2 Foundation sau Lead Implementer, cursuri pentru responsabilul NIS, atestate de conformitate emise privat, certificări ISO/IEC 27001 și, la nivel de produse, scheme europene precum EUCC. Toate pot fi utile, niciuna nu este o certificare NIS2 a organizației.

ISO 27001 înseamnă conformitate NIS2?

Nu, deși ajută mult. ISO 27001 certifică sistemul de management al securității informației. Nu acoperă obligațiile procedurale din OUG nr. 155/2024: notificarea la DNSC, termenele de raportare a incidentelor, autoevaluarea anuală a maturității, planul de remediere, desemnarea responsabilului și formarea conducerii. În România nu există un text care să acorde ISO 27001 prezumție de conformitate.

Cum își demonstrează atunci o entitate conformarea?

Prin autoevaluarea anuală a nivelului de maturitate, prevăzută de art. 12 alin. (4) și detaliată în Ordinul directorului DNSC nr. 1/2026, și prin auditul de securitate cibernetică realizat de un auditor atestat de DNSC, conform art. 11 alin. (5) și art. 58.

Ce este eticheta CyFun din Belgia?

Este rezultatul schemei belgiene CyberFundamentals: verificare pentru nivelurile Basic și Important, certificare pentru nivelul Essential, emise de organisme autorizate. Produce o prezumție de conformitate cu legea belgiană de transpunere. România a adoptat formal cadrul CyFun, dar nu a instituit o prezumție echivalentă în dreptul intern.

Ce îi arăt unui client care îmi cere certificarea NIS2?

Dovada notificării și decizia de înscriere în registru, nivelul de risc și de asigurare, autoevaluarea maturității transmisă la DNSC, declarația de aplicabilitate, planul de remediere dacă este cazul, raportul ultimului audit făcut de un auditor atestat, plus decizia de numire a responsabilului. Împreună spun mai mult decât orice certificat.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Auditorul NIS: cine poate audita, cum verifici atestatul DNSC și ce spune lista

,

Auditul de securitate cibernetică este singura obligație din OUG nr. 155/2024 pe care entitatea nu o poate îndeplini singură. Textul cere un auditor cu atestat valabil eliberat de DNSC, iar lista celor atestați este publică. În jurul acestei liste s-a format o piață, cu oferte care amestecă atestarea cu certificările comerciale. Mai jos, ce spune legea și ce verifici înainte de a semna.

Obligația de audit

„Entitățile esențiale și entitățile importante sunt obligate să se supună efectuării unui audit de securitate cibernetică în condițiile și cu periodicitatea stabilite prin ordinul directorului DNSC prevăzut la art. 12 alin. (1), în funcție de nivelul de risc prevăzut la alin. (3).”

Acesta este art. 11 alin. (5). Alineatul (6) adaugă că, acolo unde există autoritate competentă sectorial, condițiile și periodicitatea se stabilesc prin ordin comun.

Aici apare o problemă reală, care merită spusă direct: periodicitatea nu este încă stabilită. Ordinul directorului DNSC nr. 1/2026, care este chiar ordinul emis în temeiul art. 12 alin. (1), nu conține nicio prevedere despre audit, periodicitate sau atestat. Nici Măsurile din anexa nr. 1, nici Metodologia de autoevaluare din anexa nr. 2.

Concluzia utilă: obligația de audit există în lege, dar intervalul concret nu a fost reglementat prin ordinul la care legea trimite. Dacă un furnizor îți spune „auditul este obligatoriu anual” sau „o dată la doi ani”, cere-i temeiul publicat. La data acestui articol, nu există unul.

Separat de auditul periodic, DNSC poate dispune audituri ad-hoc, în cadrul activității de supraveghere, realizate tot de un auditor atestat.

Cine poate audita

Art. 58 alin. (1): auditul se realizează de auditorii de securitate cibernetică ce dețin atestat valabil eliberat de DNSC, cu excepția auditurilor la instituțiile din apărare, ordine publică și securitate națională.

Atestatul este nominal, netransmisibil și are o valabilitate de 3 ani. Acest lucru apare atât în art. 58 alin. (6) din ordonanță, cât și în Regulamentul aprobat prin Ordinul Secretariatului General al Guvernului nr. 559/2021, care rămâne aplicabil prin art. 66 alin. (2) din OUG, chiar dacă a fost emis sub Legea nr. 362/2018, între timp abrogată.

Un regulament nou, cerut expres de art. 58 alin. (2) lit. b) și de art. 65 alin. (1) lit. l), nu era publicat la data acestui articol. Până atunci, procedura de atestare rămâne cea din 2021.

Incompatibilitățile, punctul cel mai ignorat

Art. 58 alin. (3) interzice auditul în trei situații:

  • auditorul atestat care prestează curent servicii de securitate cibernetică sau servicii CSIRT entității respective, ori este angajat al acesteia;
  • auditorul care are un contract de prestări servicii pentru rețeaua sau sistemul auditat, în desfășurare sau încheiat în ultimul an;
  • auditorul care a efectuat deja 3 audituri consecutive la aceeași entitate.

Prima incompatibilitate elimină o practică frecventă: firma care îți administrează securitatea nu îți poate audita securitatea. A doua adaugă o perioadă de decantare de un an. A treia obligă la rotație după trei cicluri.

Dacă primești o ofertă de la același furnizor pentru implementare și pentru audit, întreabă cine face auditul și verifică dacă acea entitate are contract curent cu tine. Un audit făcut în incompatibilitate este un audit contestabil.

Lista auditorilor și cum se verifică

DNSC menține evidența auditorilor, conform art. 58 alin. (2) lit. a), și publică Lista auditorilor de securitate cibernetică valabil atestați, cunoscută ca LASC, pe site-ul propriu, în versiuni datate. Lista este deja folosită ca cerință de calificare în achiziții publice, unde ofertantul trebuie să figureze în ea.

Ce ceri concret unui furnizor, în scris:

  1. numărul atestatului și data emiterii, ca să verifici cei 3 ani de valabilitate;
  2. tipul atestatului și tipurile de audit acoperite;
  3. versiunea LASC în care apare, cu data ei;
  4. declarația privind incompatibilitățile de la art. 58 alin. (3), inclusiv contractele din ultimul an;
  5. numele persoanei fizice care semnează raportul, nu doar denumirea firmei.

Ce înseamnă „acreditat”, pe bune

Dosarul de atestare, conform Regulamentului din 2021, cere printre altele cazier judiciar în termen, dovada experienței, certificatul de specializare de auditor eliberat de un furnizor de formare autorizat, și certificări profesionale dintr-o listă limitativă, anexa nr. 5, care cuprinde 37 de certificări, împărțite pe activități de audit comune și speciale.

Un detaliu pe care piața îl prezintă des greșit: ISO 27001 Lead Auditor nu figurează în anexa nr. 5. CISA figurează, la activități de audit comune. Un certificat de lead auditor ISO este valoros profesional, dar nu este, prin el însuși, o cale către atestatul DNSC.

Experiența cerută este alternativă: cel puțin 2 ani în administrarea sau implementarea rețelelor și sistemelor informatice, sau 2 ani în securitatea acestora, sau 1 an în investigații, testare ori audit de securitate. Pentru solicitantul de atestat, art. 27 din ordonanță permite DNSC să ceară verificări de securitate, inclusiv din perspectiva securității naționale, și să întrerupă procedura în funcție de rezultat.

Auditorii au și obligații deontologice, prevăzute de art. 58 alin. (8): integritate profesională, respectarea codurilor etice, absența conflictului de interese, confidențialitate.

Ce se sancționează

Nerespectarea obligației de audit în condițiile art. 11 alin. (5) sau (6) este contravenția de la art. 60 alin. (1) lit. b), aflată în plaja mare de amenzi: până la 7.000.000 de euro sau 1,4 la sută din cifra de afaceri anuală mondială pentru entitățile importante, până la 10.000.000 de euro sau 2 la sută pentru cele esențiale, luându-se valoarea cea mai mare.

Cât timp periodicitatea nu este stabilită, discuția despre „întârziere” este dificilă. Asta nu înseamnă că entitatea poate ignora subiectul: nivelul de risc validat de DNSC și un eventual audit ad-hoc rămân în joc, iar un audit făcut din timp este cel mai ieftin mod de a afla ce lipsește.

Audit, autoevaluare, analiză de conformare: trei lucruri diferite

Cine faceTemeiCe produce
Autoevaluarea maturitățiientitatea, cu asumarea managementuluiart. 12 alin. (4), Ordinul nr. 1/2026scoruri pe controale, transmise anual la DNSC
Auditul de securitate ciberneticăauditor atestat de DNSCart. 11 alin. (5) și art. 58raport de audit independent
Analiza de conformareorice consultantcontractuallistă de lipsuri și plan de remediere

Confuzia dintre primele două este frecventă. Autoevaluarea nu înlocuiește auditul, iar auditul nu înlocuiește autoevaluarea anuală.

Unde te putem ajuta

Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Dacă vrei să știi întâi unde stai, înainte de un audit formal, punctul de plecare este o analiză de conformare NIS2 cu plan de remediere, făcută pe dovezi. Documentele care lipsesc cel mai des se găsesc în pachetele de documentație NIS2, iar dacă nu ai pe cine desemna intern, rolul poate fi acoperit prin responsabil NIS2 externalizat.

Atenție la incompatibilitate: aceeași echipă nu îți poate și administra securitatea, și audita rezultatul. Separarea se stabilește din contract, nu după.

Auditorul lucrează pe documente: politici, registre, dovezi de implementare. Păstrarea lor structurată, pe cerințele legale, este rolul platformei CysNIS, care ajută la pregătirea documentației ce va fi prezentată la audit și la control.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Lista auditorilor și lista certificărilor se actualizează; verifică versiunea publicată pe dnsc.ro la momentul contractării.

Întrebări frecvente

Cine poate face auditul de securitate cibernetică sub OUG nr. 155/2024?

Doar auditorii de securitate cibernetică ce dețin atestat valabil eliberat de DNSC, conform art. 58 alin. (1). Excepție fac auditurile la instituțiile din apărare, ordine publică și securitate națională. Atestatul este nominal, netransmisibil și are valabilitate 3 ani.

Unde găsesc lista auditorilor NIS atestați de DNSC?

DNSC publică pe site-ul propriu Lista auditorilor de securitate cibernetică valabil atestați, cunoscută ca LASC, în versiuni datate. Ea este folosită ca cerință de calificare și în achiziții publice. Cere furnizorului numărul atestatului, data emiterii și versiunea listei în care apare.

Cât de des trebuie făcut auditul NIS2?

Art. 11 alin. (5) trimite periodicitatea la ordinul directorului DNSC prevăzut de art. 12 alin. (1). Ordinul nr. 1/2026, emis în acest temei, nu conține prevederi despre audit sau periodicitate. La data acestui articol, intervalul concret nu este reglementat, deci o afirmație de tipul „anual” sau „la doi ani” nu are temei publicat.

Firma care îmi administrează securitatea poate să îmi facă auditul?

Nu. Art. 58 alin. (3) interzice auditul de către cine prestează curent servicii de securitate cibernetică sau servicii CSIRT entității, de către cine are contract pentru rețeaua auditată în desfășurare sau încheiat în ultimul an, și de către auditorul care a efectuat deja 3 audituri consecutive la aceeași entitate.

ISO 27001 Lead Auditor este suficient pentru atestatul DNSC?

Nu. Anexa nr. 5 la Regulamentul din 2021 listează limitativ 37 de certificări profesionale acceptate, iar ISO 27001 Lead Auditor nu figurează printre ele. CISA figurează, la activitățile de audit comune. Certificatul ISO rămâne valoros profesional, dar nu deschide singur calea către atestat.

Autoevaluarea maturității înlocuiește auditul?

Nu. Sunt obligații diferite. Autoevaluarea anuală o face entitatea, cu asumarea managementului, în temeiul art. 12 alin. (4) și al Ordinului nr. 1/2026. Auditul se face de un auditor atestat, independent, în temeiul art. 11 alin. (5) și art. 58.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Analiza unui dosar voluminos: de la mii de pagini la fapte verificabile

Un dosar de câteva mii de pagini rareori începe cu analiza. Începe cu săptămâni de răsfoit, numerotat, comparat versiuni de contract și căutat e-mailul care confirmă o dată. Abia după această muncă, de obicei făcută de cei mai scumpi oameni din echipă, se poate discuta despre strategie. Articolul descrie cum poate fi organizată această etapă astfel încât fiecare constatare să poată fi verificată la sursă și ce rămâne, în mod deliberat, în afara ei.

Unde se pierde timpul într-un dosar voluminos

Problema nu este volumul în sine, ci lipsa unei structuri comune. Același contract apare în trei variante, cu anexe diferite. Extrasele bancare nu au corespondent clar în facturi. Un e-mail citat într-o întâmpinare nu se mai găsește în materialul primit. Opisul spune 412 file, iar în dosar sunt 409.

Fiecare dintre aceste situații cere o verificare manuală, iar verificările se repetă de fiecare dată când cineva nou intră pe dosar. Fără o bază documentară comună, cunoașterea despre dosar rămâne în notițele personale ale celor care l-au citit.

Ce înseamnă o bază documentară verificabilă

O bază documentară verificabilă este un dosar în care fiecare document are o identitate și fiecare afirmație are o sursă. Concret, ea pornește de la câteva operațiuni simple, făcute riguros:

  • inventarul complet al materialului primit, indiferent de formă: hârtie, PDF, e-mailuri, foi de calcul, înregistrări audio sau video;
  • identificarea fiecărui document: tip, dată, emitent, destinatar, număr de pagini;
  • reconcilierea cu opisul, cu semnalarea explicită a lipsurilor și a dublurilor;
  • amprenta criptografică a fiecărui fișier la primire, astfel încât orice modificare ulterioară să poată fi detectată.

Diferența față de o simplă scanare este trasabilitatea: din orice punct al analizei se poate ajunge la documentul și pagina din care provine informația.

Cronologia, indexul de persoane și lista discrepanțelor

Peste baza documentară se construiesc instrumentele de lucru care scurtează cel mai mult pregătirea:

LivrabilLa ce folosește
Cronologia faptelorOrdonează evenimentele cu trimitere la document și pagină, inclusiv acolo unde sursele se contrazic
Indexul persoanelor și entitățilorArată cine apare unde, în ce calitate și în legătură cu ce documente
Comparația versiunilorEvidențiază diferențele dintre variante ale aceluiași contract, act adițional sau raport
Lista discrepanțelor și a întrebărilor deschiseAdună contradicțiile, golurile și punctele care cer clarificări, fără să le completeze prin presupuneri

Într-unul dintre exemplele anonimizate publicate pe procis.ro, un dosar de litigiu comercial de aproximativ 8.000 de pagini a fost redus la o cronologie, un index de persoane și o listă a versiunilor contradictorii de contract, iar timpul de pregătire al echipei a scăzut cu aproximativ două treimi.

Când dosarul are o componentă digitală

Tot mai multe dosare conțin probe digitale: e-mailuri, documente electronice, capturi de conversații, jurnale de sistem. Aici analiza documentară se completează cu una tehnică:

  • metadatele documentelor: date de creare și modificare, autori declarați, aplicații folosite, neconcordanțe între ele;
  • antetele mesajelor e-mail: traseul real al mesajului, serverele implicate, ordinea efectivă a trimiterilor;
  • jurnalele de sistem în incidente precum ransomware, fraudă online sau scurgeri de date, din care se poate reconstitui o cronologie tehnică;
  • cercetarea în surse deschise despre persoane, entități, domenii și infrastructuri relevante.

Un exemplu frecvent: un set de documente datate într-o anumită lună, ale căror metadate arată crearea lor câteva luni mai târziu. Analiza tehnică semnalează neconcordanța, cu trimitere exactă la fișier și pagină. Ce înseamnă ea pentru cauză rămâne o întrebare pentru echipa juridică.

Unde se oprește analiza

O analiză de dosar utilă își declară limitele. ProCIS nu oferă consultanță juridică, reprezentare sau strategie procedurală, nu încadrează juridic faptele și nu se pronunță asupra autenticității, admisibilității sau valorii probatorii a documentelor. Nu accesează sisteme sau conturi cu datele de autentificare ale altor persoane.

Separarea nu este o formalitate. Ea păstrează interpretarea la cei care răspund profesional pentru ea și face livrabilele utilizabile: un tabel de corelații factuale, cu surse, poate fi verificat de oricine din echipă; o concluzie amestecată cu faptele, nu.

Confidențialitatea materialului

Un dosar conține date personale, secrete comerciale și uneori informații despre minori. De aceea, modul de lucru contează la fel de mult ca rezultatul:

  • conținutul identificabil rămâne pe stații de lucru controlate de ProDefence;
  • fiecare dosar are stocare, identificatori și acces separate, fără corelări între cazuri;
  • fiecare operațiune este consemnată într-un jurnal protejat la modificare;
  • instrumentele de inteligență artificială primesc doar material pseudonimizat, iar fiecare rezultat este verificat de un analist față de sursă; clientul poate cere ca ele să nu fie folosite;
  • transferul se face doar pe un canal convenit după calificare.

Cum lucrează ProCIS

ProCIS este serviciul ProDefence dedicat analizei documentare și tehnice a dosarelor. Lucrarea începe cu o calificare (mandat, întrebarea la care trebuie răspuns, perimetru), continuă cu analiza unui eșantion și o estimare, apoi cu prelucrarea materialului și livrarea versionată către destinatarii autorizați. Nu există pachete fixe: oferta se construiește pe module, după eșantion.

Echipa este formată din auditori, specialiști în răspuns la incidente, analiști de criminalitate informatică, analiști documentari și cercetători în surse deschise. Solicitările se trimit prin formularul de pe procis.ro.

Întrebări frecvente

Ce este analiza documentară a unui dosar?

Este munca de inventariere, identificare și ordonare a materialului dintr-un dosar: fiecare document este identificat, reconciliat cu opisul și legat de faptele, persoanele și datele pe care le conține. Rezultatul este o bază de lucru în care orice afirmație poate fi verificată la sursă.

Cine poate contracta o analiză de dosar prin ProCIS?

Avocați și societăți de avocatură, departamente juridice, echipe de conformitate și prevenire a fraudei, practicieni în insolvență, asigurători și organizații cu mandat documentat asupra cazului. Persoanele care sunt parte într-un dosar sunt îndrumate către un profesionist care poate contracta serviciul.

Analiza tehnică a metadatelor poate stabili dacă un document este autentic?

Nu. Analiza tehnică descrie ce arată datele: date de creare și modificare, autori declarați, programe folosite, neconcordanțe între versiuni. Concluzia asupra autenticității, admisibilității sau valorii probatorii nu face parte din serviciu.

Este nevoie de tot dosarul pentru o estimare?

Nu. Pentru calificare sunt suficiente o descriere a cazului, tipul și volumul estimat al materialului. Estimarea de efort se face după analiza unui eșantion, iar materialul complet se transmite doar pe canalul convenit.

Responsabilul NIS: ce înseamnă, ce atribuții are, cod COR, curs și de ce nu există „autorizat DNSC”

,

„Responsabil NIS” nu este o denumire legală. În OUG nr. 155/2024 rolul se numește responsabilul cu securitatea rețelelor și sistemelor informatice, iar în ordinele DNSC apare și ca „persoana responsabilă cu securitatea cibernetică”. Denumirea scurtă a prins pe piață, odată cu cursurile care o folosesc. Problema e că, în jurul ei, circulă trei afirmații false: că există un cod COR dedicat, că responsabilul se autorizează la DNSC și că rolul se rezolvă cu un curs.

Ce spune legea, exact

Temeiul este art. 14 alin. (3), în forma modificată prin Legea nr. 124/2025. Organele de conducere ale entităților esențiale și ale entităților importante stabilesc mijloacele permanente de contact, alocă resursele necesare și desemnează, în termen de 30 de zile de la data comunicării deciziei directorului DNSC pentru identificarea și înscrierea în registru, responsabilii cu securitatea rețelelor și sistemelor informatice.

Două lucruri de reținut. Termenul nu curge de la o dată fixă din calendar, ci de la comunicarea deciziei DNSC. Iar obligația privește ambele categorii de entități, nu doar cele esențiale, subiect pe care l-am tratat separat în articolul despre obligația de desemnare la entitățile importante.

Condițiile de la alin. (4), și cui i se aplică

Art. 14 alin. (4) adaugă cinci condiții cumulative, dar numai pentru persoana desemnată în entitățile esențiale, cu excepția entităților administrației publice, a microîntreprinderilor și a întreprinderilor mici:

  • are autoritate managerială;
  • este subordonată direct organelor de conducere ale entității;
  • funcționează independent de structurile IT și de tehnologie operațională;
  • are acces la resursele necesare pentru supravegherea și implementarea eficientă a măsurilor;
  • a obținut un curs de specialitate acreditat, recunoscut de DNSC, în domeniul securității cibernetice, în termen de 12 luni de la desemnare.

Condiția de independență față de IT este cea mai des încălcată în practică. Numirea șefului IT ca responsabil, într-o entitate esențială care nu se încadrează în excepții, nu îndeplinește alin. (4) lit. c). Nu pentru că omul ar fi nepotrivit, ci pentru că nu se poate supraveghea singur.

Cod COR: nu există unul dedicat

Nu există în Clasificarea Ocupațiilor din România o ocupație numită „responsabil NIS” sau „responsabil cu securitatea rețelelor și sistemelor informatice”. Ce se folosește în practică sunt ocupațiile din grupa de bază 2529, specialiști în baze de date și rețele:

CodOcupație
252904Expert în securitate cibernetică
252906Auditor de securitate cibernetică
252907Consultant de securitate cibernetică
252908Administrator de securitate în domeniul TIC
252910Manager de securitate sisteme informatice
252913Specialist în proceduri și instrumente de securitate a sistemelor informatice
133048Manager securitatea informației (CISO), grupa 1330

Circulă pe internet fișe de post care dau „cod COR 252913, Specialist securitate cibernetică”. Denumirea este greșită: 252913 este „Specialist în proceduri și instrumente de securitate a sistemelor informatice”. Dacă fișa ajunge în dosarul de personal cu o denumire care nu există în COR, corectarea vine mai târziu și mai scump.

Concluzia practică: alegeți codul după conținutul real al postului, nu după eticheta „NIS”. Legea nu cere un cod anume.

„Responsabil NIS autorizat DNSC” nu există

Aceasta este căutarea cea mai frecventă și cea mai greșit înțeleasă. DNSC nu autorizează, nu atestă și nu înregistrează persoana responsabilă. Argumentele sunt în textul ordonanței:

  • Art. 25 enumeră atribuțiile DNSC. Lit. j) privește eliberarea, revocarea și reînnoirea atestatelor auditorilor de securitate cibernetică. Lit. k) privește autorizarea furnizorilor de servicii de formare pentru formarea auditorilor și a echipelor CSIRT. Responsabilul cu securitatea rețelelor nu apare.
  • Art. 58 reglementează exclusiv atestarea auditorilor.
  • Art. 65 alin. (1) listează ordinele pe care directorul DNSC trebuie să le emită. Niciunul nu privește atestarea responsabilului.

Singura mențiune apropiată este art. 26 alin. (2), unde DNSC asigură evaluarea procesului de pregătire și specializare a auditorilor, a membrilor echipelor CSIRT, a responsabililor de securitate cibernetică și a furnizorilor de formare. Este o atribuție privind procesul de formare, nu o atestare a persoanei.

Ce a existat este altceva: un program de formare Responsabil NIS, livrat de furnizori autorizați în temeiul Ordinului DNSC nr. 106/2022, cu certificat recunoscut de DNSC. Programul a fost sistat. Potrivit anunțului DNSC, începând cu 1 martie 2026 nu se mai eliberează certificate de absolvire pentru programele organizate după această dată.

Golul normativ, spus pe față

Art. 14 alin. (4) lit. e) cere un „curs de specialitate acreditat, recunoscut de DNSC”. Ordinul nr. 106/2022 a fost emis sub Legea nr. 362/2018, abrogată prin OUG nr. 155/2024, iar în noua lege autorizarea furnizorilor de formare acoperă doar auditorii și echipele CSIRT. Programul dedicat responsabilului a fost sistat, iar un act care să definească ce curs este „recunoscut de DNSC” pentru acest rol nu a fost publicat până la data acestui articol.

Rezultatul: obligația din lege există, mecanismul de îndeplinire nu este complet. Pentru o entitate aflată în termenul de 12 luni, soluția rezonabilă este să documenteze ce formare a urmat persoana desemnată, de la cine, cu ce conținut și cu ce certificat, și să păstreze dovada. Într-un control, o formare serioasă documentată este o poziție mai bună decât niciuna, iar imposibilitatea de a obține un certificat inexistent nu se impută entității.

Atenție la ofertele care încă folosesc eticheta „autorizat DNSC” pentru cursuri de responsabil NIS. Cere furnizorului numărul autorizației, programul acoperit de ea și data de valabilitate, în scris.

Se poate externaliza?

Legea nu spune nimic despre externalizare, nici ca permisiune, nici ca interdicție. Art. 14 alin. (3) folosește verbul „desemnează”, fără să ceară calitatea de angajat. Constrângerile reale vin din cele cinci condiții de la alin. (4): autoritate managerială, subordonare directă față de conducere, independență față de IT și OT, acces la resurse, formare.

Un furnizor extern poate îndeplini aceste condiții doar printr-un mandat formal, cu acces și autoritate scrise în decizia de numire, nu printr-un contract de consultanță obișnuit. Și, indiferent de soluție, răspunderea rămâne la organele de conducere: art. 14 alin. (1) le face responsabile de încălcări. Nu există transfer de răspundere către persoana desemnată sau către prestator.

Ce se sancționează

Literă din art. 60 alin. (1)Fapta
h)membrii organelor de conducere nu urmează cursurile de formare profesională prevăzute de art. 14 alin. (2)
i)nestabilirea mijloacelor permanente de contact
j)nealocarea resurselor
k)nedesemnarea responsabililor cu securitatea rețelelor și sistemelor informatice

Toate patru intră în plaja mare de amenzi de la art. 60 alin. (2) lit. a) și b): de la 5.000 de lei până la 7.000.000 de euro sau 1,4 la sută din cifra de afaceri anuală mondială pentru entitățile importante, respectiv de la 10.000 de lei până la 10.000.000 de euro sau 2 la sută pentru cele esențiale, luându-se valoarea cea mai mare. Spre comparație, neînregistrarea la DNSC, pentru care s-a dat prima amendă, se află pe palierul de jos.

Lista de verificat

  1. Există o decizie scrisă de numire, datată, semnată de organul de conducere?
  2. Se încadrează în 30 de zile de la comunicarea deciziei DNSC de înscriere în registru?
  3. Pentru entitățile esențiale care nu sunt în excepții, sunt îndeplinite toate cele cinci condiții de la alin. (4), inclusiv independența față de IT?
  4. Sunt datele persoanei comunicate către DNSC, prin formularul de înregistrare sau prin actualizare în două săptămâni de la schimbare?
  5. Există o fișă de post cu atribuții reale, nu doar o linie într-o organigramă?
  6. Există dovada formării și un plan pentru termenul de 12 luni?
  7. Are persoana acces la conducere fără filtru, și buget?

Unde te putem ajuta

Pentru organizațiile care nu au pe cine desemna intern fără să încalce condiția de independență, rolul poate fi acoperit prin responsabil NIS2 externalizat, cu mandat formal, acces la conducere și raportare documentată. Deciziile de numire, fișele de post, politicile și registrele se găsesc în pachetele de documentație NIS2.

Dacă nu știi încă dacă ești în scop, platforma CysNis parcurge criteriile de încadrare pas cu pas. Dacă ești, o analiză de conformare NIS2 cu plan de remediere arată exact ce lipsește. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Pentru pregătirea continuă a responsabilului NIS și a echipei, cursurile de securitate cibernetică de pe CysEdu sunt structurate pe niveluri, de la noțiuni de bază la teme profesionale. Ele nu reprezintă un atestat DNSC, dar acoperă cunoștințele de lucru de care rolul are nevoie zi de zi.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Situația programelor de formare se poate schimba prin acte normative ulterioare; verifică pe dnsc.ro înainte de a contracta un curs.

Întrebări frecvente

Ce înseamnă responsabil NIS?

Este denumirea de piață pentru responsabilul cu securitatea rețelelor și sistemelor informatice, rol prevăzut de art. 14 alin. (3) din OUG nr. 155/2024. Are rolul de a implementa și de a supraveghea măsurile de gestionare a riscurilor de securitate cibernetică la nivelul entității și se desemnează prin decizie a organelor de conducere.

Există un cod COR pentru responsabil NIS?

Nu. Clasificarea Ocupațiilor din România nu conține o ocupație cu această denumire. În practică se folosesc ocupații din grupa de bază 2529, precum 252904 expert în securitate cibernetică, 252906 auditor de securitate cibernetică, 252910 manager de securitate sisteme informatice, sau 133048 manager securitatea informației. Legea nu impune un cod anume.

Responsabilul NIS se autorizează la DNSC?

Nu. DNSC atestă auditorii de securitate cibernetică și autorizează furnizorii de formare pentru auditori și pentru echipele CSIRT, conform art. 25 și 58. Nu există autorizare, atestare sau înregistrare a responsabilului cu securitatea rețelelor și sistemelor informatice.

Ce curs trebuie să facă responsabilul NIS?

Pentru persoana desemnată în entitățile esențiale care nu sunt în excepții, art. 14 alin. (4) lit. e) cere un curs de specialitate acreditat, recunoscut de DNSC, obținut în termen de 12 luni de la desemnare. Programul de formare Responsabil NIS a fost sistat, iar pentru certificatele emise după 1 martie 2026 DNSC a anunțat că nu mai eliberează certificate de absolvire. Un act care să definească alt curs recunoscut nu era publicat la data acestui articol.

În cât timp trebuie desemnat responsabilul?

În termen de 30 de zile de la data comunicării deciziei directorului DNSC pentru identificarea și înscrierea în registru, conform art. 14 alin. (3). Termenul nu curge de la o dată fixă din calendar.

Poate fi șeful IT responsabilul NIS?

În entitățile esențiale care nu se încadrează în excepțiile de la art. 14 alin. (4), nu. Textul cere ca persoana să funcționeze independent de structurile IT și de tehnologie operațională și să fie subordonată direct organelor de conducere. Pentru entitățile importante, pentru administrația publică, pentru microîntreprinderi și întreprinderi mici, aceste condiții nu se aplică.

Se poate externaliza rolul de responsabil NIS?

Legea nu îl interzice și nu îl reglementează expres. Externalizarea funcționează dacă mandatul formal asigură cele cinci condiții de la art. 14 alin. (4). Răspunderea rămâne însă la organele de conducere, conform art. 14 alin. (1), și nu se transferă prestatorului.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Formularul DNSC de notificare și Platforma NIS2@RO: cum se face corect înregistrarea

,

„DNSC formular NIS2″ este o căutare care ascunde o confuzie. Mulți o tastează crezând că există un formular unic, bun la tot. În realitate, la data acestui articol există un singur formular reglementat printr-un act normativ: formularul de notificare în vederea înregistrării în registrul entităților. El este anexa la Cerințele aprobate prin Ordinul directorului DNSC nr. 1 din 11 august 2025, publicate în Monitorul Oficial nr. 776 din 20 august 2025.

Prima amendă dată de DNSC pe OUG nr. 155/2024, la 29 septembrie 2026, privește exact această notificare. Merită deci parcursă corect, de la prima încercare.

Instrumentul NIS2@RO și Platforma NIS2@RO nu sunt același lucru

Cerințele descriu două mecanisme distincte, iar confundarea lor este cea mai frecventă sursă de întârziere:

Instrumentul NIS2@ROPlatforma NIS2@RO
Ce esteinstrument digital de evaluare și de generare a datelor de notificareplatformă de înrolare, informare și cooperare
Unde ruleazălocal, se descarcăonline, la platformanis2.ro, pe bază de cont
Când se foloseștedoar când platforma nu este disponibilămetoda principală

Regula este simplă: dacă entitatea s-a înrolat în platformă, toate interacțiunile ulterioare se fac exclusiv prin platformă. Instrumentul local rămâne o soluție de avarie, nu o alternativă permanentă.

Cele șase secțiuni ale formularului

  1. Date generale. Denumire, cod unic de înregistrare, sediu, codurile CAEN principal și secundare.
  2. Date specifice. Numărul mediu de salariați, cifra de afaceri netă, activele totale, sectorul, subsectorul și tipul de entitate, intervalele de adrese IP publice, prezența în alte state membre, precum și datele persoanei responsabile cu securitatea cibernetică, dacă a fost deja desemnată: nume, prenume, funcție, adresă de e-mail și număr de telefon mobil.
  3. Situații specifice. Printre altele, autoevaluarea în raport cu art. 9, adică intrarea în scop indiferent de dimensiune, și calitatea de entitate critică în sensul legislației privind reziliența entităților critice.
  4. Documente anexate.
  5. Evaluare preliminară.
  6. Reprezentare entitate.

Două câmpuri produc cele mai multe întârzieri. Intervalele de adrese IP publice presupun un inventar pe care multe organizații nu îl au la zi, mai ales cele care au migrat parțial în cloud. Iar subsectorul nu se alege intuitiv: anexele ordonanței au o structură proprie, care nu se suprapune peste codurile CAEN.

Semnătura și cine semnează

Formularul se salvează în format PDF și se semnează de reprezentantul legal al entității, cu semnătură electronică calificată. La depunerea pe hârtie, semnătura este olografă. Nu este un document pe care îl trimite administratorul de rețea în nume propriu.

Cele trei căi de transmitere

  • Platforma NIS2@RO, la platformanis2.ro, după autentificare;
  • prin e-mail, la adresa de evidență a DNSC indicată în Cerințe;
  • prin depunere la sediul DNSC, Str. Italiană nr. 22, București, sectorul 2.

Confirmarea contează. Conform art. 11 din Cerințe, notificarea se consideră primită la data la care DNSC confirmă primirea, dar nu mai târziu de 5 zile lucrătoare, în cazul transmiterii prin platformă sau prin e-mail. La depunerea fizică, data este cea a depunerii. Păstrează dovada. Ea este singurul lucru care contează dacă apare o discuție despre termen.

Ce se întâmplă după

  • Înrolarea în platformă. O entitate care a notificat pe e-mail sau pe hârtie pentru că platforma nu era disponibilă are obligația să își creeze cont în cel mult 20 de zile de la data la care platforma a devenit disponibilă. DNSC validează și confirmă datele în 10 zile lucrătoare.
  • Decizia de înscriere în registru. Din momentul comunicării ei curge termenul de 30 de zile pentru desemnarea responsabilului cu securitatea rețelelor și sistemelor informatice, conform art. 14 alin. (3) din ordonanță.
  • Actualizările. Modificările la informațiile de identificare se comunică DNSC în cel mult două săptămâni de la data la care au intervenit, conform art. 18 alin. (8) lit. a). Schimbarea sediului, a reprezentantului legal sau a intervalelor IP intră aici.

Ce nu este acest formular

Nu este formularul de notificare a incidentelor. Raportarea incidentelor este reglementată la art. 15 din ordonanță, cu termenele de 24 de ore, 72 de ore și o lună, iar art. 15 alin. (17) prevede că normele metodologice privind raportarea incidentelor se stabilesc prin ordin al directorului DNSC. La data acestui articol nu am identificat un asemenea ordin publicat în Monitorul Oficial.

Nu este nici un formular de desemnare a responsabilului. Nu există un astfel de formular separat: datele persoanei responsabile se declară în interiorul formularului de înregistrare, la secțiunea „Date specifice”, iar schimbările se comunică prin actualizare.

Greșelile care se repetă

  • Se completează formularul, se salvează, și nu se mai trimite. Fără confirmare de primire, nu există notificare.
  • Se semnează de o persoană fără calitatea de reprezentant legal și fără împuternicire.
  • Se declară doar CAEN-ul principal, deși activitatea reală care aduce entitatea în scop este pe un CAEN secundar.
  • Se lasă necompletate intervalele IP publice, pentru că „le știe furnizorul”.
  • Se notifică o singură dată și nu se mai actualizează nimic, deși sediul, reprezentantul sau infrastructura s-au schimbat între timp.
  • Se presupune că, dacă DNSC nu a răspuns, entitatea nu este în scop. Tăcerea nu este o decizie.

Unde te putem ajuta

Înainte de formular vine încadrarea, pentru că jumătate din câmpuri depind de ea. Platforma CysNis parcurge criteriile pas cu pas, iar raționamentul este explicat în articolul despre încadrarea unei organizații sub NIS2.

Dacă vrei ca notificarea, desemnarea responsabilului și documentele aferente să fie făcute o singură dată și corect, punctul de plecare este o analiză de conformare NIS2 cu plan de remediere. Modelele de decizii, fișe de post, politici și registre se găsesc în pachetele de documentație NIS2, iar rolul în sine poate fi acoperit prin responsabil NIS2 externalizat.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Adresele și procedurile se pot modifica; verifică pe dnsc.ro și pe platformanis2.ro înainte de transmitere.

Întrebări frecvente

Există un formular DNSC pentru NIS2?

Da, unul singur reglementat printr-un act normativ: formularul de notificare în vederea înregistrării în registrul entităților, anexă la Cerințele aprobate prin Ordinul directorului DNSC nr. 1/2025. Nu există un formular public de notificare a incidentelor aprobat prin ordin și nici un formular separat de desemnare a responsabilului.

Care este diferența dintre Instrumentul NIS2@RO și Platforma NIS2@RO?

Instrumentul este o aplicație descărcabilă, folosită local pentru evaluare și pentru generarea datelor de notificare, și se folosește doar când platforma nu este disponibilă. Platforma, la platformanis2.ro, este mecanismul principal: înrolare, informare și cooperare, pe bază de cont. După înrolare, interacțiunea se face exclusiv prin platformă.

Cine semnează formularul de înregistrare?

Reprezentantul legal al entității, cu semnătură electronică calificată pe documentul PDF, sau olograf la depunerea pe hârtie. Nu este un document pe care îl poate trimite administratorul de rețea în nume propriu.

Cum se transmite notificarea și când se consideră primită?

Prin Platforma NIS2@RO după autentificare, prin e-mail la adresa de evidență a DNSC, sau prin depunere la sediul DNSC din Str. Italiană nr. 22, București, sectorul 2. Notificarea se consideră primită la data confirmării de către DNSC, dar nu mai târziu de 5 zile lucrătoare pentru primele două căi.

Ce date se cer în formular?

Denumire, CUI, sediu, coduri CAEN, numărul mediu de salariați, cifra de afaceri netă, activele totale, sectorul, subsectorul și tipul de entitate, intervalele de adrese IP publice, prezența în alte state membre, datele persoanei responsabile cu securitatea cibernetică dacă este desemnată, plus situațiile specifice și documentele anexate.

Am notificat pe e-mail. Mai trebuie să îmi fac cont în platformă?

Da. Entitatea care a notificat prin e-mail sau pe hârtie pentru că platforma nu era disponibilă are obligația să își creeze cont în cel mult 20 de zile de la data la care platforma a devenit disponibilă, iar DNSC validează datele în 10 zile lucrătoare.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

OUG nr. 155/2024 și Legea nr. 124/2025: unde găsești textul oficial și ce s-a schimbat

,

„OUG 155 din 2024 pdf” și „legea 124 din 2025 pdf” sunt printre cele mai frecvente căutări pe tema NIS2 în România. Motivul e simplu: oamenii vor textul, nu comentariul. Problema e că PDF-ul oficial, adică numărul de Monitor Oficial scanat, nu este gratuit, iar ce circulă pe internet sub numele de „OUG 155 pdf” este de regulă forma inițială, fără modificările din 2025 și 2026.

Mai jos sunt actele exacte, unde se citesc gratuit în forma actualizată, ce s-a schimbat și cum se citează corect.

Actele, identificate exact

ActTitlu scurtMonitorul Oficial
OUG nr. 155 din 30 decembrie 2024cadrul pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civilnr. 1332 din 31 decembrie 2024
Legea nr. 124 din 7 iulie 2025aprobarea OUG nr. 155/2024, cu modificări și completărinr. 638 din 7 iulie 2025
Legea nr. 123 din 3 iulie 2026completarea art. 36 din OUG nr. 155/2024 și a Codului penalnr. 550 din 3 iulie 2026

Ordonanța a intrat în vigoare la 31 decembrie 2024, cu o excepție prevăzută de art. 64 alin. (4): art. 60 și 61, adică regimul contravențiilor și constatarea lor, au intrat în vigoare la 30 de zile de la publicare, deci la 30 ianuarie 2025. Modificările aduse prin Legea nr. 124/2025 produc efecte de la 10 iulie 2025.

Formula corectă de citare astăzi este „OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, cu completările ulterioare”. Un document care citează doar ordonanța, fără legea de aprobare, este un document scris înainte de iulie 2025 sau scris în grabă.

Unde citești textul, gratuit și actualizat

Sursa gratuită și oficială este Portalul Legislativ al Ministerului Justiției, care publică forma consolidată, adică textul cu modificările încorporate și marcate:

Pe fiecare pagină există butonul „Forma printabilă”, care dă tot textul într-o singură pagină, ușor de salvat ca PDF din browser. Este cea mai apropiată variantă de „PDF-ul” pe care îl caută toată lumea, și are avantajul că este forma în vigoare, nu cea inițială.

Numărul de Monitor Oficial în format autentic se obține contra cost, prin serviciile Regiei Autonome Monitorul Oficial. Pentru uz intern, forma consolidată de pe Portalul Legislativ este suficientă. Pentru un dosar care ajunge în instanță, cere forma autentică.

Harta ordonanței, ca să nu cauți la întâmplare

Ordonanța are 11 capitole și 68 de articole. Dacă știi ce cauți, ajungi direct:

CapitolConținutArticole
IDispoziții generale, definiții1 la 4
IIDomeniul de aplicare, entități esențiale și importante, praguri5 la 10
IIIMăsuri de gestionare a riscurilor și obligații de raportare11 la 17
IVÎnregistrare, registrul entităților18 la 20
VRoluri și responsabilități21 la 36
VICooperare37 la 45
VIISupraveghere, verificare și control46 la 56
VIIIAuditul de securitate cibernetică57 la 59
IXSancțiuni60 la 63
XDispoziții tranzitorii și finale64 la 68

Articolele la care se ajunge cel mai des: art. 5 și 6 pentru încadrarea ca entitate esențială sau importantă, art. 8 pentru praguri, art. 9 pentru intrarea în scop indiferent de mărime, art. 11 până la 14 pentru măsuri, audit și obligațiile conducerii, art. 15 pentru raportarea incidentelor, art. 18 pentru înregistrare, art. 58 pentru auditori, art. 60 pentru amenzi.

Ce a schimbat Legea nr. 124/2025

Legea are un singur articol, cu 23 de puncte de modificare. Nu toate contează la fel. Cele cu efect practic direct:

  • Art. 14 alin. (2) și (3). Membrii organelor de conducere urmează cursuri de formare profesională acreditate. Entitățile asigură formarea regulată a întregului personal. Conducerea stabilește mijloacele permanente de contact, alocă resursele și desemnează responsabilii cu securitatea rețelelor și sistemelor informatice în 30 de zile de la comunicarea deciziei DNSC de înscriere în registru.
  • Art. 15 alin. (6). Rescrierea părții introductive privind incidentul semnificativ.
  • Art. 18 alin. (3) lit. g) și alin. (10). Informațiile despre statele membre în care entitatea prestează servicii și transmiterea lor către ENISA.
  • Art. 50 alin. (2) și (4). Redefinirea încălcărilor grave.
  • Art. 60. Literele n), bb) și cc) modificate, literele pp) și qq) adăugate, regimul amenzilor de la alin. (2) rescris, și un alineat nou, (2^1): încălcările grave de la art. 50 alin. (2) se sancționează cu amendă de la 3.000 la 600.000 de lei.
  • Art. 60 alin. (3) și (4). Cifra de afaceri de referință pentru amenzile procentuale este cea din ultimul exercițiu financiar.
  • Art. 61 alin. (2). Împărțirea competențelor de constatare între DNSC și autoritățile competente sectorial. Pentru literele o) până la dd), constatarea revine DNSC, iar sancțiunea se aplică prin decizie a directorului.
  • Anexele. Sectorul 5, sănătate, și sectorul 8, infrastructură digitală, au fost rescrise în anexa nr. 1. În anexa nr. 2, sectorul 4 a devenit „Producția, prelucrarea și/sau distribuția de alimente”, ceea ce lărgește încadrarea: nu mai trebuie să faci toate trei.

Ultimul punct este cel mai subestimat. O firmă care doar distribuie alimente, fără să producă sau să prelucreze, a intrat în discuție prin acest „și/sau”.

Legea nr. 123/2026, modificarea despre care nu vorbește nimeni

În iulie 2026, ordonanța a fost completată din nou. Legea nr. 123/2026 introduce art. 36 alin. (1^1) în OUG nr. 155/2024 și, mai important, art. 365^1 în Codul penal, o cauză care înlătură caracterul penal al faptei. Practic, cercetarea de vulnerabilități făcută cu respectarea cumulativă a condițiilor de raportare din art. 36 alin. (5) și (6) nu mai constituie infracțiune în sensul art. 360 alin. (1) și (3), art. 361 și art. 364 din Codul penal.

Este primul cadru de protecție pentru cercetătorii de securitate din legislația română. Pentru entități înseamnă că o politică de divulgare responsabilă nu mai este doar bună practică, ci are un corespondent în lege.

Ce nu găsești în ordonanță

  • Cifrele pragurilor de mărime. Art. 8 nu conține numere. Trimite la art. 4 alin. (1) lit. c) din Legea nr. 346/2004, fără aplicarea art. 4^5. Detaliul acesta contează: încadrarea se face pe entitate, fără cumularea cifrelor din întreprinderi legate sau partenere.
  • Măsurile tehnice concrete. Art. 13 dă lista minimă. Catalogul efectiv de controale este în Ordinul directorului DNSC nr. 1/2026.
  • Periodicitatea auditului. Art. 11 alin. (5) o trimite la ordinul de la art. 12 alin. (1). Ordinul nr. 1/2026 nu stabilește un interval, deci la data acestui articol periodicitatea nu este reglementată.
  • Formularul de notificare. Este în anexa la Cerințele aprobate prin Ordinul directorului DNSC nr. 1/2025.

Ordinele DNSC, pe scurt

ActDespre ce esteMonitorul Oficial
Ordinul nr. 1/2025cum te înregistrezi: cerințele de notificare, formularul, Platforma NIS2@ROnr. 776 din 20 august 2025
Ordinul nr. 2/2025cum ți se calculează nivelul de risc și nivelul de asigurarenr. 776 din 20 august 2025
Ordinul nr. 3/2025cum supraveghează, verifică și controlează DNSCnr. 1149 din 11 decembrie 2025
Ordinul nr. 1/2026măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturitățiinr. 712 din 27 august 2026, anexele în 712 bis
Ordinul nr. 2/2026completarea Ordinului nr. 1/2026, trimitere la regulile pentru grupurinr. 792 din 18 septembrie 2026
Decizia nr. 3/2026normele de aplicabilitate pentru entitățile dintr-un grup de întreprinderinr. 798 din 21 septembrie 2026

Unde te putem ajuta

Dacă întrebarea reală din spatele căutării este „mă privește pe mine”, răspunsul nu se află în PDF, ci în încadrare. Platforma CysNis parcurge criteriile pas cu pas, iar metoda este explicată în articolul despre încadrarea unei organizații sub NIS2.

Dacă ești deja în scop, distanța dintre text și practică se măsoară printr-o analiză de conformare NIS2 cu plan de remediere. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Documentele de bază se găsesc în pachetele de documentație NIS2.

Surse

Materialul are caracter informativ și nu constituie consultanță juridică. Formele consolidate se modifică; verifică data ultimei actualizări pe pagina fiecărui act.

Întrebări frecvente

Unde găsesc PDF-ul cu OUG nr. 155/2024?

Un PDF oficial gratuit nu există. Textul consolidat, adică forma în vigoare cu toate modificările, se citește gratuit pe Portalul Legislativ al Ministerului Justiției, la documentul 293121, iar butonul „Forma printabilă” permite salvarea ca PDF din browser. Numărul autentic de Monitor Oficial se obține contra cost.

Ce a schimbat Legea nr. 124/2025 față de OUG nr. 155/2024?

Are un articol unic cu 23 de puncte. Cele mai importante privesc formarea acreditată a organelor de conducere și desemnarea responsabililor, definiția incidentului semnificativ, încălcările grave, regimul amenzilor din art. 60, competențele de constatare din art. 61 și rescrierea sectoarelor 5 și 8 din anexa nr. 1. În anexa nr. 2, sectorul alimentar a devenit „producția, prelucrarea și/sau distribuția”.

Cum se citează corect legislația NIS2 din România astăzi?

„OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, cu completările ulterioare”. Completările ulterioare includ Legea nr. 123/2026, care a adăugat art. 36 alin. (1^1) și art. 365^1 din Codul penal.

Unde sunt pragurile de mărime pentru entitățile esențiale și importante?

Nu în ordonanță. Art. 8 trimite la art. 4 alin. (1) lit. c) din Legea nr. 346/2004, fără aplicarea art. 4^5. Asta înseamnă că încadrarea se face pe entitate, fără cumularea cifrelor din întreprinderi legate sau partenere.

De la ce dată se aplică amenzile din OUG nr. 155/2024?

Ordonanța a intrat în vigoare la 31 decembrie 2024, dar art. 64 alin. (4) a amânat intrarea în vigoare a art. 60 și 61 cu 30 de zile. Regimul contravențional se aplică deci din 30 ianuarie 2025.

Ce ordine ale directorului DNSC trebuie citite împreună cu ordonanța?

Ordinul nr. 1/2025 pentru înregistrare, Ordinul nr. 2/2025 pentru nivelul de risc, Ordinul nr. 3/2025 pentru supraveghere și control, Ordinul nr. 1/2026 pentru măsurile de gestionare a riscurilor și autoevaluarea maturității, Ordinul nr. 2/2026 și Decizia nr. 3/2026 pentru entitățile dintr-un grup de întreprinderi.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

SUA redenumesc inteligența artificială „Super Intelligence”: ce se schimbă pentru organizațiile din România

Pe 29 septembrie 2026, președintele Donald Trump a semnat ordinul executiv „Inaugurating the Era of Super Intelligence”. De acum, agențiile federale americane trebuie să folosească „Super Intelligence” și abrevierea „SI” în locul termenilor „Artificial Intelligence” și „AI”. Pentru organizațiile din România, schimbarea este în primul rând una de vocabular în documentele care vin din SUA. Obligațiile legale, riscurile tehnice și felul în care se evaluează un sistem rămân aceleași.

Mai jos găsiți ce prevede textul oficial, de ce termenul nou creează confuzie, ce rămâne valabil în Uniunea Europeană și ce merită ajustat concret în contracte, în evaluările de risc și în guvernanța internă.

Ce prevede ordinul executiv

Textul publicat de Casa Albă are patru secțiuni scurte:

  • Scopul. Ordinul susține că tehnologia actuală face mult mai mult decât să imite sau să automatizeze aspecte distincte ale inteligenței umane, iar terminologia guvernului federal ar trebui să reflecte acest lucru.
  • Aplicarea. Departamentele și agențiile executive folosesc „Super Intelligence” și „SI”, în măsura permisă de lege, în corespondența oficială, în comunicarea publică, pe site-uri, în rapoarte și în documentele de politici.
  • Excepția. Nu se modifică reglementările, actele prezidențiale, contractele, granturile și celelalte documente emise anterior.
  • Definiția. Termenul nou are sensul definiției legale existente a inteligenței artificiale din legislația federală (15 U.S.C. § 9401(3)). În 60 de zile, consilierul prezidențial pentru știință și tehnologie trebuie să propună un text legislativ pentru o definiție federală proprie.

Pe scurt, eticheta se schimbă imediat, conținutul juridic nu. Aceleași sisteme, cu aceeași definiție, primesc alt nume în comunicarea guvernului federal american.

Contextul, pe scurt

Potrivit Politico, președintele a început să folosească termenul cu o săptămână mai devreme, la Adunarea Generală a ONU, când a respins apelurile la o reglementare mai strictă a industriei. În ziua semnării ordinului, directori din industria tehnologică au semnat la Casa Albă o „constituție” pe care publicația o descrie drept obligatorie moral, deci fără forța unei legi. Documentul cere companiilor să lucreze cu un auditor extern independent, care să confirme că modelele funcționează conform intenției, și să aplice controale interne care să împiedice modelele să compromită sisteme informatice.

În aceeași perioadă, Politico a relatat despre agenți AI care au accesat site-uri guvernamentale americane fără autorizare și despre incidente de securitate asociate. Pentru un specialist în securitate cibernetică, acesta este detaliul important al săptămânii, mai important decât numele tehnologiei.

De ce „superinteligență” este un termen problematic

În literatura de specialitate, superinteligența (artificial superintelligence, ASI) desemnează un nivel ipotetic: un sistem care depășește capacitățile cognitive umane în practic toate domeniile. Conceptul a fost popularizat de filosoful Nick Bostrom în cartea „Superintelligence” (2014) și este folosit în acest sens în cercetare și de companiile din domeniu. Un astfel de sistem nu există încă.

Ordinul folosește același cuvânt pentru altceva: pentru toate tehnologiile acoperite de definiția actuală a inteligenței artificiale, de la un filtru antispam la un model de limbaj. Rezultă două sensuri pentru același termen:

  • sensul tehnic: un prag de capabilitate care nu a fost atins;
  • sensul administrativ american: o denumire nouă pentru toate sistemele de IA existente.

Confuzia are consecințe practice. Un raport care vorbește despre „riscurile SI” se poate referi la riscurile unui chatbot sau la riscurile extreme discutate în cercetarea despre siguranța AI. Cine citește documente americane redactate după 29 septembrie 2026 trebuie să verifice de fiecare dată în ce sens este folosit termenul.

Ce rămâne neschimbat în Uniunea Europeană și în România

Ordinul executiv obligă doar administrația federală a SUA. Nu are efect asupra dreptului Uniunii Europene și nici asupra legislației române.

  • Regulamentul (UE) 2024/1689 (AI Act) folosește în continuare noțiunea de „sistem de IA”. La art. 3, acesta este definit, pe scurt, ca un sistem bazat pe o mașină, cu diferite niveluri de autonomie, care deduce din datele primite cum să genereze rezultate precum predicții, conținut, recomandări sau decizii. Obligațiile depind de nivelul de risc al utilizării, nu de denumirea comercială a produsului.
  • OUG nr. 155/2024 privind securitatea cibernetică, aprobată cu modificări și completări prin Legea nr. 124/2025, nu depinde de terminologie. Sistemele de IA folosite de o entitate esențială sau importantă intră în aceeași analiză de risc ca orice alt sistem informatic.
  • În limba română și în căutările pieței, „inteligență artificială” rămâne termenul curent.

Prin urmare, nu este nevoie să rescrieți politicile, procedurile sau documentația de conformitate. Nici administrația americană nu o face: ordinul exceptează explicit documentele deja emise.

Ce merită ajustat concret

1. Contractele și documentele de la parteneri americani

Furnizorii și partenerii din SUA care lucrează cu guvernul federal vor prelua probabil termenul nou. În contracte, anexe tehnice și rapoarte de conformitate, verificați ca „SI” să aibă o definiție explicită. Formula cea mai sigură este trimiterea la definiția legală americană (15 U.S.C. § 9401(3)) sau la definiția din AI Act, în funcție de legea aplicabilă contractului. O clauză care vorbește despre „SI” fără definiție poate fi înțeleasă diferit de fiecare parte.

2. Eticheta comercială nu schimbă evaluarea de risc

Este de așteptat ca unele produse să fie reambalate ca „SI” sau „superinteligente”. Denumirea nu spune nimic despre ce face sistemul, ce date prelucrează sau ce permisiuni are. Evaluarea rămâne aceeași: ce decizii ia sistemul, pe ce date, cu ce supraveghere umană și cu ce acces la sistemele organizației.

3. Agenții AI sunt identități care trebuie guvernate

Incidentele cu agenți care accesează sisteme fără autorizare arată unde se află riscul real. Un agent AI cu acces la e-mail, la documente sau la API-uri interne trebuie tratat ca un cont privilegiat: inventariat, cu drepturi minime, cu jurnalizare completă și cu posibilitatea de a fi oprit imediat. Aceste măsuri se încadrează direct în cerințele de gestionare a riscurilor și de control al accesului din NIS2. Despre felul în care AI schimbă atacurile, am scris pe larg în articolul Inteligența artificială și atacurile cibernetice.

4. Un glosar intern scurt

Dacă organizația lucrează cu documente în română și în engleză, un glosar de câteva rânduri evită confuziile: „inteligență artificială (IA)” pentru sistemele actuale, „SI” doar ca echivalent al terminologiei federale americane, „superinteligență” doar în sensul de prag de capabilitate.

Auditul extern devine numitorul comun

Un element a trecut aproape neobservat. Chiar și un document voluntar, semnat de industrie, ajunge la aceeași soluție pe care o cer AI Act și NIS2: evaluare independentă și controale interne verificabile. Indiferent de denumire, întrebarea unui auditor rămâne aceeași: face sistemul ceea ce spuneți că face și puteți demonstra acest lucru?

La ProDefence folosim în continuare termenul „inteligență artificială”, în acord cu legislația europeană și română, și tratăm sistemele de IA ca parte a perimetrului de securitate al organizației. Dacă doriți o evaluare a modului în care sunt folosite instrumentele AI în organizația dumneavoastră, inclusiv a agenților cu acces la sisteme interne, echipa noastră de servicii de securitate cibernetică, care include auditori NIS atestați de DNSC, vă poate ajuta.

Pentru organizațiile care trebuie să urmărească modul în care reglementarea IA diferă de la o jurisdicție la alta, CysAI monitorizează actele privind inteligența artificială din peste 15 jurisdicții, de la cadrul american la Regulamentul european privind IA.

Întrebări frecvente

Ordinul executiv american se aplică și în România?

Nu. Ordinul obligă doar departamentele și agențiile executive federale din SUA. În Uniunea Europeană se aplică Regulamentul (UE) 2024/1689 (AI Act), care folosește în continuare noțiunea de „sistem de IA”.

Trebuie să înlocuim „inteligență artificială” cu „superinteligență” în documentele organizației?

Nu. Legislația europeană și cea română păstrează termenul „inteligență artificială”, iar ordinul însuși nu cere modificarea documentelor emise anterior, nici măcar în administrația americană.

Superinteligența există deja?

Nu. În cercetare, superinteligența desemnează un sistem care ar depăși capacitățile cognitive umane în practic toate domeniile, un nivel care nu a fost atins. Ordinul folosește termenul ca denumire administrativă pentru toate sistemele de IA existente.

Se schimbă definiția juridică a inteligenței artificiale în SUA?

Nu imediat. Ordinul preia definiția existentă din 15 U.S.C. § 9401(3). În 60 de zile, consilierul prezidențial pentru știință și tehnologie trebuie să propună un text legislativ pentru o definiție federală proprie a termenului nou.

Ce trebuie verificat în contractele cu furnizori americani?

Ca termenii „SI” sau „Super Intelligence” să aibă o definiție explicită în contract, legată de definiția legală americană sau de cea din AI Act, în funcție de legea aplicabilă. Fără definiție, părțile pot înțelege lucruri diferite.

Surse

Citiți și, pe prodefence.ro: IA și manipularea percepției umane și „Transformarea”: IA, autonomia umană și Pământul asistat cognitiv.

Prima amendă DNSC pe OUG nr. 155/2024: 50.000 de lei pentru neînregistrare, nu pentru incidente

,

Pe 29 septembrie 2026, Directoratul Național de Securitate Cibernetică a aplicat prima sancțiune contravențională din istoria OUG nr. 155/2024. Amenda este de 50.000 de lei și a fost dată unei persoane juridice descrise drept organ de specialitate al administrației publice centrale, încadrată în sectorul 10, Administrație publică, din anexa nr. 1 la ordonanță. Temeiul invocat de DNSC este art. 60 alin. (1) lit. o).

Comunicatul, publicat pe 30 septembrie și preluat de Agerpres, spune că entitatea „nu a respectat obligația de notificare în termenul prevăzut de lege”. O parte din presă a tradus asta prin „notificarea incidentelor”. Textul legii spune altceva, iar diferența contează pentru fiecare entitate aflată în scopul ordonanței.

Ce spune exact litera o)

„nerespectarea de către entitățile din sectoarele prevăzute în anexele nr. 1 și 2 a obligației de notificare conform art. 18 alin. (2) în termenul indicat”

Trimiterea este la art. 18 alin. (2), care se află în capitolul IV, intitulat „Înregistrare”. Acesta este articolul care obligă entitățile din sectoarele anexelor 1 și 2 să notifice DNSC în vederea înregistrării în registrul entităților, în cel mult 30 de zile de la intrarea în vigoare a ordonanței sau de la data la care prevederile le devin aplicabile.

Raportarea incidentelor este reglementată în alt capitol și în alt articol: art. 15, cu termenele de 24 de ore pentru avertizarea timpurie, 72 de ore pentru notificarea incidentului și o lună pentru raportul final. Nerespectarea acestor obligații se sancționează pe alte litere ale art. 60 alin. (1), nu pe litera o).

Prima amendă din România pe NIS2 nu este, așadar, o amendă pentru un incident nedeclarat. Este o amendă pentru că o entitate nu s-a înregistrat la timp la autoritate.

Cele două notificări care se confundă

CriteriuNotificarea de înregistrareNotificarea de incident
Temeiart. 18 alin. (2)art. 15
Cândo singură dată, la intrarea în scop, plus actualizărila fiecare incident cu impact semnificativ
Termen30 de zile24 de ore, 72 de ore, raport final la o lună
UndePlatforma NIS2@RO, sau e-mail ori depunere la sediul DNSCDNSC, prin canalele de raportare a incidentelor
Contravențiaart. 60 alin. (1) lit. o)alte litere ale art. 60 alin. (1)

De ce 50.000 de lei

Cuantumul nu este arbitrar și nici maximal. Art. 60 alin. (2) stabilește plaje diferite în funcție de litera încălcată și de calitatea entității. Pentru litera o), plajele sunt:

  • entități importante: de la 1.000 la 300.000 de lei;
  • entități esențiale: de la 1.500 la 500.000 de lei.

Entitatea sancționată este o instituție a administrației publice centrale. Conform art. 5 alin. (1) lit. a), entitățile administrației publice centrale prevăzute în anexa nr. 1 sunt entități esențiale indiferent de dimensiune. Se aplică deci plaja de la 1.500 la 500.000 de lei, iar 50.000 de lei reprezintă aproximativ o zecime din maxim.

Merită reținut contrastul cu celelalte plaje din același articol. Pentru încălcările considerate grave, art. 60 alin. (2) lit. a) și b) urcă până la 7.000.000 de euro sau 1,4 la sută din cifra de afaceri anuală mondială pentru entitățile importante, respectiv 10.000.000 de euro sau 2 la sută pentru cele esențiale, luându-se valoarea cea mai mare. Neînregistrarea se află pe palierul de jos. Nu acolo se află riscul financiar real.

Cine constată și cum

Art. 61 alin. (2), în forma modificată prin Legea nr. 124/2025, împarte competențele. Pentru contravențiile de la lit. o) până la dd), constatarea se face de DNSC, iar sancțiunea se aplică prin decizie a directorului DNSC. Pentru alte litere, constatarea poate reveni și personalului de control al autorităților competente sectorial.

Asta explică formularea din comunicat, „decizie de constatare a contravenției și de aplicare a sancțiunii”. Nu este proces-verbal al unui inspector sectorial, ci act al directorului autorității.

Ce înseamnă pentru restul entităților

Ordonanța a intrat în vigoare la 31 decembrie 2024. Pentru entitățile aflate în scop la acea dată, termenul de 30 de zile s-a împlinit la 30 ianuarie 2025. Pentru o entitate care intră în scop ulterior, pentru că depășește un prag de mărime, își schimbă activitatea sau este identificată în condițiile art. 9, termenul curge de la data la care prevederile îi devin aplicabile.

Două consecințe practice, care se ignoră des:

  • Obligația nu se stinge prin trecerea termenului. O entitate care nu a notificat în ianuarie 2025 nu a scăpat de obligație. O are în continuare, iar întârzierea rămâne sancționabilă.
  • Nu DNSC te caută primul. Încadrarea se autoevaluează. Legea nu prevede o listă pe care autoritatea o trimite firmelor și, până la primirea deciziei de înscriere în registru, entitatea este cea care trebuie să își cunoască statutul.

Prima amendă a fost dată unei instituții publice. Asta nu este o indicație că sectorul privat este mai puțin expus. Este, cel mai probabil, o indicație despre unde are autoritatea vizibilitate imediată.

Ce ai de verificat în următoarele zile

  1. Dacă organizația ta desfășoară activitate într-unul dintre sectoarele anexelor nr. 1 sau nr. 2 la OUG nr. 155/2024.
  2. Dacă notificarea de înregistrare a fost transmisă și dacă ai confirmarea de primire de la DNSC. Nu presupune: cere documentul.
  3. Dacă datele transmise mai sunt actuale. Modificările la informațiile de identificare se comunică în cel mult două săptămâni de la data la care au intervenit.
  4. Dacă entitatea s-a înrolat în Platforma NIS2@RO, în cazul în care notificarea inițială a fost făcută pe e-mail sau pe hârtie.
  5. Dacă responsabilul cu securitatea rețelelor și sistemelor informatice a fost desemnat, în termen de 30 de zile de la comunicarea deciziei DNSC de înscriere în registru.
  6. Dacă procedura internă de raportare a incidentelor există și dacă cineva o poate declanșa în 24 de ore, inclusiv noaptea și în weekend.

Unde te putem ajuta

Dacă nu știi sigur dacă intri în scopul ordonanței, platforma CysNis parcurge criteriile de încadrare pas cu pas și separă obligațiile legale de recomandările tehnice. Detaliile de metodă sunt explicate în articolul despre încadrarea unei organizații sub NIS2.

Dacă ești în scop și vrei să știi cât de departe ești de cerințe, punctul de plecare este o analiză de conformare NIS2 cu plan de remediere, făcută pe dovezi, nu pe declarații. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC. Pentru organizațiile care nu au pe cine desemna intern, rolul poate fi acoperit prin responsabil NIS2 externalizat, iar documentele de bază, deciziile de numire, politicile, registrele și procedurile, se găsesc în pachetele de documentație NIS2.

Surse

  • OUG nr. 155/2024, publicată în Monitorul Oficial nr. 1332 din 31 decembrie 2024, formă consolidată pe Portalul Legislativ. Art. 5, 15, 18, 60 și 61.
  • Legea nr. 124/2025 pentru aprobarea OUG nr. 155/2024, publicată în Monitorul Oficial nr. 638 din 7 iulie 2025, text pe Portalul Legislativ.
  • DNSC, comunicat de presă din 30 septembrie 2026 privind prima sancțiune contravențională pentru nerespectarea obligației de notificare, dnsc.ro.
  • Agerpres, preluat de G4Media, 30 septembrie 2026.
  • Ordinul directorului DNSC nr. 1/2025 privind cerințele pentru notificarea în vederea înregistrării, Monitorul Oficial nr. 776 din 20 august 2025, cerințele.

Materialul are caracter informativ și nu constituie consultanță juridică. Cuantumul amenzii și calitatea entității sancționate provin din comunicatul DNSC, așa cum a fost preluat de Agerpres. DNSC nu a făcut public numele entității.

Întrebări frecvente

Pentru ce a fost dată prima amendă DNSC pe OUG nr. 155/2024?

Pentru nerespectarea obligației de notificare în vederea înregistrării în registrul entităților, prevăzută de art. 18 alin. (2). Temeiul sancțiunii este art. 60 alin. (1) lit. o), care trimite expres la acest articol. Amenda este de 50.000 de lei și a fost aplicată la 29 septembrie 2026 unui organ de specialitate al administrației publice centrale.

Amenda este pentru neraportarea unui incident?

Nu. Raportarea incidentelor este reglementată la art. 15, cu termene de 24 de ore, 72 de ore și o lună, iar nerespectarea ei se sancționează pe alte litere ale art. 60 alin. (1). Litera o), invocată de DNSC, privește exclusiv notificarea de înregistrare.

Cât poate fi amenda pentru neînregistrarea la DNSC?

Conform art. 60 alin. (2), de la 1.000 la 300.000 de lei pentru entitățile importante și de la 1.500 la 500.000 de lei pentru entitățile esențiale. Amenda de 50.000 de lei se află în a doua plajă, pentru că entitățile administrației publice centrale din anexa nr. 1 sunt entități esențiale indiferent de dimensiune, conform art. 5 alin. (1) lit. a).

Am depășit termenul de 30 de zile pentru înregistrare. Ce fac acum?

Obligația nu se stinge prin trecerea termenului. Notificarea se transmite în continuare, prin Platforma NIS2@RO sau, dacă platforma nu este disponibilă, prin celelalte căi prevăzute de Ordinul directorului DNSC nr. 1/2025. Întârzierea rămâne sancționabilă, dar o notificare transmisă din proprie inițiativă este o poziție mai bună decât una constatată în control.

Cine constată contravenția și cum se contestă?

Pentru contravențiile de la lit. o) până la dd), constatarea se face de DNSC, iar sancțiunea se aplică prin decizie a directorului DNSC, conform art. 61 alin. (2). Contestarea urmează regimul general al contravențiilor; calea de atac, termenul și instanța competentă sunt indicate în chiar actul prin care s-a aplicat sancțiunea.

Cum știu dacă organizația mea trebuie să se înregistreze?

Încadrarea se autoevaluează, pe baza sectorului de activitate din anexele nr. 1 și 2 și a pragurilor de mărime de la art. 8, care trimit la Legea nr. 346/2004. Unele entități intră în scop indiferent de dimensiune, în condițiile art. 9. Autoritatea nu trimite o listă a firmelor vizate.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Proiect DNSC: standard de pregătire NIS2 pentru organele de conducere și lista celor 61 de certificări

,

Directoratul Național de Securitate Cibernetică pregătește un act care schimbă modul în care se citește obligația de instruire a conducerii din OUG nr. 155/2024: un proiect de decizie pentru aprobarea standardului de pregătire în domeniul securității cibernetice destinat organelor de conducere ale entităților esențiale și importante, împreună cu lista certificărilor recunoscute.

Precizarea care trebuie făcută din primul paragraf: documentul analizat aici este un proiect, purtând marcajul DRAFT pe fiecare pagină. Nu este act normativ în vigoare, nu produce încă efecte juridice și poate fi modificat până la publicarea în Monitorul Oficial. Îl analizăm pentru că arată, cu un nivel de detaliu neobișnuit, ce va cere autoritatea de la administratori și directori, iar organizațiile care înțeleg devreme logica standardului ajung pregătite fără cheltuieli de urgență.

Pe scurt

  • Proiectul definește un rol unic de pregătire: Manager Executiv în Guvernanța Securității Cibernetice, la nivel de management strategic.
  • Standardul are 6 unități de competență, toate de guvernanță și supraveghere, nu de execuție tehnică.
  • Evaluarea este propusă 50% simulare de criză și 50% portofoliu de guvernanță, plus test grilă.
  • Curriculumul este deschis: NIST CSF 2.0, ENISA ECSF, NIST SP 800-34 Rev. 1, ENISA Threat Landscape și legislația națională.
  • Anexa 2 listează 61 de certificări de securitate cibernetică recunoscute.
  • Statut: proiect, nu act în vigoare.

De unde vine obligația și de ce apare acum un standard

Ordonanța de urgență nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, stabilește la art. 14 că organele de conducere ale entităților esențiale și importante aprobă măsurile de gestionare a riscurilor de securitate cibernetică, supraveghează punerea lor în aplicare și răspund pentru încălcarea obligațiilor. Tot acolo apare cerința ca membrii organelor de conducere să urmeze periodic o formare care să le permită identificarea riscurilor și evaluarea practicilor de gestionare a acestora.

Până acum, textul legal nu a fost însoțit de un conținut minim al acestei formări. În practică, „instruirea conducerii” a însemnat orice, de la o prezentare de patruzeci de minute la un program serios de guvernanță. Proiectul de decizie umple exact acest gol: spune ce competențe trebuie dovedite, la ce nivel și prin ce mijloace se verifică.

Temeiul juridic invocat în proiect este art. 5 lit. b) și art. 7 alin. (3) și (4) din OUG nr. 104/2021 privind înființarea DNSC, aprobată prin Legea nr. 11/2022, coroborate cu art. 14 alin. (2) și (4) din OUG nr. 155/2024. Actul, în forma de proiect, urmează să fie publicat în Monitorul Oficial, Partea I.

Rolul pentru care se face pregătirea

Anexa nr. 1 a proiectului definește un singur rol, denumit Manager Executiv în Guvernanța Securității Cibernetice, încadrat la nivel de management strategic și executiv. Formularea contează, pentru că delimitează clar ce se cere și ce nu se cere administratorului sau directorului general.

Rolul nu presupune competențe tehnice de execuție. Presupune capacitatea de a guverna: de a stabili apetitul la risc al organizației, de a aproba politicile, de a aloca resurse, de a supraveghea și de a controla. Elementul cel mai concret din întreaga anexă este obligația executivului de a desemna formal responsabilul cu securitatea rețelelor și sistemelor informatice, prevăzut la art. 14 alin. (3) și (4) din OUG nr. 155/2024, rol pe care documentul îl numește CISO.

Distincția pe care proiectul o repetă în mai multe locuri este între responsabilitate, adică execuția, care aparține responsabilului desemnat, și răspundere, adică accountability, care rămâne la conducerea executivă. Cu alte cuvinte, funcția se poate delega, răspunderea nu.

Cele șase unități de competență

UnitateCe cere, concret
UC1. Asumarea cadrului de răspundere legalăIdentificarea statutului juridic al entității, esențială sau importantă; interpretarea obligațiilor de diligență, cu separarea clară între ce este delegabil și ce nu, potrivit art. 14; integrarea perspectivei „all-hazards”. Documentul vorbește despre trecerea de la ignoranța asumată la diligența informată și trimite la regimul sancțiunilor.
UC2. Stabilirea contextului și strategiei de guvernanță a risculuiFormularea unei declarații de apetit la risc, analiza cost-beneficiu a măsurilor, inclusiv prin ROSI, decizii documentate de acceptare a riscului și aprobarea politicilor. Aliniat la funcția GOVERN din NIST CSF 2.0.
UC3. Organizarea, delegarea și alocarea resurselorFișa de post și indicatorii responsabilului desemnat, linii de raportare care asigură independența acestuia față de structura IT, decizia formală de numire, bugetarea pe bază de ROI și ROSI, clauze de securitate în lanțul de aprovizionare și audit periodic al furnizorilor critici.
UC4. Supravegherea conformității și „threat literacy”Înțelegerea executivă a amenințărilor relevante: ransomware cu dublă extorcare, fraudă de tip CEO și compromiterea e-mailului de business, deepfake. Proceduri de verificare „out-of-band”, indicatori de risc care nu sunt doar statistici tehnice, rezultatele testelor de phishing, pistă de audit.
UC5. Reziliență și continuitatea activitățiiSepararea continuității afacerii, responsabilitate executivă, de recuperarea în caz de dezastru, responsabilitate tehnică. Aprobarea planului cu alternative manuale, celula de criză, implicațiile plății unei răscumpărări, comunicarea de criză și raportarea incidentelor: alertă timpurie în 24 de ore și raport în 72 de ore, potrivit art. 15 din OUG nr. 155/2024. Reper metodologic: NIST SP 800-34 Rev. 1.
UC6. Auditabilitate și conformitate documentatăFormalizarea acceptării riscului, inclusiv a deciziilor de a nu implementa o măsură din rațiuni de cost sau operaționale, semnarea periodică a registrului de riscuri, minute ale ședințelor de conducere pe teme de securitate, arhivarea rapoartelor de audit, dovada participării la instruiri, supravegherea înregistrării în registrul entităților și veridicitatea informațiilor transmise autorității.

Citite împreună, cele șase unități descriu un set de dovezi, nu un set de cunoștințe. Aproape fiecare element de competență se traduce într-un document semnat, o decizie datată sau o minută. Aceasta este cea mai utilă informație pentru o organizație care se pregătește: pregătirea conducerii va fi verificabilă prin hârtii, nu prin diplome.

Cum se propune evaluarea

Secțiunea de evaluare a proiectului este partea care diferențiază acest standard de un curs clasic. Sunt propuse două metode, cu pondere egală.

  • Simulare de criză, tip wargaming, 50%. Candidatul primește un scenariu de tip ransomware declanșat, de exemplu, înaintea închiderii financiare și trebuie să ia decizii sub presiune: oprim producția, anunțăm public, activăm procedura manuală. Se evaluează raționamentul executiv, nu soluția tehnică.
  • Portofoliu de guvernanță și pistă de audit, 50%. Se prezintă documente reale sau construite: declarația de apetit la risc, matricea de delegare de tip RACI care separă rolul conducerii de cel al responsabilului desemnat și minuta unei ședințe de revizuire a riscului.
  • La acestea se adaugă un test grilă pentru verificarea cunoștințelor de bază.

Consecința practică este simplă. Un administrator care a participat la o instruire, dar nu are un registru de riscuri semnat, o decizie de numire a responsabilului și minute de ședință, nu are cu ce să se prezinte la partea de portofoliu. Documentația se construiește în timp, nu în săptămâna evaluării.

Curriculum deschis, fără dependență de standarde comerciale

Proiectul optează explicit pentru o abordare curriculară deschisă, bazată exclusiv pe standarde publice și pe legislația națională, pentru ca pregătirea executivă să fie accesibilă la nivel național. Resursele indicate sunt:

  • NIST Cybersecurity Framework 2.0, cu accent pe funcția GOVERN și categoriile GV.OC, GV.RM, GV.RR, GV.PO, GV.SC și GV.OV;
  • ENISA European Cybersecurity Skills Framework, profilul CISO;
  • NIST SP 800-34 Rev. 1, pentru planificarea continuității;
  • ENISA Threat Landscape, pentru partea de cunoaștere a amenințărilor;
  • legislația națională aplicabilă.

Documentul precizează că alegerea nu exclude standardele comerciale, ISO sau europene, și că aceleași competențe pot fi dobândite și prin programe de formare individuale certificate. Este o formulare importantă pentru organizațiile care au deja un sistem de management al securității informației și nu vor să o ia de la zero.

Anexa 2: lista celor 61 de certificări recunoscute

A doua anexă a proiectului conține lista certificărilor de securitate cibernetică recunoscute, grupate pe organizația emitentă. Reproducem lista pentru orientare, cu mențiunea că ea aparține unui proiect și poate fi modificată.

EmitentCertificări
(ISC)²CISSP, CISSP-ISSAP, CISSP-ISSEP, CISSP-ISSMP, SSCP, CAP, CC, S-ITSF, S-ITSP, S-ITSE, S-CITSO
CompTIACASP+, Security+
ISACACISA, CISM, CRISC, CSX-F, CSX-T, CSX-P
GIACGSE, GCED, GSLC, GSNA, GISP, GSOC, GCIH, GDSA, GISF, GSEC
EC-CouncilCEH, CEH Practical (Master), E|ISM, CCISO
EITCIEITCA/IS
Mile2C)SP, C)ISSO, IS20, C)SLO, C)HISSP, C)ISMS-LA, C)ISMS-LI, C)ISSA, C)ISSM, C)ISRM, ISCAP
ASIS InternationalCPP, APP
CertNexusCIoTSP, IRBIZ, CFR
GAQMCISP, CISSM
HISPIHISP
EC FirstCCSA, CSCS, CMMP
IBITGQCCRMP, CIRM F, C CR P, CITGP, C CS F

Lista este relevantă mai ales pentru persoana desemnată ca responsabil cu securitatea rețelelor și sistemelor informatice, nu pentru fiecare membru al consiliului de administrație. Un director general nu are nevoie de CISSP ca să guverneze riscul, are nevoie de deciziile și documentele descrise la unitățile de competență.

Ce nu spune proiectul

Trei limite merită reținute, ca să nu se construiască așteptări greșite.

  • Este un proiect. Numerotarea, termenele și detaliile de aplicare se pot schimba până la publicarea în Monitorul Oficial.
  • Nu transformă nicio certificare din Anexa 2 într-o condiție de conformitate pentru entitate. Conformarea se măsoară după măsurile din OUG nr. 155/2024 și ordinele DNSC emise în aplicarea ei, nu după diplome.
  • Nu înlocuiește evaluarea de risc proprie a organizației. Standardul descrie ce trebuie să știe conducerea, nu ce măsuri tehnice sunt suficiente într-un anumit context.

Ce se poate face acum, indiferent de forma finală

Toate elementele cerute în portofoliul de guvernanță sunt documente care oricum trebuie să existe la o entitate aflată în sfera OUG nr. 155/2024. Ordinea rezonabilă de lucru este următoarea.

  1. Confirmați încadrarea. Esențială sau importantă, pe ce criteriu, cu ce sector. De aici decurge tot restul.
  2. Emiteți decizia de desemnare a responsabilului cu securitatea rețelelor și sistemelor informatice, cu atribuții, linie de raportare și indicatori.
  3. Aprobați declarația de apetit la risc și politica de securitate, cu dată și semnătură.
  4. Construiți matricea RACI care separă răspunderea conducerii de responsabilitatea de execuție.
  5. Puneți pe hârtie procedura de raportare a incidentelor, cu termenele de 24 și 72 de ore.
  6. Programați o ședință de revizuire a riscului și păstrați minuta. Este cel mai ieftin element de portofoliu și cel mai des lipsă.

Pentru primul pas, platforma CysNis parcurge criteriile de încadrare pas cu pas și separă obligațiile legale de recomandările tehnice, astfel încât discuția din consiliu să pornească de la un statut clar, nu de la o presupunere.

Pentru pașii doi până la șase, documentele nu trebuie inventate de la zero. Pachetele de documentație NIS2 conțin modelele editabile de decizii, politici, registre și proceduri care alcătuiesc exact portofoliul descris în proiectul de standard. Dacă organizația vrea să stabilească întâi distanța reală față de cerințe, punctul de plecare este o analiză de conformare NIS2 cu plan de remediere, făcută pe dovezi, nu pe declarații. Membrii echipei ProDefence sunt auditori NIS atestați de DNSC.

Acolo unde intern nu există persoana care să ducă procesul mai departe și să stea în fața autorității, rolul se poate acoperi prin responsabil NIS2 externalizat, cu răspundere pe termene, documentație și relația cu DNSC. Obligația de a desemna acest responsabil revine deopotrivă entităților esențiale și celor importante, aspect analizat pe larg în articolul despre responsabilul NIS2 la entitățile importante. Care dintre cele trei abordări se potrivește organizației, regie proprie, consultant sau rol externalizat, este discutat pe larg în articolul despre implementarea cerințelor NIS2 în România, trei variante.

Standardul privește organele de conducere. Pentru instruirea restului personalului, cursurile structurate pe niveluri de pe CysEdu și jocurile interactive gratuite de pe CysGame oferă materiale gata făcute.

Întrebări frecvente

Proiectul de decizie este obligatoriu acum?

Nu. Documentul poartă marcajul DRAFT și nu este act normativ în vigoare. Obligația de instruire a organelor de conducere există însă deja, prin art. 14 din OUG nr. 155/2024, aprobată prin Legea nr. 124/2025.

Trebuie ca directorul general să obțină o certificare din lista celor 61?

Proiectul nu prevede așa ceva. Lista din Anexa 2 privește competențele profesionale în securitate cibernetică, relevante mai ales pentru responsabilul desemnat. Pentru conducere, standardul descrie competențe de guvernanță, dovedite prin decizii și documente.

Ce înseamnă că pregătirea se evaluează prin simulare?

Jumătate din evaluarea propusă constă într-un exercițiu de criză în care se iau decizii sub presiune, de exemplu într-un scenariu de ransomware. Se urmărește raționamentul executiv, nu soluția tehnică.

Care este diferența dintre răspundere și responsabilitate în acest context?

Responsabilitatea de execuție aparține responsabilului cu securitatea rețelelor și sistemelor informatice, desemnat de conducere. Răspunderea, în sensul de accountability, rămâne la organul de conducere și nu poate fi delegată.

Ce documente sunt cerute în portofoliul de guvernanță?

Declarația de apetit la risc, matricea de delegare de tip RACI între conducere și responsabilul desemnat și minuta unei ședințe de revizuire a riscului. La acestea se adaugă, în restul standardului, registrul de riscuri semnat, decizia de numire și dovezile de instruire.

Ce termene de raportare a incidentelor sunt menționate?

Alerta timpurie în 24 de ore și raportul de incident în 72 de ore, potrivit art. 15 din OUG nr. 155/2024.

Documentul analizat este un proiect de decizie a Directoratului Național de Securitate Cibernetică pentru aprobarea standardului de pregătire în domeniul securității cibernetice pentru organele de conducere ale entităților esențiale și importante și a listei certificărilor de securitate cibernetică. Are marcajul DRAFT pe fiecare pagină și nu este act normativ în vigoare. Analiza de mai sus are caracter informativ și nu constituie consultanță juridică.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Administrația publică: 2,07 din 5 la evaluările independente. Concluzia directă a DNSC

,

Administrația publică din România a obținut 2,07 din 5 la controlul CyFun® ID.IM-03.7, care cere implementarea unor echipe independente pentru evaluarea proceselor, a bunelor practici și a soluțiilor tehnologice folosite la protejarea sistemelor și activelor critice. Concluzia DNSC este neobișnuit de directă: în general, entitățile din administrația publică nu efectuează evaluări independente ale proceselor și infrastructurilor informatice proprii, expunându-se în mod inutil unor riscuri cibernetice.

Formularea nu lasă loc de interpretare. Nu este vorba despre un nivel care poate fi îmbunătățit, ci despre un tip de verificare care, în mare parte, nu se face.

Ce s-a măsurat

Datele provin din proiectul PNRR 184 „Crearea de noi competențe de securitate cibernetică pentru societate și economie”. Un număr de 1.599 de beneficiari din sectorul public și privat au efectuat autoevaluarea nivelului propriu de maturitate pe platforma SecureRO, pe baza cadrului CyberFundamentals (CyFun®) al Centrului pentru Securitate Cibernetică din Belgia.

Merită reținută ironia metodologică: scorul cel mai slab la evaluarea independentă provine dintr-o autoevaluare. Organizațiile care nu sunt verificate din exterior au recunoscut singure că nu sunt verificate din exterior.

Ce înseamnă „independent”

Obiectivul controlului este consolidarea protecției sistemelor și activelor critice prin evaluări obiective ale proceselor, practicilor și tehnologiilor. DNSC adaugă o precizare pentru mediile de tehnologie operațională: evaluările independente contribuie la identificarea vulnerabilităților, la reducerea prejudecăților și la îmbunătățirea continuă a rezilienței.

„Reducerea prejudecăților” este miezul controlului. Echipa care a proiectat un sistem nu îl poate evalua obiectiv, oricât de competentă ar fi, nu din rea-credință, ci pentru că verifică exact ipotezele pe care le-a folosit când l-a construit. Independența poate fi obținută în trei feluri: o structură internă separată de cea care operează, o echipă din altă instituție, sau un evaluator extern. În administrația locală, primele două variante sunt rareori realiste.

De asemenea, o evaluare independentă nu este o scanare automată de vulnerabilități. Aceea acoperă tehnologia. Controlul cere evaluarea proceselor și a practicilor: cum se acordă și se retrag drepturile de acces, cum se gestionează schimbările, cum se verifică furnizorii, cum se testează planurile de continuitate.

De ce contează mai mult în sectorul public

O instituție publică are câteva trăsături care măresc efectul lipsei de verificare externă. Sistemele sunt vechi și interconectate, pentru că au fost adăugate în straturi succesive, prin proiecte cu finanțări diferite. Cunoașterea lor stă adesea într-o singură persoană. Furnizorii care le-au construit păstrează acces de la distanță, uneori din contracte încheiate cu ani în urmă. Iar datele administrate sunt ale cetățenilor, care nu au alternativă la serviciu.

În aceste condiții, absența unei evaluări obiective înseamnă că nimeni nu a verificat vreodată dacă lucrurile despre care se presupune că funcționează chiar funcționează. Restaurarea copiilor de siguranță, retragerea accesului foștilor angajați, izolarea rețelei tehnologice, toate sunt presupuneri până la prima probă.

Ce spune legea

Autoritățile și instituțiile publice intră în sfera OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, în condițiile stabilite de ordonanță. Obligațiile de bază sunt aceleași: notificarea în vederea înregistrării în cel mult 30 de zile potrivit art. 18 alin. (2), evaluarea nivelului de risc cu instrumentul ENIRE@RO, autoevaluarea maturității măsurilor și transmiterea ei anuală către DNSC conform art. 12 alin. (4), raportarea incidentelor semnificative în termenele din art. 15 alin. (7): 24 de ore, 72 de ore, o lună.

Art. 14 este cel mai incomod pentru conducerile instituțiilor: organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează punerea lor în aplicare și răspund pentru încălcarea dispozițiilor, fără a aduce atingere regulilor privind răspunderea instituțiilor publice și a funcționarilor. Alin. (2) cere membrilor conducerii cursuri de formare profesională acreditate.

Prin Ordinul nr. 3 din 27 noiembrie 2025, directorul DNSC a aprobat normele privind supravegherea, verificarea și controlul respectării ordonanței, împreună cu metodologia de prioritizare pe bază de risc a acestor activități. Instituțiile cu nivel de risc ridicat și fără documentație intră primele în atenția autorității.

Ce se poate face cu buget de instituție

Prima evaluare independentă nu trebuie să acopere tot. Se alege serviciul public cu cel mai mare impact asupra cetățenilor și se evaluează lanțul care îl susține: sistemele, datele, accesele, furnizorii, procedurile și planul de revenire. Rezultatul este un raport cu constatări, priorități și estimări, document care servește simultan ca dovadă pentru DNSC, ca fundamentare pentru buget și ca temă pentru caietele de sarcini viitoare.

Al doilea pas, mai ieftin decât pare, este includerea dreptului de evaluare independentă în contractele cu furnizorii de sisteme. Fără această clauză, verificarea celei mai expuse componente depinde de bunăvoința celui evaluat.

Pașii următori

Încadrarea se stabilește prima, pentru că determină nivelul obligațiilor. Platforma CysNis parcurge criteriile pas cu pas, cu trimiteri la textul legal, prin verificarea încadrării NIS2.

Evaluarea independentă propriu-zisă înseamnă o analiză de conformare NIS2 cu plan de remediere, făcută pe dovezi de auditori NIS atestați de DNSC din echipa ProDefence, exact tipul de verificare pe care controlul ID.IM-03.7 îl cere. Instituțiile care nu au în schemă persoana care să ducă procesul mai departe pot acoperi rolul prin responsabil NIS2 externalizat, inclusiv pentru termenele anuale și relația cu autoritatea. Serviciile complete sunt în registrul de servicii de securitate cibernetică.

Un al treilea pas, la fel de ieftin, este stabilirea unui interval fix pentru repetarea evaluării. O verificare făcută o singură dată, la presiunea unui termen, produce un raport care îmbătrânește în câteva luni, pe măsură ce apar sisteme noi și se schimbă furnizorii. O verificare repetată la interval cunoscut devine un proces, iar procesele sunt ceea ce se demonstrează la control, nu documentele izolate.

Merită spus și ce nu rezolvă o evaluare independentă: nu înlocuiește măsurile. Produce lista lor, ordonată după risc și cost, ceea ce în sectorul public este adesea mai valoros decât măsura în sine, pentru că transformă securitatea într-o cerere bugetară motivată, nu într-o solicitare generală.

Un 2,07 din 5 la evaluarea independentă descrie o situație care se repară cu o singură decizie administrativă, nu cu o investiție. Prima evaluare este și cea care arată cât costă restul.

Sursa datelor: DNSC, „Scor de maturitate cibernetică pentru Administrația Publică din România, Controlul CyFun® ID.IM-03.7”, 17 august 2026.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Sari la conținut