Arhiva tag-ul pentru: dnsc

Efectul perturbator NIS2: Ordinul DNSC 2/2025

,

Evaluarea gradului de perturbare a unui serviciu: criteriile oficiale pentru încadrarea NIS2

Evaluarea gradului de perturbare este procesul prin care o organizație analizează consecințele pe care întreruperea, compromiterea confidențialității sau afectarea modului de funcționare a unui serviciu le-ar putea produce la nivel național.

În România, criteriile și pragurile aplicabile sunt stabilite prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2 din 11 august 2025, publicat în Monitorul Oficial nr. 776 din 20 august 2025.

Evaluarea este relevantă pentru organizațiile care furnizează servicii încadrate în anexele nr. 1 și nr. 2 ale OUG nr. 155/2024 și care nu au fost deja calificate drept entități esențiale sau importante în baza celorlalte criterii prevăzute de lege.

Ce reprezintă perturbarea unui serviciu?

Potrivit Ordinului DNSC nr. 2/2025, perturbarea unui serviciu poate consta în:

  • întreruperea serviciului;
  • afectarea confidențialității serviciului;
  • afectarea modului de funcționare a serviciului.

Prin urmare, evaluarea nu trebuie limitată la scenariul în care serviciul devine complet indisponibil.

Pot fi relevante și situații în care serviciul continuă să funcționeze, dar:

  • datele sunt accesate sau divulgate neautorizat;
  • rezultatele produse de sistem sunt alterate;
  • serviciul funcționează într-un mod degradat;
  • procesele dependente sunt executate incorect;
  • integritatea sau autenticitatea informațiilor este compromisă;
  • beneficiarii nu mai pot utiliza serviciul în condiții normale.

Cine trebuie să realizeze evaluarea gradului de perturbare?

Conform art. 1 din Ordinul DNSC nr. 2/2025, evaluarea este realizată de entitățile care nu au fost deja calificate drept entități esențiale sau importante în baza criteriilor expres enumerate de OUG nr. 155/2024.

Sunt vizate, în principal, entitățile care:

  • furnizează servicii încadrate în anexele nr. 1 sau nr. 2;
  • nu au fost deja încadrate în baza dimensiunii sau a unui criteriu special;
  • trebuie să stabilească dacă perturbarea serviciului atinge pragul mediu sau ridicat;
  • trebuie să completeze informațiile necesare procesului de notificare în vederea înregistrării;
  • trebuie să determine categoria de măsuri de gestionare a riscurilor care le este aplicabilă.

Evaluarea trebuie să acopere toate serviciile furnizate de entitate care se încadrează în anexele nr. 1 și nr. 2 ale OUG nr. 155/2024.

O organizație care activează în mai multe sectoare nu ar trebui să analizeze doar activitatea principală declarată. Fiecare serviciu relevant trebuie identificat și evaluat separat.

Evaluarea gradului de perturbare nu se confundă cu evaluarea nivelului de risc

Ordinul DNSC nr. 2/2025 reglementează două procese distincte.

1. Evaluarea gradului de perturbare a serviciului

Această evaluare stabilește dacă impactul produs de perturbarea serviciului este:

  • scăzut;
  • mediu;
  • ridicat.

Rezultatul poate influența calificarea organizației drept entitate esențială sau importantă.

2. Evaluarea nivelului de risc al entității

Aceasta este realizată prin mecanismele:

  • NIS2@RO;
  • ENIRE@RO, atunci când platforma este indisponibilă sau când se dorește o preevaluare locală.

Evaluarea nivelului de risc urmărește stabilirea categoriei de măsuri tehnice, operaționale și organizatorice pe care entitatea trebuie să le implementeze.

Cele două evaluări sunt corelate, dar nu sunt identice:

  • gradul de perturbare analizează consecințele afectării serviciului;
  • nivelul de risc analizează riscurile cibernetice în raport cu actorii amenințării, tipurile de atac, dimensiunea entității, impactul și probabilitatea.

Criteriile analizate pentru efectul perturbator

Criteriile și pragurile din anexa nr. 1 la Ordinul DNSC nr. 2/2025 operaționalizează situațiile prevăzute la art. 9 lit. b) și c) din OUG nr. 155/2024.

Analiza se realizează pe șase dimensiuni:

  1. drepturile și libertățile fundamentale;
  2. economia națională;
  3. sănătatea și viața persoanelor;
  4. impactul financiar;
  5. apărarea, ordinea publică și securitatea națională;
  6. impactul transsectorial sau transfrontalier.

Atunci când sunt aplicabile cel puțin două dimensiuni, nivelul general al impactului este determinat de nivelul cel mai ridicat rezultat în urma analizei.

De exemplu, dacă impactul este:

  • scăzut asupra economiei;
  • mediu asupra drepturilor fundamentale;
  • ridicat asupra sănătății;

nivelul relevant al impactului va fi ridicat.

Nivelurile impactului

Impact ridicat

Impactul este ridicat atunci când perturbarea serviciului produce consecințe foarte grave sau catastrofale, la nivel național, asupra:

  • rețelelor și sistemelor informatice;
  • activelor;
  • persoanelor;
  • statului;
  • serviciilor intersectoriale;
  • serviciilor transfrontaliere din Uniunea Europeană.

Impact mediu

Impactul este mediu atunci când perturbarea serviciului produce consecințe grave, la nivel național, asupra acelorași categorii.

Impact scăzut

Impactul este scăzut atunci când consecințele sunt limitate și afectează capacitatea entității de a-și îndeplini misiunea sau obiectivele, dar entitatea își poate îndeplini în continuare funcțiile principale, chiar dacă eficacitatea acestora este redusă semnificativ.

Pragurile oficiale prevăzute de Ordinul DNSC nr. 2/2025

1. Impactul asupra drepturilor și libertăților fundamentale

Impact ridicat

Impactul este ridicat atunci când:

  • sunt afectate datele cu caracter personal ale unui număr mai mare de 1.000.000 de persoane; sau
  • este afectat accesul la servicii publice esențiale pentru cel puțin 115.000 de persoane.

Impact mediu

Impactul este mediu atunci când:

  • sunt afectate datele cu caracter personal ale unui număr mai mare de 200.000 de persoane; sau
  • este afectat accesul la servicii publice esențiale pentru cel puțin 25.000 de persoane.

În analiză trebuie luate în calcul persoanele afectate în mod real sau previzibil, nu doar numărul clienților contractuali direcți.

2. Impactul asupra economiei naționale

Impact ridicat

Impactul este ridicat atunci când perturbarea:

  • provoacă pierderi de peste 0,1% din PIB-ul României;
  • afectează cel puțin 25% din valoarea serviciilor dintr-un sector prevăzut în anexele nr. 1 sau nr. 2;
  • provoacă distrugeri la nivelul unei infrastructuri critice.

Impact mediu

Impactul este mediu atunci când:

  • este afectată furnizarea serviciilor dintr-un sector prevăzut în anexele nr. 1 sau nr. 2;
  • este afectată funcționarea unei infrastructuri critice.

Pentru fundamentarea evaluării pot fi utilizate:

  • valoarea serviciilor furnizate;
  • cota de piață;
  • durata estimată a perturbării;
  • pierderile directe și indirecte;
  • dependențele economice;
  • efectele asupra lanțurilor de aprovizionare;
  • rolul serviciului în funcționarea infrastructurilor critice.

3. Impactul asupra sănătății și vieții persoanelor

Impact ridicat

Impactul este ridicat atunci când perturbarea provoacă:

  • decesul;
  • îmbolnăvirea cronică;
  • infirmitatea a mai mult de 50 de persoane;
  • leziuni traumatice sau afectarea sănătății a mai mult de 115.000 de persoane.

Formularea oficială trebuie interpretată cu atenție: producerea unui deces este suficientă pentru atingerea nivelului ridicat.

Impact mediu

Impactul este mediu atunci când:

  • sunt provocate leziuni traumatice;
  • este afectată sănătatea persoanelor.

Pentru nivelul mediu, textul ordinului nu stabilește un prag numeric minim.

4. Impactul financiar

Impact ridicat

Impactul financiar este ridicat atunci când perturbarea provoacă o pierdere de cel puțin:

  • 2.500 de lei pentru fiecare persoană afectată;
  • asupra unui număr de cel puțin 115.000 de persoane.

Impact mediu

Impactul financiar este mediu atunci când perturbarea provoacă o pierdere de cel puțin:

  • 2.500 de lei pentru fiecare persoană afectată;
  • asupra unui număr de cel puțin 25.000 de persoane.

Acest criteriu nu se referă la o pierdere totală de 25.000 sau 115.000 de euro.

Pragul oficial combină:

  • valoarea minimă a pierderii individuale;
  • numărul minim al persoanelor afectate.

5. Impactul asupra apărării, ordinii publice și securității naționale

Impact ridicat

Impactul este ridicat atunci când:

  • este afectată capacitatea statului de a asigura apărarea, ordinea publică sau securitatea națională;
  • este generată incapacitatea statului de a-și îndeplini funcțiile principale;
  • este produs un prejudiciu grav reputației statului;
  • este afectată grav încrederea cetățenilor în stat.

Impact mediu

Impactul este mediu atunci când este afectată capacitatea statului de a asigura activități din sfera:

  • apărării;
  • ordinii publice;
  • securității naționale;

iar consecințele pot fi grave pentru siguranța persoanelor sau a proprietății private.

6. Impactul transsectorial sau transfrontalier

Impact ridicat

Impactul este ridicat atunci când:

  • sunt afectate cel puțin două sectoare;
  • este afectat cel puțin 20% din volumul serviciilor esențiale din minimum un sector;

sau atunci când obligațiile României rezultate din dreptul internațional și din cadre multilaterale nu mai pot fi îndeplinite.

Impact mediu

Impactul este mediu atunci când:

  • sunt afectate cel puțin două sectoare;
  • este afectat cel puțin 5% din volumul serviciilor esențiale din minimum un sector;

sau atunci când este afectată capacitatea României de a-și îndeplini obligațiile internaționale.

Evaluarea trebuie să urmărească efectele reale în cascadă, inclusiv dependențele dintre:

  • energie și telecomunicații;
  • sănătate și alimentarea cu apă;
  • servicii TIC și administrație publică;
  • transport și infrastructură digitală;
  • sector financiar și furnizori tehnologici;
  • producție și lanțuri de aprovizionare.

Cum influențează impactul clasificarea entității?

Articolul 2 alin. (4) din criteriile aprobate prin Ordinul DNSC nr. 2/2025 stabilește următoarea logică.

Entitate esențială

O entitate dintr-un sector prevăzut în anexa nr. 1 la OUG nr. 155/2024 este entitate esențială atunci când:

  • nu a fost deja identificată drept entitate esențială prin celelalte criterii legale;
  • atinge sau depășește pragul ridicat al impactului generat de perturbarea serviciului.

Entitate importantă

O entitate dintr-un sector prevăzut în anexa nr. 1 sau anexa nr. 2 este entitate importantă atunci când:

  • nu a fost deja identificată drept entitate importantă prin celelalte criterii;
  • nu a fost clasificată drept entitate esențială;
  • atinge sau depășește pragul mediu al impactului.

Prin urmare:

SectorImpact scăzutImpact mediuImpact ridicat
Anexa nr. 1Nu conduce singur la încadrare prin acest criteriuEntitate importantăEntitate esențială
Anexa nr. 2Nu conduce singur la încadrare prin acest criteriuEntitate importantăEntitate importantă

Pentru serviciile din anexa nr. 2, atingerea pragului ridicat nu transformă automat organizația în entitate esențială. Clasificarea rămâne, în baza acestui criteriu, cea de entitate importantă.

Situația furnizorului unic

Criteriul furnizorului unic este tratat distinct de evaluarea pragurilor de impact.

Potrivit Ordinului DNSC nr. 2/2025:

  • o entitate care este unicul furnizor în România al unui serviciu din anexa nr. 1 este entitate esențială, dacă nu a fost deja identificată astfel;
  • o entitate care este unicul furnizor în România al unui serviciu din anexa nr. 2 este entitate importantă, dacă nu a fost deja identificată astfel.

Prin urmare, furnizorul unic nu trebuie introdus într-un calcul general de tip Scăzut–Mediu–Ridicat.

Este un criteriu juridic distinct, care poate determina direct clasificarea entității.

Ce date trebuie pregătite pentru evaluare?

Evaluarea trebuie bazată pe informații verificabile și documentate.

Organizația ar trebui să pregătească:

  • lista completă a serviciilor din anexele nr. 1 și nr. 2;
  • descrierea funcțională a fiecărui serviciu;
  • numărul utilizatorilor direcți și indirecți;
  • numărul persoanelor ale căror date pot fi afectate;
  • beneficiarii publici și privați;
  • aria geografică deservită;
  • sectoarele dependente;
  • serviciile esențiale susținute;
  • alternativele disponibile;
  • durata maximă tolerabilă a întreruperii;
  • capacitatea de substituire a serviciului;
  • efectele asupra sănătății și siguranței;
  • valoarea pierderilor individuale și agregate;
  • impactul asupra infrastructurilor critice;
  • efectele transfrontaliere;
  • scenariile de indisponibilitate;
  • scenariile de compromitere a confidențialității;
  • scenariile de funcționare incorectă;
  • documentele justificative și sursele datelor.

Evaluarea nivelului de risc prin NIS2@RO și ENIRE@RO

După înregistrarea entității, Ordinul DNSC nr. 2/2025 prevede utilizarea a două mecanisme:

  • Platforma NIS2@RO;
  • Instrumentul ENIRE@RO.

Acestea sunt utilizate pentru stabilirea nivelului de risc al entității și a categoriei măsurilor de securitate aplicabile.

Evaluarea ia în considerare cinci tipologii de actori:

  1. teroriști;
  2. activiști motivați ideologic;
  3. competitori ostili;
  4. infractori cibernetici;
  5. actori statali.

Pentru fiecare actor sunt analizate cinci categorii de atacuri:

  • sabotaj sau perturbarea furnizării serviciului;
  • furt de informații sau spionaj;
  • atacuri specifice criminalității cibernetice;
  • hacktivism sau vandalism cibernetic;
  • atacuri care vizează sau afectează imaginea entității.

Formula de calcul a riscului

Pentru fiecare combinație actor–categorie de atac, valoarea riscului este calculată prin înmulțirea următorilor parametri:

Dimensiunea entității × Natura atacului × Impact × Probabilitate

Valorile prevăzute de metodologie sunt:

Dimensiunea entității

  • întreprindere mică sau microîntreprindere: 1;
  • întreprindere mijlocie: 2;
  • întreprindere mare: 3.

Pentru administrația publică:

  • până la 49 de angajați: 1;
  • între 50 și 249 de angajați: 2;
  • minimum 250 de angajați: 3.

Natura atacului

  • atac global: 1;
  • atac țintit: 2.

Impact

  • scăzut: 0;
  • mediu: 5;
  • ridicat: 10.

Probabilitate

  • scăzută: 0;
  • medie: 0,5;
  • ridicată: 1.

Nivelurile măsurilor de securitate

Scorul general determină categoria de cerințe de securitate cibernetică:

Scor generalNivelul măsurilor
0–99 puncteNivel de bază
100–199 puncteNivel important
200–1.500 puncteNivel esențial

Nivelul măsurilor de securitate nu trebuie confundat cu statutul juridic al entității.

De exemplu, termenii „important” și „esențial” pot apărea în două contexte:

  • entitate importantă sau entitate esențială;
  • nivel important sau nivel esențial al măsurilor de securitate.

Acestea sunt concepte corelate, dar distincte.

Entități exceptate de la evaluarea nivelului de risc

Ordinul prevede că anumite categorii nu realizează evaluarea nivelului de risc conform metodologiei ENIRE@RO.

Printre acestea se află:

  • entitățile din sectorul bancar;
  • furnizorii digitali din anexa nr. 2;
  • anumite infrastructuri ale pieței financiare cărora li se aplică DORA;
  • anumite entități din infrastructura digitală cărora li se aplică Regulamentul de punere în aplicare (UE) 2024/2690.

Aceste entități aplică cerințele prevăzute de reglementările sectoriale europene corespunzătoare.

Excepția privește evaluarea nivelului de risc din metodologia Ordinului nr. 2/2025 și trebuie analizată distinct față de celelalte obligații NIS2.

Când se recalculează scorul general al entității?

Conform Ordinului DNSC nr. 2/2025, entitățile își recalculează scorul general:

  • o dată la 3 ani;
  • ori de câte ori este depășit pragul ridicat al impactului produs de perturbarea serviciului.

Excepția se aplică atunci când entitatea implementează deja cel mai înalt nivel de măsuri de securitate cibernetică.

Entitățile pot recalcula scorul și atunci când impactul scade sub pragul aferent sectorului.

Prin urmare, Ordinul nu instituie o obligație generală de recalculare anuală.

Ce se întâmplă dacă NIS2@RO este indisponibilă?

În cazul indisponibilității Platformei NIS2@RO poate fi utilizat instrumentul ENIRE@RO, descărcat și folosit local.

După restabilirea platformei, entitatea trebuie să:

  • completeze și să încarce raportul;
  • transmită documentele justificative, după caz;
  • finalizeze încărcarea într-un termen de maximum 20 de zile de la disponibilizarea platformei.

DNSC validează și confirmă acțiunile în termenul prevăzut de metodologie.

Greșeli frecvente

„Suntem sub pragul de 50 de angajați, deci NIS2 nu se aplică”

Greșit. O entitate mică poate fi clasificată pe baza efectului perturbator, a caracterului de furnizor unic sau a altor criterii speciale.

Aplicarea pragurilor asupra unui singur serviciu ales arbitrar

Entitatea trebuie să analizeze toate serviciile furnizate care se încadrează în anexele nr. 1 și nr. 2.

Confundarea evaluării perturbării cu ENIRE@RO

Evaluarea gradului de perturbare poate influența încadrarea juridică.

ENIRE@RO stabilește nivelul de risc și categoria măsurilor de securitate.

Utilizarea unui calcul „MAX” pentru lit. a), b), c) și d)

Ordinul nu prevede un asemenea algoritm general.

Criteriul furnizorului unic și importanța specifică trebuie analizate distinct, în conformitate cu OUG nr. 155/2024 și procesul de notificare.

Pragurile Scăzut–Mediu–Ridicat aprobate prin anexa nr. 1 la Ordinul nr. 2/2025 se aplică impactului prevăzut la art. 9 lit. b) și c).

Calcularea greșită a impactului financiar

Pragul nu reprezintă o pierdere totală de 25.000 sau 115.000 de euro.

Este necesară o pierdere de minimum 2.500 de lei asupra a minimum 25.000 sau 115.000 de persoane.

Considerarea impactului ridicat din anexa nr. 2 drept temei automat pentru entitate esențială

Doar entitățile din anexa nr. 1 pot deveni entități esențiale prin atingerea pragului ridicat al impactului.

Pentru anexa nr. 2, clasificarea rezultată din acest criteriu este cea de entitate importantă.

Lipsa justificărilor

Datele introduse trebuie susținute prin:

  • surse interne;
  • evidențe contractuale;
  • date operaționale;
  • statistici;
  • estimări documentate;
  • analize tehnice;
  • scenarii de continuitate;
  • documente justificative.

Exemplu: furnizor regional de apă potabilă

Un operator deservește 180.000 de persoane și furnizează apă către spitale, autorități locale și operatori economici.

Numărul utilizatorilor nu atinge singur pragul de 1.000.000 de persoane pentru afectarea datelor și nici pragul de 115.000 nu trebuie aplicat automat oricărei întreruperi.

Trebuie stabilit concret dacă perturbarea:

  • afectează accesul la un serviciu public esențial;
  • produce leziuni sau afectează sănătatea;
  • afectează cel puțin două sectoare;
  • afectează minimum 20% din volumul serviciilor esențiale dintr-un sector;
  • compromite funcționarea unei infrastructuri critice.

Dacă cel puțin una dintre dimensiunile aplicabile atinge nivelul ridicat, iar serviciul aparține anexei nr. 1, entitatea poate fi clasificată drept entitate esențială.

Exemplu: furnizor TIC pentru instituții financiare

O companie cu 25 de angajați furnizează o platformă utilizată de mai multe instituții financiare.

Dimensiunea redusă nu exclude încadrarea.

Evaluarea trebuie să stabilească:

  • dacă serviciul aparține unei categorii prevăzute în anexe;
  • dacă furnizorul este unic în România;
  • câte servicii și sectoare sunt afectate;
  • câte persoane ar suporta pierderi de minimum 2.500 de lei;
  • dacă perturbarea afectează infrastructuri financiare sau funcții esențiale;
  • dacă sunt îndeplinite pragurile transsectoriale.

Afirmația că blocarea unui anumit număr de tranzacții conduce automat la impact ridicat nu este suficientă. Concluzia trebuie raportată la pragurile exprese din ordin.

Cum sprijină CysNis procesul de evaluare

Modulul dedicat din platforma CysNis poate organiza procesul în conformitate cu structura oficială:

  • inventarierea serviciilor din anexele nr. 1 și nr. 2;
  • evaluarea fiecărei dimensiuni de impact;
  • aplicarea pragurilor oficiale;
  • identificarea nivelului maxim aplicabil;
  • analiza separată a furnizorului unic;
  • corelarea rezultatului cu anexa sectorială;
  • centralizarea justificărilor;
  • păstrarea dovezilor;
  • generarea raportului intern;
  • pregătirea informațiilor necesare notificării;
  • integrarea cu evaluarea ENIRE@RO;
  • păstrarea istoricului și a versiunilor.

Rezultatul generat automat trebuie verificat de persoane care cunosc:

  • activitatea organizației;
  • infrastructura tehnologică;
  • serviciile furnizate;
  • dependențele operaționale;
  • cadrul juridic aplicabil.

Platforma sprijină procesul, dar responsabilitatea privind exactitatea informațiilor și asumarea evaluării aparține entității.

Concluzie

Evaluarea gradului de perturbare nu este o simplă formalitate administrativă.

Aceasta poate determina dacă o organizație care nu a fost deja încadrată prin criteriile generale devine:

  • entitate importantă;
  • entitate esențială;
  • sau rămâne în afara încadrării bazate pe efectul perturbator.

Pentru realizarea corectă a evaluării, organizația trebuie să:

  1. identifice toate serviciile relevante din anexele nr. 1 și nr. 2;
  2. analizeze întreruperea, compromiterea confidențialității și afectarea funcționării;
  3. aplice pragurile oficiale pentru cele șase dimensiuni;
  4. păstreze nivelul cel mai ridicat dintre dimensiunile aplicabile;
  5. coreleze rezultatul cu anexa sectorială;
  6. analizeze separat criteriul furnizorului unic și celelalte criterii legale;
  7. documenteze toate datele și ipotezele;
  8. utilizeze ulterior NIS2@RO sau ENIRE@RO pentru evaluarea nivelului de risc.

O evaluare corectă oferă conducerii o bază juridică și tehnică defensabilă pentru încadrarea NIS2, notificarea DNSC și stabilirea măsurilor de securitate cibernetică aplicabile.

ProDefence oferă servicii de verificare a încadrării NIS2, evaluare a gradului de perturbare, analiză ENIRE@RO, pregătire a notificării DNSC și implementare a măsurilor tehnice, operaționale și organizatorice.

Pentru organizațiile care trebuie să aplice aceste cerințe, CysNIS structurează obligațiile legale, urmărește progresul implementării și păstrează documentația într-o formă care poate fi prezentată la control.

Întrebări frecvente

Ce înseamnă perturbarea unui serviciu?

Perturbarea include întreruperea serviciului, afectarea confidențialității sau afectarea modului său de funcționare.

Evaluarea se aplică tuturor entităților?

Nu. Ordinul vizează entitățile care nu au fost deja calificate drept esențiale sau importante în baza criteriilor legale enumerate și care furnizează servicii din anexele nr. 1 și nr. 2.

Care sunt nivelurile impactului?

Impactul poate fi scăzut, mediu sau ridicat.

Cum se stabilește nivelul general?

Atunci când sunt aplicabile cel puțin două dimensiuni, se utilizează nivelul cel mai ridicat rezultat.

O entitate din anexa nr. 2 poate deveni esențială prin impact ridicat?

Nu în baza criteriului privind gradul de perturbare. Entitatea din anexa nr. 2 care atinge cel puțin pragul mediu este clasificată drept entitate importantă.

Ce se întâmplă dacă o entitate din anexa nr. 1 atinge pragul ridicat?

Aceasta este clasificată drept entitate esențială, dacă nu a fost deja identificată astfel în baza altui criteriu.

ENIRE@RO stabilește dacă organizația intră sub NIS2?

Nu. ENIRE@RO este utilizat pentru evaluarea nivelului de risc și stabilirea categoriei măsurilor de securitate aplicabile entităților înregistrate.

Cât de des se recalculează scorul ENIRE@RO?

Scorul general se recalculează o dată la trei ani și ori de câte ori este depășit pragul ridicat al impactului, cu excepțiile prevăzute de ordin.

Care sunt nivelurile măsurilor de securitate?

Nivel de bază pentru 0–99 puncte, nivel important pentru 100–199 de puncte și nivel esențial pentru 200–1.500 de puncte.

Evaluarea trebuie justificată?

Da. Datele și valorile utilizate trebuie fundamentate, iar modificarea valorilor sectoriale predefinite trebuie motivată temeinic și transmisă DNSC pentru validare, atunci când este cazul.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Supravegherea executivă NIS2: cum își exercită conducerea rolul prin CysNIS

,

Supravegherea executivă NIS2 înseamnă obligația organelor de conducere ale entităților esențiale și importante de a aproba măsurile de gestionare a riscurilor de securitate cibernetică și de a urmări cum sunt puse în practică. Securitatea nu mai poate fi delegată integral departamentului IT sau unui furnizor: conducerea trebuie să vadă, să înțeleagă și să poată demonstra că a supravegheat procesul.

Pe scurt

  • Art. 20 din Directiva NIS2 obligă organele de conducere să aprobe măsurile de securitate cibernetică, să supravegheze implementarea lor și să urmeze instruiri periodice.
  • În România, cerința este preluată prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025.
  • Problema practică nu este lipsa măsurilor, ci lipsa unei imagini centralizate pe care conducerea să o poată consulta oricând.
  • CysNIS, platforma dezvoltată de ProDefence, oferă un cont de management cu acces doar în citire, gândit pentru directori, administratori și consilii de conducere.

Conformitatea NIS2 nu mai este doar responsabilitatea departamentului IT

NIS2 tratează securitatea cibernetică drept o chestiune de guvernanță. Directorul general, administratorul sau consiliul de conducere nu trebuie să configureze echipamente, dar răspund pentru faptul că organizația are măsuri adecvate, că acestea sunt aplicate și că riscurile sunt urmărite în timp.

Art. 20 din directivă prevede că organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează punerea lor în aplicare și pot răspunde pentru încălcări. Membrii conducerii trebuie, de asemenea, să urmeze cursuri care să le permită să identifice riscurile și să evalueze impactul măsurilor asupra serviciilor furnizate. DNSC a pus în dezbatere și un standard de pregătire NIS2 pentru organele de conducere.

În România, cadrul este stabilit de OUG nr. 155/2024, actul normativ principal indicat de DNSC pentru NIS2. Consecința directă: conducerea trebuie să poată arăta, la un control sau la un audit, că a avut vizibilitate asupra implementării, asupra riscurilor și asupra progresului.

De ce are nevoie managementul de vizibilitate directă

Implementarea NIS2 produce politici, proceduri, măsuri tehnice, controale organizaționale, un registru de riscuri, evidențe privind incidentele, responsabilități interne și raportări periodice. Fără un instrument dedicat, toate acestea ajung la conducere prin documente dispersate, rapoarte transmise manual sau ședințe punctuale.

Rezultatul este un dezechilibru: conducerea are răspunderea, dar nu are un mecanism simplu prin care să supravegheze. Întrebarea la care trebuie să poată răspunde oricând este una singură: putem demonstra că am aprobat, supravegheat și monitorizat măsurile de securitate cibernetică?

Ce este funcția de Supraveghere executivă NIS2 din CysNIS

Supravegherea executivă este o funcționalitate a platformei CysNIS dedicată conducerii organizației. Prin ea, managerii urmăresc implementarea cerințelor NIS2 și ale OUG 155/2024 direct din platformă, fără să aibă nevoie de pregătire tehnică avansată.

Contul de tip Management/Observator are acces doar în citire. Conducerea poate consulta stadiul implementării fără riscul de a modifica din greșeală datele operaționale introduse de echipa tehnică sau de consultanți.

Ce vede conducerea în contul de management

Progresul implementării, actualizat continuu

Stadiul cerințelor NIS2 este afișat pe domenii, măsuri și activități. Conducerea vede ce este finalizat, ce este în lucru și unde există întârzieri, fără să aștepte un raport static.

Rapoarte și scoruri de conformitate

Platforma oferă rapoarte de conformitate, matrice de control și scoruri de risc. Sunt informațiile de care conducerea are nevoie când decide bugete, resurse și priorități.

Registrul de riscuri

NIS2 are la bază gestionarea riscurilor. Nu este suficient ca organizația să declare că aplică măsuri; trebuie să arate că riscurile sunt identificate, evaluate, tratate și urmărite. Registrul din CysNIS face vizibile riscurile active, nivelul lor și măsurile planificate sau aplicate.

Incidentele deschise

Cronologia incidentelor arată situațiile relevante, stadiul fiecăreia și măsurile asociate. Pentru o entitate NIS2, gestionarea incidentelor este și o obligație de conformitate, cu termene de notificare la 24 de ore, 72 de ore și raport final.

O interfață pentru utilizatori fără pregătire tehnică

Scopul nu este ca membrii conducerii să analizeze jurnale de sistem sau vulnerabilități, ci să înțeleagă stadiul conformității și riscurile care contează pentru organizație.

Cum susține CysNIS obligațiile de guvernanță

Prin platformă, organizația poate demonstra supravegherea prin:

  • evidența progresului implementării NIS2;
  • monitorizarea măsurilor de conformitate și a riscurilor active;
  • rapoarte de conformitate consultabile oricând;
  • trasabilitatea activităților;
  • separarea rolurilor între management, consultanți și echipele tehnice.

Astfel, CysNIS funcționează nu doar ca instrument de implementare, ci și ca instrument de guvernanță cibernetică: leagă munca tehnică și procedurală de răspunderea conducerii.

Consultanță NIS2 și platformă: abordarea ProDefence

ProDefence oferă consultanță pentru implementarea NIS2 și audit de conformare, folosind CysNIS ca instrument de lucru, monitorizare și raportare. Parcursul tipic are cinci etape:

  1. Evaluarea aplicabilității: sector, dimensiune, servicii furnizate și obligațiile care decurg. Punctul de pornire este verificarea încadrării NIS2.
  2. Analiza decalajelor și planul de implementare: situația existentă față de cerințe și măsurile necesare.
  3. Implementarea: politici, proceduri, registre și controale adaptate organizației, nu copiate din modele generice.
  4. Monitorizarea prin CysNIS: progres, documentare și o imagine clară asupra nivelului de conformitate.
  5. Supravegherea executivă: acces dedicat pentru conducere, ca aceasta să își poată exercita rolul.

Organizațiile care nu au pe cine desemna intern pot acoperi rolul prin responsabil NIS2 externalizat. Răspunderea conducerii rămâne însă aceeași în toate variantele, așa cum arătăm în comparația celor trei variante de implementare NIS2.

Întrebări frecvente

Ce înseamnă supravegherea executivă în NIS2?

Este obligația organelor de conducere ale entităților esențiale și importante de a aproba măsurile de gestionare a riscurilor de securitate cibernetică, de a urmări aplicarea lor și de a urma instruiri periodice, conform art. 20 din Directiva NIS2 și OUG 155/2024.

Poate conducerea să delege complet securitatea cibernetică departamentului IT?

Poate delega munca, nu și răspunderea. Conducerea trebuie să poată demonstra că a aprobat măsurile și că a supravegheat implementarea lor.

Ce vede managementul în contul de supraveghere CysNIS?

Progresul implementării pe domenii, rapoarte și scoruri de conformitate, registrul de riscuri și incidentele deschise, totul cu acces doar în citire.

Are nevoie conducerea de cunoștințe tehnice pentru a folosi platforma?

Nu. Interfața de management prezintă stadiul conformității și riscurile relevante într-o formă accesibilă celor fără pregătire tehnică.

Concluzie

NIS2 cere conducerii să vadă, să înțeleagă și să supravegheze. Nu este suficient ca măsurile să existe undeva în zona tehnică: managementul trebuie să aibă acces la ele și să poată dovedi că le-a urmărit. Pentru o discuție despre modul în care se aplică aceste cerințe în organizația dumneavoastră, contactați echipa ProDefence.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Încadrarea primăriilor în NIS2: ghid OUG 155/2024

,

Primăriile nu intră automat sub incidența NIS2 doar pentru că sunt autorități publice. Totuși, faptul că aparțin administrației publice locale nu înseamnă că pot exclude aplicabilitatea OUG nr. 155/2024 fără o analiză documentată.

Încadrarea trebuie verificată în funcție de serviciile furnizate sau administrate, operatorii implicați, sistemele informatice care susțin aceste servicii și efectele pe care o perturbare le-ar putea produce asupra cetățenilor, sănătății, siguranței publice, economiei ori altor servicii critice.

Pentru a sprijini autoritățile locale în realizarea acestei evaluări, Prodefence, împreună cu platforma CysNis, publică „Ghidul practic pentru verificarea încadrării primăriilor în NIS2” — un document operațional care explică pas cu pas cum trebuie analizată aplicabilitatea cadrului național NIS2.

Primăriile intră automat sub NIS2?

Nu.

În cadrul sectorului „Administrație publică” din Anexa nr. 1 la OUG nr. 155/2024 sunt vizate entitățile administrației publice centrale, în condițiile prevăzute de actul normativ. Primăriile sunt autorități ale administrației publice locale și, prin urmare, nu sunt încadrate automat în NIS2 exclusiv în baza statutului lor administrativ.

Această concluzie nu încheie însă analiza.

OUG nr. 155/2024 transpune în România Directiva NIS2 și stabilește domeniul de aplicare în funcție de mai multe elemente: sectorul de activitate, tipul entității, serviciile furnizate, dimensiunea organizației și anumite criterii speciale de impact sau importanță.

Prin urmare, întrebarea corectă nu este doar:

„Primăria este administrație publică centrală sau regională?”

Întrebarea completă este:

„Primăria, un serviciu intern sau un operator local furnizează, operează ori susține un serviciu care se regăsește în anexele OUG nr. 155/2024?”

Aceasta este și regula centrală pe care se bazează ghidul elaborat de Prodefence.

De ce este necesară o analiză separată pentru fiecare primărie?

Structura și atribuțiile autorităților locale diferă semnificativ.

Unele primării îndeplinesc predominant funcții administrative, precum:

  • taxe și impozite locale;
  • registratură și gestionarea documentelor;
  • urbanism și autorizări;
  • evidența patrimoniului;
  • servicii online pentru cetățeni.

Alte primării furnizează direct sau prin structuri aflate în subordine servicii precum:

  • alimentarea cu apă potabilă;
  • colectarea și tratarea apelor uzate;
  • gestionarea deșeurilor;
  • transportul public local;
  • servicii medicale;
  • infrastructură digitală;
  • găzduirea aplicațiilor pentru alte instituții;
  • servicii TIC gestionate pentru alte entități.

În consecință, două primării cu dimensiuni similare pot ajunge la rezultate diferite în urma verificării NIS2.

Una poate avea o neîncadrare documentată, iar cealaltă poate furniza un serviciu dintr-un sector menționat expres în Anexa nr. 1 sau Anexa nr. 2 la OUG nr. 155/2024.

Serviciile care trebuie verificate cu prioritate

Analiza trebuie să pornească de la inventarierea completă a serviciilor publice și operaționale, nu doar de la lista sistemelor IT existente.

Apă potabilă și ape uzate

Apa potabilă și apele uzate sunt sectoare incluse în Anexa nr. 1 la OUG nr. 155/2024.

Dacă primăria furnizează direct un asemenea serviciu, printr-un compartiment intern sau printr-o structură fără personalitate juridică, trebuie analizate:

  • tipul exact de serviciu;
  • populația deservită;
  • sistemele informatice și operaționale utilizate;
  • operatorii și furnizorii de care depinde serviciul;
  • toleranța la indisponibilitate;
  • efectele unei întreruperi;
  • criteriile generale și speciale de încadrare.

Dacă serviciul este furnizat de o societate distinctă juridic, operatorul trebuie analizat separat. Primăria trebuie însă să documenteze relația de subordonare, participare, delegare sau dependență.

Gestionarea deșeurilor

Gestionarea deșeurilor este prevăzută în Anexa nr. 2.

Trebuie stabilit dacă primăria:

  • furnizează efectiv serviciul;
  • îl administrează printr-o structură internă;
  • îl deleagă unui operator;
  • acționează doar ca autoritate contractantă;
  • participă la o asociație de dezvoltare intercomunitară;
  • controlează o societate locală care prestează serviciul.

Simpla responsabilitate administrativă pentru organizarea serviciului nu trebuie confundată automat cu furnizarea efectivă a acestuia.

Transport public local

În cazul transportului public, analiza trebuie să identifice operatorul efectiv, tipul serviciului și corespondentul exact cu tipurile de entități din sectorul transporturilor.

Primăria și operatorul de transport nu trebuie tratate automat ca aceeași entitate.

Infrastructură digitală și servicii TIC

Faptul că o primărie utilizează:

  • servere;
  • servicii cloud;
  • un centru de date;
  • aplicații informatice;
  • o platformă de taxe;
  • e-mail instituțional;
  • un website;
  • o rețea internă,

nu înseamnă că primăria devine automat furnizor de infrastructură digitală sau furnizor de servicii TIC gestionate.

Este relevant dacă primăria furnizează asemenea servicii către alte entități, în condițiile și sub forma prevăzută de anexele OUG nr. 155/2024.

Un exemplu care necesită o analiză aprofundată este cel al unei primării care găzduiește aplicații, administrează infrastructură sau oferă servicii IT pentru mai multe UAT-uri.

Încadrarea se analizează pe entitatea care furnizează efectiv serviciul

Unul dintre cele mai importante aspecte este identificarea furnizorului real.

Serviciul poate fi operat de:

  • aparatul propriu al primăriei;
  • un serviciu public fără personalitate juridică;
  • o instituție subordonată;
  • o societate comercială locală;
  • o regie autonomă;
  • o asociație de dezvoltare intercomunitară;
  • un operator delegat;
  • un furnizor privat.

În cazul unei entități distincte juridic, analiza NIS2 trebuie realizată separat pentru acea entitate.

Primăria trebuie totuși să păstreze o evidență privind:

  • serviciul furnizat;
  • operatorul responsabil;
  • contractul sau actul de delegare;
  • dependențele operaționale;
  • obligațiile de raportare;
  • cerințele de securitate incluse în contract;
  • mecanismele de continuitate;
  • responsabilitățile în cazul unui incident.

Fluxul practic de verificare a încadrării

Ghidul Prodefence propune un proces operațional care poate fi aplicat de comune, orașe, municipii și municipii reședință de județ.

1. Inițierea formală a verificării

Conducerea instituției trebuie să dispună realizarea evaluării printr-o decizie internă.

Verificarea nu trebuie delegată exclusiv departamentului IT. Încadrarea presupune informații juridice, administrative, contractuale, tehnice și operaționale.

Echipa ar trebui să includă, după caz:

  • reprezentantul conducerii;
  • secretarul general;
  • departamentul juridic;
  • IT;
  • achiziții;
  • contabilitate sau buget;
  • responsabilii serviciilor publice;
  • reprezentanții operatorilor sau structurilor subordonate.

2. Colectarea profilului administrativ

Se centralizează cel puțin:

  • denumirea și datele de identificare ale UAT;
  • tipul unității administrativ-teritoriale;
  • populația deservită;
  • numărul de angajați;
  • sediile și punctele de lucru;
  • structurile interne;
  • entitățile cu personalitate juridică distinctă;
  • operatorii delegați;
  • sistemele și aplicațiile informatice;
  • furnizorii IT și tehnologici.

3. Inventarierea serviciilor

Fiecare serviciu trebuie analizat separat.

Nu este suficientă formularea generică „primăria furnizează servicii publice”. Trebuie stabilit:

  • care este serviciul;
  • cine îl furnizează efectiv;
  • cui îi este furnizat;
  • ce infrastructură îl susține;
  • ce date sunt procesate;
  • de ce furnizori depinde;
  • cât timp poate fi indisponibil;
  • ce impact ar avea perturbarea sa.

4. Maparea la anexele OUG nr. 155/2024

Pentru fiecare serviciu se verifică:

  1. dacă se regăsește într-un sector din Anexa nr. 1;
  2. dacă se regăsește într-un sector din Anexa nr. 2;
  3. dacă tipul exact de entitate corespunde celui prevăzut în anexă;
  4. dacă primăria este furnizorul efectiv;
  5. dacă serviciul este delegat unei entități separate;
  6. dacă sunt aplicabile criteriile speciale prevăzute de art. 9.

Scopul nu este forțarea încadrării, ci stabilirea unei concluzii verificabile și argumentate.

5. Evaluarea efectului perturbator

Atunci când este identificat un serviciu relevant, trebuie analizate consecințele unei perturbări.

Ordinul directorului DNSC nr. 2/2025 reglementează criteriile și pragurile utilizate pentru determinarea gradului de perturbare și metodologia de evaluare a nivelului de risc al entităților.

Evaluarea trebuie să urmărească cel puțin:

  • numărul beneficiarilor afectați;
  • durata estimată a întreruperii;
  • efectele asupra sănătății și vieții persoanelor;
  • impactul asupra siguranței publice;
  • impactul financiar și economic;
  • afectarea drepturilor și libertăților persoanelor;
  • impactul asupra altor instituții și operatori;
  • dependențele intersectoriale;
  • afectarea datelor personale sau operaționale.

Un scenariu de perturbare poate avea ca punct de plecare:

  • un atac ransomware;
  • compromiterea unui cont privilegiat;
  • indisponibilitatea unui furnizor cloud;
  • o avarie a infrastructurii;
  • compromiterea unei aplicații;
  • pierderea conectivității;
  • coruperea sau indisponibilitatea datelor;
  • întreruperea unui serviciu tehnologic externalizat.

6. Utilizarea mecanismelor NIS2@RO

După colectarea și validarea datelor, rezultatul nu trebuie stabilit exclusiv printr-o apreciere informală.

Ordinul directorului DNSC nr. 1/2025 reglementează cerințele procesului de notificare în vederea înregistrării și metodele de transmitere a informațiilor. DNSC pune la dispoziție mecanismele NIS2@RO pentru identificare, calificare și notificare.

Primăria trebuie să păstreze:

  • formularul completat;
  • rezultatul generat;
  • documentele justificative;
  • ipotezele utilizate;
  • capturile sau fișierele exportate;
  • comunicările cu DNSC;
  • răspunsurile la eventualele solicitări de clarificare;
  • decizia conducerii.

Cele patru rezultate posibile ale analizei

1. Neîncadrare documentată

Primăria nu intră automat prin sectorul administrației publice centrale, nu furnizează direct servicii care corespund anexelor și nu sunt incidente criterii speciale relevante.

În acest caz se recomandă:

  • aprobarea unei fișe de neîncadrare;
  • arhivarea dosarului;
  • stabilirea unei date de revizuire;
  • reluarea analizei la apariția unor servicii sau operatori noi;
  • implementarea unor măsuri minime de securitate cibernetică.

2. Posibilă încadrare – clarificare necesară

Există servicii relevante, dar rolul primăriei sau al operatorului nu este suficient de clar.

Exemple:

  • serviciu local de apă furnizat printr-o structură internă;
  • gestionarea directă a deșeurilor;
  • operator subordonat;
  • platformă IT utilizată de mai multe UAT-uri;
  • serviciu TIC furnizat altor instituții;
  • structură fără personalitate juridică.

Este necesară completarea analizei și utilizarea mecanismelor NIS2@RO.

3. Încadrare probabilă

Primăria sau o structură a acesteia furnizează direct un serviciu care corespunde unui sector și unui tip de entitate din anexele OUG nr. 155/2024 ori îndeplinește criterii speciale relevante.

Se pregătesc:

  • notificarea;
  • dosarul justificativ;
  • evaluarea riscurilor;
  • matricea de conformitate;
  • planul de implementare;
  • documentația de securitate;
  • dovezile de aplicare a măsurilor.

4. Operator local potențial încadrabil

Primăria nu este furnizorul direct, dar o societate, instituție sau un serviciu public local poate intra sub incidența NIS2.

Operatorul trebuie să efectueze propria analiză, iar primăria trebuie să clarifice relațiile de guvernanță, responsabilitățile contractuale, raportările și cerințele de securitate.

De ce trebuie documentată și neîncadrarea?

O concluzie de tipul „primăria nu intră sub NIS2” nu este suficientă în lipsa documentelor care demonstrează modul în care a fost obținută.

Dosarul de verificare ar trebui să conțină:

  1. decizia de inițiere și componența echipei;
  2. datele administrative ale UAT;
  3. lista serviciilor publice;
  4. inventarul operatorilor și entităților locale;
  5. inventarul sistemelor IT și al furnizorilor;
  6. maparea serviciilor la anexele OUG nr. 155/2024;
  7. analiza criteriilor art. 9;
  8. scenariile și fișele privind perturbarea;
  9. rezultatele NIS2@RO;
  10. concluzia și aprobarea conducerii;
  11. istoricul revizuirilor.

Primăria trebuie să poată demonstra atât de ce intră, cât și de ce nu intră sub incidența NIS2.

Când trebuie reluată verificarea?

Analiza nu trebuie tratată ca un exercițiu unic.

Este recomandată revizuirea anuală și ori de câte ori apare una dintre următoarele situații:

  • înființarea unui serviciu public nou;
  • preluarea unui serviciu de la un operator;
  • delegarea sau externalizarea unui serviciu;
  • înființarea unei societăți locale;
  • reorganizarea aparatului de specialitate;
  • implementarea unei platforme digitale comune;
  • furnizarea de servicii IT altor instituții;
  • modificarea populației sau ariei deservite;
  • apariția unui incident cibernetic semnificativ;
  • modificarea legislației sau a instrucțiunilor DNSC.

Cadrul legislativ trebuie consultat în forma actualizată. OUG nr. 155/2024 a fost aprobată și modificată prin Legea nr. 124/2025, iar în iulie 2026 a intervenit și Legea nr. 123/2026, care completează art. 36 al ordonanței.

Ce trebuie să facă primăria după confirmarea încadrării?

După stabilirea unei încadrări sau a unei probabilități rezonabile de aplicabilitate, începe etapa de implementare NIS2.

Aceasta include, în principal:

  • notificarea și înregistrarea;
  • stabilirea guvernanței NIS2;
  • desemnarea responsabilităților;
  • evaluarea riscurilor;
  • analiza infrastructurii și a dependențelor;
  • stabilirea măsurilor de securitate;
  • elaborarea politicilor și procedurilor;
  • managementul incidentelor;
  • securitatea lanțului de aprovizionare;
  • continuitatea activității;
  • instruirea conducerii și a personalului;
  • monitorizarea implementării;
  • păstrarea dovezilor;
  • auditul și supravegherea conformității.

Pentru această etapă poate fi utilizat ghidul general „Primii pași în NIS2 România”, împreună cu instrumentele de implementare și monitorizare disponibile în platforma CysNis.

CysNis – suport digital pentru verificarea și implementarea NIS2

CysNis este o platformă dezvoltată de Prodefence pentru susținerea procesului de încadrare, implementare, monitorizare și documentare a cerințelor NIS2.

https://cysnis.ro/despre

https://cysnis.ro/prezentare-platforma

Platforma poate sprijini primăriile și operatorii locali în:

  • centralizarea datelor de identificare;
  • evaluarea preliminară a încadrării;
  • gestionarea informațiilor necesare notificării;
  • analiza efectului perturbator;
  • construirea matricei de conformitate;
  • evaluarea internă;
  • gestionarea registrului de riscuri;
  • planificarea implementării măsurilor;
  • generarea și administrarea documentelor;
  • monitorizarea progresului;
  • supravegherea executivă de către conducere;
  • pregătirea dovezilor pentru audit și control.

CysNis nu înlocuiește mecanismele oficiale DNSC și nici decizia autorității competente. Platforma oferă însă cadrul operațional necesar pentru pregătirea, organizarea și documentarea informațiilor care stau la baza procesului de conformitate.

Suport specializat Prodefence pentru primării și operatorii locali

Prodefence oferă servicii specializate pentru autoritățile publice locale și entitățile aflate în subordinea acestora:

Consultanță și audit în vederea implementării Directivei NIS2
  • verificarea aplicabilității OUG nr. 155/2024;
  • inventarierea și clasificarea serviciilor;
  • maparea serviciilor la Anexele nr. 1 și nr. 2;
  • analiza operatorilor și a relațiilor de delegare;
  • evaluarea efectului perturbator;
  • pregătirea dosarului de încadrare;
  • suport pentru utilizarea mecanismelor NIS2@RO;
  • consultanță pentru notificarea către DNSC;
  • evaluarea inițială a nivelului de conformitate;
  • elaborarea planului de implementare;
  • responsabil NIS2 externalizat;
  • audit tehnic și evaluări de securitate;
  • instruirea conducerii și a personalului.

Descarcă ghidul practic

Ghidul include:

  • interpretarea aplicabilității NIS2 pentru primării;
  • cadrul legal și operațional;
  • fluxul decizional de verificare;
  • pașii practici de analiză;
  • serviciile locale care trebuie verificate;
  • modelul de evaluare a perturbării;
  • checklist de încadrare;
  • structura recomandată a dosarului;
  • model de fișă pentru primărie;
  • model de fișă pentru fiecare serviciu;
  • scenarii practice;
  • măsuri minime recomandate inclusiv în cazul neîncadrării.

Descarcă: Ghid de verificare incadrare NIS2 Primarii

Primăriile nu intră automat sub NIS2 ca administrații publice centrale sau regionale, dar au obligația practică de a verifica și documenta dacă serviciile furnizate, administrate sau operate le pot aduce în domeniul de aplicare al OUG nr. 155/2024.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Încadrarea sub NIS2: codul CAEN nu e suficient

,

Încadrarea unei organizații în domeniul de aplicare al NIS2 nu poate fi realizată exclusiv prin verificarea codului CAEN principal.

În practică, numeroase organizații pornesc analiza de la obiectul principal de activitate și trag concluzia că, dacă acel cod nu apare în mod evident asociat unui sector reglementat, organizația nu intră sub incidența cerințelor NIS2.

Această abordare poate conduce la concluzii greșite.

Încadrarea se face în funcție de activitatea efectiv desfășurată

NIS2 și legislația națională de transpunere urmăresc tipul de entitate, serviciile furnizate, rolul acesteia într-un sector relevant și impactul pe care întreruperea activității îl poate produce.

Prin urmare, analiza trebuie să pornească de la activitatea efectivă a organizației, nu doar de la formularea înscrisă în certificatul constatator sau de la codul CAEN principal.

O organizație poate avea un cod CAEN aparent nerelevant, dar poate desfășura activități secundare, conexe sau autorizate care intră în mod direct într-un sector vizat de NIS2.

De asemenea, poate furniza servicii esențiale unor operatori din energie, transport, sănătate, infrastructură digitală, administrație publică, servicii financiare sau altor domenii cu importanță critică.

Activitatea critică nu înseamnă automat încadrare juridică

Este necesară o distincție între importanța economică sau operațională a unei organizații și încadrarea sa juridică efectivă.

O societate poate construi, întreține, proiecta sau furniza echipamente pentru o infrastructură critică fără să fie, în mod automat, operatorul serviciului reglementat.

De exemplu, trebuie diferențiat între:

  • organizația care proiectează sau construiește infrastructura;
  • organizația care operează infrastructura;
  • organizația care furnizează serviciul către utilizatori;
  • organizația care desfășoară activități autorizate sau licențiate;
  • subcontractantul care prestează servicii pentru un operator reglementat.

Această diferență este esențială deoarece NIS2 nu se aplică automat tuturor furnizorilor, constructorilor, consultanților sau prestatorilor care lucrează pentru o entitate esențială sau importantă.

În același timp, anumite organizații pot intra în domeniul de aplicare prin natura activității lor proprii, prin serviciile furnizate sau prin importanța sistemică pe care o au.

Ce trebuie analizat în mod concret

O evaluare corectă a încadrării trebuie să ia în considerare cel puțin următoarele elemente:

1. Activitățile efectiv desfășurate

Trebuie identificate toate activitățile reale ale organizației, inclusiv cele secundare, auxiliare sau desfășurate în baza unor contracte speciale.

Nu este suficientă verificarea obiectului principal de activitate.

2. Serviciile furnizate

Trebuie stabilit dacă organizația furnizează un serviciu care se încadrează într-un sector sau subsector reglementat.

Este important de analizat cine sunt beneficiarii, ce tip de serviciu primesc și ce rol are acel serviciu în funcționarea activității lor.

3. Licențele, autorizațiile și acreditările

În anumite sectoare, existența unei licențe sau autorizații poate reprezenta un indicator important pentru încadrare.

Trebuie verificate licențele active, domeniul lor de aplicare și activitățile pentru care au fost emise.

4. Rolul organizației în lanțul de furnizare

O organizație poate avea un rol limitat de furnizor obișnuit sau poate reprezenta un prestator esențial, dificil de înlocuit.

Trebuie analizat dacă întreruperea serviciilor sale ar afecta doar un client sau ar produce efecte asupra unui număr mai mare de operatori, utilizatori sau servicii esențiale.

5. Gradul de dependență al beneficiarilor

Dacă beneficiarii depind în mod direct de serviciile organizației pentru continuitatea activității lor, acest aspect poate deveni relevant în analiza efectului perturbator.

Dependența trebuie evaluată din punct de vedere operațional, tehnic și contractual.

6. Dimensiunea organizației

Numărul de angajați, cifra de afaceri, activele și relațiile de control sau afiliere pot influența încadrarea.

Analiza dimensiunii trebuie realizată corect, inclusiv prin raportare la întreprinderi partenere sau legate, atunci când legislația aplicabilă impune acest lucru.

7. Importanța națională sau regională

O organizație poate avea o importanță deosebită chiar dacă nu se încadrează în mod evident printr-un cod de activitate.

Poziția pe piață, numărul de beneficiari, caracterul unic al serviciului și dificultatea înlocuirii pot fi relevante.

8. Efectul perturbator

Trebuie analizat ce s-ar întâmpla dacă serviciul furnizat de organizație ar fi indisponibil.

Pot fi relevante consecințe precum:

  • întreruperea unui serviciu esențial;
  • afectarea siguranței publice;
  • pierderi economice semnificative;
  • afectarea sănătății populației;
  • perturbarea activității unor autorități;
  • afectarea infrastructurilor digitale;
  • blocarea unor lanțuri de aprovizionare;
  • impactul asupra altor sectoare critice.

Codul CAEN este doar un punct de plecare

Codul CAEN poate fi util pentru orientarea inițială, dar nu trebuie tratat ca un criteriu exclusiv.

Acesta descrie o activitate economică declarată, dar nu reflectă întotdeauna în mod complet:

  • toate activitățile organizației;
  • serviciile efectiv furnizate;
  • licențele deținute;
  • rolul în infrastructuri sau servicii esențiale;
  • dependențele operaționale;
  • importanța sistemică;
  • efectul perturbator al întreruperii activității.

Prin urmare, o concluzie bazată doar pe codul CAEN poate fi incompletă.

Furnizorii unei entități NIS2 nu devin automat entități NIS2

Un alt aspect frecvent interpretat greșit este relația dintre entitățile reglementate și furnizorii acestora.

Faptul că o organizație prestează servicii pentru o entitate esențială sau importantă nu determină automat propria sa încadrare sub NIS2.

Totuși, organizația poate fi supusă indirect unor cerințe contractuale mai stricte privind securitatea cibernetică, continuitatea, raportarea incidentelor, controlul accesului, protecția datelor și managementul riscurilor.

Entitățile reglementate trebuie să își gestioneze riscurile aferente lanțului de aprovizionare, iar acest lucru poate conduce la extinderea cerințelor de securitate către furnizori și subcontractanți.

În consecință, chiar și o organizație care nu intră direct sub NIS2 poate fi obligată contractual să respecte anumite standarde și măsuri de securitate.

Încadrarea directă și relevanța indirectă

În analiza unei organizații trebuie diferențiate două situații:

Încadrare directă

Organizația îndeplinește criteriile legale privind sectorul, tipul entității, dimensiunea sau identificarea individuală și devine entitate esențială sau importantă.

În această situație, obligațiile NIS2 îi sunt direct aplicabile.

Relevanță indirectă

Organizația nu este ea însăși entitate NIS2, dar furnizează produse sau servicii unor entități reglementate.

În acest caz, poate fi supusă cerințelor de securitate prin contracte, proceduri de achiziție, audituri de furnizor, acorduri privind nivelul serviciilor sau cerințe de continuitate.

Cele două situații nu trebuie confundate.

Identificarea individuală

În anumite cazuri, o organizație poate fi considerată relevantă chiar dacă nu rezultă o încadrare evidentă dintr-o analiză standard.

Pot fi avute în vedere elemente precum:

  • caracterul unic al serviciului;
  • imposibilitatea înlocuirii rapide;
  • importanța pentru siguranța publică;
  • riscul sistemic;
  • dependența altor sectoare;
  • impactul național sau regional;
  • consecințele majore ale întreruperii activității.

Astfel, analiza nu trebuie să se limiteze la o verificare formală.

Riscurile unei încadrări greșite

O organizație care se consideră în mod eronat în afara domeniului de aplicare poate întârzia implementarea măsurilor obligatorii.

Consecințele pot include:

  • nerespectarea obligațiilor de notificare;
  • lipsa măsurilor adecvate de management al riscurilor;
  • lipsa responsabilității clare la nivel de conducere;
  • nepregătirea pentru raportarea incidentelor;
  • lipsa documentației și a dovezilor de conformitate;
  • dificultăți în relația cu autoritățile;
  • sancțiuni;
  • răspundere managerială;
  • pierderea unor contracte sau oportunități comerciale.

În sens invers, o încadrare nejustificată poate conduce la costuri inutile, birocratizare și implementarea unor obligații care nu sunt aplicabile în mod direct.

Cum trebuie realizată analiza

O analiză profesionistă de încadrare ar trebui să includă:

  1. identificarea tuturor activităților organizației;
  2. verificarea activităților principale și secundare;
  3. analiza serviciilor și produselor furnizate;
  4. verificarea licențelor și autorizațiilor;
  5. analiza beneficiarilor și a contractelor relevante;
  6. evaluarea dimensiunii întreprinderii;
  7. verificarea relațiilor cu întreprinderi partenere sau legate;
  8. analiza rolului în lanțul de aprovizionare;
  9. evaluarea efectului perturbator;
  10. documentarea concluziei și a argumentelor;
  11. revizuirea periodică a încadrării.

Analiza trebuie actualizată atunci când apar modificări privind activitățile, dimensiunea, structura grupului, licențele, contractele sau serviciile furnizate.

Încadrarea sub NIS2 nu reprezintă un exercițiu formal bazat exclusiv pe codul CAEN

Este necesară o analiză juridică, operațională și tehnică a organizației.

Trebuie înțelese activitățile efectiv desfășurate, serviciile furnizate, rolul în sector, dimensiunea, licențele, dependențele și efectele unei eventuale întreruperi.

Încadrarea corectă poate fi stabilită doar prin corelarea tuturor acestor elemente.

În practică, întrebarea relevantă nu este doar:

„Ce cod CAEN are organizația?”

Ci mai ales:

„Ce servicii furnizează în realitate, cui le furnizează, în ce condiții și ce impact ar produce indisponibilitatea lor?”

Criteriile de încadrare, explicate pas cu pas, se găsesc pe pagina Verificare încadrare NIS2.

Verifică încadrarea direct în platforma de implementare a cerințelor NIS2 – CysNis

https://cysnis.ro/incadrare

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

Primii pași în implementarea NIS2 în România

,

Prodefence lansează ghidul „Primii pași în NIS2” – un instrument practic pentru organizațiile vizate de NIS2/OUG 155/2024

Implementarea cerințelor NIS2 în România nu trebuie tratată ca o simplă formalitate administrativă sau ca un proiect exclusiv IT. Pentru organizațiile vizate, NIS2 înseamnă guvernanță, management al riscurilor, securitate cibernetică, continuitate operațională, responsabilitate managerială, raportare a incidentelor și capacitatea de a demonstra conformarea prin dovezi clare.

Pentru a sprijini organizațiile aflate la începutul procesului de conformare, Prodefence S.R.L. lansează ghidul practic „Primii pași în NIS2”, un document de referință care explică, într-o ordine operațională, ce trebuie făcut înainte, în timpul și după notificarea către DNSC.

Ghidul este conceput pentru management, responsabili IT, responsabili NIS2, departamente juridice, achiziții, conformitate, audit intern, operațional și pentru toate organizațiile care trebuie să clarifice dacă intră sub incidența NIS2/OUG 155/2024. Documentul precizează că scopul său este de orientare, planificare și control intern, fără a înlocui analiza individuală, consultanța juridică sau instrucțiunile oficiale ale autorităților competente.

De ce este necesar un ghid practic NIS2?

Multe organizații încep greșit procesul de conformare: descarcă modele de politici, completează checklisturi generale sau pornesc direct de la documentație, fără să stabilească mai întâi dacă intră în domeniul NIS2, ce servicii relevante furnizează, ce nivel de risc au și ce măsuri concrete trebuie aplicate.

Această abordare poate genera o conformare formală, greu de susținut în fața unui audit, control sau incident.

Mesajul central al ghidului Prodefence este clar:

Nu începeți cu documentele și nu începeți cu checklistul. Începeți cu identificarea corectă, notificarea fundamentată, evaluarea riscului și stabilirea nivelului de măsuri aplicabil.

Această logică este esențială deoarece NIS2 nu cere doar existența unor documente, ci existența unui proces real, urmărit, aprobat, implementat și demonstrabil.

Ce conține ghidul „Primii pași în NIS2”?

Ghidul Prodefence structurează procesul NIS2 într-un flux practic, de la identificarea organizației până la audit, raportare și îmbunătățire continuă.

Documentul include:

1. Fluxul operațional corect pentru NIS2 în România

Ghidul explică ordinea logică a procesului:

identificare → notificare → evaluare → înregistrare → evaluare nivel de risc → matrice de conformitate → plan de implementare → implementare măsuri → autoevaluare → audit → raportare incidente.

Această ordine este importantă deoarece organizația trebuie să poată justifica fiecare etapă, nu doar să declare că aplică anumite controale.

2. Checklist de pregătire pentru notificarea DNSC

Documentul include un checklist util înainte de notificare, cu elemente precum:

date de identificare ale entității, persoană de contact NIS2, sector și subsector, servicii relevante, dimensiunea entității, sedii, sisteme informatice, furnizori critici, justificarea încadrării, evaluarea perturbării, formularul de notificare și dovada transmiterii.

3. Model de dosar NIS2

Un element practic important este modelul de dosar NIS2, care ajută organizațiile să își organizeze documentele și dovezile într-o structură auditabilă:

identificare și încadrare, notificare DNSC, evaluare perturbare, evaluare risc, matrice de conformitate, plan de implementare, politici și proceduri, registre operaționale, autoevaluare, audit și control, incidente și dovezi tehnice.

4. RACI extins de responsabilități

NIS2 nu este responsabilitatea exclusivă a departamentului IT. Ghidul include o matrice RACI care arată implicarea managementului, responsabilului NIS2, IT/security, juridic/achiziții, HR, consultantului și auditului.

5. Documente și registre minime recomandate

Ghidul prezintă documentele și registrele esențiale pentru o implementare coerentă, inclusiv:

registru de riscuri, registru de active, registru de furnizori, registru de vulnerabilități, registru de incidente, registru de acces, registru de instruiri și registru de excepții.

6. Matrice operațională pentru cerințele Art. 21

Pentru a evita o abordare pur teoretică, ghidul traduce principalele domenii de măsuri în controale și dovezi: managementul riscurilor, gestionarea incidentelor, continuitate, backup, securitatea lanțului de aprovizionare, securitatea achiziției/dezvoltării/mentenanței sistemelor, instruire, criptografie, control acces, MFA și comunicații securizate.

7. Roadmap de implementare 30/60/90 zile

Pentru organizațiile aflate la început, ghidul propune un roadmap practic:

în primele 30 de zile – guvernanță, identificare și notificare;
în 31–60 zile – evaluare de risc și planificare;
în 61–90 zile – controale prioritare;
în 3–6 luni – operaționalizare;
în 6–12 luni – maturizare și audit.

8. Playbook pentru incidente și raportare

Raportarea incidentelor este tratată ca proces continuu, nu ca acțiune punctuală. Ghidul descrie etapele minime: detectare, triage, escaladare, limitare, analiză impact, notificare, eradicare, recuperare și lecții învățate.

9. Managementul furnizorilor și lanțului de aprovizionare

Una dintre zonele sensibile ale NIS2 este securitatea furnizorilor. Ghidul include recomandări privind identificarea furnizorilor critici, clasificarea criticității, due diligence, clauze contractuale, monitorizare și planuri de exit.

10. Rolul managementului

Documentul subliniază că managementul trebuie să aprobe direcția, resursele, prioritățile și acceptarea riscurilor. Externalizarea consultanței sau a rolului operațional nu elimină obligația de supraveghere a conducerii.

Cum ajută platforma CysNis în procesul de conformare NIS2?

Ghidul explică și modul în care platforma CysNis poate susține organizațiile în organizarea procesului de conformare.

CysNis poate fi utilizată pentru:

  • structurarea datelor de identificare și încadrare;
  • organizarea notificării și a dosarului DNSC;
  • centralizarea evaluării de risc și a justificărilor;
  • urmărirea matricei de conformitate;
  • monitorizarea planului de implementare;
  • colectarea dovezilor;
  • gestionarea registrelor operaționale;
  • raportarea progresului către management;
  • pregătirea pentru audit, control și remediere.

Platforma nu înlocuiește analiza profesională, dar oferă un cadru digital de lucru care ajută organizațiile să păstreze trasabilitatea, statusul și dovezile într-un mod coerent.

Pentru cine este recomandat ghidul?

Ghidul este util pentru:

  • organizații care nu știu dacă intră sau nu sub incidența NIS2;
  • entități care trebuie să pregătească notificarea către DNSC;
  • companii care au început procesul, dar nu au o ordine clară de implementare;
  • organizații care vor să creeze un dosar NIS2 auditabil;
  • management care trebuie să înțeleagă responsabilitățile directe;
  • consultanți, auditori, responsabili IT și responsabili NIS2;
  • organizații publice și private din sectoare relevante: transport, sănătate, energie, utilități, furnizori digitali, infrastructuri critice, administrație și servicii esențiale.

De ce să descarci ghidul?

Pentru că oferă o abordare aplicabilă, nu doar teoretică. Ghidul te ajută să înțelegi:

  • de unde trebuie început procesul NIS2;
  • cum se pregătește notificarea;
  • ce livrabile trebuie urmărite;
  • ce dovezi sunt necesare;
  • ce greșeli trebuie evitate;
  • cum se implică managementul;
  • cum se structurează dosarul NIS2;
  • cum se transformă cerințele în controale, registre și acțiuni;
  • cum poate fi folosită platforma CysNis în implementare și monitorizare.


Descarcă ghidul gratuit

Descarcă ghidul Prodefence: „Primii pași în NIS2”
Un document practic pentru organizațiile care vor să înceapă corect procesul de conformare NIS2 în România.

Prin descărcarea ghidului, vei primi un instrument practic de orientare pentru identificare, notificare, evaluare de risc, planificare, implementare, audit și raportare în contextul NIS2/OUG 155/2024.

Ai nevoie de sprijin în implementarea NIS2?

Prodefence oferă servicii profesionale de consultanță pentru organizațiile care trebuie să implementeze cerințele NIS2/OUG 155/2024, inclusiv:

  • analiză de încadrare NIS2;
  • suport pentru notificarea către DNSC;
  • evaluare de risc și evaluare de perturbare;
  • dezvoltarea matricei de conformitate;
  • plan de implementare;
  • politici, proceduri și registre operaționale;
  • pregătire pentru audit și control;
  • instruire și conștientizare;
  • suport prin platforma CysNis;
  • servicii de responsabil NIS2 externalizat.

Implementarea NIS2 trebuie să fie documentată, proporțională și demonstrabilă. Prodefence poate sprijini organizația în construirea unui proces real de conformare, adaptat sectorului, dimensiunii, nivelului de risc și obligațiilor aplicabile.

Vrei să afli dacă organizația ta intră sub incidența NIS2 sau ai nevoie de suport în implementare?

Intră pe platforma noastră CysNis, adaugă CUI-ul organizației și află ce trebuie să faci – https://cysnis.ro/incadrare

Instruirea angajaților poate începe încă din primele luni, cu materiale existente: cursurile de pe CysEdu și jocurile interactive gratuite de pe CysGame.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

NIS2 România: ghid complet de implementare

,

Prodefence lansează un ghid vizual și practic dedicat organizațiilor care trebuie să înțeleagă, să planifice și să implementeze cerințele NIS2 în România.

Directiva NIS2 reprezintă una dintre cele mai importante schimbări legislative și operaționale în domeniul securității cibernetice la nivel european. În România, cadrul de transpunere este stabilit prin OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, iar DNSC are un rol central în coordonarea, notificarea, supravegherea și sprijinirea aplicării cadrului NIS2.

Pentru organizațiile vizate, NIS2 nu trebuie privită doar ca o obligație de conformare. Ea trebuie înțeleasă ca un cadru de maturizare instituțională, tehnică și operațională, prin care entitățile își consolidează capacitatea de prevenire, detecție, răspuns și recuperare în fața incidentelor cibernetice.

În acest context, Prodefence lansează „NIS2 România – Ghid complet de la înțelegere la implementare”, un material conceput pentru a oferi claritate organizațiilor care au nevoie să înțeleagă aplicabilitatea NIS2, pașii de încadrare, responsabilitățile interne, cerințele de securitate și modul în care conformarea poate fi transformată într-un proces real de reziliență cibernetică.

Descarcă Ghidul

De ce este necesar un ghid NIS2 pentru România

NIS2 extinde nivelul de responsabilitate al organizațiilor care furnizează servicii esențiale sau importante pentru economie și societate. Directiva urmărește creșterea nivelului comun de securitate cibernetică în Uniunea Europeană, prin măsuri de management al riscurilor, raportare a incidentelor, responsabilitate managerială, securitatea lanțului de aprovizionare și continuitatea serviciilor.

În practică, multe organizații se confruntă cu întrebări esențiale:

  • intrăm sau nu sub incidența NIS2?
  • suntem entitate esențială sau importantă?
  • ce trebuie notificat către DNSC?
  • ce măsuri trebuie implementate?
  • ce documente trebuie pregătite?
  • cine răspunde intern pentru coordonarea procesului?
  • cum demonstrăm conformarea în cazul unui control sau audit?
  • cum transformăm cerințele legale într-un plan de implementare realist?

Ghidul Prodefence răspunde acestor întrebări într-un format vizual, structurat și ușor de parcurs, oferind organizațiilor o imagine clară asupra etapelor principale din procesul NIS2.

Ce conține ghidul „NIS2 România”

Ghidul este construit ca un material de referință pentru organizațiile care doresc să înțeleagă rapid cadrul NIS2 și să își planifice următorii pași. Structura acestuia urmărește parcursul firesc al unei organizații: de la înțelegerea directivei și a transpunerii în România, până la evaluarea riscurilor, implementarea măsurilor și monitorizarea continuă.

Materialul include explicații vizuale despre:

  • cadrul NIS2 în România;
  • rolul DNSC în procesul de notificare, supraveghere și cooperare;
  • rolul responsabilului NIS sau al responsabilului de securitate;
  • responsabilitățile managementului;
  • cele 18 sectoare vizate de NIS2;
  • criteriile dimensionale și excepțiile relevante;
  • verificarea încadrării organizației;
  • fluxul de notificare către DNSC;
  • diferența dintre entitate esențială și entitate importantă;
  • riscurile neînregistrării sau ale lipsei implementării măsurilor;
  • evaluarea nivelului de risc;
  • registrul de riscuri;
  • transformarea riscurilor în plan de măsuri;
  • gap analysis NIS2;
  • planul de remediere;
  • măsurile minime de securitate;
  • documentația necesară pentru conformare;
  • NIS2 ca proces continuu, nu ca acțiune singulară;
  • managementul incidentelor;
  • fluxul de raportare a incidentelor;
  • aplicarea NIS2 în sectoare precum energie, sănătate, utilități, administrație publică, furnizori IT și digitali;
  • securitatea lanțului de aprovizionare și furnizorii critici.

Această structură transformă ghidul într-un instrument util atât pentru management, cât și pentru responsabilii tehnici, juridici, de conformitate, risc, audit sau securitate cibernetică.

NIS2 nu este doar conformare. Este reziliență operațională.

Una dintre ideile centrale ale ghidului este că NIS2 nu trebuie redusă la o bifă administrativă sau la un dosar formal. O organizație poate avea documente, politici și proceduri, dar fără implementare reală acestea nu reduc riscul operațional.

Conformarea NIS2 trebuie să răspundă la întrebări concrete:

  • ce servicii sunt critice pentru organizație?
  • ce active IT și OT susțin aceste servicii?
  • ce amenințări pot afecta continuitatea?
  • ce vulnerabilități există?
  • ce controale sunt deja implementate?
  • ce controale lipsesc?
  • cine este responsabil?
  • care sunt termenele?
  • cum se documentează progresul?
  • cum se raportează incidentele?
  • cum se verifică periodic eficiența măsurilor?

Din această perspectivă, NIS2 devine un proces de guvernanță și management al riscului, nu doar un exercițiu juridic.

Importanța managementului în conformarea NIS2

Un aspect esențial al NIS2 este implicarea conducerii organizației. Managementul nu are doar un rol simbolic, ci trebuie să aprobe, să susțină și să supravegheze implementarea măsurilor de securitate.

În practică, acest lucru înseamnă:

  • aprobarea politicilor și măsurilor de securitate;
  • asumarea riscurilor reziduale;
  • alocarea resurselor financiare și umane;
  • monitorizarea progresului implementării;
  • sprijinirea instruirii personalului;
  • susținerea raportării către autorități;
  • implicarea în procesul de remediere și îmbunătățire continuă.

Fără implicarea reală a conducerii, conformarea NIS2 riscă să rămână formală, fragmentată și vulnerabilă.

Rolul responsabilului NIS sau al responsabilului de securitate

Ghidul evidențiază și rolul operațional al persoanei desemnate să coordoneze procesul NIS2 în cadrul organizației. Responsabilul NIS sau responsabilul de securitate devine punctul de legătură între management, echipele tehnice, zona de conformitate, audit, juridic și autorități.

Acesta trebuie să contribuie la:

  • coordonarea implementării măsurilor;
  • monitorizarea riscurilor;
  • actualizarea registrului de riscuri;
  • urmărirea incidentelor;
  • comunicarea cu DNSC, acolo unde este cazul;
  • organizarea documentației de conformare;
  • pregătirea auditului;
  • raportarea internă către management;
  • urmărirea progresului măsurilor corective.

Rolul nu este doar administrativ. Este un rol de coordonare operațională și de control continuu.

Evaluarea riscului – punctul central al implementării NIS2

Un proces NIS2 solid trebuie să pornească de la evaluarea riscului. Organizația trebuie să înțeleagă ce active, servicii și procese sunt critice, ce amenințări le pot afecta și ce vulnerabilități pot permite materializarea incidentelor.

Evaluarea riscului trebuie să includă:

  • identificarea activelor;
  • identificarea amenințărilor;
  • identificarea vulnerabilităților;
  • estimarea probabilității;
  • estimarea impactului;
  • stabilirea nivelului de risc;
  • prioritizarea măsurilor de tratament;
  • documentarea responsabililor și termenelor;
  • monitorizarea continuă a progresului.

Fără o evaluare realistă a riscului, măsurile de securitate pot deveni fie insuficiente, fie disproporționate, fie greu de justificat în fața managementului și a autorităților.

De la risc la plan de măsuri

Un alt element important al ghidului este transformarea riscurilor identificate în acțiuni concrete. Evaluarea riscului este utilă doar dacă rezultatul ei este transpus într-un plan clar de implementare.

Un plan de măsuri eficient trebuie să includă:

  • riscul identificat;
  • controlul lipsă sau insuficient;
  • măsura propusă;
  • responsabilul desemnat;
  • termenul de implementare;
  • resursele necesare;
  • bugetul estimat;
  • statusul implementării;
  • dovezile de implementare;
  • raportarea progresului.

Această abordare ajută organizația să treacă de la constatări generale la acțiuni urmărite, documentate și verificabile.

Documentația necesară pentru conformare

Conformarea NIS2 trebuie susținută prin documente clare, actualizate și aplicabile. Documentația nu este doar o cerință formală, ci dovada faptului că organizația are procese de securitate definite și controlabile.

Printre documentele importante se pot regăsi:

  • politici de securitate;
  • proceduri operaționale;
  • registrul de riscuri;
  • planul de măsuri;
  • planul de continuitate;
  • planul de răspuns la incidente;
  • rapoarte de audit;
  • dovezi de implementare;
  • evidențe de instruire;
  • registre, aprobări, loguri și capturi relevante;
  • documente privind furnizorii critici;
  • rapoarte interne către management.

O documentație bună trebuie să reflecte realitatea operațională, nu doar să existe într-un dosar.

NIS2 ca proces continuu

Un mesaj important al ghidului este că NIS2 nu se finalizează odată cu o notificare, o evaluare sau un audit. Conformarea trebuie tratată ca un proces continuu.

Organizațiile trebuie să reia periodic etapele de:

  • identificare;
  • evaluare;
  • implementare;
  • monitorizare;
  • raportare;
  • audit;
  • îmbunătățire;
  • reevaluare.

Amenințările se schimbă, infrastructurile se modifică, furnizorii se schimbă, apar servicii noi, iar nivelul de risc evoluează. Din acest motiv, conformarea NIS2 trebuie integrată în cultura de securitate și în procesele de guvernanță ale organizației.

NIS2 pentru sectoare critice

Ghidul include și pagini dedicate unor sectoare relevante pentru aplicarea NIS2 în România, precum:

  • energie;
  • sănătate;
  • utilități;
  • administrație publică;
  • furnizori IT și digitali;
  • lanțul de aprovizionare și furnizorii critici.

Pentru fiecare sector, ghidul pune accent pe specificul riscurilor, activele critice, măsurile esențiale, responsabilitățile interne, continuitatea serviciilor și beneficiile unei abordări structurate.

Această componentă este importantă deoarece NIS2 nu se aplică identic în toate organizațiile. Sectorul, serviciul prestat, dimensiunea organizației, rolul în lanțul de aprovizionare și criteriile speciale prevăzute de lege pot influența modul de încadrare și nivelul cerințelor aplicabile.

Prodefence – consultanță, audit și suport pentru implementarea NIS2

Prodefence oferă sprijin organizațiilor care au nevoie să înțeleagă, să evalueze și să implementeze cerințele NIS2 într-un mod structurat și realist.

Serviciile Prodefence includ:

  • consultanță pentru implementarea NIS2;
  • verificarea încadrării organizației;
  • evaluarea nivelului de pregătire;
  • analiză de risc;
  • audit de securitate;
  • scanare de vulnerabilități;
  • teste de penetrare;
  • investigarea incidentelor informatice;
  • suport pentru documentație și planuri de măsuri;
  • instruire și educație cibernetică pentru management și personal;
  • sprijin în dezvoltarea unei culturi organizaționale de securitate.

Abordarea Prodefence urmărește transformarea conformării într-un proces practic, documentat și adaptat realității fiecărei organizații.

CysNIS – platformă de suport pentru implementarea NIS2

Pentru organizațiile care doresc o abordare digitalizată și urmărită pas cu pas, Prodefence integrează și suportul oferit prin platforma CysNIS.

CysNIS este o platformă de suport pentru implementarea NIS2, dezvoltată pentru a ajuta organizațiile să gestioneze mai clar procesul de conformare, de la verificarea încadrării până la documentarea măsurilor și urmărirea progresului.

Platforma poate sprijini organizațiile în procese precum:

  • verificarea încadrării;
  • autoevaluare;
  • evaluarea nivelului de risc;
  • generarea și organizarea documentației;
  • monitorizarea implementării;
  • urmărirea checklisturilor;
  • gestionarea progresului;
  • utilizarea unui asistent AI dedicat;
  • suport pentru planuri de implementare;
  • centralizarea informațiilor relevante pentru conformare.

Combinația dintre consultanța Prodefence și platforma CysNIS oferă organizațiilor o abordare mai clară, mai eficientă și mai controlabilă pentru implementarea NIS2.

De ce contează pregătirea din timp

Așteptarea până în momentul unui control, incident sau solicitări din partea autorităților poate crește riscul operațional, reputațional, juridic și financiar. Organizațiile care tratează NIS2 din timp pot obține beneficii importante:

  • claritate asupra obligațiilor;
  • reducerea riscurilor;
  • procese interne mai bine definite;
  • documentație pregătită;
  • responsabilități clare;
  • reacție mai bună la incidente;
  • continuitate operațională;
  • încredere mai mare din partea partenerilor, clienților și autorităților;
  • o cultură de securitate mai matură.

NIS2 nu trebuie tratată ca o presiune externă, ci ca o oportunitate de consolidare a organizației.

Concluzie: conformarea începe cu înțelegerea

„NIS2 România – Ghid complet de la înțelegere la implementare” este un material creat pentru organizațiile care au nevoie de claritate într-un domeniu complex, aflat la intersecția dintre legislație, management, securitate cibernetică, continuitate operațională și responsabilitate instituțională.

Prin acest ghid, Prodefence își propune să sprijine organizațiile în înțelegerea pașilor necesari și în transformarea cerințelor NIS2 într-un proces aplicabil, documentat și sustenabil.

Conformarea începe cu înțelegerea. Reziliența începe cu acțiunea.

Pentru consultanță, audit sau suport în implementarea NIS2:

Prodefence
🌐 www.prodefence.ro
📧 [email protected]

CysNIS – platformă de suport pentru implementarea NIS2
🌐 www.cysnis.ro

Descarcă Ghidul

Componenta de instruire a implementării se poate sprijini pe cursurile structurate pe niveluri de pe CysEdu și pe jocurile interactive gratuite de pe CysGame, despre phishing, ransomware și protecția datelor.

Întrebări frecvente despre NIS2 România

Ce este NIS2?

NIS2 este directiva europeană care stabilește un cadru comun pentru creșterea nivelului de securitate cibernetică în Uniunea Europeană. Aceasta introduce cerințe privind managementul riscurilor, raportarea incidentelor, responsabilitatea conducerii, securitatea lanțului de aprovizionare și continuitatea serviciilor.

Cum a fost transpusă NIS2 în România?

În România, cadrul principal de transpunere este OUG nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025. DNSC publică informații și instrumente relevante pentru procesul NIS2 în România.

Cine trebuie să verifice încadrarea sub NIS2?

Organizațiile care activează în sectoarele vizate de NIS2 trebuie să analizeze dacă intră sub incidența cadrului legal, în funcție de sector, serviciul prestat, dimensiune și criteriile speciale aplicabile.

Care este diferența dintre entitate esențială și entitate importantă?

Diferența ține de criteriile de încadrare, sector, dimensiune, rolul organizației și nivelul de criticitate. În practică, stabilirea încadrării trebuie făcută individual, pe baza cadrului legal aplicabil și a instrumentelor oficiale disponibile.

De ce este importantă implementarea măsurilor NIS2?

Pentru că simpla încadrare sau notificare nu este suficientă. Organizația trebuie să implementeze măsuri tehnice, operaționale și organizatorice pentru reducerea riscurilor, protejarea serviciilor și demonstrarea unui nivel adecvat de securitate.

Cum poate ajuta Prodefence?

Prodefence poate sprijini organizațiile prin consultanță NIS2, evaluare de risc, audit, verificarea măsurilor, scanări de vulnerabilitate, teste de penetrare, documentație, instruire și suport pentru implementare.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.

500.000 de conturi Fortinet VPN expuse: rolul avertizărilor timpurii

Articol publicat în octombrie 2021.

În septembrie 2021, o listă cu aproximativ 500.000 de servere Fortinet (FortiGate) VPN vulnerabile, împreună cu datele de autentificare ale utilizatorilor, a fost publicată pe un forum de hacking. Pentru organizațiile din România care primiseră și aplicaseră avertizarea trimisă de ProDefence prin CERT-RO în martie 2021, publicarea nu a mai fost un motiv de panică.

Pe scurt

  • Vulnerabilitatea era publică de mult timp și fusese exploatată mai întâi de grupuri restrânse, apoi de oricine.
  • În februarie–martie 2021, ProDefence a identificat serverele vulnerabile din România și a transmis lista către CERT-RO (astăzi DNSC).
  • Erau afectate instituții publice și firme private: distribuitori de echipamente medicale, agenții de turism, telecomunicații, un lanț farmaceutic.
  • Lista publicată în septembrie conținea serverele raportate în martie, plus câteva noi.
  • Remedierea vulnerabilității nu rezolvă problema serverelor deja compromise.

Cronologie

Februarie 2021: identificarea

După publicarea vulnerabilității, am testat impactul asupra serverelor VPN și am început analiza infrastructurii din România pentru a găsi serverele expuse. Am publicat și o avertizare discretă pe rețelele sociale.

Scurgerea de date Fortinet VPN, captură din analiza ProDefence (2)

Martie 2021: avertizarea

Am centralizat informațiile despre serverele din România care rulau serviciul și le-am trimis Centrului Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO), devenit ulterior Directoratul Național de Securitate Cibernetică. Echipa de răspuns la incidente a identificat de urgență proprietarii și i-a avertizat că vulnerabilitatea expune datele de autentificare ale utilizatorilor VPN.

Scurgerea de date Fortinet VPN, captură din analiza ProDefence (3)
Scurgerea de date Fortinet VPN, captură din analiza ProDefence (4)

Septembrie 2021: publicarea listei

Lista a apărut public și conținea toate serverele vulnerabile de la publicarea vulnerabilității, cu utilizatorii și parolele în clar, organizate pe țări și adrese IP. A fost un moment de panică pentru administratori, echipe IT și centre de securitate, dar nu și pentru cei care se conformaseră în martie.

Scurgerea de date Fortinet VPN, captură din analiza ProDefence (1)
Sursă: CERT-RO – 2021/09/09
Scurgerea de date Fortinet VPN, captură din analiza ProDefence (5)

Problema despre care se vorbește puțin

Toată lumea s-a concentrat pe eliminarea vulnerabilității, dar aproape nimeni nu a discutat despre serverele deja exploatate. Cu ce au fost infectate? Ce comenzi s-au executat? O rețea în care atacatorul a intrat înainte de remediere poate rămâne compromisă și după aplicarea actualizării.

Lecția: comunicare și conformare

Vulnerabilitatea fusese exploatată mult timp, deci administratorii nu puteau preveni primele compromiteri. Puteau însă, din martie 2021, să dea curs avertizării CERT-RO și să evite o nouă compromitere. Cei care s-au conformat atunci nu au avut motive de panică în septembrie.

Astăzi, entitățile NIS2 au obligația de a gestiona vulnerabilitățile și de a notifica incidentele. ProDefence oferă audit de securitate web și de rețea și are o politică de divulgare responsabilă.

Mulțumim echipei de răspuns la incidente a Directoratului Național de Securitate Cibernetică pentru promptitudinea cu care tratează fiecare avertizare transmisă de ProDefence.

Mirai botnet în România: ce face, ce dispozitive infectează și cum îl detectezi

Articol publicat în octombrie 2021. Mirai și variantele sale sunt în continuare active.

Mirai este un botnet care infectează dispozitive conectate la internet slab securizate (routere, camere, console de jocuri, dispozitive smart din locuințe) și le transformă în executanți ai comenzilor atacatorilor. Principala utilizare este atacul DDoS: mii de dispozitive infectate trimit simultan trafic spre o țintă până o blochează. Proprietarul dispozitivului observă de obicei doar că „iar merge greu internetul”.

Pe scurt

  • Mirai exploatează dispozitive cu parole implicite sau firmware neactualizat.
  • Dispozitivul infectat poate scana alte dispozitive, forța parole, distribui malware și participa la atacuri DDoS.
  • Activitatea poate fi programată noaptea sau în afara orelor de lucru, ca să treacă neobservată.
  • Platforme publice precum Mirai tracker și GreyNoise arată adresele IP din România implicate.

Ce face Mirai

Am mai analizat botnetul în articolul despre Mirai, Berbew și dispozitivele IoT din România. Pe scurt, un dispozitiv infectat execută orice comandă a atacatorilor: scanarea altor dispozitive, furt de date, forțarea datelor de acces, distribuirea de programe malițioase. Rolul principal rămâne însă integrarea într-o „armată digitală” folosită pentru atacuri DDoS asupra altor rețele.

Mirai botnet în România, captură din analiza ProDefence (1)
De asemenea, au existat și alte avertizări!
Mirai botnet în România, captură din analiza ProDefence (2)
Sursă: imperva.com

Botnetul preferă dispozitivele pe care proprietarii le verifică rar: routere, console, dispozitive smart. De aceea este greu de observat.

Cum îți dai seama că un dispozitiv este infectat

Mirai botnet în România, captură din analiza ProDefence (3)
Sursă:https://threatmap.checkpoint.com/

Semnele sunt adesea simțite, dar ignorate, din lipsă de informare: internetul devine lent sau instabil fără motiv aparent. Activitatea se observă mai ales când botnetul primește comanda de scanare sau participă la un atac DDoS, fiindcă atunci consumă mult trafic. Dacă este programat după fusul orar, va acționa când utilizatorii dorm sau sunt în afara programului.

Metode de detecție

Monitorizarea traficului

Varianta sigură este monitorizarea și analiza traficului de rețea, de către un specialist sau cu o aplicație de alertare, pentru a descoperi dispozitivele compromise. Este recomandată instituțiilor, firmelor și persoanelor care vor să știe ce fac dispozitivele lor.

Platforme publice

A doua variantă este verificarea adresei IP pe platforme care colectează activitatea suspectă:

  • Mirai tracker afișează ultima activitate înregistrată; pentru România se caută „RO”, dar funcționează pentru orice țară;
Mirai botnet în România, captură din analiza ProDefence (4)
Iar adresa finală va fi: https://mirai.security.gives/index.php?search=RO
Mirai botnet în România, captură din analiza ProDefence (5)
  • GreyNoise permite filtrarea adreselor din România clasificate ca malițioase și etichetate Mirai;
Mirai botnet în România, captură din analiza ProDefence (6)
Rezultatele sunt destul de clare. 370 de Ip-uri au sau avut legătură cu semnatura botnet-ului Mirai.
  • o simplă căutare a adresei IP pe Google poate arăta dacă apare în liste de activitate suspectă.

Cum previi infectarea

  • schimbă parolele implicite ale routerelor, camerelor și dispozitivelor smart;
  • actualizează firmware-ul și renunță la dispozitivele vechi care nu mai primesc actualizări;
  • dezactivează accesul de la distanță dacă nu îl folosești;
  • dacă internetul „face figuri” des, anunță furnizorul, administratorul IT sau un specialist.

Atitudinea „nu are ce să îmi ia mie” transformă casa sau biroul într-un punct de trecere pentru infractori. Pentru verificarea unei rețele de firmă, ProDefence oferă audit de securitate web și de rețea.

Sari la conținut