Drumul NIS2
Termenele din NIS2 nu sunt date fixe în calendar. Fiecare curge de la un eveniment al firmei tale: ziua în care intri sub lege, decizia DNSC, trimiterea evaluării de risc, autoevaluarea. De aceea drumul e o secvență, nu un calendar.
Opt stații, în ordinea în care le întâlnești. La fiecare: ce e, până când, pe ce articol se bazează, ce riști și ce faci acum.
Stația 1
Ești în joc?
Până când
Acum
Încadrarea finală o face DNSC prin decizie, după ce te notifici.
Ce e
Legea se aplică firmelor din 18 sectoare. Unsprezece sunt „cu importanță critică ridicată”: energie, transport, bănci, piețe financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, servicii IT gestionate, administrație publică centrală, spațiu. Alte șapte sunt „de importanță critică”: poștă și curierat, deșeuri, substanțe chimice, alimente, fabricare (dispozitive medicale, electronice, echipamente electrice, mașini, autovehicule, alte mijloace de transport), furnizori digitali, cercetare.
Intri dacă ești cel puțin firmă mijlocie: 50 de angajați sau mai mult, sau, sub 50, dacă atât cifra de afaceri, cât și activele totale trec de 10 milioane de euro. Dacă faci parte dintr-un grup, cifrele pot fi cumulate.
Câteva categorii intră indiferent de mărime: furnizorii de servicii DNS, registrele de domenii, prestatorii de servicii de încredere, furnizorii de rețele și servicii de comunicații electronice, entitățile critice și oricine e singurul furnizor al unui serviciu esențial, prin decizie DNSC.
Ce faci acum
- Introduci CUI-ul în instrument; luăm sectorul, angajații și cifra de afaceri din datele ANAF.
- Confirmi sectoarele în care lucrezi cu adevărat, nu doar codul CAEN.
- Răspunzi la câteva întrebări despre cazurile speciale: grup, DNS, cloud, comunicații, DORA.
Stația 2
Te înregistrezi la DNSC
Până când
30 de zile de când te încadrezi
Termenul inițial a trecut; înregistrarea târzie e mai bună decât lipsa ei.
Ce e
Trimiți o notificare în Platforma NIS2@RO (platformanis2.ro), semnată cu semnătură electronică calificată, cu datele firmei: denumire, sedii, contacte, persoana care ține legătura permanent, sectorul, statele în care prestezi, intervalele de IP publice (la firmele digitale) și dovada că îndeplinești condițiile.
Termenul general a fost de 30 de zile de la 20 august 2025, când a apărut ordinul de înregistrare — a expirat pe 19 septembrie 2025. Obligația nu a dispărut: pe 9 septembrie 2026 DNSC a anunțat că primele sancțiuni sunt exact pentru neînregistrare. Dacă intri sub lege mai târziu (ai crescut, ai schimbat activitatea), ai 30 de zile de când ți se aplică.
Ce faci acum
- Pregătești datele și semnătura electronică calificată a reprezentantului legal.
- Trimiți notificarea în NIS2@RO; se consideră primită în cel mult 5 zile lucrătoare.
- Păstrezi confirmarea. Orice schimbare a datelor se comunică ulterior în 2 săptămâni.
Stația 3
Decizia DNSC și responsabilul tău
Până când
Decizia: 60 sau 150 de zile de la notificare. Responsabilul: 30 de zile de la decizie. Cursul lui: 12 luni de la numire.
Ce e
DNSC verifică notificarea și emite decizia de înscriere în registru: în 60 de zile la entitățile esențiale, în 150 la cele importante. Decizia îți dă un ID unic, pe care îl folosești în toate raportările.
De la comunicarea deciziei ai 30 de zile să numești responsabilul cu securitatea rețelelor și sistemelor informatice, să stabilești mijloacele permanente de contact și să aloci resurse. Membrii conducerii urmează cursuri de formare acreditate, iar firma instruiește tot personalul.
La entitățile esențiale private, mijlocii sau mari, responsabilul are autoritate managerială, raportează direct conducerii, e independent de departamentul IT și face un curs de specialitate recunoscut de DNSC în 12 luni de la numire.
Ce faci acum
- Alegi responsabilul, intern sau desemnat, și îl comunici la DNSC.
- Înscrii administratorul și directorii la un curs acreditat; nu e o formalitate, e o obligație cu amendă.
- Pui în buget oamenii, timpul și uneltele pentru ce urmează.
Stația 4
Nivelul tău de risc
Până când
60 de zile de la comunicarea deciziei
Ce e
În 60 de zile de la decizie îți calculezi scorul de risc cu instrumentul ENIRE@RO, în platformă sau în Excel: sectorul, mărimea și tipurile de atac, cu valori standard pe care le poți schimba doar cu justificare. DNSC validează în 15 zile.
Scorul îți dă nivelul de asigurare: Bază (0–99 de puncte), Important (100–199) sau Esențial (200–1.500). Cu valorile standard, o firmă mare din sectoarele critice ridicate e Esențial, una mijlocie din aceleași sectoare e Important, iar una mijlocie din celelalte sectoare e de regulă Bază. Dacă ești în mai multe sectoare, se ia nivelul cel mai ridicat.
Scorul se recalculează la 3 ani sau când crește impactul serviciilor tale. Băncile și infrastructurile financiare aflate sub DORA nu fac evaluarea de risc: aplică regulile DORA.
Ce faci acum
- Estimezi nivelul aici, în două minute, din sector și mărime.
- Completezi ENIRE@RO cu valorile standard; dacă le schimbi, scrii justificarea și o trimiți cu raportul.
- Trimiți raportul PDF semnat calificat și aștepți validarea.
Stația 5
Autoevaluarea maturității
Până când
60 de zile de la trimiterea evaluării de risc, apoi anual
Anual, fără o zi fixă: reperul rezonabil e aniversarea primei autoevaluări.
Ce e
În 60 de zile de la trimiterea evaluării de risc completezi autoevaluarea pe nivelul tău: 34, 133 sau 218 controale, organizate pe șase funcții: guvernare, identificare, protecție, detecție, răspuns și recuperare. Fiecare control primește două note de la 1 la 5, una pentru documentație și una pentru implementare, iar fiecare notă se justifică în scris.
O faci în Platforma NIS2@RO sau, când platforma nu e disponibilă, cu instrumentul EVAL_MMS de pe dnsc.ro. Managementul și-o asumă și o semnează cu semnătură electronică calificată.
Țintele: la Bază, total de cel puțin 2,5 și fiecare măsură-cheie de cel puțin 2,5; la Important, 3 și 3; la Esențial, total de cel puțin 3,5, fiecare categorie cel puțin 3 și fiecare măsură-cheie cel puțin 3. Apoi se repetă în fiecare an; legea și ordinul nu fixează o dată în calendar. Dacă ai și reglementări sectoriale, cerințele lor intră într-o declarație de aplicabilitate.
Ce faci acum
- Inventariezi ce ai: politici, proceduri, sisteme, dovezi.
- Notezi onest fiecare control; nota 3 la implementare înseamnă proces formal, aplicat, cu dovezi pentru majoritatea activităților.
- Strângi dovezile pentru fiecare notă de 3 sau mai mult, într-un singur dosar.
Stația 6
Planul de remediere
Până când
La esențiale: 30 de zile de la autoevaluare. La celelalte: odată cu autoevaluarea, fără termen separat.
Ce e
Dacă nu atingi țintele, întocmești un plan de măsuri pentru toate deficiențele care au dus la neconformitate, cu acțiunile și termenele asumate. Ordinul DNSC 1/2026 îl cere la orice nivel.
La entitățile esențiale legea adaugă: planul se face în 30 de zile de la autoevaluare, e asumat de management și se transmite la DNSC și, dacă există, autorității sectoriale.
Ordinul nu cere responsabili, resurse și dovezi de verificare, dar fără ele planul nu se poate urmări, iar la control tot ele se cer.
Ce faci acum
- Listezi deficiențele din autoevaluare, în ordinea impactului asupra scorului.
- Pui pentru fiecare o acțiune, un responsabil și un termen pe care chiar îl poți ține.
- Stabilești dinainte ce dovadă închide fiecare acțiune.
Stația 7
În fiecare an, plus auditul
Până când
Autoevaluarea: anual. Auditul: conform ordinului care va stabili periodicitatea.
Ce e
Autoevaluarea se repetă în fiecare an, cu plan de remediere dacă e cazul. Separat, legea cere un audit de securitate cibernetică periodic, făcut doar de un auditor atestat DNSC, pe cheltuiala ta. Periodicitatea urmează să fie stabilită printr-un ordin al DNSC: nici Ordinul 1/2026 nu o conține.
DNSC poate dispune un audit oricând, după un incident semnificativ, după o schimbare importantă (de exemplu trecerea din entitate importantă în esențială) sau când are indicii. După orice audit: rezultatele ajung la DNSC în 5 zile, planul de măsuri în 15 zile lucrătoare, iar la fiecare termen asumat trimiți dovezile.
Auditorul nu poate fi cel care ți-a făcut consultanța sau îți administrează sistemele. De aceea noi facem doar pregătirea.
Ce faci acum
- Ții dosarul de dovezi la zi tot anul, nu îl refaci înainte de termen.
- Urmărești planul de remediere și închizi acțiunile cu dovezi.
- Alegi din timp un auditor atestat din lista publicată de DNSC.
Stația 8
Oricând: incidente și schimbări
Până când
Incidente: 24 de ore, 72 de ore, o lună (6 ore la impact transfrontalier). Date: 2 săptămâni sau 3 luni.
Ce e
Un incident e semnificativ dacă a provocat sau poate provoca perturbări grave ale serviciilor ori pierderi financiare, sau dacă a afectat alte persoane cu prejudicii considerabile. Îl raportezi în platforma PNRISC: avertizare în cel mult 24 de ore de când ai aflat, raportul incidentului în 72 de ore, raportul final într-o lună; în 6 ore, orice informație care arată un impact transfrontalier. Clienții afectați sunt anunțați fără întârziere.
Când se schimbă datele firmei le actualizezi la DNSC: denumirea, sediile, contactele, sectorul, condițiile de încadrare în 2 săptămâni; reprezentantul, statele în care prestezi și IP-urile în 3 luni.
Controlul DNSC se anunță cu 30 de zile înainte când e planificat și cu 5 zile când nu e. După nota de constatare ai 15 zile lucrătoare pentru planul de remediere.
Ce faci acum
- Ai un plan de răspuns scris: cine sună, pe cine, în cât timp.
- Contul în PNRISC e făcut înainte, nu în noaptea incidentului.
- Ții un calendar al datelor pe care trebuie să le actualizezi.
Nu trebuie să le faci pe toate singur
Te ducem de la stația 1 la stația 6 cu un dosar pe care auditorul îl deschide și îl închide fără surprize. Restul rămâne al tău: decizia, semnătura, auditorul.