Întrebări pe care ni le pun patronii

Depinde de active. Ești „mijlocie” dacă ai 50 de angajați sau mai mult, sau, sub 50, dacă atât cifra de afaceri, cât și activele totale trec de 10 milioane de euro (Legea 346/2004, art. 4). Dacă faci parte dintr-un grup, cifrele se pot cumula. Verifică în instrument, cu datele reale din bilanț.

Mărimea se poate calcula cumulat cu firmele legate sau partenere din grup (Legea 346/2004, art. 4^2–4^4), deci o filială mică poate fi tratată ca mijlocie sau mare. Iar dacă ești firmă digitală (cloud, centre de date, servicii IT gestionate, DNS), contează unde se iau deciziile de securitate în UE: sediul principal decide jurisdicția (art. 7 alin. 3). În instrument, bifează „grup” și, dacă e cazul, „deciziile se iau în alt stat”.

Dacă administrezi IT-ul altor firme pe bază de contract (servere, rețele, stații, backup, monitorizare), da: ești furnizor de servicii gestionate, sectorul 9 din Anexa 1. Intri ca entitate importantă dacă ești cel puțin mijlocie. Dacă oferi și securitate gestionată (SOC, detecție și răspuns) și ești mijlocie, ești entitate esențială (art. 5 alin. 4). O firmă mică de IT nu intră, dar clienții ei sub NIS2 îi pot cere măsuri prin contract, pentru lanțul lor de aprovizionare.

Administrația publică centrală e esențială indiferent de mărime (art. 5 alin. 1 lit. a). Primăriile și consiliile județene nu sunt în anexe, dar DNSC le poate identifica prin decizie dacă serviciul lor e esențial (art. 9). Spitalele și clinicile sunt în sectorul sănătății și intră după mărime, ca orice furnizor de servicii medicale. Universitățile sunt excluse expres, atât de la administrația centrală, cât și de la cercetare.

Următorii pași curg de la decizia DNSC: 60 de zile pentru evaluarea de risc, apoi 60 pentru autoevaluare (art. 18 alin. 6–7). Dacă termenele au trecut, cel mai bun lucru e să le închizi acum. Întârzierile sunt sancționate pe treapta mică (1.000–300.000 lei la importante, 1.500–500.000 lei la esențiale), iar DNSC a spus că aplică întâi limitele de jos.

Nu. Fiecare control primește două note: cum e scris și cum funcționează. Un firewall fără politică, fără reguli documentate și fără cineva care se uită la jurnale ia notă mică la documentație și, probabil, și la implementare. Conformitatea e procesul plus dovada, nu produsul.

Definiția din Ordinul DNSC 1/2026: există un proces formal, care este implementat; sunt disponibile dovezi pentru majoritatea activităților; excepțiile sunt sub 10 %. La documentație, nota 3 înseamnă procedură aprobată oficial, cu excepțiile documentate și aprobate, sub 5 % din cazuri. Nota 4 cere dovezi pentru toate activitățile și metrici raportate; nota 5, țintă îmbunătățită continuu.

Depinde de nivel și de ce ai deja. Un nivel de Bază, cu inventar și câteva politici existente, se închide în câteva săptămâni. Un nivel Esențial, cu 218 controale, e un proiect de luni, cu oameni din firmă implicați. Nu publicăm prețuri: în discuția de 30 de minute vezi ce lipsește și primești o ofertă pe măsura ei, nu un pachet.

Cineva desemnat constată că e semnificativ (perturbări grave, pierderi financiare sau prejudicii altora — art. 15 alin. 6), intră în contul PNRISC și trimite avertizarea timpurie: ce s-a întâmplat, dacă pare rău intenționat, dacă poate trece granița. În 72 de ore urmează raportul cu evaluarea inițială și indicatorii de compromitere; într-o lună, raportul final. Clienții afectați sunt anunțați fără întârziere. Dacă are impact transfrontalier, informațiile pleacă în 6 ore.

Un auditor atestat de DNSC, ales și plătit de tine, care nu ți-a făcut consultanță și nu îți administrează sistemele. Periodicitatea încă nu e stabilită printr-un ordin; nici Ordinul 1/2026 nu o conține. DNSC poate dispune un audit după un incident sau după o schimbare importantă (art. 57).

Nu. Auditorul nu poate fi cel care îți furnizează curent servicii de securitate, nu poate avea un contract pe sistemul auditat în curs sau încheiat de mai puțin de un an și nu poate face mai mult de trei audituri consecutive la aceeași entitate (art. 58 alin. 3). De aceea noi facem doar pregătirea și te ajutăm să alegi un auditor din lista publicată de DNSC.

Nu. Legea spune expres că informațiile date DNSC nu sunt informații de interes public, iar DNSC protejează interesele comerciale și de securitate ale firmei (art. 3 alin. 3–4, introduse prin Legea 124/2025).

Două trepte (art. 60). Pentru obligațiile de fond: la importante de la 5.000 lei până la 7 milioane de euro sau 1,4 % din cifra de afaceri netă, la esențiale de la 10.000 lei până la 10 milioane sau 2 %. Pentru termene și formalități: 1.000–300.000 lei, respectiv 1.500–500.000 lei. Încălcările grave sau repetate pot dubla limitele; plata în 15 zile înjumătățește amenda. În septembrie 2026 DNSC a anunțat primele sancțiuni, pentru neînregistrare, la limitele de jos.