Securitate cibernetică
Evaluarea riscurilor, pregătire NIS2 și securitate integrată în aplicații.
NIS2 în România: pașii tehnici după OUG 155/2024
Pe scurt
- Directiva NIS2 a fost transpusă în România prin OUG 155/2024, în vigoare din 31 decembrie 2024 și aprobată cu modificări prin Legea 124/2025.
- Ordinele DNSC din 20 august 2025 au stabilit înregistrarea: în 30 de zile pentru entitățile deja în scop, apoi evaluarea nivelului de risc în 60 de zile de la comunicarea DNSC.
- Termenul depășit nu elimină obligația de înregistrare. Pașii tehnici pot începe imediat: inventar, evaluarea riscurilor, MFA, backup testat, plan de incidente.
Acest ghid descrie pașii tehnici și organizatorici. Încadrarea legală a unei companii ca entitate esențială sau importantă trebuie confirmată juridic.
Cadrul legal pe scurt
- Directiva (UE) 2022/2555 (NIS2) stabilește măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune.
- OUG 155/2024 a transpus directiva în România și a intrat în vigoare la 31 decembrie 2024.
- Legea 124/2025, în vigoare din 10 iulie 2025, a aprobat ordonanța cu modificări și a extins aria de aplicare pentru sectoarele cu nivel ridicat de criticitate din anexa 1.
- Ordinele DNSC din 20 august 2025 au stabilit procesul de notificare pentru înregistrare și metodologia de evaluare a nivelului de risc.
Cine intră sub incidența OUG 155/2024
Primul pas este verificarea activităților enumerate în anexele 1 și 2 ale ordonanței. În general:
- Entități esențiale: în principal întreprinderile mari din sectoarele cu nivel ridicat de criticitate din anexa 1.
- Entități importante: întreprinderile mijlocii și mari din anexele 1 și 2 care nu sunt încadrate ca esențiale.
- Unele entități intră în scop indiferent de dimensiune, din cauza rolului lor într-un sector.
Termenele care curg
| Obligație | Termen |
|---|---|
| Notificarea către DNSC pentru înregistrare (entități deja în scop) | 30 de zile de la intrarea în vigoare a ordinului DNSC din 20 august 2025 |
| Notificarea pentru entitățile care intră ulterior în scop | 30 de zile de la data la care devin aplicabile prevederile |
| Evaluarea nivelului de risc | 60 de zile de la comunicarea DNSC privind identificarea entității |
| Desemnarea persoanelor responsabile cu securitatea rețelelor și sistemelor | 30 de zile de la notificarea deciziei DNSC |
| Autoevaluarea nivelului de maturitate | Anual |
| Planul de remediere (entități esențiale) | 30 de zile de la autoevaluare |
Depășirea termenului de înregistrare nu elimină obligația. Ordonanța prevede și răspunderea organelor de conducere pentru neconformare.
Planul tehnic pentru primele 90 de zile
Zilele 1–30: clarificare și inventar
- Încadrarea confirmată juridic; notificarea către DNSC, dacă se aplică
- Persoane responsabile desemnate de conducere
- Inventarul sistemelor, al datelor critice și al furnizorilor cu acces
Zilele 31–60: riscuri și măsuri rapide
- Evaluarea riscurilor pe sistemele critice
- Autentificare multi-factor pentru acces administrativ și de la distanță
- Backup verificat printr-un test real de restaurare
- Plan de răspuns la incidente, cu roluri și termenele de notificare
Zilele 61–90: maturitate și plan
- Autoevaluarea nivelului de maturitate
- Plan de remediere prioritizat după risc și cost
- Jurnalizare și monitorizare pentru sistemele critice
- Instruire pentru conducere și personal
Un cadru util pentru organizarea măsurilor este NIST Cybersecurity Framework 2.0, cu funcțiile sale de guvernanță, identificare, protecție, detecție, răspuns și recuperare.
Analiza de decalaj și planul de remediere fac parte din serviciul nostru de securitate cibernetică. Pentru o evaluare mai largă a infrastructurii, vezi consultanța IT.
Surse
Servicii conexe
Ghiduri utile
Ce informații îți trebuie pentru o estimare software
Cele zece informații care transformă o estimare vagă într-una pe care te poți baza.
Integrarea cu RO e-Factura: ghid tehnic pentru companii
Arhitectura, fluxul și erorile tipice atunci când facturile pleacă dintr-un sistem propriu.
Vrei să știi unde ești față de NIS2?
Facem analiza de decalaj tehnică și un plan de remediere prioritizat după risc.