Pe scurt: NIS2 nu se termină cu notificarea la DNSC. După decizia de înregistrare urmează evaluarea nivelului de risc, apoi autoevaluarea maturității măsurilor, ambele cu termene proprii și ambele recurente. Pe 30 septembrie 2026 DNSC a anunțat prima sancțiune contravențională pentru nerespectarea obligației de notificare, în valoare de 50.000 de lei. Etapa de informare s-a încheiat.
Prima amendă, ca semnal
Decizia a fost emisă pe 29 septembrie 2026 către o persoană juridică din sectorul administrației publice, pentru nerespectarea termenului de notificare prevăzut de ordonanță. Cuantumul, 50.000 de lei, este util ca reper: nu se apropie de plafoanele în milioane de euro despre care se scrie în presă, dar este o sumă reală, aplicată pentru o întârziere administrativă, nu pentru un incident de securitate.
Concluzia practică este că autoritatea verifică termenele, nu doar incidentele. O firmă poate fi bine protejată tehnic și sancționată pentru o hârtie netrimisă la timp.
Lanțul de termene, în ordine
Toate termenele de după notificare curg din data deciziei DNSC, nu din data legii. Aceasta este sursa celor mai multe confuzii.
| Etapa | Termenul |
|---|---|
| Notificarea către DNSC | 30 de zile de la momentul în care prevederile devin aplicabile companiei |
| Decizia DNSC de identificare și înregistrare | 60 de zile pentru entități esențiale, 150 de zile pentru cele importante |
| Desemnarea responsabilului cu securitatea | 30 de zile de la comunicarea deciziei |
| Evaluarea nivelului de risc | 60 de zile de la decizia DNSC |
| Autoevaluarea maturității măsurilor | 60 de zile de la evaluarea nivelului de risc |
Pentru o entitate importantă, de la notificare până la ultimul termen pot trece aproape unsprezece luni. Este timp suficient cât să se uite, iar calendarul este exact lucrul care se uită.
Instrumentele și la ce folosește fiecare
- Platforma NIS2@RO, portalul de înrolare, informare și cooperare. Contul de aici este obligatoriu, indiferent de metoda prin care ați trimis notificarea.
- Instrumentul NIS2@RO, fișierul care verifică încadrarea și generează formularul de notificare.
- ENIRE@RO, instrumentul pentru evaluarea nivelului de risc al entității.
- Instrumentele de autoevaluare a maturității, pentru etapa următoare.
- PNRISC, platforma prin care se raportează incidentele semnificative. Aceasta este separată și funcționează pe termenele de 24 de ore, 72 de ore și o lună.
Am detaliat încadrarea și notificarea în ghidul NIS2 pentru companii din România. Articolul de față continuă de acolo.
Ce face evaluarea nivelului de risc
Pornind de la tipurile de atac și de amenințare relevante, de la dimensiunea entității și de la impactul și probabilitatea estimate, metodologia produce un scor. Scorul stabilește nivelul de măsuri pe care trebuie să îl implementați: de bază, important sau esențial.
Consecința este importantă pentru buget. Nu toate entitățile datorează același set de măsuri, iar nivelul rezultat aici este cel care justifică, mai târziu, ce ați făcut și ce nu.
Autoevaluarea maturității
Este o evaluare pe funcțiile cadrului de securitate: identificare, protejare, detectare, răspuns, recuperare și guvernanță. Pentru fiecare dați un scor de maturitate, iar rezultatul se transmite autorității și se asumă de conducere.
Partea pe care o ratează multe companii vine după. Entitățile esențiale au 30 de zile să întocmească și să transmită un plan de măsuri pentru deficiențele identificate. Neanunțarea faptului că planul a fost implementat și netransmiterea dovezilor în termenul asumat sunt contravenții în sine. Autoevaluarea onestă vă obligă, practic, la un plan pe care îl veți datora.
Ce pregătiți ca să nu fie un chin
- Inventarul activelor și al serviciilor. Ce sisteme susțin ce servicii, pe ce echipamente, în ce locații.
- Intervalele de adrese IP publice, cerute încă de la notificare și rareori documentate dinainte.
- Politicile scrise: acces, parole, backup, gestionarea incidentelor, lucru de la distanță, furnizori.
- Dovezile, nu afirmațiile. Capturi de ecran din consolele de administrare, rapoarte de actualizare, jurnale, configurări exportate.
- Evidența instruirilor, inclusiv cursul acreditat pentru conducere, cu documentele aferente.
- Raportul ultimului test de restaurare, cu dată și durată măsurată.
- Lista furnizorilor critici și ce ați verificat la fiecare.
Dacă strângeți aceste lucruri o dată și le țineți actualizate, autoevaluarea devine o zi de muncă. Dacă le căutați la termen, devine o lună.
Greșelile care se repetă
- Tratarea ca exercițiu de hârtie. Documentele fără măsuri în spate se văd la primul control.
- Scor umflat. Un nivel de maturitate declarat prea sus vă scutește de planul de măsuri astăzi și vă lasă fără apărare la verificare.
- Lipsa dovezilor. Afirmația că aveți autentificare în doi pași nu valorează nimic fără exportul care o arată.
- Nimeni nu pune termenele în calendar. Decizia DNSC vine prin corespondență, iar de la ea pornesc toate celelalte termene.
- Conducerea semnează fără să înțeleagă. Răspunderea este a organului de conducere, nu a departamentului IT.
Ce facem noi și ce rămâne la dumneavoastră
PRO IT pregătește partea tehnică și dovezile: inventarul infrastructurii, configurările de securitate, jurnalizarea, testele de restaurare cu raport scris, documentația cerută. Măsurile propriu-zise intră în serviciile de securitate cibernetică și mentenanță, iar starea de fapt o stabilește auditul IT.
Completarea instrumentelor, transmiterea către autoritate, încadrarea juridică și asumarea de către conducere rămân ale companiei, de regulă împreună cu consilierul juridic. Nu vindem conformitate NIS2 ca produs, pentru că niciun furnizor IT nu o poate garanta în locul conducerii.
Articolul are caracter informativ și reflectă legislația în vigoare la data publicării: OUG 155/2024, aprobată cu modificări prin Legea 124/2025 și modificată prin Legea 123/2026, împreună cu Ordinele DNSC 1/2025, 2/2025 și 3/2025. Termenele indicate rezultă din ordinele DNSC; verificați-le pentru situația dumneavoastră concretă. Nu constituie consultanță juridică. Textele oficiale sunt pe Portal Legislativ și pe site-ul DNSC.
