Cât costă conformitatea NIS2: pre-implementare, implementare și audit

Una dintre primele întrebări ale oricărei companii vizate de NIS2 este simplă: cât costă conformitatea? Răspunsul onest este că nu există un preț unic, iar cea mai mare sursă de confuzie este că oamenii amestecă două faze foarte diferite ca efort și ca buget. Le separăm clar în acest articol, descompunem fiecare componentă de cost și arătăm ce poți face gratuit înainte de a plăti.

Cele două faze ale conformității NIS2

Conformitatea nu este un singur proiect, ci două faze consecutive, cu costuri foarte diferite:

1. Pre-implementarea. Afli unde te afli și ce ai de făcut: încadrarea, analiza de risc inițială, autoevaluarea maturității pe cadrul CyFun și planul de implementare. Această fază este, în cea mai mare parte, gratuită.
2. Implementarea. Pui efectiv în practică controalele din plan: procese, măsuri tehnice, tool-uri de securitate și dovezi. Aici apar costurile cele mai importante, urmate de auditul extern.

Cele mai multe estimări greșite vin din amestecarea celor două: consultanța care te ajută la autoevaluare și la plan nu este același lucru cu efortul și costul de a implementa controalele. Le tratăm pe rând.

Faza de pre-implementare: în mare parte gratuită

În platforma Certudo parcurgi gratuit, fără card, pașii care îți dau imaginea completă:

• Încadrarea sub NIS2 și nivelul (esențial sau important), cu instrumentul de încadrare și înregistrare.
• Analiza de risc inițială, după metodologia DNSC, cu instrumentul de analiză de risc.
• Autoevaluarea maturității CyFun pe cele șase funcții, cu scor față de nivelul-țintă.
• Planul de implementare, prioritizat pe risc, gata de pus în practică.

Singurul cost opțional în această fază este consultanța, dacă vrei un specialist Certudo alături la autoevaluare și la construirea planului. Aceasta este consultanța de pre-implementare, nu la implementarea propriu-zisă:

Aceste prețuri acoperă asistența la autoevaluarea maturității CyFun (auditul inițial, numit și analiză de decalaj) și la realizarea planului de implementare. Autoevaluarea și planul rămân gratuite în platformă indiferent de nivel; plătești doar dacă alegi să fii însoțit de un specialist în această fază. Diferența de preț între niveluri reflectă efortul real: o entitate esențială are mai multe controale CyFun și cerințe de maturitate mai ridicate decât una importantă sau de bază.

Faza de implementare: aici apar costurile mari

După ce ai planul, urmează partea în care pui controalele în practică. Aici bugetul este, de regulă, cel mai consistent și se compune din mai multe elemente:

• Efortul de implementare. Oamenii din organizație dedică timp pentru a crea procesele, a aplica măsurile și a colecta dovezile. Multe companii aduc, în plus, un consultant de implementare sau un responsabil NIS2 ori un serviciu de vCISO (responsabil de securitate ca serviciu), care coordonează punerea în practică. Acesta este un rol diferit de consultanța de la autoevaluare.
• Tool-urile și software-ul de securitate. O parte dintre controalele CyFun se implementează cu instrumente tehnice: autentificare multifactor, gestionarea identităților și a accesului, criptare, copii de rezervă, monitorizare și detecție, management de vulnerabilități. Aceste tool-uri au propriul cost de licențiere, separat de orice consultanță.
• Consultanța tehnică la implementarea tool-urilor. Alegerea, configurarea și integrarea corectă a acestor instrumente cer adesea expertiză tehnică dedicată. Este un cost distinct de consultanța de proces și de platforma de conformitate.
• Platforma de conformitate. O platformă precum Certudo ține registrele, dovezile și planul la zi, într-un singur loc, pe tot parcursul implementării și al menținerii.
• Auditul extern. După implementare, auditul de conformitate se realizează de auditori de securitate cibernetică atestați DNSC. Este o etapă separată, cu propriul cost. Mai multe în cum alegi un auditor NIS2 atestat DNSC.

Factorii care influențează costul

Două companii din același sector pot avea bugete foarte diferite. Iată ce face diferența:

• Nivelul de încadrare (esențial vs important). O entitate esențială are mai multe controale CyFun de implementat, un termen de audit mai strict și cerințe de maturitate mai ridicate. O entitate importantă are un set mai redus. Dacă nu ești sigur unde te afli, parcurge mai întâi entitate esențială sau importantă.
• Dimensiunea și complexitatea. O organizație cu mai multe locații, sisteme și furnizori are mai multe controale de acoperit, mai multe tool-uri de integrat și mai multe dovezi de colectat decât una mică.
• Maturitatea actuală. Dacă ai deja un sistem de management al securității (de exemplu aliniat la ISO 27001) și o parte dintre tool-uri instalate, decalajul de implementat este mic. Dacă pornești de la zero, atât efortul, cât și costul cu tool-urile sunt mai mari.
• Sectorul. Unele sectoare au cerințe tehnice specifice sau un grad de reglementare mai ridicat, ceea ce poate crește efortul și numărul de instrumente necesare.

Ce poți face gratuit înainte de orice cost

Cea mai mare parte a clarității o obții gratuit, în faza de pre-implementare:

• Încadrarea. Afli dacă intri sub NIS2 și la ce nivel, prin instrumentul de încadrare și înregistrare.
• Analiza de risc. Parcurgi o analiză de risc care confirmă nivelul CyFun în care te regăsești.
• Autoevaluarea maturității CyFun. Vezi unde te afli față de nivelul-țintă de maturitate 3 din 5.
• Planul de implementare. Din decalajul dintre starea actuală și cea așteptată rezultă un plan prioritizat pe risc, cu lista controalelor de implementat.

Abia cu planul în față poți estima realist costul fazei de implementare: câte tool-uri îți lipsesc, ce poți face cu echipa internă și unde ai nevoie de consultanță tehnică. Astfel nu plătești pentru incertitudine, ci pentru efortul care chiar aduce valoare, iar bugetul urmează progresul real.

Cum gândești bugetul în raport cu riscul

Bugetul de conformitate nu trebuie privit izolat, ci în raport cu riscul pe care îl acoperă. Conform OUG 155/2024, aprobată prin Legea 124/2025, amenzile pot ajunge la 10.000.000 euro sau 2% din cifra de afaceri mondială pentru entitățile esențiale și la 7.000.000 euro sau 1,4% pentru cele importante. Dincolo de amenzi, un incident de securitate netratat poate opri activitatea, afecta clienții și dăuna reputației. Raportat la aceste valori, costul unei implementări corecte, cu tool-urile și auditul necesare, este o investiție de reducere a riscului.

Greșeli frecvente care umflă bugetul

• Confundarea celor două faze. A plăti pentru consultanță de implementare înainte de a avea planul, sau a crede că pachetul de la autoevaluare acoperă și punerea în practică a controalelor, duce la buget greșit estimat.
• Încadrarea greșită. O entitate care se tratează ca esențială când de fapt este importantă implementează controale și tool-uri în plus, fără motiv.
• Supraestimarea maturității proprii. Când auditul scoate la iveală lipsurile, remedierea de ultim moment și licențele cumpărate în grabă sunt mult mai scumpe decât implementarea planificată din timp.
• Colectarea dovezilor abia înainte de audit. Dovezile strânse pe parcurs costă puțin efort; cele reconstruite cu o săptămână înainte de audit generează ore suplimentare și, adesea, consultanță de urgență.

Evitarea acestor greșeli nu costă nimic; dimpotrivă, îți economisește bani. Tocmai de aceea pașii gratuiti de pornire sunt și cea mai bună protecție de buget: îți dau datele corecte înainte de a cheltui.

Cum începi fără risc financiar

Cel mai simplu mod de a afla cât te costă conformitatea este să parcurgi gratuit pașii de pre-implementare: încadrare, analiză de risc, autoevaluare și plan. Abia cu planul în față știi ce controale și ce tool-uri îți lipsesc, așa că poți discuta cifre concrete pentru implementare, fără să plătești pentru incertitudine. Începe cu încadrarea și înregistrarea, iar prețurile consultanței la autoevaluare le găsești oricând pe pagina de prețuri.

Începe gratuit încadrarea

Ai întrebări despre buget sau despre pașii următori? Scrie-ne și îți răspundem cu repere transparente, adaptate situației tale.