Am notificat DNSC. Ce urmează în primul an?

Bun venit la „NIS2 pe înțelesul tuturor”, seria de videoclipuri Certudo despre securitatea cibernetică și noile obligații legale din România. Acesta este episodul 3: Am notificat DNSC. Ce urmează în primul an? Informațiile prezentate reflectă cadrul legal din octombrie 2026. În episodul anterior am văzut cum aflați dacă organizația dumneavoastră intră sub incidența NIS2: sectoare, mărime și excepții. Concluzia lui era simplă: dacă intrați sub incidență, notificați DNSC. Astăzi mergem un pas mai departe și vedem ce se întâmplă după notificare.

Notificarea către DNSC nu este finalul, ci începutul unui calendar cu termene precise. Vom vedea trei lucruri. Primul: calendarul primului an, de la confirmarea înregistrării până la auditul calificat. Al doilea: ce comunică DNSC despre felul în care aplică noile reguli și ce dovezi poate cere conducerii. Al treilea: cum se raportează un incident semnificativ și ce amenzi riscă organizațiile care nu se conformează. La final veți ști ce aveți de făcut în următoarele luni și în ce ordine.

Să privim mai întâi calendarul în ansamblu. Totul pornește de la ziua zero: confirmarea înregistrării, adică decizia DNSC de încadrare a organizației. În cel mult 60 de zile depuneți la DNSC evaluarea nivelului de risc, pe scurt ENIRE. La 120 de zile urmează autoevaluarea maturității măsurilor de securitate, după metodologia CyFun. La 150 de zile, adică la 30 de zile după autoevaluare, aveți nevoie de planul de remediere, asumat de conducere. Apoi vine implementarea măsurilor, iar la aproximativ un an urmează auditul calificat. O precizare importantă. Pentru organizațiile înregistrate înainte de apariția ordinelor DNSC din 2026, unele termene se raportează la data publicării acestor ordine. De aceea merită să verificați exact de la ce dată curge fiecare termen în cazul dumneavoastră. Un an pare mult. În practică însă, fiecare etapă se sprijină pe cea dinainte, iar o întârziere la început se propagă până la audit.

Primul termen este cel de 60 de zile, pentru evaluarea nivelului de risc al entității. Ea se face cu instrumentul pus la dispoziție de DNSC. Instrumentul combină patru criterii: probabilitatea, impactul, natura atacului și dimensiunea actorului. Pentru fiecare sector, DNSC stabilește valori implicite de impact și de probabilitate. Le puteți modifica doar cu o justificare temeinică, transmisă odată cu raportul. Nu este un loc pentru optimism. Rezultatul este un scor de risc, iar scorul stabilește nivelul de asigurare CyFun pe care trebuie să îl implementați: Bază, Important sau Esențial. Cu alte cuvinte, de această evaluare depinde câte controale veți avea de implementat și ce praguri de maturitate trebuie să atingeți. Raportul se semnează, de regulă cu semnătură electronică calificată, și se transmite la DNSC pentru validare. O excepție: entitățile din sectorul bancar și din infrastructurile pieței financiare nu realizează această evaluare. Lor li se aplică regulamentul european DORA.

Al doilea termen este autoevaluarea maturității, la 120 de zile. Aici verificați, control cu control, cât de departe sunteți de cerințele nivelului dumneavoastră de asigurare. DNSC pune la dispoziție două mecanisme. Platforma NIS2@RO, care este calea principală. Și instrumentele de evaluare descărcabile, câte unul pentru fiecare nivel: Bază, Important și Esențial. Fiecare control primește două note, de la unu la cinci. Una pentru documentație, adică ce scrie în politici și proceduri. Alta pentru implementare, adică ce se întâmplă efectiv în practică. Fiecare notă trebuie justificată în scris. Pentru conformitate, scorurile trebuie să atingă anumite praguri. La nivelul de Bază, cel puțin 2,5 pe total. La nivelul Important, cel puțin 3. La nivelul Esențial, cel puțin 3 pe fiecare categorie și 3,5 pe total. În plus, fiecare măsură cheie trebuie să atingă, separat, cel puțin 2,5 la Bază și cel puțin 3 la celelalte niveluri. Raportul de autoevaluare îl semnează conducerea. Despre scoruri și niveluri vorbim pe larg în episodul cinci.

Ce se întâmplă dacă nu atingeți pragurile? Este situația cea mai frecventă la prima autoevaluare și nu este o tragedie. Ordinul DNSC 1/2026 spune clar ce urmează: entitatea întocmește un plan de măsuri pentru remedierea tuturor deficiențelor. Planul cuprinde acțiunile pe care le veți întreprinde și termenele asumate pentru fiecare. Calendarul îl plasează la 30 de zile după autoevaluare, deci în jurul zilei 150, și îl leagă de conducere, care și-l asumă. Un plan credibil are, pe fiecare rând, șase elemente. Controlul vizat, scorul actual, acțiunea concretă, un responsabil cu nume, termenul și dovada de finalizare. Fără ultima coloană, planul rămâne o listă de intenții. Ordinea contează. Mai întâi măsurile cheie aflate sub prag, pentru că fără ele organizația rămâne neconformă. Apoi categoriile sub prag și diferențele mari dintre documentație și implementare. Planul de remediere este, în fața autorității, principala dovadă de diligență.

După plan urmează partea cea mai lungă: implementarea. Legea nu stabilește explicit un termen pentru finalizarea măsurilor. Prin analogie cu alte termene din ordonanță, se poate deduce un interval de aproximativ 180 de zile după planul de remediere. Asta înseamnă măsuri operaționale în jurul zilei 330. Subliniez: este un termen dedus, nu unul scris în lege. Ca reper practic, implementarea unui sistem de management al securității informației durează în medie aproximativ șase luni. Timpul este, deci, strâns. La aproximativ un an urmează auditul calificat. Îl face un auditor atestat de DNSC, iar rezultatul urmărit este un aviz favorabil. Până la apariția noului ordin privind auditul, se aplică criteriile din Ordinul 559/2021 al Secretariatului General al Guvernului. Iar auditorii atestați sunt încă puțini. Dacă așteptați ultima lună ca să căutați unul, riscați să nu găsiți.

Ce spune DNSC despre aplicarea acestor reguli? Iată mesajele din întâlnirile recente cu mediul de afaceri. Primul și cel mai important: abordarea este graduală. Maturitatea țintă nu trebuie atinsă de la primul audit. Contează însă demersurile demonstrabile de remediere. Trebuie să puteți arăta că ați început și că progresați. Al doilea: dovezi pentru conducere. La control, DNSC poate cere dovada că organul de conducere și responsabilul NIS și-au îndeplinit obligațiile. Al treilea: maparea dintre standardul ISO 27001 și CyFun, realizată în Belgia, va fi tradusă și publicată de DNSC. Este un avantaj pentru organizațiile certificate. Dar certificarea nu asigură, singură, conformitatea completă cu NIS2. Al patrulea: sectorul financiar. Entitățile financiare intră sub incidența DORA, iar furnizorii lor terți de servicii informatice și de comunicații intră sub NIS2. În sfârșit, mai sunt acte în lucru: ordinul privind furnizorii de formare, ordinul privind auditul și câteva modificări tehnice ale ordonanței.

În paralel cu acest calendar, există o obligație care se aplică din prima zi: raportarea incidentelor semnificative către DNSC. Termenele sunt stricte și pornesc din momentul în care ați identificat incidentul. În cel mult 24 de ore transmiteți avertizarea timpurie. Este o primă informare: dacă suspectați un act ilicit și dacă incidentul poate avea impact transfrontalier. În cel mult 72 de ore urmează notificarea completă, cu o evaluare inițială a gravității, a impactului și a indicatorilor de compromitere. Iar în cel mult o lună, raportul final: descrierea detaliată, cauza principală și măsurile de atenuare aplicate. Aceste termene au o consecință practică. Fără monitorizare și fără loguri păstrate suficient timp, nici nu știți dacă vă confruntați cu un incident. În cazul ANCPI, din primul episod, atacul a fost detectat abia după 86 de ore. Termenul de 24 de ore devine imposibil. De aceea aveți nevoie de capacitate de detecție și de un plan de răspuns la incidente, cu o procedură de notificare exersată înainte.

Ce riscă organizațiile care nu se conformează? Pentru entitățile esențiale, amenda poate ajunge la 10 milioane de euro sau la 2% din cifra de afaceri anuală. Pentru entitățile importante, la 7 milioane de euro sau la 1,4% din cifra de afaceri. În ambele cazuri se aplică valoarea mai mare dintre suma fixă și procent. Neînregistrarea se sancționează separat, cu până la 500.000 de lei. Iar amenda nu vă scutește de obligația de notificare. Există și sancțiuni personale. Când celelalte măsuri de remediere au eșuat, se poate ajunge la suspendarea temporară a certificărilor. Sau chiar la interdicția de a exercita funcția de director executiv. DNSC face verificări suplimentare acolo unde suspectează că înregistrarea lipsește sau este incorectă. Entitățile esențiale pot fi verificate și proactiv, înainte de orice incident. Mesajul nu este frica de amendă. Este faptul că un calendar respectat și un plan documentat sunt cea mai bună protecție la un control.

Să recapitulăm. Prima idee: termenele curg de la confirmarea înregistrării. Evaluarea de risc la 60 de zile, autoevaluarea la 120, planul de remediere la 150 și auditul la aproximativ un an. A doua: abordarea DNSC este graduală, dar cere dovezi. Contează să puteți demonstra că ați început, că progresați și că, pe fiecare etapă, conducerea și-a asumat deciziile. A treia: incidentele semnificative se raportează în 24 de ore, 72 de ore și o lună. Fără detecție și fără un plan de răspuns exersat, aceste termene nu pot fi respectate.

Primul pas este evaluarea nivelului de risc, pentru că de ea depind toate celelalte etape. O puteți face gratuit, în platforma Certudo, la adresa app.certudo.com. Platforma calculează automat termenele, pornind de la data confirmării înregistrării. Și vă arată ce urmează după evaluarea de risc: autoevaluarea CyFun și planul de remediere. În episodul următor răspundem la întrebarea: ce răspundere are conducerea? Vorbim despre obligațiile organului de conducere și despre rolul responsabilului NIS. Vă mulțumim că ne-ați urmărit.