Autoevaluarea anuală de maturitate către DNSC
Cea mai subestimată obligație NIS2 din România: entitățile esențiale și importante transmit anual către DNSC o autoevaluare a nivelului de maturitate cibernetică (OUG nr. 155/2024 art. 12(4)). Nu e opțională, nu e o formalitate — e sancționabilă și e prima privire pe care autoritatea o are asupra firmei tale.
Ce cere legea, exact
- Autoevaluare anuală a maturității de securitate cibernetică, transmisă către DNSC (OUG nr. 155/2024 art. 12(4)).
- Pe baza rezultatului: plan de remediere pentru punctele slabe identificate (art. 12(5)).
- Nerespectarea obligațiilor din OUG e sancționabilă (art. 60) — pentru entitățile esențiale, amenzile pot ajunge la 10 milioane € sau 2% din cifra de afaceri globală.
- Separat, datele de înregistrare se actualizează la schimbări: cel mult două săptămâni pentru datele principale de identificare, cel mult trei luni pentru restul (art. 18 alin. (8)).
De ce o tratează greșit multe firme
Greșeala tipică: autoevaluarea se face „din pix”, într-un formular completat optimist cu o zi înainte de termen, fără legătură cu realitatea măsurilor din firmă. Problema vine peste un an: următoarea autoevaluare trebuie să fie coerentă cu precedenta, cu incidentele raportate între timp și cu ce găsește un eventual audit. Declarațiile nesusținute de dovezi se transformă din formalitate în risc.
Cum funcționează în Cremene
- Wizard-ul de autoevaluare pornește din evaluarea ta curentă — nu răspunzi de la zero, confirmi și completezi.
- Dovezile sunt la vedere per control în timpul autoevaluării — declari doar ce poți susține.
- La final se îngheață un instantaneu (snapshot): dovada exactă a ce ai declarat și când — esențială la verificări ulterioare.
- Aniversarea următoarei autoevaluări intră automat în calendarul de conformitate, cu notificări din timp.
Întrebări frecvente
Autoevaluarea DNSC e obligatorie și pentru entitățile importante, nu doar esențiale?
Da — obligația de autoevaluare anuală din OUG nr. 155/2024 art. 12(4) privește entitățile înregistrate la DNSC, atât esențiale cât și importante. Diferă intensitatea supravegherii, nu existența obligației.
Ce pățesc dacă nu o transmit?
Obligațiile din OUG nr. 155/2024 sunt sancționabile conform art. 60 — iar lipsa autoevaluării e vizibilă imediat pentru autoritate, spre deosebire de alte carențe care ies la iveală doar la control. E printre cele mai ușor de verificat obligații.
Pot corecta o autoevaluare deja transmisă?
Practica autorității se conturează încă. Abordarea sigură: transmite de la început o autoevaluare onestă, susținută de dovezi, cu plan de remediere pentru punctele slabe — o maturitate mică declarată onest, cu plan, e o poziție mai bună decât una mare nesusținută.
Autoevaluarea se construiește tot anul, nu în ajunul termenului.
Începe cu evaluarea reală a măsurilor tale — restul decurge din ea.