Evaluarea conformității NIS2: cum îți afli scorul real
O evaluare NIS2 făcută corect răspunde la două întrebări pentru fiecare măsură: există politica scrisă? și — separat — chiar se aplică în practică? Diferența dintre cele două e exact ce caută un auditor. Iată cum arată o evaluare care rezistă la verificare, și cum o faci fără să te îneci în birocrație.
Pasul zero: ești sigur că intri sub NIS2?
Înainte de orice evaluare, stabilește dacă și cum te vizează legea: regulă generală, firme cu peste 50 de angajați sau peste 10 milioane € cifră de afaceri din cele 18 sectoare din anexele OUG nr. 155/2024 — dar există și entități care intră indiferent de mărime. Evaluarea de eligibilitate folosește exact aceste criterii — iar ghidul de mai jos le explică.
Cum arată o evaluare corectă
- Setul aplicabil, nu tot catalogul: după nivelul tău (de bază / important / esențial), evaluezi 33, 53 sau 83 de controale — delimitarea scopului se face înainte, printr-un wizard scurt.
- Două axe per control: „politica există?” și „se aplică?” — fiecare cu Da / Parțial / Nu. O politică frumoasă neaplicată e o vulnerabilitate cu ștampilă.
- Referința legală la vedere: fiecare control citează articolul exact din OUG nr. 155/2024 și corespondentul din Directiva (UE) 2022/2555 — știi mereu DE CE ți se cere ceva.
- Onestitate forțată de sistem: sub 60% acoperire, scorul e marcat „provizoriu”; răspunsurile „nu se aplică” cer justificare. Un scor umflat azi înseamnă surprize scumpe la audit.
- Dovezile lângă control: capturi, procese-verbale, rapoarte — legate direct de controalele pe care le susțin, nu într-un folder separat.
De la scor la plan de remediere
Evaluarea nu e scopul — e diagnosticul. Fiecare răspuns „Nu” sau „Parțial” devine automat o lacună prioritizată după gravitate, apoi o sarcină cu responsabil și termen. Scorul crește doar când remediezi real, iar istoricul scorului (trendul) devine el însuși o dovadă de îmbunătățire continuă pentru autoritate.
Evaluarea nu se face o singură dată
OUG nr. 155/2024 cere autoevaluare anuală de maturitate transmisă către DNSC (art. 12(4)), actualizarea datelor de înregistrare la schimbări (art. 18) și audituri periodice pentru anumite categorii (art. 11). O evaluare vie — care se actualizează când se schimbă firma sau legea — bate orice dosar frumos înghețat în timp.
Întrebări frecvente
Cât durează o evaluare NIS2 completă?
Cu setul aplicabil delimitat corect, o firmă tipică termină prima evaluare în câteva sesiuni de lucru — de regulă o săptămână în ritm normal. Wizard-ul de scoping elimină de la început controalele care nu ți se aplică.
Cine din firmă ar trebui să facă evaluarea?
Persoana care cunoaște realitatea IT și operațională — responsabilul NIS2, administratorul IT sau chiar administratorul firmei la companiile mici. Întrebările sunt formulate în română simplă, cu explicații și exemple; nu cer pregătire juridică.
Ce primesc la finalul evaluării?
Scorul de conformitate pe domenii, lista lacunelor prioritizate după gravitate, planul de remediere cu termene, și baza pentru documentele generate automat — plus istoricul care dovedește progresul în timp.
Care e diferența dintre evaluare și audit?
Evaluarea (autoevaluarea) o faci tu, ca diagnostic și instrument de lucru. Auditul e verificarea independentă, făcută de un auditor atestat DNSC acolo unde legea o cere. O evaluare bine documentată e exact ce scurtează și ieftinește auditul.
Începe cu încadrarea firmei tale.
Încadrarea pe tipurile de entități și datele reale ale legii — gratuit, fără cont.