Directiva și norma română
Directiva (UE) 2022/2555 stabilește cadrul european. Pentru obligațiile companiei în România trebuie consultată transpunerea: OUG nr. 155/2024, aprobată cu modificări prin Legea nr. 124/2025 și modificată ulterior. Referința folosită aici este forma consolidată din 6 iulie 2026.
Sursă: OUG nr. 155/2024 — forma consolidată din 6 iulie 2026.
Cum construiești analiza de aplicabilitate
- Descrii activitatea și o compari cu tipul de entitate din anexele nr. 1–2.
- Verifici jurisdicția, inclusiv regulile speciale pentru anumite servicii digitale.
- Examinezi cazurile care se aplică indiferent de dimensiune.
- Calculezi mărimea folosind regulile relevante și relațiile cu alte întreprinderi.
- Separi încadrarea ca entitate esențială sau importantă de nivelul de risc și de evaluarea măsurilor.
Sursă: OUG nr. 155/2024, art. 5–10 și anexele nr. 1–2.
Ce date pregătești
| Întrebare | Documente sau fapte de analizat |
|---|---|
| Ce serviciu prestezi efectiv? | Contracte, servicii și activități reale |
| Unde se află jurisdicția relevantă? | Sediul, deciziile și activitățile relevante potrivit art. 7 |
| Ce mărime are entitatea? | Personalul, datele financiare și structura întreprinderilor partenere sau legate |
| Există un caz special? | Desemnări și condițiile art. 5, 6 și 9 |
| Se aplică DORA sau un regim sectorial? | Categoria juridică și norma specială |
De la analiză la muncă organizată
Pentru entitățile vizate, ordonanța tratează gestionarea riscurilor, rolul conducerii, înregistrarea, incidentele și verificarea măsurilor. Responsabilii, termenele și cerințele se stabilesc din articolul aplicabil și din actele conexe, nu dintr-o listă universală de documente.
Sursă: OUG nr. 155/2024, art. 11–18.
Cum construiești planul de implementare NIS2
Tabelul următor este o propunere de organizare. Cerințele se aleg din norma și metodologia aplicabile entității; exemplele de documente nu reprezintă o listă legală exhaustivă. Pentru fiecare pas, păstrează și ce nu ai reușit încă să confirmi.
| Pas de lucru | Ce clarifică echipa | Ce rezultat poate păstra |
|---|---|---|
| Stabilește domeniul | Serviciile, sistemele, sediile și dependențele incluse în analiză. | Inventar cu responsabil și dată de revizuire. |
| Evaluează riscurile | Ce poate afecta serviciul și ce măsuri sunt necesare. | Riscuri documentate, măsuri alese și deciziile conducerii. |
| Verifică aplicarea | Cine configurează, execută sau aplică fiecare măsură. | Rezultatul intervenției, domeniul acoperit și limitele verificării. |
| Testează și remediază | Cum verifici eficacitatea și ce faci cu o constatare. | Scenariul de test, rezultatul, remedierea și reverificarea. |
| Pregătește etapa oficială | Ce formular, metodologie, termen și canal se aplică. | Răspunsuri susținute de dovezi, aprobări și confirmări de transmitere. |
Sursă: OUG nr. 155/2024, art. 11–14 și 18; forma consolidată din 6 iulie 2026.
Exemplu: copia de siguranță și testul de restaurare
Într-un exemplu fictiv, echipa confirmă că există o copie de siguranță a aplicației interne. Acest fapt nu arată încă dacă aplicația poate fi restaurată. Responsabilul stabilește scenariul și criteriile testului, execută restaurarea într-un mediu controlat și consemnează rezultatul. Dacă unele funcții nu revin, activitatea rămâne deschisă până la remediere și reverificare.
Dovada utilă leagă copia folosită de sistemul testat, data testului, persoana care l-a executat și funcțiile verificate. O captură care arată doar că s-a creat copia nu răspunde aceleiași întrebări. Frecvența și criteriile se stabilesc potrivit cerințelor aplicabile și riscului; exemplul nu impune un interval universal.
Sursă: OUG nr. 155/2024, art. 11 alin. (1)–(4) și art. 13 lit. b) și h).
Încadrarea, nivelul de risc și autoevaluarea sunt etape diferite
Clasificarea drept entitate esențială sau importantă se analizează potrivit art. 5–10. Nivelul de risc și maturitatea măsurilor au evaluări distincte. Pentru măsuri și autoevaluare, citește Ordinul DNSC nr. 1/2026 împreună cu anexele sale și cu modificările ulterioare. Un scor intern sau un model Cremene nu înlocuiește autoevaluarea cerută de autoritate.
Sursă: OUG nr. 155/2024, art. 5–12 și 18.
Sursă: Ordinul DNSC nr. 1/2026, art. I–IV; aprobarea anexelor nr. 1–2.
O măsură poate ajuta mai multe analize
O verificare a accesului poate avea relevanță pentru NIS2, GDPR și un sistem ISO/IEC 27001. Păstrează însă cerințele și concluziile separat. Pentru entitățile cărora li se aplică DORA, articolul 2 alineatul (3) limitează aplicarea ordonanței la articolele 5–10 și 18.
Sursă: OUG nr. 155/2024, art. 2 alin. (3).
Un prim pas verificabil
Alege un serviciu important și consemnează sistemele de care depinde, persoana responsabilă și o verificare necesară. Leagă rezultatul de cerința relevantă, fără să declari conformitatea întregii companii pe baza unei singure activități. Datele insuficiente trebuie marcate și completate.
Surse și limite
- OUG nr. 155/2024 — text consolidat
- Directiva (UE) 2022/2555
- Ordinul DNSC nr. 1/2026 — măsuri, metodologie și actele de completare
Surse consultate pentru revizia din 15 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.