După decizia DNSC: termenele și pașii pentru companie

• Entitatea vizată și încadrarea comunicată: esențială sau importantă.
• Data comunicării, împreună cu dovada primirii.
• Serviciile și situația pe care s-a bazat notificarea, precum și eventualele clarificări cerute.
• Regulile sectoriale sau speciale care schimbă parcursul general.

Pentru entitățile cărora li se aplică DORA, art. 2 alin. (3) din OUG nr. 155/2024 păstrează numai art. 5–10 și art. 18. Nu le atribui automat toate obligațiile de mai jos. Tot separat se verifică excepțiile de la evaluarea nivelului de risc, explicate în secțiunea următoare.

Sursă: OUG nr. 155/2024, art. 2 alin. (3) și art. 18; forma consolidată consultată la 21 octombrie 2026.

Tabelul arată reperele generale din ordonanță. Pentru fiecare rând se verifică domeniul de aplicare și excepțiile, înainte de a calcula data-limită pentru companie.

Sursă: OUG nr. 155/2024, art. 12 alin. (4)–(5), art. 14 alin. (3) și art. 18 alin. (6)–(7).

Metodologia aprobată prin Ordinul DNSC nr. 2/2025 prevede mecanismele oficiale NIS2@RO și ENIRE@RO pentru evaluarea nivelului de risc. Un registru intern de riscuri sau un scor dintr-o aplicație comercială nu înlocuiește evaluarea făcută prin mecanismul cerut de metodologie.

Sursă: Metodologia aprobată prin Ordinul DNSC nr. 2/2025, art. 1 și art. 3 alin. (7); art. 6 a fost ulterior modificat.

Pentru excepții trebuie folosit art. 6 în forma dată de art. V din Ordinul DNSC nr. 1/2026. Sunt vizate entitățile din sectorul bancar și infrastructurile pieței financiare cărora li se aplică DORA. Regula privește și entitățile din infrastructura digitală și gestionarea serviciilor TIC B2B atunci când sunt desemnate furnizori terți esențiali de servicii TIC potrivit DORA. Un simplu contract IT cu o bancă nu dovedește această desemnare.

Sursă: Ordinul DNSC nr. 1 din 6 august 2026, art. V — noua formă a art. 6 din metodologia de risc.

Într-o situație exceptată, nu completa mecanic calendarul standard. Verifică obligațiile care rămân aplicabile și cere clarificarea procedurii pentru entitate. Nici excepția de la această evaluare, nici o denumire de sector nu trebuie transformate într-o excludere generală de la toate obligațiile.

Conducerea stabilește mijloacele permanente de contact, alocă resurse și desemnează responsabilul în condițiile art. 14 alin. (3). Tot conducerea aprobă măsurile și supraveghează aplicarea lor. Pentru persoana desemnată se verifică separat cerințele suplimentare și excepțiile art. 14 alin. (4).

Formarea conducerii și instruirea personalului sunt, de asemenea, prevăzute de art. 14 alin. (2). Un curs de conștientizare nu trebuie prezentat automat ca fiind cursul acreditat cerut conducerii sau cursul de specialitate recunoscut de DNSC cerut anumitor responsabili.

Sursă: OUG nr. 155/2024, art. 14 alin. (1)–(4).

Metodologia de maturitate aprobată prin Ordinul DNSC nr. 1/2026 evaluează separat documentația și implementarea controalelor. Valorile atribuite se justifică în scris. Prin urmare, existența unei politici aprobate nu este suficientă pentru a descrie ce se întâmplă efectiv în sisteme.

Sursă: Metodologia de autoevaluare din 6 august 2026, art. 2 alin. (1)–(5), în forma modificată la 18 septembrie 2026.

Când nu sunt atinse scorurile-țintă, art. 3 al metodologiei cere un plan de remediere cu acțiuni și termene asumate. Această cerință este distinctă de obligația entităților esențiale de a întocmi și transmite planul în 30 de zile, prevăzută la art. 12 alin. (5) din ordonanță. O entitate importantă nu poate deduce că nu are nimic de remediat doar pentru că acel alineat privește entitățile esențiale.

Sursă: Metodologia de autoevaluare, art. 3.

Sursă: OUG nr. 155/2024, art. 12 alin. (3) și (5).

Pentru fiecare obligație, notează sursa și versiunea, persoana responsabilă, evenimentul de început, data-limită calculată și dovada finalizării. Separă termenul legal de un termen intern mai scurt, ales pentru verificarea documentelor înainte de transmitere.

• Decizie primită: păstrezi documentul și dovada comunicării.
• Responsabil desemnat: păstrezi decizia internă, atribuțiile și resursele.
• Evaluare pregătită: verifici metoda, datele și persoana care și-o asumă.
• Document transmis: păstrezi versiunea efectiv depusă și confirmarea primirii.
• Deficiență remediată: păstrezi rezultatul intervenției și reverificarea.

Aceasta este o metodă practică de organizare, nu un formular impus de lege. În Cremene poți urmări legătura dintre cerință, activitate, responsabil și dovadă. Un export intern sau o activitate marcată ca încheiată nu confirmă transmiterea către DNSC și nici îndeplinirea tuturor obligațiilor entității.