Repere pentru NIS2, GDPR, AI Act, DORA, CRA și ISO/IEC 27001. Găsești sursa oficială, data relevantă și întrebările pe care merită să le clarifice echipa.
01 / CONTEXTSituația companieiActivitate · oameni · date
02 / SURSĂCe s-a schimbat?
Statut · versiune · impact
Sursa rămâne cu explicația.
De la un reper verificat la întrebările pentru echipă.
01 — Selecție editorială
Ce se schimbă. Ce verifici mai departe.
Actualizat la . Sunt incluse noutăți și repere de fond, cu statutul indicat separat. Selecția nu este exhaustivă și nu se actualizează automat.
9 repere
CRA · Regulament UE · reper de aplicare
CRA: raportarea se aplică din 11 septembrie 2026.
Art. 14 privind raportarea vulnerabilităților exploatate activ și a incidentelor severe se aplică din 11 septembrie 2026. Art. 69 alin. (3) include și produsele vizate introduse pe piață anterior datei generale de aplicare. Restul calendarului rămâne distinct: capitolul IV din 11 iunie 2026, aplicarea generală din 11 decembrie 2027.
Ce pregătește echipa · recomandare editorială
Identifică produsele și rolul companiei. Desemnează responsabilul și stabilește criteriile de analiză și pașii raportării către autoritățile competente.
Reper de calendar, nu decizie de aplicabilitate pentru produsul tău.
Alfabetizarea AI pornește de la oamenii și contextul utilizării.
Articolul 4, înlocuit prin Regulamentul (UE) 2026/1744, cere măsuri care sprijină dezvoltarea alfabetizării AI a personalului și a persoanelor care operează sau folosesc sistemele în numele furnizorului ori implementatorului. Pregătirea, experiența, contextul și persoanele afectate contează; nu se cere garantarea unui anumit nivel individual de cunoștințe.
Ce pregătește echipa · recomandare editorială
Inventariază utilizările AI și persoanele implicate. Alege instruirea după rol și context, apoi păstrează evidența.
Instruirea se raportează la rol și utilizare. Un curs sau document de finalizare nu dovedește singur îndeplinirea tuturor obligațiilor.
Calendarul se verifică separat pentru fiecare categorie.
Pentru capitolul III secțiunile 1–3, cu excepția art. 6 alin. (5), noul art. 113 distinge 2 decembrie 2027 pentru sistemele de la art. 6 alin. (2)/anexa III și 2 august 2028 pentru cele de la art. 6 alin. (1)/anexa I. Celelalte dispoziții și tranzițiile au repere proprii.
Ce pregătește echipa · recomandare editorială
Stabilește sistemul, rolul organizației, categoria și situația tranzitorie înainte de a calcula un termen.
Aceste date nu amână toate obligațiile AI Act. Verifică dispoziția concretă și tranzițiile aplicabile.
Când un furnizor prelucrează date în numele operatorului, art. 28 cere garanții suficiente și un contract sau alt act juridic obligatoriu. Acesta precizează obiectul, durata, natura, scopul, datele, persoanele vizate și responsabilitățile. Folosirea altor persoane împuternicite are condiții proprii de autorizare și informare.
Ce pregătește echipa · recomandare editorială
Descrie serviciul și prelucrările reale, apoi verifică rolurile, instrucțiunile și condițiile contractuale. Nu orice furnizor este persoană împuternicită.
Un link către DPA nu stabilește singur rolurile și nu ține locul unui acord obligatoriu.
Catalogul ASRO indică SR EN ISO/IEC 27001:2023 și amendamentul A1:2024. Reperul internațional este ISO/IEC 27001:2022 cu amendamentul 1:2024. Ediția, amendamentul și domeniul sistemului se verifică împreună.
Ce pregătește echipa · recomandare editorială
Verifică documentația folosită și accesul legal la standard. În analiza certificării, clarifică separat domeniul, emitentul și valabilitatea certificatului.
Fișele publice identifică standardul; analiza cerințelor se face în textul licențiat. Radarul nu reproduce standardul și nu atribuie Cremene o certificare.
ASRO · SR EN ISO/IEC 27001:2023 și SR EN ISO/IEC 27001:2023/A1:2024 · fișe oficialeDeschide sursa oficială
NIS2 în România: încadrarea se verifică în OUG 155/2024.
OUG 155/2024, în forma modificată, leagă încadrarea de activitate, tipul entității, jurisdicție, dimensiune și cazurile speciale. Un cod CAEN sau dimensiunea firmei, luate separat, nu stabilesc încadrarea.
Ce pregătește echipa · recomandare editorială
Păstrează faptele, sursa și versiunea folosite. În caz de informații insuficiente, continuă clarificarea înaintea unei concluzii.
Radarul explică sursa; nu înscrie firma, nu depune documente și nu emite o decizie de încadrare.
Documentarea și implementarea se evaluează distinct.
Ordinul DNSC 2/2026 completează Ordinul 1/2026. Controalele declarate neaplicabile au limite și condiții; selectarea lor trebuie justificată. Un document existent și o măsură implementată nu au aceeași semnificație în autoevaluare.
Ce pregătește echipa · recomandare editorială
Pregătește justificarea, documentele și dovezile implementării. Confirmă metodologia și catalogul integral înaintea calculului oficial.
Un scor intern Cremene nu se substituie metodologiei DNSC sau depunerii cerute de autoritate.
Ordinul DNSC nr. 2/2026, art. I; metodologia din anexa nr. 2 la Ordinul nr. 1/2026, art. 2 și 4Deschide sursa oficială
Politicile de grup trebuie legate de entitatea evaluată.
Normele DNSC disting controalele preluate, implementate și partajate. Adoptarea formală a unei politici de grup nu înlocuiește dovezile relevante pentru entitatea evaluată; lipsa unui document local separat nu înseamnă automat că politica grupului este inutilizabilă.
Ce pregătește echipa · recomandare editorială
Identifică ce face grupul, ce face entitatea și dovezile care susțin fiecare responsabilitate.
Normele nu schimbă controalele, scorurile-țintă și calculul metodologiei.
Decizia DNSC nr. 3/2026, art. 1–4 și normele anexate · MO nr. 798/21.09.2026Deschide sursa oficială
DORA: verifică serviciul TIC și rolul furnizorului.
Entitățile financiare gestionează riscul furnizorilor de servicii TIC și păstrează responsabilitatea pentru obligațiile proprii. Art. 30 distinge cerințele contractuale generale de cele suplimentare pentru servicii care sprijină funcții critice sau importante. Desemnarea unui furnizor terț ca esențial este un regim separat, prevăzut la art. 31.
Ce pregătește echipa · recomandare editorială
Identifică serviciul, funcția susținută, subcontractarea și condițiile de ieșire. Compară contractul cu cerințele aplicabile și cu actele tehnice relevante.
Un contract cu o bancă nu face automat furnizorul terț esențial și nu îi transferă întregul regim al entității financiare.
Un regulament, un act național și un standard au roluri diferite. Deschide sursa indicată și citește dispoziția, trimiterile și excepțiile. Data verificării noastre nu este data de la care se aplică obligația.
02
Leagă reperul de situația firmei.
Clarifică activitatea, rolul organizației și domeniul afectat. De exemplu, raportarea CRA depinde de produs, rol și situația constatată; nu orice problemă tehnică declanșează aceeași obligație.
03
Stabilește următorul pas.
Notează ce trebuie analizat, cine răspunde și până când. Recomandarea editorială ajută organizarea; nu înlocuiește analiza aplicabilității. Vezi modelul de activitate, responsabil și dovadă.
Următorul pas
Transformă reperul într-o activitate.
Păstrează sursa, întrebarea, responsabilul și verificarea rezultatului în același plan.
Cu acordul tău, folosim Google Analytics pentru a înțelege ce pagini sunt utile și cum ajung vizitatorii la noi. Poți refuza și folosi site-ul în continuare.