CE S-A SCHIMBAT
Un ordin cu măsuri concrete, nu principii generale
Ordinul DNSC nr. 1/2026, în vigoare din 27 august 2026, aprobă 218 controale concrete pe 6 funcții — Guvernare, Identificare, Protecție, Detecție, Răspuns, Recuperare — și metodologia oficială de autoevaluare a maturității față de ele.
Din cele 218, 29 sunt Măsuri cheie — obligatorii cu prioritate la orice nivel de asigurare.
Numărul de controale aplicabile crește cu nivelul: 34 la Bază, 133 la Important, toate 218 la Esențial.
Până acum, «conformitate NIS2» era un concept. De acum, e o măsurătoare pe scală 1-5, per control, cu justificare scrisă obligatorie.
Sancțiunile vin din regimul OUG 155/2024 — ordinul nu introduce sancțiuni proprii.
120 de zile de la decizia DNSC, nu de la o dată de calendar
Autoevaluarea maturității e o obligație legală distinctă (art. 18 alin. (7) OUG 155/2024). Termenul de 120 de zile curge individual, de la comunicarea deciziei DNSC de încadrare în registru — nu de la o dată de calendar.
Cum se scorează
Fiecare control primește DOUĂ scoruri — documentație și implementare — pe scală 1-5, fiecare justificat în scris. Se agregă pe Subcategorie, Categorie și într-un scor general.
OBLIGAȚIA LEGALĂ
Nivel
Măsuri
Categorii
Scor
Bază
≥ 2,5
—
≥ 2,5
Important
≥ 3
—
≥ 3
Esențial
≥ 3
≥ 3
≥ 3,5
Pragul pe Categorie se aplică doar la nivelul Esențial. Nivelul de asigurare se stabilește separat, prin Ordinul DNSC nr. 2/2025.
SCORURILE-ȚINTĂ
Ceasul pornește la comunicarea deciziei DNSC
CRONOLOGIA LEGALĂ
Ziua 0 — comunicarea deciziei DNSC
DNSC comunică încadrarea în registru — la 60 de zile de la notificare pentru entitățile esențiale, 150 pentru cele importante.
+60 de zile
Evaluarea de risc, transmisă către DNSC.
+120 de zile
Autoevaluarea maturității, transmisă către DNSC.
+150 de zile, cel târziu
Planul de remediere, doar pentru entitățile esențiale — 30 de zile de la finalizarea autoevaluării, oricând se încheie aceasta.
Termenele curg individual, per entitate — nu de la o dată comună.
DE CE CONTEAZĂ CINE FACE EVALUAREA
O autoevaluare calibrată greșit costă mai mult decât una corectă
218 controale, fiecare cu două scoruri justificate în scris. Documentul rezultat e dovada pe care se sprijină auditul extern (art. 58 alin. (1) OUG 155/2024) și supravegherea DNSC (Ordinul nr. 3/2025).
Diferența dintre «Definit» și «Gestionat» nu e o definiție de citit din ghid — e o judecată de prag (excepții sub 10% față de sub 5%, dovezi pentru majoritatea activităților față de toate) care cere experiență de audit reală.
Un scor optimist produce un plan subdimensionat, descoperit tardiv la audit. Unul pesimist produce cheltuieli pe procese care funcționează deja.
Legea nu impune un expert extern. Dar un scor nesusținut de experiență rareori rezistă la verificare, iar planul construit pe el pornește strâmb.
Planul de măsuri e obligatoriu, nu opțional
Când autoevaluarea nu atinge scorurile-țintă, entitatea are obligația unui plan de măsuri, cu acțiuni și termene asumate pentru fiecare deficiență. Valabil pentru toate entitățile.
Doar pentru cele esențiale: un plan de remediere separat, în 30 de zile de la finalizarea autoevaluării.
CÂND SCORUL NU AJUNGE LA ȚINTĂ
Ce înseamnă «adecvat» în practică
Nu un document de conformitate scris pentru raft, ci un plan care rezistă la verificare externă.
Prioritizare pe cele 29 de Măsuri cheie, indiferent de nivelul de asigurare.
Termene asumate realist — fiecare acțiune cu un responsabil și o dată.
Dovezi construite din start pentru audit și supraveghere, nu retroactiv.
Cinci stadii de maturitate. O țintă clară.
Metodologia din Ordinul nr. 1/2026 măsoară fiecare control pe cinci stadii, separat pentru documentație și implementare. Ținta depinde de nivelul de asigurare: ≥ 2,5 la Bază, ≥ 3 la Important, ≥ 3,5 la Esențial.
Stadiul 1 / Inițial
Măsuri ad-hoc, fără procese scrise. Reacție la incidente, nu prevenție.
Stadiul 2 / Repetabil
Proceduri de bază există, dar repetabilitatea depinde de oameni, nu de proces.
Stadiul 3 / Definit
Procese omologate la nivelul organizației, cu dovezi pentru majoritatea activităților.
Pragul minim la nivelul Important
Stadiul 4 / Gestionat
Procese măsurate și controlate, cu dovezi pentru toate activitățile.
Necesar pentru ținta ≥ 3,5 la Esențial
Stadiul 5 / Optimizat
Îmbunătățire continuă pe date proprii, cu ajustare la evoluția amenințărilor.
Nivelul de asigurare — și deci ținta — se stabilește prin Ordinul DNSC nr. 2/2025, nu prin autoevaluare.
UNDE TE AFLI PE SCALA NIS2
ÎNTREBĂRI FRECVENTE
DE CE E DIFICILĂ CONFORMAREA
Cinci probleme pe care auditul le clarifică
2
Procese
Cele 218 controale sunt interdependente; auditul fixează ordinea de remediere.
3
Tehnologie
Investițiile se decid pe deficiențele măsurate, nu pe prima ofertă primită.
4
Termene
Condiții clare de efort și termene asumate, în locul intervalelor vagi.
5
Continuu
NIS2 nu are dată de final; auditul e punctul de plecare, nu finalul.
CUM EVALUĂM FIECARE CONTROL
Patru verdicte, fără ambiguitate
Conformitate
Implementat complet, funcțional, cu dovezi auditabile.
Conformitate parțială
Măsuri parțiale sau dovezi incomplete; e necesară acțiune de aliniere.
Oportunitate de îmbunătățire
Cerința e îndeplinită, dar procesul poate fi optimizat.
Neconformitate
Măsuri absente sau ineficiente — risc ridicat și expunere la regimul sancționator OUG 155/2024.
Fiecare verdict vine cu dovada colectată și recomandarea de remediere — nu cu o bifă.
Standarde recunoscute, nu opinii personale
PE CE STANDARDE NE SPRIJINIM
Ordinul DNSC nr. 1/2026
OUG 155/2024 și legislația conexă
218 controale pe 6 funcții, din care 29 Măsuri cheie.
Art. 18 alin. (7) și art. 58 alin. (1) OUG 155/2024; Ordinele DNSC nr. 2/2025 (nivel de risc) și nr. 3/2025 (supraveghere).
NIST CSF 2.0
CyberFundamentals (CCB) și ISO/IEC 27001:2022
Govern · Identify · Protect · Detect · Respond · Recover — cadrul de structurare a constatărilor.
Corelat cu CIS v8, ISA/IEC 62443, NIST SP 800-53; ISO/IEC 27001:2022 pentru sistemul de management.
PROCESUL NOSTRU INIȚIAL
Trei pași, fără să promitem ce nu depinde de noi
01 — AUDIT
Audit NIS2 de auditor atestat DNSC
Evaluare independentă a posturii curente, aliniată la Ordinul nr. 1/2026 și la NIST CSF 2.0.
02 — AUTOEVALUARE
Autoevaluare de maturitate asistată
Lucrăm pe Platforma NIS2@RO / EVAL_MMS, cu fiecare scor justificat din experiență de audit.
03 — PLAN
Plan de măsuri
Prioritizat pe Măsurile cheie, cu termene și responsabili — gata de depus.
Conformitatea rămâne responsabilitatea entității. Noi audităm, asistăm și ghidăm — nu emitem garanție de conformitate.
DE LA AUDIT LA MATURITATE OPERAȚIONALĂ
Șase etape, fiecare decisă separat
1
Audit NIS2
Fotografia reală: maturitate, grad de conformare, plan prioritizat.
EVALUARE
4
Director de securitate externalizat
Guvernanță strategică — expert permanent, la cost fracționat.
OPERARE
2
Implementare și asumare
Construcția proceselor: impact, active, risc, acces, răspuns, recuperare.
CONSTRUCȚIE
5
Operații zilnice de securitate
Vulnerabilități, actualizări, acces, protecția datelor, incidente.
OPERARE
3
Digitalizarea proceselor
Din Excel și dosar fizic în sisteme verificabile la audit.
CONSTRUCȚIE
6
Centru de monitorizare (SOC)
Supraveghere continuă și răspuns la incident.
MONITORIZARE
Modular — pornești cu auditul și decizi la fiecare pas pe cel următor.
Nu un dosar. O direcție.
CE PRIMEȘTI DUPĂ UN AUDIT
01
02
Raport de arhitectură tehnică
— topologie cu lacunele identificate
— vulnerabilități și expuneri
— recomandări tehnice
CTO · IT · echipa tehnică
03
Raport de conformare și maturitate
Plan de măsuri prioritizat
— evaluare per funcție și categorie
— scor de maturitate per control
— distanța față de scorul-țintă
— acțiuni ordonate pe risc
— termene, responsabili, resurse
— indicatori de urmărire
Management · Board · CISO
Director general · Management · PM
Planul poate fi folosit direct pentru obligația de la art. 12 alin. (5) din Ordinul nr. 1/2026.
CINE EXECUTĂ AUDITUL.
Auditori seniori — fără excepție.
Auditor principal
Mădălin Bratu · CISA · CISM · CRISC · CISSP · C-CISO · 24 ani · 80+ contracte · DNSC #9017.
Arhitect soluții securitate
senior; rețea · cloud · endpoint.
Specialist GRC
senior; guvernanță, risc, conformitate.
Rețea extinsă · end-to-end
20+ experți IT/OT; Audit → Implementare → CISO → Operațiuni → Monitorizare.
DE CE SECTIO AUREA
Experiență verificabilă, nu promisiuni
I
Mădălin Bratu — Fondator, auditor atestat DNSC #9017, 24 de ani în IT și securitate cibernetică; CISA, CISM, CRISC, CISSP, C-CISO, CCSP, ISO/IEC 27001:2022 Lead Auditor.
II
50 de clienți unici, 80+ contracte livrate, în peste 10 sectoare critice.
III
Audit pe infrastructuri critice reglementate — utilități apă, energie, sector financiar-bancar.
IV
Cunoaștere directă a Ordinului DNSC nr. 1/2026 și a metodologiilor conexe (Ordinele nr. 2/2025 și 3/2025).
AUDITURI NIS2 LIVRATE
Referințe pentru audituri NIS2.
Banca Transilvania
Apa Canal Galați
“
A demonstrat ocompetență tehnică excepțională, viziune strategică și leadership; capacitatea sade a traduce cerințe complexe de reglementare în recomandări practice, orientatespre business, a fost esențială pentru succesul proiectului.
Rinald Khamidullin · Managing Director · Lukoil Technology Services GmbH
Garanti BBVA
Raja Constanța
Romgaz
AquaVas
E.ON
C.A. Târgoviște
“
Competență tehnică ridicată, rigoare metodologică și o bună înțelegere a specificului sectorului energetic,inclusiv a diferențelor dintre mediile IT și OT.
Mihai Truță · Director Securitate Cibernetică · E.ON · Delgaz Grid
Delgaz Grid
International Alexander
LUKOIL România
Petrotel Lukoil
ONRC
Otter Distribution
Lukoil Technology Services
“
Activitățile au contribuit semnificativ la consolidareasecurității infrastructurii critice, creșterea reziliențeioperaționale și îmbunătățirea capacității de răspunsla incidente.
Răzvan Popescu · Aristotel Jude · Bogdan Popescu · S.N.G.N. Romgaz S.A.
Phinia
ApaVital
Solicită o evaluare cu Mădălin Bratu
O discuție de 30 de minute, fără cost, ca să stabilim la ce nivel de asigurare te încadrezi și ce urmează.
Fără costuri pentru discuția inițială.