NIS2 în 2026: ești pregătit pentru un audit DNSC?

În 2024 și 2025, discuția despre NIS2 în România se învârtea în jurul unei singure întrebări: „intru sau nu sub incidența directivei?". În 2026, întrebarea s-a schimbat complet. Termenul de înregistrare la DNSC a trecut, cadrul legal e complet, iar autoritatea are acum instrumentele să verifice. Întrebarea nu mai este dacă ești vizat, ci dacă poți dovedi că ești conform.

Diferența e uriașă. O firmă care „știe că trebuie să facă ceva" și una care poate pune pe masă un dosar acceptabil ca dovadă în fața DNSC sunt în situații juridice diametral opuse. Un readiness check îți spune, la rece, în care dintre cele două te afli — și ce ai de făcut ca să treci în tabăra corectă înainte de o inspecție.

Unde suntem, legal, în 2026

Directiva NIS2 a fost transpusă în România prin OUG 155/2024, consolidată și aprobată prin Legea 124/2025, intrată în vigoare în iulie 2025. Peste această lege, DNSC a emis normele de aplicare care contează pentru munca de zi cu zi: Ordinul nr. 1/2025 (cerințele de notificare și înregistrare) și Ordinul nr. 2/2025 (metodologia de evaluare a nivelului de risc), ambele în vigoare din 20 august 2025.

Cu alte cuvinte, cadrul nu mai este „în lucru". Este complet, operațional și însoțit de instrumente concrete — de la formularul de înregistrare până la metodologia prin care îți calculezi nivelul de risc. Scuza „încă nu s-au clarificat regulile" nu mai există.

Termenul de înregistrare a trecut. Și acum?

Entitățile vizate au avut la dispoziție 30 de zile de la 20 august 2025 pentru a notifica DNSC — un termen care a expirat în jurul datei de 19–22 septembrie 2025. Mesajul-cheie, subliniat de DNSC însuși: faptul că termenul a expirat NU stinge obligația. O firmă care nu s-a înregistrat la timp rămâne obligată să o facă și acum, doar că într-o poziție mai vulnerabilă.

Vestea bună pentru cei rămași în urmă: DNSC a comunicat că prioritatea din prima parte a lui 2026 este conformarea voluntară și sprijinul pentru companii, nu aplicarea imediată a amenzilor maxime. O organizație care se înregistrează acum și prezintă un plan de conformare realist poate beneficia de termene suplimentare, de toleranță procedurală și, în cazul unei inspecții, de o posibilă reducere a sancțiunilor de până la 50%. Este o fereastră care nu va rămâne deschisă la nesfârșit.

În 2026, DNSC nu caută încă să pedepsească — caută să vadă cine s-a mișcat. Un plan realist pus pe masă la timp valorează mai mult decât o conformitate perfectă promisă „mai încolo".

Cascada de obligații după înregistrare

Aici greșesc cele mai multe firme: cred că înregistrarea este linia de sosire. De fapt, este linia de start. După ce te notifici, pornește un lanț de termene legale care se derulează automat, indiferent dacă ești pregătit sau nu:

1. 1DNSC emite decizia de identificare și înregistrare în registru — în aproximativ 60 de zile pentru entitățile esențiale și 150 de zile pentru cele importante.
2. 2În 60 de zile de la decizie: transmiți evaluarea nivelului de risc, realizată conform metodologiei din Ordinul 2/2025 (prin instrumentul ENIRE@RO / platforma NIS2@RO).
3. 3În 60 de zile de la evaluarea de risc: realizezi autoevaluarea nivelului de maturitate a măsurilor de securitate.
4. 4Anual: reiei autoevaluarea de maturitate a măsurilor de management al riscului, asumată explicit de conducerea entității.

Fiecare pas presupune documentație, dovezi și decizii tehnice reale — nu bifarea unui formular. Iar termenele curg din momentul deciziei DNSC, nu din momentul în care „ajungi tu la ele". O firmă care descoperă abia la ziua 55 că nu are o evaluare de risc conformă intră deja în întârziere.

Raportarea incidentelor: 24h / 72h / o lună

Dincolo de dosarul de conformare, NIS2 impune un regim strict de raportare a incidentelor semnificative. Dacă ești lovit de un atac, cronometrul pornește imediat:

1. 1În maximum 24 de ore de la conștientizarea unui incident semnificativ: o avertizare timpurie către DNSC, care indică dacă există suspiciuni de acțiune malițioasă sau posibil impact transfrontalier.
2. 2În maximum 72 de ore: o notificare completă, cu o evaluare inițială a severității și impactului.
3. 3În maximum o lună de la notificare: un raport final, cu analiza cauzelor și a măsurilor aplicate.

Aceste termene sunt imposibil de respectat improvizat. Fără un plan de răspuns la incidente scris și fără roluri clare, primele 24 de ore trec în panică, iar întârzierea la raportare devine ea însăși o încălcare — pe lângă atacul propriu-zis.

Sancțiuni: cât costă, concret, neconformarea

• Entități esențiale: amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri mondială anuală, care e mai mare.
• Entități importante: amenzi de până la 7 milioane de euro sau 1,4% din cifra de afaceri mondială anuală.
• Neîndeplinirea obligației de notificare și înregistrare: amenzi separate, de până la 500.000 lei pentru entitățile esențiale și 300.000 lei pentru cele importante.
• Răspunderea conducerii: NIS2 introduce responsabilitatea directă a managementului pentru măsurile de securitate — nu mai este o problemă „a departamentului IT".

Ideea nu este să vindem frică, ci proporția. Pentru o firmă medie, expunerea la o amendă de ordinul sutelor de mii de lei — plus răspunderea personală a administratorului — face din câteva zile de pregătire ordonată una dintre cele mai rentabile investiții posibile.

Ce verifică, de fapt, un readiness check DNSC

Un readiness check nu este un audit de certificare și nu durează luni. Este o evaluare concentrată care îți răspunde la trei întrebări: sunt vizat, unde sunt găurile și ce am de făcut, în ce ordine. Concret, un NIS2 / DNSC Readiness Check livrează:

• Determinarea aplicabilității — dacă ești entitate esențială, importantă sau în afara scopului, cu argumentare pe sectoare și praguri.
• O gap analiză față de cerințele DNSC — unde stai bine, unde ai lipsuri și cât de grave sunt.
• Un plan de acțiune cu termenele legale prioritizate — ce rezolvi întâi și până când, aliniat la cascada de termene de mai sus.
• Documentație structurată, acceptabilă ca dovadă în fața autorității.

Diferența pe care o aducem este că evaluarea e făcută de un auditor DNSC autorizat — adică cineva care știe exact ce formă de dovadă trece și ce nu. Este parte din serviciul mai larg de securitate cibernetică, unde ducem apoi planul până la implementare: controale tehnice, training de awareness și plan de răspuns la incidente.

De unde începi, practic

1. 1Clarifică-ți statutul: verifică sectorul și pragurile (≥50 de angajați sau peste 10 milioane euro cifră de afaceri/bilanț) ca să știi dacă ești esențial, important sau în afara scopului.
2. 2Dacă nu te-ai înregistrat, fă-o acum — cât încă e deschisă fereastra de toleranță din 2026.
3. 3Comandă un readiness check ca să afli, în zile, unde ești și ce-ți lipsește față de cerințele reale ale DNSC.
4. 4Transformă gap-urile în plan cu termene și responsabili, aliniat la deciziile și termenele legale.
5. 5Pune bazele operaționale minime: MFA, patching, backup testat și un plan de răspuns la incidente care respectă cascada de 24h/72h/o lună.

Nu ai nevoie să faci totul într-o lună. Ai nevoie să pornești ordonat și să poți arăta că te-ai mișcat. Dacă vrei să știi în ce tabără ești acum — conform sau doar „cu bune intenții" — hai să discutăm 30 de minute și îți spun concret primul pas.

Conformitatea NIS2 nu se dovedește cu intenții, ci cu documente. Un readiness check îți arată exact ce lipsește din dosar înainte s-o facă inspectorul.

Concluzie

În 2026, NIS2 a trecut din faza „despre ce e vorba" în faza „arată-mi dovada". Cadrul legal e complet, termenele curg, iar sancțiunile sunt reale. Dar fereastra de toleranță a DNSC face din acest an momentul ideal pentru a te pune în ordine fără presiunea amenzii maxime. Un readiness check îți dă harta: unde ești, ce-ți lipsește și în ce ordine rezolvi. Restul e doar disciplină.