NIS2 în România: termenul DNSC a trecut, dar obligația rămâne. Ce faci acum
Un mit periculos circulă printre firmele care intră sub NIS2 în România: „dacă termenul a trecut oricum, nu mai are rost". Fals. Obligația de conformare nu dispare odată cu termenul — iar întârzierea în sine este un factor agravant.
Dacă firma ta activează într-un sector acoperit de OUG 155/2024 (legea prin care România a transpus Directiva NIS2) și încă nu ai pornit, acesta este momentul să recuperezi, ordonat.
Actualizare 5 septembrie 2026: Ordinul DNSC 1/2026
Ordinul 1/2026 este publicat și în vigoare din 27 august 2026. Acesta aprobă catalogul de controale și metodologia de autoevaluare a maturității. Selectează controalele potrivit nivelului de asigurare, tratează prioritar măsurile-cheie aplicabile și justifică separat scorurile documentației și implementării.
Evaluarea nivelului de risc se transmite în 60 de zile de la comunicarea deciziei DNSC; autoevaluarea inițială se realizează în 60 de zile de la transmiterea evaluării riscului. Există și obligația anuală de realizare și transmitere a autoevaluării. Pentru entitățile esențiale, planul de remediere se întocmește și transmite în 30 de zile de la realizarea autoevaluării. Verifică excepțiile DORA; data publicării ordinului nu repornește termenele tuturor entităților.
- ▸Ordinul DNSC nr. 1/2026 — Monitorul Oficial nr. 712, p. 5 (copie găzduită de MonitorLegal)
- ▸Anexele Ordinului 1/2026 — Monitorul Oficial nr. 712 bis (copie găzduită de MonitorLegal)
- ▸OUG nr. 155/2024, forma consolidată — art. 2, 12, 18 și 60–61
- ▸Legea nr. 24/2000 — art. 12, intrarea în vigoare a actelor normative
- ▸Ghidul complet despre Ordinul 1/2026
Ce s-a schimbat, de fapt
Termenul inițial de înregistrare la DNSC prin platforma NIS2@RO a expirat pe 19 septembrie 2025. Dar un termen expirat nu anulează obligația — o face doar mai urgentă. Autoritatea poate sancționa atât neconformitatea de fond, cât și întârzierea de înregistrare.
Pașii de recuperare, în ordine
- ▸Confirmă încadrarea potrivit art. 5–8 din OUG 155/2024: sector, criteriile de dimensiune și excepțiile aplicabile.
- ▸Înregistrează-te în NIS2@RO cât mai repede. Fiecare zi de întârziere suplimentară agravează situația.
- ▸Fă inventarul activelor IT și pornește un proces continuu de management al vulnerabilităților — cerință explicită în Art. 21.
- ▸Documentează tot. La control, DNSC cere dovezi, nu declarații.
Partea în care majoritatea firmelor se blochează
Măsurile de guvernanță și politicile se pot scrie într-o săptămână. Partea care rămâne apoi „veșnic pe mâine" este managementul continuu al vulnerabilităților — monitorizarea zilnică a CVE-urilor relevante pentru produsele proprii, cu urmărire de termene și dovezi.
Automatizarea poate reduce colectarea manuală, dar echipa trebuie să verifice relevanța, remedierea și dovezile pentru controalele aplicabile. Rapoartele produsului nu înlocuiesc autoevaluarea obligatorie și nu certifică conformitatea.
Pornește partea de vulnerabilități în câteva minute
Awarely Monitor poate susține partea de gestionare a vulnerabilităților relevantă pentru Art. 21 prin monitorizare CVE, ținte operaționale și dovezi de audit exportabile. 14 zile trial gratuit, fără card.