Checklist NIS2 pentru IMM-uri: 12 pași practici de conformare

Autoevaluarea maturității și termenele din OUG 155/2024

Art. 18 alin. (7) cere autoevaluarea inițială în 60 de zile de la transmiterea evaluării nivelului de risc. Art. 12 alin. (4) cere realizarea și transmiterea anuală a autoevaluării către DNSC și, după caz, autoritatea sectorială, cu asumarea managementului.

Pentru entitățile esențiale, art. 12 alin. (5) cere întocmirea și transmiterea planului de remediere în 30 de zile de la realizarea autoevaluării. Anexa 2 la Ordinul 1/2026 cere un plan pentru deficiențele care împiedică atingerea scorurilor-țintă. Publicarea ordinului nu pornește un termen nou, identic pentru toate entitățile.

Faza 1 — Încadrare și înregistrare

• ▸1. Verifică dacă intri sub NIS2: sector (anexele 1 și 2), număr de angajați, cifră de afaceri. Dacă ai dubii, DNSC are un chestionar de autoevaluare.
• ▸2. Înregistrează entitatea în platforma NIS2@RO — termenul oficial a expirat în septembrie 2025, deci orice întârziere suplimentară te expune la sancțiuni.
• ▸3. Desemnează un responsabil de securitate cibernetică și asigură-te că managementul aprobă formal planul de conformare — răspunderea conducerii este personală sub NIS2.

Faza 2 — Evaluare și controale aplicabile

• ▸4. Fă inventarul activelor: servere, aplicații, servicii cloud, software critic — nu poți proteja ce nu știi că ai.
• ▸5. Evaluarea nivelului de risc conform Ordinului DNSC nr. 2/2025, modificat prin Ordinul nr. 1/2026, se transmite în 60 de zile de la comunicarea deciziei de înscriere în registru, cu excepțiile prevăzute pentru DORA. Selectează controalele nivelului de asigurare și prioritizează măsurile-cheie aplicabile din Ordinul 1/2026.
• ▸6. Activează MFA pe toate conturile critice (email, VPN, admin) — cea mai ieftină măsură cu cel mai mare impact, cerută explicit de Art. 21.
• ▸7. Stabilește un proces de backup testat periodic și un plan minim de continuitate a activității.

Faza 3 — Implementare, autoevaluare și remediere

• ▸8. Pornește managementul vulnerabilităților: monitorizează CVE-urile care afectează software-ul din inventarul tău și stabilește termene de remediere pe severități (exemplu operațional: Critical în 7 zile; termenul se justifică prin risc și nu este impus generic de NIS2).
• ▸9. Definește procedura de tratare a incidentelor: cine detectează, cine decide, cine notifică DNSC în 24h/72h. Testeaz-o cu un exercițiu pe hârtie.
• ▸10. Evaluează furnizorii critici (cloud, IT outsourcing): securitatea lanțului de aprovizionare este cerință distinctă în Art. 21.
• ▸11. Fă training de securitate de bază cu toți angajații, inclusiv managementul — phishing-ul rămâne vectorul #1.
• ▸12. Realizează autoevaluarea maturității: scoruri separate 1–5 pentru documentație și implementare, cu justificare scrisă pentru fiecare control. Folosește NIS2@RO sau EVAL_MMS_B/I/E dacă platforma este indisponibilă. Pregătește planul de remediere a deficiențelor și declarația de aplicabilitate pentru cerințele sectoriale implementate, după caz.

Greșeli frecvente la IMM-uri

• ▸Tratarea NIS2 ca pe un proiect unic — directiva cere procese continue, nu un audit anual.
• ▸Lipsa dovezilor: măsurile există, dar nimeni nu poate demonstra când a fost remediată o vulnerabilitate.
• ▸Ignorarea furnizorilor: un MSP compromis înseamnă incidentul tău.
• ▸Amânarea înregistrării DNSC în speranța că „nu ne vede nimeni".