NIS2 Art. 21 vs Art. 23: măsuri de securitate vs raportare incidente

Ordinul DNSC 1/2026: controale și dovezi

Ordinul din 6 august 2026, publicat în Monitorul Oficial nr. 712 din 27 august 2026, cu anexele în nr. 712 bis, aprobă măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturității. Este în vigoare de la publicare.

Catalogul cuprinde 218 controale în șase funcții: Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare. Se selectează controalele nivelului de asigurare aplicabil — Bază, Important sau Esențial — conform riscului. Măsurile-cheie aplicabile se tratează prioritar; documentația și implementarea primesc scoruri separate, justificate în scris.

Calendarul incidentelor rămâne distinct

Ordinul 1/2026 detaliază măsurile și autoevaluarea; termenele incidentelor se verifică separat în art. 15 din OUG 155/2024. Avertizarea de 24h și raportarea de 72h se calculează de la luarea la cunoștință a incidentului semnificativ, iar raportul final de la transmiterea notificării. Există reguli speciale, inclusiv raportarea în cel mult 6 ore a informațiilor care permit constatarea unui impact transfrontalier și termenul de 24h pentru raportarea incidentelor semnificative ale prestatorilor de servicii de încredere.

Art. 21 — măsurile de management al riscului

Art. 21 obligă entitățile să implementeze măsuri „tehnice, operaționale și organizatorice adecvate" proporționale cu riscul. Directiva enumeră 10 domenii minime:

• ▸Politici de analiză a riscurilor și de securitate a sistemelor informatice
• ▸Tratarea incidentelor (incident handling)
• ▸Continuitatea activității: backup, recuperare în caz de dezastru, management de criză
• ▸Securitatea lanțului de aprovizionare, inclusiv relația cu furnizorii direcți
• ▸Securitatea achiziției, dezvoltării și mentenanței sistemelor — inclusiv gestionarea și divulgarea vulnerabilităților
• ▸Politici și proceduri de evaluare a eficacității măsurilor
• ▸Igienă cibernetică de bază și training de securitate
• ▸Politici privind criptografia și criptarea
• ▸Securitatea resurselor umane, controlul accesului și managementul activelor
• ▸Autentificare multifactor, comunicații securizate de voce/video/text și sisteme de comunicații de urgență

Art. 23 — raportarea incidentelor semnificative

Art. 23 stabilește un calendar strict de notificare către CSIRT-ul național (în România, către DNSC) pentru incidentele cu impact semnificativ:

• ▸24 de ore — avertizare timpurie (early warning): semnalezi incidentul și indici dacă pare cauzat de acțiuni ilegale sau dacă poate avea impact transfrontalier.
• ▸72 de ore — notificarea propriu-zisă a incidentului: evaluare inițială a gravității, impactului și indicatorilor de compromitere.
• ▸La cerere — raport intermediar privind evoluția situației.
• ▸O lună — raport final: descriere detaliată, cauza probabilă (root cause), măsuri de remediere aplicate, impact transfrontalier dacă există.

Diferența practică: prevenție continuă vs reacție cronometrată

Art. 21 se demonstrează cu procese și dovezi acumulate în timp: inventar de active, jurnal de vulnerabilități remediate cu date și termene, politici aprobate de conducere, rapoarte periodice. Nu poți „improviza" conformarea cu Art. 21 cu o săptămână înainte de control.

Art. 23 se demonstrează cu viteză și trasabilitate: cine a detectat incidentul, când a fost clasificat ca semnificativ, când a plecat avertizarea de 24h. Fără un proces de detecție funcțional (care e... cerință Art. 21), termenele devin imposibil de respectat.

Cele două articole se alimentează reciproc: un management bun al vulnerabilităților (Art. 21) reduce incidentele de raportat (Art. 23), iar lecțiile din incidente actualizează evaluarea de risc.

Cum le documentezi eficient

• ▸Pentru Art. 21: păstrează un audit trail al fiecărei vulnerabilități — când a apărut CVE-ul, când l-ai văzut, când l-ai remediat, cine a lucrat la el.
• ▸Pentru Art. 23: definește criteriile de „incident semnificativ" în avans și ține un canal de alertare care funcționează și în weekend.
• ▸Pentru ambele: rapoarte periodice exportabile — DNSC vrea dovezi datate, nu prezentări.