office@clarified.ro+40 774 456 127CLARIFIED
CLARIFIEDIT
RO
Diagnostic M365

NIS2 · OUG 155/2024

Conformare NIS2, de la primul pas la audit.

Clarificăm încadrarea companiei, coordonăm responsabilitățile NIS2 și construim planul de conformare: Virtual CISO, pre-audit, implementare și audit extern independent. Începi cu fișa inițială și o discuție, nu cu un angajament pentru întregul proiect.

Completează online · RO Complete online · EN
Solicită evaluarea încadrării

Fișa inițială califică solicitarea și pregătește prima discuție. Nu reprezintă un audit sau decizia DNSC; raportul detaliat și planul de remediere se livrează în etapa contractată.

Documente NIS2 în cinci limbi

Servicii NIS2

Patru servicii. Livrabile clare, de la încadrare la audit.

Alegi serviciile după situația companiei. Oferta este defalcată pe etape, livrabile și responsabilități, fără obligația de a contracta întregul traseu.

01

Virtual CISO · responsabil NIS2

Un rol recurent de coordonare a securității, alături de conducere, echipa IT și furnizori. Pregătim desemnarea responsabilului NIS2 și comunicarea acestuia către DNSC, în condițiile aplicabile entității.

Livrabile pentru client

  • Mandat, responsabilități, calendar de conformare și raportări periodice către conducere.
  • Coordonarea politicilor, registrului de riscuri, autoevaluării și evidențelor de implementare.
  • Interfață cu DNSC și auditorii; pregătirea și, dacă este mandatată, transmiterea raportărilor.

Desemnarea legală nu rezultă automat din contractul vCISO. Verificăm condițiile funcției, competențele și independența față de IT/OT; conducerea păstrează aprobările și răspunderea.

02

Pre-audit și plan de remediere

După contractare, Workshop-ul 1 clarifică situația companiei, relația cu DNSC, nivelul de asigurare și controalele aplicabile. Pre-auditul raportează situația existentă la NIS2, OUG 155/2024 și ordinele DNSC aplicabile, inclusiv Ordinul nr. 1/2026, cu modificările ulterioare.

Livrabile pentru client

  • Raport de încadrare și matricea cerințelor aplicabile, cu ipoteze și informații de confirmat.
  • GAP Report inițial: diferențele dintre cerințe și situația declarată sau demonstrată.
  • Plan de remediere prioritizat, cu responsabili, dependențe, termene și dovezi de acceptanță.

Workshop-ul nu presupune instalări de agenți, scanări sau acces administrativ și nu colectează baze de date, jurnale ori conținut intern. Lucrăm cu interviuri, chestionare și informațiile necesare încadrării; ceea ce nu este verificat rămâne explicit de confirmat.

03

Implementare și simularea auditului

Transformăm planul aprobat în proceduri funcționale, documentație și măsuri tehnice. Implementările de tehnologii pot fi realizate de Clarified IT dacă alegi acest serviciu, sau coordonate cu echipa și furnizorii tăi.

Livrabile pentru client

  • GAP Report actualizat, politici și proceduri adaptate, registre și dosar de dovezi.
  • Implementare etapizată și verificarea controalelor: acces, dispozitive, date, backup, incidente și furnizori.
  • Simulare internă a auditului extern cu auditori atestați DNSC din echipa de pregătire; raport de constatări și închiderea neconformităților identificate.

Planificare orientativă: 6, 9 sau 12 luni, numai dacă termenele obligatorii permit. Riscurile urgente se tratează prioritar. Calendarul comercial nu prelungește termenele legale, iar simularea nu înlocuiește auditul reglementat.

04

Audit extern independent și raportare

Organizăm etapa finală cu un auditor extern independent, cu atestat DNSC valabil și fără incompatibilități cu serviciile prestate. Concluziile și raportul de audit aparțin auditorului, nu echipei care a implementat măsurile.

Livrabile pentru client

  • Raport de audit extern, constatări și recomandări emise de auditorul independent.
  • Instrucțiuni privind documentele, responsabilitățile și termenele pentru raportarea către DNSC.
  • Transmitere în numele clientului dacă este inclusă în serviciul vCISO și există mandatul necesar; urmărirea remedierilor post-audit.

Periodicitatea auditului și obligațiile de transmitere se verifică pentru fiecare entitate, conform normelor, nivelului de risc și cerințelor DNSC aplicabile. Nu presupunem automat un audit anual sau o dată la doi ani pentru toți clienții.

Virtual CISO

Ce coordonează responsabilul NIS2

Guvernanță și conformitate

Politici și proceduri actualizate, coordonarea autoevaluării, pregătirea auditurilor și raportarea riscurilor, incidentelor și resurselor necesare către conducere.

Riscuri, active și impact

Registrul de riscuri, inventarul de hardware, software, date și servicii cloud; analiza impactului asupra afacerii (BIA) și obiectivele de recuperare RTO/RPO.

Protecție și furnizori

Supravegherea accesului cu privilegii minime și MFA, clasificarea și criptarea datelor, actualizări și configurare securizată; evaluarea furnizorilor și a clauzelor de securitate.

Monitorizare și detecție

Coordonarea centralizării și analizei jurnalelor, a soluțiilor SIEM și a colaborării cu SOC; planificarea scanărilor de vulnerabilități și testelor de penetrare, cu autorizare distinctă.

Incidente și gestionarea crizelor

Plan de răspuns la incidente, exerciții, coordonarea investigației și conservării probelor; pregătirea notificărilor DNSC în termenele legale aplicabile incidentului.

Continuitate, recuperare și instruire

Coordonarea testelor BCP/DR, a strategiilor de backup și restaurare; programe de conștientizare, instruire și simulări de phishing convenite cu clientul.

Serviciul vCISO coordonează aceste activități. Licențele, SOC 24/7, testele de penetrare, investigațiile forensice și implementările tehnice se includ numai dacă sunt prevăzute expres în ofertă și contract. Nu presupunem că un abonament de coordonare le include automat.

Modul de lucru

De la prima discuție la raportul de audit.

  1. 01

    Cerere și calificare inițială

    Completezi cererea sau fișa inițială, ne scrii la office@clarified.ro ori ne suni la +40 774 456 127. Fișa existentă rămâne instrumentul de pornire, nu dovada conformității.

  2. 02

    Prima întâlnire și oferta pe etape

    Ne întâlnim online sau fizic. Stabilim cerințele inițiale, persoanele implicate, situația în relația cu DNSC și termenele cunoscute. Urmează oferta defalcată și contractarea etapelor alese.

  3. 03

    Workshop-ul 1 și pre-auditul

    După contractare, folosim interviuri și instrumente de evaluare fără instalări în sistemele clientului. Clarificăm încadrarea și controalele aplicabile; livrăm raportul și planul de remediere cu limitele evaluării precizate.

  4. 04

    Validarea planului și implementarea

    Analizăm împreună prioritățile și resursele. Planificăm procedurile, documentația și tehnologiile pe 6, 9 sau 12 luni, dacă termenele legale permit, cu verificări intermediare și dovezi pentru fiecare etapă.

  5. 05

    Simulare, corecții și audit independent

    Simulăm auditul, documentăm constatările și urmărim corecțiile. Apoi auditorul extern independent verifică situația și emite propriul raport. Simularea nu garantează un rezultat favorabil al auditului.

  6. 06

    Raportare și continuitate

    Primești instrucțiunile de raportare și calendarul aplicabil. Cu serviciul vCISO și mandatul necesar, gestionăm transmiterea convenită și urmărim obligațiile recurente, distinct de notificarea incidentelor.

Programează prima discuțieoffice@clarified.ro+40 774 456 127

Înainte de orice: încadrarea

Trei întrebări care arată dacă NIS2 te privește.

Încadrarea se verifică la nivelul tipului de entitate și al activității prevăzute în anexă, nu doar după denumirea generală a industriei. Mai contează dimensiunea și excepțiile prevăzute de lege.

01

Activezi într-unul dintre cele 18 sectoare?

Anexa 1 · sectoare cu importanță critică ridicată

  • Energie
  • Transport
  • Sector bancar
  • Infrastructuri ale pieței financiare
  • Sănătate
  • Apă potabilă
  • Ape uzate
  • Infrastructură digitală
  • Servicii TIC gestionate
  • Administrație publică
  • Spațiu

Anexa 2 · alte sectoare de importanță critică

  • Servicii poștale și de curierat
  • Gestionarea deșeurilor
  • Substanțe chimice
  • Alimente
  • Fabricare
  • Furnizori digitali
  • Cercetare
Transport rutier

În categoria transport rutier din anexa nr. 1 sunt prevăzute autoritățile rutiere și operatorii de sisteme inteligente de transport. Alte activități sau situații ale societății pot determina separat includerea.

Sector bancar și infrastructuri financiare

Pentru entitățile financiare supuse DORA, obligațiile privind riscul TIC se analizează în cadrul regimului sectorial special. Prezența în anexa NIS2 nu înseamnă aplicarea integrală și cumulativă a acelorași obligații. Obligațiile de identificare și înregistrare se verifică distinct.

Furnizori digitali și servicii gestionate

Pentru anumite categorii de furnizori digitali și servicii gestionate se verifică și cerințele Regulamentului de punere în aplicare (UE) 2024/2690.

Temei: anexele nr. 1 și 2 la OUG 155/2024, în forma consolidată aplicabilă; Regulamentul (UE) 2022/2554 (DORA)

02

Îndeplinești criteriile legale de dimensiune?

De regulă, sunt vizate întreprinderile care îndeplinesc criteriile legale de dimensiune pentru includere. Evaluarea nu se face exclusiv după numărul de angajați: se verifică pragurile financiare, regulile aplicabile întreprinderilor partenere sau legate și excepțiile prevăzute de lege.

Sub 50 de angajați nu înseamnă automat excludere. Unele categorii sunt vizate indiferent de dimensiune, de exemplu administrația publică centrală, furnizorii de servicii DNS, registrele de nume TLD și prestatorii de servicii de încredere. Lista nu este exhaustivă, iar includerea indiferent de dimensiune nu înseamnă automat statut de entitate esențială: prestatorii calificați de servicii de încredere, de pildă, au alt regim decât cei necalificați.

Anumite categorii sunt esențiale inclusiv la dimensiune mijlocie, cum sunt furnizorii de servicii de securitate gestionate.

Temei: art. 5-9 din OUG 155/2024; Legea 346/2004

03

Ai clienți dintr-un sector vizat?

Entitățile vizate trebuie să gestioneze riscurile de securitate aferente furnizorilor direcți și prestatorilor de servicii. În acest scop, îți pot impune cerințe contractuale proporționale cu riscul.

Aceste cerințe nu te transformă automat într-o entitate direct supusă NIS2. Calitatea de furnizor nu stabilește, singură, aplicabilitatea legii.

Temei: art. 11 și 13 din OUG 155/2024; art. 21 alin. (2) lit. d) din Directiva (UE) 2022/2555

Nu ești sigur de răspuns? Exact asta lămurește evaluarea încadrării.

Ce ai de făcut și până când

După încadrare, legea pornește un calendar.

Termenele curg de la momente diferite pentru fiecare entitate. De aceea primul lucru pe care îl stabilim este unde te afli pe acest traseu.

  1. 30 de zile

    Notificarea în vederea înregistrării

    Se transmite în termen de 30 de zile de la data la care entitatea intră sub incidența prevederilor aplicabile.

    art. 18 alin. (2)

  2. 30 de zile

    Desemnarea responsabilului cu securitatea

    De la comunicarea deciziei de înscriere în registru. Desemnarea trebuie să respecte condițiile aplicabile funcției și categoriei entității. Un contract de suport IT nu înseamnă, singur, desemnarea legală a responsabilului.

    art. 14 alin. (3) și (4)

  3. 60 de zile

    Transmiterea evaluării nivelului de risc

    Pentru entitățile cărora li se aplică această procedură, evaluarea nivelului de risc se transmite în termen de 60 de zile de la comunicarea deciziei de înscriere. Nivelul de asigurare rezultat nu este același lucru cu statutul juridic de entitate importantă sau esențială.

    art. 18 alin. (6)

  4. 60 de zile

    Autoevaluarea inițială de maturitate

    Se întocmește și se transmite în termenul legal de 60 de zile de la transmiterea evaluării nivelului de risc. Privește atât documentația, cât și implementarea efectivă a măsurilor.

    art. 18 alin. (7); art. 12 alin. (4)

  5. 30 de zile

    Transmiterea planului de remediere

    Entitățile esențiale transmit planul de măsuri pentru remedierea deficiențelor în 30 de zile de la realizarea autoevaluării. Termenul privește transmiterea planului, nu finalizarea tuturor remedierilor.

    art. 12 alin. (5)

  6. În fiecare an

    Autoevaluarea periodică

    Se realizează anual, se asumă de conducere și se transmite potrivit procedurii aplicabile.

    art. 12 alin. (4)

  7. 24 h · 72 h · o lună

    Raportarea unui incident semnificativ

    Avertizarea timpurie se transmite fără întârzieri nejustificate și în cel mult 24 de ore de la luarea la cunoștință, iar notificarea incidentului în cel mult 72 de ore de la luarea la cunoștință. Raportul final se transmite în cel mult o lună de la notificarea incidentului, cu regulile speciale aplicabile incidentelor încă în desfășurare.

    Cele 72 de ore nu se adaugă celor 24: ambele se calculează de la luarea la cunoștință. La solicitarea autorității se transmite și un raport intermediar, iar prestatorii de servicii de încredere au un termen special de notificare.

    art. 15 alin. (7) și (8)

Ce prevede legea

Sancțiunile depind de abatere și de categoria entității.

Abateri administrative

Pentru anumite abateri administrative, inclusiv nerespectarea obligațiilor de înregistrare, se aplică sancțiunile corespunzătoare faptelor enumerate la art. 60. Plafonul depinde de abatere și de categoria entității.

art. 60 alin. (1) și (2)

Plafonul maxim

Pentru încălcările pentru care sunt prevăzute aceste limite, plafonul maxim al amenzii este valoarea mai mare dintre suma fixă și procentul legal din cifra de afaceri totală anuală mondială aferentă exercițiului financiar precedent: 7 milioane de euro sau 1,4% pentru entitățile importante, 10 milioane de euro sau 2% pentru cele esențiale. Cuantumul amenzii se individualizează potrivit legii.

art. 60 alin. (2) lit. a) și b), alin. (3) și (4)

Conducerea

Organele de conducere aprobă măsurile de gestionare a riscurilor, supraveghează punerea lor în aplicare și au obligații de formare. Răspund, în condițiile legii, pentru încălcarea obligațiilor care le revin.

art. 14 alin. (1) și (2)

De ce Clarified IT

O firmă nu devine conformă cumpărând licențe.

Legea cere măsuri tehnice, operaționale și organizatorice, aprobate de conducere și susținute de dovezi. Așa lucrăm și noi.

Vezi un proiect: securitate și guvernanță Microsoft 365

  • Pornim de la ce ai deja

    Evaluăm soluțiile și contractele existente înainte să propunem ceva nou.

  • Documentație și practică, împreună

    La autoevaluare contează atât ce este scris, cât și ce se face efectiv. Lucrăm pe amândouă.

  • Dovezi, nu doar semnături

    Configurări, jurnale, rezultate de teste, instruiri: lucruri care pot fi arătate la un control.

  • Spunem și când nu ți se aplică

    Dacă pe datele analizate nu rezultă aplicabilitate directă, primești concluzia în scris, împreună cu cerințele contractuale pe care ți le pot impune clienții.

  • Roluri declarate

    Clarified nu efectuează auditul de securitate cibernetică reglementat în cadrul acestui serviciu, ci pregătește entitatea pentru audit. Pentru activitățile de nișă lucrăm cu parteneri numiți în ofertă.

Clarified IT · RO / EN / FR / DE / ES

Documente NIS2 în cinci limbi

Alege limba preferată. Toate documentele se referă la cadrul NIS2 din România și pot fi descărcate fără înregistrare.

Instrumente de pregătire pentru discuția cu Clarified IT. Completarea chestionarului nu reprezintă un audit sau o certificare de conformitate.

Preparation tools for your discussion with Clarified IT. Completing the questionnaire is not an audit or a certification of compliance.

Întrebări frecvente

Ce merită lămurit înainte de prima discuție.

Suntem o firmă mică. Ne privește NIS2?

Dimensiunea nu se judecă doar după numărul de angajați: se verifică pragurile financiare, regulile aplicabile întreprinderilor partenere sau legate și excepțiile prevăzute de lege. Sub 50 de angajați nu înseamnă automat excludere, iar unele categorii sunt vizate indiferent de dimensiune. Separat, clienții din sectoarele vizate îți pot impune cerințe contractuale de securitate, fără ca asta să te transforme într-o entitate direct supusă NIS2.

Nu ne-am înregistrat la DNSC. Ce se întâmplă acum?

Notificarea în vederea înregistrării se transmite în termen de 30 de zile de la data la care entitatea intră sub incidența prevederilor aplicabile. După expirarea termenului, DNSC poate notifica entitatea, din oficiu sau în urma unei sesizări, cu privire la obligația de a se supune procesului de identificare, iar nerespectarea obligației de notificare în termen este contravenție. Primul pas este să stabilim, cu argumente, dacă intri și în ce categorie.

Facem parte dintr-un grup internațional. Refacem totul în România?

Nu neapărat. Controalele gestionate la nivel de grup pot fi utilizate ca parte a implementării locale, cu demonstrarea aplicabilității, responsabilităților și funcționării lor pentru entitatea evaluată. Politica globală, singură, nu dovedește că sistemele și personalul din România sunt acoperite.

Avem deja un departament sau un furnizor IT. De ce am mai avea nevoie de voi?

Lucrăm împreună cu ei. Partea tehnică este doar o parte din ce se evaluează: legea cere și măsuri organizatorice, aprobate și supravegheate de conducere, iar la autoevaluare contează atât documentația, cât și implementarea.

Faceți și auditul de securitate cibernetică?

Clarified pregătește și coordonează întregul traseu. Simularea internă este o etapă de pregătire. Auditul reglementat este efectuat și raportat separat de un auditor extern independent, cu atestat DNSC valabil și fără incompatibilități cu serviciile prestate.

Fișa de încadrare ține loc de decizia autorității?

Nu. Fișa oferă o evaluare argumentată pe baza informațiilor disponibile și nu înlocuiește decizia sau competențele autorității. Arată ipotezele și documentele pe care se bazează concluzia.

Garantați că la final suntem conformi?

Nu promitem asta, pentru că nimeni nu poate promite cinstit. Conformitatea se demonstrează prin dovezi, autoevaluare și audit, iar răspunderea rămâne a entității. Ce primești de la noi este un traseu clar: unde ești, ce lipsește și în ce ordine se rezolvă.

Ce vă trebuie de la noi pentru evaluarea încadrării?

Evaluarea preliminară a încadrării nu necesită acces administrativ la sistemele IT. Pot fi solicitate informații și documente strict necesare privind activitatea, dimensiunea și situația societății, tratate confidențial. Practic, completezi un chestionar scurt și avem o discuție de clarificare.

Evaluarea încadrării

Întâi afli unde ești. Restul deciziilor vin după.

  1. Trimiți datele inițiale și contextul companiei.
  2. Stabilim o întâlnire online sau fizică și clarificăm situația față de DNSC.
  3. Primești oferta pe etape; raportul și planul sunt livrabilele pre-auditului contractat.

Preferi să vorbim direct? Cristian Apostol, +40 774 456 127, office@clarified.ro

Vrei întâi să verifici singur? Descarcă fișa de verificare (PDF)

Vrei să începi acum? Completează chestionarul online sau complete it in English.

Pregătești prima discuție? Descarcă chestionarul și ghidul de pregătire.

Solicită evaluarea încadrării

Câmpurile marcate cu * sunt necesare. Nu include parole sau date sensibile.

Temeiuri legale

OUG 155/2024 · Ordinul DNSC nr. 1/2026 · Monitorul Oficial nr. 712, pagina 5

  • Ordonanța de urgență a Guvernului nr. 155/2024, aprobată cu modificări și completări prin Legea nr. 124/2025, în forma consolidată aplicabilă.
  • Directiva (UE) 2022/2555 (NIS2).
  • Regulamentul (UE) 2022/2554 (DORA) și Regulamentul de punere în aplicare (UE) 2024/2690.
  • Legea nr. 346/2004 privind stimularea înființării și dezvoltării întreprinderilor mici și mijlocii.

Servicii actualizate la 9 octombrie 2026. Cerințele, termenele și ordinele DNSC, în forma aplicabilă, se reconfirmă pentru fiecare entitate înainte de contractare. Pagina nu înlocuiește analiza situației concrete.

Solicită evaluarea încadrării