Autoritatea Națională de Securitate Cibernetică (DNSC) a publicat noile instrumente de autoevaluare pentru entitățile esențiale și importante, în contextul aplicării directivei NIS2. Aceste documente sunt menite să ajute organizațiile să evalueze nivelul de maturitate al măsurilor de gestionare a riscurilor de securitate cibernetică, în conformitate cu Ordinul DNSC nr. 1/2026, publicat în Monitorul Oficial pe data de 27 august 2026.
<
Reglementări și obligații pentru entitățile vizate de NIS2
>
Ordinul stabilește modul în care trebuie realizată această autoevaluare și integrează cerințele Noii directive NIS2. În documentație sunt incluse atât măsurile de gestionare a riscurilor, cât și metodologia pentru stabilirea nivelului de maturitate. Organizațiile cărora li se impune această obligație trebuie să transmită periodic rezultatele evaluării către autoritate, conform termenelor prevăzute de legislație.
Primul pas pentru entități îl reprezintă completarea unui raport de autoevaluare pentru a demonstra conformitatea cu cerințele de securitate cibernetică. Aceasta se face în contextul unui sistem de reguli și proceduri care trebuie să fie aliniate noii reglementări europene și naționale.
<
Cele trei niveluri de evaluare și instrumentele asociate
>
DNSC a actualizat instrumentele de autoevaluare pentru cele trei niveluri de asigurare stabilite de cadrul legal: Bază, Important și Esențial. Pentru fiecare nivel există o variantă specifică de instrument de evaluare, denumită EVAL_MMS_B pentru nivelul Bază, EVAL_MMS_I pentru nivelul Important și EVAL_MMS_E pentru nivelul Esențial.
Aceste instrumente permit organizațiilor să verifice dacă măsurile implementate corespunzătoare fiecărui nivel răspund cerințelor specifice și dacă sistemele de securitate sunt adaptate adecvat riscurilor. Procesul de autoevaluare evaluează în ce măsură măsurile și procesele de securitate cibernetică sunt mature și eficiente.
Evaluarea nu are ca scop stabilirea inițială a nivelului de risc, ci măsurarea implementării măsurilor de gestionare a riscurilor. Deținătorii de validări ale scorului general de risc, obținute prin ENIRE@RO, au obligația de a transmite și rezultatele autoevaluării pentru nivelul de maturitate a măsurilor adoptate.
Termenele pentru transmiterea acestor rapoarte sunt cele prevăzute de Ordonanța de Urgență nr. 155/2024. Organizațiile trebuie să țină cont de atât nivelul de asigurare aplicabil, cât și de datele limită stabilite de lege.
<
Procedura de completare și utilizarea platformei NIS2@RO
>
Evaluarea maturității se face exclusiv prin Platforma NIS2@RO, care reprezintă principalul mecanism digital pentru îndeplinirea acestei obligații. În cazul în care platforma nu este accesibilă, entitatea poate descărca instrumentele de evaluare corespunzătoare nivelului său de securitate de pe site-ul oficial al DNSC, din secțiunea dedicată Directivei NIS.
Pentru a asigura conformitatea, organizațiile trebuie să utilizeze varianta corectă de instrument, în funcție de nivelul de asigurare stabilit. În acest fel, procesul de evaluare se realizează într-un mod standardizat, în concordanță cu cerințele naționale și europene.
Documentele de evaluare trebuie completate și transmise clerical în termenul fixat de legislație. În cazul utilizării platformei, datele vor fi încărcate electronic, iar în absența acesteia, fișierele pot fi expediate manual, după descărcarea de pe site-ul DNSC.
<
Obligațiile legislative și termenele de raportare
>
Transmiterea autoevaluărilor este obligatorie pentru entitățile considerate esențiale și importante, în conformitate cu prevederile legale recente. Termenele pentru depunere sunt cele menționate în cadrul OUG nr. 155/2024, iar nerespectarea acestor termene poate atrage sancțiuni.
Organizațiile trebuie să fie în contact constant cu autoritatea națională pentru a se asigura că îndeplinesc toate cerințele stabilite în termenii și condițiile legislației în vigoare. În acest sens, DNSC va monitoriza și va verifica conformitatea datelor transmise.
Documentele de evaluare pot fi descărcate de pe site-ul oficial al DNSC, în secțiunea dedicate Directivei NIS și obligațiilor celor înregistrați, asigurând astfel transparența și conformitatea în procesul de autoevaluare.
