Plan de acțiune NIS2 pe 30/60/90 de zile pentru pregătire internă

De ce un plan structurat de pregătire internă

GEO 155/2024 aduce obligații operaționale concrete pentru organizațiile din sfera sa de aplicare. Chiar dacă determinarea oficială a sferei de aplicare aparține DNSC, organizațiile care consideră că ar putea fi vizate pot demara pregătirea internă fără a aștepta decizia oficială.

Pregătirea internă anticipată are trei avantaje practice:

• Reduce presiunea operațională după primirea deciziei oficiale DNSC, când termenele legale încep să curgă.
• Permite o interacțiune mai eficientă cu specialiștii externi — juridici sau de securitate cibernetică — deoarece organizația vine cu informații structurate, nu de la zero.
• Identifică lacunele documentare și organizatorice în timp util pentru remediere.

Planul de mai jos este structurat pe trei etape orientative de câte 30 de zile. Fiecare etapă poate fi comprimată sau extinsă în funcție de dimensiunea și capacitatea internă a organizației.

Etapa 1 — Primele 30 de zile: înțelegerea contextului

Prima etapă se concentrează pe înțelegerea cadrului legal și pe autoevaluarea de nivel înalt a situației organizației dvs. față de GEO 155/2024.

La sfârșitul primelor 30 de zile, organizația dvs. ar trebui să poată răspunde orientativ la trei întrebări: sectorul de activitate apare în Anexa 1 sau 2? Dimensiunea organizației se situează peste pragurile relevante? Cine coordonează intern procesul?

Etapa 2 — Zilele 30–60: inventarul documentar și identificarea lacunelor

A doua etapă se concentrează pe inventarierea documentelor interne existente și pe identificarea lacunelor față de cerințele GEO 155/2024. Nu este un audit tehnic — este o evaluare documentară internă.

La sfârșitul etapei de 60 de zile, organizația dvs. ar trebui să dispună de un document intern care listează: ce documente există, ce lipsesc, ce necesită actualizare și care sunt incertitudinile care necesită clarificare cu un specialist.

Etapa 3 — Zilele 60–90: consolidare și dialog cu specialiștii

A treia etapă folosește informațiile colectate în etapele anterioare pentru a iniția remedierea lacunelor prioritare și pentru a consulta specialiștii cu informații structurate.

Ce nu înseamnă pregătirea internă de 90 de zile

Parcurgerea acestui plan orientativ:

• Nu confirmă că organizația dvs. este sau nu în sfera de aplicare a GEO 155/2024 — aceasta este o decizie a DNSC.
• Nu înlocuiește consultanța juridică sau de securitate cibernetică — specialiștii pot identifica obligații sau riscuri pe care o evaluare internă le poate rata.
• Nu constituie un audit de securitate cibernetică — planul descrie organizarea documentară și identificarea lacunelor evidente, nu o evaluare tehnică a controalelor de securitate.
• Nu satisface obligațiile formale față de DNSC — înregistrarea la DNSC se face prin procedura oficială din Ordinul DNSC 1/2025.

Nu se calculează scor, clasificare sau concluzii.

Resurse utile pentru planul de pregătire

Pe lângă textele legale, câteva resurse suplimentare pot fi utile în parcurgerea planului de 90 de zile:

• Lista de verificare pentru pregătire internă NIS2 — pentru urmărirea progresului pe categoriile de măsuri din Art. 13 GEO 155/2024.
• Documente interne pentru pregătire NIS2 — pentru detalii despre categoriile de documente recomandate în etapa de inventariere.
• Obligații NIS2 pentru management — pentru detalii despre Art. 14 și implicațiile pentru organul de conducere.
• DNSC — Legislație NIS2 — pentru ordine, ghiduri și materiale actualizate ale autorității competente.

Întrebări frecvente

De ce 30/60/90 de zile și nu un alt interval?

Structura pe 30/60/90 de zile este un cadru orientativ de planificare internă, nu un termen legal. Prima etapă (30 zile) acoperă înțelegerea cadrului legal și autoevaluarea de nivel înalt. A doua etapă (60 zile) acoperă inventarierea documentară și identificarea lacunelor. A treia etapă (90 zile) acoperă consultarea specialiștilor și inițierea remedierilor prioritare. Puteți ajusta intervalele în funcție de dimensiunea și capacitatea internă a organizației dvs.

Există termene legale specifice în GEO 155/2024 pentru pregătirea internă?

GEO 155/2024 prevede termene pentru obligații specifice după includerea oficială în lista DNSC — de exemplu, 30 de zile pentru desemnarea responsabilului cu securitatea cibernetică conform Art. 14(3), astfel cum a fost modificat de Legea 124/2025. Planul de 30/60/90 de zile descris în această pagină este un instrument orientativ de pregătire internă, nu o reproducere a termenelor legale. Consultați textul integral al legii și un specialist pentru termenele aplicabile situației dvs.

Ce facem dacă nu știm sigur dacă intrăm în sfera de aplicare a GEO 155/2024?

Incertitudinea privind sfera de aplicare este frecventă, mai ales pentru organizațiile care activează în sectoare de frontieră sau care au o structură mixtă. Planul orientativ de 30/60/90 de zile este util tocmai în această situație: vă ajută să organizați informațiile relevante — sectorul de activitate, indicatorii de dimensiune, documentele existente — înainte de consultarea unui specialist juridic sau a DNSC. Determinarea oficială aparține DNSC.

Trebuie să angajăm un consultant extern sau putem face totul intern?

Etapele de 30 și 60 de zile — citirea legii, verificarea sectorului, inventarierea documentelor — pot fi realizate intern. Etapa de 90 de zile recomandă consultarea unui specialist tocmai pentru că interpretarea obligațiilor specifice situației organizației dvs. poate necesita expertiză juridică sau tehnică pe care un consultant o poate oferi. NIS2 Pilot este un instrument de pregătire internă, nu un substitut pentru consultanța profesională.

Documentele colectate în planul de 60 de zile sunt suficiente pentru înregistrarea la DNSC?

Documentele inventariate în etapa de 60 de zile reprezintă o bază pentru pregătirea procesului de înregistrare, dar nu înlocuiesc formatul și conținutul specific solicitat de Ordinul DNSC 1/2025. Verificați pagina DNSC pentru cerințele exacte ale formularului de înregistrare și consultați un specialist pentru pregătirea documentației oficiale.

Cum prioritizăm lacunele identificate în etapa de 60 de zile?

O abordare orientativă este să prioritizați în funcție de trei criterii: (1) obligații cu termene legale explicite după decizia DNSC (ex: desemnarea responsabilului — Art. 14(3)); (2) obligații cu impact operațional imediat (ex: procedura de raportare a incidentelor — Art. 15); (3) obligații care necesită timp semnificativ pentru implementare (ex: formarea conducerii — Art. 14(2)). Un specialist poate ajusta această prioritizare în funcție de situația concretă a organizației.

Acest articol are scop informativ. Nu constituie consultanță juridică sau evaluare tehnică de specialitate. Toate resursele NIS2 Pilot