Instrument gratuit
Autoevaluare NIS2 gratuită
O verificare rapidă în 22 de întrebări, înainte de autoevaluarea oficială din Ordinul DNSC 1/2026. Primiți un scor pe arii, acțiuni concrete și un rezumat pentru conducere. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit.
Începeți verificarea
Introduceți datele ca să folosiți calculatorul. Vă trimitem rezultatul complet pe email.
Ce este autoevaluarea NIS2?
Autoevaluarea maturității este obligația anuală din art. 12 alin. (4): entitatea își evaluează măsurile de securitate, iar conducerea aprobă rezultatul. Prima se face în 60 de zile după evaluarea nivelului de risc (art. 18 alin. (7)). Instrumentul de aici este doar o pregătire, nu forma oficială cerută de DNSC.
Cum funcționează autoevaluarea oficială?
Se face pe platforma NIS2@RO a DNSC sau cu instrumentele EVAL_MMS_B, EVAL_MMS_I și EVAL_MMS_E. Fiecare control primește o notă de la 1 la 5 pentru documentație și pentru implementare. Măsurile cheie cer cel puțin 2,5 la nivelul de Bază și 3 la nivelurile Important și Esențial, conform Metodologiei.
La nivelul Esențial, scorul general trebuie să fie de cel puțin 3,5. Sub țintă, entitatea întocmește un plan de măsuri (art. 3 din Metodologie).
Cum se calculează scorul de aici?
Fiecare răspuns primește puncte: Da 2, Parțial 1, Nu și Nu știu 0. Scorul unei arii este procentul din maximul ei: roșu sub 50%, galben între 50% și 79%, verde de la 80%. Întrebările de backup și continuitate contează dublu în scorul general, pentru că backup-ul este măsură cheie la fiecare nivel.
Ce întrebări conține verificarea?
Sunt 22 de întrebări în 12 arii: înregistrarea, cele zece măsuri minime din art. 13 și obligațiile conducerii din art. 14. Fiecare întrebare are temeiul legal și, unde există, codul controlului din Măsurile aprobate prin Ordinul DNSC 1/2026, ca să știți ce vă va cere evaluarea oficială.
| Arie | Întrebare | Temei | Control |
|---|---|---|---|
| Înregistrare și autoevaluare | 1. A notificat firma DNSC și a fost înregistrată? | art. 18 | – |
| Înregistrare și autoevaluare | 2. A aprobat conducerea autoevaluarea măsurilor de securitate pentru anul acesta? | art. 12 alin. (4) | – |
| Risc și politici | 3. Există o analiză de risc scrisă, revizuită în ultimele 12 luni? | art. 13 lit. a) | ID.RA-05.1 |
| Risc și politici | 4. Există o politică de securitate a informației aprobată de conducere? | art. 13 lit. a) | GV.PO-01.1 |
| Eficacitatea măsurilor | 5. Sunt măsurile de securitate testate sau revizuite după un calendar (verificare internă, test de penetrare, audit)? | art. 13 lit. b) | ID.IM-02.1 |
| Criptare | 6. Sunt criptate laptopurile, backup-urile și datele în tranzit? | art. 13 lit. c) | PR.DS-01.6, PR.DS-02.2 |
| Lanțul de aprovizionare | 7. Aveți o listă a furnizorilor IT critici, cu clauze de securitate în contracte? | art. 13 lit. d), art. 11 alin. (8) | GV.SC-05.2, GV.SC-07.2 |
| Ciclul de viață al sistemelor | 8. Sunt sistemele actualizate după un calendar definit? | art. 13 lit. e) | ID.AM-08.2 |
| Ciclul de viață al sistemelor | 9. Sunt discurile și dispozitivele vechi șterse sau distruse, cu dovadă? | art. 13 lit. e) | PR.DS-01.9, ID.AM-08.5 |
| Oameni, acces și active | 10. Există o listă actualizată a activelor IT? | art. 13 lit. f), art. 11 alin. (7) | ID.AM-01.1 |
| Oameni, acces și active | 11. Sunt drepturile de acces revizuite și eliminate prompt la plecarea angajaților? | art. 13 lit. f) | PR.AA-05.1, PR.AA-01.1 |
| Incidente | 12. Există un plan de răspuns la incidente care acoperă termenele DNSC (avertizare în 24 de ore, notificare în 72 de ore)? | art. 13 lit. g), art. 15 | RS.MA-01.1, RS.CO-02.2 |
| Continuitate și backup | 13. Sunt backup-urile stocate pe un sistem separat de sistemele de producție? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1 |
| Continuitate și backup | 14. Este cel puțin o copie de backup păstrată complet offline sau izolată fizic? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1 |
| Continuitate și backup | 15. A fost testată o restaurare completă în ultimele 12 luni, cu proces-verbal? | art. 13 lit. h), PR.DS-11.2 | PR.DS-11.2 |
| Continuitate și backup | 16. Ar putea un atacator cu drepturi de administrator să șteargă sau să cripteze toate copiile de backup? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1, PR.AA-05.4 |
| Continuitate și backup | 17. Există un plan scris de continuitate și recuperare în caz de dezastru, cu ținte de timp de recuperare? | art. 13 lit. h) | RC.RP-01.1, GV.OC-04.4, ID.IM-04.1 |
| Igienă și instruire | 18. A avut personalul instruire în securitate cibernetică în ultimele 12 luni? | art. 13 lit. i), art. 14 alin. (2) | PR.AT-01.1 |
| MFA și comunicații securizate | 19. Este activată autentificarea multifactor pentru email, acces la distanță și conturi de administrator? | art. 13 lit. j) | PR.AA-03.2 |
| Conducere | 20. A aprobat conducerea măsurile de securitate și le supraveghează? | art. 14 alin. (1) | GV.RR-01.1 |
| Conducere | 21. A fost desemnat un responsabil cu securitatea rețelelor și sistemelor informatice în 30 de zile de la decizia DNSC? | art. 14 alin. (3)–(4) | GV.RR-02.1, GV.RR-02.2 |
| Conducere | 22. A urmat conducerea cursuri acreditate de securitate cibernetică? | art. 14 alin. (2) | PR.AT-02.1 |
Întrebări frecvente
Această verificare înlocuiește autoevaluarea oficială?
Nu. Este o verificare rapidă. Autoevaluarea oficială se face cu instrumentele DNSC și se aprobă de conducere. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit.
Răspunsurile mele sunt salvate?
Nu răspunsurile individuale. Serverul primește doar scorurile pe arii și cele patru răspunsuri de backup, ca să vă putem arăta rezultatul printr-un link semnat, valabil 30 de zile.
Cât durează?
Aproximativ zece minute. Sunt 12 ecrane, iar dacă nu știți un răspuns, alegeți Nu știu: contează ca Nu, pentru că o măsură pe care nu o puteți dovedi nu vă ajută în fața DNSC.
Când trebuie trimisă autoevaluarea la DNSC?
Prima, în 60 de zile după evaluarea nivelului de risc, apoi anual (art. 18 alin. (7), art. 12 alin. (4)). Entitățile esențiale depun plan de remediere în 30 de zile de la fiecare autoevaluare (art. 12 alin. (5)).
Ce este CyFun?
Este un cadru belgian pe care îl citează unii consultanți. Textele oficiale românești nu folosesc acest nume; ele vorbesc despre Măsurile aprobate prin Ordinul DNSC 1/2026 și despre instrumentele EVAL_MMS.
Pot trimite rezultatul conducerii?
Da. Pagina de rezultat are un buton care deschide un email cu un link semnat, iar rezumatul pentru conducere arată clasa entității, amenda maximă, obligațiile din art. 14 și cele trei arii cele mai slabe.
Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.