URL: https://auditcybersecurity.ro/autoevaluare-nis2/
Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05.

Instrument gratuit

# Autoevaluare NIS2 gratuită

O verificare rapidă în 25 de întrebări, înainte de autoevaluarea oficială din [Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/313799). Primiți un scor pe domenii, acțiuni concrete și un rezumat pentru conducere. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit.

## Începeți verificarea

## Ce este autoevaluarea NIS2?

Autoevaluarea maturității este obligația anuală din [art. 12 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690): entitatea își evaluează măsurile de securitate, iar conducerea aprobă rezultatul. Prima se face în 60 de zile după evaluarea nivelului de risc ([art. 18 alin. (7)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Instrumentul de aici este doar o pregătire, nu forma oficială cerută de DNSC.

## Cum funcționează autoevaluarea oficială?

Se face cu instrumentele [EVAL_MMS_B](https://www.dnsc.ro/vezi/document/eval-mms-b-v1-1), [EVAL_MMS_I](https://www.dnsc.ro/vezi/document/eval-mms-i-v3-1) și [EVAL_MMS_E](https://www.dnsc.ro/vezi/document/eval-mms-e-v3-1), până când [platforma NIS2@RO a DNSC](https://platformanis2.ro) devine operațională. Fiecare control primește o notă de la 1 la 5 pentru documentație și pentru implementare. Măsurile-cheie cer cel puțin 2,5 la nivelul de Bază și 3 la nivelurile Important și Esențial, conform [Metodologiei](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314361).

Scorul total trebuie să fie de cel puțin 2,5 la nivelul de Bază, 3 la Important și 3,5 la Esențial, unde fiecare categorie trebuie să atingă 3. Sub țintă, entitatea întocmește un plan de măsuri (art. 3 din Metodologie).

## Cum se calculează scorul de aici?

Fiecare răspuns primește puncte: Da 2, Parțial 1, Nu și Nu știu 0. Scorul unui domeniu este procentul din maximul lui: roșu sub 50%, galben între 50% și 79%, verde de la 80%. Întrebările de backup și continuitate contează dublu în scorul general, pentru că backup-ul este măsură-cheie la fiecare nivel.

## Ce întrebări conține verificarea?

Sunt 25 de întrebări în 12 domenii: înregistrarea, cele zece măsuri minime din [art. 13](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) și obligațiile conducerii din [art. 14](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Fiecare întrebare are temeiul legal și, unde există, codul controlului din [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360), ca să știți ce vă va cere evaluarea oficială.

| Domeniu | Întrebare | Temei | Control |
|---|---|---|---|
| Înregistrare și autoevaluare | 1. A notificat firma DNSC și a fost înregistrată? | art. 18 | – |
| Înregistrare și autoevaluare | 2. A aprobat conducerea autoevaluarea măsurilor de securitate pentru anul acesta? | art. 12 alin. (4) | – |
| Risc și politici | 3. Există o analiză de risc scrisă, revizuită în ultimele 12 luni? | art. 13 lit. a) | ID.RA-05.1 |
| Risc și politici | 4. Există o politică de securitate a informației aprobată de conducere? | art. 13 lit. a) | GV.PO-01.1 |
| Eficacitatea măsurilor | 5. Sunt măsurile de securitate testate sau revizuite după un calendar (verificare internă, test de penetrare, audit)? | art. 13 lit. b) | ID.IM-02.1 |
| Criptare | 6. Sunt criptate laptopurile, backup-urile și datele în tranzit? | art. 13 lit. c) | PR.DS-01.6, PR.DS-02.2 |
| Lanțul de aprovizionare | 7. Aveți o listă a furnizorilor IT critici, cu clauze de securitate în contracte? | art. 13 lit. d), art. 11 alin. (8) | GV.SC-05.2, GV.SC-07.2 |
| Ciclul de viață al sistemelor | 8. Sunt sistemele actualizate după un calendar definit? | art. 13 lit. e) | ID.AM-08.2 |
| Ciclul de viață al sistemelor | 9. Sunt discurile și dispozitivele vechi șterse sau distruse, cu dovadă? | art. 13 lit. e) | PR.DS-01.9, ID.AM-08.5 |
| Oameni, acces și active | 10. Există o listă actualizată a activelor IT? | art. 13 lit. f), art. 11 alin. (7) | ID.AM-01.1 |
| Oameni, acces și active | 11. Sunt drepturile de acces revizuite și eliminate prompt la plecarea angajaților? | art. 13 lit. f) | PR.AA-05.1, PR.AA-01.1 |
| Incidente | 12. Există un plan de răspuns la incidente care acoperă termenele DNSC (avertizare în 24 de ore, notificare în 72 de ore)? | art. 13 lit. g), art. 15 | RS.MA-01.1, RS.CO-02.2 |
| Incidente | 13. Sunt jurnalele sistemelor activate, păstrate o perioadă stabilită și verificate periodic? | art. 13 lit. g) | PR.PS-04.1, DE.AE-03.1 |
| Continuitate și backup | 14. Sunt backup-urile stocate pe un sistem separat de sistemele de producție? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1 |
| Continuitate și backup | 15. Este cel puțin o copie de backup păstrată complet offline sau izolată fizic? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1 |
| Continuitate și backup | 16. A fost testată o restaurare completă în ultimele 12 luni, cu proces-verbal? | art. 13 lit. h), PR.DS-11.2 | PR.DS-11.2 |
| Continuitate și backup | 17. Ar putea un atacator cu drepturi de administrator să șteargă sau să cripteze toate copiile de backup? | art. 13 lit. h), PR.DS-11.1 | PR.DS-11.1, PR.AA-05.4 |
| Continuitate și backup | 18. Există un plan scris de continuitate și recuperare în caz de dezastru, cu ținte de timp de recuperare? | art. 13 lit. h) | RC.RP-01.1, GV.OC-04.4, ID.IM-04.1 |
| Igienă și instruire | 19. A avut personalul instruire în securitate cibernetică în ultimele 12 luni? | art. 13 lit. i), art. 14 alin. (2) | PR.AT-01.1 |
| Igienă și instruire | 20. Sunt firewall-urile configurate și întreținute, iar sistemele critice separate prin segmentarea rețelei? | art. 13 lit. i) | PR.IR-01.1, PR.IR-01.2 |
| Igienă și instruire | 21. Este instalată și actualizată protecția antimalware pe toate sistemele? | art. 13 lit. i) | DE.CM-01.2 |
| MFA și comunicații securizate | 22. Este activată autentificarea multifactor pentru email, acces la distanță și conturi de administrator? | art. 13 lit. j) | PR.AA-03.2 |
| Conducere | 23. A aprobat conducerea măsurile de securitate și le supraveghează? | art. 14 alin. (1) | GV.RR-01.1 |
| Conducere | 24. A fost desemnat un responsabil cu securitatea rețelelor și sistemelor informatice în 30 de zile de la decizia DNSC? | art. 14 alin. (3)–(4) | GV.RR-02.1, GV.RR-02.2 |
| Conducere | 25. A urmat conducerea cursuri acreditate de securitate cibernetică? | art. 14 alin. (2) | PR.AT-02.1 |

## Întrebări frecvente

### Această verificare înlocuiește autoevaluarea oficială?

Nu. Este o verificare rapidă. Autoevaluarea oficială se face cu instrumentele DNSC și se aprobă de conducere. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit.

### Răspunsurile mele sunt salvate?

Nu răspunsurile individuale. Serverul primește doar scorurile pe domenii și cele patru răspunsuri de backup, ca să vă putem arăta rezultatul printr-un link semnat, valabil 30 de zile.

### Cât durează?

Aproximativ zece minute. Sunt 12 pași, iar dacă nu știți un răspuns, alegeți Nu știu: contează ca Nu, pentru că o măsură pe care nu o puteți dovedi nu vă ajută în fața DNSC.

### Când trebuie trimisă autoevaluarea la DNSC?

Prima, în 60 de zile după evaluarea nivelului de risc, apoi anual ([art. 18 alin. (7), art. 12 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Entitățile esențiale depun plan de remediere în 30 de zile de la fiecare autoevaluare ([art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)).

### Ce este CyFun?

CyberFundamentals (CyFun) este cadrul de securitate elaborat de Centrul pentru Securitate Cibernetică al Belgiei. Fișierele EVAL_MMS ale DNSC sunt instrumentele de autoevaluare pentru versiunea 2025 a acestui cadru.

### Pot trimite rezultatul conducerii?

Da. Pagina de rezultat are un buton care deschide un email cu un link semnat, iar rezumatul pentru conducere arată categoria entității, amenda maximă, obligațiile din art. 14 și cele mai slabe trei domenii.

Ghidul NIS2 în RomâniaBackup conform NIS2Calendar termene

Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.