URL: https://auditcybersecurity.ro/backup-nis2/
Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05.

Ghid

# Backup-ul conform NIS2: ce cere DNSC

Backup-ul este una dintre cele zece măsuri minime din [art. 13](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690), iar controlul PR.DS-11.1 este măsură-cheie la toate cele trei niveluri. Ghidul citează textul exact și vă arată cele patru întrebări care scot la iveală problemele din majoritatea firmelor.

- **Temei**: [art. 13 lit. h)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)

- **Control**: PR.DS-11, [Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360)

- **Copie offline**: „ar trebui”, PR.DS-11.1

- **Test de restaurare**: cel puțin anual, PR.DS-11.2

**Definiție**O copie offline este o copie de backup deconectată de la rețea, pe care un atacator aflat în rețea nu o poate șterge sau cripta. O copie izolată fizic are același scop, prin separare fizică.

## Ce spune legea despre backup?

[Art. 13 lit. h) din OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) include între măsurile minime continuitatea activității, inclusiv gestionarea copiilor de rezervă, redresarea în caz de dezastru și managementul crizelor. Detaliile sunt în controlul PR.DS-11 din [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360): backup-urile sunt create, protejate, menținute și testate.

## Ce cere controlul PR.DS-11?

PR.DS-11.1, măsură-cheie la toate nivelurile, cere ca backup-urile datelor critice să fie făcute și stocate pe un sistem diferit de dispozitivul cu datele originale. PR.DS-11.2 cere verificarea periodică a fiabilității și integrității, de la nivelul Important. PR.DS-11.3 cere o locație de stocare separată, tot de la acest nivel.

| Control | Ce cere | Niveluri |
|---|---|---|
| PR.DS-11.1 | Backup-uri ale datelor critice, stocate pe un sistem diferit de cel cu datele originale. Măsură-cheie. | Bază, Important, Esențial |
| PR.DS-11.2 | Fiabilitatea și integritatea backup-urilor verificate și testate periodic. | Important, Esențial |
| PR.DS-11.3 | Backup-uri securizate într-o locație de stocare separată, cu controale echivalente mediului principal. | Important, Esențial |
| PR.DS-11.4 | Teste de recuperare coordonate cu continuitatea și răspunsul la incidente. | Esențial |
| PR.DS-11.5 | Backup-urile sistemelor critice păstrate separat de cele ale informațiilor critice. | Esențial |

## Este obligatoriu backup-ul offline?

Ordinul DNSC privind măsurile obligatorii prevede că cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic. Formularea apare în ghidul de implementare al controlului PR.DS-11.1 și folosește „ar trebui”. Controlul în sine cere stocarea pe un sistem diferit. Legea nu numește o tehnologie; copia offline este reperul DNSC pentru recuperarea după ransomware.

„Cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic pentru a asigura recuperarea în cazul unei breșe de securitate a rețelei sau al unui atac ransomware.” ([Ghid de implementare PR.DS-11.1](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360))

## Cât de des trebuie testată restaurarea?

Ghidul de implementare al controlului PR.DS-11.2 spune că testarea ar trebui să aibă loc cel puțin anual sau mai frecvent, pe bază de eșantion, și să includă toate tipurile de surse de date. Procedurile de recuperare se testează ca să confirme că datele pot fi restaurate cu acuratețe și în întregime.

Păstrați un proces-verbal pentru fiecare test: ce ați restaurat, cât a durat față de ținta RTO, ce probleme au apărut. Este dovada pe care o veți arăta la un control. Găsiți un model în [șabloanele gratuite](https://auditcybersecurity.ro/sabloane-nis2/).

## Unde greșesc firmele la backup?

Atacatorii cu drepturi de administrator caută întâi backup-urile, pentru că o firmă cu backup-uri intacte nu plătește. Dacă toate copiile sunt accesibile din rețea cu aceleași conturi, un singur cont compromis le poate distruge pe toate. De aceea contează separarea, nu doar existența unei copii.

### Cele patru întrebări

1. Sunt backup-urile pe un sistem separat de producție?
2. Este cel puțin o copie complet offline sau izolată fizic?
3. A fost testată o restaurare completă în ultimele 12 luni, cu proces-verbal?
4. Ar putea un atacator cu drepturi de administrator să șteargă sau să cripteze toate copiile?

Răspunde la întrebări

## Ce variante există pentru copia offline?

Copia offline se poate păstra pe suporturi proprii deconectate, pe bandă magnetică sau într-un seif extern operat de un furnizor. Alegerea depinde de volum, de ținta de recuperare și de cine are acces fizic. Ghidul PR.DS-11.3 menționează regula 3-2-1: trei copii, două tipuri de suport, o copie în altă locație.

| Variantă | Avantaj | De urmărit |
|---|---|---|
| Suporturi proprii | Control complet, cost mic pentru volume mici | Disciplina rotației și păstrarea în altă locație |
| Bandă magnetică | Volume mari, deconectată de la rețea | Echipament, teste de citire |
| Seif extern | Separare fizică operată de altcineva | Furnizorul intră în lanțul de aprovizionare ([art. 11 alin. (8)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)) |

Vedeți și [ghidul despre Ordinul DNSC 1/2026](https://auditcybersecurity.ro/ordinul-dnsc-1-2026/) și [amenzile NIS2](https://auditcybersecurity.ro/amenzi-nis2/).

## Ce faceți mai departe

Pornește autoevaluarea
Descarcă șabloanele

## Întrebări frecvente

### Backup-ul în cloud este suficient?

Controlul PR.DS-11.1 cere un sistem diferit, iar cloud-ul poate îndeplini asta. Întrebarea practică este dacă un administrator compromis poate atinge și copia din cloud. Dacă da, copia nu vă protejează împotriva unui atac cu drepturi de administrator.

### Un NAS în aceeași rețea contează ca backup separat?

Este un sistem diferit de server, dar ghidul PR.DS-11.1 spune că backup-urile nu ar trebui stocate în aceeași rețea cu sistemele originale. În practică are nevoie de separare de rețea și de conturi.

### Ce sunt RTO și RPO?

RTO este cât de repede trebuie restaurate sistemele. RPO este volumul de date pe care vă permiteți să îl pierdeți. Ghidul PR.DS-11.1 spune că ar trebui definite și revizuite periodic.

### Se aplică și sistemelor OT?

Da. Ghidul PR.DS-11.1 spune că strategiile de backup ar trebui să acopere și sistemele OT: configurațiile sistemelor de control, datele operaționale și setările dispozitivelor critice.

### Backup-ul trebuie criptat?

Art. 13 lit. c) cere politici de criptografie, iar PR.DS-11.3 cere pentru stocarea backup-urilor controale echivalente mediului principal. Criptarea copiilor este practica firească, mai ales când ies din sediu.

### Ce amendă riscă o firmă fără backup adecvat?

Lipsa măsurilor din art. 11–13 intră în categoria cea mai mare: până la 7.000.000 EUR sau 1,4% pentru entități importante și până la 10.000.000 EUR sau 2% pentru cele esențiale ([art. 60 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)).

## Surse oficiale

- [OUG 155/2024, art. 13 lit. h), forma consolidată](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)
- [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360)
- [Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/313799)

Comunicare comercialăPersoana care realizează acest ghid este implicată în AirVault (airvault.ro), care păstrează o copie offline a backup-urilor într-un seif din România. Cum păstrează AirVault o copie offline.

Despre acest ghid

Publicat de AuditCyberSecurity.ro. Site-ul este informativ și nu vinde nimic. Persoana care îl realizează este implicată în AirVault, serviciu de backup offline; legătura este menționată ori de câte ori apare AirVault în pagină.

Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.