Glosar
Glosar NIS2
Termenii din OUG 155/2024 și din ordinele DNSC, explicați pe scurt. Fiecare definiție folosește formularea verificată din ghidurile acestui site, iar textele oficiale rămân cele care contează.
- NIS2
- Directiva (UE) 2022/2555 privind securitatea rețelelor și sistemelor informatice. În România se aplică prin OUG 155/2024, modificată ultima dată prin Legea 123/2026.
- OUG 155/2024
- Ordonanța de urgență prin care România a transpus directiva NIS2, aprobată cu modificări prin Legea 124/2025 și completată prin Legea 123/2026.
- DNSC
- Directoratul Național de Securitate Cibernetică, autoritatea competentă pentru NIS2 în România.
- Entitate esențială
- O firmă mare dintr-un sector din Anexa 1 sau o entitate dintr-o categorie specială din art. 5, de exemplu o entitate critică sau un furnizor de servicii DNS. Are amenzi maxime de până la 10.000.000 EUR sau 2%.
- Entitate importantă
- O firmă mijlocie sau mare dintr-un sector NIS2 care nu este esențială. Are amenzi maxime de până la 7.000.000 EUR sau 1,4%.
- Entitate critică
- O entitate identificată conform legii privind reziliența. Pentru NIS2 este esențială indiferent de mărime.
- Anexa 1 și Anexa 2
- Cele două anexe din OUG 155/2024 care listează sectoarele: Anexa 1 cuprinde sectoarele de importanță critică ridicată, iar Anexa 2 alte sectoare critice.
- T0
- Momentul comunicării deciziei DNSC de înscriere. De la T0 curg termenele pentru responsabil (30 de zile) și pentru evaluarea nivelului de risc (60 de zile).
- Notificare
- Primul pas al înregistrării: firma anunță DNSC în 30 de zile de la intrarea sub incidența legii (art. 18 alin. (2)).
- NIS2@RO
- Numele oficial al instrumentului și al platformei DNSC. Instrumentul generează formularul de notificare, iar platforma NIS2@RO a DNSC servește la înrolare, informare și cooperare. Adresa ei oficială este platformanis2.ro.
- ENIRE@RO
- Instrumentul DNSC pentru evaluarea nivelului de risc al entității. Scorul lui stabilește nivelul de asigurare.
- Nivel de risc sau de asigurare
- Bază (0–99), Important (100–199) sau Esențial (200–1.500), conform metodologiei din Ordinul DNSC 2/2025. Nu este același lucru cu clasa entității din lege.
- EVAL_MMS
- Instrumentele oficiale pentru autoevaluarea maturității, EVAL_MMS_B, _I și _E, pe nivelurile Bază, Important și Esențial. Autoevaluarea se poate face și pe platforma NIS2@RO.
- Autoevaluarea maturității
- Evaluarea măsurilor de securitate din Anexa 2 la Ordinul DNSC 1/2026, cu note de la 1 la 5 pentru documentare și implementare. Se repetă anual, cu aprobarea conducerii.
- Măsură cheie
- Un control marcat ca atare în Ordinul DNSC 1/2026. Trebuie să atingă cel puțin 2,5 la nivelul de Bază și 3 la nivelurile Important și Esențial.
- Plan de remediere
- Planul cu date prin care se acoperă golurile. Entitățile esențiale îl depun în 30 de zile de la fiecare autoevaluare (art. 12 alin. (5)).
- Responsabil cu securitatea
- Persoana desemnată de conducere în 30 de zile de la decizia DNSC (art. 14 alin. (3)). În entitățile esențiale are cerințe suplimentare, între care un curs acreditat în 12 luni.
- Avertizare timpurie
- Primul pas al raportării unui incident semnificativ, în 24 de ore. Urmează notificarea în 72 de ore și raportul final în o lună (art. 15).
- Notă de constatare
- Documentul DNSC emis la un control. Entitatea are 3 zile pentru un punct de vedere, cel mult 10 zile, apoi 15 zile lucrătoare pentru planul de măsuri (art. 47).
- Audit de securitate cibernetică
- Verificarea făcută doar de auditori certificați de DNSC (art. 58 alin. (1)), cu o frecvență care depinde de nivelul de risc. Instrumentele de pe acest site nu sunt un astfel de audit și nu îl înlocuiesc.
- Lanțul de aprovizionare
- Relația cu furnizorii direcți. Art. 11 alin. (8) cere să țineți seama de vulnerabilitățile și practicile lor de securitate.
- PR.DS-11
- Controlul despre backup din Măsurile aprobate prin Ordinul DNSC 1/2026: backup-urile sunt create, protejate, menținute și testate. PR.DS-11.1 este măsură cheie la toate nivelurile.
- Copie offline
- O copie de backup deconectată de rețea. Ordinul DNSC privind măsurile obligatorii prevede că cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic.
- RTO și RPO
- RTO este cât de repede trebuie restaurate sistemele. RPO este câte date vă permiteți să pierdeți.
- OT
- Tehnologia operațională: sistemele care controlează echipamente și procese fizice, de exemplu într-o fabrică sau într-o rețea de energie.
- MSP și MSSP
- Furnizor de servicii gestionate și furnizor de servicii de securitate gestionate. Sunt în Anexa 1, iar furnizorii medii de securitate gestionată sunt entități esențiale (art. 5 alin. (4)).
- CyFun
- O denumire folosită pe piață, care nu apare în textele oficiale. Formatul oficial al autoevaluării este cel din Anexa 2 la Ordinul DNSC 1/2026.