Ghid
Ordinul DNSC 1/2026, pe înțeles
Ordinul DNSC 1/2026 spune concret ce măsuri de securitate se aplică și cum vă evaluați. Are două anexe: măsurile, grupate în șase funcții și trei niveluri, și metodologia de autoevaluare, cu note de la 1 la 5 și un prag de 2,5 sau 3 pentru măsurile cheie.
- Publicat
- Monitorul Oficial 712, 27 august 2026
- Funcții
- 6, de la Guvernare la Recuperare
- Niveluri
- 3: Bază, Important, Esențial
- Note
- 1–5, cu instrumentele EVAL_MMS
DefinițieOrdinul DNSC 1/2026 este actul care detaliază măsurile de gestionare a riscurilor cerute de art. 11–13 din OUG 155/2024. Anexa 1 cuprinde măsurile, iar Anexa 2 metodologia de autoevaluare a maturității. Este emis de Directoratul Național de Securitate Cibernetică.
Ce este Ordinul DNSC 1/2026?
Este Ordinul nr. 1 din 6 august 2026, publicat în Monitorul Oficial 712 din 27 august 2026. Anexa 1 stabilește măsurile de gestionare a riscurilor, iar Anexa 2 metodologia de autoevaluare a maturității. Se adresează entităților esențiale și importante din OUG 155/2024, care aplică măsurile la nivelul lor de risc.
Cum sunt organizate măsurile?
Măsurile sunt grupate în șase funcții: Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare. Fiecare control are un cod, de exemplu PR.DS-11.1, și se aplică de la un anumit nivel de asigurare. Unele controale sunt marcate ca măsuri cheie și se tratează cu prioritate, pentru că au praguri proprii la autoevaluare.
Ce nivel se aplică firmei mele?
Nivelul rezultă din scorul obținut cu ENIRE@RO sau pe platforma NIS2@RO a DNSC, conform metodologiei din Ordinul DNSC 2/2025. Un scor de 0–99 înseamnă nivelul de Bază, 100–199 nivelul Important, iar 200–1.500 nivelul Esențial. Nivelul stabilește controalele aplicabile și nu este același lucru cu clasa entității din lege.
| Scor de risc | Nivel de asigurare | Instrument de autoevaluare |
|---|---|---|
| 0–99 | Bază | EVAL_MMS_B |
| 100–199 | Important | EVAL_MMS_I |
| 200–1.500 | Esențial | EVAL_MMS_E |
Cum se face autoevaluarea oficială?
Autoevaluarea oficială este cea din Anexa 2 și se face cu instrumentele EVAL_MMS_B, _I sau _E ori pe platforma NIS2@RO. Fiecare control primește o notă de la 1 la 5 pentru documentare și o notă pentru implementare. Prima autoevaluare vine la 60 de zile după evaluarea riscului, apoi se repetă anual, cu aprobarea conducerii.
Autoevaluarea de pe acest site este o verificare rapidă și nu înlocuiește autoevaluarea oficială. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit.
Ce praguri trebuie atinse?
Măsurile cheie trebuie să atingă cel puțin 2,5 la nivelul de Bază și 3 la nivelurile Important și Esențial, iar ținta generală pentru nivelul Esențial este 3,5. Sub țintă este necesar un plan de remediere, conform art. 3 din metodologie. Entitățile esențiale îl depun în 30 de zile de la fiecare autoevaluare.
| Nivel | Prag pentru măsurile cheie | Țintă generală |
|---|---|---|
| Bază | 2,5 | – |
| Important | 3 | – |
| Esențial | 3 | 3,5 |
Ce cere ordinul pentru backup?
Controlul PR.DS-11.1, măsură cheie la toate nivelurile, cere backup-uri ale datelor critice pe un sistem diferit de cel cu datele originale. PR.DS-11.2 cere, de la nivelul Important, verificarea periodică a fiabilității și integrității. Ghidul de implementare spune că testarea ar trebui să aibă loc cel puțin anual sau mai frecvent, pe eșantion.
| Control | Ce cere | Niveluri |
|---|---|---|
| PR.DS-11.1 | Backup-uri ale datelor critice, stocate pe un sistem diferit. Măsură cheie. | Bază, Important, Esențial |
| PR.DS-11.2 | Fiabilitatea și integritatea backup-urilor, verificate și testate periodic. | Important, Esențial |
| PR.DS-11.3 | Locație de stocare separată, cu controale echivalente mediului principal. | Important, Esențial |
| PR.DS-11.4 | Teste de recuperare coordonate cu continuitatea și răspunsul la incidente. | Esențial |
| PR.DS-11.5 | Backup-urile sistemelor critice, separate de cele ale informațiilor critice. | Esențial |
Ordinul cere o copie offline?
Ordinul DNSC privind măsurile obligatorii prevede că cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic. Formularea apare în ghidul de implementare al controlului PR.DS-11.1 și folosește „ar trebui”. Textul controlului cere stocarea pe un sistem diferit și nu numește o tehnologie.
Ce se întâmplă dacă nu respect ordinul?
Neaplicarea măsurilor de securitate intră în categoria cea mai mare de amenzi: până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială pentru entități importante și până la 10.000.000 EUR sau 2% pentru cele esențiale, valoarea cea mai mare (art. 60 alin. (2)). Sunt limite maxime, nu sume obișnuite.
Ce faceți mai departe
- Aflați dacă firma intră sub lege și în ce clasă.
- Stabiliți nivelul de risc cu ENIRE@RO sau pe platforma NIS2@RO.
- Faceți autoevaluarea oficială cu instrumentul EVAL_MMS potrivit nivelului.
- Acoperiți întâi măsurile cheie și treceți restul într-un plan cu date.
Întrebări frecvente
Care este diferența dintre clasa entității și nivelul de asigurare?
Clasa (esențială sau importantă) vine din OUG 155/2024 și depinde de sector și mărime. Nivelul (Bază, Important, Esențial) vine din scorul de risc și arată ce controale aplicați. O entitate importantă poate avea, de exemplu, nivelul de Bază.
Autoevaluarea trebuie aprobată de conducere?
Da. Autoevaluarea se repetă anual și este aprobată de conducere (art. 12 alin. (4)). Organele de conducere aprobă măsurile, le supraveghează și răspund pentru încălcări (art. 14 alin. (1)).
Cine trebuie să depună plan de remediere?
Metodologia cere un plan de remediere sub țintă. În plus, entitățile esențiale depun planul în 30 de zile de la fiecare autoevaluare (art. 12 alin. (5)).
Autoevaluarea de pe site ține loc de cea oficială?
Nu. Este o verificare rapidă, în 22 de întrebări, ca să vedeți unde sunt golurile. Autoevaluarea oficială se face cu EVAL_MMS sau pe platforma NIS2@RO.
CyFun este formatul oficial?
Nu. Denumirea CyFun nu apare în textele oficiale. Formatul oficial este cel din Anexa 2 la Ordinul DNSC 1/2026, cu instrumentele EVAL_MMS.
Cum se leagă ordinul de Ordinele DNSC din 2025?
Ordinul 1/2025 acoperă notificarea și înregistrarea, Ordinul 2/2025 pragurile și nivelul de risc, iar Ordinul 3/2025 supravegherea și controlul. Ordinul 1/2026 adaugă măsurile și autoevaluarea.