URL: https://auditcybersecurity.ro/ordinul-dnsc-1-2026/ Actualizat: 2026-11-05. Texte legale verificate: 2026-11-05. Ghid # Ordinul DNSC 1/2026, pe înțelesul tuturor [Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/313799) spune concret ce măsuri de securitate se aplică și cum vă evaluați. Are două anexe: măsurile, grupate în șase funcții și trei niveluri, și metodologia de autoevaluare, cu note de la 1 la 5 și un prag de 2,5 sau 3 pentru măsurile-cheie. - **Publicat**: Monitorul Oficial 712, 27 august 2026 - **Funcții**: 6, de la Guvernare la Recuperare - **Niveluri**: 3: Bază, Important, Esențial - **Note**: 1–5, cu instrumentele EVAL_MMS **Definiție**Ordinul DNSC 1/2026 este actul care detaliază măsurile de gestionare a riscurilor cerute de [art. 11–13 din OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690). Anexa 1 cuprinde măsurile, iar Anexa 2 metodologia de autoevaluare a maturității. Este emis de Directoratul Național de Securitate Cibernetică. ## Ce este Ordinul DNSC 1/2026? Este Ordinul nr. 1 din 6 august 2026, publicat în Monitorul Oficial 712 din 27 august 2026. [Anexa 1](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360) stabilește măsurile de gestionare a riscurilor, iar [Anexa 2](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314361) metodologia de autoevaluare a maturității. Se adresează entităților esențiale și importante din [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690), care aplică măsurile la nivelul lor de risc. ## Cum sunt organizate măsurile? Măsurile sunt grupate în șase funcții: Guvernare, Identificare, Protecție, Detecție, Răspuns și Recuperare. Fiecare control are un cod, de exemplu PR.DS-11.1, și se aplică de la un anumit nivel de asigurare. Unele controale sunt marcate ca măsuri-cheie și se tratează cu prioritate, pentru că au praguri proprii la autoevaluare. ## Ce nivel se aplică firmei mele? Nivelul rezultă din scorul obținut cu [ENIRE@RO](https://www.dnsc.ro/vezi/document/instrumentul-enirero-v2), până când [platforma NIS2@RO a DNSC](https://platformanis2.ro) devine operațională, conform [metodologiei din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477). Un scor de 0–99 înseamnă nivelul de Bază, 100–199 nivelul Important, iar 200–1.500 nivelul Esențial. Nivelul stabilește controalele aplicabile și nu este același lucru cu categoria entității din lege. | Scor de risc | Nivel de asigurare | Instrument de autoevaluare | |---|---|---| | 0–99 | Bază | [EVAL_MMS_B](https://www.dnsc.ro/vezi/document/eval-mms-b-v1-1) | | 100–199 | Important | [EVAL_MMS_I](https://www.dnsc.ro/vezi/document/eval-mms-i-v3-1) | | 200–1.500 | Esențial | [EVAL_MMS_E](https://www.dnsc.ro/vezi/document/eval-mms-e-v3-1) | Până la operaționalizarea platformei NIS2@RO, DNSC pune la dispoziție instrumentele ENIRE@RO și EVAL_MMS ca fișiere de descărcat, pe [pagina DNSC cu obligațiile entităților înregistrate](https://www.dnsc.ro/pagini/obligatiile_entitatilor_inregistrate). Verificați acolo cea mai nouă versiune. ## Cum se face autoevaluarea oficială? Autoevaluarea oficială este cea din [Anexa 2](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314361) și se face cu instrumentele EVAL_MMS_B, _I sau _E, până la operaționalizarea platformei NIS2@RO. Fiecare control primește o notă de la 1 la 5 pentru documentare și o notă pentru implementare. Prima autoevaluare are loc la 60 de zile după evaluarea riscului, apoi se repetă anual, cu aprobarea conducerii. Începe cu o verificare rapidă Autoevaluarea de pe acest site este o verificare rapidă și nu înlocuiește autoevaluarea oficială. Acesta nu este un audit în sensul OUG 155/2024 și nu înlocuiește un audit. ## Ce praguri trebuie atinse? Măsurile-cheie trebuie să atingă cel puțin 2,5 la nivelul de Bază și 3 la nivelurile Important și Esențial. Scorul total trebuie să fie de cel puțin 2,5, 3, respectiv 3,5, iar la nivelul Esențial fiecare categorie trebuie să atingă 3. Sub țintă este necesar un plan de remediere, conform art. 3 din metodologie. | Nivel | Prag pentru măsurile-cheie | Fiecare categorie | Scor total | |---|---|---|---| | Bază | 2,5 | – | 2,5 | | Important | 3 | – | 3 | | Esențial | 3 | 3 | 3,5 | ## Ce cere ordinul pentru backup? Controlul PR.DS-11.1, măsură-cheie la toate nivelurile, cere backup-uri ale datelor critice pe un sistem diferit de cel cu datele originale. PR.DS-11.2 cere, de la nivelul Important, verificarea periodică a fiabilității și integrității. Ghidul de implementare spune că testarea ar trebui să aibă loc cel puțin anual sau mai frecvent, pe eșantion. | Control | Ce cere | Niveluri | |---|---|---| | PR.DS-11.1 | Backup-uri ale datelor critice, stocate pe un sistem diferit. Măsură-cheie. | Bază, Important, Esențial | | PR.DS-11.2 | Fiabilitatea și integritatea backup-urilor, verificate și testate periodic. | Important, Esențial | | PR.DS-11.3 | Locație de stocare separată, cu controale echivalente mediului principal. | Important, Esențial | | PR.DS-11.4 | Teste de recuperare coordonate cu continuitatea și răspunsul la incidente. | Esențial | | PR.DS-11.5 | Backup-urile sistemelor critice, separate de cele ale informațiilor critice. | Esențial | ## Ordinul cere o copie offline? Ordinul DNSC privind măsurile obligatorii prevede că cel puțin o copie de backup ar trebui păstrată complet offline sau izolată fizic. Formularea apare în ghidul de implementare al controlului PR.DS-11.1 și folosește „ar trebui”. Textul controlului cere stocarea pe un sistem diferit și nu numește o tehnologie. [Citește ghidul despre backup](https://auditcybersecurity.ro/backup-nis2/) ## Ce se întâmplă dacă nu respect ordinul? Neaplicarea măsurilor de securitate intră în categoria cea mai mare de amenzi: până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială pentru entități importante și până la 10.000.000 EUR sau 2% pentru cele esențiale, valoarea cea mai mare ([art. 60 alin. (2)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Sunt limite maxime, nu sume uzuale. [Vezi toate amenzile NIS2](https://auditcybersecurity.ro/amenzi-nis2/) ## Ce faceți mai departe 1. Aflați dacă firma intră sub incidența legii și în ce categorie. 2. Stabiliți nivelul de risc cu [ENIRE@RO](https://www.dnsc.ro/vezi/document/instrumentul-enirero-v2). 3. Faceți autoevaluarea oficială cu instrumentul EVAL_MMS potrivit nivelului. 4. Acoperiți întâi măsurile-cheie și treceți restul într-un plan cu termene. Verifică încadrarea Pornește autoevaluarea ## Întrebări frecvente ### Care este diferența dintre categoria entității și nivelul de asigurare? Categoria (esențială sau importantă) rezultă din [OUG 155/2024](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) și depinde de sector și dimensiune. Nivelul (Bază, Important, Esențial) rezultă din scorul de risc și arată ce controale aplicați. O entitate importantă poate avea, de exemplu, nivelul de Bază. ### Autoevaluarea trebuie aprobată de conducere? Da. Autoevaluarea se repetă anual și este aprobată de conducere ([art. 12 alin. (4)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). Organele de conducere aprobă măsurile, le supraveghează și răspund pentru încălcări ([art. 14 alin. (1)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). ### Cine trebuie să depună plan de remediere? Metodologia cere un plan de remediere sub țintă. În plus, entitățile esențiale depun planul în 30 de zile de la fiecare autoevaluare ([art. 12 alin. (5)](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690)). ### Autoevaluarea de pe site ține loc de cea oficială? Nu. Este o verificare rapidă, în 25 de întrebări, ca să vedeți unde sunt lacunele. Autoevaluarea oficială se face cu instrumentele EVAL_MMS. ### Ce legătură are CyFun cu autoevaluarea oficială? Fișierele EVAL_MMS ale DNSC sunt instrumentele de autoevaluare pentru cadrul CyberFundamentals (CyFun), versiunea 2025, elaborat de Centrul pentru Securitate Cibernetică al Belgiei. Autoevaluarea oficială se face conform Anexei 2 la Ordinul DNSC 1/2026, cu aceste instrumente. ### Cum se leagă ordinul de Ordinele DNSC din 2025? [Ordinul 1/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301473) acoperă notificarea și înregistrarea, [Ordinul 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301475) pragurile și nivelul de risc, iar [Ordinul 3/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/305128) supravegherea și controlul. Ordinul 1/2026 adaugă măsurile și autoevaluarea. ## Surse oficiale - [Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/313799) - [Măsurile aprobate prin Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314360) (Anexa 1) - [Metodologia de autoevaluare din Ordinul DNSC 1/2026](https://legislatie.just.ro/Public/DetaliiDocumentAfis/314361) (Anexa 2) - [metodologia din Ordinul DNSC 2/2025](https://legislatie.just.ro/Public/DetaliiDocumentAfis/301477) - [OUG 155/2024, forma consolidată](https://legislatie.just.ro/Public/DetaliiDocumentAfis/311690) Despre acest ghid Publicat de AuditCyberSecurity.ro. Site-ul este informativ și nu vinde nimic. Persoana care îl realizează este implicată în AirVault, serviciu de backup offline; legătura este menționată ori de câte ori apare AirVault în pagină. Actualizat: 5 noiembrie 2026 · Texte legale verificate: 5 noiembrie 2026 · Informare, nu consultanță juridică; verificați textul oficial.