Audit de conformitate NIS2 · România
Poate ați primit un e-mail de la un client mare care vă cere dovada conformității. Poate ați auzit de OUG 155/2024 la o conferință și v-ați notat să vă interesați. Oricum ați ajuns aici, întrebarea e probabil aceeași: ce trebuie să facem, concret, și de unde începem?
Cu asta vă ajutăm. Facem audituri NIS2 pentru companii din România și traducem cerințele legii în pași pe care echipa dumneavoastră îi poate duce la capăt. Fără jargon, fără presiune, în ritmul care are sens pentru organizația dumneavoastră.
O orientare rapidă, nu un verdict oficial — dar e un punct de plecare bun.
1.Aveți peste 50 de angajați sau o cifră de afaceri de peste 10 mil. EUR?
2.Activați în energie, transport, sănătate, IT / cloud, producție, bancar, apă, poștă sau un alt sector critic?
3.Sunteți furnizor sau subcontractor pentru companii din sectoarele de mai sus?
Nou: selectați sectorul în care activați și aflați pe loc ce tip de audit NIS2 vă cere legea — cu obligațiile și termenele aplicabile.
Deschideți generatorul de audit →Pe scurt, ca între oameni
NIS2 este directiva europeană (UE) 2022/2555 care cere companiilor din sectoarele importante pentru societate — energie, sănătate, transport, IT și altele — să își ia în serios securitatea cibernetică. Nu e o idee rea: atacurile din ultimii ani au arătat că o fabrică oprită sau un spital blocat de ransomware nu mai sunt scenarii teoretice.
În România, directiva a devenit lege prin OUG 155/2024, aprobată apoi prin Legea 124/2025. Autoritatea care supraveghează totul este DNSC — Directoratul Național de Securitate Cibernetică — care a publicat în 2025 și procedurile practice: cum vă notificați, cum vă evaluați riscul, cum se desfășoară controalele.
Partea care sperie multe companii este volumul: politici, proceduri, evaluări, termene. Partea pe care o descoperim la aproape fiecare audit este alta: majoritatea organizațiilor au deja mai mult decât cred. Backup-uri există, antivirusul e acolo, oamenii de IT își fac treaba. Ce lipsește de obicei e structura — dovada că măsurile există, funcționează și pot fi arătate cuiva din afară. Exact aici intervine auditul.
Ce verifică, de fapt, un audit NIS2
Legea grupează cerințele în zece categorii, la art. 13 din OUG 155/2024. Le trecem prin fiecare, la pas, și vă spunem sincer unde stați bine și unde mai e de lucru.
Politici prin care organizația își cunoaște și își gestionează riscurile, nu doar le presupune.
Proceduri clare: cine face ce atunci când ceva merge prost, și cum se raportează la DNSC.
Backup-uri testate, plan de recuperare, gestionarea crizelor. Lucrurile care vă țin pe picioare.
Relația cu furnizorii: cerințe contractuale, evaluări, pentru că riscul vine adesea din afară.
Securitatea gândită de la cumpărare până la scoaterea din uz, inclusiv gestionarea vulnerabilităților.
Verificați periodic dacă ce ați implementat chiar funcționează. Legea o cere explicit.
Oamenii rămân prima linie de apărare. Training-uri regulate, inclusiv pentru conducere.
Politici pentru protejarea datelor sensibile, în tranzit și în repaus, cu chei gestionate corect.
Cine are acces la ce, de ce, și ce se întâmplă cu accesele când cineva pleacă din firmă.
Autentificare multi-factor acolo unde contează și canale de comunicare protejate.
Cum vă putem ajuta
Unele firme vor doar să afle dacă legea li se aplică. Altele au nevoie de auditul complet. Altele vor pe cineva alături pe termen lung. Toate variantele sunt în regulă.
DACĂ SUNTEȚI LA ÎNCEPUT
Stabilim împreună dacă și cum vă privește OUG 155/2024: sectorul, dimensiunea, serviciile pe care le oferiți. Dacă sunteți vizați, vă ajutăm și cu notificarea către DNSC, ca să porniți cu dreptul.
DACĂ VREȚI SĂ ȘTIȚI UNDE STAȚI
Trecem prin toate cele zece zone de măsuri, cu documente și cu discuții cu oamenii dumneavoastră. La final știți exact ce aveți, ce lipsește și în ce ordine merită rezolvat.
DACĂ VREȚI UN PARTENER ÎN TIMP
Conformitatea nu se termină cu un raport. Rămânem alături la implementarea măsurilor, la exercițiile de raportare a incidentelor și la reevaluările periodice pe care legea le cere.
Bine de știut din timp
Nu le punem aici ca să vă îngrijorăm, ci pentru că e mult mai ușor să le respectați când le cunoașteți dinainte. Toate devin gestionabile cu puțină pregătire.
Legislația secundară mai evoluează din când în când — ordinele DNSC se pot actualiza. Când lucrăm împreună, lucrăm întotdeauna pe versiunea în vigoare, iar dacă se schimbă ceva relevant pentru dumneavoastră, vă anunțăm noi.
La ce să vă așteptați
Fără surprize: vă spunem de la început cât durează fiecare etapă și ce avem nevoie de la dumneavoastră. De regulă, echipa dumneavoastră pierde mai puțin timp decât se teme.
O discuție despre companie, sectorul în care activați și ce v-a adus la noi. Semnăm un acord de confidențialitate înainte de orice document.
30–60 minCitim politicile și procedurile existente, ne uităm la configurări și stăm de vorbă cu oamenii cheie. Scurt și la obiect, fără interogatorii.
1–2 săpt.Comparăm ce am găsit cu cerințele legii, punct cu punct. Fiecare constatare vine cu explicația și cu referința legală, ca să nu ne credeți pe cuvânt.
circa 1 săpt.Un raport pentru conducere și un plan de măsuri pentru echipa tehnică. Le parcurgem împreună și răspundem la toate întrebările.
3–5 zileLa implementare, la notificări, la reevaluări. Cât de mult sau de puțin aveți nevoie — unii clienți ne sună lunar, alții o dată pe an.
cum vă e utilBlog
Articole despre NIS2 în România, cu referințe la textele oficiale de lege și cu explicații pe care le înțelegeți fără dicționar juridic.
Tot ce trebuie să știe o companie care aude prima dată de OUG 155/2024: sectoare, praguri, obligații și primii pași.
Citiți ghidul → ProcedurăDe la evaluarea preliminară în platforma NIS2@RO până la confirmarea înscrierii în registru — cu tot cu greșelile frecvente.
Citiți articolul → IncidenteCe cere legea la fiecare pas, ce nu vi se cere (contrar miturilor) și cum vă pregătiți ca termenele să nu vă prindă nepregătiți.
Citiți articolul → StandardeAveți deja certificare ISO? Vestea bună, vestea mai puțin bună și ce mai rămâne concret de acoperit pentru conformitatea legală.
Citiți articolul → SancțiuniDa, amenzile pot fi mari. Dar contextul contează, iar o organizație care lucrează serios la conformitate stă cu totul altfel.
Citiți articolul →Cum lucrăm
Dacă un raport nu poate fi înțeles de directorul general fără dicționar de securitate cibernetică, l-am scris degeaba. Explicăm totul pe limba oamenilor și abia apoi punem referințele tehnice, pentru cine le vrea.
Nu comercializăm echipamente, licențe sau servicii de implementare pe care raportul nostru le-ar putea „recomanda". Concluziile auditului nu au niciun motiv să fie altfel decât corecte — și asta se simte în ele.
Aproape fiecare companie la care ajungem stă mai bine decât credea. Un audit bun nu e o listă de reproșuri; e o hartă onestă, care arată și ce funcționează deja, nu doar ce mai e de făcut.
Acordul de confidențialitate se semnează înainte de primul document, nu după. Ce aflăm despre organizația dumneavoastră rămâne între noi, iar probele de audit rămân la dumneavoastră.
Întrebări frecvente
O jumătate de oră cu unul dintre auditorii noștri: vă spunem dacă NIS2 vi se aplică, ce termene vă privesc și cam cât efort presupune conformarea în cazul dumneavoastră.
Fără costuri, fără obligații, cu acord de confidențialitate dacă vă simțiți mai confortabil așa. De obicei răspundem în aceeași zi lucrătoare.
Scrieți-ne pentru o discuție sau direct: contact@auditornis2.ro