Webinar Safetech GRC: NIS2 și DORA au intrat în etapa controalelor. Cum se pot pregăti organizațiile în 90 de zile?

Webinar Safetech: NIS2 și DORA au intrat în etapa controalelor. Cum se pot pregăti organizațiile în 90 de zile?

Pentru multe organizații, 2025 a fost anul notificărilor și al înregistrării în evidențele autorităților. În 2026, însă, conformitatea cu NIS2 și DORA a intrat într-o nouă etapă: verificarea efectivă a măsurilor implementate. Autoritățile dispun de proceduri de supraveghere și control, iar primele sancțiuni au fost deja aplicate.

În acest context, întrebarea esențială pentru companii nu mai este doar dacă au adoptat politicile și procedurile cerute de legislație, ci dacă pot demonstra că acestea funcționează în practică. Există dovezi ale implementării? Sunt controalele testate periodic? Poate organizația să răspundă solicitărilor autorităților în termenele prevăzute de lege?

Acestea au fost principalele teme ale webinarului „NIS2 și DORA – Pregătiți pentru control”, organizat de Safetech Innovations pe 26 octombrie 2026.

Prezentarea a fost susținută de Mihail George Guranda, specialist GRC în cadrul Safetech Innovations și CISO delegat pentru o entitate din industria aeronautică. Cu peste 25 de ani de experiență în domeniul juridic și peste șapte ani dedicați reglementării securității cibernetice, acesta a participat direct la dezvoltarea cadrului legislativ național. În calitate de Superior Manager în Direcția de Reglementare a DNSC, a coordonat echipa care a transpus Directiva NIS2 în legislația românească prin OUG 155/2024 și a contribuit la armonizarea cerințelor NIS2 cu DORA în sectorul financiar. Experiența sa a permis abordarea subiectului atât din perspectiva autorităților de reglementare și control, cât și din cea a organizațiilor care trebuie să demonstreze conformitatea.

2026: Autoritățile au instrumentele necesare pentru control

Adoptarea Ordinului DNSC nr. 3/2025, care reglementează procedurile de supraveghere, verificare și control, și a Ordinului DNSC nr. 1/2026, privind măsurile de gestionare a riscurilor și metodologia de autoevaluare, a completat cadrul operațional de aplicare a NIS2.

În paralel, OG nr. 14/2026 a stabilit cadrul național de aplicare a DORA, inclusiv atribuțiile de supraveghere ale BNR și ASF.

O diferență importantă privește modul în care sunt controlate organizațiile. În regimul NIS2, entitățile esențiale pot face obiectul supravegherii proactive, inclusiv al inspecțiilor planificate, în timp ce pentru entitățile importante supravegherea este, în principal, reactivă, pe baza unor indicii de neconformitate. În cazul DORA, verificarea riscurilor TIC este integrată în activitatea curentă de supraveghere a instituțiilor financiare.

Indiferent de regimul aplicabil, principiul este același: existența unei politici de securitate nu reprezintă, în sine, dovada conformității. Organizația trebuie să demonstreze că politica a fost aprobată, implementată, testată și revizuită.

Cum se desfășoară un control DNSC și de ce contează termenele

Unul dintre cele mai practice subiecte ale webinarului a vizat procedurile și termenele aplicabile controalelor DNSC. Autoritatea poate derula inspecții planificate sau neplanificate, audituri de securitate cibernetică și scanări neintruzive ale infrastructurii expuse. În anumite situații, vulnerabilitățile unei organizații pot fi identificate înainte ca aceasta să primească o solicitare oficială.

Inspecțiile planificate sunt anunțate cu 30 de zile calendaristice înainte. Cele neplanificate pot fi comunicate cu cinci zile înainte sau chiar la momentul începerii.

O etapă deosebit de importantă intervine după transmiterea notei de constatare. Potrivit procedurii prezentate în webinar, entitatea are, în mod obișnuit, doar trei zile calendaristice pentru a formula un răspuns, termen care poate fi prelungit, la cerere, până la zece zile.

Această constrângere schimbă fundamental modul în care trebuie organizată activitatea GRC.

„În cazul unui control DNSC, organizația are, de regulă, doar trei zile calendaristice pentru a răspunde constatărilor. Este un termen prea scurt pentru a construi de la zero argumente și dovezi. Practic, în acest interval poți doar să extragi informațiile dintr-un dosar de conformitate deja pregătit. De aceea, recomandăm ca echipele GRC să aibă permanent documentația actualizată și să transforme termenele procedurale într-o matrice internă, cu responsabilități clare pentru fiecare etapă” a afirmat Mihail George Guranda, specialist GRC în Safetech Innovations.

Prin urmare, pregătirea pentru control nu poate începe în momentul primirii notificării. Organizațiile au nevoie de un dosar de conformitate actualizat, de responsabilități clar definite și de mecanisme prin care documentele și dovezile tehnice pot fi identificate rapid.

Prima sancțiune NIS2 și semnalul transmis organizațiilor

În cadrul webinarului a fost analizat și cazul primei sancțiuni DNSC prezentate public, aplicată în septembrie 2026 unei entități din administrația publică pentru neîndeplinirea obligației de notificare. Dincolo de valoarea sancțiunii, cazul evidențiază două aspecte importante.

În primul rând, autoritățile pot începe verificările cu obligațiile administrative relativ simplu de constatat, precum notificarea și înregistrarea. În al doilea rând, aplicarea unei amenzi nu elimină obligația de conformare. Mai mult, încălcarea unor obligații distincte poate conduce la sancțiuni cumulative. Lipsa notificării și neimplementarea măsurilor de gestionare a riscurilor sunt probleme diferite, care pot fi evaluate separat.

Pentru organizațiile deja înregistrate, următoarele zone de interes pot include autoevaluarea, desemnarea responsabilului de securitate, actualizarea datelor din registru și demonstrarea implementării controalelor.

Un singur cadru de controale, mai multe reglementări

O altă temă importantă a webinarului a fost modul în care organizațiile pot gestiona cerințe provenite din NIS2, DORA și standarde precum ISO 27001, fără să creeze structuri paralele și procese redundante.

Recomandarea Safetech Innovations este construirea unei biblioteci unice de controale, în care fiecare dovadă să aibă elemente clare de identificare, un responsabil, o frecvență de testare și dovezi asociate.

De exemplu, autentificarea multifactor, testarea restaurării backup-urilor, jurnalizarea centralizată, gestionarea incidentelor și evaluarea furnizorilor critici pot răspunde simultan mai multor cerințe de reglementare.

Pentru grupurile care includ atât entități financiare supuse DORA, cât și companii aflate sub incidența NIS2, un cadru comun permite reutilizarea evidențelor, cu păstrarea documentației specifice fiecărei entități juridice.

În același timp, prezentarea a clarificat responsabilitatea conducerii executive, rolul echipelor juridice, IT și SOC și importanța unei funcții GRC capabile să coordoneze întregul proces.

Un plan de pregătire pentru control în 90 de zile

Pentru a transforma cerințele legislative într-un program concret de conformitate, Mihail Guranda a propus un plan de pregătire în 90 de zile, organizat în cinci etape.

• Zilele 1–14: Verificarea încadrării și notificării

Confirmarea statutului organizației, a datelor comunicate DNSC și a obligațiilor aplicabile.

• Zilele 15–30: Organizarea echipei și a procedurilor

Stabilirea responsabilităților, a jurnalului de inspecție și a matricei termenelor procedurale.

• Zilele 31–60: Pregătirea dosarului de dovezi

Evaluarea controalelor, identificarea lacunelor și aprobarea unui plan de remediere.

• Zilele 61–75: Simularea unui incident

Testarea răspunsului organizației, inclusiv a implicării conducerii și a obligațiilor de raportare.

• Zilele 76–90: Simularea unei inspecții

Reproducerea etapelor unui control, de la notificare și solicitarea documentelor până la formularea răspunsului la constatări.

Planul urmărește nu doar îmbunătățirea documentației, ci și verificarea capacității reale a organizației de a reacționa în condiții de presiune și termene limitate. Un exemplu oferit în webinar este testul de recuperare a unei dovezi de conformitate: alegerea aleatorie a unei cerințe și măsurarea timpului necesar pentru prezentarea documentelor care demonstrează implementarea acesteia.

„Alegeți aleatoriu o cerință și cronometrați cât durează să produceți dovada aprobată. Dacă depășiți 48 de ore, aveți o problemă”, a recomandat Mihail George Guranda.

Urmăriți înregistrarea integrală a webinarului

Vă invităm să urmăriți webinarul integral pentru a înțelege ce presupune, în practică, pregătirea unei organizații pentru un control NIS2 sau DORA.