Primele 30 de zile ca responsabil NIS2: de unde apuci

Într-o zi oarecare de marți, directorul te cheamă în birou și îți spune că firma intră sub NIS2 și că „tu te ocupi”. Felicitări: ești responsabilul cu securitatea rețelelor. Nimeni nu te-a întrebat, fișa postului rămâne aceeași, iar pe birou ai acum o ordonanță — OUG 155/2024, aprobată prin Legea 124/2025 — și senzația că toată lumea așteaptă să știi deja ce faci.

Vestea bună: nimeni nu devine conform în 30 de zile, și nici nu trebuie. Primele 30 de zile au un singur scop — să treci de la „habar n-am ce avem” la „știu unde suntem și care sunt primele trei probleme”. Atât. Mai întâi, pe scurt, ce spune legea despre rolul tău. Apoi, planul săptămână cu săptămână.

Ce spune legea despre rol

Rolul tău vine din articolul 14 al OUG 155/2024, în forma modificată prin Legea 124/2025. Două alineate contează aici. Le redăm exact, din textul oficial de pe Portalul Legislativ:

Text de lege, art. 14 alin. (3): „Organele de conducere ale entităților esențiale și ale entităților importante stabilesc mijloacele permanente de contact, asigură alocarea resurselor necesare pentru punerea în aplicare a măsurilor de gestionare a riscurilor de securitate cibernetică și desemnează, în termen de 30 de zile de la data comunicării deciziei directorului DNSC pentru identificarea și înscrierea în registru, responsabilii cu securitatea rețelelor și sistemelor informatice care au rolul de a implementa și supraveghea măsurile de gestionare a riscurilor de securitate cibernetică la nivelul entității.”

Text de lege, art. 14 alin. (4): „Persoana responsabilă cu securitatea rețelelor și sistemelor informatice, prevăzută la alin. (3), desemnată în cadrul entităților esențiale, cu excepția entităților administrației publice, precum și a microîntreprinderilor și întreprinderilor mici, astfel cum sunt stabilite potrivit dispozițiilor art. 4 alin. (1) lit. a) și b) din Legea nr. 346/2004, trebuie să îndeplinească cumulativ cel puțin următoarele:

a) are autoritate managerială;

b) este subordonată direct organelor de conducere ale entității;

c) funcționează independent de structurile IT și de tehnologie operațională din cadrul entității;

d) are acces la resursele necesare pentru supravegherea și implementarea eficientă a măsurilor de gestionare a riscurilor de securitate cibernetică;

e) să fi obținut un curs de specialitate acreditat, recunoscut de DNSC, în domeniul securității cibernetice, în termen de 12 luni de la desemnare.”

Interpretarea noastră (nu e text de lege, ci cum îl citim noi):

• Orice firmă sub NIS2 trebuie să aibă un responsabil, numit de conducere în 30 de zile de la decizia DNSC. Asta spune alin. (3) și se aplică și entităților esențiale, și celor importante.
• Condițiile stricte de la alin. (4) se aplică doar entităților esențiale mijlocii și mari, care nu țin de administrația publică. Acolo responsabilul trebuie să funcționeze independent de structurile de IT și de tehnologie operațională, deci nu poate fi omul de IT și nici cineva subordonat șefului de IT. Trebuie să fie un manager care raportează direct conducerii.
• La o entitate importantă, la o entitate esențială micro sau mică ori la o entitate a administrației publice, alin. (4) nu se aplică. Legea nu impune aceste cinci condiții, dar rolul rămâne același: implementezi și supraveghezi măsurile.
• Nu răspunzi singur. Alin. (1) spune că organele de conducere aprobă măsurile, le supraveghează aplicarea „și sunt responsabile de încălcările acestor dispoziții”. Tu duci munca, iar conducerea semnează și răspunde.
• Ce hârtii apar în jurul tău: decizia de numire, semnată de conducere; o fișă a postului din care reies condițiile de mai sus, acolo unde se aplică; și, pentru entitățile esențiale mijlocii și mari din afara administrației publice, certificatul cursului acreditat, în 12 luni de la numire. Toate trei merită ținute în dosarul de conformitate, alături de restul documentelor din ghidul NIS2 pas cu pas.

Cu rolul lămurit, iată cum arată prima lună.

Săptămâna 1: afli, nu repari

Rezistă tentației de a schimba ceva. Prima săptămână e de inventar, nu de intervenție.

• Lămurește încadrarea. Ești entitate esențială sau importantă? De răspuns depinde tot ce urmează — regimul de supraveghere, plafoanele de sancțiuni, presiunea termenelor. Dacă nu e limpede, articolul despre cine intră sub OUG 155/2024 te scoate din ceață într-o seară.
• Fă lista a ceea ce există. Nu un inventar perfect — o listă de lucru: sisteme fără de care firma nu funcționează o zi, cine le administrează, unde stau datele importante. Ghidul de inventar e un punct de plecare bun; în prima trecere e suficient un tabel cu 20–30 de rânduri.
• Notează cine-ce-face azi, de facto. Cine dă conturi noi? Cine face backup și cine l-a testat ultima dată? Cine ar afla primul dacă pică serverul? Răspunsurile de tipul „păi, depinde” sunt și ele răspunsuri — noteaz-o exact așa.

La finalul săptămânii ai un caiet (sau un document) cu ce ai găsit. Acela e primul tău livrabil. Pare puțin; e mai mult decât avea firma acum o săptămână.

Săptămânile 2–3: primele trei riscuri

Cu lista în față, întrebarea nu e „ce cere legea?” (cere multe), ci „ce ne doare întâi?”. Alege trei riscuri, nu treisprezece. La majoritatea firmelor medii, candidații clasici sunt aceiași: backup netestat sau ținut lângă server, conturi cu drepturi mai mari decât e nevoie, sisteme expuse la internet la care nu se uită nimeni.

Pentru fiecare dintre cele trei, scrie trei rânduri: ce se poate întâmpla, cât ar durea, care e primul pas ieftin. Nu analiză de risc cu metodologie — trei rânduri cinstite.

Tot acum, află termenele care nu iartă: dacă mâine ai un incident semnificativ, avertizarea către DNSC pleacă în 24 de ore, notificarea în 72. Nu trebuie încă să ai procedura șlefuită — trebuie să știi că există termenul și cine ar suna.

Săptămâna 4: prima discuție serioasă cu conducerea

Aici mulți responsabili proaspăt numiți fac o pauză lungă, pentru că „nu am încă totul”. Nu-ți trebuie totul. Îți trebuie o pagină: unde suntem, primele trei riscuri, ce propui pentru următoarele 90 de zile și ce resurse cere asta.

Un argument care schimbă tonul întâlnirii: sub OUG 155/2024, conducerea răspunde pentru supravegherea măsurilor de securitate — cu tot cu obligația de a urma cursuri de formare. Nu e o discuție în care tu ceri și ei se îndură; e responsabilitatea lor legală, iar tu le aduci planul. Ieși din întâlnire cu trei lucruri: un acord pe cele trei riscuri, un buget de discutat (măcar ca ordin de mărime) și o dată pentru următoarea întâlnire. Repetat, lunar.

Greșeala clasică: totul perfect din prima

Cea mai sigură metodă de a rata primele 30 de zile e să încerci să produci din prima politica de securitate completă, inventarul exhaustiv și analiza de risc de manual. Rezultatul tipic: în ziua 30 ai 40 de pagini începute și nimic terminat — și o conducere care a tras deja concluzia că „NIS2 e o gaură neagră”.

Conformitatea e un drum iterativ: întâi afli unde ești, apoi repari ce doare mai tare, apoi documentezi ce faci deja. O listă imperfectă folosită azi bate un registru perfect promis pentru trimestrul patru.

De unde începi, concret

Dacă vrei să simți pe pielea ta cum arată luna asta — cu tot cu telefoanele care sună prost — avem un antrenament de 3 minute, fără cont: jocul „Primele 30 de zile”, despre cea mai proastă lună din viața unui director. Iar când ești gata de pasul serios, autoevaluarea CERTO îți transformă „cred că stăm prost” într-un scor și o listă concretă de goluri — exact materialul pentru discuția din săptămâna 4. Începe cu CERTO.