NIS2 · Dir. UE 2022/2555
ANPDCP · DNSC
Gap Analysis · Implementare
Conformitate GDPR & NIS2
De la Gap Analysis la implementare completă — ajutăm organizațiile din România să atingă și să demonstreze conformitatea cu cele mai importante reglementări europene de securitate cibernetică și protecție a datelor.
Amenzi de până la 20 milioane EUR (GDPR) · 10 milioane EUR (NIS2) · Suspendarea autorizațiilor de operare
De la hârtie la conformitate reală
Multe organizații din România au politici GDPR scrise în 2018 și nu le-au mai actualizat. Altele nu știu dacă intră sub incidența NIS2 sau, mai grav, cred că nu intră când de fapt intră. Serviciul nostru acoperă întregul ciclu: evaluare, documentare și implementare.
FAZA 1
Gap Analysis
Evaluăm starea curentă față de cerințele GDPR și NIS2 și identificăm toate neconformitățile
FAZA 2
Documentație
Redactăm sau actualizăm toate documentele obligatorii: politici, proceduri, registre, DPIA, DPA
FAZA 3
Implementare Tehnică
Configurăm măsurile tehnice: criptare, MFA, logging, backup, control acces — Art. 32 GDPR + Art. 21 NIS2
CONTINUU
Mentenanță & Audit
Actualizăm documentele, monitorizăm schimbările legislative și pregătim organizația pentru audituri
Lucrăm atât cu specialiști juridici pentru documentele normative, cât și cu ingineri de securitate pentru implementarea tehnică — astfel conformitatea ta este completă, nu doar pe hârtie.
GDPR & NIS2 — Cerințe cheie
Două reglementări europene cu obiective complementare: GDPR protejează datele personale, NIS2 securizează rețelele și sistemele informatice ale infrastructurilor critice.
REGULAMENT UE 2016/679
GDPR
Se aplică oricărei organizații care prelucrează date personale ale cetățenilor UE — indiferent de dimensiune sau sector
ART. 5 — PRINCIPII
Legalitate, echitate, transparență · Limitarea scopului · Minimizarea datelor · Exactitate · Limitarea stocării · Integritate și confidențialitate
ART. 13–14 — INFORMARE
Obligații de informare a persoanelor vizate la colectarea datelor, inclusiv prin politica de confidențialitate
ART. 28–29 — PROCESATORI
Contracte DPA cu toți furnizorii care prelucrează date în numele tău (cloud, HR, CRM, marketing)
ART. 30 — REGISTRUL PRELUCRĂRILOR
Evidența scrisă a tuturor activităților de prelucrare — obligatorie pentru organizații cu ≥250 angajați sau prelucrări riscante
ART. 32 — SECURITATE
Măsuri tehnice și organizatorice adecvate: pseudonimizare, criptare, reziliență, backup, testare periodică
ART. 33–34 — NOTIFICAREA BREȘELOR
72 ore pentru notificarea ANPDCP · Fără întârziere pentru informarea persoanelor vizate (când riscul e ridicat)
ART. 35 — DPIA
Evaluarea impactului asupra protecției datelor — obligatorie pentru prelucrări cu risc ridicat (profilare, date speciale, supraveghere)
10M € sau 2% pentru obligații tehnice și organizatorice (Art. 83(4))
DIRECTIVA UE 2022/2555
NIS2
Se aplică entităților esențiale și importante din sectoarele critice — cu răspundere personală a conducerii executive
ART. 20 — GUVERNANȚĂ
Conducerea trebuie să aprobe măsurile de securitate, să urmeze traininguri și răspunde personal pentru neconformitate
ART. 21 — MĂSURI DE SECURITATE
Politici de risc · Business continuity · Securitatea lanțului de aprovizionare · Achiziție și dezvoltare sisteme · Criptare · MFA · Gestionare incidente
ART. 23 — RAPORTAREA INCIDENTELOR
Alertare inițială: 24 ore · Notificare: 72 ore · Raport final: 1 lună — toate către DNSC (Autoritatea Competentă din România)
SECURITATEA SUPPLY CHAIN
Evaluarea riscurilor de securitate ale furnizorilor ICT și includerea cerințelor de securitate în contractele cu aceștia
TESTARE PERIODICĂ
Pentest, audit, exerciții de simulare a incidentelor — realizate periodic și documentate pentru demonstrarea conformității față de DNSC
ÎNREGISTRARE DNSC
Entitățile trebuie să se înregistreze la DNSC și să raporteze date de contact ale persoanelor responsabile cu securitatea
+ Suspendarea autorizațiilor + Răspundere personală management
Gap Analysis — Fotografia stării reale
Gap Analysis-ul este primul pas obligatoriu: nu poți remedia ceea ce nu știi că lipsește. Evaluăm starea curentă de conformitate față de fiecare cerință aplicabilă și livrăm un raport care devine baza întregului program de conformitate.
Kick-off & Scoping
Stabilim perimetrul evaluării: ce entități, ce sisteme, ce activități de prelucrare. Colectăm documentele existente și organizăm interviuri structurate cu responsabilii cheie (IT, legal, HR, management).
Cartografierea Fluxurilor de Date
Identificăm toate datele personale prelucrate: categorii, scopuri, baze legale, originea datelor, destinatarii, termenele de retenție și transferurile internaționale. Construim data flow map-ul complet.
Evaluare GDPR — 45 Puncte de Control
Verificăm conformitatea față de toate cerințele GDPR: baze legale, drepturi persoane vizate, obligații informare, contracte DPA, registrul prelucrărilor, mecanisme de consimțământ, politici de retenție.
Evaluare NIS2 — 38 Puncte de Control
Evaluăm implementarea celor 10 domenii de măsuri NIS2 (Art. 21): politici de risc, business continuity, supply chain security, gestionare incidente, criptare, MFA, vulnerability management, formare.
Audit Tehnic al Măsurilor de Securitate
Verificăm că măsurile tehnice descrise în politici sunt efectiv implementate: criptare activă, control acces configurat, logging funcțional, patch-uri aplicate, backup verificat, MFA activ pe conturile critice.
Raport Gap Analysis & Scoring
Livrăm raportul complet cu toate neconformitățile identificate, clasificate pe 4 niveluri (Critic / Ridicat / Mediu / Scăzut), cu scoring de maturitate per domeniu și impactul legal al fiecărui gap.
Exemplu: Domenii evaluate în Gap Analysis GDPR+NIS2
Tabelul de mai jos ilustrează structura raportului de Gap Analysis. Starea reală variază per organizație.
| Domeniu de Evaluare | Reglementare | Nr. Cerințe | Stare Tipică IMM | Prioritate |
|---|---|---|---|---|
| Registrul Activităților de Prelucrare (RAP) | GDPR Art. 30 | 8 | Parțial | Ridicată |
| Politica de Confidențialitate & Informare | GDPR Art. 13-14 | 12 | Parțial | Ridicată |
| Contracte DPA cu procesatorii | GDPR Art. 28 | 10 | Neconform | Ridicată |
| Mecanisme Consimțământ & Cookie | GDPR Art. 6-7 | 9 | Neconform | Ridicată |
| Procedura Drepturi Persoane Vizate | GDPR Art. 15-22 | 14 | Neconform | Medie |
| Procedura Notificare Breșe (72h) | GDPR Art. 33-34 | 7 | Neconform | Ridicată |
| DPIA pentru prelucrări cu risc ridicat | GDPR Art. 35 | 6 | Neconform | Medie |
| Măsuri tehnice de securitate (criptare, MFA) | GDPR Art. 32 + NIS2 Art. 21 | 15 | Parțial | Ridicată |
| Politici de securitate & management risc | NIS2 Art. 21(a) | 8 | Neconform | Ridicată |
| Business Continuity & Disaster Recovery | NIS2 Art. 21(c) | 7 | Neconform | Ridicată |
| Securitatea lanțului de aprovizionare | NIS2 Art. 21(d) | 6 | Neconform | Medie |
| Gestionare vulnerabilități & patch management | NIS2 Art. 21(e) | 8 | Parțial | Ridicată |
| Raportarea incidentelor (24h/72h/1 lună) | NIS2 Art. 23 | 9 | Neconform | Ridicată |
| Formare & conștientizare management+angajați | NIS2 Art. 20 | 5 | Neconform | Medie |
| Înregistrare & notificare DNSC | NIS2 Art. 27 | 4 | Neconform | Ridicată |
Documentație — Tot ce ai nevoie în scris
Documentele de conformitate nu sunt un scop în sine — sunt dovada că organizația ta are procese definite și funcționale. Le redactăm personalizat pentru activitatea ta, nu din template-uri generice.
📋 Documente GDPR Obligatorii
📑Registrul Activităților de Prelucrare (RAP)
Document structurat conform Art. 30 GDPR cu toate activitățile de prelucrare ale organizației. Include: scopul prelucrării, baza legală, categoriile de date și persoane vizate, destinatarii, termenele de retenție, transferurile internaționale și măsurile de securitate aplicate per activitate.
- Șablon Excel personalizat pentru organizația ta
- Completat pe baza interviurilor cu departamentele
- Actualizat la fiecare modificare de procese
🔒Politica de Confidențialitate & Notele de Informare
Politica de confidențialitate externă (website, clienți) și notele interne de informare pentru angajați, candidați, furnizori și colaboratori — redactate conform Art. 13-14 GDPR, în limbaj clar și accesibil.
- Adaptate fiecărei categorii de persoane vizate
- Actualizate la modificarea prelucrărilor
- Versiune web + PDF semnabil
🤝Contracte DPA cu Procesatorii
Data Processing Agreement-uri conform Art. 28 GDPR pentru toți furnizorii care prelucrează date în numele tău: hosting/cloud, HR/payroll, CRM, email marketing, contabilitate, servicii IT externalizate. Verificăm și contractele existente și le actualizăm.
- Template DPA personalizabil per furnizor
- Registrul procesatorilor actualizat
- Revizuire DPA-uri existente
🍪Politica Cookies & Consimțământ
Implementarea unui mecanism valid de consimțământ pentru cookies (banner, preferințe granulare) și politica cookie în conformitate cu GDPR și Directiva ePrivacy. Includem și formulare de consimțământ pentru marketing și profilare.
- Banner cookie configurat corect
- Politică cookie detaliată
- Formulare consimțământ marketing
🚨Procedura Notificare Breșe de Date (72 ore)
Procedura clară step-by-step pentru identificarea, evaluarea și notificarea breșelor de date conform Art. 33-34 GDPR. Include template-urile de notificare către ANPDCP și modelele de comunicare cu persoanele vizate afectate.
- Flowchart de decizie: notific sau nu?
- Template notificare ANPDCP (formular oficial)
- Registrul breșelor de date
👤Procedura Drepturi Persoane Vizate
Proceduri operaționale pentru gestionarea cererilor de exercitare a drepturilor: dreptul la acces (Art. 15), rectificare (16), ștergere (17), portabilitate (20), opoziție (21). Include termene, formulare și fluxuri de aprobare internă.
- Formulare cerere per drept
- Flux intern de aprobare și răspuns
- Registru cereri persoane vizate
🔍Evaluarea Impactului (DPIA)
Realizăm DPIA (Data Protection Impact Assessment) conform Art. 35 GDPR pentru prelucrările cu risc ridicat: profilare, prelucrarea datelor speciale (sănătate, biometrie), supraveghere video, scoring, decizii automate, prelucrarea la scară largă.
- Evaluarea necesității DPIA per activitate
- DPIA complet pentru prelucrările identificate
- Măsuri de atenuare recomandate
📊Politica de Retenție și Ștergere Date
Calendarul complet de retenție pentru toate categoriile de date prelucrate, cu baza legală pentru fiecare termen (obligații legale, contractuale, scopuri legitime) și procedura de ștergere/arhivare securizată la expirarea termenelor.
- Matrice retenție per categorie de date
- Procedura de ștergere securizată
- Automatizare ștergere (unde e posibil)
🛡️ Documente NIS2 Obligatorii
📋Politica de Securitate a Informațiilor (ISP)
Documentul cadru de securitate cibernetică al organizației, aprobat de conducere conform Art. 20 NIS2. Include: obiective de securitate, principii, roluri și responsabilități, sfera de aplicare, relația cu standardele (ISO 27001, CIS Controls).
- Personalizată pentru industria și dimensiunea ta
- Aprobată și semnată de management
- Revizuire anuală planificată
⚡Planul de Răspuns la Incidente (IRP)
Procedura completă de gestionare a incidentelor de securitate conform NIS2 Art. 23: detecție, clasificare, containment, investigație, recuperare și raportare. Include timelines obligatorii: alertare 24h, notificare 72h, raport final 1 lună — toate către DNSC.
- Playbooks per tip de incident (ransomware, breach, DDoS)
- Template notificare DNSC
- Matrice clasificare severitate incidente
🔄Planul de Continuitate a Activității (BCP/DR)
Planul de Business Continuity și Disaster Recovery conform NIS2 Art. 21(c): analiza impactului (BIA), RTO și RPO pentru sistemele critice, proceduri de failover, testare periodică și actualizare după incidente sau modificări majore.
- BIA — analiza impactului per sistem/serviciu
- RTO/RPO definite și testate
- Proceduri DR documentate și testate
🔗Politica Securitate Supply Chain
Evaluarea și gestionarea riscurilor de securitate din lanțul de aprovizionare ICT (Art. 21(d) NIS2): criteriile de selecție a furnizorilor critici, cerințele minime de securitate contractualizate, procesul de audit al furnizorilor și monitorizarea continuă.
- Registrul furnizorilor critici ICT
- Clauze de securitate în contracte
- Proces de due diligence furnizori
🔐Politica de Control Acces & Identitate
Regulile de acordare, modificare și revocare a accesului la sisteme și date, principiul least privilege, cerințele MFA, gestionarea conturilor privilegiate (PAM), procesul de offboarding și auditarea periodică a drepturilor de acces.
- Matrice de acces per rol/sistem
- Procedura de onboarding/offboarding
- Politica MFA și parole
🛠️Procedura Gestionare Vulnerabilități & Patch
Procesul de identificare, evaluare, prioritizare și remediere a vulnerabilităților (Art. 21(e) NIS2): ciclul de patch management, termenele de remediere per severitate CVSS, procesul de scanare periodică și urmărirea remedierilor.
- Termene remediere: Critical 48h, High 7 zile
- Proces de excepții documentat
- Registru vulnerabilități și remedieri
Implementare Tehnică — Conformitate în practică
Documentele fără implementare tehnică sunt insuficiente. Art. 32 GDPR și Art. 21 NIS2 impun măsuri tehnice concrete. Configurăm aceste măsuri direct în infrastructura ta sau ghidăm echipa IT prin fiecare pas.
Criptare Date la Repaus și în Tranzit
Verificăm și configurăm criptarea: TLS 1.2/1.3 pentru toate serviciile web și API-uri, criptare disc (BitLocker/FileVault/LUKS) pe laptopuri și servere cu date sensibile, criptare baze de date, email encryption (S/MIME sau PGP).
Autentificare Multi-Factor (MFA)
Activăm MFA pe toate conturile cu acces la date personale sau sisteme critice: email corporate (M365/Google Workspace), VPN, remote desktop, aplicații web, cloud (AWS/Azure), panouri de administrare. Configurăm politici de aplicare obligatorie.
Logging & Audit Trail
Configurăm colectarea centralizată de loguri de securitate: Windows Event Log, Active Directory, accese aplicații, activitate administratori, modificări configurații. Definim perioada de retenție (minimum 12 luni recomandat pentru NIS2) și protecția anti-alterare.
Backup & Recovery Verificat
Implementăm strategia 3-2-1 de backup (3 copii, 2 medii diferite, 1 off-site), verificăm funcționalitatea restaurărilor, configurăm backup-uri criptate, testăm scenariile DR și documentăm RTO/RPO real atins în teste.
Control Acces & Privilegii Minime
Revizuim drepturile de acces ale tuturor utilizatorilor, eliminăm privilegiile excesive, implementăm principiul least privilege, configurăm separarea sarcinilor critice, revocăm accesul la foști angajați și configurăm time-limited access pentru conturi privilegiate.
Pseudonimizare & Minimizare Date
Implementăm tehnici de pseudonimizare și anonimizare acolo unde este tehnic fezabil: mascare câmpuri sensibile în medii de test/dev, pseudonimizare date de analiză, configurare acces pe need-to-know la bazele de date cu date personale.
Roadmap Implementare — 6 Luni spre Conformitate
Calendar indicativ pentru o organizație medie (50-200 angajați) fără program de conformitate existent. Timpii variază în funcție de complexitate și resurse disponibile.
Lunile 1-2: Gap Analysis & Fundamente
Finalizarea Gap Analysis complet GDPR+NIS2, livrarea raportului și roadmap-ului. Implementarea imediată a „quick wins”: activare MFA, revizuire drepturi acces, configurare backup criptat, actualizare politică confidențialitate.
- Gap Analysis complet
- MFA activat
- Backup verificat
- Politică confidențialitate
Luna 3: Documentație Core GDPR
Finalizarea setului complet de documente GDPR: Registrul Prelucrărilor, contracte DPA cu toți procesatorii, procedura breșe 72h, procedura drepturi persoane vizate, notele de informare angajați/clienți.
- RAP finalizat
- DPA-uri semnate
- Proceduri GDPR
- Cookie banner conform
Luna 4: Documentație NIS2 & Implementare Tehnică
Finalizarea documentelor NIS2 core: Politica de Securitate, Planul IR, BCP/DR, Politica Supply Chain. Implementare tehnică: configurare criptare completă, centralizare loguri, implementare vulnerability scanning.
- ISP aprobat
- IRP finalizat
- BCP/DR testat
- Logging centralizat
Luna 5: Training, DPIA & Supply Chain
Program de training GDPR+NIS2 pentru angajați și management. Realizarea DPIA pentru prelucrările cu risc ridicat identificate. Auditarea și actualizarea contractelor cu furnizorii critici ICT, includerea clauzelor de securitate.
- Training complet
- DPIA realizat
- Furnizori evaluați
- Registru DNSC
Luna 6: Validare, Pentest & Raport Final
Audit intern de conformitate pentru validarea implementării complete. Pentest pentru testarea măsurilor tehnice. Livrarea Raportului de Conformitate final — documentul care demonstrează conformitatea față de ANPDCP și DNSC.
- Audit intern
- Pentest de validare
- Raport conformitate
- Pregătire audit autorități
Alege nivelul de suport potrivit
Oferim trei niveluri de implicare, de la evaluarea independentă până la implementarea completă „mână la mână”. Toate pachetele includ consultanță juridică și tehnică.
Gap Analysis
Organizații care vor să înțeleagă unde se află față de GDPR & NIS2
- Gap Analysis GDPR complet (45 puncte)
- Gap Analysis NIS2 (unde aplicabil)
- Cartografierea fluxurilor de date
- Audit tehnic măsuri de securitate
- Raport complet cu scoring maturitate
- Roadmap prioritizat 12 luni
- Sesiune de prezentare rezultate (3h)
- Redactare documente
- Implementare tehnică
Conformitate Completă
Organizații care vor să atingă conformitatea reală GDPR+NIS2
- Tot ce include pachetul Gap Analysis
- Toate documentele GDPR obligatorii
- Toate documentele NIS2 obligatorii
- DPIA pentru prelucrări cu risc ridicat
- Implementare tehnică asistată
- Training angajați (2 sesiuni)
- Asistență înregistrare DNSC
- Raport de conformitate final
- Reaudit la 6 luni inclus
Mentenanță Conformitate
Organizații care au deja conformitate și vor să o mențină
- Audit anual de conformitate
- Actualizare documente la modificări legislative
- Actualizare RAP la modificarea prelucrărilor
- Suport pentru cereri persoane vizate
- Asistență notificare breșe (72h)
- Training annual refresh angajați
- Monitorizare decizii ANPDCP / DNSC
- Pregătire pentru audituri autorități
- DPO extern (opțional, add-on)
Ai nevoie de DPO (Responsabil cu Protecția Datelor)?
GDPR obligă anumite organizații să desemneze un DPO (autorități publice, organizații care prelucrează date la scară largă sau date speciale). Oferim serviciul de DPO Extern — experți certificați care preiau toate responsabilitățile funcției de DPO în mod externalizat, la o fracțiune din costul unui DPO intern. Contactează-ne pentru detalii →
Răspunsuri la întrebările reale
01NIS2 se aplică și organizației mele dacă nu știu că intru în categoriile prevăzute?
Obligația de conformitate există indiferent dacă știi sau nu că intri sub incidența NIS2. Neștiința nu constituie o apărare valabilă față de DNSC. De aceea, primul pas este determinarea aplicabilității — un serviciu pe care îl oferim gratuit în cadrul unui call de scoping. Criteriile sunt: sectorul de activitate (18 sectoare listate în Anexa I și II ale Directivei) + dimensiunea (≥50 angajați sau ≥10M EUR CA) sau statut de entitate critică indiferent de dimensiune.
02Avem deja politici GDPR scrise în 2018. Mai avem nevoie de gap analysis?
Da, cu siguranță. Politicile din 2018 nu acoperă modificările ulterioare: deciziile ANPDCP și EDPB din 2019-2024, invalidarea Privacy Shield și adoptarea EU-US Data Privacy Framework, ghidurile actualizate privind cookies (cookies consensuale, nu pre-bifate), cerințele legate de AI Act, și nu în ultimul rând NIS2 (2022). Cel mai frecvent gap pe care îl găsim: contractele DPA lipsesc sau sunt incomplete, iar mecanismele de consimțământ pentru cookies nu sunt valide.
03Cât costă un program complet de conformitate GDPR+NIS2?
Costul variază semnificativ în funcție de dimensiunea organizației, complexitatea prelucrărilor, numărul de sisteme informatice și starea curentă de conformitate. Orientativ, pentru un IMM (20-100 angajați), un Gap Analysis pornește de la câteva mii de euro, iar un proiect complet de conformitate poate varia între 8.000-30.000 EUR pentru o implementare de 6 luni. Comparativ cu amenzile posibile (sute de mii până la milioane de EUR), investiția este justificată. Contactează-ne pentru o ofertă personalizată.
04Ce se întâmplă dacă ANPDCP sau DNSC vin la un control înainte să finalizăm conformitatea?
Dacă ești în mijlocul unui proiect activ de conformitate, documentarea progresului contează. Autoritățile iau în calcul efortul demonstrabil de conformitate. Cel mai important: să ai un roadmap aprobat de management, dovezi ale acțiunilor deja implementate și o persoană desemnată responsabilă cu conformitatea. Un program de conformitate în desfășurare este tratat diferit față de o organizație care nu a întreprins nicio acțiune.
05GDPR și NIS2 se suprapun? Trebuie să facem două proiecte separate?
Se suprapun parțial — în special la capitolul măsuri tehnice de securitate (Art. 32 GDPR ↔ Art. 21 NIS2) și la notificarea incidentelor (Art. 33 GDPR ↔ Art. 23 NIS2). Abordăm cele două reglementări într-un proiect integrat, valorificând sinergiile și evitând duplicarea efortului. Un singur set de măsuri tehnice de securitate bine implementate poate satisface cerințele ambelor reglementări.
06Puteți asista organizația noastră dacă primim o plângere la ANPDCP sau o inspecție DNSC?
Da. Oferim suport de urgență în cazul investigațiilor ANPDCP și DNSC: revizuirea documentelor înainte de transmitere, asistența în formularea răspunsurilor, coordonarea cu avocați specializați în dreptul datelor și pregătirea organizației pentru inspecții on-site. Contactați-ne imediat — timpii de răspuns în investigațiile autorităților sunt scurți.
Ești cu adevărat conform cu GDPR și NIS2?
Solicită un call de scoping gratuit de 30 de minute. Îți spunem dacă intri sub NIS2, ce gap-uri critice sunt probabile pentru industria ta și care este primul pas concret. Fără costuri, fără obligații.