Același program de testare a securității, cu aceleași dovezi, poate primi un scor de maturitate oriunde între 2,0 și 3,5, fără ca vreun evaluator să greșească. Diferența vine din decizii pe care metodologia le lasă în seama evaluatorului.

Ordinul DNSC nr. 1/2026 cere entităților esențiale și importante o autoevaluare anuală a maturității, control cu control. Pînă la emiterea ordinului privind auditul, aceleași criterii sînt singurele detaliate pe care le are la îndemână și auditorul. Două părți de bună-credință pot ajunge totuși la scoruri diferite, pentru că scorul depinde, în parte, și de deciziile de interpretare ale evaluatorului. Exemplul de mai jos arată unde apare problema.

Controlul și regulile, pe scurt

ID.IM-03.9 cere entității să efectueze „evaluări specializate, inclusiv monitorizare aprofundată, scanare a vulnerabilităților, testare a utilizatorilor rău intenționați, evaluare a amenințărilor din interior, testare a performanței/încărcării și testare de verificare și validare a sistemelor critice ale organizației”. Ghidul de implementare reia cele șase tipuri, fără să precizeze conținutul minim al fiecăruia.

Controlul se aplică la nivelul Esențial și este marcat ca Aspect de management, deci se revizuiește la fiecare audit. Anexa nr. 2 la Ordinul nr. 1/2026 cere două scoruri întregi, de la 1 la 5, pentru fiecare control:

• documentația: de la stadiul 3 în sus, contează ponderea excepțiilor documentate și aprobate: sub 5%, sub 3% și sub 0,5% „din cazuri”;
• implementarea: de la stadiul 3 în sus, contează procesul formal, dovezile, metricile și ponderea excepțiilor de proces: sub 10%, sub 5% și sub 1%.

Scorul controlului este media celor două. Ordinul nu definește ce este un „caz”.

Metodologia aduce un progres real față de autoevaluările pur calitative: stadii definite, praguri numerice și obligația de a justifica fiecare scor. Ca orice instrument aflat în primul an de aplicare, ea lasă deschise cîteva întrebări de interpretare, pe care practica le face vizibile.

Exemplu

Cazul este ilustrativ: entitatea și cifrele sînt fictive, dar situațiile descrise sînt plauzibile pentru un program real de testare. Entitatea esențială Alfa are 12 sisteme critice, dintre care 2 OT. Procedura aprobată și revizuită în 2025 prevede ca fiecare sistem să treacă anual prin toate cele șase tipuri de evaluare: 12 sisteme × 6 tipuri = 72 de evaluări planificate. În 2025 s-au întâmplat următoarele:

• Derogare aprobată: pentru cele 2 sisteme OT, testul de încărcare a fost înlocuit cu un test pe o copie izolată a sistemului (banc de test). Traficul simulat la volum ridicat poate bloca echipamentele industriale și opri procesul controlat, iar ID.RA-01.4 cere ca astfel de teste să fie efectuate „cu atenție”.
• Evaluări lipsă: evaluarea amenințărilor din interior nu s-a făcut pentru 6 sisteme.
• Evaluări discutabile: pentru alte 3 sisteme, evaluarea amenințărilor din interior a constat într-un interviu de o oră cu responsabilul de resurse umane, despre plecările de personal și verificările la angajare, fără analiza drepturilor de acces sau a jurnalelor sistemelor.
• Rezultate: testele au găsit 140 de vulnerabilități, dintre care 118 remediate. Remedierea lor nu ține de acest control, ci de cele privind managementul vulnerabilităților (ID.RA-01.3 și ID.RA-08.1).
• Metrici: acoperirea programului este raportată trimestrial conducerii, cu o țintă minimă de 90%.

Trei evaluatori, trei scoruri

Trei evaluatori atenți, care respectă toți textul ordinului, ajung la 3,5, 3,0 și 2,0. Nici unul nu face o eroare de calcul.

Evaluator	Ce numără ca „caz”	Documentație	Implementare	Scor
1	evaluarea (tip × sistem): 72 de cazuri; acceptă interviul HR ca evaluare	2/72 = 2,8% – stadiul 4 de maturitate	6/72 = 8,3% – stadiul 3 de maturitate	3,5
2	evaluarea: 72 de cazuri; nu acceptă interviul HR și numără derogarea și la implementare	2/72 = 2,8% – stadiul 4 de maturitate	11/72 = 15,3% – sub stadiul 3, încadrat în stadiul 2 de maturitate	3,0
3	sistemul critic: 12 cazuri; nu acceptă interviul HR	2/12 = 16,7% – sub stadiul 3, încadrat în stadiul 2 de maturitate	9/12 = 75% – sub stadiul 3, încadrat în stadiul 2 de maturitate	2,0

Același program, cu aceleași dovezi, primește 3,5, 3,0 și 2,0, după cum judecă fiecare evaluator.

Patru decizii

Diferențele provin din patru decizii. Fiecare variantă este rezonabilă luată separat; combinate, ele mută scorul cu 1,5 puncte.

1. Ce este un caz. Anexa nr. 2 vorbește de procentul excepțiilor „din cazuri”, fără să spună ce se numără. Aceleași 6 evaluări lipsă înseamnă 8,3% din 72 de evaluări sau 50% din 12 sisteme. La 30 de sisteme critice, ar însemna 3,3% din 180 de evaluări.
2. Unde se numără o derogare aprobată. Ea este, clar, o excepție documentată și aprobată la documentație. Metodologia nu spune dacă este și o excepție de proces la implementare. Răspunsul mută rata de la 8,3% la 11,1% și trece pragul de 10%.
3. Ce înseamnă „evaluare efectuată”. Controlul nu stabilește conținutul minim al unei evaluări a amenințărilor din interior. Un interviu de o oră poate fi evaluare pentru un evaluator și formalitate pentru altul.
4. Ce stadiu primește o situație care nu se potrivește niciunuia. Stadiul 2 descrie documentația nerevizuită de 2 ani și procesul informal. O documentație revizuită, cu 16,7% derogări, sau un proces formal, cu 15% excepții, nu se încadrează literal în niciun stadiu. Evaluatorul alege prin asimilare.

Alte două lucruri sînt, în schimb, clare: pragurile sînt inegalități stricte („mai puțin de”), deci 5,6% nu înseamnă stadiul 4. Iar cele 140 de vulnerabilități sînt rezultatul testării, nu excepții de proces. Ele dovedesc că programul funcționează.

Contează numeric?

De cele mai multe ori, puțin; aproape de prag, decisiv. Scorul categoriei se calculează în două trepte:

• scorul subcategoriei ID.IM-03 este media celor 9 controale ale ei;
• scorul categoriei ID.IM este media celor 3 subcategorii.

Dacă scorul controlului ID.IM-03.9 scade cu 1,5 puncte, de la 3,5 la 2,0:

• scorul subcategoriei ID.IM-03 scade cu 1,5 ÷ 9 cca. 0,17 puncte;
• scorul categoriei ID.IM scade cu 0,17 ÷ 3 cca. 0,06 puncte.

O scădere de 0,06 puncte pare neglijabilă. Contează însă atunci când categoria este aproape de prag. La nivelul Esențial, fiecare categorie trebuie să aibă cel puțin 3. Dacă scorul categoriei ID.IM este 3,03 la primul evaluator, la al treilea devine 2,97, adică sub prag. Aceleași fapte duc la conformitate la primul evaluator și la neconformitate la al treilea. Asupra scorului general al entității, efectul este de circa 0,003 puncte, practic nul.

Mai important decît efectul numeric este cel din audit. Fiind ”Aspect de management”, controlul se verifică la fiecare audit, iar două încadrări diferite înseamnă constatări diferite în raport. .

O rezolvare

Indiferent de evoluția metodologiei, ambele părți pot reduce incertitudinea fără să adauge cerințe noi.

Entitățile au deja o obligație care ajută: art. 2 alin. (5) din anexa nr. 2 cere justificarea scrisă a fiecărui scor. O justificare completă ar trebui să spună:

• ce s-a numărat ca „caz” și în ce perioadă;
• ce s-a considerat excepție la fiecare componentă și cum au fost tratate derogările;
• ce conținut minim are fiecare activitate calitativă, de exemplu evaluarea amenințărilor din interior;
• cum s-a încadrat o situație care nu corespunde literal unui stadiu.

Aceste alegeri, scrise în procedură și aplicate consecvent de la un an la altul, fac scorul verificabil.

Auditorii verifică conformitatea față de criterii, nu față de propriile preferințe. Concret:

• recalculează scorul pe interpretarea entității, dacă aceasta este compatibilă cu textul și aplicată consecvent;
• formulează constatări doar pentru abateri de la text: un prag aplicat greșit, o perioadă de referință ignorată, o justificare care lipsește;
• raportează ca observație situațiile în care o altă interpretare rezonabilă ar schimba concluzia, cu ambele rezultate;
• nu transformă „bunele practici”, o acreditare preferată de ghid sau o periodicitate nereglementată în neconformități.

Calculul scorului de maturitate este simplu; dificilă este încadrarea faptelor în criterii. Metodologia din Ordinul DNSC nr. 1/2026 lasă deschise patru întrebări de numărare și încadrare: ce este un caz, unde se numără o derogare, ce conținut minim are o activitate calitativă și cum se încadrează situațiile intermediare. Cea mai bună protecție disponibilă astăzi este justificarea scrisă pe care ordinul o cere deja: o decizie de interpretare declarată poate fi verificată; una nedeclarată poate fi doar contestată.

PS: O ultimă observație, pentru cei care cumpără ”servicii de conformitate NIS2”. Un test simplu al consultantului: întrebați-l ce a numărat ca ”caz” la ID.IM-03.9, de exemplu . Dacă răspunsul vine prompt, dar pare copiat dintr-un raport generat automat, aveți probabil un scor impecabil formatat și nejustificat. Un instrument AI poate produce un scor pentru că va alege în mod consecvent, fără să întrebe, ce este un caz, unde se numără derogarea și ce înseamnă o evaluare efectuată. Însă doar cineva care înțelege ce a calculat îl poate apăra în fața unui auditor.