Ce cadre de conformitate ți se aplică? Află în 5 minute

Ce conține harta

Pentru fiecare dintre cele opt cadre, o stare (se aplică, probabil, recomandat, în curând sau nu se aplică acum), motivul dedus din răspunsuri, autoritatea și termenul. Pentru cadrele aplicabile, obligațiile concrete: registrul și DPO-ul din GDPR, înregistrarea la DNSC și măsurile de la art. 21 din NIS2, cadrul de risc TIC din DORA, alfabetizarea, transparența și sistemele cu risc ridicat din AI Act, declarațiile de conformitate din PPWR, raportarea vulnerabilităților din Cyber Resilience Act. La final, primii trei pași, aleși după ce lipsește și ce vă preocupă, plus lista a ce aveți deja.

Pe ce se bazează

• GDPR: art. 30 (registru), art. 37 (DPO) împreună cu Legea nr. 190/2018 (CNP-ul pe interes legitim, monitorizarea angajaților), art. 35 (DPIA, cu lista ANSPDCP), art. 33 și 34 (breșe, 72 de ore), art. 28 (împuterniciți); Legea nr. 506/2004 pentru cookie-uri.
• NIS2: OUG nr. 155/2024, în vigoare din 31 decembrie 2024, aprobată cu modificări prin Legea nr. 124/2025 (instruire periodică obligatorie); Ordinele DNSC nr. 1/2025 (notificare și înregistrare, platforma NIS2@RO) și nr. 2/2025 (criterii de prag și nivel de risc); art. 21 (măsuri) și art. 23 (raportare 24 de ore, 72 de ore, o lună) din Directiva (UE) 2022/2555.
• DORA: Regulamentul (UE) 2022/2554, aplicabil din 17 ianuarie 2025: art. 5–16 (risc TIC), art. 11 și 12 (continuitate, backup), art. 19 (incidente majore), art. 24–27 (testare), art. 28 și 30 (furnizori terți TIC).
• AI Act: Regulamentul (UE) 2024/1689, cu amânările din Regulamentul (UE) 2026/1744 (în vigoare din 27 iulie 2026): art. 4 (alfabetizare, din 2 februarie 2025), art. 5 (practici interzise, din 2 februarie 2025), art. 50 (transparență, din 2 august 2026), anexa III (risc ridicat, de la 2 decembrie 2027), anexa I (produse reglementate, de la 2 august 2028). În România, ANCOM a fost desemnată prin memorandumul Guvernului din 12 martie 2026 autoritate de supraveghere a pieței; legea națională cu regimul de sancțiuni este în pregătire.
• ISO/IEC 27001:2022 și TISAX (VDA ISA, prin ENX): standarde voluntare, cerute contractual.
• PPWR: Regulamentul (UE) 2025/40, aplicabil din 12 august 2026; etichetare armonizată din 12 august 2028, reciclabilitate din 1 ianuarie 2030.
• Cyber Resilience Act: Regulamentul (UE) 2024/2847; raportarea vulnerabilităților exploatate și a incidentelor grave din 11 septembrie 2026, restul obligațiilor din 11 decembrie 2027.

Termenele au fost verificate la 19 octombrie 2026. Când se schimbă, actualizăm diagnosticul; data verificării apare în nota de la finalul documentului.

Ce faceți cu rezultatul

Harta nu înlocuiește analiza de conformitate, dar vă spune unde să vă uitați și în ce ordine. Începeți cu primii trei pași, folosiți instrumentele legate din rezultat (chestionarul DPO, generatorul de politică AI, generatorul de plan de continuitate) și păstrați documentul ca punct de plecare pentru discuția cu un consultant sau cu conducerea.

Întrebări frecvente

Cum stabilește diagnosticul dacă intru sub NIS2?

După două criterii din OUG nr. 155/2024: domeniul de activitate (anexele 1 și 2) și mărimea (cel puțin 50 de angajați sau peste 10 milioane de euro cifră de afaceri). Entitățile mari din anexa 1 sunt esențiale, celelalte sunt importante; unele servicii digitale și administrația publică centrală intră indiferent de mărime. Încadrarea finală o face DNSC pe baza notificării, iar termenul de 30 de zile dat prin Ordinul nr. 1/2025 a expirat în septembrie 2025, deci cine nu s-a înregistrat o face acum.

AI Act se aplică și unei firme care folosește doar ChatGPT?

Da, în forma minimă: obligația de alfabetizare AI (art. 4) se aplică din 2 februarie 2025 oricărei organizații care folosește sisteme AI, iar transparența pentru chatboturi și conținut generat (art. 50) din 2 august 2026. Obligațiile grele, pentru sistemele cu risc ridicat din anexa III (recrutare, creditare, educație, acces la servicii), au fost amânate prin Regulamentul (UE) 2026/1744 la 2 decembrie 2027, iar cele pentru sisteme integrate în produse reglementate la 2 august 2028.

De ce apare ISO 27001 ca recomandat, dacă nu este obligatoriu?

Pentru că este cea mai simplă probă că organizația își ține securitatea sub control: acoperă în mare parte măsurile cerute de NIS2 și DORA, este cerută tot mai des de clienți și în licitații și răspunde dintr-o dată la chestionarele de securitate. Diagnosticul îl marchează recomandat doar când răspunsurile arată una dintre aceste situații.

Rezultatul este o opinie juridică?

Nu. Este o orientare generată automat din răspunsuri, la termenele legale în vigoare în octombrie 2026, pe care o puteți printa, copia sau descărca în Word. Încadrarea exactă depinde de detalii pe care unsprezece întrebări nu le pot verifica; harta vă spune unde să vă uitați și în ce ordine, iar un consultant o transformă în plan de lucru.