de Călin Perpelea,
Consultant IT pentru procese financiare,
Membru al echipei PNEFR
O zi obișnuită de marți. La o adresă din București, pe strada Italiană nr. 22, Directoratul Național de Securitate Cibernetică emite o decizie care, pentru prima dată în istoria recentă, pune în practică o lege pe care mulți o credeau încă teoretică. Amenda: 50.000 de lei. Destinatarul: o persoană juridică, organ specializat al administrației publice centrale. Motivul: nu se înregistrase, deși era obligată prin lege de peste un an.
Nouă zile mai târziu, pe 8 octombrie 2026, o altă instituție publică – Depozitarul Central, operatorul care ține evidența acționariatului de la Bursa de Valori București este ținta unui atac cibernetic. Date personale, CNP-uri, informații de identificare, IBAN-uri, accesate de atacatori. Dar reacția e diametral opusă: Depozitarul Central notifică imediat DNSC, cheamă specialiști externi, comunică public în câteva zile.
Două instituții publice. Două comportamente opuse. Aceeași toamnă. Aceeași lege.
Între 29 septembrie și 16 octombrie 2026, în mai puțin de trei săptămâni, România a trecut prin două momente de adevăr care arată, pentru prima dată, cum funcționează concret aplicarea legii cibernetice. Iar lecțiile acestor momente te privesc direct chiar dacă nu lucrezi în IT.
Cronologia unui an de pedagogie încheiat
Pentru a înțelege ce înseamnă această primă amendă, trebuie să urmărim cronologia completă.
În octombrie 2024, Guvernul României adoptă Ordonanța de Urgență 155/2024, actul normativ care transpune în legislația națională Directiva europeană NIS2, cea mai importantă schimbare în securitatea cibernetică a Uniunii Europene din ultimul deceniu. Legea obligă toate entitățile din 18 sectoare considerate esențiale sau importante, energie, transporturi, sănătate, servicii financiare, administrație publică, infrastructură digitală, între altele, să își evalueze riscurile cibernetice, să implementeze politici documentate de securitate și să notifice incidentele în termene stricte.
Pe 20 august 2025, DNSC publică oficial cerințele procesului de notificare și lansează platforma de înregistrare NIS2@RO. Entitățile vizate au la dispoziție puțin peste o lună pentru a se înscrie în Registrul entităților esențiale și importante.
Pe 22 septembrie 2025, termenul expiră.
Pe 26 septembrie 2025, DNSC emite un comunicat public care avertizează: deși termenul a expirat, obligația rămâne în vigoare. Neîndeplinirea ei poate fi sancționată cu amenzi de până la 500.000 de lei. Pentru entitățile esențiale cele mai mari, sancțiunile europene pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri mondială.
Pentru 12 luni, DNSC nu aplică însă nicio sancțiune. În această perioadă, instituția desfășoară o campanie extinsă de informare, sesiuni de instruire pentru entitățile vizate, suport tehnic pentru procesul de notificare și comunicări publice repetate. Prima amendă, emisă pe 29 septembrie 2026, exact la un an și o săptămână după expirarea termenului, marchează sfârșitul acestei perioade de pedagogie și începutul aplicării efective a legii.
DNSC nu a dezvăluit numele instituției, o practică standard în faza inițială a sancțiunilor. Totuși, informația publică relevantă există: lista completă a sectoarelor și categoriilor de entități vizate se găsește în Anexele 1 și 2 ale OUG 155/2024, accesibile oricărui cetățean. Cercul posibilităților este, așadar, bine delimitat.
„50.000 de lei. Sună mult?”
Depinde de perspectivă. Pentru un cetățean obișnuit, suma pare semnificativă. Pentru o instituție publică centrală, cu bugete de ordinul sutelor de milioane sau miliardelor de lei anual, suma este, în termeni financiari, aproape neglijabilă.
Dar nu asta e miza.
Conform prevederilor OUG 155/2024, maximul contravențional pentru acest tip de încălcare este de 500.000 de lei. În termenii regulamentului european însuși, pentru entitățile esențiale, sancțiunile pot ajunge la 10 milioane de euro sau 2% din cifra de afaceri mondială totală.
Cu alte cuvinte, DNSC a aplicat o fracțiune minimă din sancțiunea maximă posibilă. Aproximativ o zecime din plafonul contravențional național. Mult sub plafonul european de milioane de euro.
Cadrul legal permite sancțiuni semnificativ mai mari. Prima amendă poziționează instituțiile într-o nouă realitate: aplicarea legii a devenit, de acum, posibilă și probabilă.
Pentru a înțelege de ce distincția contează, trebuie clarificată o confuzie pe care o parte din presa românească a propagat-o săptămâna aceea.
„Nu, nu este o amendă pentru un atac neraportat”
În zilele imediat următoare emiterii amenzii, mai multe surse de presă românești au prezentat sancțiunea drept „amendă pentru nerespectarea obligației de notificare a incidentelor”. Formularea sugerează, fals, că instituția respectivă ar fi fost atacată și ar fi omis să raporteze incidentul.
Realitatea juridică este diferită, iar distincția contează.
OUG 155/2024 prevede două obligații de notificare complet separate:
Prima este notificarea de înregistrare (art. 18 alin. 2). O entitate care operează în unul dintre sectoarele esențiale sau importante trebuie să se identifice la DNSC, să confirme că intră sub incidența legii și să se înscrie în Registru. Această notificare se face o singură dată, atunci când entitatea devine subiect al legii. Fără această înscriere, DNSC nu știe oficial că entitatea există ca entitate reglementată.
A doua este notificarea incidentelor cibernetice. Dacă o entitate deja înregistrată este atacată, trebuie să raporteze: în 24 de ore o alertă timpurie, în 72 de ore notificarea completă a incidentului, iar într-o lună raportul final cu lecțiile învățate. Această obligație se activează doar atunci când există un incident semnificativ.
Prima amendă DNSC a vizat prima categorie, notificarea de înregistrare. Instituția amendată nu a fost atacată. Nu era nici măcar pe harta oficială a entităților reglementate. Nu era nicăieri. Nu putea nici măcar să raporteze un atac, pentru că oficial nu exista ca entitate NIS2.
Această distincție este crucială: nu vorbim de o instituție care a greșit în momentul de criză. Vorbim de o instituție care, la un an după expirarea termenului legal, încă nu intrase formal în sistem.
„Bine, dar e o problemă între stat și o instituție publică. Pe mine ca cetățean cum mă afectează?”
Aici intervine partea pe care o pierd majoritatea comentariilor publice despre această amendă.
Dacă o instituție publică din sectorul esențial precum un spital, o primărie, o agenție națională, un furnizor de servicii publice, nu este încă înregistrată NIS2, înseamnă trei lucruri concrete pentru tine, ca cetățean care folosești serviciile acelei instituții:
Primul: instituția respectivă nu a trecut printr-o evaluare documentată a riscurilor cibernetice conform noului cadru. Nu are, oficial, un plan formal actualizat de continuitate dacă este atacată.
Al doilea: instituția nu este obligată să verifice furnizorii ei terți, companiile de software, platformele cloud, furnizorii de servicii IT care îi gestionează datele. Exact tipul de furnizor care, în cazuri documentate anterior, a devenit poarta de intrare pentru atacuri majore asupra sistemelor publice.
Al treilea: dacă instituția este atacată și datele tale sunt expuse, nu există o obligație automată de notificare publică în termene stricte. Poți afla luni sau ani mai târziu, sau niciodată.
Pentru contrast, cazul Depozitarul Central din 8-16 octombrie 2026 arată exact ce înseamnă NIS2 aplicată: atacul este detectat în ziua producerii, DNSC este notificat imediat, specialiști externi sunt chemați, iar publicul este informat în 8 zile despre ce date au fost accesate. Fiecare investitor la BVB afectat știe acum ce date despre el circulă potențial. Poate schimba parolele. Poate monitoriza conturile. Poate solicita, dacă e cazul, blocarea anumitor servicii.
Diferența între cele două situații nu este, în primul rând, tehnică. Este diferența între o instituție care a parcurs deja procesul de conformare și una care nu l-a început încă.
Ce poți verifica tu, concret, astăzi? În acest moment, DNSC nu operează un registru public accesibil cetățeanului obișnuit prin care să poți verifica dacă o anumită primărie, un anumit spital sau o anumită agenție publică este înregistrată NIS2. Această informație există, dar nu este accesibilă publicului larg. Până când un astfel de instrument public va fi disponibil, singura cale practică este observația indirectă: cum reacționează instituția respectivă atunci când există un incident. Comunică rapid? Explică onest? Oferă instrumente concrete celor afectați? Răspunsul la aceste trei întrebări îți spune mai mult decât orice listă oficială.
Mai mult, orice cetățean are, prin Legea 544/2001 privind accesul la informațiile publice, dreptul să ceară oficial unei instituții publice informații despre modul în care își îndeplinește obligațiile legale, inclusiv cele privind securitatea cibernetică și conformarea NIS2. O cerere scrisă obligă instituția să răspundă în termen de 10-30 de zile. Este un instrument legal subutilizat, dar accesibil oricui.
Realitatea pe teren si complexitatea conformării
Înainte de a trece la obligațiile concrete, merită o observație onestă.
Pentru instituțiile mici, precum primării de comune, spitale regionale, operatori locali de utilități publice, conformarea NIS2 nu este trivială. Necesită investiții bugetare semnificative, personal specializat (adesea inexistent în organigramă), consultanță juridică și tehnică, timp pentru implementare. Pentru un UAT cu buget local strâns sau un spital județean deja subfinanțat, întrebarea nu este dacă NIS2 este o idee bună, este cum se parcurge, concret, drumul până acolo.
România are peste 3.000 de unități administrativ-teritoriale, din care majoritatea nu au echipe IT dedicate. Are sute de spitale publice, operatori locali de apă, furnizori regionali de energie. Capacitatea tehnică și financiară este inegal distribuită. O lege europeană care tratează toate aceste entități cu aceeași rigoare se lovește, inevitabil, de această realitate.
Două întrebări esențiale pentru conducătorii de instituții și companii
Prima amendă DNSC schimbă regulile jocului pentru toate entitățile din sectoarele reglementate, fie că vorbim de administrație publică (primării, consilii județene, ministere, agenții naționale), de servicii publice (spitale, școli, utilități, transporturi), sau de companii private din energie, sănătate, servicii financiare, infrastructură IT și logistică critică.
Legea prevede patru obligații concrete pentru entitățile din sectoarele esențiale și importante:
1. Politici documentate de analiză a riscurilor – nu doar antivirus instalat, ci un proces continuu, auditabil, de evaluare a amenințărilor.
2. Securitatea lanțului de aprovizionare – responsabilitatea pentru vulnerabilitățile software-ului cumpărat de la terți. În practica directă: dacă folosești o platformă cloud americană pentru datele cetățenilor sau ale clienților tăi, răspunzi tu, nu furnizorul.
3. Politici stricte de control al accesului și criptare – cine, când, de ce are acces la datele sensibile. Jurnalizat. Auditabil.
4. Planuri testate de continuitate operațională – nu doar să existe un plan pe hârtie, ci să fie testat periodic prin simulări.
Mai important, NIS2 introduce o noutate absolută în legislația cibernetică: răspunderea personală a conducerii. Primarii, directorii de spitale, șefii de agenții, membrii boardurilor și directorii executivi ai entităților esențiale sunt obligați prin lege să urmeze cursuri de securitate cibernetică acreditate. În cazuri de neglijență gravă, DNSC poate interzice temporar persoanelor cu funcții de conducere să mai exercite acele funcții în respectiva entitate. Nu doar amendă pentru instituție sau companie. Răspundere personală pentru cei care conduc.
Pentru conducătorii entităților care operează într-un sector reglementat, precum primari, directori de instituții publice, manageri de companii din domeniile menționate, există două întrebări concrete care trebuie adresate echipei interne chiar săptămâna aceasta:
Prima: „Operăm în vreunul dintre sectoarele din Anexele 1 sau 2 ale OUG 155/2024?” Dacă răspunsul este da, legea se aplică automat, indiferent dacă a fost sau nu depusă notificarea.
A doua: „Dacă da, suntem înregistrați în platforma NIS2@RO? Avem confirmarea oficială de la DNSC?” Dacă răspunsul la a doua întrebare este „nu știm”, există o problemă legală activă chiar în acest moment.
Prima amendă a demonstrat că DNSC nu mai lasă timp nelimitat.
Contextul european
NIS2 nu este o invenție românească, este transpunerea Directivei UE 2022/2555, parte dintr-un pachet european de reglementări (alături de DORA pentru sectorul financiar, aplicabil din ianuarie 2025, și CRA pentru produse digitale, din 2027). Rațiunea strategică este simplă: într-o economie integrată, un atac asupra unei companii mici dintr-un stat membru poate paraliza producția într-un alt stat membru. România, ca stat membru UE, nu-și mai poate permite să fie veriga slabă.
Educația financiară nu mai înseamnă doar să compari dobânzi și să-ți planifici bugetul.
Înseamnă și să înțelegi că, în 2026, instituțiile și companiile care îți gestionează datele, banii, sănătatea și identitatea operează sub un cadru legal nou, mult mai exigent decât oricând înainte. Un cadru care, până recent, exista doar pe hârtie. Un cadru care, începând cu toamna aceasta, a devenit o realitate aplicată.
50.000 de lei pare puțin pentru o primă amendă într-un domeniu cu plafoane de milioane de euro. Dar valoarea reală a acestei prime amenzi nu este în suma plătită de instituția anonimă din 29 septembrie. Este în semnalul transmis către toate celelalte entități: ignorarea legii nu mai este o opțiune fără consecințe.
Cazul Depozitarul Central, nouă zile mai târziu, a arătat cum arată aplicarea corectă: detecție rapidă, notificare oficială promptă, comunicare publică în câteva zile, specialiști externi implicați. Cetățenii afectați au aflat în timp util ce date despre ei au fost expuse și au putut lua măsuri.
Cele două întâmplări, luate împreună, definesc exact momentul în care ne aflăm. Legea există. Instrumentele există. Diferența dintre o instituție care protejează informațiile cetățenilor și una care încă nu a parcurs procesul de conformare nu mai e o chestiune doar de dotare tehnică. Este o chestiune de prioritizare, de resurse și de capacitate instituțională.
Data viitoare când o instituție publică îți cere informațiile personale, întrebarea utilă nu mai e „sunt în siguranță?”.
Este: „Sunteți pe listă?”
Surse:
- DNSC – Comunicat oficial 30 septembrie 2026 privind prima sancțiune contravențională pentru nerespectarea obligației de notificare: https://www.dnsc.ro
- DNSC – Comunicat oficial 26 septembrie 2025 privind expirarea termenului de notificare: https://www.dnsc.ro/citeste/comunicat-de-presa-anunt-privind-expirarea-termenului-de-notificare-in-vederea-inscrierii-entitatilor-esentiale-si-importante-conform-prevederilor-oug-155-2024
- Ordonanța de Urgență nr. 155/2024 privind securitatea cibernetică – text oficial Monitorul Oficial: https://legislatie.just.ro/
- Legea nr. 124/2025 de aprobare a OUG 155/2024 – Monitorul Oficial nr. 638 din 7 iulie 2025: https://legislatie.just.ro/
- AGERPRES – comunicat oficial privind prima amendă DNSC, 30 septembrie 2026: https://agerpres.ro
- Juridice.ro – analiza juridică a primei sancțiuni contravenționale aplicate de DNSC: https://www.juridice.ro
- Depozitarul Central – comunicat oficial privind atacul cibernetic din 8 octombrie 2026 și măsurile luate: publicat pe site-ul oficial al instituției
- Directiva europeană NIS2 (UE 2022/2555) – text oficial EUR-Lex: https://eur-lex.europa.eu
