Conformarea cu cerințele NIS2 a intrat într-o nouă etapă în România. Directoratul Național de Securitate Cibernetică (DNSC) a anunțat aplicarea primei sancțiuni contravenționale pentru nerespectarea obligației de notificare prevăzute de OUG nr. 155/2024, actul normativ care stabilește cadrul național în materia securității cibernetice.

Decizia de sancționare a fost emisă la 29 septembrie 2026, iar cazul a fost făcut public de DNSC la 30 septembrie 2026. Entitatea sancționată este o persoană juridică, organ de specialitate al administrației publice centrale, încadrată în sectorul 10 – Administrație publică, potrivit Anexei nr. 1 la OUG nr. 155/2024.

Ce a sancționat, concret, DNSC?

Potrivit comunicatului oficial, sancțiunea a fost aplicată pentru nerespectarea obligației de notificare în termenul prevăzut de lege, conform art. 18 alin. (2) din OUG nr. 155/2024. Fapta constituie contravenția prevăzută la art. 60 alin. (1) lit. o) din același act normativ.

Un aspect important este că DNSC nu afirmă în comunicat că sancțiunea ar fi fost aplicată pentru neanunțarea unui atac cibernetic. Formularea oficială se referă strict la nerespectarea obligației de notificare în termenul legal.

DNSC subliniază însă că respectarea obligațiilor de notificare contribuie la identificarea și gestionarea în timp util a incidentelor și la creșterea nivelului de reziliență cibernetică a entităților vizate de OUG nr. 155/2024.

De ce este important acest precedent pentru companii?

Prima sancțiune aplicată de DNSC arată că obligațiile introduse prin cadrul NIS2 nu trebuie tratate doar ca un exercițiu formal de conformare.

Pentru organizațiile vizate, securitatea cibernetică implică o combinație de responsabilități tehnice, administrative și organizaționale: identificarea riscurilor, existența unor politici și proceduri clare, monitorizarea infrastructurii, gestionarea incidentelor, raportarea în termenele aplicabile și păstrarea unei evidențe care să demonstreze modul în care obligațiile sunt îndeplinite.

O problemă frecventă nu este neapărat lipsa totală a unor măsuri de securitate, ci lipsa unei responsabilități clar definite în interiorul organizației.

Cine urmărește termenele?

Cine coordonează procedurile de notificare?

Cine verifică dacă politicile sunt actualizate?

Cine centralizează informațiile de la echipa IT, conducere, furnizori și alte persoane implicate?

Cine urmărește modificările legislative și cerințele DNSC?

În lipsa unei persoane sau a unei funcții care să coordoneze aceste activități, riscul ca o obligație legală să fie omisă sau îndeplinită cu întârziere crește semnificativ.

De ce este important pentru autoritățile publice locale?

Cazul este relevant și pentru autoritățile publice locale, chiar dacă entitatea sancționată de DNSC aparține administrației publice centrale, nu administrației locale.

Există aici o distincție importantă. OUG nr. 155/2024 definește „entitatea administrației publice” într-un sens larg, definiția incluzând și unitățile administrativ-teritoriale, organismele de drept public și anumite asociații ale acestora. În același timp, în Anexa nr. 1, la sectorul 10 – Administrație publică, sunt enumerate în mod expres entitățile administrației publice centrale.

Din acest motiv, o primărie, un consiliu județean sau o altă structură locală nu ar trebui să pornească nici de la premisa că este automat în afara cadrului NIS2, nici de la concluzia că simpla calitate de autoritate locală determină automat încadrarea. Aplicabilitatea trebuie analizată concret, în funcție de statutul entității, serviciile furnizate și regulile de identificare prevăzute de cadrul legal.

Dincolo însă de încadrarea juridică formală, riscul cibernetic este cât se poate de concret pentru administrația locală.

Primăriile, consiliile județene și instituțiile sau serviciile publice locale gestionează volume importante de date și operează sisteme informatice de care depind servicii esențiale pentru cetățeni și companii: registre și baze de date, taxe și impozite locale, plăți online, urbanism, evidențe administrative, servicii sociale, infrastructură publică, platforme electronice și comunicarea digitală cu cetățenii.

Responsabilul NIS Externalizat: o soluție pentru organizațiile fără resurse interne dedicate

Nu toate organizațiile dispun de personal specializat care să poată coordona permanent cerințele de securitate cibernetică și conformare.

Pentru astfel de situații, externalizarea funcției de Responsabil NIS poate reprezenta o modalitate de a crea un punct clar de coordonare între management, echipa IT, furnizorii externi și cerințele de conformare.

Front Point Consulting oferă organizațiilor și instituțiilor din România serviciul de Responsabil NIS Externalizat, conceput pentru coordonarea activităților de securitate cibernetică și conformare și pentru integrarea acestora în procesele curente ale organizației.

Serviciul include evaluarea inițială, elaborarea politicilor și procedurilor, implementarea măsurilor, monitorizarea și actualizarea periodică a cadrului de securitate.

Externalizarea acestei funcții poate fi utilă în special organizațiilor și instituțiilor care nu dispun de resurse interne dedicate sau care au nevoie de expertiză suplimentară pentru organizarea și coordonarea procesului de conformare.

Nu așteptați prima solicitare, primul incident sau primul termen ratat pentru a verifica dacă organizația este pregătită.