Prima amendă NIS2 în România: înregistrare, nu incident
DNSC a anunțat pe 30 septembrie 2026 prima sancțiune contravențională aplicată în baza OUG 155/2024, actul care transpune NIS2 în România: 50.000 de lei pentru un organ specializat al administrației publice centrale, din sectorul 10, administrație publică. Instituția nu este numită. Decizia datează din 29 septembrie.
Titlul comunicatului vorbește despre „obligația de notificare”, iar o parte din presă a scris că ar fi vorba de un incident nenotificat la timp. Textul legii și articolele citate arată altceva: este obligația de a te notifica la DNSC pentru înregistrare. Diferența contează, pentru că cele două obligații au termene, responsabili și dovezi diferite.
Ce este confirmat
Potrivit comunicatului DNSC, reluat de AGERPRES, Ziarul Financiar și Curierul Național, amenda este de 50.000 de lei și a fost aplicată unei entități juridice, organ specializat al administrației publice centrale, pentru nerespectarea în termenul legal a obligației de notificare prevăzute la art. 18 alin. (2) din OUG 155/2024. Fapta este contravenția de la art. 60 alin. (1) lit. o). DNSC adaugă că respectarea obligațiilor de notificare contribuie la identificarea și gestionarea la timp a incidentelor.
Pagina comunicatului de pe dnsc.ro nu a putut fi citită direct de sistemul nostru automat (este protejată de o verificare anti-bot). Faptele de mai sus provin din republicările comunicatului în presa agențiilor și din textul legii, pe care l-am verificat separat.
Nu se știe numele instituției, motivele întârzierii sau dacă există alte proceduri deschise. Comunicatul nu spune câte controale urmează.
Înregistrare, nu incident: ce spune legea
Art. 18 alin. (2) din OUG 155/2024 spune că entitățile din sectoarele din anexele 1 și 2 „notifică DNSC în vederea înregistrării” în cel mult 30 de zile de la intrarea în vigoare a ordonanței sau de la data la care devin aplicabile. Alineatul (3) enumeră ce cuprinde notificarea: numele entității, datele de contact, sediul, sectorul, intervalele de adrese IP și dovada îndeplinirii criteriilor de entitate esențială sau importantă.
Notificarea incidentelor este o altă obligație, prevăzută la art. 15 alin. (7): avertizare timpurie în cel mult 24 de ore de la luarea la cunoștință de un incident semnificativ și notificare în cel mult 72 de ore. Profit.ro și PS News au prezentat amenda drept sancțiune pentru un incident nenotificat; articolele de lege citate de DNSC indică înregistrarea. Până la publicarea textului integral al deciziei, formularea prudentă este: DNSC a sancționat o notificare făcută cu întârziere, în sensul art. 18 alin. (2).
Potrivit Hategan Attorneys, amenzile pentru acest tip de încălcare sunt între 1.500 și 500.000 de lei pentru entitățile esențiale și între 1.000 și 300.000 de lei pentru cele importante. Nu am putut verifica aceste intervale în textul art. 60, deci tratați-le ca informație atribuită.
Cât din piață este înregistrat
Termenul pentru primul val de entități a expirat în septembrie 2025, iar obligația nu dispare după termen. Potrivit Ziarului Financiar, directorul DNSC ar fi spus într-un interviu anterior că doar aproximativ 4.000 din 10.000 de organizații s-au înregistrat. Cifra este citată fără dată și nu a fost confirmată de noi dintr-un document DNSC, deci folosiți-o ca orientare, nu ca statistică oficială.
Primul caz public vizează o instituție publică, nu o companie privată. Asta nu spune că întreprinderile sunt în afara atenției autorității; spune doar că prima decizie anunțată a fost aceasta.
Ce poți verifica tehnic săptămâna aceasta
Înregistrarea cere intervale de adrese IP și dovada criteriilor de încadrare. Ambele depind de un inventar corect al activelor expuse la Internet, exact ce rămâne neactualizat în multe organizații.
- ▸Verifică în scris dacă organizația sau fiecare entitate din grup este în sectoarele din anexe și ce statut are. Păstrează decizia cu data, responsabilul și criteriile aplicate.
- ▸Confirmă că notificarea de înregistrare a fost depusă și păstrează dovada depunerii. Dacă nu a fost depusă, depune-o acum: obligația rămâne, iar întârzierea poate fi sancționată.
- ▸Compară intervalele IP și domeniile declarate cu inventarul real al activelor expuse (inclusiv cele din cloud, ale filialelor și ale furnizorilor). Corectează diferențele și notifică DNSC dacă datele declarate s-au schimbat, în măsura în care procedura o cere.
- ▸Verifică separat pregătirea pentru incidente: cine decide că un incident este semnificativ, cine trimite avertizarea în 24 de ore și notificarea în 72 de ore, și ce dovezi se păstrează.
Ce nu trebuie să afirmi
O amendă anunțată nu arată cum ar trata DNSC alte situații, iar un instrument de monitorizare nu garantează conformitatea cu NIS2. Nu comunicați conducerii că „suntem conformi” pe baza unui singur document. Raportați exact ce s-a verificat: statutul de entitate, dovada notificării, corespondența dintre IP-urile declarate și inventar și pregătirea pentru raportarea incidentelor.
Închide verificarea cu dovezi
Awarely Monitor poate ține evidența activelor, a vulnerabilităților relevante pentru ele și a dovezilor de remediere, care susțin partea tehnică a acestor verificări. Încadrarea juridică, înregistrarea la DNSC și raportarea incidentelor rămân decizii și acțiuni ale organizației.
- ▸Decizia scrisă privind încadrarea și statutul entității.
- ▸Dovada notificării de înregistrare și data ei.
- ▸Comparația dintre intervalele IP declarate și inventarul activelor expuse, cu diferențele corectate.
- ▸Procedura de raportare a incidentelor (24 de ore și 72 de ore), cu responsabili și un exercițiu documentat.
Leagă înregistrarea de inventarul real
Ține în Awarely Monitor evidența activelor expuse și a dovezilor de remediere care susțin verificările tehnice. Încadrarea, înregistrarea la DNSC și raportarea incidentelor rămân acțiuni ale organizației.