DNSC trece de la avertismente la amenzi

Pe 9 septembrie 2026, la prezentarea studiului FORT Cyber, Gabriel Dinu, director adjunct al Directoratului Național de Securitate Cibernetică, a fost întrebat direct pentru ce abateri se aplică primele sancțiuni în aplicarea NIS 2. Răspunsul a fost scurt: „În momentul de față, primii sunt pentru neînregistrare, după care o să urmeze cei care nu și-au îndeplinit obligațiile, termenele de depunere a documentelor."

Două lucruri contează în propoziția asta, și niciunul nu e cifra de zece milioane de euro pe care au titrat-o ziarele.

Primul: ordinea. Nu se începe cu calitatea măsurilor de securitate, ci cu existența ta în registru. Al doilea: DNSC a spus explicit că amenzile inițiale sunt „adecvate situației de fapt" și pornesc de la limitele minime ale scalelor. Asta nu e o veste bună dacă nu ești înregistrat — este exact categoria care se sancționează prima.

Cele două categorii de expunere

Organizațiile le amestecă permanent, iar amestecul produce decizii proaste: se investește în controale tehnice și se ratează un formular.

Abaterile procedurale sunt cele care nu spun nimic despre securitatea ta. Nu ai transmis notificarea de identificare. Nu ai desemnat reprezentantul pentru relația cu DNSC. Nu ai depus evaluarea nivelului de risc sau autoevaluarea de maturitate în termen. Nu ai actualizat datele de înregistrare după o schimbare. Fiecare dintre acestea se constată dintr-o bază de date, într-o după-amiază, fără să calce nimeni pragul.

Abaterile de fond sunt cele din art. 20 și art. 21 din OUG nr. 155/2024 — guvernanța și măsurile de gestionare a riscurilor: analiza de risc, tratarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare, igiena de bază, criptografia, controlul accesului, testarea și auditarea eficacității măsurilor, plus obligația de instruire a organelor de conducere. Acestea cer un control, dovezi și timp.

Prima categorie te expune acum. A doua te expune la controlul care vine după.

Ce cuantumuri sunt confirmate

Plafoanele superioare sunt consistente în toate sursele și în textul directivei transpuse:

• Entități esențiale — amenzi începând de la 10.000 lei, cu plafon de până la 10.000.000 euro sau 2% din cifra de afaceri anuală mondială totală, luându-se valoarea cea mai mare.
• Entități importante — amenzi începând de la 5.000 lei, cu plafon de până la 7.000.000 euro sau 1,4% din cifra de afaceri anuală mondială totală.

Pentru contravențiile pur procedurale circulă în presă intervale în lei semnificativ mai mici — de ordinul 1.000–300.000 lei, respectiv 1.000–100.000 lei, în funcție de categorie. Nu am putut confirma aceste intervale direct în textul ordonanței: portalul legislativ și dnsc.ro nu au răspuns la momentul redactării. Le menționăm ca ordin de mărime raportat public, nu ca literă de lege. Dacă construiești un caz intern pe cifra exactă, citește art. 32 și următoarele din OUG nr. 155/2024 în Monitorul Oficial, nu un articol de presă — inclusiv acesta.

Ce nu depinde de cifră: minimul scalei este oricum mai mare decât costul înregistrării, iar o sancțiune pentru neînregistrare intră în istoricul entității înainte de orice discuție despre măsuri.

Nu există o dată națională. Există data ta

Aici se pierde cel mai mult timp. Pe mai multe site-uri de conformitate circulă termene fixe — „octombrie 2026" — după care obligațiile „intră în vigoare". Nu așa funcționează.

Termenele curg din reperele fiecărei entități:

• Notificarea către DNSC se transmite în 30 de zile de la momentul în care entitatea constată că intră sub incidența ordonanței.
• DNSC emite decizia de identificare — termenele diferă pentru entități esențiale față de cele importante.
• Evaluarea nivelului de risc se transmite în 60 de zile de la decizia de identificare.
• Autoevaluarea nivelului de maturitate se transmite în 60 de zile de la acea evaluare, conform metodologiei din Ordinul DNSC nr. 1/2026 — șase funcții (guvernanță, identificare, protecție, detecție, răspuns, recuperare) și trei niveluri de asigurare.
• Entitățile esențiale mai au 30 de zile pentru un plan de măsuri de remediere asumat de conducere.

Deci nu se aprinde un bec pentru toată lumea în octombrie. Se aprinde pentru tine, la data ta, iar dacă nu ai pornit ceasul prin notificare, ceasul nu a pornit deloc — și exact asta se sancționează acum.

Dacă în octombrie încă nu ești înregistrat

Ordinea operațiunilor contează, pentru că unele lucruri se pot face într-o zi și altele nu.

1. Stabilește dacă intri sub incidența ordonanței și în ce categorie. Sectorul, mărimea și rolul în lanț decid. Dacă răspunsul e „probabil da", tratează-l ca pe un da până demonstrezi contrariul în scris.
2. Transmite notificarea. Este cea mai ieftină acțiune din toată lista și singura care oprește categoria de abatere care se sancționează în momentul de față. O notificare transmisă târziu este o situație mai bună decât o notificare netransmisă.
3. Desemnează nominal responsabilul pentru relația cu DNSC, cu cel puțin un înlocuitor, în scris, cu o cale de contact care nu depinde de un singur telefon mobil.
4. Pregătește evaluarea de risc înainte să primești decizia de identificare, nu după. Cele 60 de zile se consumă în întregime pe colectarea informațiilor dacă nu ai un inventar de active.
5. Fă autoevaluarea de maturitate onest. Un scor umflat nu te ajută la control și te împiedică să obții buget. Diferența dintre autoevaluare și realitate este exact ce caută un control.

Ce trebuie să poți pune pe masă

Un control nu cere o poveste. Cere dovada că procesul a existat înainte de incident și că a funcționat. Concret:

• registrul de active, cu proprietar și criticitate pentru fiecare intrare;
• analiza de risc, cu data și cu persoana care a aprobat-o;
• planul de răspuns la incidente, plus registrul de incidente cu identificatori stabili;
• dovada instruirii, inclusiv pentru organele de conducere — este o obligație distinctă, nu o extensie a instruirii de personal;
• rezultatele unui test de securitate independent și, mai important, evidența remedierilor și a închiderii lor;
• procedura de gestionare a vulnerabilităților, cu termene scrise pe categorii de severitate.

Ultimele două sunt cele care despart o autoevaluare de o afirmație verificabilă. Un chestionar completat intern spune ce crede organizația despre ea însăși. Un test de penetrare spune ce se întâmplă efectiv când cineva încearcă, iar un raport de remediere spune dacă ai reacționat. La un control, a doua pereche de documente cântărește mult mai mult decât prima.

Verificare rapidă, de zece minute

Deschide un document și răspunde în scris:

• Suntem înregistrați la DNSC? Care este data și numărul de confirmare?
• Cine este persoana desemnată, cine este înlocuitorul, și unde este documentul care îi numește?
• Am primit o decizie de identificare? Când? Ce termene au început să curgă din ea?
• Am transmis evaluarea de risc și autoevaluarea de maturitate? Unde sunt confirmările?
• Dacă mâine primim o solicitare de documente cu termen de cinci zile, ce din lista de mai sus nu putem produce?

Ultima întrebare este cea care contează. Restul sunt verificări de arhivă.

Dacă răspunsul la prima întrebare este „nu" sau „nu știu", acela este singurul element din articol care trebuie rezolvat săptămâna aceasta. Pentru restul, testarea independentă și evaluarea de conformitate NIS 2 produc exact tipul de dovadă pe care un control îl acceptă — dar niciuna nu compensează absența dintr-un registru.