La data de 29.09.2026, Directoratul Național de Securitate Cibernetică (denumit în cadrul articolului „DNSC”) a aplicat prima amendă în temeiul OUG nr. 155/2024, actul normativ prin care România a transpus Directiva NIS2. Amenda a fost în cuantum de 50.000 de lei, iar încălcarea reținută a fost nerespectarea termenului de notificare a autorității. Sancțiunea nu a fost aplicată unei entități private, ci unui organ de specialitate al administrației publice centrale. Astfel, această primă amendă la aproape 2 ani de la adoptarea ordonanței, în contextul în care cadrul național nu este încă complet, iar la nivel european se negociază deja modificarea directivei.
Ordonanța menționată, în vigoare de la data de 31.12.2024, transpune Directiva UE nr. 2022/2555 și a fost aprobată, cu modificări, prin Legea nr. 124/2025, care a extins lista entităților vizate. Textul ordonanței fixează principiile, iar detaliile au fost reglementate prin ordine ale directorului DNSC cu privire la înregistrarea și evaluarea riscului, controlul, precum și catalogul măsurilor de securitate și metodologia de autoevaluare.
Ordinul DNSC nr. 2/2026 a prevăzut excluderea unui număr limitat de controale din autoevaluare, precum și adoptarea unor reguli dedicate grupurilor de întreprinderi, detaliate ulterior prin Decizia DNSC nr. 3/2026. În acest sens, politicile grupului pot fi preluate de fiecare membru, însă fiecare entitate trebuie să demonstreze că măsurile funcționează în propriul perimetru. Separat, Legea nr. 123/2026 a reglementat cercetarea cu bună-credință a vulnerabilităților.
Din punct de vedere procedural, după notificare și înscrierea în registrul DNSC, entitatea are 30 de zile pentru desemnarea unui responsabil cu securitatea și 60 de zile pentru evaluarea nivelului de risc. În următoarele 60 de zile este necesară efectuarea primei autoevaluări a maturității, aceasta urmând a fi repetată anual. Dacă nu sunt atinse pragurile de maturitate, ambele categorii de entități trebuie să întocmească un plan de remediere, însă doar entitățile esențiale au obligația suplimentară de a-l transmite către DNSC, în termen de 30 de zile. Organele de conducere aprobă măsurile de securitate, le supraveghează aplicarea și poate fi atrasă răspunderea acestora pentru încălcarea măsurilor. Cu privire la autoevaluare, aceasta este asumată de management, iar DNSC a precizat că datele declarate pot fi confruntate ulterior cu situația constatată la control sau după un incident.
Raportat la sancțiunile prevăzute, pentru încălcările grave, amenzile ajung la 10 milioane de euro sau 2% din cifra de afaceri mondială în cazul entităților esențiale, respectiv la 7 milioane de euro sau 1,4% în cazul celor importante. Neînregistrarea se sancționează cu până la 500.000 de lei pentru entitățile esențiale și cu până la 300.000 de lei pentru cele importante.
De asemenea, dintre actele de aplicare enumerate la art. 65 din ordonanță, majoritatea nu erau publicate la data redactării prezentului articol. Lipsesc, între altele, normele metodologice privind raportarea incidentelor și noul regulament de atestare a auditorilor, astfel că se aplică în continuare regulamentul din 2021. Nici periodicitatea auditului obligatoriu nu a fost stabilită.
La nivel european, Comisia Europeană a propus, în paralel, două seturi de modificări. Pachetul Digital Omnibus, din noiembrie 2025, prevede un punct unic de raportare a incidentelor, gestionat de ENISA, prin care o singură notificare ar acoperi obligațiile din NIS2, GDPR, DORA și din alte acte. Propunerea din 20.01.2026 modifică direct directiva, în sensul că entitățile cu sub 750 de angajați și o cifră de afaceri de cel mult 150 de milioane de euro ori un bilanț total de până la 129 de milioane de euro ar putea fi cel mult entități importante, iar autoritățile ar putea cere informații despre atacurile ransomware, inclusiv despre plata unei răscumpărări. Comisia estimează că aproximativ 29.000 de companii ar ieși din sfera directivei sau ar fi supravegheate mai puțin.
Ambele propuneri sunt încă în negociere. Pentru partea din Omnibus care privește securitatea cibernetică, Consiliul nu își stabilise, la începutul lunii octombrie, mandatul de negociere. Modificările NIS2 ar urma să fie transpuse în 12 luni de la adoptare, iar până atunci se aplică OUG nr. 155/2024 în forma actuală. Regulile europene se pot schimba, așadar, înainte ca legislația secundară românească să fie completă.
