Furnizor cloud din Chișinău, identificat de ASC
Firma oferă găzduire și cloud în Moldova și a intrat în lista furnizorilor de servicii, cu termenele din HG nr. 562/2025, evaluarea riscurilor și procedura de notificare.
Ghid de securitate · Moldova
Ce obligații legale de securitate cibernetică are firma mea în Moldova?
Obligațiile de securitate cibernetică vin din trei direcții: Legea nr. 48/2023 pentru sectoarele critice, Legea nr. 195/2024 pentru datele personale și contractele cu clienții din UE. Majoritatea firmelor intră sub cel puțin două.
Răspuns scurt
- Firma ta are obligații din Legea nr. 48/2023 dacă e furnizor într-un sector critic, din Legea nr. 195/2024 dacă prelucrează date personale și din contractele cu clienții din UE.
- Sub Legea nr. 48/2023, în vigoare din 1 ianuarie 2025, furnizorii esențiali și importanți gestionează riscurile și notifică Agenției pentru Securitate Cibernetică incidentele semnificative.
- Sub Legea nr. 195/2024, în vigoare din 23 august 2026, orice operator ia măsuri tehnice și organizatorice adecvate și notifică CNPDCP încălcările fără întârziere nejustificată, în cel mult 72 de ore unde e posibil.
- Clienții din UE îți impun prin contractul de prelucrare, conform articolului 28 GDPR, măsuri, audituri și termene de notificare.
- O firmă mică din afara sectoarelor critice rămâne obligată de Legea nr. 195/2024 și de contracte: acces controlat, actualizări, backup și jurnale.
- Legea nr. 48/2023
- în vigoare de la 1 ianuarie 2025; autoritate: Agenția pentru Securitate Cibernetică
- Cine este vizat de Legea 48/2023
- furnizorii de servicii din sectoarele critice, identificați de ASC conform HG nr. 860/2024
- Legea nr. 195/2024
- în vigoare din 23 august 2026; a înlocuit Legea nr. 133/2011; autoritate: CNPDCP
- Notificarea CNPDCP
- fără întârziere nejustificată, în cel mult 72 de ore unde este posibil
Legea nr. 48/2023: cine intră și ce face
Legea securității cibernetice, aliniată la directiva NIS, vizează sectoarele critice: energie, transport, bancar, sănătate, apă, infrastructură digitală, servicii TIC și altele. Agenția pentru Securitate Cibernetică îi identifică pe criteriile din HG nr. 860/2024, ca esențiali sau importanți. HG nr. 562/2025 cere politică de securitate, evaluarea riscurilor, gestionarea incidentelor, jurnalizare, continuitate și lanț de aprovizionare, cu conformare în 12, respectiv 18 luni.
Notificarea incidentelor la ASC
Un incident are impact semnificativ când gravitatea e cel puțin înaltă, când depășește durata maximă din contractele de nivel de serviciu, când perturbă alt furnizor sau produce prejudicii mari. Raportarea are trei etape: notificare inițială, actualizare cu gravitatea și indicatorii de compromitere și raport final, iar dacă incidentul e încă în desfășurare depui un raport de progres, raportul final urmând la o lună de la finalizarea gestionării. Incidentele mici cu aceeași cauză, de două ori în șase luni, pot conta ca unul semnificativ.
Legea nr. 195/2024: datele personale
Dacă ai clienți, angajați sau furnizori persoane fizice, prelucrezi date personale, deci legea te vizează. Ea transpune GDPR: evidența activităților, măsuri proporționale cu riscul, contract cu persoanele împuternicite, evaluarea impactului la risc ridicat, notificarea CNPDCP fără întârziere nejustificată, în cel mult 72 de ore unde e posibil. La risc ridicat informezi și persoanele vizate; CNPDCP controlează și sancționează.
- evidența activităților de prelucrare
- măsuri tehnice și organizatorice documentate
- contract cu fiecare persoană împuternicită
- procedură de notificare, cu formularul CNPDCP
Clienții din UE și firma mică
O firmă de outsourcing din Chișinău cu zece angajați nu e furnizor sub Legea nr. 48/2023, dar clientul german îi cere prin contract criptare, control al accesului, jurnale și audit, iar pentru transferul din UE se folosesc clauzele contractuale standard. Minimul rămâne același: conturi nominale, actualizări automate, backup extern testat, plan de răspuns.
| Sursă | Cui se aplică | Autoritate sau beneficiar | Obligații principale |
|---|---|---|---|
| Legea nr. 48/2023 + HG nr. 562/2025 | furnizori esențiali și importanți din sectoarele critice, identificați conform HG nr. 860/2024 | Agenția pentru Securitate Cibernetică | măsuri de gestionare a riscurilor, evaluare a conformității, notificarea incidentelor semnificative în trei etape |
| Legea nr. 195/2024 | orice operator sau persoană împuternicită care prelucrează date personale | CNPDCP | măsuri tehnice și organizatorice, evidența prelucrărilor, notificarea încălcărilor în cel mult 72 de ore unde e posibil |
| Contractul de prelucrare cu clientul din UE | furnizori de outsourcing, SaaS, hosting pentru clienți din UE | clientul, operator sub GDPR | măsuri din anexa de securitate, audit, notificare în termen contractual, clauze standard pentru transfer |
| Bune practici minime | orice firmă cu server de producție | propria firmă | acces nominal, actualizări, backup extern, loguri, plan de răspuns |
Exemple din practică
Outsourcing din Bălți, clienți germani și olandezi
Nu e vizată de Legea nr. 48/2023, dar are contracte de prelucrare cu ambii clienți și date ale angajaților, deci obligațiile vin din Legea nr. 195/2024: evidența prelucrărilor și măsuri documentate.
Magazin online din Cahul, 3.000 de clienți
Are doar clienți din Moldova, deci fără cerințe GDPR contractuale, dar Legea nr. 195/2024 i se aplică integral: politică de confidențialitate, acces controlat, backup, notificare.
Greșeli frecvente
- Presupui că Legea nr. 48/2023 nu te privește, fără să verifici criteriile din HG nr. 860/2024.
- Citezi în politici Legea nr. 133/2011, abrogată din 23 august 2026, nu Legea nr. 195/2024.
- Tratezi cerințele clientului din UE ca birocrație, deși contractul te obligă.
- Nu ai procedură scrisă de notificare și descoperi cele 72 de ore pe jumătate trecute.
- Confunzi CERT-ul guvernamental, pentru sectorul public, cu ASC, autoritatea furnizorilor.
Cum te ajută 4hosting
- Hardening & Compliance aliniază serverele și procedurile la GDPR și ISO 27001.
- SIEM & Incident Response asigură detecția și planul de răspuns de care depinde notificarea.
- Datacentere în UE, la Frankfurt, cu contract conform art. 28 GDPR; factură în euro.
- Orele de CyberSecurity incluse (1–8 lunar la VPS, 10 la dedicate și GPU) acoperă evaluarea riscurilor și notificarea; se consumă în luna calendaristică, fără reportare.
Întrebări conexe
Cum aflu dacă sunt furnizor sub Legea nr. 48/2023?
Agenția pentru Securitate Cibernetică identifică furnizorii și emite un act de desemnare, dar o firmă se poate autoidentifica printr-o înștiințare. Verifică dacă activezi într-un sector din anexa HG nr. 860/2024.
Ce se schimbă cu Legea nr. 195/2024 față de vechea lege?
Cadrul devine cel din GDPR: responsabilitate documentată, evidența prelucrărilor, evaluarea impactului la risc ridicat și competențe mai largi pentru CNPDCP. Politicile care citau Legea nr. 133/2011 se rescriu.
Clientul din UE poate cere mai mult decât legea din Moldova?
Da, aproape întotdeauna. Contractul de prelucrare îți transferă obligațiile clientului sub GDPR: măsuri concrete, notificare rapidă, audit și subcontractori aprobați.
Cere o verificare de securitate
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.