Legea 48/2023 privind securitatea cibernetică: notificarea incidentelor către ASC

Ghid juridic și operațional pentru firmele din Republica Moldova care găzduiesc un site, un magazin online sau o aplicație și vor să înțeleagă cum se leagă notificarea incidentelor de loguri și backup-uri. Stare la 30.09.2026.

Răspuns scurt

1Legea nr. 48 din 16.03.2023 privind securitatea cibernetică este actul-cadru din Republica Moldova în domeniu. Potrivit Ministerului Dezvoltării Economice și Digitalizării (MDED), ea urma să intre în vigoare la 1 ianuarie 2025.
2Autoritatea este Agenția pentru Securitate Cibernetică (ASC), instituită prin HG 1028/2023. Conform MDED, ASC este echipa națională de răspuns la incidente (CERT) și punctul național unic de contact.
3Obligația de a raporta incidentele semnificative privește, potrivit MDED, entitățile ale căror servicii sunt critice pentru economie și societate. Nu orice site sau magazin online intră automat în această categorie: verifică în textul legii și la ASC dacă firma ta este furnizor de servicii într-un sector critic.
4Termenele exacte de notificare le găsești în textul legii și în HG 562/2025. Nu le reproducem aici, fiindcă nu le-am putut citi pe sursa primară. Stare la 30.09.2026.

Cadrul juridic: lege, hotărâri și autoritate

Legea nr. 48/2023 este completată de hotărâri de Guvern. Lista publicată de ASC include HG 562/2025 din 3 septembrie 2025, privind modul de realizare a obligațiilor de securitate cibernetică de către furnizorii de servicii în sectoarele critice, precum și hotărâri din decembrie 2025 despre Registrul de stat al incidentelor cibernetice (HG 822/2025) și despre supravegherea și controlul furnizorilor din sectoare critice (HG 825/2025).

Potrivit rezumatului HG 562/2025 de pe legis.md, criteriile minime prin care un incident este considerat semnificativ sunt stabilite în art. 12 alin. (5) din lege și dezvoltate în regulamentul aprobat de hotărâre. Notificarea propriu-zisă se face către ASC; ASC pune la dispoziție un formular de raportare pe asc.gov.md, unde data și ora detectării incidentului sunt câmpuri obligatorii.

De ce contează logurile și backup-urile

Indiferent de termenele exacte, un raport util către autoritate cere fapte: când a fost detectat incidentul, ce sisteme au fost afectate, ce impact a avut și ce s-a făcut pentru remediere. Aceste răspunsuri vin din loguri păstrate în afara serverului compromis și din backup-uri pe care le-ai testat.

Fără loguri centralizate și fără o persoană desemnată să decidă, primele ore ale unui incident se pierd în căutarea informațiilor. De aceea pregătirea operațională se face înainte: cine notifică, cine are acces la loguri, unde este ultimul backup bun. Detaliile tehnice sunt în ghidul nostru de securitate a serverului, pe care nu îl repetăm aici.

Trei exemple concrete

Furnizor de servicii digitale cu clienți din sectoare critice

O firmă de software din Chișinău întreține aplicații pentru clienți mari. Echipa clarifică cu un consultant juridic dacă intră în sfera legii și își scrie un plan: cine este punctul de contact, unde stau logurile și cine trimite raportul către ASC.

Magazin online mic pe un VPS

Magazinul poate să nu fie furnizor într-un sector critic, dar un incident tot cere reacție: izolarea serverului, restaurarea din backup, schimbarea parolelor. ASC oferă un formular la care poți raporta și un incident care nu este obligatoriu de notificat.

Agenție web care administrează site-urile clienților

Agenția ține o listă cu serverele fiecărui client, contactele lor de urgență și locul backup-urilor. Când apare un incident, știe imediat pe cine anunță și ce loguri are la îndemână.

Greșeli frecvente

Presupui că legea se aplică oricărui site, fără să verifici dacă ești furnizor de servicii într-un sector critic.
Presupui că furnizorul de găzduire notifică în locul tău. Obligația legală îți aparține ție, dacă intri în sfera legii.
Păstrezi logurile doar pe serverul care poate fi compromis.
Ai backup-uri, dar nu ai testat niciodată restaurarea.
Cauți termenele în articole de blog în loc de textul legii și al HG 562/2025.

Cum te ajută 4hosting

Infrastructură în UE, la Frankfurt, nu în Republica Moldova, cu protecție DDoS L3/L4 până la 1,5 Tbps inclusă.
Ore lunare de servicii DevOps și CyberSecurity incluse în plan, printre ele SIEM & Incident Response (loguri centralizate, detecție, plan de răspuns, raport post-incident) și Hardening & Compliance (backup anti-ransomware). Orele se cer din panoul de client; ce depășește cota se facturează separat.
4hosting nu are certificări NIS2, ISO sau SOC 2, are doar aliniere la ISO 27001, nu certifică conformitatea clientului și nu semnează conformitatea juridică în numele lui. Nu notificăm ASC în locul tău.

Întrebări frecvente

Trebuie orice firmă din Moldova să notifice incidentele către ASC?

Potrivit MDED, raportarea obligatorie privește entitățile ale căror servicii sunt critice pentru economie și societate. Pentru cazul tău, verifică textul legii, HG 562/2025 și, la nevoie, cere un aviz juridic.

Care este termenul de notificare?

Nu îl afirmăm aici, pentru că nu l-am putut citi pe sursa primară. Îl găsești în Legea 48/2023 și în HG 562/2025, pe legis.md.

4hosting notifică ASC în numele meu?

Nu. Notificarea este responsabilitatea entității obligate. 4hosting oferă infrastructură, loguri și servicii DevOps și CyberSecurity care te ajută să ai faptele pregătite.