Din 2025, securitatea cibernetică nu mai e doar o problemă tehnică: pentru mii de firme din România a devenit obligație legală cu autoritate, termene și amenzi, iar pentru celelalte GDPR cere de mult măsuri tehnice adecvate.
OUG 155/2024 se aplică entităților din sectoarele esențiale — energie, transport, bancar, sănătate, apă, infrastructură digitală, servicii de management IT, administrație publică — și din cele importante: servicii poștale, deșeuri, chimie, alimentar, dispozitive medicale, furnizori digitali, cercetare. Încadrarea depinde de sector și de mărime, cu excepții pentru unii furnizori. Entitățile se înregistrează la DNSC, desemnează o persoană de contact, fac o evaluare de risc și aplică măsurile minime.
Un incident semnificativ, care perturbă grav serviciul sau produce pagube importante, se anunță la DNSC în trei pași: alertă timpurie în 24 de ore de la constatare, notificare în 72 de ore cu evaluarea gravității, raport final la o lună de la aceasta — sau de la gestionarea incidentului, dacă e încă în desfășurare. Conducerea aprobă măsurile, le supraveghează, răspunde pentru neconformare și are obligație proprie de instruire. Sancțiunile sunt contravenționale: cele mai grave încălcări ajung la 10 milioane de euro sau 2 % din cifra de afaceri anuală mondială la entitățile esențiale și la 7 milioane sau 1,4 % la cele importante, luându-se valoarea cea mai mare, iar restul contravențiilor au limite exprimate direct în lei.
Un magazin online, un cabinet sau un SaaS cu zece angajați nu intră, de regulă, sub OUG 155/2024, dar prelucrează date personale, deci intră sub GDPR. Art. 32 cere măsuri adecvate riscului, cu exemple explicite: criptarea, capacitatea de a restaura datele, testarea periodică. Art. 33 cere notificarea ANSPDCP în 72 de ore de la aflarea unei breșe, iar art. 34 informarea persoanelor când riscul e ridicat. Controalele din acest ghid sunt exact ce ți se cere să demonstrezi.
| Aspect | NIS2 (OUG 155/2024, Legea 124/2025) | GDPR (Regulamentul UE 2016/679) |
|---|---|---|
| Cui se aplică | Entități esențiale și importante din sectoarele enumerate, în funcție de mărime | Oricărei firme care prelucrează date personale |
| Autoritatea | DNSC | ANSPDCP |
| Obligația de bază | Înregistrare, evaluare de risc, măsuri minime, instruire | Măsuri tehnice și organizatorice adecvate (art. 32) |
| Notificare incident | 24 h alertă, 72 h notificare, raport final la o lună de la aceasta | 72 h la ANSPDCP (art. 33), persoanele vizate la risc ridicat (art. 34) |
| Răspundere | Conducerea, personal | Operatorul și, după caz, persoana împuternicită |
| Sancțiuni maxime | Cele mai grave încălcări: 10 mil. EUR sau 2 % din cifra de afaceri mondială (esențiale), 7 mil. EUR sau 1,4 % (importante), valoarea cea mai mare; restul, limite în lei | 20 mil. EUR sau 4 % din cifra de afaceri mondială, valoarea cea mai mare |
Firma administrează serverele a cincizeci de clienți, deci intră în sectorul serviciilor de management IT. S-a înregistrat la DNSC, a numit un responsabil, a făcut evaluarea de risc și procedura de notificare în 24 de ore.
Sectorul sănătății e esențial în NIS2, dar clinica, fiind întreprindere mică, nu se încadrează la mărime. Rămâne sub GDPR pentru datele pacienților: a documentat măsurile de la art. 32, a testat restaurarea backup-ului și procedura de notificare a ANSPDCP.
Verifici două lucruri: dacă activitatea principală e într-unul din sectoarele din anexele OUG 155/2024 și dacă firma atinge dimensiunea de întreprindere mijlocie. Cifrele vin din Legea 346/2004, la care trimite art. 8: întreprinderea mijlocie are între 50 și 249 de salariați și cifră de afaceri netă anuală de până la 50 de milioane de euro. Unele categorii intră indiferent de mărime: administrația publică centrală, entitățile critice, furnizorii DNS și de servicii de încredere calificate, registrele TLD.
Nu. Furnizorul răspunde de infrastructura lui și, sub GDPR, e persoană împuternicită prin contract. Înregistrarea la DNSC, măsurile de pe serverele tale, notificările și instruirea conducerii rămân ale tale.
Sub NIS2, lipsa notificării e contravenție distinctă, sancționabilă separat, iar DNSC poate dispune măsuri și controale. Sub GDPR, ANSPDCP a amendat notificarea întârziată sau incompletă, independent de gravitatea breșei. Notificarea în termen, chiar cu informații parțiale, e poziția mai bună.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.
