Prima amendă DNSC: 50.000 de lei pentru o instituție publică. Care „notificare” a fost de fapt vizată

Pe 30 septembrie 2026, Directoratul Național de Securitate Cibernetică (DNSC) a anunțat prima sancțiune contravențională aplicată pentru nerespectarea unei obligații de notificare prevăzute de OUG nr. 155/2024. Decizia este din 29 septembrie. Amenda este de 50.000 de lei și a fost aplicată unei persoane juridice care este organ de specialitate al administrației publice centrale, încadrat în sectorul 10, Administrație publică, din anexa nr. 1 a ordonanței. Entitatea nu a fost numită.

Două obligații de notificare, două articole

• Notificarea în vederea înregistrării. În textul OUG publicat pe Portalul Legislativ, art. 18 alin. (2) prevede că entitățile care desfășoară activitate în sectoarele din anexa nr. 1 sau nr. 2 notifică DNSC în vederea înregistrării în cel mult 30 de zile, de la intrarea în vigoare a ordonanței sau de la data la care prevederile ei le devin aplicabile.
• Notificarea incidentelor semnificative. Este reglementată separat, la art. 15 alin. (7) din același text: o avertizare timpurie în cel mult 24 de ore de la luarea la cunoștință, o raportare a incidentului în cel mult 72 de ore și un raport final în cel mult o lună de la transmiterea notificării incidentului.

DNSC citează, ca încălcată, obligația de la art. 18 alin. (2), iar contravenția ca fiind cea de la art. 60 alin. (1) lit. o). Pe baza acestei citări, sancțiunea privește notificarea în vederea înregistrării, nu raportarea unui incident. Nu am putut citi formularea literei o) din art. 60, fiindcă paginile consultate se opresc înainte de acel capitol, așa că ne sprijinim pe citarea DNSC și pe un al doilea material care spune că nerespectarea obligației de la art. 18 alin. (2) este sancționată contravențional.

Ce este confirmat și ce nu

• Confirmat de DNSC: amenda de 50.000 de lei, data deciziei, tipul entității, sectorul, articolele citate.
• Confirmat în comunicat, în formulare generală: DNSC spune că respectarea obligațiilor de notificare contribuie la identificarea și gestionarea în timp util a incidentelor și la reziliența cibernetică. Este o frază de principiu, nu o explicație a cazului.
• Nepublicat: numele entității, motivul, dacă nu s-a notificat deloc sau s-a notificat cu întârziere, care dintre cele două momente de la art. 18 alin. (2) a fost aplicabil.
• Nepublicat și neverificat de noi: dacă mai există alte proceduri în curs și dacă suma se încadrează în limitele prevăzute pentru contravenția respectivă.
• Nu se poate trage o concluzie despre o politică de control. Este un singur caz, o singură sumă, un singur tip de entitate.

De ce interesează un program de training, nu doar un departament juridic

Pentru că problema din spatele unei asemenea sancțiuni nu este tehnică. Este o problemă de proprietate asupra unui termen. Obligația de a notifica DNSC în vederea înregistrării nu se deduce din niciun sistem informatic și nu generează nicio alertă. Este o dată din lege, iar cineva din organizație trebuie să știe că există, că îi aparține și că a fost îndeplinită.

Nu știm de ce s-a ajuns aici în cazul de față și nu o presupunem. Dar se pot enumera, ca întrebări de control, locurile unde astfel de termene se pierd de obicei în orice organizație: nimeni nu a stabilit dacă intră în sfera ordonanței; s-a stabilit, dar nu s-a desemnat un responsabil; responsabilul a plecat sau și-a schimbat rolul; notificarea s-a pregătit, dar nu s-a transmis; s-a transmis, dar nu s-a păstrat dovada.

Opt întrebări pentru organizația ta

• S-a luat o decizie documentată, cu dată și autor, privind încadrarea organizației în sectoarele din anexele 1 și 2? Dacă răspunsul este „cred că nu intrăm”, cine a verificat?
• Cine este responsabilul nominal al notificării în vederea înregistrării? O persoană, nu un departament.
• Există o dovadă a transmiterii și a confirmării primite, păstrată într-un loc pe care îl poate găsi altcineva decât cel care a transmis?
• Dacă răspunsul DNSC cere clarificări sau documente, cine primește mesajul și în cât timp se răspunde?
• Datele de contact transmise sunt actuale? Cine le reverifică și cât de des?
• Dacă responsabilul pleacă mâine, cine preia obligația și unde este scrisă?
• Conducerea știe că există o obligație cu termen legal și că depășirea lui poate atrage o sancțiune? Când a fost informată ultima dată?
• Aveți un termen separat, scris, pentru incidente? Notificarea de înregistrare și cea de incident sunt obligații distincte, cu responsabili și termene diferite.

Exercițiul: 40 de minute, cu o singură foaie

Cu juridic sau conformitate, IT sau securitate, reprezentantul legal sau un delegat al conducerii și cineva care știe cum se transmit documentele către autorități. Nu este nevoie de scenariu. Cereți un răspuns la fiecare întrebare de mai jos, în scris.

• Pasul 1 — spuneți, fără să căutați, dacă organizația a transmis notificarea în vederea înregistrării și când. Notați cât a durat până a existat un răspuns susținut de document.
• Pasul 2 — găsiți dovada transmiterii. Dacă nu există, aceasta este constatarea exercițiului.
• Pasul 3 — numiți responsabilul pentru reactualizarea datelor și un înlocuitor.
• Pasul 4 — simulați un caz în care persoana responsabilă a plecat în concediu și DNSC cere clarificări cu un termen scurt. Cine răspunde și pe ce bază?
• Pasul 5 — separați, pe aceeași foaie, cele două obligații: cea de înregistrare și cea de raportare a incidentelor, cu termenele și responsabilii fiecăreia.

Ce măsori

• Timpul necesar pentru a răspunde, cu dovadă, la întrebarea „suntem înregistrați la DNSC și când?”.
• Existența unei decizii de încadrare datate, cu autor și documente suport.
• Procentul obligațiilor cu termen legal care au un responsabil nominal și un înlocuitor.
• Vechimea ultimei verificări a datelor de contact transmise autorității.
• Dacă dovada transmiterii poate fi găsită de o persoană care nu a participat la transmitere.
• Dacă notificarea de înregistrare și cea de incident apar în documente separate, cu termene distincte.