Securitatea cibernetică: România (2026)
România a transpus integral Directiva UE NIS2 prin O.G. nr. 155/2024 (în vigoare de la 31 decembrie 2024), aprobată oficial de Parlament ca Legea nr. 124/2025 (în vigoare de la 10 iulie 2025). DNSC este autoritatea națională competentă și a emis Ordinele de punere în aplicare nr. 1 și 2 din 2025 (în vigoare de la 20 august 2025), care reglementează înregistrarea entităților, procedurile de notificare a incidentelor și metodologia de evaluare a nivelului de risc. Regimul se aplică unei game largi de entități esențiale și importante din sectoare critice și prevede sancțiuni de până la 10 milioane de euro sau 2 % din cifra de afaceri anuală globală.
Cadrul principal
Ordonanța de urgență a Guvernului nr. 155/2024 (OGU 155/2024), astfel cum a fost aprobată și modificată prin Legea nr. 124/2025, de transpunere a Directivei UE NIS2 (2022/2555); sub supravegherea Directoratului Național de Securitate Cibernetică (DNSC)
Puncte cheie
Legislația primară
GEO 155/2024, publicat în Monitorul Oficial la 31 decembrie 2024 și aprobat de Parlament ca Legea 124/2025 (în vigoare de la 10 iulie 2025), este principala lege națională privind securitatea cibernetică care transpune NIS2. Aceasta înlocuiește transpunerea anterioară a NIS1, Legea nr. 362/2018.
Autoritatea competentă, DNSC
Directoratul Național de Securitate Cibernetică (DNSC), înființat prin Ordonanța de urgență nr. 104/2021 în cadrul Secretariatului General al Guvernului, acționează în calitate de autoritate națională competentă în domeniul NIS2 și gestionează CERT-RO. Entitățile trebuie să se înregistreze la DNSC și să prezinte rapoarte periodice privind conformitatea.
Executarea comenzilor și înregistrarea
Ordinul DNSC nr. 1/2025 (procedura de înregistrare/notificare) și Ordinul nr. 2/2025 (metodologia de evaluare a nivelului de risc și pragurile de clasificare a incidentelor) au intrat în vigoare la 20 august 2025. Entitățile vizate au avut la dispoziție 30 de zile (termen limită ~19 septembrie 2025) pentru a se înregistra prin semnătură electronică calificată pe portalul DNSC NIS2.
Obligațiile privind raportarea incidentelor
Entitățile vizate trebuie să emită o alertă prealabilă în termen de 24 de ore de la constatarea unui incident semnificativ, să transmită o notificare de urmărire în termen de 72 de ore și să prezinte un raport final privind incidentul în termen de o lună. Notificările se transmit către DNSC/CERT-RO și, după caz, către autoritățile de reglementare specifice sectorului.
Domeniul de aplicare și extinderea sectorială
Entitățile esențiale acoperă domeniile energiei, transporturilor, sectorului bancar, infrastructurii piețelor financiare, sănătății, apei potabile, apelor uzate, administrației publice și sectorului spațial. Legea nr. 124/2025 a extins definiția sectoarelor extrem de critice pentru a include farmaciile cu vânzare cu amănuntul (NACE 4773). Entitățile importante acoperă serviciile poștale, gestionarea deșeurilor, produsele chimice, alimentele, industria prelucrătoare, furnizorii de servicii digitale și cercetarea.
Sancțiuni și strategia națională
Entitățile esențiale se confruntă cu amenzi de până la 10 milioane de euro sau 2 % din cifra de afaceri anuală globală (oricare dintre aceste valori este mai mare); entitățile importante, cu amenzi de până la 7 milioane de euro sau 1,4 %. Strategia generală a României privind securitatea cibernetică pentru perioada 2022-2027, adoptată prin Decizia Guvernului nr. 1321/2021, oferă cadrul strategic, inclusiv dezvoltarea centrelor CERT sectoriale și a centrelor operaționale de securitate.
Această pagină este o traducere realizată din motive de comoditate; versiunea în limba engleză este cea oficială și nu constituie consultanță juridică.