Firmele care intră sub incidența noilor reguli de securitate cibernetică riscă amenzi care pornesc de la 1.000 lei și pot ajunge, în funcție de încălcare și de categoria companiei, până la 10 milioane EUR sau chiar la un procent din cifra de afaceri. Directoratul Național de Securitate Cibernetică (DNSC) a început deja procedurile pentru primele sancțiuni, deocamdată pentru firmele care nu s-au înregistrat. În paralel, un studiu realizat la inițiativa FORT Cyber arată că multe organizații își pot supraestima capacitatea reală de a face față unui atac.

Pentru companiile vizate de legislația NIS2, miza nu mai este doar aceea de a evita pierderile provocate de un atac informatic. Au apărut și obligații legale concrete privind înregistrarea, evaluarea riscurilor, măsurile de securitate și raportarea, iar nerespectarea lor poate atrage sancțiuni.

Gabriel Dinu, director adjunct în cadrul DNSC, a declarat, la prezentarea studiului FORT, că autoritatea a început deja să treacă la etapa sancțiunilor.

Întrebat de StartupCafe.ro pentru ce încălcări sunt vizate primele firme, el a spus:

„În momentul de față, primii sunt pentru neregistrare, după care o să urmeze cei care nu și-au îndeplinit obligațiile, termenele de depunere a documentelor.”

Dinu nu a indicat câte firme sunt vizate în acest moment și nici valoarea exactă a sancțiunilor.

El a precizat însă că, pentru început, DNSC nu merge către nivelurile maxime ale amenzilor:

„Deocamdată o să fie niște sume adecvate pentru situația de fapt, ca să zic așa. Pentru început.”

Întrebat de StartupCafe.ro dacă este vorba despre valorile cele mai mici din grile, reprezentantul DNSC a răspuns:

„Sunt cele mai mici, da.”

Cât de mari pot fi amenzile

Plafoanele prevăzute de OUG 155/2024 diferă în funcție de categoria în care este încadrată firma și de obligația încălcată.

Pentru anumite contravenții ale entităților importante, amenda poate fi cuprinsă între 5.000 lei și cel mult 7 milioane EUR în echivalent lei sau 1,4% din cifra de afaceri, fiind luată în considerare valoarea mai mare. Pentru alte categorii de încălcări există grile de 1.000-300.000 lei sau 1.000-100.000 lei.

Pentru entitățile esențiale, categoria cea mai severă de sancțiuni pornește de la 10.000 lei și poate ajunge la 10 milioane EUR sau 2% din cifra de afaceri, în condițiile stabilite de lege.

Prin urmare, cifra de 10 milioane EUR reprezintă plafonul maxim pentru anumite încălcări comise de entitățile esențiale, nu amenda aplicabilă automat oricărei firme care ratează o obligație.

Primul lucru pe care trebuie să-l verifice firma: intră sau nu sub noile reguli

Una dintre problemele practice este că nu orice companie știe dacă intră sub incidența cadrului NIS2 și dacă este o „entitate esențială” sau o „entitate importantă”.

Întrebat de StartupCafe.ro cum poate face o companie această verificare, Gabriel Dinu a indicat primul pas:

„În primul rând, trebuie să se uite în anexe la actul normativ.”

OUG 155/2024 cuprinde în anexele 1 și 2 sectoarele și tipurile de activități vizate. În principiu, sunt incluse întreprinderi mari și mijlocii din domenii considerate critice, dar există și situații în care o organizație poate intra sub incidența legii indiferent de dimensiune.

Printre domeniile vizate se găsesc, în funcție de tipul exact de activitate, energia, transporturile, sectorul bancar și financiar, sănătatea, infrastructura digitală, serviciile IT gestionate, anumite activități de producție, servicii poștale și de curierat, gestionarea deșeurilor sau industria alimentară.

Dinu a explicat că și firmele aflate într-o zonă gri, care nu au certitudine totală asupra încadrării, ar trebui să parcurgă procesul de evaluare și notificare pus la dispoziție de DNSC, urmând ca autoritatea să analizeze informațiile transmise.

Cât timp are firma la dispoziție

Nu există, în prezent, un singur termen-limită comun tuturor companiilor. Termenele curg în lanț și depind de etapa în care se află fiecare entitate.

Primul pas este notificarea pentru înregistrarea la DNSC. OUG 155/2024 prevede un termen de cel mult 30 de zile de la data la care prevederile legii devin aplicabile unei entități. Pentru primul val de companii, procedura de notificare a devenit operațională odată cu ordinele DNSC publicate în august 2025.

După comunicarea deciziei DNSC de identificare și înscriere în registru, firma are 60 de zile pentru a transmite evaluarea nivelului de risc.

Apoi, în termen de alte 60 de zile de la transmiterea evaluării nivelului de risc, entitățile trebuie să realizeze autoevaluarea maturității măsurilor de securitate.

Această etapă a devenit deosebit de relevantă acum: Ordinul DNSC nr. 1/2026, care stabilește măsurile de gestionare a riscurilor și metodologia de autoevaluare a maturității, a intrat în vigoare la 27 august 2026. DNSC a lansat instrumentele efective pentru autoevaluare la începutul lunii septembrie.

În cazul entităților esențiale, după autoevaluare există încă un termen: 30 de zile pentru întocmirea și transmiterea planului de măsuri pentru remedierea deficiențelor identificate.

Gabriel Dinu a precizat la prezentare că acest termen de 30 de zile curge:

„De la momentul în care se transmite auto-evaluarea nivelului de risc.”

Așadar, pentru o firmă deja înregistrată, important nu este să caute o singură dată calendaristică valabilă pentru toată economia, ci să știe în ce etapă se află și de la ce eveniment a început să-i curgă propriul termen.

Studiu: firmele pot crede că sunt mai bine pregătite decât sunt în realitate

Presiunea legislativă apare într-un moment în care nivelul real de pregătire al companiilor este încă neuniform.

Studiul „Radiografia securității cibernetice în România în 2026”, inițiat de FORT Cyber și realizat împreună cu Data Diggers și Promocrat în perioada mai-iulie 2026, a analizat răspunsurile a 211 organizații privind guvernanța, monitorizarea, răspunsul la incidente, măsurile tehnice și cultura de securitate.

Măsurile tehnice de bază sunt deja foarte răspândite: peste 80% dintre organizații folosesc antivirus și firewall, autentificare multifactor și soluții de backup.

Dar studiul scoate în evidență o diferență importantă între a cumpăra tehnologia și a putea gestiona efectiv un atac.

15% dintre organizațiile participante au implementat opt sau nouă dintre cele nouă măsuri tehnice analizate, dar nu și-au testat niciodată planul de răspuns la incidente.

Daniela Necula, CEO FORT

Delia Necula, CEO FORT, a sintetizat problema astfel:

„A avea soluția tehnică nu este egal cu a fi pregătit. S-a mai văzut soluție tehnică foarte bună, utilizare deficitară.”

În cazul unui atac, spune ea, întrebarea devine foarte concretă:

„Ce facem? Avem capacitate să răspundem sau nu? Cine răspunde, cine ce face, ce știe, a exersat?”

FORT a urmărit cinci componente ale maturității: guvernanța, monitorizarea sistemelor, capacitatea de răspuns la incidente, „igiena tehnică” și cultura de securitate.

45% apar ca organizații mature. Când sunt verificate măsurile practice, imaginea se schimbă

Una dintre concluziile studiului este tocmai riscul de supraevaluare.

La nivelul inițial al evaluării, 45% dintre respondenți s-au încadrat în categoria cu nivel ridicat de maturitate. Delia Necula a atras însă atenția că informațiile provin din răspunsurile organizațiilor:

„Bineînțeles, răspunsurile lor au fost bazate pe o auto-evaluare. Să nu uităm.”

Când analiza a coborât către elementele practice, rezultatul s-a redus.

„În momentul în care întrebările au devenit mai adânci, mai rafinate și au început să testăm răspunsul, doar 27% dintre ei aveau și setul de 3 măsuri practice.”

Cele trei elemente practice urmărite au vizat capacitatea de răspuns la incidente, măsurile tehnice și cultura de securitate.

Este exact genul de diferență care devine importantă și în contextul noilor obligații legale: ceea ce firma consideră că are implementat trebuie să poată fi susținut și în practică.

DNSC: „Așteptarea noastră este să vedem realitatea”

Gabriel Dinu a spus că DNSC întâlnește atât supraevaluări produse din necunoașterea cerințelor, cât și situații în care organizațiile încearcă să prezinte o imagine mai bună decât realitatea.

„Pe de-o parte, sunt supra-evaluări care vin din necunoaștere.”

Mesajul său către firme a fost:

„Mesajul nostru a fost întotdeauna către toată lumea să fie sincer și să ne trimită informația corect.”

Important pentru companii este că DNSC nu pornește de la premisa că toate organizațiile trebuie să fie deja la nivel maxim de maturitate.

„Așteptarea noastră este să vedem realitatea.”

Autoritatea urmărește însă ca nivelul declarat să poată fi susținut și ca firma să evolueze ulterior.

Dinu a avertizat că declarațiile nu trebuie tratate ca un exercițiu pur formal, deoarece pot exista verificări ulterioare:

„La un moment dat […] va veni o verificare și verificarea efectivă ne va arăta care este realitatea.”

DNSC poate compara informațiile din autoevaluare între ele, cu situația găsită la control și, ulterior, cu circumstanțele unui eventual incident.

Autoevaluarea asumată de management poate produce efecte juridice

Aceeași problemă a fost analizată din perspectivă juridică de Cristina Crețu, MPR Partners.

„Dacă ți-ai asumat acel document, el va produce efecte juridice în relația cu tine.”

Autoevaluarea nu ar trebui însă înțeleasă ca o obligație de a declara că firma este perfect pregătită.

„Atât timp cât faci chestia asta într-un mod transparent și corect, nu ar trebui să funcționeze ca un mecanism de incriminare.”

Problema apare mai ales atunci când ceea ce compania declară și își asumă nu corespunde ulterior realității:

„E clar că, iarăși, e o diferență între ceea ce te-ai asumat tu și ceea ce, de fapt, ai făcut în practică. Aici este problema.”

Pentru antreprenori, această nuanță este importantă: un nivel scăzut identificat sincer poate fi remediat; o situație prezentată artificial mai bine poate deveni mult mai greu de explicat la o verificare ulterioară.

Cine plătește dacă managementul nu ia măsurile necesare

NIS2 aduce responsabilitatea securității cibernetice și la nivelul conducerii companiei.

Organele de conducere trebuie să aprobe măsurile de gestionare a riscurilor, să supravegheze implementarea lor și să asigure resursele necesare. OUG 155/2024 prevede inclusiv desemnarea responsabililor cu securitatea rețelelor și sistemelor informatice în termen de 30 de zile de la comunicarea deciziei DNSC de înregistrare.

Cristina Crețu a rezumat astfel raportul dintre responsabilitatea managementului și sancțiunea suportată de companie:

„Ceea ce nu face managementul plătește entitatea.”

Legislația permite, în situații grave, și măsuri care pot ajunge la management, însă Crețu a subliniat caracterul lor excepțional:

„Această răspundere a managementului este o sancțiune de ultim pas.”

Și:

„Ar trebui să fie niște încălcări extrem de grave și repetate, astfel încât DNSC să ia decizia că cea mai bună soluție este să dispună suspendarea temporară.”

O posibilă necorelare în lege: o contravenție apare, dar sancțiunea nu este clară

StartupCafe.ro a identificat și o posibilă necorelare în forma consolidată a OUG 155/2024.

Art. 60 alin. (1) lit. e) definește drept contravenție nerespectarea obligației entităților esențiale și importante de a realiza și transmite anual autoevaluarea nivelului de maturitate.

Pentru entitățile esențiale, grila principală de sancțiuni acoperă literele a)-m), ceea ce include și lit. e).

În cazul entităților importante, însă, aceeași grilă enumeră a)-d), f)-m), sărind exact peste lit. e). Celelalte categorii de sancțiuni pentru entitățile importante enumeră alte litere, fără ca lit. e) să apară.

Întrebat de StartupCafe.ro despre această aparentă omisiune și despre cuantumul care s-ar aplica unei entități importante ce nu realizează sau nu transmite autoevaluarea, Gabriel Dinu a spus că tipurile de contravenții și intervalele de sancțiuni sunt prevăzute în actul normativ, dar nu a putut indica pe loc articolul și cuantumul exact pentru situația respectivă.

Prin urmare, în forma consolidată a textului verificată de StartupCafe.ro, lit. e) pare să fi rămas necorelată cu grila de amenzi pentru entitățile importante. Situația necesită o clarificare oficială asupra temeiului și cuantumului concret aplicabil.

Nu ai raportat atacuri? Asta nu înseamnă neapărat că nu ai avut

Studiul FORT mai scoate la iveală un aparent paradox.

22% dintre organizațiile cu cel mai ridicat nivel de pregătire au raportat cel puțin un incident de securitate în 2025, comparativ cu numai 4% dintre cele mai slab pregătite.

Asta nu înseamnă neapărat că firmele mature sunt atacate mai des. Ele ar putea pur și simplu să fie mai bune la detectarea incidentelor.

Delia Necula spune:

„Faptul că nu raportăm incidente, nu înseamnă că suntem safe.”

Și:

„De cele mai multe ori înseamnă că nu știm că le-am avut.”

Același model apare la phishing. Organizațiile care fac training periodic raportează incidente de phishing în proporție de 14,6%, față de numai 1,9% în cazul celor care nu își instruiesc periodic angajații. Studiul sugerează că instruirea crește capacitatea oamenilor de a identifica și raporta tentativele.

Trainingul angajaților este și principala prioritate de securitate indicată pentru 2026, menționată de 52% dintre participanți.

Aproape toate firmele din studiu folosesc AI, dar puține au reguli scrise

O altă vulnerabilitate apare în folosirea inteligenței artificiale.

94% dintre organizațiile participante folosesc AI într-o formă sau alta, dar numai 37% au politici scrise privind utilizarea acestei tehnologii, comunicate angajaților.

În același timp, circa 70% dintre respondenți sunt preocupați de riscul ca angajații să introducă informații sensibile ale companiei în instrumente AI.

Pentru o firmă, asta înseamnă că securitatea nu mai poate fi redusă la antivirus și firewall. Trebuie clarificat și cine poate folosi instrumentele AI, pentru ce tipuri de date și în ce condiții.

Stdiul poate fi consultat mai jos:

RAPORT Radiografia securității cibernetice în România în 2026Descarcă

Ce ar trebui verificat acum în firmă

Pentru un antreprenor sau administrator, din legislație, studiul FORT și explicațiile oferite de DNSC rezultă câteva întrebări imediate:

  • Firma mea intră în sectoarele și categoriile prevăzute de OUG 155/2024?
  • Dacă intră, am făcut notificarea și înregistrarea la DNSC?
  • De când îmi curge termenul de 60 de zile pentru evaluarea de risc și, ulterior, pentru autoevaluarea maturității?
  • Ceea ce declar în autoevaluare poate fi demonstrat prin proceduri, sisteme și documente?
  • Am un plan efectiv de răspuns la incident și l-am testat?
  • Este clar cine decide și cine execută atunci când apare atacul?
  • Backup-ul este doar existent sau a fost verificată și restaurarea datelor?
  • Angajații sunt instruiți să recunoască phishingul și știu unde să raporteze?
  • Există reguli clare pentru informațiile care pot fi introduse în instrumente AI?
  • Dacă autoevaluarea identifică lipsuri, există un plan și termene realiste pentru remedierea lor?

Ideea comună din declarațiile reprezentanților FORT, DNSC și MPR Partners este că firma nu trebuie doar să aibă măsuri de securitate pe hârtie, ci să poată demonstra că ele există și funcționează.

Studiul ar putea chiar să prezinte o imagine mai bună decât realitatea

Există și o limită importantă a cercetării FORT.

Studiul a fost realizat pe 211 organizații și nu este reprezentativ statistic pentru toate organizațiile din România. Sunt supra-reprezentate companiile din București, sectoarele IT și financiar și respondenții deja implicați în deciziile de securitate.

Delia Necula a recunoscut această limită la prezentare:

„Din păcate, nu am putut să atingem acele mii de organizații care nu știu despre securitate.”

Raportul avertizează că structura eșantionului poate conduce chiar la supraestimarea nivelului general de pregătire, ceea ce înseamnă că situația reală din ansamblul economiei ar putea fi mai slabă decât cea surprinsă de cercetare.

Iar diferența s-ar putea accentua: 54% dintre organizațiile cu un nivel ridicat de maturitate spun că intenționează să crească bugetele de securitate în 2026, față de doar 4% dintre organizațiile vulnerabile.

Pentru companiile vizate de noile reguli, concluzia practică este că timpul conformării pur formale începe să se închidă: DNSC a trecut deja la primele proceduri de sancționare, iar următoarele termene depind de etapa în care se află fiecare firmă.