Directoratul Național de Securitate Cibernetică (DNSC) a emis, pe 29 septembrie 2026, prima amendă în istoria recentă pentru nerespectarea reglementărilor privind securitatea cibernetică. Sancțiunea, de 50.000 de lei, a fost aplicată unei persoane juridice care face parte din administrația publică centrală. Această decizie vine după ce instituția respectivă a omis să se înregistreze în sistemul obligatoriu, deși termenul legal de conformare expirase de peste un an.
Procedura de sancționare face parte din implementarea Ordonanței de Urgență 155/2024, prin care România a transpus Directiva europeană NIS2. Această legislație impune entităților din sectoare esențiale, precum energia, sănătatea sau serviciile financiare, să își evalueze riscurile și să notifice incidentele. Deși termenul de înscriere în Registrul entităților a expirat în septembrie 2025, DNSC a ales o perioadă de informare și suport tehnic înainte de a trece la aplicarea efectivă a sancțiunilor.
Amenda emisă nu este legată de un atac cibernetic, ci de nerespectarea obligației de înregistrare prevăzută la art. 18 alin. 2 din OUG 155/2024. Diferența este crucială, deoarece instituția nu era oficial înregistrată ca entitate reglementată, neavând astfel nici măcar capacitatea de a raporta un incident. Sancțiunea de 50.000 de lei reprezintă doar o fracțiune din plafonul național de 500.000 de lei și mult sub limitele europene de milioane de euro.
Comportamentul instituției sancționate contrastează puternic cu cel al Depozitarului Central, care a fost ținta unui atac cibernetic pe 8 octombrie 2026. În cazul Depozitarului Central, date personale, CNP-uri și IBAN-uri au fost accesate de atacatori, însă instituția a notificat imediat DNSC și a comunicat public în câteva zile. Această reacție promptă demonstrează funcționarea corectă a protocolului de conformitate NIS2, spre deosebire de situația entității care nu se înregistrase.
Noua legislație introduce și responsabilitatea personală a conducerii, obligând directorii și primarii să urmeze cursuri de securitate cibernetică. În cazuri de neglijență gravă, DNSC poate interzice temporar exercitarea funcțiilor de conducere în entitățile esențiale. Pentru instituțiile mici, precum primăriile sau spitalele regionale, conformarea reprezintă o provocare majoră din cauza necesarului de investiții bugetare și de personal specializat, într-un context de inegalitate a capacităților tehnice.
Reglementările NIS2 fac parte dintr-un pachet european de securitate care include și alte acte precum DORA pentru sectorul financiar sau CRA pentru produse digitale. Scopul strategic este de a preveni situațiile în care un atac asupra unei entități mici poate compromite securitatea întregului spațiu european. România, prin aplicarea acestor norme, urmărește să nu mai fie considerată o verigă slabă în cadrul economiei integrate a Uniunii Europene.