Directoratul Național de Securitate Cibernetică (DNSC) a emis, pe 29 septembrie 2026, prima sancțiune contravențională în istoria recentă a aplicării legislației privind securitatea cibernetică. O persoană juridică, care face parte din administrația publică centrală, a fost amendată cu suma de 50.000 de lei pentru că nu s-a înregistrat în sistem, deși era obligată prin lege de peste un an. Această decizie marchează trecerea de la faza de informare la aplicarea efectivă a reglementărilor.
Sancțiunea vizează nerespectarea obligației de notificare de înregistrare prevăzută de OUG 155/2024, nu un atac cibernetic neraportat, așa cum au sugerat unele surse de presă. Instituția vizată nu a fost atacată, ci pur și simplu nu apărea pe harta oficială a entităților reglementate. Fără această înscriere obligatorie în Registrul entităților esențiale și importante, DNSC nu poate monitoriza oficial prezența sau conformitatea acelei entități în cadrul sistemului de securitate națională.
Amenda de 50.000 de lei reprezintă doar o fracțiune din plafonul maxim de 500.000 de lei stabilit de legislația națională. În context european, pentru entitățile esențiale, sancțiunile pot fi mult mai severe, atingând pragul de 10 milioane de euro sau 2% din cifra de afaceri mondială totală. DNSC a ales o abordare de tip pedagogic timp de un an, oferind suport tehnic și instruire, înainte de a trece la aplicarea penalităților financiare.
Lipsa înregistrării NIS2 implică riscuri directe pentru cetățeni, deoarece instituțiile neconformate nu au efectuat evaluări documentate ale riscurilor cibernetice. Aceste entități nu au planuri de continuitate testate și nu sunt obligate să verifice securitatea furnizorilor de software sau cloud care le gestionează datele. În cazul unui atac asupra unei astfel de instituții, cetățenii pot afla despre expunerea datelor personale cu luni sau ani mai târziu.
Contrastul cu gestionarea incidentelor este evident, așa cum s-a observat în cazul Depozitarului Central, atacat la începutul lunii octombrie 2026. Depozitarul Central a notificat imediat DNSC, a implicat specialiști externi și a informat publicul în doar opt zile despre datele accesate, inclusiv CNP-uri și IBAN-uri. Această reacție promptă demonstrează diferența dintre o entitate care respectă procesul de conformare și una care ignoră cerințele de securitate impuse de lege.
Reglementările NIS2 fac parte dintr-un pachet european de securitate care include și alte directive precum DORA pentru sectorul financiar sau CRA pentru produse digitale. Aceste norme vizează protejarea economiilor integrate, unde vulnerabilitatea unei entități mici poate afecta întregul stat membru. În România, implementarea acestui cadru este complexă, având în vedere că peste 3.000 de unități administrativ-teritoriale și sute de spitale publice trebuie să asigure conformitatea tehnică și financiară.