Notificare incident NIS2: 24 de ore, 72 de ore, o lună

Prima amendă dată de DNSC pe OUG nr. 155/2024, la 29 septembrie 2026, a fost pentru nerespectarea obligației de notificare în vederea înregistrării, nu pentru un incident. O parte din presă a confundat cele două notificări. Articolul de față este despre cealaltă: notificarea incidentelor, obligația care se declanșează la orice oră și care are cele mai scurte termene din toată ordonanța.

Cele trei termene

Temeiul este art. 15 din OUG nr. 155/2024. Pentru un incident cu impact semnificativ, entitatea transmite:

Etapă	Termen	Ce este
Avertizare timpurie	24 de ore	semnalarea rapidă, de la momentul în care entitatea a luat cunoștință de incident
Notificarea incidentului	72 de ore	evaluarea inițială, cu severitatea, impactul și ce se știe până atunci
Raport final	o lună	de la notificarea de 72 de ore; pentru un incident încă în desfășurare, la o lună de la gestionarea lui

Există și o regulă specială: pentru prestatorii de servicii de încredere, art. 15 alin. (8) prevede un termen de 24 de ore.

Termenele nu curg de la momentul în care incidentul s-a produs, ci de la momentul în care entitatea a luat cunoștință de el. Asta mută discuția pe detecție: o organizație care află despre incident după trei săptămâni nu câștigă trei săptămâni, ci intră în altă discuție, despre capacitatea de detecție.

Ce declanșează obligația

Nu orice incident se raportează, ci incidentul cu impact semnificativ. Definiția se află la art. 15 alin. (6), a cărui parte introductivă a fost rescrisă prin Legea nr. 124/2025. Calificarea este o decizie, iar decizia trebuie luată de cineva, repede, pe baza unor criterii scrise dinainte.

Aici se pierde cel mai des timpul. Nu la redactarea notificării, ci la întrebarea „este semnificativ?”, pusă pentru prima dată în mijlocul unui incident, într-o ședință care se amână.

Separat, art. 16 reglementează raportarea voluntară, pentru incidente, amenințări sau evenimente evitate la limită care nu ating pragul obligatoriu. Este un instrument util, mai ales pentru entitățile care vor să construiască relație cu autoritatea înainte de a avea o problemă reală.

Ce lipsește încă din cadru

Art. 15 alin. (17) prevede că normele metodologice privind raportarea incidentelor se stabilesc prin ordin al directorului DNSC, iar art. 65 alin. (1) lit. c) fixa pentru asta un termen de 120 de zile de la intrarea în vigoare a ordonanței. La data acestui articol nu am identificat un asemenea ordin publicat în Monitorul Oficial.

Practic, asta înseamnă că nu există un formular de incident aprobat prin act normativ, așa cum există pentru înregistrare. Raportarea se face prin canalele comunicate de DNSC. Verificați ce canal este activ pentru entitatea dumneavoastră și, mai ales, testați-l înainte de a avea nevoie de el. Un cont pe care nimeni nu l-a deschis vreodată nu este un canal de raportare.

Ce conține fiecare etapă

Structura urmează logica din Directiva (UE) 2022/2555, pe care ordonanța o transpune. Pe scurt:

La 24 de ore, avertizarea timpurie indică dacă incidentul pare cauzat de acte ilicite sau rău intenționate și dacă poate avea impact transfrontalier. Este scurtă prin construcție. Nu se așteaptă certitudinea.
La 72 de ore, notificarea actualizează informația, oferă o evaluare inițială a incidentului, inclusiv severitatea și impactul, și, acolo unde sunt disponibili, indicatorii de compromitere.
Raportul final descrie detaliat incidentul, tipul de amenințare sau cauza probabilă, măsurile de atenuare aplicate și în curs, și, dacă este cazul, impactul transfrontalier.

Regula practică: avertizarea timpurie nu este un raport. Dacă echipa ta încearcă să afle totul înainte de a trimite ceva la 24 de ore, va rata termenul.

Cine raportează și cine semnează

Obligația este a entității. În practică, fluxul funcționează dacă sunt stabilite trei lucruri, în scris, înainte:

Cine califică incidentul ca semnificativ, și cine îl înlocuiește dacă este indisponibil.
Cine transmite, cu acces funcțional la canalul de raportare, verificat periodic.
Cine informează conducerea, pentru că răspunderea pentru măsuri rămâne la organele de conducere, conform art. 14 alin. (1).

Responsabilul cu securitatea rețelelor și sistemelor informatice, desemnat conform art. 14 alin. (3), este de regulă persoana potrivită pentru primele două, dar rolul trebuie scris, nu presupus.

Ce se sancționează

Nerespectarea obligațiilor de raportare a incidentelor se sancționează pe literele din art. 60 alin. (1) corespunzătoare art. 15, nu pe litera o), care privește exclusiv notificarea de înregistrare. Aceste fapte se află în plaja mare de amenzi de la art. 60 alin. (2) lit. a) și b), până la 7.000.000 de euro sau 1,4 la sută din cifra de afaceri anuală mondială pentru entitățile importante, respectiv 10.000.000 de euro sau 2 la sută pentru cele esențiale, luându-se valoarea cea mai mare.

Merită reținut raportul de proporție. Prima amendă, pentru neînregistrare, a fost de 50.000 de lei, pe palierul de jos. Neraportarea unui incident major se află pe palierul de sus.

Opt lucruri de pregătit înainte

Criteriile scrise de calificare a unui incident ca semnificativ, adaptate serviciilor tale.
Persoana de decizie și înlocuitorul, cu date de contact care funcționează noaptea.
Canalul de raportare, testat, cu credențiale valabile și cu mai mult de o persoană care le are.
Șabloanele pentru cele trei etape, completabile în minute, nu în ore.
Ceasul: cine pornește cronometrul de 24 de ore și unde se consemnează momentul luării la cunoștință.
Registrul de incidente, în care intră și cele neraportabile, pentru că din el se vede tendința.
Fluxul paralel către alte autorități, dacă incidentul implică date cu caracter personal sau alte obligații sectoriale.
Un exercițiu de simulare pe an, măcar la masă, cu cronometru real.

Ultimul punct este cel care schimbă cel mai mult rezultatul. O procedură necitată niciodată este o procedură care nu există.

Unde te putem ajuta

Procedura de raportare, criteriile de calificare, registrul de incidente și șabloanele pentru cele trei etape se găsesc în pachetele de documentație NIS2. Dacă vrei să știi dacă fluxul chiar funcționează, o analiză de conformare NIS2 cu plan de remediere îl verifică pe dovezi, nu pe organigramă. ProDefence este auditor NIS acreditat de DNSC.

Pentru organizațiile fără o persoană disponibilă la orice oră, rolul poate fi acoperit prin responsabil NIS2 externalizat. Iar dacă încă nu știi sigur dacă ești în scop, platforma CysNis parcurge criteriile de încadrare pas cu pas.

Surse

OUG nr. 155/2024, formă consolidată. Art. 14, 15, 16, 60 și 65.
Legea nr. 124/2025, Monitorul Oficial nr. 638 din 7 iulie 2025, punctul 5 din articolul unic.
Directiva (UE) 2022/2555, art. 23, pentru structura etapelor de raportare.
DNSC, canalele de raportare a incidentelor.

Materialul are caracter informativ și nu constituie consultanță juridică. Canalele și formularele de raportare se pot modifica; verifică pe dnsc.ro și în Platforma NIS2@RO înainte de a le folosi în situație reală.

Întrebări frecvente

Care sunt termenele de raportare a incidentelor sub OUG nr. 155/2024?

Avertizare timpurie în 24 de ore, notificarea incidentului în 72 de ore și raport final în cel mult o lună de la notificarea de 72 de ore. Pentru un incident aflat încă în desfășurare, raportul final se transmite la o lună de la gestionarea lui. Pentru prestatorii de servicii de încredere, art. 15 alin. (8) prevede un termen de 24 de ore.

De când curg cele 24 de ore?

De la momentul în care entitatea a luat cunoștință de incident, nu de la momentul în care incidentul s-a produs. De aceea capacitatea de detecție influențează direct respectarea termenului.

Ce incidente se raportează?

Doar cele cu impact semnificativ, definite la art. 15 alin. (6), a cărui parte introductivă a fost rescrisă prin Legea nr. 124/2025. Pentru incidente, amenințări sau evenimente evitate la limită sub acest prag există raportarea voluntară, prevăzută de art. 16.

Există un formular DNSC pentru notificarea incidentelor?

Art. 15 alin. (17) prevede că normele metodologice privind raportarea incidentelor se stabilesc prin ordin al directorului DNSC. La data acestui articol nu am identificat un asemenea ordin publicat în Monitorul Oficial. Raportarea se face prin canalele comunicate de DNSC, care trebuie testate înainte de a fi necesare.

Amenda din 29 septembrie 2026 a fost pentru neraportarea unui incident?

Nu. A fost pentru nerespectarea obligației de notificare în vederea înregistrării, temeiul fiind art. 60 alin. (1) lit. o), care trimite la art. 18 alin. (2). Nerespectarea obligațiilor de raportare a incidentelor se sancționează pe alte litere ale art. 60 alin. (1).

Cine trebuie să transmită notificarea de incident?

Obligația este a entității. În practică, responsabilul cu securitatea rețelelor și sistemelor informatice, desemnat conform art. 14 alin. (3), este persoana potrivită pentru calificarea incidentului și pentru transmitere, dar rolul și înlocuitorul trebuie stabilite în scris, cu acces funcțional la canalul de raportare.

Legislație completă: toate actele NIS și NIS2 din România, cu linkuri directe către textul oficial, sunt adunate pe pagina Directiva NIS2 în România: legislația completă.