Pe 28 aprilie 2026, Directoratul Național de Securitate Cibernetică a anunțat două schimbări deodată. Fluxul de raportare din PNRISC — Platforma Națională de Raportare a Incidentelor de Securitate Cibernetică, la pnrisc.dnsc.ro — a fost refăcut ca să fie mai simplu atât pentru persoane fizice, cât și pentru entitățile esențiale și importante care raportează sub NIS 2. În paralel, DNSC a publicat lista Blacklist la pnrisc.dnsc.ro/blacklist: domenii implicate în activități frauduloase, sesizate sau identificate proactiv, analizate și confirmate de experții tehnici ai instituției, plus o extensie de browser pentru Chromium și Firefox.
Ambele sunt utile. Niciuna nu atinge partea care se rupe efectiv. În incidentele la care lucrăm, nimeni nu ratează termenul de 24 de ore pentru că formularul era complicat. Se ratează pentru că la 02:40, sâmbătă, nu exista o înțelegere despre cine are dreptul să apese „trimite", iar persoana care ar fi putut decide dormea cu telefonul pe silențios.
Ce cere efectiv ordonanța și când
Articolul 15 din OUG nr. 155/2024 stabilește succesiunea. Raportarea se face prin PNRISC și numai prin PNRISC.
- În termen de 24 de ore de la momentul în care ai luat cunoștință de incidentul semnificativ: o avertizare timpurie care indică, după caz, dacă există suspiciuni că incidentul e cauzat de acțiuni ilicite sau răuvoitoare și dacă ar putea avea impact transfrontalier.
- În termen de 72 de ore de la același moment: raportarea incidentului, care actualizează avertizarea, prezintă o evaluare inițială a gravității și a impactului și include indicatorii de compromitere, dacă sunt disponibili.
- Un raport intermediar privind actualizarea situației, dar numai la cererea echipei naționale de răspuns la incidente.
- Un raport final, în cel mult 30 de zile de la transmiterea notificării de la 72 de ore, cu descrierea detaliată a incidentului și a impactului, tipul de amenințare sau cauza principală probabilă, măsurile de atenuare aplicate și în curs și, unde e cazul, impactul transfrontalier.
- Dacă incidentul este încă în desfășurare la scadența raportului final, un raport privind progresele înregistrate, iar raportul final în 30 de zile de la gestionarea incidentului.
Două detalii merită fixate, pentru că se citează aproximativ. Textul românesc spune 30 de zile, nu „o lună" — o cifră numărabilă, nu o formulare. Iar ceasul pornește din momentul în care ai luat cunoștință de incident, nu din momentul în care l-ai înțeles. Prestatorii de servicii de încredere au o variantă mai strictă a pasului din mijloc: art. 15 alin. (8) înlocuiește notificarea de la 72 de ore cu una de 24 de ore, pentru incidentele semnificative care le afectează serviciile de încredere.
Există și o obligație în sens invers, pe care puține entități o folosesc. Conform art. 15 alin. (9), echipa națională de răspuns la incidente trebuie să răspundă la avertizarea timpurie fără întârzieri nejustificate și, când e posibil, în 24 de ore — inclusiv, la cererea entității, cu orientări sau instrucțiuni operaționale privind măsurile de atenuare. Avertizarea de la 24 de ore nu e doar o obligație pe care o bifezi. E și momentul în care poți cere ajutor.
De unde vine data de octombrie 2026
Pe mai multe site-uri românești de conformitate circulă un termen de octombrie 2026, după care „raportarea incidentelor devine obligatorie". Nu am putut confirma acest termen pe dnsc.ro sau în ordonanță și nu rezistă la o citire a textului: obligațiile de raportare din art. 15 se aplică deja entităților esențiale și importante identificate, de când ordonanța le este aplicabilă.
Ce ține cu adevărat de toamna lui 2026 este un alt lanț de termene. Ordinul DNSC nr. 1/2026, publicat în Monitorul Oficial nr. 712 și în vigoare din 27 august 2026, stabilește măsurile de gestionare a riscurilor de securitate cibernetică și metodologia după care fiecare entitate își calculează nivelul de maturitate, structurate pe șase funcții — guvernanță, identificare, protecție, detecție, răspuns, recuperare — și trei niveluri de asigurare. Termenele din jurul lui curg din reperele fiecărei entități, nu dintr-o dată națională unică: evaluarea nivelului de risc se transmite în 60 de zile de la decizia DNSC de identificare, autoevaluarea de maturitate în 60 de zile de la acea evaluare, iar entitățile esențiale mai au 30 de zile ca să transmită un plan de măsuri de remediere asumat de management.
Deci nu există o zi în care se aprinde becul pentru toată lumea. Există ziua ta, și depinde de momentul în care DNSC te-a identificat. Separat, adjunctul directorului DNSC, Gabriel Dinu, a declarat în septembrie 2026 că se redactează primele sancțiuni în aplicarea cadrului NIS 2, la nivelul minim și începând cu entitățile neînregistrate.
Cine semnează la trei dimineața
Ordonanța nu numește un semnatar pentru avertizarea timpurie. Cere ceva mai exigent și mai util: art. 14 alin. (3) obligă organele de conducere ale entităților esențiale și importante să stabilească mijloacele permanente de contact, iar datele de înregistrare de la art. 18 alin. (3) includ chiar aceste mijloace permanente de contact împreună cu persoana din cadrul entității însărcinată cu monitorizarea lor.
Este o instrucțiune de proiectare, nu o rubrică de completat. Practic înseamnă: numești un titular și cel puțin doi înlocuitori, în scris, cu dreptul de a transmite avertizarea de la 24 de ore fără o aprobare suplimentară; publici o cale de contact în afara programului care să nu depindă de un singur număr de mobil; și înregistrezi cine a deținut rolul la ce dată, pentru că la un control întrebarea nu este cine a semnat, ci dacă aranjamentul exista înainte de incident.
Ce trebuie să știi ca să poți notifica
Mai puțin decât presupun majoritatea echipelor. Avertizarea de la 24 de ore cere o suspiciune, nu o concluzie: dacă originea pare răuvoitoare și dacă e posibil un impact transfrontalier. „Încă nu știm amploarea" este un răspuns legitim în această etapă, iar art. 15 alin. (3) elimină motivul obișnuit de ezitare — simpla raportare nu expune entitatea unei răspunderi sporite.
Minimul util pentru prima notificare: identificatorul entității și persoana de contact, momentul și modul în care ai aflat, serviciul afectat și dacă e degradat sau oprit, dacă ar putea fi implicate date cu caracter personal, dacă suspectezi o acțiune răuvoitoare, dacă ar putea fi afectate alte state și ce măsuri de limitare ai aplicat deja. Restul intră în notificarea de la 72 de ore, acolo unde se așteaptă gravitate, impact și indicatori de compromitere.
Ceasul paralel de la ANSPDCP
Dacă incidentul atinge date cu caracter personal, același eveniment declanșează o a doua obligație pe care raportarea la DNSC nu o acoperă: notificarea către ANSPDCP în 72 de ore, conform GDPR, plus informarea directă a persoanelor vizate când riscul pentru ele este ridicat.
Cele două termene de 72 de ore arată identic și nu sunt. Pornesc din fapte diferite — cunoașterea unui incident semnificativ și cunoașterea unei încălcări de securitate a datelor cu caracter personal — iar cele două momente sunt frecvent la câteva zile distanță. Tratarea lor ca un singur termen este exact mecanismul prin care organizațiile întârzie la cel care a pornit mai târziu. Soluția practică este o singură fișă de incident cu două marcaje de timp separate și doi responsabili separați.
Ce pui pe masă la un control
Un control cere dovada că procesul a existat și a funcționat, nu o poveste. Adică: un registru de incidente cu identificator stabil per incident; momentul luării la cunoștință și cum a fost stabilit; rolul nominalizat care a autorizat fiecare transmitere; confirmarea din PNRISC pentru fiecare dintre cele trei etape; evaluarea GDPR și rezultatul ei, inclusiv decizia motivată atunci când ai concluzionat că nu era necesară o notificare; și legătura către acțiunile de remediere și închiderea lor.
Nimic din toate acestea nu e dificil. Toate sunt însă aproape imposibil de reconstruit trei săptămâni mai târziu dintr-un fir de chat, iar acesta este modul real în care se pierde dosarul.
O listă de verificare de o pagină
- Numește un titular și doi înlocuitori cu drept scris de a transmite singuri avertizarea de la 24 de ore și publică ruta prin care sunt găsiți în afara programului.
- Creează din timp conturile PNRISC și verifică astăzi că cel puțin două persoane se pot autentifica, nu în noaptea în care ai nevoie.
- Scrie setul minim de date pentru avertizarea de la 24 de ore și acceptă explicit că impactul necunoscut este un răspuns valid.
- Pune termenele de 72 de ore și 30 de zile în calendar în chiar momentul în care pleacă prima avertizare, cu responsabil nominalizat pe fiecare.
- Decide din timp cine face în paralel evaluarea GDPR și ține-i ceasul separat.
- Ține un registru de incidente cu câmpurile de mai sus și repetă întreaga succesiune o dată pe an, cu conducerea în sală.
- Verifică un domeniu suspect în
pnrisc.dnsc.ro/blacklistîn etapa de triaj — durează câteva secunde și uneori închide discuția.
Dacă vrei lanțul de raportare testat, nu descris, pentru asta există exercițiul de tip tabletop, iar el stă lângă partea tehnică — vezi practica noastră de audit, risc și conformitate, lista de verificare NIS 2 și DORA și dovezile pe care un test de penetrare le pune pe masă alături de registru.
Surse: Comunicatul DNSC din 28 aprilie 2026, OUG nr. 155/2024, art. 14, 15 și 18, PNRISC, Ziarul Financiar despre primele sancțiuni NIS 2, septembrie 2026. Termenul de octombrie 2026 pentru „raportare obligatorie" apare doar pe surse secundare românești și nu l-am putut confirma pe dnsc.ro; detaliile Ordinului DNSC nr. 1/2026 de mai sus provin din sinteze de practică și se verifică în textul din Monitorul Oficial înainte de a te baza pe un termen anume.
Acest articol este informare generală, nu consultanță juridică sau de reglementare.