Majoritatea obligațiilor din DORA sunt lucruri pe care le faci. Registrul de informații este un lucru pe care îl ai, iar supraveghetorul ți-l poate cere în orice zi lucrătoare, fără preaviz.
Articolul 28 alineatul (3) din Regulamentul (UE) 2022/2554 este scurt și fără echivoc. Entitățile financiare țin și actualizează, la nivel de entitate și la nivel subconsolidat și consolidat, un registru de informații privind toate acordurile contractuale referitoare la utilizarea serviciilor TIC furnizate de furnizori terți. Îl raportează cel puțin anual autorității competente și îl pun la dispoziția acesteia la cerere. Regulamentul se aplică din 17 ianuarie 2025.
În România cadrul național a venit cu OUG nr. 14/2026, publicată în Monitorul Oficial nr. 188 și în vigoare din 11 martie 2026. Supravegherea urmează împărțirea existentă: Banca Națională a României pentru instituțiile de credit, instituțiile de plată, emitenții de monedă electronică și o parte din infrastructurile pieței, Autoritatea de Supraveghere Financiară pentru asigurători, administratorii de fonduri de pensii, firmele de investiții, intermediari și furnizorii de servicii de finanțare participativă. Fiecare entitate transmite registrul autorității ei naționale, care îl consolidează și îl trimite mai departe autorităților europene de supraveghere, după un calendar stabilit la nivel european. Asta face ca termenul tău să fie o dată națională, fixată mai devreme decât cea europeană și diferită de la un stat membru la altul — confirmă data și canalul de transmitere cu BNR sau ASF, nu cu un blog de conformitate, inclusiv acesta.
Registrul este un set de date, nu un document
Formatul este stabilit de Regulamentul de punere în aplicare (UE) 2024/2956. Definește cincisprezece tabele interdependente, transmise ca pachet de raportare xBRL-CSV: un fișier JSON de metadate plus câte un CSV per tabel, validate față de taxonomia publicată de autoritățile europene. Tabelele nu sunt foi de calcul independente. Formează un model relațional pe șase straturi — entitatea raportoare și sucursalele ei, furnizorii inclusiv cei din grup, acordurile contractuale cu costul anual și strategia de ieșire, serviciile TIC și nivelurile de serviciu, funcțiile susținute cu clasificarea drept critice sau importante împreună cu activele și datele din spate, și lanțul de subcontractare de sub fiecare acord critic.
Câmpurile codificate nu acceptă text liber. Țările se scriu ISO 3166-1 alpha-2, monedele ISO 4217, tipurile de serviciu vin din taxonomia europeană, iar fiecare persoană juridică și fiecare furnizor are nevoie de un cod LEI valid, de douăzeci de caractere. Aici se ascunde surprinzător de multă muncă: o firmă mică de software din România, care nu a raportat niciodată nimic nimănui, s-ar putea să nu aibă deloc LEI, iar obținerea lui devine problema ta de urmărit, nu a ei.
Două reguli decid cea mai mare parte din calitate. O înregistrare per acord contractual distinct, niciodată una per furnizor — trei contracte separate cu același furnizor de cloud sunt trei înregistrări. Și marcajul de funcție critică sau importantă este rezultatul unei analize de impact asupra activității, nu o rubrică pe care o completezi în timp ce construiești registrul. Entitățile care completează întâi registrul ajung să afirme o criticitate pe care nu o pot susține când sunt întrebate cum au ajuns la ea.
Cum a arătat efectiv primul ciclu
Autoritățile europene de supraveghere au organizat un exercițiu-pilot voluntar înainte de intrarea în vigoare a regimului. Din 947 de raportări, 93,5% au picat cel puțin una dintre cele 116 verificări de calitate a datelor; doar 6,5% au trecut tot. Citirea autorităților nu a fost catastrofică — aproximativ jumătate dintre raportările cu probleme au ratat cinci verificări sau mai puține, ceea ce sugerează că structura era în mare parte corectă și datele nu. Erorile care se repetau erau banale: identificatori greșiți pentru entități și furnizori, text liber acolo unde era cerută o valoare din listă, câmpuri obligatorii lăsate goale și formate de dată nepotrivite.
Sintezele de practică despre ciclul real din 2025 descriu același tipar: coduri LEI lipsă sau invalide în spatele a circa o treime din probleme, contracte agregate pe furnizor, tabele de subcontractare goale pentru furnizorii mari de cloud și câmpuri de strategie de ieșire necompletate pe acorduri critice. Acele cifre vin de la firme de consultanță, nu de la un supraveghetor, deci tratează-le ca orientative. Direcția nu este însă discutabilă: autoritățile compară acum raportările automat, iar un acord care apare în registrul concurentului tău și lipsește din al tău se vede fără ca cineva să citească vreunul dintre ele.
Registrul alimentează și un mecanism aflat deasupra ta. Autoritățile europene folosesc datele agregate ca să desemneze furnizori terți critici de servicii TIC în temeiul articolului 31; pe 18 noiembrie 2025 au publicat o primă listă de 19, fiecare cu un supraveghetor principal alocat. Dacă vreunul dintre ei apare în registrul tău, clauzele contractuale obligatorii din articolul 30, riscul de concentrare și o strategie de ieșire testată încetează să mai fie hârtii.
De ce furnizorul tău de IT este o funcție critică
Discuția de clasificare care consumă cel mai mult timp este furnizorul de servicii IT gestionate. Rareori apare în analiza de impact, pentru că nimic din ce face nu este un proces de business. E doar suport.
CVE-2026-86218 este motivul pentru care raționamentul acesta cade. Este o vulnerabilitate de execuție de cod la distanță fără autentificare în N-able N-central, platforma instalată local pe care mulți furnizori de servicii gestionate o folosesc ca să monitorizeze și să administreze endpoint-urile clienților, cu scor CVSS maxim, 10.0. A fost exploatată în sălbăticie înainte să existe o corecție. N-able a livrat build-ul 2026.3.1.14 pe 6 septembrie 2026, iar CISA a adăugat vulnerabilitatea în catalogul Known Exploited Vulnerabilities pe 8 septembrie; un modul Metasploit public a urmat.
Un singur server de acest tip compromis nu degradează un serviciu. Oferă acces administrativ la fiecare endpoint pe care îl administrează furnizorul, la toți clienții lui, deodată — exact definiția din articolul 3 punctul 22: o funcție a cărei perturbare ar afecta în mod semnificativ performanța financiară sau soliditatea și continuitatea serviciilor. Dacă un furnizor deține acces privilegiat permanent la sisteme care susțin o funcție critică sau importantă, acordul este critic indiferent ce scrie pe factură.
Ce întrebi înainte de semnare și ce aduni anual
Înainte de semnătură, registrul îți spune ce va trebui să poți raporta, deci cere datele cât timp mai ai putere de negociere. Codul LEI al furnizorului. Lanțul complet de subcontractare pentru orice susține o funcție critică sau importantă, nominalizat, nu descris ca „partenerii noștri". Țările în care datele sunt prelucrate și stocate și din care este prestat efectiv serviciul. Dreptul de audit și de acces pentru tine și pentru supraveghetorul tău, scris ca obligație, nu ca o clauză de cooperare rezonabilă. Niveluri de serviciu cu obiectiv de timp și de punct de recuperare măsurabile. Drepturi de reziliere și un plan de ieșire documentat, care spune cine ține datele în ziua în care pleci și în ce format le primești înapoi.
Anual, adună dovezile că răspunsurile sunt încă valabile: lista actualizată de subcontractori, cu modificările marcate, locațiile curente de prelucrare și stocare, un raport de asigurare independent sau rezultatele unui test de securitate, confirmarea rutei și a persoanei de contact pentru notificarea incidentelor și o declarație datată că planul de ieșire a fost revizuit. Adaugă și cele două obligații care stau lângă registru și se uită: raportul anual privind noile acorduri de utilizare a serviciilor TIC și raportarea incidentelor majore legate de TIC, alături de notificarea voluntară a amenințărilor cibernetice semnificative, atunci când entitatea le consideră relevante pentru sistemul financiar, pentru utilizatori sau pentru clienți.
Un singur inventar, două vederi
Dacă ești în același timp entitate esențială sau importantă sub NIS 2, transpusă prin OUG nr. 155/2024, ai o obligație de securitate a lanțului de aprovizionare care se suprapune masiv cu aceasta și se raportează altei autorități, în alt format. Ținerea a două inventare garantează că vor ajunge să difere.
Aranjamentul care funcționează este un singur inventar de contracte și servicii, cu câmpurile de care au nevoie ambele regimuri, și două vederi de export peste el. DORA are nevoie de LEI, de marcajul de funcție critică sau importantă, de lanțul de subcontractare, de cost și de strategia de ieșire. NIS 2 are nevoie de postura de securitate a furnizorului, de cerințele de securitate din contract și de dovezile pe care le-ai colectat efectiv. Cea mai mare parte a înregistrărilor din spate este identică. Ține-le într-un singur loc și ciclul anual devine o interogare, nu un proiect.
Dacă vrei registrul verificat față de ce conține efectiv infrastructura ta, iar deciziile de criticitate testate, nu doar afirmate, aceasta este munca din spatele practicii noastre de audit, risc și conformitate și a listei de verificare NIS 2 și DORA. Asigurarea pe care un supraveghetor o așteaptă lângă registru — că drumul de acces al unui furnizor critic a fost testat, nu descris — este un test de penetrare.
Surse: Regulamentul (UE) 2022/2554 (DORA), articolul 28, Regulamentul de punere în aplicare (UE) 2024/2956, Autoritățile europene desemnează furnizorii terți critici de TIC, 18 noiembrie 2025, EBA — întrebări frecvente privind raportarea registrului de informații.pdf), Huntress — exploatarea activă a N-able N-central, catalogul CISA Known Exploited Vulnerabilities. Cifrele din exercițiul-pilot aparțin autorităților europene; proporțiile de eroare din ciclul real 2025 sunt raportate de firme de consultanță, nu de un supraveghetor, și sunt orientative. Nu am putut confirma pe bnr.ro sau asf.ro un termen publicat de transmitere la nivel de entitate pentru România — verifică-l direct cu autoritatea ta competentă.
Acest articol este informare generală, nu consultanță juridică sau de reglementare.