Amenzi NIS2 în România: cuantum, cine răspunde și cum le eviți

Una dintre cele mai frecvente întrebări despre NIS2 este, firesc, cea despre sancțiuni: cât de mari pot fi amenzile, cine răspunde și ce anume le declanșează. Răspunsul scurt este că plafoanele sunt consistente, răspunderea atinge și conducerea, iar DNSC a început deja să sancționeze. Vestea bună este că riscul se reduce semnificativ cu pași concreți, în mare parte gratuiți la început.

Cuantumul maxim al amenzilor

OUG 155/2024, actul care transpune Directiva (UE) 2022/2555 în România, stabilește la Art. 60 plafoane diferite în funcție de categoria entității:

Regula "valoarea mai mare" înseamnă că pentru organizațiile cu cifre de afaceri ridicate, procentul poate depăși plafonul exprimat în euro. Este motivul pentru care NIS2 nu trebuie tratat ca un risc teoretic, nici măcar de organizațiile mari.

Reținem și sintagma "cifra de afaceri anuală mondială": referința nu este doar cifra de afaceri din România, ci la nivel global, ceea ce poate conta mult pentru entitățile care fac parte din grupuri internaționale. Prin comparație cu plafoanele din alte reglementări, nivelul sancțiunilor NIS2 este deliberat ridicat, pentru a avea un efect descurajant real, nu simbolic. Tocmai de aceea, o abordare "lăsăm pe mai târziu" este, din perspectiva riscului, cea mai scumpă dintre opțiuni.

Diferența dintre entitate esențială și importantă

Categoria în care te afli nu influențează doar plafonul amenzilor, ci și regimul de supraveghere. Entitățile esențiale sunt supuse unei supravegheri mai stricte, inclusiv proactive (controale, inspecții care pot avea loc fără un motiv anume), în timp ce entitățile importante sunt în general supravegheate reactiv, adică atunci când apar indicii de neconformitate sau în urma unui incident. Practic, o entitate esențială are o probabilitate mai mare de a fi verificată din oficiu, ceea ce face ca pregătirea documentelor și a dovezilor să conteze cu atât mai mult.

Această distincție explică și de ce plafoanele diferă: cu cât serviciul furnizat este mai critic pentru societate, cu atât obligațiile și potențialele sancțiuni sunt mai ridicate. Pentru detalii despre criteriile de încadrare, vezi entitate esențială sau importantă.

Ce fapte atrag sancțiuni

Sancțiunile nu vizează doar atacurile cibernetice sau incidentele grave. Ele pot fi aplicate pentru neîndeplinirea obligațiilor administrative și de securitate, printre care:

• Nerespectarea obligației de notificare și de înregistrare la DNSC (Art. 18 coroborat cu Art. 60). Întârzierea notificării este o faptă distinctă, sancționabilă în sine.
• Neimplementarea măsurilor de gestionare a riscurilor de securitate cibernetică, proporțional cu riscul real.
• Nerespectarea obligațiilor de raportare a incidentelor semnificative în termenele legale. Vezi raportarea incidentelor la DNSC.
• Neconformarea la deciziile, instrucțiunile sau măsurile dispuse de DNSC în urma controalelor.

Pentru faptele individuale, cuantumul concret se stabilește în funcție de gravitate, durată, caracterul repetat și alte criterii prevăzute de lege, în limitele plafoanelor de mai sus. Formulările generale de aici nu înlocuiesc textul legal: cuantumurile exacte în lei pentru fiecare faptă trebuie citite din OUG 155/2024.

Cum se individualizează o amendă

Plafoanele din Art. 60 sunt maxime, nu sume fixe. Sancțiunea concretă se stabilește ținând cont de o serie de criterii de individualizare, printre care gravitatea faptei, durata încălcării, caracterul repetat, prejudiciul produs sau riscul creat, precum și conduita entității (de exemplu dacă a cooperat cu autoritatea și a luat măsuri de remediere). Pe scurt, o neconformitate minoră, remediată rapid și de bună-credință, nu se tratează la fel ca o încălcare gravă, prelungită sau repetată.

Această logică are o consecință practică importantă: chiar dacă ești deja în întârziere, orice pas de remediere luat acum (înregistrarea, analiza de risc, măsurile) îți îmbunătățește poziția. Pasivitatea, dimpotrivă, este cea mai costisitoare opțiune.

Mai mult decât amenzi: alte măsuri

Amenzile sunt partea cea mai vizibilă, dar regimul de aplicare nu se reduce la ele. În urma controalelor, DNSC poate dispune și alte măsuri corective, de exemplu instrucțiuni obligatorii de conformare, termene de remediere sau avertismente. Pentru entitățile esențiale, în cazuri grave, cadrul legal prevede măsuri suplimentare, mai severe, decât pentru cele importante. Neconformarea la măsurile dispuse de autoritate poate, la rândul ei, să atragă sancțiuni.

Pe lângă sancțiunea în sine, există și un cost reputațional: o neconformitate făcută publică afectează încrederea clienților, a partenerilor și, în cazul instituțiilor, a cetățenilor. Acest cost indirect depășește adesea valoarea amenzii.

Răspunderea conducerii

O schimbare de fond adusă de NIS2 este că securitatea cibernetică nu mai este exclusiv treaba departamentului IT. Organul de conducere aprobă măsurile de gestionare a riscurilor, supraveghează implementarea lor și urmează instruiri în domeniu. În consecință, conducerea poate răspunde pentru neîndeplinirea obligațiilor, iar în cazuri grave, la entitățile esențiale, se pot dispune măsuri suplimentare prevăzute de lege. Pe larg, în articolul dedicat răspunderii conducerii sub NIS2.

Sancțiuni aplicate de DNSC

Sancțiunile NIS2 au încetat să fie teoretice. DNSC a aplicat prima amendă NIS2, în valoare de 50.000 lei, unei instituții din administrația publică centrală, pentru nerespectarea termenului de notificare. Fapta a fost încadrată pe temeiul obligației de notificare (Art. 18 alin. (2)), coroborat cu Art. 60 alin. (1) lit. o) din OUG 155/2024, iar sancțiunea a fost comunicată la sfârșitul lunii septembrie 2026.

Cum eviți amenzile: pași concreți

Vestea bună este că cele mai multe sancțiuni de început sunt pentru fapte ușor de prevenit. Un parcurs rezonabil arată astfel:

• Verifică-ți încadrarea și depune notificarea. Dacă nu ai făcut-o încă, este prioritatea zero. Începe cu instrumentul gratuit de încadrare și înregistrare.
• Fă analiza de risc asupra rețelelor și sistemelor informatice. Poți porni de la instrumentul gratuit de analiză de risc.
• Realizează autoevaluarea de maturitate pe cadrul CyFun și identifică decalajele față de nivelul cerut.
• Implementează măsurile proporțional cu riscul și documentează-le ca dovezi (registre, politici, proceduri). Vezi dovezile și registrele NIS2.
• Pregătește procedura de raportare a incidentelor, astfel încât termenele scurte să nu te prindă nepregătit.

Autoevaluarea CyFun și planul de măsuri sunt gratuite în platforma Certudo. Pentru nevoi mai complexe, oferim consultanță NIS2 și audit NIS2 realizat de auditori de securitate cibernetică atestați DNSC.

Concluzie

Amenzile NIS2 pot fi substanțiale, iar răspunderea nu se oprește la IT, ci urcă la nivelul conducerii. Totuși, cele mai multe riscuri de sancțiune, în această etapă, vin din întârzierea pașilor administrativi. Cel mai bun mod de a le evita este să începi acum, chiar dacă termenul inițial de notificare a trecut.

Verifică-ți încadrarea și pregătește notificarea (gratuit)

Vrei o evaluare a expunerii tale și o ofertă pe măsură? Contactează echipa Certudo.