La sfârșitul lunii septembrie 2026, DNSC a aplicat prima amendă în baza OUG 155/2024, legea care transpune NIS2 în România. Suma, 50.000 lei, nu este spectaculoasă în sine, dar momentul contează: este semnalul că perioada de implementare a trecut și că autoritatea a început să sancționeze efectiv. Iată, pe baza faptelor confirmate de presa de specialitate, ce s-a întâmplat și ce înveți din asta.
Ce s-a întâmplat
Conform relatărilor din presă, DNSC a aplicat o amendă de 50.000 lei unei instituții din administrația publică centrală, încadrată în sectorul 10 (administrație publică). Motivul nu a fost un incident de securitate cibernetică, ci nerespectarea obligației de notificare și înregistrare la termen.
Din punct de vedere legal, fapta este încadrată la Art. 18 alin. (2) din OUG 155/2024, care stabilește obligația de notificare și înregistrare, sancțiunea fiind prevăzută la Art. 60 alin. (1) lit. o). Cu alte cuvinte, entitatea nu și-a îndeplinit o obligație administrativă de bază, aceea de a se face cunoscută autorității în termenul stabilit.
De ce contează, deși suma pare mică
La prima vedere, 50.000 lei par puțin față de plafoanele din lege. Conform OUG 155/2024, aprobată prin Legea 124/2025, entitățile esențiale pot fi sancționate cu până la 10.000.000 euro sau 2% din cifra de afaceri mondială (cea mai mare valoare), iar cele importante cu până la 7.000.000 euro sau 1,4%. Diferența de ordin de mărime este uriașă.
Tocmai de aceea semnalul este important. Nu valoarea amenzii este mesajul, ci faptul că DNSC a trecut de la informare și îndrumare la aplicarea efectivă a sancțiunilor. Până acum, multe organizații au tratat termenele ca pe niște recomandări. Prima amendă arată că nu sunt.
Faptul că a vizat o instituție publică este și el semnificativ: obligațiile NIS2 se aplică deopotrivă sectorului public și celui privat. Nicio categorie nu este scutită de obligația de bază a înregistrării. Despre specificul instituțiilor publice am scris în NIS2 pentru instituții publice.
Contextul termenelor
Pentru a înțelege de ce a fost posibilă această amendă, merită amintit calendarul. Termenul inițial de notificare pentru entitățile vizate a expirat în jurul datei de 19 septembrie 2025. Decizia DNSC de încadrare confirmă apoi statutul fiecărei entități și declanșează termenele pentru pașii următori (de exemplu analiza de risc inițială).
Important de reținut: chiar dacă termenul inițial a trecut, obligația de înregistrare rămâne valabilă. O organizație care nu s-a înregistrat încă nu scapă de obligație odată cu trecerea termenului; dimpotrivă, intră în zona în care poate fi sancționată, exact ca în cazul primei amenzi. Calendarul complet este detaliat în termene NIS2.
Ce înseamnă pentru compania ta
Mesajul practic este direct: etapa de aplicare a început. Dacă până acum ai amânat, acum riscul este concret, nu teoretic. Câteva concluzii utile:
- Înregistrarea este obligația minimă, nu opțională. Prima amendă a fost pentru neînregistrare, cea mai simplă dintre cerințe. Este și cea mai ușor de evitat.
- Sancțiunile nu depind de existența unui incident. Poți fi sancționat pentru o obligație administrativă neîndeplinită, fără să fi avut vreo breșă de securitate.
- Plafoanele pentru companiile private sunt mult mai mari. 50.000 lei a fost cazul unei instituții publice; pentru o entitate esențială sau importantă privată, cadrul legal permite sancțiuni de ordinul milioanelor de euro.
- Întârzierea nu te scutește. Obligația rămâne; cu cât amâni mai mult, cu atât te expui mai mult.
Despre regimul complet al sancțiunilor poți citi în amenzi NIS2 în România.
Ce faci dacă nu te-ai înregistrat încă
Dacă organizația ta este vizată de NIS2 și nu s-a înregistrat, pașii sunt clari și nu trebuie amânați:
- Verifică-ți încadrarea. Confirmă dacă intri sub NIS2 și la ce nivel, cu instrumentul de încadrare și înregistrare.
- Înregistrează-te pe platforma NIS2@RO. Este obligația de bază și, așa cum arată prima amendă, prima pe care autoritatea o verifică. Detalii în înregistrarea la DNSC.
- Începe implementarea. Parcurge gratuit analiza de risc, autoevaluarea maturității CyFun și planul de implementare, ca să ai o imagine clară a decalajului.
- Documentează ce faci. O înregistrare întârziată, însoțită de dovada că ai început implementarea, este o poziție mult mai bună decât inacțiunea totală.
O înregistrare făcută acum, chiar după termen, este de preferat uneia inexistente. Obligația nu dispare odată cu trecerea termenului, iar prima amendă confirmă că autoritatea urmărește exact acest lucru.
De ce neînregistrarea este cea mai evitabilă greșeală
Merită insistat asupra naturii acestei prime sancțiuni, pentru că lecția ei este contraintuitivă. Multe organizații își imaginează că riscul sub NIS2 vine dintr-un atac cibernetic sau dintr-o breșă complicată. În realitate, prima amendă a venit din ceva mult mai simplu: o entitate nu s-a anunțat la autoritate în termenul stabilit.
Înregistrarea este, din punct de vedere al efortului, printre cele mai ușoare obligații din tot parcursul NIS2. Nu presupune implementarea unor controale tehnice complexe, nici dovezi elaborate, ci doar notificarea și înregistrarea pe platforma NIS2@RO. Faptul că prima sancțiune a vizat exact acest pas arată că obstacolul nu a fost dificultatea, ci amânarea.
Pentru o companie, concluzia practică este liniștitoare: cea mai probabilă primă verificare a autorității este și cea mai ușor de trecut. Dacă te asiguri că ești înregistrat la termen, elimini categoria de risc care a produs prima amendă din România.
Ce urmează după înregistrare
Înregistrarea rezolvă obligația de bază, dar nu încheie parcursul. După ce ești vizibil pentru autoritate, urmează partea de fond: implementarea măsurilor de securitate la nivelul CyFun în care te încadrezi. Pașii sunt aceiași indiferent de sector:
- parcurgi analiza de risc și confirmi nivelul CyFun (Bază, Important sau Esențial);
- realizezi autoevaluarea maturității pe cele șase funcții și identifici decalajul față de nivelul-țintă de maturitate 3 din 5;
- construiești și execuți un plan de implementare prioritizat pe risc;
- colectezi dovezile pe măsură ce lucrezi, nu înainte de audit.
Cu cât începi mai devreme această parte, cu atât ești mai puțin expus la o viitoare rundă de verificări care, previzibil, nu se va mai opri la simpla înregistrare. Prima amendă a vizat o obligație administrativă; următoarele vor privi tot mai mult fondul măsurilor de securitate.
Concluzie
Prima amendă NIS2 din România nu trebuie citită alarmist, ci ca un reper clar: termenele sunt reale și autoritatea le aplică. Pentru cele mai multe organizații, lecția este liniștitoare prin simplitatea ei, pentru că cea mai evitabilă greșeală, neînregistrarea, poate fi corectată rapid. Începe cu încadrarea și cu înregistrarea, apoi construiește implementarea pas cu pas.
Dincolo de cazul punctual, mesajul de context este util oricărei organizații vizate: NIS2 a intrat în faza în care conformitatea nu mai este o intenție, ci o cerință verificată. Cei care au tratat din timp obligațiile, începând cu cea mai simplă dintre ele, sunt acum în poziția cea mai confortabilă. Cei care au amânat au în continuare o cale clară de recuperare, cu condiția să nu mai întârzie. În ambele cazuri, primul pas este același și nu costă nimic: verificarea încadrării și înregistrarea.
Verifică-ți încadrarea și înregistrează-te
Nu ești sigur unde te afli sau ce ai de făcut mai departe? Contactează-ne și te ghidăm, de la înregistrare până la implementare.
Întrebări frecvente
Cât a fost prima amendă NIS2 aplicată de DNSC?
Prima sancțiune pe OUG 155/2024 a fost de 50.000 lei, aplicată unei instituții din administrația publică centrală, pentru nerespectarea termenului de notificare și înregistrare. A fost confirmată de presa de specialitate la sfârșitul lunii septembrie 2026.
Pentru ce a fost dată amenda?
Pentru nerespectarea obligației de notificare și înregistrare la termen, prevăzută la Art. 18 alin. (2) din OUG 155/2024, sancțiune încadrată la Art. 60 alin. (1) lit. o). Nu a fost o amendă pentru un incident de securitate, ci pentru neîndeplinirea unei obligații administrative de bază.
Cine a primit amenda?
O instituție din administrația publică centrală, încadrată în sectorul 10 (administrație publică). Faptul că prima sancțiune a vizat o instituție publică arată că obligațiile NIS2 se aplică deopotrivă sectorului public și celui privat.
Ce înseamnă această amendă pentru companii?
Marchează trecerea de la etapa de implementare la aplicarea efectivă a sancțiunilor. DNSC demonstrează că termenele nu sunt formale. Pentru companii, mesajul este clar: înregistrarea și respectarea termenelor nu mai pot fi amânate.
Ce fac dacă nu m-am înregistrat încă?
Nu amâna suplimentar. Verifică-ți încadrarea, înregistrează-te pe platforma NIS2@RO cât mai repede și începe implementarea măsurilor. Obligația rămâne valabilă chiar dacă termenul inițial a trecut, iar o înregistrare întârziată este de preferat uneia inexistente.
Amenda poate fi mult mai mare pentru o companie privată?
Da. Conform OUG 155/2024, entitățile esențiale pot fi sancționate cu până la 10.000.000 euro sau 2% din cifra de afaceri mondială, iar cele importante cu până la 7.000.000 euro sau 1,4%. Prima amendă a fost relativ mică, dar cadrul permite sancțiuni semnificativ mai mari.