Raportarea incidentelor NIS2: 24 de ore, 72 de ore, o lună

Actualizat: 02.10.2026 · ~6 min de citit

Entitățile esențiale și importante au obligația să raporteze la DNSC incidentele semnificative, în trei etape cu termene fixe. Regulile vin din OUG 155/2024, modificată prin Legea 124/2025, care transpune art. 23 din Directiva NIS2. Nu orice alertă de antivirus sau email de phishing trebuie raportat, așa că primul pas este să știi ce înseamnă „semnificativ”.

Când este un incident semnificativ

După modificările aduse de Legea 124/2025, un incident este semnificativ dacă îndeplinește cel puțin una dintre condiții:

• a cauzat sau poate cauza perturbări operaționale grave ale serviciilor ori pierderi financiare pentru entitate;
• a afectat sau poate afecta alte persoane fizice sau juridice, cu prejudicii materiale sau morale considerabile.

Condițiile sunt alternative, nu cumulative. Formularea „poate cauza” contează: nu aștepți să se vadă tot impactul ca să începi raportarea. Criteriile și pragurile pentru gradul de perturbare a unui serviciu sunt detaliate în Ordinul DNSC 2/2025.

Cele trei etape

Etapă	Termen	Ce conține
Avertizare timpurie	24 de ore de la luarea la cunoștință	Semnalarea incidentului și, dacă se poate spune deja, dacă pare cauzat de o faptă ilicită sau rău intenționată ori poate avea impact transfrontalier
Notificarea incidentului	72 de ore de la luarea la cunoștință	Actualizarea avertizării, cu o primă evaluare a gravității și a impactului și, unde există, indicatorii de compromitere
Raport final	Cel mult o lună de la notificare	Descrierea detaliată a incidentului, tipul de amenințare sau cauza probabilă, măsurile luate și impactul transfrontalier, dacă există

Dacă incidentul nu e închis la o lună, Directiva NIS2 prevede un raport de progres la acel moment și raportul final în cel mult o lună după gestionarea incidentului. Pe parcurs, DNSC poate cere și rapoarte intermediare.

De când se numără cele 24 de ore

Termenul curge de la momentul în care organizația ia cunoștință de incident, nu de la momentul în care a început atacul. În practică, asta înseamnă momentul în care cineva din firmă are suficiente informații ca să considere incidentul semnificativ. De aceea contează cine monitorizează sistemele și cât de repede ajunge informația la Responsabilul NIS.

Ce trebuie pregătit dinainte

La primul incident nu e timp să construiești procesul. Înainte să fie nevoie de el, firma ar trebui să aibă:

• o procedură scrisă de gestionare a incidentelor, aprobată de conducere;
• criteriile interne după care un eveniment devine incident semnificativ, aliniate cu Ordinul DNSC 2/2025;
• o persoană desemnată să decidă și să trimită raportările, plus un înlocuitor;
• datele de acces la canalul de raportare DNSC, verificate din timp;
• un registru de incidente, în care se trec și evenimentele care nu au fost raportate, cu motivul;
• jurnalele (log-urile) sistemelor importante păstrate suficient de mult cât să poată fi analizate după un incident.

Un exercițiu de simulare (tabletop) de o oră sau două cu conducerea și echipa IT arată repede unde se blochează procesul: cine nu știe că trebuie anunțat, ce parole lipsesc, cine are ultimul cuvânt.

Raportarea NIS2 și notificarea GDPR

Dacă incidentul afectează și date cu caracter personal, pe lângă raportarea către DNSC poate exista obligația de notificare a ANSPDCP în 72 de ore, conform art. 33 GDPR. Sunt două obligații separate, către autorități diferite, cu conținut diferit. Procedura internă ar trebui să le trateze pe amândouă, ca să nu se piardă una dintre ele în graba incidentului.

Termenele de raportare sunt doar una dintre obligațiile cu dată limită; restul sunt în ghidul Termenele NIS2 în România. Pentru o procedură de incidente adaptată firmei tale, cere o evaluare gratuită.