Pentru entitățile importante, amenda este de la 5.000 lei la 7.000.000 de euro sau 1,4% din cifra de afaceri anuală la nivel mondial. Pentru entitățile esențiale, de la 10.000 lei la 10.000.000 de euro sau 2%. Se aplică suma mai mare. Amenzile le aplică DNSC, iar contestația suspendă doar plata, nu obligația de a implementa măsurile.
Cât sunt amenzile
| Entitate | Amenda | Temei |
|---|---|---|
| Importantă | de la 5.000 lei la 7.000.000 € în echivalent lei sau până la 1,4% din cifra de afaceri anuală la nivel mondial, oricare este mai mare | OUG, art. 60 alin. (2) lit. a) |
| Esențială | de la 10.000 lei la 10.000.000 € în echivalent lei sau până la 2% din cifra de afaceri anuală la nivel mondial, oricare este mai mare | OUG, art. 60 alin. (2) lit. b) |
| Importantă, fapte mai puțin grave | 1.000–300.000 lei | OUG, art. 60 alin. (2) lit. c) |
| Esențială, fapte mai puțin grave | 1.500–500.000 lei | OUG, art. 60 alin. (2) lit. d) |
Procentul se calculează din cifra de afaceri a exercițiului financiar precedent. Pentru o companie cu 50 de milioane de euro cifră de afaceri, 1,4% înseamnă 700.000 de euro. Plafoanele sunt cele din directiva europeană, preluate ca atare în ordonanță.
Pentru ce te poate amenda DNSC
Contravențiile din art. 60 acoperă obligațiile principale din ordonanță. Cele pe care le vedem cel mai des neglijate:
- notificarea și înregistrarea la DNSC în termen, inclusiv actualizarea datelor;
- evaluarea nivelului de risc și autoevaluarea anuală a măsurilor, după Ordinul DNSC nr. 1/2026;
- implementarea măsurilor de gestionare a riscurilor corespunzătoare nivelului de asigurare;
- notificarea incidentelor semnificative în termenele legale;
- auditul de securitate cibernetică prin auditor atestat DNSC și planul de remediere de după raport;
- obligațiile conducerii: cursurile de formare, desemnarea responsabilului cu securitatea rețelelor și sistemelor informatice, instruirea angajaților.
Prima amendă DNSC
Pe 29 septembrie 2026, DNSC a aplicat prima amendă în baza OUG 155/2024: 50.000 de lei, pentru nerespectarea termenului de notificare. Semnalul este clar: DNSC sancționează mai întâi obligațiile de formă, pe care le poate verifica din birou, înainte să ajungă la măsurile tehnice. Contextul este în ghidul NIS2 în 2026.
Ce mai poate dispune DNSC
- un audit ad-hoc, după un incident semnificativ sau o schimbare majoră, pe costul entității auditate (art. 46);
- măsuri de remediere cu termene: planul de măsuri în cel mult 15 zile lucrătoare de la raportul de audit, apoi dovezi de implementare (art. 57);
- la entitățile esențiale, în caz de neconformare persistentă, suspendarea temporară a certificărilor sau autorizațiilor și interdicția temporară a exercitării funcțiilor de conducere de către persoanele responsabile (art. 49).
Contestarea amenzii
Decizia de sancționare se contestă la Curtea de Apel București, în 30 de zile de la comunicare (art. 61). Acțiunea suspendă doar plata amenzii. Măsurile tehnice și organizatorice dispuse rămân de implementat în termenele stabilite.
Cum eviți amenda: calendarul obligațiilor
| Obligație | Termen | Unde începi |
|---|---|---|
| Evaluarea nivelului de risc | după metodologia aprobată prin Ordinul DNSC nr. 2/2025 | Nivelul de risc NIS2 |
| Autoevaluarea măsurilor | anual; prima, în 60 de zile de la transmiterea evaluării nivelului de risc | Autoevaluarea NIS2 pas cu pas |
| Planul de remediere | entitățile esențiale, în 30 de zile de la autoevaluare | Planul de remediere |
| Responsabilul cu securitatea rețelelor și sistemelor informatice | 30 de zile de la comunicarea deciziei DNSC | Responsabilul NIS2 |
| Auditul de securitate cibernetică | periodic, după nivelul de risc; rezultatele la DNSC în 5 zile, planul în 15 zile lucrătoare | Auditul NIS2 |
| Incidentele semnificative | avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în cel mult o lună | SOC 24/7/365 |
Dacă nu știi unde ești, calculatorul gratuit de maturitate NIS2 îți dă în câteva minute o primă imagine.
Cum ajută TRU
Prin CIO-as-a-Service ținem calendarul de mai sus în locul tău: evaluarea nivelului de risc, autoevaluarea, planul de remediere, politicile și rolul de responsabil NIS2 externalizat. Auditul îl fac auditori atestați DNSC, parteneri TRU, cu contract direct.
Pentru măsurile tehnice: PenTest pentru dovezi de testare, SOC 24/7/365 pentru detecție și notificarea incidentelor la timp, Proton Business pentru criptare.
Surse
OUG 155/2024, forma consolidată, art. 46, 49, 57, 60 și 61, aprobată cu modificări prin Legea nr. 124/2025 (Monitorul Oficial nr. 638 din 7 iulie 2025) · DNSC: legislație · Ordinul DNSC nr. 1/2026.