Cum raportezi un incident de securitate sub NIS2

Când ai un incident semnificativ, legea îți dă termene scurte și le numără din momentul în care afli de el. Mai jos găsești rapoartele pe rând, ce pui în fiecare și unde le trimiți, ca să nu cauți asta în mijlocul incidentului.

Verificat cu sursele oficiale la 17 septembrie 2026. 2026-09-17

Rapoartele și termenele lor

Raportul	Termenul	Se numără	Temei
Informarea privind impactul transfrontalier	Termenul: 6 ore	Se numără: din momentul în care afli că incidentul are urmări și în altă țară	Temei: OUG 155/2024 art. 15 alin. (3)
Avertizarea timpurie	Termenul: 24 de ore	Se numără: din momentul în care afli de incident	Temei: OUG 155/2024 art. 15 alin. (7) lit. a)
Raportarea incidentului	Termenul: 72 de ore (24 de ore pentru prestatorii de servicii de încredere)	Se numără: din momentul în care afli de incident	Temei: OUG 155/2024 art. 15 alin. (7) lit. b)
Raportul final	Termenul: o lună	Se numără: de la trimiterea raportării de 72 de ore	Temei: OUG 155/2024 art. 15 alin. (7) lit. d)
Raportul de progres	Termenul: o lună	Se numără: de la trimiterea raportării de 72 de ore, doar dacă incidentul nu e rezolvat când vine termenul raportului final	Temei: OUG 155/2024 art. 15 alin. (7) lit. e)

Termenele în ore curg fără pauză, și noaptea, și în weekend, și de sărbători. Sunt limite maxime: legea îți cere să raportezi fără întârzieri nejustificate, deci nu aștepta ultima oră.

Ce scrii în fiecare raport

Avertizarea timpurie

dacă există suspiciuni că incidentul e cauzat de acțiuni ilicite sau răuvoitoare
dacă ar putea avea un impact transfrontalier

Raportarea incidentului

actualizarea informațiilor din avertizarea timpurie
o evaluare inițială a incidentului, inclusiv gravitatea și impactul
indicatorii de compromitere, dacă sunt disponibili

Raportul final

descrierea detaliată a incidentului, inclusiv gravitatea și impactul
tipul de amenințare sau cauza principală probabilă
măsurile de atenuare aplicate și cele în curs
dacă este cazul, impactul transfrontalier

Temei: OUG 155/2024 art. 15 alin. (7) lit. a); OUG 155/2024 art. 15 alin. (7) lit. b); OUG 155/2024 art. 15 alin. (7) lit. d)

Când e un incident „semnificativ”

Un incident e semnificativ dacă răspunsul e „da” la oricare dintre întrebările de mai jos. Doar incidentele semnificative se raportează la DNSC.

Incidentul a provocat sau poate provoca perturbări operaționale grave ale serviciilor ori pierderi financiare pentru firmă?
A afectat sau poate afecta alte persoane fizice ori juridice, cu prejudicii materiale sau nemateriale considerabile?

Normele metodologice privind raportarea incidentelor, pe care DNSC trebuia să le aprobe prin ordin, nu erau publicate la 2026-09-18 (Portalul legislativ, până la Monitorul Oficial nr. 789 din 17 septembrie 2026). Până apar, nu există praguri naționale în cifre: „semnificativ” se judecă după cele două condiții din art. 15 alin. (6), iar pentru furnizorii din Regulamentul (UE) 2024/2690, și după pragurile lui.

Temei: OUG 155/2024 art. 15 alin. (6) lit. a); OUG 155/2024 art. 15 alin. (6) lit. b)

Unde trimiți rapoartele

Rapoartele se depun în Platforma Națională de Raportare a Incidentelor de Securitate Cibernetică (PNRISC), la adresa de mai jos.
Dacă ai dubii despre ce formular alegi, suni la 1911, numărul DNSC pentru incidente.
Raportarea către DNSC nu ține locul notificării către ANSPDCP. Dacă incidentul atinge date personale, notificarea GDPR se face separat, în 72 de ore.

https://pnrisc.dnsc.ro/raporteaza/nis

Temei: OUG 155/2024 art. 62 alin. (4)

Pe scurt

În cât timp raportez un incident de securitate?

Pentru un incident semnificativ trimiți o avertizare timpurie în cel mult 24 de ore de când ai aflat de el, o raportare în cel mult 72 de ore din același moment și un raport final în cel mult o lună de la trimiterea raportării. Raportezi către DNSC, prin platforma națională PNRISC.

Un incident este semnificativ dacă a provocat sau poate provoca perturbări grave ale serviciilor ori pierderi financiare, sau dacă a afectat ori poate afecta alte persoane cu prejudicii considerabile.
Termenele sunt în ore și curg fără întrerupere, inclusiv în weekend și de sărbători. Legea nu prevede nicio suspendare.
Dacă afli că incidentul are urmări și în altă țară, anunți asta în cel mult 6 ore de când ai aflat.
Prestatorii de servicii de încredere au 24 de ore și pentru raportare, nu 72.
Dacă incidentul e încă în desfășurare la termenul raportului final, trimiți un raport de progres, iar raportul final vine în cel mult o lună de la rezolvare.
Raportarea nu te expune, prin ea însăși, unei răspunderi mai mari și nu înlocuiește notificările cerute de GDPR.

Temei: OUG 155/2024 art. 15 alin. (2), (3), (6), (7) și (8); OUG 155/2024 art. 62 alin. (4)

Întrebări pe care le primim des

Contează dacă incidentul se întâmplă vineri seara?

Nu. Termenele de 6, 24 și 72 de ore curg fără pauză, și noaptea, și în weekend, și de sărbători. Legea nu prevede nicio suspendare, așa că merită să știi dinainte cine trimite raportul când firma e închisă.

Temei: OUG 155/2024 art. 15 alin. (7)

Dacă incidentul atinge și date personale, ajunge raportul către DNSC?

Nu. Raportarea către DNSC nu ține locul notificării către ANSPDCP. Dacă sunt atinse date personale, trimiți separat și notificarea cerută de GDPR, în cel mult 72 de ore.

Temei: OUG 155/2024 art. 62 alin. (4); Regulamentul (UE) 2016/679 art. 33

O mentenanță planificată care oprește serviciul e incident?

Nu. Întreruperile programate și urmările planificate ale unei mentenanțe programate nu sunt incidente semnificative.

Temei: Regulamentul (UE) 2024/2690 art. 3 alin. (2)

Vrei răspunsul pentru firma ta?

Verificatorul ia cifrele din ultimul bilanț, te întreabă ce face firma și îți spune dacă intri sub lege, cu explicația pe articole și un PDF. Durează două minute și nu îți cere cont.

Verifică dacă intri sub NIS2