Raportarea incidentelor la DNSC: termenele de 24h, 72h și 1 lună, pas cu pas

01Ce contează ca „incident semnificativ”

Nu orice eveniment de securitate se raportează — doar incidentele semnificative. Un incident e semnificativ dacă: (a) a provocat sau poate provoca perturbări operaționale grave ale serviciilor ori pierderi financiare pentru entitate; sau (b) a afectat ori poate afecta alte persoane fizice sau juridice, cauzând prejudicii materiale sau morale considerabile. Exemple tipice: ransomware care oprește operațiunile, exfiltrare de date, compromiterea unui sistem critic, indisponibilitate prelungită a serviciului.

02Unde raportezi: PNRISC

Raportarea se face prin PNRISC — Platforma Națională pentru Raportarea Incidentelor de Securitate Cibernetică (pnrisc.dnsc.ro), operată de DNSC. Acolo completezi formularele pentru fiecare etapă de raportare. Detaliu care contează în criză: asigură-te DIN TIMP că știi cine are cont, cine e înlocuitorul lui și de unde se accesează platforma.

03Ceasul raportării: toate termenele

04Ce conține fiecare raport

Avertizarea timpurie (24h) e scurtă și la obiect: identificarea entității și a persoanei de contact, ce s-a detectat și când, dacă există suspiciunea unei cauze ilegale sau malițioase și dacă incidentul poate avea impact transfrontalier, plus măsurile imediate luate.

Notificarea (72h) actualizează alerta cu o evaluare inițială: severitatea și impactul incidentului (sisteme și servicii afectate, utilizatori afectați, durată), indicatorii de compromitere disponibili (IoC) și măsurile de răspuns aplicate până în acel moment.

Raportul final (1 lună) închide dosarul: descrierea detaliată a incidentului — severitate, impact, cronologie —, tipul amenințării și cauza-rădăcină, măsurile de atenuare aplicate și cele în curs, plus impactul transfrontalier dacă a existat.

05Nu uita de clienți: notificarea destinatarilor

Pe lângă DNSC, legea cere să-ți notifici fără întârziere destinatarii serviciilor despre incidentele semnificative care le-ar putea afecta serviciile. Iar când există o amenințare cibernetică semnificativă, trebuie să le comunici și măsurile pe care le pot lua ei ca să se protejeze. Pregătește-ți din timp un șablon de comunicare către clienți — redactat la rece, nu în mijlocul crizei.

06Ce riști dacă nu raportezi

Neraportarea sau raportarea cu întârziere e o încălcare distinctă, sancționabilă separat de incident în sine — cu amenzi care urcă până la plafonul maxim (10 mil. € sau 2% din cifra de afaceri pentru entitățile esențiale, 7 mil. € sau 1,4% pentru cele importante). Practic, poți fi victima unui atac și totuși să primești amendă — nu pentru atac, ci pentru tăcere. Incidentul te costă o dată; neraportarea lui, a doua oară.

07Cum te pregătești înainte de primul incident

• Procedură de răspuns scrisă și aprobată: cine decide că e „semnificativ”, cine raportează, cine comunică cu clienții — cu înlocuitori pentru fiecare rol.
• Acces pregătit la PNRISC: conturi create, date de identificare ale entității la îndemână (nu le cauți în noaptea incidentului).
• Jurnalizare și detecție funcționale: nu poți raporta în 24h un incident pe care îl descoperi după o săptămână.
• Șabloanele pregătite: structura alertei de 24h, a notificării de 72h și a comunicării către clienți, gata de completat.
• Un exercițiu pe an: simulează un ransomware într-o dimineață de vineri și cronometrează cât durează până la „alerta transmisă”.

08Greșelile frecvente

• Aștepți investigația completă înainte de alerta de 24h — greșit: alerta transmite ce știi acum, detaliile vin la 72h și în raportul final.
• Raportezi doar incidentele confirmate ca atacuri — pragul e „impact semnificativ”, nu „cauză malițioasă dovedită”.
• Uiți raportul final — notificarea de 72h nu închide obligația; lipsa raportului final e tot o încălcare.
• Nimeni nu știe cine apasă butonul — fără roluri clare, primele ore se pierd pe „cine sună la cine”.
• Nu notifici clienții afectați — obligația față de destinatari e separată de cea față de DNSC.

În Normward, fiecare incident înregistrat pornește automat cronometrul celor trei termene (24h/72h/1 lună), cu statusul fiecărui pas la vedere — iar conținutul notificărilor se generează cu AI din datele incidentului, structurat pe cerințele art. 23, gata de verificat și transmis prin canalul oficial. Primul pas însă e să știi unde te încadrezi: fă testul de 5 minute cu calculatorul gratuit.