Verifică mai întâi evenimentul și impactul
Articolul 15 alineatul (6) folosește condiții alternative: perturbări operaționale grave ori pierderi financiare pentru entitate, sau afectarea altor persoane prin prejudicii materiale ori nonmateriale considerabile. Pot conta și efecte pe care incidentul le poate produce. Pentru categoriile supuse unor reguli de aplicare specifice, verifică și pragurile sectoriale.
Sursă: OUG nr. 155/2024, art. 15 alin. (1) și (6).
Etapele de bază și punctul de pornire
| Etapă | Reper |
|---|---|
| Avertizare timpurie | Fără întârzieri nejustificate, cel târziu în 24 de ore de la luarea la cunoștință de incidentul semnificativ |
| Raportarea incidentului | Fără întârzieri nejustificate, cel târziu în 72 de ore de la același reper, sub rezerva excepției pentru serviciile de încredere |
| Raport intermediar | La cererea echipei naționale de răspuns |
| Raport final | Cel târziu într-o lună de la raportarea incidentului prevăzută la alin. (7) lit. b) |
| Incident încă în desfășurare | Raport de progres, apoi raport final în termen de o lună de la gestionarea incidentului |
Sursă: OUG nr. 155/2024, art. 15 alin. (7)–(8).
Două reguli ușor de omis
Informația care permite constatarea unui impact transfrontalier se raportează fără întârzieri nejustificate, cel târziu în 6 ore de la luarea la cunoștință a informației. Pentru prestatorii de servicii de încredere, raportarea incidentelor semnificative care afectează serviciile de încredere are excepția de 24 de ore prevăzută la alineatul (8).
Sursă: OUG nr. 155/2024, art. 15 alin. (3) și (8).
Canalul oficial și evidența internă
Ordonanța indică Platforma națională pentru raportarea incidentelor de securitate cibernetică, PNRISC. Înaintea unui incident, verifică instrucțiunile oficiale de acces și desemnează persoanele care pot raporta. Înregistrarea unei activități în Cremene nu reprezintă transmiterea către autoritate.
Sursă: OUG nr. 155/2024, art. 15 alin. (2).
Ce notezi în cronologie
- Momentul observării și momentul în care informațiile au permis identificarea incidentului semnificativ.
- Serviciile afectate, impactul cunoscut și informațiile încă în verificare.
- Deciziile, persoanele responsabile și acțiunile de limitare.
- Transmiterea efectivă, confirmarea și versiunile raportărilor.
Surse și limite
Surse consultate pentru revizia din 9 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.