Cine desemnează responsabilul și în ce termen
Articolul 14 alin. (3) din OUG nr. 155/2024 cere organelor de conducere ale entităților esențiale și importante să desemneze responsabilii cu securitatea în 30 de zile de la comunicarea deciziei DNSC de identificare și înscriere în registru. Tot conducerea stabilește mijloacele permanente de contact și alocă resursele necesare măsurilor de gestionare a riscurilor.
Rolul prevăzut de acest alineat este implementarea și supravegherea măsurilor de gestionare a riscurilor de securitate cibernetică la nivelul entității. Desemnarea trebuie legată de atribuții și de posibilitatea reală de a acționa, nu doar de un nume trecut într-un formular.
Sursă: OUG nr. 155/2024, art. 14 alin. (3); forma consolidată consultată la 21 octombrie 2026.
Înainte de aplicarea acestei reguli, verifică regimul entității. Pentru entitățile cărora li se aplică DORA, art. 2 alin. (3) păstrează numai art. 5–10 și art. 18 din ordonanță; art. 14 nu se atribuie automat prin acest ghid.
Sursă: OUG nr. 155/2024, art. 2 alin. (3).
Când se aplică cerințele suplimentare
Articolul 14 alin. (4) privește persoana desemnată în entitățile esențiale, cu excepția entităților administrației publice, a microîntreprinderilor și a întreprinderilor mici stabilite potrivit Legii nr. 346/2004. Acolo unde alineatul se aplică, condițiile de mai jos sunt cumulative.
- Are autoritate managerială.
- Se subordonează direct organelor de conducere ale entității.
- Funcționează independent de structurile IT și de tehnologie operațională.
- Are acces la resursele necesare pentru supravegherea și implementarea eficientă a măsurilor.
- Îndeplinește cerința privind cursul de specialitate acreditat, recunoscut de DNSC, în domeniul securității cibernetice, în termen de 12 luni de la desemnare.
Sursă: OUG nr. 155/2024, art. 14 alin. (4) lit. a)–e).
Cum verifici regula în trei situații
| Situație | Concluzie pentru art. 14 alin. (4) |
|---|---|
| Companie esențială, care nu este entitate a administrației publice și nu este microîntreprindere sau întreprindere mică; art. 14 îi este aplicabil. | Se verifică toate condițiile suplimentare, inclusiv independența față de IT/OT și cerința de formare. |
| Entitate importantă sau entitate esențială care intră într-una dintre excepțiile alin. (4); art. 14 îi este aplicabil. | Alin. (4) nu se extinde automat asupra ei. Obligația de desemnare din alin. (3) rămâne distinctă. |
| Nu cunoaștem încadrarea, dimensiunea legală sau regimul special al companiei. | Nu putem determina cerințele suplimentare din datele disponibile. Clarificăm aceste fapte înainte de alegerea persoanei. |
Sursă: OUG nr. 155/2024, art. 2 alin. (3) și art. 14 alin. (3)–(4).
Dimensiunea invocată de alin. (4) este cea stabilită potrivit Legii nr. 346/2004. Eticheta fiscală de microîntreprindere nu dovedește, singură, că excepția este îndeplinită. Nu folosi nici numărul de angajați izolat, fără analiza criteriilor legale relevante.
Conducerea, IT și specialistul extern au roluri distincte
Conducerea aprobă măsurile și supraveghează aplicarea lor, potrivit art. 14 alin. (1). Desemnarea responsabilului nu transferă întreaga răspundere a conducerii asupra acestuia. Echipa IT aplică măsurile tehnice care îi sunt atribuite, iar alte departamente contribuie la instruire, contracte și procese.
Sursă: OUG nr. 155/2024, art. 14 alin. (1) și (3).
Când se aplică alin. (4), alegerea șefului IT nu rezolvă prin ea însăși condiția de independență față de structurile IT și de tehnologie operațională. Verifică organizarea efectivă, linia de raportare și accesul la resurse. Pentru un specialist extern, un contract de consultanță nu dovedește singur că rolul reglementat și toate condițiile sale sunt îndeplinite.
Ce ar trebui să poată arăta compania
Ca organizare practică, păstrează un dosar al desemnării și actualizează-l când se schimbă persoana sau mandatul. Lista de mai jos ajută la urmărire; nu este un model obligatoriu de document stabilit prin acest articol.
- Decizia de desemnare și data de la care produce efecte.
- Atribuțiile și relația de raportare către conducere.
- Resursele și accesul necesar activității.
- Modul de colaborare cu IT, operațiuni, HR și achiziții.
- Dovezile privind condițiile suplimentare, dacă sunt aplicabile.
- Pentru curs: documentele care dovedesc acreditarea și recunoașterea cerute, precum și absolvirea în termen.
Întrebări frecvente despre rol
Sursă: Cerințele aprobate prin Ordinul DNSC nr. 1/2025, art. 5 alin. (2) lit. c)–d) și formularul din anexă.
Sursă: OUG nr. 155/2024, art. 14 alin. (4) lit. e).
Surse și limite
- OUG nr. 155/2024, forma consolidată — art. 2 și art. 14, inclusiv trimiterea la Legea nr. 346/2004
- Cerințele aprobate prin Ordinul DNSC nr. 1/2025 — art. 5 și formularul de notificare
- Legea nr. 346/2004, forma consolidată — art. 3–6: criterii de dimensiune și relații între întreprinderi
Surse consultate pentru revizia din 21 octombrie 2026. Articolele și versiunile relevante sunt indicate lângă explicații. Exemplele de organizare sunt orientative; analiza obligațiilor unei companii depinde de faptele sale și de forma aplicabilă a normelor.