DNSC aplică prima amendă pentru un incident cibernetic care nu a fost notificat la timp

Directoratul Național de Securitate Cibernetică a aplicat prima sancțiune contravențională pentru nerespectarea obligației de notificare a unui incident informatic în termenul prevăzut de legislație. O instituție din administrația publică centrală a fost amendată cu 50.000 de lei, într-un caz în care DNSC nu a făcut public numele entității și nici natura exactă a incidentului.

Decizia a fost emisă la 29 septembrie și reprezintă un moment important pentru modul în care autoritățile române tratează raportarea incidentelor de securitate cibernetică. Până acum, obligațiile de notificare au existat în cadrul legislativ, însă noua sancțiune arată că nerespectarea lor poate avea consecințe financiare directe.

De ce este importantă notificarea

În cazul unui incident informatic, timpul de reacție poate fi la fel de important ca natura atacului. O notificare transmisă rapid către autoritățile competente permite centralizarea informațiilor, identificarea unor tipare și, în anumite situații, avertizarea altor organizații care ar putea fi vizate de aceeași amenințare.

DNSC a precizat că respectarea obligațiilor de notificare contribuie la identificarea și gestionarea la timp a incidentelor și la creșterea capacității entităților de a răspunde amenințărilor cibernetice.

În administrația publică, problema este cu atât mai sensibilă cu cât instituțiile gestionează volume mari de date și oferă servicii esențiale pentru populație. O breșă sau o întrerupere a unui sistem informatic poate avea efecte care depășesc organizația afectată.

Prima amendă poate schimba comportamentul instituțiilor

Valoarea de 50.000 de lei nu este, în sine, cea mai importantă componentă a cazului. Semnalul transmis este că obligațiile de securitate cibernetică nu mai sunt privite doar ca proceduri administrative.

Instituțiile trebuie să știe ce tipuri de incidente trebuie raportate, în ce interval și cine este responsabil pentru transmiterea informațiilor. În organizațiile mari, această responsabilitate presupune existența unor proceduri clare între departamentele IT, conducere și echipele juridice.

Cazul este relevant și pentru companiile private care intră sub incidența legislației privind securitatea cibernetică. Pe măsură ce cadrul de reglementare devine mai complex, raportarea incidentelor va deveni o componentă normală a managementului riscului.

Inteligența artificială complică și mai mult situația

DNSC a avertizat recent și asupra faptului că inteligența artificială reduce bariera de acces pentru potențialii atacatori. Instrumentele AI pot fi utilizate pentru automatizarea unor etape ale atacurilor și pentru crearea unor tentative de fraudă mai credibile.

În acest context, securitatea cibernetică nu mai poate fi tratată exclusiv ca o problemă tehnică. Organizațiile au nevoie de proceduri de răspuns, instruirea angajaților și capacitatea de a identifica rapid incidentele.

Prima amendă aplicată de DNSC poate deveni astfel un reper pentru următoarea etapă a pieței românești de cybersecurity. Accentul se mută treptat de la recomandări și conformitate formală către responsabilitate măsurabilă.

Surse: Directoratul Național de Securitate Cibernetică