Ai un incident la firmă? Cui și în cât timp raportezi un incident cibernetic

Firma tocmai a fost lovită: site căzut, fișiere criptate, bani plecați într-un cont greșit sau un cont de email compromis. După primul val de panică vine întrebarea practică la care puțini au un răspuns pregătit: pe cine sun, în ce ordine și în cât timp?

Răspunsul scurt: ai mai multe canale, cu roluri și termene diferite, iar unele raportări sunt obligatorii legal. Vei vedea exact ce face fiecare, DNSC, ANSPDCP, Poliția și obligațiile NIS2, ce pregătești înainte să suni și în ce ordine să le iei, ca să nu pierzi nici timpul, nici termenele.

De ce raportezi, nu ascunzi

Mulți patroni cred că, dacă raportează un atac, vor părea vinovați sau incompetenți. Realitatea e invers: raportarea la timp arată diligență și te protejează în fața autorităților și a clienților. Raportarea la DNSC nu este o autodenunțare, ci o cerere de ajutor: ei oferă asistență tehnică, nu sancțiuni. În unele situații, raportarea este chiar obligatorie, dacă s-au scurs date personale sau dacă firma intră sub NIS2, iar nerespectarea poate aduce amenzi mult mai mari decât incidentul în sine. Iar ascunderea unui incident care iese ulterior la iveală distruge încrederea clienților mult mai grav decât o comunicare transparentă, făcută la timp.

DNSC: linia 1911 și platforma PNRISC

DNSC, Directoratul Național de Securitate Cibernetică, este autoritatea națională pentru securitate cibernetică și primul punct de contact pentru orice firmă lovită de un atac. Linia 1911 este call center-ul național: apelabilă din orice rețea, la tarif normal, disponibilă non-stop. Funcționează similar cu 112, dar exclusiv pentru incidente IT. Operatorii îți dau sfaturi tehnice de urgență, cum izolezi dispozitivele, cum blochezi accesul atacatorului, cum schimbi parolele compromise, și nu îți vor cere niciodată parole sau date de card.

Pentru raportarea propriu-zisă există platforma PNRISC, la adresa pnrisc.dnsc.ro, unde depui incidentul și ceri asistență. Formularul a fost simplificat ca să fie folosit atât de persoane, cât și de entități cu obligații NIS2. Tot DNSC pune la dispoziție și o secțiune de tip Blacklist cu domenii confirmate ca frauduloase, utilă pentru verificări.

ANSPDCP: când s-au scurs date personale

Dacă incidentul a expus date personale, ale clienților, angajaților sau furnizorilor, intervine o a doua obligație, separată de DNSC: notificarea autorității de protecție a datelor. Termenul este de maximum 72 de ore de la momentul în care ai luat cunoștință de încălcare, conform articolului 33 din GDPR. Notificarea descrie natura încălcării, categoriile și numărul aproximativ de persoane afectate, consecințele probabile și măsurile luate. Iar când riscul pentru persoane este ridicat, ai și obligația să le informezi direct, în limbaj clar și simplu, conform articolului 34.

Poliția și DIICOT: când faci plângere penală

Un atac cibernetic e și o faptă penală. Dacă ai pierdut bani, ești șantajat sau ți-au fost furate date, ai dreptul să depui plângere. Pentru cazurile obișnuite te adresezi Poliției, inclusiv structurilor de combatere a criminalității informatice, iar plângerea poate fi depusă la orice unitate. Pentru fapte grave sau crimă organizată, rețele de atacatori, fraude de amploare, șantaj organizat, competența aparține DIICOT. Atașează toate probele: capturi de ecran, log-uri, emailuri, dovezi de plată, mesaje de șantaj. Plângerea penală nu înlocuiește raportarea la DNSC sau notificarea ANSPDCP, sunt canale paralele, cu scopuri diferite.

NIS2: termene proprii pentru entitățile vizate

Dacă firma ta este o entitate esențială sau importantă în sensul NIS2 (transpus în România prin OUG 155/2024, modificată prin Legea 124/2025), ai obligații de raportare mai stricte, cu termene fixe către DNSC. Schema are trei pași: o avertizare timpurie în maximum 24 de ore de la constatarea unui incident semnificativ, notificarea incidentului în maximum 72 de ore și un raport final în termen de o lună. Aceste termene sunt distincte de raportarea voluntară pe care orice firmă o poate face, iar amenzile pentru neconformitate pot ajunge la milioane de euro. Dacă nu ești sigur că intri sub NIS2, vezi testul rapid din ghidul despre NIS2 pentru IMM și furnizori. NIS2 nu înlocuiește GDPR: dacă au fost afectate și date personale, rămâne valabilă notificarea separată către ANSPDCP.

Ce pregătești înainte să raportezi

Înainte să suni sau să completezi un formular, adună câteva informații de bază, ca raportarea să fie utilă și rapidă.

Ordinea practică, pas cu pas

Când ești în mijlocul unui incident, ordinea de mai jos te ține pe linie de plutire fără să pierzi probe sau termene.

Cum eviți panica data viitoare

Cel mai bun moment să știi cui raportezi este înainte de incident. Pregătește un plan de răspuns simplu, pe o pagină, cu numerele și link-urile utile (1911, pnrisc.dnsc.ro, dataprotection.ro) și desemnează din timp cine decide și cine sună. Ține backup-uri testate și offline, fiindcă multe incidente se rezolvă rapid dacă ai de unde restaura fără să plătești șantajul. Activează autentificarea în doi pași pe conturile critice, ține software-ul la zi și instruiește angajații să raporteze imediat orice e suspect. Pentru ce faci concret în primele 24 de ore ale unui atac, vezi ghidul despre un atac ransomware la firmă, iar pentru ce te poate costa lipsa măsurilor, vezi amenzile GDPR din 2025.