Legea 48/2023:
ce obligații de securitate cibernetică ai în Moldova
Primul cadru național obligatoriu de securitate cibernetică al Republicii Moldova, explicat pentru companii: cine intră sub incidența lui, ce trebuie făcut și cum se dovedește.
Mult timp, securitatea cibernetică a fost pentru companiile din Moldova o cerință care venea de la clienți sau de la parteneri externi. Legea nr. 48/2023 schimbă asta: aduce un cadru național obligatoriu, construit pe modelul european NIS2, cu entități desemnate, măsuri minime și obligație de raportare a incidentelor. Acest ghid explică ce înseamnă practic pentru o organizație care se întreabă dacă o privește.
Ce este, pe scurt
Legea nr. 48/2023 privind securitatea cibernetică stabilește cadrul juridic și instituțional al domeniului în Republica Moldova. Este aliniată la Directiva europeană NIS2 — aceeași logică de entități esențiale și importante, aceleași categorii de măsuri de gestionare a riscurilor, același model de raportare în trepte a incidentelor. Pentru companiile care lucrau deja cu parteneri din UE, asta e o veste bună: efortul nu se dublează.
Cui i se aplică
Legea vizează organizațiile care furnizează servicii considerate critice pentru funcționarea societății și a economiei. Sectoarele urmează structura europeană: energie, transport, sector bancar și infrastructuri ale pieței financiare, sănătate, apă potabilă și ape uzate, infrastructură digitală, administrație publică, servicii poștale, gestionarea deșeurilor, producție și distribuție de alimente, industrie, furnizori de servicii digitale și cercetare.
Ca și în NIS2, încadrarea depinde de sector și de dimensiunea organizației, cu diferența dintre entități esențiale și importante reflectată mai ales în intensitatea supravegherii: primele sunt supravegheate proactiv, celelalte mai ales ca reacție la incidente sau sesizări.
Ce obligații aduce
- Politici de analiză a riscurilor și de securitate a sistemelor informaționale.
- Gestionarea incidentelor: detectare, tratare, raportare în trepte către autoritatea competentă.
- Continuitatea activității: copii de rezervă, recuperare în caz de dezastru, gestionarea crizelor.
- Securitatea lanțului de aprovizionare, inclusiv cerințe către furnizorii direcți.
- Securitatea în achiziția, dezvoltarea și întreținerea sistemelor, cu gestionarea vulnerabilităților.
- Politici de evaluare a eficacității măsurilor — adică testare, nu doar documentare.
- Igienă cibernetică și instruirea personalului.
- Criptografie, controlul accesului, autentificare multifactor și comunicații securizate.
Raportarea incidentelor, în trepte
Modelul preluat din NIS2 împarte raportarea în trei momente: o avertizare timpurie foarte rapidă, o notificare cu evaluare inițială în primele zile și un raport final după închiderea incidentului. Termenele exacte și formularele se stabilesc prin actele normative subordonate, dar structura este constantă — iar consecința practică e că procedura internă trebuie să poată produce un mesaj util în ore, nu în săptămâni.
Unde intră testarea de securitate
Două obligații din listă nu se pot închide cu documente: evaluarea eficacității măsurilor și gestionarea vulnerabilităților. Prima cere o verificare independentă a faptului că apărarea rezistă; a doua cere să știi ce vulnerabilități ai înainte să le găsească altcineva. Un test de penetrare le acoperă pe amândouă și produce, în plus, exact formatul de dovadă pe care îl caută un control: perimetru, metodologie, constatări, remediere, re-test.
| Obligație | Ce nu e suficient | Ce produce testarea |
|---|---|---|
| Evaluarea eficacității măsurilor | O politică semnată și o listă de controale | Verificare practică a apărării, cu rezultat măsurabil |
| Gestionarea vulnerabilităților | Un scaner rulat o dată, fără urmărirea remedierii | Constatări prioritizate pe risc real, plus dovada închiderii lor |
| Securitatea lanțului de aprovizionare | Un chestionar completat de furnizor | Raport independent pe integrarea furnizorului cu sistemele tale |
| Continuitatea activității | Un plan scris, netestat | Scenarii de atac care arată unde se rupe planul |
Întrebări frecvente
Ce este Legea 48/2023?
Este legea Republicii Moldova privind securitatea cibernetică, care stabilește cadrul juridic și instituțional al domeniului: cine sunt entitățile vizate, ce măsuri minime de gestionare a riscurilor trebuie implementate, cum se raportează incidentele și cum se exercită supravegherea. Este construită pe modelul Directivei europene NIS2, ceea ce face ca un program de conformitate să acopere, în mare parte, ambele cadre.
Cum știu dacă firma mea intră sub incidența legii?
Verifică două lucruri: sectorul în care activezi și dimensiunea organizației. Sectoarele vizate urmează structura europeană — energie, transport, bancar, sănătate, apă, infrastructură digitală, administrație publică și altele. Dacă nu ești entitate desemnată, verifică al treilea traseu: dacă ești furnizor pentru o entitate care este, cerințele ajung la tine prin contract, ca parte a obligațiilor ei privind lanțul de aprovizionare.
Legea cere explicit teste de penetrare?
Ca și NIS2, legea cere politici de evaluare a eficacității măsurilor de gestionare a riscurilor și gestionarea vulnerabilităților, fără să impună o metodă anume. În practică, aceste două obligații nu se pot demonstra cu documente: e nevoie de o verificare tehnică independentă. Testul de penetrare este forma cea mai directă de dovadă și produce formatul pe care îl caută o autoritate de control: perimetru, metodologie, constatări, remediere, re-test.
Ce legătură are cu NIS2 și GDPR?
Legea 48/2023 este alinierea națională la modelul NIS2, deci cerințele se suprapun aproape complet: aceleași categorii de măsuri, aceeași logică de entități, același model de raportare a incidentelor. GDPR este un cadru diferit, care privește protecția datelor personale, dar se intersectează la măsurile tehnice: Articolul 32 cere testarea regulată a eficacității acestora. O singură campanie de testare poate produce dovezi pentru toate trei.
De unde încep dacă nu am făcut nimic până acum?
Din inventar și din perimetru. Mai întâi stabilești ce sisteme susțin serviciul pe care îl furnizezi și cine are acces la ele; apoi verifici tehnic ce e expus spre internet. Un test de penetrare extern la începutul programului dă lista de priorități reale și evită cea mai frecventă greșeală: luni de scris politici, în timp ce o interfață de administrare rămâne publică. Documentația se construiește mai ușor peste o imagine tehnică clară decât invers.
Ghiduri conexe
- Cât costă un pentest — ce determină prețul, cum se estimează efortul și ce face o ofertă comparabilă cu alta.
- DORA & TLPT — reziliența operațională digitală în sectorul financiar și testarea bazată pe amenințări.
- ISO 27001 & SOC 2 — ce controale cer testare tehnică și ce dovezi acceptă auditorul.
- OWASP Top 10 — cele zece categorii de riscuri web, explicate cu exemple și cu ce se testează la fiecare.
- PCI DSS 4.0 — cerințele 11.3 și 11.4, testarea segmentării și ce înseamnă pentru procesatorii de plăți.
- Pentest vs scanare de vulnerabilități — ce găsește fiecare, ce ratează și ce acceptă auditorii ca dovadă.
- Cum te pregătești de pentest — perimetru, acces, reguli de angajament și tot ce se stabilește înainte de prima zi.
Acest material are caracter informativ și nu constituie consultanță juridică. Textul legii și actele normative subordonate se pot modifica; încadrarea concretă a unei organizații se stabilește de la caz la caz, cu un specialist.
Nu știi dacă legea te privește?
Programează o consultație gratuită: stabilim împreună perimetrul și primești un plan de testare pe obligațiile care chiar ți se aplică.