Legea 48/2023:
ce trebuie să faceți și până când

Ce este Legea 48/2023#

Legea nr. 48 din 16 martie 2023 privind securitatea cibernetică a fost publicată în Monitorul Oficial la 28 aprilie 2023 și a intrat în vigoare la 1 ianuarie 2025 (art. 23) ¹. Stabilește cine răspunde de securitatea rețelelor și sistemelor informatice care susțin servicii critice, ce măsuri minime trebuie să ia și cum se raportează incidentele.

Preambulul spune explicit că legea transpune parțial Directiva (UE) 2022/2555 (NIS2) ¹⁹. Logica e aceeași, dar vocabularul diferă: legea vorbește de „furnizori de servicii”; împărțirea în furnizori esențiali și importanți apare abia în hotărârile de aplicare ²³.

Cui i se aplică#

Un furnizor de servicii e o persoană juridică, de drept public sau privat, înregistrată în Republica Moldova, care prestează servicii în sectoarele critice stabilite de Guvern și care a fost identificată de autoritatea competentă (art. 2) ¹. Sectoarele sunt în anexa 2 la HG 860/2024: energie, transport, bancar, infrastructura pieței financiare, sănătate, apă, infrastructură digitală, servicii TIC gestionate între companii, administrație publică și spațiu, plus „alte sectoare” — poștă și curierat, deșeuri, chimicale, alimente, fabricare, furnizori digitali și cercetare ².

Regula generală: legea privește întreprinderile de la mijlocie în sus (art. 3 alin. (1)), adică de la 50 de salariați, după Legea 179/2016 la care trimite HG 860/2024 ¹². Unele categorii intră însă indiferent de mărime:

Legea nu se aplică activităților care țin de secretul de stat, de apărare și securitate națională, de activitatea specială de investigații și de urmărirea penală (art. 3 alin. (3)). Iar o lege sectorială cu efecte cel puțin echivalente are prioritate (art. 3 alin. (5)–(7)) ¹.

Ce obligații aveți#

Articolul 11 cere trei lucruri care se văd la un control: o evaluare a vulnerabilităților și riscurilor, cu raport (alin. (2) pct. 1)), zece măsuri minime de securitate (pct. 2) lit. a)–j)) și verificarea lor, „inclusiv prin efectuarea auditurilor de securitate” (pct. 6)) ¹. Măsurile urmează aceleași capitole ca art. 21 din NIS2 ⁹:

• Politici de analiză a riscurilor și de securitate a sistemelor informatice.
• Gestionarea incidentelor: detectare, tratare, notificare în trepte.
• Continuitatea activității: copii de rezervă, recuperare după dezastru, gestionarea crizelor.
• Securitatea lanțului de aprovizionare, inclusiv față de furnizorii direcți.
• Securitate în achiziția, dezvoltarea și mentenanța sistemelor, cu gestionarea vulnerabilităților.
• Evaluarea eficacității măsurilor — testare, nu doar documente.
• Igienă cibernetică și instruirea personalului.
• Criptografie și criptare.
• Securitatea resurselor umane, controlul accesului și gestionarea activelor.
• Autentificare multifactor și comunicații securizate.

Anexa la HG 562/2025 detaliază măsurile: cel puțin o persoană responsabilă de securitate raportează direct conducerii, politica de securitate se revizuiește anual, riscurile se reevaluează cel puțin anual, jurnalele se păstrează minimum 12 luni, iar accesul critic cere autentificare multifactor ³. Furnizorul răspunde și pentru terțul care îi administrează sau găzduiește sistemele (art. 11 alin. (3)) ¹.

Termenele din HG 562/2025#

Hotărârea din 3 septembrie 2025 a înlocuit vechile cerințe minime (HG 201/2017) și a dat termene diferite pe categorii ³:

Un certificat ISO/IEC 27001 valabil vă scutește de anexa hotărârii, dar ASC vă poate evalua oricum. O cerință pe care nu o aplicați se motivează și se comunică Agenției în 10 zile ³.

Raportarea incidentelor: 24 h, 72 h, o lună#

Un incident are impact semnificativ dacă gravitatea lui e cel puțin „înaltă” în raportul de risc, dacă depășește nivelul de serviciu asumat, dacă perturbă alt furnizor sau dacă produce prejudicii considerabile (art. 12 alin. (5)) ¹. Termenele sunt în lege; HG 562/2025 stabilește conținutul fiecărei etape și praguri pe tipuri de servicii (DNS, cloud, centre de date, MSP) ¹³.

1. 0 h
   Aflați de incident

   De aici curg termenele. Fixați momentul în jurnal.

2. ≤ 24 h
   Notificarea inițială

   „Fără întârzieri nejustificate” către ASC; instituțiile publice, prin Centrul guvernamental de răspuns la incidente. Agenția răspunde tot în 24 de ore ¹.

3. ≤ 72 h
   Actualizarea

   Evaluarea inițială: gravitate, impact și indicatorii de compromitere ¹.

4. 1 lună
   Raportul final

   La o lună de la actualizare. Dacă incidentul continuă, trimiteți un raport de progres, apoi raportul final într-o lună de la închidere ¹³.

Notificarea se face pe platforma Agenției sau la [email protected] ⁷. Un terț care vă administrează sistemele trebuie să vă anunțe în aceleași termene (art. 12 alin. (4)) ¹.

Control, supraveghere și sancțiuni#

ASC supraveghează furnizorii, inclusiv prin audituri de securitate (art. 18), și face control de stat după legea controlului, pe bază de risc (art. 19) ¹. HG 825/2025 permite controale inopinate, cu cel puțin doi inspectori, iar planul anual de control se publică. La final, Agenția poate da avertismente, instrucțiuni obligatorii și poate cere aplicarea recomandărilor de audit ⁵.

Unde intră testarea de securitate#

Hotărârea nu cere un „pentest anual” scris ca atare. Cere ceva mai precis: teste de securitate stabilite pe baza riscului, după o metodologie documentată, cu înregistrarea tipului, sferei, orei și rezultatelor, iar constatările critice se atenuează (anexa HG 562/2025, pct. 74–76); scanări de vulnerabilități la intervale planificate (pct. 88.2) și teste în ciclul de dezvoltare (pct. 64.4) ³. Prima evaluare a conformității o fac persoane cu certificări în auditul securității informației ³.

Furnizorii IT și lanțul de aprovizionare#

Chiar dacă firma dumneavoastră nu e identificată, legea vă poate ajunge prin client. Capitolul V din anexa HG 562/2025 cere furnizorilor identificați să-și aleagă partenerii după criterii de securitate, să treacă în contract notificarea incidentelor, dreptul de audit, gestionarea vulnerabilităților și regulile de subcontractare și să țină un registru al furnizorilor direcți ³.

Pentru o firmă de dezvoltare, găzduire sau mentenanță, asta înseamnă întrebări noi la licitații și la reînnoirea contractelor: aveți un test de penetrare recent? Ce ați reparat? Cum ne anunțați un incident în timp ca noi să ne încadrăm în 24 de ore?

De unde începeți: șase pași#

1. Verificați încadrarea

   Sector, mărime, categoriile fără prag. Dacă ați primit o notificare de la ASC, aveți 15 zile pentru obiecții ².

2. Faceți inventarul

   Sistemele care susțin serviciul critic, cine are acces la ele și ce e expus spre internet.

3. Testați ce e expus

   Un test de penetrare extern arată ce ar găsi un atacator și dă prioritățile analizei de risc.

4. Scrieți analiza riscurilor

   Cu raport și plan de tratare, trimise la ASC în 10 zile de la aprobare ³.

5. Pregătiți procedura de incident

   Pentru 24 h, 72 h și o lună, cu șablon completat dinainte și contactele ASC ¹⁷.

6. Strângeți dovezile

   Raportul de test cu re-test, jurnalele de 12 luni și registrul furnizorilor — exact ce va cere evaluarea conformității ³.

Întrebări frecvente