Care este fundamentul răspunderii administratorilor?

(Analiză juridică în lumina O.U.G. nr. 155/2024 și a Directivei (UE) 2022/2555 - NIS2)

Securitatea informatică a încetat să mai fie o chestiune tehnică delegabilă specialiștilor, devenind un atribut de guvernanță corporativă și o componentă a obligației de prudență și loialitate a administratorilor. Dar care este fundamentul răspunderii administratorilor? Și unde regăsim o delimitare între guvernanță și diligență managerială?

Ordonanța de Urgență Guvernamentală (O.U.G.) nr. 155/2024 consacră un standard clar de răspundere, adică organele de conducere ale entităților esențiale (companii din sectoare critice, precum energie, transport, sănătate) trebuie să aprobe politicile și măsurile de gestionare a riscurilor cibernetice, să asigure implementarea acestora și să supravegheze permanent respectarea cerințelor legale.

1. Cadrul normativ și obiectul juridic protejat

Evoluția normativă europeană și națională în materie de securitate cibernetică marchează o transformare structurală a rolului conducerii executive. Prin transpunerea Directivei (UE) 2022/2555 (NIS2), O.U.G. nr. 155/2024 a instituit pentru prima dată în dreptul român o răspundere juridică expresă a organelor de conducere pentru neglijența managerială care permite producerea sau agravarea incidentelor cibernetice.

Astfel, această obligație depășește limitele unui simplu control formal. Funcțiile de conducere devin subiecți direcți ai obligației de conformare, fiind chemați să dovedească exercitarea unei diligențe active - planificare, control, verificare și remediere.

Totuși, cum putem determina standardul unui reprezentant informat? Răspunderea este dublată de obligația de formare profesională: membrii organelor de conducere trebuie să urmeze cursuri acreditate de securitate cibernetică și să asigure pregătirea personalului cu atribuții relevante.

Se conturează astfel figura reprezentantului informat, capabil să evalueze riscurile și să adopte decizii în cunoștință de cauză. Lipsa instruirii sau a competențelor minime nu exonerează răspunderea, ci constituie o formă de neglijență managerială.

2. Obligațiile pozitive care nasc răspunderea conducerii

Într-o primă etapă, accesul este pus pe implementarea măsurilor de securitate și pe efectuarea unui audit cibernetic. În practică, entitățile vizate trebuie (i) să adopte măsuri tehnic-organizaționale adecvate și proporționale cu riscurile identificate, (ii) să integreze cerințe de securitate în lanțul de aprovizionare și (iii) să se supună auditurilor periodice și ad-hoc efectuate de organisme independente sau de autoritatea competentă.

Funcțiile de conducere răspund pentru neimplementarea, implementarea superficială sau lipsa supravegherii acestor măsuri. Orice deficiență de planificare, alocare bugetară ori control managerial poate fi calificată drept lipsă de diligență.

Ulterior, vor fi normalizate raportarea incidentelor, entitățile fiind obligate să notifice incidentele semnificative către Directoratul Național de Securitate Cibernetică (DNSC) pe flux etapizat: avertizare timpurie în cel mult 24 de ore de la descoperirea incidentului, o notificare detaliată în cel mult 72 de ore și un raport final în cel mult 30 de zile.

Această obligație nu este doar procedurală, ci stabilește un standard de reacție managerială. Omisiunea raportării, întârzierea nejustificată sau furnizarea de informații inexacte atrag răspunderea conducerii pentru lipsă de supraveghere sau gestiune defectuoasă a riscului.

3. Mecanismele de supraveghere și aplicare

DNSC este autoritatea cu atribuții de control, supraveghere și aplicare. Acesta poate dispune:

audituri de securitate regulate sau ad-hoc;
solicitări de documente, politici și dovezi privind implementarea măsurilor;
instrucțiuni obligatorii pentru remedierea deficiențelor;
ordine de încetare a comportamentelor neconforme;
desemnarea unui responsabil de monitorizare cu sarcini determinate.

Aceste competențe conferă autorității un rol activ de protector al diligenței manageriale, permițând intervenția înainte ca o neglijență să se materializeze într-un incident major.

În cazurile grave, când entitatea nu se conformează măsurilor impuse, autoritatea poate solicita suspendarea temporară a certificărilor sau interdicția de exercitare a funcțiilor executive ori de reprezentare legală pentru persoanele responsabile.

Această sancțiune, de natură administrativ-preventivă, marchează o etapă de maturizare a regimului juridic: răspunderea se personalizează, trecând de la entitate la individul decident.

4. Răspunderea contravențională a conducerii

Legiuitorul a prevăzut un regim contravențional specific pentru membrii organelor de conducere care nu respectă obligațiile legale. Astfel regimul sancționator prevăzut în O.U.G. nr. 155/2024 se aplică diferențiat între entități și conducere, conform art. 50:

Pentru evaluarea măsurilor și sancțiunilor se va ține cont de durata faptei, existența abaterilor anterioare, prejudiciile, conduita în raport cu autoritățile și măsurile adoptate pentru remediere. Organele de conducere răspund pentru permiterea accesului personalului DNSC la spațiile si datele supuse controlului, conform alin. 3;
În cazul încălcărilor grave se vor observa repetarea faptelor, obstrucționarea auditurilor, furnizarea de informații false și nerespectarea dispozițiilor DNSC.

Este important de reținut că art. 50 alin. (4) stabilește că Adunarea generală a acționarilor și consiliul de administrație nu sunt organe de conducere în sensul ordonanței. Astfel, răspunderea vizează persoanele cu funcții executive (directori, administratori executivi), nu structurile deliberative.

Prin această clarificare legislative putem concluziona că răspunderea pecuniară directă a membrilor consiliilor neexecutive este limitată. Răspunderea personală a conducerii se manifestă mai ales prin măsuri corective, interdicții temporare și sancțiuni administrative, nu prin amenzi individuale aplicabile automat.

5. Diligența managerială ca mijloc de exonerare

Pentru a evita angajarea răspunderii, administratorii trebuie să demonstreze o diligență activă și documentată. Elemente probatorii relevante sunt:

existența unui plan anual de conformitate cibernetică aprobat la nivel de conducere;
desemnarea formală a unui responsabil CISO cu competențe reale;
buget dedicat securității IT/OT;
efectuarea de audituri externe periodice;
simulări de incident și testări de reziliență;
documentarea instruirii și a procesului decizional.

În lipsa acestor dovezi, răspunderea pentru neglijență managerială se prezumă. Totuși, aprecierea trebuie să fie proporțională cu specificul sectorial și dimensiunea entității - principiul proporționalității impune evaluarea contextului organizațional, nu aplicarea automată a sancțiunilor.

6. Interacțiunea cu alte regimuri juridice

Incidentele cibernetice pot intersecta domenii reglementate distinct, în special protecția datelor cu caracter personal (GDPR) și regimul privind entitățile critice.
O.U.G. nr. 155/2024 prevede expres că, în cazul în care încălcarea securității poate conduce la o breșă de date personale, autoritatea competentă informează autoritatea de protecție a datelor, evitând dubla sancționare.

Comparativ, Legea nr. 362/2018 (NIS1) impunea obligații de securitate și notificare doar entităților, fără a stabili o răspundere personală a conducerii. Prin O.U.G. 155/2024, legiuitorul adaugă o dimensiune de guvernanță: conducerea devine direct responsabilă de implementarea și supravegherea măsurilor tehnice.

Articolele 25–30 din O.U.G. 155/2024 stabilesc cerințele minime de securitate și mecanismele de notificare și management al incidentelor, preluând principiile NIS1, dar extinzându-le prin audituri obligatorii, evaluarea impactului și cooperarea transfrontalieră.

În plus, art. 50 alin. (1)–(4) consolidează criteriile de evaluare a gravității faptelor și introduce o distincție clară între răspunderea entității și cea a organelor de conducere executive.

Rezultă o evoluție de la răspunderea colectivă (NIS1) la răspunderea individuală managerială (NIS2), în concordanță cu tendințele europene de personalizare a obligațiilor de guvernanță.

7. Concluzii practice: spre o nouă cultură a răspunderii digitale

Răspunderea administratorilor pentru incidentele de securitate cibernetică marchează tranziția de la conformare formală la responsabilitate personală. Administratorul informat devine pivotul rezilienței organizaționale. Totuși, sancțiunile pecuniare individuale trebuie interpretate strict, în acord cu art. 50 alin. (4). Instrumentele de responsabilizare rămân măsurile corective și interdicțiile, nu penalitățile financiare directe.

Prin acest cadru, O.U.G. nr. 155/2024, aduce guvernanța corporativă românească la nivelul standardelor europene, instituind o cultură a diligenței digitale. În contextul atacurilor cibernetice tot mai sofisticate, administratorul devine garant nu doar al gestiunii financiare prudente, ci și al securității cibernetice sustenabile.