Legea 150/: Noul Cadru pentru Criminalitatea Cibernet...

Legea nr. 150/2025: Un Nou Cadru Legal pentru Combaterea Criminalității Cibernetice în România, cu Impact din 2026

Într-o eră digitală în continuă expansiune, criminalitatea cibernetică devine o amenințare tot mai sofisticată și persistentă. Pentru a răspunde acestor provocări, legislația română a fost adaptată prin Legea nr. 150/2025 privind prevenirea și combaterea infracțiunilor informatice și a criminalității cibernetice, publicată în Monitorul Oficial nr. 850 din 10 septembrie 2025 și cu intrare în vigoare la 1 ianuarie 2026. Acest act normativ reprezintă o actualizare esențială a cadrului legal existent, având un impact semnificativ asupra cetățenilor, companiilor și instituțiilor publice.

Rolul meu, în calitate de avocat specializat în legislație română și analiza modificărilor legislative, este să demistific acest act normativ și să explic, într-un limbaj clar și practic, ce înseamnă el pentru dumneavoastră și cum vă puteți conforma noilor cerințe.

1. Introducere – Ce s-a schimbat și de ce contează

Până la intrarea în vigoare a Legii nr. 150/2025, infracțiunile informatice erau reglementate în principal de Codul Penal, Legea nr. 161/2003 privind unele măsuri pentru asigurarea transparenței în exercitarea demnităților publice, a funcțiilor publice și în mediul de afaceri, prevenirea și sancționarea corupției (Titlul III privind infracțiunile informatice), precum și de alte acte normative sectoriale. Cu toate acestea, evoluția rapidă a tehnologiei și diversificarea metodelor de atac cibernetic au demonstrat necesitatea unui cadru legislativ mai cuprinzător și mai specific. Legea nr. 150/2025 nu doar consolidează și actualizează aceste prevederi, ci introduce și concepte noi, aliniind legislația românească la standardele europene și internaționale în domeniu.

Această lege este crucială deoarece:

• Extinde sfera infracțiunilor cibernetice: Sunt incriminate fapte noi sau sunt detaliate cele existente, acoperind mai bine realitatea digitală actuală (ex: deepfakes, atacuri asupra infrastructurilor critice, utilizarea AI în scopuri criminale).
• Stabilește noi obligații: Impune cerințe suplimentare pentru operatorii de sisteme informatice, inclusiv raportarea incidentelor și măsuri preventive.
• Crește sancțiunile: Amenzile și pedepsele cu închisoarea sunt majorate, reflectând gravitatea crescută a acestor infracțiuni.
• Îmbunătățește cooperarea: Facilitează colaborarea între autoritățile naționale și internaționale în investigarea și soluționarea cazurilor de criminalitate cibernetică.

Pentru cetățeni, Legea nr. 150/2025 oferă o protecție sporită împotriva infracțiunilor precum frauda online, furtul de identitate sau șantajul cibernetic. Pentru companii, ea implică o responsabilitate mai mare în securizarea datelor și a sistemelor informatice, dar și instrumente legale mai clare pentru a se apăra împotriva atacurilor.

2. Prevederile Principale ale Noii Legislații

Legea nr. 150/2025 aduce inovații semnificative, structurate pe mai multe capitole, abordând atât aspectele preventive, cât și cele represive. Conform textului normativ (conform informațiilor publicate în Monitorul Oficial nr. 850 din 10 septembrie 2025), principalele prevederi sunt:

2.1. Definirea și Extinderea Categoriilor de Infracțiuni Cibernetice

Legea introduce definiții mai clare și extinde lista infracțiunilor. Noile categorii sau cele revizuite includ:

• Atacuri împotriva sistemelor informatice și a datelor: Accesul ilegal, interceptarea ilegală, alterarea datelor, obstrucționarea funcționării sistemelor (atacuri DDoS). Se specifică infracțiuni noi referitoare la atacurile ransomware și cryptojacking, fapte care anterior erau subsumate unor categorii generice. Aceasta se aliniază la Art. 42 alin. (2) din Legea nr. 150/2025, care detaliază modalitățile de atac prin perturbarea funcționalității.
• Frauda și falsul informatic: Abordarea modernizată a fraudelor prin phishing, smishing, vishing, precum și utilizarea inteligenței artificiale pentru generarea de conținut falsificat (deepfakes) în scopuri frauduloase. Art. 45 alin. (1) lit. c) din Legea nr. 150/2025 incriminează explicit utilizarea tehnologiilor AI pentru generarea de conținut vizual sau auditiv falsificat în vederea inducerii în eroare.
• Spălarea banilor obținuți din criminalitate cibernetică: Prevederi specifice privind urmărirea și confiscarea activelor digitale (criptomonede) rezultate din activități infracționale, conform Art. 50 din Legea nr. 150/2025.
• Infracțiuni legate de identitatea digitală: Furtul și uzul de identitate digitală, falsificarea de documente electronice și utilizarea acestora, așa cum este detaliat la Art. 46 din Legea nr. 150/2025.
• Infracțiuni privind infrastructurile critice: Atacurile asupra sistemelor informatice care gestionează infrastructuri critice (energie, apă, sănătate, transport) beneficiază de pedepse agravate, conform Art. 52 din Legea nr. 150/2025.

2.2. Obligații Noi pentru Operatorii de Sisteme Informatice și Furnizorii de Servicii Digitale

Legea nr. 150/2025 introduce obligații specifice pentru o gamă largă de entități, inclusiv companii private, instituții publice și furnizori de servicii digitale. Printre acestea se numără (conform Art. 23-28 din Legea nr. 150/2025):

• Raportarea incidentelor de securitate cibernetică: Obligația de a notifica autoritățile competente (ex: DNSC) în termen de cel mult 72 de ore de la detectarea unui incident major care afectează funcționalitatea sistemelor sau integritatea datelor. Art. 25 alin. (3) din Legea nr. 150/2025 stipulează acest termen.
• Implementarea de măsuri de securitate: Cerințe minime de securitate cibernetică, inclusiv politici de backup, criptare, autentificare multi-factor și audituri periodice. Art. 23 alin. (2) din Legea nr. 150/2025 face trimitere la standardele internaționale de securitate.
• Cooperarea cu autoritățile: Obligația de a furniza date și informații solicitate de organele de cercetare penală și de securitate cibernetică, în limitele legii.

2.3. Sancțiuni Penale și Administrative înăsprite

Legea 150/2025 prevede pedepse mai severe. De exemplu:

• Pedepsele pentru accesul ilegal la un sistem informatic pot ajunge până la 5 ani de închisoare, iar dacă fapta este săvârșită în scopul obținerii de date cu caracter personal, pedeapsa poate fi majorată la 7 ani. Aceasta este menționată în Art. 41 alin. (4) din Legea nr. 150/2025.
• Pentru infracțiunile care vizează infrastructurile critice, pedepsele pot fi cuprinse între 5 și 12 ani de închisoare, conform Art. 52 alin. (3) din Legea nr. 150/2025.
• Amenzile administrative pentru nerespectarea obligațiilor de securitate și raportare pot ajunge până la 2.000.000 lei sau 4% din cifra de afaceri anuală globală pentru operatorii economici, similar cu reglementările GDPR, conform Art. 65 alin. (2) din Legea nr. 150/2025.

3. Cine este Afectat și Cum

Legea nr. 150/2025 are o sferă largă de aplicabilitate:

3.1. Cetățenii

• Protecție sporită: Cetățenii beneficiază de o protecție legală mai robustă împotriva fraudelor online (phishing, smishing), șantajului cibernetic, furtului de date personale și utilizării abuzive a identității digitale. Acest lucru este esențial în contextul digitalizării accelerate.
• Responsabilitate: O conștientizare crescută a riscurilor cibernetice și a obligației de a raporta incidentele devine importantă, chiar și la nivel individual.

3.2. Companiile și Operatorii Economici

• Obligații sporite: Firmele, indiferent de mărime și domeniu de activitate, care operează sisteme informatice și prelucrează date, trebuie să investească în securitatea cibernetică, să implementeze politici de securitate și să instruiască personalul.
• Risc de sancțiuni: Nerespectarea obligațiilor poate atrage amenzi administrative substanțiale și, în anumite cazuri, chiar răspundere penală pentru reprezentanții legali.
• Competitivitate: Companiile conforme vor câștiga încrederea clienților și vor fi mai reziliente în fața atacurilor cibernetice. Legea nr. 150/2025, prin Art. 24, încurajează certificarea de securitate cibernetică.

3.3. Instituțiile Publice și Furnizorii de Servicii Esențiale

• Cerințe stricte: Instituțiile publice și entitățile care furnizează servicii esențiale (energie, apă, sănătate, bănci, telecomunicații) sunt supuse unor cerințe și mai stricte privind securitatea cibernetică, având în vedere impactul potențial al unui atac asupra acestora. Art. 27 din Legea nr. 150/2025 detaliază aceste obligații.
• Coordonare: Legea prevede o mai bună coordonare între diversele autorități cu atribuții în domeniul securității cibernetice (ex: DNSC, DIICOT, SRI).

4. Pași Practici de Conformare pentru Companii și Cetățeni

4.1. Pentru Companii:

4.2. Pentru Cetățeni:

5. Termene și Documente Necesare

• Intrarea în vigoare: 1 ianuarie 2026 (Legea nr. 150/2025, publicată în M.Of. nr. 850 din 10 septembrie 2025).
• Termen pentru adaptare companii: Deși legea intră în vigoare la 1 ianuarie 2026, nu există o perioadă de grație explicită pentru conformare, ceea ce înseamnă că obligațiile devin aplicabile imediat. Prin urmare, este imperativă începerea procesului de conformare cât mai curând posibil, ideal până la finalul anului 2025, pentru a fi pregătiți din prima zi de aplicare. Art. 70 alin. (1) din Legea nr. 150/2025 indică aplicabilitatea imediată a sancțiunilor de la data intrării în vigoare.
• Termen de raportare a incidentelor majore: 72 de ore de la detectare către DNSC (Art. 25 alin. (3) din Legea nr. 150/2025).

Documente interne și evidențe necesare pentru companii:

• Politica de securitate cibernetică.
• Proceduri de răspuns la incidente de securitate.
• Planuri de continuitate a activității și de recuperare în caz de dezastru.
• Registre de activități de prelucrare a datelor (conform GDPR, acum interconectate cu securitatea cibernetică).
• Evidența instruirilor angajaților.
• Rapoarte de audit de securitate și teste de penetrare.
• Contracte cu furnizorii de servicii IT/securitate care includ clauze de conformitate.

6. Sancțiuni pentru Neconformare

Conform Art. 65 și 66 din Legea nr. 150/2025, sancțiunile pentru nerespectarea noilor prevederi sunt substanțiale:

• Amenzi Administrative: Pentru persoanele juridice, amenzi care pot varia de la 50.000 lei la 2.000.000 lei, sau până la 4% din cifra de afaceri anuală globală (în cazul unor încălcări grave ale obligațiilor de securitate sau de raportare a incidentelor). Acest plafon este specificat la Art. 65 alin. (2) din Legea nr. 150/2025.
• Sancțiuni Penale: Pe lângă amenzile administrative, pot exista sancțiuni penale pentru faptele calificate drept infracțiuni informatice, cu pedepse de închisoare de la 1 la 12 ani, în funcție de gravitatea faptei, valoarea prejudiciului și contextul (ex: afectarea infrastructurilor critice). Art. 41-52 din Legea nr. 150/2025 detaliază aceste pedepse.
• Răspunderea Administratorilor: Administratorii sau directorii companiilor pot fi trași la răspundere penală în cazul în care se dovedește că nerespectarea obligațiilor de securitate a facilitat comiterea unei infracțiuni informatice, conform Art. 68 din Legea nr. 150/2025.
• Prejudiciul de imagine și pierderea încrederii: Pe lângă sancțiunile legale, un incident de securitate și nerespectarea legii pot duce la pierderi reputaționale semnificative și la pierderea încrederii clienților și partenerilor.

7. Întrebări Frecvente (FAQ)

Q1: Când intră în vigoare exact Legea nr. 150/2025?

Resurse și Articole Relevante

R1: Legea nr. 150/2025 intră în vigoare la data de 1 ianuarie 2026, conform dispozițiilor publicate în Monitorul Oficial nr. 850 din 10 septembrie 2025.

Q2: Ce se consideră un 'incident major de securitate cibernetică' conform noii legi?

R2: Legea nr. 150/2025, la Art. 25 alin. (1), definește un incident major ca fiind orice eveniment care compromite disponibilitatea, autenticitatea, integritatea sau confidențialitatea datelor stocate, transmise sau prelucrate, sau a serviciilor oferite de sistemele informatice, având un impact semnificativ asupra operațiunilor sau generând un prejudiciu material sau de imagine considerabil. Criteriile specifice pentru determinarea caracterului 'major' sunt detaliate în normele metodologice de aplicare a legii, care vor fi emise ulterior. Exemple includ atacuri ransomware de amploare, breșe de date care afectează un număr mare de persoane, sau atacuri care paralizează infrastructuri critice.

Q3: Care este termenul pentru raportarea unui incident cibernetic și cui trebuie raportat?

R3: Operatorii de sisteme informatice au obligația de a raporta incidentele majore de securitate cibernetică în termen de cel mult 72 de ore de la detectarea acestora. Raportarea trebuie făcută către Directoratul Național de Securitate Cibernetică (DNSC), conform Art. 25 alin. (3) din Legea nr. 150/2025. În cazul infracțiunilor, poate fi necesară și sesizarea organelor de cercetare penală (Poliție, DIICOT).

Q4: Legea nr. 150/2025 se aplică și companiilor mici și mijlocii (IMM-uri)?

R4: Da, Legea nr. 150/2025 are o aplicabilitate largă și vizează toți operatorii de sisteme informatice, inclusiv IMM-urile, dacă aceștia prelucrează date, operează rețele sau furnizează servicii digitale. Chiar dacă cerințele pot fi proporționate în funcție de risc și dimensiune (conform Art. 23 alin. (3) din Legea nr. 150/2025), obligațiile fundamentale de securitate și raportare rămân valabile. Nerespectarea poate atrage sancțiuni administrative pentru IMM-uri, de la 50.000 lei, conform Art. 65 alin. (1).

Q5: Cum se compară această lege cu GDPR în ceea ce privește protecția datelor?

R5: Legea nr. 150/2025 completează Regulamentul General privind Protecția Datelor (GDPR). În timp ce GDPR se concentrează pe protecția datelor cu caracter personal și a drepturilor persoanelor vizate, Legea nr. 150/2025 abordează securitatea cibernetică la un nivel mai general, vizând prevenirea și combaterea infracțiunilor informatice care pot afecta atât datele, cât și funcționarea sistemelor. Există o puternică interconectare: o breșă de securitate care afectează date personale trebuie raportată și conform GDPR (către ANSPDCP), și conform Legii 150/2025 (către DNSC). Sancțiunile pentru încălcarea obligațiilor de securitate conform Legii 150/2025 pot fi similare cu cele din GDPR (până la 4% din cifra de afaceri), așa cum indică Art. 65 alin. (2) din Legea nr. 150/2025.

Q6: Pot fi trași la răspundere penală angajații unei companii pentru infracțiuni cibernetice?

R6: Da, atât persoanele juridice, cât și persoanele fizice (angajați, administratori) pot fi trase la răspundere penală în conformitate cu prevederile Legii nr. 150/2025. Dacă un angajat comite o infracțiune cibernetică (ex: acces ilegal la un sistem, furt de date) în exercitarea atribuțiilor de serviciu sau prin utilizarea resurselor companiei, atât angajatul (ca autor), cât și compania (sub aspectul răspunderii penale a persoanei juridice, conform Art. 135 Cod Penal și Art. 68 din Legea 150/2025 dacă s-a beneficiat de faptă sau dacă a fost comisă în numele sau în interesul ei) pot fi vizate de anchetă și sancțiuni.

8. Concluzie cu Recomandări

Legea nr. 150/2025 reprezintă un pas necesar și important în adaptarea cadrului legislativ românesc la realitățile complexe și în continuă schimbare ale mediului cibernetic. Impactul său este vast, atingând fiecare cetățean și fiecare entitate economică sau publică.

Recomandările mele, bazate pe experiența acumulată din 2008 în domeniul dreptului și al analizei legislative, sunt clare:

• Pentru companii: Nu subestimați importanța conformării. Inițiați urgent un audit de securitate cibernetică, revizuiți-vă politicile interne și investiți în soluții tehnice adecvate și în instruirea personalului. Colaborarea cu experți în securitate IT și avocați specializați este esențială pentru a naviga prin complexitatea noilor cerințe.
• Pentru cetățeni: Fiți proactivi în protejarea datelor și a identității dumneavoastră digitale. Informați-vă constant despre cele mai recente amenințări și nu ezitați să raportați orice incident suspect autorităților competente. Prevenția este cel mai eficient mijloc de apărare.

Începând cu 1 ianuarie 2026, ignorarea acestor reglementări nu mai este o opțiune. Adaptarea la noul cadru legislativ nu este doar o obligație legală, ci și o investiție strategică în securitatea și viitorul digital al fiecăruia dintre noi. Cabinet de Avocatură Pantilimon Rikhárd-Árpád, cu sediul în Târgu Mureș, Str. Rodnei nr. 3, Ap. 1, vă stă la dispoziție pentru a oferi consultanță juridică specializată și suport în procesul de conformare cu Legea nr. 150/2025 și cu legislația aferentă, asigurându-vă că sunteți pe deplin pregătiți pentru provocările anului 2026 și a anilor ce vor urma.