9 măsuri de securitate pentru magazinul tău online, plus cine este obligat să raporteze incidentele

eAfacerea a citit ghidul din 2026 al Protecției Consumatorilor privind comerțul online și a extras 9 măsuri de securitate pentru magazinul tău online, de la certificatul de securitate care te protejează de clonarea site-ului până la implementarea unei politici de raportare a vulnerabilităților de securitate descoperite. Directoratul Național de Securitate Cibernetică (DNSC) recomandă măsurile din ghid tuturor comercianților online, inclusiv magazinelor mici, ca protecție împotriva atacurilor cibernetice. Cele mai grele obligații legale rămân în sarcina furnizorilor de servicii de găzduire online și marketplace-urile mari, precum eMAG sau OLX, pentru care măsurile sunt obligatorii, potrivit ghidului.

Acest articol este dintr-o serie de 18 reguli pe care eAfacerea.ro le-a strâns pornind de la un ghid ANPC (Protecției Consumatorilor) din iulie 2026, completat cu legislația în vigoare, ca să știi exact ce ai de verificat la magazinul tău online în 2026. Găsești lista completă în articolul 18 reguli obligatorii pentru magazinele online.

Ghidul de bune practici privind piața produselor și serviciilor comercializate online – Ediția 2026, publicat de ANPC, tratează securitatea site-ului în două locuri: un capitol tehnic dedicat infrastructurii și o secțiune despre construirea unui mediu de comerț electronic de încredere. Măsurile de mai jos le adună pe amândouă.

Ce măsuri de securitate recomandă ghidul ANPC?

1. Actualizează continuu aplicațiile și scripturile. Dacă ți-ai configurat singur platforma, responsabilitatea pentru actualizări cade tot pe tine: servere, sistem de operare, plugin-uri și restul infrastructurii, potrivit ghidului. Documentul recomandă fie personal specializat, fie un furnizor extern care actualizează săptămânal sau lunar, cu reacție rapidă la vulnerabilitățile de tip zero-day. O platformă SaaS mută responsabilitatea pentru infrastructură și actualizări tehnice către furnizor, iar tu rămâi cu componentele personalizate.

2. Oferă autentificare în doi pași. Ghidul recomandă platformelor de comerț electronic să pună la dispoziția utilizatorilor autentificarea multifactor, folosind cel puțin doi factori din categorii diferite:

• ceva ce cunoști, adică o parolă sau un PIN
• ceva ce deții, adică un dispozitiv fizic sau un token de securitate
• ceva ce ești, adică date biometrice precum amprenta sau recunoașterea facială

Motivul e practic: parolele expuse în breșe anterioare sunt reutilizate de mulți oameni pe mai multe site-uri, ceea ce deschide calea atacurilor de tip credential stuffing, în care combinații furate de email și parolă sunt testate automat pe alte platforme, potrivit documentului.

Autentificarea în doi pași nu te apără însă de orice atac. Phishingul prin cod de dispozitiv („device-code phishing") poate da atacatorilor acces la conturi chiar și când autentificarea în doi pași e activă. Această formă de atac a crescut cu 1.380% în ultimele luni, potrivit datelor analizate de DNSC și relatate de Mediafax pe 12 octombrie 2026. Mecanismul e simplu: primești un mesaj credibil care îți cere să introduci un cod pe pagina reală de autentificare a unui serviciu, de exemplu Microsoft. Codul introdus de tine îi dă atacatorului acces la contul tău, fără să-ți afle parola. Recomandarea noastră e să nu introduci niciodată un cod de autentificare pe care nu l-ai cerut tu și să le spui același lucru angajaților care au acces la contul de administrator al magazinului.

3. Impune parole puternice și schimbă-le periodic. Regulile enumerate în ghid:

• minimum 8 caractere, ideal peste 12, cu o combinație de litere mari, mici, cifre și simboluri
• evită parole evidente, precum numele tău, data nașterii sau clasicul „parola123"
• nu refolosi aceeași parolă pe mai multe conturi importante
• schimb-o periodic și ia în calcul un manager de parole pentru stocare sigură

Poți verifica gratuit dacă o adresă de email a apărut într-o breșă cunoscută pe platforme precum Have I Been Pwned, citată în ghid alături de alte instrumente similare.

4. Limitează numărul de încercări de autentificare. Aceasta este măsura de bază împotriva atacurilor brute force, în care sunt testate automat combinații de parole până când una funcționează, potrivit ghidului.

5. Forțează HTTPS pe tot site-ul. Nu e suficient să ai un certificat SSL instalat. Serverul trebuie configurat să redirecționeze automat traficul de la HTTP către HTTPS, potrivit documentului. Ghidul recomandă și obținerea unui certificat calificat care confirmă vizitatorilor identitatea reală a site-ului, prevăzut de Regulamentul eIDAS (UE nr. 910/2014), ca protecție suplimentară împotriva clonării site-ului și a furtului de date.

6. Filtrează activitatea neobișnuită. Măsurile enumerate în ghid:

• firewall care blochează automat adresele IP suspecte
• un sistem SIEM, care analizează jurnalele de evenimente și generează alerte automate
• acces limitat la serviciile critice doar din rețele sau adrese IP de încredere
• CAPTCHA, ca barieră împotriva accesului automatizat
• audituri de securitate sau teste de penetrare, făcute periodic

7. Folosește plugin-uri de securitate. Dacă rulezi pe o soluție standard, ghidul enumeră funcționalitățile pe care merită să le cauți: monitorizare de vulnerabilități, blocarea automată a IP-urilor rău-famate, configurare de hardening, filtrare de tip WAF pentru conținut periculos, suport la incidente non-stop și jurnalizarea evenimentelor.

8. Alege furnizorul de găzduire după criterii verificabile. Reperele din ghid:

• certificări precum ISO/IEC 27001 sau SOC 2 Type II
• disponibilitate garantată prin SLA, ideal peste 99,9%
• transparență privind backup, patch management și protecție DDoS
• reputație și recenzii verificabile din surse independente

Localizarea furnizorului în Uniunea Europeană este recomandată din perspectiva protecției datelor, pentru că transferul de date personale în afara UE este permis doar către țări cu decizie de adecvare din partea Comisiei Europene sau cu măsuri suplimentare de protecție, potrivit art. 45 din GDPR, citat în ghid.

9. Dacă platforma e dezvoltată la comandă, bugetează mentenanța. Ghidul îi dedică o secțiune separată, pentru că o platformă in-house presupune actualizarea continuă a dependențelor și un flux de lucru de dezvoltare securizată (SSDLC), cu personal specializat inclusiv pe partea de risc și securitate.

Ai o politică pentru cine găsește o vulnerabilitate pe site-ul tău?

Aceasta este partea din ghid pe care puțini comercianți o au acoperită, deși recomandarea vizează explicit magazinele online.

Ghidul explică o vulnerabilitate ca fiind orice breșă dintr-un sistem, o aplicație sau un serviciu digital, inclusiv magazinul tău online, prin care un atacator ajunge la datele clienților sau blochează funcționarea site-ului, potrivit art. 4 lit. tt) din OUG nr. 155/2024. Dacă magazinul tău procesează comenzi, plăți sau conturi de clienți, este o țintă posibilă, avertizează ghidul.

Divulgarea coordonată a vulnerabilităților (CVD) este procesul prin care un cercetător în securitate, un client sau oricine altcineva îți poate raporta o problemă găsită pe site, fără să o facă publică înainte ca tu să o repari. Obligația de a avea o astfel de politică internă revine legal doar entităților esențiale și importante, potrivit art. 13 lit. e) din OUG nr. 155/2024. Recomandarea merge însă mai departe: DNSC recomandă tuturor organizațiilor care desfășoară activități de comerț online, indiferent de clasificarea lor juridică, să elaboreze și să mențină politici proprii de divulgare coordonată a vulnerabilităților, potrivit ghidului.

Pașii recomandați magazinelor online:

• Publică o politică CVD, cu o adresă de email dedicată (de exemplu cvd@firmata.ro) și reguli clare de raportare
• Angajează-te public să nu iei măsuri împotriva celor care raportează cu bună credință
• Triază și remediază, analizând rapid ce primești și prioritizând după gravitate și impact
• Raportează mai departe, dacă e cazul, prin mecanismul CVD al DNSC

Pentru verificarea vulnerabilităților cunoscute la produsele pe care le vinzi, ghidul recomandă comercianților două baze de date publice: European Vulnerability Database (EUVD), gestionată de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), și Common Vulnerabilities and Exposures (CVE), administrată de MITRE.

Ești obligat să raportezi incidentele de securitate cibernetică?

Ești obligat să raportezi incidentele de securitate cibernetică dacă operezi o piață online (marketplace cu vânzători terți) sau dacă furnizezi servicii de cloud computing, centre de date, servicii gestionate ori servicii de încredere, potrivit ghidului. Aceste entități trebuie să se înscrie în Registrul național al entităților esențiale și importante, ținut de DNSC. Cadrul legal e transpunerea directivei europene NIS2, prin OUG nr. 155/2024, aprobată prin Legea nr. 124/2025.

Termenul „piață online" are însă un sens juridic precis, care schimbă cine e vizat de fapt:

• Piață online este un site sau o aplicație prin care consumatorii cumpără de la alți comercianți sau de la alți consumatori, nu doar de la operatorul platformei, adică un marketplace cu vânzători terți, precum eMAG Marketplace sau OLX, potrivit OUG nr. 34/2014, citată în ghid.
• Magazin cu vânzare directă este un site pe care vinzi doar produsele proprii. Nu ești automat „piață online" în sensul legii, chiar dacă tehnic operezi un magazin electronic.

Obligațiile de înregistrare la DNSC și de raportare prin Platforma Națională pentru Raportarea Incidentelor de Securitate Cibernetică (PNRISC) vizează, de regulă, marketplace-urile care găzduiesc vânzători terți și furnizorii de infrastructură digitală, nu magazinul cu vânzare directă.

Dimensiunea afacerii contează și ea, pentru operatorii de piețe online:

• Pragul general pentru încadrarea ca entitate importantă este de peste 50 de angajați sau peste 10 milioane de euro cifră de afaceri anuală, microîntreprinderile fiind în general exceptate, potrivit mai multor analize publicate pe marginea OUG nr. 155/2024.
• Acest prag nu apare redat explicit în ghid, așa că, dacă te afli la limită, verifică direct la DNSC.

Merită să știi cum funcționează raportarea, chiar dacă nu ești obligat legal. Incidentele se raportează prin PNRISC sau telefonic la numărul unic 1911, potrivit art. 15 din OUG nr. 155/2024. Termenele pentru entitățile obligate sunt de 24 de ore pentru notificarea inițială, 72 de ore pentru raportul intermediar și o lună pentru raportul final. Raportarea prin PNRISC nu înlocuiește o plângere penală, precizează ghidul.

Dacă un incident afectează datele personale ale clienților sau ale angajaților, ai separat 72 de ore ca să anunți autoritatea pentru protecția datelor (ANSPDCP), potrivit art. 33 din GDPR, indiferent dacă ești sau nu obligat să raportezi la DNSC. Pașii, oră cu oră, sunt în Peste 700.000 de clienți afectați într-un singur atac: ce faci în primele 72 de ore după o breșă de date.

Ce înseamnă Cyber Resilience Act pentru tine?

Regulamentul (UE) 2024/2847, cunoscut ca Cyber Resilience Act, stabilește cerințe de securitate cibernetică pentru produse conectate: de la gadgeturi smart și aplicații software, până la routere, jucării inteligente sau echipamente industriale conectate la rețea, potrivit ghidului.

Obligațiile grele cad pe producători, dar sunt două situații în care un comerciant e tratat drept producător:

• când pui pe piață un produs cu elemente digitale sub numele sau marca ta, adică white-label sau brand propriu, potrivit art. 21 din regulament
• când modifici substanțial un produs deja aflat pe piață, potrivit art. 22

Dacă revinzi produse conectate sub marca producătorului original, fără modificări, nu intri în aceste categorii. Site-ul magazinului tău nu e, în sine, un produs cu elemente digitale în sensul regulamentului, potrivit considerentului 12.

Regulamentul se aplică în două etape, potrivit art. 71 alin. (2). Din 11 septembrie 2026, dacă ești producător în sensul de mai sus, ești obligat să raportezi vulnerabilitățile exploatate activ și incidentele grave care îți afectează produsele, simultan la echipa națională de răspuns la incidente de securitate (CSIRT) și la ENISA, prin platforma unică de raportare, potrivit art. 14 din regulament. Termenele sunt de 24 de ore pentru avertizarea timpurie și de 72 de ore pentru notificare. Raportul final urmează în cel mult 14 zile după ce ai o corecție disponibilă, în cazul vulnerabilităților, și în cel mult o lună de la notificare, în cazul incidentelor.

Pentru încălcarea obligației de raportare, regulamentul prevede amenzi de până la 15 milioane de euro sau 2,5% din cifra de afaceri mondială, valoarea mai mare dintre ele, potrivit art. 64 alin. (2). Articolul despre sancțiuni nu se numără însă printre cele aplicabile mai devreme, potrivit art. 71 alin. (2), așa că amenzile ar urma să poată fi aplicate abia din 11 decembrie 2027, pe baza regulilor de sancționare stabilite de fiecare stat membru, potrivit art. 64 alin. (1). Microîntreprinderile și întreprinderile mici nu pot fi amendate doar pentru ratarea termenului de 24 de ore, potrivit art. 64 alin. (10) lit. a). Celelalte termene rămân obligatorii și pentru ele.

Cerințele de securitate pentru produse și marcajul CE care le certifică devin obligatorii abia din 11 decembrie 2027, potrivit aceluiași art. 71 alin. (2). Pentru anumite categorii există și certificarea europeană EUCC, cu trei niveluri de asigurare: de bază, substanțial și ridicat, potrivit ghidului ANPC.

Dacă ești producător în sensul CRA, poți cere un grant pentru evaluarea conformității. Schema de minimis aprobată prin Decizia nr. 516/2026 a Autorității pentru Digitalizarea României, publicată în Monitorul Oficial nr. 821 din 28 septembrie 2026 și administrată de NCC-RO, acoperă cel mult 75% din valoarea unui pachet de evaluare a conformității, de la un diagnostic inițial până la audit și testare. Pachetele valorează între 10.000 și 60.000 de euro, deci grantul ajunge la 7.500, 18.750, 33.750 sau 45.000 de euro, în funcție de pachet, potrivit teaha.ro. Bugetul total e de 2 milioane de euro, pentru aproximativ 266 de firme. Cererea se depune printr-un consorțiu de 3-5 IMM-uri, condus de un furnizor de securitate cibernetică certificat. Eligibilitatea depinde de codul CAEN al firmei. Ghidul final ar urma să fie publicat la sfârșitul lui octombrie 2026, cu apelul deschis în noiembrie, potrivit directoarei NCC-RO, citată de G4Media pe 8 octombrie 2026.

Ce ai de verificat la magazinul tău

• Actualizează platforma, temele și plugin-urile după un calendar fix, nu ocazional
• Verifică dacă serverul redirecționează automat HTTP către HTTPS pe toate paginile
• Activează autentificarea în doi pași pentru conturile de administrator și limitează încercările de logare
• Nu introduce niciodată un cod de autentificare cerut de altcineva, oricât de credibil ar părea mesajul
• Publică o politică de raportare a vulnerabilităților, cu o adresă de email dedicată
• Verifică ce certificări are furnizorul tău de găzduire și unde sunt localizate serverele
• Stabilește dacă ești piață online (găzduiești vânzători terți, precum eMAG Marketplace sau OLX) sau magazin cu vânzare directă, pentru că de asta depind obligațiile din OUG nr. 155/2024
• Dacă vinzi produse conectate sub marca ta, stabilește cine din firmă raportează la ENISA în 24 de ore și verifică dacă poți cere grantul NCC-RO pentru evaluarea conformității

De unde vine acest ghid

Ghidul de bune practici privind piața produselor și serviciilor comercializate online – Ediția 2026 a fost realizat de Autoritatea Națională pentru Protecția Consumatorilor, cu sprijinul Autorității Naționale pentru Administrare și Reglementare în Comunicații, Directoratului Național de Securitate Cibernetică, Asociației Române a Băncilor, Asociației Române a Magazinelor Online și Asociației Consumers United. Poți descărca documentul integral, 178 de pagini, direct de pe site-ul ANPC: Ghid comerț online – Ediția 2026 (PDF), conform comunicatului de presă publicat pe 7 iulie 2026 pe site-ul instituției.

Articol actualizat pe 14 octombrie 2026, cu datele DNSC despre phishingul care ocolește autentificarea în doi pași, obligația de raportare din Cyber Resilience Act aplicabilă din 11 septembrie 2026 și granturile NCC-RO.

Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situații specifice magazinului tău, consultă textele publicate în Monitorul Oficial al României și în Jurnalul Oficial al Uniunii Europene, sau un specialist.