Claudiu Degeratu

Consiliul UE propune, în mandatul de negociere aprobat pe 21 octombrie, ca incidentele cibernetice să fie raportate prin câte un punct național de intrare în fiecare stat membru, nu prin punctul de intrare unic de la nivelul Uniunii propus de Comisie. Varianta națională răspunde mai bine preocupărilor statelor, iar cea europeană ar fi oferit infrastructura de care are nevoie detectarea incidentelor transfrontaliere cerută de Curtea de Conturi Europeană. Forma se negociază însă înaintea analizei cerute de Curte asupra restricțiilor de securitate națională care limitează schimbul de informații, adică tocmai asupra punctului în care cele două logici se ciocnesc.

Am citit mandatul cu care Consiliul Uniunii Europene va negocia cu Parlamentul European propunerea de regulament privind simplificarea cadrului legislativ în domeniul digital, cunoscută sub numele de Regulamentul omnibus în domeniul digital (COM(2025) 837 final). Comitetul Reprezentanților Permanenți (Coreper) a aprobat mandatul pe 21 octombrie, iar textul a fost publicat a doua zi, cu numărul 14756/26. M-am oprit la articolele despre raportarea incidentelor cibernetice, pentru că acolo mandatul se îndepărtează cel mai mult de propunerea Comisiei. Comisia propusese, în noiembrie 2025, un punct de intrare unic la nivelul Uniunii, dezvoltat și menținut de ENISA, prin care o entitate să își poată îndeplini dintr-o singură notificare obligațiile de raportare din mai multe acte europene. Consiliul îl înlocuiește cu câte un punct național de intrare în fiecare stat membru, deci cu douăzeci și șapte, și păstrează la nivelul Uniunii doar un punct de informare. Noul articol 23a alineatul (4) din Directiva (UE) 2022/2555 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune (Directiva NIS 2), în forma din mandat, îi interzice acestui punct de informare să permită „the submission, transmission, storage or processing of any incident notification or related data”. Cu două zile înainte, pe 19 octombrie, ordinea de zi a grupului de lucru orizontal pentru chestiuni cibernetice al Consiliului cuprindea prezentarea Raportului special 19/2026 al Curții de Conturi Europene, a cărui primă recomandare cere, la litera (b), ca punctul de intrare unic propus prin Regulamentul omnibus să poată detecta potențialele incidente transfrontaliere. Tot pe 21 octombrie, Germania a făcut o declarație pentru procesul-verbal al reuniunii Coreper, publicată de Agence Europe, în care cere ca firmele să poată folosi în continuare, în locul punctului național, canalele de raportare existente și ca sectorul financiar să fie exceptat de la acesta în orice caz.

În textul din 27 septembrie, scris pe marginea aceluiași raport al Curții, am lăsat deschisă o întrebare: va fi gata analiza cerută de auditori, cea despre restricțiile de securitate națională care limitează schimbul de informații, înainte ca legiuitorul să hotărască forma punctului de intrare unic sau abia după aceea? Pentru recomandarea care cere această analiză, Curtea a stabilit ca termen anul 2027, iar Consiliul, unul dintre cei doi colegiuitori, și-a fixat deja poziția. Parlamentul European nu și-a stabilit-o încă pe a sa, iar proiectul de raport al comisiilor ITRE și LIBE, din 22 iunie 2026, păstrează punctul de intrare de la nivelul Uniunii, așa că forma finală se va hotărî abia în negocierile dintre cele două instituții. Direcția aleasă de Consiliu se vede totuși clar, deși cred că e ușor de descris greșit. Consiliul nu desființează o capacitate europeană de detectare a incidentelor transfrontaliere (propunerea Comisiei nici nu o conținea), ci elimină infrastructura comună pe care ar fi urmat să se sprijine capacitatea cerută de Curte și lasă sarcina de a oferi o imagine de ansamblu a incidentelor transfrontaliere pe seama acelorași canale pe care Curtea le-a considerat insuficiente. Judec mai jos mandatul întâi după criteriul Curții, adică după ceea ce poate vedea Uniunea, apoi și după criteriile statelor, pentru că cele două perspective nu duc la aceeași concluzie.

Propunerea Comisiei nu prevedea un observator european al incidentelor, lucru scris chiar în textul ei. Articolul 23a alineatul (4) din propunere stabilește, în versiunea românească: „Cu excepția cazului în care se prevede astfel în actele juridice ale Uniunii menționate la alineatul (1) din prezentul articol, ENISA nu are acces la notificările transmise prin intermediul punctului de intrare unic.” Expunerea de motive descrie instrumentul drept „un singur mijloc de transmitere pentru obligațiile legale multiple” și precizează că soluția „nu modifică în niciun fel drepturile și competențele autorităților naționale de a primi astfel de rapoarte”. ENISA ar fi administrat, așadar, un canal prin care notificările ar fi ajuns la autoritățile naționale fără ca agenția să le poată citi. Curtea a cerut ca tocmai acest canal să poată detecta incidentele transfrontaliere, adăugând că recomandarea se face „fără a aduce atingere deciziilor colegiuitorilor”. Comisia a acceptat recomandarea în răspunsurile publicate odată cu raportul, printr-o singură propoziție, și nu a explicat cum ar fi posibilă detectarea fără acces la conținutul notificărilor. Propunerea lăsa o singură cale, excepția din primele cuvinte ale alineatului, prin care un act juridic al Uniunii putea prevedea accesul agenției, o cale care funcționa numai dacă infrastructura comună exista.

Consiliul nu completează propunerea cu funcția care îi lipsea, ci elimină infrastructura însăși. Noul articol 23b din NIS 2, în forma din mandat, obligă statele membre să instituie și să mențină câte un punct național de intrare care să sprijine și să faciliteze raportarea incidentelor. Alineatul (2) le permite să îl organizeze „in accordance with their existing national structures and the allocation of competences among authorities”. Interoperabilitatea celor douăzeci și șapte de puncte nu este obligatorie, pentru că alineatul (3) le cere statelor doar să depună eforturi („shall endeavour”) în acest sens. În acest sistem, ENISA nu primește notificări. Potrivit alineatelor (4) și (5), agenția trebuie să formuleze, în termen de douăsprezece luni, recomandări fără caracter obligatoriu, inclusiv specificații tehnice de interoperabilitate, și să dezvolte, în termen de optsprezece luni, o soluție cu sursă deschisă pe care statele o pot folosi dacă doresc. Punctul de informare de la nivelul Uniunii ar urma să îi ajute pe cei care raportează să afle ce obligații au și către ce punct național trebuie să își trimită notificările, potrivit articolului 23a alineatul (2). Alineatul (4) al aceluiași articol îi interzice însă și să colecteze „any information allowing the identification of the notifying entity or of any incident”. Nu am găsit o versiune în limba română a mandatului, așa că denumirile românești ale celor două instrumente sunt traducerile mele.

Comunicatul Consiliului menționează și notificările transfrontaliere, reglementate în mandat printr-un articol nou, 23d. Alineatul (1) prevede că statele membre „should aim at facilitating cross-border notifications between national entry points, where incidents have cross-border impacts”. Alineatul (2) îi cere ENISA să faciliteze automatizarea schimbului de informații despre impactul transfrontalier. Alineatul (3) stabilește că „Member States shall retain control over the scope of information shared and any access to such information”.

Automatizarea poate grăbi schimbul, dar nu stabilește ce intră în el, iar hotărârea rămâne la statul care primește notificarea. La paragraful 39 din raport, Curtea descrie această situație ca pe una dintre cauzele raportării limitate: „responsabilitatea de a stabili dacă un incident raportat are sau nu un impact transfrontalier și de a identifica celelalte state membre afectate revine autorității competente din statul membru în cauză”. În același paragraf, auditorii constată că „nu există nicio platformă la nivelul UE care să colecteze în timp real raportări privind incidentele din partea tuturor statelor membre și care să poată corela informații privind sectoarele sau indicatorii de compromitere pentru a detecta incidentele transfrontaliere”. Mandatul Consiliului lasă neschimbate ambele cauze. Decizia asupra impactului transfrontalier se ia în continuare la nivel național, iar absența unei platforme europene este acum consfințită printr-o interdicție înscrisă în articolul 23a.

Dezbaterea nu se poartă însă doar între Comisie și Consiliu. Modelul ales de Consiliu are un istoric care se poate urmări în documente publice. Franța, Germania, Italia, Olanda, Spania și Suedia au prezentat un non-paper, pe care guvernul de la Haga l-a transmis camerei inferioare a parlamentului, Tweede Kamer, ca anexă la o scrisoare din 9 martie 2026. Documentul a fost publicat pe 11 martie. Cele șase state propuneau ca la nivelul Uniunii să existe doar un site public, administrat de ENISA, care să le arate entităților unde și cum trebuie să raporteze, fără să colecteze sau să stocheze vreo informație despre notificări, iar statele ar fi rămas „the sole and direct recipient of all notifications”. Partea europeană a acestei formule se regăsește în articolul 23a din mandat. Obligația de a crea câte un punct național de intrare nu apărea în non-paper, care spunea doar că centralizarea punctelor naționale de notificare ar trebui încurajată acolo unde este posibil. Obligația s-a conturat mai târziu. Pe 18 iunie, guvernul olandez le-a scris deputaților că majoritatea statelor membre sprijină, se pare, păstrarea structurilor naționale de raportare și crearea unui punct central de informare la nivel european, iar obligația ca fiecare stat să își organizeze un punct național central de raportare pare să aibă, de asemenea, susținere (Kamerstuk 22 112, nr. 4382).

De cealaltă parte stau instituții și organe ale Uniunii care nu negociază textul, dar s-au pronunțat asupra lui. Comitetul european pentru protecția datelor (CEPD) și Autoritatea Europeană pentru Protecția Datelor (AEPD) au scris, în avizul lor comun din 10 februarie 2026, că susțin ferm obiectivul punctului de intrare unic pentru notificarea încălcărilor securității datelor cu caracter personal și că un punct comun pentru tot Spațiul Economic European este binevenit, subliniind totodată că notificările trebuie protejate corespunzător, pentru că includ adesea informații sensibile. Comitetul Economic și Social European a susținut ferm, în avizul INT/1108, adoptat pe 18 martie 2026, un punct de intrare unic european cu adevărat interoperabil, care să acopere raportările prevăzute de NIS 2, RGPD, DORA, eIDAS și Directiva privind reziliența entităților critice, argumentând că ar reduce dublările și ar îmbunătăți conștientizarea situației. Banca Centrală Europeană a adoptat o poziție intermediară. În avizul CON/2026/9 din 10 martie 2026, BCE sprijină punctul de intrare unic pentru încălcările securității datelor cu caracter personal și salută ideea unei raportări centralizate a incidentelor majore legate de TIC, dar propune ca DORA să fie exclus deocamdată din regulamentul propus, pentru că „[i]ncluderea unui nou actor și a unui nou sistem în primirea acestor rapoarte privind incidentele implică riscuri suplimentare în ceea ce privește disponibilitatea și raportarea în timp util a informațiilor solicitate”.

Nici industria nu are o poziție unitară. Într-o declarație comună din mai 2026, 22 de asociații de afaceri, majoritatea din sectorul digital, între care CCIA Europe și BSA, au cerut un punct de intrare unic la nivelul Uniunii și au avertizat că o abordare națională nu ar reduce efectiv povara conformării, mai ales pentru firmele care activează în mai multe state. Operatorii de telecomunicații, prin GSMA și Connect Europe, au susținut ideea unui punct unic, dar au cerut ca primele notificări operaționale să se facă tot la nivel național, prin câte un punct în fiecare stat membru. Registrele naționale de nume de domeniu, prin CENTR, și fondurile de pensii olandeze, prin federația lor, au respins punctul european și au pledat pentru păstrarea raportării la nivel național. Un sondaj al ECSO, desfășurat între 8 și 19 ianuarie în rândul a 120 de membri ai comunității sale de directori și responsabili de securitate a informației și de specialiști în raportarea incidentelor, arată că respondenții susțin cele două variante aproape în aceeași măsură. Pe o scară de la 1 la 5, punctul de intrare unic gestionat la nivel european a primit 4,21, iar cel gestionat de statele membre, 4,11. Rezultatul trebuie citit ținând seama că 77% dintre respondenți lucrează pentru organizații prezente în mai multe state membre. Cele mai des invocate temeri, menționate de câte 50 de respondenți, au privit întârzierile în transmiterea notificărilor către autoritățile competente și securitatea datelor centralizate la nivel european.

Unele dintre argumentele poziției Consiliului mi se par solide. Semnatarii non-paperului pornesc de la o chestiune de proporții și scriu că „the majority of entities conduct their operations within a single or a few Member States” și că, pentru aceste entități, un punct european ar complica lucrurile fără să simplifice raportarea transfrontalieră. În ceea ce privește povara administrativă, observația poate fi corectă, deși non-paperul nu dă cifre. Raportul Curții nu vorbește însă despre povară, ci despre detectare. La același paragraf 39, auditorii notează că „[e]ste posibil ca, pe baza informațiilor de care dispune, entitatea raportoare sau autoritatea națională respectivă să nu fie conștientă de caracterul transfrontalier al anumitor atacuri”. O firmă care activează într-un singur stat poate fi lovită de o campanie care atinge, în aceeași săptămână, firme din alte cinci state, iar faptul că fiecare raportează autorității din propriul stat nu o ajută să afle acest lucru. Semnatarii non-paperului invocă, de asemenea, securitatea și avertizează că „centralizing sensitive information on incident notifications of 27 Member States would render the EU more vulnerable for cyber-attacks in the event of inadequate security measures”. Riscul există și nu îl invocă doar statele. Până și DIGITALEUROPE, care susține punctul european, a admis că o asemenea platformă ar putea deveni o țintă atractivă și a cerut mai multe fonduri și resurse pentru ENISA. De altfel, sistemul propus de Comisie ar fi păstrat notificările, chiar dacă ENISA nu le-ar fi putut citi, de vreme ce, potrivit articolului 23a alineatul (3) litera (e) din propunere, entitățile „pot extrage și completa informațiile pe care le-au transmis anterior prin intermediul punctului de intrare unic”. Observ totuși că douăzeci și șapte de puncte naționale înseamnă tot atâtea ținte, a căror protecție depinde de fiecare stat, așa că argumentul securității nu poate decide singur între cele două modele.

Non-paperul invocă și competențele, cerând ca procesele legate de obligațiile de raportare să rămână „the sole responsibility of the Member States”. Comisia însăși a amintit un principiu înrudit în răspunsurile la raportul Curții: „securitatea națională rămâne responsabilitatea exclusivă a fiecărui stat membru, care nu poate fi obligat să furnizeze informații a căror divulgare ar fi contrară intereselor sale esențiale de securitate națională, siguranță publică sau apărare”. Curtea nu contestă acest lucru și cere, la litera (a) a primei recomandări, soluții care să îmbunătățească schimbul de informații „cu respectarea, în același timp, a limitelor impuse de securitatea națională”. Sectorul financiar are un argument propriu, formulat de BCE. Un raport DORA poate declanșa proceduri de criză în care timpul contează. De aceea, în opinia băncii, soluția cea mai eficace și mai rezilientă este ca raportul să ajungă direct la autoritatea competentă. Argumentul mi se pare întemeiat pentru fluxul operațional, dar nu spune nimic despre detectarea transfrontalieră. Mai mult, BCE nu respinge integrarea, ci propune, la punctul 4.6 al avizului, să se acumuleze întâi experiență separat cu noul punct de intrare unic și cu regimul DORA, aplicat abia din 17 ianuarie 2025, și să se evalueze apoi cum pot fi integrate cele două. Germania cere și ea exceptarea sectorului financiar, însă nu cu acest argument, ci cu cel al canalelor de raportare existente și al birocrației.

Mai rămâne un argument, pe care nu l-am găsit formulat astfel în niciuna dintre poziții, dar care decurge din textul directivei: Uniunea nu e lipsită nici astăzi de informații. Articolul 23 alineatul (6) din NIS 2 prevede că, „în special dacă incidentul semnificativ implică două sau mai multe state membre”, echipa CSIRT, autoritatea competentă sau punctul unic de contact „informează, fără întârzieri nejustificate, celelalte state membre afectate și ENISA”.

Numai că alineatul începe cu formula „După caz”, iar autoritatea națională decide ce înseamnă „după caz”. La paragraful 38, Curtea arată că în 2025 au fost raportate în acest fel doar paisprezece incidente transfrontaliere semnificative, de către șapte state membre. Printre cauzele schimbului limitat de informații, Curtea enumeră întâi, la paragrafele 10 și 32, întârzierile în transpunerea NIS 2, deci cifra se explică în parte prin aceste întârzieri. Alineatul (9) al aceluiași articol adaugă un canal permanent: punctul unic de contact transmite agenției ENISA, o dată la trei luni, un raport de sinteză cu „date anonimizate și agregate” despre incidentele notificate. Uniunea primește așadar informații, dar agregate, fără identificarea entităților și cu întârziere, adică într-o formă care nu permite corelarea în timp real despre care vorbește Curtea.

În aceeași zi în care Coreper aproba mandatul, Comisia (prin DG CNECT), ENISA, CERT-EU, Centrul european de combatere a criminalității informatice al Europol și rețeaua CSIRT au publicat o declarație comună despre două vulnerabilități critice din PHP, CVE-2026-109618 și CVE-2026-109619, și au anunțat că vor continua să monitorizeze amenințarea pentru a contribui la conștientizarea situației la nivelul Uniunii. Declarația amintește că, potrivit Regulamentului (UE) 2024/2847 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale (Regulamentul privind reziliența cibernetică), de la 11 septembrie 2026 producătorii trebuie să notifice vulnerabilitățile exploatate activ prin platforma unică de raportare. Potrivit articolului 14 din regulament, notificarea ajunge simultan la echipa CSIRT desemnată drept coordonator și la ENISA. În cazul vulnerabilităților, Uniunea are deci două surse de informații: buletinele de securitate publice și notificările obligatorii care ajung la agenție. În cazul incidentelor, notificarea propriu-zisă rămâne la autoritatea națională căreia îi raportează victima, iar la ENISA ajung, o dată la trei luni, doar date anonimizate și agregate. Comparația îmi aparține, nu instituțiilor semnatare, dar arată unde se oprește, în mandatul Consiliului, ceea ce Uniunea poate vedea fără să aștepte ca statele să îi spună.

Testul se poate face și invers, după criteriile statelor. Propunerea Comisiei ținea deja seama de una dintre ele, pentru că ENISA nu ar fi avut acces la notificări. Tocmai aici însă recomandarea Curții și preocuparea statelor se ciocnesc. O capacitate europeană de detectare presupune ca cineva, la nivelul Uniunii, să citească și să coreleze notificările, în timp ce articolul 23d alineatul (3) din mandat și principiul amintit de Comisie lasă statelor decizia asupra informațiilor pe care le pun în comun. O platformă care ar face și această corelare ar concentra exact informațiile pe care semnatarii non-paperului nu vor să le vadă centralizate, iar disponibilitatea ei în timpul unei crize ar deveni o problemă europeană, risc pe care BCE îl invocă pentru sectorul financiar. Nici entitățile nu cer doar simplitate: în sondajul ECSO, 41 de respondenți au invocat temerea că ar pierde relația directă cu echipa CSIRT națională. În sfârșit, detectarea la nivel european nu depinde numai de notificările obligatorii. Regulamentul (UE) 2025/38 a instituit sistemul european de alertă în materie de securitate cibernetică, o rețea de centre cibernetice naționale și transfrontaliere care aderă voluntar, cu scopul declarat de a construi „capacitățile coordonate de detectare și capacitățile comune de conștientizare a situației”. Judecată după aceste criterii, varianta europeană nu câștigă detașat, iar constatarea Curții nu le anulează.

Declarația Germaniei arată poziția pe care Berlinul o susține în Consiliu și pe care o va apăra, probabil, și pe durata negocierilor cu Parlamentul. Germania consideră că punctul național ar crea birocrație suplimentară inutilă, fără vreo valoare adăugată concretă, și cere ca firmele să poată folosi în locul lui canalele existente și ca sectorul financiar să fie exceptat în orice caz. Dacă această poziție câștigă teren, punctul național nu va mai fi nici măcar singura cale de raportare dintr-un stat membru. Proiectul de raport al Parlamentului pornește din direcția opusă. Păstrează punctul de la nivelul Uniunii și propune, prin amendamentul 76, un formular comun de notificare, stabilit de Comisie prin acte de punere în aplicare, care să le permită entităților să îndeplinească printr-o singură notificare mai multe obligații de raportare.

Dacă formula Consiliului rămâne în textul final, o entitate esențială sau o entitate importantă din România ar notifica un incident semnificativ prin punctul național de intrare, organizat de fiecare stat după propriile structuri și propria repartizare a competențelor. Pentru notificările cerute de Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor, RGPD) și de Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar (DORA), propunerea Comisiei prevedea transmiterea prin punctul de intrare unic, în timp ce mandatul se referă doar la o notificare făcută „with the support of the national entry point”. Un grup de societăți prezent în mai multe state membre ar avea de-a face cu tot atâtea puncte naționale, a căror interoperabilitate ar depinde de eforturile fiecărui stat. Pentru entitățile care activează într-un singur stat, schimbarea ar fi mai mică, iar semnatarii non-paperului apreciază că majoritatea entităților activează într-un singur stat sau în câteva. Calendarul se prelungește și el. Considerentul 56 și articolul 11 din mandat prevăd ca punctul național să fie folosit pentru raportare în cel mult treizeci de luni de la intrarea în vigoare a regulamentului, față de optsprezece luni în propunerea Comisiei, termen care acolo putea ajunge la douăzeci și patru.

1. Pe 21 octombrie, Consiliul a cerut, prin mandatul de negociere, ca punctul de intrare unic de la nivelul Uniunii să fie înlocuit cu câte un punct național de intrare în fiecare stat membru și cu un punct european de informare prin care nu se pot depune, transmite, stoca sau prelucra notificări.
2. Nici propunerea Comisiei nu prevedea o capacitate europeană de detectare, pentru că ENISA nu ar fi avut acces la notificări, cu excepția cazurilor stabilite prin actele Uniunii. Recomandarea 1 litera (b) a Curții cere o funcție nouă, care ar fi avut nevoie de o infrastructură comună.
3. Mandatul lasă neschimbate cele două cauze ale raportării limitate descrise de Curte: decizia națională asupra impactului transfrontalier și lipsa unei platforme europene care să coreleze informațiile.
4. Cele două variante câștigă după criterii diferite. Varianta națională răspunde mai bine preocupărilor formulate în non-paperul celor șase state și susținute de o parte a industriei: controlul asupra informațiilor sensibile, relația directă dintre entitate și autoritatea națională, riscul unei ținte centrale și, pentru sectorul financiar, rapiditatea invocată de BCE. Varianta europeană ar fi oferit infrastructura comună de care are nevoie detectarea cerută de Curte, cu condiția ca statele să accepte citirea unei părți din informații la nivelul Uniunii. Argumentele Consiliului nu răspund constatării Curții că o entitate sau o autoritate națională poate să nu vadă caracterul transfrontalier al unui atac, iar recomandarea Curții nu răspunde, la rândul ei, temerii statelor că o asemenea capacitate le-ar slăbi controlul asupra informațiilor.
5. Decizia nu e definitivă. Proiectul de raport al Parlamentului European pornește de la punctul european, Germania vrea pentru punctul național un rol și mai restrâns decât cel din mandat, iar negocierile vor hotărî între aceste două direcții.

Întrebarea din septembrie avea două răspunsuri posibile, iar Consiliul l-a ales pe cel în care forma se hotărăște înaintea analizei. Analiza de la litera (a) a recomandării Curții, cea despre restricțiile de securitate națională, privește tocmai punctul în care cele două criterii se ciocnesc. Dacă negocierile păstrează această ordine, ea va descrie o arhitectură deja stabilită, iar prima criză transfrontalieră va arăta cât de repede își pot pune în comun informațiile douăzeci și șapte de autorități care decid fiecare ce înseamnă „după caz”.

Context pe blog: Raportarea incidentelor cibernetice. Cine vede întregul? (27 septembrie 2026)

Surse

Consiliul Uniunii Europene, mandatul de negociere privind Regulamentul omnibus în domeniul digital, documentul 14756/26, 22 octombrie 2026 (aprobat de Coreper pe 21 octombrie 2026): data.consilium.europa.eu

Consiliul Uniunii Europene, comunicatul „Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules”, 21 octombrie 2026, actualizat pe 22 octombrie 2026: consilium.europa.eu

Consiliul Uniunii Europene, convocarea și ordinea de zi provizorie a grupului de lucru orizontal pentru chestiuni cibernetice, pentru reuniunea din 19 octombrie 2026, documentul CM 4579/26, 13 octombrie 2026: data.consilium.europa.eu

Republica Federală Germania, declarație pentru procesul-verbal al reuniunii Coreper II nr. 3048, 21 octombrie 2026, text publicat de Agence Europe: aeur.eu

Comisia Europeană, COM(2025) 837 final, propunere de regulament privind simplificarea cadrului legislativ în domeniul digital (Regulamentul omnibus în domeniul digital), 19 noiembrie 2025, versiunea în limba română: eur-lex.europa.eu

Curtea de Conturi Europeană, Raportul special 19/2026, „Detectarea incidentelor de securitate cibernetică și răspunsul la acestea”, 21 septembrie 2026: eca.europa.eu

Comisia Europeană, răspunsurile la Raportul special 19/2026 al Curții de Conturi Europene, versiunea în limba română: eca.europa.eu

Franța, Germania, Italia, Olanda, Spania și Suedia, „Non paper – Digital Omnibus – Single Entry point for incident notifications”, anexă la scrisoarea guvernului olandez către Tweede Kamer din 9 martie 2026 (Kamerstuk 22 112, nr. 4287), publicată pe 11 martie 2026: zoek.officielebekendmakingen.nl

Guvernul Olandei, scrisoare către Tweede Kamer, Kamerstuk 22 112, nr. 4382, 18 iunie 2026: zoek.officielebekendmakingen.nl

Comitetul european pentru protecția datelor și Autoritatea Europeană pentru Protecția Datelor, Avizul comun 2/2026 privind Regulamentul omnibus în domeniul digital, 10 februarie 2026: edpb.europa.eu

Comitetul Economic și Social European, avizul INT/1108 privind Regulamentul omnibus în domeniul digital, adoptat în sesiunea plenară din 18 martie 2026: eesc.europa.eu

Banca Centrală Europeană, Avizul CON/2026/9 din 10 martie 2026, versiunea în limba română: eur-lex.europa.eu

Parlamentul European, comisiile ITRE și LIBE, proiectul de raport privind Regulamentul omnibus în domeniul digital, PE786.818, 22 iunie 2026 (raportoare Aura Salla și Marina Kaljurand): europarl.europa.eu

Declarația comună a 22 de asociații de afaceri, „Joint Industry Statement: EU Member States and Policymakers Must Not Undermine the Ambition of the EU Digital Omnibus”, 25 mai 2026 (data de pe pagina BSA): bsa.org

GSMA și Connect Europe, comentarii privind Regulamentul omnibus în domeniul digital, aprilie 2026: gsma.com

CENTR, „Simplification or centralisation? The Digital Omnibus and the case against an EU SEP”, 15 iulie 2026: centr.org

Pensioenfederatie, „DORA in the Digital Omnibus”, 2 februarie 2026: pensioenfederatie.nl

DIGITALEUROPE, „Digital omnibus: a first step and what must come next, now”, 16 februarie 2026: digitaleurope.org

ECSO, sondaj în comunitatea CISO privind punctul de intrare unic pentru raportarea incidentelor (120 de respondenți, chestionar aplicat între 8 și 19 ianuarie; documentul nu menționează anul): ecs-org.eu

Directiva (UE) 2022/2555 (Directiva NIS 2), articolul 23 alineatele (6) și (9): eur-lex.europa.eu

Regulamentul (UE) 2024/2847 (Regulamentul privind reziliența cibernetică), articolele 14 și 16: eur-lex.europa.eu

Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor), articolul 33: eur-lex.europa.eu

Regulamentul (UE) 2022/2554 (DORA), articolul 19: eur-lex.europa.eu

Regulamentul (UE) 2025/38, articolele 1 și 3 (sistemul european de alertă în materie de securitate cibernetică): eur-lex.europa.eu

Comisia Europeană (DG CNECT), ENISA, CERT-EU, Europol EC3 și rețeaua CSIRT, „Joint statement on critical PHP vulnerabilities”, 21 octombrie 2026: digital-strategy.ec.europa.eu

Am citit marți ENISA Threat Landscape 2026, raportul anual al Uniunii privind amenințările cibernetice, și m-am oprit la o notă de subsol de la pagina 19: „In 2025 and as to the 14th of July 2026, a total of 1 954 events were reported under NIS2.” Atâtea evenimente au raportat statele membre pentru anul 2025, cu numărătoarea închisă la 14 iulie 2026. Pentru aceeași perioadă, agenția analizase 8.257 de incidente. Cu o zi înainte, pe 21 septembrie, Curtea de Conturi Europeană publicase Raportul special 19/2026, „Detecting and responding to cybersecurity incidents”, cu o cifră și mai mică. Întrebarea interesantă nu e de ce se raportează atât de puțin. E unde ajunge ceea ce se raportează.