# Răspunderea conducerii pentru vulnerabilitățile de securitate IT

> Răspunderea administratorilor pentru vulnerabilități de securitate IT, explicată general: obligații de diligență, NIS2 și cum documentați curat deciziile.

Sursa: https://phpsos.de/ro/compliance/geschaeftsfuehrer-haftung/  
Stadiu: 25.10.2026  
Furnizor: PHP SOS, Asistență de urgență PHP și securitatea serverelor. Ajutor imediat pe WhatsApp: https://wa.me/491736494914?text=Bun%C4%83%20ziua%2C%20PHP%20SOS%2C%20avem%20nevoie%20de%20ajutor%20cu%20serverul%20nostru%20PHP.%20Firma%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Pe scurt:** Securitatea IT face parte din sarcinile conducerii. O răspundere a administratorului pentru vulnerabilități de securitate IT este discutată mai ales atunci când riscuri cunoscute nu au fost tratate adecvat, responsabilitățile nu au fost reglementate sau deciziile nu au fost luate într-un mod trasabil. În situații precum PHP2Shell ajută o decizie clară, documentată, pe baza faptelor disponibile. Această pagină este informare generală și nu constituie consultanță juridică.

> **Important:**
> Fără consultanță juridică: întrebările de răspundere depind puternic de cazul concret, de forma juridică și de reglementările contractuale. Cereți evaluarea întrebărilor concrete de către un avocat specializat în dreptul societăților.

## Răspunderea administratorului și securitatea IT: cadrul general

Pentru administratorii (Geschäftsführer) unei societăți cu răspundere limitată (GmbH), § 43 GmbHG (legea germană privind societățile cu răspundere limitată) cere diligența unui om de afaceri prudent. Pentru membrii directoratului unei societăți pe acțiuni, § 93 AktG (legea germană privind societățile pe acțiuni) conține o regulă comparabilă; § 91 alin. 2 AktG cere în plus măsuri adecvate pentru recunoașterea timpurie a evoluțiilor care pun în pericol existența societății. Din aceste obligații generale se deduce în discuția de specialitate că și riscurile IT trebuie gestionate în mod adecvat.

Pentru deciziile antreprenoriale există o marjă de apreciere. Cine decide pe baza unei informări adecvate și în interesul societății acționează, potrivit așa-numitei Business Judgment Rule (regula judecății de afaceri), de regulă în conformitate cu obligațiile sale, chiar dacă decizia se dovedește ulterior nefavorabilă. De aici rezultă o lecție practică: decisiv este adesea mai puțin rezultatul și mai mult dacă decizia a fost luată informat și într-un mod trasabil.

## Ce adaugă NIS2

Pentru companiile care intră sub incidența NIS2, responsabilitatea conducerii este reglementată explicit. Conducerea trebuie să aprobe măsurile de management al riscurilor, să supravegheze implementarea lor și să se instruiască în securitate cibernetică. În Germania, transpunerea se face prin NIS2UmsuCG (legea germană de transpunere NIS2). Dacă compania dumneavoastră este afectată și ce obligații se aplică în detaliu aflați din indicațiile BSI. O privire de ansamblu generală oferă [NIS2 și securitatea serverelor web](https://phpsos.de/ro/compliance/nis2/).

Se adaugă obligațiile din protecția datelor. Potrivit RGPD, o companie trebuie să ia măsuri tehnice și organizatorice adecvate și să evalueze, să documenteze și, dacă este cazul, să notifice încălcările securității datelor cu caracter personal conform art. 33.

## Ce cere conducerii o situație precum PHP2Shell

PHP2Shell cuprinde două vulnerabilități critice în PHP însuși (CVE-2026-109618 și CVE-2026-109619, fiecare CVSS v4.0 9.2). BSI a declarat nivelul de avertizare 3 (portocaliu) și recomandă o actualizare imediată și, dacă aceasta nu este posibilă, scoaterea temporară a serverelor web din rețea. Pentru conducere rezultă astfel o cântărire tipică: cifra de afaceri și disponibilitatea față de un risc ridicat, cunoscut public.

Nimeni nu cere ca administratorii să actualizeze ei înșiși serverele. Se poate aștepta însă ca ei să ia act de situație, să clarifice responsabilitățile, să ceară rapoarte și să ia o decizie. Întrebări pe care conducerea ar trebui să și le pună:

- Care dintre sistemele noastre folosesc PHP și cine răspunde de ele, intern sau la prestator?
- Au fost instalate actualizările și repornite procesele și există o dovadă pentru aceasta?
- Dacă nu: de ce nu, ce măsuri provizorii rulează și scoatem sistemul din rețea?
- Există indicii ale unei intruziuni și cine evaluează eventualele obligații de notificare?

## Documentați deciziile

Consemnați pe scurt în scris imaginea situației, opțiunile, decizia și motivarea, cu data și ora. Un astfel de protocol nu trebuie să fie lung. El arată mai târziu că conducerea a fost informată și a cântărit. Aceasta se aplică în mod expres și deciziei de a menține în funcțiune un sistem, în ciuda riscului, pentru o perioadă limitată.

| Conținut | Exemplu |
|---|---|
| Imaginea situației | BSI nivel de avertizare 3, patchuri disponibile din 21.10.2026 |
| Sisteme afectate | Magazin, portal de clienți, instalare wiki internă |
| Opțiuni | actualizare imediată, măsuri provizorii, scoatere din rețea |
| Decizie | Magazin actualizat, wiki offline până la actualizare |
| Motivare și responsabili | Dovadă din partea prestatorului, control de către conducerea IT |

Un patch nu elimină programele malițioase deja introduse. Și decizia dacă se caută urme aparține în protocol.

## Organizați durabil, în loc să improvizați în caz grav

Cea mai bună prevenție este o organizare clară: un responsabil numit pentru securitatea informației, o procedură pentru actualizările de securitate, rapoarte periodice către conducere, un [plan de urgență IT](https://phpsos.de/ro/compliance/notfallplan-erstellen/) testat și o verificare independentă la intervale rezonabile. Drept cadru metodic se potrivește IT-Grundschutz de la BSI.

La organizare aparține și redactarea rapoartelor astfel încât conducerea să le înțeleagă. Un raport scurt, periodic, cu puține informații este adesea suficient: câte sisteme sunt la zi, unde există excepții și de ce, ce incidente sau aproape-incidente au existat, ce decizii urmează. Cine primește asemenea rapoarte, pune întrebări suplimentare și consemnează rezultatele poate arăta ulterior că supravegherea a avut loc efectiv. Aceasta se aplică independent de faptul că tehnica se află intern sau la un prestator.

## Cum ajută PHP SOS concret?

- Întocmim pentru conducere o imagine ușor de înțeles a serverelor dumneavoastră web, cu opțiuni clare.
- Implementăm opțiunea aleasă și furnizăm o dovadă tehnică scrisă.
- Printr-un [audit de securitate sau un test de penetrare](https://phpsos.de/ro/leistungen/sicherheitsaudit-penetrationstest/) creăm o bază independentă pentru deciziile dumneavoastră.
- Printr-un [contract de mentenanță de securitate](https://phpsos.de/ro/leistungen/security-wartungsvertrag/) reglementăm durabil actualizările și rapoartele.


## Întrebări frecvente

**Răspunde un administrator personal pentru un atac informatic?**  
Un atac singur nu întemeiază o răspundere personală. O răspundere este discutată mai ales atunci când au fost încălcate obligații de diligență, de exemplu dacă riscuri cunoscute au fost ignorate sau responsabilitățile nu au fost reglementate. Dacă este așa în cazul concret poate evalua doar consultanța juridică.

**Pot delega complet securitatea IT către departamentul IT sau către un prestator?**  
Sarcinile pot fi delegate, dar responsabilitatea pentru alegere, dotare și supraveghere rămâne la conducere. Cereți rapoarte periodice și consemnați ce decizii au fost luate și pe ce bază.

**Ce schimbă NIS2 în responsabilitatea conducerii?**  
NIS2 cere conducerii companiilor afectate să aprobe măsurile de management al riscurilor, să supravegheze implementarea lor și să participe la instruiri. Detaliile rezultă din legea germană de transpunere și din indicațiile BSI (Oficiul Federal German pentru Securitatea Informațiilor).

**Ajută o asigurare D&O?**  
O asigurare de răspundere a administratorilor poate acoperi anumite riscuri de răspundere ale conducerii, dar condițiile diferă mult. Clarificați întinderea cu brokerul sau asigurătorul dumneavoastră.

## Surse

- [BSI: Oficiul Federal German pentru Securitatea Informațiilor](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (protecția de bază IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [Art. 33 RGPD](https://dsgvo-gesetz.de/art-33-dsgvo/)