Ordinul 2/2026 privind completarea Ordinului directorului Directoratului Naţional de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor

Dată act: 14-sept-2026

Emitent: Directoratul National de Securitate Cibernetica

Având în vedere dispoziţiile art. 10 alin. (2), art. 11 alin. (1), art. 12 alin. (1) şi (4) şi ale art. 13 din Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, precum şi dispoziţiile art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,

directorul Directoratului Naţional de Securitate Cibernetică emite prezentul ordin.

Art. I

Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor, publicat în Monitorul Oficial al României, Partea I, nr. 712 şi 712 bis din 27 august 2026, se completează după cum urmează:

1.La articolul III, după alineatul (2) se introduce un nou alineat, alin. (3), cu următorul cuprins:

“(3) Atunci când entitatea face parte dintr-un grup de întreprinderi, aceasta implementează cerinţele de securitate cibernetică în conformitate cu regulile de aplicabilitate aprobate prin decizie a directorului DNSC.”

2.La anexa nr. 2, după articolul 3 se introduce un nou articol, art. 4, cu următorul cuprins:

“Art. 4

(1) Entitatea poate exclude de la autoevaluare Controalele care nu sunt aplicabile activităţii sale, prin selectarea opţiunii «N/A» pentru ambii parametri prevăzuţi de dispoziţiile art. 2 alin. (1), în următoarele limite:

a) pentru nivelul de Bază, cel mult un Control;

b) pentru nivelul Important, cel mult trei Controale;

c) pentru nivelul Esenţial, cel mult cinci Controale.

(2) Nu pot fi excluse de la autoevaluare:

a) Controalele marcate ca Măsuri-cheie, indiferent de nivelul de asigurare;

b) Controalele aferente Aspectelor de management, pentru nivelul Esenţial.

(3) Pentru fiecare Control exclus potrivit dispoziţiilor alin. (1), în calculul scorurilor prevăzute de dispoziţiile art. 2 alin. (6)-(9) se utilizează valoarea:

a) 2,5 pentru nivelul de Bază;

b) 3 pentru nivelurile Important şi Esenţial.

(4) Excluderea fiecărui Control se justifică în scris, cu indicarea motivelor pentru care Controlul nu este aplicabil entităţii, şi se evidenţiază în declaraţia de aplicabilitate prevăzută la dispoziţiile art. III alin. (2) din ordin.

(5) Excluderile care depăşesc limitele prevăzute de dispoziţiile alin. (1) sau care privesc Controalele prevăzute de dispoziţiile alin. (2) nu sunt luate în considerare, iar autoevaluarea nu este considerată conformă cerinţelor legale incidente până la remedierea acestora.”

Art. II

Prezentul ordin se publică în Monitorul Oficial al României, Partea I.

-****-

Publicat în Monitorul Oficial cu numărul 792 din data de 18 septembrie 2026