Norma din 2026 de aplicabilitate a cerinţelor de securitate cibernetică pentru entităţile care fac parte dintr-un grup de întreprinderi

Dată act: 14-sept-2026

Emitent: Directoratul National de Securitate Cibernetica

Scopul

Prezentul document explică modul în care o entitate parte în cadrul unui grup de întreprinderi demonstrează conformitatea cu prevederile Ordinului directorului Directoratului Naţional de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor, cu completările ulterioare, atunci când guvernanţa, strategia şi managementul riscului de securitate cibernetică sunt definite la nivel de grup şi transpuse în cascadă la nivelul acesteia.

Modelul de aplicabilitate

Controalele aplicate la nivelul entităţii pot fi:

– preluate: controale ale căror guvernanţă, luare a deciziilor, gestionare şi garantare sunt exercitate la nivel de grup şi pe care entitatea se bazează (sau le adoptă) în mod direct;

– implementate: controale guvernate prin standarde definite la nivel de grup, dar executate (implementate), supravegheate şi garantate prin propriile structuri de guvernanţă ale entităţii;

– partajate: responsabilităţile sunt împărţite între entitate şi grupul din care face parte.

Indiferent de modelul de aplicabilitate, entitatea răspunde pentru demonstrarea implementării eficace a controalelor aplicabile în propriul său domeniu (principiu general).

Aplicarea controalelor, corespunzător funcţiei

Secţiunile următoare descriu modul în care controalele se aplică, în mod obişnuit, entităţilor care fac parte dintr-un grup de întreprinderi.

GUVERNARE (GV)

Categorii aplicabile:

– GV.OC – Context organizaţional;

– GV.RM – Strategia de management al riscului;

– GV.RR – Roluri, responsabilităţi şi atribuţii de autoritate;

– GV.PO – Politici;

– GV.OV – Supraveghere;

– GV.SC – Managementul riscului în lanţul de aprovizionare pentru securitate cibernetică (C-SCRM).

Controalele din funcţia Guvernare sunt, în mod obişnuit, definite şi coordonate la nivel de grup. Entitatea demonstrează conformitatea prin adoptarea formală a guvernanţei, a politicilor şi a cadrelor de management al riscului ale grupului, prin stabilirea rolurilor şi a liniilor de raportare locale, aliniate la structura grupului şi prin aplicarea, în propriul său domeniu de aplicare, a cerinţelor de supraveghere şi a cerinţelor privind lanţul de aprovizionare definite la nivel de grup.

Entitatea nu este obligată să redefinească aranjamentele de guvernanţă, dar rămâne răspunzătoare pentru aplicarea eficace a acestora.

IDENTIFICARE (ID)

Categorii aplicabile:

– ID.AM – Managementul activelor;

– ID.RA – Evaluarea riscurilor;

– ID.IM – Îmbunătăţire.

Controalele din funcţia Identificare sunt implementate în principal la nivel local de către entitate, utilizând metodele şi instrumentele definite la nivel de grup.

Entitatea demonstrează conformitatea prin menţinerea unor inventare exacte ale activelor, serviciilor, datelor şi furnizorilor, prin efectuarea evaluărilor de risc utilizând metodologia grupului şi prin asigurarea faptului că modificările situaţiei sale sunt reflectate în inventare, în evaluările de risc şi în activităţile de îmbunătăţire.

PROTECŢIE (PR)

Categorii aplicabile:

– PR.AA – Managementul identităţii, autentificarea şi controlul accesului;

– PR.AT – Conştientizare şi instruire;

– PR.DS – Securitatea datelor;

– PR.PS – Securitatea platformei;

– PR.IR – Rezilienţa infrastructurii tehnologice.

Controalele din funcţia Protecţie sunt, în general, partajate. Politicile, standardele şi tehnologiile de securitate definite la nivel de grup sunt implementate la nivel local de către entitate.

Entitatea demonstrează conformitatea prin asigurarea acoperirii eficace a sistemelor şi serviciilor sale, prin asigurarea participării personalului la instruirea obligatorie şi prin gestionarea excepţiilor documentate, atunci când este necesar.

DETECŢIE (DE)

Categorii aplicabile:

– DE.CM – Monitorizare continuă;

– DE.AE – Analiza evenimentelor adverse.

Controalele din funcţia Detecţie sunt, în mod obişnuit, operate centralizat, la nivel de grup.

Entitatea demonstrează conformitatea prin asigurarea faptului că sistemele şi serviciile sale se află în domeniul de aplicare al capabilităţilor de monitorizare ale grupului, prin definirea responsabilităţilor locale de tratare a alertelor şi de escaladare şi prin acţiunile întreprinse pe baza rezultatelor detecţiei relevante pentru mediul său.

RĂSPUNS (RS)

Categorii aplicabile:

– RS.MA – Managementul incidentelor;

– RS.AN – Analiza incidentelor;

– RS.CO – Raportarea şi comunicarea răspunsului la incidente;

– RS.MI – Atenuarea incidentelor.

Controalele din funcţia Răspuns sunt coordonate la nivel de grup şi executate în comun.

Entitatea demonstrează conformitatea prin participarea la procesele de răspuns la incidente ale grupului, prin executarea acţiunilor locale definite de răspuns şi de limitare a incidentelor şi prin furnizarea de informaţii specifice entităţii pentru analiza incidentelor şi pentru îmbunătăţire.

RECUPERARE (RC)

Categorii aplicabile:

– RC.RP – Executarea planului de recuperare în caz de incident;

– RC.CO – Comunicarea privind recuperarea incidentului.

Controalele din funcţia Recuperare sunt, în general, partajate.

Entitatea demonstrează conformitatea prin alinierea aranjamentelor sale de recuperare la cadrele de continuitate a activităţii şi de recuperare în caz de dezastru ale grupului, prin îndeplinirea obiectivelor de recuperare definite pentru serviciile sale critice şi prin participarea la testare şi la comunicările legate de recuperare.

Evaluarea maturităţii controalelor, atunci când entitatea face parte dintr-un grup de entităţi

Regula generală

Nivelul de maturitate reflectă gradul în care un control este documentat, implementat, măsurat şi îmbunătăţit pentru entitate, indiferent dacă acesta este definit la nivelul grupului sau la nivelul entităţii.

O entitate poate atinge orice nivel de maturitate utilizând controale definite la nivel de grup, cu condiţia ca documentaţia să fie aplicabilă în mod formal, iar dovezile de implementare şi metricile să existe la nivelul entităţii.

Corespondenţa dintre aplicabilitatea controlului şi dimensiunile maturităţii

^*A se vedea modelul de aplicabilitate.

Modul de evaluare a maturităţii, pe fiecare stadiu

Mai jos este prezentat un model de interpretare practică a fiecărui stadiu de maturitate aplicabilă uniform controalelor preluate, partajate şi implementate:

– Stadiul 1 – Iniţial

— Documentaţie:

|_| nu există documentaţie aplicabilă a grupului sau a entităţii.

sau

|_| documentaţia există, dar nu este aprobată oficial sau nu este aplicabilă entităţii.

— Implementare:

|_| nu există un proces standard la nivel de grup care acoperă entitatea;

|_| acţiunile entităţii sunt ad-hoc sau absente.

– Stadiul 2 – Repetabil

— Documentaţie:

|_| există documentaţie a grupului sau a entităţii, aprobată oficial;

|_| documentaţia se aplică entităţii;

|_| documentaţia nu a fost revizuită în ultimii 2 ani.

— Implementare:

|_| există un proces la nivel de grup;

|_| entitatea îl urmează în mod informal sau inconsecvent.

– Stadiul 3 – Definit

— Documentaţie:

|_| documentaţia grupului:

– este aprobată oficial;

– este aplicabilă entităţii;

– excepţiile sunt documentate şi aprobate.

|_| abaterile specifice entităţii sunt documentate;

|_| excepţii < 5%.

— Implementare:

|_| procesul standard al grupului este implementat;

|_| există dovezi pentru majoritatea activităţilor entităţii;

|_| excepţii < 10%.

– Stadiul 4 – Gestionat

— Documentaţie:

|_| documentaţia grupului:

– este aprobată oficial;

– este aplicabilă;

– este revizuită periodic.

|_| excepţiile entităţii sunt documentate, aprobate şi urmărite;

|_| excepţii < 3%.

— Implementare:

|_| controalele sunt implementate în mod consecvent la nivelul întregii entităţi;

|_| există dovezi pentru toate activităţile;

|_| metricile sunt colectate şi raportate;

|_| sunt definite valori-ţintă pentru metrici;

|_| excepţii < 5%.

NOTĂ:

Acest stadiu de maturitate necesită măsurare la nivel local, chiar dacă instrumentele sunt deţinute la nivel de grup.

– Stadiul 5 – Optimizare

— Documentaţie:

|_| documentaţia grupului este îmbunătăţită continuu;

|_| feedbackul entităţii este integrat în mod activ;

|_| excepţii < 0,5%.

— Implementare:

|_| îmbunătăţirea continuă poate fi demonstrată;

|_| metricile arată o îmbunătăţire consecventă în timp;

|_| excepţii < 1%;

|_| lecţiile învăţate determină în mod sistematic actualizări.

NOTĂ:

Acest stadiu de maturitate ar putea fi atins numai dacă entităţile contribuie în mod activ, nu doar preiau pasiv controalele grupului.

Eroare frecventă de evaluare

Evaluare incorectă

Entitatea nu are propria politică, deci maturitatea documentaţiei este stadiul 1.

Evaluare corectă

Entitatea adoptă în mod formal o politică a grupului, deci maturitatea documentaţiei depinde de aprobare, aplicabilitate, revizuire şi de tratarea excepţiilor.

Această distincţie este esenţială pentru entităţile care fac parte dintr-un grup de întreprinderi.

Publicat în Monitorul Oficial cu numărul 798 din data de 21 septembrie 2026