Ordinul 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor

Dată act: 6-aug-2026

Emitent: Directoratul National de Securitate Cibernetica

Având în vedere dispoziţiile art. 10 alin. (2), art. 11 alin. (1), art. 12 alin. (1) şi (4), art. 13, precum şi ale art. 65 alin. (1) lit. b) din Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, precum şi dispoziţiile art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,

directorul Directoratului Naţional de Securitate Cibernetică emite prezentul ordin.

Art. I

Se aprobă Măsurile de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante, prevăzute în anexa nr. 1*) care face parte integrantă din prezentul ordin.

*) Anexele nr. 1 şi 2 se publică în Monitorul Oficial al României, Partea I, nr. 712 bis, care se poate achiziţiona de la Centrul pentru relaţii cu publicul din şos. Panduri nr. 1, bloc P33, parter, sectorul 5, Bucureşti.

Art. II

Se aprobă Metodologia de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică, prevăzută în anexa nr. 2*) care face parte integrantă din prezentul ordin.

Art. III

(1)Atunci când este cazul, măsurile de gestionare a riscurilor de securitate cibernetică aplicabile entităţii se completează cu alte cerinţe prevăzute în reglementări speciale sau sectoriale aplicabile acesteia.

(2)Cerinţele implementate ca urmare a aplicării unor reglementări speciale sau sectoriale se evidenţiază într-o declaraţie de aplicabilitate întocmită de entitate.

Art. IV

Entităţile esenţiale şi importante implementează controalele aferente nivelului de asigurare corespunzător nivelului lor de risc, determinat potrivit Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor.

Art. V

-Articolul 6 din Metodologia privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor, publicat în Monitorul Oficial al României, Partea I, nr. 776 din 20 august 2025, se modifică şi va avea următorul cuprins:

“-Art. 6

-(1) Entităţile din sectorul 3 – Sectorul bancar şi din sectorul 4 – Infrastructuri ale pieţei financiare, prevăzute în anexa nr. 1 la Ordonanţa de urgenţă a Guvernului nr. 155/2024, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, cărora li se aplică Regulamentul (UE) 2022/2.554 al Parlamentului European şi al Consiliului din 14 decembrie 2022 privind rezilienţa operaţională digitală a sectorului financiar şi de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 şi (UE) 2016/1.011, denumit în continuare Regulamentul (UE) 2022/2.554, nu realizează evaluarea nivelului de risc al entităţii.

-(2) Entităţile menţionate la alin. (1) aplică măsurile de gestionare a riscurilor în materie de securitate cibernetică prevăzute de Regulamentul (UE) 2022/2.554.

-(3) Atunci când entităţile din sectorul 8 – Infrastructură digitală şi din sectorul 9 – Gestionarea serviciilor TIC (business-to-business), prevăzute în anexa nr. 1 la Ordonanţa de urgenţă a Guvernului nr. 155/2024, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, sunt desemnate ca furnizori terţi esenţiali de servicii TIC potrivit Regulamentului (UE) 2022/2.554, acestea nu realizează evaluarea nivelului de risc al entităţii şi aplică măsurile de gestionare a riscurilor în materie de securitate cibernetică prevăzute de acelaşi regulament.”

Art. VI

Prezentul ordin se publică în Monitorul Oficial al României, Partea I.

-****-

Publicat în Monitorul Oficial cu numărul 712 din data de 27 august 2026