Scopul
Prezentul document explică modul în care o entitate parte în cadrul unui grup de întreprinderi demonstrează conformitatea cu prevederile Ordinului directorului Directoratului Naţional de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor, cu completările ulterioare, atunci când guvernanţa, strategia şi managementul riscului de securitate cibernetică sunt definite la nivel de grup şi transpuse în cascadă la nivelul acesteia.

În temeiul dispoziţiilor art. III alin. (3) din Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente reţelelor şi sistemelor informatice utilizate de entităţile esenţiale şi importante şi a Metodologiei de autoevaluare a maturităţii măsurilor de gestionare a riscurilor de securitate cibernetică şi pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităţilor, aprobată prin Ordinul directorului Directoratului Naţional de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor, cu completările ulterioare, precum şi a dispoziţiilor art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,

Având în vedere dispoziţiile art. 10 alin. (2), art. 11 alin. (1), art. 12 alin. (1) şi (4) şi ale art. 13 din Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, precum şi dispoziţiile art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,
directorul Directoratului Naţional de Securitate Cibernetică emite prezentul ordin.

Articolul 1

(1) Directoratul Național de Securitate Cibernetică dezvoltă și pune la dispoziția tuturor entităților esențiale și importante două mecanisme destinate stabilirii nivelului de maturitate a măsurilor de gestionare a riscurilor de securitate cibernetică ale entității, în conformitate cu art. 12 alin. (4) și art.
37 alin. (8) lit. b) din Ordonanța de urgență a Guvernului nr. 155/2024, respectiv:

Art. 1 – Structura măsurilor de gestionare a riscurilor de securitate cibernetică

(1) Măsurile de gestionare a riscurilor de securitate cibernetică sunt organizate în șase Funcții, după cum urmează:
a) Guvernare (GV) – asigură tratarea securității cibernetice ca prioritate strategică și stabilește politicile, responsabilitățile și atribuțiile de autoritate, care sunt comunicate și revizuite la nivelul entității;
b) Identificare (ID) – asigură înțelegerea activelor, sistemelor, persoanelor și datelor relevante, precum și a riscurilor asociate, fundamentând deciziile privind gestionarea riscurilor de securitate cibernetică;
c) Protecție (PR) – cuprinde măsurile de protecție, de natură tehnică, procedurală și de conștientizare, menite să reducă probabilitatea producerii unui incident sau să îi limiteze impactul;
d) Detecție (DE) – susține detecția promptă a evenimentelor de securitate cibernetică, în vederea reducerii daunelor și a unui răspuns mai rapid;
e) Răspuns (RS) – cuprinde acțiunile întreprinse la producerea unui incident, pentru limitarea acestuia, coordonarea comunicării și reducerea perturbărilor;
f) Recuperare (RC) – vizează restabilirea serviciilor și a operațiunilor afectate de un incident, precum și valorificarea lecțiilor învățate pentru creșterea rezilienței.

Având în vedere dispoziţiile art. 10 alin. (2), art. 11 alin. (1), art. 12 alin. (1) şi (4), art. 13, precum şi ale art. 65 alin. (1) lit. b) din Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, cu completările ulterioare, precum şi dispoziţiile art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,

directorul Directoratului Naţional de Securitate Cibernetică emite prezentul ordin.

Având în vedere că Regulamentul (UE) 2022/2.554 privind rezilienţa operaţională digitală a sectorului financiar şi de modificare a Regulamentelor (CE) nr. 1.060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 şi (UE) 2016/1.011, denumit în continuare Regulamentul (UE) 2022/2.554, impune obligaţia statelor membre de a adopta măsuri la nivel naţional în vederea stabilirii sancţiunilor administrative şi a măsurilor de remediere corespunzătoare pentru încălcările regulamentului şi de a asigura punerea lor efectivă în aplicare, precum şi notificarea Comisiei Europene (CE), Autorităţii Europene pentru Valori Mobiliare şi Pieţe (ESMA), Autorităţii Bancare Europene (ABE), Autorităţii Europene de Asigurări şi Pensii Ocupaţionale (EIOPA) până la 17 ianuarie 2025 cu privire la actele normative adoptate în acest sens,

Având în vedere dispoziţiile art. 10 alin. (2) şi ale art. 18 din Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, precum şi dispoziţiile art. 5 lit. b) şi ale art. 7 alin. (3) şi (4) din Ordonanţa de urgenţă a Guvernului nr. 104/2021 privind înfiinţarea Directoratului Naţional de Securitate Cibernetică, aprobată cu modificări şi completări prin Legea nr. 11/2022, cu modificările ulterioare,

directorul Directoratului Naţional de Securitate Cibernetică emite prezentul ordin.

Art. 1

(1)Cerinţele privind procesul de notificare în vederea înregistrării entităţilor esenţiale şi importante şi metoda de transmitere a acestei notificări, denumite în continuare cerinţe, asigură un cadru coerent şi eficient pentru entităţile din sectoarele prevăzute în anexele nr. 1 şi 2 la Ordonanţa de urgenţă a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a reţelelor şi sistemelor informatice din spaţiul cibernetic naţional civil, aprobată cu modificări şi completări prin Legea nr. 124/2025, denumită în continuare Ordonanţa de urgenţă a Guvernului nr. 155/2024, în procesul de notificare şi au ca obiective generale:

a)procedurarea şi standardizarea procesului de notificare în vederea înregistrării în Registrul entităţilor identificate drept esenţiale sau importante;

b)stabilirea metodei de transmitere a informaţiilor în cadrul procesului de notificare a Directoratului Naţional de Securitate Cibernetică, denumit în continuare DNSC, în vederea înregistrării entităţilor.

(2)Sintagmele şi termenii utilizaţi în cuprinsul prezentelor cerinţe au înţelesul acordat acestora de Ordonanţa de urgenţă a Guvernului nr. 155/2024.