ORDIN nr. 2 din 11 august 2025 pentru aprobarea Criteriilor şi pragurilor de determinare a gradului de perturbare a unui serviciu şi a Metodologiei privind evaluarea nivelului de risc al entităţilor

Sunt extrase articolele marcate în HTML-ul oficial, inclusiv notele din interiorul lor. Meniurile și comenzile paginii sunt omise; spațiile sunt normalizate pentru afișare. Preambulul și titlurile din afara articolelor nu sunt incluse. Aliniere după numărul articolului; renumerotările nu sunt interpretate juridic. Diferențele sunt calculate la nivel de cuvânt. Fișierele originale nu sunt modificate.

 ORDIN nr. 2 din 11 august 2025  pentru aprobarea  Criteriilor și pragurilor  de determinare a gradului de perturbare a unui serviciu și a  Metodologiei  privind evaluarea nivelului de risc al entităților     EMITENT     DIRECTORATUL NAȚIONAL DE SECURITATE CIBERNETICĂ       Publicat în 
			  MONITORUL OFICIAL nr. 776 din 20 august 2025      Având în vedere dispozițiile  art. 10 alin. (2)  și ale  art. 18 din Ordonanța de urgență a Guvernului nr. 155/2024  privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin  Legea nr. 124/2025 , precum și dispozițiile  art. 5 lit. b)  și ale  art. 7 alin. (3)  și  (4) din Ordonanța de urgență a Guvernului nr. 104/2021  privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin  Legea nr. 11/2022 , cu modificările ulterioare,   directorul Directoratului Național de Securitate Cibernetică emite prezentul ordin.    
				 + 
			  Articolul 1       (1)    Entitățile, astfel cum acestea sunt definite la  art. 4 lit. f) din Ordonanța de urgență a Guvernului nr. 155/2024  privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin  Legea nr. 124/2025 , denumită în continuare  Ordonanța de urgență a Guvernului nr. 155/2024 , care nu au fost calificate drept entități esențiale sau entități importante conform  art. 5 alin. (1) lit. a)  și  c)  -  f)  și  alin. (2)  -  (4) ,  art. 6 alin. (1)  și  alin. (2) lit. b)  și  c)  și nici conform  art. 9 lit. a)  și  d)  din același act normativ, realizează evaluarea gradului de perturbare a serviciilor în vederea completării informațiilor solicitate conform  Ordinului directorului Directoratului Național de Securitate Cibernetică nr. 1/2025  pentru aprobarea Cerințelor privind procesul de notificare în vederea înregistrării și metoda de transmitere a informațiilor, precum și pentru determinarea categoriei de măsuri de gestionare a riscurilor aplicabile.    (2)     Prin perturbarea unui serviciu, în înțelesul prezentului ordin, se înțeleg întreruperea, respectiv afectarea confidențialității sau a modului de funcționare a serviciului respectiv.    (3)    Atunci când se realizează evaluarea gradului de perturbare, entitățile se raportează la toate serviciile pe care le prestează și care se încadrează în  anexele nr. 1  și  2 la Ordonanța de urgență a Guvernului nr. 155/2024 .      
				 + 
			  Articolul 2      Rezultatele autoanalizei privind faptul că entitatea este singurul furnizor al unui serviciu care este esențial pentru susținerea unor activități societale și economice critice, conform dispozițiilor  art. 9 lit. a) din Ordonanța de urgență a Guvernului nr. 155/2024 , astfel cum acestea au fost transmise în aplicarea  Ordinului directorului Directoratului Național de Securitate Cibernetică nr. 1/2025  pentru aprobarea cerințelor privind procesul de notificare în vederea înregistrării și metoda de transmitere a informațiilor, se interpretează în conformitate cu prevederile  art. 5 alin. (1) lit. b) , respectiv conform prevederilor  art. 6 alin. (2) lit. a) din Ordonanța de urgență a Guvernului nr. 155/2024 , astfel:  a)    o entitate care este unic furnizor în România al unui serviciu prevăzut în  anexa nr. 1 la Ordonanța de urgență a Guvernului nr. 155/2024  este entitate esențială dacă nu a fost identificată astfel conform celorlalte criterii prevăzute la  art. 5  din același act normativ;   ...     b)    o entitate care este unic furnizor în România al unui serviciu prevăzut în  anexa nr. 2 la Ordonanța de urgență a Guvernului nr. 155/2024  este entitate importantă dacă nu a fost identificată astfel conform celorlalte criterii prevăzute la  art. 6  din același act normativ.   ...         
				 + 
			  Articolul 3      Se aprobă  Criteriile și pragurile  de determinare a gradului de perturbare a unui serviciu, prevăzute în  anexa nr. 1  care face parte integrantă din prezentul ordin.      
				 + 
			  Articolul 4       (1)    Se aprobă  Metodologia  privind evaluarea nivelului de risc al entităților, prevăzută în  anexa nr. 2  care face parte integrantă din prezentul ordin.    (2)     Utilizarea metodologiei prevăzute la  alin. (1)  are scopul de a determina categoria de măsuri tehnice, operaționale și organizatorice destinate identificării, evaluării și gestionării riscurilor aferente securității rețelelor și a sistemelor informatice pe care entitatea trebuie să le implementeze.    (3)    În vederea determinării nivelului de risc al entității, Directoratul Național de Securitate Cibernetică, în continuare DNSC, stabilește un scor de bază pentru fiecare sector din fiecare anexă la  Ordonanța de urgență a Guvernului nr. 155/2024  sau, după caz, pentru unele tipuri de entități din  anexele nr. 1  și  2  la același act normativ. Scorul general obținut de către entitate determină nivelul de complexitate a măsurilor de securitate, aferent ordinului privind măsurile de gestionare a riscurilor.      
				 + 
			  Articolul 5       (1)    Entitățile își calculează scorul prevăzut la  art. 3 alin. (6) din anexa nr. 2  utilizând formulele de calcul prevăzute în anexa respectivă, pornind de la valorile de bază aferente tipului de entitate în care se încadrează sau sectorului din care fac parte, prevăzute în cadrul  anexei la Metodologia  privind evaluarea nivelului de risc al entităților, și în conformitate cu dimensiunea acestora.    (2)     O entitate care desfășoară activități în mai multe sectoare își evaluează nivelul de risc aferent fiecărui sector și implementează nivelul de măsuri de securitate corespunzător celui mai mare scor general obținut.    (3)    Atunci când, ca urmare a evaluării realizate de către entitate, valorile aferente impactului și probabilității la nivelul propriei organizații ale riscurilor prevăzute în  metodologia din anexa nr. 2  diferă de valorile de bază ale sectorului sau ale tipului de entitate cu privire la care se raportează evaluarea, entitatea transmite către DNSC o analiză care cuprinde câte o motivare temeinică pentru fiecare valoare cu privire la care aceasta solicită modificarea valorii de bază.    (4)     Ca urmare a solicitării prevăzute la  alin. (3) , DNSC poate valida propunerile înaintate de către entitate prin solicitarea transmisă. În situația validării acestora, calculul scorului general care determină nivelul de risc al entității se realizează conform valorilor astfel actualizate.    (5)    Entitățile își recalculează scorul general o dată la 3 ani și ori de câte ori este depășit pragul ridicat al impactului generat de perturbarea serviciului furnizat aferent sectorului din care acestea fac parte, aplicând corespunzător dispozițiile  alin. (1) , cu excepția situației în care entitatea aplică deja cel mai înalt nivel de măsuri de securitate cibernetică conform ordinului privind măsurile de gestionare a riscurilor prevăzut la  art. 12 alin. (1) din Ordonanța de urgență a Guvernului nr. 155/2024 .    (6)     Entitățile pot să își recalculeze scorul general și în situația în care impactul generat de perturbarea serviciului furnizat este sub pragul aferent sectorului din care acestea fac parte, aplicând corespunzător dispozițiile  alin. (1) .      
				 + 
			  Articolul 6      Prezentul ordin se publică în Monitorul Oficial al României, Partea I.       Directorul Directoratului Național de Securitate Cibernetică,    Dan-Petre Cîmpean    București, 11 august 2025.   Nr. 2.    
				 + 
			  Anexa nr. 1         CRITERII ȘI PRAGURI de determinare a gradului de perturbare a unui serviciu           
				 + 
			  Anexa nr. 2         METODOLOGIE privind evaluarea nivelului de risc al entităților         

Preluat: 2026-09-24T17:38:14.428544+00:00 · SHA256: cbb1eaf963f5a3f9fd9e0c56fbe84639b49cbee7987ad843ee53f64046569e3e