NORME din 14 septembrie 2026 de aplicabilitate a cerinţelor de securitate cibernetică pentru entităţile care fac parte dintr-un grup de întreprinderi

Sunt extrase articolele marcate în HTML-ul oficial, inclusiv notele din interiorul lor. Meniurile și comenzile paginii sunt omise; spațiile sunt normalizate pentru afișare. Preambulul și titlurile din afara articolelor nu sunt incluse. Aliniere după numărul articolului; renumerotările nu sunt interpretate juridic. Diferențele sunt calculate la nivel de cuvânt. Fișierele originale nu sunt modificate.

 NORME din 14 septembrie 2026  de aplicabilitate a cerințelor de securitate cibernetică pentru entitățile care fac parte dintr-un grup de întreprinderi     EMITENT     DIRECTORATUL NAȚIONAL DE SECURITATE CIBERNETICĂ       Publicat în 
			  MONITORUL OFICIAL nr. 798 din 21 septembrie 2026       
						Notă   ...
			    Aprobate prin  DECIZIA nr. 3 din 14 septembrie 2026 , publicată în Monitorul Oficial al României, Partea I, nr. 798 din 21 septembrie 2026.     
				 + 
			   Scopul      Prezentul document explică modul în care o entitate parte în cadrul unui grup de întreprinderi demonstrează conformitatea cu prevederile  Ordinului directorului Directoratului Național de Securitate Cibernetică nr. 1/2026  pentru aprobarea  Măsurilor  de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a  Metodologiei  de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea  Metodologiei  privind evaluarea nivelului de risc al entităților, aprobată prin  Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025  pentru aprobarea  Criteriilor și pragurilor  de determinare a gradului de perturbare a unui serviciu și a  Metodologiei  privind evaluarea nivelului de risc al entităților, cu completările ulterioare, atunci când guvernanța, strategia și managementul riscului de securitate cibernetică sunt definite la nivel de grup și transpuse în cascadă la nivelul acesteia.      
				 + 
			   Modelul de aplicabilitate      Controalele aplicate la nivelul entității pot fi: • preluate: controale ale căror guvernanță, luare a deciziilor, gestionare și garantare sunt exercitate la nivel de grup și pe care entitatea se bazează (sau le adoptă) în mod direct;   • implementate: controale guvernate prin standarde definite la nivel de grup, dar executate (implementate), supravegheate și garantate prin propriile structuri de guvernanță ale entității;   • partajate: responsabilitățile sunt împărțite între entitate și grupul din care face parte.     Indiferent de modelul de aplicabilitate, entitatea răspunde pentru demonstrarea implementării eficace a controalelor aplicabile în propriul său domeniu (principiu general).   Aplicarea controalelor, corespunzător funcției   Secțiunile următoare descriu modul în care controalele se aplică, în mod obișnuit, entităților care fac parte dintr-un grup de întreprinderi.      
				 + 
			   GUVERNARE (GV)      Categorii aplicabile: • GV.OC - Context organizațional;   • GV.RM - Strategia de management al riscului;   • GV.RR - Roluri, responsabilități și atribuții de autoritate;   • GV.PO - Politici;   • GV.OV - Supraveghere;   • GV.SC - Managementul riscului în lanțul de aprovizionare pentru securitate cibernetică (C-SCRM).     Controalele din funcția Guvernare sunt, în mod obișnuit, definite și coordonate la nivel de grup. Entitatea demonstrează conformitatea prin adoptarea formală a guvernanței, a politicilor și a cadrelor de management al riscului ale grupului, prin stabilirea rolurilor și a liniilor de raportare locale, aliniate la structura grupului și prin aplicarea, în propriul său domeniu de aplicare, a cerințelor de supraveghere și a cerințelor privind lanțul de aprovizionare definite la nivel de grup.    Entitatea nu este obligată să redefinească aranjamentele de guvernanță, dar rămâne răspunzătoare pentru aplicarea eficace a acestora.      
				 + 
			   IDENTIFICARE (ID)      Categorii aplicabile: • ID.AM - Managementul activelor;   • ID.RA - Evaluarea riscurilor;   • ID.IM - Îmbunătățire.     Controalele din funcția Identificare sunt implementate în principal la nivel local de către entitate, utilizând metodele și instrumentele definite la nivel de grup.    Entitatea demonstrează conformitatea prin menținerea unor inventare exacte ale activelor, serviciilor, datelor și furnizorilor, prin efectuarea evaluărilor de risc utilizând metodologia grupului și prin asigurarea faptului că modificările situației sale sunt reflectate în inventare, în evaluările de risc și în activitățile de îmbunătățire.      
				 + 
			   PROTECȚIE (PR)      Categorii aplicabile: • PR.AA - Managementul identității, autentificarea și controlul accesului;   • PR.AT - Conștientizare și instruire;   • PR.DS - Securitatea datelor;   • PR.PS - Securitatea platformei;   • PR.IR - Reziliența infrastructurii tehnologice.     Controalele din funcția Protecție sunt, în general, partajate. Politicile, standardele și tehnologiile de securitate definite la nivel de grup sunt implementate la nivel local de către entitate.    Entitatea demonstrează conformitatea prin asigurarea acoperirii eficace a sistemelor și serviciilor sale, prin asigurarea participării personalului la instruirea obligatorie și prin gestionarea excepțiilor documentate, atunci când este necesar.      
				 + 
			   DETECȚIE (DE)      Categorii aplicabile: • DE.CM - Monitorizare continuă;   • DE.AE - Analiza evenimentelor adverse.     Controalele din funcția Detecție sunt, în mod obișnuit, operate centralizat, la nivel de grup.    Entitatea demonstrează conformitatea prin asigurarea faptului că sistemele și serviciile sale se află în domeniul de aplicare al capabilităților de monitorizare ale grupului, prin definirea responsabilităților locale de tratare a alertelor și de escaladare și prin acțiunile întreprinse pe baza rezultatelor detecției relevante pentru mediul său.      
				 + 
			   RĂSPUNS (RS)      Categorii aplicabile: • RS.MA - Managementul incidentelor;   • RS.AN - Analiza incidentelor;   • RS.CO - Raportarea și comunicarea răspunsului la incidente;   • RS.MI - Atenuarea incidentelor.     Controalele din funcția Răspuns sunt coordonate la nivel de grup și executate în comun.    Entitatea demonstrează conformitatea prin participarea la procesele de răspuns la incidente ale grupului, prin executarea acțiunilor locale definite de răspuns și de limitare a incidentelor și prin furnizarea de informații specifice entității pentru analiza incidentelor și pentru îmbunătățire.      
				 + 
			   RECUPERARE (RC)      Categorii aplicabile: • RC.RP - Executarea planului de recuperare în caz de incident;   • RC.CO - Comunicarea privind recuperarea incidentului.     Controalele din funcția Recuperare sunt, în general, partajate.    Entitatea demonstrează conformitatea prin alinierea aranjamentelor sale de recuperare la cadrele de continuitate a activității și de recuperare în caz de dezastru ale grupului, prin îndeplinirea obiectivelor de recuperare definite pentru serviciile sale critice și prin participarea la testare și la comunicările legate de recuperare.      
				 + 
			   Evaluarea maturității controalelor, atunci când entitatea face parte dintr-un grup de entități       
				 + 
			   Regula generală      Nivelul de maturitate reflectă gradul în care un control este documentat, implementat, măsurat și îmbunătățit pentru entitate, indiferent dacă acesta este definit la nivelul grupului sau la nivelul entității.   O entitate poate atinge orice nivel de maturitate utilizând controale definite la nivel de grup, cu condiția ca documentația să fie aplicabilă în mod formal, iar dovezile de implementare și metricile să existe la nivelul entității.      
				 + 
			   Corespondența dintre aplicabilitatea controlului și dimensiunile maturității         Tipul controlului*  Maturitatea documentației  Maturitatea implementării    Preluat  Documentația grupului, aplicabilă în mod formal entității  Utilizare eficace și consecventă în domeniul de aplicare al entității    Implementat  Documentația entității  Implementare de către entitate    Partajat  Documentația de la nivelul grupului, cumulată cu completările entității  Operare în comun și execuție de către entitate      * A se vedea modelul de aplicabilitate.      
				 + 
			   Modul de evaluare a maturității, pe fiecare stadiu      Mai jos este prezentat un model de interpretare practică a fiecărui stadiu de maturitate aplicabilă uniform controalelor preluate, partajate și implementate: • Stadiul 1 - Inițial () Documentație: [ ] nu există documentație aplicabilă a grupului sau a entității.   sau   [ ] documentația există, dar nu este aprobată oficial sau nu este aplicabilă entității.     () Implementare: [ ] nu există un proces standard la nivel de grup care acoperă entitatea;   [ ] acțiunile entității sunt ad-hoc sau absente.       • Stadiul 2 - Repetabil () Documentație: [ ] există documentație a grupului sau a entității, aprobată oficial;   [ ] documentația se aplică entității;   [ ] documentația nu a fost revizuită în ultimii 2 ani.     () Implementare: [ ] există un proces la nivel de grup;   [ ] entitatea îl urmează în mod informal sau inconsecvent.       • Stadiul 3 - Definit () Documentație: [ ] documentația grupului:  –   este aprobată oficial;   ...     –   este aplicabilă entității;   ...     –   excepțiile sunt documentate și aprobate.   ...      [ ] abaterile specifice entității sunt documentate;   [ ] excepții < 5%.     () Implementare: [ ] procesul standard al grupului este implementat;   [ ] există dovezi pentru majoritatea activităților entității;   [ ] excepții < 10%.       • Stadiul 4 - Gestionat () Documentație: [ ] documentația grupului:  –   este aprobată oficial;   ...     –   este aplicabilă;   ...     –   este revizuită periodic.   ...      [ ] excepțiile entității sunt documentate, aprobate și urmărite;   [ ] excepții < 3%.     () Implementare: [ ] controalele sunt implementate în mod consecvent la nivelul întregii entități;   [ ] există dovezi pentru toate activitățile;   [ ] metricile sunt colectate și raportate;   [ ] sunt definite valori-țintă pentru metrici;   [ ] excepții < 5%.     NOTĂ:  Acest stadiu de maturitate necesită măsurare la nivel local, chiar dacă instrumentele sunt deținute la nivel de grup.       • Stadiul 5 - Optimizare () Documentație: [ ] documentația grupului este îmbunătățită continuu;   [ ] feedbackul entității este integrat în mod activ;   [ ] excepții < 0,5%.     () Implementare: [ ] îmbunătățirea continuă poate fi demonstrată;   [ ] metricile arată o îmbunătățire consecventă în timp;   [ ] excepții < 1%;   [ ] lecțiile învățate determină în mod sistematic actualizări.     NOTĂ:  Acest stadiu de maturitate ar putea fi atins numai dacă entitățile contribuie în mod activ, nu doar preiau pasiv controalele grupului.            
				 + 
			   Eroare frecventă de evaluare       
				 + 
			   Evaluare incorectă      Entitatea nu are propria politică, deci maturitatea documentației este stadiul 1.        
				 + 
			   Evaluare corectă      Entitatea adoptă în mod formal o politică a grupului, deci maturitatea documentației depinde de aprobare, aplicabilitate, revizuire și de tratarea excepțiilor.   Această distincție este esențială pentru entitățile care fac parte dintr-un grup de întreprinderi.       ------  

Preluat: 2026-09-24T15:20:38.000932+00:00 · SHA256: 7714e59f188d6b7433be8f771f290ac2b74f8f7f6fad08a803f6e7f30bc6d825