ORDIN nr. 2/2026

Având în vedere dispozițiile art. 10 alin. (2), art. 11 alin. (1), art. 12 alin. (1) și (4) și ale art. 13 din Ordonanța de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025, cu completările ulterioare, precum și dispozițiile art. 5 lit. b) și ale art. 7 alin. (3) și (4) din Ordonanța de urgență a Guvernului nr. 104/2021 privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin Legea nr. 11/2022, cu modificările ulterioare,

directorul Directoratului Național de Securitate Cibernetică emite prezentul ordin.

Articolul I

Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a Metodologiei de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităților, aprobată prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a Metodologiei privind evaluarea nivelului de risc al entităților, publicat în Monitorul Oficial al României, Partea I, nr. 712 și 712 bis din 27 august 2026, se completează după cum urmează: 1.

La articolul III, după alineatul (2) se introduce un nou alineat, alin. (3), cu următorul cuprins:

(3) Atunci când entitatea face parte dintr-un grup de întreprinderi, aceasta implementează cerințele de securitate cibernetică în conformitate cu regulile de aplicabilitate aprobate prin decizie a directorului DNSC.

2. La anexa nr. 2, după articolul 3 se introduce un nou articol, art. 4, cu următorul cuprins:

Articolul 4

(1) Entitatea poate exclude de la autoevaluare Controalele care nu sunt aplicabile activității sale, prin selectarea opțiunii «N/A» pentru ambii parametri prevăzuți de dispozițiile art. 2 alin. (1), în următoarele limite:

a) pentru nivelul de Bază, cel mult un Control;

b) pentru nivelul Important, cel mult trei Controale;

c) pentru nivelul Esențial, cel mult cinci Controale.

(2) Nu pot fi excluse de la autoevaluare:

a) Controalele marcate ca Măsuri-cheie, indiferent de nivelul de asigurare;

b) Controalele aferente Aspectelor de management, pentru nivelul Esențial.

(3) Pentru fiecare Control exclus potrivit dispozițiilor alin. (1), în calculul scorurilor prevăzute de dispozițiile art. 2 alin. (6)-(9) se utilizează valoarea:

a) 2,5 pentru nivelul de Bază;

b) 3 pentru nivelurile Important și Esențial.

(4) Excluderea fiecărui Control se justifică în scris, cu indicarea motivelor pentru care Controlul nu este aplicabil entității, și se evidențiază în declarația de aplicabilitate prevăzută la dispozițiile art. III alin. (2) din ordin.

(5) Excluderile care depășesc limitele prevăzute de dispozițiile alin. (1) sau care privesc Controalele prevăzute de dispozițiile alin. (2) nu sunt luate în considerare, iar autoevaluarea nu este considerată conformă cerințelor legale incidente până la remedierea acestora.

Articolul II

Prezentul ordin se publică în Monitorul Oficial al României, Partea I.

Directorul Directoratului Național de Securitate Cibernetică,

Dan-Petre Cîmpean

București, 14 septembrie 2026.

Nr. 2.