DECIZIE nr. 3/2026

În temeiul dispozițiilor art. III alin. (3) din Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a Metodologiei de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităților, aprobată prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a Metodologiei privind evaluarea nivelului de risc al entităților, cu completările ulterioare, precum și a dispozițiilor art. 5 lit. b) și ale art. 7 alin. (3) și (4) din Ordonanța de urgență a Guvernului nr. 104/2021 privind înființarea Directoratului Național de Securitate Cibernetică, aprobată cu modificări și completări prin Legea nr. 11/2022, cu modificările ulterioare,

având în vedere prevederile Ordonanței de urgență a Guvernului nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025, cu completările ulterioare,

directorul Directoratului Național de Securitate Cibernetică emite prezenta decizie.

Articolul 1

Se aprobă Normele de aplicabilitate a cerințelor de securitate cibernetică pentru entitățile care fac parte dintr-un grup de întreprinderi, denumite în continuare normele, prevăzute în anexa care face parte integrantă din prezenta decizie.

Articolul 2

Normele se aplică de către entitățile esențiale și importante care fac parte dintr-un grup de întreprinderi atunci când implementează controalele prevăzute în anexa la anexa nr. 1 la Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a Metodologiei de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităților, aprobată prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a Metodologiei privind evaluarea nivelului de risc al entităților, cu completările ulterioare, precum și atunci când realizează autoevaluarea maturității măsurilor de gestionare a riscurilor de securitate cibernetică potrivit metodologiei prevăzute în anexa nr. 2 la același ordin.

Articolul 3

Normele nu modifică și nu completează controalele, stadiile de maturitate, scorurile-țintă și regulile de calcul prevăzute în Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 1/2026, cu completările ulterioare, ci stabilesc modul în care acestea se aplică atunci când guvernanța, strategia și managementul riscului de securitate cibernetică sunt definite la nivel de grup.

Articolul 4

Prezenta decizie se publică în Monitorul Oficial al României, Partea I.

Directorul Directoratului Național de Securitate Cibernetică,

Dan-Petre Cîmpean

București, 14 septembrie 2026.

Nr. 3.

ANEXĂ

NORME de aplicabilitate a cerințelor de

securitate cibernetică pentru

entitățile care fac parte

dintr-un grup de întreprinderi