NORMĂ nr. 0/2026

Notă

Aprobate prin DECIZIA nr. 3 din 14 septembrie 2026, publicată în Monitorul Oficial al României, Partea I, nr. 798 din 21 septembrie 2026.

Scopul

Prezentul document explică modul în care o entitate parte în cadrul unui grup de întreprinderi demonstrează conformitatea cu prevederile Ordinului directorului Directoratului Național de Securitate Cibernetică nr. 1/2026 pentru aprobarea Măsurilor de gestionare a riscurilor de securitate cibernetică aferente rețelelor și sistemelor informatice utilizate de entitățile esențiale și importante și a Metodologiei de autoevaluare a maturității măsurilor de gestionare a riscurilor de securitate cibernetică și pentru modificarea Metodologiei privind evaluarea nivelului de risc al entităților, aprobată prin Ordinul directorului Directoratului Național de Securitate Cibernetică nr. 2/2025 pentru aprobarea Criteriilor și pragurilor de determinare a gradului de perturbare a unui serviciu și a Metodologiei privind evaluarea nivelului de risc al entităților, cu completările ulterioare, atunci când guvernanța, strategia și managementul riscului de securitate cibernetică sunt definite la nivel de grup și transpuse în cascadă la nivelul acesteia.

Modelul de aplicabilitate

Controalele aplicate la nivelul entității pot fi: • preluate: controale ale căror guvernanță, luare a deciziilor, gestionare și garantare sunt exercitate la nivel de grup și pe care entitatea se bazează (sau le adoptă) în mod direct; • implementate: controale guvernate prin standarde definite la nivel de grup, dar executate (implementate), supravegheate și garantate prin propriile structuri de guvernanță ale entității; • partajate: responsabilitățile sunt împărțite între entitate și grupul din care face parte.

Indiferent de modelul de aplicabilitate, entitatea răspunde pentru demonstrarea implementării eficace a controalelor aplicabile în propriul său domeniu (principiu general).

Aplicarea controalelor, corespunzător funcției

Secțiunile următoare descriu modul în care controalele se aplică, în mod obișnuit, entităților care fac parte dintr-un grup de întreprinderi.

GUVERNARE (GV)

Categorii aplicabile: • GV.OC - Context organizațional; • GV.RM - Strategia de management al riscului; • GV.RR - Roluri, responsabilități și atribuții de autoritate; • GV.PO - Politici; • GV.OV - Supraveghere; • GV.SC - Managementul riscului în lanțul de aprovizionare pentru securitate cibernetică (C-SCRM).

Controalele din funcția Guvernare sunt, în mod obișnuit, definite și coordonate la nivel de grup. Entitatea demonstrează conformitatea prin adoptarea formală a guvernanței, a politicilor și a cadrelor de management al riscului ale grupului, prin stabilirea rolurilor și a liniilor de raportare locale, aliniate la structura grupului și prin aplicarea, în propriul său domeniu de aplicare, a cerințelor de supraveghere și a cerințelor privind lanțul de aprovizionare definite la nivel de grup.

Entitatea nu este obligată să redefinească aranjamentele de guvernanță, dar rămâne răspunzătoare pentru aplicarea eficace a acestora.

IDENTIFICARE (ID) Categorii aplicabile: • ID.AM - Managementul activelor; • ID.RA - Evaluarea riscurilor; • ID.IM - Îmbunătățire.

Controalele din funcția Identificare sunt implementate în principal la nivel local de către entitate, utilizând metodele și instrumentele definite la nivel de grup.

Entitatea demonstrează conformitatea prin menținerea unor inventare exacte ale activelor, serviciilor, datelor și furnizorilor, prin efectuarea evaluărilor de risc utilizând metodologia grupului și prin asigurarea faptului că modificările situației sale sunt reflectate în inventare, în evaluările de risc și în activitățile de îmbunătățire.

PROTECȚIE (PR)

Categorii aplicabile: • PR.AA - Managementul identității, autentificarea și controlul accesului; • PR.AT - Conștientizare și instruire; • PR.DS - Securitatea datelor; • PR.PS - Securitatea platformei; • PR.IR - Reziliența infrastructurii tehnologice.

Controalele din funcția Protecție sunt, în general, partajate. Politicile, standardele și tehnologiile de securitate definite la nivel de grup sunt implementate la nivel local de către entitate.

Entitatea demonstrează conformitatea prin asigurarea acoperirii eficace a sistemelor și serviciilor sale, prin asigurarea participării personalului la instruirea obligatorie și prin gestionarea excepțiilor documentate, atunci când este necesar.

DETECȚIE (DE)

Categorii aplicabile: • DE.CM - Monitorizare continuă; • DE.AE - Analiza evenimentelor adverse.

Controalele din funcția Detecție sunt, în mod obișnuit, operate centralizat, la nivel de grup.

Entitatea demonstrează conformitatea prin asigurarea faptului că sistemele și serviciile sale se află în domeniul de aplicare al capabilităților de monitorizare ale grupului, prin definirea responsabilităților locale de tratare a alertelor și de escaladare și prin acțiunile întreprinse pe baza rezultatelor detecției relevante pentru mediul său.

RĂSPUNS (RS)

Categorii aplicabile: • RS.MA - Managementul incidentelor; • RS.AN - Analiza incidentelor; • RS.CO - Raportarea și comunicarea răspunsului la incidente; • RS.MI - Atenuarea incidentelor.

Controalele din funcția Răspuns sunt coordonate la nivel de grup și executate în comun.

Entitatea demonstrează conformitatea prin participarea la procesele de răspuns la incidente ale grupului, prin executarea acțiunilor locale definite de răspuns și de limitare a incidentelor și prin furnizarea de informații specifice entității pentru analiza incidentelor și pentru îmbunătățire.

RECUPERARE (RC)

Categorii aplicabile: • RC.RP - Executarea planului de recuperare în caz de incident; • RC.CO - Comunicarea privind recuperarea incidentului.

Controalele din funcția Recuperare sunt, în general, partajate.

Entitatea demonstrează conformitatea prin alinierea aranjamentelor sale de recuperare la cadrele de continuitate a activității și de recuperare în caz de dezastru ale grupului, prin îndeplinirea obiectivelor de recuperare definite pentru serviciile sale critice și prin participarea la testare și la comunicările legate de recuperare.

Evaluarea maturității controalelor, atunci când entitatea face parte dintr-un grup de entități

Regula generală

Nivelul de maturitate reflectă gradul în care un control este documentat, implementat, măsurat și îmbunătățit pentru entitate, indiferent dacă acesta este definit la nivelul grupului sau la nivelul entității.

O entitate poate atinge orice nivel de maturitate utilizând controale definite la nivel de grup, cu condiția ca documentația să fie aplicabilă în mod formal, iar dovezile de implementare și metricile să existe la nivelul entității.

Corespondența dintre aplicabilitatea controlului și dimensiunile maturității

Tipul controlului* Maturitatea documentației Maturitatea implementării

Preluat Documentația grupului, aplicabilă în mod formal entității Utilizare eficace și consecventă în domeniul de aplicare al entității

Implementat Documentația entității Implementare de către entitate

Partajat Documentația de la nivelul grupului, cumulată cu completările entității Operare în comun și execuție de către entitate * A se vedea modelul de aplicabilitate.

Modul de evaluare a maturității, pe fiecare stadiu

Mai jos este prezentat un model de interpretare practică a fiecărui stadiu de maturitate aplicabilă uniform controalelor preluate, partajate și implementate: • Stadiul 1 - Inițial () Documentație: [ ] nu există documentație aplicabilă a grupului sau a entității.

sau [ ] documentația există, dar nu este aprobată oficial sau nu este aplicabilă entității. () Implementare: [ ] nu există un proces standard la nivel de grup care acoperă entitatea; [ ] acțiunile entității sunt ad-hoc sau absente. • Stadiul 2 - Repetabil () Documentație: [ ] există documentație a grupului sau a entității, aprobată oficial; [ ] documentația se aplică entității; [ ] documentația nu a fost revizuită în ultimii 2 ani. () Implementare: [ ] există un proces la nivel de grup; [ ] entitatea îl urmează în mod informal sau inconsecvent. • Stadiul 3 - Definit () Documentație: [ ] documentația grupului: – este aprobată oficial;

– este aplicabilă entității;

– excepțiile sunt documentate și aprobate.

[ ] abaterile specifice entității sunt documentate; [ ] excepții < 5%. () Implementare: [ ] procesul standard al grupului este implementat; [ ] există dovezi pentru majoritatea activităților entității; [ ] excepții < 10%. • Stadiul 4 - Gestionat () Documentație: [ ] documentația grupului: – este aprobată oficial;

– este aplicabilă;

– este revizuită periodic.

[ ] excepțiile entității sunt documentate, aprobate și urmărite; [ ] excepții < 3%. () Implementare: [ ] controalele sunt implementate în mod consecvent la nivelul întregii entități; [ ] există dovezi pentru toate activitățile; [ ] metricile sunt colectate și raportate; [ ] sunt definite valori-țintă pentru metrici; [ ] excepții < 5%.

NOTĂ: Acest stadiu de maturitate necesită măsurare la nivel local, chiar dacă instrumentele sunt deținute la nivel de grup. • Stadiul 5 - Optimizare () Documentație: [ ] documentația grupului este îmbunătățită continuu; [ ] feedbackul entității este integrat în mod activ; [ ] excepții < 0,5%. () Implementare: [ ] îmbunătățirea continuă poate fi demonstrată; [ ] metricile arată o îmbunătățire consecventă în timp; [ ] excepții < 1%; [ ] lecțiile învățate determină în mod sistematic actualizări.

NOTĂ: Acest stadiu de maturitate ar putea fi atins numai dacă entitățile contribuie în mod activ, nu doar preiau pasiv controalele grupului.

Eroare frecventă de evaluare

Evaluare incorectă

Entitatea nu are propria politică, deci maturitatea documentației este stadiul 1.

Evaluare corectă

Entitatea adoptă în mod formal o politică a grupului, deci maturitatea documentației depinde de aprobare, aplicabilitate, revizuire și de tratarea excepțiilor.

Această distincție este esențială pentru entitățile care fac parte dintr-un grup de întreprinderi.