Noi obligații pentru companiile din grupuri de întreprinderi: cine răspunde pentru securitatea cibernetică la nivel local
Directoratul Național de Securitate Cibernetică (DNSC) a stabilit modul în care vor fi evaluate aceste cerințe.
Noile norme au fost aprobate prin Decizia DNSC nr. 3 din 14 septembrie 2026 și au fost publicate în Monitorul Oficial luni, 21 septembrie. Ele vizează situațiile în care guvernanța, strategia și managementul riscurilor de securitate cibernetică sunt stabilite la nivelul unui grup de întreprinderi și apoi aplicate entităților componente.
Trei modalități de aplicare a controalelor
DNSC stabilește trei categorii în care pot intra controalele de securitate cibernetică: preluate, implementate și partajate.
Controalele „preluate” sunt cele gestionate și garantate la nivelul grupului, pe care entitatea le adoptă direct. Cele „implementate” respectă standardele grupului, dar sunt puse în practică și supravegheate de structurile proprii ale entității. În cazul controalelor „partajate”, responsabilitățile sunt împărțite între companie și grup.
Regula esențială este însă comună: indiferent de model, fiecare entitate rămâne responsabilă să demonstreze că respectivele controale funcționează efectiv în propriul domeniu de activitate.
De la prevenție la reacția în cazul unui atac
Normele acoperă șase domenii: guvernare, identificare, protecție, detecție, răspuns și recuperare.
Spre exemplu, guvernanța este de regulă stabilită la nivelul grupului, dar entitatea trebuie să adopte formal politicile și să stabilească rolurile și liniile locale de raportare. Inventarierea activelor, serviciilor, datelor și furnizorilor și evaluarea riscurilor sunt realizate în principal local, folosind metodele grupului.
În cazul detecției, monitorizarea poate fi operată centralizat, însă entitatea trebuie să se asigure că propriile sisteme sunt acoperite și să stabilească responsabilități locale pentru gestionarea alertelor. Pentru incidente, răspunsul este coordonat la nivel de grup, dar presupune și acțiuni concrete la nivel local.
Cum va fi măsurată maturitatea securității cibernetice
DNSC introduce și reguli detaliate pentru evaluarea maturității controalelor, de la stadiul 1 – „Inițial” până la stadiul 5 – „Optimizare”.
O companie poate obține un nivel ridicat de maturitate chiar dacă utilizează politici elaborate la nivelul grupului, însă trebuie să existe documentație aplicabilă formal, dovezi privind implementarea și, pentru nivelurile superioare, indicatori măsurabili la nivelul entității.
La stadiul 4, de exemplu, controalele trebuie aplicate consecvent în întreaga entitate, cu dovezi pentru activități și metrici colectate și raportate. Stadiul 5 presupune inclusiv îmbunătățire continuă și contribuția activă a entității la perfecționarea controalelor grupului.
Normele subliniază astfel o distincție importantă pentru companiile din România integrate în structuri internaționale: lipsa unei politici locale proprii nu înseamnă automat un nivel scăzut de maturitate, dacă politica grupului a fost adoptată formal și este aplicată și demonstrată efectiv la nivel local.