„DNSC Definește Noile Standarduri de Securitate Cibernetică pentru Companii și Instituții”

DNSC Clarifică Cerințele de Securitate Cibernetică pentru Grupurile de Întreprinderi

Directoratul Național de Securitate Cibernetică (DNSC) a definit recent modul în care se aplică cerințele de securitate cibernetică în cadrul companiilor ce fac parte din grupuri de întreprinderi. Aceste noi reglementări clarifică aspectele legate de gestionarea centralizată a politicilor, procedurilor și sistemelor de securitate, precum și responsabilitățile fiecărei entități individuale.

Decizia DNSC a fost publicată în Monitorul Oficial nr. 798 pe 21 septembrie 2026 și completează cadrul actual pentru gestionarea riscurilor de securitate cibernetică pentru entitățile esențiale și importante. Este important de menționat că documentul nu introduce controale noi, ci detaliază aplicarea celor existente în cazul grupurilor de întreprinderi.

Trei Tipuri de Controale de Securitate

DNSC a identificat trei tipuri principale de controale de securitate cibernetică care pot fi implementate în funcție de structura grupului:

1. Control Preluat: Aceasta situație apare când documentația și măsurile de securitate sunt stabilite la nivelul grupului și utilizate de către entitate. De exemplu, o societate-mamă poate impune o politică comună pentru accesul la sistemele informatice, care se aplică și filialelor.

2. Control Implementat: Aici, politicile generale pot fi stabilite la nivel de grup, dar fiecare entitate trebuie să demonstreze cum aplică concret aceste măsuri în infrastructura sa. Compania trebuie să fie capabilă să justifice implementarea regulilor grupului în propriile sale operațiuni.

3. Control Partajat: În acest model, o parte din control este gestionată la nivel central, iar cealaltă se realizează local. Acest scenariu este întâlnit de obicei când grupul administrează infrastructuri sau servicii de securitate comună, lăsând filialelor răspunderea pentru anumite proceduri și intervenții la nivel local.

Un aspect crucial evidențiat de normele DNSC este că simpla existență a politicilor la nivelul grupului nu este suficientă. Fiecare entitate trebuie să demonstreze implementarea efectivă a controlului în activitatea sa.

Domeniile Acoperite de Noile Reguli

Noile reguli acoperă esențiale elemente ale managementului securității cibernetice, incluzând:

• Guvernanța: Organizarea responsabilităților, managementul riscurilor, rolurile și atribuțiile, politica de securitate și supravegherea.
• Identificarea: Evidența activelor informatice, evaluarea riscurilor și identificarea amenințărilor.
• Protecția: Managementul identității și accesului, securitatea datelor, protecția platformelor, reziliența infrastructurii și instruirea personalului.
• Detecția: Monitorizarea continuă și analiza incidentelor.
• Răspunsul la incidente: Managementul, analiza, raportarea și comunicarea incidentelor.
• Recuperarea: Planuri de revenire după incidente și comunicarea aferentă.

DNSC subliniază că aceste noi reglementări nu modifică controalele deja stabilite prin Ordinul directorului DNSC nr. 1/2026, ci explică modul de aplicare a cerințelor pentru grupuri de întreprinderi.

Pentru companiile ce utilizează politici sau infrastructură IT comună, aceste clarificări devin esențiale, deoarece stabilesc cine și cum trebuie să demonstreze respectarea măsurilor în cauză.

Jurnalist: Marius Manole