Directoratul Național de Securitate Cibernetică (DNSC) a emis noi norme care reglementează modul de evaluare a cerințelor de securitate cibernetică pentru companiile integrate în grupuri de întreprinderi. Regula vizează situațiile în care strategia de management al riscurilor și guvernanța sunt stabilite la nivel central de către grup, dar aplicate ulterior entităților componente. Documentul a fost publicat în Monitorul Oficial luni, 21 septembrie, prin Decizia DNSC nr. 3 din 14 septembrie 2026.
Conform noilor prevederi, controalele de securitate cibernetică pot fi clasificate în trei categorii distincte: preluate, implementate sau partajate. Controalele preluate sunt cele gestionate și garantate direct la nivelul grupului, fiind adoptate integral de entitate. Cele implementate respectă standardele stabilite de grup, însă sunt puse în practică și supravegheate de structurile proprii ale entității. În cazul controalelor partajate, responsabilitățile sunt împărțite între companie și structura centrală a grupului.
Indiferent de modelul de gestionare ales, fiecare entitate locală poartă responsabilitatea de a demonstra că măsurile de securitate funcționează efectiv în propriul domeniu de activitate. Normele acoperă șase domenii esențiale: guvernare, identificare, protecție, detecție, răspuns și recuperare. De exemplu, deși guvernanța este stabilită la nivel de grup, entitatea trebuie să adopte formal politicile și să stabilească liniile locale de raportare, asigurând totodată inventarierea activelor și evaluarea riscurilor locale.
În ceea ce privește monitorizarea și gestionarea incidentelor, DNSC permite operarea centralizată a detecției, cu condiția ca entitatea să garanteze acoperirea propriilor sisteme. În cazul unor incidente cibernetice, răspunsul este coordonat la nivel de grup, dar necesită acțiuni concrete la nivel local. Această abordare obligă companiile să stabilească responsabilități clare pentru gestionarea alertelor în cadrul propriilor structuri, asigurând astfel o reacție rapidă și adaptată contextului specific al entității.
DNSC introduce un sistem de evaluare a maturității controalelor, structurat pe cinci stadii, de la „Inițial” la „Optimizare”. O companie poate atinge un nivel ridicat de maturitate chiar dacă folosește politici de grup, dacă există documentație formală și dovezi clare de implementare. La stadiul 4, controalele trebuie aplicate consecvent, cu metrici colectate și raportate, în timp ce stadiul 5 presupune contribuția activă a entității la perfecționarea sistemelor de securitate ale întregului grup.
Aceste reglementări vin într-un context în care securitatea infrastructurilor critice și a datelor corporative devine o prioritate de stat, necesitând o coordonare strictă între nivelul central și cel local. Stabilirea unor standarde de maturitate clare permite companiilor integrate în structuri internaționale să demonstreze conformitatea fără a fi penalizate pentru lipsa unor politici locale proprii, atâta timp cât politica grupului este aplicată și documentată riguros la nivel local.