Articolul 13 din OUG 155/2024 enumeră zece domenii de măsuri pe care entitățile esențiale și importante trebuie să le acopere, iar pentru patru dintre ele cere explicit politici și proceduri. Organele de conducere le aprobă (art. 14). La audit, auditorul atestat DNSC verifică fiecare document și dovezile că este aplicat. Metodologia de autoevaluare din Ordinul DNSC nr. 1/2026 punctează separat documentarea și implementarea.
Cele zece domenii din art. 13 și documentele lor
| Litera | Documentele | Dovezile pe care le cere auditorul |
|---|---|---|
| a) analiza riscurilor și securitatea sistemelor | politica de securitate a informației; metodologia de analiză a riscurilor; registrul riscurilor; calendarul de revizuire | evaluarea nivelului de risc transmisă DNSC; autoevaluarea anuală; procesele-verbale ale conducerii |
| b) evaluarea eficacității măsurilor | procedura de evaluare: indicatori, teste, audit intern | rapoarte de testare de penetrare; rapoarte SOC; rezultatele exercițiilor |
| c) criptografie și criptare | politica de criptografie: ce se criptează, unde, cu ce chei, cine le administrează | configurații; inventarul certificatelor; dovada criptării în tranzit și în stocare |
| d) lanțul de aprovizionare | politica privind furnizorii; clauzele de securitate din contracte; lista furnizorilor critici | contracte; evaluări ale furnizorilor; dovezi de monitorizare |
| e) achiziție, dezvoltare, întreținere, scoatere din uz; vulnerabilități | procedura de gestionare a vulnerabilităților și a actualizărilor; procedura de divulgare; procedura de gestionare a schimbărilor | rapoarte de scanare; evidența actualizărilor; retestări după remediere |
| f) resurse umane, control acces, active | politica de control al accesului: roluri, drepturi, revizuire; procedura de angajare și plecare; inventarul activelor | lista activelor; revizuirile periodice ale drepturilor; conturi dezactivate la plecare |
| g) gestionarea incidentelor | procedura de gestionare a incidentelor, cu termenele de notificare: 24 de ore, 72 de ore, o lună; registrul incidentelor | notificările transmise DNSC; rapoartele SOC; exercițiile de răspuns |
| h) continuitatea activității | planul de continuitate; politica de backup; planul de recuperare în caz de dezastru; planul de gestionare a crizelor | testele de restaurare din backup; exercițiile de continuitate |
| i) igienă cibernetică și instruire | regulile de igienă: parole, actualizări, e-mail, dispozitive; programul de instruire | listele de prezență; cursurile conducerii (art. 14 alin. (2)); materialele folosite |
| j) autentificare și comunicații securizate | standardul de autentificare în mai mulți pași; lista sistemelor acoperite; canalele securizate, inclusiv cel de urgență | configurații; capturi; lista excepțiilor aprobate |
Numărul exact de controale depinde de nivelul tău de asigurare: 34, 133 sau 218, după nivelul de risc. Lista de mai sus acoperă domeniile; controalele spun cât de adânc intri în fiecare.
Ce verifică auditorul la fiecare document
- este aprobat de conducere, cu dată și semnătură;
- are un responsabil numit, nu „departamentul IT”;
- are versiune și o dată de revizuire respectată;
- este cunoscut de cei care trebuie să îl aplice;
- are dovezi că funcționează: jurnale, rapoarte, configurații, procese-verbale;
- excepțiile sunt documentate și aprobate, nu tolerate.
Greșeli frecvente
- Politici copiate
- Un set de documente descărcate, cu numele altei companii uitat într-un antet. Auditorul le recunoaște de la prima pagină.
- Politici fără dovezi
- Politica de backup există, testul de restaurare nu s-a făcut niciodată. În autoevaluare, implementarea ia zero.
- Inventar de active vechi
- Serverul scos din uz anul trecut apare în inventar, iar cel nou nu. DNSC poate cere lista oricând.
- Procedura de incident fără termene
- Nu spune cine notifică DNSC și în cât timp. Prima amendă DNSC a fost exact pentru un termen de notificare.
- Totul la IT
- Politicile sunt scrise și aprobate doar de IT. Legea le pune în sarcina conducerii.
În ce ordine le faci
- Evaluarea nivelului de risc, ca să știi câte controale ai de acoperit.
- Inventarul activelor și lista riscurilor: fără ele, nicio politică nu are obiect.
- Politicile care țin de răspundere și de termene: securitate și riscuri (a), acces și active (f), incidente (g), continuitate (h).
- Restul domeniilor: furnizori (d), vulnerabilități (e), criptografie (c), autentificare (j), instruire (i), evaluarea eficacității (b).
- Dovezile, strânse pe măsură ce aplici: rapoarte, jurnale, procese-verbale.
- Autoevaluarea, apoi planul de remediere, apoi auditul.
Cum ajută TRU
Prin CIO-as-a-Service, de la 100 € pe oră, scriem politicile și procedurile cu tine, pe structura de mai sus, le ducem la aprobarea conducerii și pregătim dosarul de audit. Dovezile tehnice vin din PenTest, SOC 24/7/365 și Proton Business. Auditul îl fac auditori atestați DNSC, parteneri TRU, cu contract direct.
Surse
OUG 155/2024, forma consolidată, art. 11, 13 și 14 · Ordinul DNSC nr. 1/2026, măsurile și metodologia de autoevaluare.